Identiteitenbeheer

Deze pagina is onderdeel van het thema
Identity & Access Management (IAM)

Om binnen de overheid c.q. samenleving te komen tot meer eenduidige en gedeelde beelden inzake digitale identiteiten, is hier volgend een visie daarop gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat, met uitleg van de relevante begrippen en een visualisatie en beschrijving van hun samenhang.

Vanuit het vraagstuk om een (referentie)architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. te verkrijgen voor de “levenscyclus” van digitale identiteiten, als randvoorwaardelijk aspect bij persoonsgebonden digitale dienstverlening, starten we met de focus op de digitale identiteiten van de natuurlijke personen die worden geregistreerd in de Basisregistratie Personen (BRP). We geven hiermee verdere invulling aan een onderdeel van het kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. in de NORANederlandse Overheid ReferentieArchitectuur, te weten de blauw gekleurde ovaal: Identiteitenbeheer.

Het betreft de relatie van een natuurlijke persoon, tijdens zijn levenscyclus van nataal tot (post)mortaal, met digitale identiteiten, inclusief het creëren, registreren, wijzigen, verstrekken en verwijderen van die digitale identiteiten.

Digitale identiteiten van andere entiteiten, zoals van bedrijven, computers, apps of dingen (IoT), laten we hier dus nog buiten beschouwing.

Aanpak

De aanpak is gekozen om op basis van de bestaande kennis en documentatie van RvIG (als beheerder van de BRP) en Logius (als beheerder van diverse bouwstenen die met Identiteitenbeheer te maken hebben) een architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. op te stellen volgens het vijflaagsmodel van de NORANederlandse Overheid ReferentieArchitectuur. Het betreft de HUIDIGE situatie binnen de overheid.

We willen daar een idEA visualisatie aan toevoegen, waarin we dus inzicht krijgen in de processen van de BRP en eID(AS)-diensten. Daarnaast zou er ook een toekomstige plaat tegenover moeten liggen met een visie à la Self Sovereign Identity, etc. Qua proces zouden we dit allemaal parallel willen oppakken, zodat verschillende partijen vanuit verschillende domeinen aanvullingen kunnen doen. Dit levert het volgende proces op:

1. BRP-plaat en ander platen (eID) van RvIG eerst apart tonen. Deze dan combineren tot een overzichtsplaat (delen weglaten of combineren);
2. Laten aanvullen door Logius (aparte sessie max 2 uur);
3. Terugkoppelen in Werkgroep en review vragen;
4. Laten aanvullen door andere partners als DUO, KVK, BD, etc. om vanuit perspectief natuurlijk persoon hun vastlegging cq kopieën inzichtelijk krijgen;
5. Terugkoppelen in Werkgroep en review vragen;
6. Nu parallelle sessies om de andere entiteiten als ook andere IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. onderdelen erin te krijgen;

Dit kan in een soort WorldCafe setting om het de eerste ruwe schets op papier te krijgen.

Zodra we dat hebben gedaan, kunnen we evalueren of we die architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. willen uitbreiden met ook de andere onderdelen van het Kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten..

Wil jij ook een bijdrage leveren?

Er staan nog diverse vragen open in deze beschrijving. Indien je iets weet dat aan het beantwoorden kan bijdragen, geef het dan even aan ons door via nora@ictu.nl.

Het architectuurkader voor Identiteitenbeheer

We beschouwen het Identiteitenbeheer van de inwoners (en geregistreerde niet-ingezetenen) van Nederland als een “dienst” die het volgende regelt:

1. Vaststellen welke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
2. Het registreren van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
3. Het actueel houden van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
4. Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
5. Het verwijderen van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
6. Het aan betrokkene notificeren dat die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd zijn verwijderd.

(de laatste twee stappen komen in de BRP in principe niet voor. Een persoon die eenmaal ingeschreven is, wordt nooit meer uitgeschreven; behoudens een onterechte inschrijving)

Aangezien dit een overheidsbreed thema betreft, zien we de NORANederlandse Overheid ReferentieArchitectuur als hét toe te passen architectuurkader. De NORANederlandse Overheid ReferentieArchitectuur wordt toegepast door een beschrijving van het Identiteitenbeheer volgens het Vijflaagsmodel en de invulling van de Afgeleide principes (AP’s) daarbij.

