Identiteitenbeheer van personen
- Onderdeel van
- Thema's
- Contact
- Harro Kremer
- harro.kremer@jio.nl
- Status
- Actueel
Om binnen de overheid c.q. samenleving te komen tot meer eenduidige en gedeelde beelden inzake digitale identiteiten, is hier volgend een visie daarop gegeven, met uitleg van de relevante begrippen en een visualisatie en beschrijving van hun samenhang.
Vanuit het vraagstuk om een (referentie)architectuur te verkrijgen voor de “levenscyclus” van digitale identiteiten, als randvoorwaardelijk aspect bij persoonsgebonden digitale dienstverlening, starten we met de focus op de digitale identiteiten van de natuurlijke personen die worden geregistreerd in de Basisregistratie Personen (BRP). We geven hiermee verdere invulling aan een onderdeel van het kader IAM in de NORA, te weten de blauw gekleurde ovaal: Identiteitenbeheer.
Het betreft de relatie van een natuurlijk persoon, tijdens zijn levenscyclus van nataal tot (post)mortaal, met digitale identiteiten, inclusief het creëren, registreren, wijzigen, verstrekken en verwijderen van die digitale identiteiten. Met "natuurlijk persoon" bedoelen we een mens in juridische zin, als iemand die drager van rechten en verplichtingen kan zijn.
Digitale identiteiten van andere entiteiten, zoals van bedrijven, computers, apps of dingen (IoT), laten we hier dus nog buiten beschouwing.
Aanpak[bewerken]
De aanpak is gekozen om op basis van de bestaande kennis en documentatie van RvIG (als beheerder van de BRP) en Logius (als beheerder van diverse bouwstenen die met Identiteitenbeheer te maken hebben) een architectuur op te stellen volgens het vijflaagsmodel van de NORA. Het betreft de HUIDIGE situatie binnen de overheid.
We willen daar een idEA visualisatie aan toevoegen, waarin we dus inzicht krijgen in de processen van de BRP en eID(AS)-diensten. Daarnaast zou er ook een toekomstige plaat tegenover moeten liggen met een visie à la Self Sovereign Identity, etc. Qua proces zouden we dit allemaal parallel willen oppakken, zodat verschillende partijen vanuit verschillende domeinen aanvullingen kunnen doen. Dit levert het volgende proces op:
- BRP-plaat en ander platen (eID) van RvIG eerst apart tonen. Deze dan combineren tot een overzichtsplaat (delen weglaten of combineren);
- Laten aanvullen door Logius (aparte sessie max 2 uur);
- Terugkoppelen in Werkgroep en review vragen;
- Laten aanvullen door andere partners als DUO, KVK, BD, etc. om vanuit perspectief natuurlijk persoon hun vastlegging cq kopieën inzichtelijk krijgen;
- Terugkoppelen in Werkgroep en review vragen;
- Nu parallelle sessies om de andere entiteiten als ook andere IAM onderdelen erin te krijgen;
Dit kan in een soort WorldCafe setting om het de eerste ruwe schets op papier te krijgen.
Zodra we dat hebben gedaan, kunnen we evalueren of we die architectuur willen uitbreiden met ook de andere onderdelen van het Kader IAM.
Wil jij ook een bijdrage leveren?[bewerken]
Er staan nog diverse vragen open in deze beschrijving. Indien je iets weet dat aan het beantwoorden kan bijdragen, geef het dan even aan ons door via nora@ictu.nl.
Het architectuurkader voor Identiteitenbeheer[bewerken]
We beschouwen het Identiteitenbeheer van de inwoners (en geregistreerde niet-ingezetenen) van Nederland als een “dienst” die het volgende regelt:
- Vaststellen welke gegevens worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
- Het registreren van die gegevens;
- Het actueel houden van die gegevens;
- Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevens;
- Het verwijderen van die gegevens;
- Het aan betrokkene notificeren dat die gegevens zijn verwijderd.
(de laatste twee stappen komen in de BRP in principe niet voor. Een persoon die eenmaal ingeschreven is, wordt nooit meer uitgeschreven; behoudens een onterechte inschrijving)
Aangezien dit een overheidsbreed thema betreft, zien we de NORA als hét toe te passen architectuurkader. De NORA wordt toegepast door een beschrijving van het Identiteitenbeheer volgens het Vijflaagsmodel en de invulling van de Afgeleide principes (AP’s) daarbij.
