Identiteitenbeheer

Deze pagina is onderdeel van het thema
Identity & Access Management (IAM)

Om binnen de overheid c.q. samenleving te komen tot meer eenduidige en gedeelde beelden inzake digitale identiteiten, is hier volgend een visie daarop gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat, met uitleg van de relevante begrippen en een visualisatie en beschrijving van hun samenhang.

Vanuit het vraagstuk om een (referentie)architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. te verkrijgen voor de “levenscyclus” van digitale identiteiten, als randvoorwaardelijk aspect bij persoonsgebonden digitale dienstverlening, starten we met de focus op de digitale identiteiten van de natuurlijke personen die worden geregistreerd in de Basisregistratie Personen (BRP). We geven hiermee verdere invulling aan een onderdeel van het kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. in de NORANederlandse Overheid Referentie Architectuur, te weten de blauw gekleurde ovaal: Identiteitenbeheer.

Het betreft de relatie van een natuurlijk persoon, tijdens zijn levenscyclus van nataal tot (post)mortaal, met digitale identiteiten, inclusief het creëren, registreren, wijzigen, verstrekken en verwijderen van die digitale identiteiten. Met "natuurlijk persoon" bedoelen we een mens in juridische zin, als iemand die drager van rechten en verplichtingen kan zijn.

Ook hebben we al een eerste aanzet van het Identiteitenbeheer van bedrijven

Digitale identiteiten van andere entiteiten, zoals van computers, apps of dingen (IoT), laten we hier dus nog buiten beschouwing.

Aanpak

De aanpak is gekozen om op basis van de bestaande kennis en documentatie van RvIG (als beheerder van de BRP) en Logius (als beheerder van diverse bouwstenen die met Identiteitenbeheer te maken hebben) een architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. op te stellen volgens het vijflaagsmodel van de NORANederlandse Overheid Referentie Architectuur. Het betreft de HUIDIGE situatie binnen de overheid.

We willen daar een idEA visualisatie aan toevoegen, waarin we dus inzicht krijgen in de processen van de BRP en eID(AS)-diensten. Daarnaast zou er ook een toekomstige plaat tegenover moeten liggen met een visie à la Self Sovereign Identity, etc. Qua proces zouden we dit allemaal parallel willen oppakken, zodat verschillende partijen vanuit verschillende domeinen aanvullingen kunnen doen. Dit levert het volgende proces op:

1. BRP-plaat en ander platen (eID) van RvIG eerst apart tonen. Deze dan combineren tot een overzichtsplaat (delen weglaten of combineren);
2. Laten aanvullen door Logius (aparte sessie max 2 uur);
3. Terugkoppelen in Werkgroep en review vragen;
4. Laten aanvullen door andere partners als DUO, KVK, BD, etc. om vanuit perspectief natuurlijk persoon hun vastlegging cq kopieën inzichtelijk krijgen;
5. Terugkoppelen in Werkgroep en review vragen;
6. Nu parallelle sessies om de andere entiteiten als ook andere IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. onderdelen erin te krijgen;

Dit kan in een soort WorldCafe setting om de eerste ruwe schets op papier te krijgen.

Zodra we dat hebben gedaan, kunnen we evalueren of we die architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. willen uitbreiden met ook de andere onderdelen van het Kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten..

Wil jij ook een bijdrage leveren? Er staan nog diverse vragen open in deze beschrijving. Indien je iets weet dat aan het beantwoorden kan bijdragen, geef het dan even aan ons door via nora@ictu.nl.

de dienst Identiteitenbeheer

We beschouwen het Identiteitenbeheer van de inwoners (en geregistreerde niet-ingezetenen) van Nederland als een dienst die aan natuurlijke personen een digitale identiteit toekent en daartoe het volgende regelt:

1. Vaststellen welke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
2. Het registreren van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
3. Het actueel houden van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
4. Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
5. Het verwijderen van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
6. Het aan betrokkene notificeren dat die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd zijn verwijderd.

(de laatste twee stappen komen in de BRP in principe niet voor. Een persoon die eenmaal ingeschreven is, wordt nooit meer uitgeschreven; behoudens een onterechte inschrijving)

Aangezien dit een overheidsbreed thema betreft, zien we de NORANederlandse Overheid Referentie Architectuur als hét toe te passen architectuurkader. De NORANederlandse Overheid Referentie Architectuur wordt toegepast door een beschrijving van het Identiteitenbeheer volgens het Vijflaagsmodel en de invulling van de Afgeleide principes (AP’s) daarbij.

