Status: Utkast, uppstart av steg 2 Målgrupp: Arbetsgruppen för juridik och organisation samt taktiskt utskott Syfte: Ge en gemensam bild av vilka situationer företrädarskapet ska hantera, så att behovet och avgränsningen kan prövas innan lösningsmönster värderas
Scenarierna beskriver situationer som förekommer i dag och som kommer att förekomma när federationen används. De beskriver inte hur företrädarskapet ska realiseras.
Ett scenario och ett användningsfall är olika saker och används till olika sak.
| Artefakt | Beskriver | Används till |
|---|---|---|
| Scenario | Flera parter i ett flöde, med behovet och den rättsliga drivkraften | Fånga behov, hitta avgränsningar, provtrycka lösningsmönster |
| Användningsfall | Vad en ansvarig roll gör och vilket utfall som uppstår | Kravspårbarhet, testfall, beskrivning av vad en roll innebär |
Begreppen nedan används genomgående i detta underlag. De är inte beslutade och ska prövas under steg 2.
| Term | Användning här |
|---|---|
| Företrädd organisation | Den organisation för vars räkning ett anrop sker och som har informationsbehovet |
| Företrädande federationsmedlem | Den organisation som ansvarar för den komponent som gör anropet, när komponenten används för någon annans räkning |
| Konsument | Positionen hos den part som anropar en annan parts skyddade resurs |
| Producent | Positionen hos den part som tillhandahåller den skyddade resursen och prövar åtkomsten |
| Systemleverantör | Organisation som utvecklar och tillhandahåller programvara utan att själv driva någon komponent i federationen |
| Protokollentitet | En federationsmedlems leaf-entitet, alltså e-tjänst, identitetsintygstjänst, åtkomstintygstjänst, klient eller resursserver |
Förtyligande: Konsument och producent är positioner i ett utbyte, inte roller i rollmodellen. Samma federationsmedlem kan inneha båda positionerna i olika flöden.
Flera av scenarierna nedan går inte att beskriva om företrädarskapet behandlas som en enda sak. Det som behövs är två uttalanden med olika livslängd.
| Uttalande | Vad det säger | Livslängd |
|---|---|---|
| Behörighetsuttalande | Att en viss komponent får agera för en viss organisations räkning | Följer avtalsrelationen och ändras sällan |
| Anropsuttalande | Att detta enskilda anrop görs för organisation A:s räkning | Ett anrop |
Hypotes. Företrädarskapet kräver båda. Ett behörighetsuttalande utan anropsuttalande gör det möjligt att veta att komponenten får företräda A, B och C, men inte att avgöra vem det aktuella anropet gäller. Ett anropsuttalande utan behörighetsuttalande är ett obestyrkt påstående från den anropande parten.
Att göra: Målbild steg 2 anger att det ska gå att härleda vilken organisation ett anrop görs för, men beskriver bara behörighetsuttalandet. Skillnaden behöver in i målbilden, eftersom den avgör om lösningen kan bäras enbart i federationsmetadata.
Fullständighet uppnås inte genom att räkna upp exempel utan genom att täcka variationen. Följande dimensioner faller ut av behovsbilden.
| Dimension | Värden |
|---|---|
| Position | Konsumerande sida, producerande sida |
| Vem ansvarar för protokollentiteten | Den företrädda organisationen själv, en företrädande federationsmedlem, en anslutningsoperatör |
| Antal led | Noll, ett, två eller fler |
| Företrädd organisations status | Federationsmedlem med egna entiteter, ansluten utan egna entiteter, inte ansluten alls |
| Antal företrädda per komponent | En, några, tusentals |
| Granularitet | Juridisk person, verksamhetsobjekt inom juridisk person, tjänst eller ändamål |
| Livscykelhändelse | Etablering, ändring, byte av part, återkallelse, avslut |
| Kontextspann | En federationskontext, flera federationskontexter |
| ID | Scenario | Position | Led | Vad det provtrycker |
|---|---|---|---|---|
| S1 | Organisationen företräder sig själv | Båda | 0 | Att normalfallet inte belastas |
| S2 | Leverantörsdriven konsument | Konsument | 1 | Grundfallet, härledning och ursprung |
| S3 | Leverantörsdriven producent | Producent | 1 | Symmetrin, utlämnande för annans räkning |
| S4 | Flera led i kedjan | Konsument | 2 eller fler | Var verifieringen slutar och kravställningen tar vid |
| S5 | En komponent företräder tusentals | Konsument | 1 | Skalning och förvaltningsbörda |
| S6 | Påstådd företrädd som inte deltar | Konsument | 1 | Skyddet för den som står utanför |
| S7 | Byte av leverantör och återkallelse | Båda | 1 | Livscykel och tid till genomslag |
| S8 | Finare granularitet än organisation | Båda | 1 | Gränsen mellan fråga A och fråga B |
| S9 | Företrädarskap över flera kontexter | Båda | 1 | Om frågan hör hemma i plattformen eller i tillämpningen |
En kommun eller myndighet driver sina egna protokollentiteter och anropar en producents skyddade resurs direkt. Ingen annan part är inblandad.
| Aktör | Position |
|---|---|
| Organisation A | Konsument, ansvarar själv för klienten |
| Organisation B | Producent |
Rättslig drivkraft. Ingen utöver det som steg 1 redan hanterar. Producentens behov av att veta vem som anropar är tillgodosett genom organisationskopplingen i metadata.
