Drög að frumvarpi til laga um stafrænt pósthólf í miðlægri þjónustugátt stjórnvalda

Með frumvarpinu er lögð kvöð á einstaklinga um að hafa til staðar rafræn skilríki. Á Íslandi er útbreiddasta útgáfan af þeim í formi rafrænna skilríkja á farsíma. Í þessar kvöð felst einnig krafa til einstaklinga til að gæta að öllum öryggisþáttum sem geta leitt til þess að óviðkomandi komist í stjórn yfir rafrænu skilríkin og geti misnotað þau. Þegar skoðað er hvaða þættir geta stefnt öryggi rafrænna skilríkja á farsíma í hættu er ljóst að þeir eru þó nokkrir: * Notkun á farsíma sem ekki er uppfærður með nýjustu öryggisuppfærslum. * Notkun á þráðlausum netum sem óvinveittur aðili hefur stjórn á. * Notkun á farsíma sem óvinveittur aðili fær einhvern aðgang að, hvort sem er með áþreifanlegum hætti eða með fjarlægri tengingu. * Notkun á forritum skrifuðum af óvinveittum aðila sem ógna öryggi farsímans * Ótal mörg önnur atriði ... Þótt hugsanlega megi sjá fyrir sér að hægt sé að nota farsíma á öruggan hátt þannig að óvinveittir aðilar munu ekki komast í stjórn yfir rafrænum skilríkjum á símanum er líklegt að stór hluti almennings sinni slíkum öryggisatriðum ekki endilega vel. Það hafa komið upp mörg tilfelli þar sem stýrikerfi farsíma hafa verið haldið slíkum göllum að ómögulegt er fyrir jafnvel grandvaran einstakling að gera nauðsynlegar öryggisráðstafanir. Því til viðbótar er venjuleg notkun á farsíma ekki til þess fallin að gæta að öryggi þeirra. Með því að gera farsíman að hluta af öruggum undirskriftarbúnaði er ekki lengur hyggilegt að nota síman á sama hátt og áður. Afleiðingar af misnotkun óvinveittra aðila á rafrænu skilríkjunum geta verið mjög alvarlegar. Undirskrift með rafrænum skilríkjum er álitin jafngild undirskrift á pappír. Sá munur er þó á að aðili sem verður fyrir því að óvinveittur aðili framkallar rafræna undirskift án samþykkis er í vonlausri stöðu til að sýna fram á slíkt. Þessi kvöð á hendur einstaklingum til þess að þurfa að hafa rafræn skilríki opnar því alla einstaklinga fyrir mögulegri misnotkun skilríkjana. Einstaklingarnir hafa ekki lengur val um það hvort þeir meti hagræðið af notkun þeirra vega upp á móti áhættuni af þeim. Litlar takmarkanir virðast vera á því hvað slík rafræn undirskrift getur skuldbundið eiganda hennar fyrir. Það væri strax til bóta ef einstaklingurinn gæti tiltekið, þegar rafræn skilríki eru fengin, að með þeim fylgi engin skuldbinding, aðeins sönnun á auðkenni. Þ.e. að einstaklingurinn sem notar rafrænu skilríkin vilji eingöngu nota þau til að sýna fram á auðkenni sitt en ekki til að skuldbinda sig á nokkurn hátt. Þetta ætti ekki að vera flókið í framkvæmd, hægt væri þegar rafrænu skilríkin eru fengin að bjóða upp á mismunandi tegundir rafræna skilríkja. Þannig gæti ein tegund eingöngu verið til auðkenningar en t.d. ekki til að skrifa undir lánasamninga eða aðrar skuldbindandi gjörðir. Þá gætu þeir sem efasemdir hafa um möguleika sinn á að halda farsíma sínum öruggum, kosið að fá sér aðeins auðkennandi rafræn skilríki en ekki skuldbindandi. Þetta væri einnig mun hófsamari leið til að ná markmiðum frumvarpsins, og leiddi ekki til þess að allir þyrftu að taka á sig eins miklar kvaðir um að halda farsímanum sínum öruggum. Það væri auðvitað slæmt, en ekki eins slæmt og ef óvinveittur aðili skrifar t.d. undir lánasamning í nafni fórnarlambsins. Möguleg misnotkun mundi þá gefa óvinveittum aðilum færi á að komast í gögn viðkomandi en ekki til þess að skuldbinda fórnarlambið með öfugri sönnunarbyrði. Það að gera kröfu um að einstaklingar fá sér rafræn skilríki með möguleikan á svo til ótakmarkaðri skuldbindingu er afarósanngjarnt af stjórnvöldum. Það sem stjórnvöld þurfa í þessu tilfelli er aðeins að koma gögnum til einstaklingana en ekki að neyða þá til þess að opna aðra leið fyrir ótakmarkaðar skuldbindingar sem mun vera hægt að misnota af óvinveittum aðilum.

