Национальная стратегия надежной идентификации в киберпространстве - National Strategy for Trusted Identities in Cyberspace

В Национальная стратегия надежной идентификации в киберпространстве (NSTIC) - это Правительство США объявленная в апреле 2011 года инициатива по повышению конфиденциальности, безопасности и удобства конфиденциальных онлайн-транзакций за счет совместных усилий с частным сектором, группами защиты интересов, государственными учреждениями и другими организациями.[1]

Стратегия представляла собой онлайн-среду, в которой отдельные лица и организации могут доверять друг другу, поскольку они идентифицируют и аутентифицируют свои цифровые удостоверения и цифровые удостоверения организаций и устройств.[2] Он был продвинут, чтобы предлагать, но не предписывать более строгую идентификацию и аутентификацию, одновременно защищая конфиденциальность, ограничивая объем информации, которую люди должны раскрывать.[3]

Описание

Стратегия была разработана с участием частного сектора. лоббисты, включая организации, представляющие 18 бизнес-групп, 70 некоммерческих и федеральных консультативных групп, а также комментарии и диалоги общественности.

В стратегии было четыре руководящих принципа:[4]

  1. повышение конфиденциальности и добровольное
  2. безопасный и устойчивый
  3. совместимый
  4. рентабельный и простой в использовании.

NSTIC описал видение по сравнению с экосистема где частные лица, предприятия и другие организации пользуются большим доверием и безопасностью при проведении конфиденциальных транзакций в Интернете. Технологии, политики и согласованные стандарты будут надежно поддерживать транзакции от анонимных до полностью аутентифицированных и от низкой до высокой в ​​таком воображаемом мире. Реализация включала три инициативы:

  • Руководящая группа Identity Ecosystem (IDESG), возглавляемая частным сектором организация, разрабатывающая Identity Ecosystem Framework;[5]
  • Финансирование пилотных проектов, которые, по словам NSTIC, охватывают и продвигают руководящие принципы;[6] и
  • Федеральная облачная биржа учетных данных (FCCX),[7] Служба федерального правительства США для государственных агентств по принятию сторонних учетных данных, одобренных в рамках схемы FICAM.

NSTIC было объявлено во время Президентство Барака Обамы ближе к концу своего первого срока 15 апреля 2011 г.[1] В журнальной статье говорилось, что люди могут безопасно подтверждать свою личность для конфиденциальных транзакций (таких как банковское дело или просмотр медицинских карт) и позволять им оставаться анонимными, когда они этого не делают (например, ведение блога или просмотр веб-страниц).[8]

В январе 2011 г. Министерство торговли США создал Национальный программный офис (НПО) во главе с Национальный институт стандартов и технологий, чтобы помочь реализовать NSTIC.[9]Для координации внедренческой деятельности федеральных агентств НКО работает с белый дом Координатор по кибербезопасности, первоначально Говард Шмидт[3] а затем после 2012 года Майкл Дэниел.[10]

Руководящая группа

NSTIC призвал руководящую группу во главе с частным сектором для управления разработкой и принятием своей структуры. Руководящая группа по экосистеме идентификации (IDESG) провела встречу в г. Чикаго 15–16 августа 2012 г.[11] Встреча собрала 195 человек лично и 315 человек удаленно. Дополнительные пленарные заседания прошли в Феникс, Аризона,[12] Санта-Клара, Калифорния[13] и Бостон, Массачусетс. В рамках гранта с 2012 по 2014 год Trusted Federal Systems, Inc. была административным органом группы.[14]

Пилоты

Федеральное правительство инициировало и поддержало пилотные программы. В 2012 году NSTIC выделил 9 миллионов долларов на пилотные проекты в первый год. Например, Американская ассоциация администраторов автотранспортных средств разрабатывал демонстрацию учетных данных коммерческого поставщика удостоверений Вирджиния правительства штата, в том числе надежную проверку личности в Интернете с Департаментом транспортных средств Вирджинии.[15] В Интернет2 получил около 1,8 миллиона долларов на исследования.[15] ID.me получил двухлетний грант в 2013 году.[16]

Дальнейшая работа, финансируемая NIST, находится на их веб-странице Trusted Identities Group.[17]

Обмен учетными данными Federal Cloud

NSTIC призвал федеральные правительственные агентства США первыми внедрить Identity Ecosystem, предусмотренную в NSTIC.[7] Агентства изо всех сил пытались внедрить его для услуг, которые они предоставляют как внутри страны, так и за ее пределами. Технические, политические и финансовые барьеры затрудняли прием сторонних поставщиков учетных данных, аккредитованных в рамках инициативы Federal Identity, Credential and Access Management (FICAM).[18]

В ответ Белый дом создал команду Federal Cloud Credential Exchange (FCCX) под сопредседательством NSTIC и Администрация общих служб. Команда состояла из представителей агентств, к приложениям которых обращается большое количество внешних клиентов. В ноябре 2012 г. Почтовая служба Соединенных Штатов был выбран для управления пилотной версией FCCX и заключил контракт на его создание с SecureKey Technologies, членом ФИДО Альянс. Этот контракт был продлен в мае 2015 года.[19][20]

Connect.gov

Connect.gov был запущен в декабре 2014 года как проявление этого пилотного проекта. Первыми двумя компаниями, которые предоставили отдельным гражданам США услуги управления идентификацией, совместимые с Connect.gov, были ID.me и Verizon.[21] Ping Identity и Forgerock были первыми программными платформами, которые предоставили FICAM-совместимые учетные данные и позволили организациям частного сектора безопасно подключаться к правительственным учреждениям, что является основной целью этого проекта.[22][23]

Login.gov

Основная статья: Login.gov

10 мая 2016 г. 18F объявил в записи блога, что Connect.gov будет заменен.[24][25] Система замены будет называться Login.gov[26] и запущен в апреле 2017 года.[27]

Руководящая группа Identity Ecosystem

Руководящая группа Identity Ecosystem Steering Group (IDESG) получила начальное финансирование от NIST в 2010 году и с тех пор создала серию документов, которые доступны на их веб-сайте.[28] В 2016 году они представили реестр Identity Ecosystem Framework (IDEF).[29] для самооценки.

Критика

Предложение вызвало критику, поскольку оно было выпущено в виде проекта в июне 2010 года.[3][30] Многое было сосредоточено на последствиях предложения для конфиденциальности.

Вскоре после выпуска черновика Электронный информационный центр конфиденциальности (EPIC) вместе с другими организациями, занимающимися правами потребителей и гражданскими свободами, направили комитету заявление в ответ на проект политики NSTIC с просьбой разработать более четкий и полный план по созданию и защите прав и конфиденциальности пользователей Интернета.[31] Хотя глава EPIC Марк Ротенберг назвал NSTIC «историческим», он также предупредил, что «... онлайн-идентичность - сложная проблема, и риск« кражи кибер-идентичности »с консолидированными системами идентификации очень реален. США должны будут это сделать. больше для защиты конфиденциальности в Интернете ".[32]

NSTIC обратился к некоторым ранним проблемам конфиденциальности в своем документе о принципах честной информационной практики 2013 года.[33] Последующие инициативы были направлены на повышение конфиденциальности. Например, Американский союз гражданских свобод и Фонд электронных рубежей входили в комитет по конфиденциальности IDESG.

