sou · GYB3104 · 2010-12-23 00:00:00 — 1.98E-tjänsteleverantören hanterar frågor om identitet och attribut med stöd av uppgifter i intyg utfärdade av identi- tets- och attributsutfärdare som är anslutna till Infra- strukturen för Svensk e-legitimation. 1.99E-tjänsteleverantörer som är anslutna till Infrastrukturen för Svensk e-legitimation bör normalt godta identitets- och attributsintyg från anslutna utfärdare, om det inte finns skäl för en annan bedömning i ett ärende. E-tjänste- leverantören bedömer vilken tillitsnivå som krävs. 1.100 Om det i det enskilda fallet finns skäl att kontrollera den autentisering som identitetsutfärdaren utfört får myndig- heten begära ytterligare uppgifter från identitetsutfärdaren eller begära att användaren ska bekräfta uppgiften om identitet eller den elektroniskt underskrivna handlingen. Av 10 § tredje stycket förvaltningslagen (1986:223), 44 § tredje stycket förvaltningsprocesslagen (1971:291) och 33 kap. 3 § tredje stycket följer att behöriga handläggare från fall till fall får avgöra om en elektroniskt undertecknad eller stämplad handling ska godtas eller om en bekräftelse ska inhämtas. 1.101 Kontroller som e-tjänsteleverantören inte utför automati- serat ska utföras av behöriga handläggare hos e-tjänste- leverantören. Interna regler för e-tjänsteleverantören 1.102 En e-tjänsteleverantör som är ansluten till Infrastrukturen för Svensk e-legitimation bör ha interna regler om hur identifiering, äkthetskontroll och kontroll av attribut utförs. 1.103 En elektronisk underskrift ska presenteras i anknytning till den text som skrivs under, så att underskriftens innebörd framgår av sammanhanget, på samma sätt som vid under- skrift på traditionellt sätt. Behövs skriftlig information om denna innebörd, t.ex. en angivelse av en fullständig firma vid firmateckning enligt 26 § firmalagen (1974:156), bör detta anges i den text som undertecknas. 1.104 Presenteras flera underskrifter på samma sida eller presenteras en underskrift så att det finns risk för att läsaren missförstår vilken text som undertecknats bör åtgärder vidtas för att förenkla och förtydliga läsarens tolkning av det som presenteras. Detsamma gäller om både skyddad och oskyddad text presenteras tillsammans. Rutiner för att ta emot, expediera, presentera, hantera och långtidslagra elektroniska handlingar 1.105 En myndighet som tar emot eller ställer ut undertecknade elektroniska handlingar ska säkerställa att de krav som de kryptografiska rutinerna för med sig beaktas från arkiv- synpunkt. I föreskrifter finns bestämmelser om framställning, hantering, förvaring och skydd av allmänna handlingar. 1.106 Myndigheter bör tydligt anvisa de mottagningsställen där myndigheten tar emot elektroniska handlingar. [Detta behövs dock inte inom ramen för t.ex. webbformulär och webbtjänster där adresseringen till mottagande myndighet sker automatiskt.] 1.107 Kvittenser bör utfärdas. Kvittenser och andra bekräftelser från myndigheter bör utformas så att det inte finns risk för att mottagaren vilseleds om vad som har undertecknats eller stämplats. 1.108 Utfärdare av Svensk e-legitimation, identitets- och attributsutfärdare och e-tjänsteleverantörer får inom Infrastrukturen för Svensk e-legitimation inhämta personuppgifter endast direkt från den som uppgifterna avser eller med dennes uttryckliga samtycke och endast i den utsträckning som det är nödvändigt för att utfärda eller upprätthålla funktioner för e-legitimationer och identitets- och attributsintyg. Uppgifterna får inte samlas in eller behandlas för andra ändamål utan uttryckligt samtycke från den som uppgifterna avser. 