Identifiering och identitet i digitala miljöer : Identity and identification in digital environments : referat från en hearing den 12 november 1997 : delbetänkande

Ur KB:s samlingar

Digitaliserad år 2015

IDENTIFIERING

OCH 1

IDENTITET

DIGITALA

MILJOER

Hearing anordnad av

Kommunikationsdepartementet, Nörings- och handelsdepartementet,

IT-kommissionen, SEIS, EDIS och Swebizz

Andrakammarsa|en, Riksdagen 1997-1 1-12

IT-kommissionens 4/98

rapport

11h

D

SEIS

REGERINGSKANSLIET Seuurad Electronic Infurmatinn Society in Kommunikationsdepartementet kören 16 i!

Swebizz

Närings- och handelsdepartementet

IT-kommissionen 103 33 Stockholm Besök:

Regeringsgatan 30-32

E-post: itkommissionen@communicafions.ministry.se

Webtiönst: httpz//wwwitkommissionen.se

Statens offentliga utredningar

. WW 1998:36

w Kommunikationsdepartementet

och

Identifiering

identitet

i

digitala miljöer

Referat från en hearing

den 12 november 1997

IT-kommissionens 4/98

rapport

Delbetänkande av IT-kommissionen Stockholm 1998

SOU och Ds kan köpas från Fritzes kundtjänst. För remissutsändningar av SOU och Ds svarar Fritzes Offentliga Publikationer pâ uppdrag av Regeringskansliets förvaltningsavdelning.

Beställningsadress: Fritzes kundtjänst

106 47 Stockholm Orderfax: 08-690 91 91 Ordertel: 08-690 91 90

E-post: fritzes.order@liber.se

Internet: www.fritzes.se

Svara på remiss. Hur och Varför. Statsrådsberedningen, 1993. En liten broschyr underlättar arbetet för den skall svara på remiss.

- som som

Broschyren kan beställas hos:

Regeringskansliets förvaltningsavdelning

Distributionscentralen 103 33 Stockholm Fax: 08-405 10 10 Telefon: 08-405 10 25

ISBN 91-38-20873-3 I Elanders Gotab, Stockholm 1998 ISSN 0375-250X

Identifiering och identitet i digitala miljöer

Hearing anordnad av Kommunikationsdepartementet, Närings- och handelsdepartementet, IT-kommissionen, SEIS, EDIS och Swebizz Andrakammarsalen, Riksdagen, 1997-1 1-12

Rapport

Hearing om identifiering och identitet i digitala miljöer Innehåu Översikt

Hearing om identifiering och identitet i digitala miljöer

Förord

Kommunikationsdepartementet, Närings- och handelsdepartementet, IT-kommissionen, SEIS, EDIS och Swebizz genomförde den 12 november 1997 hearing identifiering

en om

och identitet i digitala miljöer.

Väl fungerande sätt för identifiering är grundbulten i kommande nätbaserad ekonomi.

en

Om många olika angelägen alla-till-alla-kommunikation ska bli verklighet för för-

typer av

valtningar, näringsliv och enskilda är detta kunna säkerställa identiteten helt nödvändigt.

att

Identifikationsproblemet rymmer frågor kring digitala signaturer, digital identifiering och konfidentialitet. Samtidigt finns behovet skydd för den enskildes integritet.

av

En del utvecklingen är redan igång. Sjukvården, affärsbankerna och fiera myndigheter har

av

uppmärksammat betydelsen entydigt identifieringsförfarande och där infö-

av ett pågår ett

rande. Toppledarforum har beslutat tjänstekort i offentlig förvaltning för digital iden-

om ett

tifiering.

Bland väsentliga frågor belystes i hearingen är

som

0 varför det behövs sätt för identifiering i informationssamhället

nya

0 vilka är berörda och vilka behov det finns identifiering för tillämpningar

som av nya

vad krävs för införande i Sverige och vad g införas

0 som som

hur vi bäst ska införa för identifiering och hur berörda intressen ska avvägas.

0 system

Denna utförli referat hearin ett antal slutsatser från det efterfölra pp ort ger ett av gen samt

;ande analysarbetet.

Kommunikationsdepartementet Närings- och handelsdepartementet

IT-kommissionen Secured Electronic Information in Society SEIS

EDIS Swebizz

Hearing om identifiering och identitet i digitala miljöer

Inledning

Magnus Persson, Kommunikationsdepartementet: Magnus Persson är statssekreterare Kommunikationsdepartementezá

"Nu utreder regeringen digitala signaturer"

Det är hög tid att komma vidare när det gäller användningen av Internet. Det räcker inte

med bara kunna kommunicera och hämta information. Vi måste skapa brett förtroen-

att ett de för och måste kunna nätet med säkerhet. systemen agera stor

Vägen till säkerhet, till trygghet och förtroende, går via möjligheten till säker identifie-

a

ring och användning digitala signaturer. För kunna göra avtal vikt via Internet måste

av att av

det möjligt bevisa jag är jag och det ett sätt är ställt utom alla tvivel. Vi

vara att att som

måste kunna sluta skriftliga avtal med rättsligt bindande verkan för ska kunna använda

att

potentialen fullt För detta krävs digital signatur, säkrad identitet.

ut. en

Det är först när når dit och det nivå är accepterad det stora flertalet använ-

- en som av

dare och inte minst myndigheterna kan det riktigt klivet in i informations-

- som ta stora

samhället. Det är då kan börja arbeta olika sätt över näten i stor skala. Det är då vi kan sköta många våra myndighetskontakter via dator distans, antingen hemma eller

av

arbetsplatsen. Därtill kommer bred spridning informationskiosker i offentliga miljöer

en av

allmänheten kan utnyttja för tjänster olika slag. I det perspektivet räcker inte dagens

som av

enkla lösenord. Då måste användarens identitet och behörighet betydligt bättre säkrad.

vara

På vägen dit finns antal problemområden behöver bearbetas och utvecklas, möj-

ett som t ex

ligheterna till kryptering, hanteringen digitala certifikat och olika sätt att skapa säkra be-

av

talningssystem. Ett aktuellt den vägen är regeringskansliet påbörjar arbete för

steg att ett

göra problem- och behovsbeskrivning digitala signaturer.

att en om

Hearing identifiering och identitet i digitala miljöer om

Del 1: Slutsatser från hearingen

Översikt

Slutsatserna från hearingen identifiering och identitet i digitala miljöer är att om

förväntningarna bland alltfler myndigheter och företag kunna utföra arbete

Stor förväntan är stora att

skilda slag i befintliga öppna nät och för det ska ske behövs införande säkra av att av sysför digital identifiering och digital signatur tem

det finns hög tillit till de införs och det är

Ulliten avgörande avgörande för framgången är att system som

helt beroende utformning. Ett stegvis införande föredra framför systemens är att en snabb komplex helhetslösning i sig kan medföra bristande tillit. Viktigt är att finna som balanspunkten mellan och 2 möjligheten till och skyldigheten 1 rätten att vara anonym

stå för sina handlingar att

vinsterna med införa för digital identifiering och digital signatur är långsiktiga

Uppenbara vinster att system

och svåra mäta. Det finns knappast några direkta vinster att hämta i själva uppbyggatt naden infrastrukturen, vinsterna uppstår först i nästa led utnyttjar tjänsterna av utan som i infrastrukturen. Såväl näringslivet förvaltningar och vården stora uppenbara som ser

vinster komma i sina verksamheter genom ett införande av digital identifiering och digi-

tal signatur

Politisk debatt tekniken finns i allt väsentligt, det behöver komma igång bred debatt och polimen en tisk hantering kring införandet. Anledningen till detta ännu inte sker är att frågan är att komplex och incitamenten för genomlysning saknas att en

Rättslig reglering arbetet med utveckla näringsrättslig reglering bör påbörjas omedelbart så att ett att en avseende kan plats inom 4-5 år. Det finns risk för Sveregelverk i detta vara annars att rige kommer efter i utvecklingen. Ur andra rättsliga aspekter är detta ett komplext områ-

de bör utvecklas stegvis. Lagstiftarens strategi bör att följa utvecklingen och som vara ändra vid behov. Alla försök till heltäckande totallösning riskerar leda till paralys en att

Bred företag och branscher det angeläget med snabbt praktiskt

font dröjer internt i många stora är ett

förefaller de tekniska grundverktygen i allt väsentligt finns genomförande och det som att

framme för det. En allmänt förekommande tjänst i Sverige kan däremot dröja 4-5 ef-

det förutsätter infrastruktur är plats tersom att en

SEIS-modellen för digital identifiering, digital signatur och kryptering be- SEIS laarfiirsteg N den svenska döms idag ha internationellt försprång. Givet att den går att framgångsrikt införa i

ett under internationella samarbetsformer alltfler länder Sverige, är det möjligt att att ansluta sig till SEIS-modellen

Kulturell skillnad integritet kulturbetingad och därför är det vanskligt att importera eller exsynen är systemlösningar för digital identifiering och digital signatur. Utöver globala sysportera kommer det finnas lokala hänsyn till den kulturbetingade synen tem att system som tar identitet och anonymitet.

Hearing om identifiering och identitet i digitala miljöer

Slutsats 1: Säkra system för behöver

digital identifiering snarast införas

Förväntningarna bland alltfler myndigheter och företag på kunna utföra arbete är stora att

skilda slag i befintliga öppna nät. För att det ska ske behövs införandet säkra

av av system för digital identifiering och digital signatur.

Befintliga nät ger i grunden förutsättningar för ett mer utvecklat utnyttjande av den alltmer digitaliserade omgivningen i organisationer, samhälle och hushåll.

Väl fungerande sätt för identifiering är grundbulten i växande nätbaserad ekonomi. Om en många olika angelägen alla-till-alla-kommunikation ska bli verklighet för förvalttyper av ningar, näringsliv och enskilda är detta att kunna säkerställa identiteten helt nödvändigt.

Identifikationsproblemet frågor kring digitala signaturer, digital identifiering och rymmer

konfidentialitet. Det finns samtidigt behov skydd för den enskildes integritet.

av

Hearing om identifiering och identitet i digitala miljöer

Slutsats 2: Hög tillit för är helt avgörande för framgången

systemen

Avgörande för framgången är det finns hög tillit till de system införs och det är

att som

helt beroende utformning. Ett stegvis införande är att föredra framför

systemens en

snabb komplex helhetslösning i sig kan medföra bristande tillit. Det är viktigt att fin-

som

balanspunkten mellan l rätten och 2 möjligheten till och skyldighe-

na att vara anonym

ten att stå för sina handlingar.

infrastruktur byggs för identifiering och identitet ska användas, behövs

För att en som upp

brett starkt förtroende och trygghet, d hög tillit. Därför måste varje teknisk design

ett v s en

tillitsperspektivet innan lösning införs. Brist tilltro till dessa ekonomiska

testas mot en

kan dyrbart. Det är därför viktigt sträva efter hederliga Tillit går

system vara att system. en-

dast skapa öppenhet och öppna lösningar och det är endast i undantagsfall det

att genom som går i ett slutet system.

System för identifiering kan bli för komplexa och det kan leda till bristande tillit. Därför gäller det fram stegvis och inte göra det för komplext alltför snabbt. Komplexitet är

att ett

hinder för tilliten och därför är det nödvändigt med öppen debatt hur lösningarna ska

en om

utformas. Det går nämligen informera bort brist tillit.

inte att

Balanspunkten mellan 1 rätten och 2 möjligheten till och skyldigheten att

att vara anonym

stå för sina handlingar är inte helt uppenbar vid övergången från konventionell miljö till ITmiljö. Det är viktigt respektera såväl rätten krav identifiering.

att att vara anonym som

Det är också viktigt finna balanspunkten mellan 1 användarens behov unik och säker

att av

identifiering och 2 systembyggarnas förmåga tillhandahålla rationella och effektiva tjäns-

att

ter.

Det är nödvändigt skilja olika grader och nivåer identifiering. Klassificering sä-

att av av

kerhetsfiinktioner olika identifieringsbehov. Det finns också olika krav identifiering

kan ge

i olika situationer, d olika säkerhetskrav och det är särskilt höga krav i offentlig verksam-

v s het.

För viktiga ärenden inom och till myndigheter används ännu inte eftersom det inte

e-post,

går säker kvittens meddelande kommit fram. Säker identifiering är helt

att en att ett

nödvändig inom den offentliga sektorn. Förtroendet för offentlig verksamhet måste

vara

högt. Detta är aspekter är viktiga beakta vid varje införande system.

som att av nya

Ett naturligt förtroende förutsätter betrodda miljöer t Posten och banker har lång tra-

ex en

dition inger förtroende och lämpar sig därför denna betrodda miljö.

som att vara

Frågan införande digitala identitetskort kan känslig från integritetssynpunkt,

om av vara

med tanke hur sådana kan användas en diktaturregim.

t ex systern av

Hearing om identifiering och identitet i digitala miljöer

Slutsats 3: Uppenbara vinster, men de är långsiktiga och svåra att mäta

Vinsterna med att införa för digital identifiering och digital signatur är långsiktiga

system

och svåra att mäta. Det finns knappast några direkta vinster i uppbyggnaden in-

av

frastrukturen, utan vinsterna uppstår först i nästa led utnyttjar tjänsterna i infrastruk-

som

turen. Såväl näringslivet förvaltningar och vården stora uppenbara vinster komma i

som ser

sina verksamheter ett införande system för digital identifiering och digital signa-

genom av tur.

Några förväntade vinster är att

det inom offentliga sektorn spektrum tjänster blir möjliga går

0 genom att ett av nya att

1 korta handläggningstider och 2 medborgare enklare tillgång till information

t ex ge och tjänster

0 inom vården är ökad tillit själva kärnan i verksamheten och därför går säkra hand

systern

i hand med rationaliserande tillämpningar

0 i företagen, där snabbhet och ökat tempo är allt tydligare framgångsfaktorer, finns omgå-

ende interna vinster hämta när det går komma ifrån pappershanteringen

stora att att

0 en lösning av identifieringsfrågan i interna system ger möjlighet att även lösa frågor om

behörighet till olika uppgifter

med digital signatur ökar bevisvärdet och därmed skyddet för individen

Internet blir säkrare, tillgångligare och robustare.

Slutsats 4:Tiden är NU för en politisk hantering av frågan

mogen

Tekniken Hnns i allt väsentligt, det behöver komma igång bred debatt och politisk

men en

hantering kring införandet. Anledningen till att detta ännu inte sker är att frågan är kom-

plex och incitamenten för genomlysning saknas.

att en

Tiden är NU för politisk hantering frågan. Tekniken finns, det behöver

mogen en av men

komma i gång bred debatt och samverkan mellan utvecklingsmänniskor, politiker och

en

andra intressenter media och samhällsdebattörer. Någon sådan debatt pågår ännu

som t ex

inte och det är inte bra för sund utveckling. I den internationella debatten har det skett

en en

kursändring från tidigare enbart nationella säkerhetsperspektiv till ett mera handelsorienterat synsätt. Ett globalt hinder är de restriktiva regleringarna t bruk krypteringsteknik.

av ex av

Det är politisk fråga hantera.

en att

Det är likaså viktigt i diskussionen kunna skilja mellan ett kort och ett lite längre

att per-

spektiv vad kan göras och vad behövs 4-5 år

- nu om

Det krävs således helhetssyn

en

0 införande digitala identitetsfunktioner

av

0 lagstiftning

0 ramverk. i

Kommunikationsdepartementet har under hösten 1997 börjat arbeta med problem- och

en

behovsbeskrivning kring digitala signaturer och eventuellt lagstöd.

Hearing identifiering och identitet i digitala miljöer om

Slutsats 5: En reglering bör påbörjas omedelbart

näringsrättslig

Arbetet med att utveckla en näringsrättslig reglering bör påbörjas omedelbart så att ett

regelverk i detta avseende kan plats inom 4-5 år. Det finns risk för att Sve-

vara annars

rige kommer efter i utvecklingen. Ur andra rättsliga aspekter är detta komplext område

ett

bör utvecklas stegvis. Lagstiftarens strategi bör följa utvecklingen och ändra

som vara att

vid behov. Alla försök till heltäckande totallösning riskerar att leda till paralys.

en

Ett generellt hinder är bristen anpassad lagstiftning. En hämmande faktor är att den brisgör näringslivet inte vill några affärsrisker och offentliga sektorn vill inte riskera

ten att ta

"trampa i det moras regelverket eller trakterna utanför regelverket innebär. Ett för

ut som

starkt rättsligt kan hindra utveckling området.

ansvar

Det finns lagstiftningssynvinkel såväl hårda mjuka frågor av olika svårighetsgrad:

ur som

Hård fråga

lösa Exempel:

Lätt att

digital signatur

Exempel: Svår att lösa

tillit

Mjuk fråga

En näringsrättslig reglering behövs omedelbart. En utgångspunkt kan tas i den finansrättsliga

regleringen.

Det finns olika synsätt kommande CA-struktur, antingen att och kan en t ex att var en

sin CA eller det inte bör finnas fler CA än dem idag identitetskort,

vara egen att som ger ut d Posten och bankerna. v s

Ett hinder är det inte är bestämt vilka regler ska gälla för certifikat. Generellt bör det

att som

strävan efter korta verifikationskedjor, även dessa i princip går att göra mycket

vara en om

långa. Det är viktigt skilja mellan certifikat är bäraren den logiska identifierings-

att att ett av

handlingen och identitetskort är förvaringsplatsen för certifikatet.

ett

När det gäller materiella och processuella frågeställningar finns redan mycket och det

utrett

bör tillvara. När det gäller tempot är det inte nödvändigt att fullständigt heltäckande lag-

tas

stifta digitala signaturer.

om

Detta är och komplext område bör utvecklas stegvis. Det finns principi-

ett stort som t ex ella skillnader i traditionell och teknik och det ställer krav den infrastrukturen. ny nya

frågor hänger och därför behövs strategi. Alla försök till skapa total- Många samman en att lösningar är omöjliga det leder till paralys.

utan att

Hearing om identifiering och identitet i digitala miljöer

Slutsats 6: Ett genomförande år

på bred front i Sverige kan

ta 4-5

Internt i många stora företag och branscher är det angeläget med ett snabbt praktiskt genomförande och det förefaller att de tekniska grundverktygen i allt väsentligt finns som framme för det. En allmänt förekommande tjänst i Sverige kan däremot dröja 4-5 år, efter-

det förutsätter att infrastruktur är plats. som en

Det är viktigt att skilja vad som går att göra nu kort sikt och vad som behöver göras längre sikt, inom 4-5 år. Statskontoret, t ex, tar ett steg i taget när det gäller införandet av

för identifiering i digitala miljöer och upphandlingen tjänstekort kommer ske

system av att tidigast hösten 1998

Internt i många företag och branscher är det bråttom med ett genomförande behoven där är uppenbara och angelägna för affärsverksamheten och det verkar som att tekniken finns framme för ett praktiskt införande kort sikt.

Globalt, d allmänt förekommande tjänst i Sverige, kan ett genomförande ta 4-5

v s som en

år eftersom infrastrukturen för detta ännu inte är framtagen. SEIS-modellen finns, den

men införa. återstår att

Området är mycket komplext och därför gäller det fram lösningar dels kort sikt, dels att ta lång sikt en stegvis utveckling är att föredra eftersom införande av ett färdigf komplext system är närmast omöjligt. En stegvis utveckling går att påskynda väsentligt genom incitafrån regeringen och sätta tydliga mål. ment genom att upp gemensamma

Det är skillnad mellan digital identifiering och digital signatur ur såväl teknisk synvinkel som funktionellt användningsmässigt därför kan områdena utvecklas/ införas för sig. - var

Det är nödvändigt renodla och skarpt åtskilja funktionerna 1 signatur, 2 kryptering och att

3 identifiering och sedan klart formulera vad gäller nationellt och internationellt.

som

Posten förefaller skynda sitt utvecklingsarbete och har inte långt kvar till kommersiella att tillämpningar med digitala signatur. Generellt finns tekniken, tillämpningarna saknas. men För underlätta utvecklingen tillämpningar har Posten tagit fram verktygslåda. att av en

Ett hinder kan utdragen införandeprocess och den osäkerhet detta för med sig. Utvara en vecklingen går olika snabbt i olika branscher, bankerna har goda förutsättningar hålla t ex att högt hinder finns bristen lagstiftning. Tempot i införandet beror ett tempo - men genom

förmågan samverka med bra samspel kan det möjligt redan under 1998

att ett vara att införa vissa lösningar. Generellt är det bråttom med del kortsiktiga lösningar. I utvecklingen måste Sverige också hålla jämna och i samklang med viktiga internationella hanen steg vara delsparter, som t ex Tyskland.

När myndigheter inför för digital identifiering och digital signatur kommer det att system snabbt leda till framsteg rad tillämpningar blir möjliga. Ett växelspel stora genom en nya höna/ ägg råder mellan utbyggnad infrastrukturen och utvecklingen tillämpningar som av av kundnytta värde är Statskontorets initiativ och lagstiftningen snabbt plats. ger av att -

Hearing om identifiering och identitet i digitala miljöer

Slutsats 7: Svenska SEIS-modellen ha internationellt

anses försprång

Den svenska SEIS-modellen för digital identifiering, digital signatur och kryptering bedöms idag ha internationellt försprång och givet den går ett att att framgångsrikt införa i

Sverige, är det möjligt att under internationella samarbetsformer alltfler länder anslu-

att

ta sig till SEIS-modellen.

Generellt Sverige ha bra utgångsläge och ha värdefull erfarenhet sådan samverkan

anses ett av

kommer behövas för framtida lyckosam spridning SEIS-modellen internatio-

som att en av

nellt. Sverige har högt anseende vad gäller teknisk nivå och samhälleliga strukturer och finns med i viktigt internationellt arbete kan ha betydelse för SEIS internationellt.

som

Det förefaller SEIS-modellen har försprång internationellt det unik

som att ett sett är en standard och det går snabba det kvarvarande arbetet för göra modellen fär- - om att upp att

dig, kan det möjliga sälja den utomlands. SEIS-modellen kan gångbar i först i

vara att vara

Norden, sedan i Europa och så småningom även andra delar världen. Men krav för

av ett

detta är den först måste införd i Sverige och visa sig fungera där, sedan går det

att vara att

genom samarbete inte invasion" alltfler länder ansluta sig till SEIS.

att

Det förefaller bråttom med den fortsatta utvecklingen och spridningen SEIS-

vara av

konceptet, eftersom andra konkurrerande lösningar kan komma lanseras från andra håll.

att

Sverige kan komma att leda utvecklingen.

Slutsats 8: Synen på integritet är mycket kulturbetingad

Synen integritet är kulturbetingad och därför är det vanskligt att importera eller

expor-

tera systemlösningar för digital identifiering och digital signatur. Utöver globala system kommer det finnas lokala hänsyn till den kulturbetingade

att system som tar synen identitet och anonymitet.

Både globala och lokala är möjliga. Det är nödvändigt med internatio-

system gemensamma

nella standarder för lokala i sin hänsyn till kulturbetingad identitet.

system som tur tar syn

Tekniken används i Sverige bygger internationell standard. Ett hinder i utvecklingen

som

är den globala oenigheten krypteringskontrollen.

om

Hearing om identifiering och identitet i digitala miljöer

Del 2: Referat från hearingen

Detaljerad innehållsförteckning

Innehåll Hearingen omfattar följande avsnitt:

Sida

A: Varför behövs digital

identifiering och signatur 21

Behov identifiering av

Peter Seipel, Stockholms universitet:

"Med elektroniska informationsbarare" blir traditionell rätt osäker" 23

När informationsbärare börjat lämna plats för elektro-

papper som

niska bärare har de traditionella rättsliga föranstaltningarna och

skyddsmekanismerna blivit osäkra. Det handlar osäkerhet både

om

vad är godtagbara och tekniskt tillräckligt säkra tillvä-

om som sett

gagångssätt och hur tekniska fenomen ska beredas plats i

om nya

lagstiftningen. Ett grundproblem gäller i vilken utsträckning lagstiftningen kan och bör vara teknikoberoende och inriktas funktionella krav använda tillvägagångssätt.

Behov tillit av

Lars Ingelstam, Linköpings universitet:

Tilliten är nyckeln för tekniska lösningar ska fungera 27

att

Den rent tekniska designen lösningarna för identifiering och

av

identitet i digitala miljöer är nödvändiga något slag

att testa mot av

tillitsperspektiv. Lösningarna är icke neutrala. Tillit går endast att bygga öppenhet och hederliga system.

Behov av IT -utveckling

Uif/ønströmen AU-System AB:

Smarta kort säkraste te vägen för trllam " pningar" 31

nya

Smarta kort är det klart bästa sättet för identifiering och identitet i digitala miljöer.

B: Vilka är berörda 33

Offentligasektornsbehov

Britta johansson, Statskontoret:

Stora förväntningar att infrastruktur för säker kommunikation" 35

en

Nya säkerhetslösningar är på väg i offentliga sektorn, infö-

men ett

rande kan ta tid eftersom det kan behövas anpassning lag-

a av

stiftning. Inom stat, kommun och landsting finns stora förvänt-

ningar att tillgång till en infrastruktur där i princip alla som

vill kan nå alla i hela samhället.

Ett första är genomföra beslutad upphandling aktiva

steg att en av

identitetskort smarta kort för tjänstemän. Men osäkerheten är

efterfrågan, tillämpningar och vilken teknik är den

stor om som mest hållbara för framtiden.

Fortsättningpå nästa sida

Hearing identifiering och identitet i digitala miljöer om

Sida

B: Vilka är berörda forts

individensbehov

Louise Yngsträm, Stockholms universitet: Frågan är komplex och därför behövs ordentlig debatt och samverkan 45

En kritisk fråga är att avgöra var balanspunkten ska sättas mellan a

privatpersoners behov bli unikt och säkert identifierade över fle-

att

och b systembyggares förmåga att tillhandahålla ratio-

ra system nella, effektiva och ekonomiskt försvarbara tjänster.

Det finns många skäl sådana tjänster normalt att anta att som

uppfattar självklara, inte går att realisera med IT-stöd inte

som om

individens identitet unikt och säkert kan klarläggas.

Näringslivetsbehov

Rabbe Wrede, Yelefmaktiebølaget LM Ericsson:

"Det är angeläget att vi snarast kan börja använda digitala signaturer" 53

Regeringen bör legalisera digitala signaturer och kraftfulla

snarast ta

initiativ för uppnå harmoniserat globalt ramverk för digitala

att ett signaturer baserat affärsbehoven för elektronisk handel över

gränserna. Vinsterna för näringslivet kan bli

enorma.

C: Vad krävs för ett införande Vad kan införas 57

Teknik

Hans T/øolander, Dynamic Software AB:

"Asymmetrisk kryptering skapar möjligheter för säkra tillämpningar 59

En digital signatur kan användas för dels infor-

att garantera att en

mationsmängd inte har förändrats och dels avsändaren

vem

Tekniken för digital signatur kallas public key-teknik och bygger användning k asymmetrisk kryptering.

av s

Tjänster Evald Persson, Posten AB:

Vi angelägna driva uppbyggnaden infrastrukturen 63

är om att av

Posten kommer tillhandahålla sådana tjänster till marknaden att

behövs för säker digital identitet.

som att ge en

Regelverk

Per Furberg, Utredningen elektroniska pengar:

om

Det hög tid det näringsrättsliga arbetet nu" 67

är att starta

behövs helt infrastruktur med alla de uridis-

I öppna system en ny ka konsekvenser det för med sig. Internationellt pågår en som

snabb rättsutveckling i första hand sikte de näringsrätts-

som tar

liga frågorna. I Sverige sker ännu inget och det är allvarligt eftersom vi ligger i framkant när det gäller att införa konkreta tillämpningar.

