Publikationen udleveres gratis. Publikationen kan hentes på IT- & Telestyrelsens Hjemmeside: Udgivet af: IT- & Telestyrelsen

Størrelse: px
Starte visningen fra side:

Download "Publikationen udleveres gratis. Publikationen kan hentes på IT- & Telestyrelsens Hjemmeside: http://www.itst.dk. Udgivet af: IT- & Telestyrelsen"

Transkript

1

2 Publikationen udleveres gratis Udgivet af: IT- & Telestyrelsen IT- & Telestyrelsen Holsteinsgade København Ø Publikationen kan hentes på IT- & Telestyrelsens Hjemmeside: ISBN (internet): Telefon: Fax:

3 Nye digitale sikkerhedsmodeller - et oplæg til diskussion IT- & Telestyrelsen januar 2011

4 Indhold > 1. Indledning 5 2. Baggrund det sociale internet 7 3. Målsætninger for en ny sikkerhedstænkning 9 4. Privacy-by-Design Security By Design Beskrivelse af sikkerhedsmodellen Traditionel (fødereret) sikkerhedsmodel Traditionelle akkreditiver Fra identifikation til identitet Kontekstafhængige akkreditiver Virtuelle identiteter og transaktionsisolering Data i skyen Workshop Cases Workshop case A: Indberetning af indkomst for sæddonorer Workshop case B: Elektronisk ansøgning om job som pædagog Andre eksempler 28 Case: Feedback til lærer på kursus 28 Case: Elektroniske auktioner / licitationer 28 Case: Adgang til videnskabelige artikler 28 Case: Et dating tjeneste Relation til eksisterende fællesoffentlig brugerstyring Interaktion med brugerne Perspektiver i forhold til interoperabilitet og innovation på længere sigt Opsummering / Diskussion Opsummering Fremtidsmusik eller eksisterende teknologi? Diskussion Spørgsmål på digitaliser.dk Terminologi Referencer 38

5 1. Indledning > Med den omfattende digitalisering af den offentlige såvel som den private sektor vokser udfordringen med at tilvejebringe sikkerhed og privatlivsbeskyttelse i itløsninger. Den traditionelle sikkerhedsopfattelse, hvor det gælder om at bygge så høje mure som muligt omkring sine systemer, er ikke længere tidssvarende. Der er behov for at tænke sikkerhed og privatlivsbeskyttelse ind fra starten af løsningsdesignet (at forebygge) frem for at betragte sikkerhed som noget, der tilføjes (at helbrede) efter selve forretningsløsningen er udviklet. Den traditionelle sikkerhedsopfattelse udfordres bl.a. af cloud computing, hvor data ikke befinder sig på organisationens egen lokation eller i maskinstuen hos en klassisk driftsleverandør, og hvor fysisk kontrol over data ikke længere er nok til at sikre mod misbrug. Offentlige myndigheder kan ved brug af cloud computing opnå markante fordele i form af fleksibilitet og besparelser på it-driften. Men inden disse fordele kan opnås, er der behov for at adressere en række spørgsmål omkring behandling af følsomme data i cloudbaserede løsninger. Eksempelvis er det på flere områder uklart, hvorledes eksisterende love og regler om persondatabeskyttelse skal fortolkes og anvendes i regi af cloud løsninger, idet der dels ikke findes præcedens på området, og dels fordi lovene er formuleret, før cloud computing fandtes og derfor ikke tager højde for de specielle forhold, der gør sig gældende her. Tanken om at vi altid kan lokalisere data til et bestemt serverrum i kælderen udfordres, når data flyttes rundt i store servercentraler i hele verden, samt når data og applikationer deles med mange andre virksomheder ved brug af virtualisering (såkaldt multi tenancy). Der er behov for sikkerhedsmodeller, der i bedre grad end med de traditionelle modeller kan sikre, at data ikke bliver misbrugt. Der er således nødvendigt at supplere og videreudvikle de eksisterende sikkerhedsmodeller med nye, der i højere grad kan imødekomme de udfordringer vi står overfor i dag både i forhold de løsningstyper vi kender i dag - men også for at åbne for nye typer af løsninger. Dette diskussionspapir giver et første bud på, hvordan vi kan skabe en sådan videreudvikling. Målgruppe Papiret henvender sig til alle, der er interesseret i digitalt sikkerhedsdesign, men er særligt rettet mod beslutningstagere og it-ansvarlige i det private erhvervsliv og i offentlige myndigheder. Om diskussionspapiret Diskussionspapiret er inspireret af to workshops som IT- og Telestyrelsen afholdte i efteråret 2010 med en række interesserede parter. Workshops blev faciliteret af virksomheden Priway, som præsenterede en række visioner og koncepter (herunder Security By Design) samt formulerede de cases, som deltagerne skulle arbejde med. Se evt. [PRIW]. 5

6 På de to workshops blev det drøftet, hvordan der kan udformes digitale sikkerhedsmodeller, der modsvarer tidens behov. Diskussionerne bragte en række spændende tanker på bordet og danner udgangspunktet for denne publikation. Papiret lægger ud med at skitsere baggrunden for, at der er behov for nye sikkerhedsmodeller. Derefter bliver et bud på en ny sikkerhedsmodel beskrevet i de følgende afsnit. Beskrivelsen rundes af med en skitsering af perspektiver og en diskussion af udfordringer. Sidst i papiret bliver den centrale terminologi defineret. 6

7 2. Baggrund det sociale internet > Gennem de seneste ti år har internettet udviklet sig fra at være en informationsbeholder til at være en interaktiv platform, der bliver meget mere værdifuld, når brugerne deler, skaber og kommunikerer med hinanden. Det er i mange sammenhænge brugernes interaktion, der skaber værdien på nettet. Wikipedia, YouTube og Facebook er eksempler på sociale internettjenester, som ville være værdiløse, hvis ikke brugerne skrev artikler, lagde videoer op, debatterede synspunkter eller skrev personlige anekdoter. Udvikling fra et statisk internet mod et mere dynamisk net af sociale tjenester kaldes web 2.0. Denne betegnelse er et udtryk for, at internettet er blevet en katalysator for en dele- og deltagelseskultur, som på nogen områder har overhalet den virkelighed, der findes i traditionelle digitale service- og sikkerhedsløsninger. Fremkomsten af det sociale internet har betydet, at der nu er skærpede forventninger til digitale services generelt. Hvilke krav stiller eksempelvis de digitale indfødte til offentlige digitale tjenester, når de er vant til at begå sig på Facebook, Youtube, Twitter og Flickr? De digitale indfødte En digital indfødt (eller digital native, som det kaldes på engelsk) er en person, der er født efter at digitale teknologier er blevet udbredt og som derfor har en høj grad af fortrolighed med digitale apparater og tjenester. De digitale indfødte er vokset op med mobiltelefoner, computere og internettet, men for dem er teknologien bare noget, der skal virke. Teknologien er for dem mest interessant som et socialt værktøj. Det brugergenerede og sociale internet er sammen med de digitale indfødte ved at omforme den måde, som mennesker kommunikerer med hinanden på. Samtidig sætter det helt nye forventninger til de digitale løsninger, vi møder i form af brugervenlighed, enkelhed og interaktion mellem flere systemer. Jo mere interaktion og samarbejde på tværs af systemer, jo flere udfordringer kommer der i traditionelle sikkerhedsmodeller baseret på forestillingen om, at sikkerhed opnås ved at indhegne systemer bag høje mure. Derfor må vi udvikle sikkerhedsmodeller, der kan tage højde for eksempelvis interaktionen mellem flere systemer. Med udgangspunkt i de digitale indfødte, kan man stille sig det spørgsmål, om eksempelvis den første generation af ESDH-systemer i den offentlige forvaltning lever op til den brug af digitale tjenester, som en person født efter 1990 ellers praktiserer? En anden konsekvens af, at internettet er blevet socialt er, at der kommer flere og flere data om brugerne. Det spænder lige fra statusopdateringer på Facebook, over Googlesøgninger, til hvor og hvornår vi sidst loggede ind på borger.dk. Vi sætter elektroniske fingeraftryk overalt, hvor vi færdes på nettet, og ofte er vi slet ikke klar over, at det sker. Endelig er vi endnu mindre klar over, hvem der bruger oplysningerne og til hvad. Der ligger derfor en meget stor udfordring i at sikre brugernes privatlivsbeskyttelse i den digitale verden. 7

