Statens NemID-chef: NemID er sikker nok hos Nets

Som mainframe-medarbejder hos IBM indtil 2012 kunne tys-tys-kilden, der solgte fortrolige data til Se og Hør, også kigge i en administrativ database over NemID-brugere. Men systemerne til kreditkort og til NemID er to helt forskellige ting, og NemID er stadig et meget sikkert system.

Sådan lyder det fra Lars Frelle-Petersen, direktør for Digitaliseringsstyrelsen, oven på afsløringen af, at IBM-medarbejderen også havde adgang til NemID-databasen, ifølge en redegørelse fra Nets. Redegørelsen var bestilt af Digitaliseringsstyrelsen, som sammen med bankerne betaler Nets for at drive NemID-systemet.

Beskyttelsen mod, at medarbejdere hos Nets eller IBM misbruger NemID-systemet, består grundlæggende i, at adgangen er beskyttet af det password, som NemID-brugerne selv vælger. Den såkaldte tys-tys-kilde kunne derfor kun se lister over brugerne inklusive CPR-numre og loggede kun ind i NemID-databasen én gang, fremgår det af redegørelsen.

Er I tilfredse med redegørelsen fra Nets, hvor Nets har undersøgt sig selv, eller skal der også være en ekstern undersøgelse af sikkerheden hos Nets?

»Vi undersøger løbende Nets med ekstern hjælp, med eksterne revisorer. De har også selv tilknyttet eksterne revisorer i denne her proces. Vi har selv lige modtaget redegørelsen, og det er klart, at sagen gør, at vi vil i nærmere dialog med Nets, som det også fremgår (af pressemeddelelsen om redegørelsen, red.). Det kan også føre til, at vi vurderer, at der er behov for at gå i dybden med nogle områder. Det har vi ikke taget endelig stilling til endnu,« siger Lars Frelle-Petersen til Version2.

»Der er procedurer, der er blevet fulgt, og praksis omkring det, som har været i orden, som har fulgt de aftaler og kontrakter, vi har med Nets. Dem får vi også efterset på forskellige måder gennem de revisionstilsyn, vi har af DanID. Om det skal give anledning til en ekstraordinær gennemgang, vil vi lige vurdere nærmere.«

Har de seneste ugers afsløringer ført til overvejelser om, hvorvidt man stadig skal have et system som NemID liggende hos Nets?

»Nu er diskussionen jo blevet meget bred og omfattende og handler også om mange andre emner. Sagen er jo ganske alvorlig. En medarbejder har tilsyneladende forbrudt sig mod reglerne, og den anden del er, at han ikke er blevet opdaget i de procedurer, der er. Jeg kender ikke meget til kreditkortdelen, men jeg kender til NemID, og det er to meget forskellige områder, som er skruet meget forskelligt sammen. Nu bliver det lidt set som et samlet hele, og det er det ikke.«

»Du kan ikke som medarbejder hos Nets tilgå informationer i NemID, som gør, at du kan manipulere med eller bruge folks NemID. NemID samles først hos borgeren, og det er i anvendelsen, at du kan bruge den til det, du vil. Det kan du ikke centralt fra.«

»Så det er to forskellige ting – men derfor skal man selvfølgelig bruge denne skandale til at tjekke mange andre områder op. Der er også dukket andre historier op, hvor man måske ikke har fulgt de procedurer, der har været. Derfor har vi også fundet anledning til at få det undersøgt nærmere, fordi det er en sag, der foregår hos Nets, og fordi vi gerne vil have, at man fortsat kan være tryg ved at bruge NemID.«

Konceptet i NemID er, at alle private nøgler er samlet ét sted, så man bliver i sidste ende nødt til at stole på Nets. Har hele dette kompleks af sager gjort, at I har tænkt, at det måske var bedre fremover med en løsning, hvor det hele ikke er samlet hos én aktør?

»Vi gør os rigtig mange overvejelser i denne her periode. Vi er jo også på vej ud i nyt udbud omkring en digital signaturløsning. Der er fordele og ulemper ved alle konstruktioner, og der er i øvrigt med NemID både mulighed for det ene og det andet (man kan få sin private NemID-nøgle til offentlige websider på hardware, mod betaling, red.).«

Seminar: Sådan tiltrækker du it-talenter til industrien

»Den ene model er en central løsning, og da vi valgte den, gjorde vi os mange overvejelser, fordi vi havde haft en decentral løsning før, som viste sig at have meget store support-udfordringer og gav mange borgere vanskeligheder ved at anvende løsningen. Den anden del var et stort ønske om, at den skulle være så mobil som muligt, og der skal man lige huske, at vi lavede aftalen i 2007. Der var et stort ønske om, at borgeren kunne bruge løsningen fra forskellige computere uden at skulle kopiere en nøgle eller gøre andre krævende ting. Så vi har fået en høj brugervenlighed og meget høj udbredelse, fordi NemID er så nem at anvende.«

»Så kan man rejse spørgsmålet, om der er forøget risiko ved at placere det hele centralt. Som det fremgår af redegørelsen, så er det hele skruet sammen på en måde, som er så sikker, som de internationale standarder på området kræver, at det skal være. Det har jo vist sig at være et meget sikkert system, og det er det fortsat.«

Så I vil ikke have noget problem ved at have en central løsning igen, når I skal vælge en afløser for NemID?

»Det vil jeg hverken sige ja eller nej til, for det er vi ikke færdige med analyser af. Der er fordele ved en centralisering i form af brugervenlighed og fleksibilitet, og at man skal installere så lidt software som muligt på borgerens pc, eller at borgeren selv skal have en token. Der er stadig et meget stort ønske fra danskerne om, at det skal være så nemt at bruge som muligt, og det er et meget væsentligt hensyn.«

»Så er der samtidig et hensyn, som betyder rigtig meget, nemlig at det skal være så sikkert som muligt. Og der skal vi overveje forskellige løsninger. Ligesom man også har muligheden for at få sin nøgle på et medie med NemID. Så der findes forskellige udgaver af den eksisterende løsning, og det er også noget af det, vi skal se på, om der fortsat skal være,« siger Lars Frelle-Petersen.