sou · GYB3104 · 2010-12-23 00:00:00 — All data- överföring måste skyddas och skyddet måste vara kryptografiskt kopplat till det nyckelmaterial som används vid identifieringen. Felaktig identifiering i en e-tjänst som kräver denna nivå kan t.ex. innebära: hög fara för annans liv stor skada på allmänna intressen stora monetära förluster (> 10 M EUR) att mycket känslig information kommer i orätta händer stor skada på rykte 2Kriterier för utfärdande av Svensk e-legitimation 1.1Utfärdare av Svensk e-legitimation ska drivas som ett registrerat svenskt aktiebolag eller motsvarande utländska företag inom Europeiska ekonomiska samarbetsområdet. 1.2Utfärdare ska ha en etablerad verksamhet, vara fullt operationell i alla delar som berörs i detta dokument, och vara väl insatt i de regulatoriska, avtalsmässiga och juridiska krav som ställs på denne som utfärdare av Svensk e-legitimation. 1.3Utfärdare ska förfoga över tillräckliga ekonomiska medel för att kunna bedriva verksamheten och bära risken för skadeståndsskyldighet. 2.1Utfärdaren ska tillhandahålla uppgifter om avtal, villkor samt anknytande uppgifter och eventuella begränsningar i användandet av tjänsten till anslutna användare, arbets- och uppdragsgivare, e-tjänsteleverantörer och andra som kan komma att förlita sig på utfärdarens tjänst. 2.2En utfärdare som vill införa villkor som inte finns med i ansökningshandlingen ska tydligt hänvisa till villkoren och utforma rutinerna så att villkoren kommer sökanden tillhanda innan denne undertecknar eller annars ingår avtal med utfärdaren. 2.3Utfärdaren ska tillhandahålla en utfärdardeklaration som bl.a. innefattar: a)bolagets identitet och kontaktuppgifter, b)ägarstruktur och vilka principer för bolagsstyrning som tillämpas, c)villkor förknippade med den tillhandahållna tjänsten (inklusive metod för utgivning, spärr och avveckling), d)metod att ändra villkoren för den tillhandahållna tjänsten, e)utfärdarens skyldigheter, utfästa garantier, utlovad tillgänglighet och finansiellt ansvar, f)användarens skyldigheter att skydda sin elektro- niska identitet, g)information om insamling, registrering, lagring, bearbetning, och spridning eller samkörning av person- uppgifter, och i vilken mån detta sker. 2.4Utfärdare av Svensk e-legitimation ska inhämta användarens samtycke vid nyteckning eller ändring av tjänsten, samt regelbundet . 2.5Utfärdare av Svensk e-legitimation ska tillhandahålla en tjänst där användaren kan ändra tilläggsinformation knuten till den elektroniska identiteten (t.ex. e-postadress) samt spärra sin e- legitimation (spärrtjänst). Tjänsten ska ha god tillgänglighet och utfärdaren ska behandla anmälan om spärr skyndsamt. 2.6Den arbets- eller uppdragsgivare som ansöker om en Svensk e- legitimation knuten till organisationstillhörighet (e-tjänst- elegitimation) a)får bestämma hur e-tjänstelegitimationen får användas, t.ex. om den får användas även utanför tjänsten, och b)får spärra e-legitimationen. 3.1Utfärdare ska, beaktat reglerna för persondataskydd, föra register över anslutna användare och de tilldelade elektroniska identitetshandlingarna, och hålla detta register aktuellt. 3.2Svensk e-legitimation får utfärdas endast efter skriftlig ansökan i traditionell form. Ansökan ska vara undertecknad på traditionellt sätt, med intyg om att lämnade uppgifter är riktiga och fullständiga. 3.3Om en sökande redan har identifierats vid ett personligt besök (i enlighet med 3.8) för ekonomiskt eller rättsligt betydelse- fulla mellanhavanden, och sökanden kan identifieras på annat tillförlitligt sätt som är likvärdigt med kraven för Svensk e- legitimation, får utfärdaren identifiera och ta emot ansökan genom denna tjänst i stället för enligt 3.2. 3.4En ansökan om Svensk e-legitimation ska innehålla person- nummer eller samordningsnummer, samt de uppgifter som i övrigt är nödvändiga för att identitetsutfärdaren ska kunna tillhandahålla sådan e-legitimation och utfärda identitetsintyg. 