På sidan:

Varför inkrementell produktutveckling?

• Att etablera en ny identitet- och behörighetsinfrastruktur är komplext och innehållet många vägval 
• En inkrementell utveckling med ett utforskande arbetssätt, baserat på praktiska tillämpningar, skapar förutsättningar till ett kontinuerligt lärande för de aktörer som ska tillhandahålla infrastrukturen
• Vi vill hitta steg i den inkrementella utvecklingen som möter praktiska behov och därmed kunna ge värde.
• Vi vill ha pilot(er) för respektive steg i utvecklingen, så att nödvändiga frågor identifieras och att dessa får svar
• Att beskriva den inkrementella utvecklingen kan även förenkla dialog med aktörer som vill veta när specifika behov kan komma att stödjas av infrastrukturen

Idé till huvudsakliga steg

Bilden beskriver huvudsakliga steg för att möta behov hos producenten, dvs behov av pålitlig information om andra organisationer, system och användare.

Steg 1 - Identitet på system och organisation (MVP)

I det första steget etableras en gemensam grund för tillit mellan organisationer genom att tekniska system kan identifiera sig och kopplas till en ansvarig organisation. Producenten får därmed pålitlig information om vilket system som anropar och vilken juridisk person som står bakom anropet.

Detta steg fokuserar på maskin-till-maskin-kommunikation utan användare i tillitskedjan. Infrastrukturen möjliggör verifiering av systemidentitet och organisationstillhörighet samt säkerställer att anslutning skett enligt gemensamma krav. Steget skapar förutsättningar för automatiserad tillit mellan system, men omfattar inga behörighetsbedömningar eller delegering.

Steg 2 - Behörighet för organisation

I det andra steget utökas tillitsmodellen till att även omfatta organisationens egenskaper och relationer till andra organisationer. Producenten kan i detta steg få pålitlig information om vilken typ av organisation som står bakom ett system, exempelvis om organisationen är vårdgivare, huvudman eller annan relevant aktör.

Steget möjliggör även mer komplexa organisatoriska relationer, såsom att ett system kan agera för en annan organisation. Tilliten är fortsatt maskin- och organisationsbaserad, utan att användare introduceras. Detta ger ett viktigt mellansteg där organisatorisk behörighet och ansvar kan hanteras innan individnivån tillkommer.

Steg 3 - Användares identitet och organisationstillhörighet

I det tredje steget införs stöd för användares identitet och deras organisationstillhörighet. Producenten kan nu lita på vem användaren är och vilken organisation användaren representerar, även när användaren kommer från en annan organisation än producenten.

Detta steg möjliggör scenarier där användare kan använda tjänster över organisationsgränser utan att konton behöver förprovisioneras hos producenten. Steget omfattar dock inte behörighetsbedömningar på individnivå. Producenten får ett tillförlitligt beslutsunderlag om användarens identitet och organisatoriska kontext, men fattar fortsatt egna beslut om vad användaren får göra.

Steg 4 - Användares behörighet

I det fjärde steget utökas infrastrukturen till att även förmedla behörighetsgrundande information om användare, såsom roller, funktioner eller uppdrag. Användarorganisationen kan i detta steg intyga att en användare har en viss behörighet, till exempel att användaren är lärare eller handläggare.

Producenten kan använda denna information som underlag för automatiserade åtkomstbeslut, samtidigt som det slutliga ansvaret för beslut om åtkomst och utlämning fortsatt ligger hos producenten. Steget skapar förutsättningar för att minska behovet av lokala behörighetsregister och manuella förvaltningslösningar, utan att centralisera beslutsfattandet.

Roadmap för utveckling och lansering

Roadmappen illustrerar den övergripande riktningen för utveckling och införande av federationsinfrastrukturen. Den ska läsas som en orienterande bild av hur förmågor kan byggas upp stegvis över tid, inte som en detaljerad tids- eller leveransplan.

MVP 2026 är det enda steg som omfattas av detta beslutsunderlag. Efterföljande steg är beroende av erfarenheter och lärdomar från MVP:n samt av separata beslut om inriktning, omfattning och prioritering.

Varje steg i roadmappen förutsätter att föregående steg har införts, utvärderats och bedömts som tillräckligt stabilt innan nästa steg initieras.