Gruppo di Lavoro Identity Assurance 2022
Il GdL ha il compito di definire e formalizzare i profili di identificazione e autenticazione per la Federazione IDEM.
Obiettivi
Definire un insieme di profili di identificazione e autenticazione per la Federazione IDEM con i seguenti requisiti:
- basati sul REFEDS Assurance Framework: https://refeds.org/assurance.
- compatibili con i profili definiti da SPID (ITU-T X.1254 / ISO-IEC 29115, vedi https://www.itu.int/rec/T-REC-X.1254-202009-I/en)
- compatibili con i profili definiti da INFN: https://wiki.infn.it/cn/ccr/aai/doc/loa
I profili dovranno prevedere diversi gradi di affidabilita’ delle procedure di accreditamento, identificazione, qualita’ degli attributi rilasciati e sicurezza dei sistemi di autenticazione.
Analisi
Il gruppo di lavoro deve in primo luogo verificare casi d’uso saranno coperti dai profili di assurance che saranno definiti.
I casi d’uso di interesse che preliminarmente possono essere affrontati sono:
- accesso limitato ai servizi: di solito collegato a identita’ con basso livello di riconoscimento e accreditamento (ad esempio auto registrazione con riconoscimento collegato a semplice email).
- accesso ai servizi federati di base: identita’ con livello di riconoscimento gia’ definito dalle Norme di Partecipazione IDEM per gli Identity Provider.
- accesso a servizi federati relativi a dati riservati (ad es. IBAN), sistemi di gestione dei servizi (ad es. admin di istanze cloud): necessita’ di un livello di riconoscimento maggiore di quello definito dalle Norme di Partecipazione IDEM e livello di sicurezza basato su MFA.
- accesso a servizi federati relativi a dati sanitari, come gestione di servizi dedicati alla ricerca in ambito sanitario, repository di dati di pazienti, ecc: livello di riconoscimento elevato, valutare se il livello di sicurezza basato su MFA e’ sufficiente.
Nella fase di analisi e’ fondamentale poter coinvolgere la comunita’ della ricerca e dell’istruzione per definire con precisione i casi d’uso che devono essere considerati. Inoltre deve passare il messaggio che i profili di assurance per IDEM sono uno strumento indispensabile per implementare le misure minime di sicurezza ICT e parte del GDPR.
Step
- Formalizzazione di un modello per la definizione dei casi d’uso basato su RAF.
- Presentazione del modello alla comunita’ per ricevere feedback.
- Sviluppo e somministrazione di un survey per raccogliere le istanze della comunita’.
- Definizione dei profili utilizzando il modello e i dati raccolti.
- (Opzionale) Sperimentazione dei profili su progetti specifici che possano fare da pilota.
- Giro di consultazioni con la comunita’ per definire una prima versione dei profili.
- Revisione dei profili e avvio del lavoro di adeguamento dei regolamenti IDEM interessati (principalmente Norme di Partecipazione).
- Approvazione da parte dell’Assemblea dei Membri per la pubblicazione ufficiale.
