Tillitsnivåer för e-legitimering
E-legitimationer kan ha olika nivåer av säkerhet, dessa nivåer kallas tillitsnivåer. De visar hur säkert det är att e-legitimationen verkligen används av rätt person. Ju högre tillitsnivå, desto säkrare är e-legitimationen.
När du utvecklar en e-tjänst behöver du bestämma krav på tillitsnivå, det vill säga hur säker inloggningen till e-tjänsten ska vara. Du väljer tillitsnivå utifrån hur känslig informationen i e-tjänsten är och vad användaren kan göra där. Här kan du läsa mer om hur tillitsnivåer fungerar och hur du väljer rätt nivå för din e-tjänst.
Kort om tillitsnivåer
Svenska e-legitimationer som Digg har godkänt delas in i tillitsnivåer. Nivåerna visar hur hög säkerheten är. Genom att ange vilken tillitsnivå som krävs för e-tjänst slipper ni själva granska säkerheten i varje e-legitimation.
Tillitsnivåer kallas ofta för LoA, som står för Level of Assurance.
Tillitsnivåer används utifrån två perspektiv
Tillitsnivåer för e-legitimationer:
- Visar hur hög säkerheten är för en e-legitimation. De beskriver både den tekniska och den administrativa säkerheten, och hur tillförlitlig e-legitimationen är på en viss nivå. Nivån bestäms bland annat av hur leverantören ser till att e-legitimationen verkligen lämnas ut till rätt person.
Tillitsnivåer inom ramen för e-tjänster:
- Offentliga aktörer som har e-tjänster behöver välja vilken tillitsnivå som ska krävas för inloggning. Den nivån beror på hur allvarliga konsekvenserna kan bli om någon obehörig får tillgång till e-tjänsten. Ju känsligare information eller åtgärder som finns i tjänsten, desto högre tillitsnivå bör krävas. Valet av tillitsnivå påverkar vilka e-legitimationer som kan användas i e-tjänsten.
Digg säkerställer tillitsnivån för e-legitimationer
En leverantör kan hos Digg ansöka om att bli granskad enligt Tillitsramverket för svensk e-legitimation. Vid granskningen kontrollerar vi att e-legitimationen uppfyller den tillitsnivå som leverantören har angett i sin ansökan. Tillitsnivån påverkas bland annat av hur leverantören säkerställer att e-legitimationen lämnas ut till rätt person.
Ett vanligt missförstånd
Många tror att en tillitsnivå endast baseras på hur användarens identitet fastställs, i själva verket är detta endast en del av det som Digg granskar och vad som utgör en tillitsnivå.
Tillitsramverket för Svensk e-legitimation innehåller omfattande kravmassor som Digg granskar gällande leverantörens
- organisation och styrning
- ledningssystem för informationssäkerhet
- fysisk, administrativ och personorienterad säkerhet
- teknisk säkerhet
- ansökan, identifiering och registrering.
För att säkerställa att godkända e-legitimationsutfärdare kontinuerligt uppfyller ställda krav och följer gällande regelverk, genomför Digg regelbundna uppföljningar. Denna uppföljning är en central del i vårt arbete med att värna förtroendet för den svenska infrastrukturen för e-legitimation.
Uppföljningen sker årligen och omfattar en granskning av hur utfärdaren arbetar med efterlevnad av regler och säkerhet i sin verksamhet.
Som en del av processen för godkännande ska varje utfärdare inrätta en funktion för internrevision som regelbundet granskar utfärdarverksamheten, baserat på de beskrivningar som utfärdaren lämnat i sin ansökan. Internrevisorn ska dokumentera resultatet av granskningen i en revisionsrapport. Rapporten skickar ni till Digg efter genomförd revision. Den blir ett underlag för Diggs uppföljning.
Utfärdaren ska även rapportera säkerhetsincidenter och förändringar som påverkar beskrivningarna som utfärdaren lämnat i sin ansökan till Digg. Med förändring avses exempelvis en ny utgivningsprocess eller byte av underleverantör. Även dessa granskas av Digg.
Löpande uppföljning är nödvändig för att tidigt kunna identifiera och hantera eventuella brister. Det bidrar till att minska risker för avvikelser som kan påverka tilliten till e-legitimationer och den digitala samhällsservicen. Genom att ställa krav på regelbunden kontroll och förbättring skapar vi långsiktig stabilitet, transparens och säkerhet i det svenska e-legitimationssystemet.
Om Digg vid en uppföljning identifierar brister får utfärdaren möjlighet att vidta korrigerande åtgärder. Om dessa brister inte åtgärdas har Digg möjlighet att återkalla det tidigare godkännandet. Det är en viktig del i att säkerställa att endast seriösa och pålitliga aktörer verkar inom ramen för det svenska e-legitimationssystemet.
Godkända e-legitimationer
Här hittar du vilka e-legitimationer Digg granskat och godkänt. Här framgår också på vilken tillitsnivå:
Granskade och godkända e-legitimationer och intygsfunktioner
Uppfyller en inloggningslösning med flerfaktorsautentisering för våra anställda kraven för tillitsnivå 2 eller 3?
