Overheidskoppelvlak eherkenning

Transcriptie

1 Verzamelde consultatiereacties Overheidskoppelvlak eherkenning Inhoudsopgave 1.1 Kadaster Kennisnet Belastingdienst UWV Kantara Logius 8

2 pagina2 van 7 1 eherkenning 1.1 Kadaster From: Luijsterburg, Rob Sent: Friday, August 10, :54:04 AM (UTC+01:00) Amsterdam, Berlin, Bern, Rome, Stockholm, Vienna To: Openstandaarden Subject: eherkkenning Hallo, Op pagina van verheidskoppelvlak.pdf staat de zins snede [...] - TLS Alle verbindingen voor het eherkenning koppelvlak moeten gebruik maken van SSL 3.0 of TLS. [...] SSL 3.0 is geen open standaard en is zelfs geen gangbare standaard meer in de zin van Het lijkt me dus beter SSL 3.0 niet langer te blijven benoemen. Met vriendelijke groeten, Rob Luijsterburg, ICT Architect Kadaster, Services rob.luijsterburg@kadaster.nl<mailto:rob.luijsterburg@kadaster.nl> Fout! De hyperlinkverwijzing is ongeldig.> [cid: @ cfd]

3 pagina3 van Kennisnet From: HP Köhler Sent: Friday, August 24, :35:11 AM (UTC+01:00) Amsterdam, Berlin, Bern, Rome, Stockholm, Vienna To: Openstandaarden Cc: Bram Gaakeer; Marianne Mulder Subject: Re: Openbare Consultatie standaarden tot 23 september Beste Maarten van der Veen, Het is 1 dag te laat, maar ik wilde toch nog reageren op de procedure E-Herkenning. Wij staan namelijk vanuit Kennisnet achter dit initiatief alleen concluderen we dat de governance structuur de sectorale belangen nog geen plek kunnen geven. Het aantal stakeholders en hun belangen vragen in de onderwijs sector om een eigen aanpak. Buiten de governance structuur concluderen we ook dat er binnen E- Herkenning nog een stap gemaakt moet worden in het afspreken van de attributen. Ook hier is een sectorale aanpak wat ons betreft gewenst. Bestaande authenticatie voorzieningen zoals de Kennisnet federatie en de SURF federatie sluiten daarom op dit moment nog beter aan op de behoefte van veel stakeholders. Ik hoor graag hoe het Forum standaardisatie wil omgaan met deze punten. Met vriendelijke groet, KENNISNET H-P Köhler Beleidsadviseur T M Paletsingel 32, 2718 NT Zoetermeer Postbus 778, 2700 AT Zoetermeer

4 pagina4 van Belastingdienst Van: Berlo, GJA (Ger) van (IVB/DH) Verzonden: zondag 23 september :00 Aan: Forum standaardisatie CC: Sijstermans, Wim - MT (Min. van FIN) Onderwerp: RE: REMINDER Openbare consultatie standaarden L.S., Bij deze stuur ik u het standpunt van de Belastingdienst inzake de drie standaarden die ter consultatie zijn aangeboden. eherkenning De Belastingdienst is niet akkoord met het voorstel eherkenning toe te voegen aan de 'pas toe of leg uit lijst. Motivatie: Het standaardiseren van het koppelvlak authenticatie en autorisatie voor ondernemers lijkt een goed idee. Er wordt echter gekozen voor een nieuw concept wat niet compatibel te maken is met bv. DigiD-Machtigen. Daarnaast vraagt eherkenning om aanvullende IAM infrastructuur. De standaarden daarvoor zullen worden bepaald in de uitwerking van het nationale eid-stelsel dat recent is opgestart. Hierin zullen overheidsbreed afspraken worden gemaakt over inrichting, ontwerp en gebruik van authenticatie- en bevoegdheidsvoorzieningen door dienstverleners. Hierbij is er geen onderscheid tussen M2M en Web-applicaties en geen onderscheid tussen ondernemers- en burgerdomein. De koppelvlakken die daar afgesproken worden en (voor een groot deel) opgenomen zullen worden in versie 2 van het Afsprakenstelsel eherkenning zullen veel meer geschikt zijn voor (het Forum) standaardisatie dan het huidige Koppelvlak DV-HM. Sterker nog een eventuele standaardisatie van het huidige Koppelvlak DV-HM kan het initiatief van het ID-Stelsel Nederland in de wielen rijden. Voor verdere vragen hierover kunt u zich tot mij wenden. Vriendelijke groet, Ger van Berlo Senior beleidsmedewerker... Ministerie van Financiën Directoraat-Generaal Belastingdienst Cluster IV

5 pagina5 van UWV From: Moggre, Jan (J.) Sent: Monday, September 24, :03:44 AM (UTC+01:00) Amsterdam, Berlin, Bern, Rome, Stockholm, Vienna To: Openstandaarden Subject: Openbare Consultatie standaarden tot 23 september Beste lezer, Vanuit UWV nog een nagekomen reactie op eherkenning. Willen jullie dit nog meenemen, immers de site is al gesloten. UWV heeft de stukken voor de consultatie mbt "eherkenning overheidskoppelvlak" bestudeerd. Enkele opmerkingen onzerzijds: Architectuur is complex en duur Gezien het feit dat dit koppelvlak een vergelijkbaar is met SAML 2.0 en de architectuur vergelijkbaar is met die voor DigiD, kun je op basis van ervaring met DigiD stellen dat de gehanteerde architectuur: * veel decentrale inspanning zal vergen (bij de dienstaanbieder) * veel éénmalige kosten zal vergen (implementatie) * veel decentrale software zal vergen (rekening houdend met de eisen op het gebied van performance en beschikbaarheid) * veel licentiekosten met zich mee zal brengen (indien closed source) * veel gebruikskosten met zich mee zal brengen (software per transactie afrekenen - ook voor open source varianten) * veel exploitatie en beheerkosten met zich mee zal brengen (serverpark bij IBM moet flink worden uitgebreid is de ervaring met DigiD) De vraag is dus of de omvangrijke functionaliteit en het stelsel van middelen van eherkenning niet een architectuur in de hand werken die voor dienstaanbieders afzonderlijk tot bezwaarlijke kosten (eenmalige én periodieke) zal leiden. Het advies stapt hier wel erg makkelijk overheen - maar heeft eingenlijk nog geen feitelijke onderbouwing om er zo makkelijk overheen te stappen. Voor Eenmalig Inloggen van DigiD geldt vergelijkbaar: UWV als aanbieder van E-Diensten hikt erg aan tegen de investeringen die nodig zijn om de grootschalige afname van haar E-Diensten onder EI te hangen. Dat geldt niet alleen voor UWV maar ook voor andere dienstaanbieders. Het is niet voor niets dat van 430 gemeenten er slechts 34 meedoen met EI (en dus ca 400 niet). eherkenning alleen voor natuurlijke personen? Het doel van eherkenning is (primair, maar zie ook onderstaande opmerking) om organisaties te authenticeren voor afname van overheidsdiensten via natuurlijke personen. Dat is leuk, maar de behoefte van UWV gaat steeds verder: ook niet-natuurlijke personen (systemen dus) moeten worden geauthenticeerd. De eherkenning loopt daarom dus achter bij de feiten van UWV.

6 pagina6 van 7 Dit staat overigens los van het feit dat er ook voor de authenticatie van organisaties die door natuurlijke personen worden vertegenwoordigd, een goed middel hard nodig is. Recent nog kwam UWV WERKbedrijf negatief in het nieuws omdat vrijwel iedereen zich als werkgever kon voordoen - eherkenning kan en moet voor die situatie een oplossing zijn. Document is niet helemaal duidelijk: in het begin wordt duidelijk gesteld dat het bedoeld is voor organisaties die overheidsdiensten afnemen. Later in het document is dat niet meer duidelijk en lijkt het erop dat eherkenning ook voor andere doeleinden (persoonlijk gebruik) moet gaan werken. Vraag: moet de overheid niet een simpeler mechanisme aanbieden? Gegeven bovenstaande opmerkingen bekruipt het gevoel een vraag te moeten stellen. Is het niet de taak van de overheid (als aanbieder van overheidsdiensten) om een eenvoudig implementeerbare en goedkope oplossing te bieden die een veilige afname van overheidsdiensten mogelijk maakt? Veilig in alle opzichten: privacy, zekerheid over identiteit, etc. Ik denk dan NIET aan samenwerking met veel partijen. Ik denk dan ook NIET aan een complexe architectuur. De beperking van het aantal betrokken partijen maakt het ook veiliger (zie Diginotar). Je zou kunnen denken aan: * centraal 1 punt (website) met * informatie over hoe deelnemers als aanbieder gebruik maken van deze voorziening * een service (voorziening) voor burgers * een service (voorziening) voor bedrijven * zowel voor natuurlijke als voor niet-natuurlijke personen aanroepbaar * beveiligd met IP-adres, MAC-adres, DNS-Sec, anti-spoofing etc. en allemaal centraal geïmplementeerd * voorzien van veilige en dure certificaten, evt periodiek wijzigend (maandelijks, wekelijks, dagelijks - kies maar het niveau) * goedkoop eenvoudig en snel te implementeren door dienstaanbieders Ter ondersteuning van bovenstaande opmerkingen. De laatste alinea bevestigt de complexiteit van implementatie. < Met vriendelijke groeten, Jan Moggré Enterprise Architect UWV / CIO-Office

7 pagina7 van Kantara Van: Rainer Hoerbe Verzonden: maandag 24 september :03 Aan: Knubben, B.S.J. (Bart) - Logius CC: Colin Wallis; Veen, M.A van der (Maarten) - Logius Onderwerp: Re: Public consultation of eherkenning SAML profile Dear Bart, Please find the latest version of the comments in the attachment. However, the timing of the request did not allow us to receive feedback from the Federation Interoperability WG yet, so we provide you with this preliminary report from the egov WG. I hope that you find the comments useful and would welcome your future cooperation with the Kantara Initiative. Best regards Rainer Hörbe Reactie: Zie Consultatiereactie - eherkenning - Kantara egov WG - inhoudelijke reactie.pdf

8 pagina8 van Logius From: Zwienink, A. (Sander) - Logius Sent: woensdag 10 oktober :09 To: Veen, M.A van der (Maarten) - Logius Cc: Bekkum, M.A. (Michael) van Subject: RE: Logius reactie op expertadvies eherkenning Dag Maarten, Wij zijn groot voorstander van e-herkenning en daarmee standaardisatie van authenticatie van bedrijven en organisaties. Het is niet voor niets dat wij per 1-10 de beheerder zijn van e-herkenning. Om die reden is opname op de pas-toe-of-leg-uit lijst een goed idee. Echter: wij hebben wat twijfel of het nu verstandig is om het koppelvlak of juist de voorziening op de lijst te zetten. Wellicht kan het Forum die keuze nader toelichten? Het heeft mijn persoonlijke voorkeur om de voorziening op de lijst te zetten. Dit vooral omdat e-herkenning meer is dan een koppelvlak, maar een geheel is van afspraken, standaarden, governance etc. De belangrijkste opmerking verder is dat wat ons betreft de afbakening van het toepassingsgebied strikt wordt gehanteerd, nl. zoals geformuleerd in het expertadvies: Authenticatie voor webdiensten van overheidsdienstverleners aan bedrijven en organisaties en het vaststellen van de bevoegdheid voor de gevraagde dienst. Er mag bijv. niet verwacht worden dat dit koppelvlak eenvoudig van toepassing verklaard kan worden op het burgerdomein. Verder is relevant dat: - Rekening gehouden wordt met ontwikkelingen in de nabije toekomst rondom eid. Hoe werkt dat in combinatie met opname van dit koppelvlak op de lijst? - Er bijv. over de implementatie van e-herkenning op SBR / Digipoort afspraken zijn gemaakt met klanten en opdrachtgevers die zoveel zeggen als dat nader bepaald moet worden in welk tempo bijv. Digipoort overgaat op e-herkenning. Wij hebben ook nog aanbevelingen t.a.v. e-herkenning. Ik zal er voor zorgen dat die tussen de verschillende teams binnen Logius gedeeld worden. Groet, Sander