sou · GXB386 · 2009-10-19 00:00:00 — Här uppkommer juridiska och administrativa frågor rörande bl.a. behörighet att företräda annan. behöver kunna ge alla företag en möjlighet att låta medarbetare identifiera sig inom ramen för federationens tjänster. Det behöver därför finnas lämpliga tjänster för att förse såväl små som stora organisationer med e-tjänstelegitimationer samt att ge dessa en möjlighet att registrera medarbetare hos identitets- intygsgivare () som ingår i federationen. 24 SITHS: Säker IT-användning i Hälso- och Sjukvården. Flöde – kontroll av elektronisk underskrift 1.Användaren undertecknar en elektronisk handling och sänder den till e-tjänsten. 2.Den elektroniska underskriften kontrolleras i e-tjänsten. 3.E-tjänsten begär kompletterande identitetsintyg för innehavaren av det certifikat som används för att kontrollera att underskriften är äkta. 4.Identitetsintygsgivaren utfärdar identitetsintyg med efterfrågade identitetsuppgifter som vid behov hämtats från en extern registerhållare. Flödet vid kontroll av elektronisk underskrift skiljer sig från identi- fiering främst genom att användaren, efter det att handlingen undertecknats och skickats till e-tjänsteleverantören, är inblandad i processen. Vid identifiering måste användarens identitet kontrolleras av identitetsintygsgivaren för att denne ska kunna utfärda ett intyg. Vid elektronisk underskrift med stöd av e-legitimation är använda- ren bunden till den elektroniska underskriften och behöver därför inte legitimera sig ytterligare. Vid kontroll av underskrift brukas användarens e-legitimation. Om underskriften överensstämmer med e-legitimationen är användaren bunden till den genom sin e- Om e-tjänsteleverantören inte på egen hand kan verifiera e-legitimationen, eller om e-legitimationen inte innehåller tillräcklig identitetsinformation, kan e-tjänsteleverantören begära identitetsintyg från lämplig identitetsintygsgivare som kontrollerar användarens e-legitimation och utfärdar identitetsintyg med de identitetsuppgifter som efterfrågas. Vid ett införande av en federationslösning och den samordning som delegationen i övrigt föreslår behöver ett antal övergripande frågor om bl.a. roller, organisatorisk form och ansvar klarläggas från juridiska utgångspunkter. En federationssamordnare avses fylla sådana övergripande och principiella funktioner att verksam- heten bör drivas av det allmänna. Detsamma gäller för samordningen i övrigt. Federationssamordnaren bör därmed utgöra en del av den samordningsfunktion som föreslagits. De grundläggande reglerna om federationssamordnaren och om hanteringen av identifiering, kontroll av elektroniska underskrifter och gemensamma elektroniska tjänster bör ges i förordning. Delegationen föreslår att en nämnd, , inrättas inom . Därför föreslås en reglering dels i förordningen (2007:780) med instruktion för , dels i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Uppräkningen i instruktion av ansvarsområden föreslås bli kompletterad så att ska svara även för frågor om samordning m.m. av myndigheternas hantering av elektronisk identifiering, elektroniska underskrifter och gemensamma elektroniska tjänster. Efter förebild av vad som gäller för föreslås även bestämmelser i samma förordning om nämndens sammansättning och beslutförhet m.m. (förslagen till 20 e–20 h §§) samt ändring i 24 a §. Delegationen föreslår att regleringen av den föreslagna nämndens beslutanderätt och uppgifter i övrigt ges i förordningen om statliga myndigheters elektroniska informationsutbyte. I den förordningen föreskrivs nu att myndigheter under regeringen i sin verksamhet ska främja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte inom den offentliga förvaltningen, att Verva får meddela föreskrifter i fråga om standarder eller liknande krav som ska vara gemensamma för elektroniskt informationsutbyte för myndigheter under regeringen och att Verva efter ansökan får besluta om undantag från föreskrifterna i det enskilda fallet om det finns