Er zijn (nog) geen andere architectuurkaders gebruikt, zoals eventueel de Stelselarchitectuur van Reisdocumenten.
Om het ontwerp beter te begrijpen wordt doorgaans ook een (idEA) visualisatie opgesteld van de bestaande situatie (IST) en de toekomstige, gewenste situatie (SOLL).
- ACTIE visualisaties maken van bestaande en toekomstige situatie
Grondslagenlaag[bewerken]
De wet- en regelgeving en beleidsafspraken die op het Identiteitenbeheer van toepassing zijn, maken doorgaans duidelijk wat het WAT en WAAROM is van deze dienst. Het betreft in ieder geval:
- Wet basisregistratie personen - (https://www.rvig.nl/brp/wetgeving) Dit betreft de verplichting van specifiek aangewezen overheidsorganisaties om bepaalde persoonsgegevens van de inwoners en niet-ingezetenen van Nederland te verzamelen en te registreren in de BRP. De Wet BRP regelt ook het gebruik van die gegevens.
- Wet algemene bepalingen burgerservicenummer (Wabb, https://wetten.overheid.nl/BWBR0022428) - Dit betreft de toekenning van het identiferende gegeven BSN aan de personen over wie gegevens in de BRP zijn opgenomen. En de Wabb regelt ook het gebruik van het BSN door overheidsorganisaties.
- Algemene Verordening Gegevensbescherming (AVG) - Deze regelt het gebruik van persoonsgegevens, ter bescherming van de privacy van betrokken personen.
- electronic Identification Authentication and Trust Services (IDAS) - Deze regelt de Europese verplichtingen t.a.v. digitale identiteiten. O.a. 3.10 t/m 3.12 geeft uitleg over de elektronische ID / handtekening.
- Gemeenschappelijk normenkader Rijksoverheidsbreed Identity Management IdM Componenten (11 mei 2009, IC-CIO) - Dit is een normenkader voor het Identiteitenbeheer van medewerkers van de Rijksoverheid (ambtenaren, maar ook ingehuurd personeel).
- Normenkader Rijksidentiteiten irt Rijksbrede voorzieningen v1.1 (19-12-2017, ICBR) - Deze regelt het gebruik van het RIN voor de medewerkers van de Rijksoverheid.
- Wet op Identitificatieplicht - (https://wetten.overheid.nl/BWBR0006297) Deze regelt welke documenten officieel aangewezen zijn om iemans identiteit van te stellen.
- Vreemdelingenwet 2000 - (https://wetten.overheid.nl/BWBR0011823) Deze regelt de toelating en uitzetting van vreemdelingen, het toezicht op vreemdelingen die in Nederland verblijf houden, en de grensbewaking. De wet definieert een vreemdeling als iemand die de Nederlandse nationaliteit niet bezit en niet op grond van een wettelijke bepaling als Nederlander moet worden behandeld.
- ACTIE checken hoe relevante onderdelen uit deze W&R zijn omgezet naar ontwerp-aspecten
- ACTIE checken welke kwaliteitsafspraken zijn gemaakt over deze dienst. Denk aan doorlooptijden, juistheid van de registratie, maar ook kosten ed.
Is dat opgenomen in de wet op de BRP of daaraan gerelateerde regelgeving voor het verzamelen en registreren?
AP5: Positioneer de dienst[bewerken]
(Digitale) Identiteiten zijn nodig voor alle persoonsgebonden diensten. In de Wet oBRP is het verplichte hergebruik van de persoonsgegevens aangegeven (https://wetten.overheid.nl/BWBR0036795). Daarmee is deze dienst randvoorwaardelijk verbonden met vrijwel alle dienstverlening van de overheid aan burgers en kan bij uitstek als een Nationale, generieke dienst worden beschouwd. En dit sluit goed aan op de tekst bij de kop In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?
Daarnaast plaatst het kader IAM deze dienst duidelijk in die context, zie Identity & Access Management (IAM)
De dienst zelf is afhankelijk van drie andere diensten: Een geboorteaangifte, immigratie en inschrijving als niet-ingezetene maken het mogelijk dat iemand in de BRP geregistreerd wordt, waarmee je een (digitale) identiteit verkrijgt via de gemeente of via RvIG. Deze drie processen c.q. diensten behoeven daarom ook een zodanig ontwerp, dat de operationele relatie met Identiteitenbeheer afdoende kan worden geborgd.
