Kto stoi za dokumentem? Dlaczego dane cyfrowe wymagają weryfikowalnej tożsamości organizacyjnej

Dokumenty cyfrowe zastępują papierowe w edukacji, służbie zdrowia, handlu i sprawozdawczości regulacyjnej. Jednak zmiana formatu nie rozwiązała podstawowego pytania: skąd wiadomo, która organizacja naprawdę stoi za danymi i czy osoba, która je podpisała, miała do tego uprawnienia?

---

---

Cyfryzacja procesów opartych na dokumentach papierowych jest często przedstawiana jako postęp. Jednak ponieważ dokumenty cyfrowe można kopiować, zmieniać i rozpowszechniać w ciągu kilku sekund, te same podstawowe zastrzeżenia pozostają aktualne. Skąd odbiorca ma wiedzieć, która organizacja stworzyła dokument, czy osoba, która go podpisała, miała do tego uprawnienia i czy coś się zmieniło od czasu jego wydania?

Papierowe procesy weryfikacji odpowiadały na te pytania w sposób niedoskonały i powolny, wykorzystując pieczęcie, poświadczenia notarialne i ręczne kontrole. W miarę przenoszenia tych procesów do sieci niedoskonałości te pozostają – szczególnie w przypadku transakcji transgranicznych. Zeskanowany certyfikat nie jest bardziej weryfikowalny niż papier, z którego został zeskanowany. Podpis cyfrowy dołączony do pliku PDF niewiele mówi o tym, który Podmiot prawny go wydał, kto w ramach tego Podmiotu miał uprawnienia do podpisania dokumentu ani czy ten dokument może być akceptowany w innym systemie prawnym. Przejście na format cyfrowy zmieniło nośnik. Nie rozwiązało jednak problemu.

Kiedy ramy prawne nie wystarczają

Niewiele miejsc ilustruje zastrzeżenie związane z zaufaniem transgranicznym bardziej niż region Greater Bay Area (GBA). Działając w ramach jednego kraju, dwóch systemów, trzech obszarów celnych i trzech walut, GBA nie ma bliskiego międzynarodowego precedensu. Dla organizacji i osób fizycznych przenoszących poświadczenia, dokumenty i transakcje między Hongkongiem, Chinami kontynentalnymi i Makau fragmentacja ram prawnych i regulacyjnych stwarza realne utrudnienia. Dokument, który jest w pełni zaufany po jednej stronie granicy, może wymagać szczegółowej ponownej weryfikacji po drugiej stronie, nawet jeśli podstawowe fakty nie uległy zmianie. I choć GBA jest wyjątkowym przypadkiem, ilustruje on szerszy problem zaufania transgranicznego, z którym boryka się każda organizacja działająca globalnie.

Odpowiedzią na te utrudnienia nie jest nowa umowa dwustronna dla każdej kombinacji systemów prawnych. Jest nią wspólny, neutralny standard zaufania, który działa w ten sam sposób niezależnie od tego, gdzie dokument został wydany i gdzie jest odczytywany.

Właśnie to oferuje Globalny System LEI, utrzymywany przez GLEIF jako uznana na arenie międzynarodowej infrastruktura zarządzania tożsamością organizacji oraz globalna cyfrowa infrastruktura publiczna (DPI). Zapewnia on jedyny identyfikator podmiotów prawnych zgodny z normą ISO: identyfikator podmiotu prawnego (LEI) oraz jego cyfrowy odpowiednik, weryfikowalny LEI (vLEI).

Ponieważ vLEI rozszerza globalnie znormalizowany LEI na domenę cyfrową, opiera się on na otwartej, niezależnie zarządzanej i zatwierdzonej przez organy regulacyjne infrastrukturze Globalnego Systemu LEI. Oznacza to, że odbiorca dokumentu nie musi interpretować ram regulacyjnych kraju, który wydał poświadczenie, przed oceną, czy można mu zaufać. Zamiast tego odbiorca może za pomocą vLEI zweryfikować komputerowo organizację stojącą za certyfikatem oraz uprawnienia osoby działającej w jej imieniu. Zapewnia to spójną podstawę do oceny autentyczności i uprawnień ponad granicami.

Od identyfikacji do autoryzacji

Różnorodne możliwości sprawiają, że vLEI szczególnie dobrze nadaje się do dokumentowania zaufania ponad granicami i jurysdykcjami. Po pierwsze, vLEI nie tylko identyfikuje organizację. Określa ono, kto w tej organizacji jest upoważniony do działania i w jakim zakresie.