Er zijn (nog) geen andere architectuurkaders gebruikt, zoals eventueel de Stelselarchitectuur van Reisdocumenten.

Om het ontwerp beter te begrijpen wordt doorgaans ook een (idEA) visualisatie opgesteld van de bestaande situatie (IST) en de toekomstige, gewenste situatie (SOLL).

ACTIE visualisaties maken van de IST en SOLL situatie

Grondslagen

De wet- en regelgeving en beleidsafspraken die op het Identiteitenbeheer van toepassing zijn, maken duidelijk wat het WAT en WAAROM is van deze dienst. Het betreft in ieder geval:

1. Wet basisregistratie personen - Dit betreft de verplichting van specifiek aangewezen overheidsorganisaties om bepaalde persoonsgegevens van de inwoners en niet-ingezetenen van Nederland te verzamelen en te registreren in de BRP. De Wet BRP regelt ook het gebruik van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd. Zie ook wat RvIG, de beheerder van de BRP, aangeeft over BRP-wetgeving
2. Wet algemene bepalingen burgerservicenummer (Wabb) - Dit betreft de toekenning van het identiferende gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat BSN aan de personen (mensen) over wie gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd in de BRP zijn opgenomen. De Wabb regelt ook het gebruik van het BSN door overheidsorganisaties. Zie ook wat de Overheid aan burgers zegt: Wat is het BSN?
3. Algemene Verordening Gegevensbescherming (AVG) - Deze regelt het gebruik van persoonsgegevens, ter bescherming van de privacy van betrokken personen. Zie ook wat de Overheid aan burgers zegt over: Voldoen aan de AVG
4. electronic Identification Authentication and Trust Services (eIDAS) - Deze regelt de Europese verplichtingen t.a.v. digitale identiteiten. O.a. 3.10 t/m 3.12 geeft uitleg over de elektronische ID / handtekening. Zie ook wat de Overheid aan burgers zegt: Alles wat u moet weten over eIDAS
5. Wet op Identitificatieplicht (Wid) - Deze regelt welke documenten officieel aangewezen zijn om iemands identiteit vast te stellen. Het betreft geen digitale identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. en authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.. Zie ook wat de Overheid aan burgers zegt over de Identificatieplicht
6. Vreemdelingenwet 2000 - Deze regelt de toelating en uitzetting van vreemdelingen, het toezicht op vreemdelingen die in Nederland verblijf houden, en de grensbewaking. De wet definieert een vreemdeling als iemand die de Nederlandse nationaliteit niet bezit en niet op grond van een wettelijke bepaling als Nederlander moet worden behandeld. Zie ook wat de Overheid aan burgers zegt over de Vreemdelingen / Immigranten

ACTIE checken hoe relevante onderdelen uit deze W&R zijn omgezet naar ontwerp-aspecten

ACTIE checken welke kwaliteitsafspraken zijn gemaakt over deze dienst. Denk aan doorlooptijden, juistheid van de registratie, maar ook kosten ed.

Is dat opgenomen in de wet op de BRP of daaraan gerelateerde regelgeving voor het verzamelen en registreren?

(Digitale) Identiteiten zijn nodig voor alle persoonsgebonden diensten. In de Wet oBRP is het verplichte hergebruik van de persoonsgegevens in de BRP aangegeven. Daarmee is deze dienst randvoorwaardelijk verbonden met vrijwel alle dienstverlening van de overheid aan burgers en kan bij uitstek als een Nationale, generieke dienst worden beschouwd. En dit sluit aan op de tekst bij de kop In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?

Daarnaast plaatst het kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. deze dienst duidelijk in die context, zie Identity & Access Management

De dienst zelf is afhankelijk van drie andere diensten: Een geboorteaangifte, immigratie en inschrijving als niet-ingezetene maken het mogelijk dat iemand in de BRP geregistreerd wordt, waarmee je een (digitale) identiteit verkrijgt via de gemeente of via RvIG. Deze drie processen c.q. diensten behoeven daarom ook een zodanig ontwerp, dat de operationele relatie met Identiteitenbeheer afdoende kan worden geborgd.