8 Virksomhederne står overfor en række udfordringer, når de vil udnytte Web 2.0 og cloud computing. De nuværende sikkerhedsmodeller er ikke altid gode nok til at håndtere disse udfordringer. Faktum er, at en virksomhed ikke længere alene kan beskytte sine systemer ved at bygge høje mure. Perimeteren kan således blive åbnet, fordi medarbejderne bevæger sig ud af virksomhedens interne systemer. Eksempelvis er det ikke alle virksomheder, der har en sikkerhedspolitik for smartphones. Når medarbejderne begynder at tjekke og sende mails via deres smartphones skaber det et hul i virksomhedens perimeter. Det samme er tilfældet, når medarbejderne begynder at udveksle dokumenter i Google Docs frem for at benytte virksomhedens egne systemer, eller hvis medarbejderne begynder at bruge diverse sociale tjenester i kombination med virksomhedens egne systemer. Derfor kan er det ikke længere nok kun at basere sig på en stærk perimeter for at skabe et tilpas sikkerhedsniveau. For at imødekomme udviklingen er der behov for at supplere de eksisterende sikkerhedsmodeller med nye. Dette diskussionspapir vil ikke give sig i kast med at løse alle de problemstillinger, som præsenteres i ovenstående. De nye sikkerhedsmodeller, som skitseres i de næste kapitler, kommer kun med nogle af løsningerne. Eksempelvis er privatliv i forhold til kommunikationskanaler ikke behandlet, så det kan være muligt at profilere brugere på baggrund af deres IP-adresser, hvis man ikke anvender mekanismer, der modvirker dette. Formålet med papiret er således ikke at komme med komplette, produktionsklare løsninger men i stedet at vise læserne, at tingene kan gøres på nye måder via nogle illustrative eksempler. Ved implementering i fuld skala er der naturligvis en række yderligere aspekter, som skal håndteres eksempelvis brugervenlighed, revokering, genudstedelse etc. Hvordan sikres kontrol over data? Der er to overordnede tilgange til at sikre data, som befinder sig i cloud (udenfor den enkelte virksomhed eller myndigheds direkte fysiske kontrol): Assurance-based sikkerhed hvor man via kontrakten med cloudleverandøren og ved uafhængig revision kan sikre sig, at leverandøren overholder passende organisatoriske og tekniske sikkerhedsforanstaltninger. Forebyggende-sikkerhed i form af Security by Design hvor sikkerheden bygges ind i systemet fra start af, og hvor man i langt mindre grad er afhængig af driftsleverandørens egen sikkerhed (herunder cloud leverandøren). Dette diskussionspapir handler kun om forebyggende sikkerhed i form af Security by Design. IT og Telestyrelsen arbejder også på at fremme Assurance-based sikkerhed, men det vil ikke blive behandlet yderligere i dette papir. 8

9 3. Målsætninger for en ny sikkerhedstænkning > Herunder beskrives de principper og egenskaber, der har været anvendt som krav i forbindelse med et nyt sikkerhedsparadigme. Disse krav stilles ud fra ønsket om en balanceret sikkerhed med stærk privatlivsbeskyttelse samt muligheden for at rykke data ud i skyen. Nedenstående punkter udgør med andre ord målsætningerne for den sikkerhedsmodel, der beskrives i de følgende afsnit: 1. Der skal være sikkerhed for alle parter løsningsejere såvel som brugere. 2. Brugerne skal have mulighed for fuld kontrol over, hvilke data der afgives til hvilke løsninger, og kontrol over om deres data i forskellige løsninger kan kobles sammen. 3. Informationer, der gemmes om brugere, må ikke kunne henføres direkte til deres fysiske identitet, med mindre dette er strengt nødvendigt og forhandlet. Der bør således anvendes virtuelle identiteter / pseudonymer frem for identificerende nøgler som eksempelvis CPR numre. 4. Brugernes data skal ikke kunne kobles sammen, selv hvis flere eksterne parter arbejder sammen om at udlede flere informationer, end brugeren eksplicit har godkendt. 5. Serviceudbyderne skal have sikkerhed for, at de kun modtager ægte brugerinformation, og at informationen vedrører den bruger, som sender dem. 6. I de situationer, hvor der er behov for det, skal man kunne etablere mekanismer, der sikrer brugernes ansvarlighed. Et eksempel på dette er såkaldte ansvarlighedsbeviser, som sikrer, at det bliver muligt at identificere en bruger, der ikke følger spillereglerne ved f.eks. at begå kriminalitet. Ansvarlighedsmekanismerne må ikke lede til kompromittering af sikkerheden for alle de transaktioner, hvor der ikke er foregået noget ureglementeret. 7. En sikkerhedsmodel bør så vidt muligt indrettes, så konsekvenserne af sikkerhedsbrud i ét system eller for én bruger er begrænsede til den lokale kontekst og ikke skalerer til alle systemer eller alle brugere. Dette er særligt vigtigt i forbindelse med cloud løsninger. 8. Generelt skal transaktioner isoleres og det skal sikres, at kontrollerne ikke bare ligger uden for cloud, men klient-side hos brugeren. 9. Man bør designe efter at mange forskellige interessenter kan have forskellig merviden om en transaktion (fine grained) og bruge forskellige teknologier (semantisk interoperabilitet) samtidig med at kontrollen bør følge brugeren. 9

10 4. Privacy-by-Design > Ovennævnte målsætninger og principper for sikkerhedsmodellen er i overensstemmelse med konceptet Privacy-by-Design (PbD) 1, som bl.a. er beskrevet af den Canadiske privacy ombudsmand Ann Cavoukian i 1990 erne. Grundlæggende går dette ud på, at forretningsprocesser, it-systemer og infrastruktur fra starten skal designes, så de forebygger brud på borgenes privatliv altså en proaktiv frem for reaktiv tilgang. Det opleves ofte, at privacy indføres som en lappeløsning af procedurer og kontroller, der forsøges påklistret et allerede etableret system, hvor det ikke fra starten har været en designparameter. Privacy skal opnås uden at brugerne gør noget eksplicit for det. Det skal ske ved, at principperne indbygges i systemerne fra starten altså før de første informationer indsamles. Privacy-by-Design er bruger-centrisk i den forstand, at brugerne er i kontrol over deres data. Privacy ses ikke som en modsætning til sikkerhed (for løsningsejeren). Tværtimod er det en væsentlig pointe, at de to egenskaber kan opnås på samme tid. Sagt på en anden måde skal der være sikkerhed for alle parter dvs. flere parters hensyn skal balanceres mod hinanden. I de følgende kapitler præsenteres en sikkerhedsmodel baseret på kontekstafhængige akkreditiver, transaktionsisolering og formålsspecifikke nøgler, der teknologisk kan understøtte Privacy-by-Design i designet af it-systemer. Arkitekturen gør det eksempelvis muligt: At kun de nødvendige informationer om brugerne videregives. At videregivelsen sker under brugerens kontrol. At brugerne kan agere med en virtuel identitet overfor applikationer - herunder ikke blive identificeret med mindre det er strengt nødvendigt. Disse muligheder tvinger systemdesigneren til bevidst at overveje, hvilken information der frigives hvor, samt i hvor høj grad den skal kobles til brugerens fysiske identitet i modsætning til traditionelle sikkerhedsmodeller, hvor disse muligheder ikke er til rådighed, og hvor det derfor kan være vanskeligere at designe systemer, der lever op til Privacy-by-Design principperne

11 5. Security By Design > En af udfordringerne med Privacy-by-Design har været fokuseringen på risiko set fra en interessents synsvinkel, typisk brugerens. Derfor går dette diskussionspapir skridtet videre i form af et koncept, der kaldes Security-By-Design 2. Konceptet viser, hvordan man kan tage ansvar for hele transaktionen med flere interessenter involveret. Målet er ikke anonymitet, som kunne optimere privacy - eller overvågning, som ville gøre det stik modsatte. Målet er at blive operationelt i stand til at designe med sikkerhedsbalancer som passer til den konkrete forretningstransaktion, samtidig med at man designer så de digitale processer kan tilpasse sig de enkelte brugere behov og samtidig leve op til de hastigt stigende sikkerhedskrav med cloud, Internet of Things og den generelt tiltagende integration af it-systemer alt sammen forhold som kræver nytænkning af sikkerhedsforståelsen. Det centrale i en ny sikkerhedsforståelse er at gå bort fra identifikationsbaseret sikkerhed ved at eliminere identifikationen og gå direkte til de sikkerhedsaspekter, man ønsker valideret, uden at skabe sikkerhedsproblemer som følger af antagelsen om identifikation. Senere i diskussionspapiret vil vi vise, hvordan man logisk kan nedbryde identitet i forskellige logiske sikkerhedsaspekter, som hensigtsmæssigt afdækkes bedre uden at skabe sårbarhederne. F.eks. forudsætter sikkerhedsmålsætningen Ansvarlighed ikke at brugeren er identificeret overfor modparten. I stedet kan brugeren agere med en virtuel identitet og samtidig demonstrere et bevis på, at der er etableret en måde betinget under specifikke forudsætninger at identificere brugeren. En anden mekanisme kunne være når f.eks. en patient afgiver data til et cloud-system, hvor lægen men ikke cloudsystemet kan henføre data til en bestemt patient. I dette tilfælde er tillidsforholdet mellem patient og læge det samme, men begge parter er mindre sårbare overfor cloud-systemet. Tilsvarende kan cloud-services etableres uden de sårbarheder, som opsamling og brug af personhenførbare data medfører. Security-by-Design er således en videreudvikling og en operationalisering af Privacyby-Design, som med nyere kryptografiske mekanismer og bevidst systemdesign skaber nytteværdi samtidig med at sikkerhedsbrud af mange forskellige slags forbebygges. 2 Konceptet for Security-By-Design som det beskrives her er primært udviklet af Stephan J. Engberg. 11

