Level of Assurance
Level of assurance, usein lyhennettynä LoA, kertoo, kuinka paljon luottava osapuoli voi luottaa väitettyyn henkilöllisyyteen. eIDAS määrittelee kolme tasoa: matala, korotettu ja korkea.
Tason ratkaisee kaksi asiaa: kuinka perusteellisesti henkilö tunnistettiin valtuustietoa ensi kerran myönnettäessä ja kuinka hyvin valtuustieto on sen jälkeen suojattu ja sidottu häneen. Komission täytäntöönpanoasetus (EU) 2015/1502 asettaa tekniset kriteerit neljälle osa-alueelle: rekisteröinti, itse sähköinen tunnistautumisväline, miten haltija todentaa itsensä sillä ja miten myöntävä elin hallinnoi ja auditoi koko prosessia. Matala kattaa itse ilmoitetun rekisteröinnin, jossa väitettyä henkilöllisyyttä on tarkistettu vain vähän tai ei lainkaan; korotettu edellyttää näyttöä siitä, että henkilöllisyys on aito, tyypillisesti tarkistettuna asiakirjaa tai rekisteriä vasten, ja kirjautumista, jossa käytetään useampaa kuin yhtä tekijää; korkea edellyttää lisäksi, että henkilöllisyys on tarkistettu virallisesta lähteestä joko paikan päällä tai vastaavalla etämenettelyllä, jolla on vastaava varmuustaso, ja että valtuustieto sijaitsee peukaloinnin kestävässä laitteistossa, kuten suojatussa elementissä. Sillä on merkitystä, koska se ratkaisee, mihin valtuustietoa saa käyttää: jäsenvaltioiden on tunnustettava toistensa ilmoitetut eID-järjestelmät korotetulla tai korkealla tasolla julkisten palvelujen rajat ylittävässä käytössä alkuperäisen vuoden 2014 eIDAS-asetuksen nojalla, ja eIDAS 2.0 edellyttää, että itse EUDI Wallet myönnetään korkealla tasolla, koska PID on ankkuri, jonka varaan jokainen muu lompakon todennus rakentuu. Julkisen sektorin ulkopuolinen luottava osapuoli ei ole saman tunnustamisvelvoitteen sitoma ja voi pyytää mitä tahansa tasoa oman riskinsä mukaan: palvelu, joka tarkistaa vain, että asiakas on täysi-ikäinen, voi hyväksyä alemman tason tai yksittäisen attribuutin, kun taas rahanpesun vastaista asiakkaan tuntemista harjoittava palvelu vaatii korkeaa tasoa, koska henkilöllisyyden väärin tunnistamisen oikeudellinen seuraus on paljon suurempi.
Aiheeseen liittyvät termit
Voiko julkisen sektorin ulkopuolinen luottava osapuoli vaatia korkeampaa varmuustasoa kuin eIDAS edellyttää?
Kyllä. eIDAS asettaa vähimmäistason: julkisten palvelujen on hyväksyttävä ilmoitetut järjestelmät korotetulla tai korkealla tasolla, ja EUDI Wallet on myönnettävä korkealla tasolla. Yksityinen luottava osapuoli voi vapaasti pyytää mitä tahansa tasoa, jota sen oma riski edellyttää, hyväksyen alemman tason esimerkiksi ikätarkistukseen mutta vaatien korkeaa tasoa, vastaavalla näytöllä, rahanpesun vastaiseen asiakkaan tuntemiseen tai tilin avaamiseen.