Er zijn (nog) geen andere architectuurkaders gebruikt, zoals eventueel de Stelselarchitectuur van Reisdocumenten.

Om het ontwerp beter te begrijpen wordt doorgaans ook een (idEA) visualisatie opgesteld van de bestaande situatie (IST) en de toekomstige, gewenste situatie (SOLL).

ACTIE visualisaties maken van bestaande en toekomstige situatie

Grondslagenlaag

De wet- en regelgeving en beleidsafspraken die op het Identiteitenbeheer van toepassing zijn, maken doorgaans duidelijk wat het WAT en WAAROM is van deze dienst. Het betreft in ieder geval:

1. Wet basisregistratieEen bij wet als basisregistratie aangemerkte registratie. personen - Dit betreft de verplichting van specifiek aangewezen overheidsorganisaties om bepaalde persoonsgegevens van de inwoners en niet-ingezetenen van Nederland te verzamelen en te registreren in de BRP. De Wet BRP regelt ook het gebruik van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd.
2. Wet algemene bepalingen burgerservicenummer (Wabb) - Dit betreft de toekenning van het identiferende gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat BSN aan de personen waarover gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd in de BRP zijn opgenomen. En de Wabb regelt ook het gebruik van het BSN door overheidsorganisaties.
3. Algemene Verordening Gegevensbescherming (AVG) - Deze regelt het gebruik van persoonsgegevens, ter bescherming van de privacy van betrokken personen.
4. electronic Identification Authentication and Trust Services (IDAS) - Deze regelt de Europese verplichtingen t.a.v. digitale identiteiten. O.a. 3.10 t/m 3.12 geeft uitleg over de elektronische ID / handtekening.
5. Gemeenschappelijk normenkader Rijksoverheidsbreed Identity Management IdM Componenten (11 mei 2009, IC-CIO) - Dit is een normenkader voor het Identiteitenbeheer van medewerkers van de Rijksoverheid (ambtenaren, maar ook ingehuurd personeel).
6. Normenkader Rijksidentiteiten irt Rijksbrede voorzieningen v1.1 (19-12-2017, ICBR) - Deze regelt het gebruik van het RIN voor de medewerkers van de Rijksoverheid.
7. Wet op Identitificatieplicht - Deze regelt welke documenten officieel aangewezen zijn om iemans identiteit van te stellen.

ACTIE checken hoe relevante onderdelen uit deze W&R zijn omgezet naar ontwerp-aspecten

ACTIE checken welke kwaliteitsafspraken zijn gemaakt over deze dienst. Denk aan doorlooptijden, juistheid van de registratie, maar ook kosten ed.

Is dat opgenomen in de wet op de BRP of daaraan gerelateerde regelgeving voor het verzamelen en registreren?

AP5: Positioneer de dienst

(Digitale) Identiteiten zijn nodig voor alle persoonsgebonden diensten. In de Wet oBRP is het verplichte hergebruik van de persoonsgegevens aangegeven (https://wetten.overheid.nl/BWBR0036795). Daarmee is deze dienst randvoorwaardelijk verbonden met vrijwel alle dienstverlening van de overheid aan burgers en kan bij uitstek als een Nationale, generieke dienst worden beschouwd. En dit sluit goed aan op de tekst bij de kop In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?

Daarnaast plaatst het kader IAMIdentity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. deze dienst duidelijk in die context, zie Identity & Access Management

De dienst zelf is afhankelijk van drie andere diensten: Een geboorteaangifte, immigratie en inschrijving als niet-ingezetene maken het mogelijk dat iemand in de BRP geregistreerd wordt, waarmee je een (digitale) identiteit verkrijgt via de gemeente of via RvIG. Deze drie processen c.q. diensten behoeven daarom ook een zodanig ontwerp, dat de operationele relatie met Identiteitenbeheer afdoende kan worden geborgd.

ACTIE checken hoe Identiteitenbeheer in de huidige situatie samenhangt met de diensten Geboorteaangifte en Immigratie

AP9: Voorkeurskanaal internet

Het Identiteitenbeheer is geen directe dienst aan burgers en bedrijven, maar een ondersteunende dienst, die deels via internet kan verlopen en deels ook niet. De vaststelling en registratie van de Digitale Identiteiten (stappen 1 en 2) verlopen grotendeels via een fysiek loket. De overige stappen (3 t/m 6) kunnen ook digitaal verlopen.

