Status: Utkast
Version: 0.1
Tillämpning: Produktion
Federationskontext: BAS
Ledningsaktör: Myndigheten för digital förvaltning, Digg
Federationsoperatör: Myndigheten för digital förvaltning, Digg
Detta dokument anger regelverk för federationskontexten BAS inom Samordnad identitet och behörighet.
Regelverket beskriver syfte, ansvar, anslutningsbar krets och grundläggande villkor för BAS. Det anger även vilka frågor som hanteras i andra styrande dokument, såsom anslutningspolicyer, registreringspolicyer, tekniska anslutningsregler, tekniskt ramverk, incidentprocess, förändringspolicy och tillämpliga avtalsvillkor.
Syftet med BAS är att skapa en gemensam grundnivå för verifierbar teknisk och organisatorisk tillit.
BAS ska göra det möjligt att verifiera:
a) vilken teknisk komponent som kommunicerar,
b) vilken organisation som ansvarar för komponenten,
c) under vilka regler som komponentens metadata har registrerats
BAS ska möjliggöra maskin-till-maskin-samverkan där ett mottagande system behöver kontrollera att ett anrop kommer från en viss teknisk komponent som kan kopplas till en viss ansvarig organisation.
BAS ska ge en verifierbar tillitsgrund som kan användas av en förlitande part i dennes egen åtkomstbedömning.
BAS ger inte i sig rätt till åtkomst, informationsutbyte, behandling av uppgifter eller användning av viss digital tjänst.
Samordnad identitet och behörighet är i första hand till för verksamheter inom välfärdsområdet som helt eller delvis är offentligt finansierade.
Med välfärdsområdet avses här verksamheter där offentliga aktörer, eller aktörer som utför offentligt finansierade uppgifter, behöver säker digital samverkan över organisationsgränser.
Närmare avgränsning av välfärdsområdet och anslutningsbar krets regleras i anslutningspolicy och tillämpliga avtalsvillkor.
Följande aktörer kan anslutas till BAS efter prövning enligt anslutningspolicy:
a) statliga myndigheter,
b) kommuner,
c) regioner,
d) offentligt styrda organ,
e) kommunala och regionala bolag,
f) organisationer som helt eller delvis bedriver offentligt finansierad verksamhet inom välfärdsområdet, och
g) andra organisationer som behöver delta i informationsutbyte med anslutna offentliga eller offentligt finansierade aktörer.
Informationsutbyte sker även med andra organisationer än offentliga och offentligt finansierade aktörer.
Andra organisationer får anslutas när anslutningen krävs för ett informationsutbyte som en offentlig eller offentligt finansierad aktör har behov av.
Sådana organisationer kan exempelvis vara:
a) privata leverantörer av digitala tjänster,
b) systemleverantörer,
c) tjänsteleverantörer,
d) privata utförare inom offentligt finansierad verksamhet,
e) underleverantörer, och
f) andra organisationer som behöver delta i ett konkret informationsutbyte med ansluten offentlig aktör.
Prövning av sådan anslutning sker enligt anslutningspolicy.
Beskrivning och bild över TA, resolver, intermidiates samt beskrivningar av rollerna som tidigare fanns i kap 10 ff
Anslutning av federationsmedlemmar BAS sker enligt Krav och vägledning för anslutning av federationsmedlemmar
Tekniska komponenter registreras enligt Registrering - krav och vägledningar
Tekniska profiler finns beskrivna i Tekniskt ramverk för Samordnad identitet och behörighet.
Tekniskt ramverk anger exakta tekniska krav och ska tillämpas för de komponenttyper och profiler som omfattas av BAS.
Tekniska anslutningsregler och registreringspolicy ska hänvisa till tekniskt ramverk för protokollkrav, metadataformat, endpoints, claims, algoritmer och andra tekniska detaljer.
Tillitskedjan för federationsmedlem följer principen:
Federationsoperatör → Anslutningsoperatör → Federationsmedlem → Federationsmedlemmens entiteter
Tillitskedjan ska kunna verifieras enligt tekniskt ramverk.
Digg ska som federationsoperatör tillhandahålla tillitsankartjänst och uppslags- och verifieringstjänst enligt tekniskt ramverk.
Digg ansvarar för att BAS har tillgång till de infrastrukturtjänster som krävs för att tillitskedjor ska kunna etableras och verifieras.
