Innehållsförteckning

Klicka nedan för att visa innehållsförteckningen

Revisionshistorik

Expandera nedan för att se revisionshistoriken för denna sida

1. Dokumentets syfte

Detta dokument ska vara ett stöd för dig som har rollen Ansvarig utgivare inom Identifieringstjänst SITHS för en eller flera organisationer i ett utgivningsområde. Dokumentet innehåller rutiner och handledningar samt hänvisning till styrande och stödjande dokument för SITHS.

2. Termer och begrepp

Definition av termer och begrepp som används inom Identifieringstjänst SITHS

https://inera.atlassian.net/wiki/x/YgVmFQ

3. Tillitsramverk

Du som är Ansvarig utgivare ska ha god kännedom om SITHS tillitsramverk
https://inera.atlassian.net/wiki/x/YgVmFQ

4. Tillitsdeklaration

Du som är Ansvarig utgivare besvarar tillitsdeklarationen årligen genom att göra en bedömning av hur väl det egna utgivningområdet uppfyller kraven i tillitsramverket. Bedömningen blir sedan grund för det egna förbättringsarbetet. Du hanterar tillitsdeklarationen i Easy.

4.1 Vägledning för att besvara tillitsfrågor

Att arbeta med förbättring av ett ledningssystem (riktlinjer, processer, rutiner och roller) blir aldrig klart.
Vid bedömning av nivå vid tillitsdeklaration används en skala Nivå 1 – Nivå 5.
Nivå 1
Inte alls. Vid den här nivån har inte någon aktivitet genomförts för att möta upp mot kravet i Tillitsramverket.
Nivå 2
Initierad. Här har verksamheten initierat ett arbete för att möta upp mot kravet i Tillitsramverket.
Nivå 3
Påbörjad. Verksamheten har satt upp de processer, riktlinjer, roller mm som krävs för att uppnå kravet i Tillitsramverket. Detta kan påvisas genom den dokumentation som Tillitsramverket kräver.
Nivå 4
Mogen. Verksamheten efterlever riktlinjer, processer och rutiner som verksamheten satt upp för att möta upp mot kravet i Tillitsramverket. Det finns även en fungerande process för ständig förbättring. Efterlevnaden kan påvisas genom den dokumentation som Tillitsramverket kräver.
Nivå 5
Världsklass. Verksamheten har väl inarbetade processer för att säkra tilliten. Riktlinjer, rutiner och processer övervakas och mäts regelbundet. Ständig förbättring är väl inarbetad och efterlevs i organisationen. Förbättringar analyseras med avseende på nytta och ledningssystemet är hållbart över tid.
Ej tillämpbart
I det fall organisationen inte hanterar utgivning av elektroniska identitetshandlingar för funktion eller agerar ombud besvaras frågan med "Ej tillämpbar" vilket motsvarar nivå 0 i spindeldiagrammet.

Uppdatera SITHS kontaktuppgifter vid förändring

Förändringar av Ansvarig utgivare, Säkerhetsansvarig och vilka organisationer som ingår i utgivningsområdet ska skyndsamt meddelas till SITHS PA via Inera.
Anmälan om förändringar görs här för att starta hanteringen i Easy: Ändra SITHS kontaktuppgifter

5. Easy

Här dokumenterar du bedömningen i tillitsdeklarationen och uppdaterar SITHS Kontaktuppgifter

5.1 Konto och inloggning i Easy

Ansvarig utgivare behöver ha ett konto i Easy med rollen Verksamhetsansvarig. Om Ansvarig utgivare vill ha ytterligare en eller flera personer som kan hjälpa till och besvara tillitsdeklarationen, ansöker man om rollen Sakkunnig för dessa personer.
Ansök här

Logga in i Easy

5.2 Handledning Easy

I Easy kommer du som Ansvarig utgivare att hantera tillitsdeklarationen samt SITHS kontaktuppgifter för ditt Utgivningsområde. Detta innebär att Ansvarig utgivare kommer att hantera två olika typer av Självdeklarationer enligt nedan.

1. Öppna en självdeklaration genom att klicka på Självdeklaration för XXX

2. I menyn till vänster under "Självdeklaration för XXX", finns de frågor som du ska besvara i Självdeklarationen. Frågorna är indelade i olika kategorier. Klicka på valfri kategori (rubrik) och därefter klickar du på den fråga du ska besvara. Du kan själv välja i vilken ordning du vill besvara frågorna, och du kan även lämna frågor obesvarade och logga in vid ett senare tillfälle och fortsätta, men samtliga frågor måste vara besvarade för att du ska kunna skicka in självdeklarationen.

3. Frågorna besvaras genom att du gör en bedömning av hur väl din verksamhet uppfyller Tillitsramverket för aktuell fråga.

• Bedömningen görs på en skala från 1–5, se punkt 4.1 för vägledning om nivåindelningen

• Välj Nivå

• Klicka på Spara

• För vägledning samt hänvisning till Tillitsramverket, klicka på relaterad regel.

4. Du kan bifoga filer och skriva kommentarer i svarsfältet, men inget av detta är obligatoriskt i den Självdeklaration som hanterar Tillitsdeklarationen, men om behov finns så kan man använda funktionen för att förtydliga sitt svar och en förklaring till den bedömningen du gjort i aktuell fråga.

I Självdeklarationen som hanterar SITHS Kontaktuppgifter är det obligatoriskt att ladda upp bilagor i de fall det efterfrågas i deklarationsfrågan. Bilagorna ska namnges enligt den instruktion som finns i deklarationsfrågan

5. För att kunna skicka in en Självdeklaration måste alla frågorna vara besvarade

• Klicka på "Självdeklaration för XXX".