AP19: Perspectief gebruiker

Als gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem zijn 2 groepen onderkend: inwoners en geregistreerde niet-ingezetenen van Nederland die een digitale identiteit nodig hebben om diensten van de overheid af te nemen en de dienstverleners die een dienst leveren en zekerheid nodig hebben over de identiteit van degene die die dienst afneemt. Beide groepen moeten eisen kunnen stellen aan de kwaliteit van de digitale identiteit. De Identity Provider, in dit geval gemeenten en RvIG, moet transparant zijn over de kwaliteit van de geboden Digitale Identiteit van de persoon, opdat beide gebruikersgroepen daar inzicht in hebben.

In het ontwerp van de dienst zal ook een mogelijkheid moeten zijn opgenomen dat de burger reflectie geeft op hoe de dienst is ervaren. Denk daarbij aan een klanttevredenheidsmeting zoals veel private bedrijven die naderhand per e-mail sturen.

Organisatielaag

De (rol van) stakeholders die betrokken zijn bij het beheer van de digitale identiteiten zijn:

1. Gemeenten als bronhouders van de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van hun inwoners
2. RvIG als bronhouder voor geregistreerde niet-ingezetenen en eind-verantwoordelijke voor deze dienst
3. De betreffende natuurlijke personen (inwoners en geregistreerde niet-ingezetenen van Nederland)
4. De organisatie(s) die verantwoordelijk is voor geboorteaangifte
5. De verantwoordelijke organisatie voor immigratie
6. Dienstaanbieders als afnemers van deze dienst
7. Authenticatie(middelen)beheer als afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. van deze dienst
8. Bevoegdhedenbeheer als afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. van deze dienst

ACTIE bespreken of nog meer organisaties betrokken zijn

AP27: Een verantwoordelijke organisatie

Volgens AP27 kan maar één organisatie verantwoordelijk zijn voor de dienst, zodat burgers, bedrijven en mede-overheden er altijd iemand op kunnen aanspreken. De gebruikers van de dienst willen weten of de dienstaanbieder een bekende, betrouwbare partij is. Vervolgens willen ze die partij kunnen aanspreken op de kwaliteit. Deze vraag geldt ook in hoge mate voor overheidsorganisaties die hun eigen dienstverlening baseren op diensten van anderen en van deze leveranciers afhankelijk zijn. Daarom is het noodzakelijk dat helder is voor welke prestatie de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) verantwoordelijk is.

Gezamenlijk dienstverleningsproces

Hoe legt de BRP de relatie tussen een mens van vlees en bloed en de Nationale digitale identiteit?

De Nederlandse gemeenten kennen (digitale) identiteiten toe aan mensen in hun rol als inwoner (ingezetene) van Nederland. De Rijksdienst voor Identiteitsgegevens ([RvIG]) doet die toekenning voor niet-ingezetenen. Zo'n digitale identiteit wordt afgeleid uit de menselijke attributen (naam, geboortedatum e.d.). In de [BRP_(Basisregistratie Personen) BRP], zijn al die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd opgenomen. Het burgerservicenummer (BSN) is de unieke representant van zo'n digitale identiteit. Op basis van die geregistreerde gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd kan je een afgeleide identiteitsverklaring krijgen, zoals een reisdocument.

RvIG beheert de levenscyclus van die digitale identiteiten vanuit haar rol als “Nationale Identity Provider”. Deze cyclus wordt geïnitieerd door een inschrijving in de BRP (bij geboorte, immigratie, of registratie als niet-ingezetene). De informatie in de BRP wordt actueel gehouden door eigen initiatief van burgers (bijvoorbeeld via een verhuisbericht), door daarvoor aangewezen overheidsinstanties (bijvoorbeeld IND voor verblijfstitels en door Aangewezen Bestuursorganen voor wijzigingen in gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van niet-ingezetenen). Burgers worden hierin gefaciliteerd door de gemeenten en RvIG. Afnemers doen een terugmelding via de terugmeldvoorziening (TMV) bij gerede twijfelEr is sprake van gerede twijfel bij een afnemer over de juistheid van een gegeven als er voldaan wordt aan de volgende criteria: :* er is een sterk vermoeden dat een (authentiek) gegeven onjuist is, :* dat vermoeden is gebaseerd op kennis en kunde van de eigen processen en doelgroep van de afnemer (een combinatie van kennis, kunde en gezond verstand), :* de afnemer kent de definitie van dit (authentiek) gegeven. De afnemer moet weten wat de definitie van een gegeven in een basisregistratie is om te kunnen beoordelen of het niet klopt. aan de ontvangen BRP-gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd.

