sou · GYB3104 · 2010-12-23 00:00:00 — ramen för E-legitimationens uppdrag enligt myndighetens instruktion – att utveckla specifikationer och liknande krav som ska vara gemensamma för myndigheter under regeringen i deras användning av e-legitimationer. Till denna användning hör inte bara e-legitimationerna utan även de Identitets- och Attributsintyg som behövs för att infrastrukturen ska fungera. I praktiken behöver någon program- vara eller tjänst utvecklas, så att varje E-tjänsteleverantör enkelt kan automatisera kontroller av juridisk behörighet med stöd av Attributsintyg från . Detta stöd bör kunna utvecklas i samverkan mellan , , Tillväxt- verket, och m.fl. myndigheter som kommit långt i införandet av E-tjänster. Motsvarande lösningar bör i annan ordning tas fram för privat sektor. Utvecklingstakten är hög. Det kan därför med kort varsel behövas anpassningar till nya behov eller risker. Till detta kommer att detaljeringsgraden kan bli hög. Regler i lag eller förordning är därför knappast ett lämpligt styrmedel. En reglering genom myn- dighetsföreskrifter kan däremot visa sig önskvärd, särskilt som avtal i många fall inte kan ingås mellan berörda aktörer eftersom de utgör en del av samma juridiska person (myndigheter under rege- ringen). En naturlig utgångspunkt för en fördelning av regelom- rådet finns också genom att meddelar föreskrifter om vilka uppgifter som läm- nas i förfinade registerutdrag och hur dessa uppgifter används (så att verket inte anses ha gjort tolkningar för annan), och meddelar föreskrifter om Attributs- intyg och deras funktioner och användning inom Infrastruktur- en för Svensk e-legitimation. En sådan normgivningskompetens för ges enligt 40 § förslag till förordning om infrastrukturen för Svensk e- legitimation. Samma användning i kommuners e-tjänster Den beskrivna lösningen för juridiska behörighetskontroller har tagits fram med tanke främst på statliga myndigheter som behöver kontrollera om en fysisk person som uppger sig företräda en juridisk person är behörig att företräda denne, t.ex. ett aktiebolag eller någon annan organisation för vilken ett register förs enligt författning där uppgifter finns om firmatecknare. Samma lösning bör fungera för kommuner som tillhandahåller sådana e-tjänster där användares juridiska behörighet att företräda en viss juridisk person måste kontrolleras. Här kan de kommunala myndigheternas behov av kontroll vara desamma som för statliga myndigheter – i den mån en fullständig behörighetskontroll verkligen behövs vid användning av den aktuella e-tjänsten. Till detta kommer de samordnade lösningar som avses skapas för att även små myndigheter smidig ska kunna integrera, använda och administrera funktioner för Identitets- och Attributsintyg. Detta stöd kan antas bli betydelsefullt även inom sektor. Publika register finns inte över behöriga handläggare Kommunernas användning av registreringsbevis från för att kontrollera juridisk behörighet att företräda t.ex. aktiebolag får emellertid inte förväxlas med kontroller av om en person är behörig handläggare hos en myndighet så att kontakter med en annan myndighet – t.ex. användning av en annan myndighets e- tjänst – sker behörigen. Skulle en sådan tjänst, för att kommunicera mellan myndigheter, anses kräva en fullständig kontroll av att den person som utger sig för att agera för en annan myndighets räkning verkligen är behörig att handlägga ärendet, kan den ovan beskrivna lösningen inte användas. Detta beror inte på att den tekniska lös- ningen skulle sakna tillräckliga funktioner utan på att det inte finns några författningsreglerade register över vilka handläggare vid kommuner eller andra myndigheter som är behöriga att handlägga en fråga. Det pågår emellertid ett arbete för att skapa sådana register och kataloger internt hos flera kommuner, där det tydligt och uppdaterat ska framgå vilka som är behöriga att handlägga olika kategorier av ärenden. bör i sitt fortsatta arbete agera för att myndigheter ska strukturera sina