Digg granskar inte enskilda inloggningslösningar. Granskningen omfattar i stället både den tekniska lösningen och utfärdarens verksamhet.
En inloggningslösning med flerfaktorsautentisering kan ingå i den del av granskningen som rör teknisk säkerhet, kontroll av elektronisk identitet samt processer runt identifiering och registrering. Men att enbart ha en inloggningslösning med flerfaktorsautentisering är inte detsamma som att uppfylla en viss tillitsnivå.
Avgör vilken tillitsnivå e-tjänsten ska kräva
Börja med att ta ställning till hur säkert användaren behöver vara identifierad för att kunna få åtkomst till e-tjänsten samt dess information och funktioner.
Tillitsnivån bestäms utifrån hur stor skadan riskerar att bli vid en felaktig identifiering av användaren. För låga krav kan medföra oacceptabla risker, och för höga krav kan medföra onödiga kostnader och hinder för en användare att bruka tjänsten.
Tillitsnivån ni väljer påverkar också hur användaren kan logga in i e-tjänsten, till exempel om det räcker med en personlig kod eller om det krävs en viss typ av e-legitimation.
1. Planera arbetet
För att genomföra bedömning av lämplig tillitsnivå kan det vara bra att ha med följande kompetenser:
- Verksamhetsspecialister eller -utvecklare med kunskap om vilken information som kommer att finnas i e-tjänsten för att kartlägga informationsmängderna.
- Informationssäkerhetsspecialister som stöttar i arbetet med att bedöma behovet av skydd för informationen.
2. Analysera behov av e-legitimation
Innan ni bestämmer er för att använda e-legitimation som inloggningsalternativ i er e-tjänst bör ni ha gjort en analys om att åtkomsten till e-tjänsten kräver att användaren identifieras via en e-legitimation. Det finns inga krav på att en e-legitimation måste användas i en e-tjänst, utan det påverkas av den information som finns i e-tjänsten och vad användaren kan göra i e-tjänsten.
3. Bedöm vilken tillitsnivå er organisation behöver
För att avgöra vilken tillitsnivå som är aktuell för e-tjänsten behöver ni först bedöma dels vilken nivå av skydd informationen som kommer förmedlas i e-tjänsten behöver, och dels vilka konsekvenserna skulle bli om fel person får tillgång till e-tjänsten.
För att bedöma hur skyddsvärd informationen som ska förmedlas i e-tjänsten är bör ni värdera informationen baserat på dess behov av konfidentialitet, riktighet, tillgänglighet och i förekommande fall även spårbarhet. Ta i beaktande både sådan information som ska visas upp i e-tjänsten och information som lämnas av den som loggar in i e-tjänsten.
När ni gör er bedömning ska ni utgå från hur stora konsekvenserna skulle bli om fel person får lämna och ta del av information genom e-tjänsten. Som stöd har ni tabellen nedan som är uppdelad i sex olika riskområden och fyra olika konsekvensgrader. En felaktig identifiering kan leda till negativa konsekvenser inom flera områden. Det blir då det område inom vilket de svåraste konsekvenserna kan förekomma som blir styrande för vilken tillitsnivå som ska krävas för e-tjänsten.
Möjliga konsekvenser vid felaktig identifiering
Riskområde | Tillitsnivå 1 | Tillitsnivå 2 | Tillitsnivå 3 | Tillitsnivå 4 |
|---|---|---|---|---|
Olägenhet, oro eller ryktesskada | Begränsad | Måttlig | Betydande | Allvarlig |
Finansiell skada eller skadeståndsansvar | Begränsad | Måttlig | Betydande | Allvarlig |
Röjande av känsliga uppgifter till obehöriga | Ska inte användas | Måttlig | Betydande | Allvarlig |
Brottsyttringar | Ska inte användas | Begränsad | Betydande | Allvarlig |
Skada på verksamhet och allmänintresse | Ska inte användas | Begränsad | Måttlig | Allvarlig |
Personsäkerhet | Ska inte användas | Ska inte användas | Måttlig | Betydande |
Definitioner av konsekvensgraderna
Nedan kan du läsa definitionen av de olika konsekvensgraderna baserat på effekter en felaktig identifiering kan leda till inom de olika riskområdena.
- Begränsade: Kortvarig olägenhet, oro eller ryktesskada med lindriga effekter på enskild eller verksamhet.
- Måttliga: Olägenhet, oro eller ryktesskada med allvarliga kortvariga eller lindriga långvariga effekter på enskild eller verksamhet.
- Betydande: Olägenhet, oro eller ryktesskada med allvarliga långvariga effekter på enskild eller verksamhet.
- Allvarliga: Långvarig eller bestående olägenhet, oro eller ryktesskada med katastrofala effekter på enskild eller verksamhet.
- Begränsade: Försumbara ekonomiska förluster.
- Måttliga: Smärre ekonomisk förlust eller mindre skadeståndsansvar.