Egenskapsintyg kan förmedlas inom BAS när parter har behov av att uttrycka en viss egenskap hos en organisation, teknisk komponent eller funktion. Egenskapsintyg hanteras mellan de parter som har behov av egenskapsintyget. Det är dessa parter som kommer överens om vad egenskapsintyget betyder, vem som får utfärda det, vilka krav som ligger bakom det och när det ska accepteras.
Egenskapsintyg verifieras inte i BAS tillitsankare. Tillitsankaret används för att verifiera federationsmetadata och tillitskedjor, inte för att godkänna eller kontrollera egenskapsintygets innebörd.
Verifiering och acceptans av egenskapsintyg sker mellan de parter som bilateralt, eller inom en samverkanskontext, har kommit överens om att använda egenskapsintyget.
Varje part ansvarar själv för att avgöra om egenskapsintyget ska accepteras i den aktuella samverkan.
Federationsgodkänt egenskapsintyg
Samverkansgodkänt egenskapsintyg
Egenskapsintygsägaren ansvarar själv för att skapa, kravställa och verifiera egenskaps intyg i den bilaterala relation eller samverkanskontext där de används.
BAS förmedlar eller möjliggör verifiering av tillitsmärken tekniskt, men BAS tar inte över egenskapsintygsägarens ansvar för kravställning, kontroll eller bedömning av egenskapsintygets betydelse.
Egenskapsintygs ägarens ansvarar för regelverket för de egenskaps intyg som egenskapsintygsägaren står bakom och beslutar om kontrollmekanismer, detta omfattar:
Förlitande part ansvarar själv för att fatta åtkomstbeslut.
Förlitande part ska själv ange:
a) vilken tjänst eller vilket API som omfattas,
b) vilka organisationer som får använda tjänsten,
c) vilka tekniska komponenter som får anropa tjänsten,
d) vilka tillitsmärken eller andra underlag som krävs,
e) vilka ändamål som är tillåtna, och
f) vilka övriga villkor som gäller.
Verifiering enligt BAS innebär inte att åtkomst ska beviljas.
BAS ger endast ett verifierbart underlag. Den förlitande parten ansvarar för hur underlaget används.
Incidenter och avvikelser ska hanteras enligt vid var tid gällande incidentprocess för BAS.
Parter som deltar i BAS ska följa de rapporteringsvägar, tidsfrister, klassificeringar och åtgärdsrutiner som anges i incidentprocessen.
Minst följande händelser ska rapporteras:
a) misstänkt eller konstaterad kompromettering av nyckel,
b) felaktig metadata,
c) otillåten användning av teknisk komponent,
d) bristande kontroll av organisationskoppling,
e) otillgänglighet i federationskritisk komponent,
f) felaktigt tillitsmärke, och
g) annan händelse som kan påverka BAS tillit, säkerhet eller interoperabilitet.
Anslutningsoperatör får vidta tillfälliga skyddsåtgärder inom sitt ansvarsområde om fortsatt användning av en komponent kan skada BAS tillit, säkerhet eller interoperabilitet.
Digg får som federationsoperatör vidta federationsgemensamma skyddsåtgärder om händelsen påverkar BAS som helhet.
Beslut om spärrning, avpublicering, återkallelse eller annan skyddsåtgärd ska fattas och dokumenteras enligt incidentprocess, anslutningspolicy och registreringspolicy.
Digg ansvarar som ledningsaktör för förändring av detta regelverk.
Ändringar ska dokumenteras, versionshanteras och kommuniceras till berörda parter.
Ändring ska ske enligt vid var tid gällande förändringspolicy för BAS.
Förändringspolicyn reglerar hur ändringar bereds, beslutas, kommuniceras och träder i kraft.
Vid ändring av krav som påverkar anslutna parter ska övergångstid hanteras enligt förändringspolicy.
Säkerhetskritiska ändringar får genomföras utan ordinarie övergångstid om det krävs för att skydda BAS tillit, säkerhet eller interoperabilitet.
Drift av BAS omfattar de parter, tekniska komponenter, metadata, tillitskedjor och tillitsmärken som är anslutna eller registrerade enligt gällande anslutningspolicy, registreringspolicy och tekniskt ramverk.
Nya parter och komponenter får anslutas efter prövning enligt gällande processer.