ACTIE checken hoe Identiteitenbeheer in de huidige situatie samenhangt met de diensten Geboorteaangifte en Immigratie

Het Identiteitenbeheer is geen directe dienst aan burgers en bedrijven, maar een ondersteunende dienst, die deels via internet kan verlopen en deels ook niet. De vaststelling en registratie van de Digitale Identiteiten (stappen 1 en 2) verlopen grotendeels via een fysiek loket. De overige stappen (3 t/m 6) kunnen ook digitaal verlopen.

Als gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem zijn 2 groepen onderkend: inwoners en geregistreerde niet-ingezetenen van Nederland die een digitale identiteit nodig hebben om diensten van de overheid af te nemen en de dienstverleners die een dienst leveren en zekerheid nodig hebben over de identiteit van degene die die dienst afneemt. Beide groepen moeten eisen kunnen stellen aan de kwaliteit van de digitale identiteit. De Identity Provider, in dit geval gemeenten en RvIG, moet transparant zijn over de kwaliteit van de geboden Digitale Identiteit van de persoon, opdat beide gebruikersgroepen daar inzicht in hebben.

In het ontwerp van de dienst zal ook een mogelijkheid moeten zijn opgenomen dat de burger reflectie geeft op hoe de dienst is ervaren. Denk daarbij aan een klanttevredenheidsmeting zoals veel private bedrijven die naderhand per e-mail sturen.

Organisatorische aspecten

De (rol van) stakeholders die betrokken zijn bij het beheer van de digitale identiteiten zijn:

1. Gemeenten als bronhouders van de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van hun inwoners
2. RvIG als bronhouder voor geregistreerde niet-ingezetenen en eind-verantwoordelijke voor deze dienst
3. De betreffende natuurlijke personen (inwoners en geregistreerde niet-ingezetenen van Nederland)
4. De organisatie(s) die verantwoordelijk is voor geboorteaangifte
5. De verantwoordelijke organisatie voor immigratie
6. Dienstaanbieders als afnemers van deze dienst
7. Authenticatie(middelen)beheer als afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. van deze dienst
8. Bevoegdhedenbeheer als afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. van deze dienst

ACTIE bespreken of nog meer organisaties betrokken zijn

Volgens AP27 zal slechts één organisatie eind-verantwoordelijk zijn voor de dienst, zodat burgers, bedrijven en mede-overheden er altijd iemand op kunnen aanspreken. De gebruikers van de dienst willen weten of de dienstaanbieder een bekende, betrouwbare partij is. Vervolgens willen ze die partij kunnen aanspreken op de kwaliteit. Deze vraag geldt ook in hoge mate voor overheidsorganisaties die hun eigen dienstverlening baseren op diensten van anderen en van deze dienstenleveranciers afhankelijk zijn. Daarom is het noodzakelijk dat helder is voor welke prestatie de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) verantwoordelijk is.

Gezamenlijk dienstverleningsproces

Hoe legt de BRP de relatie tussen een mens van vlees en bloed en de Nationale digitale identiteit?

De Nederlandse gemeenten kennen (digitale) identiteiten toe aan mensen in hun rol als inwoner (ingezetene) van Nederland. De Rijksdienst voor Identiteitsgegevens (RvIG) doet die toekenning voor niet-ingezetenen. Zo'n digitale identiteit wordt afgeleid uit de menselijke attributen (naam, geboortedatum e.d.). In de Basisregistratie Personen (BRP), zijn al die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd opgenomen. Het burgerservicenummer (BSN) is de unieke representant van zo'n digitale identiteit. Op basis van die geregistreerde gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd kan je een afgeleide identiteitsverklaring krijgen, zoals een reisdocument.