10.Bevarande, säkerhet och tillsyn 1.109 E-tjänsteleverantörer, identitets- och attributsutfärdare ska tillämpa ett ledningssystem för informationssäkerhet. Detta innefattar bl.a. att 1)upprätta en informationssäkerhetspolicy och andra styrande dokument som behövs för informations- säkerheten, 2)utse en eller flera personer som leder och samordnar arbetet med informationssäkerhet, 3)klassificera sin information med utgångspunkt i krav på sekretess, riktighet, tillgänglighet och spårbarhet, 4)utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur risker ska hanteras, samt besluta om åtgärder för aktörens informationssäkerhet, 5)dokumentera vidtagna granskningar och säkerhetsåtgärder av större betydelse. 1.110 Ledningen inom en e-tjänsteleverantör, identitets- eller attributsutfärdare ska löpande informera sig om arbetet med informationssäkerhet samt minst en gång följa upp och utvärdera detta arbete. 1.111 E-tjänsteleverantör och identitets- och attributsutfärdare ska bedriva sitt arbete enligt 1.109 och 1.110 i former enligt följande etablerade svenska standarder för informations- säkerhet; 1)Ledningssystem för informationssäkerhet – Krav (SS-ISO/IEC 27001: 2006 fastställd ), och 2)Riktlinjer för styrning av informationssäkerhet (SS-ISO/IEC 27002:2005 fastställd ). 1.112 Revision och rapporteringsskyldighet1. 1 Utredningen arbetar vidare med att ta fram ett förslag till slutrapporten. Förslag till riktlinjer för federationsoperatörer Dessa förslag till riktlinjer för federationsoperatörer är tillämpliga för aktörer som avser tillhandahålla en identitetsfederation under regelverk för identitetsfederationer inom ramen för Infrastrukturen för Svensk e-legitimation. En identitetsfederation består av ett antal leverantörer av identitetstjänster (identitetsutfärdare) och förlitande parter (e- tjänsteleverantörer) som samverkar inom ramen för vissa regler, standarder och tekniska lösningar så att identitetsutfärdare kan tillhandahålla trovärdig identitetsinformation till förlitande parter. Medan en identitetsfederation med några få aktörer kan bygga på att alla deltagare ingår avtal med alla andra som deltar, måste en stor identitetsfederation styras av en federationsoperatör som kan samordna viktiga standarder, tillhandahålla grundläggande tjänster till alla deltagare i federationen och sluta avtal så att avtalsfloran begränsas. I detta dokument ges förslag till riktlinjer för en federations- operatör som ska svara för en identitetsfederation för e-legitima- tioner i . Begreppet e-legitimation används här som en samlingsbeteckning certifikat, säkerhetsdosor eller andra sådana identifieringslösningar som uppfyller kraven för anslutning till den svenska modellen för legitimering och underskrift i elektronisk miljö. Federationsoperatören upprätthåller ett ramverk för tillit som deltagarna i federationen är beroende av och ska bestämma regler och tekniska standarder för den som är ansluten till federationen, bl.a. för hur -e-legitimationer utfärdas och hanteras; -användares personliga integritet ska skyddas, tillhandahålla regler för certifiering av deltagare i federationen, och samla in och tillhandahålla uppgifter som beskriver deltagares tjänster och tillhandahålla information och nycklar för säkert informationsutbyte och identifiering av federationens medlemmar (s.k. metadata). Utöver dessa grundläggande uppgifter för att skapa tillit till federationen ska federationsoperatören tillhandahålla stöd för att lösa frågor när aktörerna inte är eniga (tvistlösning) och att testa överensstämmelse med tekniska normer och förmågan att samverka (s.k. interoperabilitet), upphandla och sluta avtal om vissa tjänster som ska vara tillgängliga för anslutna till Svensk e-legitimation. För att federationsoperatören ska kunna utföra alla dessa uppgifter på ett effektivt sätt måste denna ha resurser, personal och förmåga att ingå de avtal och bestämma de regler för identitetsfederationen som faller inom ramen för federationsoperatörens kompetens. 