SAK 18-2022: Prosjekt 923103. Autorisasjon - Tiltak 3

[fsveinsb]

Autorisasjon - produktbeskrivelse

Altinn Autorisasjon gir mulighet til å styre hvem som skal kunne gjøre hva med hvilke data i det offentlige og i samspillet mellom offentlig og privat.

Autorisasjonskomponentene gir funksjonalitet for tilgangsstyring og -kontroll for digitale og analoge tjenester, uavhengig av om tjenestene kjører på Altinn-plattformen eller andre steder.

I et typisk brukerscenario vil en hendelse utløses, data leses, oppdateres eller opprettes av en digital eller analog tjeneste. Tjenesteeieren, som er eier av tjenesten, kan i autorisasjonsløsningen definere forretningsregler som avgjør hvem som har tillatelse til å bruke tjenesten.

Altinn Autorisasjon gir mulighet til å verifisere og håndheve disse forretningsreglene. Med autorisasjonsløsningen kan tjenesteeierne sikre at bare de som har fullmakt og er autorisert kan få tilgang til og endre dataene. Dette bidrar til å beskytte sensitive opplysninger og forhindre uautorisert tilgang til tjenestene.

Fra brukers ståsted gir Altinn Autorisasjon virksomheten eller innbygger én plass de kan skaffe oversikt over hvem som kan opptre på dine vegne og én plass å administrere tilgang til offentlige digitale tjenester.

Dette gjør autorisasjonskomponentene til en viktig del av Altinn-plattformen og andre digitale tjenester.

Figur Brukere av autorisasjonskomponenten

Autorisasjonskomponenten støtter i 3 hovedgrupper med tjenester:

1. Tjenester som kjører på Altinn-plattformen
   Altinn Autorisasjon brukes til å styre tilgang til samtlige tjenestetyper i Altinn og er en forutsetning for at disse tjenestene skal fungere.
   Dette innebærer at Altinn Autorisasjon må

   • sikre at riktig bruker får tilgang til alle arkiverte skjema og meldinger som ligger i brukers brukerflate (innboks/arkiv) i Altinn.
   • sikre at riktig bruker får tilgang til å fylle ut, signere og sende inn nye rapporteringer til offentlige etater via Altinn
   • sikre at regnskapsfører og revisor får opptre på vegne av sine klienter i forbindelse med rapportering via Altinn
   • sikre at ansatte og andre får opptre på vegne av virksomheter i dennes dialog gjennom Altinn med det offentlige
   • sikre at systemer som benytter Altinn sine API får tilgang til nødvendige data og tjenester for sine brukere. Dette er systemer som organisasjoner benytter i sin virksomhet. Disse systemene er knyttet mot Altinn og bidrar til forenkling og effektivisering hos virksomheten

2. Tjenester som ikke kjører på Altinn-plattformen
   Altinn Autorisasjon brukes av offentlige etater til å styre tilgang til tjenester som ligger på deres egne plattformer. Eksempler på dette er tilgangsstyring til Min skatt på skatteetaten.no, Arbeidsgivertjenesten på nav.no eller systemleverandørers tilgang til API som er beskyttet via Maskinporten.

3. Samtykke til deling av data
   En annen bruk av Autorisasjon er som samtykkeløsning for å dele data. Det innebærer at en innbygger eller virksomhet kan gi samtykke til at data lagret hos offentlig etat eles med en annen aktør. Et eksempel på bruk av denne funksjonaliteten i dag er når en lånesøker gir banken samtykke til at de kan hente inntekts- og skatteopplysninger direkte fra Skatteetaten sine API. Et annet eksempel er innhenting av samtykke fra innbyggere for at barn skal delta på nettundervisning, for deltakelse i forskning eller for å dele data gjennom datadelingstjenesten hos Digdir.

Modernisering av autorisasjon

I forbindelse med modernisering og flytting av løsningen fra dagens plattform har vi valgt å utvikle Altinn Autorisasjon helt på nytt som en selvstendig komponent på Altinn 3 plattformen. Dette sikrer at vi kan tilby Autorisasjon som et eget produkt og vil sikre skalerbarhet. Det gjør det også mulig å øke endringstakten i løsningen, samtidig som risiko for feil reduseres.

I løpet av Altinns levetid har virksomheter investert mye tid i å registrere representasjonsforhold mellom virksomheten og sine ansatte og andre som utfører oppgaver på deres vegne. Disse representasjonsforholdene er svært viktige for at virksomheter skal kunne utføre sine daglige funksjoner, f.eks. tolldeklarering på grensen, regnskapsfører og revisors rapporteringer for klienter, oppslag i Folkeregisteret fra kommuner, søknad om lån hos banker og mange, mange flere.

Ved modernisering og flytting av Altinn Autorisasjon er det svært viktig at dette gjøres på en slik måte at tjenester ikke blir utilgjengelig for brukere eller systemer som skal utføre dem, eller at man pålegger virksomheter å registrere alle nye representasjonsforhold på nytt i en ny løsning.

Vi har derfor valgt å bygge ny løsning og flytte funksjonalitet fra Altinn II til Altinn 3 bit for bit. Dette er viktig for å redusere risiko i forbindelse med migreringsløpet og for å sikre at sluttbruker uavhengig av hvor Autorisasjon kjører kan fortsette å utføre sine tjenester uforstyrret. Det gir oss også mulighet til å teste ut både design-, teknologi- og arkitekturvalg underveis for å sikre at valgene støtter opp om de mål som er satt.

Dokumentasjon

Se dokumentasjon av autorisasjonsløsningen for mer informasjon

Roadmap

Se roadmap for overordnede leveranser i moderniseringen.

[fsveinsb]

@sivaglen Da har jeg redusert estimatet fra 24 til 12.

[fsveinsb]

@sivaglen Jeg har lagt henvisninger til tildelingsbrevet for 2022

I tildelingsbrevet for 2022 skriver departementet
"Arbeid med migrering av eksisterende brukere fra gammel Altinn-plattform og rekrutering av nye virksomheter til Tjenester 3.0 er også en viktig prioritering i 2022"

"Videre skal direktoratet opprettholde framdrift og leveranseevne i allerede igangsatte utviklingstiltak, herunder Tjenester 3.0."

Styringsparametre under mål 3.3
"Progresjon i overføring av tjenester fra Altinn Tjenester 2.0 til Altinn Tjenester 3.0. "

Er det annet som det bør vises til ?

[fsveinsb]

Kan vi sette sluttdato for dette porteføljetiltaket til Q4 2024 i stedet for Q2 2025? - da har vi litt slakk før avtalene utløper juni 2025. En annen ting, kunne du ha beskrevet konseptet neste gang denne saken skal legges frem og vi går over til implementering - dette ble jo også etterspurt i dagens møte :-)

[fsveinsb]

Kan vi for det fremtidige produktet autorisasjon beskrive konseptet gjennom:

• Produktet er autonomt
• Produktet heter autorisasjon og ikke Altinn autorisasjon
• Produktet er bundet sammen med øvrige produkter gjennom APIer og er ikke vevd sammen.
• Det kreves ikke kodeendringer hvis produktet skal flyttes til en annen plattform.
• Det finnes registre som deles med andre produkter (f.eks Enhetsregisteret) som kan være unntak til autonomitet (?)

Noe i den dur?

[fsveinsb]

@sivaglen Får du redigert på dette issuet nå?

[fsveinsb]

@rtafj Trenger dette tiltaket en oppdatering ? Sjekk også om løsningsbeskrivelsen for autorisasjon som ligger som eget vedlegg i styringsdokumentet for moderniseringsprosjektet kan inneholde tekst som skal limes inn her