På sidan:
| Table of Contents |
|---|
Vad är ett egenskapsintyg och vilka typer finns
Ett egenskapsintyg säger att en protokollentitet eller den organisation den representerar uppfyller definierade krav. Intyget är underlag, aldrig ett åtkomstbeslut. Vad intyget betyder för åtkomsten avgör slutligen den som fattar beslut om åtkomst.
Egenskapsintyg kan ha olika ursprung och verifieras på olika sätt. Ursprung kan delas upp enligt följande:
- nationellt,
- samverkanskontext och
- mellan parter
Det finns två sätt att verifiera ett egenskapsintyg:
- via federationen (s.k. federationsbetrodda egenskapsintyg) eller
- direkt mot utfärdaren
...
Om dokumentet
Dokumentet beskriver egenskapsintyg på konceptuell nivå: vad de är, vilka typer som finns, vilka roller som bär dem och hur samordning ska motverka fragmentering. Syftet är att vi ska vara överens om koncept, principer och begrepp innan något skrivs in i federationsramverket.
Syfte och effekt
Egenskapsintyg gör det möjligt att maskinellt lita på påståenden om en motpart utöver grundtilliten. Utan samordning uppstår många snarlika intygstyper. Kommuner, regioner och leverantörer får då visa i huvudsak samma sak flera gånger mot olika mottagare, och kostnaden för det hamnar hos dem.
Den effekt vi vill uppnå:
- så få intygstyper som möjligt,
- intygstyper som kan återanvändas i så många sammanhang som möjligt, och
- att etablerad tillit inte behöver visas på nytt.
SIB kan inte dela in verkligheten i färdiga rutor. Samverkan går på tvärs mellan sektorer, och den som lämnar ut information ställer alltid sina egna krav. Det SIB kan göra är att skapa ett gemensamt system som skapar förutsättningar för att förenkla i så många sammanhang som möjligt, och att se till att vi menar samma sak när vi använder dem.
draw.io Diagram border false diagramName Byggstenar simpleViewer false width links auto tbstyle inline lbox true diagramWidth 691 height 331 revision 3
Figur: Federationsplattformen är stommen som håller ihop helheten. Federationskontexterna ger grundtillit, samverkanskontexterna lägger till kompletterande tillit och parterna ställer sina egna krav. Plattformen normerar längst ner, samordnar i mitten och tillhandahåller gemensamma begrepp högst upp. Ju högre upp, desto mindre styrning och desto större frihet.
Vad är ett egenskapsintyg är
Definition
Ett egenskapsintyg är ett elektroniskt stämplat påstående om att definierade krav eller villkor är uppfyllda. Påståendet görs av någon annan än den som det gäller, och det kan kontrolleras maskinellt.
Intyget knyts alltid till en protokollentitet, men påståendet kan avse den organisation som protokollentiteten representerar.
Varje egenskapsintyg vilar på en grund. Grunden är det som har skett utanför federationen och som intyget gör synligt: ett avtal, en granskning, en författning eller ett beslut. Grunden och innebörden framgår av definitionen av intygstypen.
Vad ett egenskapsintyg inte är
- Inte ett åtkomstbeslut. Intyget är underlag. Vad det betyder för åtkomsten avgör den som lämnar ut informationen, tillsammans med annan information den har rätt att använda.
- Inte juridisk behörighet. Intyget förmedlar behörighetsgrundande uppgifter. Grunden för behörigheten ligger utanför infrastrukturen.
- Inte en ersättning för betrodda källor. Finns en pålitlig källa som alla kan nå, används den.
- Inte ett självutfärdat påstående. Det en part säger om sig själv är inget egenskapsintyg.
En analog
| draw.io Diagram | ||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Intyget säger att kraven är uppfyllda. Vad det betyder för åtkomsten avgör den som lämnar ut informationen.
Ursprung, verifiering och tre typer
Ett egenskapsintyg kan beskrivas utifrån två frågor: var det kommer ifrån, och hur tilliten till det etableras.