särskilda skäl. Några föreskrifter om standarder eller liknande krav för interoperabilitet vid elektroniskt informationsutbyte har inte meddelats av Verva. Däremot har Verva utfärdat föreskrifter om statliga myndigheters arbete med säkert elektroniskt informationsutbyte (VERVAFS 2007:2) som i korthet innebär att myndighet i sitt arbete för ett säkert elektroniskt informationsutbyte ska tillämpa ett lednings- system för informationssäkerhet. Verva är avvecklat och det finns ingen myndighet som kan meddela de föreskrifter som anges i förordningen. Delegationen anser därför att nämnden ska få motsvarande rätt att meddela föreskrifter som Verva hade. Nämnden ska också få rätt att meddela föreskrifter om de villkor och liknande krav som gäller för elektroniska tjänster för identifiering m.m. samt föreskrifter om vem som får utfärda identitetsintyg. När den utarbetar föreskrifter ska nämnden förutom med också samråda med Myndigheten för samhällsskydd och beredskap. Delegationen föreslår vidare att rubriken till förordningen ändras till förordning om samordning av elektronisk identifiering och gemensamma elektroniska tjänster. I den föreslagna förordningen bör särskilda regler ges om att beslut i vissa frågor ska fattas av nämnden och vilka dessa uppgifter är. Delegationens författningsförslag behandlas också i avsnitt 4.8. De närmare regler som behövs på området, t.ex. för en federa- tionslösning – om bl.a. identitetsprofiler, identitetsintyg, register- hållare och anvisningstjänster – bör ges i föreskrifter. Därigenom kan regleringen från tid till annan smidigt anpassas till förändrade förutsättningar. Som exempel kan nämnas hur det i en föreskrift skulle kunna räknas upp vilka identitetsintygsgivare och vilka e- legitimationer som myndigheter godtar. De lösningar som tas i bruk för identifiering och elektronisk underskrift skulle dessutom – när så anses lämpligt – kunna sorteras utifrån säkerhetsnivåer och användningsområden liksom utifrån om de kan användas endast för att identifiera användare eller även för elektronisk underskrift eller för kontroll av juridisk behörighet. Införs en struktur där normgivningskompetensen på området delegeras till den föreslagna nämnden skulle federationssamordna- ren kunna utgöra en funktion under samordningsorganet för att bereda och samordna aktiviteterna på området för identifiering och När förslag till författningsreglering har utarbe- tats skulle federationssamordnaren lämna det för beslut till . I arbetet med att standardisera och i övrigt utveckla federations- lösningar brukar visserligen policydokument nämnas som den tänkta formen för att skapa regler för området. Det finns emellertid inga hinder mot att välja det för myndighetsområdet mera naturliga, att införa regler genom författning. På liknande sätt skulle det genom övergripande regler i förordning och en närmare reglering i myndighetsföreskrifter kunna anges vad som ska gälla för användare, identitetsintygsgivare, registerhållare, förlitande parter och anvisningstjänster. Ledning för detta arbete torde delvis kunna hämtas från vad som redan utförts inom det s.k. SAMSET- projektet; se den grundläggande vägledningen för myndigheternas användning av e-legitimationer och elektroniska underskrifter (e- nämnden 04:02). 7.6.6Juridisk struktur för en federationslösning En författningsreglering av en federationslösning behöver bygga på en allmänt accepterad juridisk syn på den roll identitetsintygsut- färdaren ska ha. Medan dagens utfärdare av e-legitimationer endast tillhandahåller legitimationer och tjänster för spärr och spärrkontroll så att förlitande part kan identifiera den som legi- timerar sig (och kontrollera att en elektronisk underskrift är äkta) avses identitetsintygsutgivaren lämna ett intyg i varje enskilt fall – efter kontroller – där förlitande part får besked om vem personen som identifierat sig är. Ett sådant intyg kan också innehålla andra uppgifter, t.ex. om juridisk behörighet eller roll som läkare. Används