- ACTIE checken hoe Identiteitenbeheer in de huidige situatie samenhangt met de diensten Geboorteaangifte en Immigratie
AP9: Voorkeurskanaal internet[bewerken]
Het Identiteitenbeheer is geen directe dienst aan burgers en bedrijven, maar een ondersteunende dienst, die deels via internet kan verlopen en deels ook niet. De vaststelling en registratie van de Digitale Identiteiten (stappen 1 en 2) verlopen grotendeels via een fysiek loket. De overige stappen (3 t/m 6) kunnen ook digitaal verlopen.
AP19: Perspectief gebruiker[bewerken]
Als gebruiker zijn 2 groepen onderkend: inwoners en geregistreerde niet-ingezetenen van Nederland die een digitale identiteit nodig hebben om diensten van de overheid af te nemen en de dienstverleners die een dienst leveren en zekerheid nodig hebben over de identiteit van degene die die dienst afneemt. Beide groepen moeten eisen kunnen stellen aan de kwaliteit van de digitale identiteit. De Identity Provider, in dit geval gemeenten en RvIG, moet transparant zijn over de kwaliteit van de geboden Digitale Identiteit van de persoon, opdat beide gebruikersgroepen daar inzicht in hebben.
In het ontwerp van de dienst zal ook een mogelijkheid moeten zijn opgenomen dat de burger reflectie geeft op hoe de dienst is ervaren. Denk daarbij aan een klanttevredenheidsmeting zoals veel private bedrijven die naderhand per e-mail sturen.
Organisatielaag[bewerken]
De (rol van) stakeholders die betrokken zijn bij het beheer van de digitale identiteiten zijn:
- Gemeenten als bronhouders van de gegevens van hun inwoners
- RvIG als bronhouder voor geregistreerde niet-ingezetenen en eind-verantwoordelijke voor deze dienst
- De betreffende natuurlijke personen (inwoners en geregistreerde niet-ingezetenen van Nederland)
- De organisatie(s) die verantwoordelijk is voor geboorteaangifte
- De verantwoordelijke organisatie voor immigratie
- Dienstaanbieders als afnemers van deze dienst
- Authenticatie(middelen)beheer als afnemer van deze dienst
- Bevoegdhedenbeheer als afnemer van deze dienst
- ACTIE bespreken of nog meer organisaties betrokken zijn
AP27: Een verantwoordelijke organisatie[bewerken]
Volgens AP27 kan maar één organisatie verantwoordelijk zijn voor de dienst, zodat burgers, bedrijven en mede-overheden er altijd iemand op kunnen aanspreken. De gebruikers van de dienst willen weten of de dienstaanbieder een bekende, betrouwbare partij is. Vervolgens willen ze die partij kunnen aanspreken op de kwaliteit. Deze vraag geldt ook in hoge mate voor overheidsorganisaties die hun eigen dienstverlening baseren op diensten van anderen en van deze leveranciers afhankelijk zijn. Daarom is het noodzakelijk dat helder is voor welke prestatie de dienstverlener verantwoordelijk is.
Gezamenlijk dienstverleningsproces[bewerken]
Hoe legt de BRP de relatie tussen een mens van vlees en bloed en de Nationale digitale identiteit?[bewerken]
De Nederlandse gemeenten kennen (digitale) identiteiten toe aan mensen in hun rol als inwoner (ingezetene) van Nederland. De Rijksdienst voor Identiteitsgegevens ([RvIG]) doet die toekenning voor niet-ingezetenen. Zo'n digitale identiteit wordt afgeleid uit de menselijke attributen (naam, geboortedatum e.d.). In de BRP (Basisregistratie Personen), zijn al die gegevens opgenomen. Het burgerservicenummer (BSN) is de unieke representant van zo'n digitale identiteit. Op basis van die geregistreerde gegevens kan je een afgeleide identiteitsverklaring krijgen, zoals een reisdocument.
