Ansvar inom Samordnad identitet och behörighet

På den här webbsidan framgår hur vi juridiskt beskriver rollerna i dag. Det är viktigt för att visa hur ansvarsfördelningen ska se ut i infrastrukturen.

Framåt kommer vi att arbeta vidare med att konkretisera vad varje roll innebär, och vilket stöd olika aktörer kan få inför en anslutning till infrastrukturen.

Läs rapporten En sammanhållen infrastruktur för identitets- och behörighetshantering

Regler och ramverk bygger på avtal

Behörighetsinfrastrukturen kommer i huvudsak att bygga på avtal och gemensamma överenskommelser, inte på nya lagar och förordningar.

Det ger flera fördelar:

• Snabbare införande – vi kan komma igång utan att invänta långa lagstiftningsprocesser.
• Flexibilitet – när teknik och behov förändras kan vi justera regelverk och krav genom att uppdatera avtal och riktlinjer.
• Tydlighet – aktörerna vet vilka villkor som gäller när de ansluter sig till lösningen.

Alla som ingår i lösningen måste förstås följa gällande lagstiftning, till exempel inom informationssäkerhet, sekretess och dataskydd. Avtalen kompletterar lagstiftningen genom att tydliggöra ansvar, krav och roller i just den här infrastrukturen.

Alla behöver ta aktivt ansvar

Lösningen ska fungera nationellt och vara sektorsövergripande. Det är viktigt att den kan skalas upp på ett smidigt sätt. En viktig slutsats i rapporten är därför att lösningen inte fungerar om allt ansvar läggs på en enda aktör. Samordnad identitet och behörighet bygger i stället på att

• Digg tar ett tydligt ledningsansvar
• aktörerna tar en aktiv roll i det fortsatta arbetet
• arbetsgivare och uppdragsgivare tar ansvar för identiteter och behörigheter i sin egen verksamhet.

Roller i Samordnad identitet och behörighet

I rapporten beskrivs bland annat följande roller:

Ledningsansvarig (Digg)

Den ledningsansvariga aktören har det övergripande ansvaret för lösningen. Diggs förslag är att Digg är ledningsansvarig för Samordnad identitet och behörighet. Det handlar till exempel om att

• styra, reglera, samordna och utveckla behörighetsinfrastrukturen
• ansluta federationsområdesansvariga
• agera som fullmäktig vid avtalsslut mellan parter
• tillhandahålla gemensamma funktioner såsom den ledningsansvariges aktörs- och funktionsregister.

Federationsområdesansvariga

Lösningen kan omfatta flera olika områden, till exempel sektorer eller grupper av tjänster. För varje sådant område behövs en aktör med särskilt ansvar. En federationsområdesansvarig ska till exempel

• administrera, samordna och ansluta en grupp av utfärdare av behörighetshandlingar och förlitande parter
• tillhandahålla gemensamma stödfunktioner
• ha möjlighet att registrera tjänster
• agera som fullmäktig vid avtalsslut mellan parter inom det område där denne verkar, allt i enlighet med gällande anslutningsavtal och tekniska specifikationer.

Utfärdare av behörighetshandlingar

Utfärdare av behörighetshandlingar ansvarar för att skapa och ge ut en digitalt stämplad eller underskriven handling med uppgifter som används för juridisk behörighetskontroll. De ska bland annat

• följa de gemensamma kraven för kvalitet och säkerhet
• se till att uppgifter är aktuella och korrekta
• ha rutiner för att hantera livscykeln för identitetsintyg och behörigheter.

Förlitande parter (system och tjänster som tar emot behörighetshandlingar och identitetsintyg)

Förlitande parter är part inom behörighetsinfrastrukturen som använder behörighetshandlingar för juridiska kontroller i enlighet med gällande anslutningsavtal och tekniska specifikationer. De ska till exempel

• kunna ta emot och tolka behörighetshandlingar enligt de gemensamma standarderna
• fatta beslut om åtkomst utifrån identitet och behörighet
• säkerställa loggning, spårbarhet och uppföljning.

Fler roller ur ett bredare perspektiv

En roll som vi inte beskriver i rapporten men som är viktig inom Samordnad identitet och behörighet är arbets- och uppdragsgivare. Arbets- och uppdragsgivare har en central roll eftersom de bestämmer vilka roller en person har och vilka behörigheter som behövs.

Samordnad identitet och behörighet för arbets- och uppdragsgivare

Vi har även beskrivit andra roller inom Samordnad identitet och behörighet ur ett bredare perspektiv. Inte heller dessa beskrivs i rapporten:

• Samordnad identitet och behörighet för ägare av en digital tjänst
• Samordnad identitet och behörighet för operatörer