| Ansvariga team | Utkomst |
|---|
| ID | Behov och utestående frågor - ambitionen är att det ska uttryckas som mål. | Hänvisning till vilka artefakter som (kan) omfattas av uppgiften- Normativa artefakter - RU Identitet & Behörighet - Confluence | Använd följande statusar (revideras löpande) | Status |
|---|
| colour | Yellow |
|---|
| title | Should have |
|---|
|
| Status |
|---|
| colour | Green |
|---|
| title | Could have |
|---|
|
| |
|
|
| Här läggs hänvisning till utkomst in efter uppgiften är slutförd |
|---|
| 1 | Vilka krav måste en anslutningsoperatör uppfylla för att få tillhandahålla anslutning till federationen? | Federationsregler för anslutning av anslutningsoperatör
– reglerar formella krav och villkor för att få verka som anslutningsoperatör. Anslutningspolicy (ENA-anslutningspolicy)
– anger de krav på federationsmedlem som anslutningsoperatören förväntas bära och tillämpa. Villkor för anslutningsoperatörer
– preciserar juridiska, organisatoriska och ekonomiska grundkrav (t.ex. juridisk person, F-skatt, försäkringar). Nationell kravkatalog – informationssäkerhetskrav
– refererad kravkälla för informationssäkerhet som anslutningsoperatören ska efterleva. Deklarationsmall för anslutningsoperatörs efterlevnad av krav
– används för att visa efterlevnad vid anslutning och vid uppföljning. Anslutningsprocess för anslutningsoperatör
– beskriver vad som kontrolleras vid anslutning och vad som uttryckligen inte kontrolleras.
| |
| Säkerställa att endast aktörer med tillräcklig juridisk, organisatorisk och säkerhetsmässig förmåga kan agera anslutningsoperatör och därigenom bära federationsmedlemmars anslutning till infrastrukturen. | Vi har svar på: - Vilka juridiska och organisatoriska grundkrav som gäller (t.ex. juridisk person, F-skatt, försäkringar)
- Vilka informationssäkerhetskrav som krävs för att bära anslutningspolicyn
- Vad som kontrolleras vid anslutning – och vad som inte kontrolleras
| Team Juridik och organisation tar lead - team teknik fyller på med tekniska krav |
|
| 2 | Vad krävs för att federationen och andra aktörer ska kunna lita på "uppslags- och verifieringstjänsten"? | Tekniskt ramverk – federationsinfrastrukturtjänster
– beskriver uppslags- och verifieringstjänstens funktion, roll och tekniska ansvar. Tekniskt ramverk för förmedling av tillitsinformation
– reglerar hur metadata, tillitsinformation och verifieringsuppgifter skapas, publiceras och verifieras. Federationspolicy
– fastställer övergripande principer för tillit, ansvar och samverkan. Villkor för federationsoperatör / infrastrukturtjänster
– anger ansvar, garantier och ansvarsbortfall kopplat till drift och förmedling av data. Federationsregler kopplade till tillitsinformation (trust marks, metadata)
– anger vilka tillitskrav som gäller och vad som garanteras avseende riktighet, aktualitet och källa.
| |
|
| Vi har svar på: - Vilka tillitskrav som gäller för tjänsten som förmedlar data
- Vad som garanteras om riktighet, aktualitet och källa
- Var ansvaret slutar om data är felaktig eller missbrukas
| Team Teknik tar lead - team Juridik och organisation fyller på |
|
| 3 | Hur skapas juridiskt skalbara avtalsrelationer utan bilaterala avtal? | Federationspolicy
– anger den övergripande avtalslogiken och ansvarsfördelningen i federationen. Avtal mellan federationsmedlem och federationen (lednings-/federationsområdesansvarig)
– binder federationsmedlemmen till federationsregelverket. Federationsregler för federationsmedlem
– utgör gemensam normgrund som möjliggör tillit mellan federationsmedlemmar. Avtal mellan federationen och anslutningsoperatör
– reglerar anslutningsoperatörens roll i avtalskedjan. Avtalsprinciper / Farleden (konceptuell artefakt)
– beskriver hur avtalsrelationer uppstår utan bilaterala avtal och hur flera parter binds genom samma regelverk.
| |
| Möjliggöra bred anslutning och samverkan utan att varje ny federationsmedlem eller relation kräver separata bilaterala avtal. | Vi har svar på: - Hur federationsmedlem binds till federationsregelverk
- Hur avtalsmässig relation uppstår mellan federationsmedlemmar utan bilaterala avtal
- Hur anslutningsoperatören ingår i avtalskedjan utan att skapa nya bilaterala avtal
| Team Juridik och Organisation |
|
| 4 | Vad krävs av Anslutningsoperatörerna för att vi ska nå tillräcklig tillit i en anslutning som gör att konsumenter känner sig säker på att en anropande komponent tillhör en viss organisation. |
| |
| - Tydliggöra förhållandet mellan Federationsregelverk, anslutningspolicy(er). tekniska federationspolicy(er), samt tekniska ramverk för anslutning och registrering
- Koppling till avtalsstrukturer?
| - Federationsregelverk
- Anslutningspolicy(er)
- Styrka behörig företrädare - för olika organisationsformer
- Teknisk federationspolicy(er)
- Tekniska ramverk
I detta ingår att också ha en tydlig och gemensam förståelse för vad som är en policy - i detta sammanhang
| Team Juridik och organisation tar lead - team Teknik tar lead |
|
| Kommer efterlevnadskontroller av kraven på anslutningsoperatör att göras? | Federationsregler för anslutning av anslutningsoperatör
– reglerar formella krav och villkor för att få verka som anslutningsoperatör. Villkor för anslutningsoperatörer
– preciserar juridiska, organisatoriska och ekonomiska grundkrav (t.ex. juridisk person, F-skatt, försäkringar). - Intern processbeskrivning hos Federationsoperatör / Ledningsaktör
|
|
|
|
|
|
|
| Vilka möjligheter har Anslutningsoperatörer att styra vilka organisationer som ansluts? |
|
|
| - Hur kan "anslutningspolicys/registreringspolicys" skapa interoperabilitet över federationskontext.
- Möjlighet att filtrera på Ans/reg-policy
| |
|
|
| Vilka skyldigheter och rättigheter har jag som anslutningsoperatör gentemot federationsoperatören? |
|
|
|
|
|
|
|
| Får jag som anslutningsoperatör ansluta mig själv federationsmedlem? (självregistrering) |
|
|
| Vi har haft en arbetshypotes om att man får ansluta sig själv (men inte utfärda tillitsmärken till sig själv) | Utforma en styrande princip samt en förklaringsmodell för hur tilliten till den självregistrerade uppstår |
|
|
| Kommer staten själv att vara Anslutningsoperatör? |
|
|
| Det måste finnas anslutningsoperatörer för samtliga potentiella federationsmedlemmar - om staten går in som en garant för en federationsmedlemsgrupp. |
|
|
|
| Ansvarsfördelning - vilket ev. ansvar har en Anslutningsoperatör vid fel i anslutning och de konsekvenser som det får (t.ex. en komponent registreras med koppling till felaktig organisation) |
|
|
|
| - Ska komma till uttryck i de normativa artefakterna avtal för anslutningsoperatör och avtal för förlitande part / utfärdare av behörighetshandling
|
|
|
| Vilka möjligheter har jag som Anslutningsoperatör att finansiera mina åtaganden i rollen som Anslutningsoperatör genom SIB |
|
|
|
|
|
|
|
| Vilka kostnader åtar jag mig som Anslutningsoperatör i förhållande till SIB |
|
|
| - registreringsprocess
- metadata-publicering/validering
- avveckling av anslutningsoperatör - koppling till regelverket
- incidenthantering/rapportering
| Prismodell
|
|
|
| Personuppgiftsfrågor kopplade till avtalsingåendet - stöd för behandling |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| Vilka för- och nackdelar finns med att etablera rollen federationsområdesansvarig och vad innebär den?
