Vi bedömer att kraven på nyckelhantering, framför allt K5 och K7, behöver differentieras utifrån federationsentitetens roll och tillitsposition. K4 har en tydlig säkerhetsfunktion genom att skydda det privata nyckelmaterialet mot röjning och export. Som K4 är formulerat omfattas dock all signering av Entity Statements av krav på HSM eller motsvarande hårdvarubundet nyckelskydd. Eftersom varje Federation Entity publicerar ett self-signed Entity Configuration, som är ett Entity Statement, innebär detta i praktiken ett krav på hårdvaruskyddad signeringsnyckel för samtliga entiteter i federationen. Konsekvensen av detta behöver vara uttryckligen avsedd och bedömd som proportionerlig.

Säkerhetsnyttan med backup, återställning och flerpersonkontroll för nyckellivscykeln är däremot inte densamma för alla typer av entiteter. För en subordinate entity blir en ny lokalt genererad eller aktiverad nyckel inte betrodd i federationen förrän motsvarande publika nyckel har registrerats och publicerats av dess superior. En antagonist som endast kan påverka den lokala nyckellivscykeln kan därför inte etablera en ny betrodd signing key. Den huvudsakliga konsekvensen är i stället risk för tjänsteavbrott genom exempelvis avaktivering, destruktion eller felaktig rotation av nycklar.

Mot den bakgrunden bör det övervägas om K7:s krav på flerpersonkontroll för samtliga kritiska nyckeloperationer är proportionerligt för alla Federation Entities. För många subordinate entities kan starkt skydd av den aktiva nyckeln, separation mellan administration och användning av nyckeln, spårbarhet samt en kontrollerad key rollover ge ett mer ändamålsenligt skydd.

Även K5:s generella krav på backup bör differentieras. För många subordinate entities är det både enklare och säkrare att generera en ny nyckel och genomföra en kontrollerad rollover än att möjliggöra återställning av samma privata nyckel. För en Trust Anchor kan däremot möjligheten att återställa befintligt nyckelmaterial ha större betydelse för kontinuiteten, eftersom ett nyckelbyte kan kräva koordinering med alla parter som förlitar sig på Trust Anchorn.

Vi föreslår därför att K5 och K7 utformas utifrån vilken risk den aktuella nyckeloperationen faktiskt innebär för federationens tillit och tillgänglighet, i stället för att samma modell för backup, nyckelceremonier och flerpersonkontroll tillämpas på samtliga Federation Entities.

I punkt 4.2 anges att frågor om säkerhetsarbete hanteras genom annan normering eller inom respektive federationskontext. 

Internetstiftelsen menar att federationsoperatör, anslutningsoperatör och andra essentiella tillitsbärare ska kravställas någonting i stil med nedanstående förslag:
Leverantörer av sådana federationsinfrastrukturtjänster som har stor påverkan för federationens tillit och tillgänglighet (t ex federationsoperatör, anslutningsoperatör) där part inte omfattas av MSBFS 2020:6 och MSBFS 2020:7 ska vara certifierade enligt SS-EN ISO/IEC 27001:2022 eller motsvarande. Certifieringen ska omfatta de verksamheter, processer, informationssystem och tjänster som används för att tillhandahålla federationsinfrastrukturtjänsterna. Om certifiering baserat på ett annat ramverk än ISO/IEC 27001 åberopas för att visa kravuppfyllnad, ska leverantören tillhandahålla en dokumenterad överensstämmelseanalys som visar hur det valda ramverket motsvarar relevanta krav i SS-EN ISO/IEC 27001:2022 och att inga väsentliga avvikelser föreligger.

Motivering: Även om NIS2 och den nationella cybersäkerhetsregleringen utgör grundläggande regulatoriska krav för de verksamheter som omfattas, ersätter de inte behovet av särskilda och verifierbara säkerhetskrav för leverans av federationsinfrastrukturtjänster. Kravet på certifiering enligt SS-EN ISO/IEC 27001:2022 syftar till att skapa ett enhetligt och oberoende verifierat underlag för att bedöma leverantörernas systematiska informationssäkerhetsarbete. Det förenklar även tredjepartsutlåtandet som kan fokusera på just rutiner och förmågor utifrån kraven som definieras i federationsramverket/SIB. Kraven gör också att ribban sätts på en tydlig och verifierbar grundnivå för aktörer som får en betrodd position i infrastrukturen. En sådan roll innebär trots allt ett ansvar som sträcker sig utanför den egna organisationen och kan påverka tilliten till andra aktörer och i vissa fall federationen som helhet.

