Fokusområden

...

För att skiva elefanten och skapa mer fokus på mer avgränsade områden eller frågeställningar så finns ett förslag om att dela upp arbetet med tillitsstruktur i olika delar. De som i nuläget är aktuella att arbeta med beskrivs under respektive avsnitt 1.x.

...

• Förvaltning och process för förändring av krav.
• Ägarskap av gemensamma tillitsmärken.Efterlevnadskontroll - modell, metodik, granskning. Ledord att ta med in i arbetet: Genomförbarhet och likabehandling

 Gemensamma tillitsmärken med Ena som ägare

...

Vi som jobbar med området:

???
• Robert, Anders, Jocke

Definiera och beskriva tillitsskapande objekt eller funktioner

Det finns ett förslag till "funktionsobjekt" som skapar tillit inom ekosystemet för identitet och behörighet. Den behöver jobbas vidare med och komplettera med mer beskrivande text. 

Leverans till 1.2

Mål:

• Term/begrepp för "tillitsskapande objekt eller funktioner/funktionsobjekt"
• Definiera och beskriva vilka de är och:
  • Vilka andra objekt de direkt samverkar med (grannar)
  • Vad de bidrar med (tillitsskapande)

Vi som jobbar med området:

???
• Tomas, Henric, Aras

 Kravkatalog - "version 1.0"

...

• Att det ska finnas väl formulerade och förståliga krav sammanställda i en kravkatalog.
  
  • Om kraven ska delas upp mellan exempelvis organisatoriska, tekniska, fysiska etc.
  • Id-numrering av krav och med framtidssäkring kring exempelvis versionshantering/förändring.
  • Huruvida referenser till underliggande standards eller andra regulatoriska krav ska refereras till, och vilka de då är. (Ex ISO27k, NIS2, NIST etc)

Vi som jobbar med området:

•  Anders, Pelle? (Marcus W, Christer A) - Jocke, spela in Christer.

Efterlevnadskontroll (avvaktar: MAJ)

Ledord att ta med in i arbetet: Genomförbarhet och likabehandling.

Mål:

• Ta fram modell, metodik, granskning.

Vi som jobbar med området:

• ???

---

Tillitstruktur och tillitsmärken

Hypoteser om tillitsmärken och kontrollmekanismer

1. Säkerhetskrav på tekniska komponenter och organisationers förmågor

   • Krav ställs på en teknisk komponent, en organisation, eller del av organisation (verksamhet) förmåga att uppfylla vissa säkerhetskrav.

   • Krav delas in i:
     • tekniska,
     • fysiska,
     • administrativa och
     • organisatoriska
   • Ena tillhandahåller en nationell förvaltningsgemensam kravkatalog

2. Tillitsmärkens funktion

   • Ett tillitsmärke omfattar ett antal ställda säkerhetskrav och är det som tekniskt kan verifieras mha infrastrukturen

   • Ett tillitsmärke indikerar att en teknisk komponent, organisation, eller del av organisation (verksamhet) uppfyller en uppsättning krav med en viss grad av tillförlitlighet.

   • Tillitsmärke
     
     • Ett urval av krav från den nationella kravkatalogen

3. Ägare av tillitsmärken, kontrollmekanismer och ansvar

   • Vilken kontrollmekanism som krävs för att påvisa en viss grad av tillförlitlighet kan variera beroende på krav, aktörstyp och ansvarig aktör.

   • Tillitsmärkesägaren äger regelverket för de tillitsmärken de står bakom och beslutar om kontrollmekanismer.

   • En tillitsmärkesutfärdare kan erbjuda kontroll som en tjänst till tillitsmärkesägare, men det är tillitsmärkesägaren som beslutar om hur och av vem kontrollen ska utföras.

   • Kontrollmekanismer måste kunna skilja sig mellan olika aktörstyper, exempelvis kan självdeklaration vara acceptabelt för myndigheter men extern granskning krävas för privata aktörer.

     • Varje tillitsmärkesägare måste öppet publicera sitt regelverk, inklusive krav på kontrollmekanismer för olika aktörer eller aktörstyper.

4. Tillitsmärken och tillitsnivåer

   • Tillitsmärken bör utformas på olika nivåer. Förslag på nivåindelning:

     • Låg – Tjänst finns men inga säkerhetskrav, eller självdeklaration eller mycket låga krav.

     • Bas – Kraven uppfylls genom avtal, motsvarande Skolfederation.

     • Väsentlig – Extern granskning av självdeklaration med möjlighet till stickprovskontroller, motsvarande Sambi.

     • Hög – Kraven uppfylls genom certifiering eller motsvarande granskningsprocess, motsvarande Sweden Connect.

   • Tillitsnivåer beslutas av tillitsmärkesägaren, men en harmonisering bör finnas för tillitsmärken inom Ena.

5. Samverkanskontext och krav på tillitsmärken

   • Varje samverkanskontext avgör tillitsmärken och tillitsnivåer som krävs för deltagande.

   • Nyttjande av Ena-tillitsmärken rekommenderas inom svensk offentlig förvaltning.

6. Livscykelhantering av tillitsmärken

   • Livscykelhanteringen bör sträva efter att kontinuerligt höja kraven för att stärka motståndskraften inom informations- och cybersäkerhet.

7. Kontrollmekanismer och harmonisering

   • En generisk modell för kontrollmekanismer skulle kräva arbete med ackreditering och likabedömning.

   • Harmonisering av krav för Ena-tillitsmärken är önskvärd, men andra tillitsmärkesägare ska kunna ha egna krav.

Modell för tillitstruktur

Baserat på ovan listade hypoteser har jag skapat en modell (arbetsmaterial: ena-authorization/tillitsmodell/arkitekturell_modell.md at tillitmodell · diggsweden/ena-authorization).

...

Kandidater för tillitsmärken

...