Większość dokumentów wymaga poparcia wielu stron: analityka, który przygotował dane, kierownika, który je zatwierdził, oraz audytora, który podpisał się pod konkretnymi sekcjami. Obecnie tych rozróżnień nie da się wyrazić cyfrowo, ponieważ tradycyjne systemy podpisują albo cały dokument, albo go nie podpisują wcale. Audytor, który może poświadczyć dane finansowe w raporcie, ale nie projekt okładki, nie ma mechanizmu pozwalającego ograniczyć swój podpis do sekcji, które faktycznie sprawdził.

vLEI umożliwia cyfrowe i kryptograficzne przedstawienie tej hierarchii. Poszczególne sekcje dokumentu można przypisać do konkretnych upoważnionych ról, z których każda jest powiązana z zweryfikowaną tożsamością organizacji. Jest to rozwiązanie bardziej precyzyjne i uzasadnione prawnie niż pieczęć na papierze, ponieważ każdy podpis zawiera kryptograficzny dowód, że osoba podpisująca pełniła zweryfikowaną rolę w zweryfikowanej organizacji w momencie podpisywania.

Jedna odpowiedź na wiele różnych pytań

Po drugie, ponieważ podstawową warstwą zaufania jest infrastruktura publiczna – a nie system zastrzeżony stworzony dla jednego sektora lub instytucji – vLEI może zapewnić spójny mechanizm weryfikacji zaufania do dokumentów w dowolnym sektorze, przypadku użycia lub jurysdykcji.

Pomimo powszechnej potrzeby zaufania do dokumentów – czy to dyplomów, wyników medycznych, certyfikatów dostawców, czy dowodów prawnych – istnieją jedynie rozwiązania częściowe. Ponieważ obejmują one ręczne kontrole, instytucjonalne relacje zaufania oraz sektorowe ramy podpisów cyfrowych, żadne z nich nie działa spójnie w różnych sektorach lub ponad granicami, ponieważ odbiorca musi rozumieć konkretny system, z którego korzystał nadawca. Dlatego szpital w Hongkongu nie może łatwo zweryfikować karty wypisowej wydanej w ramach systemu opieki zdrowotnej innego kraju.

Natomiast vLEI oznacza, że ta sama infrastruktura zaufania, która umożliwia szpitalowi w Hongkongu weryfikację wypisu ze szpitala, może być również wykorzystana do potwierdzenia, że uniwersytet w Chinach kontynentalnych podpisał dyplom lub że dyrektor finansowy zatwierdził zgłoszenie regulacyjne w Makau. Ponieważ mechanizm weryfikacji jest spójny, odbiorcy z różnych sektorów i środowisk regulacyjnych mogą sprawdzić poświadczenie bez konieczności zrozumienia kontekstu instytucjonalnego lub ram prawnych, w których zostało ono wydane.

Kiedy zaufanie jest wbudowane w dane

Wreszcie, vLEI umożliwia kryptograficzne osadzenie tożsamości organizacyjnej w danych – co oznacza, że weryfikacja jest wbudowana w sam certyfikat, a nie zlecana na zewnątrz w formie ręcznych kontroli po stronie odbiorcy.

Jest to ważne, ponieważ obecnie zaufanie do dokumentu zależy od czyjejś oceny: czy ta pieczęć wygląda na autentyczną? Czy podpis jest prawidłowy? Czy ten certyfikat zgadza się z danymi w rejestrze? W świecie, w którym sztuczna inteligencja może obecnie generować przekonujące dokumenty i poświadczenia, a skala transgranicznej wymiany danych sprawia, że ręczna weryfikacja jest niepraktyczna, ocena ta stanie się jeszcze mniej wiarygodna i skalowalna.

vLEI umożliwia odejście od weryfikacji zależnej od człowieka na rzecz zaufania weryfikowalnego komputerowo. W rzeczywistości zaufanie staje się właściwością samego dokumentu, którą każdy system może natychmiast sprawdzić, bez ręcznej obsługi i ryzyka błędu ludzkiego. Dzięki wyeliminowaniu obciążenia związanego z weryfikacją handel transgraniczny, sprawozdawczość regulacyjna i wymiana danych cyfrowych stają się szybsze i bardziej wydajne.

To, jak ta zmiana jest realizowana w praktyce w odniesieniu do dokumentów potwierdzających wykształcenie, dokumentacji medycznej, ujawniania informacji ESG oraz transgranicznego rozstrzygania sporów, było głównym tematem mojej ostatniej rozmowy w ramach cyklu Trust Talks z Evą Chan, dyrektorką generalną i założycielką Certizen Technology.

Zastanawialiśmy się, dlaczego GBA stała się poligonem doświadczalnym dla transgranicznej infrastruktury zaufania cyfrowego, w jaki sposób vLEI jest stosowany, aby umożliwić weryfikację autoryzacji organizacji na poziomie poszczególnych sekcji dokumentu oraz co oznacza wbudowanie zaufania bezpośrednio w dane, a nie ocenianie go po fakcie.

Posłuchaj całego odcinka Trust Talks, aby dowiedzieć się, w jaki sposób weryfikowalna tożsamość organizacyjna jest stosowana w różnych branżach w regionie GBA i poza nim oraz dlaczego kwestia tego, kto stoi za danymi cyfrowymi, staje się kluczowa dla funkcjonowania zaufania w globalnej gospodarce cyfrowej.

---