Vyspělost eIDAS · Ochrana a správa digitálních identit občanů
Vaše správa digitálních identit, zasazená do rámce eIDAS a přeložená do konkrétního akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost eIDAS · Ochrana a správa digitálních identit občanů
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení (EU) č. 910/2014 (eIDAS), ve znění nařízení (EU) 2024/1183 (eIDAS 2) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a opatření, které je spojuje) proměňuje zjištění v trajektorii.
Je úroveň záruky vyžadovaná pro přístup ke každé online službě definována a uplatňována?
- N1
Žádné zařazení online služeb podle úrovně záruky. Zvolený prostředek identifikace závisí na projektu a jeho integrátorovi.
- N2
Část online služeb je zařazena v referenčním dokumentu, ale toto zařazení se nepromítá do projektů a existuje vedle zděděných postupů.
- N3
Každá online služba je přiřazena k nízké, značné nebo vysoké úrovni na základě zdokumentované analýzy. Zařazení se uplatňuje při uvedení do provozu, s příležitostnými výjimkami.
- N4
Zařazení systematicky určuje konfiguraci poskytovatele identity. Odchylky jsou automaticky odhalovány a zaznamenávány, výjimky schvaluje příslušná hierarchická úroveň.
- N5
Zařazení je pravidelně revidováno podle vývoje užívání, incidentů a regulatorního rámce, s historií revizí a měřením dopadu na míru úspěšného dokončení procesů.
Akce pro přechod z úrovně 2 na úroveň 3
Doplnit mapu online služeb o vyžadovanou úroveň záruky a její odůvodnění, zařadit ji jako blokující kritérium architektonické revize a ověřovat její uplatňování na čtvrtletním digitálním výboru.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína eIDAS.
O čem tento referenční rámec je
Nařízení (EU) č. 910/2014, zvané eIDAS, upravuje vzájemné uznávání prostředků elektronické identifikace mezi členskými státy a stanovuje rámec pro pět skupin služeb vytvářejících důvěru: elektronický podpis, elektronickou pečeť, časové razítko, službu elektronického doporučeného doručování a certifikát pro autentizaci webových stránek. Rozlišuje tři úrovně záruky identifikace (nízkou, značnou, vysokou) a odděluje kvalifikované poskytovatele od nekvalifikovaných, přičemž první jsou dohlíženi a zapsáni na vnitrostátních seznamech důvěryhodných služeb. Pro orgán veřejné správy nebo podnik, který poskytuje online služby občanům, eIDAS určuje, kdo má k čemu přístup, s jakou úrovní důkazu a jaká z toho plyne právní hodnota.
V praxi se toto téma řídí špatně, protože zasahuje do více útvarů. IT oddělení má na starosti federaci identit, právní útvar důkazní hodnotu, útvar pro služby uživatelům registrační proces, bezpečnost autentizaci. Konkrétní otázky se vracejí stále stejné: jakou úroveň záruky skutečně vyžaduje každá z vašich online služeb a na jaké analýze tento požadavek stojí? Přijímají vaše procesy prostředky identifikace oznámené jinými členskými státy, nebo jen vaše vlastní? Jsou vaše podpisy zaručené, kvalifikované, nebo jen elektronické v nejširším slova smyslu, a umíte je ve svých tocích rozlišit?
Revize, která vstoupila v platnost v roce 2024, mění měřítko tohoto tématu. Nařízení (EU) 2024/1183 ukládá každému členskému státu povinnost nabídnout alespoň jednu evropskou peněženku digitální identity a zavazuje širokou skupinu veřejných i soukromých subjektů ji přijímat pro autentizaci uživatelů. Zavádí elektronické osvědčení atributů, které umožňuje prokázat diplom, věk nebo profesní způsobilost, aniž by se odhalila zbývající identita. Nejčastější omyl spočívá v tom, že se eIDAS redukuje na elektronický podpis. Část týkající se identifikace, dlouho opomíjená, se nyní stává jádrem celého systému a týká se samotných přístupových procesů.
Audit souladu klade binární otázku: splňuje služba daný požadavek, ano nebo ne. Diagnostika vyspělosti klade jinou otázku: na jaké úrovni zvládnutí se daná praxe nachází a jaké konkrétní opatření posune organizaci na vyšší úroveň. Mezi organizací, která přeshraniční prostředek identifikace přijímá od případu k případu, a organizací, která jej začlenila do svého autentizačního základu, nejde o mezeru v souladu, ale o mezeru ve vyspělosti. Diagnostika ji zviditelňuje, tematickou oblast po tematické oblasti, a vyčísluje potřebné úsilí.
V platformě Datamensio je tento referenční rámec připraven k okamžitému použití a zároveň upravitelný. Umělá inteligence upravuje tematické oblasti, přeformulovává otázky do slovníku vaší organizace a zpřesňuje úrovně podle metodiky CMMI. Dokáže také vytvořit vlastní verzi na základě vašich dokumentů: autentizační politiky, mapy online služeb, doktríny digitální identity. Výsledný referenční rámec zůstává vaším vlastnictvím a lze jej zpřístupnit vašim obchodním jednotkám nebo organizačním jednotkám.
