Tänkbar neutral grund att utgå från vid framtagande av tillitsmärken 

Inledande argumentation

Informationssäkerhet handlar om att förhindra att information läcker ut, förvanskas och förstörs. Det handlar också om att rätt information ska finnas tillgänglig för rätt personer, i rätt tid. Det är normalt sätt informationsägaren som värderar eller klassar sin information och informationsbehandlande resurser utifrån olika skyddsvärden och därmed även identifierar säkerhetskrav. Myndigheten för samhällsskydd och beredskap (MSB) har bland annat ett metodstöd för att klassificera informationstillgångar som på en fyrgradig skala klassificerar utifrån konfidentialitet, riktighet och tillgänglighet och för fortsatt resonemang kommer detta metodstöd att ligga till grund.

Identitet och behörighet inom Ena är inte en del av den ursprungliga klassningen utan snarare en säkerhetsåtgärd, med det är rimligt att anta att en given klassning har likvärdiga nivåer på åtgärder och att identitet och behörighet skulle kunna skapa mer generella paketeringar som då antas motsvara en viss klassning, alternativt utgöra en bra grund. Det vill säga att utifrån en klassning av en verksamhets information faller säkerhetsåtgärder eller krav ut, identitet och behörighet skulle genom olika paketering möta upp mot dessa krav. En positiv effekt av detta skulle även kunna vara samverkan runt olika paketeringar som långsiktigt även skulle kunna verka generaliserande och normerande.

Vidare är det huvudsakligen områdena konfidentialitet (behörighet att ta del) och riktighet (inte kunna förändras av obehöriga) som identitet och behörighet aktivt medverkar till att lösa delar av, även om tillgängligheten är viktig så är det snarare ett krav som verksamhetssystemet eller andra nyttjare ställer på tillämpningen av identitet och behörighet och inte en aktiv del av lösningen i den bemärkelsen. Likheterna mellan konfidentialitet och riktighet avseende identitet och behörighet är att på en stigande skala ökar behovet av att säkerställa vem eller vad det är som har åtkomst till, eller förändrar informationen.

Detta kan synliggöras genom att exempel ställa upp värdena i en matris med konfidentialitet och riktighet på axlarna.

Exempel 1: Summan av konfidentialiteten och riktigheten utan särskild viktning.

'

 Exempel 2: Det högsta värdet av konfidentialiteten eller riktigheten styr värderingen.

Det första exemplet med summerat värde har en svaghet i att ett högt värde i kombination med ett lågt värde ger ett lägre utfall och det är därmed rimligare att det högsta värdet sätter utfallet enligt det andra exemplet. Det vill säga att när antingen konfidentialiteten eller riktigheten överstiger ett visst värde så faller likvärdiga krav och säkerhetsåtgärder ut kopplat till identitet och behörighet.

TLDR; paketering av krav och säkerhetsåtgärder bör ske i förhållande till ett utfall på skalan 1-4 där verksamhetens information avseende det högsta värdet av konfidentialitet eller riktighet (vid förändring av informationen) ligger till grund.

Identitet

Inom området identitet finns det redan etablerad standard som Myndigheten för digital förvaltning (Digg) tillhandahåller, Svensk e-legitimation. Nedan följer ett citat från digg.se:

Tillitsramverket för Svensk e-legitimation syftar till att etablera gemensamma krav för utfärdare av Myndigheten för digital förvaltning (Digg) granskade och godkända e-legitimationer. Kraven är fördelade på olika skyddsklasser – tillitsnivåer – som svarar mot olika grader av teknisk och operationell säkerhet hos utfärdaren och olika grader av kontroll av att den person som tilldelas en elektronisk legitimationshandling verkligen är den han eller hon utgett sig för att vara.

De olika tillitsnivåerna som återfinns inom tillitsramverket är på en fyrgradig skala med tillägg för icke bofasta för nivåerna två och uppåt. Även om icke bofast signaleras så är krav och kravuppfyllnad motsvarande och det är huvudsakligen tillvägagångssättet som skiljer sig och exempelvis möjligheten att representeras med exempelvis svenskt personnummer.