Kwaliteitsnormen zijn gesteld op zowel inhoudelijke attributen als de uitvoering van de processen (getoetst via ENSIA en de wettelijk verplichte zelfevaluatie).

In het autorisatiebesluit staat welke informatie over welke personen en onder welke voorwaarden aan de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. verstrekt wordt uit de BRP.

ACTIE bespreken: Bij wie kan de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem hulp vragen als het vastloopt oid.? Eerst de gemeenten en in laatste geval RvIG / de Minister van BZK?

Welke personen krijgen een digitale identiteit?

Alle ingezetenen krijgen een digitale identiteit toegekend, in de vorm van een BSN, met daaraan gerelateerde attributen.

Daarnaast kunnen ook niet-ingezetenen zich inschrijven in de BRP en daarmee een digitale identiteit krijgen (BSN e.d.).

Ook bewoners van Caribisch Nederland kunnen in de PIVA worden ingeschreven en daarmee een digitale identiteit krijgen. Zij krijgen echter geen BSN.

Alle andere niet-ingezetenen hebben nu nog geen door de RvIG uitgegeven digitale identiteit. Dat betekent echter niet dat deze personen geen digitale diensten kunnen afnemen. Het is aan de dienstverleners om te bepalen dat aan deze mensen toch diensten (kunnen) worden verleend.

In hoeverre maken de overheidsorganisaties gebruik van de digitale identiteiten in de BRP?

Het is voor overheidsorganisaties wettelijk verplicht de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd van de BRP te gebruiken. Maar gebeurt dat ook altijd? Ondanks dat er steeds meer aansluitingen (inclusief terugmeldingen) zijn op de BRP en RNI, worden nog steeds veel kopieën gemaakt van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd: voor eigen taken en processen van (overheids)organisaties. Daarmee zijn er alleen al binnen de overheid meer dan 150 verschillende identiteiten-registraties van burgers.

Het gebruik van de door RvIG uitgegeven digitale identiteiten van burgers wordt gestimuleerd door de eerder genoemde kwaliteitscontroles en steeds vaker ook door analyses op combinaties van bronnen, zoals bij Landelijke Aanpak Adreskwaliteit (LAA). Anders gesteld: vanuit een business behoefte bij de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn./dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers). Er is steeds vaker een concrete business case om met correcte identiteitsgegevens te werken.

Om de rol als Nationale Identity Provider goed waar te kunnen maken, zal de BRP nog sterker neergezet moeten worden als leidende Identiteiten-registratie en attribuutleverancier (analoog aan een LDAP provider/OpenIDConnect provider). En tevens zullen andere overheidsorganisaties hun eigen identiteiten-registraties moeten laten verwijzen naar de BRP. Alle hulp om dit voor elkaar te krijgen is zeer gewenst. Vanuit de Werkgroep API van het Digitaal Stelsel Omgevingswet (DSO) wordt gewerkt aan een Nederlands profiel voor oAUTH. Daar moet nog een brug richting OpenIDConnect worden geslagen.

Hoe verloopt de authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. van een digitale identiteit van de BRP: qua proces en qua techniek?

