Diskussionspunkt - Aktörer, roller och avtal

En kommun med behov av behov av integration med E-hälsomyndigheten realiserar denna integration med en tjänst från CGI.

1. Klienten (kommunens verksamhetssystem) nyttjar en tjänst från CGI för att hantera utgivning och hantering av egenutgivna klientcertifikat, samt skapande och verifiering av systems identitetshandlingar i form av privat key JWTer.
2. CGI:s integrationstjänst begär också åtkomst till EHM:s API å klientens räkning och returnerar åtkomstintyget till klienten
3. Klienten anropar EHM:s digitala tjänst

Utestående frågor:

1. Vilka avtal behöver tecknas mellan vilka parter?
   1. GDPR PuB-avtal
      1. Kommun → CGI
      2. Kommun ↔ EHM
   2. SIB federationsavtal
      1. Kommun – via Inera → Digg (verksamhetssystemet som klient)
      2. CGI – via Internetstiftelsen → Digg (integrationstjänsten som klient)
      3. EHM – som överenskommelse mellan myndigheter då dessa har samma huvudman → Digg (åtkomstintygstjänst och API)
   3. EHM tjänsteavtal?
      1. Kommun → EHM

Vilka leverabler bifogas till vilka avtal?

Aktörskvalificering

Tillitsramverk

Tillitsramverket reglerar summan av tillitsskapande villkor som ska uppfyllas. Villkoren "aktiveras" av en medlems engagemang inom federationen, d.v.s. när en teknisk komponent av en viss typ ansluts regleras villkoren med automatik för komponenten, verksamheten som ansvarar för och handhar komponenten, samt den juridiskt ansvariga organisationen.

Exempelskrivning:

Om och när du som medlem i federationen Samordnad identitet och behörighet ansluter en teknisk komponent behöver du som medlem säkerställa att kraven i Tillitsramverk - Bas ((referens: Kravkatalog och Ena tillitsmärken) uppfylls. Vilka krav som är tillämpliga styrs av tillitsramverkets definition av en komponentens förmågor. Villkoren kan träffa ansvarig organisation som helhet, den verksamhet inom organisationen som ansvarar för komponenten, och/eller komponenten själv.

Samordnad identitet och behörighet förbehåller sig rätten att ensidigt revidera krav årligen. Detta görs för att kunna bibehålla en stabil tilllitsskapande grund över tid i en föränderlig värld avseende informationssäkerhets- och cybersäkerhetsläge.

Tekniskt ramverk

De tekniska komponenter du som medlem ansluter till federationen Samordnad identitet och behörighet ska vara följsam gentemot Samordnad identitets tekniska ramverk för de integrationer 

Incidenthantering

...

Definition: Paraply för anslutning: villkor + process/bevisning + hänvisningar till ramverk, anslutningsregler, kravkataloger.
Artefaktkoppling: Villkor för anslutning, anslutningsprocesser, deklarationsmallar samt ev. hantering av åtkomstpolicy.

...

Föreslagen artefakt-arkitektur (lager + ansvar)

Tänk “lager” från mest övergripande (policy) till mest specifikt (tekniska profiler):

...

1. Aktörskvalificering och avtalsvillkor (Infrastrukturnivå, organisations-/styrningslager)

   • Normerar: vem som får ansluta, på vilka villkor, och hur anslutning godkänns.

   • Innehåller inte: tekniska detaljer per protokoll.

   • Operatörer
     • Vilka organisationer får bli,
       • Federationsoperatör
       • Anslutningsoperatör
       • Egenskapsintygsutfärdare
     • Vilka villkor ska gälla för deras verksamhet
       • Betrodd part - inte möjligt för vem som helst att ansöka om att bli operatör
       •  Måste för att få verka i rollen acceptera att bli tillitsgranskad 
         • inför initial etablering
         • återkommande (årlig?) självdeklarerad villkorsuppfyllnad
         • riskbaserade stickkontroller
       • ...
   • Medlemmar
     • Vilka organisationer får ansluta,
       • OP/AS
       • RP/Api
     • Vilka villkor ska gälla för deras verksamhet

Tekniska anslutningsregler per federationskontext (teknikneutral federationsnivå)

• • Normerar: vad som gäller, vilka gemensamma tekniska krav som gäller i federationskontexten, men uttryckt teknikneutralt (t.ex. “stark autentisering”, “spårbarhet”, “nyckelhantering”, “metadata-kvalitet”).

  • Innehåller inte: exakta SAML/OIDC-fält eller profilparametrar.

...

• • Operatörer
    • Vilka villkor ska gälla för de tekniska komponenter som de tillhandhåller
  • Federationmedlemmar
    • Vilka villkor ska gälla för de tekniska komponenter som de tillhandhåller

Registreringspolicy vid anslutning av teknisk komponent

• • • • Normerar: processen för hur en

...