Det finns även möjlighet att signalera "uncertified" för nivåerna två och tre, vilket då innebär att man inte har genomgått en granskning utan att tillhandahållaren genomför en självskattning hävdar att relevant nivå är uppfylld.

 ? eIDAS High för hälsodata och att motsvarigheten då är nivå 4 med viss utökning...

Utöver e-legitimation som identifierar individer behövs det även stöd för att identifiera system eller tjänster hos en organisation när det inte är individen som har åtkomst, eller när kännedom om individen inte är relevant. 

TODO Finns behov av att kunna identifiera system eller tjänster på ett säkert och motsvarande sätt som för individer.

Behörighet

För att en informationsägare ska kunna ta beslut om åtkomst till informationen krävs normalt som grund identiteten (vem) på den eller det som begär åtkomst. Utöver identitet kan andra egenskaper behöva förmedlas. det kan då vara egenskaper som hör till utbildning, anställning eller situation. För system eller tjänster får man tänka om begreppen, då anställning snarare motsvarar driftsatt eller installerad, men att man i grunden har en relation till organisationen och representerar den i vissa avseenden.

Ett tillitsmärke för behörighet bör användas för att uppvisa graden av tillit eller korrekthet av den information som förmedlas, där underlag från autentisering i form av identitet även kan förmedlas. Exmpelvis skulle man kunna likställa autentiseringen och dess identitet som en "attributkälla" motsvarande andra attribut eller egenskaper som kläs på.

...saknas nivåer eller ens en nivå av tillit och krav kopplat till behörighetsinformation

...ta med de olika parterna som samverkar kring tilliten (adm-katalog, katalog, avsändare/intygare, ev förmedlande parter i en kedja etc.)

Level of trust (LoT)

Modell - Anders förslag

Ref: ena-authorization/tillitsmodell/arkitekturell_modell.md at tillitmodell · diggsweden/ena-authorization

Varje specifikt tillitsmärke har följande egenskaper:

1. det gäller en specifik komponenttyp
2. det ger en viss nivå av tillit (Level of Trust)
3. det omfattar ett visst urval av krav från den gemensamma kravkatalogen
4. det har ett regelverk för hur uppfyllande av tillitsmärkets krav ska kontrolleras

Grafiskt kan detta presenteras på två olika sätt:

Ref: https://samarbeta.digg.se/index.php/f/161796

Den övre bilden detaljerar att det finns totalt 4 x 4 = 16 tillitsmärken, medan den undre bilden döljer det faktum att det finns 16 märken och endast beskriver modellen konceptuellt. Detta för att förtydliga att en specifik samverkan ställer krav på tillitsnivå och att detta då gäller alla inblandade komponenter.

Vad innebär det att en komponent är innehavare av ett tillitsmärke på en viss tillitsnivå?

Level of Trust	Vad innebär det?	När ska man kräva det?
LoT0	Inga krav alls. Avsaknad av tillitsmärke.
LoT1	Inga större krav på att identitet och åtkomststyrande attribut är korrekta
LoT2
LoT3
LoT4	Jobbiga krav: 27001, Nycklar i HSM, beväpnade vakter, osv

Hur kan tillitsmärken nyttjas till fler saker?

Tillit är subjektiv och uppstår ofta lokalt mellan parter som har en befintlig relation. Vad vi gör inom Ena är att försöka skapa en modell och ett ramverk som gör att tillit kan uppstå till parter man inte har en relation med sedan tidigare. Man behöver dock inte begränsa användandet av tillitsmärken utan man kan tillåta skapandet av lokala tillitsmärken för att markera lokal tillit.

1. Tillitsmärken som representerar externt reglerad avtalsrelation. Man skulle till exempel kunna tänka sig skapa tillitsmärken för Nationella läkemedelslistan:
   1. NLL Klient - komponent godkänd att koppla upp sig mot NLL API i syfte att visa information för invånare.
   2. NLL Vårdgivare - komponent godkänd för att koppla upp sig mot NLL API i syfte att skapa recept, samt visa information för vårdmedarbetare.
   3. ...
2. Tillitsmärken som representerar lokal tillit inom ett visst samverkanskontext där åtkomst inte bestäms regelstyrt baserat på klientegenskaper utan explicit till specifika klienter.
3. ...