PETweb II - Privacy-respecting Identity Management for e-Norge

PETweb II Prosjektet har adressert samfunnsmessige utfordringer i tilknytning til identitetsstyring (eng. Identity Management) Identitetsstyring adresserer koblingen mellom fysiske personer og deres elektroniske navn og identitetsinformasjon som f eks per sonnummer og epost adresse eller brukernavn på et informasjonssystem. Valg av løsning for identitetsstyring kan påvirke både personvern og robusthet overfor identitetstyveri. PETweb II har fokusert på å fremskaffe ny kunnskap innen forståelse av risiko i tilknytning til elektroniske identiteter gjennom et multidisiplinært perspektiv. Prosjektet har bygget på kunnskap innen jus, psykologi, økonomi, og informatikk. I det juridiske perspektivet har en tatt utgangspunkt i et europeiske direktiv (European Dir ective for Data Protection). Vi har gjennomført en grundig analyse av tekniske og organisatorisk krav aktuelle for personvern vennlig håndtering av elektroniske identiteter. Vi har utviklet en metode (EM-BRAM) for risikoanalyse av identitetsstyringssyste mer. Metoden er diagrambasert og er egnet til å modellere kommunikasjon mellom brukere, brukeres terminal og systemene som brukeren kobler seg til. Modellene som er konstruert bidrar bl a til en bedre forståelse av hvordan identitetsrelatert informasjon flyter i et IT system, og i hvilken grad personvern og sikkerhetskrav kan oppfylles av systemet. Prosjektet har utviklet CIRA (Conflicting Incentives Risk Analysis) der en ser menneskelig risiko i et helt nytt perspektiv ved at den unngår bruk av sannsy nlighetsbegrepet. Dette er blitt gjort fordi det i praksis har vist seg at det er svært vanskelig å produsere realistiske sannsynlighetsestimater innenfor prosjektets fokusområde. I CIRA blir risiko formulert som fravær av samstemmighet mellom risiko e iers og andres interesser. F eks vil en ha stor risiko dersom noen kan velge å utføre en handling der de selv vil oppleve en gevinst samtidig som risikoeier vil oppleve et tap. Prosjektet har resultert i 47 internasjonale fagfelle evaluerte artikler og f inansiert utdanning av 2 dr grader.

The computerization of administration and private business requires the management of various aspects of people?s identities on information systems. Identifiers, passwords, personal profiles, pseudonyms, person numbers, social security numbers, patient nu mbers and various other identifiers such as e-mail addresses, credit card numbers, passport numbers and bank account numbers are used to uniquely identify information system users or citizens. Some of these identifiers and their attached authentication a nd identity information are very mobile, and spread out many information systems and purposes. As recently discussed concerning the Norwegian citizen person number, such a function shift can pose serious risk to government and citizens, and open opportuni ties for criminals. The choice of an identity management approach has severe consequences on the way the information system can use, store, combine and possibly misuse person-related information . The choice of a scheme for identity management and electr onic identifiers is a critical step for IT projects. PETweb II aims at providing scientific support for such choices, in particular supporting: - The analysis of specific technical and regulatory privacy and security risks connected to the choice of a n identity management approach - The development of a reference model for privacy-respecting identity management - Research and development of a simulation and modeling method for privacy consequences of identity management systems The project addresse s societal challenges concerning the future of electronic identifiers and electronic identities. The implication of such identities reach from today's crime ('identity theft') to long-term privacy implications and fundamental rights such as informational self-determination. Electronic identifiers penetrate all aspects of information systems and their contact with society, ranging from e-mail addresses up to social security numbers and electronic passport.