• • • • operatör registrerar en

...

• • • • aktörs tekniska komponent (IdP, OP, SP, RP, API-gateway, attributkälla etc.),

...

• • • •  vilken evidens som krävs, test/validering, driftsättning, ändringshantering.

      • Innehåller: teknikberoende krav och flöden (eftersom registreringen skiljer sig mellan SAML och OIDC).

      • Organisationsidentifierare
      • Fastställande av företrädare 
      • Registrering av grundläggande metadata
      • Eventuell utfärdande av egenskapsintyg?
      • Operatörer
        • Verifiering av teknisk interoperabilitet
      • Federationmedlemmar
        • Krav på teknisk interoperabilitet
        • Hantering av avvikelser och uppföljning av åtgärdsplaner

Policy för tilldelning av egenskapsintyg/egenskapsintygsutfärdartjänst

Tekniskt ramverk (teknikspecifik normnivå: standarder + profiler)

• • Normerar: exakta standarder, profiler, options, “MUST/SHOULD/MAY”, interoperabilitet, samt referens till testprofiler.

  • Beroende: både teknik och federationskontext

...

Policyn gäller för anslutning till SIB-federationen inklusive:

• anslutning av AO till FO,

• anslutning av FM (och deras entiteter) via AO,

• publicering, uppdatering, avpublicering och revokering av metadata och trust marks.

1.2. Policyn reglerar inte bilaterala nyttjandeavtal mellan FM (tjänst-till-tjänst), men kräver att federationens metadata tydligt kan uttrycka avtals-/tillitsförutsättningar via policy/tillitsmarkeringar.2. Policyramverk och harmonisering

Policyn SHALL bestå av tre sammanhängande delar:
A) Anslutningsvillkor (juridik/avtal),
B) Tekniska anslutningsregler,
C) Operativa rutiner (processer för drift/incident/ändring).

2.2. Tekniska anslutningsregler SHALL vara verifierbara och knutna till anslutningsavtal (motsvarande Sweden Connect-principen att avtal definierar ansvar/avgifter och tekniska regler beskriver hur anslutningen ska fungera).

Policyn ska säkerställa att en Operatör (FO eller AO) som ansluts till SIB:

• kan upprätthålla federationens tillit (trust chain) på operatörsnivå,

• kan ansluta och hantera FM enligt separata medlemskrav (FM-policy),

• kan genomföra drift, incident, ändring och revokering på ett sätt som skyddar federationen och dess deltagare.

Tekniska krav på Anslutningsoperatör (federationsinfrastruktur)

6.1 Federationsfunktion

Anslutningsoperatören ska:

• publicera korrekt federationkonfiguration på avtalad well-known-lösning,

• signera och publicera federationuttalanden (entity statements) för underliggande enheter enligt tilldelad roll,

• kunna etablera en validerbar tillitskedja mot Federationsoperatören,

• kunna tillämpa och vidareföra federationspolicy (t.ex. metadata-begränsningar) enligt Federationsoperatörens kravbild.6.2 Nyckelhantering

Anslutningsoperatören ska:

• skydda privata nycklar mot obehörig åtkomst,

• ha rutin för nyckelrotation och hantering av kompromettering,

• kunna rotera nycklar utan oplanerade avbrott (t.ex. överlappande nycklar),

• logga och kunna spåra nyckelrelaterade händelser.

6.3 Tillgänglighet och robusthet

Anslutningsoperatören bör:

• dimensionera tjänster för att undvika att Anslutningsoperatören blir en gemensam felpunkt för sina Federationsmedlemmar,

• ha backuper, återställningsrutiner och kontinuitetsplanering,

• övervaka federationskritiska funktioner (publicering, signering, statuskontroller om tillämpligt).

6.4 Trust marks (om Anslutningsoperatören får delegerad utfärdanderätt)

6.4.1. Om Federationsoperatören delegerar utfärdande av trust marks till Anslutningsoperatören ska delegeringen vara tydligt uttryckt och möjlig att validera.

6.4.2. Anslutningsoperatören ska utfärda trust marks enligt federationspublicerad trust mark-katalog (definition, villkor, giltighet, status/återkallelse).

6.4.3. Anslutningsoperatören ska kunna återkalla trust marks och/eller signalera status enligt överenskommen mekanism (t.ex. status-endpoint eller kort giltighetstid med återutfärdande).

