Zrelost eIDAS · Zaščita in upravljanje digitalnih identitet državljanov
Vaše upravljanje digitalnih identitet, umeščeno v okvir eIDAS in preneseno v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost eIDAS · Zaščita in upravljanje digitalnih identitet državljanov
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Uredba (EU) št. 910/2014 (eIDAS), kakor je bila spremenjena z Uredbo (EU) 2024/1183 (eIDAS 2) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in dejanje, ki ju povezuje) spremeni ugotovitev v pot razvoja.
Je raven zanesljivosti, zahtevana za dostop do vsake e-storitve, opredeljena in uporabljena?
- N1
Ni razvrstitve e-storitev po ravni zanesljivosti. Izbrano sredstvo identifikacije je odvisno od projekta in njegovega integratorja.
- N2
Del e-storitev je razvrščen v referenčnem dokumentu, vendar se razvrstitev ne prenaša v projekte in obstaja vzporedno s podedovanimi praksami.
- N3
Vsaka e-storitev je povezana z nizko, znatno ali visoko ravnjo na podlagi dokumentirane analize. Razvrstitev se uporablja ob zagonu v produkcijo, z občasnimi izjemami.
- N4
Razvrstitev sistematično pogojuje nastavitev ponudnika identitete. Odstopanja se zaznavajo samodejno in beležijo, izjeme pa potrdi ustrezna hierarhična raven.
- N5
Razvrstitev se periodično pregleduje glede na razvoj rabe, incidentov in zakonodajnega okvira, z evidenco pregledov in merjenjem vpliva na stopnjo uspešne izvedbe postopkov.
Dejanje za prehod z ravni 2 na raven 3
Dopolniti kartiranje e-storitev z zahtevano ravnjo zanesljivosti in njenim razlogom, jo vključiti kot zavezujoče merilo v pregled arhitekture ter preveriti njeno uporabo na četrtletnem digitalnem odboru.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna eIDAS.
O čem govori ta referenčni okvir
Uredba (EU) št. 910/2014, imenovana eIDAS, ureja vzajemno priznavanje sredstev elektronske identifikacije med državami članicami in opredeljuje pet skupin storitev zaupanja: elektronski podpis, elektronski žig, elektronsko žigosanje s časom, storitev elektronskega priporočenega vročanja in potrdilo za avtentikacijo spletnega mesta. Loči tri ravni zanesljivosti identifikacije (nizka, znatna, visoka) ter ločuje kvalificirane od nekvalificiranih ponudnikov, pri čemer so prvi nadzorovani in vpisani na nacionalne sezname zaupanja. Za upravo ali podjetje, ki državljanom ponuja spletne storitve, eIDAS določa, kdo lahko dostopa do česa, s kakšno ravnjo dokazila in kakšna pravna vrednost iz tega izhaja.
V praksi je temo težko obvladovati, ker sega čez več oddelkov. Informatika nosi federacijo identitet, pravna služba nosi dokazno vrednost, služba za uporabnike nosi postopek vpisa, varnost nosi avtentikacijo. Konkretna vprašanja se ponavljajo: katero raven zanesljivosti dejansko zahteva vsaka od vaših e-storitev in na kateri analizi ta zahteva temelji? Ali vaši postopki sprejemajo sredstva identifikacije, ki jih priglasijo druge države članice, ali le vaše lastno? So vaši podpisi napredni, kvalificirani ali zgolj elektronski v najširšem pomenu, in ali jih znate razlikovati v svojih tokovih?
Revizija, ki je začela veljati leta 2024, spreminja razsežnost teme. Uredba (EU) 2024/1183 vsaki državi članici nalaga, da ponudi vsaj eno evropsko denarnico digitalne identitete, in zavezuje širok krog javnih in zasebnih akterjev, da jo sprejmejo za avtentikacijo uporabnikov. Uvaja elektronsko potrdilo atributov, ki omogoča dokazovanje diplome, starosti ali poklicne lastnosti, ne da bi razkrili ostalo identiteto. Najpogostejša zmota je, da se eIDAS skrči na elektronski podpis. Del, ki se nanaša na identifikacijo in je bil dolgo v ozadju, postaja jedro ureditve in se zdaj nanaša na same postopke dostopa.
Presoja skladnosti postavlja dvojiško vprašanje: ali storitev izpolnjuje zahtevo ali ne. Diagnostika zrelosti postavlja drugačno vprašanje: na kateri ravni obvladovanja je praksa in katero konkretno dejanje vodi na naslednjo raven. Med organizacijo, ki čezmejno sredstvo identifikacije sprejema od primera do primera, in organizacijo, ki ga je vgradila v svoj temeljni sistem avtentikacije, razlika ni razlika v skladnosti, temveč razlika v zrelosti. Diagnostika jo naredi vidno, tematsko področje za tematskim področjem, in ovrednoti pripadajoč napor.
V Datamensiu je ta referenčni okvir pripravljen za takojšnjo uporabo in prilagodljiv. UI prilagodi tematska področja, preoblikuje vprašanja v besednjak vaše organizacije in izostri ravni po metodi CMMI. Lahko tudi zgradi različico na podlagi vaših lastnih dokumentov: politike avtentikacije, kartiranja e-storitev, doktrine digitalne identitete. Dobljeni referenčni okvir ostane vaš, objavite ga lahko pri svojih poslovnih enotah ali subjektih.
Referenčni standard: Uredba (EU) št. 910/2014 (eIDAS), kakor je bila spremenjena z Uredbo (EU) 2024/1183 (eIDAS 2)
Ocenjevana tematska področja
Upravljanje digitalne identitete
Formalizirana doktrina, imenovanje odgovorne osebe, povezava med informatiko, varnostjo, pravno službo in strokovnimi službami, odločanje o ravneh zanesljivosti, namenski proračun.
Elektronska identifikacija in ravni zanesljivosti
Razvrstitev e-storitev po nizki, znatni ali visoki ravni, utemeljitev izbire, skladnost z Izvedbeno uredbo 2015/1502, periodični pregled.
Vpis in preverjanje identitete
Postopki preverjanja na daljavo in v živo, sprejeta dokazila o identiteti, odkrivanje dokumentarne goljufije, sledljivost vpisa.
Avtentikacija in upravljanje življenjskega cikla
Mehanizmi večfaktorske avtentikacije, upravljanje pooblastil, začasna zadržanje, preklic in obnova sredstev, upravljanje pooblaščanj in zastopstev.
Čezmejna interoperabilnost
Sprejemanje sredstev identifikacije, ki jih priglasijo druge države članice, povezava z vozliščem eIDAS, ujemanje atributov, obravnava primerov neuspelega ujemanja.
Evropska denarnica digitalne identitete
Priprava na sprejemanje denarnice, elektronska potrdila atributov, upravljanje soglasja uporabnika, registracija uporabniških strani.
Storitve zaupanja
Uporaba podpisa, žiga, žigosanja s časom, elektronskega priporočenega vročanja in potrdil za avtentikacijo spletnih mest, izbira med kvalificiranim in nekvalificiranim, preverjanje seznamov zaupanja.
Dokazna vrednost in hramba
Politika podpisovanja, validacija in ponovna validacija podpisov skozi čas, arhiviranje z dokazno vrednostjo, sposobnost predložitve dokaza ob sporu.
Varstvo podatkov in minimizacija
Povezava s SUP, minimizacija posredovanih atributov, obveščanje posameznikov, roki hrambe, obravnava zahtev za uveljavljanje pravic.
Nadzor, incidenti in izboljševanje
Kazalniki spremljanja, beleženje dogodkov, odkrivanje in prijava incidentov in kršitev, redno testiranje postopkov, povratne informacije in posodabljanje doktrine.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Je eIDAS mogoče certificirati?
Uredba ne certificira organizacij, ki uporabljajo storitve zaupanja. Predvideva kvalifikacijo za ponudnike storitev zaupanja, podeljeno po presoji s strani organa za ugotavljanje skladnosti in vpisu na nacionalni seznam zaupanja. Diagnostika Datamensio meri zrelost vaših praks in pripravlja na te postopke, ne podeljuje pa nobene kvalifikacije.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja se zaključi z ugotovitvijo vrzeli ali skladnosti glede na dano zahtevo. Diagnostika umesti vsako prakso na postopno lestvico in pokaže dejanje, ki vodi na naslednjo raven. Oboje se dopolnjuje: diagnostika gradi pot razvoja, presoja potrdi rezultat.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Celovita različica, v sodelovalnem načinu, traja od enega do dveh tednov: večino časa vzame zbiranje podatkov pri informatiki, pravni službi in strokovnih službah. Roki so odvisni od razpoložljivosti sodelujočih.
Je referenčni okvir mogoče prilagoditi našemu kontekstu?
Da. Vprašanja, ravni in tematska področja so prilagodljivi, lahko pa dodate tudi svoja lastna. UI preoblikuje vsebino v besednjak vaše organizacije ali zgradi različico na podlagi vaših internih dokumentov. Objavljeni referenčni okvir ostane pod vašim nadzorom.
Ali diagnostika zajema revizijo eIDAS 2 in evropsko denarnico?
Da, eno tematsko področje je posebej namenjeno pripravi na sprejemanje evropske denarnice digitalne identitete in elektronskim potrdilom atributov. Vprašanja ločujejo, kaj spada k obstoječemu temelju in kaj k uskladitvi z Uredbo (EU) 2024/1183.
Je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja, ne na konfiguracije protokolov. Vodja digitalnega projekta ali interni presojevalec lahko odgovori na večino njih. Sodelovalni način omogoča, da se tehnična vprašanja dodelijo določenemu sogovorniku.
Kako primerjati več subjektov med seboj?
Isti referenčni okvir se posreduje vsaki poslovni enoti ali subjektu, rezultati pa se primerjajo po tematskih področjih. Prečni načrt poti nato združi akcijske načrte, ne da bi podvajal skupne naloge, na primer povezavo z vozliščem eIDAS.
Kje so shranjeni podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayu. Brez prenosa izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.