सुरक्षित और अनुपालन पहचान सत्यापन का निर्माण करने के लिए ईआईडीएएस 2.0 के युग में

पूरे यूरोपीय संघ में, ईआईडीएएस (इलेक्ट्रॉनिक पहचान, प्रमाणीकरण और विश्वास सेवाएं) एक प्रमुख नियमन है जो निर्धारित करता है कि नागरिक, व्यवसाय और अधिकारी डिजिटल वातावरण में एक दूसरे के साथ कैसे बातचीत करते हैं। 2016 में अपनाया गया, ईआईडीएएस इलेक्ट्रॉनिक पहचान के लिए मानक निर्धारित करता है और संघ भर में डिजिटल बातचीत के लिए कानूनी निश्चितता प्रदान करता है।

अद्यतन संस्करण (ईआईडीएएस 2.0) ने मूल ईआईडीएएस ढांचे में कई महत्वपूर्ण विशेषताएं लाईं। सबसे पहले, यह यूरोपीय डिजिटल पहचान वॉलेट पेश किया, जिसे प्रत्येक यूरोपीय संघ के सदस्य राज्य को 2026 के अंत तक अपने नागरिकों के लिए उपलब्ध कराना होगा। वॉलेट का उद्देश्य सीमा पार डिजिटल बातचीत को और अधिक सरल बनाना है, क्योंकि यह लोगों को अपनी पहचान करने, सत्यापित डेटा संग्रहीत और साझा करने, साथ ही साथ सार्वजनिक और निजी सेवाओं तक पहुंचने की अनुमति देता है।

हालांकि, जैसे ही डिजिटल ऑनबोर्डिंग अधिक मानकीकृत हो जाती है, व्यवसायों को यह नहीं सोचना चाहिए कि उनकी सत्यापन प्रणालियां कैसे बनाई गई हैं। जो वास्तव में महत्वपूर्ण है वह यह है कि क्या संवेदनशील उपयोगकर्ता डेटा को सुरक्षित परिधि के भीतर ऑन-प्रिमाइस या ऑन-डिवाइस आर्किटेक्चर में छोड़े बिना संसाधित किया जा सकता है। व्यवसायों के लिए, इसका मतलब है कि नए ढांचे के साथ केवाईसी वर्कफ्लो को संरेखित करना केवल एक कार्य है। समान रूप से महत्वपूर्ण है प्रौद्योगिकियों का चयन करना जो संवेदनशील डेटा को संग्रहीत और प्रसारित किए बिना अनुपालन का समर्थन करती हैं।

ईआईडीएएस के आश्वासन स्तरों को समझना

ईआईडीएएस नियमों ने इलेक्ट्रॉनिक पहचान के साधनों को जारी करने और उपयोग करने के लिए मानकीकृत किया, जिससे ग्राहकों के लिए डिजिटल सेवाओं में ऑनबोर्डिंग सीमा रहित हो गई। ढांचे ने तीन आश्वासन स्तर (एलओए) परिभाषित किए – प्रत्येक में इलेक्ट्रॉनिक पहचान के लिए मानकों का एक सेट। इन मानकों को केवाईसी प्रदाताओं और पहचान सत्यापन विक्रेताओं को ईआईडीएएस-अनुपालन होने के लिए संरेखित करने की आवश्यकता है।

“निम्न” स्तर एक मूलभूत डिग्री की पहचान की पुष्टि प्रदान करता है, “महत्वपूर्ण” अधिक कठोर जांच के लिए कहता है जिसमें दुरुपयोग की संभावना कम होती है, और “उच्च” पहचान धोखाधड़ी के खिलाफ सबसे मजबूत सुरक्षा के साथ अधिकतम आश्वासन प्रदान करने के लिए है। कंपनियां अपने जोखिम एक्सपोजर, वे जिस डेटा को संभालती हैं और उनकी सेवाओं पर लागू होने वाले किसी भी अन्य नियामक दायित्वों के आधार पर आवश्यक स्तर का चयन करती हैं।

ईआईडीएएस पहचान सत्यापन मानकों की मुख्य ताकत और कमजोरी

ईआईडीएएस पहचान सत्यापन मानकों की एक मुख्य ताकत यह है कि वे पूरे यूरोपीय संघ के लिए एक सामान्य ढांचा बनाते हैं। व्यावहारिक रूप से, इसका मतलब है कि ईआईडीएएस के साथ संरेखित एक पहचान सत्यापन दृष्टिकोण एक मजबूत आधार के रूप में कार्य कर सकता है विभिन्न यूरोपीय संघ के सदस्य देशों में संचालित करने के लिए, प्रत्येक देश के लिए स्क्रैच से बनाने के बजाय।

हमारे विचार में, ईआईडीएएस पहचान सत्यापन मानकों की मुख्य कमजोरी यह है कि वे ऑन-प्रिमाइस / ऑन-डिवाइस सत्यापन प्रौद्योगिकियों के विकास का सक्रिय रूप से समर्थन नहीं करते हैं – जो वास्तव में नागरिकों के व्यक्तिगत डेटा को उल्लंघनों से बचाते हैं और पहचान सत्यापन प्रवाह को बिना रुकावट के बनाते हैं। भंडारण और प्रसारण को नियंत्रित करने वाले ढांचे जोखिम को कम कर सकते हैं, लेकिन वे जोखिम क्षेत्र को खुद नहीं हटाते हैं। प्रत्येक बार जब पहचान डेटा एकत्र किया जाता है या स्थानांतरित किया जाता है, तो यह एक नई रिसाव की संभावना पैदा करता है, और नियामक अनुपालन अकेले इस कमजोरता को पूरी तरह से नहीं हटा सकता है

यह लग सकता है कि ईआईडीएएस यूरोप भर में एक एकीकृत और सुरक्षित पहचान सत्यापन पारिस्थितिकी तंत्र बना रहा है। कई मायनों में, यह निश्चित रूप से एक अधिक सुसंगत और सुविधाजनक बना रहा है। लेकिन क्या यह वास्तव में सुरक्षा का मतलब है? ओसीआर स्टूडियो में, हम मानते हैं कि वास्तविक सुरक्षा केवल तभी प्रदान की जा सकती है जब प्रौद्योगिकियां व्यक्तिगत डेटा को संग्रहीत या प्रसारित किए बिना काम करें। पहचान सत्यापन में, सबसे सुरक्षित आर्किटेक्चर वह नहीं है जो संवेदनशील डेटा को अधिक सावधानी से प्रबंधित करता है, लेकिन वह जो इसे संभालने की आवश्यकता को ही हटा देता है।

एक सुरक्षित और अनुपालन पहचान सत्यापन का निर्माण कैसे करें

चूंकि प्रत्येक ईआईडीएएस आश्वासन स्तर मुख्य रूप से व्यक्तिगत डेटा के भंडारण और प्रसारण को कम करने के सिद्धांत पर आधारित है, ऑन-प्रिमाइस / ऑन-डिवाइस प्रौद्योगिकियां एक पहचान सत्यापन प्रणाली बनाने का सबसे प्रभावी तरीका है जो अनुपालन और वास्तव में सुरक्षित दोनों है। प्रौद्योगिकी के दृष्टिकोण से, ऐसी प्रणालियां बादल बुनियादी ढांचे या बाहरी सर्वर पर निर्भर प्रणालियों की तुलना में बेहतर प्रदर्शन करती हैं, क्योंकि वे तीसरे पक्ष के आउटेज के लिए कमजोर नहीं होती हैं और स्थिर इंटरनेट कनेक्शन के बिना भी काम कर सकती हैं।

नीचे, तीन मुख्य ईआईडीएएस मानकों का उपयोग करके, हम दिखाते हैं कि आधुनिक ऑन-डिवाइस प्रौद्योगिकियां इन पहचान सत्यापन आवश्यकताओं के साथ पूरी तरह से कैसे अनुपालन करती हैं:

“व्यक्ति के पास मान्यता प्राप्त साक्ष्य होने की मान्यता हो सकती है जो सदस्य राज्य द्वारा मान्यता प्राप्त है जिसमें इलेक्ट्रॉनिक पहचान के लिए आवेदन किया जा रहा है और दावा की गई पहचान का प्रतिनिधित्व करता है”

वैध उपयोगकर्ता होने की पुष्टि करने के लिए, सत्यापन प्रणाली आमतौर पर सेल्फी की तुलना आईडी फोटो से करके सेल्फी से आईडी जांच करती है। ऑन-डिवाइस प्रणालियां समान सटीकता के साथ समान जांच करती हैं और संवेदनशील बायोमेट्रिक डेटा को कहीं भी प्रसारित नहीं करती हैं। कुछ ऑन-डिवाइस प्रणालियां अतिरिक्त रूप से प्रस्तुति हमलों का पता लगा सकती हैं जब धोखेबाज स्क्रीन रिकैप्चर और फोटोकॉपी का उपयोग करते हैं – यह सुनिश्चित करता है कि उपयोगकर्ता वास्तव में मौजूद है।

“साक्ष्य को वास्तविक माना जा सकता है, या एक अधिकारी स्रोत के अनुसार अस्तित्व में होने के लिए और साक्ष्य मान्य प्रतीत होता है”

इस आवश्यकता को पूरा करने के लिए, आपको एक पहचान सत्यापन प्रणाली का चयन करना होगा जो यह आकलन कर सके कि उपयोगकर्ता द्वारा प्रस्तुत दस्तावेज़ वास्तविक और वैध है या नहीं। कुछ ऑन-डिवाइस समाधान यह आईडी पहचान के साथ दस्तावेज़ फोरेंसिक प्रौद्योगिकियों को जोड़कर करते हैं। एक दस्तावेज़ फोटो के आधार पर, वे डीपफेक, एआई-जनरेटेड और मॉर्फ्ड आईडी सहित विभिन्न हेरफेर का पता लगा सकते हैं। वे वैधता अवधि की जांच कर सकते हैं और वीआईज़, एमआरजेड और एनएफसी से डेटा को क्रॉस-वैलिडेट कर सकते हैं ताकि छेड़छाड़ या धोखाधड़ी का संकेत देने वाली असंगतताओं की पहचान की जा सके।

“राष्ट्रीय कानून या अन्य राष्ट्रीय प्रशासनिक व्यवस्था द्वारा अनुमति दी गई सीमा तक, और सुरक्षा उल्लंघनों की लेखा परीक्षा और जांच के उद्देश्य से रिकॉर्ड की रक्षा करें, और रिकॉर्ड को सुरक्षित रूप से नष्ट कर दें”

यह आवश्यकता सभी व्यक्तिगत डेटा को डिफ़ॉल्ट रूप से संग्रहीत करने के बारे में नहीं है, लेकिन प्रणाली को लेखा परीक्षा योग्य बनाने के बारे में है। वास्तविक चुनौती वास्तुकला है: पहचान डेटा को स्थानीय रूप से कैसे संसाधित किया जा सकता है जबकि ट्रेसबिलिटी बनी रहती है? हमारे विचार में, डेटा को संसाधित करने के लिए स्थानांतरित नहीं किया जाना चाहिए, लेकिन केवल सख्ती से सीमित और सुरक्षित लेखा परीक्षा उद्देश्यों के लिए। भविष्य के दृष्टिकोण में चयनात्मक लॉगिंग, एन्क्रिप्टेड लेखा परीक्षा रिकॉर्ड, या तंत्र शामिल हो सकते हैं जो व्यक्तिगत डेटा को उजागर किए बिना लेखा परीक्षा योग्यता को बनाए रखते हैं। यह ऑन-डिवाइस मॉडल की एक सीमा नहीं है, लेकिन पहचान सत्यापन प्रणालियों की अगली पीढ़ी के लिए एक व्यापक चुनौती है।

जैसा कि आप देख सकते हैं, ऑन-प्रिमाइस प्रौद्योगिकियां ईआईडीएएस की मुख्य कमजोरी से बचते हुए कुंजी ईआईडीएएस आवश्यकताओं को पूरा करती हैं। चूंकि वे डेटा संग्रहण या प्रसारण की आवश्यकता नहीं है, वे वैकल्पिक दृष्टिकोणों की तुलना में व्यक्तिगत डेटा रिसाव के खिलाफ बहुत मजबूत सुरक्षा प्रदान करते हैं। ऐसी प्रौद्योगिकियां पहचान सत्यापन प्रवाह को किसी भी आवश्यक आश्वासन स्तर पर, “निम्न” से “उच्च” तक, समर्थन कर सकती हैं।

ऑन-प्रिमाइस आर्किटेक्चर ईआईडीएएस अनुपालन से परे जाता है

ईआईडीएएस आवश्यकताओं को पूरा करना यूरोपीय संघ में संचालित करने वाली किसी भी कंपनी के लिए आवश्यक है। हालांकि, अनुपालन अकेले ग्राहक डेटा की वास्तविक सुरक्षा की गारंटी नहीं देता है। एक वास्तविक रूप से सुरक्षित केवाईसी बनाने के लिए, व्यवसायों को न केवल औपचारिक अनुपालन पर ध्यान देना चाहिए, बल्कि उन्हें पहचान सत्यापन समाधानों की तकनीकी विशेषताओं पर भी ध्यान देना चाहिए जो वे उपयोग करते हैं। हमारे विचार में, सबसे सुरक्षित विकल्प वह नहीं है जो केवल व्यक्तिगत डेटा संग्रह को कम करता है, लेकिन वह जो प्रत्येक चरण में उस डेटा को संग्रहीत और प्रसारित करने की आवश्यकता को हटा देता है।