Sådan kan staten beskytte din identitet på nettet

It-sikkerhed er i dag i høj grad baseret på fortidens dyder, hvor man sad bag en solid firewall og koncentrerede sig om at beskytte denne perimeter.

Men i dag bliver de centrale it-systemer integreret med smartphones og data bliver sendt rundt til andre systemer eller drives måske i skyen. Derfor er der brug for nye måder at se it-sikkerhed og privacy-beskyttelse på, lyder det fra IT- og Telestyrelsen.

»Trusselsbilledet ændrer sig, så der er behov for, at vi videreudvikler de eksisterende sikkerhedsstrukturer med teknologier, der kan sikre de elementer, der ligger uden for perimeteren, når den bliver åbnet,« forklarer Morten Jørsum, fuldmægtig i IT- og Telestyrelsen, til Version2.

Styrelsen kommer ikke med fikse og færdige løsninger, men vil skubbe gang i debatten med et oplæg, som udkommer i dag torsdag.

»Vi vil gerne have en åben diskussion af, hvordan man skaber en arkitektur, som imødekommer behovene,« siger Morten Jørsum.

Data i skyen skal være uforståelige Et oplagt område for diskussionen kunne være sundhedssektoren, hvor man arbejder på at dele så mange oplysninger som muligt mellem hospitaler, praktiserende læger, apoteker og mange andre parter. De stærkt personlige oplysninger er i dag bundet op til en person via CPR-nummer, men den model betyder, at alle datastrømme skal beskyttes uhyre godt.

Hvis man i stedet kunne sende data, som ikke i sig selv afslørede noget, var mange problemer løst. Så kunne alle i teorien læse med, uden at det gav problemer.

»En løsning er at gøre alle rådata meningsløse. Først når de åbnes med en lokal nøgle, giver de mening. På den måde kan man i princippet bruge cloud computing uden problemer,« siger Morten Jørsum.

Andre diskussioner går på borgernes muligheder for at identificere sig. I dag bliver NemID rullet ud som nøglen, der skal åbne alle døre til det offentlige. Men med NemID kan man kun identificere sig helt og fuldt, og ikke delvist.

Kunne man i stedet videreudvikle NemID hen imod andre løsninger, som giver borgeren kontrol over de informationer, man afgiver, åbner det også for helt nye måder at bruge digital selvbetjening.

For eksempel kunne man klare en evaluering af en underviser ved, at de studerende identificerer sig over for universitets centrale it-system, og her fik tildelt unikke 'billetter', der sikrer dem anonymitet. Samtidigt sikrer billetten, at kun dem, der har fulgt det kursus, kan medvirke, og kun én gang.

»Så kan evalueringen ske anonymt, med sikkerhed for, at det kun er dem med de rigtige rettigheder, der deltager,« forklarer Morten Jørsum.

Dommer passer på nøglerne I mere kritiske sammenhænge kunne myndighederne sørge for en bagdør, der gav mulighed for at spore folk.

»Det kunne ske ved at deponere nøglen hos en dommer, som så kun udleverede den mod en retskendelse,« siger han.

Også en lang række kommercielle websider kunne have gavn af et mere fintmasket system. For eksempel en dating-tjeneste, hvor brugerne kunne bevise, at de var over 18 år, men ellers ikke afleverede yderligere personlige oplysninger.

Skal man indføre disse nye teknologier i stor skala, for eksempel i hele sundhedsvæsenet, kræver det, at rigtig mange it-systemer skal laves helt om. Derfor er det ikke realistisk, at tankerne i oplægget bliver til virkelighed lige med det samme.

»Det er en meget stor opgave at ændre den nuværende sikkerhedsstruktur. Ideen er heller ikke at ændre den nuværende sikkerhedsstruktur, men at bygge oven på, der hvor det giver mening. Vi har stadigvæk brug for en stærk autentifikation, som for eksempel NemID giver,« siger Morten Jørsum.

Diskussionsoplægget på 38 sider er skrevet på baggrund af to workshopper om emnet, som IT- og Telestyrelsen holdt i efteråret 2010.