3 Dokumentation och processer ska drivas i enlighet med bestämda regler och standarder för anslutning och användning. ett regelverk för identitetsfederationen som ska -definiera klasser av anslutna till federationen, såsom identitetsutfärdare, e-tjänsteleverantörer och vissa attributsutfärdare, -ange operativa rättigheter och skyldigheter för anslutna, -reglera deltagande i och ansvar för federationen, -bestämma en process för hur säkerhetsincidenter ska hanteras inom federationen, dokument som anger krav eller ger vägledning för anslutna till federationen beträffande de tekniska lösningar och de förfaranden och processer som anslutna ska använda för att delta i federationen; bl.a. ett tillitsramverk som anger -processer för att kontrollera användares identitet; -metoder och faser genom olika stadier av e- legitimationers livscykel för förvaring och skydd av dem, en tvistlösningsmekanism för anslutna till federationen, krav på informationssäkerhet i anslutna e-tjänste- leverantörers tjänster och skydd för personuppgifter och sekretess, -protokoll som ska stödjas vid informationsutbyte inom federationen, -attribut som kan ingå i identitets- eller attributsintyg; -metadata och åtkomst till sådana, -anvisningstjänster för att finna tjänster inom federationen, regler och förfaranden för att kontrollera att den som är ansluten till federationen följer de regler, processer och specifikationer som gäller för anslutna, avtal för anslutna till Svensk e-legitimation 4 Ansökan om deltagande Federationsoperatören ska verka inom ramen för regler för att definiera och hantera ansökningar om deltagande i federationen. Ett grundläggande del i identitetsfederationen är att utarbeta regelverk och tekniska och operativa krav så att anslutna har förtroende för federationen. För identitetsutfärdare innefattar detta krav på identifiering av användare, utfärdande av e- legitimationer, e-legitimationers kvalitet och hantering samt säker lagring och kommunikation av identiteter och annan information. Detta arbete ska säkerställa en korrekt hantering av information och skydd för användares personliga integritet. 5.2 Samordning av regelverk och riktlinjer Om en identitetsutfärdare som ska anslutas till identitets- federationen redan har fastställda regler för identitetshantering, kan det dessa regler och hur de förhåller sig till reglerna för federationen kartläggas. Federationsoperatören ska i samverkan med identitetsutfärdaren svara för denna kartläggning. 5.3 Teknisk interoperabilitet och testning Alla autentiseringsmekanismer och protokoll som används inom identitetsfederationen bör testas för att se till att de fungerar bland dem som är anslutna. Då protokoll som används för att förmedla information om identitet och tillitsnivå är avgörande för federationens funktion bör federationsoperatören definiera hur dessa protokoll ska testas för driftskompatibilitet, inklusive tester för e-tjänsters svar på felaktigt införande av protokoll hos identitetsutfärdare eller i attributstjänster. Även protokoll för distribution av metadata och respons vid felaktiga metadata bör testas. 6 Förhandlingar om avtal Avtal om deltagande i identitetsfederationen ska ingås mellan federationsoperatören och de som ansluts. Dessa avtal ska vara likvärdiga för alla anslutna. Behörighetshantering med stöd av attribut Behörighetshantering med stöd av attribut ......................... Funktioner med olika användningsområden........................ Juridisk behörighet – en granskning i flera led .................... Åtkomstkontroll och inre sekretess – gränsdragningar ...... Behovet av kontroll – olika nivåer ........................................ Riskfördelning enligt lag ............................................ Ett balanserat risktagande .......................................... Processen för granskning och samverkan ............................ En samordnad hantering av Attributsintyg.......................... En samordning kräver fortsatta analyser.............................. 