SWAMIDs Assurance Profiles

The formal SWAMID Policy is available at SWAMID Policy in the wiki.

Information under this section is in Swedish due to that SWAMID Identity Providers are institutions of the Swedish Higher Educational Sector. For a short information in English about use of Assurance Profiles within SWAMID plase see the section Level of Assurance in the page Attribute Profile.

I identitetsfederationen SWAMID ?r tillit till att universitet och h?gskolor hanterar anv?ndare och inloggningar tillr?ckligt bra grunden f?r att tj?nsteleverant?rer ska lita p? att det ?r r?tt anv?ndare som loggar in. F?r att definiera vad som ?r tillr?ckligt bra i SWAMID finns tv? tillitsprofiler, SWAMID AL1 och SWAMID AL2.

Tillitspyramiden

SWAMID Identity Assurance Level 1 Profile (SWAMID AL1)

Tillitsprofilen SWAMID AL1 inneb?r tre saker:

  1. Att det ?r en person som innehar och anv?nder kontot, detta kallas ?ven f?r?obekr?ftad anv?ndare.
  2. Informationen knuten till kontot ?r oftast uppgiven av och ansvaras f?r av anv?ndaren sj?lv.
  3. L?ros?tets identitetshanteringssystem uppfyller minst kraven i SWAMID AL1.

F?r att en medlem ska bli godk?nd som identitetsutf?rdare f?r tillitsprofilen SWAMID AL1 kr?vs en tillitsdeklaration genom?Identity Management Practice Statement (IMPS) tillsammans med?tillg?ng till eventuella dokument som h?nvisats till.?SWAMID kontrollerar undertecknad?SWAMID AL1 check list (finns p? l?nk i rubriken) tillsammans med?tillitsdeklarationen innan godk?nnande.

SWAMID Identity Assurance Level 2 Profile (SWAMID AL2)

Tillitsprofilen SWAMID AL2 inneb?r tre saker:

  1. Ut?kning av SWAMID AL1.
  2. St?ller h?gre krav p? att l?ros?tet vet vem personen ?r som innehar och anv?nder kontot, detta kallas ?ven f?r?bekr?ftad?anv?ndare.
  3. L?ros?tet ansvarar f?r personinformationen till skillnad fr?n i SWAMID AL1.

F?r att en medlem ska bli godk?nd som identitetsutf?rdare f?r tillitsprofilen SWAMID AL2 kr?vs en tillitsdeklaration genom?Identity Management Practice Statement (IMPS) tillsammans med?tillg?ng till eventuella dokument som h?nvisats till.?SWAMID genomf?r en granskning av tillitsdeklarationen innan godk?nnande.

SWAMID Identity Assurance Level 3 Profile (SWAMID AL3)

Tillitsprofilen SWAMID AL3 inneb?r tre saker:

  1. Ut?kning av SWAMID AL2.
  2. St?ller h?gre krav p? att l?ros?tet vet vem personen ?r som innehar och anv?nder kontot, detta kallas ?ven f?r verifierad anv?ndare.
  3. Inloggning m?ste alltid ske med multifaktor.

F?r att en medlem ska bli godk?nd som identitetsutf?rdare f?r tillitsprofilen SWAMID AL3 kr?vs en tillitsdeklaration genom?Identity Management Practice Statement (IMPS) tillsammans med?tillg?ng till eventuella dokument som h?nvisats till.?SWAMID genomf?r en ut?kad granskning av tillitsdeklarationen innan godk?nnande.

SWAMID AL1 SWAMID AL2 eller SWAMID AL3?

De flesta tj?nster har bara behov av tillitsprofil SWAMID AL1 men vissa verksam?hetskritiska tj?nster kr?ver f?r all, eller viss, anv?ndning att anv?ndaren ?r en bekr?ftad anv?ndare, dvs. tillitsprofil SWAMID AL2. En god rekommendation ?r att system som ger anv?ndaren tillg?ng till personuppgifter om anv?ndaren sj?lv eller om andra personer b?r kr?va konton som minst uppfyller SWAMID AL2. F?r system med k?nsliga personuppgifter eller annan data rekommenderas att SWAMID AL3 anv?nds f?r att s?kerst?lla att det ?r r?tt anv?ndare som f?r tillg?ng.

Alla anv?ndare vid ett l?ros?te beh?ver inte uppfylla samma tillitsprofil s? l?nge som inloggningstj?nsten via s.k. attributrelease kan signalera till aktuell tj?nst vilken tillitsprofil som anv?ndaren har.?Ett l?ros?te kan bli godk?nt f?r att intyga att enskilda anv?ndare uppfyller:

  • SWAMID AL1, SWAMID AL2 och SWAMID AL3,
  • SWAMID AL1 och SWAMID AL2,
  • endast SWAMID AL1 eller
  • ingen av dem (denna utg?r 2021-12-31).

Ans?ka om att bli godk?nd f?r tillitsprofil inom SWAMID

F?r att en medlemsorganisation ska bli godk?nd att signalera en viss tillitsprofil f?r en anv?ndare vid inloggning i tj?nst m?ste medlemmen f?rst se till att organisationen blir godk?nd f?r aktuell, eller h?gre, tillitsprofil. F?r att bli godk?nd m?ste medlemmen skriva en tillitsdeklaration, en. Identity Management Practice Statement, f?r att visa att medlemsorganisationen uppfyller kraven i aktuell tillitsprofil. Observera att alla anv?ndare i medlemsorganisationen inte beh?ver uppfylla aktuell tillitsprofil s? l?nge som aktuell niv? kan s?kerst?llas med attributrelease.

Mallar f?r b?sta praxis

?vrigt