• Klicka på Skicka in.

6. Kontrollera att Självdeklarationen blivit inskickad

• Klicka på "Självdeklaration för XXX".

• Se statusen i rutan till höger, se figur nedan.

Status på självdeklaration: Besvarad = Självdeklarationen är inskickat. Status på självdeklaration: Öppen = Självdeklarationen är ej inskickat.

7. Begäran om komplettering av Självdeklaration

I de fall något saknas eller du behöver utföra justeringar i dokumenten får du ett mejl från: no-reply@easy.sjunet.org.

• Då måste du logga in i Easy och öppna din självdeklaration se rubriken Hantera Tillitsdeklarationen och kontaktuppgifter i Easy ovan.

• Klicka på den rubrik där det är en röd cirkel.

• I kommentarsfältet till höger, längst ner på sidan, finns information från granskaren om vad som behöver åtgärdas.

8. Godkänd Självdeklaration

När Självdeklaration är godkänd får du ett mail från: no-reply@easy.sjunet.org.

• Du måste då logga in i Easy och ta del av godkännandet.

• Klicka på "Självdeklaration för XXX ".

• Statusen ska vara Godkänd

• Se kommentaren i rutan till höger längst ner på sidan.

6. Rutin för personkontroller

Kontrollerna nedan görs med hänvisning till stycke 4.1 i Tillitsramverket

• Nuvarande anställning

• Lämplighet för tjänsten

• Legal lämplighet

• Finansiell lämplighet

• Genomförd utbildning för Ansvarig utgivare respektive Säkerhetsansvarig

6.1 Lämplighet och anställning

Använd mallen nedan för att skriva intyg om att du som Ansvarig utgivare är lämplig för rollen. Intygsgivare ska vara nivån direktör, kommunchef, vd eller motsvarande som kan representera organisationen.
Namnge dokumentet enligt följande: Förnamn_Efternamn_HSA-id_Lämplighet

6.2 Legal lämplighet

Du som Ansvarig utgivare ska beställa Utdrag för att kontrollera egna uppgifter i belastningsregistret ur Polismyndighetens belastningsregister, enligt 9§ 1st lagen (1998:620) om belastningsregister. Om säkerhetsprövning enligt Säkerhetsskyddslagen är genomförd kan denna användas istället för ovanstående.
Du ska öppna utdraget i närvaro av säkerhetsansvarig för organisationen. Ansvarig utgivare visar upp samtliga sidor i utdraget så att säkerhetsansvarig kan läsa dem.
Du som Ansvarig utgivare behåller utdraget.
Använd mallen nedan för att visa att du som Ansvarig utgivare inte är legalt olämplig för rollen.
Intygsgivare ska vara Säkerhetsansvarig.
Namnge dokumentet så här: Förnamn_Efternamn_HSA-id_ Belastningsregister

6.3 Finansiell lämplighet

Inera kontrollerar, på uppdrag av SITHS PA, att du som Ansvarig utgivare inte har någon finansiell anmärkning som kan påverka tilliten. Kontrollen görs hos Kronofogdemyndigheten och dokumenteras i Easy

6.4 Utbildning

Du som Ansvarig utgivare måste genomgå en utbildning innan du får din roll tilldelad.
Ett intyg på att du har genomgått en utbildning ska skickas in genom att i Easy ladda upp en kopia på kursintyget.
Följande utbildningsinstanser är godkända:

• Secure State AB

• Tjänsteansvarig SITHS

Namnge dokumentet enligt följande: Förnamn_Efternamn_HSA-id_Utbildning

7. Intern revision och förbättringsarbete

Ansvarig utgivare ansvarar för följsamheten till Tillitsramverket. För att följa upp detta ska den Säkerhetsansvarige för en direktansluten organisation ansvara för att det minst var 13:e månad genomförs en internrevision. Säkerhetsansvarige leder arbetet. Även eventuella tredjepartsanslutna ska omfattas av revision och under en treårsperiod ska samtliga tredjepartsanslutna ha blivit reviderade. De avvikelser som upptäcks ska resultera i en åtgärdsplan och ska planeras in och genomföras. Internrevision, åtgärdsplan och uppföljning ska dokumenteras och kunna visas upp vid en revision.
Använd gärna Ineras process för Risk, revision och förbättring samt de stöddokument och metoder som är beskrivna.
https://inera.atlassian.net/wiki/x/e4FiG
Din organisation ingår i SITHS revisionsprogram av anslutna organisationer som är systematiskt och riskbaserat. Alla anslutna organisationer finns med i programmet och kommer att bli reviderade av Inera vid en på-platsen-revision.

8. Riskanalys

Ansvarig utgivare ska medverka i organisationens säkerhetsarbete och följa den process för riskhantering som används i organisationen. Du som Ansvarig utgivare ska säkerställa att riskanalyser genomförs inom ditt utgivningsområde och att identifierade risker leder till att förbättringsåtgärder vidtas och att önskad förbättring uppnås.
Riskanalys med åtgärdsförslag och uppföljning ska dokumenteras och kunna visas upp vid en revision.
Använd gärna Ineras process för Risk, revision och förbättring samt de stöddokument och metoder som är beskrivna.
https://inera.atlassian.net/wiki/x/e4FiG

9. Säkerhetsincidenter – rapportering

Ansvarig utgivare ska agera vid misstanke eller bekräftat missbruk av certifikat.
Vid en säkerhetsincident, dvs. misstanke om eller bekräftat missbruk av elektronisk identitetshandling ska Ansvarig utgivare se till att:

• Spärra de inblandade certifikaten

• Starta en utredning om missbrukets omfattning

• Anmäla misstanke om, eller bekräftat missbruk av certifikat till Inera support på telefon 0771-251010 eller via support@inera.se