en vanlig struktur för e-legitimationer ska en förlitan- de myndighet ha slutit avtal med de aktörer som erbjuder spärrkontroll av e-legitimationer som myndigheten godtar; dvs. , Nordea och endera av eller för Bank-ID. Stöd för detta ges genom de ramavtal som slutits och från vilka myndigheterna kan avropa tjänster och avtala om dem i enlighet med villkor från upphandlingen. I praktiken brukar myndigheterna dessutom utkontraktera hela hanteringen så att en underleverantör i myndighetens namn utför de kontroller som ska göras vid legitimering (jfr. Något förenklat kan avtalsrelationerna alltså se ut så att som tillhandahåller en e-tjänst har slutit avtal med en bank, t.ex. får att få tillgång till de e-legitimationer som kallas BankID samt med Nordea och . Denna hantering kan förenklas genom tjänster som bygger på federationsteknik och identitetsintyg. I praktiken torde emellertid sådana förenklingar ha skett så att identitetsintygsgivaren juridiskt fungerat endast som en underleverantör till förlitande part. Den förlitande parten ersätter därmed egna kontrollåtgärder med kontroller som underleverantören utför för förlitande parts räkning. Underleverantören använder det tekniska stöd som en identitetsintygsgivare avses använda, byggt på identitetsintyg enligt en standardiserad lösning. Dagens juridiska strukturer synes emellertid inte ge en identitetsintygsgivare någon självständig roll som utfärdare i juridisk mening av intygen. Såvitt vi har kunnat finna finns det inte heller federations- samordnare () i ; jfr hur teorins Policy-CA, som skulle ha motsvarande samordnande och godkännande funktion för under- ordnade CA, inte omsatts i några praktiska lösningar. I stället för att varje förlitande myndighet ska sluta avtal med respektive utfärdare av e-legitimationer som myndigheten godtar bör enligt vårt förslag en enda samordnande myndighet – Skatte- verket – sluta dessa avtal inom ramen för ett under verket inrymt samordningsfunktions verksamhet. Vi föreslår att verket därefter – i egenskap av underleverantör – ska tillhandahålla funktioner för identifiering och kontroll av elektronisk underskrift åt anslutna myndigheter. Hit bör också höra anvisningstjänster och tjänster för att få uppgifter från registerhållare. För att undgå komplexa avtal mellan förlitande myndigheter och – eller överenskommelser mellan myndigheter som utgör samma juridiska person – bör dessa mellanhavanden regleras i författning. Samordningsfunktionens roll blir här att förse anslutna myndigheter med identitetsintyg, antingen genom att själv agera som identitetsintygsgivare () eller genom att från privaträttsliga identitetsintygsgivare upphandla tjänsten att lämna identitetsintyg till samordningsfunktionen, som i sin tur ska lämna dem vidare till respektive förlitande myndighet enligt regler som föreslås i författning; se följande figur. Underleverantör till förlitande myndigheter spärrkontroll (eID) Stort antal Myndigheter med e-tjänster För att en lösning av detta slag ska kunna bli verklighet behöver , som framgår av figuren ovan, upphandla olika funk- tioner – bl.a. förlitandetjänster av e-legitimationsutfärdare (som en fortsättning av dagens lösning) och tjänster av identi- tetsintygsgivare (), i den mån inte också tillhanda- hålla en egen IdP som betjänar myndigheter. I praktiken kan det, i avvaktan på att en sund marknad växer fram på området, komma att krävas att – utöver att fungera som federationssamordnare () – , även kan behöva agerar som identitetsintygsgivare () åt övriga myndigheter. Det har inte inom den tid som stått till vårt förfogande varit möjligt att i detalj klarlägga vilka föreskrifter och avtal som behövs för denna nya infrastruktur. Förslag ska emellertid ges till grundläggande regler i förordning, som bygger på det synsätt som redovisas i det följande. Identitetsintygsgivarens ska – i anknytning till att ha utfört erforderliga kontroller – gå myndigheter till handa med att i intyg bestyrka identitet eller