Slem-ID / Dum-ID - tråden hvor det er tillad at brække sig

Cookie - John Hannover:

jeg synes det er ret naturligt sikkerhedsmæssigt at man skal ha EN nemID til et selskab som juridisk selvstændig enhed og EN NemID til sig selv privat

Enten snakker vi ikke om det samme, ellers er vi bare langt fra enige i hvordan it-sikkerhed designes og implementeres :-)

En person skal have en og kun en NemId og den kan så få adgang til forskellige funktioner. Det gør det muligt at implementere en ordentlig sikkerhedsstruktur, imodsætning til som det er i dag, hvor jeg ikke kan give min medarbejder adgang til at tilmelde sig en uddannelse uden at vi først skal oprette en ekstra (medarbejder) NemId til ham, som så efterfølgende skal have rettigheder tildelt af virksomhedens admin-NemId, som har fået rettighederne fra mig som stifter (med mit private NemId).

Øget kompleksitet giver sjældent øget sikkerhed og jeg kan røbe at vi har sager hos Nets/danid hvor vi har påvist netop usikkerheder i deres implementering af multiple NemId til samme person. Det er ikke et emne der egner sig til debat her på Amino, men jeg har fået adgang til systemer jeg ikke skulle have adgang til fordi systemet fik "rodet rundt" i rettighederne fordi alle NemId-konti er oprettet til samme cpr-nr. og med samme mailadresse som kontaktinfo :-)

EDIT: Jeg ser du har tilføjet og klippet tekst ind vedr. forskellen på NemId udstedt via bank og via det offentlige. Det understreger meget godt min pointe, systemet bliver udsat for øget risiko når der kan udstedes forskellige NemId-kort af forskellige udstedere. NemId skal være NemId og uafhængigt af hvilken situation det er udstedet i - det er netop en af mine pointer :-)

De bedste hilsner
/Brian 

Cookie - John Hannover:

du gør noget galt.

Problemet er at så uendeligt mange så åbentbart gør "noget galt". Når det er tilfældet, så må det jo tydeligt sige noget om at udbyderen ikke gør sit job godt nok. Min far der nu er pensioneret, men med 25 år som IT-mand fortalte hvordan han var nede og IT-supporte et ældre men meget velbegavet ægtepar. Begge med akademiske uddannelser - mens Skats selvbetjening, var alligevel for hård en nød at knække. 

Problemet er igen at Nets, Skat osv. har monopol på levering af serviceydelser - derfor glemmer de den vigtigste parameter: "Service" og brugervenlighed. 

Hej John

Nu bliver det vist knudret for os :-)

Cookie - John Hannover:

enig i der kun skal kunne være en offentlig NemID - men mener det skal være EN per juridisk enhed og en per medarbejder så man ved det var ham og ikke adm. der tilmeldte til barsel eller andet.

Vi er enige om formålet men de vælger forkert middel, det samme kan opnåes ved at jeg giver medarbejderens private NemId rettighederne, istedet for at der skal oprettes en medarbejder-NemId til medarbejderen som så får rettighederne. Medarbejderen er jo allerede identificeret ved hans private NemId. Som det er nu, så skal eks. en freelance bogholder, der har tyve kunder også have tyve forskellige medarbejder-NemId, ud over sin egen, det burde ikke være nødvendigt. (Nå ja, og fyrre hvis banken har været inde over første udstedelse ;-))

Stor hilsen
/Brian 

Fru Hartmann:

Du glemmer en vigtig ting der. Med en medarbejder nemID kan man identificere personen som værende fra lige netop det firma som nemID er udstedt til.

Nej jeg mener ikke jeg glemmer noget, det er da mit ansvar som virksomhedsejer at give de rigtige folk rettigheder til min virksomhed. Det kan jeg da ligeså godt gøre på deres private NemId som jeg kan gøre det på deres medarbejder NemId.