Er is geen eenduidig proces voor de authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. (verificatie) van een door RvIG uitgegeven digitale identiteit. De authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. vindt in de praktijk decentraal plaats en is ook afhankelijk van het middel dat daarbij wordt gebuikt. Authenticatie wordt doorgaans mogelijk gemaakt via herbruikbare bouwstenen of via diensten. Zo zijn er bijvoorbeeld diensten als DigiD, eHerkenning, Toegangsverleningsservice (TVS), die een autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen hebben op de BRP ihkv verificatie (authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.). Middels de identity providers worden dienstverleners wel voor een deel ontzorgd. Specifiek toegang tot de authenticatiemiddelen (chip op paspoort, eNIK e.d.) hebben maar een paar partijen. Verificatie van de attributen op de chip(s) gebeurt via autorisaties. Vaak zijn die authenticatiemiddelen technisch gestandaardiseerd (bij DigiD bijvoorbeeld gebaseerd SAML). Door standaardisatie op InformatieBetekenisvolle gegevens.-/Applicatielaag wordt gestimuleerd de authenticaties te uniformeren. Vanuit deeloplossingen (rijbewijs, PKIO, Zorgpas, overheidspas, etc) treed ook enige standaardisatie op. Er is echter nog geen eenduidige architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. voor de overheid waarin deze authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. is uitgewerkt.

Voorbeelden van bestaande authenticatiemiddelen waarmee de digitale identiteiten van de BRP worden geverifieerd

PKIO certificaten, WID documenten of DigiD, (sub)OIN, RIN, etc...

Welke impact heeft de eIDAS op de uitgifte van digitale identiteiten door RvIG?

We zien hier 2 situaties optreden:

1. Een Europese burger wenst met de digitale identiteit van zijn eigen land gebruik te maken van diensten in Nederland

Hierbij bestaat het risico dat we in onze identiteiten-registratie (de BRP, incl. RNI), naast de Nederlandse staatsburgers telkens meer buitenlandse burgers met een zakelijk belang bij Nederland moeten opnemen. In feite kopieert Nederland dan de persoonsgegevens uit buitenlandse identiteiten-registraties. Dat lijkt in te gaan tegen het concept van Federatief Identiteitenbeheer en behoeft dus aandacht van de architecten. Zie ook Impact eIDAS voor Nederland.

2. Een Europese burger vraagt een Nederlands authenticatiemiddel aan en gaat dat gebruiken

Hierbij moet inzicht bestaan op welke identiteiten-registraties dat authenticatiemiddel moet kunnen werken. Als een digitale (pseudonieme) identiteit op het authenticatiemiddel moet worden gezet, dan speelt tevens het risico zoals benoemd bij situatie 1.

1. Vaststellen welke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden gebruikt om een natuurlijk persoon uniek te karakteriseren;
2. Het registreren van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
3. Het actueel houden van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
4. Het -indien toegestaan- aan derden verstrekken van (een deel van) die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
5. Het verwijderen van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
6. Het aan betrokkene notificeren dat die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd zijn verwijderd.

De informatielaag

Samenwerking tussen en binnen organisaties is alleen goed mogelijk wanneer de betrokkenen de relevante informatieobjecten kunnen toepassen, hergebruiken en duurzaam archiveren.

AP17: Informatie-objecten systematisch beschreven

Vanuit AP 27 worden de volgende implicaties aangegeven:

1. Systematisch beschrijven en uniek identificeren van informatieobjecten volgens de rele-vante metadata-standaarden, waarbij gebruik wordt gemaakt van de FAIR principes (Findable, Accessible, Interoperable, Reusable), zie www.dtls.nl.
2. Het visualiseren van de informatieobjecten in hun onderlinge samenhang (informatiemo-del) zodat de structurele relaties tussen informatieobjecten duidelijk worden.
3. Digitaal publiceren van het informatiemodel (beschrijving en de visualisatie).

De informatie-objecten die relevant zijn bij Identiteitenbeheer zijn opgenomen in het Logische Ontwerp BRP (LO BRP). Denk daarbij aan gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd(soorten) als:

• Persoon (voornamen, achternaam, tussenvoegsels, geboortedatum, geboorteadres enz.)
• Document (soort, …)
• Enz.

ACTIE Is dat openbaar beschikbaar? En zijn de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd beschreven volgens het FAIR principe?