• Händelsen ska upprättas i en incidentrapport

10. Utbildning för ID-administratörer

Du som Ansvarig utgivare ansvarar för att säkerställa att ID-administratörer har relevant utbildning och den ska omfatta minst följande:

• Bakgrund översikt om SITHS regelverk

• Identifieringsprocessen inklusive genomgång av De sju stegen

• Kännedom om personer med skyddade personuppgifter

• Genomgång av flödet i SITHS Admin

• Genomgång av flödet i SCS

• Rutiner normalflöden SITHS

• Översiktligt om hur man blir godkänd som ID-administratör

• Översiktligt om revision enligt Revision, risk och förbättring

Utbildningen av ID-administratörer ska dokumenteras och kunna visas upp vid en revision. Utöver utbildning ska även personkontroller göras av blivande ID-administratörer enligt 4.2.1 i Tillitsramverket.

11. Beskrivning av roller inom SITHS

Beskrivning av ansvarsroller inom Identifieringstjänst SITHS så att du som Ansvarig utgivare ska kunna tilldela rätt roll i SITHS Admin. Komplett matris med alla rättigheter för respektive roll finns i Statistik & Loggar

11.1 Förenklad matris över roller

11.2 Tilldelning av roll kopplat till ID-administratörens arbetsuppgifter

Beroende på vad som ska ingå i ID-administratörens arbetsuppgifter kan man behöva kombinera flera systemroller. Matrisen ovan beskriver vad respektive systemroll har för behörighet.
Den ID-administratör som ska hantera användare med skyddade personuppgifter ska tilldelas tilläggsrollen KUR.
Exempel på kombinationer av systemroller beskrivs nedan.
ID-administratör som arbetar med utgivning av ordinarie kort och reservkort

• För att administrera ordinarie kort, tilldela

  • KRA

• För att administrera reservkort, tilldela

  • LRA

Biträdande utgivare som också arbetar med kortutgivning

• För att administrera reservkort, roller och funktionscertifikat, tilldela

  • ORA

• För att administrera ordinarie kort tilldela

  • KRA

• För att läsa rapporten korthistorik tilldela

  • AO

Tillgång till rapporten Korthistorik ger en utökad möjlighet till felsökning och att göra logguppföljningar.

Person i supportfunktion som arbetar med service till användare så som reservkortshantering och puk-beställningar

• För att administrera reservkort dvs, utfärda och avregistrera reservkort, tilldela

  • LRA

• För att beställa PUK, tilldela

  • KRA

• För att avregistrera ordinarie kort, tilldela

  • KRA

Revisor och Säkerhetsansvarig

För att en revisor, Säkerhetsansvarig eller annan lämplig person som ska följa upp att tilliten efterlevs eller att en supportroll har behov av att se uppgifter om användare, kort och certifikat

• För läsfunktion till hela utgivningområdet, tilldela

  • ROA

12. Behörighet för ny ID-administratör

När ny ID-administratör ska få behörigheter behöver följande steg genomföras.

• Fyll i Bilaga 1.3 med information om:

  • Korttyper som ID-administratören ska vara behörig att beställa

  • Vilket/vilka kontor ID-administratören ska vara behörig att beställa till

  • Vilket/vilka kundnummer ID-administratören ska vara behörig att beställa på

  • Gäller det SIS godkända kort meddelas även DNV som uppdaterar organisationens tillstånd med den nya ID-administratören

• Skicka bilagan med e-post till siths@cygate.se

Cygate och Gemalto sätter upp rätt konfiguration för ovanstående beställning. DNV uppdaterar organisationens tillstånd och skickar till kunden. Detta kan ta ett par veckor.

• Ansvarig utgivare/Biträdande utgivare tilldelar rätt roll i SITHS Admin till den nya ID-administratören för aktuell organisation

• ID-administratören måste ha en e-postadress i certifikatet

• ID-administratören kan nu förbereda beställning i SITHS Admin

• För att kunna skicka iväg en beställning måste ID-administratören logga in med sitt personnummercertifikat i SIS Capture station – SCS och "hämtar kunduppgifter". När kunduppgifterna är hämtade enligt den uppdaterade konfigurationen ovan så har ID-administratören fått rättigheter att skicka iväg en elektronisk beställning med

  • Korttyper enligt bilaga 1.3 Information om handläggare

  • Organisation/kund enligt bilaga 1.3 Information om handläggare

  • Till kontor enligt bilaga 1.3 Information om handläggare

13. Korttyper

Det finns ett antal beställningsbara korttyper. Deras grafiska och tekniska egenskaper beskrivs i SITHS Kortbilaga som återfinns här:

https://inera.atlassian.net/wiki/x/L4SrF

Nya korttyper beställs via blanketten Beställning kort till organisation - Bilaga 1.1.1. som återfinns här:

https://inera.atlassian.net/wiki/x/L4SrF

En ny korttyp enligt Beställning kort till organisation - Bilaga 1.1.1 måste vara kopplad till behörighet för minst en ID-administratör enligt Bilaga 1.3 Information om handläggare.

14. Konfiguration i SITHS Admin

Förutsättningar

• Ansvarig utgivare är godkänd enligt uppdaterad SITHS kontaktuppgifter

• Har fått sitt första kort

• Behörighet i SITHS Admin tilldelade av Förvaltningsadministratör på Inera

• Innan kort- och certifikatbeställningar kan genomföras ska Ansvarig utgivare

  • Konfigurera organisationsparametrar

  • Konfigurera E-postmallar

  • Konfigurera kvittensmallar

  • Tilldela roller

14.1 Konfigurerar organisationsparametrar

Välj din organisation genom att klicka och markera organisationen i trädet


Ange uppgifter i respektive textfält:

• Rekommenderad giltighetstid för reservkort

  • Maximalt = 90 dagar (max 180 kan anges)

  • Standard = 30 dagar

Detta blir den giltighetstid som föreslås av SITHS Admin för HCC till reservkort. Det förvalda värdet bör vara lågt för att sen kunna ändras vid behov.

