Kwalifikacja: INF.03 - Tworzenie i administrowanie stronami i aplikacjami internetowymi oraz bazami danych

W usługach urzędowych online kluczowe jest nie tylko „rozpoznanie” użytkownika, ale pewne, silne potwierdzenie jego tożsamości. Typowym błędem jest myślenie, że wystarczy podać jakieś dane osobowe, takie jak imię i nazwisko, numer dowodu czy NIP, żeby urząd mógł bezpiecznie wykonać operację. Te informacje są w dużej mierze jawne albo stosunkowo łatwe do zdobycia, więc nie mogą być traktowane jako mechanizm autoryzacji. To są dane identyfikacyjne, ale nie uwierzytelniające. Seria i numer dowodu osobistego to tylko oznaczenie dokumentu, a nie środek logowania. Numer dowodu możesz pokazać w hotelu, w wypożyczalni sprzętu czy na umowie, więc z definicji nie może być traktowany jak hasło. Z punktu widzenia bezpieczeństwa byłoby wręcz nieodpowiedzialne, gdyby urząd opierał dostęp do e-usług na takim numerze, bo jego wyciek jest bardzo prawdopodobny. Imię i nazwisko to już w ogóle informacja publiczna – można je znaleźć w social mediach, w rejestrach, na wizytówkach. To bardziej etykieta osoby niż jakikolwiek mechanizm kontroli dostępu. Podobnie numer NIP, choć jest bardziej „urzędowy”, służy do identyfikacji podatnika lub firmy w systemach podatkowych i gospodarczych, ale nie do logowania. NIP widnieje na fakturach, ofertach, stronach firmowych, więc również nie spełnia kryteriów tajności, które są wymagane dla bezpiecznej autoryzacji. Wiele osób myli identyfikację z uwierzytelnianiem: identyfikacja mówi „kto to jest”, a uwierzytelnianie „udowodnij, że naprawdę jesteś tą osobą”. Do tego potrzebny jest mechanizm taki jak profil zaufany, czyli rozwiązanie powiązane z PESEL, zweryfikowane przez zaufaną instytucję i chronione dodatkowymi warstwami bezpieczeństwa, zgodnie z dobrymi praktykami e-administracji i ogólnymi zasadami bezpieczeństwa systemów teleinformatycznych.