Pravila vezana uz upravljanje elektroničkim identitetima
Provjere (certificiranje matičnih ustanova) koje provodi Srce
Pravila vezana uz upravljanje elektroničkim identitetima
Pravilnik o ustroju Autentikacijske i autorizacijske infrastrukture znanosti i visokog obrazovanja u Republici Hrvatskoj - AAI@EduHr u članku 29. definira obaveze matičnih ustanova na sljedeći način:
- Matična ustanova je vlasnik svog LDAP imenika i odgovorna je za njegovu informacijsku pouzdanost i cjelovitost;
- Matična ustanova dodjeljuje elektroničke identitete fizičkim osobama iz kruga svojih djelatnika, suradnika i studenata te ostalih fizičkih osoba za koje se može nedvojbeno utvrditi povezanost s ustanovom, poštujući pri tome pravila vezana uz hrEdu imeničke sheme;
- Elektroničke identitete dodjeljuju i održavaju isključivo osobe koje ovlasti matična ustanova;
- Preporuka je da te ovlaštene osobe budu djelatnici referade ili sličnih službi koje su i inače zadužene za prikupljanje osobnih podataka, to jest službe koje izdaju uvjerenja o statusu osoba i raspolažu s relevantnim podacima, te su utoliko ovlaštene na temelju tih podataka dodjeljivati korisniku pojedini status;
- Prije prikupljanja osobnih podataka ovlaštene osobe matične ustanove dužne su informirati korisnika kojeg registriraju o svrsi obrade kojoj su podaci namijenjeni, mogućim korisnicima podataka kao i mogućim posljedicama uskrate podataka te zatražiti njegov pisani pristanak za upisivanje u imenik ustanove;
- Matična ustanova dužna je voditi evidenciju o dodijeljenim elektroničkim identitetima;
- Ovlaštene osobe matične ustanove dužne su, tijekom procesa registracije korisnika, ustanoviti točnost podataka na osnovu kojih kreiraju elektronički identitet i na siguran način, nedostupan trećim osobama, dostaviti korisniku podatke pomoću kojih dokazuje svoj elektronički identitet;
- Ovlaštene osobe matične ustanove dužne su se brinuti o ažurnosti podataka u imeniku. Matična ustanova je dužna ukloniti odgovarajući elektronički identitet iz svog imenika ako fizička osoba izgubi status na temelju kojeg je stekla pravo na elektronički identitet;
- Matična ustanova mora poduzeti sve mjere unutar svojih mogućnosti i nadležnosti da bi osigurala pristup osobnim podacima pohranjenima unutar AAI@EduHr sustava samo ovlaštenim osobama odnosno kroz sustav AAI@EduHr;
Provjere (certificiranje matičnih ustanova) koje provodi Srce
Postupke upravljanja elektroničkim identitetima provjeravamo jednom godišnje u postupku certificiranja matičnih ustanova u AAI@EduHr sustavu. Posebno bismo ovdje izdvojili norme koje se odnose na upravljanje elektroničkim identitetima:
- Je li utvrđena procedura za informacijsko održavanje imenika?
Svaka bi ustanova trebala imati proceduru kojom se propisuje tko i pod kojim uvjetima ima pravo na elektronički identitet unutar imenika ustanove, te kako to pravo gubi. Primjer procedure Metalurškog fakulteta Sveučilišta u Zagrebu možete vidjeti u Proceduri za informacijsko održavanje imenika Metalurškog fakulteta.
- Je li procedura za informacijsko održavanje imenika javno dostupna?
U svrhu upoznavanja korisnika, procedura treba biti dostupna korisnicima s ustanove (npr. na internom webu ustanove). - Jesu li korisnici informirani o svojim pravima i obavezama prilikom preuzimanja e-identiteta?
Sukladno Pravilniku, korisnici bi prilikom preuzimanja svog elektroničkog identiteta trebali biti informirani o svojim pravima i obvezama:
AOSI web sučelje ima mogućnost ispisa prilagođenog izvještaja o otvorenom elektroničkom identitetu. Naša je preporuka da, sukladno proceduri za informacijsko održavanje imenika ustanove, uredite taj izvještaj, dopunite ga pravima i obavezama korisnika (i ostalim potrebnim detaljima vezanim uz vašu ustanovu), te svakom korisniku po otvaranju elektroničkog identiteta uručite takav izvještaj.
- Korisnik ima pravo zatražiti od matične ustanove popis podataka, koje o njemu prikuplja matična ustanova za potrebe zapisa u imeniku.
- Korisnik ima pravo od Koordinatora zatražiti popis davatelja usluga u sustavu AAI@EduHr kao i popis atributa koje davatelji usluga koriste prilikom autentikacije i autorizacije korisnika.
