BankID-signering mot vanlig e-signatur: to ulike spørsmål

Hvis spørsmålet er 'kan noen late som de var daglig leder', er BankID og tilsvarende eID svaret. Register, høy tillit, kjedelig og riktig for store beløp og fremmede.

Hvis spørsmålet er 'har vi et spor på at Lina så PDF-en og sa ja på tirsdag', er SES svaret. E-post, felt, tid, kanskje IP. Det overbeviser en voksen i de fleste oppdrag. Det overbeviser ikke en kausjonsbank som har skrevet QES i policyen.

Velg spørsmål først. Verktøy etterpå. Omvendt rekkefølge er hvordan du kjøper QES til en intern lunsjavtale.

En kompromittert e-post er SES-marerittet. En stjålet eID er QES-marerittet. Ulike alarmer. Ulike mottiltak. Én 'sikkerhet' slår ikke begge.

Den knytter handlingen til en identitet som bankene og det offentlige allerede stoler på. Det er tungt å late som du er noen andre uten å ha stjålet en eID. SES med en åpen lenke er lettere å misbruke hvis innboksen er kompromittert eller adressen er gjettet.

Derfor sender vettuge SES-løp personlige lenker og noen ganger en kode. Det hever lista. Det blir ikke QES. Det blir mindre flaut.

BankID gnisser når motparten er et studio i Lisboa. Da er 'vi krever norsk eID' et forretningsnei forkledd som sikkerhet.

Internasjonale styremedlemmer uten BankID er et filter du må ville ha. Ellers har du designet et norsk-only løp og kalt det governance.

PAdES sitter i PDF-en. Bytt ut et avsnitt etterpå, og den kryptografiske sjekken feiler. BankID-sesjoner kan logges hos tilbyderen uten at selve PDF-en bærer et stempel Acrobat skjønner. Ulike lag.

Du kan ha QES uten at du forstår PAdES, og PAdES uten QES. Det siste er SES-identitet pluss filmatematikk. Acrobat kan klage på CA-en. Matematikken kan likevel holde mot den CA-en.

Et ærlig produkt sier: ikke kvalifisert, ikke BankID, integritet mot vår utsteder. Tro det. Ikke oppgrader det i hodet til folkeregister.

Ikke la markedsavdelingen skrive BankID-nivå om en tegning. Det er den setningen som gjør at juristene slutter å stole på resten av teksten.

Ukjent motpart, stort beløp, du aner tvist, eller en forskrift peker på kvalifisert nivå. Da er SES latskap, ikke pragmatisme.

Også når du later som SES er BankID i en e-post til styret. Da har du et styringsproblem, ikke et PDF-problem.

For gjentatte relasjoner — samme oversetter, samme snekker, samme byrå — er SES med logg det voksne. Dere vet hvem dere er. Dere trenger at ja-et ikke forsvinner i Slack.

Ja. Policy på én side: QES/BankID for X, SES for Y. X er pant, kausjon, det styret har sagt, det kommunen krever. Y er NDA, SOW, tre siders oppdrag.

Ikke la hvert team velge i panikk. Da får du fire verktøy og ingen arkiv. Ett SES-spor, ett QES-spor, ferdig.

Lær motparter med én setning i utsendelsen: 'dette er ikke BankID; det er et ja til PDF-en med logg'. De som trenger mer, sier ifra før de klikker, ikke etter.

Nivå. SES eller QES. Ikke 'sikker signatur'. Ordet sikker betyr ingenting.

Hva Acrobat vil vise. Hvis CA-en er ukjent, si gul trekant. Hvis det er kvalifisert og på listen, si det. Overraskelse er det som skaper myten om at 'elektronisk ikke gjelder'.

Hvor beviset bor. I filen, hos leverandøren, eller begge. Hvis ads betaler veggen, si at dokumentet ikke er annonseflaten. Folk tåler ærlighet. De tåler ikke å føle seg lurt inn i et nivå de ikke ba om.

Tegn to bokser. Identitet. Fil. BankID fyller den første når den brukes som QES. PAdES kan fylle den andre uten å røre den første. SES fyller ja uten å fylle folkeregister.

Si ett eksempel de kjenner: NDA med byrået i gata er SES. Pant til banken er det banken sier. Ikke mer.

Hvis styret bare hører risiko, tilby en setning i malen: hvilket nivå, hva Acrobat viser, hvor loggen bor. Risiko uten spesifikasjon er hvordan dere kjøper QES til lunsjavtaler og SES til det som faktisk gjør vondt.

Et praktisk mellomsteg mange glemmer: videomøte der dere scroller PDF-en, pluss SES like etter. Identiteten er 'jeg så ansiktet', ja-et er i loggen. Det er ikke QES. Det er voksen SES når beløpet er ugreit og eID er umulig. Skriv i evidensen at møtet skjedde, med dato. Ikke later som Zoom er BankID.

Hvis du selger til både kommune og et AS på Tøyen, to spor. Ikke ett 'høyt nok til kommunen' som dreper Tøyen-avtalen. Kommunen har portal. Tøyen har Gmail. Policy på én side slår et verktøy som later som det er begge.