...
| Expandera | |||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| |||||||||||||||||||||||||||||||||||||||||||||
|
...
Detta dokument ska vara ett stöd för dig som har rollen Ansvarig utgivare inom Identifieringstjänst SITHS för en eller flera organisationer i ett utgivningsområde. Dokumentet innehåller rutiner och handledningar samt hänvisning till styrande och stödjande dokument för SITHS.
2. Termer och begrepp
Definition av termer och begrepp som används inom Identifieringstjänst SITHS
https://inera.atlassian.net/wiki/x/YgVmFQ
3. Tillitsramverk
Du som är Ansvarig utgivare ska ha god kännedom om SITHS tillitsramverk
https://inera.atlassian.net/wiki/x/YgVmFQ
4. Tillitsdeklaration
Du som är Ansvarig utgivare besvarar tillitsdeklarationen årligen genom att göra en bedömning av hur väl det egna utgivningområdet uppfyller kraven i tillitsramverket. Bedömningen blir sedan grund för det egna förbättringsarbetet. Du hanterar tillitsdeklarationen i Easy.
|
...
Uppdatera SITHS kontaktuppgifter vid förändring
Förändringar av Ansvarig utgivare, Säkerhetsansvarig och vilka organisationer som ingår i utgivningsområdet ska skyndsamt meddelas till SITHS PA via Inera.
Anmälan om förändringar görs här för att starta hanteringen i Easy: Ändra SITHS kontaktuppgifter
5. Easy
Här dokumenterar du bedömningen i tillitsdeklarationen och uppdaterar SITHS Kontaktuppgifter
5.1 Konto och inloggning i Easy
...
5.2 Handledning Easy
I Easy kommer du som Ansvarig utgivare att hantera tillitsdeklarationen samt SITHS kontaktuppgifter för ditt Utgivningsområde. Detta innebär att Ansvarig utgivare kommer att hantera två olika typer av Självdeklarationer enligt nedan.
Öppna en självdeklaration genom att klicka på Självdeklaration för XXX
...
2. I menyn till vänster under "Självdeklaration för XXX", finns de frågor som du ska besvara i Självdeklarationen. Frågorna är indelade i olika kategorier. Klicka på valfri kategori (rubrik) och därefter klickar du på den fråga du ska besvara. Du kan själv välja i vilken ordning du vill besvara frågorna, och du kan även lämna frågor obesvarade och logga in vid ett senare tillfälle och fortsätta, men samtliga frågor måste vara besvarade för att du ska kunna skicka in självdeklarationen.
3. Frågorna besvaras genom att du gör en bedömning av hur väl din verksamhet uppfyller Tillitsramverket för aktuell fråga.
Bedömningen görs på en skala från 1–5, se punkt 4.1 för vägledning om nivåindelningen
Välj Nivå
Klicka på Spara
För vägledning samt hänvisning till Tillitsramverket, klicka på relaterad regel.
...
4. Du kan bifoga filer och skriva kommentarer i svarsfältet, men inget av detta är obligatoriskt i den Självdeklaration som hanterar Tillitsdeklarationen, men om behov finns så kan man använda funktionen för att förtydliga sitt svar och en förklaring till den bedömningen du gjort i aktuell fråga.
I Självdeklarationen som hanterar SITHS Kontaktuppgifter är det obligatoriskt att ladda upp bilagor i de fall det efterfrågas i deklarationsfrågan. Bilagorna ska namnges enligt den instruktion som finns i deklarationsfrågan
5. För att kunna skicka in en Självdeklaration måste alla frågorna vara besvarade
Klicka på "Självdeklaration för XXX".
Klicka på Skicka in.
...
6. Kontrollera att Självdeklarationen blivit inskickad
Klicka på "Självdeklaration för XXX".
Se statusen i rutan till höger, se figur nedan.
Status på självdeklaration: Besvarad = Självdeklarationen är inskickat. Status på självdeklaration: Öppen = Självdeklarationen är ej inskickat.
