Page History

Part i Ena-federationen som inte är ett offentligt organ ska drivas som registrerad juridisk person samt teckna och vidmakthålla för verksamheten erforderliga försäkringar.

x

x

x

x

Part i Ena-federationen ska ha en etablerad verksamhet, vara fullt operationell i alla delar som berörs i detta dokument, samt vara väl insatt i de juridiska krav som ställs på denne som

part i Ena-federationen.

x

x

x

x

Part i Ena-

federationen ska inrätta och följa ett ledningssystem för informationssäkerhet (LIS) som i tillämpliga delar baseras på ISO/IEC 27001 eller motsvarande likvärdiga principer för ledning och styrning av informationssäkerhetsarbetet. Detta ska införas och användas för de delar av verksamheten som på något sätt är inblandad i drift, förvaltning, eller annat handhavande av komponent för vilken detta krav ska efterlevas.

x

x

x

x

Part i Ena-federationen

ska utse en person som ansvarar för organisationens anslutning till Ena-federationen.

x

x

x

x

Part i Ena-federationen ska utse en person som ansvarar för

varje komponent som organisationen väljer att ansluta till Ena-federationen.

x

x

x

x

Part i Ena-federationen ska

ha samtliga säkerhetskritiska, administrativa och tekniska processer dokumenterade och vilande på en formell grund, där roller, ansvar och befogenheter finns tydligt definierade.

x

x

x

x

Part i Ena-federationen ska säkerställa att denne vid var tid har tillräckliga personella resurser till förfogande för att uppfylla sina åtaganden inom Ena-federationen.

x

x

x

x

precisera åtaganden per märke (jmfr SC:s kravförtydliganden på "lätt svenska")

Part i Ena-federationen ska ha en process för riskhantering som på ett ändamålsenligt sätt, kontinuerligt eller minst var tolfte månad, analyserar hot och sårbarheter i verksamheten. Processen ska resultera i en förbättringsplan innehållande rekommenderade säkerhetsåtgärder.

x

x

x

x

ändra "inrätta" till "ha" i kravkatalogen!

samt avgränsa till berörda delar av organisationen, ev i en ingress till kravkatalogen.

Part i Ena-federationen ska

ha en

process som omfattar såväl incidentrapportering som

hur lämpliga reaktiva och preventiva åtgärder vidtas för att lindra eller förhindra skada till följd av

incidenter.

x

x

x

x

Part i Ena-federationen ska

ha samt regelbundet testa en kontinuitetsplan som tillgodoser verksamhetens tillgänglighetskrav genom en förmåga att

återställa kritiska processer och förmågor vid händelse av kris eller allvarliga incidenter.

Behöver förtydligas att det endast gäller komponenter som delas med andra.

Har annan tillgänglighet med tillit att göra.

Part i Ena-federationen ska regelbundet utvärdera arbetet med informationssäkerheten och införa förbättringsåtgärder i ledningssystemet.

x

x

x

x

Part i Ena-federationen som har lagt ut utförandet av en eller flera säkerhetskritiska processer på en underleverantör, ska definiera vilka processer som underleverantören är ansvarig för utförandet av, vilka krav som är tillämpliga på dessa, samt att underleverantören ska uppfylla dessa krav,

samt säkerställa att detta regleras mellan parterna.

x

x

x

x

Part i Ena-federationen ska

, i tillämpliga delar, bevara:

1. Avtal
2. Styrande dokument
3. Handlingar som rör förändringar av uppgifter hänförliga till Användare, Attribut och Metadata
4. Övrig dokumentation som stöder efterlevnaden av de krav som ställs på denne, och som visar att de säkerhetskritiska processerna och kontrollerna fungerar.

x

x

x

x

precisera "tillämpliga delar"

Tiden för bevarande av avtal, dokument och handlingar enligt krav Ena O.14 ska inte understiga fem år och material ska kunna tas fram i läsbar form under hela denna tid, såvida inte krav på gallring påkallas från integritetssynpunkt

eller har stöd i lag eller annan författning.

x

x

x

x

Part i Ena-

federationen ska ha en funktion för internrevision som periodiskt granskar verksamheten enligt följande:

