Gruppo di Lavoro Identity Assurance 2022

Il GdL ha il compito di definire e formalizzare i profili di identificazione e autenticazione per la Federazione IDEM.

Obiettivi

Definire un insieme di profili di identificazione e autenticazione per la Federazione IDEM con i seguenti requisiti:

• basati sul REFEDS Assurance Framework: https://refeds.org/assurance.
• compatibili con i profili definiti da SPID (ITU-T X.1254 / ISO-IEC 29115, vedi https://www.itu.int/rec/T-REC-X.1254-202009-I/en)
• compatibili con i profili definiti da INFN: https://wiki.infn.it/cn/ccr/aai/doc/loa

I profili dovranno prevedere diversi gradi di affidabilita’ delle procedure di accreditamento,  identificazione, qualita’ degli attributi rilasciati e sicurezza dei sistemi di autenticazione.

Analisi

Il gruppo di lavoro deve in primo luogo verificare casi d’uso saranno coperti dai profili di assurance che saranno definiti.

I casi d’uso di interesse che preliminarmente possono essere affrontati sono:

• accesso limitato ai servizi: di solito collegato a identita’ con basso livello di riconoscimento e accreditamento (ad esempio auto registrazione con riconoscimento collegato a semplice email).
• accesso ai servizi federati di base: identita’ con livello di riconoscimento gia’ definito dalle Norme di Partecipazione IDEM per gli Identity Provider.
• accesso a servizi federati relativi a dati riservati (ad es. IBAN), sistemi di gestione dei servizi (ad es. admin di istanze cloud): necessita’ di un livello di riconoscimento maggiore di quello definito dalle Norme di Partecipazione IDEM e livello di sicurezza basato su MFA.
• accesso a servizi federati relativi a dati sanitari, come gestione di servizi dedicati alla ricerca in ambito sanitario, repository di dati di pazienti, ecc: livello di riconoscimento elevato, valutare se il livello di sicurezza basato su MFA e’ sufficiente.

Nella fase di analisi e’ fondamentale poter coinvolgere la comunita’ della ricerca e dell’istruzione per definire con precisione i casi d’uso che devono essere considerati. Inoltre deve passare il messaggio che i profili di assurance per IDEM sono uno strumento indispensabile per implementare le misure minime di sicurezza ICT e parte del GDPR.

Step

1. Formalizzazione di un modello per la definizione dei casi d’uso basato su RAF.
2. Presentazione del modello alla comunita’ per ricevere feedback.
3. Sviluppo e somministrazione di un survey per raccogliere le istanze della comunita’.  
4. Definizione dei profili utilizzando il modello e i dati raccolti.
5. (Opzionale) Sperimentazione dei profili su progetti specifici che possano fare da pilota.
6. Giro di consultazioni con la comunita’ per definire una prima versione dei profili.
7. Revisione dei profili e avvio del lavoro di adeguamento dei regolamenti IDEM interessati (principalmente Norme di Partecipazione).
8. Approvazione da parte dell’Assemblea dei Membri per la pubblicazione ufficiale.