Sftware-as-a-Service Naam van de G-Cluddienst CSAM Aanmelden Versie 16/09/2016 (v. 1.00) Bevat de functinaliteiten: - FAS Federal Authenticatin Service (release 10) - SMA Self Management Applicatin / CSAM - Mijn digitale sleutels - De FAS kan, ten beheve van de autrisatie dr een tepassing, gebruik maken van de (Fedict) Attribute Publicatin Service (APS) vr het phalen van een aantal attributen van de eindgebruikers in authentieke brnnen (vb. rllen). Merk p: de Attribute Publicatin Service maakt echter geen deel uit van de FAS. Omschrijving van de G-Cluddienst CSAM aanmelden fungeert als de centrale tegangsprt tt de nlinediensten van de verheid en rganiseert de identiteitscntrle en het authenticatiebeheer binnen e-gvernment. Gebruikers (afnemers) van CSAM aanmelden : CSAM aanmelden richt zich tt alle verheidsdiensten en instellingen die een beveiligd authenticatieprces willen vr hun nlinediensten (applicaties): Federale verheidsdiensten en instellingen Gemeenschappen en gewesten Prvincies, gemeenten en OCMW s Instanties belast met sciale bescherming f sciale zekerheid en actren in de gezndheidszrg Ondernemingen f persnen die een pdracht vr de verheid uitveren; instellingen met taken van algemeen belang, vr hun taken van algemeen belang. Eindgebruikers van CSAM aanmelden : De uiteindelijke eindgebruikers zijn de klanten van de afnemers die via CSAM aanmelden tegang krijgen tt de tepassingen die ze wensen te gebruiken; dit zijn burgers die in eigen naam handelen, persnen in naam van een rganisatie f nderneming, ambtenaren f gemandateerden. 1/7
Sftware-as-a-Service Werking van de dienst CSAM aanmelden / FAS: Del: identificatie en authenticatie van gebruikers m tegang te krijgen tt nlinediensten van de verheid. Een eindgebruiker die zich aanmeldt bij een nline verheidsdienst (tepassing) wrdt mgeleid naar het CSAM authenticatie-prtaal (FAS). De FAS biedt de eindgebruiker een lgin-scherm aan en vraagt de ndige credentials p. Nadat de authenticatiegegevens zijn ntvangen zal de FAS de eindgebruiker terug mleiden naar de nline tepassing, samen met het antwrdbericht. Dit antwrdbericht bevat de authenticatie-infrmatie. Merk p: p basis van de credentials kan de Attribute Publicatin Service een pvraging den van attributen van de eindgebruiker bij de authentieke brnnen. De Attribute Publicatin Service haalt enkel die attributen p uit de authentieke brnnen (rijksregister, BIS register f KBO) die ndig zijn vr de tepassing m een autrisatie te den, en geen andere attributen die de tepassing eventueel zelf wil gebruiken. Op basis van het antwrdbericht kan de ntvangende tepassing de beslissing nemen m een sessie te penen vr de eindgebruiker. Het is dus de tepassing (nline verheidsdienst) zelf, die dankzij de FAS nu zekerheid heeft dat de persn is wie hij/zij beweert te zijn, die beslist f de eindgebruiker tegang krijgt (autrisatie). Indien er attributen pgehaald wrden uit authentieke brnnen via de FAS (ten beheve van de autrisatie dr de tepassing) wrdt er strikt rekening gehuden met de privacy van de eindgebruiker: enkel die infrmatie waar de nlinedienst telating vr heeft en die ze effectief ndig heeft vr de autrisatie, zal pgehaald en beschikbaar zijn. CSAM Aanmelden ndersteunt verschillende digitale sleutels, die nderverdeeld wrden in verschillende veiligheidsniveaus. De geveligheid van de infrmatie waar de gebruiker in de nlinediensten tegang te krijgt f ndig heeft, bepaalt het veiligheidsniveau. Welk veiligheidsniveau geschikt is, hangt dus af van he cnfidentieel de infrmatie is die de nlinediensten gebruiken: 2/7
