Guide til implementering af Lokal IdP

Guide til lokal IdP

Læs den detaljerede guide til implementering af Lokal IdP (Pdf)

Guiden foreligger i version 1.2.1 (16. dec 2022) og herunder kan du se et resumé af de vigtigste trin.

Vigtigt: Tidlig opstart af brugermigrering

Bemærk at en organisation kan påbegynde indrullering / opdatering af brugere i egne systemer baseret på NSIS sikringsniveauer, så snart NSIS anmeldelsen er godkendt af tilsynet. Organisationen kan altså anvende de processer for identitetssikring og udstedelse af lokale identifikationsmidler, som den har NSIS anmeldt.

I organisationer med mange brugere må det forventes at tage en vis kalendertid at indrullere alle brugere med de NSIS-anmeldte processer, da den enkelte bruger skal medvirke i processen ved fx at præsentere pas/kørekort eller indrullere digitalt med privat MitID. Ved at påbegynde denne proces, så snart NSIS anmeldelsen er på plads, kan man herved opnå bedre tid til migreringen. En organisation behøver således ikke vente på, at den tekniske integration mellem den Lokale IdP og NemLog-in er på plads.

Guidens ni trin til etablering af Lokal IdP

Afklar jeres ønsker til og forretningsmæssige behov for Lokal IdP.
- Tag stilling til NSIS sikringsniveauet for de tjenester, som jeres brugere skal kunne tilgå.
- En lokal IdP skal NSIS anmeldes på sikringsniveau Betydelig eller Høj, før den kan blive tilsluttet NemLog-in.
- Tag stilling til krav til oppetid, svartider og andre servicemål for jeres lokale IdP. Formålet er, at I får en løsning, der kommer jeres forretningsmæssige behov i møde.
- Overvej, hvordan lokale erhvervsidentiteter også er oprettet centralt i NemLog-ins erhvervsløsning, MitID Erhverv. Ønsker I en integration mellem jeres lokale IdM system og MitID Erhverv? Eller vil I administrere brugere direkte i MitID Erhverv?
Foretag en gap-analyse, som sammenholder NSIS-krav på det ønskede sikringsniveau med jeres nuværende processer og systemer.

Det omfatter bl.a. følgende:
- Tag stilling til ønsket proces for identitetssikring: Skal brugerne fx første gang logge på med privat MitID? Skal det første log-in ske i en lokal indrulleringsapplikation eller centralt i NemLog-in? Skal brugerne møde fysisk op og vise pas, kørekort mv.
- Afklar, hvilke typer identifikationsmidler I vil udstede lokalt. Tag også stilling til, hvordan I vil udlevere og håndtere dem. En typisk løsning vil være at kombinere et brugernavn og kodeord med ekstra faktorer på særlige hardwareenheder, fx apps på mobile enheder.
- Afklar, hvordan I teknisk vil etablere servicen for autentifikation, og hvordan den kan understøtte de valgte sikringsniveauer. Den lokale IdP skal udstille en SAML snitflade, som opfylder kravene i ’OIOSAML Local IdP Profile’.
- Afklar krav til driftsfaciliteter og teknisk sikkerhed. Er nuværende driftsfaciliteter modne nok, eller skal de forbedres?
- Afdæk behov for uddannelse af brugere, der skal arbejde med fx identitetssikring.
- Etablér et ledelsessystem for informationssikkerhed (ISMS). Hvis I allerede har et, skal I tilpasse det, så det dækker processer for identitetshåndtering.
- Afklar håndtering af underleverandører af fx software og drift, som leverer dele af den lokale implementering.
- Beskriv processer, sikkerhedsdesign og tekniske systemer. Sørg for, at design bliver reviewet.
- Planlæg, hvordan systemer og processer kan auditeres af en ekstern revisor. Det er fx vigtigt, at I sikrer et tilstrækkeligt revisionsspor, så revisor kan konstatere, at processer, personer og systemer udfører de nødvendige kontroller.
- Byg miljøer til Lokal IdP samt tilhørende brugerkatalog. Etablér de nødvendige komponenter og services.
- Anskaf de nødvendige certifikater til den lokale IdP.
- Foretag lokal test. Det gælder både funktionel test og sikkerhedstest.
  Gennemfør test af organisatoriske processer.
Når I har fået tildelt rettigheden af forvaltningen (trin 8), kan I oprette jeres lokale IdP i NemLog-ins produktionsmiljø. Dette udføres af administrator for jeres organisation i MitID Erhverv brugerfladen. Herefter er den lokale IdP tilgængelig for autentifikation i NemLog-in's broker (optræder i listen over lokale IdP'er en bruger kan vælge).