Ágætu viðtakendur umsagnar og samborgarar allir. Ég hef um árabil komið að þróun og rekstri þeirra kerfa sem hér um ræðir. Almennt finnst mér alltaf besta sjónarhornið að skoða þetta út frá því sem hentar viðskiptavininum (borgaranum eða lögaðilanum) best. Mín reynsla er sú að þannig endar maður með lausnina sem hentar öllum best (win – win). Hér á eftir fer ég yfir nokkur atriði sem tengjast þessum frumvarpsdrögum. 1. Það hefur lengi verið mikilvægt að setja í lög að birting í pósthólfi á Ísland.is hafi sömu réttaráhrif og birtingar sem tilgreindar kunna að vera í lagatexta. Þetta er því gleðilegt og löngu tímabært. Það sem ég hnýt hins vegar um er að það eru lagðar alls kyns kvaðir á viðtakanda sendingar, en litlar á birtingaraðilann. Högun pósthólfsins er mjög nútímaleg og upplýsingar um skjal eru sendar í pósthólfið, en skjalið/sendingin sjálf ekki afhent fyrr en viðtakandi vill opna hana. Þannig veit viðkomandi birtingararaðili nákvæmlega hvenær sendingin hefur verið opnuð. Þar með veit birtingaraðili auðvitað líka ef sendingin hefur ekki verið opnuð. Birtingaraðili getur óskað eftir að hnippt sé í viðtakanda þegar hann á sendingu. Ef um „mikilvægar“ sendingar er að ræða er því eðlilegt að birtingaraðili geri fleiri en eina tilraun til þess að vekja athygli viðtakanda á sendingunni, en bíði ekki bara eftir því að hann sitji í súpunni. Þetta gæti verið með SMS hnippi og jafnvel ef allt annað þrýtur, með póstsendingu. Frumvarpsdrögin gera birtingaraðila allt of stikkfrí á sama tíma og viðtakandinn verður strax að vera á tánum. Birtingaraðilar fá hins vegar fjögurra ára aðlögunartíma! 2. Ég held að flestir muni fagna því að fá allar sínar sendingar í pósthólfið. Það verður hins vegar ekki framhjá því litið að það hentar ekki endilega öllum. Ýmsar hugmyndir varðandi lausnir hafa verið viðraðar í gegnum tíðina, t.d. að prenta á 7-14 daga fresti út allt sem viðkomandi hefur fengið í pósthólfið sitt á því tímabili og setja í eitt umslag og senda viðkomandi. Það er skautað svolítið létt yfir þetta í frumvarpsdrögunum og bara hamrað á gjaldtökuheimild. Þetta er hins vegar sennilega viðkvæmasti hópurinn og því mikilvægt að koma fram við hann af nærgætni! 3. Innskráningarþjónusta Ísland.is er nýtt af hundruðum þjónustuveitenda með góðum árangri. Þar er boðið upp á innskráningu á vefi í krafti Íslykils, styrkts Íslykils og rafrænna skilríkja. Hver þjónustuveitandi ákveður hvaða kröfur hann gerir til innskráningar hjá sér. Þorri þjónustuveitenda veitir aðgang að sinni þjónustu í krafti Íslykils, en örfáir aðilar gera kröfu um styrktan Íslykil eða rafræn skilríki. Eins er það með pósthólfið, þar ákveða birtingaraðilar hvaða kröfur eru gerðar til auðkenningar svo veita megi aðgang að sendingu. Nær allir birtingaraðilar gera bara kröfu um Íslykil. Ég man eftir einum birtingaraðila sem gerir kröfu um rafræn skilríki til að aðgangur sé veittur að skjölum hans í pósthólfiinu. Sá aðili veitir hins vegar aðgang að sömu gögnum á vef sínum með einföldu lykilorði. Ef bara er gerð krafa um Íslykil, þá kemst fólk auðvitað líka inn á styrktum Íslykli eða rafrænum skilríkjum. Ef skilja á frumvarpsdrögin sem svo að gera eigi kröfu um rafræn skilríki í öllum tilvikum, þá er það STÓRSLYS. Ágætt er að rifja upp að fyrir mörgum árum var gerð tilraun til að „þröngva“ þjóðinni til þess að fara að nýta rafræn skilríki á debetkortum. Það var algjört fíasko. Rafræn skilríki í símum eru auðvitað mun notendavænni, en henta alls ekki öllum. Í stjórnsýslunni er gjarna hamrað á því að meðalhófs skuli gætt og ekki settar upp áþarfa hindranir fyrir fólk. Hérna er einmitt gott að hafa það í huga. Áherslan á að vera á það að veita góða þjónustu og mæta viðskiptavininum þar sem það hentar honum. Borgarinn í öndvegi. Þjónusta, þjónusta, þjónusta og aftur þjónusta! 4. Af hverju er ekki rétt að gera alls staðar kröfu um rafræn skilríki? Það eru margar ástæður fyrir því. Með því að gera alltaf kröfu um rafræn skilríki, þá missum við alltaf einhverja fyrir borð, sem ekki treysta sér til þess að nota rafræn skilríki. Vilji menn gera meiri kröfur en bara Íslykil, þá er styrktur Íslykill mjög góður kostur og sambærilegur við varaleið bankanna inn í heimabanka. Bankarnir gera miklar kröfur um öryggi og því ágætt að líta til þess hvað þeir telja að veiti gott öryggi. Ég mæli alls ekki með að þeir sem þurfa mikla aðstoð við sín tölvumál fái sér rafræn skilríki. Rafræn skilríki eru hættulega öflug, eins og bent hefur verið á í annarri umsögn. Fíkniefnafíklar og spilafíklar finnast því miður í mörgum fjölskyldum og sjúkleikinn getur valdið stórfelldu fjárhagslegu tjóni hjá viðkvæmum handhafa rafrænna skilríkja, svo dæmi sé tekið. 5. Gleymum ekki að viðskiptavinir opinberra stofnana eru öll þjóðin, ekki bara hip og kúl lið! Bragi L. Hauksson, tölvunarfræðingur