delegationsordningar m.m. på visst sätt och tillhandahålla dessa uppgifter elektroniskt så att det framgår vilka som är behöriga handläggare av olika kategorier av ärenden. Det är emellertid viktigt att hålla isär dessa behov av kontroller från de juridiska behörighetskontroller för vilka t.ex. tillhandahåller registerutdrag. Landsting kan också tillhandahålla e-tjänster för företag och behöva kontrollera att den som loggar in är juridiskt behörig att agera för företagets, t.ex. ett aktiebolags räkning. Även här bör lösningen med Attributsintyg från passa, förutsatt att landstingen kan godta den tekniska hanteringen inom den nationella Infrastrukturen för identifiering. I denna del torde det i praktiken kunna bli enkelt eftersom källan till den efterfrågade informationen finns på ett enda ställe för hela riket – hos – och att den grundläggande hanteringen av dessa uppgifter är reglerad i lag och förordning utifrån syftet att sprida uppgifterna (s.k. publicitetsregister). Inom kommunala och landstingskommunala myndigheter finns däremot som framgått inga lagreglerade publicitetsregister över vilka anställda och uppdragstagare som har olika behörigheter. På det område som regleras av patientdatalagen behövs uppgifter från olika register. Dessa register är inte publika och det finns inte någon sådan reglering av registerinnehåll och ansvar gentemot andra för registeruppgifter som vid användning av t.ex. aktiebolagsregistret eller fastighetsregistret. Regleringen i patientdatalagen leder dessutom till blandade krav på dels åtkomstkontroll inom respektive mellan myndigheter och andra organ, dels en slags juridisk behörighetskontroll inom och mellan olika organ när åtgärder får vidtas endast av personer som har vissa roller. Det är nödvändigt att beakta dessa skillnader i reglering och hantering av juridiska behörighetskontroller av det slag som avses stödja genom registerutdrag i form av Attributsintyg, respektive blandade kontroller enligt patientdata- lagen av åtkomst och behörighet, inom respektive mellan myndigheter. För hanteringen av Attributsintyg gäller olika juridiska förut- sättningar vid behörighetskontroller med stöd av ett elektroniskt registerutdrag (Attributsintyg) från och motsvarande intyg som lämnas inom det område som regleras av patientdatalagen. På det senare området tillkommer de roller och egenskaper inom ett organ, t.ex. ett landsting, som ska kunna kon- trolleras enligt reglerna om inre sekretess och de register över behörigheter som ska finnas och administreras hos varje vårdgivare. 1.10En samordning kräver fortsatta analyser De berörda särskilda reglerna för hälso- och sjukvårdsområdet och den hantering av attribut som krävs där får inte sammanblandas med generella kontroller av juridisk behörighet. Det är också viktigt att skilja frågan om vilka e-legitimationer ska få användas som Svensk e-legitimation från frågor om vilka attribut och Attributsutfärdare som ska finnas inom ramen för den Infra- struktur för identifiering (vilken även ska innefatta attributshante- ring) som ska etablera. Exempelvis bör de e-tjänstelegitimationer som landstingen och flera kommuner infört och som uppfyller de högt ställda krav på identifiering kunna användas inom hela Infrastrukturen för Svensk e-legitimation medan all attributshantering för vilken sådana e-tjänstelegitima- tioner används kanske inte hör hemma inom den infrastruktur som etablerar. En sortering behöver därför göras av vad som ska ingå i den Infrastruktur för identifiering som enligt sin instruktion har att etablera och vad som bör utformas som särlösningar för t.ex. hälso- och sjuk- vårdsområdet. Detta innebär naturligtvis inte att ska bortse från behoven inom kommuner och landsting. Dessa behov bör så långt möjligt tillgodoses genom samordnade lösningar. Däremot bör lösningar som tillgodoser speciella krav, t.ex. inom hälso- och sjukvården, och som skulle föra med sig hinder eller begränsningar om de genomförs generellt, inte införas på områden där de