Førtsänningpå nam sida

Hearing om identifiering och identitet i digitala miljöer Sida

D: Hur kan system för digital identifiering/signatur införas 75

Utfrågning

Thomas Falk, Industriförbundet UlUonströmer, AU-System AB Peter Seipel, Stockholms universitet Gunnar Hedborg, IT-kommissionen

Hearing om identifiering och identitet i digitala miljöer

A. Varför behövs

digital identifiering och signatur

Översikt

Frågan varför det behöver införas system för identifiering och identitet i digitala miljöer

om

diskuteras från behovsperspektiven

0 identifiering

0 tillit 0 informationsteknik.

Hearing om identifiering och identitet i digitala miljöer

Behov av identifiering

Peter Seipel, Stockholms universitet: Peter Seipel ärprøfessor vid Institutet får Riittsinforrnatik, Stockholms universitet.

"Med elektroniska informationsbärare blir traditionell rätt osäker"

Inledning Detta avsnitt belyser behoven av identifiering.

Budskapet När informationsbärare börjat lämna plats för elektroniska bärare har de tradipapper som tionella rättsliga föranstaltningarna och skyddsmekanismerna blivit osäkra. Det handlar osäkerhet både vad är godtagbara och tekniskt sett tillräckligt säkra tillvägaom om som gångssätt och hur tekniska fenomen ska beredas plats i lagstiftningen. om nya

Ett grundproblem gäller i vilken utsträckning lagstiftningen kan och bör teknikoberovara ende och inriktas funktionella krav använda tillvägagångssätt.

Grundfrågor för lätten i Cyclopen, frågade Odysseus vad han hette. Odysseus svarade: jag heter "Ing-

grottan, identifiering en". När sedan Odysseus kört den glödande pålen i jättens enda öga och gjort honom blind så Odysseus och hans män kunde fly vrålade jätten hjälp. Vad har hänt att ur grottan frågade hans jättegrannar. "Ingen har stuckit mitt öga, skrek jätten. Nå då så, vad bråkar ut du om och lägg dig sa grannarna,

Episoden ur Odysséen handlar om tre grundläggande identifieringsfrågor.

0 Den första gäller krav på att identifiera sig.

0 Den andra gäller det riktiga eller oriktiga bruket identifikationer. av

0 Den tredje gäller konsekvenserna av att identifiera sig.

Med dessa grundläggande frågor utgångspunkt kan veckla nästan hela rättstre som man ut ordningen. Identifiering och identitet spelar nämligen olika sätt nyckelroller i rättsliga sammanhang de skilda slag. Frågorna kan regleras klart och tydligt uttryckliga av mest genom föreskrifter. Men det kan också handla indirekt reglering och skick och bruk om om som aldrig har fått någon precis formulering.

En sökning i SFS med orden "identitet" eller "identifiering" visar snabbt bredden hos identifieringsjuridiken. Svaret innehåller 182 författningar handlar allt från finsom om geravtryck till användning telefon vid rättegång, motorscooterålcning, handel med skrot, av folkbokföring, identitetsbeteckningar för juridiska patientjournaler personer, o s v.

Kraven identifiering kan fysiska juridiska eller döda föremål t

Kraven avse personer, personer ex fordon. I den digitala miljön kan det också bli aktuellt identifiera procedurer, i form på identifiering att t ex k mobila agenter. av s

Kraven identifiera sig kan tillfälliga och speciella eller långvariga och grundlägganatt vara de. Kraven kan identifiering olika nivåer och de kan subjektet helhet eller avse avse som bara vissa aspekter, funktioner eller egenskaper hos subjektet.

Exempel: Tunnelbaneresenären måste kunna identifiera sig legitim, avgiftsbetalande som en resenär då inspektören kommer. Men det räcker färdbeviset. Mer än så behövs att presentera inte. Den har biljetten eller månadskortet i beredskap behöver inte identifiera sin person som närmare än så.

Hearing om identifiering och identitet i digitala miljöer

Identitetens I de tunga sammanhangen däremot gäller kraven identitetens kärna. Det handlar i

om en

kärna princip entydig och fullständig bestämning det subjekt kravet riktar sig

av som mot.

Förlitan identifiering förlorar sin mening det är medgivet spela med olika identite-

om att

ter och svårt eller omöjligt i olika situationer kontrollera uppgivna identiteter.

att

Rättsordningen har lärt sig att undvika eller minska dessa problem att dels föreskriva

genom

bestämda tillvägagångssätt för identifiering, dels kringgärda identifieringar underskrif-

- t ex

ter dokument med särskilda rättsliga skyddsinrättningar, straffrättsligt skydd

- t ex mot

urkundsförfalskning.

När informationsbärare börjat lämna plats för elektroniska bärare har de tradi-

papper som

tionella rättsliga föranstaltningarna och skyddsmekanismerna blivit osäkra. Det handlar

om

osäkerhet både vad är godtagbara och tekniskt tillräckligt säkra tillvägagångssätt

om som sett

och hur tekniska fenomen ska beredas plats i lagstiftningen. Ett grundproblemen

om nya av

gäller i vilken utsträckning lagstiftningen kan och bör vara teknikoberoende och inriktas

funktionella krav använda tillvägagångssätt.

Diskussionen organisatoriska förhållanden kring utfärdandet identitetsbevis och kon-

om av

trollen korrekt användning dessa har också blivit komplicerad de digitala

av av mer genom

hanteringarna och medierna. Rättsordningen måste verka för ett organisatoriskt ramverk

som

både klarar omedelbara kontrollbehov och kontrollbehov uppkommer långt efter det

som

tillfälle när identitet ursprungligen användes t när riktigheten intyg labo-

en - ex av ett om en

ratorietest ifrågasätts i produktansvarsrättegång 15 år efter det ägde

en att testet rum.

Situationen blir inte lättare identifieringsbehoven i växande utsträckning

genom att upp-

kommer i gränsöverskridande sammanhang globala datanät.

Konsekvens Konsekvenserna identifiera sig har göra med åtminstone i rättsliga sammanhang

av av att att tre identifieringen centrala förhållanden:

0 Att ge upp anspråk anonymitet.

0 Att markera eller etablera rättspositioner.

0 Att stå för informationsinnehåll. ansvar

Att ge upp anspråk anonymitet är en förutsättning för många transaktioner. Det kan handla inte bara faktisk eller rättslig tvångssituation också situationer där

om en utan om

anonymiteten är till nackdel i sammanhang där identiteten innebär konkurrensför-

- t ex en

del sin koppling till renommé och goodwill för den identifierade.

genom

Marketing och etablering av rättspositioner sker i en lång rad sammanhang där subjekt företar rättshandlingar t ex godtar avtalsvillkor eller agerar för olika syften som har rättsregler

knutna till sig t sänder inlagor till domstol.

ex en

Ansvaret för informationsinnehåll kan anknyta till yttrandefrihetsregleringen eller handla

om och meddelanden lämnas under stralfansvar, tulldeklarationer. Det kan ockutsagor som t ex

så fråga beslutsfattares för beslut.

vara om t ex en ansvar ett

Hearing identifiering och identitet i digitala miljöer om

Identifiering En avslutande reflexion Odysseus: Hans bruk identiteten Ingen" var fyndigt och räd-

om av

ofta viktigare dade honom och hans besättning ur en knepig situation.

än anonymitet

Situationer där anonymiteten och täckmanteln är legitima förekommer givetvis i juridiken. Men frågan är inte dessa situationer helt undanskyms de långt fler situationer där

om av

identifieringen och identiteten är viktiga i olika rättsliga konstruktioner.

moment

Vad hade hänt Odysseus fortsatt sin lek och vid återkomsten till Ithaka låtit framföra

om

budskapet till den väntande hustrun Ingen hade kommit hem Jo, hon skulle bums ha

att

gift sig med någon de sedan länge väntande friarna. "Ingen hade haft något att beklaga sig

av över.

Hearing identifiering och identitet i digitala miljöer om

Behov av tillit

Lars Ingelstam, Linköpings universitet: Lars Ingelstam ärprofessor i teknik och social förändring vid Linköpings universitet.

"Tilliten är nyckeln för att tekniska lösningar ska fungera"

Inledning Detta avsnitt belyser vikten kunna känna tillit till tekniska och ekonomiska

av att system.

Budskapet Den tekniska designen lösningarna för identifiering och identitet i digitala miljöer

rent av

är nödvändiga något slag tillitsperspektiv. Lösningarna är ickeneutrala.

att testa mot av

Tillit går endast bygga på öppenhet och hederliga system.

att

Kajsa hade plockat korgen frll. Hon klev över den höga tröskeln och började hära den mot

Tekniken ut

och tilliten bron. Regnet sköljde ner fån hennes ljusblå cellofzn. Hon hann emellertid inte många steg

förrän hon hörde hur jansson: vedhoddörr flög Tåhh kom rasande med långa kliv. Han ville

upp.

korgen ifrån henne. Men hon vägrade att den helt. "Vi har den håda två hon. De togi

ta ge sa

varsin ände handtaget och har in korgen.

av

Vad har detta utdrag 1900-talets betydelsefulla svenska Lars Ahlins

ur en av mer romaner,

Tåbb med manifestet 1943, göra med tillitsperspektivet i förening med elektronisk

att handel v 0 s

Texten har något elementärt säga något är lätt glömma bort. Det är

att oss - men som att

nämligen så teknikens egenskaper hänger nära med möjligheten att bygga förtro-

att samman

ende, skapa tillit. En vedkorg lämpligen bär tillsammans, är annat slags tek-

att som man ett

nik och grund för tillit, än alternativa sätt att bära ved.

ger en annan

Den moderna forskningen teknik och samhälle handlar inte särdeles mycket ved-

Tilliten om om

korgar. Den handlar komplexa, svåröverskådliga tekniska system. Det IT-

å nyckeln snarare om stora,

är plattformen för dagens överläggningar är i viss mening det största system

system som en

mänskligheten någonsin har haft och någonsin har försökt sig på.

som

Det kan då nyttigt att tillbaka till den förra hjältetekniken, det förra tekniska syste-

vara

något sätt symboliserade framsteget och stod symbol för teknik och komp-

met som som

lexitet, nämligen kärnkraften. Hur har åsikter och förtroende skapats runt den komplexa

tekniken

Den empiriska forskningen visar nyckelfrågan kring kärnkraftstekniken tycktes tillit.

att vara

De i allmänna drag positiva till denna teknik fäste avseende vid tekniska prestationer,

som var

miljö och ekonomi. De negativa fäste avseende vid miljö, också vid det slags

som var men sociala bar tekniken, det bäddade in den och vilka ansvarade för system som upp som som den.

Från det kan bära med viktig iakttagelse, när andra tekniska system. Det år

oss en ser

inte särdeles poängfullt försöka informera bort brist tillit. Brist tillit eller närvaron

att

tillit skapas nämligen andra sätt.

av

tillit år Tillit är, enligt bruksdefinition litteraturen,

Vad en ur

"tilltron de du arbetar med ska dina intressen i beaktande, även i sådana lägen när du

att som ta

inte äri någon position strikt försvara dina intressen. "

att egna

Hearing om identifiering och identitet i digitala miljöer

Därför är tilliten Det finns tre skäl till att tillitsperspektivet gör sig påmint i vår samtida diskussion

nu om särskiit viktig teknik, samhälle och människa.

0 En del stora komplexa systern måste så beskaffade vi till dem kan fästa tilltro

vara att om

nästan total felfrihet. Det gäller flygledningssystem, många datasystem och energisystem.

0 Vi börjar att inse något ekonomiska filosofer ha vetat i flera hundra år, nämligen

som

brist på tilltro i det ekonomiska livet är utomordentligt dyrbar. Om eroderar

att en man

det slags förtroende aifärstransaktioner och hänger på, kommer det bli

som annat att

mycket dyrbart att installera de kontroller och säkerheter gör att trots allt kan

som man

fungera. I slutänden kan hela det ekonomiska systemet klappa igenom eftersom grund-

förtroendet inte föreligger.

0 Den politiska demokratin är i växande grad skyldig att ta ställning till vissa våra större

av

system. Den måste behandla energisystemet och andra publika system har bety-

som stor

delse för samhällslivet. Tillståndsgivning kräver politisk demokratisk ansvarighet.

m m

Datasträng Det är nyttigt också här göra historisk tillbakaåkning. I enklare samhälle, säg för

att en ett

inte ansikte drygt hundra år sedan, fanns det egentligen inte någon skillnad mellan tilltro till en människa och tilltron till Mänskliga handel, krig och konst skulle alla

ett system. processer som t ex en gång ansikte-mot-ansikte med andra människor. Men redan den moderna ageras ut genom staden och dess tekniska instrumentering, blev det skillnad mellan och individ. Det en systern

blev skillnad mellan ansikte-mot-ansikte och tilliten till det hela. En lång rad relationer

en

blev instrumentella, än personliga.

snarare

Idag utgår vi mer eller mindre ifrån att är inne i en tredje fas, bortom det relativt enkla samhället, också bortom den moderna staden arketyp för samhällsform,

agrara men som en

till något slags samhällsform där har nivå mänsklig relation.

ännu en av

Vilket relation kan etableras med möter datasträng än

en person som oss snarare som en som ansikte Vi ska inte alldeles säkra att skillnaden är jättestor. Många erinrar sig Joett vara

seph Weizenbaums framgångar med den virtuella psykiatern Eliza som han fick att verka väldigt människolik. Så del problemet är inte att de identiteter till vilka man ska hysa

en av

tillit är så olika. Problemet kan istället att de är till förväxling lika.

vara

Så byggs tillit Slutligen kan det bra fråga sig vad går att hämta litteraturen sådana fakto-

vara att som ur om

kan bygga tillit vi allmänt är överens tillit både till och till

rer som - om om att system perso-

är problem behöver tänka på. Tillit mellan två parter bygger att

ner, ett som

det råder respekt mellan respekt i allmänhet måste bygga be-

0 parterna - en som en

kantskap och ömsesidig förståelse

en

det finns kompetens, insikt, så det är möjligt bedöma den andra

0 en en att att partens

kompetens och den andra sina problem

partens syn egna

0 andelarna i för att formulera spelreglerna parterna emellan är ganska lika

ansvaret

det går urskilja positiv historia relationer och bevisad förmåga att ta på allvar

0 att en av en

de omständigheter påverkar parternas relation

som

ska ha möjlighet bedöma relativt tydligt och klart konsekvenser med viss

0 parterna att en

handling handling som jag gör mot dig, en handling som du gör mot mig. Denna

- en

sista egenskap har kanske den mest problematiska innebörden för den tekniska utvecklingen: i komplexa är orsak och verkan svåra att urskilja.

system

Hearing identifiering och identitet i digitala miljöer om

tekniken i Dessa dimensioner i tillitsbyggande är inte så lätta åstadkomma i samband med tek-

Testa att stora

niska Det är egentligen därför vi behöver föra denna diskussion. De är inte lätta att

tiuitsperspektiv system.

åstadkomma i energisystemen. De är verkligen inte lätta att åstadkomma i samband med

datanät och virtuell kommunikation.

Det leder till grundläggande minnespunkter för fortsättningen:

tre

0 Testa den rent tekniska designen lösningarna mot ett tillitsperspektiv Lösningarna är

av

icke neutrala. I själva verket är de mycket ingripande i förmågan att visa tillit än vad

mer oftast har lust räkna med. att

Bygg tillit öppenhet Tro inte den vill ha slutna begränsad insyn, tre-

0 av som system, dubbla lås. Ibland måste acceptera sådana, de har alltid bevisbördan emot sig. man men

Sträva efter hederliga system Hederliga människor, hederliga instrumenteringar.

Hearing om identifiering och identitet i digitala miljöer

Behov av IT-utveckling

Ulf Jonströmer, AU-System AB:

Ulfjønsträmer är VD för AU-System AB, Stockholm.

"Smarta kort säkraste vägen för tillämpningar"

nya

Inledning Detta avsnitt belyser varför digital identifiering/signatur behövs i IT-perspektivet.

Budskapet Smarta kort är det klart bästa sättet för identifiering och identitet i digitala miljöer.

Säker identifie- Problemet är idag inte längre kommunicera min PC säkert med

att genom ett sätt t ex

ring är ett krav bankens dator över Internet säkert sätt ingen kan avlyssna eller förvränga. Proble-

ett som är istället säkerställa det är rätt och inte någon sitter bakom met att att person - annan som -

tangentbordet och genomför olika transaktioner.

Alternativa sätt Det finns flera alternativa sätt för lösa problemet i IT-perspektiv. Ett traditionellt

att ett sätt

för identifiering identifiera sig säkert sätt, är eller kundnummer plus lösenord.

att ett att ange person- ett

Efterhand måste komma ihåg många sådana lösenord och de är ganska statiska tiden.

över

Ett något bättre alternativ är engångslösenord, d banken lämnar lista lista

v s att ut en en

lösenord där användaren stryker efter allt eftersom de används. Ett tredje sätt, särskilt i

ett ett bankvärlden, att använda liten säkerhetsdosa lösenordsdosa lösenordet. en som genererar

Den lösning SEIS står bakom bygger användning kort aktiva kort och

som av smarta

den har likheter med säkerhetsdosan i bemärkelsen det är någonting är fysiskt. Det

att som

sista sättet är biometri, använda fingeravtryck eller någon kroppsdel för

att t ex att annan att

koppla transaktionen till individ.

en

Rangordning En betygssättning med skalan 0-5 för de olika metoderna visar följande:

som

SecuredElectronic Information in Society, SEIS, är ideell svenskförening med ett femtiotal förvaltningar och företag medlemmar. en som Föreningens syfte är att höja IT-säkerheten främst för nätanvändare som fokuserar säkerkommunikation, säkert distansarbete i nätverk och säkerelektronisk handel.

i SOU98:36

Hearing identifiering och identitet i digitala miljöer om

Tekniken med kort och kryptering med öppen nyckelteknik kan tyckas någon-

SEIS-konceptet smarta som p|attformen ting har funnits sedan femton år. ger nytt, men

Det intressanta idag är SEIS har tagit fram specifikationer och förslag till standarder,

att som

också rad leverantörer har ställt sig bakom. SEIS har mycket central roll när det gäller

en en

skapa den viktiga bryggan mellan själva tekniken och befintliga och tillämpningar där

att nya

tekniken är användbar. Det fordras år utvecklingen av ett antal programvarumoduler

som nu

för kunna skapa det är identiteterna, kunna dem säkert sätt, att

0 att som att ge ut ett

in dem tillförlitligt sätt det kortet så det inte går att knäcka

stoppa ett smarta att

och den är utgivare kan ställa sig bakom garant för kortet

att som som

kan dra identiteterna, de korten, för identifiera och 0 som nytta av smarta att generera signaturer 0 s v.

traditionella tekniska perspektivet har handlat mycket låsa in information för

Öppnar för nya Det om att att

skydda den skurkar och det år helt visst fortfarande giltigt.

ti||ämpningar mot -

dagens också nyckel för säkert komma åt information och för

Men i läge är tekniken en att

möjliggöra för bankärenden Internet, studera sjukjournal eller säkert göra

att att göra en deklaration över nätet. en

Hearing om identifiering och identitet i digitala miljöer

B. är

Vilka berörda

Översikt

Här diskuteras vilka behov finns digital identifiering och signatur för olika tillämp-

som av ningar hos

0 offentliga sektorn

0 individen

0 näringslivet.

Hearing om identifiering och identitet i digitala miljöer

Offentliga sektorns behov

Britta Johansson, Statskontoret:

Britta johansson är organisationsdire/etär vid Statskontoret, Stockholm.

"Stora förväntningar på att få en infrastruktur för säker kommunikation"

Inledning Detta avsnitt belyser offentliga sektorns behov för säker identifiering och identitet i

av system

digitala miljöer.

Budskapet Nya säkerhetslösningar är väg i offentliga sektorn, men ett införande kan ta tid eftersom det bl kan behövas anpassning lagstiftning. Inom stat, kommun och landsting finns

a av

stora förväntningar på att tillgång till en infrastruktur där i princip alla som vill kan nå

alla i hela samhället. Ett första är genomföra beslutad upphandling aktiva

steg att en av

identitetskort för tjänstemän. Men osäkerheten efterfrågan, tillämpningar och

är stor om vilken teknik är den mest hållbara för framtiden. som

Projekt inom Det arbete sker sedan år inom Toppledarforum sammanfattar behov och kravställan

som tre

Toppledarforum inom offentlig verksamhet. Projekt inom Toppledarforum berör a rättsliga frågor vid över-

gång till elektronisk kommunikation, de berör elektronisk elektronisk handel, plattform

post,

för informationsutbyte och WWW-ingång.

en gemensam

Nödvändigt Toppledarforum gjorde 1994-95 studien Lexit om lagliga hinder för en elektronisk förvaltlagändring ning", d övergång till elektronisk kommunikation kan innebära rättsverkan

med v s om en samma och samma

funktioner den traditionella pappersbaserade hanteringen.

som

Uppföljningen Post Lexit visar att en del har hänt. Men fortfarande finns mycket att göra när

det gäller lagstiftning. Det är problem och ofullständigheter i förvaltningslagen, datala-

a

och tryckfrihetsförordningen där offentlighetsprincipen ingår. På väg i datalagskommit-

gen

téns förslag finns begreppet allmän uppgift ersätter allmän handling.

som

Sekretesslagen hindrar rationellt utnyttjande teknik när olika delar kommun

av av t ex en

utgör olika myndigheter. Ändringar i begreppen myndighet kan här rationalisera upp-

giftslärnnande mellan myndigheter.

Ett exempel är utredningen Elektronisk dokumenthantering. Där föreslås enkla medel

om att

ändra i förvaltningslagen, så det enkelt går att acceptera digital signatur.

att

Det är hel del krävs för åstadkomma den tillförlitliga, stabila och öppna elektro-

en som att

niska infrastruktur är nödvändig för IT-baserad dokument- och ärendehantering

som en som

inkluderar full rättsverkan och personanknutet ansvar.

I På år har mycket arbete kring IT i offentlig sektor bedrivits inom för Toppledarforum. Toppledarforum är en senare av gemensamt ramen sammanslutning generaldirektörer i antal statliga myndigheter, landshövding och direktörer i Svenska Kommunförbundet av ett stora en och Landstingsförbundet. Toppledarforum leds finansminister Erik Åsbrink. Syftet med Toppledarforum är att använda IT för att skaav effektiv och serviceinriktad offentlig verksamhet. Detta innebär även användatekniken för att nå mellan myndigheter, mellan pa en att myndigheter och företag, och myndigheter och allmänhet.

Toppledarforum är även unikt sätt samarbeta sektorsgränserna i mellan stat, kommun och landsting. Arbetet i Toppledarforum beett att drivs i projektform, där olika deltagare Toppledarforum har i åtagit sig projektledarskapet.Utvecklingen har i stor utsträckning sammanfallit med genombrottet för Internet och det har präglat Toppledarforums arbete. Flera Toppledarforums projekt har fastslagit att när av det gäller informarionskanaler med och mellan många, finns det definitivt ingen konkurrent till Internet och dessteknik.

Hearing om identifiering och identitet i digitala miljöer

Olika profiler Toppledarforums projekt Gemensamma plattformar för informationsutbyte" strukturerar

för användning frågeställningarna kring identifiering och användningen av öppna nät. Här framgår vilka olika tillämpningar är angelägna och när och hur det behövs identifiering och vad det

som

ställer för krav utvecklingen.

Projektet definierar fyra användningsprofiler när det gäller pålitlig kommunikation mellan myndigheter om omvärlden dessa är

-

Spridning av myndighetens information främst webb-information. och Individ- och företagsspecifik information till och från myndigheten.

Samverkan i ärenden mellan olika myndigheter.

Klassning för En del arbetet rör säkerhetsfunktioner, funktioner för identifiering, insynsskydd och

av 0 s v säkerheten resultatet är fem klasser säkerhetsfunktioner och definition säkethetsfunktionaliteten. av en av

Säkerhetsklassningen av s k spridnings- och hämtningssystem består av:

Klass l

Det finns även skäl informationslämnaren är säkert identifierad, när det gäller upplys-

att

ningar från myndigheter. Det kan, när det gäller spridningssystem, ibland finnas behov att

av

identifiera efterfråga viss information. Emellertid har detta projekt inte

vem som ansett att

någon speciell identifiering behövs för spridning av allmän information från myndighet till

allmänhet. Exempel: lagtext, bestämmelser, platsannonser.

Klass 2

Offentlig information sprids betalning ställer krav identifiering

som mot av mottagaren. Klass 3

Information enskild individ från myndigheten ställer krav säker identifiering, åt-

om en

komstkontroll och spårbarhet. Även åtkomstskyddad överföring är lämplig. Exempel: utdrag

ur datalagen.

Klass 4

Information från enskild eller företag till myndighet, utan krav underskrift,

en person en

ställer krav säker identifiering och spårbarhet. Exempel: tillfällig adressändring.

Klass 5

När uppgifter från allmänhet eller företag till myndighet ställer krav underskrift kommer krav säker identifiering, spårbarhet, säker överföring, signering och kvittens. Det kräver tillgång till utrustning medger digital signatur och myndigheten har fått möjlighet

som att att

digital signatur. Exempel: deklaration och ansökan bostadsbidrag.

acceptera en om

Flera de beskrivna kontaktvägarna realiseras lämpligen med elektronisk post.

av

Hearing identifiering och identitet i digitala miljöer om

Elektronisk Toppledarforum har haft ett särskilt projekt kring elektronisk post där också har gjort en del struktureringsarbete för olika säkerhets- och pålitlighetsnivåer på elektronisk post, dels

post

hur det ska överföras också hur det ska hand inom myndigheten, kommunerna

men tas om

eller landstinget. Idag finns det ganska mycket frågor. Människor myndigheter undrar

t ex:

"Kan vi e-post Vi måste till det blir diariefört. Måste publicera våra listor

ta emot se att

med inkomna poster Många sådana frågor finns fortfarande.

När det gäller användning e-post i myndighetsutövning finns fortfarande en viss för-

av ren

siktighet från offentliga I utredande och kontaktskapande arbeten är det inga större

organ.

hämningar. Men i sammanhang där måste följa sina regler finns en stor försiktighet.

man

Toppledarforums projektet för elektronisk har definierat nivåerna

post e-post

e-kort 0 e-brev 0 0 e-rek.

De har olika grad förtroende. I första hand rekommenderas SMTP-post för all e-post-

av

kommunikation. Den pålitliga elektroniska posten är döpt till e-rek", med associa-

mest en

tion till rekommenderade brev. Men det ska inte tolkas bokstavligt, det är

utan snarast att en elektronisk kan lita på är säker den kommer från och post som man genom att man vem

den får gärna insynsskyddad också kryptering. Det ska också finnas bra rutiner

vara genom

på myndigheten för hand inkommande och utgående e-post.

att ta om

Arbetet med försöka realisera den säker elektronisk post sträcker sig längre än

att typ av som

mellan kommit överens påbörjar Hittills är det begrepp. Försöks-

parter som nu. mer ett

verksamhet kan komma i gång under första halvåret 1998.

