Level of Assurance
Το Level of Assurance, που συχνά συντομεύεται σε LoA, είναι το πόση εμπιστοσύνη μπορεί να αποδώσει ένα βασιζόμενο μέρος σε μια δηλωθείσα ταυτότητα. Ο eIDAS ορίζει τρία: χαμηλό, σημαντικό και υψηλό.
Το επίπεδο καθορίζεται από δύο παράγοντες: πόσο διεξοδικά ταυτοποιήθηκε το πρόσωπο κατά την αρχική έκδοση του διαπιστευτηρίου, και πόσο καλά προστατεύεται και συνδέεται το διαπιστευτήριο με αυτό στη συνέχεια. Ο Εκτελεστικός Κανονισμός (ΕΕ) 2015/1502 της Επιτροπής ορίζει τα τεχνικά κριτήρια σε τέσσερις τομείς: εγγραφή, το ίδιο το μέσο ηλεκτρονικής ταυτοποίησης, τον τρόπο με τον οποίο ο κάτοχος πιστοποιεί την ταυτότητά του με αυτό, και τον τρόπο με τον οποίο ο εκδίδων φορέας διαχειρίζεται και ελέγχει το σύνολο της διαδικασίας. Το χαμηλό επίπεδο καλύπτει μια αυτοδηλούμενη εγγραφή με ελάχιστη ή καθόλου επαλήθευση της δηλωθείσας ταυτότητας· το ουσιαστικό επίπεδο απαιτεί αποδεικτικά στοιχεία ότι η ταυτότητα είναι γνήσια, συνήθως ελεγμένα έναντι εγγράφου ή μητρώου, και σύνδεση που χρησιμοποιεί περισσότερους από έναν παράγοντες· το υψηλό επίπεδο απαιτεί επιπλέον η ταυτότητα να έχει ελεγχθεί έναντι έγκυρης πηγής, αυτοπροσώπως ή με ισοδύναμη απομακρυσμένη διαδικασία συγκρίσιμης διασφάλισης, και το διαπιστευτήριο να βρίσκεται σε υλικό ανθεκτικό σε παραποίηση, όπως ένα secure element. Έχει σημασία επειδή καθορίζει σε τι μπορεί να χρησιμοποιηθεί ένα διαπιστευτήριο: τα κράτη μέλη οφείλουν να αναγνωρίζουν αμοιβαία τα κοινοποιημένα εθνικά τους συστήματα eID σε επίπεδο ουσιαστικό ή υψηλό για πρόσβαση σε δημόσιες υπηρεσίες διασυνοριακά βάσει του αρχικού Κανονισμού eIDAS του 2014, ενώ ο eIDAS 2.0 απαιτεί το ίδιο το EUDI Wallet να εκδίδεται σε υψηλό επίπεδο, καθώς το PID αποτελεί την άγκυρα πάνω στην οποία βασίζεται κάθε άλλο πιστοποιητικό στο πορτοφόλι. Ένας relying party εκτός δημόσιου τομέα δεν δεσμεύεται από την ίδια υποχρέωση αναγνώρισης και μπορεί να ζητήσει όποιο επίπεδο απαιτεί ο δικός του κίνδυνος: μια υπηρεσία που ελέγχει μόνο αν ένας πελάτης είναι άνω των 18 ετών μπορεί να αποδεχθεί χαμηλότερο επίπεδο ή ένα μόνο γνώρισμα, ενώ μια υπηρεσία που διενεργεί onboarding κατά της νομιμοποίησης εσόδων από παράνομες δραστηριότητες θα επιμείνει σε υψηλό επίπεδο επειδή η νομική συνέπεια ενός λάθους ταυτοποίησης είναι πολύ μεγαλύτερη.
Σχετικοί όροι
Μπορεί ένας relying party εκτός δημόσιου τομέα να απαιτήσει υψηλότερο επίπεδο διασφάλισης από αυτό που ορίζει ο eIDAS;
Ναι. Ο eIDAS ορίζει ένα κατώτατο όριο: οι δημόσιες υπηρεσίες πρέπει να αποδέχονται κοινοποιημένα συστήματα σε επίπεδο ουσιαστικό ή υψηλό, και το EUDI Wallet πρέπει να εκδίδεται σε υψηλό επίπεδο. Ένας ιδιωτικός relying party είναι ελεύθερος να ζητήσει όποιο επίπεδο απαιτεί ο δικός του κίνδυνος, αποδεχόμενος χαμηλότερο επίπεδο για κάτι όπως η επαλήθευση ηλικίας, ενώ απαιτεί υψηλό επίπεδο, με αντίστοιχα αποδεικτικά στοιχεία, για onboarding κατά της νομιμοποίησης εσόδων από παράνομες δραστηριότητες ή για το άνοιγμα χρηματοοικονομικού λογαριασμού.