Produktstrategi for ID-porten Fagdag 10. september

Transkript

1 Produktstrategi for ID-porten Fagdag 10. september

2

3

4 Visjon: «ID-porten sikrer digital forvaltning»

5 Utviklingstiltak ID-porten Mål Fysiske personer med europeisk e-id kan autentiseres Personer uten norsk eller europeisk e-id kan autentiseres* Tiltak eidas Avventer erfaringer eidas ID-porten benyttes i større grad i jobbsammenheng Etablere «Ansattporten» 2019 Sluttbrukere med norsk e-id kan signere dokumenter elektronisk Q Signerte dokumenter kan valideres Q Sluttbrukere med europeisk e-id kan signere dokumenter elektronisk Ende-til-ende sikring av kommunikasjon mellom ID-portens kunder og sluttbrukere eidas Avventer behovsverifikasjon Tilby ID-portens kunder tjeneste for tidsstempling Levert Q ID-porten har høy brukskvalitet ID-porten er tilgjengelig for flest mulig sluttbrukere Kontinuerlig Mobil eid Q ID-portens tjenester kan integreres i apper o.l. teknologier Q ID-portens tjenester er tilgjengelig på de mest aktuelle sluttbrukerplattformene Kontinuerlig forbedring av prosesser som bidrar til sikre, robuste og hensiktsmessige tjenester Forvaltning av ID-porten er koordinert med andre felleskomponenter Kontinuerlig Kontinuerlig Skate

6

7 ID-porten, et veletablert økosystem for identitet Commfides BankID Buypass MinID Nasjonalt ID kort innlogginger hver dag

8 ID-porten 4 millioner aktive brukere Ansattporten Person Maskinporten Virksomhet eidas

9 Sluttbrukere og virksomheter ID-porten Tillitstjenester (MinID/BankID/Buypass/Commfides) Det sentrale folkeregisteret

10 DSF Eksempel på tillitskjede for digital identitet Politiet Lokal bank NAV BankID BankID på mobil Difi

11

12

13

14 Ansattporten = ID-porten ID-porten som i dag teknisk og merkantilt, men: Egen Circle-of-trust for ansatt-tjenester Mulighet for pseudoanonymisering av ID-nummer Mulighet for kobling mot autorativt register, som Altinn autorisasjon eller virksomhetens AD

15

16 «Den digitale utviklingen er en avgjørende del av vår verdiskapning og vekst. Digitaliseringen har bidratt til et tryggere og mer sikkert samfunn. [ ]» «Digitaliseringen har også medført at samfunnets risikobilde har endret seg. Ingen sektorer, og få nasjoner, kan i dag kontrollere sin digitale sårbarhet alene.»

17 «Sikker elektronisk identifikasjon (e-id) er avgjørende for en digital forvaltning. Bruk av markedsløsninger for innlogging til offentlige digitale tjenester via ID-porten er en vellykket strategi.» «Det er viktig at virksomhetene i offentlig sektor har en felles forståelse av og tilnærming til sikkerhetsutfordringene.»

18 Digi 15. august

19 «Zero Trust» er en IKT-sikkerhetsstrategi for åpenhet der man ikke tar tillit for gitt, men baserer seg på risiko, kontekst og atferd Brannmurmentaliteten Forsvare egen perimeter fra eksterne trusler men ikke interne 1 Zero Trust modell Identifisere betrodde parter gjennom brukeridentiteter Zero Trust Kontrollere / overvåke all trafikk både innenfor og utenfor og håndtere tillit basert på risiko for innbrudd Zero trust prinsipper Organisasjoner bør ikke automatisk stole på noe innenfor eller utenfor brannmur og i stedet må verifisere alt som prøver å koble seg til sine systemer før tilgang er gitt Tilgang til IP-adresser, maskiner, etc. er ikke tillat før organisasjonen vet hvem brukeren er og om de er autorisert Utvide innsyn i brukeres enheter og aktiviteter Sikre brukeres enheter Innføre risiko- og kontekstbasert adgangs- og tilgangsstyring Muliggjøre en sikker tilkobling til alle applikasjoner Benytte kryptert kommunikasjon i interne og eksterne nettverk POLP (Principle of Least Privilege): Sikre at alle brukere, programmer og prosesser kun har det laveste tillatelse og tilgangsnivået til å fullføre en handling Inspisere, logge og analysere all nettverkstrafikk ved å eksemplivis benytte et NAV-verktøy (Network Analysis and Visibility) 19

20 Å ta i bruk biometri i større grad er et skritt i mot passordfri autentisering Fysiologisk biometri Fingeravtrykk Håndgjenkjenning (geometri) Håndavtrykk Ven- og blodkarsgjenkjenning Ansiktsgjenkjenning Gjenkjenning av netthinnen Gjenkjenning av iris Øreflippgjenkjenning Stemmegjenkjenning DNA Duftgjenkjenning Behavioural biometri Signaturgjenkjenning (inkluderer også hvordan man holder penner, trykk osv.) Gangegjenkjenning Gjenkjenning av berøring av datamus Gjenkjenning av bruk av tastatur FIDO2 prosjektet FIDO2 består av W3cs Web Authentication spesifikasjon (WebAuthn) og FIDO Client-to-Authenticator protokollen (CTAP) Innsastsen og engasjementet av ledende netteler leverandører til fullføringen og gjennomføringen av FIDO2 standarden åpner en ny æra av ubiquitous, hardware-støttet FIDO autentiserings beskyttelse for alle som bruker Internett. Bedrifter og online tjenesteleverandører som ønsker å beskytte seg selv og sine kunder mot risikoen forbundet med passord - inkludert phishing, man-in-themiddle angrep og stjåling av credentials - kan distribuere standardbaserte sterk autentisering som fungerer gjennom leseren. FIDO har lansert interoperabilitet testing og sertifisering for servere, klienter og autenticators som følger FIDO2 spesifikasjoner. Biometri bør kombineres med andre autentiseringsfaktorer for å øke sikkerheten. Kilde:Beyond Passwords: Simpler, Stronger Authentication with FIDO2 20

21 Blockchain kan lede til økt sikkerhet og effektivitet, og er blant annet tatt i bruk i Estland på nasjonalt nivå Hva er Blockchain? Informasjonen i en blockchain eksisterer som en delt og kontinuerlig aggregert database Dataene som lagres er desentraliserte. Dette innebærer at det ikke finnes noe sentralt sted der dataen lagres slik at hackere kan i prinsipp ikke få tilgang Når data en gang har blitt lagt til i kjeden kan den verken slettes eller endres, noe som muliggjør total digital sporbarhet Formålet er å sikre autentisitet og etablere tillit mellom to parter gjennom digital tillit Mulig bruk av Blockchain for offentlig sektor Redusere byråkrati samtidig som man øker sikkerhet, effektivitet og transparens Økt informasjonssikkerhet gjennom fjerning av menneskelige eller organisatoriske «middle-man» Flere initiativer på gang med autentisering og smarte kontrakter via Blockchain Chain ID en autentiseringstjeneste ID2020 et initiativ som går ut på å bruke Blockchain teknologi for å utvikle digitale identiteter til mennesker som mangler identitetshandlinger Estland første landet i verden som bruker Blockchain teknologi for statlig virksomhet f.eks. nasjonale register, helse, og rettsvesenet gjennom digitalt statsborgerskap. De har planer om å i framtiden bruke Blockchain teknologi til cybersikkerhet Utfordringer i dag Sørge for at Blockchain teknologien oppfyller krav fra f.eks. GDPR og ISO-standarder. Muligheter for å slette og redigere informasjon og GDPR s right to be forgotten er begrenset Tilgangsstyring og eierskap til data er desentralisert, noe som gjør det vanskelig å tydeliggjøre roller og ansvar I dag er det begrenset bruksområde for Blockchain i offentlig sektor grunnet de utfordringene som eksisterer. 21

22

23

24

25 ADVANCED AUTHENTICATION REQUIRES 2 FACTORS Something you KNOW Something you HAVE Something you ARE

26

27

28 Some people might call this crazy. I prefer to think of it as badass. Alex Honnold

29 RISK IN CONTEXT

30 DEVICE AUTHENTICATION WORKFLOW DEVICE ID +10 SCORE LOW RISK = Frictionless Consumer Experience SHOPPING RESOURCES NEWS GEO LOCATION DEVICE INTEGRITY 0 SCORE MEDIUM RISK= Moderate Friction USERNAME & PASSWORD USER ACCESS ADDITIONAL DEVICE CONTEXT ASSOCIATIONS & REPUTATION -10 SCORE HIGH RISK= Step-Up Authentication FRAUD TEAM

31

32

33

34

35

36 Visjon «ID-porten sikrer digital forvaltning» Hovedmål Hva er våre viktigste prioriteringer de neste årene? Innsatsområder

37

38

39 Robust Sikkerheten, kvaliteten og tilgjengeligheten til IDporten skal være tilstrekkelig for både kunder og sluttbrukere, samt tilfredsstille krav satt i lover og forskrifter. Brukerfokus ID-porten skal ha høg brukskvalitet. ID-porten skal være brukervennlig for sluttbruker være enkel å ta i bruk og tilgjengelig på sluttbruker ønskete plattform til enhver tid. Strategiske mål og prinsipper som til enhver tid ligger til grunn Samordnet ID-portens skal være tilpasset kundenes digital tjenester, virke i sammenheng med andre fellesløsninger i offentlig sektor og samhandle i et felles økosystem for nasjonal digital samhandling og tjenesteutvikling (ref. ny digitaliseringstrategi). Produktstrategien skal være ett langsiktig styringsdokument som gir retning og føringer for videreutviklingen av ID-porten som et virkemiddel for at offentlig sektors behov for autentisering er dekket på en effektiv og sikker måte Innovativ og effektiv ID-porten skal bidra til en smartere og mer kostnadseffektivt offentlig sektor

40 Person Virksomhet Tillitsanker Sikkerhet Brukeren i sentrum

41

42 Nasjonal arkitektur Autorisasjon Autentisering 42

43 Hvordan skal behovene løses og hvem skal gjøre det? Difis fellesløsninger Nasjonal arkitektur Samarbeid Ansatte Etablere støtte for autentisering av ansatte basert på eksisterende eid i ID-porten. Autentisering av ansatte må standardiseres på nasjonalt nivå. Samarbeid med eiere av autorative kilder med ansattinformasjon slik at man enkelt kan kombinere autentisering og autorisasjon.

44 Produktstrategi for ID-porten Fagdag 10. september