elektronisk underskrift eller bekräfta att en person är behörig att vidta vissa tjänsteåtgärder, har en viss tjänsteställning eller kompetens eller är behörig att företräda någon annan. Dessa formuleringar, som delvis är hämtade ur lagen (1981:1363) om publicus, tydliggör den roll vi föreslår för identitetsintygsgivare (). En sådan intygsgivare avses alltså fylla motsvarande funktion som den publicus har tilldelats enligt författning, nämligen att gå allmänheten tillhanda med officiella bevis om vissa faktiska föhållanden.25 En skillnad är visserligen att en juridisk person inte kan förord- nas till publicus – rollen som IdP är tänkt att fullgöras av juridisk person (myndighet eller privaträttsligt subjekt) – en annan att det i allt väsentligt blir fråga om helt automatiserade kontroller där intyg förses med en elektronisk stämpel. Den juridiska modellen blir emellertid i allt väsentligt densamma och det kan inte uteslutas att en identitetsintygsgivare i undantagsfall, när en funktion fallerat eller ifrågasatts, kan behöva utföra åtgärder och upprätta elektroniskt underskrivna intyg eller intyg på papper. 25 Genom förordningen (1982:327) om publicus säkerställs dessutom att det finns tillgång till sådana befattningshavare (de förordnas av ) och att de som för- ordnas har tillräcklig kompetens och är lämpliga för uppdraget. Det föreskrivs också att publicus skall fullgöra sitt uppdrag med redlighet, noggrannhet och opartiskhet och inte får befatta sig med ett ärende, om det angår honom själv eller om någon annan särskild omständighet föreligger som är ägnad att rubba förtroendet till hans opartiskhet. Genom att beskriva identitetsintygsgivare som en slags mot- svarighet till publicus och knyta an till de rättsregler om gäller för publicus verksamhet kan införandet förenklas som beskrivningar av funktionen underlättas. Vid avgörandet av vilka som myndigheterna ska godta som identitetsleverantörer enligt systemet för federationer respektive som utfärdare av e-legitimationer enligt en användning mot- svarande dagens system för PKI uppkommer frågan om federa- tionssamordnarens (Fo) roll. Här kan affärsmodellen inverka på så sätt att dagens system förutsätter förlitandeavtal medan ett in- förande av kvalificerade certifikat enligt signaturlagen ska ske inom ramen för ett öppet system; dvs. att förlitande parter inte har avtal med utfärdaren. Även fortsättningsvis finns det skäl att anta att , den myndighet under vilken samordningsfunktionen inordnas, kommer att sluta förlitandeavtal med de allra flesta aktörerna. avses dock kvalificerade certifikat och andra lösningar som är öppna för förlitande part godtas även på myndighetsområdet. Federationssamordnarens roll bör här vara att utarbeta regler för bedömningen av om myndigheter ska godta en identitetsintygsgivare eller en utfärdare av e-legitimationer. De som godtas bör räknas upp i en myndighetsföreskrift. Federationssamordnaren bör även utarbeta regler för identitets- profiler och anvisningstjänster samt verka för generella lösningar för behörighetskontroller m.m. – i samverkan med registerhållare – som kan utformas så att kontrollerna kan automatiseras och göras förenliga med gällande rätt. Under ett inledande skede behöver det, som framgått, inrättas en identitetsintygsgivare i offentlig regi, i syfte att kunna etablera dessa rutiner utan att avvakta att en marknad växer fram för sådana tjänster. Till bilden hör som framgått, att användning av lösningar för federationer synes ha begränsats till att identitets- intygsgivaren () juridiskt fungerar endast som underleverantör till förlitande part, inte som någon som intygar uppgifter på mot- svarande sätt som t.ex. publicus. För att få en praktiskt gångbar lösning till stånd nu bör det allmänna gå före genom att utforma och införa konkreta lösningar. Genom e-tjänstelegitimationer kan personnummer ut- mönstras ur e-legitimationer som används i tjänsten. Förutsättningar ges också för företag och myndigheter att ansöka