Costruire una Verifica di Identità Sicura e Conforme nell’Età di eIDAS 2.0

In tutta l’Unione Europea, eIDAS (identificazione elettronica, autenticazione e servizi di fiducia) è una delle principali normative che definisce come cittadini, aziende e autorità devono interagire tra loro nell’ambiente digitale. Adottata nel 2016, eIDAS stabilisce gli standard per l’identificazione elettronica e crea certezza giuridica per le interazioni digitali in tutta l’Unione.

La versione aggiornata (eIDAS 2.0) ha introdotto diverse caratteristiche cruciali al quadro originale di eIDAS. In primo luogo, ha introdotto il Portafoglio di Identità Digitale Europeo che ogni stato membro dell’UE deve mettere a disposizione dei suoi cittadini entro la fine del 2026. Il portafoglio è destinato a semplificare ulteriormente le interazioni digitali attraverso le frontiere, poiché consente alle persone di identificarsi, archiviare e condividere dati verificati, nonché accedere a servizi pubblici e privati.

Tuttavia, poiché l’onboarding digitale diventa più standardizzato, le aziende devono pensare non solo alla conformità, ma anche a come sono costruiti i loro sistemi di verifica. Ciò che conta realmente è se i dati sensibili degli utenti possono essere elaborati senza mai lasciare il perimetro sicuro all’interno dell’architettura on-premise o on-device. Per le aziende, ciò significa che allineare i flussi di lavoro KYC con il nuovo quadro è solo una parte del compito. Altrettanto importante è scegliere tecnologie che supportino la conformità senza archiviare e trasmettere dati sensibili in qualsiasi momento.

Comprendere i Livelli di Garanzia di eIDAS

Le regole di eIDAS hanno standardizzato come i mezzi di identificazione elettronica devono essere rilasciati e utilizzati, il che ha reso l’onboarding nei servizi digitali senza soluzione di continuità per i clienti indipendentemente dal paese dell’UE da cui provengono. Il quadro definisce tre Livelli di Garanzia (LoA) – ognuno contenente un set di standard per l’identificazione elettronica. Questi standard sono esattamente ciò di cui hanno bisogno i fornitori di KYC e i venditori di verifica di identità per allinearsi se desiderano presentarsi come conformi a eIDAS.

Il livello “basso” offre un grado di base di certezza su un’identità dichiarata, “sostanziale” richiede controlli più rigorosi con meno possibilità di abuso, e “alto” è destinato a fornire la massima garanzia, supportata dalle più forti protezioni contro la frode di identità. Le aziende scelgono il livello di cui hanno bisogno in base alla loro esposizione al rischio, alla sensibilità dei dati che gestiscono e ad altre obbligazioni normative che si applicano ai loro servizi.

La Principale Forza e Debolezza degli Standard di Verifica di Identità di eIDAS

Una delle principali forze degli standard di verifica di identità di eIDAS è che creano un quadro comune per l’intera Unione Europea. In termini pratici, ciò significa che un approccio di verifica di identità progettato per allinearsi con eIDAS può servire come solida base per operare in diversi stati membri dell’UE, piuttosto che essere ricostruito da zero per ogni paese.

La principale debolezza degli standard di verifica di identità di eIDAS, a nostro parere, è che non supportano attivamente lo sviluppo di tecnologie di verifica on-premise / on-device – quelle che proteggono veramente i dati personali dei cittadini da violazioni e garantiscono flussi di lavoro di verifica di identità senza soluzione di continuità. I quadri che regolano l’archiviazione e la trasmissione possono ridurre il rischio, ma non rimuovono la superficie di rischio stessa. Ogni volta che i dati di identità vengono raccolti o trasmessi, si crea una nuova opportunità di perdita, e la conformità normativa da sola non può eliminare completamente quella vulnerabilità.

Potrebbe sembrare che eIDAS stia costruendo un ecosistema di verifica di identità unificato e sicuro in tutta Europa. In molti modi, sta certamente creando un ecosistema più coerente e conveniente. Ma ciò significa realmente sicurezza? A OCR Studio, crediamo che la vera protezione possa essere fornita solo da tecnologie che non richiedono l’archiviazione o la trasmissione di dati personali in primo luogo. Nella verifica di identità, l’architettura più sicura non è quella che gestisce i dati sensibili con maggiore cura, ma quella che rimuove la necessità di gestirli in assoluto.