• Tid för påminnelse av SITHS certifikaten som är på väg att gå ut

  • Påminnelse om att certifikat som går ut sätts till ett lämpligt antal dagar så att medarbetaren hinner förnya sitt certifikat (kort).

• e-postadress till funktionsbrevlåda för utgivningsområdet

14.2 Konfigurera e-postmallar

För respektive e-postmall ange:

• e-postadress till funktionsbrevlåda för utgivningsområdet

• Ämne

• Meddelande

Se exempel på Ämne och Meddelande under rubriken "Mallar för kvittens och e-post".
Upprepa detta med samtliga e-postmallar.
Klicka på:

14.3 Konfigurera kvittensmallar

Klicka på konfigurerar kvittensmall

• Bläddra och Ladda upp logotyp

  • Logotypen skall vara av JPEG format och understiga 100 kb.

• Ämne

• Meddelande

Se exempel på Ämne och Meddelande i under punkt 30 i detta dokument "Mallar för kvittens och e-post"
Upprepa detta med samtliga kvittensmallar.
Klicka på:

14.4 Tilldela roll i SITHS Admin

Förutsättningar
Varje roll kan endast delegeras nedåt i en hierarkisk ordning. Rollen RA kan tex tilldela ORA, KRA LRA och KUR inom sin organisation. En ORA kan tex tilldela KRA och LRA. Olika roller kan tilldelas för olika organisationer.

• Sök person

• Klicka på:

• Leta upp och markera aktuella grenar

  • Välj roll/roller

• Signera och skicka

• Stäng

Tips: Det går även att tilldela roll utifrån organisation

14.5 Ta bort roll i SITHS Admin

• Sök person

• Klicka på:

• Klicka på soptunnan för att ta bort roll för en person

• Signera och skicka

• Stäng

Kom ihåg att avbeställa ID-administratörens behörighet hos leverantören via bilaga 1.3 Information om handläggare, leverantören kommer i förekommande fall meddela DNV.

Tips: Det går även att ta bort roll utifrån organisation

15. Beställa reservkort

Rollerna RA, KRA och KUR kan beställa reservkort

• Ange antal reservkort som skall beställas

• Välj Korttyp och ange Reservkort

• Ange aktuell kontorskod – dvs. motsvarande den adress som reservkorten ska levereras till

• Signera och skicka

Reservkorten med pinkoder levereras till utpekat kontor inom 5 dagar

16. Återlämning och avregistrering

I samband med att ett SITHS-kort lämnas ut ska ID-administratören informera om att kortet ska återlämnas när personen slutar sin anställning/sitt uppdrag inom organisationen.
Kortinnehavaren ansvarar för att kortet återlämnas ituklippt genom chippet till ansvarig person enligt era lokala rutiner, t.ex. närmaste chef, så att kortet kan lämnas till ID-administratör för avregistrering. Kortinnehavaren kan också själv begära avregistrering av kortet genom att kontakta en ID-administratör.
Kortinnehavare som byter arbetsplats inom organisationen får behålla sitt SITHS-kort.

16.1 Ej återlämnade SITHS-kort

I de fall korten inte återlämnas ska kort och certifikat skyndsamt spärras av ID-administratör, dock senast inom 30 dagar efter anställningens avslut.
Använd gärna rapporten "Giltiga kort för borttagna personer" under fliken Administration i statistik och loggar för att få fram personer som avslutat sin anställning/uppdrag. Gärna i kombination med kontrollkörning i HSA-portalen.
Alternativt används lokala rutiner för att hantera detta.
Kortet avregistreras som Ej återlämnat.

16.2 Ej utlämnade SITHS-kort

ID-administratörerna ska kontinuerligt gå igenom de SITHS-kort som ännu inte har lämnats ut och skicka påminnelse till berörda personer.
SITHS-kort som efter 3 månader fortfarande har status Skickat ska avregistreras med orsak Ej utlämnat och destrueras.

16.3 Spärr

I Tillitsramverket anges följande orsaker till spärr:

• Förhållanden som kan påverka certifikatsinnehållet har ändrats

• Någon uppgift i den elektroniska identiteten är eller misstänks vara felaktig

• Användaren har tappat kontrollen över bäraren eller koderna

• När bärare återlämnas

• När användaren inte längre har någon koppling till utgivande organisation

• När den elektroniska identiteten inte längre behövs

Exempel på när spärr ska göras:

• Ett pin/puk-brev upphittas av annan än kortinnehavaren

• Ett SITHS-kort upphittas av annan än kortinnehavaren

17. Giltiga kort för borttagna personer

En persons objekt ska tas bort från HSA direkt när personen slutar, men då kan man inte se personobjektet i SITHS längre och därmed inte heller spärra certifikat eller avregistrera SITHS-kort.
För att underlätta en korrekt hanteringen finns det möjlighet att avregistrera SITHS-kort och certifikat i Statistik och Loggar (SoL) för personer som är borttagna i HSA.
För mer information om hanteringen i HSA för den här funktionen, se dokumentet "Hantering av borttagna personer med giltiga HCC" som finns här:
https://www.inera.se/kundservice/dokument-och-lankar/tjanster/hsa/
Så här ser en person ut i SITHS Admin som har fått objektsklassen hsadeletedperson i HSA

Du kan nu göra avregistreringar för flera personer samtidigt från den nya rapporten Giltiga kort för borttagna personer som ligger under fliken Administration
Välj din organisation och gör en sökning
Markera med kryssruta de personer som du vill avregistrera kort och HCC för.
Signera och skicka

Korrekt information syns i SITHS Admin direkt och dagen därpå i SoL

18. Skicka ordinarie kort mellan kontor

Förutsättningar
När ordinarie kort behöver transporteras mellan kontor och/eller ID-administratörer

• Korten ska skickas i ogenomskinligt och väl förslutet emballage vilket ska vara unikt identifierbart.