om elektroniska legitimationshandlingar för sina anställda och uppdragstagare, förse dem med sådana legitima- tioner, sätta upp ramar för hur de får användas och vid behov spärra dem. E-tjänstelegitimationer utformas så att de kan användas inom hela den offentliga sektorn och näringslivet. De anpassas också för en federationslösning, som ska kunna ge stöd även för juridisk behörighetskontroll. Det har gjorts flera försök att få e-tjänstelegitimationer att fungera på ett samordnat sätt inom myndigheter och företag. Med e- tjänstelegitimation menas i Kammarkollegiets förstudie organisa- tionslegitimering en e-legitimation som knyts till en organisation (med namn och organisationsnummer) och till en fysisk person (med namn och unikt beteckning). Förlitande part behöver i många fall veta inte bara vem en användare är utan även om denne är behörig att agera för t.ex. ett visst aktiebolags eller en viss myn- dighets räkning. En samordnad syn på sådana elektroniska förfaranden har visat sig svårare att finna än för identifiering och underskrift för egen räkning med personlig e-legitimation. Betydande insatser har gjorts för att utarbeta begrepp och administrativt relaterade beskrivningar. Kammarkollegiet har an- vänt uttrycket organisationslegitimering men kallat själva legitima- tionen för Svensk tjänstelegitimation. I andra sammanhang har bl.a. uttrycket organisationslegitimation – med eller utan personan- givelse – använts. Bakom dessa begrepp döljer sig komplexa frågor om bl.a. juridisk behörighet att företräda annan och fördelning av risk vid vilseledanden.26 Dessutom finns ett antal tekniska 26 Dessa frågor har berörts av SAMSET i en rapport , Elektroniska företags- legitimationer – förenklade förfaranden. Det har visat sig svårt att enas kring begrepp så länge det är oklart vilka frågor som ska lösas med e-tjänstelegitimation. Tre behov har varit föremål för särskilda diskussioner. Ett första behov är att e-tjänstelegitimationen krävs för att utmönstra person- nummer ur de e-legitimationer som används i tjänsten så att tjänstemän m.fl. ska kunna skriva under handlingar utan att deras personnummer därigenom exponeras. Ett andra behov är att e- tjänstelegitimationen i sig, genom kompletterande information i själva legitimationen, ger stöd för förenklade, automatiserade rutiner så att förlitande part kan dels kontrollera att innehavaren är juridiskt behörig att agera för det i legitimationen angivna organets räkning. Ett tredje behov är att företag och myndigheter för sina anställda och uppdragstagare ska kunna ansöka om elektroniska legitimationshandlingar, förse berörda personer med sådana legitimationer, sätta upp ramar för hur de får användas och ges rätt att spärra legitimationen, t.ex. när anställningen eller uppdraget upphört. Här behövs en helhetssyn där behoven av såväl persondataskydd som behörighetskontroller och en fungerande administration av legitimationer som används i tjänsten kan tillgodoses så att e- tjänster fungerar på ett smidigt och juridiskt korrekt sätt. 7.7.2Ändrade förutsättningar till följd av en federationslösning Genom en federationslösning ändras förutsättningarna för och behoven av e-tjänstelegitimationer. Federationslösningar för näm- ligen med sig att olika typer av e-legitimationer – med eller utan personnummer – kan användas för att identifiera individer mot berörda e-tjänster genom ett enhetligt gränssnitt, all den information om en användare som krävs för att an- vändaren ska få bruka en e-tjänst inte måste finnas i den e- legitimation som brukas för legitimering eller underskrift – identitetsintygsgivaren () kan, efter att ha identifierat användaren, tillföra uppgifter om individen i det intyg som lämnas till förlitande part, t.ex. uppgifter om behörighet hämtade från aktiebolagsregistret eller något annat sådant register, och flexibla reservförfaranden kan införas, med stöd av tjänster som identitetsintygsgivaren tillhandahåller, som innebär att en användare kan agera även