- Betydande: Allvarlig ekonomisk förlust eller betydande skadeståndsansvar.
- Allvarliga: Verksamhetshotande ekonomisk förlust eller skadeståndsansvar.
- Måttliga: Röjande av uppgifter kring vilka det råder sekretess, som kan medföra lindriga negativa effekter för enskilda.
- Betydande: Röjande av uppgifter kring vilka det råder sekretess, som kan medföra allvarliga negativa effekter för enskilda.
- Allvarliga: Röjande av uppgifter kring vilka det råder sekretess, som kan medföra katastrofala negativa effekter för enskilda.
- Begränsade: Lindrigare förseelser som normalt inte leder till att en förundersökning inleds. Se Rättegångsbalken (1942:740) 23 kap. 1 §.
- Betydande: Allvarligare brott där det saknas förutsättningar att lägga ned en förundersökning i de fall brottet går att utreda, och som därför kan antas leda till åtal om gärningsmannen kan identifieras.
- Allvarliga: Gärningar av särskilt allvarlig eller farlig art där brottet betraktas som grovt.
- Begränsade: Obetydliga skador på verksamheten eller allmänintresse.
- Måttliga: Påtagliga negativa effekter på allmänintresse, organisationens tillgångar eller dess förmåga att lösa verksamhetsuppgifterna.
- Allvarliga: Allvarliga eller katastrofala negativa effekter på allmänintresse, organisationens tillgångar eller dess förmåga att lösa verksamhetsuppgifterna.
- Måttliga: Risk för lindrigare personskador som inte kräver medicinsk behandling.
- Betydande: Risk för svårare personskador som kräver medicinsk behandling.
- Allvarliga: Fara för liv.
Svenska tillitsnivåer
Tillitsramverket för Svensk e-legitimation beskriver tre tillitsnivåer för e-legitimering, 2 till 4. För att en e-legitimation ska bli godkänd för de olika nivåerna ställs olika krav bland annat på hur man styrker användarens identitet.
Tillitsramverket för svensk e-legitimation
Nivå 1 finns inte i det svenska tillitsramverket eftersom det inte kräver någon legitimering, det räcker med att till exempel ange namn och e-postadress. Nivåerna 2 till 4 ställer högre krav på att användaren verifierar sin identitet, till exempel genom tvåfaktorsautentisering.
Det här betyder tvåfaktorsautentisering
Tvåfaktorsautentisering betyder att minst två av varandra oberoende faktorer krävs för att verifiera en identifiering. Två av följande faktorer används som underlag vid tvåfaktorsautentisering:
- Något du vet (till exempel ett lösenord).
- Något du har (till exempel din mobiltelefon).
- Något du är (till exempel ditt fingeravtryck, din ansiktsform eller annan så kallad biometrisk egenskap).
Tillitsnivåer enligt eIDAS
EU-förordningen eIDAS definierar tre olika tillitsnivåer: låg, väsentlig och hög. De skiljer sig något från de svenska tillitsnivåerna:
- Låg ställer något lägre krav än den svenska tillitsnivån 2. Det beror på att den svenska tillitsnivån 2 också ställer krav på tvåfaktorsautentisering.
- Väsentlig motsvarar den svenska tillitsnivån 3.
- Hög kan likställas med den svenska tillitsnivån 4. Sveriges tillitsnivå 4 omfattar dock krav på bland annat personligt besök vid förnyelse av en e-legitimation.
eIDAS-förordningen gäller som lag i Sverige. Enligt eIDAS-förordningen ska offentliga organ under vissa omständigheter godkänna medel för elektronisk identifiering som utfärdats i en annan medlemsstat. Det innebär att aktörer inom offentlig sektor, om de kräver användande av e-legitimation på tillitsnivå väsentlig och hög för åtkomst till en nättjänst, också ska godkänna e-legitimationer som utfärdats i en annan medlemsstat på samma tillitsnivå.
Kravet innebär endast att en e-legitimation ska kunna användas för att autentisera sig, det vill säga identifiera sig, till tjänsten. Det är inte ett krav på att tjänsterna även ska kunna användas av personer som identifierar sig med en utländsk e-legitimation. Krav som ställs för att kunna använda tjänsten bestäms av den som tillhandhåller tjänsten.
I Sverige finns en lag som kompletterar eIDAS-förordningens bestämmelser, lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Det är Post- och telestyrelsen som är tillsynsmyndighet, enligt den lagen
EU-förordningen eIDAS (nr 910/2014, europa.eu) Länk till annan webbplats.
Bygger på samma internationella standard
Båda svenska tillitsnivåer och tillitsnivåer inom eIDAS bygger på samma internationella standard, ISO/IEC 29115, som definierar fyra tillitsnivåer. Tillitsnivå 1 definieras i ISO/IEC 29115 men har ingen motsvarighet i varken det svenska tillitsramverket eller i eIDAS-förordningen.
Ditt svar hjälper oss att förbättra sidan
Senast uppdaterad: