Bygning af sikker og compliant identitetsverificering i eIDAS 2.0-tiden

På tværs af Den Europæiske Union er eIDAS (elektronisk identifikation, autentificering og tillidsværdige tjenester) en af de vigtigste reguleringer, der definerer, hvordan borgere, virksomheder og myndigheder skal interagere med hinanden i det digitale miljø. Vedtaget i 2016 fastsætter eIDAS standarder for elektronisk identifikation og skaber retssikkerhed for digitale interaktioner i hele Unionen.

Den opdaterede version (eIDAS 2.0) har ført flere afgørende funktioner til den oprindelige eIDAS-ramme. Først og fremmest introducerede den Den Europæiske Digital Identitetsmappe, som hver EU-medlemsstat skal gøre tilgængelig for sine borgere senest i 2026. Mappen er ment til at simplificere digitale interaktioner på tværs af grænser endnu mere, da den giver mulighed for, at folk kan identificere sig selv, gemme og dele verificerede data samt få adgang til både offentlige og private tjenester.

Men da digital onboarding bliver mere standardiseret, skal virksomheder tænke ikke kun på overholdelse, men også på, hvordan deres verificeringssystemer er bygget. Det, der virkelig betyder noget, er, om følsomme brugerdata kan behandles uden at forlade det sikre område inden for on-premise- eller on-device-arkitektur. For virksomheder betyder det, at det at bringe KYC-workflows i overensstemmelse med den nye ramme kun er en del af opgaven. Lige så vigtigt er det at vælge teknologier, der understøtter overholdelse uden at gemme og transmittere følsomme data noget sted.

Forståelse af eIDAS-niveauer for tillid

eIDAS-regler standardiserede, hvordan elektroniske identifikationsmidler skal udstedes og bruges, hvilket gjorde onboarding i digitale tjenester problemfrit for kunder uanset, hvilket EU-land de kommer fra. Rammen definerer tre niveauer for tillid (LoA) – hver med en samling standarder for elektronisk identifikation. Disse standarder er præcis, hvad KYC-udbydere og identitetsverificeringsleverandører skal bringe i overensstemmelse med, hvis de ønsker at præsentere sig selv som eIDAS-overholdelige.

“Lav” niveau tilbyder en grundlæggende grad af sikkerhed om en påstået identitet, “substantiel” kræver mere omfattende kontroller med færre chancer for misbrug, og “høj” er beregnet til at levere maksimal sikkerhed, bakket op af de stærkeste beskyttelser mod identitetsfraud. Virksomheder vælger det niveau, de har brug for, baseret på deres risikoeksponering, følsomheden af de data, de behandler, og eventuelle andre regulative forpligtelser, der gælder for deres tjenester.

Hovedstyrken og -svaghed ved eIDAS-identitetsverificeringsstandarder

En af de vigtigste styrker ved eIDAS-identitetsverificeringsstandarder er, at de skaber en fælles ramme for hele Den Europæiske Union. I praksis betyder det, at en identitetsverificerings tilgang, der er designet til at være i overensstemmelse med eIDAS, kan fungere som en stærk grundlag for at operere i forskellige EU-medlemsstater, i stedet for at skulle bygges fra bunden op for hvert land.

Hovedsvagheden ved eIDAS-identitetsverificeringsstandarder, i vores mening, er, at de ikke aktivt understøtter udviklingen af on-premise-/on-device-verificeringsteknologier – dem, der virkelig beskytter borgeres personlige data mod brud og sikrer friktionsfrie identitetsverificeringsworkflows. Rammer, der regulerer lagring og transmission, kan reducere risikoen, men de fjerner ikke selv risikofladerne. Hver gang identitetsdata indsamles eller overføres, skabes en ny mulighed for lækkage, og regulativ overholdelse alene kan ikke fuldstændigt fjerne denne sårbarhed.

Det kan synes, som om eIDAS bygger en samlet og sikker identitetsverificeringsøkosystem på tværs af Europa. På mange måder skaber det sandsynligvis en mere konsekvent og bekvem en. Men betyder det virkelig sikkerhed? Hos OCR Studio mener vi, at sand beskyttelse kun kan leveres af teknologier, der ikke kræver, at personlige data gemmes eller transmitteres fra starten. I identitetsverificering er den sikreste arkitektur ikke den, der håndterer følsomme data mere omhyggeligt, men den, der fjerner behovet for at håndtere det overhovedet.

