Fire dager før julaften i fjor inviterte Direktoratet for forvaltning og IKT (Difi) en rekke aktører om å komme med innspill til hvilke krav som skal stilles for en digital postkasse til innbyggerne. Regjeringen, med IT-statsråd Rigmor Aasrud i spissen, har bestemt at kommersielle aktører, som Postens Digipost og den danske postens e-Boks, skal konkurrere om dette markedet.
Potensielt kan det være meget lukrativt for eksempelvis Posten å tilby en tjeneste som skal sende informasjon fra staten til innbyggerne. Begge de to etablerte aktørene for sikre e-postbokser har lobbet intenst i korridorene for å få denne statusen.
Advarer
Men nå advarer Nasjonal Sikkerhetsmyndighet (NSM) mot at det innføres et meldingssystem som ikke tar sikkerheten nok på alvor.
– Innledningsvis vil NSM poengtere at det i «Hensikt med postboksen» er presisert at et overordnet mål er å kunne ha tillit til løsningen. Etter NSMs oppfatning er hverken de overordnede eller funksjonelle kravene til informasjonssikkerhet konkrete nok til å etablere en slik tillit, og det er derfor uheldig at Difi fokuserer ensidig på de funksjonelle krav til løsningen, skriver Kjetil Nilsen som er sjef i NSM i høringsbrevet.
I brevet pekes det også på at en slik meldingstjeneste kan medføre at hele løsninger blir sett på som samfunnskritisk fremfor virksomhetskritisk. Det har svært mye å si for hvilke sikkerhetsregimer man må legge til grunn. Konklusjonen deres er enten å innføre et nasjonalt eID-kort med krypteringsnøkler for ende-til-ende-sikring eller at all kommunikasjon går gjennom Altinn.
Sensitiv
Når offentlig sektor skal sende informasjon til innbyggerne, kommer man ikke unna at en del av korrespondansen er svært sensitiv og «skjermingsverdig» som NSM betegner det.
– Slik løsningen er beskrevet vil meldingsformidler ha innsyn i alle dokumenter den formidler, selv om kommunikasjons- og lagringskryptering benyttes. For å unngå dette er det nødvendig å etablere ende-til-ende-beskyttelse av innholdet (mellom offentlige etater og landets borgere), skriver NSM i brevet til Difi og utdyper:
– For å få dette til må det samtidig tilbys krypteringsnøkler for hver statlig etat og hver borger. Dette vil i tillegg gi mulighet for å sikre kommunikasjon mellom brukere av ulike meldingsformidlere, mellom private organisasjoner og borgere, og mellom borgere.
Anbefaler eID-kort
Anbefalingen fra den nasjonale sikkerhetsmyndigheten er ganske klar: Staten må etablere en offentlig eID med krypteringsnøkler som kan brukes for ende-til-ende-sikring av dokumenter mellom det offentlige og landets borgere.
Planer og tanker om et nasjonalt eID-kort har vært diskutert helt siden 2000-tallet, og det er så tegn til at dette kan bli etablert med det første.
Dersom dette ikke blir etablert, skriver NSM, så anbefaler de at Altinn styrkes og sikres slik at denne tjenesten kan håndtere all kommunikasjon mellom stat og innbygger.
Konflikt
Fra før er det kjent at både kommunenes interesseorganisasjon KS og Skattedirektoratet har stilt seg negative til å bruke andre meldingsbokser enn de mulighetene som allerede finnes i Altinn.
Men argumentasjonen har da hovedsakelig gått på penger: En privat aktør som for eksempel Digipost, skal levere dette som en kommersiell tjeneste som staten må betale for per utsending. Regningen for dette er det mange i offentlig sektor stiller seg undrende til ettersom de har etablert Altinn med lignende funksjonalitet.
Les også:
- [18.08.2013] Advarer mot sikkerheten i digital postkasse
- [23.01.2013] Vil ikke ha Digipost
- [20.11.2012] Du skal selv få velge digital postkasse
- [04.09.2012] Advarer mot Difi-forslag
