Sikker Digital Identitet.

Sikker digital identitet

Med digitaliseringen har vi ikke længere elementer som en genkendelig håndskrift, stemmen i telefonen og at være fysisk tilstede, når vi kommunikerer med andre mennesker. Fravær af disse identifikationsmetoder har åbnet for nye kriminalitetsformer og medført, at vi som samfund er blevet sårbare over for nye typer af svindel og bedrageri via vores computere.

Sikker digital identitet er et nøgleelement når man som virksomhed skal beskytte sine data, og der er i hverdagen mange spørgsmål.

Er jeg den, jeg siger jeg er?
Er mine fortrolige udskrifter, fortrolige?
Overholder vi loven?

GDPR, eIDAS, NIS, PSD2 og NSIS

Med opblomstringen af et stigende antal cybertrusler er behovet for at have en sikker digital identitet blevet afgørende for at leve op til de seneste lovkrav, der stilles til både private og offentlige virksomheder og organisationer. Lovkrav, der kan findes i både de europæiske GDPR-, eIDAS-, NIS-, PSD2-love og den danske NSIS-standard.

På forskellig vis stilles krav om, hvordan både digitale identiteter skal dannes, men også hvordan de administreres og anvendes af brugerne. Typisk veksles mellem mere tekniske krav såsom fysiske ID-krav i forbindelse med brugeroprettelse og 2-faktor validering til login. Til de mere administrative krav, at der er truffet passende tekniske foranstaltninger, og at der foretages kontinuerlige risikovurderinger. I takt med at borgere og medarbejdere skal bruge login til stadigt flere internetsider, stiger deres irritation over at skulle holde styr på den voksende mængde af passwords – en databeskyttelsesmetode, som myndigheder og sikkerhedsansvarlige ikke længere anser for at være tidssvarende eller tilstrækkelig sikker.

Lovgivning

Sikker digital identitet er særdeles vigtigt i forbindelse med de seneste lovkrav der stilles til både private og offentlige virksomheder og organisationer. Disse krav findes i de europæiske GDPR, eIDAS, NIS, PSD2 regler og den danske NSIS standard.

Her stilles krav om hvorledes digitale identiteter skal dannes, men også administreres og anvendes af brugerne.

Der veksles mellem mere tekniske krav så som fysiske ID krav i forbindelse med brugeroprettelse og 2-faktor validering til login og mere administrative krav, såsom der er truffet passende tekniske foranstaltninger og om der foretages kontinuerlige risikovurderinger.

Arkitektur

Sikker digital identitet kræver, at ens interne it-systemer er godt forbundne, og at de automatisk – og gerne i realtid – bi-direktionalt synkroniserer data om brugerne.

Den primære brugerdatabase skal udover de elementære brugerdata også kunne håndtere både roller og tilhørende rettigheder og ekstra udvidede brugeroplysninger, certifikater og login-credentials.

En bruger kan have flere roller i ens organisationer og det underliggende it-system skal kunne rumme denne udfordring. Det bliver særligt vigtigt hvis fokus er at opnå niveau “betydelig” eller “høj” jf. NSIS/eIDAS.

I tillæg til en avanceret brugerdatabase skal der også være en “Identity Provider (IdP)” til at varetage single sign-on (SSO) forbindelser til både interne og eksterne it-systemer. Endeligt skal der være central logging kombineret med og compliance værktøjer til analyser og rapportering.

Livscyklus

Mange brugere begynder deres relation med deres organisation med en registrering i løn- og personalsystemet. Dette er et godt udgangspunkt, men ikke tilstrækkeligt til at brugeren er oprettet på niveau “betydelig” eller “høj”. Brugeren skal selv bekræfte sin identitet med 2 faktorer fra mindst 2 forskellige kategorier. I hverdagen skal de anvende 2-faktor metoder til digital adgang.

Ofte ændrer ens opgaver sig og man har behov for ændringer i måske ens overordnede roller, men også i de mere specifikke rettigheder. Sådanne ændringer skal kunne varetages direkte af brugerne med efterfølgende godkendelse af en rettighedsejer.

Fratræder man sin stilling skal systemet automatisk sikre, at alle digitale og fysiske adgange lukkes eller deaktiveres.
Med nationale og internationale krav til niveauet af brugeridentiteten er det centralt, at hele livscyklus forvaltes og administreres på samme eller højere niveau.

Dagligdagen

Hverdagen for den digitale bruger skal være brugervenlig og overholde de it-mæssige sikkerhedskrav. Det er to kræfter der ofte trækker hver sin vej.

En sikker digital identitet kan rumme disse krav og medfører, at brugeren i dagligdagen har en let og sikker digital adgang med fuld 2-faktor adgang, kan underskrive dokumenter og e-mails med digitalt blæk, kan kryptere og dekryptere data når det kræves og endelig oplever, at adgang til andre it-systemer sker med single sign-on.

For at hverdagen opleves let og smidig, er det bedst, når både den fysiske og digitale adgang er kombineret. Det forbygger at adgangskort deles og at print kan ses af andre brugere. Samtidig betyder det også, at ens PC låses automatisk når man forlader sin PC.


1. Opret

Integreret og automatiseret brugeroprettelse.

 

2. Udsted

Selvbetjening for brugerne alle ugens dage, døgnet rundt.

3. Anvend

Brugervenlig og sikker digital 2-faktor adgang i hverdagen.

 

4. Revidér

Overholdelse af interne regler og eksterne lovkrav.

proces cirkel figur


Ung 6. klasses dreng spiller cello

Aula og 2-faktor sikkerhed

Liga har udarbejdet et whitepaper for at beskrive, hvorledes kommuner og institutioner kan opnå sikker adgang til Aula i overensstemmelse med Digitaliseringsstyrelsens vejledning til overholdelse af kravene. Beskrivelsen er tænkt som en hjælp til IT-afdelinger og IT-ansvarlige i kommuner og institutioner.

Læs mere om Aula og 2-faktor sikkerhed her eller download whitepaperet nedenfor.

Download whitepaper om Aula

 

Hvidbog: Sikker Digital Identitet

Udfyld formularen, så modtager du et link, så du kan downloade bogen om Sikker Digital Identet!

Hvidbogen beskriver hvilke muligheder større virksomheder, organisationer og kommuner har for at indføre et eller flere elementer, der skal styrke sikker digital identitet internt og eksternt, og som opfylder både dansk lov og EU-lovgivning for databeskyttelse og datasikkerhed.