Voor betrouwbare dienstverlening is het gebruik van de juiste informatie en documenten van cruciaal belang. Om geschillen over de juistheid van een gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat te voorkomen, moet duidelijk zijn welke organisatie bepaalt wat de juiste waarde is. Uitgangspunt is dat er binnen de overheid voor ieder informatie-objectEen op zichzelf staand geheel van gegevens met een eigen identiteit. Bijvoorbeeld: document, databasegegeven, emailbericht (met bijlagen), (zaak) dossier, internetsite (of een deel ervan),foto/afbeelding, geluidopname, wiki, blog enz. een unieke bron bestaat.

AP13: Bronregistraties zijn leidend

Vanuit AP13 wordt gesteld dat gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd uit bron-registraties worden betrokken.

ACTIE Hoe is dat geregeld voor het Identiteitenbeheer?

De digitale identiteit van een natuurlijke persoon betreft een combinatie van persoonsgege-vens die zijn geregistreerd in de BRP. Aan die combinatie van persoonsgegevens wordt een uniek referentiekenmerk toegevoegd, te weten het BSN. In de Stelselcatalogus zijn alle gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd beschreven die in de BRP zijn opgenomen, zie stelselvanbasisregistraties.nl.

Als voorbeeld is een overzicht van de persoonsgegevens opgenomen:

onderschrift met bronvermelding

ACTIE Komt dat 1 op 1 overeen met de persoonsgegevens van het LO BRP?

ACTIE nagaan waar wordt aangegeven welke afnemers (per domein zoals pensioenfondsen, financiële sector etc) welke basisset aan gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd krijgen.

Applicatielaag

Welke applicaties worden gebruikt bij het Identiteitenbeheer? Wat is de relatie met de afgesproken processen? En wat is hun onderlinge samenhang?

AP7:Gebruik de landelijke bouwstenen

Vanuit AP7 wordt aandacht gevraagd voor het her-gebruik van bestaande (generieke) bouwstenen en mogelijk ook internationale bouwstenen.

BouwsteenVoorziening die deel uitmaakt van de infrastructuur van de e-overheid.	Waar op het internet is de bouwsteen beschreven?	Welke functionaliteiten heeft die bouwsteen?	Welke relaties heeft de bouwsteen met andere bouwstenen?	Waar, of via wie, is de Solution Architectuur ervan beschikbaar?
BSN		Attribuut van Persoon: identifier	BRP	https://www.rvig.nl/bsn/documenten/publicaties/2019/01/15/logisch-ontwerp-bsn-versie-1.5
			Beheervoorziening BSN
Beheervoorziening BSN	https://www.rvig.nl/bsn/beheervoorziening-bsn	1. Nummergenerator voor het maken en sturen van burgerservicenummers	BSN	https://www.rvig.nl/bsn/documenten/richtlijnen/2015/03/04/bv-bsn-aanvullende-functionele-specificaties
		De BV BSN genereert burgerservice-nummers en verstrekt deze aan gemeenten	BRP
		2. Nummerregister voor de registratie burgerservicenummers
		Het nummerregister van de BV BSN registreert aan welke gemeente een BSN is geleverd en wanneer dit BSN wordt uitgegeven. Ook laat het nummerregister zien wat de status en de historie is van het BSN
		3. Presentievragen
		Door het stellen van de presentievraag kunnen gemeenten voorkomen dat er meerdere nummers worden toegekend aan 1 persoon
		4. Verificatievragen
		Meer informatie over de verificatievragen vindt u op de pagina 'Verificatievragen BV BSN'
BRP	https://www.rvig.nl/brp	(Vanuit dienstencatalogus mGBA:	BSN
		www.rijksbegroting.nl/binaries/pdfs/2/0/6/kst206511.pdf	Beheervoorziening BSN
BSN-koppelregister		1. Maakt pseudoniemen en sleutelmateriaal ten behoeve van Polymorfe pseudonimisering.	BSNK Stelsel
		2. Maakt het mogelijk andere organisaties het BSN te laten gebruiken.
		3. Dit zijn 7 voorzieningen: verdere uitwerking is nodig (verzamelnaam).
PKI-O / identificatiecertificaat, versleutelcertificaat en handtekeningcertificaat	https://logius.nl/diensten/pkioverheid	1. Beveiliging van websites	OIN
		2. Authenticatie op afstand
		3. Rechtsgeldige elektronische handtekeningen
		4. Versleuteling van elektronische berichten

Netwerklaag

====AP6:Gebruik standaard oplossingen

ACTIE Hoe wordt hergebruik gemaakt van internet en andere bestaande netwerken, zoals DigiNet-werk, Rinis, SuwiNet, RON e.d.?