Toppledarforums projekt kring elektronisk handel visar definitivt behov identifie-

Elektronisk ett av handel ring de kommunicerande parterna. av

Än så länge bygger lösningarna det är avtalsbundna d det finns i förväg gjor-

att parter, v s

da överenskommelser mellan leverantör och upphandlande myndighet. I planerna

på papper

för implementeringen elektronisk handel ingår användningen smarta kort aktiva kort

av av för hantera certifikat. att

Alltså det gäller myndigheter, såväl statliga kommunala och landsting, finns stora

Det finns stora när som -

ska tillgång till infrastruktur där i princip alla vill kan nå förväntningar förväntningar att man en som alla i hela samhället. I Toppledarforums olika projekt framgår framväxande behov

ett stort av

säker identifiering, möjlighet till signering och gärna även möjlighet till insynsskydd i form

av

kryptering.

Men det ställer också väldigt krav förtroende, tillit, tillämpningar. Det gäller u att

nya

försiktig, därför vi får absolut inte i glädjen rationalisera med teknik

vara att över att ny

skada förtroendet för offentlig verksamhet. Det är grundläggande att kunna lita myndig-

heterna.

säker identifiering i det avseendet grundfunktion. Det måste komma till

Frågan om är en stånd. Utöver det finns mycket måste kunna lita näten.

annat som man

Hearing om identifiering och identitet i digitala miljöer

Smarta kort Ett projekt inom Toppledarforum stort intresse handlar smarta kort. Nu är behoven av om av aktiva kart identifiering, kryptering och signering identifierade. Det finns förslag att dessa funktioner om ska införas och kort ska användas för lagring nycklar och certifikat. Det ska att smarta av bilda grunden till säkerhetslösning för den offentliga sektorn. en

Bland önskemålen ytterligare klarlägganden fanns kortutfärdande och certifieringsrutiom nerna inklusive den öppna-nyckel-infrastrukturen samt frågor kring sårbarheten. Här fanns

också sådant har göra med lagstiftning området och samhällets tillsyn verksam-

som att av heten.

Detta projekt har gjort omfattande kartläggning planerna i offentlig sektor använden av ning av smarta kort. Av kartläggningen framgick, att en tredjedel av de tillfrågade vid tidpunkten för enkäten hade erfarenhet smarta kort eller beslut, planer och idéer framtida av om användning av sådana. De viktigaste användningsområdena var kontroll av användares identitet i olika avseenden och behörighet till datorer och IT-system. Men planer fanns också nyttiggörande användning av smarta kort som bärare av annan information.

Projektet föreslår att man skiljer kort för anställda i offentlig sektor s k anställningskort

och de kort det är tänkbart övriga aktörer, allmänhet och företag kan använda i sin som att

kontakt med myndigheter s k servicekort. I projektets slutsatser ingår till börja med

att anställningskorten. Dessa kan användas för intern behörighet, men även för ärenden som

hanteras mellan olika organisationer inom offentlig sektor. Förslaget att göra upphandling

en sådana kort bygger lösa kortsiktiga problem, samtidigt bygga struktur av att men upp en in i andra aktiviteter och har förmåga att växa till lösning. Inte som passar som en gemensam minst inom sjukvårdens område är behovet idag och flera landsting är på gång med stort planer.

Införande Toppledarforum har beslutat av att smarta kort 0 utreda och . för kortutfärdande och certifiering . och därmed n rutiner organisation sammanhängande frågor för i första skedet den offentliga sektorn

0 etablera samordnings- och kompetenscenter för den offentliga sektorn samordnat av ett av Statskontoret med uppgift att ge information, tips, råd och handfast vägledning

upphandla i regi Statskontoret rutiner för utfärdande och certifiering kort 0 av av smarta för tjänstebruk "anställnings/personalkort" för möta efterfrågan kortbaserade säatt kerhetslösningar hos offentliga myndigheter och organisationer inom den närmaste tiden

0 arbeta för till stånd de förändringar i lagar och andra regler är nödvändiga för att som effektiv IT-användning och IT-säkerhet flera dessa frågor är redan utredda i andra en - av sammanhang

Inga invändningar är framförda i remissyttrandena mot att projektets tredje del även fullföljs, planer, idéer och tankar nyttiggörande elektroniska servicekort" för allmänv s att om av hetens kontakter med den offentliga sektorn också blir belysta. Några remissinstanser räknar i själva verket med att sådana servicekort kommer.

Ett bra elektroniskt servicekort för allmänheten är i detta avseende därför inte principiellt sett särskilt annorlunda än ett elektroniskt kort för tjänstebruk. Samma grundläggande funktiobehövs. Till skillnad från förslaget kort för tjänstebruk kan däremot tänner om smarta man ka sig, servicekorten blir bärare även information än de hemliga nycklarna. att av annan

Hearing om identifiering och identitet i digitala miljöer identitetskort Det är inte tänkt att de digitala kort kommer att användas tjänstemän ska bära som av en och certifikat mängd information, inriktade identifiering, signering och insynsskydd. utan vara Här är en jämförelse mellan det konventionella identitetskortet plast och den digitala av nya identitetshandlingen, certifikatet. Fysisk Digital identitetshandling identitetshandling

Identitetskort Certifikat

Informationssäkring Säkerhetstryck Digital signatur

Identitetsuppgifter Namn, personnummer Namn, personnummer land land

Utfärdare Kortutfärdare Certifikatutfärdare

Kvalitetsmärkning SIS Certifikatpolicy

Unikt kännetecken Foto, namnteckning Publik nyckel

Fysisk karakteristik Digitalt identitetskort Veriñering Personens utseende samt Förmåga att använda rätt innehavaren förmågan att skriva privat nyckel av namnteckning

Tillämpningar Tillämpningar där det behövs säker identifiering är 0 e-post generellt inom hälso- och sjukvården, remisshantering, journaler och samspel mellan kommu- 0 t ex och landsting ner remisshantering mellan myndigheter och departement eller utredningar 0

0 distansarbete som ökar i betydelse även i offentlig verksamhet

0 behörighetskontroller 0 i ett längre perspektiv många tillämpningar potentiellt möjliga för digital signatur i kommunikation med företag och medborgare.

Hearing om identifiering och identitet i digitala miljöer

Upphandling Det kommer ske upphandling identitetskort för tjänstemän. Det arbetet är

- att en av smarta

bmansgång påbörjat. Men det finns hel del frågetecken räta och det behöver göras ställ-

en nyss en att ut

ningstaganden. Några frågor är

Vad finns det egentligen för tillämpningar går att använda

som

Om köper kort, vilka tillämpningar kan använda dem

nu smarta

Vilka myndigheter är det tänker använda tillämpningarna

som

Finns tillräckligt stor marknad

en

Mycket är alltså oklart och ofärdigt.

Det är t inte alldeles säkert att det går att ta SEIS-specifikationen den är. Certifikaten

ex som

behöver förmodligen olika för olika tillämpningar.

vara

Det är viktigt sig till vad händer med de drakarna

att anpassa som stora programvaru-

marknaden. Det är ingen större mening att i Sverige sätter i gång och använder tillämp-

ningar, det finns risk för att marknaden efter något halvår köra över vår definition med om

dunder och brak, Det gäller specifikationerna till sådant kommer.

att anpassa som tror

Alltså, det är balansgång när det är dags att göra upphandling.

en

Konsekvenser Om vi skapar möjligheter för signerade dokument eller signerad vad betyder det i

e-post -

för verksamhet myndighetens verksamhet I vilka fall är det kanske något som kan ersätta en annan metod

Det behöver utredas.

I vissa fall kanske det krävs lagändringar. I andra fall kan det räcka att myndigheten ändrar

sin rutin. Det kan behövas förordning. Regelverk finns många nivåer.

en

Den diskussionen behöver hand i hand med förberedelser för upphandlingen.

lnternet- Internet-utredningen, lämnades Statskontoret till Kommunikationsdepartementet i

som av utredningen oktober 1997, beskriver säkerhetsarkitektur med funktioner många nivåer. Utöver nien

vån för textskydd behövs skydd nätnivå, för adressinformation i DNS, för vägvalsin-

t ex

formation och touring-information.

annan

Alla nät är i grunden osäkra. Användaren kan inte vänta sig att öppna allmänna nät In-

som

är säkra och måste därför skydda sin information. Utredningen rekommenderar

ternet att

försvarets granskning och kryptering även kan användas för civila ändamål. Öppna,

test av

internationellt kända algoritmer bör användas. Det bör enkelt att byta algoritmer.

vara

Utredningsgruppen föreslår eftersom PGP är relativt utbrett, att möjligheter skapas för

a,

signering PGP-nycklar. I förslaget illustreras exempel där Posten och Swedac är involve-

av ett

rade. Posten har rollen Certification Authority för Sverige för PGP-nycklar. Swedac har

som

certifierat Posten. Utredningen föreslår även Swedac bör i uppdrag att utreda det

att om

med stöd Lagen teknisk kontroll kan skapas en ordning där Swedac bedömer och ac-

av om

krediterat provnings- och certifieringsorgan med uppgift att prova och certifierat CA. Dess-

bör CA kunna korscertifieras. utom

Planer för Toppledarforum arbetar vidare med

Toppledarforum

0 utredning om servicekort försöksverksamhet med signerad elektronisk post e-rek och

rådgivning teknik lämpad för arbete med geografisk spridning, distansarbete.

0 om a

Hearing identifiering och identitet i digitala miljöer om

Utfrågning av Britta Johansson, Statskontoret

Utfrågare: Projektledare Hans H Lindén, Toppledarforums projekt Aktiva kort.

0 Projektledare Jerker Sjögren, Stockholms stad.

Internet är på väg att bli det i elektronisk infrastruktur men vilken tillit finns till nätet i den 0 en offentliga sektorn

Svårt säga. Myndigheter använder nätet idag huvudsakligen för informationsspridning.

att Den information finns hemsida litar väl människor i något skede. Men det som en om

verkligen gäller, ringer förmodligen och frågar eller ber att informationen i ett

man om

brev. Ingen vågar skicka överklagande måste inne ett viss datum med e-post

nog ett som vara

kvittens. Det krävs nätet för det ska fungera.

utan att en mer av att

Internet kommer att användas for säker elektronisk post hur är elektronisk post på olika nivåer 0 - men inom oHentlig förvaltning och hur kommer utvecklingen att bli

Toppledarforum driver myndigheter ska mottagliga med elektronisk post, d de

att vara v s

ska ha e-postadress dessutom gärna ska bevakas registrator. Därutöver får gärna alla

en som av

handläggare också ha e-postadresser. Någon e-postadress har cirka 75 alla offentli-

procent av

ga organisationer idag.

Men det är osäkert hur det används och i vilka volymer. Gissningsvis är det så for-

att mer

mellt och bundet ärende är, desto försiktig är med att använda e-post än så

ett mer man

länge. Men det börjar bli teknik liknar vad hur kommunicerar med sin

om en som man t ex

bank, då ställer knappast större krav kommunikation med myndigheter än vad

man man gör sin kommunikation med banken. Det krävs för säker kommunikation med bansom ken, det sätter också för resten. normerna

0 Där är digital signatur är en del

Ja, åtminstone identifiering. I vissa fall är det signaturer.

Finns det risker med starkt ökad användning Internet och elektronisk post på sikt 0 en av

En risk kan drunknar i kommunikation. Den risken kanske politikersidan

vara att man ser och därför kan spärr. Det finns också risk för attacker när någon kan man sätta upp en utge

sig för någon i allvarliga sammanhang. Flertalet myndighetskontakter är inget

att vara annan

människor har frivilligt, det är något har betydelse för liv och ibland ett

som utan som ens

negativt sätt. Det är klart det finns risker.

att

Hearing om identifiering och identitet i digitala miljöer

0 Uppslutningen kring förslaget om en gemensam IT-säkerhetslösning är stor. Nu ska Statskontoret genomföra en upphandling. Många är rädda För att upphandlingen blir utdragen att Statskontoret en process genom gör det till ett alldeles for stort paket tar tid och blir svårt att hantera. Tänker ni äta elefanten som genom att dela den i mindre bitar När kommer de Första konkreta resultaten upp

Vi har skurit bit elefanten att begränsa till tjänstekorten. Arbetet börjar

en av genom oss ge-

nom att fördjupar behovsanalysen genom att ställa frågorna

Vilka organisationer vill ha lösningen

Vad ska de ha den till

Hur deras krav ut för att ett bra underlag för upphandling

ser

På så vis får volymen och får avstämt vad korten faktiskt ska innehålla. För-

grepp om väntar sig saker Ska ha typ certifikat eller är det olika saker l det man samma man samma av

arbete gör har det inte varit alldeles självklart vilka ska kontakta och vilka ska tala

som

med. Snarare har jag upplevt det när det verkligen kommer till kritan är det tvek-

motsatta att

det finns något underlag. Det är jag orolig för.

samt om mer

I nästa ska det fram kravspecifikation. Där samarbetar gärna det är andra

steg en om som

i liknande ärenden. Sedan blir det upphandling och den månader minst. Vi

är ute tar ett par räknar med klara under hösten 1998 allt går det ska och det visar sig det att vara om som att finns behov o s v.

fler kontakter får konkretisera, desto lättare blir arbetet. Det är alltid bra ha som att att

med sig organisationer faktiskt tänker använda det de köper. Det blir mycket bättre krav

som då. Så kom igen Då blir det bra.

För att utveckla en elektronisk infrastruktur där vi drar full nytta av digitala identiteter och signaturer vad är det mest väsentliga fortsättningsvis måste göras for att få så snabb utveckling möjligt som en som

Det behövs tydliga och entydiga överenskommelser för hur det ska och vad ska

se ut man

Hur ska det fungera Vilka läsare ska det vara standardprodukter kommer,

gora. mer som

desto lättare är det. Men det behövs också allmänt spridda och lättanvända tillämpningar.

Vi går fram för Om gör upphandling kring identitetskorten så det finns

steg steg. en att

något köpa, har kommit över tröskel. Men samtidigt, för det ska användas, krävs

att en att

det något definierat hur ska använda det. Man måste bestämma sig för hur ska

om man

tillväga med där har säker identifiering. Webb-läsare hur går de kombine-

e-post man en - att

med korten Frågetecken finns också kring vilka certifikat ska ha och hur de fungerar.

ra man

Där finns det problem och hinder. Det är nödvändigt arbeta flera fronter samtidigt.

att

Regelverk och lagstiftning är också stora frågor.

Hearing om identifiering och identitet i digitala miljöer

0 Du redovisar en väldig försiktighet hos offentliga myndigheter i användningen elektronisk kommunikaav tion, eftersom man inte gärna vill bryta mot existerande regelverk. När det gäller Lexit och Post Lexit har det hänt väldigt lite. För två år sedan kom utredningen digital signatur. Sedan har ingenting hänt. Idag om tillkännager Kommunikationsdepartementet att arbetet börjar med den Under tiden har regeringen kritiserats för en obegriplig och oüirsvarlig passivitet, speciellt jämför med vad sker i andra om man som länder. Har regeringen varit fiir passiv

Säkert hade det gått snabbare i vissa frågor. I andra frågor kan det fortfarande finnas

att vara

stora osäkerheten Ska lagstifta digitala signaturer ska gälla över hela linjen,

man t ex om att

måste väldigt säker 1 vad digital signatur är och 2 vad den står för.

man vara en

Men det mycket bra att samlad drivkraft bygger alla har glädje

vore en som att av att

rationalisera med elektroniska medel. Det behövs helhetsperspektiv, så snabbt får

ett att en

lösning.

Hearing om identifiering och identitet i digitala miljöer

individens behov

Louise Yngström, Stockholms universitet:

Louise Y ngström är universitetslektor via institutionen får data- och systemvetenskap vid Stoc/e-

holm: universitet/KT H

"Frågan är komplex och därför behövs ordentlig debatt och samverkan"

inledning Detta avsnitt belyser tillämpningar och digital identifiering för människan i privatrollen.

Budskapet En kritisk fråga är avgöra balanspunkten ska sättas mellan

att var

0 privatpersoners behov att bli unikt och säkert identifierade över flera system

och

systembyggares förmåga att tillhandahålla rationella, effektiva och ekonomiskt försvar-

0 bara tjänster.

Det finns många skäl sådana tjänster vi normalt uppfattar självklara,

att anta att som som

inte går realisera med IT-stöd inte individens identitet unikt och säkert kan klarläg-

att om

Den personliga Personlig integritet är begrepp de flesta människor har uppfattning

ett som en om - men som

svårligen låter sig definieras. Alla kulturer tycks omfatta begreppet i någon mening,

integriteten men

uppfattningarna vad ska ingå skiftar.

om som

Det räcker försöka jämföra europeiska uppfattningar för att ska olikheterna i

att man se -

Sverige har körkorten bild och namnteckning, medan i Storbritannien har de inte bild

ens en

av innehavaren eftersom det anses integritetskränkande. I Sverige anses uppgiften om en kvinnas ålder inte speciellt integritetskänslig, medan det i Frankrike mycket privat

är en upp-

gift.

Många personlig integritet och form integritet familjens eller

anser att - annan av som t ex inte ritet är kulturell konstruktion, har sitt och rationalitet i ett g ru PPens g - en som urs run g

viktigt fysiologiskt behov t Lunheim 8C Sindre, 1994.

ex

Svensk integritetsdebatt har ofta knutits till våra och till identifiering

personnummer av oss

privatpersoner. Personnumret är unikt för varje svensk och alla officiellt uppehål-

som - som

ler sig här och det kan knappast klara sig i dagens samhälle. Det används i tid och

- utan man

otid och får när frågar varför ska lämna sitt är att "systemet är

svaret man man man nummer

upplagt då

såi. Man menar datasystemet.

Men i debatten blandas päron och äpplen. Frågan behovet att bli identifierad ska inte

om av

blandas ihop med frågan det rationella i allmän användning iden-

om av personnummer som

tifiering i datasystemen.

Behovet upplevs inte nödvändigtvis lika olika parters synvinkel, liksom uppfattningen om

ur vad är rationellt kanske inte delas alla. som av

Hearing om identifiering och identitet i digitala miljöer

Unik och säker Givet att vi har genomförbar unik identifieringsmöjlighet varje individ i vilka situa-

en av -

identifiering tioner kan det finnas ett gemensamt behov hos både privatpersoner och systembyggarä

att använda den

I själva verket har vi privatpersoner många exempel på när vill bli unikt och säkert

som identifierade.

Unik innebär att inte bli sammanblandad med andra personer.

Säll innebär våra uppgifter gottskrives och ingen

att oss annan.

Hit hör uppgifter berör vårt fysiska välbefinnande vi vill självklart inte bli sarnmanblan-

som

dade med andra patienter och kanske fel behandling sjukhuset och uppgifter berör

som

tjänster eller service vi efterfrågar vi vill inte ha våra räkningar sammanblandade med

som

andra kunders eller våra beställda tjänster levererade till andra personer.

Däremot är det inte självklart att privatpersoner upplever behovet unik och säker identifie-

av

ring när syfiet med identifieringen primärt är någon form kontroll individen.

av extern av

I sådana fall blir privatpersonens uppfattning hur hon kan bli påverkad utförd kontroll

om av

avgörande för behovsupplevelsen. Effekterna av t ex en identifiering i samband med en körkortskontroll kan säkerligen uppfattas helt olika i olika situationer.

Finns ingen Det finns ingen rikslikare för hur privatpersoner uppfattar behovet unik och säker iden-

av

"riksukare" tifiering, lika lite det finns definition integritetsbegreppet.

som en gemensam av

Däremot kan det utvecklas uppfattningar vad är ett rationellt beteen-

gemensamma om som

de, givet antaganden och förväntningar förtroende för omgivningens reaktioner i

om samt allmänhet.

T vill många Balkan idag inte ha unik och säker identitet historien har

ex personer en -

lett dem till att genomgående misstro varje form överhöghet. Det finns t ett speciellt

av o m

kommunikationsprotokoll, det ottomanska, är konstruerat för kommunicerande

som parter där alla misstror alla

I Norden och i Sverige har idag inte riktigt sådana historiska erfarenheter, inte refere-

om

till Gustav Vasas ISOO-tal, då fogdarnas räder i landet gjorde människor inte ville

rar att vara

unikt och säkert identifierade. Det fanns också period under 1600- och 1700-talen då

en

stora utskrivningar av soldater till krigen, baserade kyrkans folkbokföring, gjorde att några barn i starkt socknar inte registrerades i kyrkoböckerna.

utsatta

Hearing om identifiering och identitet i digitala miljöer

Underskatta Det står rätt klart att vår benägenhet bli unikt och säkert identifierade kopplat till vår

att är

inte rädslans uppfattning om vilka följderna kan bli för blir de positiva eller negativa

oss som personer makt och vilken del överväger

I Danmark har försökt introducera kort med funktioner för unikt och säkert man smarta att

identifiera alla danskar elektroniskt. Konceptet är i princip detsamma det svenska SEIS,

som

men introducerades medborgarkort inte identitetskort.

som ett - ett

Precis i Sverige idag, hade danskarna insett de potentiella fördelarna i unikt och

som att sä-

kert kunna identifiera danska medborgare och vilka rationaliseringsvinster inom databehandlingen och i kommunikationen mellan människor och organisationer skulle kunna göra.

man

Den danska informationssamhället år 2000 gjorde liksom flertal liknande

rapporten om ett

svenska rapporter klart, unik och säker elektronisk identitet grundvalarna

att en utgör en av för ett säkert IT-samhälle. Människor behöver säkert med de handlar, de veta vem av vem

beställer Danmark är relativt likt Sverige och det finns all varor, etc. anledning att studera

varför projektet Medborgarkortet åtminstone just nu är lagt på hyllan.

En slutsats dragits många t Andersen, 1997 informationen och den därefter

som av ex är att

följande debatten blev alltför komplex och alltför blandad med den allmänna internatio-

-

nella debatten kryptering.

om

Professor Mads Bryde Andersens råd vid säkerhetskonferens våren 1997 i Köpenhamn

en stor löd:

"Underskatta aldrig radslans ma/et, be inte politiker hantera alltför många komplicerade frågor samtidigt och lämna aldrig saker/Jetsfågørna enbart till säkerbetspecialisterna/"

Olika bruk Om vi skulle Mads Bryde Andersen orden, så skulle tvingas här, eftersom unik

ta stanna

kryptering och säker identifiering idag realiseras med kryptering. Vi kommer inte undan detta faktum.

av

Många känner olust inför det okända. De har kanske också tagit del den internationella

av

krypteringsdebatten, där det framgår att krypteringsnycklar eller sätt kanske

ett annat

kommer kontrolleras eller innehas andra länder. Men detta gäller

att av krypteringsnycklar för sända förvrängda textrneddelanden -inte nycklar behövs för unikt och säkert

att som att signera ett meddelande.

Människan gör i alla livslägen olika riskbedömningar. Det visar sig mindre känd

att en

metod eller teknik är, desto högre relativ risk uppfattas den innebära. Hamilton Hamilton,

1996 påpekar till exempel kan risken bilolycka, knappast have-

att acceptera av en men ett i ett kärnkraftverk, alla siffror visar många fler människor dör i trafiken än i trots att att samband med kärnkraftshavericr.

Hearing identifiering och identitet i digitala miljöer om

Ibland har behov oidentifierade, d Som svenska med- Behovet att av att vara v s anonyma, utan namn.

och önskan i många fall. Vi kan också använda borgare har både rätt att vara anonyma ett vara anonym andra alias eller pseudonym, utifall någon skulle vilja referera till namn, ett en annan person

eller vi själva i något fall skulle vilja referera till tidigare eller händelser. oss, om utsagor

Författare har i alla tider använt sig pseudonymer vissa har blivit kända i efterhand, andav inte. Ibland upplevs pseudonymerna verkliga och människor ägnar sig åt att ra som namn

försöka gissa döljer sig bakom viss pseudonym, som t ex an-öran Stenhagen vem som en

eller Bo Balderson.

I Internets kan välja sig och bygga helt identitet chat-grupper man ett nytt namn upp en ny

vill ingen kan kontrollera det i alla fall. Och jag kan skriva brev eller tala i telefon i om man eller alls. I de flesta dessa fall finns inget behov att bli annat namn utan att uppge namn av av

identifierad unikt och säkert och då finns det inte heller något behov unik och säker av en elektronisk identifiering.

I bok Rosanne Stone Stone, 1996 berättas hur manlig New York-psykiater hade en av en kvinnliga Därför han kvinnligt alias och gick med

problem att förstå sina patienter. antog ett

Han byggde helt identitet, berättade sitt i diskussionsgrupper Internet. upp en ny om

påhittade liv och råd till andra kvinnor. Han blev mycket populär bland sina Internetgav väninnor och själv han blev mycket bättre yrkesman dessa erfarenheter. tyckte att en genom

Problemen började när psykiatern ville hoppa diskussionerna. Han ville inte röja sin rätta av identitet och syften, försökte dö". Slutet historien blev han inte

sina ursprungliga utan att

kunde genomföra sin elektroniska död trovärdigt sätt. Hans Internet-väninnor fick ett reda hans riktiga identitet. De kände sig lurade och blev mycket även fysiskt. arga -

Historien lär det inte är så lätt uppträda helgjutet elektroniskt alias, Koppling mellan oss a att att som ett

och kopplingen mellan den virtuella och fysiska verkligheten blir avgövirtuell och att trovärdigheten i

rande för hur identitet uppfattas. Det också huvudbudskapet i boken Samkörarna fysisk verklighet en var bovarna slutligen skulle de fysiska de tillskansat Stenhagen, 1983. När transportera pengar svår att förstå databrott detta inte praktiskt möjligt de hade inte kunnat föreställa sig sig genom ett var -

hur mycket fysisk plats 975 miljoner kronor i sedlar skulle ta.

exempel från Stones bok tankeväckande vad hur uppfattar att Ett annat är ännu mer avser

Forskargruppen vid Atari låg bakom de första dataspelen Pacen person är en person. som

Man, visade sig traditionell managementsynpunkt fullständigt ostyrbar grupp. De

vara en ur

ville, och visserligen tjänade Atari bra spelen, ville

gjorde som de själva extremt men man

ha produktionsgrupp. Företaget konsulterade flertal välreprincip inte en självstyrande ett av

nommerade internationella managementfirmor, resultat.

utan

fann dock råd de utsåg talesman, Arthur Fishell, visade sig både Gruppen själv en som dock mycket och fanns bara

kommunikativ, trevlig och påverkningsbar. Han var upptagen

elektronisk kommunikation. I själva verket han konstruerad tillgänglig via var av gruppen,

och bubblan sprack bara nästan, när ledningen för Atari efter enträgen begäran - men

fysiskt där Arthur Fishell spelades kvinnliga medtilltvingade sig ett möte av en av gruppens

direktörer kände igen medarbetaren Laurel iArthur Fishell, höll, lemmar. En av Ataris men

enligt uppgift, tyst om sin upptäckt.

historier kanske vår mänskliga intuition kunna identifiera Sensmoralen Stones är att att en av lika pålitlig för virtuella för fysiska också att styrkan i reakperson inte är som personer, men

tionen till ha blivit lurad beror hur vi uppfattar anledningen till bedrägerier. att

Hearing om identifiering och identitet i digitala miljöer

identifiering är Det finns förmodligen fler tillfällen i vår vardag när vi vill bli sedda och korrekt identifierade

grundläggande än när vi vill Hela den västerländska kulturen bygger på individer säkert,

vara anonyma. att

både i nutid och i efterhand, kan tillgodoskriva sig aktiviteter och materiella och immateriella

tillgångar. Hur många gånger per vecka använder du ditt vanliga identitetskort till exempel i

samband med inköp

Att bli identifierad jämförs med bli igenkänd:

att

0 I vardagen utan IT görs det människor, ofta med stöd identitetskort.

av av

0 I vardagen med IT måste det göras sätt, med elektroniskt identitetskort.

annat t ex ett

scenarier visar SEIS har tagit fram bildsvit models visar hur familjen Andersson i tänkt fram-

en som en möjligheterna tid skulle kunna dra sina elektroniska identitetskort inom för de strukturer nytta av ramen

redan finns uppbyggda Bjärbo al, 1996. Bildsviten är inte tänkt absolut be-

som et som en

skrivning av framtiden, utan som förslag till hur vi i vår vardag skulle kunna använda digitala

identitetskort rationellt hjälpmedel. Den visar hur digitala identitetskort

som ett kan använ-

das nyckel till bilen, underlag för meddelande och hur dags barnet blir

som som om vem

hämtat på dagis, och tjänstekort arbetet eller i samband med distansarbete,

som passer-

som patientkort sjukhuset, elev- och lärarkort i skolan och på biblioteket, och

som som

identitetshandling i samband med inköp där elektronisk betalning tillämpas. De flesta de i

av SEIS bildsvit framställda händelserna existerar redan, del IT-stöd, andra med IT-stöd. en utan

Många personer, som i det danska exemplet, vänder sig mot denna utveckling, och undrar

kraven att bli unikt och säkert identifierad måste realiseras detta sätt. Går det inte om att göra något annat sätt jovisst går det "halvidentifierad. Det kan bli säkert att vara

relativt ett lokalt till exempel i skolan, det blir inte unikt och säkert i något

system, men an-

nat system, till exempel i skola.

en annan

I de fallen någon anledning vill avstå från unikt och säkert identifierade

av att vara som

privatpersoner får vi bevisa sätt vilka vi är, vilka tillgångar har, och

ta oss att annat

vilka aktiviteter utfört. Vi får själva handha och administrera vår identifiering och dess bevisföring.

