![[Oslo kommune, Byarkivet]](../../images/byarkivlogo.gif)
Bruk av digital signatur i offentlig forvaltning
En digital signatur er et dataelement som følger en elektronisk melding eller et dokument, og som binder dokumentet til et individ, en maskin eller et datasystem. Bindingen skal være slik at signaturen er så godt som umulig å forfalske. Den kan verifiseres av en mottaker eller av en uavhengig tredjepart. Hvis en bokstav i dokumentet endres, vil den digitale signaturen ikke bli godkjent. Definisjonen ovenfor er et bærende element i NOU 2001:10, Uten penn og blekk. Utvalget som har skrevet utredningen fikk i mandat å utrede innholdet i en policy for offentlig forvaltning på området bruk av digital signatur, dokumentkryptering for konfidensialitetsformål og tilhørende infrastruktur (PKI, Public Key Infrastructure). Hovedspørsmålene som utvalget har utredet går i korthet
ut på følgende: Hovedspørsmålene er behandlet i sine respektive kapitler med anbefalinger til slutt i hvert kapittel. Utredningen er omfattende og går i mange tilfeller detaljert inn i kravspesifikasjoner til fremtidige sertifikater. Utredningen legger premissene for hvordan samspillet mellom forvaltningen og private tjenesteleverandører skal skje de nærmeste årene på området digital signatur. Den legger opp til en relativt klar rollefordeling hvor forvaltningen, via krav og ønsker til sikkerhet, samtrafikk og integritet, er oppdragsgiver. Private aktører vil således stå relativt fritt til å utvikle løsninger som baserer seg på nyeste teknologi. Kravene til samtrafikk skal resultere i at en digital signatur skal kunne benyttes uavhengig av hvilken tjenesteleverandør en person eller virksomhet bruker til å fremstille signaturen. I Lov om elektronisk signatur (2001) settes det krav til såkalt kvalifisert signatur. Dette er krav til signaturens unikhet og ekthet som en fremtidig leverandør av digitale sertifikater (sertifikatutstederne) må følge. En kvalifisert signatur vil ifølge loven ha samme rettsvirkning som håndskrevne har i dag. Elektronisk signatur og digital signatur Elektroniske dokumenters ekthet Dagens papirløsninger ivaretar på sin måte disse egenskapene, forskjellene syntes å være at en digital signatur er egnet til å gi en absolutt oppfyllelse av egenskapene. Vi kan mao. være mer sikre på at et brev vi har mottatt med korrekt digital signatur er det det utgir seg for å være. Dette kan illustreres på følgende måte: Et brev bli skrevet og underskrevet på papir av brevets forfatter som deretter gir brevet direkte til mottaker. Mottakeren av brevet har i dette tilfellet sittet ved siden av og sett på brevskriveren mens brevet ble skrevet og underskrevet. I tillegg til dette har det vært et tredje vitne som bekreftet at brevskriveren er den han er. Ved bruk av digital signatur vil nemlig sertifikatleverandørene fungere som et vitne eller tredjepart og garantere at den som signerer er den han utgir seg for å være. I mange (de fleste?) tilfeller av meldingsutveksling, kan man anta at en viss tillit allerede er etablert før en melding mottas. Det kan ha vært etablert muntlig kontakt eller ensidig kontakt f.eks. informasjon via en virksomhets internettside eller andre medier. Med utgangspunkt i at det i Norge allerede eksisterer en høy grad av ekstern tillit, blir spørsmålet: Når skal vi benytte digital signatur? Utredningen skisserer et forslag til regulering av elektronisk kommunikasjon med og i forvaltningen. Der foreslås det at henvendelser som mottas og besvares i de fleste tilfeller kan gjennomføres i elektronisk form. Det stilles imidlertid krav til sikkerhet, informasjon og identifikasjon, avhengig av type henvendelser, f.eks. underretning om vedtak. Arkiv og langtidslagring "Meldinger som er signert med en digital signatur, og som blir arkivert,