1. Internrevisorn ska vara oberoende i utförandet av uppdraget på ett sätt som tryggar en objektiv och opartisk granskning och ha den kompetens och erfarenhet som krävs för uppdraget.
2. Internrevisorn ska självständigt planera genomförandet av revisionen och dokumentera detta i en revisionsplan som sträcker sig över en 3-årsperiod.
3. Varje enskild internrevisions omfattning ska väljas utifrån en

1. riskanalys och grundas i kraven som ställs på medlemmen inom Ena-federationen.
2. Revisionsresultatet ska dokumenteras och vid förfrågan göras tillgänglig för ledningsaktör och operatörer.

x

x

x

x

Risk att slå ut småaktörer, tex enmansföretag

Är detta efterlevnad som ska hanteras på annan plats

Part i Ena-federationen ska ha rutiner som säkerställer att endast behörig personal har åtkomst till de uppgifter som samlas in och bevaras i enlighet med Ena O.14.

x

x

x

x

Part i Ena-federationen ska säkerställa

att behörighetsgrundande information som behandlas ska skyddas emot obehörig åtkomst.

x

x

x

x

Part i Ena-federationen ska vid incidenter som kan påverka tilliten till medlemmens roll i federationen, kommunicera detta enligt gällande incidentprocess. 

x 

x 

x 

x 

Part i Ena-federationen ansvarar för att behörighetsgrundande information är korrekt, aktuell och verifierad mot ursprungskällor. Rutinen för detta ska finnas dokumenterad.

x

x

Part i Ena-federationen ska i samband med incident skyndsamt vidta åtgärder för att återställa förtroende inom federationen.

x

x

x

x

Part i Ena-federationen ska ta fram en tillitsdeklaration på överenskommet format för varje Ena-

tillitsmärke man innehar per teknisk komponent.

x

x

x

x

Detaljeras vad tillitsdeklaration är i fokusområde  efterlevnadskontroll

Part i Ena-federationen ska hålla

sina tillitsdeklarationer för Ena-tillitsmärken uppdaterade och säkerställa att de reflekterar nuvarande förhållanden vid varje tidpunkt.

x

x

x

x

Part i Ena-federationen ska lämna in

ny tillitsdeklaration för sina Ena-tillitsmärken inom 24 månader från det att den senaste tillitsdeklarationen godkändes, oavsett om förändring skett eller inte.

Omformulera krav utan fast period!?

LoT-krav med olika periodiciteter

Part i Ena-federationen ska vid eventuella brister och avvikelser som påträffas vid en revision åtgärda dessa  skyndsamt. Tidsfrist meddelas av den part som står bakom revisionskraven.

Part i Ena-federationen får endast använda behörighetsgrundande information inom ramen för avtal och överenskommelser för samverkan inom Ena-federationen om inte särskild överenskommelse finns med informationsägande organisation.

x

x

x

x

Part i Ena-federationen ska säkerställa att information i beskrivningar och fritextfält ej är stötande eller kränkande. Den ska vara informativ och relevant utan värderingar och jämförelse med andra.

x

Kanske inte tillitskrav?

Kanske hör hemma i avtalstext.

Tillhandahållare av attributkälla ska säkerställa att personer registrerade i  attributkällan ska ha ett anställnings- eller uppdragsförhållande till den organisation de tillhör.

x

Part i Ena-federationen ska säkerställa att systemanvändare registrerade i  attributkällan ska ha ett uppdragsförhållande till den organisation som ansvarar för dess förehavanden.

x

Part i Ena-federationen ska verifiera systematiskt  och med en periodicitet enligt

gällande regelverk från

tillitsmärkesägare att anställning och/eller uppdragsförhållande mellan uppdragsgivare och individ i attributkällan finns.

x

Part i Ena-federationen ska säkerställa att uppdragsförhållande mellan uppdragsgivare och systemanvändare (t.ex. RPA eller AI) i attributkällan verifieras systematiskt  med en periodicitet enligt

gällande regelverk från tillitsmärkesägare.

x

Part i Ena-federationen ska säkerställa att

data

för verifikation i produktionsmiljö inte sprids externt.

Part i Ena-federationen ska säkerställa att personer med skyddade personuppgifter informeras av

personuppgiftsansvarig om hur deras personuppgifter i

attributkälla hanteras.

x

Omformulera kravet (spec för att fungera med SaaS-tjänster).

Undersök Skatteverkets ev regelverk kring detta.

