The Security Incident Response Trust Framework for Federated Identity från REFEDS, förkortat SIRTFI, är en ny internationell säkerhetsprofil för Best Current Practice. SIRTFI ersätter den tidigare IdM-checklistan som SWAMID tog fram tillsammans med SUSEC i samband med SWAMID 2.0. Både identitetsutgivare (IdP) och tjänster (SP) kan deklarera att de följer REFEDS SIRTFI.

Lärosäten, och andra medlemmar, som uppfyller SWAMID AL1 och SWAMID AL2 för sin identitetsutgivare uppfyller de flesta av kraven i SIRTFI. Främst behöver de säkerställa att de uppfyller de operativa kraven i profilen samt att de har rutiner på plats för incidenthantering och -rapportering innan de meddelar SWAMID Operations att de uppfyller SIRTFIs profil. Tillsammans med begäran om att bli markerade med SIRTFI i metadata måste en e-postadress till säkerhetskontakt skickas med.

SWAMID Board of Trustees, styrgruppen för SWAMID, rekommenderar starkt federationens medlemmar att använda säkerhetsprofilen REFEDS SIRTFI!

För mer information REFEDS SIRTFI se https://refeds.org/sirtfi.

Vilka krav ska uppfyllas?

Kraven i SIRTFI är uppdelade i fyra avsnitt och varje krav har en benämning som står inom hakparanteser. I de fall som tillitsprofilerna SWAMID AL1 eller SWAMID AL2 tillgodoser kravet står detta tydligt.

Operativ säkerhet

[OS1] Security patches in operating system and application software are applied in a timely manner.

• Säkerhetsuppdateringar till programvaror i kontohanteringsmiljön ska installeras inom rimlig tid.
• Säkerhetsuppdateras inte programvaror i kontohanteringsmiljön längre ska den inte användas.

[OS2] A process is used to manage vulnerabilities in software operated by the organisation.

• Organisationen har processer och rutiner för att hantera säkerhetsproblem i programvaror som finns vid organisationen.

[OS3] Mechanisms are deployed to detect possible intrusions and protect information systems from significant and immediate threats.

• Det finns system för att upptäcka och skydda system från stora och akuta hot.
• Ett exempel på sådant skydd är brandvägg med intrångsdetektering.
• Ett annat exempel är att införa begränsningar i den federativa programvaran så att antalet säkerhetsincidenter begränsas.

[OS4] A user’s access rights can be suspended, modified or terminated in a timely manner.

• En användares rättighet till federativ inloggning kan vid behov begränsas eller stängas av i samband med säkerhetsproblem.
• Detta är ett krav som finns både i SWAMID AL1 och SWAMID AL2.

[OS5] Users and Service Owners (as defined by ITIL) within the organisation can be contacted.

• Det ska vara möjligt att kontakta en användare om det uppstår säkerhetsproblem.
• För anställda finns oftast kontaktvägar såsom mobiltelefon registrerat i katalog- eller personalsystem. Anställda brukar dessutom ha en e-postadress i tjänsten.
• För studenter finns kontaktuppgifter i Ladok men även privat e-postadress om studenten eftersänder sin e-post vid lärosätet.

[OS6] A security incident response capability exists within the organisation with sufficient authority to mitigate, contain the spread of, and remediate the effects of a security incident.

• Det ska finnas incidenthantering vid organisationen som har tillräckliga rättigheter för att hantera och avhjälpa effekterna av säkerhetsincidenten.

Incidenthantering

[IR1] Provide security incident response contact information as may be requested by an R&E federation to which your organization belongs.

[IR2] Respond to requests for assistance with a security incident from other organisations participating in the Sirtfi trust framework in a timely manner.

[IR3] Be able and willing to collaborate in the management of a security incident with affected organisations that participate in the Sirtfi trustframework.

[IR4] Follow security incident response procedures established for the organisation.

[IR5] Respect user privacy as determined by the organisations policies or legal counsel.

[IR6] Respect and use the Traffic Light Protocol [TLP] information disclosure policy

Spårbarhet

[TR1] Relevant system generated information, including accurate timestamps and identifiers of system components and actors, are retained and available for use in security incident response procedures.

• Säkerhetsrelaterade loggar ska sparas för kontoförändringar och inloggningar; när, hur och av vem.
• Detta är ett krav som finns delvis i SWAMID AL1 och helt i SWAMID AL2.

[TR2] Information attested to in [TR1] is retained in conformance with the organisation’s security incident response policy or practices.

• Informationen som sparas i [TR1] sparas i enligt med de regler som finns för organisationens incidenthantering.

Identitetsutgivares skyldigheter

[PR1] The participant has an Acceptable Use Policy (AUP)

• Medlemsorganisationen ska användarregler som gäller för den federativa inloggningen.

• Detta är ett krav som finns både i SWAMID AL1 och SWAMID AL2.

[PR2] There is a process to ensure that all users are aware of and accept the
requirement to abide by the AUP, for example during a registration or renewal process

• Medlemsorganisationer har processer på plats som tillser att användarna aktivt godkänner användarreglerna innan de får använda den federativa inloggningen.
• Detta är ett krav som finns både i SWAMID AL1 och SWAMID AL2.