Digital id-kontroll - arbetsmaterial

APCER

APCER står för Attack Presentation Classification Error Rate och används inom biometriska säkerhetssystem, särskilt inom presentation attack detection (PAD), som handlar om att upptäcka försök att manipulera eller lura biometriska system.

APCER mäter hur ofta ett system felaktigt accepterar en attack, det vill säga ett försök att imitera en autentisk användare med hjälp av falska representationer som masker, bilder eller fingeravtrycksavtryck.

Behöver kravställningen ta hänsyn till:

https://www.digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-legitimering/tillitsramverk-for-svensk-e-legitimation/vagledning-for-utfardare/bilaga-d-dataskyddsforordningens-bestammelser-vid-behandling-av-biometriska-uppgifter

Krav skrivet:

“Personuppgifter inklusive biometriska uppgifter som hanteras i Tjänsten i samband med digital id-kontroll ska raderas automatiskt direkt efter avslutad session. Detta gäller även sessioner som inte explicit avslutas, där uppgifterna ska raderas automatiskt efter en ställbar tid.“

Annat? Krav att uppgifterna ej får ej användas i något annat syfte än id-kontrollen?

Kravställa på 3D Capture av ansiktet?

Krav skrivet:

“liveness-detektering ska inkludera djupledsanalys av bildsekvenser för att kunna avgöra att det är ett tredimensionellt ansikte som registreras.“

FRÅGA: Ska det vara SKALL-krav på certifiering enligt ISO/IEC 30107-1?
Certifiering enligt ISO/IEC 30107-3 LEVEL 1 & 2 ?
Finns det något motsvarande som vi också ska acceptera?

NIST/NVLAP Lab Level 1 & 2 PAD testing with 0% FAR ?

Extra fråga till leverantörerna:

Är er tjänst certifierad enligt ISO/IEC 30107-1 / ISO/IEC 30107-3 eller andra certifieringar som ni anser är motsvarande för digital id-kontroll?

Svaren är varierande.

Lägg som BÖRKRAV.

Kan vi ha BESKRIV på SKA-krav? För att bedöma att ska-kravet är uppfyllt.

Syftet kan vara att ett krav kan uppfyllas på flera sätt och Inera behöver kunna bedöma att kravet är uppfyllt.

Det går bra att ha BESKRIV för SKALL.

Ska vi generalisera omformulera: “De biometriska algoritmerna och teknikerna för ansiktsigenkänning som används i Tjänsten ska testas systematiskt mot referensdatauppsättningar och resultera i en mätbar konfidensnivå utryckt i FAR”

till

“De biometriska algoritmerna och teknikerna som används i Tjänsten ska testas systematiskt mot referensdatauppsättningar och resultera i en mätbar konfidensnivå utryckt i FAR.”

dvs också applicera på liveness-detektion.

Extra fråga till leverantörerna:

Uppfyller er tjänst kravet på konfidensnivå på FAR ej överstigande 1:10 000 (0,01 %), mätt på de sammanslagna biometriska kontrollerna för både ansiktsigenkänning och liveness-detektering?

SVAR: Vi borde kunna generalisera och lägga samman.

Precisera täckning för länder / id-handlingar

Kan slå på:

• validering av id-handling (äkthet) - SKALL

• spärrkontroll av id-handling (stulna , förlorade) - BÖR

Extra fråga till leverantörerna:

För vilka utfärdarländer kan er lösning validera elektronisk id-handling enligt ICAO avseende både Active authentication för chippet och Passive authentication mot utfärdarlandets certifikat?

Krav är formulerat

Skydda data i tjänsten

Extra fråga till leverantörerna:

Hur säkerställer ni i er tjänst att inte en enskild personal med åtkomst till driftsmiljön kan påverka ett resultat av en digital id-kontroll?

Precisera

• iOS, upprätthålla på versionerna supportade av Apple.

• Android, upprätthålla på versionerna supportade av Google.

Krav formulerat

“MAUI-ramverket bör kunna användas för att nå SDK-funktionerna “

Börkrav är inlagt.

Tillgång till ISO-dokumenten:

ISO/IEC 30107-1

ISO/IEC 30107-3

ISO/IEC 19795 (-1)

OK

Krav på lokalisering av tjänsten?

Som molntjänst?

Inom EU?

Krav på driftsleverantörens moderbolag - får det vara t.ex. USA?

Avstämning med Inera PU-ansvarig, Infosäkerhet.