Nog te verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. opmerkingen

1. Onderscheid maken tussen “biologische persoon” (wereldwijd begrip) versus “natuurlij-ke persoon” (een Nederlands begrip met juridische achtergrond);
2. 1 biologische persoon kan meerdere identiteiten hebben, elk met een eigen context;
3. Bij alle wettelijke referenties ook de hyperlink toevoegen;
4. Afweging maken wat in NORANederlandse Overheid ReferentieArchitectuur komt en wat de invullingen binnen de dochters zijn (bij-voorbeeld RIN binnen de EAR);
5. Maak een goede definitie van "persoongebonden dienst" (waarbij traceerbaarheid en/of authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. verplicht is);
6. Ad AP19: met eIDAS is de scope breder dan inwoners van Nederland;
7. Wees helder over scope: BRP, RNI en kort-verblijvenden;
8. Koppel de scope aan de formeel benoemde basisregistraties en de in het eiD Stelsel benoemde voorzieningen;
9. Ad Informatielaag: neem naast de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd ook de logging ervan mee, idem bewaar-termijn;
10. Hoe ga je om met de kopie-identiteiten (gebruikersprofiel, BSN koppelregister);
11. Als het gebruik van een BSN niet mogelijk is, dan kent de WvGGZ aanvullende afspraken voor identiteit;
12. Denk aan het loggen van BSN verstrekkingen (ten behoeve van AVG / inzagerecht);
13. Hou rekening met het verschil in de grondslagen voor burgers en voor medewerkers.

Welke andere (publieke of private) partijen kennen digitale identiteiten toe aan Nederlandse burgers?

De meest in het oog springende andere uitgegeven digitale identiteiten zijn:

• het [Rijks Identificerend Nummer (RIN)] waarmee medewerkers van het Rijk (in- en externen) worden geïdentificeerd
• Personeelsnummers (per organisatie)
• Studentennummers
• Zelfstandigennummers
• Klantnummers (per bedrijf)

e.d.

Om het overzicht en de positie van de mens te versterken zou er binnen de Nederlandse overheid bij voorkeur slechts één identiteiten-autoriteit c.q. Identity Provider zijn en zou het aantal private Identity Providers bij voorkeur beperkt blijven (eerder 10-tallen dan 1000'en).

Daarnaast zou het randvoorwaardelijke [SSI] meer mogen worden uitgedragen, zodat het uitgangspunt “zet de mens centraal” zowel in functie, rechtspositie als ook in beleid, uitvoering en toetsing, echt vorm kan worden gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.

Nuttige linkjes voor digitale identiteiten

• Het Nationale kader waarbinnen we het Identiteitenbeheer beschouwen: Identity & Access Management
• Uitleg over Federatief Identiteitenbeheer: Patroon voor federatie van identity management
• Een Europese voorziening voor het ontsluiten van Nationale identiteiten EID
• Een position paper van de VNG over Digitale Identiteit
• Een nieuw concept t.a.v. digitale identiteiten en gegevensuitwisseling: digital-me.nl
• Het risico bestaat dat Identiteitsdiefstal optreedt. Het is daarom van belang dat bij het ontwerp van diensten met dat risico rekening wordt gehouden. Vanuit de thema's Privacy en Beveiliging worden daartoe maatregelen voorgesteld. Zie met name Passende maatregelen: technisch en organisatorisch
• Voor de medewerkers van een overheidsorganisatieNORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak. (en ook de externen die daarbij worden ingehuurd, service-personeel e.d.) is vanuit de Rijksoverheid een normenkader (PDF, 361 kB) opgesteld, dat tevens de basis is geweest voor de uitrol van de Rijkspas.
  

NB-1 Het kader is niet meer 1-2-3 te vinden op internet: opvragen is mogelijk bij de secretaris van de ICCIO / ICBR.
NB-2 Het gebruik van het BSN zoals genoemd in het document, is achterhaald en het RIN (Rijksoverheidsmedewerker Identificerend Nummer) vervangt het BSN.