RvIG beheert de levenscyclus van die digitale identiteiten vanuit haar rol als “Nationale Identity Provider”. Deze cyclus wordt geïnitieerd door een inschrijving in de BRP (bij geboorte, immigratie, of registratie als niet-ingezetene). De informatie in de BRP wordt actueel gehouden door eigen initiatief van burgers (bijvoorbeeld via een verhuisbericht), door daarvoor aangewezen overheidsinstanties (bijvoorbeeld IND voor verblijfstitels en door Aangewezen Bestuursorganen voor wijzigingen in gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van niet-ingezetenen). Burgers worden hierin gefaciliteerd door de gemeenten en RvIG. De bijhoudingsprocessen van de gemeenten staan beschreven in de Handleiding Uitvoeringsprocedures (HUP). Afnemers doen een terugmelding via de terugmeldvoorziening (TMV) bij gerede twijfelEr is sprake van gerede twijfel bij een afnemer over de juistheid van een gegeven als er voldaan wordt aan de volgende criteria:

• er is een sterk vermoeden dat een (authentiek) gegeven onjuist is,
• dat vermoeden is gebaseerd op kennis en kunde van de eigen processen en doelgroep van de afnemer (een combinatie van kennis, kunde en gezond verstand),
• de afnemer kent de definitie van dit (authentiek) gegeven. De afnemer moet weten wat de definitie van een gegeven in een basisregistratie is om te kunnen beoordelen of het niet klopt. aan de ontvangen BRP-gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd.

Onderstaande 6 processen zijn hierbij van belang:

1. Geboorteaangifte

Geboorteaangifte

2. Eerste Inschrijving

Eerste inschrijving

3. Registratie Niet-Ingezetene

Registratie Niet-Ingezetene

4. Hervestiging

Hervestiging

5. Emigratie

Emigratie

6. Overlijden

Overlijden

Kwaliteitsnormen zijn gesteld op zowel inhoudelijke attributen als de uitvoering van de processen (getoetst via ENSIA en de wettelijk verplichte zelfevaluatie).

In het autorisatiebesluit staat welke informatie over welke personen en onder welke voorwaarden aan de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. verstrekt wordt uit de BRP.

ACTIE bespreken: Bij wie kan de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem hulp vragen als het vastloopt oid.? Eerst de gemeenten en in laatste geval RvIG / de Minister van BZK?

Welke personen krijgen een digitale identiteit?

Alle ingezetenen die legaal verblijven in Nederland, krijgen een (digitale) identiteit toegekend, in de vorm van een BSN, met daaraan gerelateerde attributen.

Daarnaast kunnen ook niet-ingezetenen zich inschrijven in de BRP en daarmee een digitale identiteit krijgen (BSN e.d.).

Ook bewoners van Caribisch Nederland kunnen in de PIVA worden ingeschreven en daarmee een digitale identiteit krijgen. Zij krijgen echter geen BSN.

Alle andere niet-ingezetenen hebben nu nog geen door de RvIG uitgegeven digitale identiteit. Dat betekent echter niet dat deze personen geen digitale diensten kunnen afnemen. Het is aan de dienstverleners om te bepalen dat aan deze mensen toch diensten (kunnen) worden verleend.

In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?

Overheidsorganisaties zijn volgens de Wet oBRP verplicht de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van de BRP te gebruiken. Maar gebeurt dat ook altijd? Ondanks dat er steeds meer aansluitingen (inclusief terugmeldingen) zijn op de BRP en RNI, worden nog steeds veel kopieën gemaakt van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd: voor eigen taken en processen van (overheids)organisaties. Daarmee zijn er alleen al binnen de overheid meer dan 150 verschillende identiteiten-registraties van burgers.

Het gebruik van de door RvIG uitgegeven digitale identiteiten van burgers wordt gestimuleerd door de eerder genoemde kwaliteitscontroles en steeds vaker ook door analyses op combinaties van bronnen, zoals bij Landelijke Aanpak Adreskwaliteit (LAA). Anders gesteld: vanuit een business behoefte bij de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn./dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers). Er is steeds vaker een concrete business case om met correcte identiteitsgegevens te werken.

Om de rol als "Nationale Identity Provider" goed waar te kunnen maken, zal de BRP nog sterker neergezet moeten worden als leidende Identiteiten-registratie en attribuutleverancier. En tevens zullen de overheidsorganisaties hun eigen identiteiten-registraties technisch gezien moeten gaan koppelen / verwijzen naar de BRP.
Alle hulp om dat voor elkaar te krijgen is zeer gewenst. Veel wordt verwacht van bijvoorbeeld de Werkgroep API van het Digitaal Stelsel Omgevingswet (DSO), die werkt aan een Nederlands profiel voor oAUTH en het slaan van een brug richting OpenIDConnect.