7. Begäran om komplettering av Självdeklaration
I de fall något saknas eller du behöver utföra justeringar i dokumenten får du ett mejl från: no-reply@easy.sjunet.org.
Då måste du logga in i Easy och öppna din självdeklaration se rubriken Hantera Tillitsdeklarationen och kontaktuppgifter i Easy ovan.
Klicka på den rubrik där det är en röd cirkel.
I kommentarsfältet till höger, längst ner på sidan, finns information från granskaren om vad som behöver åtgärdas.
8. Godkänd Självdeklaration
När Självdeklaration är godkänd får du ett mail från: no-reply@easy.sjunet.org.
...
Du måste då logga in i Easy och ta del av godkännandet.
...
Klicka på "Självdeklaration för XXX ".
...
Statusen ska vara Godkänd
...
1. Dokumentets syfte
Detta dokument ska vara ett stöd för dig som har rollen Ansvarig utgivare inom Identifieringstjänst SITHS för en eller flera organisationer i ett utgivningsområde. Dokumentet innehåller rutiner och handledningar samt hänvisning till styrande och stödjande dokument för SITHS.
...
2. Termer och begrepp
Definition av termer och begrepp som används inom Identifieringstjänst SITHS
https://inera.atlassian.net/wiki/x/YgVmFQ
...
3. Tillitsramverk
Du som är Ansvarig utgivare ska ha god kännedom om SITHS tillitsramverk
https://inera.atlassian.net/wiki/x/YgVmFQ
...
4. Tillitsdeklaration
Du som är Ansvarig utgivare besvarar tillitsdeklarationen årligen genom att göra en bedömning av hur väl det egna utgivningområdet uppfyller kraven i tillitsramverket. Bedömningen blir sedan grund för det egna förbättringsarbetet. Tillitsdeklarationen skickas ut 1 gång/år till Ansvarig utgivare
4.1 Vägledning för att besvara tillitsfrågor
Att arbeta med förbättring av ett ledningssystem (riktlinjer, processer, rutiner och roller) blir aldrig klart.
Vid bedömning av nivå vid tillitsdeklaration används en skala Nivå 1 – Nivå 5.
Nivå 1
Inte alls. Vid den här nivån har inte någon aktivitet genomförts för att möta upp mot kravet i Tillitsramverket.
Nivå 2
Initierad. Här har verksamheten initierat ett arbete för att möta upp mot kravet i Tillitsramverket.
Nivå 3
Påbörjad. Verksamheten har satt upp de processer, riktlinjer, roller mm som krävs för att uppnå kravet i Tillitsramverket. Detta kan påvisas genom den dokumentation som Tillitsramverket kräver.
Nivå 4
Etablerad. Verksamheten efterlever riktlinjer, processer och rutiner som verksamheten satt upp för att möta upp mot kravet i Tillitsramverket. Det finns även en fungerande process för ständig förbättring. Efterlevnaden kan påvisas genom den dokumentation som Tillitsramverket kräver.
Nivå 5
Väl etablerad. Verksamheten har väl inarbetade processer för att säkra tilliten. Riktlinjer, rutiner och processer övervakas och mäts regelbundet. Ständig förbättring är väl inarbetad och efterlevs i organisationen. Förbättringar analyseras med avseende på nytta och ledningssystemet är hållbart över tid.
| Ankare | ||||
|---|---|---|---|---|
|
I det fall organisationen inte hanterar utgivning av elektroniska identitetshandlingar för funktion eller agerar ombud besvaras frågan med "Ej tillämpbar" vilket motsvarar nivå 0 i spindeldiagrammet.
...
5. Uppdatera SITHS kontaktuppgifter vid förändring
Förändringar av Ansvarig utgivare, Säkerhetsansvarig och vilka organisationer som ingår i utgivningsområdet ska skyndsamt meddelas till SITHS PA via Inera.
