Ferill 778. máls. Aðrar útgáfur af skjalinu: PDF - Word Perfect.
144. löggjafarþing 2014–2015.
Þingskjal 1637 — 778. mál.
Svar
iðnaðar- og viðskiptaráðherra við fyrirspurn frá
Svandísi Svavarsdóttur
um öryggi rafrænna skilríkja.
1. Hefur farið fram skipulagt mat á öryggi og hugsanlegum göllum á öryggi þeirra rafrænu skilríkja sem fyrirtækið Auðkenni ehf. veitir gegn þóknun og voru gerð að skilyrði þess að samþykkja niðurfærslu verðtryggðra húsnæðislána?
Lög nr. 28/2001 gilda um notkun rafrænna skilríkja sem undirritunarbúnað. Markmið laganna er að kveða á um réttaráhrif rafrænna undirskrifta og stuðla að öruggri og árangursríkri notkun þeirra með því að mæla fyrir um kröfur til fullgildra rafrænna undirskrifta, fullgildra vottorða og starfsemi vottunaraðila sem gefa út slík vottorð. Vottunaraðili þarf að uppfylla kröfur laganna og reglugerðar nr. 780/2011 um rafræn viðskipti. Auðkenni er vottunaraðili í skilningi laganna. Rafræn skilríki sem Auðkenni gefur út eru annars vegar á korti og hins vegar í farsíma.
Í 6. gr. laganna kemur fram að ekki megi nota heitið „fullgilt vottorð“ eða önnur heiti sem gefa til kynna að um fullgilt vottorð sé að ræða nema vottorð uppfylli ákvæði 7. gr. og sé gefið út af vottunaraðila sem uppfyllir ákvæði V. kafla laganna. Í 7. gr. er upptalning á þeim þáttum sem fullgild skilríki þurfa að hafa að geyma og jafnframt er þar að finna heimild fyrir ráðherra til að setja frekari reglur. Þá fjallar fyrrnefndur V. kafli laganna um þær kröfur sem gerðar eru til vottunaraðila sem gefa út fullgild vottorð.
Í IV. kafla laganna er fjallað um það hvað teljist öruggur undirskriftarbúnaður. Öruggur undirskriftarbúnaður skal tryggja að undirskriftargögnin geti eingöngu komið fram einu sinni, verði með hliðsjón af eðlilegum öryggiskröfum ekki brotin upp og undirskriftargögnin séu varin með fullnægjandi hætti gegn notkun annarra en undirritanda. Þá skal öruggur undirskriftarbúnaður einnig tryggja leynd undirskriftargagna með fullnægjandi hætti og að rafræn undirskrift sé varin gegn fölsun. Auk þessa skal ekki vera unnt að nota öruggan undirskriftarbúnað til að breyta þeim gögnum sem undirrita á eða hindra að undirritandi geti séð gögnin fyrir undirritun. Í 9. gr. kemur fram að kröfur til undirskriftarbúnaðar teljast uppfylltar þegar þar til bær aðili hefur staðfest að undirskriftarbúnaður uppfylli kröfur 8. gr. laganna. Jafnframt telst undirskriftarbúnaður uppfylla kröfur 8. gr. ef hann er í samræmi við staðla sem framkvæmdastjórn Evrópusambandsins hefur sett um slíkan búnað og birtir hafa verið í Stjórnartíðindum ESB.
Auðkenni ehf. er undir eftirliti Neytendastofu og hefur tilkynnt sig á grundvelli laga nr. 28/2001 og 22. gr. reglugerðar nr. 780/2011. Í þessu felst að fyrirtækið hefur sent ítarleg gögn um starfsemi sína og uppfyllt kröfur laganna sem gerðar eru til vottunaraðila sem gefur út fullgild vottorð, sbr. V. kafli laganna. Í kjölfar tilkynningar um útgáfu fullgildra vottorða fóru fram margir og ítarlegir fundir með fulltrúum fyrirtækisins á árunum 2008–2011. Tilgangur þeirra var að fara yfir framlögð gögn og upplýsingar. Auk þess hefur Neytendastofa gert úttekt á verklagi við afhendingu skilríkja hjá fjármálafyrirtækjum. Jafnframt hefur ein ítarleg öryggisúttekt farið fram frá því að Auðkenni hóf útgáfu fullgildra vottorða. Í lögunum eru ítarleg ákvæði er varða eftirlitsheimildir með starfsemi vottunaraðila á fullgildum vottorðum. Í samræmi við ákvæði laganna er Auðkenni undir eftirliti Neytendastofu og uppfyllir allar kröfur sem gerðar eru samkvæmt ákvæðum laga nr. 28/2001 sem hafa m.a. það markmið að tryggja öryggi skilríkjanna.
