Utfordringsbildet ved bruk av virksomhetssertifikat
Det i mange tilfeller påkrevd at samhandling mellom delingsaktørene kan avgrenses til å skje direkte mellom avdelinger på et lavt nivå i organisasjonshierarkiet. Vi mangler mekanismer som kan brukes for å håndheve dette behovet da virksomhetssertifikatet ikke har funksjonalitet for granulær identifikasjon. En annen utfordring er når delingen skal skje med virksomheter uten organisasjonsnummer.
Virksomhetssertifikat som "universalnøkkel"
Virksomhetssertifikat brukes i økende grad for å identifisere og ha tillit til aktørene i forbindelse med samhandling, i flere forskjellige infrastrukturer. Siden det ikke eksisterer noen standardiserte mekanismer (som er tatt i praktisk bruk) for å begrense konteksten/bruksområdet for sertifikatet, medfører dette at et virksomhetssertifikat anskaffet til ett formål, kan gjenbrukes mot alle andre systemer som baserer seg på virksomhetssertifikat. Man har altså fått en “universalnøkkel”-utfordring.
Anskaffelsesprosessen av virksomhetssertifikatet blir oppfattet som komplisert og/eller tidkrevende, samt for mindre aktører så er høy kostnad (spesielt på kvalifiserte segl) drivere som fører til gjenbruk av samme sertifikat i mange systemer.
Når et virksomhetssertifikat benyttes til mange ulike formål må privat nøkkel gjøres tilgjengelig for mange systemer og personer, og dette fører til at tilliten til virksomhetssertifikater som konsept blir svekket.
Samtidig er det udiskutabelt at virksomhetssertifikatet løser et reelt problem, siden de har hatt så stor suksess og fått så stor utbredelse. Denne utbredelsen har så brakt fram konsekvenser man kanskje ikke så for seg når konseptet med virksomhetssertifiktater ble formalisert.
Offentlige utvalg, forskningsprosjekter og lignende
Offentlige utvalg har ikke organisasjonsnummer, men har stort samhandlingsbehov med andre både offentlige og private enheter.
Tilsvarende er det mange flerårige prosjekter med deltagere fra flere organisasjoner, samt senter i høyere utdanning som ikke er egne enheter med organisasjonsnummer.
Slike enheter har fagsystemer som trenger kontrollert samhandling med andre enheter.
Tidkrevende å få tak i virksomhetssertifikat
Det kan ofte være svært tidkrevende å få den som er registrert som nøkkelrolleinnehaver i Enhetsregisteret til å bestille sertifikat. Man må gå «til topps» i organisasjonen, og i store organisasjoner som for eksempel Oslo Kommune medfører dette at utviklings-team må vente lenge før de kommer i gang med prosjekter som krever integrasjon mot infrastrukturer som baserer seg på virksomhetssertifikat.
Parallelle løsninger for adressering
Fravær av bruksområdebegrensninger for virksomhetssertifikater medfører at det er bygd opp flere parallelle register/systemer som for alle praktiske formål gjør det samme: gir en avsender mulighet til å finne hvilket spesifikt virksomhetssertifikat som en mottaker ønsker å bruke for å samhandle innen et spesifikt bruksområde. Dette er primært synlig innen asynkron meldingsutveksling der det skal sendes en kryptert melding til en mottaker som ikke nødvendigvis er tilstede på samme tid.
Hver adresseringsløsning har sin eget forvaltningsregiemene og regler for hvordan man blir “medlem” av registeret, og hvem som får lov til å vedlikeholde informasjonen i registeret.
At hver samhandlings-infrastruktur har sitt eget register, er trolig ikke et ressursproblem i seg selv, men vi tror det vil være effektivitetsgevinster dersom det eksisterte en enhetlig måte å identifisere underenheter og bruksområder på.
Adressere sensitivt innhold til riktig "gruppe av personer" i meldingsutveksling
Tilgangsstyring i Altinn er utformet med utgangspunkt i ledende roller registrert for enheten i Enhetsregisteret. Disse rollene anses å ha fullmakt til å opptre på vegne av enheten på generelt grunnlag. Dette gjelder alle virksomheter – både private og offentlige.
Disse nøkkelrollene har tilgang til alle elementer i virksomhetens innboks, og styring av hvem som skal kunne gi tilgang til elementene i innboks.
Dette gjør at innhold som skal skjermes fra “administrasjonen”, særlig taushetsbelagte personsensitive opplysninger, ikke får tilstrekkelig sikring, da de følger “en administrativ tillits-akse” som ikke nødvendigvis er relevant, for eksempel opplysninger underkastet lovgivning for helseopplysninger.