Digital signatur

1. Digital signatur v/ Flemming Faber Souschef, IT-Sikkerhedskontoret

2. Grundbegreber • Offentlige Certifikater til Elektronisk Service • OCES - Den fælles offentlige standard • Certificeringscenter (CA) • Enhed, der udsteder certifikater – kaldes nøglecenter i loven • Certifikatpolitik (CP) • Definerer krav til CA mht. ansvar, sikkerhed og indhold i certifikat m.v. • Digital signatur • Elektronisk underskrift, dvs. mulighed for entydigt at identificere afsender og sikre, at meddelelsen ikke er ændret undervejs • Populærbetegnelse for hele infrastrukturen

3. OCES-Certifikater • Sikkerhedsniveau: • SW baseret digital signatur (med tvungen password) • Udstedelse uden personlig fremmøde • CA ansvar i forhold til • borgerne som i Loven om elektronisk signatur – dog med skærpet ansvar • private virksomheder og myndigheder giver mulighed for indgåelse af aftale • produktions- og tilsynskrav som i Loven om elektronisk signatur • kan anvendes til: • adgangskontrol • hemmeligholdelse • (uafviselig) digital signatur til e-mails, dokumenter og websider • og udstedes som: • personcertifikater – PID ~ CPR • Medarbejdercertifikater – CVR • Virksomhedscertifikater – CVR

4. OCES – Resultatet af udbuddet • En aftale mellem Videnskabsministeriet og TDC gældende i 4 år med option på 1 års forlængelse: • Koncernaftale dækkende alle offentlige myndigheder den danske stat, amter og kommuner (excl. statslige aktieselskaber og selvstændige offentlige virksomheder) • Rammeaftale med produktkatalog og leverancekontrakt som myndigheder kan benytte ved anskaffelse af komponenter til digital signatur • Vejledende priser på det private markedet

5. Koncernaftale • Udstedelse af personcertifikater til alle borgere • Installationssupport til alle borgere • Ubegrænset modtagelse af personcertifikater og medarbejdercertifikater • Baseret på modtager betaler for anvendelse Privat virk. Borger Offentlig myndig Privat virk. Borger

6. Udrulningsmål Periode Antal certifikater ------------------------------------- År 1 350.000 År 2 700.000 År 3 1.000.000 År 4 1.300.000 År 5 (option) 2.000.000

7. Infrastrukturen er på plads – og hvad nu ? • Myndighederne og virksomhederne kan nu gå i gang med: • konvertering af PIN-koder • etablering af indholdstjener • etablering af sikker e-mail • Rådgivning og vejledning i IT- og Telestyrelsen

8. Vejledninger • Infrastrukturen til digital signatur • OCES - en fælles offentlig cerifikat-standard • Digital signatur - forudsætninger og fordele • Sikker brug af digital signatur • Juridiske aspekter ved at bruge digital signatur • Sikker e-post: Kom godt igang • FAQ • Spørgsmål fra offentlige myndigheder og tilhørende svar offentliggøres på digsig.dk • Teoretiske, praktiske og juridiske spørgsmål

9. Det konkrete projekt • Økonomi – fordele og ulemper • Vurdering af behov i forhold til økonomi • Valg af samarbejdspartner • Kan myndigheden selv eller? • Valg af løsning • Medarbejdercertifikater vs. virksomhedscertifikat • Produktbegrænsninger • Implementering • Pilot • Brugertest

10. Organisatoriske og juridiske forhold • Analyse af den nuværende arbejdsgange • Identifikation af sagsgange og organisatoriske procedurer, der skal laves om • Hvem skal der udveksles oplysninger med internt? • Afklaring af underskriftsforholdene for tjenesten i kommunen • Regler for ændringer af underskriftsforhold, prokura etc.

11. e-post og digital signatur • Hvor stort er behovet for at kunne behandle e-post henvendelser? • Hvilke formater og metoder kan kræves i kommunikationen til/fra borgere/virksomheder? • Er der behov for at kunne håndtere en blanding af e-post og e-formularer? • Skal e-post henvendelser henvises til e-formular? • Skal modtagne dokumenter, der forsynet med sig-natur, re-signeres (”journal-signatur”)? • Hvordan kontrolleres borgerens identitet ved e-post?

12. Integration til sikkerhedspolitik • Opdatering af politikker, procedurer etc. • Krav til tilgængelighed • Nødplaner • Regler for virusscanning af krypterede meddelelser • Backup af krypteringsnøgler

13. Signatur-instruks • Regler for anskaffelse, fornyelse og tilbagetrækning • Digital signatur-instruks • Hvem må hvad og hvordan? • Hvad er signeringsproceduren for de forskellige typer certifikater?

14. Fælles postkasse E-mail komponent Fælles postkasse Intern postkasse Bruger GateWay Mailserver Medarb.

15. Medarbejder certifikat Bruger Mailserver

16. Medarbejdercertifikat til signering, virksomhedscertifikat til kryptering To: Medarbejder CC: Gateway Gateway Medarb. Bruger To: Bruger CC: Gateway Mailserver

17. Webbaseret sikker e-post Fælles postkasse Webformular Bruger Link Medarb. www

18. OCES - brugsperiode • Et OCES-certifikat er gyldigt i højest to år, hvorefter det kan fornyes. • Et OCES-certifikat må fornyes for to år ad gangen men kan kun fornyes en gang. • Nyudstedelse er derfor nødvendigt senest fire år efter første udstedelse af OCES-certifikatet. • Nøgleparret kan maksimalt anvendes fire år. Herefter kan nye nøgler genereres og nyt certifikat udstedes.

19. OCES og ESDH • Skal certifikatet kunne gemmes i systemet? Hvorfor? • Central kontrol • Sørg for et pålideligt revisionsspor • Gem kontrollen i systemet • Journalsignatur?