Auk framangreindra úttekta og eftirlits Neytendastofu var gerð úttekt á öryggisstigi rafrænna skilríkja af ráðgjafarfyrirtækinu Admon. Notast var við svokallað QAA-matskerfi sem er kennt við STORK-verkefnið. STORK (Secure Identity Across Borders Linked) var samstarfsverkefni 18 Evrópuþjóða um uppbyggingu á kerfi fyrir samvirkni rafrænna auðkenna milli landa. Ein af meginafurðum verkefnisins var samkomulag allra þátttakenda um svokölluð fullvissustig (öryggi) rafrænna auðkenna og skilgreiningu á undirliggjandi kröfum. Skilgreiningin var gefin út á skjalinu D2.3 Quality authentication shceme [1] og er venjulega vísað til hennar sem „STORK QAA“. Í STORK QAA eru sett fram fjögur fullvissustig, QAA-stig 1–4. Þannig er fullvissa QAA 1 lítil sem engin og QAA 4 er mjög mikil fullvissa.
Þegar metið er hvaða fullvissustigi rafræn skilríki tilheyra þarf að meta öll þrep í notkun skilríkjanna. Miðað er við að skipta ferlinu í tvö þrep, þ.e. fullvissu við skráningu og afhendingu og svo fullvissu við beitingu í rafrænum ferlum. Þessum þrepum er svo skipt í smærri þrep. Þannig er fyrrnefnda þrepinu skipt í þrjár smærri einingar og því síðarnefnda í tvær smærri einingar. Svo er hverri einingu fyrir sig gefin stig, QAA 1 til QAA 4. Þegar öryggislegur styrkleiki tiltekna rafrænna auðkenna er metinn ræður lægsta einkunn í ferlinu niðurstöðunni. Þannig mundi öryggisstig rafræns skilríkis sem fær QAA 4 fyrir fullvissu í beitingu skilríkja en QAA 1 í fullvissu við skráningu og afhendingu, vera QAA 1. Það er sem sagt veikasti hlekkurinn sem takmarkar það traust sem hægt er að bera til rafrænnar sannvottunar með tilteknum rafrænum skilríkjum. Nýlega gaf Admon út viðauka við fyrri matsskýrslu þar sem fullvissustig rafrænna skilríkja Auðkennis á farsíma var metið sérstaklega út frá umgjörð í alþjóðlega staðlinum ISO/IEC 29115:2013. Öryggisstig í staðlinum eru sambærileg við QAA en eru skammstöfuð LoA (Level of Assurance).
Áður en farið er yfir niðurstöðu Admon á öryggisstigi rafrænna skilríkja á farsímum er mikilvægt að átta sig á því á hvaða grunni skilríkin byggjast. Rafræn skilríki á farsímum eru gefin út af Auðkenni undir Íslandsrót og byggja á dreifilyklakerfi Íslandsrótar (e. public key infrastructure – PKI). Uppruni traustsins er Íslandsrót sem er sjálfundirrituð rót í eigu ríkisins. Fjármála- og efnahagsráðuneytið rekur vottunarstöð Íslandsrótar og tryggir trúverðugleika rótarinnar. Rafræna sannvottunin byggist á nokkrum þáttum í dreifilyklaskipulaginu, m.a. staðfestingu á umráðum krefjandans yfir eina lyklinum sem byggist á dulritun. Rafrænu skilríkin eru því margþætt; þau eru vottorð, undirskriftarbúnaður, dulritunarbúnaður og þau eru örugg hirsla fyrir einkalykil sem er leynilykill notaður sem dulmálslykill bæði í sannvottun (auðkenningu) og við myndun rafrænnar undirskriftar.
Einkunnin sem Admon gefur rafrænum skilríkjum Auðkennis ehf. í síma og korti er LoA4 (sambærilegt við QAA 4) en allar einingar ferlisins fá einkunnina 4. Til samanburðar má nefna að Íslykill Þjóðskrár Íslands fær einkunnina QAA 2 þar sem hæsta eining ferlisins fær einkunnina 3 en aðrir hlutar fá einkunnina 2. Innskráning á netbanka með auðkennislykli fær einkunnina QAA 3 (sem lokað kerfi) og fær hæst QAA 4 fyrir verklag við auðkenningu og útgáfuferli auðkenna. Jafnframt má til samanburðar skoða OCES og NemID í Danmörku sem eru skilríki sem nota má sem auðkenningarskilríki, undirskriftarskilríki eða dulritunarskilríki en þau fá einkunnina QAA 2.
