Digitale credentials worden vaak besproken vanuit de houder: iemand bewaart een diploma, certificaat of identiteitsbewijs in een digitale wallet en deelt het wanneer dat nodig is. Voor organisaties begint het lastigere werk pas als die credential binnenkomt. Iemand heeft hem nodig met een reden, en die reden ligt in een bestaand proces met eigen regels, systemen en verantwoordelijkheden.
Een korte woordenlijst
Een paar begrippen helpen. Een uitgever (issuer) is een organisatie die een verklaring doet over iemand of iets, zoals een opleidingsinstituut dat bevestigt dat iemand een kwalificatie heeft. Een credential is die verklaring in digitale vorm, zo beveiligd dat manipulatie kan worden opgemerkt en de uitgever kan worden vastgesteld. Een wallet is de software waarin de houder, vaak degene over wie de credential gaat, credentials bewaart en van waaruit hij of zij ze deelt. Verificatie is de controle door de ontvangende organisatie of een credential echt is, ongewijzigd en nog geldig.
Het Verifiable Credentials Data Model van W3C beschrijft dit als een ecosysteem van uitgevers, houders en verificateurs. Het maakt ook een onderscheid dat voor zakelijk gebruik belangrijk is. Technische verificatie stelt niet vast dat alle claims waar zijn. De organisatie beoordeelt vervolgens volgens haar eigen bedrijfsregels of zij voor het betreffende besluit op de credential kan vertrouwen. W3C Verifiable Credentials Data Model 2.0 (Engelstalig)
Een illustratieve workflow
Ter illustratie: een organisatie moet vaststellen dat een nieuw ingezette medewerker een geldige veiligheidskwalificatie heeft voordat die op een bepaalde locatie aan het werk gaat. Nu betekent dat vaak: een gescand certificaat opvragen, het met het oog controleren en een kopie in het HR-systeem bewaren. Een workflow met credentials kan anders werken.
Bepaal eerst welke informatie nodig is voor het besluit. De vraag is niet “stuur ons uw certificaat”, maar “heeft deze persoon een geldige kwalificatie van dit type, uitgegeven door een erkende instantie?” Precies zijn over het besluit bepaalt welk bewijs werkelijk nodig is.
Vraag vervolgens passend bewijs. De organisatie vraagt de medewerker een credential te delen die die vraag beantwoordt, en niet meer dan dat. Waar de technologie het toelaat, kan de medewerker specifieke gegevens delen in plaats van een volledig document.
Controleer daarna bron, geldigheid en status. De ontvangende partij verifieert dat de credential echt en ongewijzigd is, dat de uitgever een partij is die de organisatie voor dit soort kwalificaties accepteert, dat de geldigheidsperiode niet is verstreken en dat de credential niet is ingetrokken of opgeschort.
Pas dan de procesregels van de organisatie toe. Een geldige credential is maar één input. Interne regels bepalen of deze kwalificatie volstaat voor deze locatie, of aanvullende training nodig is of dat de zaak handmatig moet worden beoordeeld.
Geef het benodigde resultaat terug aan het bestaande systeem. Het HR- of personeelssysteem heeft een duidelijke uitkomst nodig, zoals gekwalificeerd voor deze rol tot een bepaalde datum, of nog niet. De volledige credential is daarvoor meestal niet nodig.
Bewaar tot slot passend bewijs. De organisatie bewaart genoeg om te kunnen laten zien wat er is gecontroleerd, wanneer en met welke uitkomst, zonder volledige documenten te kopiëren naar systemen die ze niet nodig hebben. Dat helpt als een besluit later moet worden nagegaan, en beperkt de hoeveelheid persoonsgegevens die wordt bewaard.
Verificatie is geen autorisatie
De workflow laat een belangrijk onderscheid zien. Technische verificatie beantwoordt of een credential echt, ongewijzigd en actueel is, en of hij afkomstig is van een uitgever die de organisatie erkent. Zakelijke geschiktheid of autorisatie beantwoordt een andere vraag: mag deze persoon dit doen, hier en nu? Dat hangt af van intern beleid, context en soms menselijk oordeel. Een geverifieerde credential is sterk bewijs, maar rechtvaardigt niet automatisch ieder besluit dat erop wordt gebaseerd.
Waar WeCross past
WeCross, een venture in ontwikkeling bij Xablu Venture Studio, bouwt een orkestratie- en integratielaag voor dit soort workflows. Die is bedoeld om het opvragen van bewijs, de verificatiestappen en de procesregels van de organisatie met elkaar te verbinden, en het resultaat af te leveren bij bestaande systemen zoals HR-, ERP- of identiteitsplatformen. WeCross is geen nieuwe consumentenwallet en vervangt die systemen niet. Het werkt tussen die systemen en de credentials die mensen en organisaties al hebben. Bekijk WeCross
Er is een werkende integratiekern ontwikkeld. De commerciële validatie en de validatie van volledige end-to-end-workflows lopen door, inclusief de vraag welke wallets, credentialformaten en bedrijfssystemen de aanpak als eerste moet ondersteunen.
Beginnen met één proces
Veel organisaties hebben processen die om historische redenen documentzwaar zijn: certificaten die met de hand worden gecontroleerd, kopieën op meerdere plekken, hetzelfde bewijs dat bij iedere nieuwe opdracht opnieuw wordt opgevraagd. Dat zijn logische kandidaten voor een nadere blik. Voordat er technologie wordt gekozen, helpt het om drie vragen te beantwoorden. Welk besluit ondersteunt het proces eigenlijk? Wat is de minimale informatie die voor dat besluit nodig is? En welk systeem moet het resultaat ontvangen?
Is er in uw organisatie een documentzwaar proces dat anders zou kunnen? Kies er één, en maak helder welk besluit het ondersteunt, welke informatie minimaal nodig is en in welk systeem het resultaat thuishoort. We verkennen het graag met u.
Verken een proces →