1.1Funktioner med olika användningsområden Till den föreslagna Infrastrukturen för identifiering hör också hanteringen av attribut. Medan en beskrivning av Identitetsintyg och hur de används är relativt enkel att göra, i vart fall på ett övergripande plan, blir variationsmöjligheterna många så snart en samordnad infrastruktur för hantering av attribut ska övervägas för hela den offentliga sektorn. Även små myndigheter behöver smidigt kunna integrera, använda och administrera inte bara rena Identitetsintyg utan även intyg med attribut. Härvid uppkommer emellertid en spännvidd i juridiska och tekniska krav som saknar motsvarighet på området för identifiering och som inte kunnat genomlysas i erforderlig omfattning inom ramen för utredningens begränsade uppdrag. I det följande ska dessa varierande förutsättningar belysas med exempel från hantering av registerutdrag och hälso- och sjukvårdens behov av attribut. 1.2Juridisk behörighet – en granskning i flera led En juridisk person kan inte agera själv – det krävs att organ såsom styrelse, verkställande direktör, befullmäktigade ombud eller liknande utför rättshandlingar för den juridiska personens räkning. Korrekta bedömningar förutsätter en genomgång i flera led – en slags process – som är allmänt vedertagen i pappersmiljö. Den består normalt av följande led. Vilken fysisk person har företagit rättshandlingen? Här används underskrifter, legitimations- handlingar, m.m. för att knyta en fysisk person till rättshandlingen. Har personen agerat för egen eller för annans räkning? I vems namn har rättshandlingen företagits? Här används t.ex. firmateckning för att klargöra att åtgärden vidtagits i egenskap av företrädare för annan. Är den som agerat som företrädare för annan behörig att företa rättshandlingen? Här används registreringsbevis (utvisande t.ex. firmateckningsrätt), fullmakter o.l. En fullständig granskning av ovan nämnda omständigheter i varje enskilt fall blir tungrodd. I traditionell miljö har därför förenklade förfaranden vuxit fram, t.ex. att för vissa mindre transaktioner godta en persons uttryckliga eller underförstådda påstående om behörighet. Med en e-legitimation kan endast första steget i processen kontrolleras; dvs. (1) vilken fysisk person som agerar. Av e-legi- timationen framgår inte om innehavaren (2) avser att agera för egen eller för annans räkning eller (3) är behörig att företräda en upp- given huvudman vid rättshandlingar. Det är vanligt att tvister uppstår beträffande frågan om en viss rättshandling har företagits för egen räkning (t.ex. när ett bolag, som alternativt skulle kunna ses som huvudman, har försatts i konkurs) eller som företrädare för ett företag (vilket till skillnad från den fysiska personen har förmåga att betala). 1.3Åtkomstkontroll och inre sekretess – gränsdragningar Liknande frågor om roller och egenskaper uppkommer inom ett organ. Varje myndighet och varje företag av någon storlek styr numera åtkomsten till och rättigheter i egna informationssystem genom s.k. behörighetskontrollsystem (BKS). Föreskrifter om sådana begränsningar – i vissa sammanhang kallad inre sekretess – finns i patientdatalagen (2008:355; PDL), för vårdgivare. Här är det avgörande om en person är t.ex. läkare eller sjuksköterska och om personen deltar i vården av en viss patient eller av annat skäl behöver uppgifter om patienten för sitt arbete inom hälso- och sjukvården.1 Begreppet behörighet används emellertid även i det sammanhanget och enligt 4 kap. 2 § PDL ska en vårdgivare bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Härvid föreskrivs att behörigheten ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. När sådan åtkomstkontroll införs blir det alltså inte fråga om kontroll av om en person i juridisk mening är behörig att före- trädare ett rättssubjekt (t.ex. ett annat aktiebolag eller en annan myndighet). Det blir istället fråga om att begränsa åtkomsten till uppgifter och resurser i informationssystem inom en och samma 1 Enligt 4 kap. 1 § PDL får den som arbetar hos en vårdgivare ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. vårdgivare.2 aktualiseras emellertid en slags