Anmälan om förändringar görs här för att starta hanteringen: Ändra SITHS kontaktuppgifter
...
6. Rutin för personkontroller
...
Inera kontrollerar, på uppdrag av SITHS PA, att du som Ansvarig utgivare inte har någon finansiell anmärkning som kan påverka tilliten. Kontrollen görs hos Kronofogdemyndigheten och dokumenteras i Easy.
6.4 Utbildning
Du som Ansvarig utgivare måste genomgå en utbildning innan du får din roll tilldelad.
Ett intyg på att du har genomgått en utbildning ska skickas in genom att i Easy ladda upp en kopia på kursintygettill SITHS PA.
Följande utbildningsinstanser är godkända:
...
Ansvarig utgivare ansvarar för följsamheten till Tillitsramverket. För att följa upp detta ska den Säkerhetsansvarige för en direktansluten organisation ansvara för att det minst var 13:e månad genomförs en internrevision. Säkerhetsansvarige leder arbetet. Även eventuella tredjepartsanslutna ska omfattas av revision och under en treårsperiod ska samtliga tredjepartsanslutna ha blivit reviderade. De avvikelser som upptäcks ska resultera i en åtgärdsplan och ska planeras in och genomföras. Internrevision, åtgärdsplan och uppföljning ska dokumenteras och kunna visas upp vid en revision.
| Ankare | ||||
|---|---|---|---|---|
|
https://inera.atlassian.net/wiki/x/e4FiG
Din organisation ingår i SITHS revisionsprogram av anslutna organisationer som är systematiskt och riskbaserat. Alla anslutna organisationer finns med i programmet och kommer att bli reviderade av Inera vid en på-platsen-revisionav Ineras revisionsteam.
...
8. Riskanalys
Ansvarig utgivare ska medverka i organisationens säkerhetsarbete och följa den process för riskhantering som används i organisationen. Du som Ansvarig utgivare ska säkerställa att riskanalyser genomförs inom ditt utgivningsområde och att identifierade risker leder till att förbättringsåtgärder vidtas och att önskad förbättring uppnås.
Riskanalys med åtgärdsförslag och uppföljning ska dokumenteras och kunna visas upp vid en revision.
Använd gärna Ineras process för Risk, revision och förbättring samt de stöddokument och metoder som är beskrivna.
https://inera.atlassian.net/wiki/x/e4FiG
...
11.1 Förenklad matris över roller
Ansvarsroll inom SITHS | Ansvarig utgivare
| Biträdande utgivare
| ID-administratör
| ID-administratör
| Tilläggsroll För skyddade personuppgifter | Tilläggsroll För att läsa Korthistorik | Läs - Revisor |
Tilldelas systemroll i SITHS Admin | RA | ORA | KRA | LRA | KUR | AO | ROA |
Administrera reservkort LoA2 |
|
|
|
| |||
Administrera reservkort LoA3 | |||||||
Administrera ordinarie kort och puk |
|
|
|
|
| ||
Administrera roller |
|
|
|
|
| ||
Administrera funktionscertifikat |
|
|
|
|
| ||
Administrera personer med skyddade personuppgifter |
|
|
|
|
| ||
Se rapporten korthistorik |
|
|
|
| |||
Se statistik och loggar | |||||||
Läsa ej administrera all information |
|
|
|
|
|
|
11.2 Tilldelning av roll kopplat till ID-administratörens arbetsuppgifter
Beroende på vad som ska ingå i ID-administratörens arbetsuppgifter kan man behöva kombinera flera systemroller. Matrisen ovan beskriver vad respektive systemroll har för behörighet.
Den ID-administratör som ska hantera användare med skyddade personuppgifter ska tilldelas tilläggsrollen KUR.
Exempel på kombinationer av systemroller beskrivs nedan.
