Samordnad identitet och behörighet

Samordnad identitet och behörighet är ett byggblock i Ena - Sveriges digitala infrastruktur. Byggblocket mål är att möjliggöra enklare etablering och förvaltning av digital samverkan över organisationsgränser och därmed möjliggöra en ökad digitalisering av samhället.

En konsekvens av att byggblocket harmoniserar hanteringen av identiteter, behörighetsgrundande information och behörighetsbeslut är att vi även får ett verktyg för att kontinuerligt stärka samhällets digitala resiliens inom informations- och cybersäkerhetsområdena. 

Samordnad identitet och behörighet bygger vidare på erfarenheter och standardiseringar som gjort i och med etableringarna av Svensk e-legitimation 2013, Sweden Connect 2018, samt till viss del från e-tjänstelegitimationer via Valfrihetssystem 2017 och avtal om förbetalda e-tjänstelegitimationer 2022.

Här redovisar jag en tanke på konceptuell nivå kring hur reglering av egenskapsintyg kan ske via avtalet.

Detta behöver diskuteras med juridiskt kompetenta personer!!!

  1. Varje anslutande part skriver endast ett avtal för att ansluta till Samordnad identitet och behörighet. 
  2. Avtalet reglerar i förväg kraven på de tekniska komponenter som den anslutande parten ansluter till federationsinfrastrukturen.
    1. Exempel:Innan man kan ansöka om ett egenskapsintyg "intygsutfärdande" ansvarar man för att komponenten uppfyller informationssäkerhetskraven som beskrivs i "Bilaga 1 - Krav för egenskapintyg intygsutfärdande"
    2. Det behöver finnas utrymme för att livscykelhantera bilagornas innehåll - avtalet bör reglera att bilagor kan uppdateras årligen, hur uppdateringar kommer remissas och fastställas, samt hur många månader respektive part har på sig att efterleva ändrade krav.
  3. Innan tilldelning av egenskapsintyg ska efterlevnad av informationssäkerhetskrav påvisas för egenskapsintygsombud enligt krav i "Bilaga 9 - Ramverk för efterlevnadskontroll"
  4. För de egenskapsintyg som tilldelats var parts tekniska komponenter skall efterlevnad påvisas över tid enligt respektive egenskapsintygs regelverk för detta (se respektive egenskapsintygsbilaga enligt ovan)
  5. Eventuellt bör vi möjliggöra utställande av egenskapsintyg med märkning (extra claim) för att egenskapen är självdeklarerad och inte intygad av tredje part!?


(checkad när punkten har dokumenterats i huvuddokumentationen på denna sida)

  • Ska metadata skapas per teknisk komponent, eller per samverkande part som nyttjar den tekniska komponenten?
    • Om parten är en kommersiell leverantör SKA olika kunder användning av en komponent representeras som separata logiska komponenter
    • Om parten är en icke-kommersiell leverantör (statliga myndighet, övriga statliga aktörer, SKR, regioner, regionala bolag, regionförbund, kommuner, kommunala bolag, kommunförbund, eller kommunalförbund) KAN bakomliggande kunder använda samma logiska komponent utan att avkrävas separat anslutning. Till exempel när olika vårdgivare inom en region nyttjar regionens centrala vårdinformationssystem.
  • Avtalet avseende Samordnad identitet och behörighet täcker
    • Möjlighet att ansluta tekniska komponenter som tillgängliggör förmågor för  utställande och hantering av behörighetshandlingar (OP, AS)
    • Möjlighet att ansluta klientsystem (client) som avser konsumera digitala tjänster  som baserar sin behörighetskontroll på Samordnad identitet och behörighet.
    • Möjlighet att ansluta digitala tjänster (RP, protected resource) till klientsystem anslutna till Samordnad identitet och behörighet
    • Avtalet ställer fundamentala villkor för de komponentansvariga organisationerna 
    • Avtalet ställer fundamentala villkor för komponenterna som ansluts samt reglerar hur detta följ upp vid anslutningar
  • Digitala tjänster kan ställa ytterligare krav på informationssäkerhets- och cybersäkerhetskrav - dessa manifesteras genom egenskapsintyg
  • Arkitekturperspektivet - minsta möjliga granulära nivån - organisation
  • Samverkande organisationer sluter avtal med SIB


TODOs (förslag):