behörighets- kontroll, dels genom att ett landsting eller en kommun som be- driver hälso- och sjukvård genom flera myndigheter får ha direktåtkomst till personuppgifter som behandlas av någon annan sådan myndighet i samma landsting eller kommun (5 kap. 5 § PDL), dels genom att en vårdgivare under vissa förutsättningar får ha direktåtkomst till personuppgifter som behandlas av andra vårdgivare (6 kap. 1 § PDL). Här aktualiseras alltså två olika typer av direktåtkomst – den ena inom en vårdgivare, den andra mellan vårdgivare. För den senare typen av direktåtkomst krävs enligt huvudregeln att patienten lämnat sitt samtycke, att uppgifterna rör en patient som det finns en aktuell patientrelation med och att åtkomsten kan antas ha betydelse för att förebygga, utreda eller be- handla sjukdomar och skador hos patienten inom hälso- och sjukvården. Skillnaden mellan dessa olika typer av kontroller är alltså betydande. Endast några få personer ges juridisk behörighet att företräda en juridisk person medan åtkomstkontroller införs för alla anställda och uppdragstagare som ska ges åtkomst till informa- tionssystem. En annan skillnad är att juridisk behörighet vanligtvis bestäms grovmaskigt; jfr att styrelsen enligt 8 kap. 39 § aktie- bolagslagen (2005:551; ABL) får föreskriva att rätten att företräda bolaget och teckna dess firma får utövas endast av två eller flera personer i förening medan andra inskränkningar i en firma- tecknares rätt att teckna bolagets firma inte får registreras. Denna grova avgränsning bör ställas mot åtkomstkontroll till informa- tionssystem där användarnas rätt till åtkomst vanligtvis ges en finmaskig utformning. Till detta kommer regleringen i patientdatalagen som innehåller en blandning av krav på åtkomstkontroll inom respektive mellan myndigheter och andra organ och krav på en slags juridisk behörig- hetskontroll mellan olika organ. Det finns risk för att dessa variationer i reglering och i hantering av åtkomst- respektive behör- ighetskontroller missförstås när tekniska och administrativa lösningar ska utarbetas för bl.a. Identitets- och Attributsintyg. System för åtkomstkontroll ger alltså – utanför hälso- och sjukvårdsområdet – endast ett inre skydd som, till skillnad från juridisk behörighetskontroll, inte visar om en person äger rätt att 2 Här finns också föreskrifter om att patienter får motsätta sig att personal vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare gör personuppgifter som dokumenterats för vårdändamål tillgängliga genom elektronisk åtkomst (4 kap. 4 § PDL). företräda annan vid rättshandlingar. Attributsintyg bör primärt ut- formas med tanke på juridiska behörighetskontroller. Det finns emellertid inget hinder mot att dessa Identitets- och Attributsintyg – när det visar sig lämpligt – används även inom en och samma juridiska person, t.ex. en vårdgivare, för att styra anställdas och uppdragstagares åtkomst utifrån relevanta attribut. Dessa an- vändningsområden får emellertid inte blandas samman. Dessa grundläggande skillnader kan därmed beskrivas så att det vid juridisk behörighetskontroll ska granskas om en person har sådan rätt att agera (t.ex. är ställföreträdare eller fullmäktig för ett aktiebolag) att den som företräds (i detta exempel aktie- bolaget) blir juridiskt bunden, t.ex. av avtal eller andra åtaganden, men vid åtkomstkontroll ska granskas om personen har rätt att få till- gång till uppgifter eller andra resurser i informationssystem, och inom hälso- och sjukvården utförs kombinationer av kontroller för vilka en omfattande särreglering införts. Utvecklingen av en Infrastruktur för Svensk e-legitimation får inte blandas samman med det utvecklingsarbete som utförs i annan ordning, t.ex. inom hälso- och sjukvården för att uppfylla patientdatalagens krav. bör visserligen skapa förutsättningar för att de lösningar för identifiering och behörighetskontroller, som redan införts inom t.ex. hälso- och sjukvården, ska kunna tas tillvara även inom en ny Infrastruktur för identifiering. Åtkomstkontroll får härvid inte blandas ihop med juridiska behörighetskontroller. De måste också hållas isär från särskilda kontroller som krävs för att uppfylla patientdatalagens krav. Juridiska behörighetskontroller bör inom Infrastrukturen för iden- tifiering kunna hanteras så att en Användare först legitimerar sig med e-legitimation och att E-tjänsteleverantören – efter att ha granskat identitetsintyget – ställer en attributsintygsfråga till en utfärdare inom Infrastrukturen för identifiering. För att förenkla framställningen utgår vi i det följande från att det är ett aktiebolag som den identifierade personen påstår sig företräda och att det är som ska lämna ett utdrag ur aktiebolagsregistret. Lösningen kan utformas så att ställer ut Attributs- intyg med registerutdrag, som skyddas mot förfalskningar och andra angrepp med stöd av de infrastrukturcertifikat som tillgängliggörs i utfärdar- och e-tjänsteregistren för var och en som är ansluten. E-tjänsteleverantören kontrollerar, i egenskap av förlitande part, dels att Attributsintyget är äkta, dels att uppgifterna visar att angiven person är behörig att företräda angivet aktiebolag. E-tjänsteleverantörer bör ges möjlighet att tolka behörighetsinformationen såväl automatiserat (i maskinläsbar form) som manuellt (i vanlig läsbar form på t.ex. bildskärm eller i form av en utskrift). Det är emellertid inte uppgift att tillhandahålla sådant stöd och behovet av stöd varierar från E- tjänsteleverantör till E-tjänsteleverantör. En myndighet som behöver göra många kontroller av juridisk behörighet, t.ex. , bör införa en automatiserad funktion för juridisk behörighetskontroll med stöd av Attributs- intyg. Ansvars- och riskfördelningen kan bli densamma som genom att endast lämnar registerutdrag. E-tjänste- leverantören (förlitande part) får därefter bedöma om de uppgifter som lämnats i utdraget ger tillräckligt underlag för att Användaren ska anses behörig att logga in eller skriva under i egenskap av före- trädare för aktiebolaget. På samma sätt som får alltså E- tjänsteleverantören bedöma t.ex. om e-tjänsten endast används för sådant som utgör löpande förvaltningsåtgärder enligt 8 kap. 36 § ABL, så att den verkställande direktören är behörig att agera för bolagets räkning även om denne inte har ensam firmateckningsrätt. Det bör vidare krävas att varje e-tjänst utformas så att Användaren otvetydigt måste ange om tillträde, uppgiftslämnande, underskrift eller andra åtgärder i en e-tjänst utförs för egen eller för annans räkning och vem det är som i så fall företräds. En lösning för automatiserade kontroller bör förenas med an- passningar för mindre myndigheter, antingen så att intyg kan granskas och bedöms manuellt eller så att de ges ett förenklat innehåll, t.ex. att en kod lämnas utifrån en klassificering som stöder så att maskinella kontroller kan förenklas. En viss siffra i ett fält kan t.ex. visa att en individ (angiven med person- nummer) är behörig att ensam teckna bolagets (angivet med organisationsnummer) firma. För att inte riskera att rubba dagens ansvarsfördelning mellan och den som litar på ett registerutdrag (här E-tjänste- leverantören) skulle sådana koder kunna införas enligt specifikationer som tillkommer efter samråd med berörda aktörer och fastläggs av , t.ex. i en myndighetsföreskrift för tjänsten, där det framgår vad koderna står för och klargörs att förlitande part själv får bedöma vilken verkan dessa uppgifter kan anses ha vid en juridisk behörighetskontroll. En sådan hantering bör kunna utformas så att den blir tekniskt enkel att införa och använda. Den torde inte heller förutsätta några ändringar i lag eller förordning eftersom den endast innebär att lämnar utdrag ur sina register. Utmaningen blir istället att finna en samsyn kring detaljer så att lösningen kan införas på ett samordnat och enhetligt sätt. 1.5Behovet av kontroll – olika nivåer