Page History

...

Modell för tillitstruktur

Baserat på ovan listade hypoteser  hypoteser har jag skapat en modell (arbetsmaterial: ena-authorization/tillitsmodell/arkitekturell_modell.md at tillitmodell · diggsweden/ena-authorization).

Det jag försöker visa i bilden nedan är att Enas tillitsmärken och de krav de markerar uppfyllnad av, delas in i funktion (även kallat funktionsobjekt i vårt arbetsmaterial).

Tillitsmärkena är:

1. Ena Anslutning
2. Ena Identitet
3. Ena Attribut
4. Ena Intyg
5. Ena Klient
6. Ena Skyddad resurs

hur Enas tillitsmärken behöver finnas med olika tillitsnivåer att varje sådant tillitmärke behöver regleras av av ett kontrollregelverk med stöd för krav på olika kontrollmekanismer för olika organisationstyper.

Image AddedSättet att läsa och tolka modellen ovan är:

1. Det finns krav samlade i en kravkatalog. Kraven delas in i följande kategorier:
   1. organisatoriska - krav på en organisation eller en verksamhet inom en organisation. Tex solvenskrav, att ha ansvarsförsäkring, att vara registrerat bolag hos bolagsverket, att vara registrerad vårdgivare hos socialstyrelsen.
   2. administrativa - att man skapar styrdokument, rutiner. Att ha ett LIS, att ha en CISO, ett säkerhetsskyddsombud.
   3. tekniska - att en komponent har en viss teknisk förmåga enligt en specifikation.
   4. fysiska - att det finns en viss fysisk skyddsmekanism på plats för system, komponenter eller utrymmen där administration sker.
      
      
2. Det finns ett antal olika kontrollmekanismer för hur uppfyllnad och efterlevnad av ett krav kan säkerställas. Kontrollmekanismer kan vara:
   1. självdeklaration - man deklarerar sitt uppfyllande av krav utan krav på verifiering.
   2. intern revision - organisationen eller de system och komponenter som ska uppfylla krav granskas genom en intern revision. Efterlevnad verifieras via revisionsrapport.
   3. extern revision - organisationen eller de system och komponenter som ska uppfylla krav granskas genom revision av tredje part. Efterlevnad verifieras via revisionsrapport. 
   4. certifiering av ackrediterad part - organisationen eller de system och komponenter som ska uppfylla krav granskas av en ackrediterad tredje part. Efterlevnad verifieras via certifieringsrapport.
      
      
3. De organisationer som önskar ansluta ett system, eller en komponent, delas in i olika aktörskategorier. Vilken kategori ens organisation tillhör kan påverka kraven som ställs på kontrollmekanismer för att påvisa kravuppfyllnad och kravefterlevnad. Identifierade aktörskategorier är:
   1. Statlig myndighet
   2. Region
   3. Kommun
   4. Privat aktör 
      
      
4. Ett tillitsmärke utmärks av ett syfte definieras av dess typ och tillitsnivå. Det omfattar en uppsättning krav per kundgrupp, inklusive och regleras av ett regelverk som definierar krav på kontrollmekanism per organisationskategori.
   
   
5. Det kan finnas olika tillitsmärken för samma funktionsobjekt, med andra eller ytterligare krav, för att förmedla olika grad av tillitsskapande förmåga.

Kontrollregelverket kan till exempel se ut som nedan

Notera: modellen är mycket flexibel, men man bör som tillitsmärkesägare förenkla modellen genom konsolidering av till exempel kravomfång inom ett tillitsmärke, eller konsolidera kontrollmekanismer per aktörskategori.

...