Expertgroep Digitale identificatie en authenticatie/2018-01-16

Uit NORA Online
Ga naar: navigatie, zoeken

Bijeenkomst van Expertgroep Digitale identificatie en authenticatie op dinsdag 16 januari 2018, 14-17u, locatie: Slachthuisplein 25 Den Haag, Stadsdeelkantoor Laak van gemeente Den Haag, achter station Hollands Spoor.
Doel: laatste ontwikkelingen in kaart brengen, kennisbehoefte inventariseren en uitwerken komende periode om tot gedeelde architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. oplossingen te komen.
Doelgroep: architecten en collega’s uit de publieke sector actief betrokken op thema authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. en identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. .


Het conceptverslag (PDF, 697 kB) van de vorige bijeenkomst is besproken. Daarnaast zijn de volgende stukken gebruikt:

Inmiddels is het verslag van deze bijeenkomst ook in concept (PDF, 1,21 MB) beschikbaar.

Inhoud

Korte inleiding derde themasessie

In het verlengde van de bijeenkomsten op 14 november en 12 december 2017, is bij de gemeente Den Haag onze 3e themasessie gehouden. We hebben, door goed timemanagement 😊, alle agendapunten behandeld. Daarbij zijn we begonnen met het bespreken van de stappen die we nemen om tot de beoogde tussen- en eindresultaten te komen. Deze stappen zie je verderop terug in de punten van dit verslag. Daarna hebben we aan de hand van de resultaten van vorige keer, onze kennis en ideeën met elkaar gedeeld over de gezamenlijke basis waarop c.q. kader waarbinnen we niet alleen Identificatie en Authenticatie een plaats kunnen geven, maar later ook Autorisatie en Machtigen e.d.

Het streefbeeld voor Identificatie en Authenticatie is kort doorgenomen en we hebben de voorstellen en stand van zaken van actiepunten doorgenomen. Natuurlijk zijn ook weer nieuwe acties afgesproken. En we zijn overgegaan tot het instellen van enkele werkgroepen om e.e.a. inhoudelijk verder te brengen.

Na afloop hebben we op de bijeenkomst teruggekeken met het gevoel dat we 'goed bezig zijn' en dat het nuttig en leerzaam was. Maar ook met de wetenschap dat nog meer duidelijkheid moet komen in wat het voor de deelnemers zelf oplevert en hoe we al deze kennis en informatie via de NORANederlandse Overheid ReferentieArchitectuur beschikbaar gaan stellen.

Doel: Het wat en waarom van Identificatie en Authenticatie in kaart brengen, opdat we breed gedeelde kennis en beelden krijgen en daarmee alle vraagstukken beter en geprioriteerd kunnen uitwerken om tot gedeelde architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. oplossingen te komen.

Doelgroep: Architecten en collega’s uit de publieke sector actief betrokken op dit thema.  

Stap-1 Oriëntatie op het (eind)resultaat

Tot het overleg op 20 februari besteden we tijd aan het opzetten van een community van experts en belanghebbenden die dit thema verder gaan helpen.

  • ACTIE-1: Nog enkele organisaties benaderen voor een bijdrage aan het thema: Omgevingswet, Politie en Defensie.

We willen als experts meters gaan maken, maar we hebben nog geen gezamenlijke basis of kader. We zitten nog in een proces van afstemmen en elkaar begrijpen. De bedoeling is dat we elkaar goed leren kennen en dat we eventuele drempels beslechten, om onze samenwerking optimaal vorm te kunnen geven en op die manier samen tot gedeelde beelden en oplossingen komen. En wel zodanig, dat we dat eenvoudig en begrijpelijk aan anderen kunnen overbrengen. Als onderdeel hiervan beantwoorden we de 9 vragen die ten grondslag liggen aan ons thema en eerder zijn opgenomen in het verslag van 12 december 2017.

De daarbij relevante begrippen en hun samenhang willen we in zowel woord als beeld beschikbaar krijgen, zodat we goed kunnen communiceren met anderen, buiten deze werkgroep (dus ook met niet-architecten). We gaan dus eerst kijken naar wat Identificatie, Authenticatie, Autorisatie en Machtigen voor ons betekent. Daarbij gaan we meer eenduidige definities van begrippen hanteren om het verschil c.q. de overeenkomst tussen autorisaties, machtigingen en “entitlements” te kunnen uitleggen. Als daarbij verschillende meningen of views bestaan, dan worden die dus beiden, naast elkaar beschreven. ACTIE-2: Lieven van der Tas, Leon Schippers, Erwin Reinhoud, Arnoud Quanjer en Haaino Beljaars, stellen definities op van de begrippen en zoeken daar bij het best-passende functionele, technologie onafhankelijke plaatje. Een paar voorbeelden van plaatjes zijn opgenomen in de BIJLAGE – visualisaties voor Identificatie, Authenticatie, Autorisatie en Machtigen

VERZOEK aan allen Ga a.u.b. na welke visualisatie en/of beschrijving binnen jouw organisatie wordt gebruikt en stuur dat aan de werkgroep!

We dachten er aan om ons te richten op “Digitaal, tenzij …” en de niet-digitale aspecten op de back-log op te nemen. De niet-digitale authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. (aan het loket of per telefoon) is voor gemeenten echter van zodanig van belang dat ze dat graag uitgewerkt zien.

  • ACTIE-3: Arnoud Quanjer en Haaino Beljaars zullen vanuit VNG Realisatie dit vraagstuk oppakken.

Het zal mogelijk neerkomen op authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. op de bekende niveaus, maar dan via andere kanalen.

  • ACTIE-4: RvIG benaderen om, in samenwerking met Anne Schrijer en Arnoud Quanjer, de vragen rond Identificatie / Identiteitenbeheer te beantwoorden:
  1. Hoe weet de dienstaanbieder wie je bent?
  2. Wat is jouw elektronische identiteit?
  3. Ben je een mens of een machine?
  4. Hoe wordt de governance op identiteit geregeld: wie bepaalt / stelt vast? Wie is er in de lead?

NB-1 Vanuit W3C is een specificatie bekend van Digitale Identiteiten.

NB-2 Door Sovrin, een Blockchain front-runner, is net een whitepaper over digitale identiteiten uitgebracht.

  • ACTIE-5: Erwin Reinhoud, Gert Eijkelboom, Ewoud van Bentem en Wim Geurts (tegenlezen) beantwoorden de vragen rond Authenticatie / middelen en voorzieningen:
  1. Als je zegt wie je bent, met welke zekerheid weet de dienstaanbieder dat dan?
  2. Hoe en waar kan hij jouw elektronische identiteit verifiëren (authenticeren)?
  3. Authenticatie van wie (burger, ondernemer, etc): hoe wordt de relatie tussen rollen en personen straks vormgegeven?
  4. In hoeverre is het wenselijk te differentiëren in niveaus van authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.?
  5. Komt er een eigen eHerkenning voor ambtenaren (is dat een rol?)?
  6. Hoe omgaan met de nieuwe middelen in een grensregio?
  7. En met multichannel authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.?

NB-1 Door VKA is, in opdracht van BZK, net een rapport over publieke authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. uitgebracht.

NB-2 Authenticatie van software en machines vooralsnog niet uitwerken, maar op de back-log opnemen.

NB-3 Zo mogelijk tussentijds afstemmen met de uitkomsten van de niet-digitale authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit..

De vraagstukken rond Autorisatie en Machtigen worden pas in een latere fase opgepakt. Tot die tijd wordt de vinger aan de pols gehouden bij de ontwikkelingen vanuit het Programma Machtigen (waar onder meer Logius in is vertegenwoordigd).

  • ACTIE-6 Wim Geurts en Lieven van der Tas houden ons op de hoogte.

Binnen de werkgroep is weinig actuele kennis over de eIDAS en de impact daarvan op Identificatie en Authenticatie, terwijl deze verordening per september 2018 in werking treedt. De eIDAS heeft wel een relatie met de processen van de Burgerlijke stand, maar er zijn geen kant-en-klare overzichten van waar je als dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) aan moet voldoen. Niet duidelijk is hoe ver we staan met de invoering van eIDAS. Er zijn echter wel diverse projectgroepen met de eIDAS aan de slag, waaronder de Belastingdienst.

  • ACTIE-7: Anne Schrijer gaat na of de KvK hun plan voor de implementatie van de eIDAS beschikbaar wil stellen voor de werkgroep.
  • ACTIE-8: We gaan na waar of via wie meer informatie over de eIDAS is te verkrijgen.

Stap-2 Bepalen van de op te leveren resultaten

Door de oriëntatie tijdens stap-1 wordt scherper welke resultaten we kunnen en willen opleveren. Op 20 februari gaan we in ons overleg de (deel)resultaten bepalen.