Sen kan man precis som tredjepartsutlåtande välja att ha det som undantag för piloten, men i nuläget uppfyller Digg (TA) kravet redan genom att vara statlig myndighet under bl a MSBFS 2020:6 och 7. Internetstiftelsen är certifierade. Inera uppfyller kravet på motsvarande genom att ha granskats av Digg och innehar kvalitetsmärket där man bl a har tittat på ledningssystem för informationssäkerhet i tillämpliga delar baseras på ISO/IEC 27001 eller motsvarande likvärdiga principer.

Anslutande organisation ska kunna visa för anslutningsoperatören vem som ytterst styr eller kontrollerar organisationen och på vilken grund. Dokumentationen kan exempelvis innefatta ägarförhållanden, styrning och behörighetsordning. Underlaget kan vara registeruppgifter om verklig huvudman, en ägaröversikt, stadgar, instruktion eller reglemente. Transparens innebär att uppgifterna ska vara begripliga och möjliga för anslutningsoperatören att kontrollera men de behöver inte publiceras öppet. Dokumentationen ska kunna användas som grund för anslutningsoperatören att bedöma om kravet för anslutning är uppfyllt.

Se justering i vägledningstexten 9.3.1

6.1 Organisatoriska förändringar 

Ange ansvar för att utan dröjsmål underrätta Federationsoperatören om väsentliga förändringar i organisationsstatus, verkligt huvudmannaskap eller kontrollstruktur.

6.2 Medlemskontinuitet och överlämning

Beskriv hur ni medverkar när en federationsmedlem vill byta anslutningsoperatör: beskriv hur ni överlämnar ärendedokumentation och verifieringsunderlag i strukturerat format.

Se ändringar i 10.2 här Tillämpningskrav vid anslutning av anslutningsoperatörer - RU Identitet & Behörighet - Confluence

Vägledningen uppdaterad under punkt

9.3.1 Tillämpningskrav vid anslutning av anslutningsoperatörer - RU Identitet & Behörighet - Confluence

och 

7.2 Tillämpningskrav vid anslutning av federationsmedlemmar - RU Identitet & Behörighet - Confluence

se justering av 7.2 Tillämpningskrav vid anslutning av federationsmedlemmar - RU Identitet & Behörighet - Confluence

Det viktiga är inte att kontrollera t.ex. förändringar i styrelsen utan kontrollernas syfte är "att skapa förutsättningar för en stark och tillförlitlig koppling mellan en organisation och de entiteter som registreras i federationen, så att federationsmedlemmar med hög grad av säkerhet kan veta vilken organisation som ansvarar för respektive entitet."

Om styrelse ändras, kreditvärdighet ändras (för vilket det inte finns några krav om för federationsmedlemmar i tillämpningskraven) osv. tjänar inte det syftet.

Att däremot kontrollera om t.ex. en organisation satts i konkurs, inte längre är registrerad för f-skatt eller att det finns indikationer på att de personer som angetts som behöriga inte längre är behöriga att företräda medlemmen tjänar det övergripande syftet.

Rutinerna för detta ska vara dokumenterade enligt avsnitt 9 i Tillämpningskrav vid anslutning av federationsmedlemmar vilket federationsoperatören ska kontrollera att så finns vid anslutning.

Vad som sen ska sparas/dokumenteras per ärende finns bskrivet i avsnitt 6 i Tillämpningskrav vid anslutning av federationsmedlemmar

Den är för att kunna bifoga mall/exempel för dokumentation kopplat till Svar B9 i avsnitt 4.1 om ärendedokumentation och spårbarhet. 

Ingen åtgärd. Synpunkt inlämnad från Internetstiftelsen sedan tidigare via delning.

Tillämpningskrav vid anslutning av anslutningsoperatörer: 5.1.3 Utsedda behöriga roller ska grundas på dokumenterad delegation eller fullmakt som anger roll, mandatets omfattning och eventuell tidsbegränsning.

Vägledning: Delegationen ska vara spårbar enligt avsnitt 7. Federationsoperatören bör säkerställa att delegeringens omfattning matchar den roll den avser.

Delegation behövs alltså inte för alla medarbetare i linjeverksamhet, men för angivna behöriga kontakter.