3.5En Svensk e-legitimation knuten till organisationstillhörighet (e-tjänstelegitimation) får utfärdas endast efter skriftlig ansökan i traditionell form av en arbets- eller uppdragsgivare. Ansökan ska vara undertecknad på traditionellt sätt av arbets- eller uppdragsgivaren. Om denne är en juridisk person ska ansökan vara undertecknad av en behörig företrädare. 3.6Om en arbets- eller uppdragsgivare eller en behörig företrädare för denne har legitimerat sig eller skrivit under med Svensk e-legitimation, eller enligt det förenklade förfarande som anges i 3.3, får en sådan underskrift eller legitimering för uppgiftslämnande ersätta ett förfarande enligt 3.5. 3.7Utfärdare ska skyndsamt och på ett säkert sätt behandla och effektuera spärrbegäran och vidta sådana åtgärder för att förhindra missbruk av spärrtjänsten (eller andra handlingar som leder till spärr av en elektronisk identitetshandling) att användares e-legitimationer är tillgängliga när de behövs. 2.3.1Fastställande av sökandens identitet 3.8Utfärdare av Svensk e-legitimation ska kontrollera den sökandes identitet vid ett personligt besök, på likvärdigt sätt som vid en ansökan om en traditionell identitetshandling. 3.9Utfärdare av en e-legitimation ska kontrollera att ansökan om e-legitimation är behörigen undertecknad på papper eller lämnad elektroniskt enligt 3.3, och att de uppgifter som den sökande lämnat är fullständiga och stämmer överens med uppgifter som finns registrerade i ett officiellt register. 3.10Utfärdare av en e-legitimation knuten till organisations- tillhörighet (e-tjänstelegitimation) ska kontrollera att ansökan om e-legitimation är behörigen undertecknad på papper eller lämnad elektroniskt enligt 3.6, och att de uppgifter som den sökande lämnat är fullständiga och stämmer överens med uppgifter som finns registrerade i ett officiellt register. 3.11Utfärdare av Svensk e-legitimation ska säkerställa att alla sökande tilldelas en unik elektronisk identitet och att de utfärdade elektroniska identitetshandlingarna är utformade så att de för användaren tydligt kan hänföras till den aktuella tjänsten. 3.12Utfärdare av Svensk e-legitimation ska tillhandahålla den tilldelade elektroniska identitetshandlingen till sökanden på ett säkert sätt, och säkerställa att identitetshandlingen blir entydigt kopplad till sökandens elektroniska identitet. 3.13En utfärdare som vid personligt besök eller via elektroniskt förfarande som är förenligt med 3.3, tillhandahåller både den elektroniska legitimationshandlingen som användaren ska inneha och personlig kod som användaren ska bruka för att aktivera e-legitimationen, ska bekräfta brevledes till sökandens folkbokföringsadress att överlämning av sådan e-legitimation skett. 3.14Sökanden ska bekräfta att denne mottagit e-legitimationen innan den blir giltig. 2.3.3Utformning av tekniska hjälpmedel 3.15Tekniska hjälpmedel för identifiering genom Svensk e- legitimation ska utformas enligt sådan tvåfaktorsprincip att en del består i den elektroniska identitetshandlingen som använd- aren ska inneha, och en del i det som användaren ska bruka för att aktivera e-legitimationen (personlig kod). 3.16Aktiveringsmekanismen och den personliga koden ska utformas så att det är osannolikt att en utomstående kan forcera aktiveringsskyddet, ens på maskinell väg. 3.17Användare av Svensk e-legitimation ska på egen hand kunna byta personlig kod, och få hjälp att välja den personliga koden så att kraven i 3.16 upprätthålls. 