Ursprung. Ett egenskapsintyg har sitt ursprung i:
- en Ena-gemensam lösning,
- en samverkanskontext, eller
- en överenskommelse mellan parter.
Verifiering. Ett egenskapsintyg kan vara betrott på två sätt:
- Federationsbetrott: federationsoperatören har godkänt utfärdaren för intygstypen. Alla i federationskontexten kan då kontrollera intyget genom federationen.
- Bilateralt betrott: den förlitande parten har själv etablerat tilliten till utfärdaren. Federationsoperatören är inte inblandad.
Kombinationen Kombinationen av ursprung och verifiering ger tre typer av egenskapsintyg:
| Typ | Ursprung | Verifiering | Vem äger innebörden | Nationellt
|---|---|---|
| Egenskapsintygsägare | ||
| Ena-gemensamt egenskapsintyg | En | |
| gemensam lösning inom Ena | Via federationen | Aktör med nationellt ansvar|
| Federationsbetrott | Den aktör som ansvarar för lösningen | |
| Egenskapsintyg i en samverkanskontext | En samverkanskontext | Via federationen |
| Federationsbetrott, alltid | I regel den | |
| aktör som ansvarar för samverkanskontexten | ||
| Egenskapsintyg mellan parter | En överenskommelse mellan parter | |
| Bilateralt betrott | Parterna själva |
Analogi om vad ett egenskapsintyg ärKopplingen mellan typ och verifiering är ett val vi gör för att styra mot samordning. Det är inte en teknisk nödvändighet.
draw.io Diagram border false diagramName Egenskapsintyg verifiering simpleViewer false width links auto tbstyle inline lbox true diagramWidth 381 height 201 revision
Intyget säger att kraven är uppfyllda. Vad det betyder för åtkomsten avgör den som lämnar ut informationen.
Var de tre typerna hör hemma
...
3
Figur: De tre typerna och hur tilliten till dem etableras.
Roller: ägare och utfärdare
| Roll | Ansvar |
|---|---|
| Egenskapsintygsägare | Äger definitionen av en intygstyp: vad den betyder, vilken grund och vilka krav den vilar på, och vilka som får utfärda den. Bär samordningsansvaret gentemot andra intygstyper. |
| Egenskapsintygsutfärdare | Ansvarar för den process som ligger till grund för intyget och utfärdar det enskilda intyget. Återkallar intyget när grunden inte längre gäller. |
Ägare och utfärdare kan vara samma aktör. Att rollerna ändå hålls isär har två skäl:
- Samordningsansvaret behöver en bärare. Ägarrollen är den plats där ansvaret att förstå, samordna och harmonisera kraven ligger. Det är genom ägarrollen som risken för fragmentering kan mötas.
- Utfärdandet ska kunna skalas. En intygstyp har en ägare men kan ha flera utfärdare, till exempel när en anslutningsoperatör utför kontrollen åt ägaren.
Principer
- Utfärdaren ansvarar för
...
- den process som ligger till grund för det
...
- intyget går i god för
...
- , antingen själv eller genom en granskning som ägaren har föreskrivit.
- Ett egenskapsintyg ska inte spegla uppgifter som finns i en betrodd källa hos någon annan. Ansvaret för ett intyg bör ligga nära den som äger processen eller källan bakom det.
- Ägarrollen för federationsbetrodda intygstyper förutsätter att aktören kan bära samordningsansvaret över tid.
Typ - Ena-gemensamt egenskapsintyg
Vissa egenskaper följer av lösningar inom Ena som är gemensamma oavsett samverkanskontext. Lösningarna har redan en ansvarig aktör och en etablerad grund, och kraven är redan enhetliga. Ägaren är den aktör som ansvarar för lösningen. Det behöver inte vara Digg.