• Avsändaren är ansvarig intill att bekräftelse på mottagande kommit avsändaren tillhanda.

• Avsändaren är skyldig att föra förteckning över skickade kort vilka ännu inte är levererade och mottagningskvitterade.

• Mottagare är ansvarig för att postlåda eller motsvarande uppfyller SITHS krav på säkerhet, motsvarande ordinarie kortleverans.

• Rutinen dokumenteras i organisationens rutiner

Rutinbeskrivning

• Avsändaren noterar försändelsens identitet samt de förpackade kortens kortnummer

• Avsändaren meddelar mottagaren att en försändelse kommer att skickas med dess identitet samt kortnummer

• Mottagaren bekräftar ovanstående, samt att postlåda eller motsvarande uppfyller samma krav som ordinarie leverans från leverantör.

• Avsändaren skickar försändelsen med organisationens internpost

• Mottagaren kvitterar till avsändaren att försändelsen kommit fram samt att innehållet är identiskt med vad som tidigare uppgetts

Om försändelsen inte bekräftats som mottagen inom 5 arbetsdagar skall korten avregistreras genom Avsändarens försorg.

19. Arkivering av kvittenser

Regler kring arkivering, se Tillitsramverket
Elektroniska kvittenser av ordinarie kort lagras i SITHS Admin.
Arkivering av eventuella papperskvittenser skall ske under betryggande former så att kvittenserna kan tas fram i läsbart skick vid revision. Bevaras i tio år.
Skåp ska endast vara tillgängliga för register- och säkerhetsansvarig personal samt ID-administratörer.
Elektronisk arkivering är tillåtet om läsbarheten kan garanteras under hela perioden.  
Kvittensen skapas och skrivs under på papper för att sedan skannas in. För att det ska vara tillåtet att förstöra originalet, det vill säga i detta fall pappret, måste det finnas ett fastställt gallringsbeslut.

20. Funktionscertifikat

Ett funktionscertifikat är en elektronisk identitetshandling, som identifierar en maskin/server eller en IT-funktion. Ett funktionscertifikat kan också användas för att signera e-post från funktionsbrevlådor.
Certifikatet skall hanteras som en värdehandling. Behörig personal (beställare, mottagare och Ansvarig utgivare/Biträdande utgivare) går i god för certifikatets riktighet och att det inte hamnar i obehörigas händer.
Förutsättningar:

• Funktionscertifikat kan beställas för domännamn och/eller e-postadresser under noden dc=Services i SITHS Admin

• Krävs att Ansvarig utgivare eller Biträdande utgivare har behörighet i tjänsteträdet.

• Organisationen ska ha en gren för utfärdande av funktionscertifikat i HSA tjänsteträd

• Konfiguration av organisationsparametrar, e-post- samt kvittensmallar ska göras i SITHS Admins tjänsteträd.

• Ansökan för organisation om att få gren upplagd i HSA görs via ansökningsformulär på inera.se.

• Domän- och e-postvalidering för organisationen ska skickas in och vara godkänd av SITHS Policy Authority

• Om utfärdande utgivningsområde inte äger domännamnet eller e-postadressen ska domänvalideringen kompletteras med en fullmakt

• Vid behov ska Ansvarig utgivare ha tilldelat roll till Biträdande utgivare i tjänsteträdet

• Dokumenterad rutin ska finnas hos organisationen

• Om organisationen ska använda elektroniska blanketter och/eller elektronisk signering ska detta beskrivas i rutinen, inklusive hur spårbarhet uppnås

För att Ansvarig utgivare/Biträdande utgivare ska kunna utfärda SITHS funktionscertifikat krävs att:

• Blanketten "Beställning av SITHS funktionscertifikat" är korrekt ifylld, undertecknad och lämnad till Ansvarig utgivare/Biträdande utgivare. En blankett krävs alltid oberoende om det är nyutfärdade eller förnyelse av ett certifikat.

• Certifikatsigneringsbegäran (CSR) på fil är tillgänglig för Ansvarig utgivare/Biträdande utgivare

• Funktionscertifikatsbeställare har mandat att beställa certifikat för sin organisation

• Mottagaren ska identifieras vid ett personligt möte med Ansvarig utgivare/Biträdande utgivare. Om Ansvarig utgivare/Biträdande utgivare tidigare har identifierat mottagaren kan funktionscertifikatet överlämnas utan ett personligt möte. Vid elektronisk kvittens så kontrolleras att den ansvarige mottagaren har signerat med sitt SITHS certifikat, vilket medför att det inte behövs något personligt möte.

20.1 Gör så här för att skapa och leverera funktionscertifikat Beställning av HCC funktion (PKCS#10)

• Kontrollera om möjligt i en CSR-decoder Till exempel https://certlogik.com/decoder/ att namnet (commonName) i CSR stämmer med funktionsobjektet

• Sök i SITHS Admin efter funktionen som ska finnas i HSA:s tjänsteträd (dc=Services)

• Klicka på funktionen och välj "Beställ HCC Funktion (PKCS#10)"

• Leta efter ansvarig mottagare i organisationsträdet och klicka på namnet.

