Gemensamma regler och krav skapar tillit i Samordnad identitet och behörighet

Det kan handla om personer, organisationer eller tekniska komponenter, till exempel system, tjänster och API.

När organisationer utgår från samma regler och krav blir det enklare att samverka säkert och förutsägbart. Det minskar behovet av manuella kontroller, speciallösningar och separata tekniska anpassningar.

Gemensamma regler och ramverk bygger på avtal

Samordnad identitet och behörighet kommer i huvudsak att bygga på avtal och gemensamma överenskommelser, snarare än ny lagstiftning.

Det ger flera fördelar:

• Snabbare införande: vi kan införa lösningen utan att invänta nya lagstiftningsprocesser.
• Flexibilitet: vi kan anpassa regler och krav när teknik och behov förändras.
• Tydlighet: vi vet vilka villkor som gäller när vi ansluter oss.

Organisationerna måste samtidigt följa gällande lagstiftning, exempelvis inom informationssäkerhet, sekretess och dataskydd. Avtalen kompletterar lagstiftningen genom att tydliggöra vad som gäller inom Samordnad identitet och behörighet.

Kraven anpassas efter behov

Alla tjänster har inte samma behov. Vilka krav som gäller beror på vilken information som delas och vilka behov som finns vid den specifika situationen. Därför är villkoren, kraven och specifikationerna uppdelade inom Samordnad identitet och behörighet.

Vissa tjänster, exempelvis inom vården, kan ha högre krav än andra. Ibland behövs det kompletterande avtal, till exempel vid samverkan med privata aktörer.

Samordnad identitet och behörighet ersätter inte reglerna som gäller i en viss verksamhet. Lösningen avgör inte heller ensam vilken information som får delas, eller vilken åtkomst som ska ges.

Varje tjänst har fortfarande egna avtal, men kan utgå från gemensamma, standardiserade delar. Det minskar behovet av att ta fram separata lösningar för varje ny samverkan.

Organisationer ansluts på ett kontrollerat sätt

För att delta i Samordnad identitet och behörighet behöver en organisation anslutas enligt gemensamma krav.

Organisationen behöver bland annat kunna visa

• vilken organisation den är
• vem som får företräda organisationen
• vilka kontaktpersoner som ansvarar för anslutningen.

Det behövs också tydliga överenskommelser om vilka regler och krav organisationen ska följa.

På så sätt kan andra anslutna parter kontrollera vem de samverkar med och vem som har ansvaret om något behöver följas upp.

Tekniska komponenter registreras gemensamt

Samverkan sker mellan tekniska komponenter, till exempel system, tjänster, API:er eller auktorisationstjänster. Även dessa behöver kunna identifieras och beskrivas på ett gemensamt sätt.

Genom registrering blir det tydligt vilken organisation som ansvarar för en komponent, hur den kan identifieras och vilka tekniska krav den uppfyller.

Det gör det möjligt för andra aktörer att kontrollera att de kommunicerar med rätt komponent och att den har förutsättningarna som krävs för aktuell samverkan.

Gemensam information som stöd vid beslut om behörighet

För att en organisation ska kunna avgöra vem som får tillgång till en tjänst eller viss information behöver den ha tillgång till tillförlitliga uppgifter om den som begär åtkomst.

Samordnad identitet och behörighet skapar gemensamma förutsättningar för att beskriva och kontrollera sådana uppgifter på ett enhetligt och maskinläsbart sätt.

Det kan till exempel handla om vilken organisation en person företräder, vilken roll eller behörighet personen har eller om en teknisk komponent uppfyller vissa krav.

Uppgifterna används som underlag för behörighetsbeslut. Det är fortfarande den ansvariga verksamheten som avgör vilken åtkomst som ska ges, utifrån gällande regler och villkor.

Ett gemensamt ansvar

Samordnad identitet och behörighet ska fungera nationellt och över olika sektorer. För att lösningen ska kunna utvecklas och användas i stor skala behöver ansvaret delas mellan flera aktörer.

Digg har det övergripande ansvaret för Samordnad identitet och behörighet. Organisationer som vill ansluta behöver i sin tur delta aktivt i utvecklingen och ta ansvar för identiteter och behörigheter inom sina egna verksamheter.