Någonstans mellan överlåta all aktivitet för säker och unik identifiering till andra och

att att

själva hantera och administrera detta förfarande ligger en balampunkt. Den bör givetvis be-

aktas innan bestämmer sig för unikt och säkert sätt identifiera privatpersoner.

man ett att

Men, vad vi sällan tänker på, är att i de flesta nordiska sammanhang förutsätter

att syste-

både de IT-stödda och de inte IT-stödda, fungerar baserade unik och säker identifi-

men -

ering av privatpersoner.

Ett exempel från ett annat EU-land kan påminna våra outtalade förutsättningar:

oss om en

engelsk medborgare i en gammal bil blev stoppad av polisen. Hon uppmanades att visa pap-

på hon och hon innehade körkort, ägare till bilen, bilen per vem var om vem som var om var

försäkrad och skattad, och den genomgått besiktning.

om

Redan idag klarar sådana frågor inom fem minuter i Sverige i Storbritannien kan det

- ta

hel dag inte själv förberett och administrerat sådana frågor förhand.

en om man

Hearing identifiering och identitet i digitala miljöer om

Den kritiska Balanspunkten måste således beakta vad ska rationellt och praktiskt, både

som anses vara ur

systembyggares och privatpersoners synvinkel. Det finns många skäl sådana

bahnspunkten att anta att

tjänster normalt uppfattar självklara, inte går att realisera med IT-stöd om inte

som som

vår identitet unikt och säkert kan klarläggas.

SEIS-konceptet till elektroniskt identitetskort, digitala identitetskort, är ett förslag till

ett en

standard skulle kunna användas delar det privata och offentliga samhället.

som över stora av

Det finns också andra förslag till standarder, till exempel Visa och Mastercards SET-standard. SET förutsätter det finns ett konto med ekonomiska tillgångar eller krediter anled-

att som ning och för kommunikationen; det finns många kommunikationsbehov i IT-stödda garant

sammanhang inte har sådan förutsättning, och där andra lösningar måste sökas

som en - om vill utnyttja IT rationellt, effektivt och ekonomiskt. man

En kritisk fråga blir att avgöra balanspunkten mellan privatpersoners behov att bli

var

unikt och säkert identifierade över flera/ många system och systembyggarnas förmåga att

tillhandahålla rationella, effektiva och ekonomiskt försvarbara tjänster ska sättas.

Litteraturlista Mads Bryde Andersen: The role of in creating the IT security infrastructure.

government

Builder bystander i Yngström, L och Carlsen, J eds Information Security in Research

or

and Business, Chapman 8C Hall, 1997 sid 71-77.

Gabriella Bjärbo, Anna Boström och Camilla Åhnberg: Användning av elektroniska identi-

tetskort, magisteruppsats, DSV, SU/ KTH 1996, rapport 96-19-DSV-SU.

Gustaf Hamilton: Risk Management 2000, Studentlitteratur 1996.

IT-kommissionen: svensk för säker elektronisk kommunikation. IT-

Inför en policy

kommissionens rapport 6/97.

IT-sikkerhedsrådet: Danmarks IT-sikkerhedspolitik, Danska Fotskningsministeriet 1996.

Rolf Lunheim och Guttorm Sindre: Privacy and computing: cultural perspective, i

a

Yngström, Sizer, R eds Security and Control of Information Technology in Society,

North-Holland 1994, sid 25-40.

Jan-Jöran Stenhagen: Samkörarna, Wahlström 8C Widstrand, 1983.

Rosanne Stone: The of desire and technology the close of the mechanical MIT

war at age, Press, 1996.

Hearing om identifiering och identitet i digitala miljöer

Utfrågning av Louise Yngström, Stockholms universitet

Utfrågare:

0 Helle Klein, journalist.

0 Anders R Olsson, journalist.

0 Dessa frågor är oerhört viktiga, därför i flera avseenden bestämmer medborgarnas och demokraatt svaren tins villkor i framtiden. Vi hade stor integritetsdebatt kring 1970 resulterade i datalag 1973. Med en som en undantag för enstaka opinionsstormar, t Metropolit-affaren 1986, har det sedan varit tyst. ex

Då, när vi visste ytterst lite integritetsproblemen i IT-samhället fördes debatt. Men när vi och om en nu ser allvarligt hotas sådana problem, förs ingen debatt. Detta är djupt politiska problem eftersom grundav ett läggande perspektiv är att det gäller att avväga individens rätt gentemot kollektivet eller samhället och kollektivets eller samhällets rätt gentemot individen. låga: hur är det möjligt få till stånd något slags framatt steg Hur ska politiskt och tekniskt kunniga samverka för komma vidare att

Du själv ingången till svaret Det handlar skapa samverkan eller interaktion

ger om att snarare mellan tekniker och icketekniker.

Eller annorlunda uttryckt: sidan de förstår hur å ena som utvecklingen kan klaras av både tekniskt och organisatoriskt och å andra sidan de politiskt ansvariga behöver bilda sig

som en

uppfattning utifrån de olika värderingsperspektiven.

Det är flera aktivt borde ingå i diskussionerna det är lämnas det parter som - som nu mesta

bara över till utvecklingspersonalen. Vi vill så någonting ska ske på detta område,

gärna att

det kommer inte i gång därför att diskussionsparter lyser med sin frånvaro. Frågorna är

men

så genomgripande. Jag förstår inte varför integritetsdebatten är död. Mycket ligger i vad Mads Bryde Andersen säger att frågan är så komplex, att människor inte vågar ta itu med den. Men interaktionen är oerhört viktig mellan utvecklarna skaffat sig erfarenheter och politiker,

som media, debattörer och andra ledare. typer av

0 Hela frågan förefaller vara en tillitsfråga mer än säkerhetsñåga. Har teknikerna ansvar att skapa tillit och en gör de det

Teknikerna har och vill ta för att skapa tillit eller skapa olika typer

ansvar ansvar - snarare av

strukturer eller modeller inom vilka kan skapa tillit. I stor del utvecklingen inom

man en av

säkerhetssidan pågått sedan 1985, förefaller industrin tycka de kravmodeller för tillit

som att

korn fram säkra har varit hämmande för utvecklingen.

som systern

Det är inte så att det inte finns intresse, sig från utvecklare eller användare, för att i vare

gång utveckling. Snarast är det så teknikerna inte klarar hela denna komplexa frågan

en att av

utan hjälp andra

av grupper.

0 Om 1970-talets debatt mycket handlade misstro mot staten, så kanske det idag när de flesta använder om en PC och märker hur allt ständigt går sönder är misstro mot tekniken en en

Nej, det har jag svårt tänka mig. Jag tycker den generationen, de till sig

att att unga som tar

IT, lär sig väldigt mycket den praktiska vägen. De är inte skraja. Delvis handlar det att

om inte har förstått vad det elektroniska identitetskortet ska användas till och vad det är för man fördelar.

Hearing identifiering och identitet i digitala miljöer om

Ska all information ligga pä det elektroniska identitetskortet Eller är det pekare på kortet mot centrala 0 register Ska vi ha Hera kort Hur många kort orkar vi medborgare använda

Det är detta mycket diskussionen gäller. Ska allt ligga kortet Ska ha kort

som av man ett

Ska ha flera kort Min uppfattning är detta är identitetskort och ska användas

man att ett

elektronisk identitetskort. Vi kommer förmodligen kunna ha andra kort också,

som ett att

jag vill ha identifieringsfunktionen i detta kortet. Alla har inte uppfattning

men samma om det.

En klassisk fråga är huruvida ska ha identitet. I Sverige har vi personnummer. De flesta andra länder man en har Hera identiteter har identitet hos banken, hos försäkringskassan, en hos skattemyndig- - t ex man en en heten Men utvecklingen på tid gär i nästan alla länder i riktningen mot att man skaHar sig ett o s v. senare eller identitet används i alltHer sammanhang. Flera identiteter gör all administration mycknummer en som krångligare. Hur förändras förutsättningarna För problemet eller Hera identiteter med moderna krypteet en ringstekniker

Krypteringstekniken i sig innebär ingen skillnad alls. Man kan ha olika identitet i olika

sys- Men jag är då inte unikt och säkert identifierad i alla utan bara i de system tem. system, som

min identitet. Som följd detta får själv administrera sina olika identiteter

accepterar av man

kort eller annat förfarande gentemot de olika systemen. Krypteringstekniken gör ing-

genom

skillnad här. Men balanspunkten jag understryker måste beaktas gäller individers

en - som -

krav ha olika identiteter i olika med administrativa arbetsuppgifter

att system egna som

följd systembyggares krav rationella och kompatibla IT-system.

versus

Vem bestämde gång i tiden det vanliga identitetskortet Det är ingen av oss som tycker

en om

det är något märkvärdigt när ständigt använder det kortet. Jag att det då någon

att tror var form identitetskort något vi behövde. Delvis är det den av consensus om att ett var som modellen SEIS söker sig fram Medlemmarna i SEIS är många och de har ett gemensom emot.

behov elektronisk identifiering. Behovet standard för elektronisk

samt av av en gemensam

identitet kommer alltså inte som ett påbud uppifrån.

Hearing identifiering och identitet i digitala miljöer om

Näringslivets behov

Rabbe Wrede, Telefonaktiebo/aget LM Ericsson: Rabbe Wrede arbetar med kancern-lT-infartrukturen i Yålefonaktie/øolaget LM Ericsson, Stoc/e-

halm.

"Det är angeläget att snarast kan börja använda digitala signaturer"

Inledning Detta avsnitt belyser behoven av digitala signaturer i näringslivet.

Budskapet Regeringen bör legalisera digitala signaturer och kraftfulla initiativ för att uppnå

snarast ta

harmoniserat globalt ramverk för digitala signaturer baserat affärsbehoven för elek-

ett

tronisk handel över gränserna. Vinsterna för näringslivet blir

enorma.

Behovet En allt större del meddelandena mellan och inom olika organisationer sker idag med hjälp

av

IT. Fördelarna med detta är uppenbara, det går fort och är i oberoende tid och

av stort sett av

Jag kan meddela mig med behöva han befinner

rum. t ex en annan person utan att veta var

sig genom att skicka ett e-post-meddelande. Han kan svara direkt och jag kan ta fram detta

meddelande jag är kontoret i Stockholm eller Beijing.

oavsett om

Konsekvenserna blir den affär ska göra inte hindras att jag är i två veckor. Vi att av resa

kan de förändrade geografiska förhållandena kontinuerligt förhandla affärsvillkoren.

trots om

Det innebär bättre tekniska möjligheter jag har att göra detta, desto fördelar har

att mer konkurrent, kanske också förhandlar jag gentemot min som om samma

Men när väl är överens affären och dess villkor vad gör då Jag måste u säker på

om vara det är rätt jag förhandlat med. I efterhand ska kunna bevisa kommit överatt person att

vissa villkor för affären. Idag måste kanske träffas för skriva avtalet och signe-

ens om att

varje sida. Är det för mig känd räcker det kanske med utväxlar de signerade

ra en person att

avtalen via någon budfirma. I vilket fall helst blir plötsligt beroende av tid och rum

som

sätt än under själva förhandlingarna. Jag ska befinna mig plats

ett annat t ex samma som det utskrivna avtalet när jag signerar det.

Detta enkla exempel visar dagens begränsningar i utnyttjandet av IT i affärssammanhang.

"Handslaget" I historiskt perspektiv har begränsningar funnits tidigare när viktiga medde-

ett nog samma landen måst utväxlas mellan befunnit sig olika I den stammen eller parter som orter. egna

byn räckte det med handslag eller liknade. När förbättrade kommunikationer möjliggjor-

ett

de meddelandeförmedling avstånd uppkom behov formaliserat och materialiserat

av ett

handslag i form bomärken eller sigill och namnteckning. Problemet är alltså inte

av senare

måste bara formalisera och materialisera handslaget. Det vi

nytt, enas om ett nytt sätt att

generellt vill uppnå med "handslaget" är

tillit trust till det är rätt gett meddelandet

0 att person som oss vi vid tillfälle kan bevisa skrivit meddelandet 0 att ett senare att personen

viktigt meddelande inte är förvanskar före eller efter vi fått det.

0 att ett

I IT sammanhang kan vi materialisera handslaget" med hjälp digitala signaturer. Dessa

av

kan uppfylla alla de ovanstående kriterierna bara det. Vi behöver bara

om enas om enas om

digital signatur är precis lika bra och lika trovärdig som en namnteckning. Enas om att

att en

namnteckning är bindande har människan gjort sedvänja. Det minst 30 år för

en genom tar

sedvänja bli juridiskt giltig. Den tiden har vi inte. Vi behöver därför lagstiftning

en att som baserar sig på internationella överenskommelser.

Hearing om identifiering och identitet i digitala miljöer

Användningen Behov för digitala signaturer i näringslivet finns inom flera områden.

av system i näringslivet Externa "tal

Det uppenbara användningsområdet är i avtal mellan företag. Idag finns EDI möj-

mest som

liggjort ett helt annat beteende mönster i affärsvärden. EDI har dock sina begränsningar. EDI baserar sig alltid att två eller flera företag skriver någon form ramavtal där godkän-

av man

alla köp inom vissa specificerade

ner ramar.

EDI är alltså ingen lösning för avtal mellan tidigare för varandra okända Det går

parter.

inte handla spotmarknader med säkerhet. Oformaliserade avtal baserar sig

t ex att samma alltid på att känner eller känner till motparten och att är beredd ta viss risk man man att en med att inte formalisera avtalet.

Med digitala signaturer skulle dessa nackdelar försvinna. Det går alltid göra affärer med

att säkerhet, också snabbare. Snabbheten är det konkurrensfördelar. men som ger

Interna avtal

Ett annat område inte är lika uppenbart är de interna avtalen inom organisation.

som en

Många affärer görs mellan olika legala enheter inom koncern. Inom bolag behöver

en ett man

också attestera många handlingar för att revisorerna ska ha möjlighet att göra sitt arbete. Idag måste vi ta ut ett digitalt meddelande signera det och arkivera det i pappersform.

papper,

Dessutom måste vi i många fall registrera i det digitala mediet att underskriften skett.

Detta är ett mycket omständligt och orationellt tillvägagångssätt. Vi arbetar i många fall

en-

bart med digitala dokumentet och vid eventuella förändringar i detta måste hela den

ett ma-

nuella proceduren göras Med detta följer också det är mycket lätt det uppstår olika

om. att att versioner dokument i de olika media. av samma

Införandet legalt accepterade digitala signaturer skulle i detta sammanhang kunna medföra

av

enorma rationaliseringar inom näringslivet. Detsamma gäller för övrigt inom alla samhälls-

sektorer.

Identifiering

Om vi hade digitala signaturer skulle också kunna utnyttja dessa för säker identifiering

en vid åtkomstkontroller till och databaser. av personer systern

Vi skulle kunna använda system i alla olika sammanhang. Idag behöver användare

samma

kunna många lösenord och ibland även använda kort eller lösenordsgeneratorer. Detta medför att säkerhetslösningar upplevs krångliga och hindrande användarna. Detta i sin tur

som av

medför att försöker runt dem med resultat att säkerheten sänks till alldeles för låg

man en nrva.

Detta är ett välkänt problem alla inom säkerhetsbranschen brottas med. Men någon bra

som

lösning finns inte idag.

Digitala signaturer skulle alltså även i detta sammanhang medföra förbättringar.

stora

Hearing om identifiering och identitet i digitala miljöer

Hur får vi digi- Det har inom olika organisationer över hela världen tagits fram förslag och propåer inter-

om

tala signaturer nationellt harmoniserad lagstiftning kring digitala signaturer. Från näringslivssynpunkt är mycket angeläget att detta sker nu

-

Det finns bara sätt för i Sverige digitala signaturer och det är den svenska

ett oss att att regeringen bör snarast

0 officiell ställning till digitala signaturer ska jämställas med andra signaturer

ta att typer av

0 snabbehandla de underlag till lagstiftning finns

som

0 ta kraftfulla initiativ till internationella överenskommelser i t FN, OECD, EU för ex att

uppnå globalt harmoniserat legalt ramverk för digitala signaturer baserat affärsbe-

ett hoven för elektronisk handel över nationsgränserna.

Dessa initiativ kan basera sig de förslag SEIS tagit fram. Inom SEIS har bra

som genom ett

samarbete mellan offentlig förvaltning, bankerna och övrigt näringsliv tagits fram förslag inom detta område. Vi inom Ericsson har från början tagit aktiv del i detta arbete eftersom

alla de fördelar beskrivits och de konkurrensfördelar detta kan ser som ovan ge oss.

Utfrågning

Rabbe LM

av Wrede,Telefonaktiebolaget Ericsson

Utfrågare: Säkerhetschef Ronald Skoog, Scania AB.

0 0 Marknadschef Eva Cederbalk, S-E-Banken.

0 Integritet är den springande punkten i debatten som gäller privatpersoner rädsla for att storebror ser dig, men vad finns det för fokus på diskussionen på företagssidan är det sekretessen kring företaget och dess aiTärer o s v

Eftersom företag omsätter så mycket information så snabbt, är det frågan hur mycket

ett om

intern sekretess vi egentligen behöver. Informationen blir snabbt gammal. Men det är

som

egentligen helt debatt.

en annan

När det gäller integritet går det vända perspektivet. Sett det från individens synpunkt

att -

vilka förbättringar medför det Det måste ligga ett värde i att jag individ kan

som vara

säker att någonting tillskrivs mig t ett uttalande jag har skickat något sätt

som ex som

eller skrivit papper kan jag faktiskt säkra digital signatur. Det plus för

genom en ger ett mig individ jag är säker att den läser dokumentet, kan att det är jag och att som att som se

innehållet inte är förvanskar. Den aspekten är viktig.

Var står Ericsson konkret när det gäller denna teknik och tänkandet kring den Var står övriga närings- 0 nya livet Finns eller ligger det mesta fortfarande framåt i tiden

Det finns tillämpningar. De tekniska möjligheterna finns. Det kan ta lite tid är att

som

igång administrationen CA, Certification Authority inom ett företag.

Vi har kommit ganska långt inom Ericsson, det uppbyggnadsskede och har

men är ett ett

intimt samarbete med flera andra företag. Det är inga problem för att lösa detta, vi har

men

respekt för att den administrativa delen är lite trögare.

Hearing om identifiering och identitet i digitala miljöer

Är det någon skillnad mellan stora och små organisationer

Sättet göra det är detsamma. Men det är rimligtvis enklare införa detta i organisa-

att att en tion på 25 än i 100 000. personer en

Du säger att vi måste se till att SHS-standarden som vi bar utarbetat i Sverige blir internationell. Det föresvävar att det finns liknande lösningar utarbetade på andra marknader. Vad är det som gör att Ericsson som är ett extremt internationellt företag möter lösningar och leverantörer i andra Världsdelar - som mest intresserar sig för svensk lösning en

Därför jag har kommit längre än utlandet. Vi har fördel i Sverige

att tror att en stor

detta område och det är att vi har lätt att samarbeta mellan näringsliv och offentlig förvaltning. Det är tradition. Den ska vi utnyttja. I början 1995, när SEIS jag över

var nytt, var

och talade med del amerikanska företag detta. De fullt medvetna våra

en stora om var om

unika förutsättningar. De ungefär Ni har jättefördel i Sverige och jag kan inte

sa att: en se

hur det denna utveckling kan drivas detta sätt i något annat land."

Därför är det intressant med svensk lösning. Det är nämligen helhet måste göras.

en en som

Det är inte bara tekniken ska utformas. Det är också hur kortet ska och hur lag-

som se ut

stiftningen ska se ut. Det måste bildas ett ramverk så att det passas in i samhället.

Vi har gedigen erfarenhet identitetskort för fysisk identifiering. Vi har erfarenhet hur

av av

ska in alla synpunkter och snabbt kunna fram lagförslag. Vi har också gjort ett gediget arbete på tekniksidan i Sverige. Flera svenska företag med utländska kopplingar har plockat åt sig. Därför är det intressant hur Ericsson tar det ligger närmast. Hade arbete

som samma gjorts i USA eller Nya Zeeland hade varit intresserade det. Vi är intresserade av av en

snabb lösning.

Ligger denna utveckling på företagsledningsnivån eller är det på lägre nivåer

Det är relativt bra etablerat ledningsnivån inom Ericsson. Vi har plan för vår IT-

en

utveckling den verkställande ledningen den 18 april 1996. Där står det klart

som antogs av

uttalat att vi ska arbeta för att införa digitala signaturer inom Ericsson innan 1998 års utgång. Huruvida vi kommer hålla sista kvartalet 1998 eller inte, kan vi sätta ett litet frågetecken

att

kring. Men det är klart uttalad ambition ska genomföra detta inom Ericsson.

en att

Hearing identifiering och identitet i digitala miljöer om

C. Vad krävs för ett införande Vad Ia_r_1 införas

Översikt

Följande belyser vad krävs för införande för digital identifiering och signatur

som av system

vad gäller

0 teknik 0 tjänster

0 regelverk.

Hearing om identifiering och identitet i digitala miljöer

Teknik

Hans Tho/andar, Dynamic Software AB: Hans Tbølander är VD för Dynamic Sofia/are AB, Stockholm.

"Asymmetrisk kryptering skapar möjligheter för säkra tillämpningar"

Inledning Detta avsnitt belyser den tekniska grunden för identifiering och identitet i digitala miljöer.

Budskapet En digital signatur kan användas för att garantera dels att en informationsmängd inte har förändrats och dels avsändaren Tekniken för digital signatur kallas "public key-

vem

teknik och bygger på användning k asymmetrisk kryptering.

av s

Grundläggande Den teknik möjliggör användning digital signatur kallas public key"-teknik och

som av

teknik bygger användning k asymmetrisk kryptering.

av s

Asymmetrisk kryptering innebär i avancerad matematisk beräkningsprocess skapar

att man en

ett nyckelpar, d två nycklar som hör samman. Den ena nyckeln används för kryptering

v s

och den andra för dekryptering eller vice Den nyckeln hålls hemlig, d den är

- versa. ena v s

privat. Den andra nyckeln kan göras publikt tillgänglig och kallas därför för den publika nyckeln. Trots den nyckeln görs allmänt tillgänglig, så går det inte att med hjälp

att ena av

denna lista ut den hemliga privata nyckeln.

Med denna teknik ofta i kombination med traditionell, k symmetrisk kryptering går

mer s

det att bygga olika system för att

0 skapa konfidentialitetsskydd krypterade informationsmängder och

0 skapa digitala signaturer.

Digital signatur En digital signatur kan användas för dels informationsmängd inte har

att garantera att en

förändrats och dels avsändaren är. Exempel: Jag vill sända elektroniskt dokument till

vem ett Denne vill kunna kontrollera att dokumentet inte har förvanskats i en annan person. sam-

band med överföringen och det verkligen är jag har skickat brevet.

att som

Steg Aktivitet

1 Jag skapar kondensat checksumma det elektroniska dokumentet informa-

ett av

tionsmängden jag vill skicka.

som

2 Checksumman krypteras med min privata nyckel och det är blir min unika digitala

signatur för detta dokument.

3 Denna digitala signatur hängs " det elektroniska dokumentet krypterat

som

eller okrypterat skickas till mottagaren

4 Mottagaren kan kontrollera dokumentet med min publika nyckel som

genom att

finns i katalog dekryptera Checksumman. Min publika nyckel är knuten till

en

mitt min identitet i k certifikat utställt Certification Authority

namn ett s av en eller CA som garanterar äktheten.

5 Om de båda checksummorna är lika mottagaren att dokumentet är oförvanskat vet och det jag, Hans, skickade dokumentet. var som

Hearing identifiering och identitet i digitala miljöer om

Digital För att göra säker digital identifiering används asymmetrisk krypteringsteknik med ett

en

identifiering förfarande kallas challenge regvonse.

som

Exempel: Jag ska logga in min dator med hjälp mitt digitala identitetskort och datorn

av

ska kontrollera att det verkligen är jag.

Steg . Aktivitet

l Jag sätter in mitt digitala identitetskort i kortläsaren och öppnar kortet med min hemliga PIN-kod.

2 Datorn skickar ett slumptal till kortet.

3 Kortet krypterar slumptalet med min privata nyckel finns kortet och skickar

som tillbaka det till datorn.

4 Datorn verifierar det krypterade slumptalet med min publika nyckel den har

som

tillgång till t ex via katalog eller kortet.

-

5 Om allt stämmer blir jag inloggad datorn.

Mycket svårt att En säker elektronisk identifiering har genomförts. Med sådan förstärkt identifieringspro-

en

intrång försvåras avsevärt för oönskade användare göra intrång. Det skapar möjligheter för

göra cess att

säkrare tillämpningar kontrollerad till för behöriga användare. och ger tillgång datorsystemen

För digital identifiering och digitala signaturer ska fungera är det viktigt

att att

lagra den privata hemliga nyckeln säkert sätt

0 ett

komma åt och lita på den publika nyckeln och dess certifikat talar inneha-

0 som om vem

den publika nyckeln är, d säkerställa identiteten.

varen av v s

Smarta kort De grundläggande kraven smartkort är

ett att

aktiva kort

beräkningskapaciteten är tillräcklig för att göra en krypteringsberäkning kortet minneskapacitet tillräcklig certiñkatinformation, nycklar och identitet för att lagra

innehåll och format är standardiserat

informationen att lagra kortet ett säkert sätt.

