Level of Assurance
Level of assurance, adesea prescurtat LoA, arată câtă încredere poate acorda o parte utilizatoare unei identități declarate. eIDAS definește trei niveluri: scăzut, substanțial și ridicat.
Nivelul este stabilit de două lucruri: cât de riguros a fost identificată persoana când acreditarea a fost emisă prima dată, și cât de bine este protejată și legată de ea acreditarea ulterior. Commission Implementing Regulation (EU) 2015/1502 stabilește criteriile tehnice în patru domenii: înregistrarea, mijlocul de identificare electronică în sine, cum se autentifică deținătorul cu el, și cum organismul emitent gestionează și auditează întregul proces. Nivelul scăzut acoperă o înregistrare autodeclarată cu puțină sau nicio verificare a identității declarate; substanțial necesită dovadă că identitatea este autentică, de obicei verificată în raport cu un document sau registru, și un login care folosește mai mult de un factor; ridicat necesită în plus ca identitatea să fi fost verificată în raport cu o sursă autoritară, față în față sau printr-o procedură de la distanță echivalentă cu asigurare comparabilă, și ca acreditarea să stea în hardware rezistent la manipulare, precum un element securizat. Acest lucru contează pentru că decide pentru ce poate fi folosită o acreditare: statele membre trebuie să recunoască reciproc schemele naționale de eID notificate la nivel substanțial sau ridicat pentru accesul transfrontalier la serviciile publice sub regulamentul eIDAS original din 2014, iar eIDAS 2.0 cere ca EUDI Wallet în sine să fie emisă la nivel ridicat, deoarece PID este ancora pe care se bazează orice altă atestare din portofel. O parte care se bazează pe verificare din afara sectorului public nu este legată de aceeași obligație de recunoaștere și poate cere nivelul pe care îl impune propriul risc: un serviciu care doar verifică dacă un client are peste 18 ani poate accepta un nivel mai scăzut sau un singur atribut, în timp ce unul care efectuează integrarea clienților împotriva spălării banilor va insista pe nivel ridicat, deoarece consecința juridică a greșirii identității este mult mai mare.
Termeni asociați
O parte care se bazează pe verificare din afara guvernului poate cere un level of assurance mai ridicat decât cel impus de eIDAS?
Da. eIDAS stabilește un prag minim: serviciile publice trebuie să accepte scheme notificate la nivel substanțial sau ridicat, iar EUDI Wallet trebuie emisă la nivel ridicat. O parte privată care se bazează pe verificare este liberă să ceară nivelul pe care îl impune propriul risc, acceptând un nivel mai scăzut pentru ceva precum verificarea vârstei, dar cerând nivel ridicat, cu dovezi corespunzătoare, pentru integrarea clienților împotriva spălării banilor sau deschiderea unui cont financiar.