Hvem er "man" i dit indlæg, og hvorfor er det vigtigt at "man" kan identificere personen som værende fra min virksomhed? Det kan "man" jo netop ved at jeg har givet vedkommende de rigtige rettigheder. Det er mig, som admin for virksomheden, der opretter medarbejder NemId, jeg kan da ligeså godt bare give rettigheder til en eksisterende NemId, eneste forskel er at det er lettere for mig ;)

Fru Hartmann:

Tro mig, jeg har siddet med et stort indberetningssystem i det offentlige, hvor det var ekstremt vigtigt at kunne identificere både virksomheden og personen som indberettede data

Det er her problemet er, det er ekstremt vigtigt for "det offentlige" at jeg gør det på deres måde, men systemet burde indrettes efter hvad der er vigtigt for borgerne/virksomhederne.

Stor hilsen
/Brian 

den private nemID og selskabet er to helt forskellige juridiske enheder/personer så jeg støtter klart at man ikke tillader at privat NemID kan bruges af andre end lige præcis den private person. Skæg for sig snot for sig - virksomhedsnemID er den man skal kunne tildele rettigheder i, ikke privat

Nå - vi skal jo heller ikke være enige

vh John H

Fru Hartmann:

Når du tildeler dine ansatte rettigheder til at indberette "noget" - er det da i høj grad væsentligt at de indberetter som person X ansat i firma CVR XXXXXXX.

Min pointe er at det netop ikke er teknisk svært at gøre det så du kan se det er Lægen der indberetter, men det virker som om jeg ikke magter at forklare det, det korte af det lange er at det faktisk er muligt og endda mindre komplekst rent teknisk, at lave det du siger ved at tildele rettighederne til den eksisterende NemId.

Tro mig, det er altså ikke sværere at tildele rettigheder til personlig NemId end til din (personlige) medarbejder NemId - det er et spørgsmål om design.

Fru Hartmann:

Der er pokker til forskel på om det er Hans Hansen som privatperson, eller det er Læge Peter Hansen fra CVR XXXXXXXX, der indberetter patientdata.

Har du lavet en slåfejl i ovenstående, for det kan da aldrig være svært at skelne om det er Hans eller Peter der indberetter. Hvis du mener om det er vigtigt at skelne mellem om det er personens funktion som privat/personlig eller som medarbejder, så har du ret det er meget vigtigt, men det behøver vi ikke flere fysiske papkort for at håndtere - rettigheder og gennemsigtighed via funktionsstyring har været anvendt i virksomheder og foreninger i mange år.

Cookie - John Hannover:

den private nemID og selskabet er to helt forskellige juridiske enheder/personer så jeg støtter klart at man ikke tillader at privat NemID kan bruges af andre end lige præcis den private person.

Vi er jo netop enige her, vi taler ikke om at firmaet skal bruge din NemId, men at du, som medarbejder, ikke behøver flere NemId - du har jo netop fået fuldmagt i din egenskab af at være dig, så det giver ikke ekstra sikkerhed eller funktionalitet at du skal have to papkort for at handle på vegne af virksomheden.

Som så ofte før ender disse debatter i misforståelser, jeg er helt med på hvad I mener og er helt enig - jeg taler om den tekniske implementering af løsningen, der er det altså lettere, sikrere og mere gennemskueligt at gøre din ID unik, fremfor at udstede flere IDs til den enkelte person.
De indvendinger I har, tager udelukkende afsæt i hvordan systemet er designet i dag - jeg anfægter designet som værende alt for komplekst til at kunne håndteres med det kompetenceniveau der besiddes af beslutningstagerne. Se blot hvordan Nets i syv (SYV) år har fået anmærkninger i revisionsrapporterne vedr. deres manglende funktionsadskillelse, uden at nogen har reageret. Samme anmærkning i vores årlige rapport vil medføre ekslusion fra vores brancheforening ;)

Jeg stopper min del af debatten her, ikke i vrede eller frustration, men i erkendelse af at vi alle er begyndt at gentage os selv :)

De bedste hilsner
/Brian