3.18Utfärdare av Svensk e-legitimation ska tillhandahålla tjänst för utgivning av identitetsintyg till förlitande e-tjänster, enligt de tekniska specifikationer som från tid till annan föreskriver. Utlämnande av identitetsintyg ska föregås av en tillförlitlig kontroll av den angivna elektroniska identiteten och den elektroniska identitetshandlingens giltig- het. 3.19Lämnade identitetsintyg ska vara giltiga endast så länge som det krävs för att användaren ska få tillgång till den efterfrågade e-tjänsten, samt skyddas så att informationen är läsbar endast för den avsedda mottagaren och att den som tar emot intyget kan kontrollera att mottagna intyg är äkta. 4.1Utfärdare ska ha ett ledningssystem för informationssäkerhet () som i tillämpliga delar baseras på ISO/IEC 27001 eller motsvarande erkända och vedertagna standarder, omfattande bl.a. organisation, resurser samt tekniska respektive administrativa säkerhetsåtgärder och utgöra en kvalitets- process som kontinuerligt ska utvärderas och anpassas till aktuella verksamhets- och omvärldskrav: a)Samtliga säkerhetskritiska administrativa och tekniska processer ska dokumenteras och vila på en formell grund, där roller, ansvar och befogenheter finns tydligt definierade. b)Utfärdare ska säkerställa att denne vid var tid har tillräckliga personella resurser till förfogande för att uppfylla sina åtaganden. c)Utfärdare ska inrätta en process för riskhantering som på ett ändåmålsenligt sätt, kontinuerligt eller minst var sjätte månad, analyserar hot och sårbarheter i verksam- heten, och som genom införande av säkerhetsåtgärder balanserar riskerna till acceptabla nivåer. d)Utfärdare ska inrätta en process för incidenthantering som systematiskt säkerställer kvaliteten i tjänsten, former för vidarerapportering och att lämpliga reaktiva och preventiva åtgärder vidtas för att lindra eller förhindra skada vid händelser som lett till eller kunnat leda till en incident. e)Utfärdare ska upprätta och testa en kontinuitetsplan som tillgodoser verksamhetens tillgänglighetskrav genom en förmåga att återställa kritiska processer vid händelse av katastrof eller allvarliga incidenter. 4.2Ledningssystemet för informationssäkerhet och efterlevnaden av de krav som ställs på utfärdare av Svensk e-legitimation ska vara föremål för internrevision, utförd av oberoende intern kontrollfunktion, såvida inte organisationens storlek eller annan försvarbar orsak motiverar annat. 4.3Ledningssystemet för informationssäkerhet och efterlevnaden av de krav som ställs på utfärdare av Svensk e-legitimation ska vara föremål för extern revision minst , och utföras av opartisk och självständig revisor med dokumenterad erfarenhet av IT-revisioner och kontrolltestning. Resultatet av revisionen ska redovisas i en revisionsrapport, och som på begäran ska ges in till . 4.4En utfärdare som på annan part har lagt ut utförandet av en eller flera säkerhetskritiska processer, ska genom avtal definiera vilka kritiska processer som underleverantören är ansvarig för och vilka krav som är tillämpliga på dessa, samt tydliggöra avtalsförhållandet i utfärdardeklarationen så att underleverantörens uppfyllelse av kraven för Svensk e- legitimation kan verifieras oberoende av huvudmannen. 2.5Fysisk, administrativ och personorienterad säkerhet 5.1Verksamhetens centrala delar ska skyddas fysiskt mot skada som följd av miljörelaterade händelser, otillåten åtkomst eller andra yttre störningar. Tillträdeskontroll ska tillämpas så att åtkomst till känsliga utrymmen är begränsad till behörig personal, att flyttbart datamedia och pappersdokument förvaras på ett säkert sätt, och att dessa utrymmen kontinuerligt övervakas för obehörigt tillträde. 5.2Innan en person antar någon av de roller som identifierats i enlighet med 4.1a, och som är av särskild betydelse för säkerheten, ska utfärdaren ha genomfört bakgrundskontroll i syfte att förvissa sig att personen kan anses vara pålitlig samt att personen har de kvalifikationer och den utbildning som krävs för att utföra de arbetsuppgifter som följer av rollen på ett tillfredställande, korrekt och säkert sätt. 5.3Utfärdare av Svensk e-legitimation ska bevara a)ansökningshandlingar och handlingar som rör utlämnande, mottagande eller spärr av e-legitimationer. b)avtal, policydokument och utfärdardeklarationer, och c)övrig dokumentation som stöder efterlevnaden av de krav som ställs på utfärdare av Svensk e-legitimation, och som visar att de säkerhetskritiska processerna fungerar. 