vid tillfällig eller permanent förlust av en e-legitimation. Den elektroniska legitimationens användbarhet inom ramen för en identitetsfederation bestäms av bl.a. den förtroendenivå som e-legitimationen erbjuder, vilka identitetsintygsgivare som kan verifiera e-legitimationen, hur tillförlitligt identitetsintygsgivaren kan knyta identitets- attribut som e-tjänsten behöver till e-legitimationen, vilken exponering av personuppgifter – t.ex. av personnummer – som följer med en användning av den aktuella e-legitimationen, vilket stöd som ges för att kontrollera innehavarens juridiska behörighet att företräda annan, och om reservförfaranden medger att användaren kan utföra sina arbetsuppgifter även om e-legitimationen gått förlorad. Inom en öppen infrastruktur skulle Identitetsintygsgivare kunna erbjuda identitetsintyg av olika slag för att uppgifter som behövs för de kontroller som krävs i e-tjänster ska kunna lämnas. De intygsgivare som godtas måste dessutom vara betrodda och ha förmåga att både kontrollera använda e-legitimationer och lämna de uppgifter som tillhandahållaren av en e-tjänst efterfrågar. En personlig e-legitimation kan erbjuda den funktionalitet som behövs för legitimering i e-tjänster. behövs emellertid ett ökat skydd för den personliga integriteten, särskilt som användningen och spridningen av personnummer kan bli utbredd. Införande av e-tjänstelegitimationer utan personnummer är ett alternativ. Mot en sådan lösning måste emellertid ställas att användningen av e-tjänster kan kompliceras när personnummer inte finns med i e-legitimationerna, men behövs i en e-tjänst för att den ska fungera så som avsetts. I sådana fall behövs funktioner för att knyta alternativa identitetsuppgifter till användare; jfr hur det inom hälso- och sjukvården har införts s.k. primärcertifikat med personnummer och sekundärcertifikat med en ren organisations- relaterad identitet. Här för federationslösningar med sig nya möjligheter genom de identitetsintyg som utfärdas vid varje identifieringstillfälle. Intygens innehåll kan anpassas så att de endast innehåller de identitetsuppgifter som behövs i e-tjänsten. Skulle t.ex. person- nummer inte behövas kan det utelämnas i identitetsintyget även om personnummer ingår i den e-legitimation som använts av identitetsintygsgivaren för att identifiera individen. Identitetsintygsgivaren kommer härigenom att fylla en viktig och känslig funktion från bl.a. tillförlitlighets- och persondata- skyddssynpunkt. Om denne ska kunna tillföra identitets- eller behörighetsuppgifter som inte ingår i den e-legitimation som an- vändaren legitimerat sig med måste uppgifter från register kunna kopplas till uppgifter i användarens e-legitimation och föras in i identitetsintyg. Finns uppgifter om t.ex. organisations- eller per- sonnummer inte i e-legitimationen kan denna koppling behöva skapas genom särskilda register och flera identitetsintygsgivare kan behöva föra eller ha tillgång till sådana register. I praktiken kan det visa sig vara ett svårlöst problem att knyta viktiga identitetsuppgifter så som personnummer och organisa- tionstillhörighet till en användare om inte dessa ingår i användarens e-legitimation. Det behöver också övervägas i vilka situationer det kan godtas att uppgifter om användaren, som inte ingår i använd- arens e-legitimation, lämnas ut. Den organisation som användaren knyts till i e-tjänstelegitimationen kan komma att tillhandahålla vissa uppgifter, t.ex. om vilka medarbetare som ska ha rätt identifiera sig elektroniskt med anknytning till organisationen. Frågor om behörighet och hur de bör lösas i elektronisk miljö blir här av intresse. I juridiska sammanhang menas med behörighets- kontroll en kontroll av att den som agerar har rätt att med bindande verkan rättshandla för en viss huvudman; i det följande kontroll av juridisk behörighet. I teknisk mening avser behörig- hetskontroll istället kontroll av tillgång till en organisations IT- resurser; i det följande åtkomstkontroll.