• Välj något av nedanstående alternativ

  • Legitimering

  • Underskrift

• Ange giltighetstiden max 2 år

• Ladda upp den levererade CSR-filen

• Klicka på "Signera och Skicka"

• SITHS Admin kontrollerar att nyckellängden är minst 2048 bitars RSA

• Välj "Ladda ned PKCS#10". Spara filen med funktionens namn eller HSA-id på lämplig plats.

• Skriv ut kvittensen, fysiskt eller elektroniskt. I undantagsfall så kan alternativet "Känd" användas om personen tidigare har identifierats personligen med en giltig identitetshandling. När mottagare elektroniskt signerar dokumentet ska Ansvarig utgivare/Biträdande utgivare markera alternativet "Identifierad genom rekommenderad post".

• Om utlämningen genomförs på distans ska mottagaren av certifikatet ha återsänt den underskrivna kvittensen innan certifikatfilen levereras till den ansvarige mottagaren.

• Lämna ut certifikatet till ansvarig mottagare.

20.2 Arkivera kvittens

Arkiveringen skall ske i låsbart skåp eller, när det gäller elektroniska beställningar och kvittenser, på en nätverksenhet som kontinuerligt säkerhetskopieras.
De ska endast vara tillgängliga för register- och säkerhetsansvarig personal samt ID-administratörer.
Kvittensen ska sparas tillsammans med beställning och ev. fullmakt i minst 10 år.

21. Domänvalidering

Förutsättningar:

• Direktansluten organisation äger delegerad rätt av SITHS CA att utfärda certifikat till domäner och/eller e-postadresser inom utgivningområdet.

• Direktansluten organisation får utfärda certifikat till en domän och/eller e-postadress som ägs av en annan organisation om nyttjanderätten till i certifikatnamnet ingående domännamn och e-postadresser skriftligt styrkts som ska kunna visas upp vid en revision

• SITHS PA ansvarar för att ägarskapet för domänen kontrolleras innan registrering samt därefter regelbundet.

• Om SITHS PA vid domänkontrollen upptäcker frågor kring ägarskap, kontaktas Ansvarig utgivare för aktuellt utgivningsområde.

• Om det inte går att bevisa att organisationen äger domänen kommer eventuellt utfärdade certifikat att revokeras, samt rättigheten att utfärda nya tas bort.

SITHS PA säkerställer att:

• Relevanta ansökningsblanketter har skickats till kundservice@inera.se. Det ska finnas en ansökningsblankett för varje "o".

• Validering sker av varje anmälan och endast godkända hanteras vidare

• Person som har skickat in domänvalideringen är Ansvarig utgivare

• Utgivningsområdet är upplagd i HSA:s tjänsteträd

• Godkänd domän läggs upp i SITHS Admin

• Återkoppling till kund sker

• Kontroller av fortsatt ägarskap av domänen görs regelbundet

Gör så här för att anmäla domäner Domäner och e-postadresser som er organisation äger

• Fyll i "Blankett anmälan domän och e-postvalidering SITHS" vilka domäner och/eller e-postdomäner som er organisation vill utfärda funktionscertifikat till.

• För .sjunet.org domän krävs att organisationen har ett giltigt Sjunet avtal

• Skicka anmälan till kundservice@inera.se

För domäner och e-postadresser som er organisation inte äger tillkommer

• Om de domäner och/eller e-postadresser som er organisation vill utfärda certifikat till ägs av en annan organisation ska Ansvarig utgivare säkerställa att det finns en fullmakt från den ägande organisationen

Kontroller som utförs i samband med validering
På uppdrag av SITHS PA kontrollerar Inera att den organisation som är registrerad som ägare till domänen eller e-postdomän ger sitt medgivande till att utgivningsområdet får utfärda funktionscertifikat för aktuell domän. Valideringens utfall är beroende av det svar som fås vid kontrollen.
För domäner utförs kontrollen antingen genom:

• E-post

Inera skickar e-post till någon av följande e-postadresser som efterföljs av @<domänen som ska valideras>

o   admin, administrator, webmaster, hostmaster eller postmaster

• DNS-post

Skapa en txt-post vid namn ”_sithsvalidation” i domänens DNS-zonfil med ett värde som Inera tillhandahåller

• Webbsida

o   Ladda upp en txt fil vid namn ”sithsvalidation,txt”,  med innehåll som Inera tillhandahåller, på servern: http://www.exempel.se/.well-known/pki-validation/

22. Statistik och loggar

Rapporter kan beställas online och offline under menyval "Statistik & Loggar".
Offlinerapporterna är tillgängliga dagen efter beställning.
Rapporter finns för

• Kort (uppföljning av kort)

• HCC (uppföljning av certifikat)

• Roller (uppföljning av tilldelade roller inom organisationen)

• Konfigurering (uppföljning av konfigurationsändringar)

• Administration (uppföljning av borttagna personer)

Tips: De färdiga offlinerapporterna finns att hämta under menyn Rapporter dagen efter beställningen

22.1 Användningsområden för olika rapporter

Hitta ordinarie SITHS-kort med status = Skickat

Logga in i Statistik & loggar
https://cve.trust.telia.com/SOL/

• Välj:

  • Statiskik för kort

• Välj rapport

  • Just nu

• Gör följande urval:

  • Kort = Företagskort och eller SIS-kort beroende på vilka kort ni har

  • Organisation = Din organisation

• Giltiga HCC = Ja

• Kort status = Skickat

• Tryck på Sök

  

• Sortera rapporten på tidpunkt, genom att klicka på rubriken Tidpunkt

• Spara din sökning till fil för att på ett lätt sätt kunna arbeta med rapporten

  • Tryck på Spara till fil

• Spar filen i Excell format.