12 6. Beskrivelse af sikkerhedsmodellen > I det følgende introduceres de grundlæggende elementer i en ny sikkerhedsmodel, som gør det muligt at realisere de ovennævnte mål. Først beskrives udfordringer med traditionelle akkreditiver i forhold til brugernes sikkerhed og privacy. Herefter beskrives principperne for kontekstafhængige akkreditiver og transaktionsisolering som en løsning på disse problemer, der samtidig opnår en høj sikkerhed for alle parter. Ved første øjekast kan de beskrevne egenskaber forekomme uopnåelige det kan eksempelvis virke paradoksalt, at sikkerhed for alle parter kan opnås på samme tid. Ikke desto mindre er de beskrevne egenskaber realisérbare ved brug af kendt teknologi baseret på avanceret kryptografi og denne teknologi er tilgængelig på markedet. Denne fremstilling går ikke i detaljer med de bagvedliggende kryptografiske og matematiske principper. Beskrivelsen er i stedet holdt på et overordnet, anvendelsesorienteret og teknologineutralt niveau med henblik på formidling til et bredere publikum. 6.1 Traditionel (fødereret) sikkerhedsmodel En sikkerhedsmodel, der ofte anvendes når brugerne tilgår flere forskellige tjenester, er den fødererede model. I denne skal en bruger præsentere digitale akkreditiver for at tilgå en given tjeneste, mens selve udstedelsen af akkreditiver sker uafhængigt af tjenesten. Når en bruger eksempelvis tilgår borger.dk, skal han logge ind via NemID 3, mens selve udstedelsen af NemID sker helt uafhængigt af borger.dk hos DanID. Ved et (digitalt) akkreditiv forstås en samling data relateret til en bruger, der udstedes af en ekstern part, og som en bruger kan præsentere (evt. dele af) med henblik på at få adgang til et it-system. I den fysiske verden svarer akkreditiver til en form for ihændehaverbevis, der gør indehaveren i stand til at disponere på en bestemt måde eksempelvis i form af en fuldmagt. Inden for sikkerhedsterminologien kaldes disse ofte for tokens, assertions eller slet og ret: billetter. Modellen opererer med følgende tre typer af aktører: En udsteder af akkreditiver eksempelvis en myndighed eller en applikation, der har data lagret om en bruger herunder såkaldte attributtjenester. Dette er en tredjepart, som andre stoler på i forhold til at attestere visse attributter om brugere eksempelvis kan CPR registret attestere en brugers alder eller køn, Sundhedsstyrelsen kan attestere at en bruger er autoriseret læge, og et seminarium kan attestere, at en bruger har bestået pædagogeksamen. I traditionelle modeller udgøres denne rolle af certifikatudstedere (PKI), Identity Providere (SAML) eller en Security Token Services (WS-*) som attesterer brugerens identitet, men i den nye sikkerhedsmodel vil rollen i højere grad blive spillet af applikationer eller såkaldte attributtjenester, der har data registreret om brugeren, men hvor akkreditivet ikke identificerer brugeren. 3 Borgeren anvender sit NemID til at logge på Single Sign-On løsningen NemLog-in, der så giver adgang til borger.dk 12

13 En serviceudbyder som udbyder en service / applikation til brugerne, og giver adgang til funktioner og data på baggrund af præsenterede akkreditiver. Dette kan eksempelvis være en digital selvbetjeningsløsning hos en offentlig myndighed så som borger.dk. Denne rolle betegnes ofte for relying party eller verifier på engelsk, idet der indgår validering af brugerens præsenterede akkreditiver. Brugeren som modtager akkreditiver fra udstederen og tilgår services hos serviceudbydere ved at præsentere akkreditiver. Denne rolle kaldes også for indehaver og på engelske prover på grund af rollen med at bevise akkreditiver. Modellen er illustreret på nedenstående figur: Figur 1: Grundprincip i modellen 6.2 Traditionelle akkreditiver Ovenstående principper for en fødereret model med brugere, udstedere af akkreditiver og tjenesteudbydere er meget udbredt. Som eksempler på traditionelle akkreditiver kan nævnes: Ved log-in med den digitale signatur agerer DanID som udsteder af et OCES certifikat, som er det akkreditiv, brugeren præsenterer for løsningen for at autentificere sig (sammen med bevis for kendskab til den tilhørende private nøgle). Et personcertifikat indeholder et såkaldt PID nummer (person ID nummer), der er direkte koblet til personens CPR nummer. Ved brug af den fællesoffentlige single sign-on løsning NemLog-in, udstedes en såkaldt SAML Assertion, som er det akkreditiv, brugeren præsenterer for løsningen for at autentificere sig. En SAML Assertion kan i OIOSAML profilen være (og er ofte) koblet til brugerens identitet via en CPR-nummerattribut, men kan også blot indeholde et persistent pseudonym. Traditionelle X.509 certifikater og SAML assertions har en række stærke sikkerhedsmæssige egenskaber, men rummer også en række potentielle udfordringer for brugeren: 13

14 Koblingen til brugerens fysiske identitet gør det umuligt for brugeren ikke at identificere sig overfor tjenesteudbydere. Certifikater indeholder entydige nøgler, der gør det muligt at sammenkoble brugerens færden på tværs af alle tjenester. Når et certifikat præsenteres, afsløres endvidere alle attributter uanset om modtageren har behov for at kende dem eller ej. SAML Assertions (eller rettere protokollerne) har den svaghed, at selv når de kun indeholder pseudonymer og kun anvendes én gang (transiente pseudonymer), da har udstederen kendskab til koblingen mellem brugerens identitet og hans pseudonymer, og han kan yderligere følge med i, hvilke tjenester brugeren tilgår, samt hvornår han gør det. Desuden er udstederen (eller kriminelle som kan stjæle hans signaturnøgle) i stand til at udstede Assertions uden brugerens medvirken og således impersonere brugeren overfor samtlige serviceudbydere. Sikkerhedsbrud kan påvirke mange interessenter på samme tid især brud hos identitetsudbydere kan skalere voldsomt. Når brugerne identificeres og data let kan sammenkobles uden brugerens medvirken, kan der opstå et pres for at anvende data på nye måder, som ikke oprindeligt var planlagt, og som brugerne ikke nødvendigvis er indforståede med. På den måde kan der ske et skred i forhold til den oprindelige anvendelse. Ovenstående udfordringer håndteres traditionelt ved at stille skrappe sikkerhedskrav til udvikling og drift af it-systemer indeholdende personfølsomme data, hvilket imødegår misbrug af tredjeparter (f.eks. hackerangreb). Disse høje krav kan påføre betydelige meromkostninger til udvikling, drift og forvaltning af systemerne samt hindre anvendelse af cloud computing. Endvidere er systemerne underlagt persondataloven, der ud over rent sikkerhedsmæssige krav også giver en række begrænsninger på tilladte anvendelser af data. 6.3 Fra identifikation til identitet Som beskrevet i indledningen er det hensigtsmæssigt at gå fra en simpel endimensionel forståelse af identitet (alt pakkes ind i en og samme digitale nøgle eller akkreditiv) til en fleksibel og nuanceret identitetsmodel, hvor de forskellige sikkerhedshensyn varetages med specifikke mekanismer. I den traditionelle en-dimensionelle identitets- og sikkerhedsforståelse tenderer man til at reducere identitet til identifikation (hvor godt er brugeren identificeret overfor systemet?). Baggrunden er, at man dermed antager at kunne slå identiteten op i mange andre systemer med henblik på at fastslå autorisationer, hente data og genkende med en og samme mekanisme. Det kan argumenteres, at denne fremgangsmåde rummer to centrale udfordinger: Sikkerhedsmodellen fastlåses i en uholdbar model, der akkumulerer sårbarheder (f.eks. skalerbare angreb og databeskyttelsesproblemer) It-systemerne fastlåses og spagettihardkodes på kryds og tværs, så de bliver stadigt mere ufleksible og dyrere at vedligeholde og opgradere. 14

15 Den traditionelle en-dimensionelle identitetsforståelse kan rumme faren for dyrere og dårligere løsninger, samtidig med at man på den anden side får dårligere sikkerhed. Det betyder endvidere, at den marginale værdi af investeringen i dem falder. I den nye sikkerheds- og identitetsforståelse bryder man identitet ned i de logiske adskilte komponenter som hver især kan gøres: Interoperable (sammenlignes og udskiftes f.eks. opgradere algoritimer). Konkrete (holdes semantisk op mod operationelt formulerede policies eller krav som derved bliver styrende som alternativ til plug-on security). Begrænsede (ikke-invasive og formålsspecifikke, så sikkerhed ikke bliver et valg mellem onder). Centrale logiske komponenter for en identitet er: Autentificering / genkendelse de mekanismer, som man bruger til at verificere, at en bruger er den samme som i en tidligere transaktion og som oftest anvender på forhånd aftalte mekanismer, som brugeren kontrollerer (ihændehaverbeviser, userid-password, nøgler etc.). Ansvarlig / Betinget Identifikation de mekanismer, som man optionelt kan bruge til at holde modparten ansvarlig i tilfælde af, at modparten ikke lever op til aftaler eller lovgivning. Kommunikation de kommunikationskanaler, krypteringnøgler, algoritmer etc. som brugeren ønsker at bruge for denne specifikke transaktion. Integritet de sikkerhedsmekanismer, som man bruger til at verificere sandsynligheden for, at ingen 3. part har overtaget brugerens rolle. Akkreditiver, som kan deles op i 2 typer positive hvis de er til gavn for brugeren (såsom en erhvervet akademisk grad eller statsborgerskab) eller negative hvis de er til skade for brugeren (som en udelukkelse eller en fængselsdom). De positive akkreditiver er verficérbare, positive udsagn om brugeren, dvs. vil altid udgøre en 3. parts verificeret sandhed. Disse kan eksempelvis være: Identifikation (en krypteret besked til en læge indeholdende en Digitalt Signeret besked). Ihændehaverbeviser (billetter, penge, aktiver). Autorisationer (beviser for at man tilfører gruppen af personer, som må eller har ret til en given handling f.eks. Læge, Administrator eller Prokura). De negative akkreditiver er verificérbare negative udsagn om brugeren, dvs. vil også altid udgøre en 3. parts verificeret sandhed: Udelukkelse. Dømt/Straffet for. Dårlig Betaler. Et problem med negative akkreditiver er i sagens natur, at brugeren kan have en interesse i at undgå at vise dem, hvorved de lettest bevises som et positivt akkreditiv 15

16 (jeg er ikke udelukket, jeg har stadig adgang, jeg er ikke dømt, jeg har kreditmuligheder/trækningsret osv.). Arbejdet med at nedbryde, strukturere og standardisere identitetselementerne samt på den anden side at etablere standarder for at evaluere, sammenligne og opgradere sikkerhed er langt fra afsluttet som alle markedsområder under udvikling er det er et moving target, hvor man lokalt må fokusere på hvor værdien er størst. 6.4 Kontekstafhængige akkreditiver Et centralt element i den nye sikkerhedsmodel er de såkaldte kontekstafhængige akkreditiver (eng. anonymous credentials). Kontekstafhængige akkreditiver kan opfattes som en digital pendant til velkendte anonyme akkreditiver i den fysiske verden, som eksempelvis busbilletter, mønter, stemmesedler til folketingsvalg etc. Alle disse har sikkerhedsmekanismer indbygget, som modvirker svindel - men tillader samtidigt indehaveren ikke at blive identificeret i brugssituationen. Kontekstafhængige akkreditiver har en række ligheder med traditionelle sikkerhedsakkreditiver som eksempelvis X.509 certifikater, SAML Assertions eller Kerberos tickets: Ligheder: 1. Indeholder en samling attributter med information om indehaveren (brugeren) af akkreditivet. Attributter kan eksempelvis beskrive indehaverens fødselsdato, medlemskab af en gruppe (så som dansk statsborger, autoriseret læge, studerende på Københavns Universitet ) osv. 2. Akkreditivet kan ikke forfalskes eller ændres, da det er beskyttet af udstederens digitale signatur som valideres af modtageren og de er (ligesom sædvanlige akkreditiver baseret på kryptografi) resistente mod replay og phishing angreb grundet bindingen til en hemmelig nøgle, som kun brugeren er i besiddelse af. 3. De kan spærres (revokeres) og kan have en udløbsdato. 4. De kan kun anvendes sammen med en privat (hemmelig) nøgle, der alene kendes af indehaveren. Dette giver altså en stærk binding til indehaveren. Den hemmelige nøgle (eller dele heraf) kan beskyttes af tamper-resistente smart cards. De kontekstafhængige akkreditiver adskiller sig dog fra traditionelle akkreditiver ved også at have følgende egenskaber: 1. De indeholder normaltingen informationer, der direkte kan udpege indehaverens identitet - eksempelvis indeholder de ikke CPR-numre etc 4. I stedet vil et kontekstafhængigt akkreditiv blive benyttet sammen med en virtuel identitet (pseudonym), som er dekoblet fra den fysiske person. En virtuel identitet er altså en digital stedfortræder for den fysiske person 4 I givet fald skal brugeren ikke afsløre disse attributter under præsentationen af akkreditivet (jævnfør selective disclosure under punkt 5 nedenfor), hvis han vil undgå at blive identificeret. 16

Sikkerhed i cloud computing

Sikkerhed i cloud computing Sikkerhed i cloud computing Databeskyttelsesdagen 2012 Morten Jørsum Center for Digitalisering Digitaliseringsstyrelsen mjrsm@digst.dk Hvad er cloud computing It som en service: Leveres og betales efter

Læs mere

Guide til kravspecifikation

Guide til kravspecifikation Side 1 af 10 10. november 2008 Guide til kravspecifikation Version 1.0. Denne guide indeholder en række råd til brug i kravspecifikationer for IT systemer, der skal anvende NemLog-in løsningen. Hensigten

Læs mere

It-sikkerhedstekst ST5

It-sikkerhedstekst ST5 It-sikkerhedstekst ST5 Identificering af en fysisk person med henblik på udstedelse af faktorer til et personligt login Denne tekst må kopieres i sin helhed med kildeangivelse. Dokumentnavn: ST5 Version

Læs mere

Sikkerhedsmodeller for Pervasive Computing

Sikkerhedsmodeller for Pervasive Computing Sikkerhedsmodeller for Pervasive Computing Christian Damsgaard Jensen Safe & Secure IT-Systems Research Group Informatik & Matematisk Modellering Danmarks Tekniske Universitet Email: Christian.Jensen@imm.dtu.dk

Læs mere

Digital Signatur OCES en fælles offentlig certifikat-standard

Digital Signatur OCES en fælles offentlig certifikat-standard Digital Signatur OCES en fælles offentlig certifikat-standard IT- og Telestyrelsen December 2002 Resumé Ministeriet for Videnskab, Teknologi og Udvikling har udarbejdet en ny fælles offentlig standard

Læs mere

Guide til integration med NemLog-in / Signering

Guide til integration med NemLog-in / Signering Guide til integration med NemLog-in / Signering Side 1 af 6 14. november 2013 TG Denne guide indeholder en kort beskrivelse af, hvorledes man som itsystemudbyder (myndighed eller it-leverandør) kan integrere

Læs mere

It-sikkerhedstekst ST6

It-sikkerhedstekst ST6 It-sikkerhedstekst ST6 Registrering af en fysisk person med henblik på udstedelse af faktorer til et personligt login Denne tekst må kopieres i sin helhed med kildeangivelse. Dokumentnavn: ST6 Version

Læs mere

DI og DI ITEKs vejledning om beskyttelse mod elektronisk industrispionage fra udlandet

DI og DI ITEKs vejledning om beskyttelse mod elektronisk industrispionage fra udlandet DI og DI ITEKs vejledning om beskyttelse mod elektronisk industrispionage fra udlandet Sammenfatning Denne vejledning adresserer risikoen for industrispionage fra statssponserede aktører i udlandet mod

Læs mere

De fællesoffentlige komponenter: Federativa identitetslösningar, Erfarenheter från Danmark

De fællesoffentlige komponenter: Federativa identitetslösningar, Erfarenheter från Danmark De fællesoffentlige komponenter: Federativa identitetslösningar, Erfarenheter från Danmark Digital post, NemSMS & Fjernprint samt strategien for udvikling af mobile løsninger for Digital post og Min side

Læs mere

Kravspecification IdP løsning

Kravspecification IdP løsning Kravspecification IdP løsning Resume IT-Forsyningen, som varetager IT-drift for Ballerup, Egedal og Furesø Kommuner, ønsker at anskaffe en IdP/Føderationsserverløsning, der kan understøtte en række forretningsmæssige

Læs mere

Certifikatpolitik for NemLog-in

Certifikatpolitik for NemLog-in Side 1 af 9 7. november 2012 Certifikatpolitik for NemLog-in Version 1.2 Dette dokument beskriver certifikatpolitikken for NemLog-in løsningen. Politikken definerer hvilke typer certifikater, der må anvendes

Læs mere

Henkel Norden AB ("Henkel") er en del af Henkel Corporation, og i henhold til DPA, er Jörg Heine, den dataansvarlige: schwarzkopf.dk@henkel.

Henkel Norden AB (Henkel) er en del af Henkel Corporation, og i henhold til DPA, er Jörg Heine, den dataansvarlige: schwarzkopf.dk@henkel. HENKEL FORTROLIGHEDSPOLITIK Vi, hos Henkel, tager vores forpligtelser i henhold til dansk lov om databeskyttelse (persondataloven) alvorligt og er forpligtet til at beskytte dit privatliv. Denne fortrolighedserklæring

Læs mere

Bilag til standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter

Bilag til standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter Bilag til standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter Servicebeskrivelse Økonomistyrelsen Marts 2011 Side 1 af

Læs mere

Identitetsbaserede webservices og personlige data

Identitetsbaserede webservices og personlige data > Identitetsbaserede webservices og personlige data Version 0.8 IT- & Telestyrelsen juni 2009 Indhold > Indledning 3 Målgruppe 3 Afgrænsning 4 Definitioner og begreber 5 Scenarier 7 Scenarie med browser

Læs mere

It-sikkerhedstekst ST4

It-sikkerhedstekst ST4 It-sikkerhedstekst ST4 Datatransmission af personoplysninger på åbne net Denne tekst må kopieres i sin helhed med kildeangivelse. Dokumentnavn: ST4 Version 1 Oktober 2014 Datatransmission af personoplysninger

Læs mere

Indstilling Master i IT-sikkerhed. Jette Lundin it-vest leder på Handelshøjskolen Lektor på IFI

Indstilling Master i IT-sikkerhed. Jette Lundin it-vest leder på Handelshøjskolen Lektor på IFI Indstilling Master i IT-sikkerhed Jette Lundin it-vest leder på Handelshøjskolen Lektor på IFI Baggrund Med it i alting, Supply Change Management, netværksorganisationer og med systemer sammensat af kommunikerende

Læs mere

NemHandel i cloud - sikkerhedsmæssige overvejelser. Helle Schade-Sørensen IT og Telestyrelsen

NemHandel i cloud - sikkerhedsmæssige overvejelser. Helle Schade-Sørensen IT og Telestyrelsen NemHandel i cloud - sikkerhedsmæssige overvejelser Helle Schade-Sørensen IT og Telestyrelsen Agenda Lidt om NemHandel Rationalet for valg af cloud Overvejelser vedr. sikkerhed Løsning og erfaringer indtil

Læs mere

Sikkerhedsanbefaling. Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded

Sikkerhedsanbefaling. Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded Sikkerhedsanbefaling Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded Juli 2014 Indledning Microsoft har annonceret, at selskabet den 31. december 2016 frigiver den sidste serviceopdatering

Læs mere

SmartFraming Et vindue til nationale sundhedssystemer. Version 3.0

SmartFraming Et vindue til nationale sundhedssystemer. Version 3.0 SmartFraming Et vindue til nationale sundhedssystemer Version 3.0 Infrastruktur i dagens sundheds IT Det sundhedsfaglige personale benytter sig i dag af en række forskellige systemer i forbindelse med

Læs mere

Introduktion til NemID og Tjenesteudbyderpakken

Introduktion til NemID og Tjenesteudbyderpakken Nets DanID A/S Lautrupbjerg 10 DK 2750 Ballerup T +45 87 42 45 00 F +45 70 20 66 29 info@danid.dk www.nets-danid.dk CVR-nr. 30808460 Introduktion til NemID og Tjenesteudbyderpakken Nets DanID A/S 11. april

Læs mere

NemID DataHub adgang. morten@signaturgruppen.dk & jakob@signaturgruppen.dk. Doc. 25538-12, sag 10/3365

NemID DataHub adgang. morten@signaturgruppen.dk & jakob@signaturgruppen.dk. Doc. 25538-12, sag 10/3365 NemID DataHub adgang morten@signaturgruppen.dk & jakob@signaturgruppen.dk Agenda Funktionaliteten og brugeroplevelsen Arkitekturen og komponenterne bag NemID og digital signatur Datahub token Pause Udvikling

Læs mere

DIADEM KOM GODT I GANG INTEGRATIONSVEJLEDNING IFT. SIKKERHED OG VERSIONERING AF WEBSERVICES VERSION: 1.7.0 STATUS: FRIGIVET DATO: 22.

DIADEM KOM GODT I GANG INTEGRATIONSVEJLEDNING IFT. SIKKERHED OG VERSIONERING AF WEBSERVICES VERSION: 1.7.0 STATUS: FRIGIVET DATO: 22. DIADEM KOM GODT I GANG INTEGRATIONSVEJLEDNING IFT. SIKKERHED OG VERSIONERING AF WEBSERVICES VERSION: 1.7.0 STATUS: FRIGIVET DATO: 22. AUGUST 2013 Fil: DIADEM - Kom godt igang - Ver 1.7.0.docx Indhold 1.

Læs mere

Lærervejledning til undervisningsforløbet. Det digitale spejl

Lærervejledning til undervisningsforløbet. Det digitale spejl Lærervejledning til undervisningsforløbet Det digitale spejl Introduktion Det digitale spejl er et undervisningsforløb om net- etikette og digital adfærd. De traditionelle informationskanaler som fx aviser

Læs mere

Medarbejdersignatur - sådan gør organisationerne i dag. Morten Storm Petersen Signaturgruppen A/S morten@signaturgruppen.dk

Medarbejdersignatur - sådan gør organisationerne i dag. Morten Storm Petersen Signaturgruppen A/S morten@signaturgruppen.dk Medarbejdersignatur - sådan gør organisationerne i dag Morten Storm Petersen Signaturgruppen A/S morten@signaturgruppen.dk Min baggrund Etablerede TDC s certificeringscenter 1998-2006 Modtog Dansk IT s

Læs mere

Borgerbetjenings- og kanalstrategi

Borgerbetjenings- og kanalstrategi Borgerbetjenings- og kanalstrategi Stevns Kommune 2012-2015 Indledning Borgerbetjenings- og kanalstrategi 2012-15 sætter retning for borgerbetjeningen og de kommunikationskanaler Stevns Kommunes kunder

Læs mere

Guide til integration med NemLog-in / Brugeradministration

Guide til integration med NemLog-in / Brugeradministration Guide til integration med NemLog-in / Brugeradministration Side 1 af 9 21. januar 2013 TG Denne guide indeholder en kort beskrivelse af, hvorledes man som itsystemudbyder (myndighed eller it-leverandør)

Læs mere

Nederst foto på forsiden: B Tal (http://flickr.com/photos/b-tal/) Creative Commons NY-NC (http://creativecommons.org/licenses/bync/2.0/deed.

Nederst foto på forsiden: B Tal (http://flickr.com/photos/b-tal/) Creative Commons NY-NC (http://creativecommons.org/licenses/bync/2.0/deed. Sikkerhedsmodeller for OIOREST Udgivet af: IT- & Telestyrelsen IT- & Telestyrelsen Holsteinsgade 63 2100 København Ø Telefon: 3545 0000 Fax: 3545 0010 Nederst foto på forsiden: B Tal (http://flickr.com/photos/b-tal/)

Læs mere

Digitalisér.dk s migration til skyen

Digitalisér.dk s migration til skyen Digitalisér.dk s migration til skyen Martin Høegh Mortensen (IT- og Telestyrelsen), Heinrich Clausen (selvstændig konsulent) Agenda De indledende øvelser Migration Eftertanke og konklusion 1 De indledende

Læs mere

Tekniske krav til spiludbydere i forbindelse med opnåelse af tilladelse til at udbyde online spil i Danmark

Tekniske krav til spiludbydere i forbindelse med opnåelse af tilladelse til at udbyde online spil i Danmark Tekniske krav til spiludbydere i forbindelse med opnåelse af tilladelse til at udbyde online spil i Danmark Version 1.10 Versionshistorik Version Dato Opsummerende beskrivelse af ændringer 1.00 2010-10-5

Læs mere

Effektiv digitalisering. - Digitaliseringsstyrelsens strategi 2012-2015. April 2012

Effektiv digitalisering. - Digitaliseringsstyrelsens strategi 2012-2015. April 2012 April 2012 Effektiv digitalisering - Digitaliseringsstyrelsens strategi 2012-2015 Baggrund Danmark står med væsentlige økonomiske udfordringer og en demografi, der betyder færre på arbejdsmarkedet til

Læs mere

RSA Kryptosystemet. Kryptologi ved Datalogisk Institut, Aarhus Universitet

RSA Kryptosystemet. Kryptologi ved Datalogisk Institut, Aarhus Universitet RSA Kryptosystemet Kryptologi ved Datalogisk Institut, Aarhus Universitet 1 Kryptering med RSA Her følger først en kort opridsning af RSA kryptosystemet, som vi senere skal bruge til at lave digitale signaturer.

Læs mere

Termer og begreber i NemID

Termer og begreber i NemID Nets DanID A/S Lautrupbjerg 10 DK 2750 Ballerup T +45 87 42 45 00 F +45 70 20 66 29 info@danid.dk www.nets-danid.dk CVR-nr. 30808460 Termer og begreber i NemID DanID A/S 26. maj 2014 Side 1-11 Indholdsfortegnelse

Læs mere

Beskyttelse af personlige oplysninger

Beskyttelse af personlige oplysninger Beskyttelse af personlige oplysninger Kelly Services, Inc. og dens datterselskaber (herefter kaldet "Kelly Services" eller Kelly ) respekterer dit privatliv, og vi anerkender, at du har rettigheder i forbindelse

Læs mere

Politik om cookies. Introduktion Om cookies

Politik om cookies. Introduktion Om cookies Introduktion Om cookies Politik om cookies De fleste hjemmesider, du besøger, bruger cookies for at forbedre din brugeroplevelse ved at sætte webstedet i stand til at 'huske' dig enten under hele dit besøg

Læs mere

End-to-end scenarier for fuldmagtsløsningen

End-to-end scenarier for fuldmagtsløsningen End-to-end scenarier for fuldmagtsløsningen Side 1 af 6 15. januar 2013 TG Dette notat beskriver en række end-to-end scenarier for fuldmagtsløsningen. Formålet er at illustrere sammenhænge og forløb på

Læs mere

ANALYSE AF SIKKERHEDSSTANDARDER OG -LØSNINGER

ANALYSE AF SIKKERHEDSSTANDARDER OG -LØSNINGER ANALYSE AF SIKKERHEDSSTANDARDER OG -LØSNINGER Kommunernes it-arkitekturråd 8. maj 2014 AGENDA Væsentligste observationer og konklusioner Relevans for kommuner STRATEGI OG ARKITEKTUR Analysen giver et bud

Læs mere

Offentlige virksomheder i forandring. It og kommunikation til fremtidens udfordringer i staten

Offentlige virksomheder i forandring. It og kommunikation til fremtidens udfordringer i staten Offentlige virksomheder i forandring It og kommunikation til fremtidens udfordringer i staten Skab fremtidens offentlige sektor med it Den offentlige sektor møder benhårde krav. Medarbejdere kræver fleksibilitet,

Læs mere

Brugervejledning - til internetbaseret datakommunikation med Nets ved hjælp af HTTP/S-løsningen

Brugervejledning - til internetbaseret datakommunikation med Nets ved hjælp af HTTP/S-løsningen Nets Denmark A/S Lautrupbjerg 10 P.O. 500 DK 2750 Ballerup T +45 44 68 44 68 F +45 44 86 09 30 www.nets.eu Brugervejledning - til internetbaseret datakommunikation med Nets ved hjælp af HTTP/S-løsningen

Læs mere

XProtect-klienter Tilgå din overvågning

XProtect-klienter Tilgå din overvågning XProtect-klienter Tilgå din overvågning Tre måder at se videoovervågning på For at skabe nem adgang til videoovervågning tilbyder Milestone tre fleksible brugergrænseflader: XProtect Smart Client, XProtect

Læs mere

It-sikkerhedstekst ST9

It-sikkerhedstekst ST9 It-sikkerhedstekst ST9 Single Sign-On og log-ud Denne tekst må kopieres i sin helhed med kildeangivelse. Dokumentnavn: ST9 Version 1 Juli 2015 Single Sign-On og log-ud Betegnelsen Single Sign-On (SSO)

Læs mere

Antikorruptionspolitik for Sex & Samfund

Antikorruptionspolitik for Sex & Samfund Antikorruptionspolitik for Sex & Samfund 1. Introduktion Antikorruptionspolitikken gælder for frivillige, medarbejdere, ledelse og bestyrelse i Sex & Samfund og hos vores samarbejdspartnere. Alle ovennævnte

Læs mere

It-delstrategi for administrativ it-anvendelse

It-delstrategi for administrativ it-anvendelse Administrativ DELSTRATEGI 2011-2015 NOTAT It-delstrategi for administrativ it-anvendelse 9. september 2011 Indholdsfortegnelse 1. Formål...2 2. Baggrund...2 3. Vision...3 4. Strategisk retning...3 4.1.

Læs mere

DemTech Group DemTech/DIGST/Report 1 (dansk) Review Fase 3 Scenarie analyse: oplæg til beslutninger. DemTech Group Denmark CVR: 35527052

DemTech Group DemTech/DIGST/Report 1 (dansk) Review Fase 3 Scenarie analyse: oplæg til beslutninger. DemTech Group Denmark CVR: 35527052 DemTech Group DemTech/DIGST/Report 1 (dansk) Review Fase 3 Scenarie analyse: oplæg til beslutninger Carsten Schürmann, David Basin Februar 2015 DemTech Group Denmark CVR: 35527052 DemTech/DIGST/Report

Læs mere

Faxe Kommune. informationssikkerhedspolitik

Faxe Kommune. informationssikkerhedspolitik Faxe Kommune informationssikkerhedspolitik 10-10-2013 1 Overordnet informationssikkerhedspolitik Dette dokument beskriver Faxe Kommunes overordnede informationssikkerhedspolitik og skaber, sammen med en

Læs mere

KURSER INDENFOR SOA, WEB SERVICES OG SEMANTIC WEB

KURSER INDENFOR SOA, WEB SERVICES OG SEMANTIC WEB KURSER INDENFOR SOA, WEB SERVICES OG SEMANTIC WEB Det er Web Services, der rejser sig fra støvet efter Dot Com boblens brag. INTRODUKTION Dette dokument beskriver forslag til fire moduler, hvis formål

Læs mere

Statens strategi for overgang til IPv6

Statens strategi for overgang til IPv6 Notat Statens strategi for overgang til IPv6 Overgangen til en ny version af internetprotokollen skal koordineres såvel internationalt som nationalt. For at sikre en smidig overgang har OECD og EU anbefalet,

Læs mere

Sikkerhedsanbefaling. Styrkelse af informationssikkerheden i mainframeinstallationer

Sikkerhedsanbefaling. Styrkelse af informationssikkerheden i mainframeinstallationer Sikkerhedsanbefaling Styrkelse af informationssikkerheden i mainframeinstallationer Januar 2015 Indledning Inden for de seneste år har flere mainframeinstallationer været udsat for hackerangreb. I Sverige

Læs mere

SOSI Gateway Komponenten (SOSI GW)

SOSI Gateway Komponenten (SOSI GW) SOSI Gateway Komponenten (SOSI GW) - en security domain gateway Version 1.2 1/8 Indledning Region Syddanmark er udvalgt som pilotregion for projektet Det Fælles Medicingrundlag, og i den forbindelse arbejdes

Læs mere

Politik vedrørende cookies og andre lignende teknologier. 1. Hvad dækker denne politik?

Politik vedrørende cookies og andre lignende teknologier. 1. Hvad dækker denne politik? Politik vedrørende cookies og andre lignende teknologier 1. Hvad dækker denne politik? Denne politik dækker dine handlinger relateret til Tikkurilas digitale serviceydelser. Denne politik dækker ikke,

Læs mere

FULD DIGITAL KOMMUNIKATION I 2015

FULD DIGITAL KOMMUNIKATION I 2015 FULD DIGITAL KOMMUNIKATION I 2015 Regeringen, kommunerne og regionerne arbejder sammen om at skabe et digitalt Danmark, som frigør resurser til bedre kernevelfærd samtidig med at servicen moderniseres

Læs mere

Win-Win sikkerhed i en digital verden Få fordelene og undgå ulemperne ved RFID. Stephan J. Engberg

Win-Win sikkerhed i en digital verden Få fordelene og undgå ulemperne ved RFID. Stephan J. Engberg Rådet for IT-Sikkerhed Høring om Pervasive Computing 24/11 2004 Win-Win sikkerhed i en digital verden Få fordelene og undgå ulemperne ved RFID Stephan J. Engberg Without changing our pattern of thought,

Læs mere

Cloud i brug. Migrering af Digitalisér.dk til cloud computing infrastruktur

Cloud i brug. Migrering af Digitalisér.dk til cloud computing infrastruktur Cloud i brug Migrering af Digitalisér.dk til cloud computing infrastruktur 02 Indhold > Executive Summary............................................................... 03 Digitaliser.dk.....................................................................

Læs mere

www.noedhjaelp.dk/anti-korruption anti anti-korruptions politik

www.noedhjaelp.dk/anti-korruption anti anti-korruptions politik www.noedhjaelp.dk/anti-korruption anti KORRUPTIONS POLITIK bedst som bestikkelse, bedrageri, Målgruppen for denne anti-korruptionspolitik er alle Folkekirkens Nødhjælps underslæb og afpresning. medarbejdere.

Læs mere

Brugervejledning. Generering af nøgler til SFTP-løsningen vedrørende. datakommunikation med Nets. Nets A/S - versionsdato 28.

Brugervejledning. Generering af nøgler til SFTP-løsningen vedrørende. datakommunikation med Nets. Nets A/S - versionsdato 28. Nets A/S Lautrupbjerg 10 P.O. 500 DK-2750 Ballerup T +45 44 68 44 68 F +45 44 86 09 30 www.nets.eu CVR-nr. 20016175 Brugervejledning Generering af nøgler til SFTP-løsningen vedrørende datakommunikation

Læs mere

Digital Signatur Sikker brug af digital signatur

Digital Signatur Sikker brug af digital signatur Digital Signatur IT- og Telestyrelsen December 2002 Resumé Myndigheder, der ønsker at indføre digital signatur, må ikke overse de vigtige interne sikkerhedsspørgsmål, som teknologien rejser. Det er vigtigt,

Læs mere

Kære medarbejder og leder

Kære medarbejder og leder Kære medarbejder og leder Adgang til informationer i it-systemer og elektronisk kommunikation er for de fleste medarbejdere i Region Hovedstaden en selvfølgelig del af arbejdsdagen. Hvis vi ikke har adgang

Læs mere

Hos Lasse Ahm Consult vurderer vi at følgende supplerende krav i de enkelte kravelementer er væsentlige at bemærke:

Hos Lasse Ahm Consult vurderer vi at følgende supplerende krav i de enkelte kravelementer er væsentlige at bemærke: ISO 9001:2015 (Draft) Side 1 af 9 Så ligger udkastet klar til den kommende version af ISO 9001. Der er sket en række strukturelle ændringer i form af standardens opbygning ligesom kravene er blevet yderligere

Læs mere

Service Orienteret Arkitektur en succes, der i stigende grad kræver IT Governance fokus

Service Orienteret Arkitektur en succes, der i stigende grad kræver IT Governance fokus Service Orienteret Arkitektur en succes, der i stigende grad kræver IT Governance fokus 4. oktober 2006 C O N N E C T I N G B U S I N E S S & T E C H N O L O G Y DEVOTEAM i Danmark og i Europa 2 Devoteam

Læs mere

Hvor og hvordan kan man være tilstede på nettet?

Hvor og hvordan kan man være tilstede på nettet? Hvor og hvordan kan man være tilstede på nettet? 1) Den klassiske tilstedeværelse Visitkort hele pakken blogs Fora Netbutik Distribueret indhold 2) De sociale medier Facebook LinkedIn Twitter Faglige blogs

Læs mere

Løsningsbeskrivelse for log-in og signering med NemID. Valg af målgruppe og navigation omkring NemID på jeres tjeneste.

Løsningsbeskrivelse for log-in og signering med NemID. Valg af målgruppe og navigation omkring NemID på jeres tjeneste. Løsningsbeskrivelse for log-in og signering med NemID Valg af målgruppe og navigation omkring NemID på jeres tjeneste. Om dette dokument Indhold I dette dokument kan du finde en overordnet løsningsbeskrivelse

Læs mere

Kanalstrategi. Ikast-Brande Kommune 2013-2015

Kanalstrategi. Ikast-Brande Kommune 2013-2015 Kanalstrategi Ikast-Brande Kommune 2013-2015 Godkendt i byrådet den 16.09.2013 Indhold Forord og formål... 3 Hvad er en kanalstrategi?... 3 Hvordan skal vi arbejde med en kanalstrategi i Ikast-Brande Kommune?...

Læs mere

Identity Access Management

Identity Access Management Identity Access Management Traditionel tilgang til Identity & Access Governance-projekter, udfordringer og muligheder Alex Sinvani ais@dubex.dk Dubex A/S Formålet Opbygge en god konceptuel baggrund for

Læs mere

Sikkerhed i trådløse netværk

Sikkerhed i trådløse netværk Beskyt dit trådløse netværk IT- og Telestyrelsen Holsteinsgade 63 2100 Kbh. Ø Telefon 3545 0000 Telefax 3545 0010 E-post: itst@itst.dk www.itst.dk Rådet for it-sikkerhed www.raadetforitsikkerhed.dk Der

Læs mere

Politik om cookies. Introduktion Om cookies

Politik om cookies. Introduktion Om cookies Introduktion Om cookies Politik om cookies De fleste hjemmesider, du besøger, bruger cookies for at forbedre din brugeroplevelse ved at sætte webstedet i stand til at 'huske' dig enten under hele dit besøg

Læs mere

Bilag 1 Kundens opgavebeskrivelse

Bilag 1 Kundens opgavebeskrivelse Bilag 1 Kundens opgavebeskrivelse Side 2 af 12 Indhold 1. Indledning... 3 1.1. Baggrund og formål... 3 1.2. Vision og mål... 3 1.3. Målgruppe... 3 2. Begreber... 4 2.1. Begrebsliste... 4 3. Opgavebeskrivelse...

Læs mere

SOSIGW. - Driftsvejledning for SOSIGW 1.0. Indeks

SOSIGW. - Driftsvejledning for SOSIGW 1.0. Indeks SOSIGW - Driftsvejledning for SOSIGW 1.0 Indeks Indeks... 1 Revisionshistorik... 2 Introduktion... 2 Kontrol af korrekt driftstilstand... 2 Ændring af statisk konfiguration... 2 Logfil... 2 Backup... 3

Læs mere

LÆS VENLIGST VILKÅRENE OMHYGGELIGT, FØR DU BRUGER DENNE HJEMMESIDE.

LÆS VENLIGST VILKÅRENE OMHYGGELIGT, FØR DU BRUGER DENNE HJEMMESIDE. LÆS VENLIGST VILKÅRENE OMHYGGELIGT, FØR DU BRUGER DENNE HJEMMESIDE. BRUGSVILKÅR FOR HJEMMESIDE Disse brugsvilkår angiver sammen med de øvrige retningslinjer, som der heri henvises til vilkårene for brug

Læs mere

Hvad du søgte efter Identiteten på det websted, du besøgte umiddelbart før vores websted (henvisende websted).

Hvad du søgte efter Identiteten på det websted, du besøgte umiddelbart før vores websted (henvisende websted). Brugervilkår og andre gode ting, som du bør vide for at være sikker online. Sikkerhed er alles ansvar En del af IKEA ånden er "jeg gør min del, du gør din del, og sammen gør vi en masse." Dette gælder

Læs mere

Sikre Beregninger. Kryptologi ved Datalogisk Institut, Aarhus Universitet

Sikre Beregninger. Kryptologi ved Datalogisk Institut, Aarhus Universitet Sikre Beregninger Kryptologi ved Datalogisk Institut, Aarhus Universitet 1 Introduktion I denne note skal vi kigge på hvordan man kan regne på data med maksimal sikkerhed, dvs. uden at kigge på de tal

Læs mere

ISAE 3000 DK ERKLÆRING MARTS 2013. RSM plus P/S statsautoriserede revisorer

ISAE 3000 DK ERKLÆRING MARTS 2013. RSM plus P/S statsautoriserede revisorer plus revision skat rådgivning TABULEX ISAE 3000 DK ERKLÆRING MARTS 2013 Erklæring fra uafhængig revisor om Tabulex ApS overholdelse af bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger

Læs mere

Vejledning til SmartSignatur Proof Of Concept

Vejledning til SmartSignatur Proof Of Concept Vejledning til SmartSignatur Proof Of Concept Version 0.9.1 15. marts 2013 Indhold Vejledning til SmartSignatur Proof Of Concept... 1 Hvad er en medarbejdersignatur... 3 Juridiske aspekter ved brug af

Læs mere

Den digitale vej til fremtidens velfærd

Den digitale vej til fremtidens velfærd Den digitale vej til fremtidens velfærd V. Ulla Larney, Erhvervsstyrelsen Midtjysk Erhvervsakademi 21/8-2013 Danmark i front med digitalisering Fællesoffentlig digitaliseringsstrategi 2011-2015 Ansøgninger,

Læs mere

Instrukser for brug af it

Instrukser for brug af it it sikkerhed Instrukser for brug af it Må Skal ikke Kan Januar 2010 Version 1.0 Indhold Forord................................................... 3 Resumé.................................................

Læs mere

Kursus i IT Sikkerhed

Kursus i IT Sikkerhed Kursus i IT Sikkerhed Ivan Damgård, Daimi, Århus Universitet Praktiske ting Kursushjemmeside www.daimi.au.dk/dsik Her findes noter, links til materiale, opgaver, m.v. Der bruges et sæt noter, der findes

Læs mere

Standardvilkår for modtagelse af OCES-certifikater fra Nets DanID. (NemID tjenesteudbyderaftale [NAVN på NemID tjenesteudbyder indsættes])

Standardvilkår for modtagelse af OCES-certifikater fra Nets DanID. (NemID tjenesteudbyderaftale [NAVN på NemID tjenesteudbyder indsættes]) Lautrupbjerg 10 DK-2750 Ballerup T +45 87 42 45 00 F +45 70 20 66 29 www.nets.eu CVR-nr. 30808460 P. 1-11 Standardvilkår for modtagelse af OCES-certifikater fra Nets DanID (NemID tjenesteudbyderaftale

Læs mere

Bilag 5: Kundens It-Miljø. Version 0.6 Bilag til dagsordenspunkt 9: Krav til kommunernes it-miljø.

Bilag 5: Kundens It-Miljø. Version 0.6 Bilag til dagsordenspunkt 9: Krav til kommunernes it-miljø. Bilag 5: Kundens It-Miljø Version 0.6 Bilag til dagsordenspunkt 9: Krav til kommunernes it-miljø. Senest opdateret d. 11. Oktober 2013 Indholdfortegnelse 1 Indledning... 3 2 Kundens IT-miljø - Løsningen...3

Læs mere

Forbruger login med NemID Til forbrugsdata på DataHub

Forbruger login med NemID Til forbrugsdata på DataHub Forbruger login med NemID Til forbrugsdata på DataHub 2. maj 2012 JHH Testdrejebog Udført for: Energinet Tonne Kjærsvej 65 7000 Fredericia Steen Jungdal Udført af: Signaturgruppen A/S IT-huset Åbogade

Læs mere

Visuelle guidelines for log-in og signering med NemID. Guide til udseende, sprog og struktur for tjenester der bruger NemID.

Visuelle guidelines for log-in og signering med NemID. Guide til udseende, sprog og struktur for tjenester der bruger NemID. Visuelle guidelines for log-in og signering med NemID Guide til udseende, sprog og struktur for tjenester der bruger NemID. Om dette dokument Indhold I dette dokument kan du finde anbefalinger og råd til

Læs mere

IT- og Telestyrelsen 21. august 2007 Sagsnr. 032071-2007

IT- og Telestyrelsen 21. august 2007 Sagsnr. 032071-2007 IT- og Telestyrelsen 21. august 2007 Sagsnr. 032071-2007 Holsteinsgade 63 2100 København Ø Att. Palle Aagaard FESD Grænseflade til CMS-løsninger, høringssvar fra Gentofte Kommune Gentofte Kommune har med

Læs mere

Kontorchef Cecile Christensen, Center for sikkerhed og systemforvaltning. 5. november 2014 1

Kontorchef Cecile Christensen, Center for sikkerhed og systemforvaltning. 5. november 2014 1 Tilgængelighed, fortrolighed og integritet. Høj kvalitet i informationssikkerhed og dokumentation Hvilken betydning har principper og anbefalinger i sikkerhedsstandarden ISO 27001 for kvaliteten af dokumentationen?

Læs mere

Symantec - Data Loss Prevention

Symantec - Data Loss Prevention Symantec beskyttelse af data/dokumenter Beskrivelsen af Symantecs bud på tekniske løsninger. I beskrivelsen indgår tre følgende løsninger fra Symantec: - Data Loss Prevention - Disk eller ekstern device

Læs mere

Vejledning om avanceret afhentning. i Digital Post på Virk.dk.

Vejledning om avanceret afhentning. i Digital Post på Virk.dk. Vejledning om avanceret afhentning og sortering i Digital Post på Virk.dk. Denne vejledning beskriver, hvordan virksomheder, foreninger m.v. med et CVR-nummer kan modtage Digital Post, herunder hvordan

Læs mere

En teknisk introduktion til NemHandel

En teknisk introduktion til NemHandel En teknisk introduktion til NemHandel 02. december 2014 Indhold INDHOLD... 1 INDLEDNING... 2 STANDARDER... 4 OIOUBL e-handelsstandard... 4 OIORASP - transportprotokol... 5 BETINGELSER FOR ANVENDELSE AF

Læs mere

Sammenhængende log-in - SSO til applikationer i et andet sikkerhedsdomæne

Sammenhængende log-in - SSO til applikationer i et andet sikkerhedsdomæne > Sammenhængende log-in - SSO til applikationer i et andet sikkerhedsdomæne IT- & Telestyrelsen, Kontor It-infrastruktur og Implementering februar 2010 Indhold > 1 Introduktion 4 1.1 Føderationsfordele

Læs mere

Ruko ARX Access. Total tryghed og sikkerhed med online adgangskontrol STAND OFF ALONE LINE LINE

Ruko ARX Access. Total tryghed og sikkerhed med online adgangskontrol STAND OFF ALONE LINE LINE Access STAND ALONE OFF ON Total tryghed og sikkerhed med online adgangskontrol ASSA ABLOY, the global leader in door opening solutions Løsninger til ethvert behov Access indgår som toppen af kransekagen

Læs mere

Sikkerhed på nettet for applikationer og identiteter

Sikkerhed på nettet for applikationer og identiteter Sikkerhed på nettet for applikationer og identiteter Jakob I. Pagter, Security Lab Alexandra Instituttet A/S Privatejet almennyttig firma med fokus på forskning og innovation indenfor IT GTS Godkendt Teknologisk

Læs mere

Personalehåndbog. Personalehåndbogens målsætning. 1. Vores historie. 2. Mission 3. Vision 4. Værdigrundlag 5. Organisationen.

Personalehåndbog. Personalehåndbogens målsætning. 1. Vores historie. 2. Mission 3. Vision 4. Værdigrundlag 5. Organisationen. Personalehåndbog Personalehåndbogens målsætning Strategi og mål m.m. 1. Vores historie. 2. Mission 3. Vision 4. Værdigrundlag 5. Organisationen Bestyrelse 1 Organisationsdiagram 6. Vores målsætning Politikker

Læs mere

på Højvangskolen IT så det giver mening Den måde vi tænker IT på i skolen, skal afspejles i forberedelsen og gennemførelsen

på Højvangskolen IT så det giver mening Den måde vi tænker IT på i skolen, skal afspejles i forberedelsen og gennemførelsen IT på Højvangskolen Alle elever som kommer på skolen, vil være digitale indfødte, som færdes i en anden medie-hverdag end vi er vant til. De har andre forudsætninger og kompetencer end tidligere generationer.

Læs mere

IT-retningslinier og sikkerhedspolitik for Viborg Kommunes Skole IT. - gældende for undervisere

IT-retningslinier og sikkerhedspolitik for Viborg Kommunes Skole IT. - gældende for undervisere IT-retningslinier og sikkerhedspolitik for Viborg Kommunes Skole IT - gældende for undervisere August 2009 IT retningslinier og sikkerhedspolitik for Viborg kommunes Skole IT - gældende for undervisere

Læs mere

29. januar 2014 kl. 9.00 15.30

29. januar 2014 kl. 9.00 15.30 ITS inviterer til informationsdag 29. januar 2014 kl. 9.00 15.30 Over det seneste år, har ITS sat en række nye it-ydelser i søen. Informationsmødet er en mulighed for at få et samlet overblik over de nye

Læs mere

Standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter

Standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter Standardaftale om delegering af brugerrettigheder mellem lokale identitetsudbydere og serviceudbydere ved anvendelse af SAML-billetter Økonomistyrelsen Marts 2011 Side 1 af 16 Oversigt over dokumentet...3

Læs mere

IDENTITY SECURITY MANAGER INTEGRATION MELLEM MENNESKER OG SIKKERHED

IDENTITY SECURITY MANAGER INTEGRATION MELLEM MENNESKER OG SIKKERHED INTEGRATION MELLEM MENNESKER OG SIKKERHED SIDE 2/6 INTRODUKTION AVIOR Identity Security Manager (ISM) er en omfattende løsning og koncept til håndtering af identiteter og integration til eksisterende bruger-

Læs mere

Kort og godt om NemID. En ny og sikker adgang til det digitale Danmark

Kort og godt om NemID. En ny og sikker adgang til det digitale Danmark Kort og godt om NemID En ny og sikker adgang til det digitale Danmark Hvad er NemID? NemID er en ny og mere sikker løsning, når du skal logge på offentlige hjemmesider, dit pengeinstitut og private virksomheders

Læs mere

Projektleder : Jacob-Steen Madsen (jsm), Syddansk Universitet (SDU)

Projektleder : Jacob-Steen Madsen (jsm), Syddansk Universitet (SDU) Foranalyse Projekt: PDM-kerne Projektleder : Jacob-Steen Madsen (jsm), Syddansk Universitet (SDU) Projektdeltagere: 1. Indledning og baggrund Mogens Sandfær (MS), Danmarks Tekniske Universitet (DTU) Jørgen

Læs mere

- for forretningens skyld

- for forretningens skyld Produkt og produktionssikkerhed - for forretningens skyld DI og DI ITEK sikkerhedsaktiviteter Bidrage til bedre tryghed i erhvervslivet og det øvrige samfund Informationssikkerhed Virksomhederne Borgerne

Læs mere

It-sikkerhedstekst ST2

It-sikkerhedstekst ST2 It-sikkerhedstekst ST2 Overvejelser om sikring mod, at personoplysninger kommer til uvedkommendes kendskab i forbindelse med Denne tekst må kopieres i sin helhed med kildeangivelse. Dokumentnavn: ST2 Version

Læs mere

Baggrundsbeskrivelse for installation af føderation i partnerorganisationer til Danmarks Miljøportal. Baggrund. 1. Hvad er føderation

Baggrundsbeskrivelse for installation af føderation i partnerorganisationer til Danmarks Miljøportal. Baggrund. 1. Hvad er føderation Baggrundsbeskrivelse for installation af føderation i partnerorganisationer til Danmarks Miljøportal. Miljøportalsekretariatet Ref.: jejnb Den 22. november 2007 Baggrund I forbindelse med strukturreformen

Læs mere