  • Skapa fokusgrupp för utformning av federationsavtal (kompetenser: avtalsjuridik, arkitektur, federation, tillit) - dessa kan komma att tecknas av tusentals parter och bör utformas för denna skala.
    • Parter som ska kunna teckna avtal, eller ingå överenskommelse om, är statliga myndighet, övriga statliga aktörer, SKR, regioner, regionala bolag, regionförbund, kommuner, kommunala bolag, kommunförbund, kommunalförbund, samt privata aktörer med eller utan offentlig finansiering.
    • Villkor om anslutande parts följsamhet mot fundamentala krav i kravkatalog (tillitsramverk) samt krav för anslutning av tekniska komponenter kan föranleda ompaketering och revision av leverabler inom tillitshanteringsområdet. Exempel på detta är reglering av efterlevnadskontroll.
  • Publicera krav online under exempelvis https://ena-infrastructure.se/kravkatalog/
  • Etablera verksamhet och process för livscykelhantering av krav
  •  
  • Skapa fokusgrupp för utformning av operatörsavtal (kompetenser: avtalsjuridik, arkitektur) - dessa bör uppskattningsvis tecknas med ett tiotal parter och kan utformas för denna skala. Operatörer kan kanske etableras av samtliga typer av organisationer, men de kommersiella möjligheterna bör vara begränsade i syfte att stärka grunden för tillit.
  • Skapa fokusgrupp för utformning av federationsoperatörsavtal (kompetenser: avtalsjuridik, arkitektur) - dessa bör tecknas endast av ett fåtal parter, där dessa parter bör ha en central position och funktion inom federationsområdet. I dagsläget ser vi endast behov av ett federationsområde, "Svensk offentlig förvaltning".
  • Publicera attributsdefinitioner under exempelvis https://ena-infrastructure.se/attribut/ 
  • Etablera verksamhet och process för förvaltning av attributsdefinitioner

Reglering av Samordnad identitet och behörighet

Avtal

Nedan visas en översikt över strukturen av avtal som möjliggör Samordnad identitet och behörighets federationsinfrastruktur. Bilden visar också hur avtal om samverkan med faktiskt informationsutbyte relaterar till federationsinfrastrukturen.


Federationsoperatörsavtal

Reglerar villkor för aktörer som vill etablera sig som federationsoperatör inom Samordnad identitet och behörighet.

Operatörsavtal

Reglerar villkor för de aktörer som vill etablera sig som anslutningsoperatör under ett visst tillitsankare.

De informationssäkerhets- och cybersäkerhetskrav som tas fram här bör registreras i den kravkatalog som upprättas och förvaltas inom Samordnad identitet och behörighet.

Federationsavtal

Reglerar villkor för de parter som vill erbjuda, alternativt ansluta till, digitala tjänster som anslutits till federationsinfrastrukturen.

Dessa villkor bör främst täcka villkor för metadata som publiceras inom federationen samt användandet av de digitala tjänster (e-tjänster  och API:er) som används för detta ändamål.

Avtalet ska även omfatta villkor för användning av uppslags- och verifieringstjänster hos anslutnings- och federationsoperatör.

Dessa omfattar 

  1. villkor för anslutande parter,
  2. villkor för anslutning av anslutande parters tekniska komponenter och de verksamheter inom organisationen som hanterar dem, samt
  3. villkor för anslutning av tekniska komponenter av typerna klienter, identitetsintygstjänster, åtkomstintygstjänater, e-tjänster, och skyddadde resurser.

Observera: federationsavtalets krav kring informations- och cybersäkerhet KAN uppdateras under avtalets giltighetstid. Detta då förändringar i vår omvärld kan kräva detta.

Specifikt skall villkor för intygsutfärdande, attributhantering, åtkomstbegäran, åtkomstkontroll och tillitsnivå 1, enligt Kravkatalog och Ena tillitsmärken inkluderas eller refereras till i avtalet.

Dessa generella krav kan behöva representeras som ett tillitsmärke om man vill separera anslutande parts registrering av metadata från anslutningsoperatörens verifiering av denna metadata. Ett tillitsmärke kan då tilldelas efter verifiering. 

Samverkansavtal

Avtal eller överenskommelse för reglering av den faktiska samverkan ligger utanför Samordnad identitet och behörighet och ingås antingen direkt mellan parter eller via en samverkansområdesoperatör. Dessa avtal kan styra informatik, API-specifikationer, åtkomstpolicyer, processer, kommersiella villkor, personuppgiftsbiträdesrelationer, eventuella kompletterande informationssäkerhetskrav, m.m.

För ökad samhällelig interoperabilitet kring informationsutbyten rekommenderas användning av följande leverabler som tas fram inom Ena, Samordnad identitet och behörighet, eller andra standardiseringssammanhang:

  1. Nationella profileringar av OIDC och OAuth.
  2. Nationella definitioner för behörighetsgrundande attribut.
  3. Nationellt etablerade attributprofiler 
  4. API-utformning i enighet med Diggs API-profil om det inte finns andra existerande API:er för aktuellt samverkansområde.
  5. Nationella vägledningar kring hur standarder och mönster ska tillämpas.
  6. Nationellt hamoniserade krav i kravkatalogen för krav på organisationer och verksamheter informationssäkerhetarbete.

Roller och ansvar

Regeringens styrning av Samordnad identitet och behörighet

  1. Regeringen
    1. BÖR instruera till någon myndighet att leda etableringen av ett system för Samordnad identitet och behörighet
    2. BÖR instruera svenska myndigheter (speciellt de som har någon samverkan med kommuner eller regioner) att ansluta sina tjänster för organisationsöverskridande samverkan till Samordnad identitet och behörighet. 
      1. Informationsutlämningstjänster
      2. Myndighetsrapportering 
      3. Digitala förfaranden (t.ex. Nationell läkemedelslista)

Roller och ansvar inom Samordnad identitet och behörighet

  1. Ledningsaktören 
    1. SKA ansvara för att upprätta och förvalta en central katalog med informationssäkerhetskrav
    2. SKA ansvara för att upprätta och förvalta en central katalog med definitioner av åtkomststyrande attribut
    3. SKA ansvara för att upprätta och förvalta nationella profileringar, anvisningar och vägledningar för identietets- och åtkomsthantering.
    4. SKA agera egenskapintygsägare för egenskapsintyg för nationellt harmoniserad kravefterlevnad (några få varianter per typ) hos tekniska komponenter som ansluts till federationsinfrastrukturen.
    5. SKA ansvara för anslutning av nya federationsoperatörer inom Samordnad identitet och behörighet
  2. Egenskapsintygsägare
    1. SKA ansvara för förvaltning av en uppsättning krav som en teknisk komponent och den verksamhet och organisation som ansvarar för komponenten behöver uppfylla
    2. SKA i största möjliga mån återanvända krav från den centrala kravkatalogen 
    3. KAN realisera sin hantering av sina egenskapsintyg via Egenskapsintygsombud
  3. Egenskapsintygsombud
    1. SKA ta emot ansökningar om att komponenter ska tilldelas egenskapsintyg
    2. SKA validera efterlevnad för komponenten enligt intygets regelverket för efterlevnadskontroll
    3. SKA erbjuda stämpling av egenskapsintyg vid beställning från egenskapintygsägare eller egenskapsintygsombud.
  4. Federationsoperatörer
    1. SKA etablera en tillitsankartjänst
    2. SKA erbjuda en uppslags- och verifieringstjänst
    3. SKA ansvara för efterlevnadskontrollen av intermediates under sitt tillitsankare.  Not: Detta BEHÖVER INTE realiseras med specifika egenskapsintyg då intermediates antas bli relativt få.
    4. SKA erbjuda nyetablering av anslutningsoperatör - detta omfattar avtal, tekniskt ramverk, tillitsramverk, processer, mm (not: jmfr system för etablering a e-legitimationsutfärdare)
  5. Anslutningsoperatörer 
    1. SKA ansvara för upprättande av federationsavtal med anslutna parter 
    2. SKA erbjuda en uppslags- och verifieringstjänst
    3. SKA stämpla tekniska komponenters validerade metadata
    4. KAN erbjuda tjänst för publicering av anslutna tekniska komponenters metadata
  6. Ansluten part
    1. SKA efterleva villkor i federationsavtalet för Samordnad identitet och behörighet
    2. SKA efterleva de krav som ställts via de egenskapsintyg partens tekniska komponenter tilldelats och redovisa efterlevnaden enligt respektive intygs regelverk för efterlevnadskontroll
    3. KAN skapa egna egenskapsintyg som representerar att man uppfyller ytterligare specifika informationssäkerhets- och dataskyddskrav

Roller och ansvar inom respektive samverkansområde som nyttjar Samordnad identitet och behörighet