I dag känner vi till tre sådana egenskapsintyg, alla med Digg som ägare:
Typ - Nationella egenskapsintyg
Vissa egenskaper är varken sektorsspecifika eller bilaterala. De följer av nationella, standardiserade lösningar som redan har en ansvarig aktör och en etablerad granskning eller ett etablerat avtal. Digg har två sådana typer:
- Identitet:
- att en e-legitimeringstjänst är granskad och
- godkänd enligt tillitsramverket för Svensk e-legitimation, och på vilken tillitsnivå . Intyget sätts på e-legitimeringstjänsten (OP) i den federationskontext där tjänsten finns.
- , Anskaffning och ersättning:
- att en part är ansluten till auktorisationssystemet för e-legitimering respektive
- , och
- att en part är ansluten till förbetald e-legitimering.
Typiskt Gemensamt för nationella egenskapsintyg dem är att de i sin karaktär är standardiserbara, det innebär att nationella egenskapsintyg i regel kommer gälla identiteter - antingen avseende tillit till identitet eller avseende gäller e-legitimering: antingen tilliten till en identitet, eller anskaffning och ersättning.
Det som gör ett intyg Ena-gemensamt är inte hur många sektorer det berör. Det avgörande är att egenskapen följer av en etablerad lösning inom Ena med en ansvarig aktör. En egenskap som berör många sektorer men saknar en sådan lösning hör hemma i en samverkanskontext och samordnas därifrån (se avsnitt 6).
Ena-gemensamma intyg signaleras i de federationskontexter där berörda parter finns.
| draw.io Diagram | ||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Figur: Diggs roller
Typ - Egenskapsintyg i en samverkanskontext
| Panel | ||
|---|---|---|
| ||
Definition av en samverkanskontext. Ett avgränsat sammanhang där ett antal federationsmedlemmar, under ledning av en ansvarig aktör, kommer överens om det som krävs utöver den gemensamma grunden för att utbyta information med varandra: vilken kompletterande tillit som behövs och vem som intygar den genom egenskapsintyg, vilka kompletterande tekniska överenskommelser som gäller, samt regler och gränssnitt för själva informationsutbytet. En samverkanskontext använder en eller flera federationskontexter och kan omfatta allt från få till många parter. |
En samverkanskontext är det sammanhang där parter som behöver utbyta information kommer överens om den kompletterande tillit som krävs utöver grundtilliten. En ansvarig aktör, Den ansvariga aktören leder samordningen i samverkanskontexten. Det är i regel en sektorsansvarig myndighet eller en aktör som har fått i uppdrag att samordna ett visst behov.
Den ansvariga aktören och egenskapsintygsägaren är ofta samma aktör, äger egenskapsintygstyperna och leder samordningen.
Samverkanskontexten är verksamhetsinriktad och kan använda flera federationskontexter. Egenskapsintygsägaren behöver då vara registrerad som betrodd i varje federationskontext där intyget ska verifieras via tillitskedjan.
Samverkansbehov
Det som skiljer intygstyper åt inom en samverkanskontext är hur mycket de behöver samordnas med andra. Syftet med samordningen är att motverka att snarlika krav uppstår i olika samverkanskontexter.
...
men de behöver inte vara det. En samverkanskontext kan använda befintliga intygstyper som ägs av någon annan. Det är just den återanvändningen modellen strävar efter.
Exempel: E-hälsomyndigheten ansvarar för samverkanskontexten kring nationell datainfrastruktur för hälso- och sjukvård (NDI). Där äger myndigheten intygstyper som att ett system uppfyller kraven för EHR-system, eller att en tillgångstjänst hanterar autentisering på ett tillitsfullt sätt.
Egenskapsintyg i en samverkanskontext är alltid federationsbetrodda. Utfärdarna behöver därför vara godkända i varje federationskontext som samverkanskontexten använder.
