Dojrzałość eIDAS · Ochrona i zarządzanie tożsamością cyfrową obywateli
Zarządzanie tożsamością cyfrową, osadzone w eIDAS i przełożone na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość eIDAS · Ochrona i zarządzanie tożsamością cyfrową obywateli
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie (UE) nr 910/2014 (eIDAS), zmienione rozporządzeniem (UE) 2024/1183 (eIDAS 2) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy oraz działanie łączące je ze sobą, przekształca stwierdzenie w trajektorię rozwoju.
Czy wymagany poziom wiarygodności dla dostępu do każdej usługi online jest określony i stosowany?
- N1
Brak klasyfikacji usług online według poziomu wiarygodności. Wybór środka identyfikacji zależy od projektu i jego integratora.
- N2
Część usług online jest sklasyfikowana w dokumencie referencyjnym, ale klasyfikacja nie jest stosowana w projektach i współistnieje z odziedziczonymi praktykami.
- N3
Każda usługa online jest przypisana do poziomu niskiego, znacznego lub wysokiego na podstawie udokumentowanej analizy. Klasyfikacja jest stosowana przy wdrożeniu produkcyjnym, z okazjonalnymi wyjątkami.
- N4
Klasyfikacja systematycznie warunkuje konfigurację dostawcy tożsamości. Odstępstwa są wykrywane automatycznie i rejestrowane, a wyjątki zatwierdzane przez odpowiedni szczebel hierarchiczny.
- N5
Klasyfikacja jest okresowo weryfikowana wraz z ewolucją zastosowań, incydentów i ram regulacyjnych, z historią przeglądów oraz pomiarem wpływu na wskaźnik skuteczności procesów.
Działanie umożliwiające przejście z poziomu 2 na poziom 3
Uzupełnić mapę usług online o wymagany poziom wiarygodności i jego uzasadnienie, włączyć go jako kryterium blokujące w przeglądzie architektury oraz zweryfikować jego stosowanie podczas kwartalnego komitetu cyfrowego.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna eIDAS.
O czym jest ten model referencyjny
Rozporządzenie (UE) nr 910/2014, zwane eIDAS, organizuje wzajemne uznawanie środków identyfikacji elektronicznej między państwami członkowskimi i reguluje pięć rodzajów usług zaufania: podpis elektroniczny, pieczęć elektroniczną, znakowanie czasem, usługę doręczenia elektronicznego oraz certyfikat uwierzytelniania witryny internetowej. Rozróżnia trzy poziomy wiarygodności identyfikacji (niski, znaczny, wysoki) i oddziela dostawców kwalifikowanych od niekwalifikowanych, przy czym ci pierwsi podlegają nadzorowi i są wpisywani na krajowe listy zaufania. Dla administracji lub przedsiębiorstwa udostępniającego usługi online obywatelom eIDAS określa, kto i do czego może uzyskać dostęp, z jakim poziomem dowodu oraz jaka wynika z tego wartość prawna.
W praktyce temat trudno się nadzoruje, ponieważ dotyczy wielu obszarów organizacji. Dział IT odpowiada za federację tożsamości, dział prawny za wartość dowodową, dział obsługi użytkowników za proces rejestracji, a bezpieczeństwo za uwierzytelnianie. Konkretne pytania powracają stale: jaki poziom wiarygodności rzeczywiście wymaga każda z Państwa usług online i na jakiej analizie opiera się ten wymóg. Czy Państwa procesy akceptują środki identyfikacji notyfikowane przez inne państwa członkowskie, czy wyłącznie własny środek. Czy Państwa podpisy są zaawansowane, kwalifikowane, czy po prostu elektroniczne w najszerszym znaczeniu, i czy potrafią Państwo rozróżnić je w swoich procesach.
Nowelizacja, która weszła w życie w 2024 roku, zmienia skalę zagadnienia. Rozporządzenie (UE) 2024/1183 zobowiązuje każde państwo członkowskie do udostępnienia co najmniej jednego europejskiego portfela tożsamości cyfrowej i nakłada na szeroki krąg podmiotów publicznych i prywatnych obowiązek jego akceptowania do uwierzytelniania użytkowników. Wprowadza również elektroniczne poświadczenie atrybutów, pozwalające potwierdzić dyplom, wiek lub kwalifikację zawodową bez ujawniania pozostałych danych tożsamości. Najczęstszym błędem jest sprowadzanie eIDAS wyłącznie do podpisu elektronicznego. Część dotycząca identyfikacji, długo pozostająca w cieniu, staje się dziś sercem systemu i dotyczy samych procesów dostępu.
Audyt zgodności stawia pytanie binarne: czy usługa spełnia wymóg, tak czy nie. Diagnoza dojrzałości stawia inne pytanie: na jakim poziomie opanowania znajduje się dana praktyka i jakie konkretne działanie pozwala przejść na kolejny poziom. Między organizacją, która akceptuje transgraniczny środek identyfikacji indywidualnie w każdym przypadku, a organizacją, która włączyła go do swojego fundamentu uwierzytelniania, różnica nie jest luką zgodności, lecz luką dojrzałości. Diagnoza czyni ją widoczną, obszar po obszarze, i wycenia związany z nią wysiłek.
W Datamensio ten model referencyjny jest gotowy do użycia i w pełni modyfikowalny. Sztuczna inteligencja dostosowuje obszary tematyczne, przeformułowuje pytania na słownictwo Państwa organizacji i dopracowuje poziomy zgodnie z metodą CMMI. Może również zbudować wersję opartą na Państwa własnych dokumentach: polityce uwierzytelniania, mapie usług online, doktrynie tożsamości cyfrowej. Uzyskany model referencyjny pozostaje Państwa własnością, gotowy do udostępnienia Państwa jednostkom biznesowym lub podmiotom.