- Korisnik ima pravo zatražiti da se davateljima usluga uskrati pristup pojedinim atributima odnosno podacima koji se čuvaju kao dio njegovog zapisa u imeniku matične ustanove.
- Korisnik ima pravo od matične ustanove pisanim putem zatražiti da se izbriše njegov elektronički identitet iz imenika.
- Korisnik je dužan čuvati povjerljivost podataka kojima dokazuje svoj identitet (zaporka), te ne ustupati iste drugim osobama.
- U slučaju kompromitiranja podataka kojima dokazuje svoj identitet korisnik je dužan o tome informirati matičnu ustanovu.
- U slučaju promjene ili uočavanja netočnih osobnih podataka čije je održavanje u nadležnosti matične ustanove, korisnik je obavezan izvijestiti odgovornu osobu na matičnoj ustanovi.
- Korisnik je dužan pridržavati se pravila pojedine usluge kojom pristupa svojim elektroničkim identitetom.
- Vodi li matična ustanova evidenciju o dodijeljenim e-identitetima?
Matična je ustanova dužna voditi evidenciju o svim izdanim elektroničkim identitetima.
- Obavlja li se dodjela e-identiteta se na temelju dokumenta sa slikom ili kroz proces zapošljavanja/upisa?
Naša je preporuka da posao administracije elektroničkih identiteta obavlja kadrovska služba / studentska referada. Prilikom dodjele elektroničkog identiteta OBAVEZNA je provjera identiteta korisnika.
- Uručuju li se podaci o e-identitetu osobno ili pisanim putem (ne telefonom ili e-mailom)? Odnosi se i na promjenu lozinke.
U svrhu smanjenja mogućnosti kompromitiranja elektroničkog identiteta, podaci o elektroničkom identitetu trebali bi se korisnicima uručivati osobno uz provjeru identiteta ili poštom. Ustanova je dužna osigurati da se podaci o elektroničkom identitetu korisniku isporučuju na siguran i zaštićen način. E-mail nije siguran medij pa nije dozvoljeno podatke o elektroničkom identitetu slati e-mailom. ZABRANJENO je dodjeljivati elektroničke identitete javnom objavom (npr. na oglasnoj ploči, webu i sl.), dodjeljivati lozinke javno objavljenim algoritmom koji može ugroziti sigurnost elektroničkih identiteta, slati podatke o elektroničkom identitetu posredstvom trećih osoba na nezaštićen način i sl.
- E-identiteti osoba koje su prestale biti povezane s ustanovom se pravodobno i redovito se brišu (sukladno utvrđenoj proceduri).
Kako bi se onemogućilo da osoba koja više nema pravo na elektronički identitet pristupa uslugama dostupnima u AAI@EduHr sustavu, takve elektroničke identitete treba redovito brisati (a u skladu s procedurom za informacijsko održavanje imenika).
- Je li broj e-identiteta koji su označeni kao istekli prije više od 3 mjeseca (u to se broje i studentski e-identiteti bez podatka o isteku) manji od 1% ukupnog broja korisnika u LDAP imeniku?
Jedan od pokazatelja (ne)ažurnosti imenika je ima li u imeniku isteklih elektroničkih identiteta. Naša je preporuka svima čija je povezanost s ustanovom vremenski ograničena (npr. studentima dok traju studentska prava), upisati datum isteka povezanosti s ustanovom. Osobe koje su trajno povezane s ustanovom (npr. djelatnici zaposleni na neodređeno vrijeme) ne trebaju imati postavljen datum isteka. Administrator imenika dužan je informacije u imeniku držati ažurnima, pa tako i ažurirati datum isteka temeljne povezanosti s ustanovom sukladno sa statusom korisnika. - Uz svaki je e-identitet zabilježen odgovarajući OIB. Iznimka mogu biti samo korisnici kojima je vrijednost atributa hrEduPersonPrimaryAffiliation „gost“.
- U imeniku svi e-identiteti imaju ispravan podatak o e-mail adresi.
Iz prakse
U praksi nalazimo i dobrih i loših primjera vezanih uz upravljanje elektroničkim identitetima.
Dobri primjeri:
Loši primjeri, postupci kojima se narušava sigurnost i privatnost korisnika, a time i povjerenje u cjelokupni sustav AAI@EduHr. Ovi su postupci u suprotnosti s Pravilnikom o ustroju AAI@EduHr:
- Slanje elektroničkog identiteta (i zaporke koja je njegov dio) elektroničkom poštom;
- Objava algoritma kojim je inicijalno postavljena zaporka elektroničkim identitetima (na način da se zaporka sastoji od podataka dostupnih trećim osobama);
- Uručivanje podataka (posebno zaporke) o elektroničkom identitetu bez provjere identiteta osobe kojoj se uručuju;