Stap-3 Inhoudelijke uitwerking

Alle (deel)resultaten laten we uitwerken door de meest belanghebbenden. Naast de huidige werkwijzen (waar staan we nu? en welke issues spelen? ), willen we ook zicht hebben op de state-of-the-art invulling van Identificatie en Authenticatie. Via use-cases kunnen we kijken of de uitwerkingen aan de vraag voldoen.

  • ACTIE-9: Jelle Attema kan een aantal use-cases inbrengen.

Onze aanpak is gebaseerd op Publiek Private Samenwerking (PPS): het zijn bij voorkeur niet alleen overheidsorganisaties die dit allemaal uitwerken, want veel dienstverlening wordt mede door private partijen uitgevoerd en daarnaast zullen ook authenticatiemiddelen worden toegepast die door private partijen worden geleverd en beheerd. Mede met dat op het oog, zal de toets op de inhoudelijke uitwerking verlopen via een publieke, openbare review (het standaard proces voor wijzigingen van de content van de NORANederlandse Overheid ReferentieArchitectuur).

Stap-4 Proces voor eventuele aanvullende resultaten

Nieuwe vragen die opkomen tijdens de uitwerkingen, laten we oppakken door de vraagsteller en andere belanghebbenden en vrijwilligers. Daarmee borgen we het vraaggestuurd werken en zullen we niet snel te veel tegelijkertijd oppakken.

Stap-5 Afronden van de concept-resultaten

In april zet de werkgroep Identificatie en de werkgroep Authenticatie de laatste puntjes op de i, om daarmee hun “best effort” concept (deel)resultaat op te leveren. Dat concept resultaat wordt, ondersteund door NORANederlandse Overheid ReferentieArchitectuur Beheer, opgenomen in de NORANederlandse Overheid ReferentieArchitectuur, zodat het via de wiki voor iedereen goed toegankelijk is.

Stap-6 Presentatie van de concept-resultaten

Op 29 mei worden de resultaten in de Gebruikersraad NORANederlandse Overheid ReferentieArchitectuur gepresenteerd. Daarbij zal de Gebruikersraad worden gevraagd om de openbare review ervan te mogen starten. Ook zal worden gevraagd of de 2e fase kan worden gestart, te weten het uitwerken van Autorisatie en Machtigen.

Stap-7 Openbare review van de concept-resultaten

Direct na 29 mei zullen de resultaten voor een openbare review (commentaar) worden uitgezet via de achterbannen van de leden van de Gebruikersraad.

Stap-8 Verwerken reacties

De commentaren worden, ondersteund door NORANederlandse Overheid ReferentieArchitectuur Beheer, verwerkt in de NORANederlandse Overheid ReferentieArchitectuur en aan betrokkenen wordt teruggekoppeld hoe hun commentaar daarbij is verwerkt.

Stap-9 Publicatie eind-resultaten

De meest actuele informatie over het thema wordt in de NORANederlandse Overheid ReferentieArchitectuur gepubliceerd en z.s.m. daarna aan de Gebruikersraad NORANederlandse Overheid ReferentieArchitectuur voorgelegd voor goedkeuring.

Stap-10 Starten met Autorisatie en Machtigen

Indien relevant wordt de 2e fase gestart.


Vervolgbijeenkomsten

In de komende maanden worden werksessies gehouden onder aansturing van Eric Brouwer (namens ICTU werkzaam voor NORANederlandse Overheid ReferentieArchitectuur). De sessies vinden plaats bij de deelnemers van het overleg. Er hebben zich zo’n 15 actieve deelnemers gemeld. Voor meer informatie of suggesties, meld je via nora@ictu.nl.

De sessies zijn gepland op:

Data Tijd Bij wie?
14 november 13 – 16 uur ICTU
12 december 14 – 17 uur ICTU
16 januari 14 – 17 uur Gemeente Den Haag
20 februari 14 – 17 uur ECP.nl te Leidschendam
20 maart 14 – 17 uur
17 april 14 – 17 uur

In de NORANederlandse Overheid ReferentieArchitectuur bijeenkomst van 29 mei 2018 worden de (tussen)resultaten gedeeld met belangstellenden. Onze kennis en documentatie staat on-line:Expertgroep Digitale identificatie en authenticatie Kan je iets toch niet vinden? Mail dan even naar eric.brouwer@ictu.nl

Persoonlijke instellingen
Naamruimten

Varianten
Handelingen
Hulpmiddelen