En samverkanskontext är inte en sektor. Samverkanskontexter uppstår ofta genom styrning, till exempel ett regeringsuppdrag, och överlapp mellan dem upptäcks ofta i efterhand. En federationsmedlem kan ingå i flera samverkanskontexter.
...
| draw.io Diagram | |||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Figur: En samverkanskontext nyttjar en eller flera federationskontexter, och en federationskontext kan nyttjas av många samverkanskontexter.
Typ - Egenskapsintyg mellan parter
Parter kan komma överens om egna intygstyper sinsemellan. Intyget verifieras direkt mot utfärdaren och ingår inte i tillitskedjan. Intygen är bilateralt betrodda: den förlitande parten etablerar själv tilliten till utfärdaren, och federationsoperatören är inte inblandad.
Skillnaden mot en samverkanskontext är inte antalet parter. Skillnaden är att det saknas en ansvarig aktör och att intygstypen inte är registrerad hos någon federationsoperatöringen federationsoperatör har tagit administrativt ansvar för att godkänna utfärdaren. Plattformen normerar inte denna typ. Om behovet växer kan intygstypen lyftas in i en samverkanskontext.
Vem går i god för vad
| Roll | Går i god för | Går inte i god för |
|---|---|---|
| Ledningsaktör | Ramarna, och att sektorsgemensamma typer har erkänd ägareprövningsordningen och katalogen. Stöder samordning vid överlapp. | Innebörden i en enskild samverkan |
| Egenskapsintygsägare | Innebörd, grund, krav , prövningsordning och vilka som får utfärda. Samordning med andra ägare. | Det enskilda utfärdandet |
| Egenskapsintygsutfärdare | Att intyget utfärdats enligt kraven och återkallas när förutsättningarna brister | Att underlaget som lämnats är korrekt |
| Federationsoperatör | Att utfärdaren är betrodd godkänd för intygstypen och att intyget är tekniskt verifierbartkan kontrolleras genom federationen | Innebörd eller sakinnehåll |
| Den som lämnar ut | Sitt eget åtkomstbeslut |
Katalog och intagsprocess
Vad katalogen är
Katalogen är en gemensam och öppen förteckning över egenskapsintyg. Den svarar på frågan “vad finns redan, vad betyder det och vem ansvarar för det?”. I hissanalogin motsvarar den besiktningsorganets beskrivning av vad skylten betyder.
Katalogen fyller fyra syften:
| Syfte | Vad det innebär |
|---|---|
| Synlighet | Befintliga intygstyper blir kända, så att den som har ett nytt behov hittar det som redan finns. Mycket fragmentering uppstår för att parallella initiativ inte känner till varandra. |
| Prövning | Nya förslag prövas mot det som redan finns, så att snarlika dubbletter undviks |
| Transparens | Den förlitande parten kan läsa vad ett intyg betyder och vilken grund det vilar på, och därmed bedöma vad det är värt för just dess beslut |
| Förvaltning | Ändringar, versioner och avvecklade intygstyper följs över tid |
Vad katalogen innehåller
För varje intygstyp:
- namn och innebörd,
- grund och krav,
- egenskapsintygsägare,
- vilka federationskontexter som erkänner intygstypen, och
- version och status.
Vad katalogen inte är
- Inte ett register över vem som har ett intyg. Det är utfärdarens sak.
- Inte det som gör ett intyg betrott. Tilliten etableras genom federationsoperatörens godkännande av utfärdaren. Att en intygstyp finns i katalogen innebär inte att någon federationskontext erkänner den.
- Inte ett beslut om krav. Katalogen beskriver intygstyper. Innebörden äger egenskapsintygsägaren.
Intagsprocess
Vem som helst kan föreslå en ny intygstyp. Förslaget prövas mot katalogen:
- Finns det redan en intygstyp eller en betrodd källa som täcker behovet? Då återanvänds den.
- Överlappar förslaget delvis en befintlig typ? Då samordnas berörda ägare. Det kan leda till att en befintlig typ ändras eller delas upp, i stället för att en ny läggs till.
