En identitetsintygstjänst respektive en behörighetsintygstjänst kan beskrivas genom metadata. Metadata för id & behörighet är inte integrerade utan stämplade för sig, dvs. olika digitalt stämplade handlingar som därmed är digitala urkunder och åtnjuter straffrättsligt skydd mot förfalskningar och andra manipulationer.
Med ”gammal” standard
stämplas alla metadata för e-identifiering av en aktör
Digg granskar idag viss del av metadata (stämplas inte särskilt),
Metadata ger i princip tillgång till parts adress och nycklar.
Med "ny” standard (det som nu planeras för en behörighetsinfrastruktur)
stämplas visserligen alla metadata av en aktör (den Federationsområdesansvarige, här EHM),
i) så att det går att veta vad som är en parts (här vårdaktörs) metadata, men
b) delmängder av metadata kan nu förses med särskild stämpel,
i) så att ett visst intygande kan ske av något i metadata, och
ii) denna stämplade uppgift därmed verifieras automatiserat,
iii) efter att ha intygats vid straffansvar av den som stämplat (aktören själv eller en granskare).
4. Detta skapar oändliga möjligheter att informera via metadata. Endast fantasin sätter gränserna. Det man då glömmer är att juridiken och den tekniska verkligheten kräver gränser.
a) Medan det tidigare i princip bara var fråga om adress- och nyckelinformation,
b) kan metadata nu byggas ut, vad avser innehåll och ändamål, för att upplysa på ett säkert sätt om aktörens
i) förmåga att uppfylla krav på informationssäkerhet
a) vid själva behörighetskontrollerna,
b) i den tjänst som får användas när behörighet visats,
c) vid direktåtkomst (om tjänsten utformats för sådan).
ii) uppfyllelse av andra villkor
a) vid själva behörighetskontrollerna,
b) när en tjänst används efter att behörighet visats
a. t.ex. ändamål för nyttjande eller att vara omfattad av en sekretessbrytande regel
c) vid direktåtkomst till den digitala tjänst som nyttjas, efter en behörighetskontroll (i de fall tjänsten används med gammalt teknik, dvs. direktåtkomst).
iii) ingångna (tilläggs)avtal(spaket) med den aktör som tillhandahåller den digitala tjänst som brukas efter en juridisk behörighetskontroll.
Juristers och verksamhetsansvarigas roll är bl.a att sätta gränser och fördela ansvar efter att ha tydliggjort inom vilka gränser något ska användas och vem som ska ansvara för vad.
Endast metadata av betydelse för behörighetskontroll? Min tanke är att det verkar gå att fördela ansvar korrekt och att uppfatta det som en naturlig del av en behörighetsinfrastruktur om nya stämplade intyg införs, som innehåller uppgifter/data som utgör en delmängd av den metadatasträng som en federationsområdesansvarig har stämplat, och utgör uppgifter som behövs för en juridisk behörighetskontroll, dvs. för att kunna genomföra tillräckliga kontroller av en medarbetares eller en digital aktörs juridiska behörighet. Även beskrivande metadata bör således få införas enligt standard i den mån det krävs för kontrollen av den juridiska behörigheten.
Användning av metadata för att på annat sätt stödja handläggningen av ett ärende i den digitala tjänsten än att förenkla och automatisera kontroll av juridisk behörighet hör inte primärt till en behörighetsinfrastruktur.
a) Det är något annat om vi, generellt för hela behörighetsinfrastruklturen, ska utforma stöd via metadata för att
i) producera och förmedla bevis exempelvis för att
- förlitande part bara använder mottagna uppgifter för visst ändamål,
- omfattas av en sekretessbrytande regel, eller
- uppfyller tillräckliga säkerhetskrav för att kunna erbjudas direktåtkomst till en viss digital tjänst hos en vårdgivare.
ii) ingå tilläggsavtal rörande digitala tjänster,
b) Det kan uppkomma nya partsförhållanden vid en sådan vidgad användning och det kan bli komplicerat att utforma en reglering för en så omfattande hantering.
Vid vårt möte den 8 oktober beskrevs följande två exempel översiktligt.
En läkare hos vårdgivare A vill ha åtkomst till en journalhandling hos vårdgivare B och läkaren finner att de juridiska förutsättningarna är uppfyllda för att få ta del av handlingen. Det är då tillräckligt för vårdgivare B att kontrollera från vilken vårdgivare (vilket system) anropet kommer och att ett tillitmärke utfärdats för vårdgivaren. Informationsutbytet bygger därmed på att vårdgivare B litar på vårdgivare A:s hantering av behörigheter för åtkomst till A:s vårdsystem; alltså organisationstillit. Jag uppfattade beskrivningen så att en behörighetsinfrastruktur därmed bara behöver erbjuda
En läkare hos vårdgivare A vill ha åtkomst till den nationella läkemeddelslistan beträffande en patient. Läkaren finner att de juridiska förutsättningarna uppfyllda för att få ta del av listan. EHM, som tillhandahåller listan för behöriga aktörer, behöver då utöver att kunna kontrollera från vilken vårdgivare (vilket system) anropet kommer och uppgifter i intyg om läkarens identitet och yrkesroll samt sjukvårdsinrättning där denne är verksam. Om ett tillitsmärke levereras med stöd av behörighetsinfrastrukturen fattar EHM automatiserat beslut om behörighet att få direktåtkomst, utan kontroll av uppgifterna i intyget.
Den planerade behörighetsinfrastrukturen behövs därmed för att ett behörighetsintyg och ett tillitsmärke ska kunna levereras, en hantering som sker utanför behörighetsinfrastrukturen (Henric, är det rätt och vad fattas?) – Frågan är om detta blir rättsenligt och om beskrivningen blivit korrekt.
2. en digital aktör som utför en uppgift för en huvudmans räkning, i juridisk mening, är behörig att agera på det sätt som sker.
När ett ärende ska handläggas (väcks) vid en myndighet (domstol eller förvaltningsmyndighet)