Lagstiftningen bör sätta gränserna för kravet

Part i Ena-federationen ska ha en kontaktpunkt för tekniska ärenden

Operatör i Ena-federationen åtar sig att

tillhandahålla funktionsbrevlådor till följande roller i sin verksamhet för: 

1. Avtal och administration
2. Säkerhetsincidenter
3. Support

Operatörer i Ena-federationen ska på begäran tillhandahålla ledningsaktören sådan dokumentation eller avtal som behövs för att förtydliga anslutning och registreringsförfaranden och därmed de förtroendenivåer som krävs av metadata i infrastrukturen.

Operatör i Ena-federationen  som upphör med sin verksamhet ska hålla arkiverat material tillgängligt även efter verksamheten avvecklats. Tiden för bevarande ska inte understiga fem år och material ska kunna tas fram i läsbar form under hela denna tid, såvida inte krav på gallring påkallas ur integritetssynpunkt och har stöd i lag eller annan författning. 

Part i Ena-federationen får inte tilldela behörighetsgrundande information till en systemanvändare där beslut om tilldelning av motsvarande egenskap till en fysisk användare ligger utanför organisationen som använder systemet, som till exempel personnummer eller yrkeslegitimering.

Part i Ena-federationen ska

ha genomfört bakgrundskontroll för de personer som innehar roll av särskild betydelse för säkerheten. Detta i syfte att förvissa sig om att personen kan anses vara pålitlig samt att personen har de kvalifikationer och den utbildning som krävs för att på ett säkert och betryggande sätt utföra de arbetsuppgifter som följer av rollen.

x

x

x

x

Part i Ena-federationen ska

fysiskt skydda verksamhetens centrala delar mot skada som följd av miljörelaterade händelser, otillåten åtkomst eller andra yttre störningar genom att:

1. Åtkomst till känsliga utrymmen är begränsad till behörig personal
2. Informationsbärande media förvaras, hanteras och avvecklas på ett säkert sätt
3. Tillträde till dessa skyddade utrymmen kontinuerligt övervakas

x

x

x

x

Ena F.2

Part i Ena-federationen ska säkerställa att

de tekniska kontroller som finns införda är tillräckliga för att uppnå den skyddsnivå som bedöms nödvändig med hänsyn till verksamhetens art, omfattning och övriga omständigheter, och att dessa kontroller fungerar och är effektiva.

x

x

x

x

Part i Ena-federationen ska säkerställa att

elektroniska kommunikationsvägar som nyttjas i verksamheten för överföring av känsliga uppgifter ska skyddas mot manipulation, insyn och annan otillåten åtkomst.

x

x

x

x

Part i Ena-federationen ska säkerställa att känsligt kryptografiskt nyckelmaterial

som används för kryptering och signering ska skyddas.

x

x

x

x

Part i Ena-federationen ska säkerställa att

åtkomst till känsligt kryptografiskt nyckelmaterial

ska begränsas, logiskt och fysiskt, till de roller och de tillämpningar som kräver det.

x

x

x

x

Part i Ena-federationen ska säkerställa att

känsligt kryptografiskt

nyckelmaterial inte lagras i klartext på beständigt lagringsmedia.

formulera om eller ta bort

jobba vidare med denna med olika krav för olika tillitsnivåer

tillitsnivåer?

erkända och etablerade → "godkända"?

tillitsnivåer

Kravet kanske bara ska krävas för komponenter i utgivningsfasen!?

Part i Ena-federationen ska ha infört dokumenterade rutiner som säkerställer att erforderlig skyddsnivå i IT-miljön kan upprätthållas över tid för att möta förändrade risknivåer eller andra typer av förändringar. Rutinen ska innefatta regelbundna sårbarhetsundersökningar samt beskriva ändamålsenlig beredskap för att hantera inträffade incidenter.

x

x

x

x

Part i Ena-federationen ska säkerställa att verifieringen av identiteter sker med adekvata kontroller för den tillitsnivå som förmedlas.

(x)

adekvata!? Ta bort ordet!?

definiera tillitsnivåer och hur kraven skiljer sig.

Ev attribut men då handlar det om att verifiera att beställningen av attribut sker av en behörig identifierad person

Part i Ena-federationen ska säkerställa att säkerhetsmekanismer implementerats i hanteringen av digitala identiteter på ett sätt som gör det osannolikt att någon utomstående kan gissa eller räkna ut den konfidentiella information som ligger till grund för den elektroniska identifieringen, ens på maskinell väg.

Omformulera på lätt svenska  

Behörighetsgrundande information ska endast göras tillgänglig för den part som ska ta beslut om behörighet!?

Läs igenom kravet igen i det ramverk det kommer ifrån för att försöka förstå!

Part i Ena-federationen ska säkerställa att utställande av intyg ska föregås av en tillförlitlig identifiering på den tillitsnivå som förmedlas.

invänta utredning av förmedling av tillitsnivå.

Oklar tolkning

Behöver vi ett extra krav för behörighetsbeslutets tillitsnivå (typ vectors of trust)

Part i Ena-federationen ska säkerställa att intyg som ställs ut ska vara knutna till kryptografiskt nyckelmaterial som utfärdaren verifierat att endast innehavaren förfogar över.

x

PoP-krav kan ställas på hög tillitsnivå kanske!?

Klientkrav på nivå 4!?

Part

i Ena-federationen ska säkerställa att

utställda intyg ska vara giltiga endast så länge som det krävs för att innehavaren ska kunna bereda sig tillgång till den efterfrågade resursen. 

x

Part i Ena-federationen ska säkerställa att

utställda intyg skyddas mot obehörig åtkomst.

x

x

Part i Ena-federationen ska säkerställa att utställda intyg utfärdas på ett sådant sätt att deras äkthet kan valideras. 

Part

i Ena-federationen ska säkerställa att

komponenter i Ena-federationen som ställer ut intyg ska, med hänsyn till riskerna för missbruk, begränsar den tidsperiod inom vilken flera på varandra följande intyg kan ställas ut för en viss innehavare, innan innehavaren på nytt autentiseras.

Part i Ena-federationen

ska säkerställa att uppdatering av behörighetsgrundande information (i såväl ursprungskälla som i temporära mellanlager) ska gå att spåra avseende tidpunkt för förändringen och vem (person och system) som utfört förändringen.

Tillitsnivå för ett intyg ska anges i intyget. Nivån ska anges enligt gällande specifikation och regelverk inom Ena - Sveriges digitala infrastruktur. (Under utredning)

Part i Ena-federationen

ska ha publicerad dokumentation över krav för åtkomst till skyddade resurser. Dessa krav ska inkludera:

(1) vilken behörighetsgrundande information behöver förmedlas i åtkomstförfrågan

(2) vilket krav på tillitsnivå för intyg i vilket denna behörighetsgrundande information förmedlas föreligger

Part i Ena-federationen

ska säkerställa spårbarheten vid all teknisk åtkomst till känsliga IT-system. Åtkomst ska kunna härledas på individnivå, och identifieringen av individen ska ske på ett betryggande och säkert sätt

Part i Ena-federationen ska säkerställa att

det finns rutiner för egenkontroll av att informationen i en attributkälla är korrekt och aktuell.

Part i Ena-federationen ska ha

processer för systematisk verifiering av attributs korrekthet finns tydligt dokumenterade

Part i Ena-federationen ska säkerställa

att attributs korrekthet verifieras systematiskt med den periodicitet som krävs av gällande lagstiftning och policyer för de tillämpningar där attributen används.

Part i Ena-federationen ska säkerställa att tilldelade pseudonymiserade personidentifierare lagras för spårning och uppföljning under en period som bestäms av gällande lagstiftning och policyer för de tillämpningar där personidentifierarna används.

Part

i Ena-federationen ska säkerställa att

förändringar av behörighetsgrundande information ska loggas. Loggfiler ska innehålla information om vilken förändring som gjorts, om användare och system som gjorde förändringen, samt tidpunkt för förändringen.

Part i Ena-federationen ska säkerställa att

skyddade personuppgifter ska märkas som sådana i attributkällor och mellanlager, samt att de hanteras enligt gällande lagstiftning och policyer

.

Part i Ena-federationen ska säkerställa att

åtkomst till information i attributkällan föregås av behörighetsbeslut utfört enligt ett med informationsägaren överenskommen åtkomstpolicy. Detta gäller både åtkomst till attributkälla och mellanlager.

Medlem i Ena-federationen ska

uppnå spårbarhet genom loggning av så väl systemanvändares som fysiska användares aktiviteter i organisationens IT-system.