Bygging av sikre og kompatible identitetsverifiseringer i eIDAS 2.0-æraen

I hele Den europeiske union er eIDAS (elektronisk identifisering, autentisering og tillitsbaserte tjenester) en av de viktigste reguleringene som definerer hvordan borgere, bedrifter og myndigheter må samhandle med hverandre i det digitale miljøet. Vedtatt i 2016, setter eIDAS standarder for elektronisk identifisering og skaper rettslig sikkerhet for digitale interaksjoner i hele unionen.

Den oppdaterte versjonen (eIDAS 2.0) innførte flere avgjørende funksjoner i den opprinnelige eIDAS-rammen. Først og fremst innførte den Den europeiske digitale identitetslommen som hver EU-medlemsstat må gjøre tilgjengelig for sine borgere innen utgangen av 2026. Lommen er ment å forenkle digitale interaksjoner over grensene enda mer, ettersom den tillater mennesker å identifisere seg selv, lagre og dele verifiserte data, samt få tilgang til både offentlige og private tjenester.

Men når digital påmelding blir mer standardisert, må bedrifter tenke ikke bare på overholdelse, men også på hvordan deres verifiseringssystemer er bygget. Det som virkelig teller, er om følsomme brukerdata kan behandles uten å forlate det sikre området innen på lokal eller enhetsarkitektur. For bedrifter betyr dette at å tilpasse KYC-arbeidsflyter med den nye rammen bare er en del av oppgaven. Like viktig er å velge teknologier som støtter overholdelse uten å lagre og overføre følsomme data noen gang.

Forståelse av eIDAS-nivåer for sikkerhet

eIDAS-regler standardiserte hvordan elektroniske identifiseringsmidler må utstedes og brukes, noe gjorde påmelding i digitale tjenester sømløs for kunder uansett hvilket EU-land de kommer fra. Rammen definerer tre nivåer for sikkerhet (LoA) – hver med en samling standarder for elektronisk identifisering. Disse standardene er nettopp det KYC-leverandører og identitetsverifiseringstjenesteleverandører må tilpasse seg hvis de ønsker å presentere seg selv som eIDAS-kompatible.

“Lavt” nivå tilbyr en grunnleggende grad av sikkerhet om en påstått identitet, “betydelig” krever mer omfattende sjekker med færre sjanser for misbruk, og “høyt” er ment å levere maksimal sikkerhet, bakket opp av de sterkeste beskyttelsene mot identitetsjuks. Bedrifter velger nivået de trenger basert på deres risikoen, sensitiviteten av dataene de behandler, og andre regulatoriske forpliktelser som gjelder for deres tjenester.

Hovedstyrken og -svakheten til eIDAS-identitetsverifiseringsstandarder

En av hovedstyrkene til eIDAS-identitetsverifiseringsstandarder er at de skaper en felles ramme for hele Den europeiske union. I praksis betyr dette at en identitetsverifiseringsmetode designet for å tilpasse seg eIDAS kan fungere som en sterk basis for å operere i forskjellige EU-medlemsstater, i stedet for å måtte bygges fra scratch for hvert land.

Hovedsvakheten til eIDAS-identitetsverifiseringsstandarder, ifølge vår mening, er at de ikke aktivt støtter utviklingen av lokale / enhetsbaserte verifiseringsteknologier – de som virkelig beskytter borgernes personlige data mot brudd og sikrer friksjonsløse identitetsverifiseringsarbeidsflyter. Rammer som regulerer lagring og overføring kan redusere risiko, men de fjerner ikke risikoflaten i seg selv. Hver gang identitetsdata samles inn eller overføres, skapes en ny mulighet for lekkasje, og regulatorisk overholdelse alene kan ikke fjerne denne sårbarheten.

Det kan se ut som om eIDAS bygger en samlet og sikker identitetsverifiseringsøkosystem over hele Europa. På mange måter er det faktisk skapt en mer konsistent og praktisk en. Men betyr dette virkelig sikkerhet? Hos OCR Studio tror vi at virkelig beskyttelse bare kan leveres av teknologier som ikke krever at personlige data lagres eller overføres i det hele tatt. I identitetsverifisering er den sikreste arkitekturen ikke den som håndterer følsomme data mer forsiktig, men den som fjerner behovet for å håndtere det overhodet.