inte behövs. Genom att i det fortsatta arbetet närmare klargöra dessa skillnader och hur de bör hanteras kan sammanblandningar och missförstånd undvikas. kan de lösningar som E-legitima- tionsnämnden respektive landstingen utvecklar tydligt avgränsas så att kravställning och samordning kan förenklas. En fråga i detta sammanhang är om det kan vara så att brister i samsyn som framträtt i det tekniska utvecklingsarbetet inte längre gör sig gällande om sammanblandningar med särlösningar för enskilda områden kan undgås. Här bör nämnas hur de förslag som utredningen tagit fram innebär att Användaren först legitimerar sig och att ett Identitetsintyg lämnas till E-tjänsteleverantören, som därefter beställer och får ett Attributsintyg från t.ex. , medan det förslag som diskuterats inom hälso- och sjukvårds- området går ut på att i ett och samma intyg lämna uppgifter om såväl identitet som attribut, efter att Användaren legitimerat sig och systemet för utfärdande av intyg hämtat attribut från tillgängliga kataloger. Det bör således genomlysas om skillnader i teknisk och administrativ syn på hur standarden (SAML) ska användas kan överbryggas när skilda förutsättningarna på dessa områden har klargjorts och beaktats. Den komplexa hanteringen av en mängd kataloger inom hälso- och sjukvårdsområdet och de särskilda kraven på tilldelade finmaskiga behörigheter för intern och extern åtkomst saknar motsvarighet vid de juridiska behörighetskontroller som görs med stöd av uppgifter ur t.ex. aktiebolagsregistret. Till detta kommer att attribut inom hälso- och sjukvårdsområdet styrs även utifrån användares angivelser av i vilken egenskap (uppdrag) de agerar i det enskilda fallet. Samma person kan ha flera uppdrag inom hälso- och sjukvården, vilket normalt inte blir fallet vid grovmaskiga juridiska behörighetskontroller där individen antingen är firmatecknare/fullmäktig eller saknar behörighet. Härvid får sammanblandningar inte ske med kraven på t.ex. e- tjänstelegitimationer. Den Infrastruktur för Svensk e-legitimation som ska införa bör harmoniera med existerande lösningar inom såväl hälso- och sjukvårdsområdets som andra kommunala redan existerande federationslösningar. Här kan olika tekniska och administrativa lösningar diskuteras för att säkerställa samverkande lösningar. En pusselbit för att åstadkomma en sådan samordning skulle kunna vara en genomtänkt anvisnings- tjänst som ger stöd även för användares val av uppdrag eller roll. En sådan angivelse skulle kunna läggas till grund för val av olika attributskällor, vilket blir intressant vid legitimering med bl.a. e- tjänstelegitimationer. I fall där en e-tjänst kräver intyg, som utöver identitet även behöver ange vilka rättigheter Användaren har i den aktuella e-tjänsten, kan en på så sätt vidareutvecklad anvisnings- tjänst möjlige underlätta för fall där det redan finns attributskällor etablerade, t.ex. inom vård och omsorg. Dessa frågor behöver emellertid genomlysas närmare. Genom att uppmärksamma och genomlysa dessa skillnader mellan rättsfrågor som har sin grund i patientdatalagens (fin- maskiga) särreglering respektive generella regler om kontroller av en (grovmaskig) rätt att teckna en juridisk persons firma och tekniska val som görs för att tillgodose patientdatalagens särreglering respektive kontroller av juridisk behörighet, bör det alltså bli möjligt att finna en samsyn även kring tekniska frågor. bör missförstånd kunna undvikas. Nivå 1 (AL1)............................................................... Nivå 2 (AL2)............................................................... Nivå 3 (AL3)............................................................... Nivå 4 (AL4)............................................................... Kriterier för utfärdande av Svensk e-legitimation ......... Organisation och styrning..................................................... Information om villkor.......................................................... Identifiering och registrering ................................................ 