Национальная стратегия по надежным удостоверениям личности в киберпространстве
Национальная стратегия по обеспечению надежной идентификации в киберпространстве (NSTIC) — это инициатива правительства США , объявленная в апреле 2011 года, направленная на улучшение конфиденциальности, безопасности и удобства конфиденциальных онлайн-транзакций посредством совместных усилий с частным сектором, правозащитными группами, правительственными учреждениями и другими организациями. [1]
Стратегия представляла собой онлайн-среду, в которой отдельные лица и организации могут доверять друг другу, поскольку они идентифицируют и аутентифицируют свои цифровые удостоверения, а также цифровые удостоверения организаций и устройств. [2] Его продвигали с целью предложить, но не обязать, более строгую идентификацию и аутентификацию, одновременно защищая конфиденциальность путем ограничения объема информации, которую люди должны раскрывать. [3]
Описание
[ редактировать ]Стратегия была разработана при участии лоббистов частного сектора , включая организации, представляющие 18 бизнес-групп, 70 некоммерческих и федеральных консультативных групп, а также комментариев и диалога общественности.
Стратегия имела четыре руководящих принципа: [4]
- повышающая конфиденциальность и добровольная
- безопасный и устойчивый
- совместимый
- экономичный и простой в использовании.
NSTIC описал видение по сравнению с экосистемой , в которой отдельные лица, предприятия и другие организации пользуются большим доверием и безопасностью при проведении конфиденциальных транзакций в Интернете. В таком воображаемом мире технологии, политики и согласованные стандарты будут надежно поддерживать транзакции, варьирующиеся от анонимных до полностью аутентифицированных, от низкой до высокой стоимости.Реализация включала три инициативы:
- Руководящая группа по экосистеме идентичности (IDESG), организация под руководством частного сектора, разрабатывающая структуру экосистемы идентичности; [5]
- Финансирование пилотных проектов, которые, по словам NSTIC, охватывают и продвигают руководящие принципы; [6] и
- Федеральная биржа облачных учетных данных (FCCX), [7] Служба федерального правительства США, позволяющая правительственным учреждениям принимать учетные данные, выданные третьими лицами, утвержденные в соответствии со схемой FICAM.
О NSTIC было объявлено во время президентства Барака Обамы, ближе к концу его первого срока, 15 апреля 2011 года. [1] В журнальной статье говорилось, что люди могут безопасно подтверждать свою личность для конфиденциальных транзакций (например, банковских операций или просмотра медицинских записей) и позволять им оставаться анонимными, когда это не так (например, ведение блога или просмотр веб-страниц). [8]
В январе 2011 года Министерство торговли США учредило Национальный программный офис (NPO), возглавляемый Национальным институтом стандартов и технологий , для помощи в реализации NSTIC. [9] Для координации реализации деятельности федеральных агентств НКО работает с координатором по кибербезопасности Белого дома , первоначально Говардом Шмидтом . [3] а затем после 2012 года Майкл Дэниел. [10]
Руководящая группа
[ редактировать ]NSTIC созвал руководящую группу под руководством частного сектора для управления разработкой и принятием своей структуры. Руководящая группа по экосистеме идентичности (IDESG) провела встречу в Чикаго 15–16 августа 2012 г. [11] На встрече присутствовало 195 участников лично и 315 участников удаленно. Дополнительные пленарные заседания состоялись в Финиксе, штат Аризона , [12] Санта-Клара, Калифорния [13] и Бостон, Массачусетс . В рамках гранта с 2012 по 2014 год административным органом группы была Trusted Federal Systems, Inc. [14]
Пилоты
[ редактировать ]Федеральное правительство инициировало и поддержало пилотные программы. В 2012 году NSTIC выделил 9 миллионов долларов на пилотные проекты в первый год. Например, Американская ассоциация администраторов транспортных средств разрабатывала демонстрацию учетных данных коммерческих поставщиков удостоверений правительством штата Вирджиния , включая безопасную проверку личности в Интернете с Департаментом транспортных средств Вирджинии. [15] Интернет2 . получил на исследования около $1,8 млн [15] ID.me получил двухлетний грант в 2013 году. [16]
Дальнейшая работа, финансируемая NIST, находится на их веб-странице группы Trusted Identities. [17]
Федеральная облачная биржа учетных данных
[ редактировать ]NSTIC призвал федеральные правительственные учреждения США первыми внедрить экосистему идентичности, предусмотренную в NSTIC. [7] Агентства изо всех сил пытались внедрить его для услуг, которые они предоставляют внутри и снаружи. Технические, политические и ценовые барьеры затрудняли прием сторонних поставщиков учетных данных, аккредитованных в рамках Федеральной инициативы по управлению идентификацией, учетными данными и доступом (FICAM). [18]
В ответ Белый дом создал группу Federal Cloud Credential Exchange (FCCX) под сопредседательством NSTIC и Управления общих служб . Команда состояла из представителей агентств, к приложениям которых имеет доступ большое количество внешних клиентов. В ноябре 2012 года Почтовая служба США была выбрана для управления пилотной версией FCCX и заключила контракт на ее создание с компанией SecureKey Technologies, членом FIDO Alliance . Контракт был продлен в мае 2015 года. [19] [20]
Connect.gov
[ редактировать ]Connect.gov был запущен в декабре 2014 года, в рамках этого пилотного проекта. Первыми двумя компаниями, предоставившими отдельным гражданам США услуги по управлению идентификацией, совместимые с Connect.gov, были ID.me и Verizon. [21] Ping Identity и Forgerock были первыми программными платформами, которые предоставили учетные данные, соответствующие стандарту FICAM, и позволили организациям частного сектора безопасно подключаться к государственным учреждениям, что является основной целью этого проекта. [22] [23]
Login.gov
[ редактировать ]10 мая 2016 г. 18F объявил в записи в блоге, что Connect.gov будет заменен. [24] [25] Система замены будет называться Login.gov . [26] и запущен в апреле 2017 года. [27]
Руководящая группа экосистемы идентичности
[ редактировать ]Группа управления экосистемой идентичности (IDESG) получила стартовое финансирование от NIST в 2010 году и с тех пор создала серию документов, которые доступны на их веб-сайте. [28] В 2016 году они представили реестр Identity Ecosystem Framework (IDEF). [29] для самооценки.
Критика
[ редактировать ]Предложение вызвало критику, поскольку оно было опубликовано в виде проекта в июне 2010 года. [3] [30] Основное внимание уделяется последствиям этого предложения для конфиденциальности.
Вскоре после публикации проекта Информационный центр электронной конфиденциальности (EPIC) вместе с другими организациями по защите прав потребителей и гражданских свобод направил комитету заявление в ответ на проект политики NSTIC, в котором просил разработать более четкий и полный план по созданию и защите Интернета. права и конфиденциальность пользователей. [31] Хотя глава EPIC Марк Ротенберг назвал NSTIC «историческим», он также предупредил, что «... онлайн-идентификация является сложной проблемой, и риск «кибер- кражи личных данных » с помощью консолидированных систем идентификации очень реален. США необходимо будет делать больше для защиты конфиденциальности в Интернете». [32]
NSTIC решил некоторые первоначальные проблемы конфиденциальности в своем документе о принципах честной информационной практики 2013 года. [33] Последующие инициативы были направлены на улучшение конфиденциальности. Например, Американский союз гражданских свобод и Electronic Frontier Foundation участвовали в работе комитета по конфиденциальности IDESG.
Ссылки
[ редактировать ]- ^ Jump up to: а б «Администрация публикует стратегию защиты онлайн-потребителей и поддержки инноваций и информационный бюллетень о национальной стратегии по доверенной идентификации в киберпространстве» . Пресс-релиз . Офис Белого дома. 15 апреля 2011 года . Проверено 9 ноября 2013 г.
- ^ «Национальная стратегия надежной идентификации в киберпространстве» (PDF) . 14 апреля 2011 года . Проверено 9 сентября 2017 г.
- ^ Jump up to: а б с Говард А. Шмидт (25 июня 2010 г.). «Национальная стратегия по обеспечению надежной идентификации в киберпространстве» . Белый дом . Проверено 5 сентября 2023 г. - из Национального архива .
- ^ «Соблюдение руководящих принципов NSTIC | Руководящая группа по экосистеме идентичности» . Архивировано из оригинала 15 августа 2013 г. Проверено 16 августа 2013 г.
- ^ «Структура экосистемы идентичности | Руководящая группа по экосистеме идентичности» . Архивировано из оригинала 29 июня 2013 г. Проверено 16 августа 2013 г.
- ^ Бекл, Кейтлин (29 апреля 2016 г.). «Пилотные проекты и партнеры» . nist.gov . Архивировано из оригинала 7 июля 2016 г.
- ^ Jump up to: а б «Включение ФРС в федерацию: правительство США как ранний приверженец экосистемы идентичности – я думаю, поэтому IAM» .
- ^ Мат Хонан (15 ноября 2012 г.). «Убейте пароль: почему строка символов больше не может нас защитить» . Лаборатория проводных гаджетов . Проверено 9 ноября 2013 г.