Norma referencyjna: Rozporządzenie (UE) nr 910/2014 (eIDAS), zmienione rozporządzeniem (UE) 2024/1183 (eIDAS 2)
Oceniane obszary tematyczne
Zarządzanie tożsamością cyfrową
Sformalizowana doktryna, wyznaczenie osoby odpowiedzialnej, współpraca między IT, bezpieczeństwem, działem prawnym i obszarami biznesowymi, decyzje dotyczące poziomów wiarygodności, dedykowany budżet.
Identyfikacja elektroniczna i poziomy wiarygodności
Klasyfikacja usług online według poziomu niskiego, znacznego lub wysokiego, uzasadnienie wyboru, zgodność z rozporządzeniem wykonawczym 2015/1502, okresowy przegląd.
Rejestracja i weryfikacja tożsamości
Procedury weryfikacji zdalnej i stacjonarnej, akceptowane dowody tożsamości, wykrywanie oszustw dokumentowych, identyfikowalność procesu rejestracji.
Uwierzytelnianie i zarządzanie cyklem życia
Mechanizmy uwierzytelniania wieloskładnikowego, zarządzanie uprawnieniami, zawieszanie, unieważnianie i odnawianie środków, zarządzanie pełnomocnictwami i delegacjami.
Interoperacyjność transgraniczna
Akceptacja środków identyfikacji notyfikowanych przez inne państwa członkowskie, podłączenie do węzła eIDAS, odwzorowanie atrybutów, obsługa przypadków niepowodzenia dopasowania.
Europejski portfel tożsamości cyfrowej
Przygotowanie do akceptacji portfela, elektroniczne poświadczenia atrybutów, zarządzanie zgodą użytkownika, rejestracja stron korzystających.
Usługi zaufania
Wykorzystanie podpisu, pieczęci, znakowania czasem, doręczenia elektronicznego i certyfikatów uwierzytelniania witryn, wybór między usługą kwalifikowaną a niekwalifikowaną, weryfikacja list zaufania.
Wartość dowodowa i archiwizacja
Polityka podpisu, walidacja i rewalidacja podpisów w czasie, archiwizacja o wartości dowodowej, zdolność do przedstawienia dowodu w przypadku sporu.
Ochrona danych i minimalizacja
Powiązanie z RODO, minimalizacja przekazywanych atrybutów, informowanie osób, okresy przechowywania, obsługa wniosków o realizację praw.
Monitorowanie, incydenty i doskonalenie
Wskaźniki monitorowania, rejestrowanie zdarzeń, wykrywanie i zgłaszanie incydentów oraz naruszeń, regularne testy procesów, wnioski z doświadczeń i aktualizacja doktryny.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy eIDAS podlega certyfikacji?
Rozporządzenie nie certyfikuje organizacji korzystających z usług zaufania. Przewiduje natomiast kwalifikację dla dostawców usług zaufania, przyznawaną po audycie przeprowadzonym przez jednostkę oceniającą zgodność oraz wpisie na krajową listę zaufania. Diagnoza Datamensio mierzy dojrzałość Państwa praktyk i przygotowuje do takich rozmów, nie przyznaje jednak żadnej kwalifikacji.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Diagnoza umieszcza każdą praktykę na skali progresywnej i wskazuje działanie pozwalające przejść na kolejny poziom. Oba podejścia się uzupełniają: diagnoza buduje trajektorię, audyt potwierdza wynik.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji roboczej. Wersja pełna, w trybie wspólnej pracy, rozkłada się na jeden do dwóch tygodni: większość czasu zajmuje zebranie informacji od działu IT, prawnego i obszarów biznesowych. Terminy zależą od dostępności uczestników.
Czy można dostosować model referencyjny do naszego kontekstu?
Tak. Pytania, poziomy i obszary tematyczne można modyfikować, a Państwo mogą dodać własne. Sztuczna inteligencja przeformułowuje treść na słownictwo Państwa organizacji lub buduje wersję opartą na Państwa dokumentach wewnętrznych. Opublikowany model referencyjny pozostaje pod Państwa kontrolą.
Czy diagnoza obejmuje nowelizację eIDAS 2 i europejski portfel?
Tak, jeden z obszarów tematycznych dotyczy bezpośrednio przygotowania do akceptacji europejskiego portfela tożsamości cyfrowej oraz elektronicznych poświadczeń atrybutów. Pytania rozróżniają to, co wynika z istniejącego fundamentu, od tego, co wynika z dostosowania do rozporządzenia (UE) 2024/1183.
Czy odpowiadanie wymaga wiedzy technicznej?
Pytania dotyczą praktyk zarządzania, nie konfiguracji protokołów. Kierownik projektu cyfrowego lub audytor wewnętrzny może odpowiedzieć na większość z nich. Tryb współpracy pozwala przypisać pytania techniczne wyznaczonej osobie kontaktowej.
Jak porównać kilka podmiotów między sobą?
Ten sam model referencyjny jest udostępniany każdej jednostce biznesowej lub podmiotowi, a wyniki porównuje się według obszaru tematycznego. Przekrojowa mapa drogowa konsoliduje następnie plany działania bez powielania wspólnych zadań, na przykład podłączenia do węzła eIDAS.
Gdzie przechowywane są dane?
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Żadnego transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, również spośród rozwiązań europejskich.