ID-administratör som arbetar med utgivning av ordinarie kort, reservkort LoA3 och reservkort LoA2
För att administrera ordinarie kort samt reservkort LoA3, tilldela
KRA
För att administrera reservkort LoA2, tilldela
LRA
Biträdande utgivare som också arbetar med kortutgivning
För att administrera reservkort LoA2, roller och funktionscertifikat, tilldela
ORA
För att administrera ordinarie kort samt reservkort LoA3 tilldela
KRA
För att läsa rapporten korthistorik tilldela
AO
...
För att administrera reservkort LoA2 dvs, utfärda och avregistrera reservkort LoA2, tilldela
LRA
För att beställa PUK, tilldela
KRA
För att avregistrera ordinarie kort samt reservkort LoA3, tilldela
KRA
Revisor och Säkerhetsansvarig
...
En persons objekt ska tas bort från HSA direkt när personen slutar, men då kan man inte se personobjektet i SITHS längre och därmed inte heller spärra certifikat eller avregistrera SITHS-kort.
För att underlätta en korrekt hanteringen finns det möjlighet att avregistrera SITHS-kort och certifikat i Statistik och Loggar (SoL) för personer som är borttagna i HSA.
För mer information om hanteringen i HSA för den här funktionen, se dokumentet "Hantering av borttagna personer med giltiga HCC" som finns här:
https://www.inera.se/kundservice/dokument-och-lankar/tjanster/hsa/ certifikat
Så här ser en person ut i SITHS Admin som har fått objektsklassen hsadeletedperson i HSA
Du kan nu göra avregistreringar för flera personer samtidigt från den nya rapporten Giltiga kort för borttagna personer som ligger under fliken Administration
Välj din organisation och gör en sökning
Markera med kryssruta de personer som du vill avregistrera kort och HCC för.
Signera och skicka
...
Korten ska skickas i ogenomskinligt och väl förslutet emballage vilket ska vara unikt identifierbart.
Avsändaren är ansvarig intill att bekräftelse på mottagande kommit avsändaren tillhanda.
Avsändaren är skyldig att föra förteckning över skickade kort vilka ännu inte är levererade och mottagningskvitterade.
Mottagare är ansvarig för att postlåda eller motsvarande uppfyller SITHS krav på säkerhet, motsvarande ordinarie kortleverans.Rutinen dokumenteras i organisationens rutinerpå säkerhet, motsvarande ordinarie kortleverans.
Rutinen dokumenteras i organisationens rutiner
Rutinen gäller inte SIS-kort, distribution av färdigt SIS-kort får endast ske mellan tillverkare och namngiven handläggare hos utfärdaren. För fullständig information om SIS regelverk se: Särskilda bestämmelser för certifiering av överensstämmelse med standard (SBC 151-U)
Rutinbeskrivning
Avsändaren noterar försändelsens identitet samt de förpackade kortens kortnummer
Avsändaren meddelar mottagaren att en försändelse kommer att skickas med dess identitet samt kortnummer
Mottagaren bekräftar ovanstående, samt att postlåda eller motsvarande uppfyller samma krav som ordinarie leverans från leverantör.
Avsändaren skickar försändelsen
Inom organisationens med organisationens internpost, alternativt REK-försändelse
Mellan organisationer med REK-försändelse
Mottagaren kvitterar till avsändaren att försändelsen kommit fram samt att innehållet är identiskt med vad som tidigare uppgetts
Om försändelsen inte bekräftats som mottagen inom 5 7 arbetsdagar skall korten avregistreras genom Avsändarens försorg.
...
| Ankare | ||||
|---|---|---|---|---|
|
Ett ombud definieras som direktansluten organisation som på uppdrag av en tredjepartsansluten organisation administreras och ansvarar för den tredjepartsanslutna organisationens kort och certifikat i Identifieringstjänst SITHS.
För direktanslutna ska Anslutningsavtal finnas skrivet med Inera AB. För tredjepartanslutna, som är separata juridiska personer med egna organisationsnummer, ska ett Tredjepartsavtal finnas med det direktanslutna ombudet.