Sftware-as-a-Service Hiernder de huidige digitale sleutels, in dalende vlgrde van veiligheidsniveau. Hg eid met verbnden kaartlezer eid kaartlezer eid met draadlze kaartlezer eid draadlze kaartlezer gebruikersnaam en wachtwrd + veiligheidscde: TOTP authenticatr apps f SMS beveiligingscde via mbiele app beveiligingscde via sms gebruikersnaam en wachtwrd + certificaat digitale certificaten gebruikersnaam en wachtwrd + tken beveiligingscde p papier (tken) enkel gebruikersnaam en wachtwrd gebruikersnaam en wachtwrd Laag Een digitale sleutel met een hger security level, geeft k tegang tt nlinediensten die een sleutel van een lager niveau vereisen. CSAM Aanmelden biedt vandaag géén plssing vr identiteits- en tegangsbeheer vr interne gebruikers (vr interne applicaties) van een rganisatie (vb. interne tepassingen achter een AD binnen een verheidsdienst). 3/7
Sftware-as-a-Service Werking van de dienst SMA: Self Management Applicatin Deze functinaliteit wrdt aan de eindgebruikers aangebden als CSAM Mijn digitale sleutels. Via deze mdule kunnen de eindgebruikers zelf hun cntactgegevens beheren, en hun digitale sleutels activeren en beheren. Service wner De service CSAM aanmelden (zwel FAS als SMA) en het service management hierrnd wrden aangebden dr Fedict. Bij het gebruik van CSAM aanmelden kunnen authentieke brnnen gecnsulteerd wrden die beheerd wrden dr andere verheidsinstellingen (rijksregister, BIS register, KSZ en KBO). Service level agreements De beschikbaarheid van CSAM aanmelden is exclusief de vereengekmen geplande nbeschikbaarheden vr peridiek nderhud en de vereengekmen nderhudswerkzaamheden en in prductiestellingen. CSAM aanmelden streeft naar nderstaande beschikbaarheid (i.e. bjectief ): Service Naam Peride Objectief Beschikbaarheid Reële beschikbaarheid 2015 CSAM Aanmelden 24 x 7 99,9% 99,78% Op jaarbasis wrden een 4-tal majr releases in prductie gezet, dit gebeurt s nachts en we streven naar een impact p de beschikbaarheid van maximaal 1 uur. De vrbereidingen rnd de ndige architecturale wijzigingen m dit gegarandeerd te kunnen behalen, zijn mmenteel lpende. Daarnaast zijn er enkele minr releases, maar znder impact p prductie. Er is 24/7 interventie gegarandeerd in geval van calamiteiten. In geval van een geplande nbeschikbaarheid wrden klanten 1 week p vrhand verwittigd per mail. Deze mail bevat de datum, beginuur en de duur van de nderbreking. (Nt: timing van 1 week p vrhand wrdt herbekeken). In geval van een ngeplande nbeschikbaarheid wrden klanten per mail p de hgte gebracht van de nderbreking. Zdra de dienst weer beschikbaar is, wrdt er eveneens een mail rndgestuurd m de herstelde beschikbaarheid te melden. 4/7
Sftware-as-a-Service Merk p: de beschikbaarheid van CSAM aanmelden kan afhankelijk zijn van de beschikbaarheid van achter- en nderliggende diensten: authentieke brnnen eigen Fedict systemen en infrastructuur systemen en infrastructuur van externe leveranciers Indien de Attribute Publicatin Service wrdt geactiveerd vr het phalen van attributen van de gebruiker, kan de beschikbaarheid van CSAM aanmelden geïmpacteerd wrden indien de authentieke brnnen niet beschikbaar zijn. De maximale beschikbaarheid (bjectief) van CSAM aanmelden is bijgevlg gelijk aan de minimum beschikbaarheid van de betrkken partijen. Vr de perfrmantie van CSAM aanmelden zijn vlgende bjectieven naar respnsetijden gedefinieerd: CSAM aanmelden User interface RT Transactin Applicatin interface RT Transactin Nrm Objectief respnsetijd Reëel juli 2016 < 2 sec 95 % 99,78% < 0,1 sec 95 % 99,98 % De dienstverlening rnd CSAM aanmelden gebeurt p basis van best effrt ; er zijn geen penaliteiten vrzien. De Fedict Service Desk wrdt vr de afgenmen diensten beschuwd als het enig cntactpunt vr de afnemers van CSAM aanmelden. Het is de verantwrdelijkheid van de afnemer m te vrzien in een vldende uitgeruste en vldende degelijke eindgebruikersndersteuning (= eerste lijnsndersteuning eindgebruikers) vr de afgenmen diensten in de cntext van zijn eigen dienstenaanbd. In geen enkel geval, tenzij anders vereengekmen, verzrgt de Fedict Service Desk een rechtstreeks dienstverlening aan de eindgebruikers van de afnemer. Ondersteuning vr verheidsdiensten en -instellingen (= tweede lijnsndersteuning naar afnemers) van maandag tt vrijdag, telkens van 8u30 tt 17u30 (p peningsdagen van de federale verheid) gebeurt dr de Fedict Service Desk. Beschikbaarheid Cntact Maandag Dinsdag Wensdag Dnderdag Vrijdag Service Desk Telefnisch 8:30-8:30-8:30-8:30-8:30- Fedict E-Mail 17:00 17:00 17:00 17:00 17:00 Service mdel van CSAM aanmelden CSAM aanmelden is een mature service die end-t-end gemanaged wrdt. 5/7