- Är förslaget avgränsat? Då kan ägaren etablera det.
Prövningen bygger inledningsvis på sunt förnuft snarare än detaljerade regler. Syftet är inte att förbjuda intygstyper, utan att se till att överlapp upptäcks och hanteras. Prövningen blir lättare när katalogen har vuxit och det finns mer att jämföra med.
Vem som förvaltar katalogen
Ledningsaktören förvaltar katalogen och intagsprocessen. Uppgiften är en del av samverkansstruktur och styrning, den del av federationsplattformen som ännu inte är uppbyggd.
Prövningsordning för en ny egenskap
draw.io Diagram border false diagramName Prövningsordning egenskapsintyg simpleViewer false width links auto tbstyle inline lbox true diagramWidth 1071 height 1011 revision 3
Figur: Prövningsordningen styr mot återanvändning utan att hindra parter från att lösa egna behov.
Vilka egenskapsintyg i en samverkanskontext tas in i federationen
Varför frågan uppstår. När en federationsoperatör godkänner en utfärdare blir intygen betrodda för alla i federationskontexten. Federationsoperatören tar därmed ett administrativt ansvar som behöver vara hanterbart.
Godkännandet ska också leda mot den effekt som beskrivs i avsnitt 1. Om egenskapsintyg godkänns utan att någon egenskapsintygsägare bär samordningsansvaret riskerar antalet snarlika intygstyper att växa okontrollerat. Då förflyttas fragmenteringen in i federationen i stället för att motverkas.
Det vi vill uppnå är att varje samverkanskontext vars intyg blir federationsbetrodda har en egenskapsintygsägare som kan bära samordningsansvaret, och att federationsoperatörens administration står i proportion till nyttan.
| Panel | ||||
|---|---|---|---|---|
| ||||
Nuvarande kunskapsläge medger inte att försöka definiera någon precis gränsdragning just nu för när ett samverkanskontext och dess egenskapsintyg ska bli federationsbetrott. Vi börjar därför med E-hälsomyndigheten och NDI eftersom:
Det finns dock en väg in för nya behov genom att de bedöms från fall till fall, och gränsdragningen utvecklas när behoven blir kända. |
Omsättning i federationsramverket
Ramverket bör bara reglera federationsbetrodda egenskapsintyg.
Typindelningen, katalogen och prövningsordningen hör hemma i konceptet och i vägledning. Nedan ett första förslag på vad som kan behöva tillkomma:
| Dokument | Vad som behöver tillkomma eller ändras |
|---|---|
| Bilaga A: Definitioner | Nya begrepp (förslag):
|
| Bilaga B: Tekniskt ramverk | Hur egenskapsintyg utfärdas, görs kontrollerbara och återkallas. Bör redan vara omhändertagit. |
| Bilaga D: Roller och ansvar |
|
| Grundläggande krav för federationsinfrastrukturtjänster | Utfärdarens tjänst för egenskapsintyg läggs till. Vilka krav som ska gälla för "TMI-tjänster" bör föregås av en riskanalys. |
| NY: Krav vid anslutning av egenskapsintygsutfärdare | Del 1 gäller anslutning av organisationen. Del 2 gäller hur utfärdande går till: grund, underlag, spårbarhet, giltighet och återkallelse. Ett dokument med två delar nu, två dokument när antalet utfärdare växer. Den som redan är ansluten som anslutningsoperatör tillgodoräknas den verifieringen. |
| NY: Krav på egenskapsintygsägare | Vad ett egenskapsintyg ska innehålla och vad ägaren åtar sig, inklusive samordningsansvaret |
| NY: Vägledning för etablering och förvaltning av egenskapsintyg | Prövningsordning, katalog, intagsprocess, och valet mellan intyg och uppslag mot källa |
| Federationsregelverk per kontext | Vilka intygstyper och utfärdare som är godkända. Tider för giltighet och återkallelse. |