  1. Samverkansoperatör
    1. SKA ansvara för avtal för samverkan mellan parter inom ett samverkansområde.
    2. SKA ansvara för upprättande och förvaltning av interoperabilitetsspecifikationer för den samverkan som sker inom samverkansområdet.
    3. SKA ansvara för upprättande och förvaltning av de överenskommelser som ingåtts av samverkande parter inom samverkansområdet.
    4. KAN välja Samordnad identitet och behörighet som grund för hantering av identiteter och åtkomstbeslut inom samverkansområdet.
    5. KAN välja att nyttja en, flera, eller alla förmågor som erbjuds via Samordnad identitet och behörighet för att realisera samverkan inom det egna området.
  2. Anslutande part
    1. KAN agera samverkansoperatör
    2. SKA teckna avtal eller ingå överenskommelse med samverkansoperatörer samverkansområden där man önskar delta 
    3. SKA teckna avtal eller ingå överenskommelse med anslutningsoperatör i Samordnad identitet och behörighet 
    4. SKA realisera eller upphandla de komponenter eller tjänster som behövs för att realisera identitets- och behörighetshantering för samverkan
    5. KAN etablera en verksamhet som egenskapsintygsägare om man inom samverkansområdet har specifika informationssäkerhetskrav för samverkansområdet
  3. Komponentansvarig
    1. SKA via en anslutningsoperatör ansluta de tekniska komponenter som ska användas av anslutande parter inom samverkan via Samordnad identitet och behörighet 
  4. Egenskapsmärkesägare
    1. SKA ansvara för förvaltning av en uppsättning krav specifika för samverkansområdet som en teknisk komponent och den verksamhet och organisation som ansvarar för komponenten behöver uppfylla 
    2. SKA i största möjliga mån återanvända krav från den centrala kravkatalogen och verka för att eventuella nya krav förrs in i kravkatalogen

Arkitekturell modell

Den arkitekturella modellen är uppdelad i tre delar:

  1. Samordnad identitet och behörighets tillitshantering
  2. Samordnad identitet och behörighets federationsinfrastruktur
  3. Digital samverkans anslutning till federationsinfrastrukturen och utökad tillitshantering, eventuellt kopplat till Samordnad identitet och behörighets kravkatalog.


Tillitshantering

Federationsinfrastruktur

Digital samverkan

Exemplifierad etablering av samverkan med stöd av Samordnad identitet och behörighet

Bakgrund: Värmdö kommun behöver ansluta till en folkbokföringen hos Skatteverket och till Försäkringskassans tjänst för myndighetsrapportering (OBS! påhittat scenario).

Förutsättningar:

  1. Skatteverket erbjuder sin folkbokföringstjänst via Samordnad identitet och behörighet.
  2. Försäkringskassan erbjuder kommuner sin tjänst för myndighetsrapportering via Samordnad identitet och behörighet
  3. Värmdö kommun behöver ansluta till båda tjänster
  4. Inera är etablerad som anslutningsoperatör, egenskapsintygsombud och egenskapsintygsutfärdare för Ena egenskapsintyg
  5. Digg är etablerade som ledningsaktör för Samordnad identitet och behörighet, samt egenskapintygsägare för Ena egenskapsintyg
  6. Digg agerar federationsoperatör för federationsområdet "Svensk offentlig förvaltning" och federationsområdet "Sweden Connect"
    Notera: Federationsområdet kännetecknas av att stödja all offentlig verksamhet och alla offentliga och privata aktörer som verkar inom offentlig förvaltning eller samverkar med aktörer inom offentlig förvaltning. 

Scenariobeskrivning:


FAS 1 - Skatteverket:

  1. Värmdö vill ta del av folkbokföringsdata och kontaktar Skatteverket i detta syfte
  2. Skatteverket rekommenderar Värmdö kommun att ansluta via Samordnad identitet och behörighet då detta är den mest framtidssäkra anslutningen som de siktar att få över alla sina existerande anslutningar till över tid.
  3. Skatteverket visar Värmdö deras interoperabilitetsspecifikation för folkbokföringstjänsten - denna deklarerar att man använder mönstret för delegerad åtkomst för åtkomst till tjänsten, samt pekar ut vilken attributprofil som krävs. 
  4. Värmdö kontaktar anslutningsoperatören Inera för att ansluta följande tekniska komponenter: 
    1. Verksamhetssystemet som behöver koppling till folkbokföringen behöver anslutas som klient
    2. En åtkomstintygstjänst behöver anslutas som både attributkälla (då det tillför behörighetsgrundande information från personalsystemet) och åtkomstintygstjänst
  5. Värmdö upphandlar en identitetsintygtjänst som stödjer deras medarbetares legitimering med Freja OrgId. identitetsintygtjänsten är redan godkänd enligt Svensk e-legitimation och får därför användas inom Samordnad identitet och behörighet.
  6. Inera koordinerar följande aktiviteter för Värmdö
    1. Tecknar ett tilläggsavtal med Värmdö som låter Värmdö använda Ineras tjänster som anslutningsoperatör. Prismodell för denna tjänst är reglerad av Digg som ledningsaktör.
    2. Värmdö köper tilläggstjänsten att låta Inera publicera metadata för anslutna komponenter i sin metadatakatalog
    3. Tillser avtalsskrivning med Digg för federationsområde "Svensk offentlig förvaltning", grundavtal plus bilagor för klient, attributkälla och åtkomstintygstjänst
    4. Skapar ansökan om egenskapsintyg "Åtkomstbegäran" för verksamhetssystemet, samt "Intygsutfärdande", "Attributhantering" och "Tillitsnivå 3" för åtkomstintygstjänsten
  7. Inera genomför efterlevnadskontroll avseende egenskapsintygen. Denna inkluderar säkerställande av Värmdös utformning av sitt LIS, de specifika verksamheternas förmågor, samt specifika organisatoriska, fysiska, personrelaterade och tekniska krav kopplat till respektive tillitsmärke.
    Notera: Mycket av efterlevnadskontrollen kan genomföras med genomgång av dokumentation, revisionsrapporter från internrevision, samt självskattningar. Regelverk för hur olika parters efterlevnad förutsätts, deklareras, eller påvisas regleras av respektive egenskapsintygsägare.
  8. Värmdö blir efter att ha genomfört ett tiotal förändringar godkända för alla egenskapsintyg varpå Inera i rollen som egenskapsintygsutfärdare kan utfärda egenskapsintyg för komponenterna
  9. Inera inhämtar, validerar och publicerar Värmdös övriga metadata för komponenterna
  10. Värmdö kontaktar återigen Skatteverket angående folkbokföringen.
  11. Skatteverket verifierar snabbt online att Värmdös verksamhetssystem och åtkomstintygstjänst är anslutna till Samordnad identitet och behörighet, samt att de har de egenskapsintyg som krävs i åtkomstpolicyn för folkbokföringen.
  12. Skatteverket och Värmdö skriver avtal om folkbokföringstjänsten som reglerar ansvar och skyldigheter för tjänsten och informationshanteringen.
  13. Skatteverket registrerar Värmdös verksamhetssystem som klient i sin åtkomstintygstjänst


FAS 2 - Försäkringskassan

  1. Värmdö vill ansluta sitt biståndssystem till försäkringskassan för myndighetsrapportering
  2. Försäkringskassan rekommenderar anslutning via Samordnad identitet och behörighet, men de erbjuder fortfarande även en lösning med uppladdning via en e-tjänst med Bank-ID-inloggning och manuell provisionering av användarkonton.
    1. Då värmdö redan är anslutna till Samordnad identitet och behörighet känns detta mest naturligt för dem. Dessutom slipper de hantering av externt provisionerade konton, vilket tar mycket tid och resurser i anspråk.
  3. Försäkringskassans interoperabilitetsspecifikation för myndighetsrapportering deklarerar att man använder systemidentifiering som grund för åtkomst
  4. Värmdö kontaktar sin anslutningsoperatör Inera för att ansluta sitt bistådssystem som klient
  5. Åtkosmtintygstjänsten de har stödjer redan Client Credentials flow enligt den nationella OAuth-profilen vilket är det Försäkringskassan pekar på
  6. Inera koordinerar följande aktiviteter för Värmdö
    1. Skapar ansökan om egenskapsintyg "Åtkomstbegäran" för biståndssystemet
  7. Inera genomför efterlevnadskontroll avseende den nya klienten. Man behöver endast försäkra sig om att även biståndsenheten följer LISet. Inga specifika krav ställs på de system som ska genomföra myndighetsrapportering.
  8. Värmdö blir efter en snabb granskning godkänd och Inera utfärdar egenskapsintyget.
  9. Värmdö inhämtar, validerar och publicerar metadata för biståndssystemet
  10. Värmdö kontaktar Försäkringskassan om att få myndighetsrapportera via Samordnad identitet och behörighet
  11. Försäkringskassan verifierar snabbt online att Värmdös biståndssystem och åtkomstintygstjänst är anslutna till Samordnad identitet och behörighet, samt att åtkomstintygstjänsten har egenskapsintyget "Åtkomstbegäran".
  12. Myndighetsrapportering kräver inget avtal utan är varje kommuns skyldighet
  13. Försäkringskassan registrerar Värmdös biståndssystem som klient i sin åtkomstintygstjänst.

Observera att varje kommun behöver etablera och underhålla samverkan med flera tiotal statliga myndigheter och ännu fler andra aktörer inom det kommunala uppdraget. Potentialen här bör vara enorm!