Brontekst bekijken van Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten

==Informatielaag==

De informatielaag bevat 3 deelgebieden
* '''Informatie binnen de afgenomen dienst'''. Authenticatie is een van de onderdelen van de adequate beveiliging van deze informatie. Zowel de karakteristieken van de informatie als de handelingen die met de informatie gedaan (inzien, wijzigen) worden bepalen het gewenste betrouwbaarheidsniveau en limiteert de keuze aan beschikbare authenticatiemiddelen. 
* '''Informatie binnen de het basisregister'''. 
* '''Informatie binnen het authenticatie middel''' afkomstig uit de authentieke bron. Deze informatie wordt bij authenticatie overgedragen aan de dienstafnemer. Op dit punt zijn er verschillen tussen de authenticatiemiddelen. 

[[Bestand:Nora Authenticatie Informatie Model.png|none|600px|Authenticatie Stakeholders|alt=”schematische beschrijving van verschillende takeholders in het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]] 

Toelichting:
* De handeling met de informatie betreft het onderscheid tussen informatie inzien en wijzigen. 
* De positie van de handeling in het proces van dienstgebruik. Niet voor alle handelingen binnen een dienst is altijd hetzelfde betrouwbaarheidsniveau vereist. 
* De juridische impact van informatie betreft de potentiële rechtsgevolgen van gebruik van de dienst. I.e. is het iets waar zowel de overheid als de natuurlijke personen rechten aan kunnen ontlenen. Hierbij kan ook worden meegewogen of het rechtsgevolg onherroepelijk is.
* De risico's betreffen het belang als er misbruik van de informatie wordt gemaakt door derden. Hieronder valt zowel het voordoen als de dienstafnemer (identiteitsfraude) als het gebruiken van informatie die niet had mogen worden ingezien.

De bij grondslagen genoemde handreikingen bieden op dit moment een beperkte bruikbaarheid. Organisatie moeten daarom specifiek nadenken op het niveau van handelingen tijdens het afnemen van de dienst:
* Wanneer zijn aanvullende maatregelen nodig bij authenticatie binnen een dienst (in de vorm van extra verificaties tijdens afname van de dienst)? Door passende aanvullende maatregelen binnen de dienst te implementeren kan een lager betrouwbaarheidsniveau gehanteerd worden. Zie ook de door het Forum Standaardisatie benoemde Risico Verhogende Factoren.
* Wanneer zijn lichtere maatregelen mogelijk (draagt bij aan gebruikersgemak). Hierbij zou een niveau-1 middel zoals gedefinieerd in binnen ISO 29115 een rol kunnen spelen. Zie ook de door het Forum Standaardisatie benoemde Risico Verlagende Factoren.
* De authoratieve bron van de identiteit; voor Nederlandse burgers is dat de BRP; bij buitenlanders is de betrouwbaarheid van de bron soms lager dan van het BRP. 
* Zijn er natuurlijke personen die van de dienst gebruik MOETEN kunnen maken maar geen van de toegestane authenticatie middelen hebben?

Er zijn richtlijnen die hierbij kunnen helpen
* [https://www.forumstandaardisatie.nl/sites/bfs/files/atoms/files/Betrouwbaarheidsniveaus_voor_digitale_dienstverlening_v4.PDF/ Betrouwbaarheidsniveaus_voor_digitale_dienstverlening] (Forum Standaardisatie) 
* [https://regelhulpenvoorbedrijven.nl/betrouwbaarheiddigitaledienstverlening/ Regulhulp Betrouwbaarheidsniveaus voor digitale dienstverlening ](Forum Standaardisatie)
*  [https://www.eherkenning.nl/aansluiten-op-eherkenning/betrouwbaarheidsniveaus/bepalen-van-juiste-niveau/voorbeelden-van-diensten Voorbeelden van diensten en betrouwbaarheidsniveaus] (eHerkenning).

NB: Er is een breed geaccepteerde exceptie m.b.t. het gebruik van DigiD: diensten staan authenticatie met DigiD niveau 2+ toe zolang niveau 3+4 middelen nog niet wijd verspreid zijn onder de Nederlandse bevolking. Dit is in lijn met de adviezen vanuit het Forum Standaardisatie. 

Onderstaande tabel geeft aan welke attributen bij welk authenticatiemiddel worden overgedragen en wat de betrouwbaarheidsniveau's zijn. Het betrouwbaarheidsnivea wordt sterk bepaald door het uitgifte proces. Hierdoor kan gebruikersnaam+wachtwoord+SMS zowel een EH2 als EH3 niveau leveren. 
<table>
  <tr><table class="wikitable">
    <th>&nbsp;
    <th>Betrouwbaarheidsniveau's
    <th>Attributen
    <th>Optionele attributen
  <tr>
    <td>[[DigiD]]
    <td>Basis (gebruikersnaam+wachtwoord)<br>Midden (DigiD App of gebruikersnaam+wachtwoord+SMS)<br>Substantieel (ID check op paspoort, rijbewijs of identiteitskaart)<br>Hoog (PKI certificaat)
    <td>BSN Nummer
    <td>Bij machtigen<br>-dienst<br>-vertegenwoordigde
  <tr>
    <td>[[EHerkenning | eHerkenning]] (personen)
    <td>EH 1(gebruikersnaam, wachtwoord)<br>EH 2(gebruikersnaam, wachtwoord)<br>EH2+ (gebruikersnaam, wachtwoord, SMS)<br>EH3 (gebruikersnaam, wachtwoord, SMS/pincode)
    <td>
    <td>
  <tr>
    <td>[[EIDAS verordening | eIDAS]] <!--bron: ICTU Factsheet eIDAS-1 -->
    <td>
    <td>Identificatiecode<br>huidige familienaam(en)<br>huidige voornaam(en)<br>geboortedatum
    <td>familienaam(en) bij geboorte<br>voornaam(en) bij geboorte<br>huidig adres<br>geslacht
</table>

De details van de uitgifte processen binnen de stelsels verschillen onderling waardoor een exacte vergelijking van de niveau's van de middelen niet te maken is. Onderstaande tabel geeft een indicatie van vergelijkbaarheid van de authenticatiemiddelen. 

<table class="wikitable">
  <tr><td>EH1 <td>-
  <tr><td>EH2 <td>-
  <tr><td>EH2+ <td> eIDAS basis
  <tr><td>EH3 <td> eIDAS substantieel
  <tr><td>EH4 <td> eIDAS hoog
</table>