Dokumentpaket och tydlig gränsdragning

Dokument 1: Anslutningspolicy – Anslutningsoperatör (styrning och ansvar)

Syfte: Reglerar relationen mellan Federationsoperatör och Anslutningsoperatör (ackreditering av operatör).
Innehållsförteckning (förslag):

1. Syfte, omfattning och definitioner

2. Roller och ansvar (Federationsoperatör ↔ Anslutningsoperatör)

3. Tillitsstruktur för operatörsled (konsekvenser vid avstängning/återkallelse)

4. Kriterier för att få bli Anslutningsoperatör (juridik, säkerhet, kapacitet)

5. Godkännande och återkommande uppföljning (tillsyn/rapportering)

6. Krav på operativ förmåga (incident, förändring, kontinuitet, kommunikation)

7. Delegationer (t.ex. utfärdande av trust marks) – principnivå

8. Avstängning/återkallelse och konsekvenshantering (migrering, kommunikation)

9. Bilagor och hänvisningar (till tekniska anslutningsregler/ramverk)

Gräns: Inga protokollparametrar. Krav uttrycks som vad operatören ska kunna uppvisa och upprätthålla.

Dokument 2: Anslutningspolicy – Federationsmedlem (styrning och ansvar)

Syfte: Reglerar relationen mellan Anslutningsoperatör och Federationsmedlem (medlemskap och efterlevnad).
Innehållsförteckning (förslag):

1. Syfte, omfattning och definitioner

2. Kriterier för medlemskap (juridik, roller, ansvar)

3. Tillitsstruktur för medlem (konsekvenser vid avstängning/återkallelse)

4. Medlemsåtaganden (metadataansvar, kontaktvägar, incident, förändring)

5. Godkännande, uppföljning och sanktioner

6. Avstängning/återkallelse (medlemsnivå)

7. Bilagor och hänvisningar

Gräns: Inga tekniska fältlistor—bara åtaganden och efterlevnadsprinciper.

Dokument 3: Tekniska anslutningsregler – SIB Federation (verifierbara minimikrav)

Syfte: Definierar gemensamma, testbara krav som alla parter måste uppfylla för interoperabilitet och säker drift i SIB.
Innehållsförteckning (förslag):

1. Översikt: mål, tillämpning, miljöer

2. Gemensamma säkerhetskrav (TLS, nyckelhantering, loggning, tidsstämpling, driftinfo)

3. Metadata- och identitetskrav (kvalitet, aktualitet, kontaktuppgifter)

4. Versionsföljsamhet och övergångsregler (tidsfrister, bakåtkompatibilitet)

5. Krav per roll (Federationsoperatör / Anslutningsoperatör / Federationsmedlem) – utan protokollfält men med tydliga verifieringspunkter

6. Krav på tillitsstyrning (vilka trust marks/kategorier krävs när, principnivå)

7. Test, granskning och godkännande (vilka bevis krävs)

8. Incident- och återkallelsekrav (tekniska effekter och åtgärdstider)

9. Hänvisningar till tekniskt ramverk och registreringspolicy

Gräns: Här kan det finnas teknikbindning via hänvisning (“för OpenID Federation gäller Ramverk X”), men detaljparametrar ligger i ramverket.

Dokument 4: Registreringspolicy – OpenID Federation/OIDC (process och evidens)

Syfte: Beskriver hur registrering/uppdatering/avregistrering går till för federationens tekniska komponenter och metadata.
Innehållsförteckning (förslag):

1. Roller i registreringsprocessen (vem gör vad)

2. Onboardingflöde (steg för steg)

3. Registreringsobjekt (entitetstyper, relationer, kedjor)

4. Validering och kontroller (automatiska + manuella)

5. Miljöer: test/sandbox/produktion och flyttregler

6. Ändringshantering (metadata, endpoints, nycklar, certifikat)

7. Avpublicering och återkallelse (inkl. trust mark-status)

8. Loggning, spårbarhet och beslut (beviskedja)

9. Driftinformation och kommunikation

10. Mallar: checklistor, evidenskrav, tidsfrister

Gräns: Process + kontroller. Här hör “hur man gör” hemma.

Dokument 5: Tekniskt ramverk – profiler och interoperabilitet (exakta protokollkrav)

Syfte: Exakta standarder/profiler och parametrar som implementatörer behöver följa.
Innehållsförteckning (förslag):

1. Refererade standarder och profiler

2. OpenID Federation-profil (exakta claims, endpointkrav, policy application)

3. OIDC/OAuth-profil (flöden, response types, tokenkrav, signing/encryption)

4. Algoritmer, nycklar, tidskrav

5. Felhantering och säkerhetskrav på protokollnivå

6. Testprofil/konformitet (testfall, assertions)

7. Versionering och kompatibilitet

----------------------------------

1. Syfte

Denna anslutningspolicy fastställer villkor och krav för att en organisation ska kunna anslutas som Federationsmedlem i SIB via en Anslutningsoperatör. Policyn ska:

• säkerställa att Federationsmedlemmar uppfyller federationsgemensamma krav,

• reglera ansvar och skyldigheter mellan Anslutningsoperatör och Federationsmedlem,

• beskriva principer för anslutning, uppföljning, avstängning och återkallelse på medlemsnivå.