Referenční norma: Nařízení (EU) č. 910/2014 (eIDAS), ve znění nařízení (EU) 2024/1183 (eIDAS 2)
Hodnocené tematické oblasti
Řízení digitální identity
Formalizovaná doktrína, určení odpovědné osoby, propojení mezi IT, bezpečností, právním útvarem a byznysem, rozhodování o úrovních záruky, vyhrazený rozpočet.
Elektronická identifikace a úrovně záruky
Zařazení online služeb podle nízké, značné nebo vysoké úrovně, zdůvodnění volby, soulad s prováděcím nařízením 2015/1502, pravidelná revize.
Registrace a ověření identity
Postupy vzdáleného i osobního ověření, přijímané doklady totožnosti, odhalování dokumentového podvodu, sledovatelnost registrace.
Autentizace a správa životního cyklu
Mechanismy vícefaktorové autentizace, správa oprávnění, pozastavení, zrušení a obnova prostředků, správa delegací a plných mocí.
Přeshraniční interoperabilita
Přijímání prostředků identifikace oznámených jinými členskými státy, napojení na uzel eIDAS, shoda atributů, řešení případů neúspěšného párování.
Evropská peněženka digitální identity
Příprava na přijímání peněženky, elektronická osvědčení atributů, správa souhlasu uživatele, registrace spoléhajících se stran.
Služby vytvářející důvěru
Využití podpisu, pečeti, časového razítka, elektronické doporučené doručovací služby a certifikátů pro autentizaci webových stránek, volba mezi kvalifikovaným a nekvalifikovaným, ověřování seznamů důvěryhodných služeb.
Důkazní hodnota a uchovávání
Politika podpisu, validace a opakovaná validace podpisů v čase, archivace s důkazní hodnotou, schopnost předložit důkaz v případě sporu.
Ochrana osobních údajů a minimalizace
Propojení s GDPR, minimalizace předávaných atributů, informování osob, doby uchovávání, vyřizování žádostí o výkon práv.
Monitorování, incidenty a zlepšování
Sledovací ukazatele, logování, odhalování a oznamování incidentů a porušení, pravidelné testování procesů, zpětná vazba a aktualizace doktríny.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Je eIDAS certifikovatelné?
Nařízení necertifikuje organizace, které služby vytvářející důvěru využívají. Stanovuje kvalifikaci pro poskytovatele služeb vytvářejících důvěru, udělovanou po auditu prováděném orgánem posuzování shody a zápisem na vnitrostátní seznam důvěryhodných služeb. Diagnostika Datamensio měří vyspělost vašich postupů a připravuje vás na tato jednání, žádnou kvalifikaci neuděluje.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit uzavírá s výsledkem mezera nebo soulad vůči danému požadavku. Diagnostika zařazuje každou praxi na postupnou škálu a uvádí opatření, které posune organizaci na vyšší úroveň. Obě se doplňují: diagnostika buduje trajektorii, audit potvrzuje výsledek.
Jak dlouho hodnocení trvá?
Zkrácená verze se vyplní během jednoho pracovního setkání. Úplná verze, v kolaborativním režimu, se rozloží na jeden až dva týdny: většinu času zabere shromažďování podkladů od IT, právního útvaru a byznysu. Lhůty závisí na dostupnosti přispěvatelů.
Lze referenční rámec přizpůsobit našemu kontextu?
Ano. Otázky, úrovně i tematické oblasti lze upravovat a vy můžete přidávat vlastní. Umělá inteligence přeformuluje obsah do slovníku vaší organizace nebo vytvoří vlastní verzi na základě vašich interních dokumentů. Zveřejněný referenční rámec zůstává pod vaší kontrolou.
Pokrývá diagnostika revizi eIDAS 2 a evropskou peněženku?
Ano, jedna tematická oblast se věnuje přímo přípravě na přijímání evropské peněženky digitální identity a elektronickým osvědčením atributů. Otázky rozlišují, co patří ke stávajícímu základu a co ke sladění s nařízením (EU) 2024/1183.
Je k vyplnění třeba technická expertiza?
Otázky se týkají postupů řízení, nikoli konfigurace protokolů. Na většinu z nich dokáže odpovědět vedoucí digitálního projektu nebo interní auditor. Kolaborativní režim umožňuje přiřadit technické otázky konkrétnímu určenému kontaktu.
Jak porovnat více organizačních jednotek mezi sebou?
Stejný referenční rámec je rozeslán každé obchodní jednotce nebo organizační jednotce a výsledky se porovnávají podle tematických oblastí. Průřezová roadmapa poté sjednocuje akční plány, aniž by docházelo ke zdvojování společných úkolů, například napojení na uzel eIDAS.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských řešení.