بناء التحقق من الهوية الآمن والمطابق في عصر eIDAS 2.0

على مستوى الاتحاد الأوروبي، تعد eIDAS (الهوية الإلكترونية والتحقق والخدمات الموثوقة) واحدة من اللوائح الرئيسية التي تحدد كيفية تفاعل المواطنين والشركات والسلطات مع بعضها البعض في البيئة الرقمية. تم تبني eIDAS في عام 2016، وتهدف إلى وضع معايير للهوية الإلكترونية وتقديم اليقين القانوني للتفاعلات الرقمية في جميع أنحاء الاتحاد.

أدخلت الإصدار المتجدد (eIDAS 2.0) عدة ميزات حيوية إلى الإطار الأصلي ل eIDAS. أولاً، أدخلت محفظة الهوية الرقمية الأوروبية التي يجب على كل دولة عضو في الاتحاد الأوروبي توفيرها لمواطنيها بحلول نهاية عام 2026. تهدف المحفظة إلى تسهيل التفاعلات الرقمية عبر الحدود بشكل أكبر لأنها تسمح للأشخاص بالتعرف على أنفسهم وتخزين ومشاركة البيانات المُحقق منها، بالإضافة إلى الوصول إلى الخدمات العامة والخاصة.

然而، مع стандардIZATION من على الإنترنت، تحتاج الشركات إلى التفكير ليس فقط في الامتثال، ولكن أيضًا في كيفية بناء أنظمة التحقق الخاصة بهم. ما يهم حقًا هو ما إذا كان يمكن معالجة بيانات المستخدم الحساسة دون مغادرة المنطقة الآمنة داخل البنية التحتية للشركة أو على الجهاز. بالنسبة للشركات، هذا يعني أن محاذاة تدفقات KYC مع الإطار الجديد هو جزء فقط من المهمة. من المهم أيضًا اختيار التكنولوجيا التي تدعم الامتثال بدون تخزين ونقل البيانات الحساسة في أي مكان.

فهم مستويات الثقة في eIDAS

قامت قواعد eIDAS بتوحيد كيفية إصدار و sử dụng وسائل الهوية الإلكترونية، مما جعل عملية التسجيل في الخدمات الرقمية سهلة بالنسبة للعملاء بغض النظر عن دولة الاتحاد الأوروبي التي يأتون منها. يحدد الإطار ثلاثة مستويات للثقة (LoA) – كل منها يحتوي على مجموعة من المعايير للهوية الإلكترونية. هذه المعايير هي ما يحتاج إليه مزودو KYC وشركات التحقق من الهوية للامتثال لها إذا أرادوا أن يظهروا على أنهم مطابقون لمعايير eIDAS.

تُقدم مستوى “المنخفض” درجة أساسية من اليقين حول الهوية المزعومة، ومستوى “المهم” يتطلب فحوصات أكثر صرامة مع فرص أقل للسوء استخدام، ومستوى “المرتفع” يهدف إلى تقديم اليقين الأقصى، مدعومًا بأقوى الحمايات ضد الاحتيال بالهوية. تختار الشركات المستوى الذي تحتاجه بناءً على تعرضها للخطر و敏感ية البيانات التي تتعامل معها وأي التزامات تنظيمية أخرى تنطبق على خدماتها.

النقطة الرئيسية والضعف في معايير التحقق من الهوية في eIDAS

أحد نقاط القوة الرئيسية لمعايير التحقق من الهوية في eIDAS هو أنها تُنشئ إطارًا موحدًا لجميع الاتحاد الأوروبي. في الشروط العملية، هذا يعني أن نهج التحقق من الهوية المصمم لتوافق مع eIDAS يمكن أن يُشكل أساسًا قويًا للعمل في دول الاتحاد الأوروبي المختلفة، بدلاً من إعادة بنائه من الصفر لكل دولة.

نقطة الضعف الرئيسية لمعايير التحقق من الهوية في eIDAS، في رأينا، هي أنها لا تدعم بنشاط تطوير تقنيات التحقق من الهوية على الموقع / على الجهاز – وهي التي تحمي حقًا بيانات المواطنين الشخصية من التسريبات وتضمن سير عمل التحقق من الهوية بدون خسارة. قد تقلل الإطارات التي تنظم التخزين والنقل من المخاطر، ولكن لا تُزيل سطح المخاطر نفسه. كل مرة يتم فيها جمع أو نقل بيانات الهوية، يُ tạo فرصة جديدة للتسرب، والامتثال التنظيمي وحده لا يمكن أن يزيل تمامًا هذه الضعف.

قد يبدو أن eIDAS يُنشئ نظامًا موحدًا وآمنًا للتحقق من الهوية في جميع أنحاء أوروبا. في العديد من الجوانب، إنه يُنشئ بالفعل نظامًا أكثر اتساقًا وسهولة. لكن هل هذا يعني حقًا الأمان؟ في OCR Studio، نعتقد أن الحماية الحقيقية يمكن أن تُقدم فقط من خلال التكنولوجيا التي لا تتطلب تخزين أو نقل البيانات الشخصية في المقام الأول. في التحقق من الهوية، البنية التحتية الأكثر أمانًا ليست تلك التي تُدير البيانات الحساسة بدقة أكبر، ولكن تلك التي تُزيل الحاجة إلى التعامل معها على الإطلاق.

