Expertgroep Digitale Identificatie en authenticatie/2020-01-23
Bijeenkomst van Expertgroep IAM op donderdag 23 januari 2020, 14-16.30 uur, locatie: ICTU, Wilhelmina van Pruisenweg 104 Den Haag.
Doel: Het wat en waarom van Digitale Identificatie en Authenticatie in kaart brengen, opdat we breed gedeelde kennis en beelden krijgen en daarmee onze vraagstukken beter en geprioriteerd kunnen uitwerken om tot gedeelde architectuur oplossingen te komen.
Doelgroep: architecten en collega’s uit de publieke sector actief betrokken op thema authenticatie en identificatie. .
Deelnemers aan de workshop waren: Erwin Reinhoud, Harro Kremer, Arjen Monster, KeesJan Kolb, Anne Schrijer, Erik Kuijpers, Henk Romein, Luuk Matthijssen, John Zwart, Ben Zwartveld, Johann Schreurs, Bob te Riele, Esther Makaay, Marijke Salters, Eric Brouwer.
Luuk Matthijssen (Politie) geeft aan dat de nieuwe architectuur van de Strafrechtketen (ASTRA) is gepubliceerd in een semantische wiki. Daarin is ook het onderwerp IAM opgenomen, zie ASTRA Toelichting op IAM.
Andre Koot (NIXU) heeft een white paper gepubliceerd over Adaptive Access / Access Governance), waarin onder meer Federatieve Authenticatie een plekje krijgt, zie NIXU Insights.
Esther Makaay is als IAM-expert werkzaam bij SIDN (de stichting die de .nl domeinnamen uitgeeft) en tevens verbonden met Connectis. Zij kent het IAM-speelveld, b.v. ook de IRMA-ontwikkelingen en spreekt regelmatig op EID-conferenties. Deze bijeenkomst deelt zij haar kennis over de laatste ontwikkelingen voor eHerkenning bedrijven/personen en de routeringsvoorzieningen, zie IAM workshop handouts (PDF, 4,83 MB). Zaken die ons daarbij opvallen zijn:
- Een nieuw logo van de EU voor eIDAS Impact eIDAS voor Nederland.
- De PSA PSA (Project Startarchitectuur) voor eIDAS is beschikbaar Zie ook: LOGIUS Verbind uw digitale dienstverlening met Europa.
- 1 authenticatiemiddel voor burger / bedrijf moet volstaan, omdat het 1e contact met een bedrijf altijd een persoon (burger) is.
- De indeling c.q. opzet van eHerkenning lijkt goed overeen te komen met het onderdeel Authenticatie(middelen)beheer van het NORA-thema IAM.
- Ook sluiten de termen van eHerkenning aan bij die van het thema IAM: bevoegdheden, machtigen, e.d.
- Machtigen: een ander namens jou voor een specifieke dienst.
- Het splitsen van eID en eAuthenticatie is gewenst in de eHandtekening.
- Herkenningsmakelaar (Identiteit irt Authenticatie) wordt de “routeringsvoorziening" bij het eID-stelsel.
- Het gebruik van eHerkenning neemt momenteel (snel) toe.
- Een mooi voorbeeld voor een inlog-portaal is de Provincie Overijssel.
- Nieuwe ontwikkelingen / vraagstukken:
- Er wordt gewerkt aan ondersteuning van eIDAS uitgaand (gebruik in het BL door Nederlanders), leveren p-gegevens e.d.
- eHerkenning levert geen persoonsgegevens door, maar dat is wel gewenst voor de dienstverlener. Daarom wordt het nu wel mogelijk gemaakt (wordt gedoogd door BZK totdat de Wet DO (WDO) dat regelt).
- WDO wordt behandeld in de Kamers 31 januari 2020. Op zijn vroegst zal WDO per 1 juli 2020 geeffectueerd worden. Daarna komen commerciële middelen zoals eHerkenning EHerkenning voor burgers en IDIN wellicht in aanmerking voor de overheidsdiensten.
- Er zijn nog steeds veel inloggen met verschillende e-Identiteiten. Hoe gaan organisaties om met die verschillende e-Identiteiten van burgers?
- Vanuit dienstverleners bestaat behoefte aan koppeling met een routeringsvoorziening die verschillende authenticatiemiddelen kan verwerken, deze routeringsvoorziening is feitelijk een uitbreiding op de eHerkenningsmakelaar.
- In 2003 is het stelsel van PKI-O-certificaten (PKIoverheid) bedacht voor Federatief IdM. Kan dat stelsel worden (her)gebruikt voor ook andere erkende authenticatiemiddelen?
- Uit welke bron-registraties komen de attributen van een e-Identiteit en hoe valide is het om die te combineren voor “1 natuurlijk persoon in de werkelijkheid”?
- En hoe zeker weet je dat de verschillende e-Identiteiten bij dezelfde persoon horen?
- Hoe lang zijn die attributen (gegevens) valide / actueel?
Hierna zijn we in 3 groepen aan de slag gegaan met:
- Identiteitenbeheer van personen.
- Authenticatie van personen.
- Toegang verlenen.
Elk van de werkgroepen levert de uitwerkingen aan bij Marijke (of via nora@ictu.nl). Vanuit NORA Beheer analyseren we welke actiepunten daarmee zijn ingevuld en welke eventueel aanvullingen nog nodig zijn. Met de trekkers van de werkgroepen wordt dat nader afgestemd, zodat we de volgende bijeenkomst verder kunnen gaan met deze uitwerkingen.
De volgende bijeenkomst vindt plaats op 27 februari 2020.