• Filtrerar fram de kort som innehåller din organisationens utfärdarnummer.

  • Utfärdarnummer har position 5–8 i kortserienumret

Ex. 9752 2698 85708335630

• Säkerställ att de kort som du har i din rapport med status skickat finns på kortkontoret.

• Samtliga kort som har status skickat som inte finns på kortkontoret, ska spärras omgående och nytt kort ska beställas till användaren och lämnas ut enligt gällande rutin av en ID-administratör

Om rapporten är för stor så kan du beställa en offlinerapport som finns att hämta nästkommande dag under rubriken Rapporter

23. Regler vid verksamhetsövergång och ägarbyte

Förutsättningar
Ett ombud definieras som direktansluten organisation som på uppdrag av en tredjepartsansluten organisation administreras och ansvarar för den tredjepartsanslutna organisationens kort och certifikat i Identifieringstjänst SITHS.
För direktanslutna ska Anslutningsavtal finnas skrivet med Inera AB. För tredjepartanslutna, som är separata juridiska personer med egna organisationsnummer, ska ett Tredjepartsavtal finnas med det direktanslutna ombudet.
Ombudet har en godkänd tillitsdeklaration och äger därmed rätt att, efter godkännande av SITHS PA, ansluta annan organisation inom offentlig förvaltning samt leverantörer av tjänster till dessa ("Tredje Part") till SITHS.

23.1 Regler gällande utfärdarnummer

Regler för SIS-kort, se punkt 28.4.

23.1.1 Organisationen äger sitt eget utfärdarnummer:

Den organisation vars utfärdarnummer finns på kortet ansvarar för korten under dess livstid. Kort med utfärdarnummer kan via avtal överlåtas vid en verksamhetsövergång.

23.1.2 När ett ombuds utfärdarnummer har använts vid utfärdande av SITHS-kort:

• Den organisation vars utfärdarnummer finns på kortet ansvarar för korten under dess livstid

• Vid byte av ombud eller övergång till direktanslutning är det den organisation som äger utfärdarnumret som bestämmer om administrationen av befintliga kort kan föras över till annan organisation eller om korten ska spärras. Detta regleras med fullmakt eller genom en skrivning i tredjepartsavtalet.

• I de fall där kortadministrationen har överförts, ska ägaren av utfärdarnumret kunna utföra revision på sina kort hos det nya ombudet.

• Det nya ombudet ska tillse att ombudets, eller tredjepartsorganisationens egna, utfärdarnummer används vid utfärdande av nya kort.

24. Namnbyte av organisation

En organisation byter namn, men har kvar samma organisationsnummer och eventuellt HSA-id.

• Ev. byte av logga

• Uppdatering av SITHS kontaktuppgifter i Easy

25. Lägga ner utgivningsområde

• Säga upp avtal hos Inera

  • Ta bort behörigheter i SITHS Admin

• Säkra att utgivningsområdets kort samt SITHS funktionscertifikat är spärrade

Övrigt att tänka på:

• Se över eventuellt eget supportavtal för Net iD

• Vid behov säg upp alla tredjepartsavtal

• Säg upp avtalet med Cygate

• Vid utfärdande av SIS-kort anmäl hos DNV att SITHS-kortutfärdande ska upphöra

26. Från tredjepartsanslutning till direktanslutning

• Teckna eget avtal med Inera AB

• Besvara tillitsdeklarationen, skriv rutiner och utför personkontroll

• Säga upp avtalet med befintligt ombud

• Reglera ansvarsfrågan gällande SITHS certifikat gentemot det gamla ombudet genom ett avtal

• Reglera ansvarsfrågan gällande korten gentemot ombudet genom ett avtal, vars utformning beror på:

  • Om organisationen har eget utfärdarnummer

  • Om organisationen har använt ombudets utfärdarnummer

27. Byte av ombud/Övergång till ombud

27.1 Tredjepartsansluten organisation som vill byta ombud

27.1.1 Tredjepartsansluten organisation

Aktiviteter att genomföra:

• Säg upp befintligt avtal med nuvarande ombud

• Teckna nytt avtal med det nya ombudet

• Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet och det nya. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras.

Övrigt att tänka på:

• Vid utfärdande av SIS-godkända kort – se punkt 28.4.

27.1.2 Avgående ombud

Aktiviteter att genomföra:

• Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet och det nya. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras

• Kvittenser för redan utgivna kort ska sparas hos det avgående ombudet

• Ta bort behörigheter i SITHS Admin

• Anmäl till SITHS PA att organisationen inte längre ska agera ombud genom att uppdatera kontaktuppgifterna

• Se till att nya ombudet anger korrekt utfärdarnummer

27.2 Direktansluten organisation som byter till ombud

27.2.1 Direktansluten organisation

Aktiviteter att genomföra:

• Säg upp befintligt avtal med Inera AB

• Teckna avtal med ett ombud

• Ansvara för att teckna avtal med ombudet om ansvarsfördelningen för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat. Om avtal ej tecknas ska kort och certifikat spärras

• Ta bort behörigheter i SITHS Admin

• Vid fortsatt utfärdande av SIS-godkända kort, ansök om att ombudet ska få utfärda SIS-godkända kort. Tillträdande ombud måste vara godkänd som SIS-kortutfärdare hos DNV. Se även punkt 28.4.

27.2.2 Tillträdande ombud

Aktiviteter att genomföra:

• Anmäl till SITHS PA att organisationen ska agera ombud genom att uppdatera kontaktuppgifterna

• Teckna avtal med organisationen som ska vara tredjepartsanluten

• Teckna avtal om ansvarsfördelning för kort, SITHS personcertifikat samt i förekommande fall SITHS funktionscertifikat, mellan det gamla ombudet/organisationen och det nya ombudet. Avtalet ska tecknas mellan alla tre parter. Om avtal ej tecknas ska kort och certifikat spärras.