Costruire una Verifica di Identità Sicura e Conforme

Poiché ogni livello di garanzia di eIDAS è costruito in gran parte intorno al principio di minimizzare l’archiviazione e la trasmissione di dati personali, le tecnologie on-premise / on-device sono il modo più efficace per costruire un sistema di verifica di identità che sia sia conforme che realmente sicuro. Da un punto di vista tecnico, tali sistemi superano le architetture che si basano su infrastrutture cloud o server esterni, poiché non sono vulnerabili a interruzioni di terze parti e possono funzionare anche senza una connessione internet stabile.

Di seguito, utilizzando tre dei principali standard di eIDAS come esempi, mostriamo come le tecnologie on-device moderne sono pienamente conformi a questi requisiti di verifica di identità:

“La persona può essere considerata in possesso di prove riconosciute dallo Stato membro in cui si sta facendo la richiesta di mezzi di identità elettronica e rappresentanti l’identità dichiarata”

Per verificare che l’utente sia il legittimo titolare del documento, i sistemi di verifica eseguono usualmente controlli selfie-to-ID confrontando la foto del presentatore con la foto dell’ID. I sistemi on-device eseguono gli stessi controlli con la stessa accuratezza senza trasmettere dati biometrici sensibili in qualsiasi luogo. Alcuni sistemi on-device sono inoltre in grado di rilevare attacchi di presentazione quando i truffatori utilizzano recaptures e fotocopiature – ciò garantisce che l’utente sia veramente presente.

“Le prove possono essere considerate autentiche, o esistere secondo una fonte autorevole e le prove appaiono valide”

Per soddisfare questo requisito, un sistema di verifica di identità deve essere in grado di valutare se il documento presentato dall’utente appare autentico e valido. Alcune soluzioni on-device fanno ciò combinando il riconoscimento dell’ID con tecnologie di forensi dei documenti. In base a una sola foto del documento, possono rilevare varie manipolazioni, tra cui deepfakes, ID generate da AI e ID morfate. Possono anche controllare i periodi di validità e convalidare i dati da VIZ, MRZ e NFC per identificare eventuali incongruenze che potrebbero indicare manomissioni o frodi.

“Conservare, per quanto consentito dalla legge nazionale o da altri accordi amministrativi nazionali, e proteggere i registri per il tempo necessario per lo scopo di audit e indagine delle violazioni di sicurezza, e conservazione, dopo di che i registri devono essere distrutti in modo sicuro”

Questo requisito non riguarda l’archiviazione di tutti i dati personali per impostazione predefinita, ma riguarda la conservazione della tracciabilità del sistema. La vera sfida è architettonica: come possono i dati di identità essere elaborati localmente mentre si mantiene la tracciabilità? A nostro parere, i dati non dovrebbero essere trasferiti per l’elaborazione, ma solo per scopi di audit strettamente limitati e sicuri. Gli approcci futuri potrebbero includere la registrazione selettiva, i registri di audit crittografati o meccanismi che preservano la tracciabilità senza esporre i dati personali grezzi. Ciò non è una limitazione del modello on-device, ma una sfida più ampia per la prossima generazione di sistemi di verifica di identità.

Come si può vedere, le tecnologie on-premise soddisfano appieno i principali requisiti di eIDAS evitando la principale debolezza del quadro. Poiché non richiedono l’archiviazione o la trasmissione di dati, forniscono una protezione molto più forte contro le perdite di dati personali rispetto agli approcci alternativi. Tali tecnologie possono supportare flussi di lavoro di verifica di identità a qualsiasi livello di garanzia richiesto, da “basso” ad “alto”.

L’Architettura On-Premise Va Oltre la Conformità a eIDAS

Soddisfare i requisiti di eIDAS è essenziale per qualsiasi azienda che opera nell’UE. Tuttavia, la conformità da sola non è sufficiente per garantire una reale protezione dei dati dei clienti. Per costruire una vera KYC sicura, le aziende devono guardare oltre la conformità formale e prestare attenzione alle caratteristiche tecniche delle soluzioni di verifica di identità che utilizzano. A nostro parere, la scelta più sicura non è un fornitore che semplicemente minimizza la raccolta di dati personali, ma uno che rimuove la necessità di raccogliere e trasmettere quei dati a ogni fase.