Ombudet har en godkänd tillitsdeklaration och äger därmed rätt att, efter godkännande av SITHS PA, ansluta annan organisation inom offentlig förvaltning samt leverantörer av tjänster till dessa ("Tredje Part"”Tredje Part”) till SITHS.
Alla organisationers förändringar dokumenterats i SITHS kontaktuppgifter.
23.1 Regler gällande utfärdarnummer
...
| Ankare | ||||
|---|---|---|---|---|
|
Den organisation vars utfärdarnummer finns på kortet ansvarar för korten under dess livstid. En organisation ska använda sitt eget utfärdarnummer alternativt ett utfärdarnummer som ägas av en organisation man enligt avtal har en relation till.
Kort med utfärdarnummer kan via avtal överlåtas vid en verksamhetsövergång.
| Ankare | ||||
|---|---|---|---|---|
|
...
Hantering av utfärdarnummer för SITHS-kort:
Vid verksamhetsövergång ska något av följande ske:
Den organisation vars utfärdarnummer finns på kortet ansvarar för korten under dess livstid
Vid byte av ombud eller övergång till direktanslutning är det den organisation som äger utfärdarnumret som bestämmer om administrationen av befintliga kort kan föras över till annan organisation eller om korten ska spärras. Detta regleras med fullmakt eller genom en skrivning i tredjepartsavtalet.
I de fall där kortadministrationen har överförts, ska ägaren av utfärdarnumret kunna utföra revision på sina kort hos det nya ombudet.övergående organisationen utfärdarnummer används
Mottagande organisatios utfärdarnummer används
En ansökan om nytt utfärdarnummer görs
Det nya ombudet ska tillse att ombudets, eller tredjepartsorganisationens egna, valt utfärdarnummer används vid utfärdande av nya kort.
| Ankare | ||||
|---|---|---|---|---|
|
...
Ev. byte av logga
Uppdatering av SITHS kontaktuppgifter i Easy
| Ankare | ||||
|---|---|---|---|---|
|
Säga upp avtal hos Inera
Ta bort
behörigheter i SITHS Adminbehörighet för ID-administratörer
Säkra att utgivningsområdets kort samt SITHS funktionscertifikat är spärrade
...
Se över eventuellt eget supportavtal för Net iD
Vid behov säg upp alla tredjepartsavtal
Säg upp avtalet med Cygate
Vid utfärdande av SIS-kort anmäl hos DNV att SITHS-kortutfärdande ska upphöra
26. Från tredjepartsanslutning till direktanslutning
Teckna eget avtal med Inera AB
Upprätta utgivningsområde enligt rutin
Besvara tillitsdeklarationen, skriv rutiner och utför personkontroll
Säga upp avtalet med befintligt ombud
Reglera ansvarsfrågan gällande SITHS certifikat gentemot det gamla ombudet genom ett avtalReglera ansvarsfrågan gällande korten gentemot ombudet genom ett avtal, vars utformning beror på:
Om organisationen har eget utfärdarnummer
Om organisationen har använt ombudets utfärdarnummer
| Ankare | ||||
|---|---|---|---|---|
|
...
Säg upp befintligt avtal med nuvarande ombud
Teckna nytt avtal med det nya ombudet
Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet och det nya. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras.
Övrigt att tänka på:
Vid utfärdande av SIS-godkända kort – se punkt 28.4.Hantera utfärdarnummer enligt punkt 23.1.2
| Ankare | ||||
|---|---|---|---|---|
|
...
Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet och det nya. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras
Kvittenser för redan utgivna kort ska sparas hos det avgående ombudet
Ta bort behörigheter i SITHS AdminBehörigheter för ID-administratrörer ska tas bort
Anmäl till SITHS PA att organisationen inte längre ska agera ombud genom att uppdatera kontaktuppgifternaSe till att nya ombudet anger korrekt utfärdarnummerSITHS kontaktuppgifterna
| Ankare | ||||
|---|---|---|---|---|
|
...