- ^ «Офис национальной программы планирует внедрить стратегию надежной идентификации в Интернете» . Пресс-релиз . НИСТ. 19 января 2011 года . Проверено 10 ноября 2013 г.
- ^ «Майкл Дэниэл: специальный помощник президента и координатор по кибербезопасности» . Белый дом . Проверено 9 ноября 2013 г. - из Национального архива .
- ^ «Управляющая группа Identity Ecosystem | Создана для управления разработкой политики, стандартов и процессов аккредитации для Identity Ecosystem Framework» . Архивировано из оригинала 09.11.2013 . Проверено 16 августа 2013 г.
- ^ «Пленарное заседание в феврале 2013 г. | Руководящая группа по экосистеме идентичности» . Архивировано из оригинала 10 августа 2013 г. Проверено 16 августа 2013 г.
- ^ «Пленарное заседание в мае 2013 г. | Руководящая группа по экосистеме идентичности» . Архивировано из оригинала 8 августа 2013 г. Проверено 16 августа 2013 г.
- ^ «NSTIC приветствует доверенные федеральные системы в качестве секретариата руководящей группы экосистемы идентификации» . Блог НСТИК . 12 июля 2012 года . Проверено 9 ноября 2013 г.
- ^ Jump up to: а б «Пять пилотных проектов получают гранты на повышение безопасности и конфиденциальности в Интернете» . Пресс-релиз . НИСТ. 20 сентября 2012 года . Проверено 10 ноября 2013 г.
- ^ «НСТИК, ID.me, Inc» . www.nist.gov . Национальный институт стандартов и технологий . Проверено 21 февраля 2015 г.
- ^ «Группа доверенных лиц» . НИСТ.
- ^ «Дорожная карта FICAM и руководство по реализации | IDManagement.gov» . Архивировано из оригинала 19 августа 2013 г. Проверено 16 августа 2013 г.
- ^ «SecureKey Technologies выигрывает контракт с Почтовой службой США на внедрение федерального облачного обмена учетными данными — SecureKey» .
- ^ Фонтана, Джон. «Connect.Gov укрепляется и расширяет план удостоверений личности для федеральных агентств — ZDNet» . ЗДНет . Архивировано из оригинала 2 мая 2015 года.
- ^ «Connect.gov — это последняя попытка получить поддержку в управлении онлайн-идентификаторами» . 22 декабря 2014 г.
- ^ Фонтана, Джон (30 апреля 2015 г.). «Connect.Gov укрепляется и расширяет план удостоверений личности для федеральных агентств» . ЗД Нет. Архивировано из оригинала 2 мая 2015 года . Проверено 6 мая 2015 г.
- ^ Миллер, Джейсон (22 декабря 2014 г.). «Connect.gov — это последняя попытка получить поддержку в управлении онлайн-идентификаторами» . Федеральное новостное радио . Проверено 6 мая 2015 г.
- ^ «18F: Предоставление цифровых услуг | Создание современной общей платформы аутентификации» . Проверено 2 июля 2017 г.
- ^ «Федералы отказываются от Connect.Gov — SecureIDNews» . Новости SecureID . Проверено 2 июля 2017 г.
- ^ «Login.Gov заменяет Connect.Gov — SecureIDNews» . Новости SecureID . Проверено 2 июля 2017 г.
- ^ «18F: Предоставление цифровых услуг | Правительство запускает сайт Login.gov, чтобы упростить доступ к государственным услугам» . 18f.gsa.gov . Проверено 16 февраля 2018 г.
- ^ «Управляющая группа экосистемы идентичности» .
- ^ «Реестр Identity Ecosystem Framework (IDEF)» .
- ^ Лэнс Уитни (28 июня 2010 г.). «Белый дом разрабатывает план обеспечения безопасности в киберпространстве» . Новости CNet . Проверено 9 ноября 2013 г.
- ^ Лилли Кони; и др. (23 сентября 2010 г.). «Заявление о Национальной стратегии по обеспечению доверенной идентификации в сфере кибербезопасности, создающей возможности для повышения безопасности и конфиденциальности в Интернете» (PDF) . Privacy International и электронный информационный центр по вопросам конфиденциальности . Проверено 9 ноября 2013 г.
- ^ Центр. «EPIC — Национальная стратегия доверенных идентификационных данных в киберпространстве (NSTIC)» . эпик.орг .
- ^ «Приложение A – Принципы добросовестной информационной практики» (PDF) . НСТИЦ. 4 апреля 2013 г.