28. Verksamhetsövergång

28.1 Direktansluten organisation övertas men lever kvar med eget organisationsnummer

En icke ansluten organisation har övertagit en direktansluten organisation och den direktanslutna organisationen lever kvar och behåller sitt organisationsnummer.

• Se "Byte av ombud/Övergång till ombud"

Den övertagande organisationen kan ansöka att bli tredjepartansluten via den direktanslutna organisationen

28.2 Direktansluten organisation övertas och upphör

En icke ansluten organisation har övertagit en direktansluten organisation och den direktanslutna organisationen och organisationsnumret upphör. Hanteras som en nedläggning av ansvarig utgivares område

• Se "Lägga ner utgivningsområde".

28.3 Direktansluten övertar en tredjepartsansluten

En direktansluten organisation tar över en tredjepartansluten organisation

• Regler Se "Byte av ombud/Övergång till ombud"

28.4 Utfärdade SIS-kort

• Myndigheter, regioner, kommuner och privata aktörer får utfärda SIS-kort inom sin egen organisation

• Regioner, kommunförbund och kommuner kan enligt dispens agera ombud åt varandra. Om en region, ett kommunförbund eller en kommun agerar ombud, kan tredjepartsansluten region eller kommun ansöka om att uppdatera sitt DNV-tillstånd med det nya ombudet som utgivare hos DNV och därmed kunna ha SIS-kort utan att själva vara direktanslutna till SITHS. Notera att tillträdande ombud måste vara godkänd som SIS-kortutfärdare hos DNV.

• Vid övriga kombinationer av ombud och tredjepartsansluten organisation får inte ombudet utfärda SIS-kort till annan organisation än sin egen

• Vid övergång till ett ombud, kan organisationen med eget tillstånd hos DNV välja att behålla redan utfärdade kort

29. Ombud och tredjepartsanslutning

Vid förändringar ska SITHS kontaktuppgifter uppdateras via Easy.
Kunden kan efter SITHS PA:s skriftliga och uttryckliga godkännande ansluta en annan organisation (ett 'o' i HSA-katalogen) som bedriver vård- eller omsorgsverksamhet. När Kunden ansluter en sådan annan organisation till SITHS kallas Kunden "Ombud" och den organisation som ansluts "Tredje part".
Vid Ombudets anslutning av Tredje part ansvarar Ombudet för att Tredje part uppfyller SITHS tillitsramverk. Ombudets revisioner ska även omfatta Tredje part. Tredje Part äger inte rätt att ansluta annan organisation till Tjänsten.

30. Mallar för kvittenser och e-post

30.1 E-postutskick

Detta avsnitt visar några exempel på hur en e-postmall kan se ut för olika situationer som hanteras i administrationen av SITHS-kort.
30.1.1 Påminnelse av utgående certifikat

När SITHS-kortets giltighetstid närmar sig utgångsdatum måste kortinnehavaren meddelas för att få ett nytt certifikat. Ett exempel på hur ett sådant e-postmeddelande kan se ut visas nedan:

30.1.2 Beställning av nytt certifikat

Vid beställning av ett nytt certifikat till SITHS-kort eller till ett reservkort måste kortinnehavaren meddelas detta. Ett exempel på hur ett sådant mail kan se ut visas nedan:

30.1.3 Misslyckad publicering av certifikat

Det kan hända att publiceringen av certifikat misslyckas. I sådana fall skickas ett meddelande till den angivna funktionsbrevlådan. Ett exempel på hur ett sådant e postmeddelande kan se ut visas nedan:

30.2 Kvittenser

Detta avsnitt visar några exempel på hur en kvittensmall kan se ut i olika situationer som ID administratören hanterar i administrationen av SITHS-kort

30.2.1 Ordinarie kort

För att kortinnehavaren ska kunna ta emot sitt SITHS-kort måste denne kvittera mottagandet. Ett exempel på hur en sådan kvittens kan se ut visas nedan:

30.2.2 Funktionscertifikat

Mottagaren av ett funktionscertifikat måste kvittera att denne har tagit emot det. Ett exempel på hur en sådan kvittens kan se ut visas nedan:

30.2.3 Reservkort

För att kortinnehavaren ska kunna ta emot sitt reservkort måste denne skriftligen kvittera mottagandet. Ett exempel på hur en sådan kvittens kan se ut visas nedan:

30.2.4 Mallar för kvittens av reservkort när kvittens i SITHS Admin inte används

För att kortinnehavaren ska kunna ta emot sitt reservkort måste denne skriftligen kvittera mottagandet. En sådan papperskvittens måste minst innehålla:

• Mottagarens personnummer eller HSA-id

• Mottagarens namn

• Mottagarens underskrift

• Kortnumret

• Identifieringssätt

• Kortutlämnarens personnummer eller HSA-id

• Kortutlämnarens namn

• Kortutlämnarens underskrift

• Datum

Ett exempel på hur en sådan papperskvittens kan se ut visas nedan:

30.2.5 Mall för kvittens av reservkort vid identitetsverifiering med hjälp av arbetskamrater och vid reservkort på distans utan kortutlämnare

För att kortinnehavaren ska kunna ta emot sitt reservkort måste denne skriftligen kvittera mottagandet. En sådan papperskvittens måste minst innehålla:

• Mottagarens personnummer eller HSA-id

• Mottagarens namn

• Mottagarens underskrift

• Kortnumret

• Datum

Ett exempel på hur en sådan papperskvittens kan se ut visas nedan: