The Security Incident Response Trust Framework for Federated Identity från REFEDS, förkortat SIRTFI, är en ny internationell säkerhetsprofil för Best Current Practice. SIRTFI ersätter den tidigare IdM-checklistan som SWAMID tog fram tillsammans med SUSEC i samband med SWAMID 2.0. Både identitetsutgivare (IdP) och tjänster (SP) kan deklarera att de följer REFEDS SIRTFI.
Lärosäten, och andra medlemmar, som uppfyller SWAMID AL1 och SWAMID AL2 för sin identitetsutgivare uppfyller de flesta av kraven i SIRTFI. Främst behöver de säkerställa att de uppfyller de operativa kraven i profilen samt att de har rutiner på plats för incidenthantering och -rapportering innan de meddelar SWAMID Operations att de uppfyller SIRTFIs profil. Tillsammans med begäran om att bli markerade med SIRTFI i metadata måste en e-postadress till säkerhetskontakt skickas med.
SWAMID Board of Trustees, styrgruppen för SWAMID, rekommenderar starkt federationens medlemmar att använda säkerhetsprofilen REFEDS SIRTFI!
För mer information REFEDS SIRTFI se https://refeds.org/sirtfi.
Vilka krav ska uppfyllas?
Kraven i SIRTFI är uppdelade i fyra avsnitt. Varje krav har en benämning som står inom hakparanteser.
Operativ säkerhet
Incidenthantering
Spårbarhet
[TR1] Relevant system generated information, including accurate timestamps and identifiers of system components and actors, are retained and available for use in security incident response procedures.
- Säkerhetsrelaterade loggar ska sparas för kontoförändringar och inloggningar; när, hur och av vem.
- Detta är ett krav som finns delvis i SWAMID AL1 och helt i SWAMID AL2.
[TR2] Information attested to in [TR1] is retained in conformance with the organisation’s security incident response policy or practices.
- Informationen som sparas i [TR1] sparas i enligt med de regler som finns för organisationens incidenthantering.
- Detta krav finns inte i SWAMID AL1 eller SWAMID AL2.
Identitetsutgivares skyldigheter
[PR1] The participant has an Acceptable Use Policy (AUP)
Medlemsorganisationen ska användarregler som gäller för den federativa inloggningen.
Detta är ett krav som finns både i SWAMID AL1 och SWAMID AL2.
[PR2] There is a process to ensure that all users are aware of and accept the
requirement to abide by the AUP, for example during a registration or renewal process
- Medlemsorganisationer har processer på plats som tillser att användarna aktivt godkänner användarreglerna innan de får använda den federativa inloggningen.
- Detta är ett krav som finns både i SWAMID AL1 och SWAMID AL2.