Frågeställning Vilket problem löser “federationsområdesansvarig” som inte redan täcks av andra roller? Hur undviks segmentering? Hur undviks och divergerande villkor mellan områden om en sådan roll införs?
|
|
|
| Bakgrund | Mål |
|
|
| Metadata/registrering – delade tekniska komponenter och indirekt anslutning Frågeställning Ska metadata modelleras per teknisk komponent eller per samverkande part som nyttjar den? Hur representeras “företrädande” i metadata för att förlitande part ska kunna verifiera denna? Behövs särskilt systemleverantörsavtal och/eller villkor för indirekt anslutning?
|
|
|
| Bakgrund Det finns en öppen fråga om hur tekniska komponenter som delas av många organisationer ska registreras i federationen (ex. regioners vårdinformationssystem som nyttjas av många vårdgivare). Behov av villkor för indirekt anslutning: hur indirekta anslutningar ska registreras och vilka organisationer en komponent får företräda. Egenskapsintyg kopplas till tekniska komponenter, inte samverkande parter, vilket skapar friktion när samma komponent används av flera parter. En möjlig inriktning är att kommersiella leverantörer representerar olika kunders användning som separata logiska komponenter; icke-kommersiella kan i vissa fall dela.
| Mål |
|
|
| Målbild och berättelsen Frågeställning / beslutspunkter Vilka 3–5 “flaggskeppsscenarier” ska användas för att förklara nyttan och driva anslutning? Vilken målgrupp riktar vi oss till per scenario (kommun, region, myndighet, leverantör)?
|
|
|
| Bakgrund Gemensam målbild/berättelse saknas och scenarier behövs där övergång till SIB beskrivs utifrån ett effektivitets och kostnadsperspektiv Exempel på scenariokategorier: myndighetsrapportering, företagsinriktade tjänster med manuell kontoprovisionering, informationsdelning mellan organisationer. Det finns ett exempel på scenario (kommun ↔ myndigheter) som kan användas som “storyboard”.
| Mål |
|
|
| Nationell strategisk plan och politisk förankring Frågeställning Vilka beslutsforum och vilken ordning för förankring (Ena → myndigheter → RK → leverantörer)? Vilka tjänstekategorier ska prioriteras nationellt (rapportering, informationsdelning, samverkan)?
|
|
|
| Bakgrund För att nå önskad nyttoeffekt behövs en politiskt förankrad nationell strategisk plan för vilka tjänster som börjar erbjudas baserat på anslutning till SIB; i nuläget planeras främst för NLL och ambitionen är att fler myndighetstjänster ska baseras på SIB. Föreslagna aktiviteter: kommunikationsmaterial, förankring inom Ena-strukturen, med tongivande myndigheter, RK, regioner (exempelvis via regionernas arkitekturråd) och IT-leverantörer.
| Mål |
|
|
| Efterlevnadskontroll (tillit) – nivå och modell Frågeställning Vilken miniminivå av efterlevnadsmodell ska gälla i SIB (och när krävs högre nivå)? Ska egenskapsintyg användas för att representera efterlevnad – och i så fall hur hanteras “självdeklarerad” vs tredjepartsintygad efterlevnad?
|
|
|
| Bakgrund Det är inte förankrat hur efterlevnadskontroll av organisationers/verksamheters förmågor inom informationssäkerhet ska hanteras. Alternativ spänner från ingen faktisk kontroll till självdeklaration, internrevision eller extern revision; risk måste vägas mot samhällskostnad. Det kan behövas komplettering till juridiskt ansvar i form av ramverk för efterlevnadsredovisning/-kontroll, med hänsyn till organisationstyp och befintliga revisioner och certifieringar.
| Mål Ett riskbaserat, skalbart ramverk för efterlevnad som skapar tillräckligt hög tillit, är praktiskt genomförbart och kostnadseffektivt,
|
|
|
|
|
|
|
|
|
|
|
|