Av ren nysgjerrighet har jeg vært inne og skummet det nye dokumentet som beskriver 
kommende regjerings politiske plattform. Hvordan vil den norske skuta styres de neste fire årene? Som IKT- og sikkerhetsforsker synes jeg selvfølgelig kapittel 7 – Fornyelse, administrasjon og kirke med sine underkapitler om IKT og personvern var av spesiell interesse. Etter lesningen stilte jeg meg spørsmålet: Er det samsvar mellom IKT-satsingen og personvernsatsingen? Konklusjon: ikke helt.
Under IKT finner vi følgende satsingspunkt:
- Regjeringen vil arbeide for innføring av et felles system for innlogging for alle offentlige tjenester. Dette kan knyttes opp mot dagens systemer for innlogging i nettbanker.
Dette er et meget godt satsingspunkt. Felles innloggingsløsninger for alle offentlige tjenester vi føre til betydelig forbedret brukervennlighet for befolkningen. ’Folk flest’ vil sette pris på å møte den samme innloggingsløsningen for alle tjenester, og at de kun trenger å forholde seg til ett sett med brukernavn/passord/kodegenerator (credentials). Jeg ser for øvrig ikke hvordan dette er nytenkende i forhold til foregående regjerings satsning på ID-porten hvor MinID, BankID, Commfides og Buypass allerede er integrert, og hvor stadig flere offentlige tjenester benytter seg av denne løsningen (nåvel, dette var en digresjon).
Det er i hovedsak andre setning som vekket min interesse for å skrive dette innlegget. Ny regjering nevner innloggingsløsningen til bankene spesielt. I all hovedsak dreier dette seg om BankID. Hvorfor nevne løsningen til en sektor alene? Uten å rakke ned på løsningen ønsker jeg å komme med noen refleksjoner rundt slike bransjeløsninger og personvern. BankID er utviklet gjennom BankID-samarbeidet i regi av Finans Norge. Ser vi på listen over deltakere i denne organisasjonen finner vi sparebanker, forretningsbanker, livsforsikringsselskaper, skadeforsikringsselskaper med flere. Vil vi virkelig at denne bransjen skal få et rikt innsyn i vårt digitale offentlige liv?
En av hovedinnvendingene sikkerhetsforskere har hatt mot felles innloggingsløsninger (også kalt federated identity management) er faren for brudd på personvernet. For hver innlogging vil den organisasjonen som tilbyr innloggingsløsningen få et innblikk i hvilke tjenester en person besøker. Hvis jeg ønsker å besøke NAV sine nettsider for å sjekke mine personlige data, vil jeg bli videresendt til BankID for innlogging (gitt at jeg velger denne mekanismen). Ønsker jeg å se status på mine resepter kan jeg besøke mineresepter.no hvor jeg vil møte samme framgangsmåte. Til slutt vil de som administrerer BankID kunne sitte med en rik brukerprofil (via innloggingsloggen) for hver enkelt bruker. Kombinert med statistikk og beregninger vil det være enkelt for, eksempelvis, livsforsikringsselskapene å kalkulere en sannsynlighet for at enkeltpersoner er i en risikogruppe for sykdommer. Jo flere offentlige (og andre) tjenester som tar i bruk løsningen, dess rikere data vil tjenestetilbydere av innloggingsmekanismer opparbeide seg. Dette er forøvrig en av forretningsstrategiene til Facebook og Google som også tilbyr tredjepartstjenester å bruke deres innloggingsgrensesnitt. Ved å se hvilke tjenester brukerne deres besøker er de i bedre stand til å målrette reklame. De tjener mer penger, akkurat som forsikringsselskaper tjener penger på å plassere folk i riktig risikogruppe.
Den nye regjeringen ønsker å satse på personvern. De ønsker å føre en offensiv IKT-politikk som tar personvern på alvor. Bra!
Min hensikt med dette er ikke å rakke ned på BankID. Det er en god løsning som fungerer utmerket til sitt formål. Jeg ønsker imidlertid å peke en av personvernutfordringene som finnes med å ta i bruk innloggingsløsningene til en tredjepart, hvis hovedgeskjeft ikke er å tilby sikkerhetsløsninger. Dersom ny regjering virkelig tar personvern alvorlig bør de ikke favorisere en innloggingstjenestetilbyder framfor andre. Skal vi ha tiltrodde tredjeparter inn i bildet bør de være helt uavhengige, og ikke ha andre interesser enn kun å tjene penger på salg av selve tjenesten.
Jeg har stor tro på felles innloggingsløsninger. Oppfordringen min til ny regjering hva gjelder IKT, innlogging og personvern er å satse på personvernfremmende innloggingsmekanismer. Se mot forskning som går på anonymitet og bruk av pseudonymer i stedet for bruk av globale identifikatorer slik som personnummer. Jobb for at offentlige tjenester, og gjerne private aktører, tar i bruk attributtbasert tilgangskontroll slik at det kun er behov for å overføre identitetsdata som er relevant for gjeldende digitale tjenestebesøk.