Af þessu má ráða að fullvissa rafrænna skilríkja í síma er mikil og fær hæstu einkunn samkvæmt þeim stöðlum sem gilda um rafrænar undirskriftir og notaðir eru í Evrópu. Þá uppfylla skilríkin skilyrði laga og reglugerða sem gilda um rafrænar undirskriftir.
2. Hvaða áform eru uppi um að kynna notendum áðurnefndra rafrænna skilríkja þá hugsanlegu öryggisgalla sem geta orðið til þess að óviðkomandi aðilar misnoti rafræn skilríki til að villa á sér heimildir í annarlegum tilgangi?
Við útgáfu skilríkja hér á landi er notað hæsta fullvissustig og verklag sem er í samræmi við almennt verklag í þessum efnum á Evrópska efnahagssvæðinu. Ljóst er að með nýrri tækni, svo sem afhendingu skilríkja í farsíma neytenda í stað þess að þau séu aðeins afhent á kort, þá er mikilvægt að neytendur séu meðvitaðir um þá áhættu sem fylgir þeirri nýju tækni og um nýjar hættur sem koma í ljós. Það gildir ekki aðeins um rafræn skilríki sem þeir nú varðveita á farsíma sínum heldur einnig öll önnur persónuleg gögn, svo sem myndir og aðrar upplýsingar, enda eru þessi tæki ekki lengur aðeins símtæki heldur litlar persónulegar tölvur með alls kyns persónulegum upplýsingum er varða notandann. Þetta gildir um öll rafræn skilríki hvort sem þau eru á korti, í síma eða útfærð með öðrum hætti.
Ráðuneytið telur því mikilvægt að almenn umræða og ábendingar af hálfu fjarskiptafyrirtækja um þetta sé gagnleg. Mikilvægt er að átak sé gert í því að upplýsa og fræða neytendur með hvaða hætti þeir geti læst t.d. slíkum tækjum þannig að óviðkomandi aðilar hafi ekki aðgang að farsímanum, eða „smátölvunni“ sem hann er núorðið, og láta þá vita þegar upp kemst um nýjar aðferðir. Þetta hefur fjármála- og efnahagsráðuneytið m.a. gert með fréttatilkynningu 18. júní sl. þar sem birt var framangreind skýrsla Admons og fyrirhugað er að birta frekari skýrslur og upplýsingar eftir því sem þörf er á. Á vefnum Netöryggi.is á vegum Póst- og fjarskiptastofnunar er stigið mikilvægt skref í þessa átt með umfjöllun um verndun farsíma, en þar er einnig að finna leiðbeiningar og fræðsluefni um öryggismál, neytendavernd, persónuvernd og siðferðileg álitaefni sem tengjast sívaxandi notkun á upplýsinga- og fjarskiptatækni. Ráðuneytið telur að sameiginlegt kynningarátak fjarskiptafyrirtækja, sem og annarra aðila sem vinna að neytendavernd, svo sem Neytendastofu, Persónuverndar o.fl., gæti verið til þess fallið að vekja almenna athygli á mikilvægi þess að neytendur verji persónuupplýsingar sínar og þar með aðgang að þeim tækjum sem þeir nota og sýni almenna varkárni til að koma í veg fyrir meinfýsna eða sviksamlega notkun af hendi annarra.
3. Hvaða opinberi aðili fer með eftirlit með rafrænum öryggismálum af því tagi sem rafræn skilríki ná yfir? Hvaða sérfræðiþekkingu á rafrænu öryggi er þar að finna?
Neytendastofa hefur frá því að lög nr. 28/2001 voru samþykkt á Alþingi farið með eftirlit með lögunum. Á umliðnum 15 árum hefur safnast þar fyrir þekking á öllum þáttum laganna, stofnunin hefur samið ítarlegar reglur um eftirlitið og farið yfir öll gögn sem varða starfsemi vottunaraðila. Starfsemi Neytendastofu skiptist í nokkur svið, þ.e. stjórnsýslusvið, mælifræðisvið, öryggissvið og neytendaréttarsvið. Hjá Neytendastofu starfa nú 17 manns og aðkoma að rafrænum málum er í höndum sérfræðinga, sem og lögfræðinga, vegna verklags eftirlitsins sem þarf að standast kröfur stjórnsýslulaga, nr. 37/1993. Í þessu samhengi er rétt að benda á 3. mgr. 18. gr. laga nr. 28/2001 sem heimilar Neytendastofu að tilnefna aðila til að annast endurskoðun á kerfi, búnaði og starfsskipulagi vottunaraðila sem gefa út fullgild vottorð á kostnað hins eftirlitsskylda aðila. Öll sérþekking sem þarf til eftirlits með starfsemi vottunaraðila er því að öllu leyti tryggð jafnt með ákvæðum laganna, svo og eftirlitsheimildum Neytendastofu.