Hvordan man bygger en sikker og compliant identitetsverificering

Da hvert eIDAS-tillidsniveau i høj grad er bygget op omkring principperne for at minimere lagring og transmission af personlige data, er on-premise-/on-device-teknologier den mest effektive måde at bygge et identitetsverificeringssystem, der både er compliant og virkelig sikret. Fra et teknisk synspunkt overgår sådanne systemer arkitekturer, der afhænger af cloud-infrastruktur eller eksterne servere, da de ikke er sårbare over for tredjepartsfejl og kan fungere, selv uden en stabil internetforbindelse.

Nedenfor viser vi, ved hjælp af tre af de vigtigste eIDAS-standarder som eksempler, hvordan moderne on-device-teknologier fuldt ud overholder disse identitetsverificeringskrav:

“Personen kan antages at være i besiddelse af bevis, der anerkendes af den medlemsstat, hvor ansøgningen om elektroniske identitetsmidler indgives, og som repræsenterer den påståede identitet”

For at verificere, at brugeren er den legitime dokumentejer, udfører verificeringssystemer normalt selvportrættil-ID-kontroller ved at sammenligne præsentørens selvportræt med ID-fotoet. On-device-systemer udfører de samme kontroller med samme nøjagtighed uden at transmittere følsomme biometriske data noget sted. Nogle on-device-systemer kan desuden detektere præsentationsangreb, når svindlere bruger skærmbilleder og fotokopier – dette sikrer, at brugeren virkelig er til stede.

“Beviset kan antages at være ægte, eller at eksistere ifølge en autoritativ kilde, og beviset synes at være gyldigt”

For at opfylde dette krav skal et identitetsverificeringssystem, du vælger, være i stand til at vurdere, om dokumentet, der præsenteres af brugeren, synes at være ægte og gyldigt. Nogle on-device-løsninger gør dette ved at kombinere ID-genkendelse med dokumentforensisk teknologi. Baseret på et enkelt dokumentbillede kan de detektere forskellige manipulationer, herunder deepfakes, AI-genererede og morfede ID’er. De kan også kontrollere gyldighedsperioder og krydskontrollere data fra VIZ, MRZ og NFC for at identificere inkonsistenser, der kan indikere manipulation eller svindel.

“Gem, så vidt det er tilladt af national lovgivning eller anden national administrativ ordning, og beskyt records, så længe de er nødvendige for formålet med revision og undersøgelse af sikkerhedsbrud, og gemme, efterfulgt af, at records skal destrueres sikkert”

Dette krav handler ikke om at gemme alle personlige data som standard, men om at holde systemet revisionssikret. Den virkelige udfordring er arkitektonisk: hvordan kan identitetsdata behandles lokalt, mens sporbarhed bevares? I vores mening skal data ikke overføres til behandling, men kun for strengt begrænsede og sikre revisionsformål. Fremtidige tilgange kan omfatte selektiv logging, krypterede revisionsposter eller mekanismer, der bevare sporbarhed uden at udsætte rå personlige data. Dette er ikke en begrænsning af on-device-modellen, men en bredere udfordring for den næste generation af identitetsverificeringssystemer.

Som du kan se, on-premise-teknologier opfylder fuldt ud de vigtigste eIDAS-krav, samtidig med at de undgår rammeværkets hovedsvaghed. Fordi de ikke kræver datalagring eller transmission, giver de langt stærkere beskyttelse mod personlige datalekkager end alternative tilgange. Sådanne teknologier kan understøtte identitetsverificeringsworkflows på ethvert nødvendigt tillidsniveau, fra “lav” til “høj”.

On-premise-arkitektur går ud over eIDAS-overholdelse

At opfylde eIDAS-kravene er afgørende for enhver virksomhed, der opererer i EU. Men overholdelse alene er ikke nok til at garantere reel beskyttelse af kundedata. For at bygge en virkelig sikker KYC skal virksomheder se ud over formel overholdelse og lægge stor vægt på de tekniske karakteristika af de identitetsverificeringsløsninger, de bruger. I vores mening er det sikreste valg ikke en leverandør, der blot minimiserer indsamling af personlige data, men en, der fjerner behovet for at indsamle og transmittere disse data på ethvert stadium.