Hoe verloopt de authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. van een digitale identiteit van de BRP: qua proces en qua techniek?

Er is geen eenduidig proces voor de authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. (verificatie) van een in de BRP uitgegeven digitale identiteit. De authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. vindt in de praktijk decentraal plaats en is ook afhankelijk van het middel dat daarbij wordt gebuikt. Authenticatie wordt doorgaans mogelijk gemaakt via herbruikbare bouwstenen of via diensten. Zo zijn er bijvoorbeeld diensten als DigiD, eHerkenning, Toegangsverleningsservice (TVS), die een autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen hebben op de BRP ihkv verificatie (authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.). Middels de identity providers worden dienstverleners wel voor een deel ontzorgd. Specifiek toegang tot de authenticatiemiddelen (chip op paspoort, eNIK e.d.) hebben maar een paar partijen. Verificatie van de attributen op de chip(s) gebeurt via autorisaties. Vaak zijn die authenticatiemiddelen technisch gestandaardiseerd (bij DigiD bijvoorbeeld gebaseerd SAML). Door standaardisatie op InformatieBetekenisvolle gegevens.-/Applicatielaag wordt gestimuleerd de authenticaties te uniformeren. Vanuit deeloplossingen (rijbewijs, PKIO, Zorgpas, overheidspas, etc) treed ook enige standaardisatie op. Er is echter nog geen eenduidige architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. voor de overheid waarin deze authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. is uitgewerkt.

Voorbeelden van bestaande authenticatiemiddelen waarmee de digitale identiteiten van de BRP worden geverifieerd

PKIO certificaten, WID documenten of DigiD, (sub)OIN, RIN, etc...

Welke impact heeft eIDAS op de uitgifte van digitale identiteiten in de BRP?

We zien hier 2 situaties optreden:

1. Een Europese burger wenst met de digitale identiteit van zijn eigen land gebruik te maken van diensten in Nederland

De identificerende gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van de ingelogde burger worden bij eerste inlog gematcht met de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd in de BRP via het BRP-Koppelpunt. Als er een match gevonden wordt, wordt deze vastgelegd. Het BSN van de burger wordt dan (versleuteld) doorgegeven aan de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers). Als er geen match gemaakt kan worden, zijn er twee mogelijkheden: of de sessie wordt beëindigd (als de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) geen dienst kan verlenen zonder BSN) of de identificerende gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden zonder BSN doorgegeven (als de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) dat heeft aangegeven). De ingelogde burger die niet gematcht kan worden, krijgt niet automatisch een BSN. Hierbij bestaat het risico dat we in onze identiteiten-registratie (de BRP, incl. RNI), naast de Nederlandse staatsburgers telkens meer buitenlandse burgers met een zakelijk belang bij Nederland moeten opnemen. In feite kopieert Nederland dan de persoonsgegevens uit buitenlandse identiteiten-registraties. Dat lijkt in te gaan tegen het concept van Federatief Identiteitenbeheer en behoeft dus aandacht van de architecten. Zie ook Impact eIDAS voor Nederland.

2. Een Europese burger vraagt een Nederlands authenticatiemiddel aan en gaat dat gebruiken

Hierbij moet inzicht bestaan op welke identiteiten-registraties dat authenticatiemiddel moet kunnen werken. Als een digitale (pseudonieme) identiteit op het authenticatiemiddel moet worden gezet, dan speelt tevens het risico zoals benoemd bij situatie 1.

1. Vaststellen welke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
2. Het registreren van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
3. Het actueel houden van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
4. Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
5. Het verwijderen van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
6. Het aan betrokkene notificeren dat die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd zijn verwijderd.

InformatieBetekenisvolle gegevens.-aspecten

Samenwerking tussen en binnen organisaties is alleen goed mogelijk wanneer de betrokkenen de relevante informatie-objecten kunnen toepassen, hergebruiken en duurzaam archiveren.

De informatie-objecten die relevant zijn bij Identiteitenbeheer zijn opgenomen in het Logisch Ontwerp GBA en het Logisch Ontwerp RNI. Denk daarbij aan gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd(soorten) als:

• Persoon (voornamen, achternaam, tussenvoegsels, geboortedatum, geboorteplaats enz.)
• Brondocument (soort, datum)
• Enz.