5.4Tiden för bevarande ska inte understiga och material ska kunna tas fram i läsbar form under hela , såvida inte krav på gallring påkallas från integritetssynpunkt och har stöd ilag eller annan författning. 5.5En utfärdare av Svensk e-legitimation som upphör med sin verksamhet ska informera sina användare och . Utfärdaren ska hålla arkiverat material tillgängligt. 6.1Utfärdare ska kunna visa att de tekniska kontroller som finns införda är tillräckliga för att uppnå den skyddsnivå som bestämts genom riskanalysen, och att dessa kontroller fungerar och är effektiva. 6.2Kommunikation mellan systemkomponenter över allmänna telekommunikationsnät eller andra kommunikationslänkar som inte är fysiskt skyddade i enlighet med 5.1, ska begränsas och ömsesidigt identifieras med en styrka som minst motsvarar kraven för Svensk e-legitimation, samt skyddas mot insyn, manipulation och återuppspelning. 6.3Känsligt kryptografiskt nyckelmaterial ska skyddas så att: a)åtkomst begränsas, logiskt och fysiskt, till de roller och de tillämpningar som oundgängligen kräver det, b)nyckelmaterialet aldrig lagras i klartext på beständigt lagringsmedia, c)aktiveringsdata för skydd av nyckelmaterial hanteras genom flerpersonkontroll, d)nyckelmaterialet skyddas när det inte är under användning, direkt eller indirekt, via kryptografisk hård- varumodul med aktiva säkerhetsmekanismer mot både fysiska och logiska försök att röja nyckelmaterialet, e)säkerhetsmekanismerna för skydd av nyckelmaterial är genomlysta och baserade på erkända och väletablerade standarder. 6.4Utfärdaren ska kunna påvisa att tekniska säkerhetskontroller införts vid identifiering av användare och utfärdande av identitetsintyg, så att det är osannolikt att utomstående genom gissning, avlyssning, återuppspelning eller manipulation av kommunikation kan forcera skyddsmekanismerna. 6.5Utfärdaren ska ha en dokumenterad och fungerande process for styrning och ändring av IT-system i enlighet med vedertagna principer, och som innefattar kontinuerlig omvärldsbevakning av de produkter och teknologier som används i tjänsten samt ändåmålsenlig beredskap för förändrade risknivåer. Analys av konsekvenser om identitetsleverantörer tvingas tillhandahålla endast kvalificerade certifikat. Uteslutning av e-legitimationslösningar ...................... Hur svårt är det att konvertera ................................... Säkerhetsvinster med kvalificerade certifikat............... Juridiska frågor om säkerhetsnivå .............................. Ett krav på att endast kvalificerade certifikat är godkända som e- legitimationer i garanterar inte en högre säkerhetsnivå än om även icke kvalificerade certifikat accepteras. Ett krav på kvalificerade certifikat skapar stora övergångs- problem för såväl dagens utfärdare av e-legitimationer som utfärdare av tjänstelegitimationer och tvingar nuvarande e-legitima- tionsutfärdare att stå utanför federationen om de inte helt ändrar sin affärsmodell och avtalsstruktur. Ett krav på kvalificerade certifikat strider mot normer som utarbetats inom EU projektet om det inte kombineras med ett krav på hårda nyckelbärare (Smarta Kort). Ett krav på kvalificerade certifikat utesluter alternativa tekniker som anses vara acceptabla inom EU projektet , ex användning av koddosor och kan medföra mer långtgående krav än vad som ofta behövs i praktiken. Ett krav på att e-legitimationer ska baseras på kvalificerade certifikat reducerar drastiskt mängden godkända e-legitimationer. I finns bara en aktör som är registrerad som utfärdare av kvalificerade certifikat. Detta krav utesluter därför bl.a. följande övriga aktörer: Samtliga ramavtalsleverantörer i infratjänsten, d.v.s. e-legitima- tioner från BankID, Nordea, , , Posten och Steria. Därmed utesluts i stort sett samtliga e-legitimationer som accepteras av svenska myndigheter. Befintliga tjänstelegitimationer som ex SITHS och enskilda myndigheters e-tjänstekort (, Polisen m.m.) Vidare utesluts även alternativa tekniker så som koddosor, kodkort och diverse mobiltelefonbaserade e-legitimeringslösningar som inte är certifikatbaserade eller som av andra skäl inte knyts till ett kvalificerat certifikat. 