2.3.1 Fastställande av sökandens identitet ......................... 2.3.2 Utfärdande av e-legitimation ..................................... 2.3.3 Utformning av tekniska hjälpmedel .......................... Fysisk, administrativ och personorienterad säkerhet .......... Detta tillitsramverk avses utgöra en central del i det regelverk som ska vara styrande för Infrastrukturen för identifiering. Utredningens arbete har emellertid inte nått så långt att det i alla delar kunnat bestämmas hur regelhierarkin ska se ut och på vilka nivåer i denna hierarki som närmare regler och krav ska finnas. I denna bilaga ges därför en första sammanställning och anpassning av de krav som kan ställas på utfärdare av Svensk e-legitimation. Infrastrukturen för identifiering bör ta sin utgångspunkt i ett tillitsramverk byggt på internationell standard och medge den flexibilitet som den föreslagna Infrastrukturen för Svensk e- legitimation och internationell samverkan kräver. Det måste emellertid säkerställas att dessa standarder är tillämpbara på och förenliga med svenska förhållanden. Bilagan bör läsas som en vägledning inför en anpassning av Svensk e-legitimation till internationell standard, och de mer konkreta och detaljerade krav som en sådan anpassning kan komma att kräva. För att konkretisera den diskussion som måste föras om ett tillitsramverks närmare utformning, har detta första utkast till en sammanfattning av de krav som kan förväntas ställas på Svensk e- legitimation tagits fram. Utkastet bör läsas som en vägledning inför en anpassning av Svensk e-legitimation till internationell standard, och de mer konkreta och detaljerade krav som en sådan anpassning kan komma att kräva. De flesta av de internationella ansträngningar som gjorts för att definiera nivåer av tillit vid användning av e-legitimationer har sin grund i en publikation (SP 800-63) från det amerikanska (). De riktlinjer som beskrivs där är emellertid relativt allmänt hållna. Fördjupande arbeten har därför bedrivits inom bl.a. Europeiska unionen, där det storskaliga s.k. utgjort en viktig del1. 1 har tagit fram en handlingsplan som ska underlätta för medlemsstaterna att införa ömsesidigt godkända och kompatibla system för e-signaturer och e-legitimationer i syfte att göra det lättare att tillhandahålla elektroniska offentliga tjänster över gränserna [KOM(2008) 798]. Arbetet för ömsesidigt erkännande av elektronisk identifiering inom EU genomförs inom . Ett betydelsefullt arbete för att utarbeta ett internationellt tillitsramverk bedrivs nu också inom och International Electrotechnical Commission (ISO/IEC). Det kommande resultatet av detta arbete, ISO/IEC 29115, som förväntas bli internationell norm på området, bygger på dokument som publicerats inom det s.k. Kantara Initiative Identity Framework (Kantara IAF). Under förutsättning att det fortsatta arbetet inom ISO/IEC leder till resultat som är förenliga med behoven inom den föreslagna Infrastrukturen för identifiering bör följa denna internationella standard. bör därför, liksom E-delegationen, verka för att resultatet av standardi- seringsarbetet blir förenligt med svenska intressen på området. I avvaktan på detta resultat bör ett tillitsramverk införas som har sin förankring i de tidigare nämnda publikationerna. De har alla gemensamt att de definierar fyra tillitsnivåer (AL)2 för e- legitimering, i syfte att möta olika nivåer av risk och olika krav på användbarhet. Dessa tillitsnivåer svarar mot olika grader av teknisk och operationell säkerhet hos utfärdaren och olika grader av kontroll av att en person som tilldelas en elektronisk identitet verkligen är den han eller hon utger sig för att vara. Något förenklat kan tillitsnivåerna beskrivas som en måttstock, där en lägre indikering på skalan motsvarar enklare användning och utgivning, lägre kostnader, men också en lägre skyddsnivå. Högre klassificering medför högre kostnader för såväl utgivande som användande, men leder till att en högre grad av tillit kan fästas vid identifieringen. Vid en tillämpning av dessa internationella normer har det, såvitt framkommit, visat sig ändamålsenligt att för Svensk e- legitimation kräva en tillitsnivå som motsvarar nivå 3 (AL3) eller högre. Detta innebär att utgivare av Svensk e-legitimation ska ha dokumenterade och fungerande ledningssystem för informations- säkerhet i enlighet med erkända standarder, att innehavares identiteter verifieras på ett ändamålsenligt sätt, att metoden för 2 AL är en förkortning av den internationella termen för tillitsnivå, Level, som används såväl i Kantara IAF som i . legitimering baseras på starka kryptografiska mekanismer och utgivaren ska kunna påvisa att de når upp till och efterlever kraven enligt AL3. Tillitsnivå 3 är också den nivå som ligger närmast de av ram- avtalsleverantörerna utgivna e-legitimationerna. Den öppnar emellertid även nya typer av e-legitimationer som inte är certifikatbaserade. Detta förväntas kunna leda till en högre användbarhet och större spridning inom fler samhällsgrupper. Om det visar sig att en betydande del av de redan utgivna e- legitimationerna inte uppfyller kraven för nivå 3 i tillitsramverket kan det komma att bli nödvändigt att etablera övergångsregler så att dessa kan godtas inom infrastrukturen för Svensk e-legitimation till dess att en anpassning skett. Kvalificerade certifikat utgivna i enlighet med lagen (2000:832) om kvalificerade elektroniska signaturer kan, bland annat beroende på metod för utgivning, komma att uppfylla kraven för nivå 2, 3 eller 4, och därmed också användas inom infrastrukturen för Svensk e-legitimation. Då kraven i tillitsramverket är väsentligt mer specifikt framställda än de som återfinns i 4 kap. signaturlagen, följer att kvalificerade certifikat inte med automatik uppfyller någon tillitsnivå högre än 2. En förutsättning för att en Svensk e-legitimation ska få utfärdas föreslås dessutom vara att användaren har svenskt person- eller samordningsnummer. En e-tjänsteleverantör kan därför, när Svensk e-legitimation använts, veta att det finns möjlighet att få sådan information, i ett identitetsintyg eller efter en förfrågan om en sådan påkallas från persondataskyddssynpunkt. Dessa krav införs liksom regleringen i övrigt genom avtal mellan och utfärdare för anslutning till Infrastrukturen för Svensk e-legitimation, i den mån detta inte följer av författningsreglering. ska utöva tillsyn över utfärdare av Svensk e-legitimation så att tillgänglighet, kvalitet och informationssäkerhet blir säkerställda i enlighet med ett regelverk för Infrastrukturen för Svensk e-legitimation. I enlighet med regelverket ska nämnden också kunna ingripa mot miss- förhållanden – ytterst avveckla en utfärdare om omständigheterna är sådana att de riskerar att leda till oacceptabla konsekvenser för användare, e-tjänsteleverantörer eller andra, eller i stort rubba förtroendet för Infrastrukturen för Svensk e-legitimation. Vid samverkan över nationsgränserna kan andra länders E- legitimationer översättas till AL1 eller AL2 i tillitsramverket. Om en utländsk E-legitimation erhållit klassificering enligt STORK- projektets modell, kan Nivå 2 eller högre översättas till AL2. Vid de fall det råder tveksamhet under vilka premisser en utländsk E- legitimation utfärdas, ska dessa istället översättas till AL1. Fyra tillitsnivåer (AL1AL4) definieras. Nivåerna indikerar hur stor tilltro man bör fästa vid en elektronisk identitet, och beskrivs enligt nedanstående skala: AL1: ingen eller liten tilltro till identiteten AL2: viss tilltro till identiteten AL3: hög tilltro till identiteten AL4: mycket hög tilltro till identiteten För att kunna fastställa lägsta acceptabla tillitsnivå för en e-tjänst, bör de risker och konsekvenser som en felaktig identifiering kan medföra inom följande områden beaktas: Obehag, oro eller ryktesskada Skada för myndighetens rykte Civilt- eller straffrättsligt brott För höga krav på identifieringen kan medföra högre kostnader för