Maturitate eIDAS · Protecția și gestionarea identităților digitale ale cetățenilor
Gestionarea identităților digitale, situată pe eIDAS și tradusă într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate eIDAS · Protecția și gestionarea identităților digitale ale cetățenilor
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Regulamentul (UE) nr. 910/2014 (eIDAS), revizuit prin Regulamentul (UE) 2024/1183 (eIDAS 2) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Este definit și aplicat nivelul de asigurare impus pentru accesul la fiecare serviciu electronic?
- N1
Nicio clasificare a serviciilor electronice pe nivel de asigurare. Mijlocul de identificare ales depinde de proiect și de integratorul său.
- N2
O parte dintre serviciile electronice este clasificată într-un document de referință, dar clasificarea nu este preluată în proiecte și coexistă cu practici moștenite.
- N3
Fiecare serviciu electronic este asociat cu un nivel scăzut, substanțial sau ridicat, pe baza unei analize documentate. Clasificarea este aplicată la punerea în producție, cu excepții punctuale.
- N4
Clasificarea condiționează sistematic configurarea furnizorului de identitate. Decalajele sunt detectate automat și trasate, derogările fiind validate de nivelul ierarhic corespunzător.
- N5
Clasificarea este revizuită periodic în funcție de evoluția utilizărilor, incidentelor și cadrului de reglementare, cu un istoric al revizuirilor și o măsurare a efectului asupra ratei de finalizare a parcursurilor.
Acțiune pentru trecerea de la N2 la N3
Completați cartografia serviciilor electronice cu nivelul de asigurare impus și motivul său, integrați-l ca și criteriu blocant al revizuirii arhitecturii și verificați aplicarea sa în cadrul comitetului digital trimestrial.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe eIDAS.
Despre ce vorbește acest cadru de referință
Regulamentul (UE) nr. 910/2014, denumit eIDAS, organizează recunoașterea reciprocă a mijloacelor de identificare electronică între statele membre și reglementează cinci familii de servicii de încredere: semnătura electronică, sigiliul electronic, marca temporală, serviciul de trimitere recomandată electronică și certificatul de autentificare a site-urilor web. Acesta distinge trei niveluri de asigurare pentru identificare (scăzut, substanțial, ridicat) și separă prestatorii calificați de cei necalificați, primii fiind supravegheați și înscriși în listele de încredere naționale. Pentru o administrație sau o întreprindere care expune servicii online cetățenilor, eIDAS determină cine poate accesa ce, cu ce nivel de probă și ce valoare juridică rezultă din aceasta.
În practică, subiectul se gestionează greu deoarece traversează mai multe direcții. Direcția de sisteme informatice poartă federarea identității, departamentul juridic poartă valoarea probatorie, direcția de servicii pentru utilizatori poartă parcursul de înrolare, securitatea poartă autentificarea. Întrebările concrete revin mereu: ce nivel de asigurare impune cu adevărat fiecare dintre serviciile dumneavoastră electronice și pe ce analiză se bazează această cerință? Parcursurile dumneavoastră acceptă mijloacele de identificare notificate de celelalte state membre, sau doar pe al dumneavoastră? Semnăturile dumneavoastră sunt avansate, calificate, sau pur și simplu electronice în sensul cel mai larg, și știți să le distingeți în fluxurile dumneavoastră?
Revizuirea intrată în vigoare în 2024 schimbă amploarea subiectului. Regulamentul (UE) 2024/1183 impune fiecărui stat membru să propună cel puțin un portofel european de identitate digitală și obligă un ansamblu larg de actori publici și privați să îl accepte pentru autentificarea utilizatorilor. Acesta introduce atestarea electronică de atribute, care permite dovedirea unei diplome, a unei vârste sau a unei calități profesionale fără a divulga restul identității. Confuzia cea mai frecventă constă în reducerea eIDAS la semnătura electronică. Partea de identificare, multă vreme discretă, devine nucleul dispozitivului și privește de acum înainte parcursurile de acces în sine.
Un audit de conformitate pune o întrebare binară: serviciul respectă cerința, da sau nu. Diagnosticul de maturitate pune o altă întrebare: la ce nivel de stăpânire se situează practica și ce acțiune precisă permite trecerea la nivelul următor. Între o organizație care acceptă un mijloc de identificare transfrontalier de la caz la caz și o organizație care l-a integrat în socul său de autentificare, decalajul nu este un decalaj de conformitate, ci un decalaj de maturitate. Diagnosticul îl face vizibil, domeniu tematic cu domeniu tematic, și cuantifică efortul asociat.
În Datamensio, acest cadru de referință este gata de utilizare și modificabil. IA ajustează domeniile tematice, reformulează întrebările în vocabularul organizației dumneavoastră și rafinează nivelurile conform metodei CMMI. Aceasta poate construi de asemenea o variantă pornind de la propriile dumneavoastră documente: politica de autentificare, cartografia serviciilor electronice, doctrina de identitate digitală. Cadrul de referință obținut rămâne al dumneavoastră, putând fi publicat către unitățile dumneavoastră de afaceri sau entitățile dumneavoastră.
Standard de referință: Regulamentul (UE) nr. 910/2014 (eIDAS), revizuit prin Regulamentul (UE) 2024/1183 (eIDAS 2)
Domeniile tematice evaluate
Guvernanța identității digitale
Doctrină formalizată, desemnarea unui responsabil, articularea între direcția IT, securitate, juridic și domenii de activitate, arbitrarea nivelurilor de asigurare, buget dedicat.
Identificare electronică și niveluri de asigurare
Clasificarea serviciilor electronice pe nivel scăzut, substanțial sau ridicat, justificarea alegerii, conformitatea cu regulamentul de punere în aplicare 2015/1502, revizuire periodică.
Înrolare și verificare a identității
Proceduri de verificare la distanță și în persoană, dovezi de identitate acceptate, detectarea fraudei documentare, trasabilitatea înrolării.
Autentificare și gestionarea ciclului de viață
Mecanisme de autentificare multifactor, gestionarea abilitărilor, suspendare, revocare și reînnoire a mijloacelor, gestionarea delegărilor și mandatelor.
Interoperabilitate transfrontalieră
Acceptarea mijloacelor de identificare notificate de alte state membre, racordarea la nodul eIDAS, corespondența atributelor, tratarea cazurilor de eșec al corelării.
Portofelul european de identitate digitală
Pregătirea pentru acceptarea portofelului, atestări electronice de atribute, gestionarea consimțământului utilizatorului, înregistrarea părților utilizatoare.
Servicii de încredere
Recurgerea la semnătură, sigiliu, marcă temporală, trimitere recomandată electronică și certificate de autentificare a site-urilor, alegerea între calificat și necalificat, verificarea listelor de încredere.
Valoare probatorie și păstrare
Politica de semnătură, validarea și revalidarea semnăturilor în timp, arhivare cu valoare probatorie, capacitatea de a produce proba în caz de contestare.
Protecția datelor și minimizare
Articularea cu RGPD, minimizarea atributelor transmise, informarea persoanelor, durate de păstrare, gestionarea cererilor de exercitare a drepturilor.
Monitorizare, incidente și îmbunătățire
Indicatori de urmărire, jurnalizare, detectarea și notificarea incidentelor și încălcărilor, testări periodice ale parcursurilor, retururi de experiență și actualizarea doctrinei.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
eIDAS este certificabil?
Regulamentul nu certifică organizațiile care utilizează servicii de încredere. Acesta prevede o calificare pentru prestatorii de servicii de încredere, acordată în urma unui audit efectuat de un organism de evaluare a conformității și a înscrierii în lista de încredere națională. Diagnosticul Datamensio măsoară maturitatea practicilor dumneavoastră și pregătește aceste schimburi, nu acordă nicio calificare.
Ce diferență există între acest diagnostic și un audit de conformitate?
Auditul concluzionează printr-un decalaj sau o conformitate referitoare la o cerință dată. Diagnosticul situează fiecare practică pe o scară progresivă și indică acțiunea care permite trecerea la nivelul următor. Cele două se completează: diagnosticul construiește traiectoria, auditul validează rezultatul.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o sesiune de lucru. Versiunea completă, în mod colaborativ, se întinde pe una până la două săptămâni: cea mai mare parte a timpului servește la colectarea elementelor de la direcția IT, juridic și domeniile de activitate. Termenele depind de disponibilitatea contribuitorilor.
Poate fi adaptat cadrul de referință la contextul nostru?
Da. Întrebările, nivelurile și domeniile tematice sunt modificabile, și puteți adăuga propriile dumneavoastră. IA reformulează conținutul în vocabularul organizației dumneavoastră sau construiește o variantă pornind de la documentele dumneavoastră interne. Cadrul de referință publicat rămâne sub controlul dumneavoastră.
Diagnosticul acoperă revizuirea eIDAS 2 și portofelul european?
Da, un domeniu tematic privește în mod specific pregătirea pentru acceptarea portofelului european de identitate digitală și atestările electronice de atribute. Întrebările disting ceea ce ține de soclul existent și ceea ce ține de punerea în conformitate cu Regulamentul (UE) 2024/1183.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de gestionare, nu configurațiile de protocoale. Un responsabil de proiect digital sau un auditor intern poate răspunde la majoritatea dintre ele. Modul colaborativ permite alocarea întrebărilor tehnice unui corespondent identificat.
Cum se compară mai multe entități între ele?
Același cadru de referință este difuzat către fiecare unitate de afaceri sau entitate, iar rezultatele sunt comparate pe domeniu tematic. O foaie de parcurs transversală consolidează apoi planurile de acțiune fără a duplica șantierele comune, de exemplu racordarea la nodul eIDAS.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.