Vad företrädarskapet ska göra i detta scenario. Ingenting. Scenariot finns med för att sätta gränsen. Det ska gå att delta utan att befatta sig med företrädarskap.
En kommun använder ett verksamhetssystem som driftas av en leverantör. Leverantören ansvarar för de protokollentiteter som gör anropet och är federationsmedlem i eget namn. Kommunen har inga egna protokollentiteter i flödet. Anropet går till en myndighets skyddade resurs.
| Aktör | Position |
|---|---|
| Kommun A | Konsument, företrädd organisation |
| Leverantör X | Företrädande federationsmedlem, ansvarar för klienten |
| Myndighet B | Producent |
Rättslig drivkraft. Producentens prövning av en begäran om utlämnande, i förekommande fall med sekretessprövning, samt krav i registerförfattning på att kunna spåra vilken mottagare som har tagit del av uppgifter.
Vad som sker utan företrädarskap. Producenten ser leverantör X och prövar därmed fel part. Alternativet är att producenten i förväg registrerar vilka kunder X har, vilket är den bilaterala hantering som federationen avser att ersätta/förenkla.
Vad företrädarskapet ska göra möjligt.
Vad som ligger utanför. Om kommun A har rätt till uppgifterna, vilket är producentens egen prövning. Vilken handläggare hos kommun A som ligger bakom anropet, vilket hör till senare steg.
Öppen fråga. Om leverantör X driftar en gemensam instans för flera kommuner måste anropsuttalandet peka ut vilken kommun det gäller. Om X i stället driftar en instans per kommun kan behörighetsuttalandet ensamt räcka, men antalet registrerade komponenter växer i stället. Ska plattformen normera båda fallen eller bara det första.
En region eller myndighet är ansvarig för de uppgifter som lämnas ut, men den resursserver som lämnar ut dem driftas av en leverantör som är federationsmedlem i eget namn.
| Aktör | Position |
|---|---|
| Organisation C | Producent, företrädd organisation |
| Leverantör Y | Företrädande federationsmedlem, ansvarar för resursservern |
| Organisation D | Konsument |
Rättslig drivkraft. Utlämnandet sker för organisation C:s räkning och det är C som ska kunna svara för det. Registerförfattningar ställer krav på att den utlämnande parten kan redovisa vad som har lämnats ut och till vem.
Vad som sker utan företrädarskap. Konsumenten kan inte maskinellt avgöra vems uppgifter som lämnas ut, utan bara vilken organisation som driftar servern. Tillämpningskraven för verifiering av visningsnamn hanterar i dag detta manuellt, genom att visningsnamnet får avse uppdragsgivaren om uppdraget och ansvarsförhållandet kan styrkas. Det är en icke maskinellt verifierbar variant av företrädarskap som redan finns i utkastet till normativa artefakter.
Vad företrädarskapet ska göra möjligt:
Öppen fråga. Målbild steg 2 lämnar producentsidan som en öppen fråga och konstaterar att behovsbilden bör kartläggas separat. Frågan är om producentsidan behöver samma mekanism, eller om steg 1:s organisationskoppling räcker eftersom resursservern ändå tillhör någon som ansvarar för den. Om svaret är att den räcker behöver skillnaden mot S2 kunna förklaras, eftersom problemet är spegelvänt identiskt.
En privatperson ansöker om ekonomiskt bistånd hos en kommun. Kommunens verksamhetssystem driftas av en leverantör. Underlaget hämtas genom en förmedlande nationell tjänst som i sin tur anropar ett antal myndigheter. Kedjan innehåller minst två led av parter som agerar för någon annans räkning.
| Aktör | Position |
|---|---|
| Kommun A | Företrädd organisation, den som har informationsbehovet |
| Leverantör X | Företrädande federationsmedlem, driftar verksamhetssystemet |
| Förmedlande part | Företrädande federationsmedlem i nästa led |
| Myndigheter | Producenter, var och en med egen prövning av utlämnandet |
Rättslig drivkraft. Varje myndighet gör en egen prövning av begäran om utlämnande och behöver veta för vems räkning frågan ställs. Den förmedlande parten går i god för att begäran vidarebefordras oförvanskad och från en identifierad part.
Vad som sker utan företrädarskap. Producenten ser den förmedlande partens entitet och ingenting mer. Kommunens roll är osynlig i anropet.
Hypotes. Företrädarskapet verifieras i ett led. Den mottagande parten verifierar att den anropande komponenten får företräda den organisation som anges, inte hela kedjan bakåt. Kravet på att bakomliggande led har kontrollerats förs i stället vidare genom kravställning, exempelvis genom att den förmedlande parten bär ett egenskapsintyg som visar att den utför företrädarskapskontroll enligt en dokumenterad ordning.
Detta är ett vägval och inte ett faktum. Alternativet är att hela kedjan uttrycks i anropet och kan slås upp av mottagaren. Det ger fullständig härledning men växer snabbt och lägger uppslagsbördan på producenten.
Öppen fråga. Om företrädarskapet kan gå i flera led aktualiseras frågan om transportfullmakt. Ska den ursprungligen företrädda organisationen kunna avgöra om dess företrädare i sin tur får anlita någon annan, och ska den begränsningen kunna uttryckas maskinellt.
Vad som ligger utanför. Sekretessprövningen och konstruktionen med utlämnande till enskilds eget utrymme. Den delen av detta flöde är ett särdrag och inte ett typfall, men den påverkar inte företrädarskapsfrågan.
En part driver en komponent som används av ett mycket stort antal kundorganisationer. Det kan vara en intygstjänst, en klient eller ett verksamhetssystem som tillhandahålls som tjänst.
| Aktör | Position |
|---|---|
| Organisationer i stort antal | Företrädda organisationer |
| Operatör eller leverantör | Företrädande federationsmedlem |
| Producenter | Mottagande parter |
Rättslig drivkraft. Samma som i S2. Skillnaden är att skalan gör förvaltningen till huvudfrågan snarare än tekniken.
Vad som sker utan företrädarskap. Varje producent måste själv hålla reda på vilka organisationer den företrädande parten får agera för, vilket är den fragmentering infrastrukturen ska ta bort.
Vad företrädarskapet ska göra möjligt. Att relationerna kan etableras, ändras och återkallas till en proportionerlig kostnad, och att den mottagande partens kontroll kan göras med ett fåtal steg.
Öppen fråga. Erfarenheten från befintlig infrastruktur är att metadata inte är byggd för att bära den här volymen relationer, och att bördan uppstår i förvaltningen snarare än i överföringen. Frågan är därför inte bara var relationen bärs utan vem som förvaltar den och genom vilket gränssnitt. Om varje företrädd organisation ska förvalta sina egna relationer krävs e-tjänster som i dag inte finns.
Öppen fråga. Är en sammanställning av vilka leverantörer som företräder vilka myndigheter och kommuner skyddsvärd. Det finns två hållningar. Den ena är att transparens om vem som agerar för vem är själva poängen med federationen och en förutsättning för att kunna verifiera relationer. Den andra är att en fullständig och maskinläsbar karta över leverantörers kundrelationer i offentlig sektor har ett skyddsvärde i sig. Svaret påverkar om uppslag ska vara öppna eller kontrollerade.
En registrerad komponent påstår sig agera för en organisation som inte har någon relation till den och som inte deltar i federationen.
Rättslig drivkraft. Skyddet mot obehöriga dispositioner och mot osant intygande. Rapporten Samordnad identitet och behörighet resonerar om att en behörighetshandling för en digital aktör kan antas få samma rättsliga verkan som motsvarande handling för en fysisk företrädare, vilket innebär att ett osant uttalande är straffsanktionerat.
Vad företrädarskapet ska göra möjligt. Att påståendet inte kan resas utan ursprung hos den organisation som påstås vara företrädd.
Öppen fråga. Här finns en spänning som behöver lösas tidigt. Målbild steg 2 anger att påståendet ska ha sitt ursprung hos den företrädda organisationen eller intygas av en överordnad entitet. De två alternativen är inte likvärdiga i detta scenario. Om ursprunget måste ligga hos den företrädda organisationen är skyddet automatiskt, eftersom en organisation som inte har gjort något inte kan ha uttalat något. Om en överordnad entitet i stället kan intyga relationen kan ett företrädarskap uppstå utan att den företrädda organisationen har medverkat, och skyddet uteblir.
Öppen fråga. Om ursprunget måste ligga hos den företrädda organisationen förutsätter mekanismen att organisationen kan uttala sig, vilket i sin tur förutsätter någon form av anslutning. Då blir skyddet beroende av att organisationen deltar, vilket motsäger ett av skälen till att företrädarskap normeras på plattformsnivå. Frågan är om det finns ett mellanläge, exempelvis att ingen får företräda någon som inte själv har uttalat sig, vilket ger skydd genom frånvaro i stället för genom deltagande.
En kommun byter verksamhetssystem från en leverantör till en annan. Det gamla företrädarskapet ska upphöra och det nya börja gälla. En variant är att den företrädande parten byter anslutningsoperatör, en annan att federationsmedlemskapet upphör helt.
Rättslig drivkraft. Företrädarskapet vilar på en avtalsrelation. När avtalet upphör saknas grund för fortsatt agerande, och fortsatt åtkomst efter avtalets slut är en incident.
Vad företrädarskapet ska göra möjligt. Att relationen upphör utan att någon manuellt behöver komma ihåg att avregistrera den, att genomslaget sker inom en angiven tid, och att bytet kan genomföras utan avbrott i verksamheten.
Öppen fråga. Vilken längsta tid till genomslag är acceptabel vid återkallelse. Svaret styr valet av bärare, eftersom metadata och åtkomstintyg ger olika storleksordningar.
Öppen fråga. Vem ansvarar för att återkallelse faktiskt sker. Den företrädda organisationen har rådigheten men den företrädande parten har kännedomen om att avtalet har upphört. Kravet på medlemskontinuitet vid operatörsbyte finns i befintligt material men adresserar inte företrädarskap.
Öppen fråga. Ska ett företrädarskap ha en bortre giltighetstid som kräver aktiv förnyelse i stället för att gälla tills det återkallas. Det ger självsanering men skapar en förnyelsebörda vid de volymer som beskrivs i S5.
Två varianter av samma fråga.
I den första företräder en region privata vårdgivare som arbetar i regionens journalsystem. Den mottagande parten behöver veta vilken vårdgivare frågan avser, inte bara vilken region.
I den andra behöver en producent veta exakt vilket kvalitetsregister som begär information, eftersom olika register har olika rättslig grund.
Rättslig drivkraft. Den rättsliga grunden för utlämnandet varierar inom en och samma juridiska person. Prövningen kan därför inte göras enbart på organisationsnivå.
Öppen fråga. Är detta företrädarskap på finare nivå, alltså fråga A upprepad för ett verksamhetsobjekt, eller är det fråga B som hör hemma i verksamhetslagret. Målbildens hypotes om ansvarsgräns prövas i just detta scenario. Omvärldsbilden pekar åt att organisationsnivån löses i infrastrukturen medan finare granularitet löses i ett auktorisationslager.
Öppen fråga. Vad är en organisation i den här mekanismen. Om det är den juridiska personen räcker organisationsnummer. Om det är ett verksamhetsobjekt som en vårdgivare, en vårdenhet eller en skolenhet krävs en annan auktoritativ källa och en annan identifierare. Målbilden kräver att den företrädda organisationen ska vara identifierbar mot auktoritativ källa men anger inte vilken nivå det avser.
En organisation anlitar samma leverantör för utbyten som sker i olika federationskontexter.
Öppen fråga. Ska företrädarskapet etableras en gång och gälla i alla kontexter där båda parter deltar, eller etableras per kontext. Det första minskar förvaltningsbördan men gör att en relation som etablerats under ett regelverk får verkan under ett annat. Det andra är tydligare men multiplicerar administrationen.
Öppen fråga. Om en federationskontext kan skärpa kraven på företrädarskap, hur vet den företrädda organisationen vilka krav den binder sig till när den beviljar ett företrädarskap som ska gälla brett.
Tre vyer behövs och de bär olika saker. Att blanda dem i en bild är den vanligaste orsaken till att den här typen av material blir obegripligt.
| Vy | Visar | Målgrupp |
|---|---|---|
| Aktörsvy | Vilka parter som ingår i flödet, vem som företräder vem och åt vilket håll anropet går | Verksamhet, ledning, externa aktörer |
| Tillitsvy | Tillitsankare, anslutningstjänster, protokollentiteter samt var uttalandet om företrädarskap bärs och verifieras | Teknik och arkitektur |
| Begreppsvy | Relationen mellan federationsmedlem, protokollentitet, företrädd organisation och företrädarskap, i både juridiskt och tekniskt perspektiv | Alla, och underlag till Bilaga A och Bilaga D |
Aktörsvyerna finns per scenario ovan. Tillitsvyn kan inte ritas förrän ett lösningsmönster har valts, eftersom det är just den vyn som visar var uttalandet bärs. Begreppsvyn nedan är ett utkast och är framtagen för att bli motsagd.
Öppen fråga. Relationen mellan federationsmedlem och protokollentitet uttrycks i dag som att medlemmen ansvarar för entiteten. Om företrädarskap ska uttryckas som en relation mellan komponent och organisation kan det behöva finnas flera relationstyper till samma protokollentitet.