e-tjänsten, men också resultera i mindre flexibilitet och använd- barhet för användaren. Den högre kostnaden för identifiering uppstår på grund av att det vanligen är dyrare att utfärda och underhålla en identitet med en högre tillitsnivå än en med en lägre. Den minskade flexibiliteten för användaren visar sig t.ex. genom att användaren enbart kan använda viss utrustning eller viss program- vara för att nå e-tjänsten, eller att identiteten i praktiken enbart kan utfärdas till och användas av vissa kategorier av befolkningen. Som grundregel bör därför en e-tjänst kräva en lägsta tillitsnivå som står i proportion till de identifierade riskerna enligt ovan. 1.3.1Nivå 1 (AL1) På Tillitsnivå 1 finns ingen eller liten tilltro till angiven identitet. Användning av denna nivå är lämplig när resultat av en felaktig identifiering endast förväntas leda till marginella negativa konsekvenser, som identifieringsmetoden ger viss tillit och underlättar för användaren och/eller e-tjänsten. Felaktig identifiering i en e-tjänst som kräver denna nivå kan t.ex. innebära: liten skada på rykte Exempel: Uppgiftslämnande via en e-tjänst kan använda sig av AL1 i de fall när information endast flödar från individen till e- tjänsten, inga känsliga uppgifter delges uppgiftslämnaren och inga av de övriga kraven för högre tillitsnivåer blir tillämpliga. Ett flertal olika tekniker för identifiering kan användas, t.ex. lösenord eller PIN-kod. Denna nivå kräver inte heller starkt kryptografiskt skydd av identiteten. 1.3.2Nivå 2 (AL2) På Tillitsnivå 2 finns viss tilltro till angiven identitet. Användning av denna nivå är lämplig när man kan se vissa negativa konsekvenser som resultat av en felaktig identifieringen. Användning av starkt lösenord över öppet nätverk är en acceptabel identifieringsmekanism på denna nivå. AL2 kräver skydd mot avlyssning, återuppspelning och gissning av lösenord. Fastställandet av sökandens identitet kan ske utan traditionell legitimering vid personligt besök, och istället baseras på metoder liknande de för utgivning av kreditkort. Felaktig identifiering i en e-tjänst som kräver denna nivå kan t.ex. innebära: att delvis känslig information kommer i orätta händer viss skada på rykte Exempel: E-tjänster som tar emot och lämnar ut delvis känslig information, men där uppgifterna i sig kan verifieras eller inhämtas på annat sätt, kan använda sig av AL2 förutsatt att inga av de övriga kraven för högre tillitsnivåer blir tillämpliga. 1.3.3Nivå 3 (AL3) På tillitsnivå 3 finns hög tilltro till angiven identitet. Användning av denna nivå är lämplig när man kan se substantiella konsekvenser som resultat av en felaktig identifiering. Denna nivå kräver flerfaktorsidentifiering som styrker både kännedom om personlig kod samt kontroll över e-legitimations- handling som baserats på starka kryptografiska mekanismer. Både mjuka och hårda e-legitimationshandlingar är tillåtna, inklusive metoder för att framställa engångslösenord. Kraven på kontroll av den ursprungliga identifieringen är starkare än på AL2, och kräver att användaren legitimerat sig vid ett personligt besök hos utfärdaren eller utfärdarens ombud. Felaktig identifiering i en e-tjänst som kräver denna nivå kan t.ex. innebära: viss skada på allmänna intressen att känslig information kommer i orätta händer substantiell skada på rykte Exempel: Inhämtande och utlämnande av känsliga uppgifter som traditionellt kräver identifiering med godkänd fotolegitimation, kan använda sig av AL3. 1.3.4Nivå 4 (AL4) På tillitsnivå 4 finns mycket hög tilltro till angiven identitet. Användning av denna nivå är lämplig när man kan se mycket stora konsekvenser som resultat av en felaktig identifiering. Denna nivå kräver starkast möjliga identifieringsmekanismer, och måste baseras på kryptografiska metoder som bevisar tillgång till nyckelmaterial lagrat i hårda bärare under innehavarens direkta kontroll. Hög kryptografisk och fysisk säkerhet krävs för samtliga ingående komponenter som hanterar nyckelmaterial.