Beperken, beperken, beperken
Het is op zich al een aardige prestatie om jaarlijks voor 400 Euro een bestand van 1000 bytes te verkopen, maar het zou natuurlijk nog leuker zijn als een organisatie jaarlijks niet één bestandje, maar 20 of 50 bestandjes aanschaft. En dat is wat onze overheid de Certificaat Dienstverleners heeft gegund.
Dat heeft men bereikt door wat je mag doen met één certificaat kunstmatig zoveel mogelijk te beperken.
1. Alleen natuurlijke personen krijgen een certificaat
Het Amerikaanse Verisign geeft certificaten uit aan bedrijven, ze hebben het karakter van een firmastempel, welke weer gebruikt kan worden om namens het bedrijf te tekenen. Zo niet in Europa, een digitale handtekening moet hier wettelijk altijd verbonden zijn aan een persoon. En in de meeste bedrijven is het niet alleen de directeur die iets mag tekenen, maar ook bijvoorbeeld ook alle medewerkers van het secretariaat of de afdeling goederenontvangst in het magazijn. Als de secretaresse tijdelijk wordt vervangen door een uitzendkracht moet die uitzendkracht weer een nieuw certificaat krijgen.
2. Voor elke functie een apart certificaat
Natuurlijk mag niet iedereen alles tekenen, dus moet in het certificaat ook de bijbehorende bevoegdheden zijn opgenomen, bijvoorbeeld voor welk bedrag men mag inkopen, of een directeur zelfstandig bevoegd is etc.
Medewerkers met meerdere functies moeten daarom meerdere certificaten hebben, en telkens als iemand een andere functie krijgt, moet een nieuw certificaat worden aangeschaft.
3. Certificaten mogen alleen gebruikt worden binnen een doelgroep
Leuk is de vondst is de bepaling van de overheid dat certificaten afgeleid van de Overheid beperkt worden tot de rechtspersoon Staat der Nederlanden. Dat betekent dat je bijvoorbeeld voor het inleveren van belastingaangiftes en voor Centraal Bureau voor de Statistiek twee afzonderlijke certificaten nodig hebt (Het CBS is geen onderdeel van de Staat, maar een ZBO, een aparte rechtspersoon). Voor elke gemeente heb je een apart certificaat ndoig, en omdat veel gemeentediensten aparte rechtspersonen zijn, ook voor hen een apart certificaat. De Algemeen Directeur van een bedrijf die alles mag tekenen, is direct ook nog onbezoldigd administrateur van al zijn certificaten.
4. Iedereen moet 3 certificaten hebben
Een normaal mens heeft precies een handtekening, of je deze nu zet op wit, geel of groen papier, niemand komt op het idee hiervoor aparte handtekeningen te gebruiken. In de PKI structuur heeft ook iedereen aan één certificaat voldoende.
Zo niet volgens de overheid, van de overheid moet een door zelfs voor PKI experts moeilijk te doorgronden onderscheid gemaakt tussen verschillende soorten handtekeningen. Het resultaat is dat iedereen 3 certificaten nodig heeft: eentje voor bewijs van identiteit, eentje voor het zetten van je handtekening en eentje voor het versleutelen van gegevens.
5. Certificaten zijn slechts één jaar geldig
Je eigen handtekening verandert nauwelijks, geen mens komt op het idee die elk jaar te vervangen. Certificaat Dienstverleners hebben het voorbeeld van Verisign in acht genomen, en men limiteert de geldigheid tot één jaar, wat dus betekent dat je elk jaar een nieuw certificaat mag aanschaffen en vervolgens op een computer installeren. Installatie is een kwetsbaar en moeilijk proces, waarbij van alles mis kan gaan. Erg betrouwbaar en doordacht is deze keuze voor één jaar dan ook niet, maar het dwingt wel iedereen om elk jaar opnieuw te betalen. Onze arme directeur moet dus elk jaar al zijn certificaten vervangen, het is te hopen dat hij maar één computer heeft, en zich nog kan herinneren hoe het allemaal moest.