In deze documenten is ook beschreven welke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd geprotocolleerd moeten worden en wat de bewaartermijn daarvan is.

Voor betrouwbare dienstverlening is het gebruik van de juiste informatie en documenten van cruciaal belang. Om geschillen over de juistheid van een gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat te voorkomen, moet duidelijk zijn welke organisatie bepaalt wat de juiste waarde is. Uitgangspunt vanuit AP13 is dat er binnen de overheid voor ieder informatie-objectEen op zichzelf staand geheel van gegevens met een eigen identiteit. Bijvoorbeeld: document, databasegegeven, emailbericht (met bijlagen), (zaak) dossier, internetsite (of een deel ervan),foto/afbeelding, geluidopname, wiki, blog enz. een unieke bron bestaat.

ACTIE Hoe is dat geregeld voor het Identiteitenbeheer?

De digitale identiteit van een natuurlijke persoon betreft een combinatie van persoonsgegevens die zijn geregistreerd in de BRP. Aan die combinatie van persoonsgegevens wordt een uniek referentiekenmerk toegevoegd, te weten het BSN. In de Stelselcatalogus zijn alle gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd beschreven die in de BRP zijn opgenomen, zie stelselvanbasisregistraties.nl.

Als voorbeeld is een overzicht van de persoonsgegevens opgenomen:

onderschrift met bronvermelding

ACTIE Komt dat 1 op 1 overeen met de persoonsgegevens van het LO BRP?

ACTIE nagaan waar wordt aangegeven welke afnemers (per domein zoals pensioenfondsen, financiële sector etc) welke basisset aan gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd krijgen.

Relevante applicaties

Welke applicaties worden gebruikt bij het Identiteitenbeheer? Wat is de relatie met de afgesproken processen? En wat is hun onderlinge samenhang?

Vanuit AP7 wordt aandacht gevraagd voor het hergebruik van bestaande (generieke) bouwstenen en mogelijk ook internationale bouwstenen.

BouwsteenVoorziening die deel uitmaakt van de infrastructuur van de e-overheid.	Waar op het internet is de bouwsteen beschreven?	Welke functionaliteiten heeft die bouwsteen?	Welke relaties heeft de bouwsteen met andere bouwstenen?	Waar, of via wie, is de Solution Architectuur ervan beschikbaar?
BSN		Attribuut van Persoon: identifier	BRP	https://www.rvig.nl/bsn/documenten/publicaties/2019/01/15/logisch-ontwerp-bsn-versie-1.5
			Beheervoorziening BSN
Beheervoorziening BSN	https://www.rvig.nl/bsn/beheervoorziening-bsn	1. Nummergenerator voor het maken en sturen van burgerservicenummers	BSN	https://www.rvig.nl/bsn/documenten/richtlijnen/2015/03/04/bv-bsn-aanvullende-functionele-specificaties
		De BV BSN genereert burgerservicenummers en verstrekt deze aan gemeenten	BRP
		2. Nummerregister voor de registratie burgerservicenummers
		Het nummerregister van de BV BSN registreert aan welke gemeente een BSN is geleverd en wanneer dit BSN wordt uitgegeven. Ook laat het nummerregister zien wat de status en de historie is van het BSN
		3. Presentievragen
		Door het stellen van de presentievraag kunnen gemeenten voorkomen dat er meerdere nummers worden toegekend aan 1 persoon
		4. Verificatievragen
		Meer informatie over de verificatievragen vindt u op de pagina 'Verificatievragen BV BSN'
BRP	https://www.rvig.nl/brp		BSN
		www.rijksbegroting.nl/binaries/pdfs/2/0/6/kst206511.pdf	Beheervoorziening BSN
BSN-koppelregister		1. Maakt pseudoniemen en sleutelmateriaal ten behoeve van Polymorfe pseudonimisering.	BSNK Stelsel
		2. Maakt het mogelijk andere organisaties het BSN te laten gebruiken.
		3. Dit zijn 7 voorzieningen: verdere uitwerking is nodig (verzamelnaam).
PKI-O / identificatiecertificaat, versleutelcertificaat en handtekeningcertificaat	https://logius.nl/diensten/pkioverheid	1. Beveiliging van websites	OIN
		2. Authenticatie op afstand
		3. Rechtsgeldige elektronische handtekeningen
		4. Versleuteling van elektronische berichten

Infrastructuur

ACTIE Hoe wordt hergebruik gemaakt van internet en andere bestaande netwerken, zoals DigiNet-werk, Rinis, SuwiNet, RON e.d.?