كيفية بناء نظام التحقق من الهوية الآمن والمطابق

由于 كل مستوى من مستويات الثقة في eIDAS يُبنى إلى حد كبير حول مبدأ تقليل تخزين ونقل البيانات الشخصية، تكنولوجيا الموقع / على الجهاز هي الطريقة الأكثر فعالية لبناء نظام تحقق من الهوية يُطابق وآمن حقًا. من الناحية التكنولوجية، هذه الأنظمة تتفوق على البنية التحتية التي تعتمد على البنية التحتية السحابية أو الخوادم الخارجية، لأنها ليست عرضة للعطلات الخارجية ويمكنها العمل حتى بدون اتصال إنترنت مستقر.

فيما يلي، باستخدام ثلاثة من معايير eIDAS الرئيسية كأمثلة، نُظهر كيف تتوافق التكنولوجيا الحديثة على الجهاز تمامًا مع متطلبات التحقق من الهوية هذه:

يمكن افتراض أن الشخص يمتلك دليلًا معترفًا به من قبل الدولة العضو التي يتم فيها تقديم طلب وسيلة الهوية الإلكترونية ويمثل الهوية المزعومة

为了 التحقق من أن المستخدم هو حامل الوثيقة الشرعية، عادة ما تُجرى أنظمة التحقق من الهوية فحوصات بين صورة المستخدم وصورته على الهوية. تقوم أنظمة الموقع / على الجهاز بنفس الفحوصات بدقة مماثلة دون نقل البيانات الحساسة. بعض أنظمة الموقع / على الجهاز قادرة أيضًا على كشف هجمات العرض عندما يستخدم المخترقون لقطات الشاشة والصور المُكبرة – هذا يضمن أن المستخدم موجود حقًا.

يمكن افتراض أن الدليل حقيقي أو موجود وفقًا لمصدر سلطة ويتظهر الدليل على أنه صحيح

لتحقيق هذا المتطلب، يجب أن تكون نظام التحقق من الهوية الذي تختاره قادرًا على تقييم ما إذا كان الوثيقة التي يقدمها المستخدم تظهر على أنها حقيقية وصحيحة. بعض حلول الموقع / على الجهاز تفعل ذلك عن طريق دمج تحليل الهوية مع تقنيات الفورنسيك للوثائق. بناءً على صورة وثيقة واحدة، يمكنهم كشف مختلف التلاعب، بما في ذلك الوثائق المُنشأة بواسطة الذكاء الاصطناعي والصور المُكبرة. يمكنهم أيضًا التحقق من فترات الصلاحية وتحقق البيانات من VIZ و MRZ و NFC لتحديد عدم الاتساق الذي قد يشير إلى التلاعب أو الاحتيال.

الحفاظ على السجلات، بقدر ما يسمح القانون الوطني أو الترتيب الإداري الوطني، وحمايتها طالما أنها مطلوبة لغرض التدقيق و調査 اختراقات الأمان، وبعد ذلك تُدمر السجلات بشكل آمن

هذا المتطلب ليس حول تخزين جميع البيانات الشخصية افتراضيًا، ولكن حول الحفاظ على قابلية النظام للتدقيق. التحدي الحقيقي هو هيكلي: كيف يمكن معالجة بيانات الهوية محليًا مع الحفاظ على قابلية التتبع؟ في رأينا، لا ينبغي نقل البيانات إلا لغرض التدقيق الآمن المحدد، وليس لمعالجتها. قد تشمل النهوج المستقبلية تسجيلًا انتقائيًا أو سجلات التدقيق المشفرة أو آليات تحافظ على قابلية التتبع دون كشف البيانات الشخصية الخام. هذا ليس تقييدًا للنموذج على الموقع / على الجهاز، ولكن تحديًا أوسع لنظم التحقق من الهوية الجديدة.

كما تُظهر، تكنولوجيا الموقع / على الجهاز تُ满ي تمامًا المتطلبات الرئيسية ل eIDAS مع تجنب نقطة الضعف الرئيسية في الإطار. لأنها لا تتطلب تخزينًا أو نقلًا للبيانات، توفر حماية أقوى ضد تسربات البيانات الشخصية أكثر من النهوج البديلة. يمكن أن تدعم هذه التكنولوجيا سير عمل التحقق من الهوية على أي مستوى من مستويات الثقة المطلوبة، من “المنخفض” إلى “المرتفع”.

بنية الموقع / على الجهاز تتجاوز الامتثال ل eIDAS

الامتثال لمتطلبات eIDAS ضروري لأي شركة تعمل في الاتحاد الأوروبي. ومع ذلك، الامتثال وحده لا يكفي لضمان الحماية الفعلية لبيانات العملاء. لإنشاء نظام KYC آمن حقًا، تحتاج الشركات إلى النظر إلى ما وراء الامتثال الرسمي واهتمام وثيق بالخصائص الفنية لحلول التحقق من الهوية التي تستخدمها. في رأينا، الخيار الأكثر أمانًا ليس مورد يقلل فقط من جمع البيانات الشخصية، ولكن مورد يزيل الحاجة إلى جمع ونقل تلك البيانات في كل مرحلة.