3 Hur svårt är det att konvertera Av lagen (2000:832) om kvalificerade elektroniska signaturer (signaturlagen) följer att kvalificerade elektroniska signaturer skapas med certifikat som ska ges ut till allmänheten (s.k. öppna system). Innebörden av detta kan sammanfattas enligt följande: För slutna system ska parternas avtalsfrihet respekteras i den utsträckning det är förenligt med övrig lagstiftning. Vissa svårigheter finns dock att avgöra vad som utgör slutna respektive öppna system. Storleken på den grupp till vilken ett certifikat har erbjudits anses inte vara avgörande. I stället kan det, enligt lagmotiven, vara rimligt att som huvudregel utgå från att det rör sig om utfärdande till allmänheten när certifikaten avses användas vid kommunikation med andra än utfärdaren, alltså en tredje part, och det inte föreligger något kontrakts- förhållande mellan utfärdaren och denne tredje part. Anger en certifikat- utfärdare att certifikaten är kvalificerade, utan att i certifikaten begränsa kretsen av möjliga mottagare på ett mer precist sätt, kan det finnas anledning att anse att certifikatutfärdaren omfattas av lagens tillämpningsområde. Den närmare tolkningen av begreppet till allmänheten har överlämnats till rättstillämpningen (prop. 1999/2000:117 s. 35–36). Nuvarande e-legitimationsutfärdare är bundna till en affärsmodell där man tar betalt för spärrkontroll. Detta förutsätter ett kontraktsförhållande med förlitande part och får till följd att spärrinformation inte kan tillhandahållas öppet till andra förlitande parter som inte omfattas av sådant kontraktsförhållande. Dagens e-legitimationsutfärdares tjänster kan därför inte uppfylla kraven på att vara kvalificerade med mindre än att nuvarande affärsmodell och kontraktsförhållande med förlitande parter ändras och systemet öppnas för allmän användning. Av 6 § signaturlagen följer vidare att ett certifikat – för att få kallas kvalificerat – ska innehålla uppgift om att det utfärdats som ett kvalificerat certifikat. Det är inte tillräckligt att certifikat- utfärdaren anger detta i sin marknadsföring eller på annat sätt; det måste framgå av själva certifikatet (prop. 1999/2000:117 s. 71). Detta innebär att även om man överger sin nuvarande affärsmodell och registrerar sig som utfärdare av kvalificerade certifikat, så kommer inte de certifikat som redan utfärdats att räknas som kvalificerade. Endast nya certifikat som innehåller uppgift om att de utfärdats som kvalificerade certifikat uppfyller rekvisiten för att vara kvalificerade. Här finns en övergångsperiod där alla nuvarande innehavare av e-legitimationer aktivt måste ansöka om nya certifikat efter det att man övergett sin gamla affärsmodell. Dessa problem drabbar inte bara nuvarande utfärdare av privata e-legitimationer utan drabbar lika hårt dagens tjänstekort. De certifikat som finns utfärdade på tjänstekort blir inte kvalificerade bara för att utfärdaren blir registrerad som utfärdare av kvalificerade certifikat. Innan tjänstekorten kan användas måste nya tjänstekort utfärdas alternativt förses med nya certifikat. Sammantaget blir en konvertering av befintliga e- legitimationssystem till utfärdande av kvalificerade certifikat mycket kostsam. Detta är en kostnad som sannolikt kommer att drabba svenska myndigheter som i slutändan ska betala för användningen av dessa e-legitimationer. Det är inte rimligt att anta att alla myndigheter byter e- legitimationssystem . Under en övergångstid tvingas dagens e-legitimationsutfärdare därför att kvarstå som utfärdare av icke kvalificerade certifikat tills alla e-tjänster har konverterat till den nya federativa infrastrukturen. Först då kan man börja om och ge ut kvalificerade certifikat. måste tjänste- leverantörer vara anslutna till båda systemen . I teorin kan e-legitimationsutfärdaren erbjuda alternativ till användarna, 1.kvalificerade certifikat för legitimering mot myndigheter som är