Lånekassens PKI-løsning

1. LånekassensPKI-løsning Tønsberg 3. juni 2004 v/ Ingunn Cowan og Liv Simonsen

2. Ny utbetalingsordning • Formål – effektivisering, modernisering, bedre kundeservice • Papirbasert og elektronisk utbetalingsordning • Ordningen omfatter: vedtak, låneavtale, gjeldsbrev, utbetaling

3. Saksflyt elektronisk løsning Sentral database m/data fra lærestedene 2 Kontroll av opptak og betalt semester- avgift LKs bank- forbindelse LKs bank- forbindelse Kundens bank- forbindelse Kundens bank- forbindelse Betalingsoppdrag Sentral database m/data fra lærestedene 9 8 7 Søknad med kontonr Søknad med kontonr LIS 1 e-post om at vedtak er fattet og kan leses på WEB 1 3 Vedtak AltInn 4 7 Vedtak 5 6 Kunden leser vedtak og underskriver låne- avtale og gjeldsbrev Smartkort m/leser KUNDE

4. Ønsket måloppnåelse i PKI-piloten • Verifisere sikkerhetsmessige aspekter innen PKI • Integritet • Autentisering • Konfidensialitet • Ikke-benekting

5. Fremdriftsplan Avsluttet arbeid Forstudie 2002 Etablering av PKI-løsning 2003 Gjennomføring av pilot Januar 2004 Mulighetsstudie 2001 Evaluering av pilot Mars 2004 Status i dag Sluttrapport levert 15.11.05 Utrulling og driftssetting for FS/MSTAS og BI Manuell og PKI ved piloter 01.01.05 Helhetlig løsning til alle læresteder i høyere utdanning 01.08.05 Beslutning om videre samarbeid med Altinn 01.07.04 Prosesskart for prosesser ferdigstilt (”to be”) 15.03.04 Beslutning valg av piloter 02.04.04 Løsning etablert 01.09.04 Prosjektets faser Spesifikasjon Utvikling og testing Kartlegging Innføring

6. Hvilke valg tok Lånekassen • Altinn • Mulighetene til å kunne redusere Lånekassens ansvar og ressurspådrag i realisering av løsning • Buypass • Høyest tilgjengelige sikkerhetsnivå, samt kommersielt tilgjengelig • Lånekassens ansvar som pilot • I forhold til andre etater i Altinn • I forhold til andre i Forvaltningen som ønsker å ta PKI i bruk

7. Deltakere i piloten • Altinn mottaksprosjektet • Eget delprosjekt for PKI hvor Lånekassen var sentral • Altinn leveranseprosjektet • Accenture med Buypass som underleverandør • Høgskolen i Lillehammer

8. Brukerundersøkelsen • Evalueringsrapport fra Statskonsult overlevert 05.03.04 • Pilot 251 signerte – spørreundersøkelse gikk ut til 270 og 217 har svarte • Noen funn: • PKI valgt pga enkelhet og økonomi, sikkerhet lite interessant • Høyere tillitt til digital signatur enn håndskreven signatur (etter signreing) • Lite betalingsvillighet hos studentene, men positive dersom kortet kan brukes til andre ting • Umettelig behov for informasjon • fire av fem er sikre på at de vil bruke det i fremtiden - en av fem vet ikke (etter signering) • Behov for brukerstøtte stort (51% - Lånekassens observasjon tilsier enda høyere behov)

9. Nytteverdi • Økt teknologisk og juridisk kompetanse innenfor PKI • Etableringsprosessen i forhold til ny etat i Altinnsamarbeidet • Bekreftelse på at løsningen kan la seg realisere i full skala • Tilrettelegger for at andre virksomheter kan benytte de løsninger og den infrastruktur som er etablert

10. Objekter som må sikres • Forvaltningsvedtak om tildeling av støtte • Låneavtale • Gjeldsbrev • (melding om vedtak, underretning av vedtak, bekreftelse på mottak)

11. Melding om vedtak • Fvl § 15 a – forskrift § 6 nr 2 – kunden godtatt bruk av elektronisk kommunikasjon og oppgitt sin e-postadresse • Bør være mulighet til nedlastning i tilfelle der samtykke ikke er gitt på forhånd – særlig dersom det blir full utrulling slik at alle vedtak er tilgjengelig elektronisk • Meldingen kan sendes usikret

12. Vedtak • Forvaltningsloven – Lånekassen påse at ikke taushetsbelagte opplysninger blir tilgjengelig for uvedkommende (§ 13 og forskrift til § 15 A - § 3 (§6 nr 4 og § 23 nr 4)

13. Underretning om vedtak • Forskrift § 6 nr 1 og 2 – registrere tidspunktet for når parten har skaffet seg tilgang til vedtaket samt data som bekrefter vedkommendes tilknytning til saken. • 7 dagers frist – iverksette papirbasert løsning

14. Låneavtalen • Finansavtaleloven – §§ 46 og 47 – skriftlighet – hensikt å oppnå bevis for at avtalen er inngått med et bestemt innhold og i den hensikt å inngå en rettslig bindende avtale – innfortolket et krav om underskrift på avtalen • § 8 – skriftlighet ikke noe hinder for elektronisk kommunikasjon, vilkår at kunden ønsker å inngå låneavtale elektronisk, avtalens innhold må i sin helhet være tilgjengelig ved avtaleinngåelsen og at det er benyttet betryggende metode for å identifisere kunden og bekrefte inngåelsen av en avtale med gitte innhold

15. Gjeldsbrev • Gjeldsbrevloven ikke formkrav om underskrift, ikke noen direkte hindring i å avgi en skylderklæring elektronisk • Tvangsfullbyrdelsesloven – hindring for etablering av eksigibilitet ved bruk av elektronisk signering

16. Lånekassens krav • Forretningsdrift • Juridiske krav • Tillit • Trusselhåndtering

17. Sikkerhetsfunksjoner • Integritet • Konfidensialitet • Ikke-benekting • Autentisering

19. Sikkerhetsnivå

20. Oppsummering av sikkerhetskrav

21. KonklusjonLånekassens krav til elektronisk signatur juli 2002 • Tilgang til elektronisk vedtak og digital signering av låneavtale og gjeldsbrev krever Public Key Infrastructure (PKI-funksjonalitet) som benytter kvalifisert sertifikat og sterk ikke-benekting • Den elektroniske signaturen skal ligge så nær opp til kvalifisert signatur som mulig.

22. Elektronisk kommunikasjon – hva krever det? • Frivillighet mellom partene • Tilrettelegging av et enkelt og forståelig system /informasjon • Tilgang til opplysningene i ettertid på en enkel måte • Skape tillitt for begge parter

23. Erfaringer • Uoversiktlig rettslig situasjon • Manglende miljø • Ressurskrevende • Utfordrende