Det finns kort uppfyller samtliga krav och utvecklingen kraftfulla kretsar för

som av mer

kort fortsätter. Priset för kort inklusive både visuell och elektronisk personalisering

smarta ett

är 250-350 kronor kort i volymer kort Det finns standarder för

per ett par tusen per sats.

kortens innehåll, format och utseende. I Sverige har SEIS utarbetat standardförslag när sådahar saknats och verkar för dessa förslag internationellt accepterade. För innehållet

na nu att

certifikat dominerar X.509-standarden. SEIS-förslaget till standard omfattar främst

i ett

för hur informationen certifikatet och nycklar ska lagras på kortet. Information

normer finns wwwsezltse.

Det har hittills omöjligt obehörigt komma åt informationen finns lagrad

ansetts vara att som i smartkortet förstöra det. Men tid har det dock hävdats att det ska utan att senare vara

möjligt och studier kortens säkerhet pågår. Oavsett detta smartkort det bästa praktis-

av är ett

ka mycket säkert lagra nycklar och certifikat.

sättet att

Hearing identifiering och identitet i digitala miljöer om

Är kort Det är inte nödvändigt använda smarta kort för att säker identifiering och digitala

smarta att en

signaturer. Det går även använda k mjuka kort eller disketter. Då läggs motsvarande

nödvändiga att s

information som lagras det smarta kortet antingen i en krypterad fil datorn

annars eller diskett. en

Detta inte höga säkerhet för den lagrade informationen får med ett

ger samma som man

kort. Kortet fungerar dessutom visuellt identitetskort. Det kortet bär

smart som ett smarta också med sig och det kan låsas vid missbruk. man

Å andra sidan behövs med mjuka kort inga kortläsare eller rutiner för kortframställning och distribution. Följaktligen lösning med mjuka kort billigare.

är en

Kortläsare Det finns läsare för kort: tre typer av smarta

fristående från datorn med eller k pin pad nummertangenter

0 utan s PCMCIA läsare sätts in i den bärbara datorn 0 som t ex

inbyggda läsare, antingen i tangentbordet eller i datorn.

Priserna varierar beroende prestanda och ligger i intervallet 500-1 500 kronor vid

typ men

måttliga volymer 500-2 000 läsare. Standarder för läsare håller att etableras.

Utfärdande certifikat personalisering och utgivning kort behöver inte göras samti-

CA och kortut- av samt av

digt så sker ofta i praktiken. När företag, bank, bygger sitt eget system

givning men ett t ex en upp

ska kunna göra säker digital identifiering, skapa digitala signaturer och utföra kryptering

som

med hjälp public key-tekniken, skapar ofta sin CA-funktion personalise-

av man egen som

korten med nödvändig digital och visuell information lägger in certifikaten.

rar samt

Det går sin CA, det behöver inte så. Man kan istället framställa sitt att vara egen men vara

kort med viss information. Sedan lämnar in begäran certifiering till en CA Cer-

man en om

tification Authority utfärdar certifikatet enligt kontrollerad och säker procedur som

som en

kopplar identiteten till certifikatet.

heller generellt krav certifikatet ska ligga i kortet SEIS-standarden före- Det är inget att som skriver. Det går istället lägga k pekare i kortet hänvisar till kan hitta

att en s som var man

certifikatet, i viss utställares katalog. Fördelen med ha certifikatet i kortet är i ett

t ex en att

då det finns tillgång till CA-katalog. Nackdelen är det är svårare utfärda läge inte en att att ett certifikat det gamla blivit ogiltigt tidsskäl. Kortet måste då uppdateras med ett

nytt om av

certifikat och det blir viss hantering kring detta.

nytt

Viktigt också aktuella spärrlistor kontrollerar certifikatet är återkallat eller

är att man mot om

inte. Det kallas revokering och innebär återkallning certifikat. Revokeringslistor måste

av

fungera och finnas lätt tillgängliga. En viktig aspekt det behöver policies

annan är att vara eller villkor inskrivna i certifikatet detta för användare ska kunna bedöma i vilken - att en

grad han kan lita certifikatet. I sådan policy vilka procedurer används

en anges t ex som

certifikatet ställs Det går ha olika sådana policies för olika ändamål beroende

när ut. att kravet säkerhet. a

SEIS har CA-policy lämpar sig för det digitala identitetskortet har godta-

angett en som som

Telia och bankerna. Policyn också i certifikatet enligt version 3 gits av a Posten, anges av X.509-standarden. Om kortutgivaren också utfärdar certifikatet måste denne kunna garante- SEIS CA-policy har följts. För skapa trovärdighet till systemet bör det även

ra att t ex att

finnas kan verifiera och kontrollera utgivaren följer angivna policies.

ett organ som att

Hearing om identifiering och identitet i digitala miljöer

Praktisk Att skapa en digital signatur för ett dokument t ex en orderbekräftelse, faktura eller ett bokfötillämpning ringsallegat måste vara och det är mycket enkelt. I princip klickar användaren på en

- -

ikon med funktionen skapa digital signatur för dokumentet.

att en

Användaren exakt vilket dokument det är och sin identitet fås i regel automatiskt från

anger det kortet, det kan också ske åter lösenord/ PIN-kod för smarta men genom att ange t ex att

bekräfta det är rätt sitter vid datorn. Systemet skapar därefter den digitala

att person som

signaturen läggs till dokumentet och bekräftar till användaren signeringen har skett.

som att

Utfrågning av Sten Sörenson, Dynamic Software AB

Frågorna besvarar av Sten Särenron som är Norden-chef inom Dynamic Sojiware AB, Stockholm.

Utfrågare:

0 Produktchef Christer Öberg, Bull AB.

0 IT-utredare Anne-Marie Eklund-Lbwinder, Statskontoret.

Äktheten i certifikat CAs signatur. För kunna verifiera CAs signatur måste 0 ett garanteras av en att en också ha tillgång till CAs öppna nyckel och den måste ha fått på ett säkert sätt. Hur får tillgång till aktuell CAs öppna nyckel på ett säkert sätt Hut långa fdrtroendekedjor kan vi acceptera

När får sitt certifikat första gången ett kort innehåller det också CAns certifikat. Hur man

långa kedjorna kan finns det ingen absolut gräns för. Det är fråga förtroende

vara mera en om

förtroende förtroende. Ett exempel är konceptet PGP, Pretty Good Privacy, bygger

som

ett sådant orsakssammanhang. Om jag din identitet och du känner någon

garanterar som

känner någon är det möjligt skapa mycket långa förtroendekedjor.

o s v att

Det är fråga jag väljer att lita på. Vad får jag lita på l hur många led Industrin

en om vem

har ingen aspekt detta. Jag litar inte obetingat alla. Frågan är vilken tillit jag har till

som

CA. Är det någon regering och riksdag har och omfattas svensk lag

en som utsett som av

Finns tillsynsmyndighet Möjligheten finns att korscertifiera eller certifiera i flera led.

en

Många CA som gör anspråk att vara den absoluta CAn för ett visst tjänsteområde.

Teoretiskt är det möjligt bilda hur långa kedjor helst. Det är antagligen inte krångli-

att som än det sätt umgås med varandra människor. Vi introduceras till varandra, gare som som även det sedan visar sig det finns och katt bland hermelinerna likafullt. om att en annan

0 Det vilniga år egentligen inte att ha rått certifikat, utan att kunna ta reda på certifikatet fortfarande år om och inte är återkallat. Hu: vet jag, när har Fått ett digitalt signerat brev, från vilken revokeringslista ska kunna kontrollera giltigheten i certifikatet

Genom titta i certifikatet. Där framgår är utställare och vilken policy gäller.

att vem som som

Det går bakåt i orsakskedjan. Det är när börjar bygga kedjor med flera CA det

att som

blir komplext. Det finns alltid länk från den CA certifierat nästa CA i certifikatet.

en som

Hur genomför det praktiskt Ringer CAn för att kontrollera certiükatet är revokerat 0 om

Det är nästan det enda det på, särskilt certifikatet redan finns kortet. sättet att göra om

Det kan för gammalt.

vara

Hearing om identifiering och identitet i digitala miljöer

Tjänster

E vald Persson, Posten AB:

EMM Persson arbetar med strategisk utveckling ba: Posten AB, Stockholm.

"Vi är angelägna att driva

om på uppbyggnaden av infrastrukturen"

inledning Detta avsnitt belyser införande tjänster för identifiering och identitet i digitala miljöer.

av

Budskapet Posten kommer tillhandahålla sådana tjänster till marknaden behövs för

att som att ge en

säker digital identitet.

Digital identitet Vad innebär digital identitet Det är sätt datanät kunna visa för

en ett att över ett vem jag är

den eller tillämpning finns i andra änden På det kan jag alltså

person som av nätet. sättet

åstadkomma fjärridentifiering. Nästa är kunna verifiera något kommer från

steg att att en viss

avsändare, d ha den digitala signaturen tillgänglig. Sedan vill ofta tillföra konfi-

v s att man

dentialitet och det innebär kryptering informationen.

av

Posten kommer tillhandahålla den tjänster till marknaden behövs för att sortens som att ge en

säker digital identitet. Dessa kommer finnas dels i form mjuka

att av tillämpningar, alltså

mjuka certifikat för programvarutillämpningar i persondatorn och dels i form hårda certi-

av fikat, d elektroniska identitetskort, EID. v s

Certifikat Det som är bäraren den digitala identiteten är certifikatet. Ett certifikat innehåller de attri-

av

but behövs för unikt fastställa identitet. Det kopplar också som att en persons ett nyckelpar, en hemlig och publik nyckel, till denna identitet. Den publika nyckeln är delmängd

en en av

certifikatet. Ett certifikat har begränsad giltighetstid idag 2-5 år en grund av att det inte går de nyckellängder finns idag kommer hålla i all framtid.

att garantera att som att

Den information finns i certifikat måste undertecknad/ garanterad någon

som ett vara av som kan för informationen. Postens ambition för utföra identifieta ansvar är att ta ansvar att

ringsprocesser som fastställer att innehavaren certifikatet verkligen är den han sig för

av ger ut

när han får certifikat med nycklar eller det elektroniska identitetskortet.

att vara, ut

Postens roll är alltså identitetskort och signera innehavarens individens identitet.

att ge ut

Sedan kommer företag och myndigheter vilja identifiera ansvarsförhållanden inom organi-

att

sationen och så sätt kunna förmedla viss individ har viss roll eller rättighet. Den

att en en

måste också kunna knytas till digital identifiering.

en

Som individer kommer vi framgent ha hundratals olika certifikat roller fastställer

att som

olika saker. Den viktigaste är identiteten. Andra exempel är kundförhållande, rättigheter,

patientförhållande i sjukvården, funktion i organisation, attesträtt, tillfälliga begränsade

en

rättigheter biljet, tidsbegränsad nyckel,

o s v.

Betrodd För detta bygger Posten antal funktioner. Tekniken finns brett tillgänglig. Det Posten

ett gör

tredje part är att bygga upp de administrativa system som behövs och att ha IT-struktur gör

en som att

det kan fungera. För det ska finnas nödvändiga garantier behövs betrodd tredje

att en part

TTP så inte ständigt behöver ställa sig frågan det går lita på uppgift. När

att man om att en

man följer en verifieringskedja är det ofta för verifiera identiteten hos helt okänt före-

att ett eller någon i världen. Om över ska kunna lita tag en person annanstans man nätet att - -

företaget eller personen är vad som uppges, gäller det att in ett naturligt förtroende för de

organisationer som tar sig TTP-rollen. De måste allmänt betrodda sin marknad. vara

Hearing identifiering och identitet i digitala miljöer om

Identifiering "FTP-organisationen måste kunna hantera användaridentifiering. Vi behöver kunna generera

nycklar har gått igenom vissa kontrollprocesser så de är så säkra möjligt. Vi ska användaren som att som av också kunna hjälpa till i kedjan behövs för företag ska kunna ställa sina roller. som att ett ut

ska alltså kunna sin CA, för den skull dra sig hela den in- Företaget agera egen utan att

frastruktur behövs för bygga rollhierarki inom företaget. Det gäller att kunna som att upp en slå fast rollhierarkin i certifikat och så sätt förmedla information sådana roller. ett om

Viktigt är också vid misstanke någon kompromettering kunna spärra och att om typ av revo-

kera certifikatet. Det innebär Posten katalogfunktion med verifierbara och att sätter upp en

säkra driftrutiner. Information finns i certifikatet det är möjligt kontrollera certifiom var att

karet.

Processen för ställa digitalt identitetskort börjar med individen fyller i beställ-

Utgivnings- att ut ett att en

ningsblankett. Sedan går denne till postkassa för lämna in blanketten. Det kan också

processen en att

bank, eller organisation generellt litar i samhället. Där sker hand-

vara en annan som en

kontrollerar med andra legitimationer för säkerställa

skakningsprocedur genom att man att

den vill ha det digitala identitetskortet också är den ansöker det. att som som om

Därefter Posten rad kontroller i bakgrunden folkbokföringsregistret SPAR och gör en mot

andra register. Vi hänsyn till i kassan känner för att också in tar om personen personen,

detta i utvärderingsprocessen. När anmälan är mottagen, sätter Postens produktionsapparat i

gång med producera det fysiska kortet med visuella utsidor, ställa ut certifikatet som att att

innehåller den digitala informationen, placera certifikatet kortet där också nyckelparet som

knutet till certifikatet finns placerat. Sedan publiceras detta i katalogen för att revokeringsär

ska fungera. processen

kortet till sker transport-PIN-kod skickas till

Utlämning av mottagaren genom att en ut

i slutet kuvert. Kortet skickas till postkontoret närmast eller till mottagaren ett mottagaren

vald distributionspunkt. Där möts kortet och kortägaren. Mottagaren byter sin transannan port-PIN-kod denne vald kod, varefter identitetskortet aktiveras och blir mot en egen av en

aktiv fungerande digital identitetshandling.

IT-delen katalogtjänsten mycket väsentlig del. Allt IT-miljön Så återstår att att fungera. Där är en

detta SEB-specifikationerna, d det följer det regelverk vi har kommit är byggt kring v s som

för etablera säkra funktioner och procedurer. Vi använder överens om i Sverige att oss av

kända standardalgoritmer, RSA, DES och Trippel DES. som

ska också kunna normalmiljö för användaren. Det ska möjligt kunna Detta fungera i vara att

säkerhetsñinktionerna kommer med webbläsare till säkerhetsfunktionerna byta ut som t ex en

finns det identitetskortet och så använda säkerhetsfunktioner och certii digitala sätt som fikat allmänt betrodd tredje part. som garanteras av en

krävs också användaren, förutom kortet, har tillgång till kortläsare. Användaren Det att en

hur kommunicerar med katalogen och hur utför spärrprocedurerna. Det

måste veta man man

roll betrodd tredje förmedla den informationen till användaren. Att är Postens att som part

någon bara kan tilldelas eller ackrediteras till, betrodd tredje part är inte någonting som vara det måste vinna basis hur själv och hur har utan är något som man man agerar man ge-

nomfört de aktuella Posten har förutsättningar för detta efter ha varit procedurerna. att en

betrodd vad gäller information och efter ha tredje part i över 350 år transport av att gett ut

och hittills inte blivit ifrågasatt i dessa roller. vanliga fysiska identitetskort i över 30 år

Hearing om identifiering och identitet i digitala miljöer

Internationellt För att sprida vår lösning internationellt arbetar vi tillsammans med andra postverk i Postal

samarbete Security Services där postorganisationer samarbetar för att föra in infrastruktur och

samma

nivå förtroende de certifikat i andra länder. De nordiska postverken och

samma av ges ut

Irland är överens. Diskussioner förs med antal andra postverk. Detta kan leda till

ett stort en

infrastruktur kan fungera sätt i många länder. Via samarbete med organisatio-

som samma

ner som Netscape och Microsoft hoppas kunna bredda detta ytterligare. Vi kommer

att

korscertifiera varandra mellan organisationer etablerar TTP/CA-tjänster och

som ger ut certifikat förtroendenivå. samma

Utfrågning av Evald Persson, Posten AB

Utfrågare:

0 Direktör Bengt-Åke Eriksson, Nordbanken.

0 Vilken är den aüiirsidén fiir Posten bli utgivare tjänster på detta område att av

När ska använda de osäkra kommunikationsnäten många olika sätt behövs denna typ av infrastruktur inklusive våra tjänster. Vi har många tjänster behöver tillskottet egna som av

säkerhet, så Posten har primärt användning.

en egen

Posten har också samhällsroll. Därför vill hjälpa till i uppbyggnaden infrastrukturen

en av

och driva utvecklingen. Posten har lite bråttom än vad marknaden i har, mer övrigt så vi driver för fullt.

0 Som köpare till dessa tjänster tar väldigt stora aHärsrisker inbyggda i tjänsten. Vilka risker är man som Posten som tjänsteleverantör beredd att dela med kunden

Vi ut certifikat under antal olika policies. Varje nivå i policyn har viss säkerhet. Där

ger ett en vi vad för. Det är klart det kommer hända saker och det kommer anger tar ansvar att att att

behövas förändringar löpande. Vi kommer tvingas till ha flexibilitet i

att att stor systemen.

Men tar inget direkt ekonomiskt för tillämpningar använder tjänsten,

ansvar som utan

presenterar hur har byggt infrastrukturen och sedan är det till den väljer

upp upp som att

tillämpa den att tro den eller inte.

0 En fråga är längden på CA-kedjorna tar Posten för kedjorna - ansvar

Vi vill ha så korta CA-kedjor det bara går åstadkomma. Helst skulle vi vilja det

som att se att

bara fanns enda CA i Sverige d Posten, fast det är väl utopi. De naturliga CAna är

en v s en

de idag identitetskort, i princip bankerna och Posten det finns utbrett

som ger ut som ett förtroende för.

0 När kommer vi att kunna resultat den internationella samverkan med andra postverk se av

Jag tror inte att vi ska hoppas att det går alltför fort. Det tar säkert minst ett år innan börjar att vi har korscertifieringar andra håll. Men det kommer. Det viktiga är utvärdera

se att

den policy ligger bakom certifikatet. Det är dem ska korscertifiera, inte företa-

som som man

gen ut. Därför kommer att ut certifikat under ett antal olika policies även

som ger man ge

inom ett företag som betraktas som säkert. En del är programvarubaserade certifikat och de är lätta stjäla tillsammans med säkerhetsinformationen med hjälp k trojanska hästar

att av s

och liknande saker i persondatorer.

Hearing om identifiering och identitet i digitala miljöer

Hur mycket detta är kommersiellt tillgängligt från Posten av

Det är kommersiellt till än för roekt ida inte till marknaden. Det år inte att g g g t test P J g men g ,

postkontor för köpa kort ännu. Men det långt borta.

ga in ett att ett är inte

Hur mycket kompetens kommer det att krävas Postens tänkbara kunder av

Kunden ska kunna göra väldigt mycket utan att egentligen skaffa sig någon extra hjälp. Många tjänster, digital signatur och konfidentialitet, kommer att inbyggda i stan-

t ex vara

dardprodukter för och använda identitetskortets säkerhetsfunktioner.

e-post

Men det är ändå komplext område och det är farligt att i varje fall den närmaste tiden för mycket till ett se standardlösningar. Därför är det viktigt med ordentlig kompetens och att följa med i utvecklingen så egen vad sig in på för något, hur trovärdiga än olika leverantörer kan vara. att man vet man ger

Det går skaffa hjälp från de exportföretag är välförsedda med i Sverige, Secu-

att som t ex

rity Dynamics, Dynamic Software, AU-System, QA Information, Nexus. Nu börjar kompe-

också uppstå hos Nordbanken, Posten och antal andra ställen. Interna dataavdeltensen ett

ningar storföretagen börjar också kunna mycket. Så det finns hel del kompetens att

en

tillgå för den som inte har egen kompetens.

Kan kortutgivarna, Posten, formellt kortets privata krypteringsnyckel inte kopieras eller t ex garantera att lagras vid tillverkningsprocessen

Att garantier är alltid svårt. Posten har inte för avsikt kopiera eller lagra nyckeln. Vi

ge att kommer göra allt för till ha verifierade där extern revisionsorganisaatt att se att processer, en

tion kan intyga att Posten uppträder enligt gjorda åtaganden i policyn.

Men får lagkrav måste lagra nyckeln, har inget val. Då gäller det

ett oss, att att se

till ha rutiner inte kan missbrukas och återskapande endast sker efter det i lagkra-

att som att

vet fastställda regelverket.

Hearing om identifiering och identitet i digitala miljöer

Regelverk

Per Furberg, Utredningen om elektroniska pengar: Rådmannen Per Furberg är sekreterare i utredningen elektroniska

om pengar.

"Det är hög tid att starta det näringsrättsliga arbetet nu"

Inledning Detta avsnitt belyser frågor regelverk med anknytning till digitala signaturer. om

Budskapet I öppna system behövs helt infrastruktur med alla de juridiska konsekvenser det en ny som för med sig. Internationellt pågår snabb rättsutveckling i första hand sikte på de en som tar näringsrättsliga frågorna. I Sverige sker ännu inget och det är allvarligt eftersom vi ligger i framkant när det gäller att införa konkreta tillämpningar.

Rättsliga Traditionella underskrifter produceras nästan självklart sätt och förmågan underett att utgångspunkter teckna är fysiskt knuten till individen, så skrivdonet kan inte komma awägar. Det går inte skära någon och med sig för underteckna. Någon närmare att av armen ta armen att kontroll traditionell underskrift görs inte heller förrän någon ifrågasätter äktheten. Det av en finns också metoder för med hög säkerhet analysera traditionell underskrift är äkta. att om en Underlaget för sådana kontroller samlar in, inte förrän det behövs och den man men som kan lätt bli vilseledd. inte är expert

Digitala signaturer bygger istället kryptografi och innehavet en hemlighet den hemliav ga nyckeln. Medan användaren föds med förmågan att underteckna ett unikt sätt, tilldelas han nyckeln för digitala signaturer. Det innebär helst har tillgång till att vem som som signaturnyckeln och de hjälpmedel behövs i anknytning till det kan signera. Alltså, som skrivdonet kan komma den skriver behöver inblandad med sina avvägar utan att som vara handrörelser. Därför måste det finnas säkra administrativa rutiner.

Den som tar emot ett digitalt signerat dokument eller något annat signerat objekt måste

dessutom kunna verifiera att det är äkta. Men naturligtvis ska han därmed inte kunna signera med avsändarens namn". Tekniskt går detta lösa med öppna och hemliga nycklar. Signeatt ringen sker med den hemliga nyckeln, medan den publika nyckeln används för verifiering.

Många juridiska Resultatet blir struktur än den i traditionell miljö. Underlaget för skapa och en annan att verifiera signaturerna måste byggas förhand, bevaras publika delar hållas till-

konsekvenser upp ochi

gängliga så kan verifiera signaturen är äkta. Oppna förutsätter att mottagaren om system alltså helt infrastruktur med alla de juridiska konsekvenser de för med sig en ny som

Från praktiska utgångspunkter är det helt avgörande den verifierat signatur kan om som en lita på den öppna nyckeln och den därtill relaterade hemliga nyckeln och den tillhör den - att angivna och ingen Är det verkligen rätt person Lika viktigt är det att den personen annan. verifierat, kan lita hemligheten inte har kommit awägar. Tekniskt kan ITsom att baserade rutiner göras mycket säkra, administrerar dem illa så att hemligheter men om man kommer awägar blir skyddet nästan värdelöst.

Frågan om insynsskydd är också förknippad med de digitala signaturerna, eftersom samma kryptografiska rutiner används för signera kan användas för göra data oläsbara för som att att den inte har tillgång till krypteringsnyckeln. Detta aktualiserar mängd motstående som en intressen, som behandlats a av regeringskansliets referensgrupp för krypteringsfrågor.

Hearing om identifiering och identitet i digitala miljöer

De aktuella De rättsfrågor är aktuella när rutiner för digital signatur införs gäller

som rättsfrågorna 0 dels hur infrastrukturen bör utformas och hur ansvaret för den bör fördelas mellan de olika aktörerna

dels hur de signerade objekten och anknytande rutiner inom handel, administration och

förvaltning bör sorteras in i regelsystemet.

Näringsrättsliga Den första frågan gäller näringsrättsliga frågor. De beskriver enklast jämförelse

man genom en

frågar med de skyddsregler finns för finansiella institut, t banker. Både nationellt och i

som som ex

form EG-direktiv finns sådana regler. Lika viktigt det är att skydda betalsystemen mot

av som

obalans och dominoeffekter är det skapa för digitala signaturer är gkg,

etc, att system som sunda och stabila.

Dessa k honnörsord från den finansiella sektorn handen i handsken vid övertre s passar som

väganden digitala signaturer, när CA-funktioner diskuteras, d Certification Aut-

om a v s

horities har till uppgift att

som

utfärda bevis, k certifikat legitimation har viss öppen nyckel

0 s om vem som en

tillhandahålla de uppgifterna för den ska verifiera signatur.

0 att som en

Frågeställningar är

marknadskrafterna helt bör utvecklingen eller det behövs regler i lag

0 om styra om om

tillstånd och tillsyn jämför Riksbankens och Finansinspektionens uppdrag skydd

- att ge det finansiella området

vilken rättslig betydelse certifiering aktörer och Standardisering rutiner bör ha

0 av av

vilket aktör tillhandahåller tjänster för digitala signaturer bör ha

0 ansvar som en som

hur civilprocessuella och straffprocessuella frågor nycklar och anknytande uppgifter

0 om bör hanteras

vilka krav följer Sveriges internationella åtaganden EU fri rörlighet.

0 som av mot om en

Hearing om identifiering och identitet i digitala miljöer

Regler som Den andra rättsfrågor vilka regler bör gälla för handlingar och andra gruppen av avser som bör gälla objekt som signeras elektroniskt och de rutiner som hör till. De materiella och processuella regler då aktualiseras, kan vad hade gällt vid rättslig prövning som sägas motsvara som en av rutiner baserade traditionella underskrifter och de digitala signaturerna blir då aktuella en mängd rättsområden.

Ofta imiteras de traditionella rutinerna så analogier med nuvarande synsätt kan framstå att som naturliga. Samtidigt kan vi konstatera att de digitala signaturerna sätter IT-rutiner för handel, betalningar och ärendehandläggningar "på hjul" så att hela handels- och handläggningsmönster förändras. Påfrestningarna regelverken blir därmed stora.

Exempel disparata rättsfrågor är

0 materiella frågor rättshandlingar i IT-miljö med användning signerade objekt inom av t avtalsrätten, köprätten, fordringsrätten, skadeståndsrätten och förvaltningsrätt om ex samt anknytande konsumentfrågor

0 civilprocessuella frågor, t ex när ett företag eftersträvar att förenkla sin administration och räkenskapsmaterialet i helt digital form hur ska man då i nästa led när en process uppstår hantera frågor om skriftligt bevis eller dokumenterat bevis Räträttare sagt om tegångsbalken använder uttrycket skriftligt bevis". Här kan också missbruk tänkas, t ex genom en begäran om edition. Om er motpart vill slippa en tvist kanske han begär ett editionsföreläggande som tar sikte era hemliga nycklar under åberopande av att intresär kontrollera bevisningen är äkta, medan avsikten är därigenom förstöra set att om att skyddet eller käromålet återkallat. att

0 straffrättsliga och straffprocessuella frågor: Kan bestämmelserna om stralfansvar tillämpas i den miljön reglerna idag Kan husrannsakan, beslag, teleavlyssning, telenya som ser ut övervakning ske m m

övriga frågor, berör offentlighetsinsyn, sekretess, persondataskydd, redovis- 0 som t ex ningsförfattningarna och arkivförfattningarna.