2. Omfattning och avgränsning

2.1. Policyn omfattar:

• medlemskriterier och åtaganden,

• ansvar för metadata, nycklar, incident och förändring,

• principer för registrering, publicering och avpublicering,

• principer för avstängning/återkallelse på medlemsnivå.

2.2. Policyn omfattar inte:

• detaljerade protokollparametrar och fält (Tekniskt ramverk),

• detaljerade registreringssteg och valideringsregler (Registreringspolicy),

• ackreditering av Anslutningsoperatör (se separat policy).

4. Definitioner

• Federationsmedlem: organisation som ansluter via Anslutningsoperatör och publicerar/driver entiteter/komponenter i federationskontext.

• Anslutningsoperatör: organisation som ansluter och hanterar Federationsmedlemmar och deras livscykel.

• Federationsoperatör: organisation som styr federationen på övergripande nivå.

5. Tillitsstruktur för Federationsmedlem

5.1. Federationsmedlem ansluts under Anslutningsoperatörens tillitskedja.

Tillitskedja (princip):
Federationsoperatör → Anslutningsoperatör → Federationsmedlem → Federationsmedlemmens entiteter

5.2. Konsekvens:

• Avstängning eller återkallelse av Federationsmedlem påverkar normalt endast Federationsmedlemmen och dess entiteter.

6. Kriterier för medlemskap

För att godkännas som Federationsmedlem ska organisationen:

1. kunna ingå avtal med Anslutningsoperatör,

2. ha utsedda kontaktfunktioner för teknik, säkerhet och verksamhet,

3. kunna uppfylla tillämpliga krav i Tekniska anslutningsregler,

4. implementera relevanta krav i Tekniskt ramverk för den entitetstyp som ansluts,

5. genomgå registrering och validering enligt Registreringspolicy.

7. Åtaganden för Federationsmedlem

Federationsmedlemmen ska:

• säkerställa att publicerad information och metadata är korrekt, aktuell och spårbar,

• skydda kryptonycklar och tillämpa nyckelrotation samt hantera kompromettering,

• följa krav på loggning och spårbarhet enligt Tekniska anslutningsregler,

• använda rätt miljöer och inte använda produktionsdata i testmiljö,

• följa incident- och ändringsrutiner och informera Anslutningsoperatör vid händelser som kan påverka tillit eller interoperabilitet,

• medverka i omprövning och uppföljning när detta krävs.

8. Avtal och villkor mellan Anslutningsoperatör och Federationsmedlem

8.1. Federationsmedlemmen ska ha ett undertecknat anslutningsavtal med Anslutningsoperatör innan produktionsanslutning.

8.2. Avtalet ska minst reglera:

• ansvarsfördelning, kontaktvägar och rapporteringskrav,

• villkor för publicering, uppdatering och avpublicering,

• villkor för avstängning/återkallelse och rättelsefrister,

• incidenthantering och samverkan,

• uppföljning och möjlighet till kontroll.

9. Anslutnings- och registreringsprocess (principnivå)

9.1. Anslutningsoperatören prövar ansökan baserat på:

• organisations- och kontaktkontroller,

• teknisk validering enligt Registreringspolicy,

• uppfyllnad av Tekniska anslutningsregler och Tekniskt ramverk.

9.2. Federationsmedlemmen anses ansluten när:

• avtal är tecknat,

• registrering/validering är genomförd,

• entiteter/komponenter är publicerade enligt Registreringspolicy.

10. Uppföljning, omprövning och rättelse

10.1. Anslutningsoperatören får:

• genomföra periodisk uppföljning och stickprov,

• begära kompletteringar och åtgärdsplan,

• kräva omprövning vid incident eller större förändring.

10.2. Federationsmedlemmen ska:

• åtgärda avvikelser inom överenskommen tid,

• vid behov tillfälligt begränsa funktion eller avpublicera för att minska risk.

11. Avstängning och återkallelse av Federationsmedlem

11.1. Anslutningsoperatören kan besluta om avstängning eller återkallelse om:

• väsentliga krav i policy, avtal eller tekniska anslutningsregler inte uppfylls,

• publicerad metadata är felaktig eller inaktuell och inte rättas,

• incidenter hanteras bristfälligt eller inte rapporteras,

• Federationsmedlemmens tekniska implementation inte längre är interoperabel på ett sätt som påverkar federationen.

11.2. Vid avstängning/återkallelse ska Anslutningsoperatören:

• genomföra teknisk avpublicering/ogiltigförklaring enligt Registreringspolicy,

• dokumentera beslut och kommunicera till Federationsmedlemmen,

• informera Federationsoperatören vid väsentliga händelser enligt överenskommen rutin.

12. Bilagor och hänvisningar

• x

• y

• z

...