skal arkiveres sammen med sertifikat som bekrefter signaturen.....". At arkivtjenesten og IT-personalet i offentlige virksomheter skal sikre forsvarlig elektronisk lagring, er en rimelig følge av tradisjonelle oppgaver hvor dokumentasjon på tidligere saksbehandling skal være tilgjengelig. At samme personell skal kontrollere at de elektroniske signaturene er gyldige, innebærer derimot at arkiv/IT-avdelinger får nye oppgaver med utvidet ansvar. Slik utredningens forslag til forskrift kan forstås, innebærer dette at arkivtjenesten og IT-personalet skal sjekke enhver signaturs gyldighet og registrere dette. Hvis signaturen ikke lar seg kontrollere, skal dette også registreres. I en viss forstand kan det synes som om virksomhetenes arkivansvarlige vil få ansvar og oppgaver som ligner på Notarius Publicus. Notarius Publicus er embetsmann som ved sin underskrift sikrer beviset for en bestemt rettslig handling i f.eks. testament og attestasjoner. Det er vanskelig å anslå hvor mye ressurser slikt arbeid vil legge beslag på, men det er rimelig å anta det vil bli behov for noe ekstra ressurser og IT-kompetanse i den enkelte virksomhet, for at oppgavene skal løses på en sikker og effektiv måte. Utredningen Uten penn og blekk legger til rette for omfattende bruk av digital signatur i offentlige virksomheter. Et overordnet spørsmål, som utredningens mandat riktignok ikke inkluderer, er spørsmålet om hvordan skal man bevare elektronisk arkivmateriale på sikt? Elektronisk arkivmateriale generelt er krevende å lagre i seg selv. Bruk av digital signatur kompliserer ytterligere ved at en digital signatur utgjør et separat dataelement med binding til et dokument. Ved konvertering av et dokument til nytt format vil bindingen forsvinne og dermed stå i fare for å forringe dokumentets ekthet. Konverteringer bør gjennomføres i den vanligste og valgte metoden for langtidslagring i dag, som er å overføre (migrere) data fra gamle media og format til nye. Computerworld har anslått at minst fem prosent av datamengden blir utilgjengelig etter en migrasjon. Det er ikke mulig å forutse hvilke data som blir borte, spesielt ikke hvis man anvender kompresjonsteknikker. Et slikt perspektiv borger for løsninger med færrest mulig kompliserende faktorer. Digital signatur i Oslo kommune En mulig strategi eller løsning kan da være å utarbeide rutiner og funksjoner i journalsystemene, som skaper en sterk tillit til registrerte dokumenter i en NOARK-base uten digitale signaturer. Et dokument som skrives ut i f.eks. Word, kan sendes med digital signatur til en person eller virksomhet. Samtidig journalføres/registreres dette og dokumentet lagres og fryses i arkivformat uten noen signaturer av noe slag. Ektheten blir derimot ivaretatt av offentlig kjente rutiner som sikrer samsvar mellom dokumentet som sendes ut og dokumentet i NOARK-basen. I hvilke tilfeller en slik løsning i praksis er lov og mulig å benytte er det vanskelig å gi noe entydig svar på ennå. Poenget er at det i nær fremtid vil bli nødvendig å ta tak i problemstillinger rundt bruk og langtidslagring av digitale signaturer. For Oslo kommune vil en grundig gjennomgang av alle former for dokument- eller meldingsutveksling være viktig før digitale signaturer tas i bruk i stor skala. Hver enkelt type dokument/melding bør vurderes ihht. forvaltningsloven mm., slik at bruk av digital signatur benyttes på korrekt måte. Det vil samtidig være naturlig å vurdere nødvendigheten av å lagre dokumentene med digitale signaturer. Mye av dette vil trolig allerede være bestemt som følge av reviderte lover og regler, det pågående eRegel-prosjektet er i så måte svært sentralt. eRegelprosjektet innebærer kartlegging og fjerning av bestemmelser i lover, forskrifter og instrukser som kan hindre elektronisk kommunikasjon, og oppdatert lov- og regelverk skal tre i kraft innen 01.01. 2002. Det legges likevel opp til at den enkelte virksomhet selv skal utarbeide de faktiske rutiner og praksis for bruk av digital signatur. Samordningsutvalg Litteratur: NOU 2001:10, Uten penn og blekk TOBIAS 3/2001 |