Рекомендации

  1. ^ а б «Администрация публикует стратегию защиты онлайн-потребителей и поддержки инноваций и информационный бюллетень о национальной стратегии обеспечения надежной идентификации в киберпространстве». пресс-релиз. Офис Белого дома. 15 апреля 2011 г.. Получено 9 ноября, 2013.
  2. ^ «Национальная стратегия защиты личности в киберпространстве» (PDF). 14 апреля 2011 г.. Получено 9 сентября, 2017.
  3. ^ а б c Говард А. Шмидт (25 июня 2010 г.). «Национальная стратегия защиты личности в киберпространстве». Блог Белого дома. Получено 9 сентября, 2017.
  4. ^ «Архивная копия». Архивировано из оригинал на 2013-08-15. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  5. ^ «Архивная копия». Архивировано из оригинал на 2013-06-29. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  6. ^ Бёкль, Кейтлин (29 апреля 2016 г.). «Пилотные проекты и партнеры».
  7. ^ а б «Включение ФРС в федерацию: правительство США как один из первых приверженцев экосистемы идентичности - я думаю, поэтому IAM».
  8. ^ Мат Хонан (15 ноября 2012 г.). «Убейте пароль - почему последовательность символов больше не может нас защитить». Лаборатория проводных гаджетов. Получено 9 ноября, 2013.
  9. ^ «Национальный программный офис запланирован для стратегии онлайн-доверенной идентификации». пресс-релиз. NIST. 19 января 2011 г.. Получено 10 ноября, 2013.
  10. ^ «Майкл Дэниел: специальный помощник президента и координатор по кибербезопасности». Профиль Белого Дома. Получено 9 ноября, 2013.
  11. ^ «Архивная копия». Архивировано из оригинал на 2013-11-09. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  12. ^ «Архивная копия». Архивировано из оригинал на 2013-08-10. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  13. ^ «Архивная копия». Архивировано из оригинал на 2013-08-08. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  14. ^ «NSTIC приветствует доверенные федеральные системы в качестве секретариата Руководящей группы по экосистеме идентификации». Блог NSTIC. 12 июля 2012 г.. Получено 9 ноября, 2013.
  15. ^ а б «Пять пилотных проектов получают гранты на повышение безопасности и конфиденциальности в Интернете». пресс-релиз. NIST. 20 сентября 2012 г.. Получено 10 ноября, 2013.
  16. ^ "NSTIC, ID.me, Inc". www.nist.gov. Национальный институт стандартов и технологий. Получено 21 февраля 2015.
  17. ^ "Trusted Identities Group". NIST.
  18. ^ «Архивная копия». Архивировано из оригинал на 2013-08-19. Получено 2013-08-16.CS1 maint: заархивированная копия как заголовок (связь)
  19. ^ «SecureKey Technologies выигрывает контракт с почтовой службой США на внедрение федерального облачного обмена учетными данными - SecureKey».
  20. ^ Фонтана, Джон. «Connect.Gov укрепляет и расширяет план удостоверений личности для федеральных агентств - ZDNet».
  21. ^ «Connect.gov - это последняя попытка внести свой вклад в управление онлайн-идентификаторами». 22 декабря 2014 г.
  22. ^ Фонтана, Джон (30 апреля 2015 г.). «Connect.Gov укрепляет и расширяет план удостоверений личности для федеральных агентств». ZD Net. Получено 6 мая, 2015.
  23. ^ Миллер, Джейсон (22 декабря 2014 г.). «Connect.gov - это последняя попытка внести свой вклад в управление онлайн-идентификаторами». Федеральное новостное радио. Получено 6 мая, 2015.
  24. ^ «18F: предоставление цифровых услуг | Создание современной общей платформы аутентификации». Получено 2017-07-02.
  25. ^ "Федеральное правительство ломает Connect.Gov - SecureIDNews". SecureIDNews. Получено 2017-07-02.
  26. ^ «Login.Gov заменяет Connect.Gov - SecureIDNews». SecureIDNews. Получено 2017-07-02.
  27. ^ «18F: предоставление цифровых услуг | Правительство запускает login.gov, чтобы упростить доступ к государственным услугам». 18f.gsa.gov. Получено 2018-02-16.
  28. ^ "Руководящая группа Identity Ecosystem".
  29. ^ «Реестр Identity Ecosystem Framework (IDEF)».
  30. ^ Лэнс Уитни (28 июня 2010 г.). «Белый дом разрабатывает план безопасности киберпространства». Новости CNet. Получено 9 ноября, 2013.
  31. ^ Лилли Кони; и другие. (23 сентября 2010 г.). «Заявление о национальной стратегии по обеспечению надежной идентификации личности в кибербезопасности, создающей возможности для повышения безопасности и конфиденциальности в Интернете» (PDF). Международный центр конфиденциальности и электронной информации о конфиденциальности. Получено 9 ноября, 2013.
  32. ^ Центр, Электронная информация о конфиденциальности. «EPIC - Национальная стратегия надежной идентификации в киберпространстве (NSTIC)». epic.org.
  33. ^ «Приложение A - Принципы честной информационной практики» (PDF). NSTIC. 4 апреля 2013 г.

внешняя ссылка