Identitet er ikke fullmakt
Et virksomhetsbevis sier hvilken organisasjon beviset identifiserer. Det sier ikke automatisk at en bestemt person kan sende inn en søknad, inngå en avtale eller dele alle virksomhetens data.
En representasjonsflyt må derfor svare på tre spørsmål:
- Hvilken person handler?
- Hvilken virksomhet representerer personen?
- Hvilken handling og tidsperiode dekker retten?
Et mulig bevissett
Tjenesten kan be om virksomhetsidentitet, personidentitet og et separat rolle- eller fullmaktsbevis. Bevisene må bindes til samme transaksjon, og tjenesten må kontrollere om fullmakten fortsatt gjelder.
Be om minst mulig. En rett til å sende én søknad bør ikke gi innsyn i andre opplysninger eller generell signaturrett.
Hva dere må avklare
- Hvem er autentisk kilde for rollen eller fullmakten?
- Kan retten delegeres videre?
- Hvordan trekkes den tilbake?
- Krever handlingen personlig signatur, virksomhetssegl eller bare autorisasjon?
- Hvordan håndteres personer som bytter rolle under en pågående sak?
Status i Symfoni
Symfonis nåværende sandkasse har virksomhetsidentitet og brukerautorisert deling. Den har ikke en komplett, generell modell for organisasjonsroller, delegert administrasjon eller fullmakter. Dette bruksområdet krever derfor egen modellering og skal omtales som et videre pilotspor, ikke en ferdig produktfunksjon.