Vet du om Inera har några krav kring våra leverantörers lokalisering för Drift . Tänker t ex. om vi får skicka personuppgifter till en leverantör som har sin drift i Microsoft Azure på Irland.
Det är ju inom EU, men vill också minnas att det historiskt varit mycket diskussioner om huruvida man kan lita på ett Europeiskt dotterbolag till ett amerikanskt moderbolag

Svar

Ja vi har ofta och ffa i nya avtal krav på lokalisering av drift och behandling av uppgifter t ex lagring. För känsliga system/uppgifter kräver vi lokalisering i Sverige.

När det gäller leverantör är ofta drift på Irland för att behandilingen ska ske inom EU. I dagsläget är ju USA ett adekvat land gällande tredjelandsöverföring. På gång att överklagas och kan även tänkas att Trump avaktiverar gällande presidentorder som gjorde detta möjligt.

Vissa av våra kunder när det gäller tjänster som de använder ser gärna att vi inte har en amerikanska leverantörer. Internt har vi en annan, mer pragmatisk, syn för interna Inera system.  (läs O365 mfl)

För Service Now har vi t ex avtalat bort "följ solen"-support. Behandling ska ske inom EU och av europeisk personal

Resultat:

Krav från infosäk används.

Inköp: Hur formulera nyttjanderätt till SDK?

Hur hantera övergång vid byte av leverantör?

Ska vi sätta skall-krav på

• sannolikhetsvärden

• indikatorer (på manipulationsförsök osv)

Kontrollera om detta är realiserbart. @Per Mützell

Krav på miljöansvar? Var hanteras det i så fall?

“2.1.1.4 Ingen överföring eller behandling av personuppgifter får ske utanför EU/EES, undantaget till länder som av EU bedömts upprätthålla en adekvat säkerhetsnivå i nivå med GDPR“

Fråga: avser undantaget den här listan:

Data protection adequacy for non-EU countries

Notera att företag i USA ingår i listan under viss förutsättning.

Förslag på kravändring i SITHS eID Portal:

Tillåt inte en ID-admin att låsa upp en blockerad användare. Sätt i stället en tidsperiod för blockeringen.

Fördelar:

• läggs inte ansvar på ID-admin att ta svårt beslut baserat vad

• behövs inte byggas en användarfunktion för avblockering.

Ska vi kombinera kravet på FAR med ett värde på FRR?

Kravet på FAR är 1:10000, dvs. 0,0001 (0,01 %)

Exempel från testresultat:
FRR=0,0073 (ca 0,7%) vid FAR=0,00001, FRR=0,0093 vid FAR=0,000001.

Exempel från dokumentation av tjänst:

FRR<1% för olika FAR-värden från 1/1200000, 1/10000, …osv.

Ska antalet försök vara med i kravet?

“ett FAR-värde 1:10 000 (0,01 %) eller lägre. Det kan förutsättas att antalet försök per fysisk ID-handling är begränsat till 5.”

“Detta värde ska innefatta att antalet försök per fysisk ID-handling är begränsat till 5“

Kravgruppen anser vi bör ta bort formuleringar som nedan ur kravspecen, och hantera i generella villkor:

“Leverantören tillhandahåller utan extra kostnader de resurser inom Leverantörens organisation som krävs för genomförande.“

Detta exempel fanns i tidigare upphandling i bilaga Informationssäkerhet:

• krav 2.10.1.2 (Pen-tester)

• krav 2.13.1.2 (Revision)

Hanteras i bilagor:

• Införande

• Pris

Fråga på bilaga Informationssäkerhet

“Leverantören ska ha avtal om tystnadsplikt med all Personal. Tystnadsplikten ska omfatta information om leverantörens kunder . Via avtal ska leverantören även säkerställa tystnadsplikt för underleverantörer.”

[PM1] Vad betyder det, vad ska skyddas? Omfattas personuppgifter i detta fall?

Ska nedan krav vara SKA eller BÖR :

2.3.3.7 Tjänstens API ??? leverera indikatorer på varför kontrollen inte kunde godkännas. Detta kan till exempel vara olika tecken på manipulationsförsök.
(2 leverantörer ser ut att ha det)

2.3.3.8 Tjänstens API ??? leverera sannolikhetsvärden (“score”) för korrektheten i respektive biometrisk kontroll
(3 leverantörer ser ut att ha det)

Ställd fråga till leverantörerna:

Kan er tjänsts API leverera indikatorer på varför en id-kontroll inte kunde godkännas, till exempel olika tecken på manipulationsförsök.

Kan er tjänsts API leverera en sannolikhetsvärden (“score”) för korrektheten i respektive biometrisk kontroll.