NEMID MED ROBOTTER Muligheder samt en anbefaling til at løse NemID-opgaver med robotter 1
En softwarerobot må ikke handle på vegne af et menneske med vedkommendes NemID. Men hvilke andre muligheder er der for at lade en robot løse NemID-opgaver? I denne folder gennemgår vi muligheder, fordele og ulemper samt compliance-vinklen på problemstillingen. Derudover giver vi en anbefaling til det mest optimale setup, når robotter skal løse NemID-opgaver. 2
Resumé Nets udbyder tre forskellige løsninger til NemID: medarbejdersignatur, virksomhedssignatur og funktionssignatur. 1. Med en medarbejdersignatur kan en medarbejder legitimere sig på vegne af en virksomhed og har adgang til at henvende sig til det offentlige, interagere med netbank, underskrive dokumenter og lignende. Kun medarbejdersignatur med nøglefil har vist sig at være egnet til automatisering med robotter dog er det ikke i overensstemmelse med Nets forretningsbetingelser at lade en softwarerobot eller andet software legitimere på vegne af et menneske. Compliance-graden er således lav, og medarbejdersignatur kan ikke umiddelbart anbefales til automatisering. 2. Virksomhedssignaturen adskiller sig ved, at man anvender den til at legitimere sig som en virksomhed og ikke som en enkeltperson. Virksomhedssignaturen har derfor ikke et personnavn tilknyttet kun virksomhedsnavn og e-mailadresse. 3. Funktionssignaturen er på samme måde heller ikke tilknyttet en enkeltperson, men er derimod specifikt egnet til, at en applikation eller software må legitimere sig på vegne af en virksomhed. Hverken virksomhedssignatur eller funktions signatur skal anvende de fysiske nøglekort til login med NemID, men kan i stedet anvende en nøglefil, som bliver installeret lokalt på computeren. Herefter skal man kun bruge adgangskode ved login. Konklusionen er ikke entydig. Med virksomhedssignatur og funktionssignatur løser man godt nok udfordringen med interaktion af fysiske elementer, og at en fysisk person ikke skal tilknyttes til adgangen, men begge løsninger er funktionalitetsmæssigt begrænset i forhold til medarbejdersignaturen. Medarbejdersignaturen indeholder al den ønskede funktionalitet, men er omvendt ikke compliant. 3
NemID med robotter Baggrund Udfordringer I 2010 overgik alle danske netbanker og offentlige hjemmesider til at understøtte login via NemID, hvilket har gjort interaktion med tjenesten en nødvendighed for mange kritiske forretningsprocesser. NemID er bygget op omkring en tofaktor-autentificering, hvor man først indtaster en personlig adgangskode, som efterfølges af en sikkerhedskode, som bliver aflæst fra enten et papkort, en nøgleviser eller via NemID s app. Når man automatiserer de processer, som kræver NemID-adgang, med robotter, bliver interaktion med de nuværende autentificeringsmuligheder en udfordring på tre områder: 1. For det første bliver et stykke software udfordret af at skulle interagere med de fysiske nøglekort. Løsningen kan teknisk set fungere, men hvis man opbevarer nøglerne fra nøglekortet i digital læsbar form på computeren, indebærer det en stor sikkerhedsrisiko. 2. For det andet er det fra et driftsmæssigt perspektiv uhensigtsmæssigt, at man har en NemIDadgang, der er bundet op på en enkelt medarbejder. Medarbejderen kan skifte job, opdatere sit password uden at give besked, rette sine adgangsrettigheder etc. Og det kan potentielt stoppe robotterne fra at virke korrekt. 3. For det tredje er det uhensigtsmæssigt at lade en robot agere på vegne af et menneske med NemID. Login sker på et personligt bindende grundlag, og det er derfor, at den person, hvis signatur der bliver brugt, er ansvarlig for de aktiviteter, som robotten udfører under sessionen. Det er ikke rimeligt at pålægge medarbejdere et sådant ansvar. Det er således vigtigt, at man overvejer både de driftsmæssige aspekter og samtidig er opmærksom på, hvor ansvaret er placeret. OVERSIGT OVER MULIGE LØSNINGER Medarbejdersignatur Nøglekort Nøglefil Nøgletoken Virksomhedssignatur Funktionssignatur Må løsningen anvendes af robotter? Nej Nej Nej Ja Ja Kræves anvendernavn og password? Ja Nej Nej Nej Nej Skal papkort, app eller nøgleviser anvendes? Ja Nej Nej Nej Nej Kræves specielt software installeret? Nej Ja Nej Ja Ja Kræves specielt hardware installeret? Nej Nej Ja Nej Nej Kan CPR-nummer tilknyttes? Ja Ja Ja Nej Nej Årlig pris, ekskl. moms (uden pro-pakke) 82,94 DKK pr. år 4,20 DKK pr. år 1052,2 DKK pr. år 3.937 DKK (gyldigt i 3 år) 252 DKK (gyldigt i 3 år) Egnet til automatisering via robotter? Nej Nej Nej Delvist Delvist 4
Mulige løsninger Nets udbyder tre forskellige signaturer, der på hver sin måde kan lade en medarbejder eller virksomhed legitimere sig. I det følgende vil vi redegøre for fordele og ulemper, egnethed i forhold til automatisering med robotter samt graden af compliance for hver af de tre løsninger. 1. Medarbejdersignatur Når medarbejdere skal legitimere sig som enkeltpersoner på vegne af en virksomhed, kan de anvende medarbejdersignaturer. Med en medarbejder signatur kan medarbejdere henvende sig til det offentlige, underskrive dokumenter online samt tilgå netbanker og lignende på vegne af virksom heden. Der findes tre forskellige typer af medarbejdersignatur: a. Nøglekort Svarer til den NemID-løsning, Nets også udbyder til private, hvor man anvender et fysisk papkort, nøgleviser eller NemID-app til login. Denne løsning kræver ingen speciel software/hardware for at fungere. b. Nøglefil En nøglefil bliver gemt på medarbejderens computer, og man skal kun bruge et password til at logge ind med. For at nøglefilen kan læses på medarbejderens computer, skal man installere et specielt stykke software. c. Nøgletoken Et certifikat bliver gemt på en særlig USB dongle, som man skal slutte til computeren ved brug. For at man kan anvende denne nøgle, skal man bruge et specielt stykke hardware til at opbevare certifikatet, og dette hardware skal være fysisk tilsluttet computeren. Selvom robotter og lignende software kan anvende medarbejdersignaturen, så må de ifølge Nets forretningsbetingelser ikke. 2. Virksomhedssignatur Når en medarbejder skal legitimere sig som virksomhed på vegne af virksomheden, kan de anvende en virksomhedssignatur. Det kan fx være som lønafdeling, HR- medarbejder eller andet, der har brug for at kommunikere sikkert med omverdenen. Til en virksomhedssignatur tilknyttes ingen personnavne eller CPR-numre kun virksomhedens navn og en e- mailadresse. En virksomhedssignatur fungerer på samme måde som en medarbejdersignatur med en nøglefil, hvor man installerer et certifikat på computeren og herefter kun skal bruge en adgangskode ved login. Dette betyder dog også, at kun dér, hvor filen er installeret, vil et login med signaturen kunne lade sig gøre. Robotter og lignende software må gerne anvende virksomhedssignaturen ifølge Nets. Signaturen er ikke bundet til en enkelt person, men derimod til hele virksomheden, og alle de aktiviteter, robotten foretager sig med denne signatur, sker på vegne af virksomheden. 3. Funktionssignatur Når en applikation eller service skal legitimere sig på vegne af virksomheden, anvender de en funktionssignatur. En funktionssignatur har som en virksomhedssignatur ingen personnavne eller CPR-numre tilknyttet blot virksomhedens navn og en e-mailadresse. Signaturen fungerer på samme måde som virksomhedssignaturen, hvor man installerer et certifikat lokalt på computeren, og kun en adgangskode skal angives ved login. Robotter eller lignende software må gerne anvende funktionssignaturen. Signaturen er specielt lavet til netop dette formål, og vi anser den derfor som den bedst egnede metode. 5
NemID med robotter Compliancefaktoren Konklusion Udover automatiseringsegnetheden ser virksomheder også på graden af compliance som en afgørende parameter, når de skal designe den optimale løsning til håndtering af NemID-opgaver med robotter. Når man holder automatiseringsegnetheden op mod compliancegraden, fremgår det, jf. figuren, at selvom medarbejdersignatur har løsninger, som kan indgå i et automatiseringssetup, er løsningen ud fra et ansvarsperspektiv mindre holdbar og den overholder i øvrigt ikke de forretningsbetingelser, Nets har udstedt. Det forholder sig modsat med virksomheds signatur og funktionssignatur. Virksomhedssignatur er delvist egnet til automatisering, da løsningen udelukkende kan fungere via digitalt input, men ikke er specifikt egnet til at blive brugt af software eller applikationer. Det er funktionssignaturen til gengæld. Robotter må anvende både virksomhedsog funktionssignatur. Konklusionen er således ikke entydig. Med virksomhedssignatur og funktionssignatur løser man godt nok udfordringen med interaktion af fysiske elementer, og at der ikke skal tilknyttes en fysisk person til adgangen, men løsningerne er funktionalitetsmæssigt begrænsede i forhold til medarbejdersignaturen. Medarbejdersignaturen indeholder al den ønskede funktionalitet, men er omvendt ikke compliant. Høj Nøglefil AUTOMATISERINGSEGNETHED Nøgletoken Funktionssignatur Nøglekort Virksomhedssignatur Lav Lav COMPLIANCE Høj 6
7
Kontakt Du kan få flere oplysninger ved at kontakte: Jesper Bruun Hansen jebh@implement.dk +45 2212 3781 Thomas Winther thwi@implement.dk +45 6124 4842 implementconsultinggroup.com