Hvordan bygge en sikker og kompatibel identitetsverifisering

Ettersom hvert eIDAS-sikkerhetsnivå i stor grad er bygget rundt prinsippet om å minimere lagring og overføring av personlige data, er lokale / enhetsbaserte teknologier den mest effektive måten å bygge en identitetsverifiseringsystem som er både kompatibel og virkelig sikker. Fra et teknisk synspunkt overstiger slike systemer arkitekturer som er avhengige av skyinfrastruktur eller eksterne servere, ettersom de ikke er sårbare for tredjepartsavbrudd og kan fungere selv uten en stabil internettforbindelse.

Nedenfor, ved å bruke tre av hovedeIDAS-standardene som eksempler, viser vi hvordan moderne enhetsbaserte teknologier fullt ut overholder disse identitetsverifiseringskravene:

“Personen kan antas å være i besittelse av bevis som er anerkjent av medlemsstaten der søknaden om elektroniske identitetsmidler blir fremmet og som representerer den påståtte identiteten”

For å verifisere at brukeren er den legitime dokumenteieren, gjennomfører verifiseringssystemer vanligvis selfie-til-ID-sjekker ved å sammenligne presentørens selfie med ID-fotoet. Enhetsbaserte systemer utfører de samme sjekker med samme nøyaktighet uten å overføre følsomme biometriske data noen gang. Noen enhetsbaserte systemer er i tillegg i stand til å påvise presentasjonsangrep når bedragere bruker skjermgjengivelser og fotokopier – dette sikrer at brukeren virkelig er til stede.

“Beviset kan antas å være ekte, eller å eksistere ifølge en autoritativ kilde og beviset ser ut til å være gyldig”

For å møte dette kravet, må et identitetsverifiseringsystem du velger kunne vurdere om dokumentet presentert av brukeren ser ut til å være ekte og gyldig. Noen enhetsbaserte løsninger gjør dette ved å kombinere ID-gjenkjenning med dokumentforensiske teknologier. Basert på et enkelt dokumentfoto, kan de detektere ulike manipulasjoner, inkludert deepfakes, AI-genererte og morfede ID-er. De kan også sjekke gyldighetsperioder og kryssvalideringsdata fra VIZ, MRZ og NFC for å identifisere inkonsistenser som kan indikere manipulasjon eller bedrageri.

“Oppbevar, så langt det er tillatt av nasjonal lov eller annen nasjonal administrativ ordning, og beskytt rekorder så lenge de er nødvendige for formålet med auditing og etterforskning av sikkerhetsbrudd, og oppbevaring, etterfulgt av at rekordene skal ødelegges på en sikker måte”

Dette kravet handler ikke om å lagre alle personlige data som standard, men om å holde systemet auditable. Den virkelige utfordringen er arkitektonisk: hvordan kan identitetsdata behandles lokalt mens sporbarhet bevares? Ifølge vår mening bør data ikke overføres for prosessering, men bare for strengt begrensede og sikre auditformål. Fremtidige tilnærminger kan inkludere selektiv logging, krypterte auditposter eller mekanismer som bevare auditable uten å avsløre rå personlige data. Dette er ikke en begrensning av enhetsmodellen, men en bredere utfordring for den neste generasjonen av identitetsverifiseringsystemer.

Som du kan se, lokale teknologier overholder fullt ut de viktigste eIDAS-kravene samtidig som de unngår rammens hovedsvakhet. Fordi de ikke krever data lagring eller overføring, tilbyr de mye sterkere beskyttelse mot personlige datalekkasjer enn alternative tilnærminger. Slike teknologier kan støtte identitetsverifiseringsarbeidsflyter på ethvert nødvendig sikkerhetsnivå, fra “lavt” til “høyt”.

Lokal arkitektur går utenfor eIDAS-overholdelse

Å møte eIDAS-kravene er essensielt for enhver virksomhet som opererer i EU. Men overholdelse alene er ikke nok til å garantere virkelig beskyttelse av kundedata. For å bygge en virkelig sikker KYC, må bedrifter se utover formal overholdelse og legge nære merke til de tekniske karakteristikkene til identitetsverifiseringsløsningene de bruker. Ifølge vår mening er det tryggeste valget ikke en leverandør som bare minimerer personlig datasamling, men en som fjerner behovet for å samle inn og overføre data på ethvert stadium.