...
| Komponent | Beskrivning | IAM-förmåga | Beskrivning | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
| Tillitsankare | Ett Tillitsankare är en komponent som utgör den yttersta källan till tillit i en federationsinfrastruktur och publicerar signerad metadata som omfattar godkända underordnade entiteter, som tex Anslutningspunkter och Tillitsmärkesutfärdare. | Betrodd metadatapublicering | Betrodd metadata är information om parter som är kontrollerad och publicerad av en betrodd aktör i federationen. | ||||||||
| Anslutningspunkt | En Anslutningspunkt är en mellanliggande komponent i federationsinfrastrukturen som publicerar signerad metadata för underordnade entiteter som tex Legitimeringstjänster, Auktorisationstjänster, E-tjänster och API:er | ||||||||||
| Tillitsmärkesutfärdare | En Tillitsmärkesutfärdare är en komponent i federationsinfrastrukturen som utfärdar tillitsmärken till entiteter som uppfyller definierade krav kopplade till specifika IAM-förmågor. | ||||||||||
| Uppslag och verifieringstjänst | En Uppslag- och verifieringstjänst är en komponent i federationsinfrastrukturen som används för att slå upp, hämta och verifiera metadata för andra entiteter inom en federation. | Metadatavalidering | Metadatavalidering innebär att kan hämta, tolka och kryptografiskt verifiera signerad metadata för andra entiteter inom en federation. | ||||||||
| Legitimeringstjänst | En Legitimeringstjänst är en komponent i federationsinfrastrukturen som ansvarar för att autentisera en användare. | Intygsutfärdande | Digitalt signerade påståenden om en användare, såsom vilken nivå av autentisering som skett, vilka behörighetsgrundande attribut som gäller, eller vilka rättigheter användaren tilldelats. | ||||||||
| Auktorisationstjänst | En Auktorisationstjänst är en komponent som beslutar om och utfärdar information om användares åtkomsträttigheter till digitala resurser, baserat på tillgänglig identitets- och attributinformation. | ||||||||||
| Attributkälla | En Attributkälla är en komponent som tillhandahåller information om användare, exempelvis roller, organisatorisk tillhörighet eller andra behörighetsgrundande attribut. | Attributhantering | Attributhantering är förmågan att säkert förvalta, kvalitetssäkra och tillgängliggöra användarattribut som används för identitets- och åtkomstbeslut. | ||||||||
| Åtkomstkontroll | Åtkomstkontroll är förmågan att fatta och tillämpa beslut om en användares rätt att få tillgång till en viss digital resurs, baserat på tillgänglig identitets- och behörighetsinformation. | ||||||||||
| Resurs Server (API) |
| ||||||||||
| E-tjänst | En E-tjänst är en webbaserad applikation som erbjuder digital funktionalitet till användare, ofta via en webbläsare. |
| |||||||||
| Klient |
| Klient | En Klient är en fristående applikation eller serverprogramvara som agerar å användarens vägnar, ibland även utan direkt användarinteraktion. | Åtkomstbegäran | Här, en begäran om identitet- eller åtkomstintyg, innehållande avsett syfte med intyget, samt underlag för begärans behandling och för intygets utformning. |
...
| Komponent | Tillitsmärken |
|---|---|
| Legitimeringstjänst | Ena Utfärdare, Ena LoT-1, Ena LoT-2, Ena LoT-3, Ena LoT-4 |
| Auktorisationstjänst | Ena Utfärdare, Ena LoT-1, Ena LoT-2, Ena LoT-3, Ena LoT-4 |
| Attributkälla | Ena Källa, Ena LoT-1, Ena LoT-2, Ena LoT-3, Ena LoT-4 |
| Resursserver (API) | Ena Hantering |
| E-tjänst | Ena Hantering |
| Klient | Ena Hantering |
| Info | ||
|---|---|---|
| ||
|
Utvikning kring tillitsnivåer
...
Tillitsskapande krav kan vara av olika karaktär. Inom Enas tillisarbete har vi identifierat fyra huvudkategorier av tillitsskapande krav:
- Organisatoriska krav
- Administrativa krav
- Fysiska krav
- Tekniska krav
Vi har genomfört en analys och sammanställning av tillitskrav ställda inom federationerna Sweden Connect, Sambi, Skolfederation, SITHS och HSA. Kraven överlappar till stor del och vi har föresatt oss att skapa en nettolista av krav i Enas terminologi och anpassade för kontexten identitets- och behörighetshantering för samverkan via digitala tjänster inom Ena.
Målen med denna påbörjade men ännu inte färdiga övning är flera:
- Verksamheter som redan genomgått tillitsgranskning för någon av de genomgångna tillitsramverken ska automatiskt kunna vara kvalificerade för att bli tilldelade nödvändiga tillitsmärken och kunna etablera samverkan via digitala tjänster i Ena.
- Digitala tjänster som erbjuds inom någon av de genomgångna federationerna ska kunna erbjuda samma tjänst inom Ena till parter som är anslutna till Enas federationsinfrastruktur.
- Existerande federationer ska på sikt kunna luta sig emot Enas tillitsmärken för existerande tillgång till digitala tjänster och därmed minska samhällets totala kostnad för återkommande tillitsgranskningar.
| Info | ||
|---|---|---|
| ||
Vi siktar på att kunna presentera en första version av Enas kravkatalog under Q3 2025. |
...
För att påvisa efterlevnad av de krav som omfattas av ett tillitsmärke krävs det periodiskt återkommande mekanismer för efterlevnadskontroll. Vi har identifierat nedanstående mekanismer som används idag i olika sammanhang:
- Lagstadgad efterlevnad - granskning av många myndigheters efterlevnad av lagstadgade krav genomförs dels av myndigheten intern och av utpekad kontrollmyndighet.
- Självdeklarerad efterlevnad baserad på intern revision - parter granskar sin egen efterlevnad genom internrevision och redovisar granskningsresultatet till Ena i en självdeklaration.
- Självdeklarerad efterlevnad baserad på extern revision - parter låter genomföra en externt kontrakterad revision och redovisar granskningsresultatet till Ena i en självdeklaration.
- Granskning - en av ena godkänd part granskar efterlevnad
Vilken granskning som genomförs beror dels av vilken part det är som granskas, dels av vilket tillitsmärke granskningen gäller. Exakt utformning av regelverk för efterlevnadskontroll kvarstår att utforma.
...