E-legitimering och e-underskrift 2017-09-06 Johan Bålman esam 2017-06-26
esam (esamverkansprogrammet) Ett samverkansprogram med 22 medlemmar (21 myndigheter och SKL) Syftar till att underlätta och påskynda digitaliseringen av det offentliga Sverige Bildades 2015 på initiativ av medlemmarna när E-delegationen slutfört sitt arbete Finansieras med årliga medlemsavgifter Pensionsmyndigheten värdmyndighet för esams kansli 3 2017-06-26
Digitaliseringens guldägg E-legitimering och e-underskrifter är centrala funktioner för digitaliseringen. 4 2017-06-26
Bred förankring av vägledningen + + 5 2017-06-26
Varför? Det är nödvändigt att vara förberedd för att kunna kravställa korrekt för att kunna välja rätt säkerhetsnivå för att få tydliga avtal och bra rutiner som ger skydd mot manipulationer, förnekanden och missbruk. Kunna göra medvetna val 6 2017-06-26
Två centrala begrepp Vid e-legitimering styrker personen sin identitet: En e-underskrift motsvarar det man gör när man skriver under dokument: 7 2017-06-26
System från 2014 8 2017-06-26
Underleverantörer har tillkommit 9 2017-06-26
Underskrift Certifikat för legitimering Certifikat för underskrift 10 2017-06-26
Direkt underskrift legitimering Dokument underskrift Underskriftstjänst Underskrift 11 2017-06-26
Indirekt underskrift legitimering underskrift Underskriftstjänst Dokument Särskilt underskriftscertifikat Underskrift 12 2017-06-26
Kap. 9. Hur säkras informationen Ett systematiskt informationssäkerhetsarbete Klassificera informationen Vidta åtgärder Förenklad sammanfattning av vad ett LIS innehåller Säkerhetsåtgärder 13 2017-06-26
Tre checklistor (Kap.13) 1. Införande av e-legitimering 2. Införande av e-underskrifter 3. (Hantering av bevarande och gallring) Hur säkerställer ni ansvaret i tidigare led vid indirekt leverans? Har kraven på tillitsnivå och informationsklassning beaktats? dokumenterad riskanalys Hur avtalas leverantörens ansvar att på ett systematiskt vis arbeta med informationssäkerhet? Hur kan detta redovisas och följas upp? 14 2017-06-26
2017-06-26
E-legitimering och e-underskrift 2017-09-06 eva.sartorius@elegnamnden.se
Staten granskar e-legitimationer
Dags att anpassa e-tjänsterna! Första kvalitetsmärkta e-legitimationen finns nu tillgänglig vid sidan av bankernas och Telias Skatteverkets nya id-kort innehåller den e-legitimationen (start 1 september 2017) Fler e-legitimationer medför behov av fristående underskriftstjänst
E-legitimering kräver avtal Organisation Roll Upphandlingsform Avtal som finns E-legnämnden Kammarkollegiet Respektive myndighet eller kommun Privata företag och organisationer Administrerande myndighet enligt lagen (2013:311) om valfrihetssystem för elektronisk identifiering Upphandlingssamordnande myndighet för upphandlande myndigheter enligt LOU Kan upphandla: - Via E-legnämnden - Via Kammarkollegiet - Själva Upphandlar själva Valfrihetssystem 2017 E-legitimering öppet för löpande tillträde (e-leg på minst tillitsnivå 3) eid 2016 Övergångstjänst stängt för nytillträde Ramavtal Programvaror och tjänster 2014, Informationsförsörjning (PT14IF) Upphandling enligt LOU Upphandling
Nu kan ni teckna vårt nya avtal 2017 E-legitimering E-legitimering på tillitsnivå 3 Med e-legitimationer som är granskade på minst tillitsnivå 3 17 öre per transaktion Lätt att integrera med det ni redan har (SAML 2.0 enligt E-legnämndens tekniska ramverk) För upphandlande myndigheter tar avtalet en tio minuter att teckna och 30 dagar att säga upp Löpande tillträde för både leverantörer och upphandlande myndigheter Intresseanmälan: kansliet@elegnamnden.se
Utländska e-legitimationer lagkrav (eidas) Foreign eid Trafiken rullar igång 2018 Lagkravet träffar många kommuner och myndigheter Behov finns också (enligt våra enkäter 2016 och 2017) Koppla upp er så här: Publicera inloggningsalternativet Foreign eid Koppla upp via E-legitimationsnämndens landsnod (SAML 2.0 enligt E-legnämndens tekniska ramverk) Lagkrav att erkänna e-legitimationer på tillitsnivå väsentlig och hög (släpp in användaren eller tacka för inloggningen) Pilottesta redan nu, se www.elegnamnden.se/eidas Uppkopplingen kostnadsfri både i pilottest och produktion Tysklands två statliga e-legitimationer är klara Flera andra länder finns i pilottestmiljön
Olika länders offentliga åtaganden AU BE EE Grad av statliga e-legitimationsutfärdare AU DK FI NO SE NO DE ES FI TR Privat e-legitimation Statlig e-legitimation BE DE DK Graden av obligatorium AU FI SE NO ES EE NL TR Frivillighet Obligatorium Graden av offentlig styrning Svag offentlig styrning Stark offentlig styrning
E-underskrifter lagkrav i korthet Offentliga myndigheter måste acceptera e-underskrifter*) som kommer in från externa användare enligt eidas regler (om bl.a. sju olika format), om myndigheten/kommunen tar emot motsvarande e-underskrifter*) nationellt och kostnadsfri valideringstjänst för formatet finns och hindrande formkrav i författning saknas *) Avancerade respektive kvalificerade e-underskrifter enligt eidas
Utländska e-legitimationer medför behov av fristående underskriftstjänst E-tjänst Saknar stöd i eidas Underskriftstjänst hos eid-leverantör Fristående underskriftstjänst
E-legitimationsnämndens fokusområden 2017 Flera avtal för e-legitimering eidas Införa utländska e-legitimationer i samhällets e-tjänster Med siktet inställt mot morgondagens digitala behov Granska e-legitimationer Säkert centralt metadataregister Granska fristående underskrifttjänster
Betrodda tjänster Enligt eidas 2017-09-06 Björn Hesthamar Nätsäkerhetsavdelningen
eid Gränsöverskridande erkännande av elektronisk legitimering AS Tillsyn över betrodda tjänster för elektroniska transaktioner på EUs inre marknad EUs förordning 910/2014
OBS! eidas är ett svårgooglat ämne
Men vad är en betrodd tjänst?
Vad är en betrodd tjänst? Utfärdande av certifikat (Privata + publika nycklar) Elektroniska underskrifter Elektroniska stämplar För autentisering av webbplatser (HTTPS) Elektronisk tjänst för rekommenderad leverans (Meddelade tjänster) Validering Bevarande Tidsstämpling Två tillitsnivåer: Betrodd tjänst samt kvalificerad betrodd tjänst
Varför kvalificerad? Betrodd tjänst Kvalificerad betrodd tjänst Anmälning Ingen anmälningsplikt Säkerhetskrav vidta lämpliga säkerhetsåtgärder med hänsyn till teknik och kostnad Skadestånd Bevisbörda på drabbad part Incidentrapportering Tillsyn Till PTS Händelsestyrd efter inträffande Juridisk verkan Får inte diskrimineras enbart för att den har elektronisk form
Varför kvalificerad? Betrodd tjänst Kvalificerad betrodd tjänst Anmälning Ingen anmälningsplikt Anmälningsplikt Säkerhetskrav Skadestånd vidta lämpliga säkerhetsåtgärder med hänsyn till teknik och kostnad Bevisbörda på drabbad part Detaljerade säkerhetskrav på policy, process och rutin. Återkommande krav på överenstämmelsesbedömning hos ackrediterat organ. Bevisbörda på tillhandahållare. Finansiell förmåga att bära sin risk. Incidentrapportering Till PTS Till PTS Tillsyn Händelsestyrd efter inträffande Planlagd och händelsestyrd Juridisk verkan Får inte diskrimineras enbart för att den har elektronisk form Har motsvarande rättslig verkan som en ickekvalificerad tjänst, men med en högre tillitsnivå och erkänns som kvalificerad i samtliga medlemsstater
Varför kvalificerad? Betrodd tjänst Kvalificerad betrodd tjänst Anmälning Ingen anmälningsplikt Anmälningsplikt Säkerhetskrav Skadestånd vidta lämpliga säkerhetsåtgärder med hänsyn till teknik och kostnad Bevisbörda på drabbad part Detaljerade säkerhetskrav på policy, process och rutin. Återkommande krav på överenstämmelsesbedömning hos ackrediterat organ. Bevisbörda på tillhandahållare. Finansiell förmåga att bära sin risk. Incidentrapportering Till PTS Till PTS Tillsyn Händelsestyrd efter inträffande Planlagd och händelsestyrd Juridisk verkan Får inte diskrimineras enbart för att den har elektronisk Har motsvarande rättslig verkan som en ickekvalificerad tjänst, men med en högre tillitsnivå och erkänns som kvalificerad i samtliga medlemsstater
Sammanfattning eidas är tvådelat, eid och betrodda tjänster Det finns två tillitsnivåer av betrodda tjänster Betrodda tjänster Kvalificerade betrodda tjänster Kvalificerade tillhandahållare och tjänster står under en mer omfattande tillsyn med strängare krav Underskrifter och stämplar får inte diskrimineras enbart för att de är elektroniska Kvalificerade betrodda tjänster erkänns på samma nivå i hela EU
För mer information om betrodda tjänster https://pts.se/eidas Faktablad för tillhandahållare Vägledning för betrodda tjänster i Sverige enligt eidas https://trustedlist.pts.se/ Sveriges nationella förteckning över kvalificerade tillhandahållare och kvalificerade betrodda tjänster