Hearing om identifiering och identitet i digitala miljöer

Nya regelverk Internationellt pågår snabb utveckling i första hand sikte på de näringsrättsliga

en som tar

krävs reglerna för digitala signaturer. Det finns alltså i många amerikanska delstater redan sådan

som

lagstiftning. Tyskarna har nyligen fått sådan reglering och arbete pågår i Danmark och

en a

Belgien. Ett intensivt arbete pågår i vissa internationella organisationer, EG, OECD och

t ex UNCITRAL.

Men i Sverige finns ingenting inom den näringsrätten. En hel del utredningsarbete har

rena

dock redan gjorts när det gäller regleringen de signerade objekten och de rutiner hör

av som

dit, de frågor uppkommer inom elektronisk handel och när myndigheterna vill

t ex som

över till IT-baserade rutiner för ärendehandläggning.

Förvaltningsrättsliga frågor har behandlats av flera svenska utredningar tullområdet, skatteområdet och för exekutionsväsendet. Lagstiftning har redan genomförts.

IT-utredningen har under 1996 i betänkandet Elektronisk dokumenthantering SOU 1996:40 föreslagit bestämmelser digitalt signerade handlingar för hela förvaltningen. IT-

om

utredningen har också behandlat frågor avtal och anknytande civilrättsliga frågor i IT-

om

miljö. Elektroniska betalningar Övervägs nu utredningen om elektroniska

av pengar.

Straffrättslig och straffprocessuella frågor har behandlats av Datastraffrättsutredningen i ett betänkande från 1992 med förslag till anpassningar brotten urkunder.

av a mot

Dessa utredningsförslag har skrivits just med tanke rutiner för digitalt signerade

- som

objekt ersätter traditionella motsvarigheter har inte lett till lagstiftning. Tvärtom är

som -

det så för de straffrättsliga och processrättsliga frågorna det pågår utredning. Många

att en ny

andra frågor har också där IT-rutiner med anknytning till digitala signaturer berörts,

utretts t

ex frågor om offentlighetsinsyn, persondataskydd, arkivering och bokföring.

Behovet Det finns ett uppenbart behov att utreda de näringsråttsliga frågorna. Den omfattande

av

nyskapande användningen digitala signaturer planeras och delvis redan håller införas

av av som som att

dessa frågor helt dimensioner. Sverige finns i främsta ledet när det gäller att införa

ger nya

konkreta tillämpningar.

Men näringsrättsligt sker i stort sett ingenting. Skulle genomlysning inte bli kommer

en av,

Sverige naturligtvis efterkälken i det rättsliga skyddet för

t ex

0 allmänhetens tillit till de digitala signaturerna och

0 skyddet för den infrastruktur som byggs upp.

3 Det nära sambandetmellan utredningsförslagen och digitala signaturer blir särskilt tydligt vid genomgång följande åtgärder en av som avses kriminaliseras också IT-miljön. i Materiel förfalskning innebär bevismedlet helt eller delvis inte är framställt den, från vilken det har sken att härröra; det är att - - av av oäkta. Positiv materiell förfalskning se 14 kap. 1-3 och 7 §§ innefattar förfaranden, genom vilka ett oäkta bevismedelframställs eller begagnas ex t att signera med någon annansnamn eller att åberopa ett sådant sätt manipulerar dokument. Negativ materiell förfalskning 14 kap. 4 § BrB innebär att ett äkta bevismedelhelt eller delvis utplånas t ex att förstöra en journal. Vid immateriell förfalskning angrips bevismedletsfunktion, medan bevismedlet saklämnas oberört. Dessa angrepp hänför sig sålunda som endasttill äkta bevismedel. Positiv immateriell förfalskning kan bestå i ett förfarande även kallas intellektuell förfalskning 15 kap. 10 § och 11 § första stycket som BrB, nämligen att den som framställer ett bevismedel ger det ett oriktigt innehåll t ex att en läkarelämnar felaktiga uppgifter i en journal eller ett läkarintyg. Positiv immateriell förfalskning kan ocksåbestå i att någon, med ett bevismedel som både är äkta och sant, sökerbevinågonting annat än vad skall styrkas med det; exempelvis att utge sig för att vara någon annan under åberopande av denneslegitisa som mation 15 kap. 12 § BrB. Negativ immateriell förfalskning består exempelvis förneka sin underskrift urkund 15 kap. 13 § BrB. i att att en

Hearing om identifiering och identitet i digitala miljöer

Påverkar alla När det gäller regleringen de signerade objekten och anknytande rutiner, bör i första hand

av

rättsområden undersökas det omfattande utredningsarbete redan har gjorts går till Även

om som att ta vara.

de förslagen skulle leda till lagstiftning, återstår mycket att göra.

om

Införande digitala signaturer bred front påverkar nära varje rättsområde.

av nog

Konsekvenserna går många olika rättsliga perspektiv:

att se ur

0 Skadeståndsexperten ser en massa ersättningsfrågor och komplicerade samband mellan olika aktörer där kan fråga sig oaktsamhet finns vid ett visst förfarande och

man om om det behövs strikt d oberoende fel eller försummelse eller k ansvar, V s av om s presumtionsansvar bör införas.

0 Familjerättsexperten börjar fundera över om en revokering går att jämställa med att beröva någon rättshandlingsförmågan i digital miljö.

Konsumenträttsexperten börjar borra i allt det finstilta olika aktörer försöker foga

0 som

till själva signaturerna eller de överenskommelser signeras.

som

0 Immaterialrättsexperten börjar att överväga olika ideella rättigheter knutna till krypto-

system, m m.

0 Bolagsjuristerna börjar överväga t ex frågor om hur firmateckning ska till i den nya miljön eller om datorerna med automatik och rättsligt bindande verkan kan signera för bolagets räkning vissa rättshandlingar dokumenteras i digital form.

som

0 Bankjuristerna undrar kan ut elektroniska eller löpande handlingar i

om man ge pengar

digital form och tradera med sakrättsliga verkan för tradi-

om dessa går att samma som

tionella fysiska objekt.

0 Och så vidare.

Rättspolitiska Det svåraste blir, emellertid, göra de känsliga rättspolitiska avvägningarna kommer att

att som

krävas. Vi är vid det i varje lagstiftningsärende måste göras vissa avvägningar mel-

avvägningar vana att

lan olika rättsområden. I anknytning till digitala signaturer blir balansfrågorna så oerhört mycket svårare. Allt hänger ihop i webb, drar i ett hörn webben rör sig

som en att man av alltsammans.

Detta kommer vålla problem därför att

att

0 de berörda intressena har sådan styrka,

en

vissa avvägningar bli omöjliga att göra

0 ser ut att

kopplingarna mellan olika rättsområden blir omfattande.

Än gång det är viktigt det rättsliga arbetet

en - att starta nu.

Hearing om identifiering och identitet i digitala miljöer

Utfrågning av Per Furberg, Utredningen om elektroniska pengar

Utfrågare:

0 Professor Peter Seipel, Institutet för Rättsinformatik, Stockholms universitet.

0 Advokat Stefan Bernhard, Lagerlöf 8C Leman Advokatbyrå, Stockholm, och ICC.

0 Det är intressant att samma nycklar kan användas för många olika funktioner. Man kan fråga sig hur önskvärt det är och har sitt identitetskort med i värsta fall mängd nycklar. Även identiteten att var en - - en om på den som företa: rättshandling, så säger det dennes rättsliga handlingsförmåga, en om han är omyndig, står under förmyndare eller har gått i konkurs. Är sådana frågor betydelse t ex om av

De är utomordentlig betydelse i ett brett rättssäkerhetsperspektiv. Det finns tendens

av en att

vilja flytta över bevisbördor, t ex för behörighet att vidta en rättshandling. Idag får den

som

drabbas förfalskning stå där med lång näsa, tittar skuldebrevslagens regler. En

av en om

invändning om förfalskning gäller även mot t ex en ny innehavare av ett skuldebrev. Ett ex-

empel finns i EDI-avtal 96 förenklat beskrivet säger har

motsatsen som att om systemet sänt, så den har ansvarar som systemet.

Spinner vidare tråden alla dessa certifikat, finner det är utomordentligt bety-

om att

delsefullt vad ska det ha för verkan att det framgår att någon är firmatecknare eller att någon är t läkare. Ska helt bryta de regelverk har idag för pröva frågan behö-

ex ner som att om

righet Först måste man fundera rättsfrågorna, innan man inför sådana lösningar. I annat fall blir de utomrättsliga.

0 Kan det leda till att har ett certiñkat för själva identiteten och ett annat certifikat för handliugsförmåman

gan

Det verkar så många tänker. Jag har haft många mål i domstol frågan någon

vara som om

ska ha varit behörig företrädare. Då till Patent- och registreringsverket och

anses går man

tittar i bolagsbyråns register som har rättsverkan. Vilken blir då följden om byter metoder Är vi beredda göra det lagstiftaren också har till det hänger

att utan att sett att nya systemet

ihop

Du beskriver detta ett stort fält med lång rad rättsliga frågor alla hänger på olika sätt 0 som en som samman det verkar lite paralyserande. Finns det inte något slags dominospel där vissa regleringsfrågor är mer fundamentala och andra kan betecknas sekundära, tertiära så att det går att skaHa sig en genomtänkt som o s v lagstiftningsstrategi

Det är inte praktiskt möjligt hela och göra enda plan. Det skulle bli över-

att ta greppet en

mäktigt för lagstiftaren. Man bör istället in de områden är akuta och göra

som mest -

det snabbt. Samtidigt behöver något vis skaffa den kompetens krävs för att

man som se

hur alltsammans hänger ihop, så inte gör något är alldeles tokigt i änden

att man som ena

med beaktande vilka följderna blir rättsområde.

av ett annat

När det gäller utforma strategi har jag inte inblick i hur sådant arbete går till inom

att en

departementen. Men det är nödvändigt att detta helt enkelt lyfts dagordningen, så att

upp

frågan inte kommer i sista hand. Annars kanske vi får utveckling där frågan löses praktiskt,

en

utan att lösningen kanske är rättsligt acceptabel. Därför är det viktigt att detta kommer

men

upp dagordningen.

Hearing om identifiering och identitet i digitala miljöer

0 Det är oklart i vilken omfattning är beredd att ta ett civilrättsligt skadeståndsansvar För oriktigheter i man IA-hanteringen. Lägg: Är det möjligt enligt svensk lag idag friskriva sig på omfattande sätt fråga att ett 2: Skulle den modell gäller för Värdepapperscenttalen och hanteringen digitala aktier och Rix-esom av som

skriver strikt ansvar kunna till grund

Om det strikta ansvaret skulle genomföras fullt ut, kanske det inte skulle bli så många fler praktiska tillämpningar eftersom det nog inte skulle vara så många som vågade.

Däremot kan det finnas fog för ett skärpt kanske i stil med hur det fungerade när

ansvar,

bilförare blev exculpera sig. Om du har och jag år användare, hur ska

tvungna att ett system

jag kunna in i ditt och kolla du har skött dig rätt och föra bevisning du

system att om att

har varit oaktsam. Jag måste lägga någonstans däremellan. Tanken går till t

tror att oss ex

fastighets- och miljörätt där man vid svårbevisade orsakssamband tenderar att lätta käran-

dens bevisbörda.

När det gäller friskrivningar går tanken till avtalslagens ogiltighetsregler, friskrivningen

om

gör den enskilde står där möjligheter att hantera sin situation; d denne är i hän-

att utan v s

derna på CAn. Det borde också aktuellt titta på vad det finns för regelverk kon-

vara att kurrensområdet 0 s v.

Ska nyckellångder Eller ska nöja sig med allmänna uttalanden i lagstiftningen att 0 man om man saker och ting ska ske på betryggande sätt o s v

Frågan indikerar att du menar att naturligtvis inte kan tillväga det sättet. Vi ska kanske istället titta hur väl avtalslagen, är teknikneutral och gammal, verkar kunna

t ex som

fungera IT-området. Vi behöver söka sådana övergripande koncept, där det blir lätt för

en

domstol förstå vad det är frågan och där vi också kan de tekniska lösningarna

att om anpassa

och de juridiska lösningarna till varandra ett flexibelt sätt.

Varför arbetar Justitiedepartementet med IT på plottrigt sätt i de befintliga enheterna det inte 0 ett - vore bättre med lagstiftning-renhet för IT-frågor en

En särskild lagstiftningsenhet för IT går knappast inrätta. Skulle samla sådan

att man en

enhet all den kompetens behövs kommer den enheten att efterhand inrymma hela

som

verksamheten, utvecklingen går.

så som

i Exculperainnebär styrka inte förfarit vårdslöst för därigenom befria sig från att att man att ansvar.

Hearing om identifiering och identitet i digitala miljöer

D. införas

Hur kan system för digital identifiering/signatur

Översikt

Denna del innehåller utfrågning och diskussion kring frågan hur system för digital identi-

en

fiering och signatur praktiskt ska kunna införas i Sverige kort och lång sikt.

Utmaningar

Det finns förväntan det ska ske införande för identifiering och

en stor att ett av system

identitet i digitala miljöer. Väl fungerande sätt för identifiering är grundbult i kom-

en en

mande nätbaserad ekonomi. Om många olika angelägen alla-till-alla-

typer av

kommunikation ska bli verklighet för förvaltningar, näringsliv och enskilda är detta kunna

att

säkerställa identiteten helt nödvändigt. Vi står på tröskeln till den utvecklingen.

Bilden ter sig komplex. Identifikationsproblemet rymmer frågor kring digitala signaturer, digital identifiering och konfidentialitet. Mycket tekniken förefaller att finnas tillgänglig,

av därutöver finns antal utmaningar att ta sig men ett an.

1. Standarder och marknadsutveckling

En viktig fråga är utvecklingen och standarder och i vilken utsträckning detta

acceptansen av

kan driva fram marknad. Mycket handlar det politik. Det pågår internationell

en om en ut-

veckling och det gör det inte går detta enbart ett svenskt perspektiv. En utmaning

att att se ur

är internationella och spridning för de lösningar SEIS har utvecklat.

att acceptans som

2. Regler och tillsynsfunktioner

Det behöver utvecklas regler. Frågor skyndsamt lösa är det lagstiftning

att om vara en om

digitala signaturer och hur den ska Behövs det regelverk för CA och tillsynsmyndig-

se ut. en het för detta

3. Individens acceptans och användning

I grunden handlar det individen ska identifierad och kunna identifiera sig och

om att vara

därför gäller det utveckla individen och använder. Utmaningen är

att system som accepterar

förmå användarna förstå kunna legitimera sig och bekräfta rättshandling-

att att nyttan av att

i digitala miljöer.

ar

Hearing identifiering och identitet i digitala miljöer om

för införas

Hur kan system digital identifiering/signatur

Utfrågningar

Inledning Om inriktningen utvecklingen råder i stora drag enighet det är en nödvändighet att

-

införa för identifiering och identitet i digitala miljöer. Den stora frågan gäller tempot i

systern

genomförandet. Är det möjligt fram med den brådska del förespråkar Eller är

att som en

det frågan stegvis utveckling under de närmaste åren Följande utfrågning belyser det.

om en

Utfrâgare Göte Andersson, journalist.

Utfrågade Organisationsdirektör Britta Johansson, Statskontoret.

0 IT-utredare Anne-Marie Eklund-Löwinder, Statskontoret, och för Snus. 0 representant

0 Utredare Göran Ribbegård, Spri. Advokat Stefan Bernhard, Lagerlöf 8C Leman Advokatbyrå, och för ICC.

0 representant

Direktör Berne Landgren, VD för Telia Megacom AB.

Projektledare Jerker Sjögren, Stockholms stad.

Ambassadör Magnus Faxén, UD, och regeringens utredare svensk krypteringspo-

0 av en

licy.

Utfrågning av Britta Johansson, Statskontoret

Britta johansson iir organisatiønsdirektär vid Statskontoret.

Hur snabbt det möjligt rulla detta i skala bl den upphandling du arbetar med 0 är att ut stor genom a som inom Statskontoret och Toppledarforum

Det svårt på. Vi gör försök upphandlingen åstadkomma del

är att svara ett att genom att en

förutsättningarna. Men det inte den enda delen. Sedan måste i de olika organisa-

av är man

tionerna hitta de viktiga tillämpningarna är, alltså ska börja någonstans. Det rår

var var man inte över helt och hållet.

Detta är stegvis där rycker fram front. Har gjort upphandling av

en process man en

korten får hitta i vilka situationer det är lämpligt driva fram fram ändring

man att en en av

regelverket och behöver utveckla tillämpningar. Så sig framåt. Hur lång

var man stegar man

tid det kommer är svårt sia Förmodligen skyndas det på, från högre

att ta att om. om man instanser mål att ska ni till rationalisera använda sätter upp av typen nu se att genom att

tekniska lösningar inom och så lång tid. Det driver framåt.

processen

det raketfart målet och det låter så när hör alla olika signaler och om regeringen och 0 Om år som är man alla den politiska fronten vad de kan hur den olTentliga sektorn gå fram vill på gör om man -

kunna den frågan måste Gå framåt vart Det är inte farten

För att svara man veta: -

målet, det komma någonstans. Det sönderfaller i olika fråge-

som är utan är att en massa

ställningar. Digitala signaturer finns redan för Tullverket. Om i alla sammanhang

t ex man har manuell hantering, ska komma i elektronisk form och därtill med all

där man idag

över

det kommer ganska lång tid. Vissa saker går lösa inom det lagstiftning plats att ta att

året. Sedan finns hela skalan däremellan. Det går inte att säga mera. närmaste

Hearing om identifiering och identitet i digitala miljöer

0 Det blir alltså utdragen inñirandeprocess en

Ja, det blir det.

0 Vilka år de största hindren för ett snabbt införande inom den oHentliga sektorn

Då måste fortfarande fråga sig: I vilket sammanhang då Vi har inom offentlig sektor

man

t ex avgränsat frågan kring elektronisk handel. Där finns avtal, leverantörer och planer

att

förse de handlande parterna med kort för signaturbruk. Det är god väg.

Övriga tillämpningar arbetet håller med och det är inte lika långt kommet. Inom

t ex

landstingsvärlden finns planer att ska använda kort för vissa tillämpningar i journalhante-

ring och annat.

Digitala signaturer kommer en tillämpning i taget, tror jag. Det blir alltså inte så plöts-

att

ligt är digitala signaturer införda i alla tillämpningar och alla tänkbara situationer i offentlig verksamhet. Så kommer det inte alls till. Regelverket är olika. Behoven år olika. Mog-

att

naden, trycket och förväntningarna är också olika.

0 Men under nästa år kommer det att finnas tillräckligt underlag för genomföra upphandlingen att

Om inte finner det finns underlag, kommer inte göra någon upphandling.

att ett att

0 Sett Statskontorets perspektiv har ni ännu inte på underlaget finns for gå fram så snabbt ur svaren om att som man har talat om

Vi har inte Men arbetar fram det Å andra sidan jag inte arbetat med svaret. att nu.

dessa frågor särskilt länge.

0 Får vi tolka det som att substansen för att driva snabb utvecklingen ännu inte är på plats en

Det är möjligt att den är. Men jag har den inte listad Det kanske jag har två

papper. om

månader och då fattar beslut har underlag för upphandling eller inte.

om

0 SEIS har ett upplägg För hur ska införa identifiering och identitet i digitala miljöer. Finns förutsättman ningar att det upplägget ska kunna vinna både i Sverige och i andra länder

Till börja med, för ska kunna referera till SEIS-standarder måste de färdiga

att att man vara

och ha befunnits möjliga genomföra. Där finns idag brister såvitt jag kan

att se.

Om får fram helhetslösning fungerar och börjar använda den även i liten ö

man en som - en

som i Sverige och visar att faktiskt har klarat av hela kedjan, tror jag att vi har bra

fötterna.

Visar det sig sedan att internationella krafter och marknadskrafter drar iväg någon

annan-

stans, är inte det värre än får följa efter. Det är ingen 20-årig livslängd sådana här

att

saker, utan de går att förändra. Det är bättre att här i Sverige arbetar på, än att väntar

att allt ska lösas internationellt.

Hearing om identifiering och identitet i digitala miljöer

Så Sverige kan gå före

Ja, det finns mycket i Sverige bygga på. Vi har bra mognad väl att en som gör att är lämpa-

de för sådana här lösningar. Det finns för tanken med identitetskort. Vi har

acceptans per-

sonnummer. Vi har ganska många beståndsdelar är viktiga.

som

Ytterst är det naturligtvis ekonomiska Rirdelar driver fram utvecklingen företag Även som i som Ericsson. inom den offentliga sektorn är effektivare metoder knutna till ekonomiska fördelar.

Finns någon bedömning

av hur stora vinster det går göra föra in tekniken som att genom att

Det har jag ingen helst ambition försöka på.

som att svara

Hearing identifiering och identitet i digitala miljöer om

EkIund-Löwinder, SNUS

Utfrågning av Anne-Marie

Anne-Marie Eklund-Läwinder är ITutredare vid Statskontoret och verksam inom Swedish Net-

wor/e Users Society SNUSf

Hur snabbt utifrån Internet-perspektivet är det är möjligt rulla ut de tjänsterna med identifiering 0 att nya och identitet i digitala miljöer.

Vi måste tänka digitala signaturer och säker identifiering också är absolut nödvändigt

att

för säkerställa själva Styrinformationen för Internet i Sverige har också behov

att näten. t ex

funktionerna kryptering, digital signatur och säker identifiering. Det finns belyst i Inter-

av

net-utredningen från Statskontoret.

T informationen i domännamnsservrar DNS som översätter mellan IP-adresser och do-

ex

mänadresser måste säkerställas och signeras. Det arbetet påbörjades under november

genom

användning protokoll heter DNS-Sec.

av ett som

När det gäller hur snabbt kan införa tjänsterna, är det inte svårt när det gäller branschspecifika eller företagsspecifika tillämpningar. Det går att göra i stort sett omgående.

Problemet uppstår när vi börjar tala globala tillämpningar, globala i meningen Sverige, att

om alla ska kunna nå varandra detta sättet och säkra den andra är, säkra vi vara vem vara

den andra signaturen där är ännu inte. Dit är det långt.

0 s v -

Ofta brukar tala denna lösningar teknikdrivna och att teknikerna går

man om typen av som

och lösningar har någon grund, Nu säger från olika håll tek-

skapar som inte etc. man att niken klar, den färdig införa. Det hävdar jag är fel. Den finns inte plats när

är att är att

talar det perspektivet. Däremot finns tekniken för tillämpningar inom

man i globala en orga-

nisation eller bransch. en

det rulla dessa tjänster så allmänheten och småforetagen omfattas och 0 Så hur lång tid tar att att även trañlren mellan företag

Mellan och pekfingret dröjer det 4-5 år innan det blir volymer. Det ska finnas

tummen

kortläsare överallt du går. Det ska finnas kan hantera kortlösning. Vi

vart än program som en

ska övertala Microsoft ha det med i sina produkter eller hittar sätt löser det.

att att som Det finns saker måste lösa. Det tid. en massa som man tar

Vilka är de största hindren 0

fick oerhört restriktiv användningen kryptering och krypte-

Det vore om en syn av

hinder naturligtvis eftersom allt bygger kryptoteknik.

ringsteknik. Det skulle vara ett stort

politisk boll.

Det är en

hinder inte kommer fram regler gäller för utfärdaren det certifikat

Ett annat är att om som av med vilket min deklaration sedan ska skickas in till Riksskatteverket i Sverijag signerar som

Men det behöver inte nödvändigtvis lagstiftning.

ge. vara en

5 förening för svenska nätanvändare syfte är höja kunskapen nät och användning av nät, primärt Internet. SNUS är en ideell vars att om medlemmar cirka hundra. Det SNUS bidrog till utveckla det första kommersiella IP-nätet, Swipnet. Antalet är var som att

Hearing om identifiering och identitet i digitala miljöer

0 Vilka möjligheter har SEIS upplägg göra sig gällande i andra länder att

Snus har det finns del poänger med det SEIS Vi behöver sett att en som gör. någonting som

SEIS, det är alldeles uppenbart. Men det kanske borde genomföras hemmaplan först, d det ska finns någonting innan börjar sälja lösningen internationellt.

v s mera Det måste

vara mer färdigt. Vi ska alltså inte sälja skinnet innan björnen är skjuten.

0 Men Snus måste sälja in detta inom Internet-världen, så det där finns beredskap lyssna på de att en att erfarenheter går vinna i Sverige som att

Där finns kulturellt problem det allmänt inom Internet-världen råder

ett genom att en stor

misstro mot kort och korttillämpningar. Det är något måste överbryggas sikt.

som

Men allt är inte bara elektroniska identitetskort. Det finns många andra användtyper av

ningsområden, t ex där tillämpningar ska tala med varandra eller där datorer ska tala med varandra. Det finns många sådana fall där det inte möjligt ha

är att kortlösningar, men där det ändå måste kryptering, säker identifiering och signering.

0 Vilka är de största vinsterna för Internet-världen med införa för identifiering att system

De största vinsterna är säkrare, tillgängligt och robust Internet.

ett mer

Men måste förstå i införande på global nivå, kommer det uppstå oväntade

att ett att pro-

blem. Det kommer kräva tålamod, uthållighet och flexibilitet Vi får inte låsa i

att av oss. oss

förhand till given lösning, detta måste växa fram. Vi får inte efter perfektio-

en utan sträva nism från det måste starten, utan provas.

Hearing om identifiering och identitet i digitala miljöer

Göran

Utfrågning av Ribbegård, Spri

Göran Ribbegård är utredare inom Spri, Hälrø- och sjukvårdens utvec/elingsinstituz: Stockholm.

Vårdens Förhållande till IT är lite grannlaga än många andra t integriteten. Kraven år höga mer genom ex när det gäller hantering journaler och annat. I det perspektivet, hur snabb kan utvecklingen inom detta av område blir inom sjukvården

Problemet är vilken utveckling IT-användningen inom sjukvården är väldigt diver-

som avses.

sifierad. Det finns alla möjliga olika och behov många olika områden. Men fortfa-

system

rande finns det till delar inte bra tillämpningar för delar inom sjukvården.

stora

Därför är frågan svår att besvara.

Om det handlar meddelandehantering eller remisshantering som kallar det, så år det i

om

gång och det kommer under 1998 i sådana tillämpningar.

mer

Om det handlar avancerad journalhantering i vårdflöden och vårdprocesser, dröjer det

om

säkerligen fem år. Men detta styrs mycket också tillämpningsutvecklingen.

av

på teknisk lösning det slag SEIS har skissat på 0 Ni tror en gemensam av som

Ja, Spri är mycket positiv till SEIS. Vi arbetar i SEIS. Det är viktigt med en nationell sam-

ordning.

Men bevakar också intensivt den internationella marknaden. Det beror att sjukvården i Sverige är för liten för programvarumarknad, åtminstone inom ukhussidan. De

en egen

övriga delarna vården är idag redan långt datoriserade. Sverige har cirka 100 sjukhus och

av det ingen marknad. Därför måste hela tiden känna vad händer är av som

Europafronten och internationellt. Det är klart, det kommer produkter

t ex att om stora

den nivån löser frågorna annat sätt, kommer naturligtvis att noga överväga

som ett

det. Men idag vi är mycket inriktade vilka möjligheter finns med de lösningar

att se som SEIS för fram. som

Vilka signaler finns i det avseendet från sjukvårdens människor i andra länder 0

Spri arbetar mycket i EU-projekt, i Trust Health-projekten. Där har kontakt med ett

a

antal sjukvårdsorganisationer i andra länder inom EU. Där är SEIS-modellen utgångspunkt för kortfrågorna. Det är en bra signal.

a ______________________

Andra länder kanske på SEIS-modellen ska införas i Sverige, for den sedan ska kunna rullas ut 0 väntar att att i resten av Europa

Ja, inom sjukvårdsorganisationer är ganska intresserade att någon kommer

man nog av i gång med någonting och skulle gärna SEIS-modell startas. man nog se att en

Hearing om identifiering och identitet i digitala miljöer

0 Vilka är de största hinder for att införa SEIS-modellen

Hindren sjukvårdens område är egentligen avsaknaden lämpliga tillämpningsprogram-

av

varor, d att ha någonting säkra. Det känns lite övermaga tala säkerhetslösningar,

V s att att om inte har säkra.

när man någonting att

Det är viktigt är att i gång tillämpningsutvecklingen och bra fungerande marknad.

som en

Sedan är det naturligtvis kritiskt och intressant hur den marknaden kommer välja

att se att väg.

Idag kan man med intresse se att det bildas en förening i USA kring sjukvårdens användning av Microsoft-produkter. Sådant kan ge tyngd området. Det finns också andra områden där arbetar med sjukvårds-IT-tillämpningar kopplade till företagsprodukter. Utvecklingen

man

beror mycket hur marknaden för sjukvårdsprodukter kommer

att se ut.

0 När går det att vilket vägval går göra se som att

Det beror vilket område det handlar Det så brett område med många olika om. är ett

produkter. Och det växer fram olika inom olika områden. Det kommer ingen slutgiltig lösning eller någon riktigt tydlig bild inom det närmaste femårsperspektivet.

0 Det kan alltså bli andra kortlösningar än SEIS kommer fram inom sjukvården som

Ja, det jag definitivt. Detta kommer utvecklas. Det är inte område slutar tror att ett som

med SEIS-specifikationen.

0 Och det går inte att göra SEIS-speciñkationen så bra, att den kan konkurrera ut allt annat

I evig tid, nej.

0 Har SEIS en chans att dominera under de närmaste fem åren

Fem år är väldigt lång tid i branschen. Vi lever med treårsperspektiv och redan detta känns

-

evigheter. Jag vill därför inte vidare den frågan.

som svara

0 Ambitionen och tron att Sverige ska kunna gå före och visa vågen, bygger också på bedömning de en av samlade konkurrerande alternativen for dagen

En förutsättning när arbetar med detta, är in för öppna Man söker

man att system. stan-

darder. En viktig faktor hos öppna och standarder är kan byta komponen-

system att man ut

ter. Det betyder att kortlösning, kan leda till att den pusselbiten byts.

en ny

Det blir alltså inte ett färdigt pussel, utan det blir något består många bitar där

som av

kommer olika bitar bytas efterhand. Men det hänger pusslet ihop. Detta måste

att se trots

den rätta inriktningen och det är definitivt den inriktningen Spri har; söka

vara som att stan-

darder och försöka bygga öppet system.

ett

Hearing om identifiering och identitet i digitala miljöer

Vilka vinster går att nå inom sjukvården 0

Som Lars Ingelstam sa: Tillit, vad är det för någonting Jo, det är att dina intressen blir beaktade även när du inte själv är i någon position att försvara dem." Detta är definition

som en

av sjukvård. Tillit är grunden i sjukvård.

Vinsten kan med detta, är verkligen kan sälja in tillit i sjukvården det är det

som att -

viktigaste.

0 Samtidigt är sjukvården i där letar efter IT-lösningar pengar en process man som sparar

Javisst. När sjukvården letar efter IT-lösningar tittar sjukvården väldigt

som sparar pengar,

mycket processorientering, d försöka fördela arbetet. Då delar samhället

v s att tas nya av

in. Kommunerna håller i dagens läge involveras och i sjukvård. Det blir

att mer mer mer

och kommunikation blir viktig. Därmed blir frågorna säker kommunikation ännu

mer som

viktigare.

Vi får specialistsjukvård handlar kunna nå specialister över hela landet och

en som om att

därmed kunna utnyttja specialistkunskapen bredare front. Återigen detta att veta vad det

är för specialist vad är han specialist på och att sedan honom att signera

som svarar - - ett

specialistutlåtande så kan tillbaka och säga: Du ... Det går hand i hand.

att man sa

vi försöker söka lösningar vårt sjukvårdsproblem att användning IT, desto

mer genom av

mer av frågorna kring system för identifiering och identitet i digitala miljöer behöver vi lösa.

Hearing om identifiering och identitet i digitala miljöer

Utfrågning Stefan

Bernhard, ICC

av Lagerlöf Leman samt

Stefan Bernhard är advokat vid Lagerläfá Leman Advøkathrå, Stockholm, och representant får

ICO.

0 ICC har nyligen publicerat ett förslag till regelverk för detta område och det är tydligt att det pågår en internationell process. Med den bakgrunden, hur snabbt kan det vara möjligt att rulla ut tjänster för identiñering och identitet i miljöer i Sverige

Frågan är för generellt ställd. Det beror vilka ambitioner har. Om det ska

man vara ett

totalt genomförande, d människa ska ha sitt identitetskort och kunna göra

v s att om en var

affärer kommer det att ta väldigt lång tid.

Snabbheten beror också vilka problem har olika sektorer. Det finns viss

som man en

skillnad mellan de offentliga och näringslivet.

organen

De offentliga organens behov och krav säkerhet och verifierbarhet präglas av det hela tiden är en rättslig process. Skattemyndigheterna t ex vill vara säkra att de kan bevisa att jag har skatteförfalskat i min deklaration. Finns inga regler den punkten går det inte bli fälld

att heller.

l näringslivet och i enskilda förhållanden är det tillvaron. Där finns inte

en annan syn krav säkerhet. samma

För näringslivet är det uppenbart att snarast kunna använda säker kommunikation med leverantörer 0

och kunder för att bl säkert kunna hantera stora pengar hur snabbt är det möjligt att införa de möjlig-

a heterna för svenska företag

Det beror på. Det händer är väldigt många banker så det börjar och slutar

som nu att satsar, med pengarna.

När gör avtal EDI-sidan mellan organisationer, i bransch eller i före-

man en en grupp av

arbetar ihop kontraktuell basis, går det lösa många frågorna i kontrakt.

tag som att av

Men det är den öppna hanteringen kontrakt är problemet. Där är det nödvän-

- utan - som

digt behöva vänta ytterligare tills det finns regler för hur certifieringsprocesser ska till

att

och hur i övrigt ska hantera den typen av frågor.

man

Det är i det ljuset ICC levererat sin Guidec är internationellt utarbetat utkast till

som som

vilka best Certification Authority ska använda. I vårt perspektiv finns det

practises som en många saker diskutera i det Det dokumentet kommer också att förändras med att steget. tiden, det är första internationellt sett detta området. men ett steg

Handlar det ett 4-5-årigt perspektiv för ett allmänt införande i Sverige 0 om

På vissa områden och vissa tillämpningar kommer det säkert att fortare. Andra tillämpningar kommer mycket längre tid. Vissa tillämpningar kommer aldrig realiseras.

att ta att

6 ICC International Chamber of Commerce är framträdande internationell frivillig sammanslutning större företag arbetar för att en av som underlätta den globala handeln.

Hearing om identifiering och identitet i digitala miljöer

Så vi ska inte tro För mycket på att detta kan lösa alla problem 0

Näringslivet och bankerna kommer att ha goda förutsättningar att kunna genomföra mycket inom området. Hindren finns lagstiftningsområdet. Tekniskt finns lösningarna.

0 Behövs starkare signal än den regeringen redan har Fått för att skynda på en som

Frågan är kanske inte styrkan signalen, utan om mottagaren förstår signalen.

0 Du är inte övertygad om att regeringen har förstått signalen ännu

Jag är sedan tidigare starkt kritisk datastraffrättsutredningen från 1992 ännu inte

mot att t ex

har genomförts och att utredning är tillsatt. Vi måste i vilken utsträckning

en ny veta som en

manipulering av en digital representation är straffbart. Det är inte med säkerhet straffbart

idag i alla situationer. Denna frågor är viktiga, jag har känsla de nedprio-

typ av men en av att riteras istället för upprioriteras. att

0 Är SEIS-ambitionen att sprida sitt upplägg i världen realistisk ambition en

Det är säkert realistisk ambition andra länders medborgare eller näringslivsföreträdare

en om

finner detta är någonting de också kan Då vill gärna färdiga lösningar.

att som ta. man ta Varför arbetet göra om

Men generellt är det svårt att uttala sig möjligheterna. Vad är gångbart i USA och

om som

England, är kanske inte alls gångbart i Frankrike och Italien. T ex i Italien vill man inte ens handla med vanliga kontokort där betalar kontant det finns där inga traditioner

utan man för kortaffärer.

0 Kan en samlad teknisk lösning uppbackad med ett regelverk lä global räckvidd

Ska detta fungera måste det bygga datorer kan kommunicera och att människor bakom

att

datorer kan kommunicera. Det handlar mycket etablerade standarder och öppna och

om

verifierbara säkra lösningar. I den meningen jag sådan utveckling, under förutsätt-

tror en

ning det inte finns mycket inslag underrättelsetjänst och nationell säkerhet.

att av

från och nationellt säkerhetspers-

Om man analyserar frågeställningen underrättelsetjänst-

pektiv är givet. Det blir säkerheten för individen är det primära före

svaret ett annat svar om

underrättelsetjänst och nationell säkerhet. Det är utgångspunkten för analysen är avgö-

som rande.

Ett typexempel det är DGXIIIs Communication, är ett uttalat handelsvänligt

senaste som

och från den utgångspunkten mycket bra dokument. Inom EU har sett andra reaktioner tidigare och såväl EU-kommissionen de flesta länderna är starkt kluvna i vilka anspråk

som ska i detta avseendet. som väga tyngst

Hearing om identifiering och identitet i digitala miljöer

0 Om näringslivets vinster och fördelar kan bli väldigt stora att införa system För identifiering och genom identitet i digitala miljöer, kan det innebära att många av de multinationella företagen inom ICC lägger ökande tryck mot sina hemländers regeringar for att bredda vägen Kommer just de ekonomiska fördelarna i den pågående globaliseringen att ha en utslagsgivande betydelse för en relativt snabb utveckling bland de Foretag som vill ha det

Det är ingen tvekan på den punkten. Det tycker amerikanerna själva också. Ett amerikanskt

undersökningsinstitut lade för något år sedan fram en stor rapport till senaten som konstate-

rade national security interests kommer inte klara stå denna utveckling. Det

att att att emot

förfarande vi är egentligen den brända jordens taktik, hålla exportkon-

som nu ser att uppe

trollerna och exportreglerna när det gäller kryptering så länge möjligt.

o s v som

Det är inte vinster är det avgörande, utan mätt i termer effektivitet och konkur-

som mera av

renskraft. Det handlar integrera leveranskedjor och dela information för elimi-

om att att att

mycket det tid idag. Anledningen till ICC började med EDI redan

nera av som tar att

1980-talet att konstaterade att godset korn fram före när fraktade över

var man papperen man

Atlanten. Det är mycket dyrt med otillfredsställande pappershantering.

en

Hearing om identifiering och identitet i digitala miljöer

Utfrågning av Berne Landgren,TeIia Megacom AB

Berne Landgren är VD för 721m Megacom AB, Stockholm.

0 Telia visar intresse för många där digital identifiering och signatur är grundbnlt. Det nya en förefaller att Telia, precis Posten, kommer att lansera något detta under 1998. Hur snabbt är det som som av möjligt att i stor omfattning Eira in tekniken utifrån Telias perspektiv

Det beror vad med omfattning. För Telia är detta egentligen sätt

man menar stor ett att

gradera upp telenätet. Idag måste du i vissa sammanhang träffa en person fysiskt för att

vara

säker vederbörande är och för genomföra vissa handlingar. Imorgon kan det ske

vem att

över telenätet. Det är hisnande möjlighet. Inte bara för Telia, för alla.

en utan oss

Därför är Telia inriktat arbeta mycket med SEIS-standarden och det öppna förhållnings-

sättet. Det är fundamentalt med tilliten och det kräver öppenhet. Det går byta pusselbit

att

efter pusselbit i för det långsiktigt hållbart. Telia arbetar med många sådana

systemet att

tillämpningar idag med många olika intressenter.

Nordbanken är först med kortläsare och elektroniskt identitetskort i sin Internetute nya

bank. Det gör hanteringen mycket enklare än många gör idag, använda säkerhetsdo-

att, som

för att visa behörighet för komma in i banksystemet. Med sådan säkerhetsdosa är det

sa att en

tidsödande, besvärligt och arbetsamt för att uppnå säkerhet.

en

Telia kommer också använda teknik i settopboxen för kabel-TV.

samma Det är starten en

mycket stor framtidsutveckling där telenätet graderas upp för bredbandig kommunikation. Det kommer flöda mycket värdefull information ledningarna och det innebär

att mer genom

högre säkerhetsrisker. Därmed finns behovet av säker identifiering.

0 Därmed når Telia ut till hnshå|len7 i mycket stor utsträckning. Kommer med andra ord SEIS-konceptet att finnas for huvuddelen abonnenterna inom några år av

Det hänger den kommersiella fortsättningen. Tillämpningarna måste till. Innehållet måste

till för det ska finnas tillräckligt intresse. Det går inte säga i förväg. Vi försöker

att att vara

konsekventa. I allt gör, bygger in denna säkerhetslösning. Vi bygger in det i bredband- Vi bygger in det i våra interna för ska nå våra lokala nät inom

saccesserna. system att egna

Telia. Vi bygger in det i tillämpningarna till våra kunder.

Vi arbetar med många tillämpningar och projekt i bankbranschen, både mot bankernas kunder och internt inom bankvärlden. Andra områden är försäkringar, elektronisk handel, hotell och diskuterar med Bilregistret så att det kommer möjligt säkert fjärrge-

t ex att vara att

nomföra bilbyte istället för med dagens omständliga procedur.

0 Vilka är de största hindren för att genomföra Telias planer

Det största hindret är hönan-och-ägget-problematiken. För ska bygga infrastruktur,

att man

krävs det och tillämpningar. För och tillämpningar ska byggas, krävs in-

nytta att nytta

frastruktur. Telia försöker bygga infrastruktur så mycket och så konsekvent möjligt i

att som samtalsautomater, i PCar, i telefoner o s v.

7Telia Kabel-TV har 1,3 miljoner anslutna hushåll och några hundratusen med settopboxar.

Hearing om identifiering och identitet i digitala miljöer

0 I vilken utsträckning behövs ändrad

Det hindret är hönan och ägget. Det mycket bra Statskontoret tar initiativ till

ena vore om

handla tekniken. Det kommer driva utvecklingen.

att upp att

Det andra hindret är lagstiftningen. Tilliten och förtroendet kräver att det finns ett lagstöd

och att det kommer snabbt.

Är det realistiskt SEIS-konceptet kan rullas i världen 0 att ut resten av

I resten världen är säkert att ta Men har ett försprång delar detta. Vi har kun-

av av

skap och vi har också en tradition av samverkan. Det som har gjort i Sverige är ganska

unikt, faktiskt samlar banker, operatörer, Posten och antal andra intressenter genom att ett och viss standard. Det ska på. samsas om en ta vara

Är det realistiskt SEIS-konceptet går rulla i Europa o att att ut

Delvis i alla fall. I Europa har bra chans. Vi arbetar över hela Norden och Ös-

norra en

tersjöområdet, vilket gör att med rimliga gemensamma ansträngningar borde vi kunna finnar, norrmän och danskar med Vi kommer göra lösningar i det

oss. att egna som

håller med runt Östersjön och Norden. Alliansen som Telia har tillsammans med hollän-

dare och schweizare och ATÖCT sådant exempel, där vi kan arbeta från vårt håll.

är ett annat

Men det krävs det är många är med och drar i denna utveckling.

att som

Vilka ekonomiska möjligheter ligger i SEIS-konceptet Är det främst ökad tjänsteförsäljning 0

Det är egentligen ekonomiska möjligheter överallt för alla. Det år oerhört många till-

- oss

lämpningar och alla olika områden finns det möjligheter öppnar sig SEIS-

som genom

konceptet.

Istället för SEIS lösning skulle Telia väl kunna välja teknisk lösning presterar i stort sett samma 0 en egen som sak vilken är fördelen med att välja den gemensamma lösningen -

Därför den är öppen lösning. Det betyder vi kan göra antal saker också våra

att en att ett som konkurrenter kan göra stöder infrastruktur. infrastrukturen kostar att som samma pengar

bygga. fler år med och betalar, desto bättre och snabbare går det.

som

Hearing om identifiering och identitet i digitala miljöer

Utfrâgning av Jerker Sjögren, Stockholms stad

Jerker .Sjögren är projektledare för Medbørgarinfbrmatiønmrøje/etet i Stockholm: stad.

0 Stockholms stad är en av de kommuner satsar kraftigt på IT. Varför är det intressant införa som ny att system for identifiering och identitet i Stockholm

Det är intressant utifrån både de interna och behoven. Det finns 12 000 persondato-

externa

rer idag i Stockholms stad som används från till kväll. För att de ska kunnas använ-

morgon

das ännu effektivt behövs denna lösning kopplat till satsning intranät

mer typ av o s v.

Därtill kommer kontakten med medborgarna. Fullmäktige har beslutat plattform för

om en

kommunikation mellan staden och dess medborgare. Det kanaler: telefoni, de fysiska

är tre

medborgarkontoren som nu växer upp och Internet. För att det ska bli mer än bara enkla informationstjänster det ska bli riktiga, interaktiva tjänster måste ha denna

- - man typ av

säkerhetslösning.

Hur snabbt det kan ske beror helt på hur lyckas samla i Sverige och i vilken mån vi kan

oss

dra det i andra länder. Men klart är måste till den lösning

nytta av som ser att typ av

som Toppledarforum har beskrivit. Vi behöver ha kortsiktiga lösningar snabbt. Vi kan inte

lösa alla problem gång. För då kommer inte framåt.

en

Det är viktigt säkerhetslösningen del den infrastrukturen håller

att se som en av nya som växa fram. Problemet är detta med hönan och ägget, det är lätt fastna i att att att ett moment

22 inget händer därför inte kommer i gång. Samhället har för bygga

- att man ett ansvar att

infrastrukturer. Om får bra samspel mellan samhället och marknaden, i form både

man ett av

leverantörer och användare både på den privata och offentliga sidan, kan det börja hända

saker redan under nästa år.

0 Vilka är de största hindren

Till de största hindren hör framför allt bristen relevant lagstiftning. Oklarheterna skapar

osäkerhet den privata sidan där inte vill affärsrisker. På den offentliga sidan

en man ta

finns osäkerhet i form inte vill riskera trampa i det morass regel-

en av att man att ut som

verket eller trakterna utanför regelverket innebär. Alla kommuner är inte lika uppkäftiga

Gällivare. som

0 Har Stockholms stad studerat internationella alternativ till SEIS Eller nöjer ni er med signalerna från Toppledarforum och SEIS

Jag har haft förmånen via SEIS träffa eldsjälar, företrädare för motsvarande i Hol-

att organ

land, Finland och några andra länder. Samstämmigheten är det är bråttom och

stor om att att ska till att dra nytta varandras erfarenheter i arbetet. man se av

I den finska handlingsplanen finns klart och tydligt utskrivet att ska dra nytta SEIS-

man av

specifikationen. De har lusläst specifikationerna och kommit med konkreta synpunkter på

sådant behöver förändras. Samarbete är den rätta vägen gå. Det handlar alltså inte som att om

att sälja detta till andra länder eller "invadera världen med hjälp av SEIS. Det handlar om samspel och samarbete

3 Moras träskartat område, kärr.

Hearing om identifiering och identitet i digitala miljöer

Gör samarbete kring SEIS-plattformen att den sprids i förbättrad form till andra länder 0

Ja. I olika grupperingar har nämnts kontakter med Finland, Holland Så med som m samarbete i Norden och Europa, kanske det går att med Kanada för att sedan rulla norra

USA bakvägen.

upp

Vilka vinster utöver förbättrad kommunikation till invånarna går det att göra med en bra säkerhetslös- 0 - ning

Man måste detta investering i infrastruktur. Som med alla sådana investeringar se som en

gäller vinsterna inte kommer omedelbart. Dessutom dyker de ofta upp någon annanstans

att än hos den gör investeringen. Men säkerhet måste ha. Utan säkerhet kommer inte som

vidare med tillämpningsutveckling, d verksamhetsutveckling i praktiken. Vi kan heller

v s

inte genombrott för Självbetjäning i delar den offentliga servicen med hjälp

t ex stora av av

informationskiosker och Det är alltså nödvändigt skaHa denna

ute gator torg. att typ av

lösning.

Vinsterna kommer är jag övertygad i form kortare handläggningstider. Många

om, a av

tjänstemän hos kommuner och statliga myndigheter som idag går knäna och får Yrkesin-

spektionen rycka ut får möjlighet ägna sig åt kvalificerade arbetsuppgifter, det

att att mer om

går undan del ärendehanteringen att jag medborgare exempelvis le-

att en av genom som in halvfabrikat i form deklarationer och vererar av annat.

Hearing om identifiering och identitet i digitala miljöer

Utfrågning av Magnus Faxén, UD

Ambassadör Magnus Faxén, UD, regeringens utredare svensk

är av en krypteringspølicy

0 Grytan kokar på många ställen internationellt kring dessa frågor. Hur snabbt det realistiskt är att tekniken kan slå igenom i de avancerade industriländerna Är det perspektiv på 4-5 eller ett år kanske tio år

Det lätta är det omöjligt på. Den

svaret att är att svara riktiga svaret är att olika frågor kom-

att ta olika lång tid. Ett område där det finns chans kunna finna

mer att gångbara lösningar internationellt är skapa förutsättningar för elektronisk handel, d börja med de di-

att v s att

gitala signaturerna. Det är visserligen inte helt enkelt, ändå det enklaste i hela komplex-

men et.

En fråga är kan skilja hanteringen digitala signaturer och om man av kryptering i vidare bemärkelse, d hemlighållandet innehållet i meddelandena. Svaret För

v s av är ett par år

sedan fanns i många länder väldigt rigid inställning kring kryptering eftersom underrättel-

en

då mycket dominanta. Nu har stämningarna Nu det

seorganen var svängt. är möjligt att klart skilja på hanteringen kryptering och de digitala signaturerna. I Tyskland finns redan

av en

lagstiftning om digitala signaturer. Nu kan de börja utveckla tillämpningarna. Men när det gäller krypteringsdelen råder oenighet iTyskland och den frågan kommer

inte att hanteras förrän efter 1998 års val.

0 Kan det bli snabb utveckling på området en

Utvecklingen kommer att stegvis. Vad än gör i Sverige när det gäller digitala signaturer, måste till att gör det i takt med utvecklingen hos våra viktigaste handelsparter,

se t ex

Tyskland. Därför måste studerar hur den tyska lagen kommer verka.

noga att

En del säger den tyska lagen inte är smidig och bra, den har brister Men det

att att o s v. är

den finns och den tyskarna kommer följa. Ska tyskarna godta våra certifierade

som som att

digitala signaturer, måste Sverige ha lagstiftning är någorlunda samstämmig med den

en som

tyska.

0 Innebär det att eftersom tyskarna redan har lag, kan den svenska lagen komma fram snabbt en

Det vet jag inte. Men detta är det viktigaste regeringen måste itu med omedelbart.

av som ta

Justitiedepartementet, Näringsdepartementet och andra funderar över detta och det ska så

snabbt möjligt komma i gång sarnordningsarbete inom regeringskansliet eftersom det

som ett

berör flera departement.

Det är oerhört bråttom i gång arbetet med fram lagstiftning för digitala signa-

att att ta en

turer, så att de får verkan och kan användas praktiskt.

en

Hearing identifiering och identitet i digitala miljöer om

Vem har den starkaste positionen är det polisen och rättsväsendet eller är det näringslivet och af- 0 som - Farsintressena Har aHiirsfolket har tagit hem spelet nu

Den slutsatsen något förhastad. Det inte är frågan är starkast, att

är om vem som utan man

och försöker finna balanserad lösning. Det låter enkelt. Alla länder talar också tar hänsyn en så ska göra. Det är nödvändigt försöka balansera intressena. Det är givet att

om att man att

det är allmänintresse, även intresse, att till att näringslivet har tillgång till den

ett ett statens se

bästa tänkbara tekniken. Att har bästa tänkbara skydd är i allas intresse. Men det är

man ett

också naturligtvis intresse hos individer och näringsliv inte denna underbara teknik tas

ett att

hand maffiosos och terrorister. Det faktum det finns allvarliga hot

om av gangsters, är ett att

och risker i användningen dessa system.

stora av

Ett exempel Japan där lagstiftningen skyddar individernas rätt avancerat sätt. Den

är ett

påtvingades Japan amerikanerna efter nederlaget i andra världskriget. Det ironiska är att

av

amerikanarna driver även Japan borde i med hårdhandskarna för att skydda sig

nu att ta

terrorister. Opinionen har svängt efter terrordådet i Tokyos tunnelbana, när

mot man upp-

täckte planeringen dådet hade skett med hjälp kryptering. Så kan det gå.

att av av

Från svensk sida finns krav precis rättsväsendet redan har via bokföringslag,

ett - som

skattelagar viss insyn i affärer. Det måste rimligen ordnas så det in i använd-

att passar o s v -

i teknik. Vissa hänsyn måste Hur det ska till är fråga. ningen ny tas. en annan

I Sverige vi tidigt i utvecklingen på detta område har vi möjlighet att göra gällande 0 anser oss vara ute - oss

internationellt

Jag är övertygad det. Det finns redan väl etablerat samarbete med vissa länder. Sverige

om ett

har högt anseende flera det gäller den tekniska nivån och samhälleliga

ett sätt, t ex när

strukturer fungerar väl. Det har lett till vi har bjudits in i arbetsgrupper inom

som a att

har också blivit indragna i diskussionsarbete teknikens interoperabilitet och

EU. Vi om om länder med dessa fem EU-länder, Förenta

exportkontrollen. De åtta som är i resonemang är

Kanada och Japan. Det är alltså frågan att försöka finna enighet och gemen-

staterna, om

samma uppfattningar som utgångspunkt för lösningar.

spelarna kommer någonting sedan kan slå igenom i resten världen 0 De tunga överens om som av

Ja. Och med f Respekten för den teknik Sverige har Sverige är n. är stor a som presterat:

det gäller krypteringssidan i blir det någon obligatorisk deposition nycklar 0 När stort av -

Det inte aktuellt hanterar digitala signaturer. Men när det gäller frågan om kryp-

är när man

terade meddelanden och möjligheterna för rättsvårdande myndigheter komma vad

att

misstänkta brottslingar har haft för sig, föreslår vi det inte ska finnas krav en obligato-

att

risk nycklar Sverige. Men det idag i vissa länder har trafik deposition av i som ser ut som

med, kan andra länder komma ställa krav att internationell trafik ska kunna genomfö-

att

nycklar.

först när man

har deponerat

ras

amerikanska administrationen driver hårt linjen amerikanska företag vill sälja

Den att som

maskin- eller med krypto till Sverige, beviljas inte detta inte mottagaren

programvara om

först har ordnat med nyckeldeposition. Eftersom vi inte har någon nyckeldeposition i Sverige, det blir lägga nycklarna i USA. Det är läget. Om det blir

innebär att man tvungen att en

I Frankrike det lag ska kommunicera förlängning efter 1998 återstår att se. är att om man ska ha nyckel deponerad hos fransk nyckeldepositör. digitalt man en

Hearing om identifiering och identitet i digitala miljöer

Strategisk diskussion: Vem gör vad, när och hur

Inledning Detta avsnitt belyser vad behöver göras för i Sverige införa för digital identifi-

som att system

ering och digital signatur.

Medverkande Thomas Falk Industriförbundet, Ulf Jonströmer AU-System AB och Peter Seipel, Stock-

holms universitet. Ordförande: Gunnar Hedborg IT-kommissionen.

0 Att införa system för identifiering och identitet förefaller komplex uppgift. För komma

vara en att nu

framåt

Thomas Falk, Ska någon

Industri göra något Detta kommer att ta tid. Ett femårigt

perspektiv är rimligt. Vi debatterade inte denna fråga för år sedan. Internet

ens tre som

kommersiell företeelse begränsar sig till i de två åren och har utvecklats

stort sett senaste utan

påhejningar av vare sig lagstiftare eller andra. Det har skett organiskt. Därmed inte sagt att det inte finns problem i användningen Internet framöver. Det gäller framför allt problem

av rör affärskultur kan lita varandra helt enkelt, känna tillit. som - att

När det allmänt gäller utvecklingen affärskulturen naturligtvis

av sätter lagstiftningen vissa gränser. Ofta har lagstiftningen kommit till i vissa lägen för justera skevheter Men

att 0 s v.

trots allt förutsätter tillitspräglad affärskultur det är på marknaden

en att parterna som olika sätt är överens.

Det är alltså parterna vill använda denna teknik marknaden måste driva frågan.

som som

Jag tror inte att snackar upp ett tält genom att säkerställa lagstiftning eller lik-

en

nande för skapa ansad gräsplan där sedan kan börja spela fotboll eller krocket. Är det

att en

inte så att vi ofta börjar spela även planen inte är så från början Efterhand kan det

om

finnas skäl hyfsa ekvationen.

oss att

Ulf jomträmeø; AU-System AB: Min är densamma. Är detta så märkvärdigt För

syn ett trettiotal år sedan införde banker, Posten och några till identitetskort. Inte talade ett gemensamt

man då behovet lagstiftning. De kom överens och genomförde det.

om av ny

Idag diskuterar hur många nivåer av certifiering mellan Certification Authorities

som

behöver för verkligen lita de identitetskorten Men har redan identitetskort

att nya o s v.

där ingen någonting. Vi litar det i alla fall.

garanterar

Vi ska inte göra detta så väldigt komplicerat Vi borde försöka finna praktiska lösningar

ett

akut och aktuellt problem, nämligen identifiering och bekräftelse elektronisk värld.

i en

Visst kan använda teknik för bygga elektroniskt samhälle. Där

samma att upp ett nytt

kommer vi säkert behöva lagstiftning, Men det är i längre perspektiv

att en ny m m. ett om -

4-5 år och längre fram. I dagens läge är många behöver lösningar för behovet iden-

som av

tifiering och bekräftelse. Väljer vi inte lösningarna med smarta kort och SEIS, är vi hänvisade

till våra säkerhetsdosor eller andra än värre lösningar.

Det finns idag överenskommelse, teknik och regelverk tillräckligt väl reglerar

en en ett som

detta för det ska möjligt i gång lösning för bank. Nordbanken riskerar

att vara att en en

inte sitt säkerhetslösning inte fungerar.

namn en som

Vi bör idag mycket pragmatiska. Vi ska vad går göra kort sikt. Parallellt

vara se som att med det kan diskutera vad ska hända 4-5 år. Då kanske det behövs i om som om annat

form regelverk, lagstiftning

av o s v.

Hearing om identifiering och identitet i digitala miljöer

Peter Sezjvel, Stockholms universitet: Min är variation Det finns lag-

syn en samma tema. ur

stiftningssynvinkel såväl hårda mjuka frågor olika svårighetsgrad:

som av

Hård fråga

Lätt lösa Exempel:

att

digital signatur

Exempel: Svår att lösa

tillit

Mjuk fråga

En hård och enkel fråga är rimligtvis den digitala signaturen. Om det underlättar skeendet och utvecklingen borde det möjligt snabbt göra reglering.

vara att en

Bland frågor är mjuka och svåra finns allmänhetens tilltro och tillit är

som t ex 0 s v som

väsentliga komponenter detta område. Där är det oerhört mycket svårare att se vad man kan göra och här och är ansvarig. Dessa frågor kan vi försiktigt skjuta in i fram-

nu vem som tiden.

Allmänt sett måste fantasin spela för hitta lösningar. Ta problemet med depo-

mera att t ex

nering nycklar varför inte tänka i termer tidlås Om det är så information är käns-

av - av att

endast under kort tid går det att sätta tidlås den, så att det inte är möjligt öppna

att förrän eller två år när domstolen behöver det. om ett

Eller sätt elektroniska bojor, så de tidigare har berett sig illa måste tyvärr deponera

att som

nycklar. Medan alla andra är värda förtroendet att använda fullt kryptetingsskydd. Det kan vara antingen ett förtroende som man förvärvar eller som man har från början. Mer fantasi i de tekniskt organisatoriskt juridiska lösningarna

Ulfjønsträmer, AU-System AB: Jag har full respekt för de juridiska frågorna, men i det korta

perspektivet är allmänheten mer betjänt av en diskussion om skillnaden mellan ett smart kort

med nycklar och identitet och det ligger hårddisk. Det borde vi förklara ett

som en

vettigt sätt. Då går det att skapa mycket större tillit till de lösningar som finns, än om vi har tjusiga regler för certifiering

m m.

Det vi diskuterar att införa för digitala miljöer är egentligen oändligt mycket högre säkerhetsnivå än i 0 om en befintliga system. En namnteckning är ganska enkel förfalska överdriver vi kraven på säkerhet att o s v.

Thomas Falk, Industrifláråunølet: Vi överdriver inte säkerhetstänkandet för alfärstransaktioner i

generell mening. Men redan idag är det en mycket osäkrare hantering att lämna ifrån sig ett vanligt kreditkort restaurang än att använda ett smartkort-system. Men affärsidkare

en

som bryter mot affärskulturen och missbrukar förtroendet med kort, kan bara göra det en

gång. I den elektroniska världen är det lättare att gömma sig. Men det är förhållandevis ett

litet problem att lösa hur vi ska kunna bedriva handel nätet når slutkonsumenten.

som

Den stora frågan är den civilrättsliga delen som gäller utbytande av affärsdokument i generell mening: offerter, kontrakt och där namnteckning idag gäller juridiskt. Detta hand-

annat en lar elektronisk affärskommunikation inkluderar allt, alltså inte enbart kommers eller om som

handel vanligtvis fokuserar på.

som resonemangen

ISO 98,325 7- - 7- -7 --r-w-

Hearing identifiering och identitet i digitala miljöer om

Ulf jonsträmer, .AU-System AB: Det finns idag lösningar tycks räcka för att klara mina

som av

transaktioner med S-E-Banken med säkerhetsdosa och då kan undra: Behöver jag

en man

någonting mer Ja, det behövs något I det större perspektivet med elektronisk handel,

mer.

vill jag kunna använda PC för många olika tjänster. Det är praktiskt omöjligt att ha

samma 15 olika säkerhetsdosor.

Framgent vill vi alltså kunna använda grundteknik mot många olika system. Då är

samma

kraven ställs SEIS helt naturliga och nödvändiga.

som av

Dessutom är vissa typer tillämpningar överhuvudtaget inte möjliga om inte höjer nivån.

av

Riksskatteverket möjligheten göra deklarationer via Internet. Där behövs säkrare

testar att en

identifiering än ett vanligt engångslösenord.

Peter Seipel, Stockholms universitet: Det kommer behövas viss lagstiftning i efterhand. När

att

det gäller de hårda enkla frågorna se matrisen tidigare är det onödigt att ha osäkerhet

som

består i inte har satt saker och ting juridiskt. Just de enkla operationerna

att man namn

bör man i största möjliga utsträckning genomföra, så att man vet vad man umgås med och vilka helt konventionella rättsliga konsekvenser det och det andra tillvägagångssättet

Vet ena

har. Sedan blir det naturligtvis större allvar detta när det leder över i straffrättsliga resone-

av

människor ska eller inte ska hållas ansvariga för det eller andra tillväga-

mang, om att ena gångssättet.

Här borde lagstiftningsarbetet accelerera jag kan inte det annat sätt. I stor utsträck-

- se

ning kommer det att handla konsumentfrågor. Industrin ger sitt perspektiv, men jag ser

om

det också vardagligt enkelt konsumentperspektiv. Rätten är inte bara maktens red-

ur ett mer

skap, utan också vanmaktens stöd.

Thomas Falk, Industrifärbundet: Handeln nätet mellan företag idag är nog betydligt större

än den mellan företag och slutkonsument. Det bekymmersamma är att vi behöver komma överens svensk immaterialrätt slutar och tysk och fransk börjar. Hur fungerar in-

om var var ternationella kontrakt, etc

Det är viktigt börja klassificera affärshändelser. Vi får typer av affärslösningar

att nya som

tidigare inte har haft. Då är det viktigt överens innebörden dem. Om det

att vara om av se-

dan nödvändigtvis i alla lägen måste följas av lagstiftning är något som går att diskutera

ska veta vad vi talar om. men

Exempel: Om jag gör elektronisk överföring idag digitalt till min dotter i Lon-

en av pengar don kan jag faktiskt med denna teknik ordna det så att hon inte kan brukar pengarna var

helst, på puben. Det är två operaföretag i London plus fyra mig förutbestämda

som t ex av

bokhandlare gäller, that it. Så kommer ha det. Vi kan alltså tänka värld

som att oss en

är ofantligt mycket säker för konsumenten. Nu jag min dotter att

som mer unnar pu-

ben och lägger mig egentligen inte i hur hon använder sina

pengar.

Om vi leker med tanken, inser är väg in i struktur och att vi måste ha att en ny

mycket fantasi för förstå hur de olika affärslösningarna kommer ut. Därför

mer att att se

måste vi börja försöka beskriva de olika affärshändelserna taxonomi helt enkelt.

- en

Hearing om identifiering och identitet i digitala miljöer

Ulffonströmer, AU-System AB: Industrin välkomnar i hög grad den dag har lagstift-

som en

ning om digitala signaturer, etc. Men de användare och de företag och banker

som ser nu,

satsar detta, klarar sig under relativt lång tid framöver avtal.

som en

De inom statsförvaltningen blir försedda med elektroniska tjänstekort, kommer inte

som att ha svårt skriva avtal med S-E-Banken, Handelsbanken eller Nordbanken det att ett om att

kortet också går använda i banken. Rimligtvis behövs ingen särskild juridik för det.

att

I Nordbankens planer är det självklart tidigt kan vinna affärsför-

att genom att vara ute man

delar, kunna erbjuda sitt kort till antal andra köpställen gör kunden

genom att ett som att

kommer att uppleva det värdefullt ha Nordbankens lösning för identifiering och sä-

mer att kerhet, säkerhetsdosa från S-E-Banken. ån säg en

0 Det framskymtar bristande kunskap och insikt denna utveckling hos politikerna. Är det så en om

Ulffonsträmer; AU-System AB: Bristen insikt finns inte bara hos politiker. Detta är ett komplext område och det är inte lätt att skilja från Vi för själva lite förvirrad

agnar vetet. en

debatt dagens problem och morgondagens jättelösningar och därför förstår jag politi-

om om

ker har svårt fatta beslut i dessa frågor.

att

Vi i branschen och andra intressenter måste via SEIS eller sätt mycket

annat vara mer

konkreta vad förväntar politikerna. Det finns klar öppenhet i dagens läge

om oss av en att

gäller att råd och dåd i hur ska i dessa frågor.

man agera a

Peter Segøel, Stockholm universitet: Politik är svårt. Den erfarne lagstiftaren Karl-Axel Petri har det i lagstiftningssarnmanhang finns mystisk faktor heter Tiden

sagt att en som år mogen

eller Tiden är inte mogen. Det är svårt förklara när den faktorn slår till i eller andra

att ena

riktningen.

Men det ligger mycket i det måste bli politik det för det ska tända. Frågan är

att av att om

identifiering och identitet i digitala miljöer uppfattas det viset eller som andra- eller tredje-

rangsfrågor. Detta är inte rationellt till fullo. Persondatafrågorna är politik, de är synliga

t ex

och de får medieuppmärksamhet.

Detta med kryptering och digitala signaturer fanns redan 1970-talet och tidigare. Då

fanns koncepten, tekniskt och juridiskt. Men det fullkomligt ickeproblem den ti-

var ett

den och har varit länge. Det är en irrationell och mystisk faktor.

I IT-kommissionen är fullt medvetna och fokuserade på dessa problem. Vi kommer i våt

slutrapportering att uppmärksamma dem bland de viktiga och angelägna bevakningsområde-

na.

Hearing om identifiering och identitet i digitala miljöer

Thomas Falk, Industrifärbundet: I juli det i Bonn k ministerkonferens rörde

1997 var en s som

olika inslag IT-samhället. Framför rörde del diskussionen Internet, elektronisk

av en stor av

handel och därmed sammanhängande frågor. Det första gången ministrar

var som en grupp

dryftade frågorna och också kom med ett gemensamt uttalande. Det är ett gott tecken.

En sådan konferens tal att tiden är sannolikt omöjlig bara för två år

- om mogen - var

sedan. Det sker uppföljning i Åbo och en ministerkonferens kommer i Kanada under

en ny 1998.

Detta är otroligt viktigt, därför att en stor del av det vi talar om, Q en politisk dimension och ska ha politisk dimension.

en

Men det jag har upplevt under långa tider är politiker har haft ganska begränsat

som att ett

intresse för diskutera dessa frågor. Nu börjar de uppmärksammas allvar och det är vik-

att tigt.

Hearing om identifiering och identitet i digitala miljöer

Bilaga

Information om SEIS

Secured Electronic Information in Society, SEIS, är ideell svensk förening med fem-

en ett

tiotal förvaltningar och företag medlemmar. Föreningens syfte är höja IT-säkerheten

som att främst för nätanvändare fokuserar säker kommunikation, säkert distansarbete i nätsom verk och säker elektronisk handel.

SEIS-föreningens uppfattning är att målet nås genom att införa en normerad infrastruktur för elektronisk identifiering, digitala signaturer och utväxling nycklar vid kryptering. Fö-

av

reningen målet nås effektivt dessa funktioner realiseras på smartkort,

anser att mest om ett yta också bör utformas konventionellt identitetskort. vars som ett

Grunden för konceptet är internationellt och vidareutveckling material kommer

en av som

från USA och Tyskland. Före bildningen SEIS i 1995 arbetade projektet Alltermi-

a av mars

nalen och projektet Strategisk Samverkan med liknande koncept. Nu förvaltar

SEIS re-

sultaten från dessa projekt.

Flera medlemsorganisationerna har betydande framgångar tack de SEIS har

vare normer som

utarbetat. Några aktuella exempel

är att

0 framgångsrika installationer och tillämpningar har i Sverige gjorts Allterminaled

genom

Danderyds Sjukhus, Riksskatteverket med flera organisationer

0 Posten ut identitetskort typ smartkort har fått internationell först ger av som acceptans,

bland de nordiska postverken och sedan globalt och det innebär det svenska kon-

att

ceptet ligger till grund för ett internationellt genomförande

0 Finansinspektionen har tagit fram en Java-baserad systemlösning för den mycket konfidentiella och obligatoriska rapportering de finansiella institutionerna är skyldiga

som att göra

0 den offentliga förvaltningen har Toppledarforum tagit strategiskt beslut

genom ett att

a säkerhetslösningen för den offentliga elektroniska handeln ska följa SEIS-normer

b införa ett anställnings-/tjänstekort i den offentliga förvaltningen baserat SEIS.

0 Nordbanken baserar sina tjänster via Internet SEIS-normer

0 Bankgirocentralen, Handelsbanken och S-E-Banken driver ett gemensamt projekt för att införa digitala signaturer betalningsuppdrag till Bankgirot pilotdrift 1998

0 finska Finansdepartementet har beslutat att införa frivilliga medborgarkort basis

av SEIS-normerna

0 SEIS Statskontorets initiativ inlett samarbete med den ideella föreningen National

Chipcard Platform i Holland och därför ingår även finska och holländska specialister i SEIS arbetsgrupper

numera

0 svenska företag har internationella framgångar med produkter är baserade SEIS-

som

AU-System i Australien, Malaysia och Singapore Dynamic Software i

normer, t ex samt USA.

Rapporter

IT-kommissionens arbetsprogram, SOU 1995:68 Delbetänkande om kommissionens övervägande och prioriteringar samt arbetsprogram. 34 sidor. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90

Kommunikation utan gränser rapport från IT-kommissionen, juni 1995 - Skriften är ett sammandrag av kommissionens arbetsprogram. 15 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

Communication Without Frontiers report by the Swedish - IT-Commission, june 1995 Engelsk översättning av sammandraget. 15 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

Så kan Sverige utveckla en framgångsrik programvaruindustri infor 2000-talet Rapport 1/96. 25 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

IT-mâtt. Hur kan IT-användning beskrivas Av Nils-Göran Olve Carl-Johan Westin, CEPRO AB. Rapport 2/96. 65sidor. Kan beställas hos IT-kommissionen, 08-405 18 51

När det regnar manna från himlen, har den fattige ingen sked Om IT och handikapp. Rapport 3/96. 32 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

Kvinnor och IT Rapport 4/96. 41 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

Rättsinformation och IT Svårigheternas advokater eller möjligheternas ambassadörer Rapport 5/96. 60 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

ERROR, När IT inte fungerar en rapport om IT och dess användbarhet Av Per Gustafsson på uppdrag av IT-kommissionen. Rapport 6/96. 50 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

IT-kommissionens hearing om infrastrukturen för information och kommunikation. Dokumentation från IT-kommissionens hearing den 5-6 juni 1996. Rapport 7/96. 127 sidor. Kan beställas hos IT-kommissionen, 08-405 18 51.

Affársnyttan med Internet Sammanfattning av det seminarium som anordnades av IT-kommissionen, Swebizz och Sveriges Tekniska Attachéer den 4 juni 1996. Rapport 8/96. Rapporten är publicerad IT-kommissionens hemsida http://www.itkommissionen.se.

IT-problem inför 2000-skiftet, SOU 1997:12 Referat och slutsatser från en hearing anordnad av IT-kommissionen den 18 december 1996. Rapport 1/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Digital demokra@ti, SOU 1997:23 Ett seminarium om Teknik, demokrati och delaktighet den 8 november 1996 anordnat av Folkomröstningsutredningen, IT-kommissionen och Kommunikationsforskningsberedningen.Rapp0rt 2/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Kristallkulan 13 röster om framtiden, SOU 1997:31 - Rapport 3/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

IT och miljön en samling goda exempel, SOU 1996: 178 - Rapport 4/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Sverige infor epokskiftet, SOU 1997:63 Rapport 5/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Sweden in the Information Society, SOU 1997:67 The Swedish IT Commission report 5/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90

Säker elektronisk kommunikation, SOU 1997:73 Referat från ett seminarium anordnat av IT-kommissionen, Närings- och handelsdepartementet och SEIS den 11 december 1996. Rapport 6/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

IT-kommissionens hearing om den nya medie- och programvaruindustrin, SOU 1997:124 Andrakamrnarsalen, Riksdagen. Rapport 7/97. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

IT ocg regional utveckling 120 exempel från Sverige, SOU 1998:19 - Rapport 1/98. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

IT-kommissionens hearing om infrastrukturen för digitala medier, SOU 1998:20 Referat från en hearing anordnad IT-kommissionen den 24 oktober 1997. Rapport 2/98. av Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Problem med inbäddade system infor 2000-skiftet, SOU 1998:21 Hearing anordnad av IT-kommissionen i samverkan med Industriförbundet och Statskontoret 1997-11-14. Rapport 3/98. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

Identifiering och identitet i digitala miljöer, Referat från en hearing den 12 november 1997. Rapport 4/98. Kan beställas hos Fritzes kundtjänst. Fax: 08-690 91 91. Telefon: 08-690 91 90.

T-

Rapporter utgivna på uppdrag eller i samarbete med

I

kommissionen

Data om IT i Sverige Statitsitisk sammanställning om IT gjord av Statistiska Centralbyrån uppdrag av IT-kommissionen. Kan beställas från SCB Förlag, 701 89 Örebro. Fax: 019-17 69 32. Telefon: 019-17 68 00.

Datorvanor 1995 Undersökning av svenska folkets datorvanor utförd av Statistiska Centralbyrån på uppdrag av IT-kommissionen. 102 sidor. Kan beställas från SCB Förlag, 701 89 Örebro. Fax: 019-17 69 32. Telefon: 019-17 68 00.

IT världen Nationella initiativ runt - Undersökning av Sveriges Tekniska Attachéer på uppdrag av IT-kommissionen och Näringsdepartementet. Kan beställas från STATT, Box 5282, 102 46 Stockholm

IT världen Regionala initiativ runt - Undersökning av Sveriges Tekniska Attachéer uppdrag av IT-kommissionen och Näringsdepartementet. Stencil.

IT världen Statligt stöd till mjukvaruindustrin runt - Undersökning av Sveriges Tekniska Attachéer uppdrag av IT-kommissionen och Näringsdepartementet. Stencil.

Europeiska Unionen IT, telekommunikation och nya medier - En kartläggning och analys gjord av Statskontoret på uppdrag av IT-kommissionen. l ll sidor.

1998 Statens offentliga utredningar

Kronologisk förteckning

Omstruktureringar och beskattning. Fi. 29. 1976 års lag immunitet och privilegier i vissa om . Tänder hela livet fall en översyn. UD. . nytt ersättningssystem för vuxentandvård. S. 30. Utlandsstyrkan. Fö. b Välfärdens genusansikte. A. 31. Det gäller livet. Stöd och vård till barn och . alltid Nivå- och organisationsspecifika ungdomar med psykiska problem. Män passar . med exempel från handeln. A. 32. Rättssäkerhet, vårdbehov och sarnhällsskydd vid processer Vårt liv kön. Kärlek, ekonomiska och psykiatrisk tvångsvård. som resurser . maktdiskurser. A. 33. Historia, ekonomi och forskning. Ty makten är din Myten det rationella Fem rapporter om idrott. In. om . arbetslivet och det jämställda Sverige. A. 34. Företagare med restarbetsformåga. S.

Översyn av rörelse- och tillsynsregler för kollektiva 35. Förordningar till miljöbalken. + Bilagor. M.

. försäkringar. Fi 36. Identifiering och identitet i digitala miljöer Alkoholreklam. Marknadsföring alkoholdrycker Referat från en hearing den 12 november 1997. av - . och Systembolagets produkturval. IT-kommissionens rapport 4/98. K. Integritet Effektivitet- Skattebrott. Fi. . - 10. Campus for konst. U. ll. Fristående utbildningar med statlig tillsyn inom olika områden. U. 12. Självdeklaration och kontrolluppgifter förenklade förfaranden. Fi. - Säkrare kemikaliehantering. Fö . näringsrättsliga frågor. F 14. E-pengar - 15. Gröna nyckeltal- Indikatorer för ett ekologiskt hållbart samhälle. M. 16. När åsikter blir handling. En kunskapsöversikt om bemötande av personer med funktionshinder. S. 17. Samordning av digital marksänd TV. Ku. 18. En gräns en myndighet Fi. - 19. IT och regional utveckling. 120 exempel från Sveriges län. K. 20. IT-kommisionens hearing om infrastrukturen for digitala medier. Andrakammarsalen, Riksdagen 1997-10-24. K. 21. Problem med inbäddade system inför ZOOO-skiftet. Hearing anordnad av IT kommissionen i samverkan med Industriförbundet och Statskontoret 1997-11-14. K. 22. Försäkringsgaranti. Ett garantisystem for försäkringsersättningar. Fi. 23. Staten och exportfmansieringen. N. 24. Fiskeriadministrationen i ett EU-perspektiv.

Översyn av fiskeriadministrationen m.m. Jo.

25. Tre städer. En storstadspolitik for hela landet. + 4 st bilagor. 26. Från hembränt till Mariakliniken. fakta om ungdomar och svartsprit. - 27. Nya ledningsregler för bankaktiebolag och försäkringsbolag. Fi. 28. Läkemedel i vård och handel. Om en säker, flexibel och samordnad läkemedelsforsörjning. S.

Statens

Offentliga utredningar

1998 Systematisk förteckning

Utrikesdepartementet Ett garantisystem för forsäkringsersättningar. 22

1976 års lag om immunitet och privilegier i vissa fall

en översyn. 29 Nya ledningsregler för bankaktiebolag och försäkringsbolag. 27

Försvarsdepartementet

Säkrare kemikahehantering. 13 Utbildningsdepartementet

Utlandsstyrkan. 30 Campus för konst 10

Fristående utbildningar med statlig tillsyn

Socialdepartementet inom olika områden. 11

Tänder hela livet

Jordbruksdepartementet

nytt ersättningssystem for vuxentandvård. 2 - Alkoholreklam. Marknadsföring alkoholdrycker och Fiskeriadministrationen i ett EU-perspektiv. av

Systembolagets produkturval. Översyn av ñskeriadministrationen 24

8 m.m. När åsikter blir handling. En kunskapsöversikt om

bemötande med funktionshinder. 16 Arbetsmarknadsdepartementet

av personer Tre städer. En storstadspolitik for hela landet. Välfärdens genusansikte. 3 + 4 st bilagor. 25 Män passar alltid Nivå- och organisationsspeciñka Från hembränt till Mariakliniken. processer med exempel från handeln. 4 fakta om ungdomar och svartsprit. 26 Vårt liv som kön. Kärlek, ekonomiska och - resurser Läkemedel i vård och handel. Om säker, flexibel maktdiskurser. 5 en och samordnad läkemedelsforsörjning. 28 Ty makten är din Myten om det rationella Det gäller livet. Stöd och vård till barn och arbetslivet och det jämställda Sverige. 6 ungdomar med psykiska problem. 31

Rättssäkerhet, vårdbehov och samhällsskydd vid Kulturdepartementet

psykiatrisk tvångsvård. 32 Samordning digital marksänd TV. 17 av Företagare med restarbetsformåga. 34

Närings- och handelsdepartementet Kommunikationsdepartementet Staten och exportfinansieringen.

23 IT och regional utveckling.

120 exempel från Sveriges län. 19 Inrikesdepartementet

IT-kommisionens hearing infrastrukturen Historia, ekonomi och forskning. om för digitala medier. Andrakammarsalen, Fem idrott. In. 33 rapporter om Riksdagen 1997- 10-24. 20

Problem med inbäddade system inför 2000-skiñet. Miljödepartementet

Hearing anordnad av IT kommissionen i Gröna nyckeltal- Indikatorer for ett ekologiskt hållbart samverkan med Industriforbundet och Statskontoret samhälle. 15 1997-11-14. 21 Förordningar till miljöbalken. + Bilagor. 35 Identifiering och identitet i digitala miljöer.

Referat från en hearing den 12 november 1997. - IT-kommissionens rapport 4/98. 36

Finansdepartementet

Omstruktureringar och beskattning. 1

Översyn av rörelse- och tillsynsregler för kollektiva

försäkringar. 7

Integritet Effektivitet- Skattebrott. 9 - Självdeklaration och kontrolluppgiñer förenklade förfaranden. 12 - E-pengar näringsrättsliga frågor. 14 - En gräns en myndighet 18 - Försäkringsgaranti.