Nog te verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. opmerkingen

1. Afweging maken wat in NORANederlandse Overheid Referentie Architectuur komt en wat de invullingen binnen de dochters zijn (bij-voorbeeld RIN binnen de EAR);
2. Maak een goede definitie van "persoongebonden dienst" (waarbij traceerbaarheid en/of authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. verplicht is);
3. Ad AP19: met eIDAS is de scope breder dan inwoners van Nederland;
4. Koppel de scope aan de formeel benoemde basisregistraties en de in het eiD Stelsel benoemde voorzieningen;
5. Hoe ga je om met de kopie-identiteiten (gebruikersprofiel, BSN koppelregister);
6. Als het gebruik van een BSN niet mogelijk is, dan kent de WvGGZ aanvullende afspraken voor identiteit;
7. Denk aan het loggen van BSN verstrekkingen (ten behoeve van AVG / inzagerecht);
8. Hou rekening met het verschil in de grondslagen voor burgers en voor medewerkers.

Welke andere (publieke of private) partijen kennen digitale identiteiten toe aan Nederlandse burgers?

De meest in het oog springende andere uitgegeven digitale identiteiten zijn:

• het [Rijks Identificerend Nummer (RIN)] waarmee medewerkers van het Rijk (in- en externen) worden geïdentificeerd
• Personeelsnummers (per organisatie)
• Studentennummers
• Zelfstandigennummers
• Klantnummers (per bedrijf)

e.d.

Om het overzicht en de positie van de mens te versterken zou er binnen de Nederlandse overheid bij voorkeur slechts één identiteiten-autoriteit c.q. Identity Provider zijn en zou het aantal private Identity Providers bij voorkeur beperkt blijven (eerder 10-tallen dan 1000'en).

Daarnaast zou het randvoorwaardelijke [SSI] meer mogen worden uitgedragen, zodat het uitgangspunt “zet de mens centraal” zowel in functie, rechtspositie als ook in beleid, uitvoering en toetsing, echt vorm kan worden gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.

Nuttige linkjes voor digitale identiteiten

• Het Nationale kader waarbinnen we het Identiteitenbeheer beschouwen: Identity & Access Management
• Uitleg over Federatief Identiteitenbeheer: Patroon voor federatie van identity management
• Een Europese voorziening voor het ontsluiten van Nationale identiteiten EID
• Een position paper van de VNG over Digitale Identiteit
• Een nieuw concept t.a.v. digitale identiteiten en gegevensuitwisseling: digital-me.nl
• Het risico bestaat dat Identiteitsdiefstal optreedt. Het is daarom van belang dat bij het ontwerp van diensten met dat risico rekening wordt gehouden. Vanuit de thema's Privacy en Beveiliging worden daartoe maatregelen voorgesteld. Zie met name Passende maatregelen: technisch en organisatorisch
• Voor de medewerkers van een overheidsorganisatieNORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak. (en ook de externen die daarbij worden ingehuurd, service-personeel e.d.) is vanuit de Rijksoverheid een normenkader Rijksoverheidsbreed Identity Management (PDF, 361 kB) opgesteld, dat tevens de basis is geweest voor de uitrol van de Rijkspas.
  

NB-1 Het kader is niet meer 1-2-3 te vinden op internet: opvragen is mogelijk bij de secretaris van de ICCIO / ICBR.
NB-2 Het gebruik van het BSN zoals genoemd in het document, is door uitspraken van de Autoriteit Persoonsgegevens (AP) achterhaald en het Rijksoverheidsmedewerker Identificerend Nummer (RIN) vervangt het BSN. Het Normenkader Rijksidentiteiten irt Rijksbrede voorzieningen v1.1 (19-12-2017, ICBR) regelt het gebruik van het RIN voor de medewerkers van de Rijksoverheid.