Bakgrund

Det har länge funnits önskemål kring att skapa en rutin som möjliggör att kunna identifiera användare som ej fysiskt befinner sig på Campus. Det senaste året har två saker inträffat som ytterligare aktualiserat frågan, nämligen dels beslutet att införa tillitsnivån SWAMID AL3 och dels samhällssituationen med att fjärrarbete blivit ett dominerande inslag i medlemmarnas verksamhet. SWAMID Operations har därför beslutat att ta fram ett förslag för medlemskonsultation för vad som skulle kunna vara en rimlig nivå för identifiering som uppfyller §6 i 5.2.5 för SWAMID AL2. Vi har samtidigt konstaterat på nytt att pga de tekniska möjligheter som finns att genomföra bedrägerier så kommer det inte att kunna införas en motsvarande metod för SWAMID AL3.

Defintioner

Kontoadministratör - Administratör hos medlemsorganisationen som har teknisk tillgång till att administrera konton i medlemsorganisationens identitets- och behörighetssystem, antingen via tekniska gränssnitt alternativt via en speciellt avsedd applikation för detta. Kontoadministratören ska ha möjligheten att autentisera sig enligt SWAMID AL2.

Betrodd part - Anställd medarbetare hos medlemsorganisationen med möjlighet att autentisera sig enligt SWAMID AL2.

Kontoinnehavare - Fysisk person (benämnd Subject enligt tillitsprofilen) som ska eller har tilldela(ts) ett konto hos medlemsorganisation och ska identifieras

Krav på rutin

---

1. Själva identifieringen ska ske via ett treparts videosamtal med kontoadministratör, betrodd part samt kontoinnehavare närvarande.
2. Kontoinnehavare ska vara känd sedan tidigare för betrodd part. Följande relationer är exempel på vad som avses med känd för denna rutin
   1. Betrodd part är ansvarig chef för kontoinnehavaren organisatoriskt
   2. Betrodd part har varit del i att genomföra anställningsintervjuer eller motsvarande i samband med en nyanställning och därigenom träffat personen ifråga ett antal gånger via videosamtal
   3. Betrodd part och kontoinnehavaren har arbetat tillsammans i t ex forskningssamarbeten mellan lärosäten och därigenom träffat kontoinnehavaren vid upprepade tillfällen innan videosamtalet för identifiering sker
3. Kontoinnehavare ska bifoga en elektronisk kopia av godkända identitetshandlingar till kontoadministratören, antingen via annan kanal eller t ex via chat-funktionen i videosamtalet. Den elektroniska kopian ska hålla tillräckligt god kvalitet för att förnamn, efternamn resp födelsedatum ska vara tydligt läsbart.
4. Kontoinnehavaren ska kunna uppvisa samma identitetshandlingar i videosamtalet för kontoadministratören där foto ska tydligt matcha kontoinnehavarens utseende.
5. Förnamn, efternamn och födelsedatum ska stämma överens med medlemsorganisationens registrerade information för kontoinnehavaren.
6. Betrodd part ska under videosamtalet
   1. intyga att kontoinnehavaren är personen som identitetshandlingarna är utställda till enligt betrodd parts bästa kännedom
   2. kunna autentisera sig enligt SWAMID AL2 på ett sätt som kontoadministratören kan verifiera, t ex genom att via en kontohanteringsportal kunna kvittera ut en tidsbegränsad åttasiffrig kod som inmatad i samma kontohanteringsportal ger kontoadministratören en bekräftelse på vilken användare som kvitterat ut koden.
7. Kontoaktiveringsuppgifter ska distribueras ifrån kontoadministratör till kontoinnehavare på ett tillräckligt säkert sätt, t ex genom att helt enkelt läsa upp en engångskod för kontoinnehavaren i videosamtalet eller distribuera engångskod via videosamtalets chat-funktion.