Authenticatie en autorisatie. 31 mei 2012

Transcriptie

1 Authenticatie en autorisatie 31 mei 2012

2 Inhoud Wat is het Waarom belangrijk Het speelveld Waar gaan we naar toe Invulling voor Belastingdienst eid Stelsel NL

3 Wat is het? Authenticatie: ben je, die je zegt te zijn? Bijvoorbeeld met je DigiD, maar ook pincode, wachtwoord, PKI-certificaat etc. Betrouwbaarheid verschilt. Autorisatie: mag je doen (evt. voor een ander) wat je wilt doen? Bijvoorbeeld met DigiD Machtigen. Betrouwbaarheid verschilt.

4 Waarom is het belangrijk er eisen aan te stellen? Meer e-dienstverlening Grootschalige communicatie, zonder digitale sleutelbos. Snelheid Toegang niet-zelfredzamen. Waarborgen continuïteit Stelsel en zwakste schakel. Voorkomen systeemfraude. Risico s onzekerheid afzender door massale/vluchtige digitale communicatie. Inspelen op markt nieuwe dienstverlening On-line serviceproviders, on-line boekhouden, cloudcomputing Langere en complexe ketens/diensten en samenwerkingsverbanden. Zorgvuldig met gegevens omgaan Zekerheid, veiligheid en privacy gegevens garanderen. Kosten en complexiteit terugdringen Van lappendeken naar eenduidigheid. Internationalisering Standaardisatie Regelgeving (Logistieke) ketens grensoverschrijdend. Uiteraard meer nodig dan goede authenticatie en autorisatie, maar zonder kan niet. Nieuwe balans vinden.

5 De A. en A. stakeholders: een veelzijdig speelveld. Toezichthouders security, auditors V en J BZK EL & I A. en A. Waterschappen Uitvoeringsorganisaties, w.o. Belastingdienst Webwinkels Internetbankieren Gemeenten Uitgevers authenticatiemiddelen Beheerders authenticatiediensten Certificaatleveranciers Beheerders machtingenregisters On-line serviceprovicers Bedrijven Leveranciers bedrijfssoftware (fin. etc.) Burgers Commerciële dienstverleners (fiscaal, douane) Maatschappelijke dienstverleners Consument

6 Waar willen we naar toe? Een opstapje over authenticeren

7 Waar staan we nu Digitale Sleutelbos Rollen: Burger Ondernemer Consument

8 Onhandig, kostbaar, complex, onveilig. GEBRUIKER Voor ieder proces een eigen authenticatiemiddel DIENSTAANBIEDER

9 Daarom GEBRUIKER! Authenticatie ontkoppelen van Dienstaanbieder DIENSTAANBIEDER

10 Naar een eid stelsel NL GEBRUIKER! publieke en private voorzieningen Authenticatiemiddelen zonder strakke scheiding burgers en bedrijven: eenmanszaak kan ook met DigiD werken. DIENSTAANBIEDER C2G B2G G2G C2B B2B Stelsel mag niet omvallen en moet robuust zijn. Nodig: Goede verantwoordelijkheidsverdeling Toezicht Fall-back Entry en -exitregels Standaarden Acceptatie Internationale aansluiting publieke en private dienstaanbieders

11 Een strategisch beleidsuitgangspunt: technologieonafhankelijkheid Invulling Authenticatie eid-stelsel-nl Authenticatiediensten huidig DigiD Omnummer voorziening enik huidig eherkenning Herkennings makelaar Dienstaanbieder MijnBelastingdienst huidig Banken = Identiteitsverklaring Gebruiker Handelende Partij 10

12 Betrouwbare authenticatie Wens: naar hoog niveau Zo mogelijk parallel: enik, banken, eherkenning, PKI Maatschappelijke acceptatie, breed gebruik Redelijk kostenniveau The race never ends. Betrouwbaarheidsniveaus 4 3 STORK indeling hoog PKI-middel en face-to-face uitgifte gebr.naam/wachtwoord en code en/of face-to-face uitgifte PKI-O DigiD Hoog PKI BAPI gebr.naam/wachtwoord met aanvullend extra code gebr.naam/wachtwoord activatie via authentiek adres gebr.naam/wachtwoord activatie via DigiD Midden DigiD Basis PD Ondern. BAPI-PIN laag

13 En een opstapje over autoriseren..

14 Autorisatie: regelen dat bevoegdheden van derden expliciet duidelijk zijn. Belanghebbende Zelfaangever/zelfaanvrager incl. medewerker bedrijf Belastingdienst Niet-inhoudelijk dienstverlener Verklaring dat je dit mag Inhoudelijk gemachtigd Familie, kennis Maatschappelijke Intermediair Fiscale Dienstverlener Douane Dienstverlener Wettelijk vertegenwoordiger Bewindvoerder Curator Namens erfgenamen Verklaring dat je dit mag Verklaring dat je dit mag

15 Naar een eid stelsel NL ook voor autoriseren. Gebruikers van onlinevoorziening maken gebruik van authenticatie-dienst. GEBRUIKER DIENSTAANBIEDER! Publieke en private dienstaanbieders DigiD Machtigen Publiek machtigingenregister bedrijven (transitie) Private machtigingsvoorzieningen met toegevoegde waarde-diensten In uitwerking aandacht voor specifieke vormen zoals bij aangewezen Service Punten TSL en bij Douane.

16 Waar gaan we naar toe? Hoe werkt het uit voor de Belastingdienst..

17 Eindbeeld: gewenste invulling hetzelfde: voor de kleuren voor burgers en bedrijven voor publieke portaal, balie en private diensten voor alle vormen van dienstverlenen en alle vormen van machtigen Zelfaangever/aanvrager Gemachtigde Familie, kennis Maatschap. Interm. Fiscale Dienstverl. Douane Dienstverl. Publieke Portaal Balie Front end Belastingdienst Portaal - MijnBD, MijnTSL - PD Ondernemers Back end Zelfaangever/aanvrager Gemachtigde Fiscale Dienstverl. Douane Dienstverl. Private diensten Private Partij Software Pakket/portaal Belastingdienst Verklaring wie je bent Authenticatie dienst Verklaring wat je mag voor wie Machtigings register

18 Borgen wat we bereikt hebben en verder doorontwikkelen eid Stelsel NL Strategisch beleid van de overheid Stelselspecificaties en -afspraken Digid enik DigiD Machtigen Auth. diensten eherkenning Macht. registers eherkenning Bijvoorb. auth. diensten van banken Auth. diensten andere EU-landen... Diensten Diensten Diensten Diensten Diensten