Sftware-as-a-Service Geïnteresseerde nieuwe ptentiële afnemers wrden van bij de eerste cntacten grndig geïnfrmeerd ver de mgelijkheden en vrwaarden vr het gebruik van CSAM aanmelden. Dit beperkt zich niet tt enkel technische f functinele aspecten, maar k bijvrbeeld vr wat de verplichtingen betreft vr het gebruik van het Rijksregisternummer. Vr de effectieve nbarding wrden de afnemers dr de Fedict Service Desk begeleid f kunnen zelfs via een pdrachtencentrale berep den p externe expertise. Eenmaal CSAM aanmelden geïmplementeerd is, kunnen de afnemers terecht bij de Fedict Service Desk, als escalatieniveau vr hun eigen supprtdiensten. Andere aspecten wrden behartigd dr het IAM Service Management (vb. rapprtering, activeren andere authenticatiemethdes, ). Verplichtingen van de afnemers van CSAM aanmelden De vrwaarden vr gebruik en verplichtingen vr de afnemers van CSAM aanmelden wrden vastgelegd in een bindende gebruiksvereenkmst, en zijn van diverse aard: technisch, functineel, peratineel, juridisch, audit, Zrg dragen vr een technisch crrecte implementatie van CSAM aanmelden vlgens de richtlijnen van Fedict Indien de afnemer berep det p een integratr, er p tezien dat deze p zijn beurt de verplichtingen van de afnemer strikt naleeft Zrg dragen dat de functinele werking van CSAM aanmelden crrect geïmplementeerd is (vb. Single Lgn / Single Lgut functinaliteit) Beschikken ver een machtiging van het sectraal cmité van het Rijksregister dat tegang geeft tt gegevens van het Rijksregister, f aansluiten p de algemene machtiging (Beraadslaging RR nr. 21/2015 van 25 maart 2015) m het rijksregisternummer te gebruiken bij aanwending van de FAS. Respecteren bij het gebruik van CSAM aanmelden van de wetgeving rnd de bescherming van de persnlijk levenssfeer Vrzien in een audit trail vr alle transacties die via CSAM aanmelden verlpen (Niet limitatieve enumeratie) Kstprijsregeling Het gebruik van CSAM aanmelden (vr zwel de eigen als erkende authenticatiemethdes / digitale sleutels) is gratis vr de eindgebruikers en vr de afnemers. Eventuele betaling verschuldigd aan de verantwrdelijken van de infrmatiebrnnen vr diensten van de infrmatiebrn (=authentieke brnnen), is ten laste van de afnemers van CSAM aanmelden die gebruik maken van de diensten van die infrmatiebrn. 6/7
Sftware-as-a-Service Wat is de vrziene verdere evlutie van de dienst? Tekmstige kerntaken van CSAM aanmelden : Fungeren als hub vr externe authenticatie, dr.a. nieuwe authenticatiemethdes van externe erkende diensten te kppelen aan CSAM aanmelden als trusted authenticatie dienst Annimiseren van gebruikers (attributen) tav. tepassingen Single Signn beheer Vertaling naar Rijksregisternummer Cmpliancy eidas regulatin; elektrnische identificatie en trust services Belangrijke mgelijke tekmstige vrziene functinaliteiten: CSAM aanmelden - van digitale sleutel naar security niveau Prfiel /signaletiek van de burger Sterke mbiele authenticatie CSAM aanmelden - prepen vanuit een app Veralgemenen gebruik CSAM aanmelden vr Sciale Zekerheid CSAM aanmelden - lifecycle van persnen en ndernemingen Prces uitreiking digitale sleutels vr buitenlanders extra LRA s (Analyse) kppeling lw security prfielen met eid authenticatie aan CSAM aanmelden als trusted authenticatie dienst Praktische inf Inf en aanvragen bij: inf@gclud.belgium.be. 7/7