Säg upp befintligt avtal med Inera AB
Teckna avtal med ett ombud
Ansvara för att teckna avtal med ombudet om ansvarsfördelningen för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat. Om avtal ej tecknas ska kort och certifikat spärras
Ta bort behörigheter i SITHS Admin
Vid fortsatt utfärdande av SIS-godkända kort, ansök om att ombudet ska få utfärda SIS-godkända kort. Tillträdande ombud måste vara godkänd som SIS-kortutfärdare hos DNV. Se även punkt 28.4.ska kort och certifikat spärras
Behörigheter för ID-administratörer skall tas bort
| Ankare | ||||
|---|---|---|---|---|
|
...
Anmäl till SITHS PA att organisationen ska agera ombud genom att uppdatera kontaktuppgifterna
Teckna avtal med organisationen som ska vara tredjepartsanluten
Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet/organisationen och det nya ombudet. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras.
Ankare _Toc530134693 _Toc530134693
...
Hantera utfärdarnummer enligt punkt 23.1.2
| Ankare | ||
|---|---|---|
|
...
En icke ansluten organisation har övertagit en direktansluten organisation och den direktanslutna organisationen lever kvar och behåller sitt organisationsnummer.
Se "Byte av ombud/Övergång till ombud"
Den övertagande organisationen kan ansöka att bli tredjepartansluten via den direktanslutna organisationen
|
28. Verksamhetsövergång
| Ankare | ||
|---|---|---|
|
...
|
...
|
...
1 Direktansluten organisation övertas
...
men lever kvar med eget organisationsnummer
En icke ansluten organisation har övertagit en direktansluten organisation och den direktanslutna organisationen och organisationsnumret upphör. Hanteras som en nedläggning av ansvarig utgivares område
...
lever kvar och behåller sitt organisationsnummer.
Den nya organisationen ansöker om nytt avtal och anmäler förändringar av SITHS kontaktuppgifter.
| Ankare | ||
|---|---|---|
|
...
En direktansluten organisation tar över en tredjepartansluten organisation
Regler Se "Byte av ombud/Övergång till ombud"
28.4 Utfärdade SIS-kort
...
Myndigheter, regioner, kommuner och privata aktörer får utfärda SIS-kort inom sin egen organisation
...
Regioner, kommunförbund och kommuner kan enligt dispens agera ombud åt varandra. Om en region, ett kommunförbund eller en kommun agerar ombud, kan tredjepartsansluten region eller kommun ansöka om att uppdatera sitt DNV-tillstånd med det nya ombudet som utgivare hos DNV och därmed kunna ha SIS-kort utan att själva vara direktanslutna till SITHS. Notera att tillträdande ombud måste vara godkänd som SIS-kortutfärdare hos DNV.
...
Vid övriga kombinationer av ombud och tredjepartsansluten organisation får inte ombudet utfärda SIS-kort till annan organisation än sin egen
...
|
En icke ansluten organisation har övertagit en direktansluten organisation och den direktanslutna organisationen och organisationsnumret upphör. Hanteras som en nedläggning av utgivningsområde
Se "Lägga ner utgivningsområde".
| Ankare | ||||
|---|---|---|---|---|
|
En direktansluten organisation tar över en tredjepartansluten organisation
Regler Se "Byte av ombud/Övergång till ombud"
29. Ombud och tredjepartsanslutning
Vid förändringar ska SITHS kontaktuppgifter uppdateras via Easy.
| Ankare | ||||
|---|---|---|---|---|
|
Vid Ombudets anslutning av Tredje part ansvarar Ombudet för att Tredje part uppfyller SITHS tillitsramverk. Ombudets revisioner ska även omfatta Tredje part.
| Ankare | ||||
|---|---|---|---|---|
|
...