RvIG beheert de levenscyclus van die digitale identiteiten vanuit haar rol als “Nationale Identity Provider”. Deze cyclus wordt geïnitieerd door een inschrijving in de BRP (bij geboorte, immigratie, of registratie als niet-ingezetene). De informatie in de BRP wordt actueel gehouden door eigen initiatief van burgers (bijvoorbeeld via een verhuisbericht), door daarvoor aangewezen overheidsinstanties (bijvoorbeeld IND voor verblijfstitels en door Aangewezen Bestuursorganen voor wijzigingen in gegevens van niet-ingezetenen). Burgers worden hierin gefaciliteerd door de gemeenten en RvIG. De bijhoudingsprocessen van de gemeenten staan beschreven in de Handleiding Uitvoeringsprocedures ([HUP]). Afnemers doen een terugmelding via de terugmeldvoorziening (TMV) bij gerede twijfel aan de ontvangen BRP-gegevens.
Kwaliteitsnormen zijn gesteld op zowel inhoudelijke attributen als de uitvoering van de processen (getoetst via ENSIA en de wettelijk verplichte zelfevaluatie).
In het autorisatiebesluit staat welke informatie over welke personen en onder welke voorwaarden aan de afnemer verstrekt wordt uit de BRP.
- ACTIE bespreken: Bij wie kan de gebruiker hulp vragen als het vastloopt oid.? Eerst de gemeenten en in laatste geval RvIG / de Minister van BZK?
Welke personen krijgen een digitale identiteit?[bewerken]
Alle ingezetenen die legaal verblijven in Nederland, krijgen een (digitale) identiteit toegekend, in de vorm van een BSN, met daaraan gerelateerde attributen.
Daarnaast kunnen ook niet-ingezetenen zich inschrijven in de BRP en daarmee een digitale identiteit krijgen (BSN e.d.).
Ook bewoners van Caribisch Nederland kunnen in de PIVA worden ingeschreven en daarmee een digitale identiteit krijgen. Zij krijgen echter geen BSN.
Alle andere niet-ingezetenen hebben nu nog geen door de RvIG uitgegeven digitale identiteit. Dat betekent echter niet dat deze personen geen digitale diensten kunnen afnemen. Het is aan de dienstverleners om te bepalen dat aan deze mensen toch diensten (kunnen) worden verleend.
In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?[bewerken]
Het is voor overheidsorganisaties wettelijk verplicht de gegevens van de BRP te gebruiken. Maar gebeurt dat ook altijd? Ondanks dat er steeds meer aansluitingen (inclusief terugmeldingen) zijn op de BRP en RNI, worden nog steeds veel kopieën gemaakt van die gegevens: voor eigen taken en processen van (overheids)organisaties. Daarmee zijn er alleen al binnen de overheid meer dan 150 verschillende identiteiten-registraties van burgers.
Het gebruik van de door RvIG uitgegeven digitale identiteiten van burgers wordt gestimuleerd door de eerder genoemde kwaliteitscontroles en steeds vaker ook door analyses op combinaties van bronnen, zoals bij Landelijke Aanpak Adreskwaliteit (LAA). Anders gesteld: vanuit een business behoefte bij de afnemer/dienstverlener. Er is steeds vaker een concrete business case om met correcte identiteitsgegevens te werken.
Om de rol als Nationale Identity Provider goed waar te kunnen maken, zal de BRP nog sterker neergezet moeten worden als leidende Identiteiten-registratie en attribuutleverancier (analoog aan een LDAP provider/OpenIDConnect provider). En tevens zullen andere overheidsorganisaties hun eigen identiteiten-registraties moeten laten verwijzen naar de BRP. Alle hulp om dit voor elkaar te krijgen is zeer gewenst. Vanuit de Werkgroep API van het Digitaal Stelsel Omgevingswet (DSO) wordt gewerkt aan een Nederlands profiel voor oAUTH. Daar moet nog een brug richting OpenIDConnect worden geslagen.