anslutna till federationen, och/eller 2.icke kvalificerade certifikat för legitimering mot myndigheter som är anslutna till nuvarande infratjänst. I praktiken är en sådan uppdelning mindre hållbar eftersom det blir svårt för användare att välja både vilken e-legitimation de ska skaffa och vilken e-legitimation de ska använda för legitimering mot en viss e-tjänst. En annan övergångsmöjlighet är att godkänna icke kvalificerade certifikat som är så lång att samtliga myndigheter och utfärdare av e-legitimationer har kunnat konvertera till att använda identitetsfederationen samt att samtliga användare har bytt ut sina e-legitimationer mot nya. Detta är dock inte helt okomplicerat om det innebär att e- legitimationerna därmed byter tillitsnivå. Problem uppstår även om någon av dagens utfärdare inte anser att det är tillräckligt lönsamt att registrera sig som utfärdare av kvalificerade certifikat eller om e-tjänster inte kan acceptera kostnaden för den ändrade tillitsnivån. 5Säkerhetsvinster med kvalificerade certifikat hanterar kvalitetskrav på identifiering genom att definiera olika tillitsnivåer. Varje tillitsnivå definieras av en rad ingående faktorer så som krav på registrering och verifiering av användares identiteter, legitimeringstekniker och krav på nyckel- bärare. De säkerhetskrav som ställs för utfärdare av kvalificerade certifikat i signaturlagen är dock allmänt hållna: 9 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten ska bedriva verksamheten tillförlitligt och 1.ha personal med tillräcklig kompetens och erfarenhet för verksamheten, särskilt vad avser ledning, teknik och säkerhets- rutiner, 2.använda sådana rutiner för administration och ledning som uppfyller erkända standarder, 3.använda pålitliga system och produkter som är skyddade mot ändringar och se till att teknisk och kryptografisk säkerhet upprätthålls, 4.förfoga över tillräckliga ekonomiska medel för att kunna bedriva verksamheten enligt denna lag och bära risken för skadestånds- skyldighet, 5.ha säkra rutiner för identitetskontroll av de undertecknare som kvalificerade certifikat utfärdas till, 6.förfoga över ett snabbt och säkert system för registrering och omedelbar återkallelse av kvalificerade certifikat, och 7.vidta åtgärder mot förfalskning av kvalificerade certifikat och i förekommande fall se till att framställandet av signaturfram- ställningsdata sker konfidentiellt. Kraven i första stycket 3 ska anses uppfyllda för sådan maskin- eller programvara som överensstämmer med sådana standarder för produkter för elektroniska signaturer som Europeiska gemenskapernas kommission fastställt och offentliggjort referensnummer till i Europeiska gemenskapernas officiella tidning. 10 § En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten ska 1.omedelbart återkalla ett certifikat när undertecknaren begär det eller när det annars finns anledning till det, 2.säkerställa att exakt tidpunkt kan anges för utfärdande och återkallelse av certifikat, och 3.säkerställa att av utfärdaren framställda signaturframställnings- data och signaturverifieringsdata kan användas som komplement till varandra. Det finns inget som hindrar att identitetsfederationen ställer krav på utfärdare av e-legitimationer som motsvarar dessa krav utan att för den sakens skull kräva att e-legitimationen baseras på ett kvalificerat certifikat i lagens mening. Därmed kan man inte förutsätta att en e-legitimation som baseras på ett kvalificerat certifikat är säkrare bara på grundval av att det är kvalificerat. Förtroendenivå avgörs av den definierade tillitsnivån. I tillitsramverket kan federationen ställa olika krav på säkerhetsnivåer som både är högre och lägre än kvalificerade certifikat, vilket också är fallet i EU projektet (se nedan under internationell samverkan). är vidare mycket mer detaljerat än lagens krav på utfärdare av kvalificerade certifikat. En annan viktig aspekt som avgör graden av tillförlitlighet är kvaliteten på den nyckelbärare som certifikatet är kopplat till.