Hoe verloopt de authenticatie van een digitale identiteit van de BRP: qua proces en qua techniek?[bewerken]
Er is geen eenduidig proces voor de authenticatie (verificatie) van een in de BRP uitgegeven digitale identiteit. De authenticatie vindt in de praktijk decentraal plaats en is ook afhankelijk van het middel dat daarbij wordt gebuikt. Authenticatie wordt doorgaans mogelijk gemaakt via herbruikbare bouwstenen of via diensten. Zo zijn er bijvoorbeeld diensten als DigiD, eHerkenning, Toegangsverleningsservice (TVS), die een autorisatie hebben op de BRP ihkv verificatie (authenticatie). Middels de identity providers worden dienstverleners wel voor een deel ontzorgd. Specifiek toegang tot de authenticatiemiddelen (chip op paspoort, eNIK e.d.) hebben maar een paar partijen. Verificatie van de attributen op de chip(s) gebeurt via autorisaties. Vaak zijn die authenticatiemiddelen technisch gestandaardiseerd (bij DigiD bijvoorbeeld gebaseerd SAML). Door standaardisatie op Informatie-/Applicatielaag wordt gestimuleerd de authenticaties te uniformeren. Vanuit deeloplossingen (rijbewijs, PKIO, Zorgpas, overheidspas, etc) treed ook enige standaardisatie op. Er is echter nog geen eenduidige architectuur voor de overheid waarin deze authenticatie is uitgewerkt.
Voorbeelden van bestaande authenticatiemiddelen waarmee de digitale identiteiten van de BRP worden geverifieerd[bewerken]
PKIO certificaten, WID documenten of DigiD, (sub)OIN, RIN, etc...
Welke impact heeft eIDAS op de uitgifte van digitale identiteiten in de BRP?[bewerken]
We zien hier 2 situaties optreden:
1. Een Europese burger wenst met de digitale identiteit van zijn eigen land gebruik te maken van diensten in Nederland
De identificerende gegevens van de ingelogde burger worden bij eerste inlog gematcht met de gegevens in de BRP via het BRP-Koppelpunt. Als er een match gevonden wordt, wordt deze vastgelegd. Het BSN van de burger wordt dan (versleuteld) doorgegeven aan de dienstverlener. Als er geen match gemaakt kan worden, zijn er twee mogelijkheden: of de sessie wordt beëindigd (als de dienstverlener geen dienst kan verlenen zonder BSN) of de identificerende gegevens worden zonder BSN doorgegevens (als de dienstverlener dat heeft aangegeven). De ingelogde burger die niet gematcht kan worden, krijgt niet automatisch een BSN. Hierbij bestaat het risico dat we in onze identiteiten-registratie (de BRP, incl. RNI), naast de Nederlandse staatsburgers telkens meer buitenlandse burgers met een zakelijk belang bij Nederland moeten opnemen. In feite kopieert Nederland dan de persoonsgegevens uit buitenlandse identiteiten-registraties. Dat lijkt in te gaan tegen het concept van Federatief Identiteitenbeheer en behoeft dus aandacht van de architecten. Zie ook Impact eIDAS voor Nederland.
2. Een Europese burger vraagt een Nederlands authenticatiemiddel aan en gaat dat gebruiken
Hierbij moet inzicht bestaan op welke identiteiten-registraties dat authenticatiemiddel moet kunnen werken. Als een digitale (pseudonieme) identiteit op het authenticatiemiddel moet worden gezet, dan speelt tevens het risico zoals benoemd bij situatie 1.
- Vaststellen welke gegevens worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
- Het registreren van die gegevens;
- Het actueel houden van die gegevens;
- Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevens;
- Het verwijderen van die gegevens;
- Het aan betrokkene notificeren dat die gegevens zijn verwijderd.
De informatielaag[bewerken]
Samenwerking tussen en binnen organisaties is alleen goed mogelijk wanneer de betrokkenen de relevante informatieobjecten kunnen toepassen, hergebruiken en duurzaam archiveren.
AP17: Informatie-objecten systematisch beschreven[bewerken]
Vanuit AP 27 worden de volgende implicaties aangegeven:
- Systematisch beschrijven en uniek identificeren van informatieobjecten volgens de relevante metadata-standaarden, waarbij gebruik wordt gemaakt van de FAIR principes (Findable, Accessible, Interoperable, Reusable), zie https://www.dtls.nl/fair-data/fair-data/.
- Het visualiseren van de informatieobjecten in hun onderlinge samenhang (informatiemodel) zodat de structurele relaties tussen informatieobjecten duidelijk worden.
- Digitaal publiceren van het informatiemodel (beschrijving en de visualisatie).
De informatie-objecten die relevant zijn bij Identiteitenbeheer zijn opgenomen in het Logisch Ontwerp GBA en het Logisch Ontwerp RNI. Denk daarbij aan gegevens(soorten) als:
- Persoon (voornamen, achternaam, tussenvoegsels, geboortedatum, geboorteplaats enz.)
- Brondocument (soort, datum)
- Enz.
In deze documenten is ook beschreven welke gegevens geprotocolleerd moeten worden en wat de bewaartermijn daarvan is.
Voor betrouwbare dienstverlening is het gebruik van de juiste informatie en documenten van cruciaal belang. Om geschillen over de juistheid van een gegeven te voorkomen, moet duidelijk zijn welke organisatie bepaalt wat de juiste waarde is. Uitgangspunt is dat er binnen de overheid voor ieder informatie-object een unieke bron bestaat.
AP13: Bronregistraties zijn leidend[bewerken]
Vanuit AP13 wordt gesteld dat gegevens uit bron-registraties worden betrokken.
- ACTIE Hoe is dat geregeld voor het Identiteitenbeheer?
De digitale identiteit van een natuurlijke persoon betreft een combinatie van persoonsgege-vens die zijn geregistreerd in de BRP. Aan die combinatie van persoonsgegevens wordt een uniek referentiekenmerk toegevoegd, te weten het BSN. In de Stelselcatalogus zijn alle gegevens beschreven die in de BRP zijn opgenomen, zie stelselvanbasisregistraties.nl.
Als voorbeeld is een overzicht van de persoonsgegevens opgenomen:
- ACTIE Komt dat 1 op 1 overeen met de persoonsgegevens van het LO BRP?
- ACTIE nagaan waar wordt aangegeven welke afnemers (per domein zoals pensioenfondsen, financiële sector etc) welke basisset aan gegevens krijgen.
Applicatielaag[bewerken]
Welke applicaties worden gebruikt bij het Identiteitenbeheer? Wat is de relatie met de afgesproken processen? En wat is hun onderlinge samenhang?
AP7:Gebruik de landelijke bouwstenen[bewerken]
Vanuit AP7 wordt aandacht gevraagd voor het hergebruik van bestaande (generieke) bouwstenen en mogelijk ook internationale bouwstenen.
| Bouwsteen | Waar op het internet is de bouwsteen beschreven? | Welke functionaliteiten heeft die bouwsteen? | Welke relaties heeft de bouwsteen met andere bouwstenen? | Waar, of via wie, is de Solution Architectuur ervan beschikbaar? |
|---|---|---|---|---|
| BSN | Attribuut van Persoon: identifier | BRP | https://www.rvig.nl/bsn/documenten/publicaties/2019/01/15/logisch-ontwerp-bsn-versie-1.5 | |
| Beheervoorziening BSN | ||||
| Beheervoorziening BSN | https://www.rvig.nl/bsn/beheervoorziening-bsn | 1. Nummergenerator voor het maken en sturen van burgerservicenummers | BSN | https://www.rvig.nl/bsn/documenten/richtlijnen/2015/03/04/bv-bsn-aanvullende-functionele-specificaties |
| De BV BSN genereert burgerservicenummers en verstrekt deze aan gemeenten | BRP | |||
| 2. Nummerregister voor de registratie burgerservicenummers | ||||
| Het nummerregister van de BV BSN registreert aan welke gemeente een BSN is geleverd en wanneer dit BSN wordt uitgegeven. Ook laat het nummerregister zien wat de status en de historie is van het BSN | ||||
| 3. Presentievragen | ||||
| Door het stellen van de presentievraag kunnen gemeenten voorkomen dat er meerdere nummers worden toegekend aan 1 persoon | ||||
| 4. Verificatievragen | ||||
| Meer informatie over de verificatievragen vindt u op de pagina 'Verificatievragen BV BSN' | ||||
| BRP | https://www.rvig.nl/brp | BSN | ||
| www.rijksbegroting.nl/binaries/pdfs/2/0/6/kst206511.pdf | Beheervoorziening BSN | |||
| BSN-koppelregister | 1. Maakt pseudoniemen en sleutelmateriaal ten behoeve van Polymorfe pseudonimisering. | BSNK Stelsel | ||
| 2. Maakt het mogelijk andere organisaties het BSN te laten gebruiken. | ||||
| 3. Dit zijn 7 voorzieningen: verdere uitwerking is nodig (verzamelnaam). | ||||
| PKI-O / identificatiecertificaat, versleutelcertificaat en handtekeningcertificaat | https://logius.nl/diensten/pkioverheid | 1. Beveiliging van websites | OIN | |
| 2. Authenticatie op afstand | ||||
| 3. Rechtsgeldige elektronische handtekeningen | ||||
| 4. Versleuteling van elektronische berichten |
Netwerklaag[bewerken]
====AP6:Gebruik standaard oplossingen
- ACTIE Hoe wordt hergebruik gemaakt van internet en andere bestaande netwerken, zoals DigiNet-werk, Rinis, SuwiNet, RON e.d.?
Nog te verwerken opmerkingen[bewerken]
- Onderscheid maken tussen “biologische persoon” (wereldwijd begrip) versus “natuurlij-ke persoon” (een Nederlands begrip met juridische achtergrond);
- 1 biologische persoon kan meerdere identiteiten hebben, elk met een eigen context;
- Bij alle wettelijke referenties ook de hyperlink toevoegen;
- Afweging maken wat in NORA komt en wat de invullingen binnen de dochters zijn (bij-voorbeeld RIN binnen de EAR);
- Maak een goede definitie van "persoongebonden dienst" (waarbij traceerbaarheid en/of authenticatie verplicht is);
- Ad AP19: met eIDAS is de scope breder dan inwoners van Nederland;
- Wees helder over scope: BRP, RNI en kort-verblijvenden;
- Koppel de scope aan de formeel benoemde basisregistraties en de in het eiD Stelsel benoemde voorzieningen;
- Ad Informatielaag: neem naast de gegevens ook de logging ervan mee, idem bewaar-termijn;
- Hoe ga je om met de kopie-identiteiten (gebruikersprofiel, BSN koppelregister);
- Als het gebruik van een BSN niet mogelijk is, dan kent de WvGGZ aanvullende afspraken voor identiteit;
- Denk aan het loggen van BSN verstrekkingen (ten behoeve van AVG / inzagerecht);
- Hou rekening met het verschil in de grondslagen voor burgers en voor medewerkers.
Welke andere (publieke of private) partijen kennen digitale identiteiten toe aan Nederlandse burgers?[bewerken]
De meest in het oog springende andere uitgegeven digitale identiteiten zijn:
- het [Rijks Identificerend Nummer (RIN)] waarmee medewerkers van het Rijk (in- en externen) worden geïdentificeerd
- Personeelsnummers (per organisatie)
- Studentennummers
- Zelfstandigennummers
- Klantnummers (per bedrijf)
e.d.
Om het overzicht en de positie van de mens te versterken zou er binnen de Nederlandse overheid bij voorkeur slechts één identiteiten-autoriteit c.q. Identity Provider zijn en zou het aantal private Identity Providers bij voorkeur beperkt blijven (eerder 10-tallen dan 1000'en).
Daarnaast zou het randvoorwaardelijke [SSI] meer mogen worden uitgedragen, zodat het uitgangspunt “zet de mens centraal” zowel in functie, rechtspositie als ook in beleid, uitvoering en toetsing, echt vorm kan worden gegeven.
Nuttige linkjes voor digitale identiteiten[bewerken]
- Het Nationale kader waarbinnen we het Identiteitenbeheer beschouwen: Identity & Access Management (IAM)
- Uitleg over Federatief Identiteitenbeheer: Patroon voor federatie van identity management
- Een Europese voorziening voor het ontsluiten van Nationale identiteiten EID
- Een position paper van de VNG over Digitale Identiteit
- Een nieuw concept t.a.v. digitale identiteiten en gegevensuitwisseling: digital-me.nl
- Het risico bestaat dat Identiteitsdiefstal optreedt. Het is daarom van belang dat bij het ontwerp van diensten met dat risico rekening wordt gehouden. Vanuit de thema's Privacy en Beveiliging worden daartoe maatregelen voorgesteld. Zie met name Passende maatregelen: technisch en organisatorisch
- Voor de medewerkers van een overheidsorganisatie (en ook de externen die daarbij worden ingehuurd, service-personeel e.d.) is vanuit de Rijksoverheid een normenkader (PDF, 361 kB) opgesteld, dat tevens de basis is geweest voor de uitrol van de Rijkspas.
NB-1 Het kader is niet meer 1-2-3 te vinden op internet: opvragen is mogelijk bij de secretaris van de ICCIO / ICBR.
NB-2 Het gebruik van het BSN zoals genoemd in het document, is achterhaald en het RIN (Rijksoverheidsmedewerker Identificerend Nummer) vervangt het BSN.