The Security Incident Response Trust Framework for Federated Identity från REFEDS, förkortat SIRTFI, är en internationell säkerhetsprofil för Best Current Practice. SIRTFI ersätter den tidigare IdM-checklistan som SWAMID tog fram tillsammans med SUSEC i samband med SWAMID 2.0. En av skillnaderna mellan IdM-checlistan och REFEDS SIRTFI är att REFEDS SIRTFI gäller både identitetsutgivare (IdP) och tjänsteleverantörer (SP). För djupare information om REFEDS SIRTFI se https://refeds.org/sirtfi.

SWAMID Board of Trustees, styrgruppen för SWAMID, rekommenderar starkt federationens medlemmar att använda säkerhetsprofilen REFEDS SIRTFI!

Lärosäten, och andra medlemmar, som uppfyller SWAMID AL1 eller SWAMID AL2 för sin identitetsutgivare uppfyller automatiskt flera av kraven i SIRTFI. Främst behöver de säkerställa att de uppfyller de operativa kraven i profilen samt att de har rutiner på plats för incidenthantering innan de meddelar SWAMID Operations att de uppfyller säkerhetsprofilen REFEDS SIRTFI.

Varför ska en identitetsutgivare uppfylla och deklarera REFEDS SIRTFI?

När en identitetsutgivare deklarerar att de följer REFEDS SIRTFI ges tjänsteleverantörer en indikation på att användarhantering i aktuell organisation sköts på ett säkerhetsmässigt bra sätt, dvs. tjänsteleverantören kan känna en högre säkerhetsmässig tillit för användare från aktuell organisation.

Vissa tjänster som är kopplade till SWAMID, direkt eller genom eduGAIN, kräver att identitetsutgivare uppfyller REFEDS SIRTFI för att inloggning ska tillåtas från den aktuella organisationen. Ett tydligt exempel på detta är forskningsorganisationen CERN där användare som ska få tillgång till federerade tjänster vid CERN måste logga in via identitetsutgivare som uppfyller kraven för REFEDS SIRTFI.

Hur gör en identitetsutgivare för att bli godkända för REFEDS SIRTFI?

SWAMID gör ingen granskning av att identitetsutgivaren uppfyller REFEDS SIRTFI utan det är medlemsorganisationen som ensidigt deklarerar att de uppföljer säkerhetsprofilen.

  1. Medlemsorganisationen kontrollerar att identitetsutgivaren och underliggande system uppfyller kraven i REFEDS SIRTFI, se nedan.
  2. Om medlemsorganisationen anser att identitetsutgivaren uppfyller kraven meddelar ni SWAMID Operations att identitetsutgivare uppfyller REFEDS SIRTFI.
  3. SWAMID Operations lägger in markering om att medlemsorganisationens identitetsutgivare uppfyller kraven i REFEDS SIRTFI inkl. aktuella kontaktuppgifter.

Vilka krav ska en identitetsutgivare uppfylla?

Kraven i REFEDS SIRTFI är uppdelade i fyra avsnitt och varje krav har en benämning som står inom hakparanteser. I de fall som SWAMIDs tillitsprofiler SWAMID AL1 eller SWAMID AL2 tillgodoser ett krav står detta tydligt.

Operativa krav i REFEDS SIRTFI

[OS1] Security patches in operating system and application software are applied in a timely manner

Kravet innebär

[OS2] A process is used to manage vulnerabilities in software operated by the organisation

Kravet innebär

Kravet innebär inte

[OS3] Mechanisms are deployed to detect possible intrusions and protect information systems from significant and immediate threats

Kravet innebär

[OS4] A user’s access rights can be suspended, modified or terminated in a timely manner

Kravet innebär

Kravet uppfylls av motsvarande krav i SWAMID AL1 och SWAMID AL2

[OS5] Users and Service Owners (as defined by ITIL) within the organisation can be contacted

Kravet innebär

[OS6] A security incident response capability exists within the organisation with sufficient authority to mitigate, contain the spread of, and remediate the effects of a security incident

Kravet innebär

Incidenthanteringskrav i REFEDS SIRTFI

[IR1] Provide security incident response contact information as may be requested by an R&E federation to which your organization belongs

Kravet innebär

Kravet innebär inte

[IR2] Respond to requests for assistance with a security incident from other organisations participating in the Sirtfi trust framework in a timely manner

Kravet innebär

Kravet innebär inte

[IR3] Be able and willing to collaborate in the management of a security incident with affected organisations that participate in the Sirtfi trustframework

Kravet innebär

[IR4] Follow security incident response procedures established for the organisation

Kravet innebär

Kravet innebär inte

[IR5] Respect user privacy as determined by the organisations policies or legal counsel

Kravet innebär

[IR6] Respect and use the Traffic Light Protocol [TLP] information disclosure policy

Kravet innebär

Trafikljusprotokollet (TLP) underlättar utbyte av känslig säkerhetsinformation mellan olika parter. TLP är en uppsättning av beteckningar som används för att säkerställa att känslig information delas med lämplig målgrupp.

Trafikljusprotokollet har fyra färger för att ange hur avsändaren förväntar sig att mottagaren hanterar spridning av informationen, fritt översatt:

TLP:REDMottagaren ska inte sprida informationen till någon, inte ens inom sin egen organisation.
TLP:AMBERMottagaren får skyddat endast sprida information till andra personer inom organisationen, eller direkt berörda partner och kunder, som behöver ha den för att hantera problemet, TLP-märkningen ska bibehållas.
TLP:GREENMottagaren får skyddat sprida informationen till kollegor och partner inom sektorn, TLP-märkningen ska bibehållas.
TLP:WHITEInga spridningsbegräsningar förutom normal upphovsrätt, TLP-märkningen ska bibehållas.

 

För mer och djupare information om trafikljusprotokollet se https://www.us-cert.gov/tlp.

Spårbarhetskrav i REFEDS SIRTFI

[TR1] Relevant system generated information, including accurate timestamps and identifiers of system components and actors, are retained and available for use in security incident response procedures

Kravet innebär

Kravet uppfylls av motsvarande krav i SWAMID AL2 men bara delvis av kraven i SWAMID AL1.

[TR2] Information attested to in [TR1] is retained in conformance with the organisation’s security incident response policy or practices

Kravet innebär

Kravet innebär inte

Organisationskrav i REFEDS SIRTFI

[PR1] The participant has an Acceptable Use Policy (AUP)

Kravet innebär

Kravet uppfylls av motsvarande krav i SWAMID AL1 och SWAMID AL2.

[PR2] There is a process to ensure that all users are aware of and accept the requirement to abide by the AUP, for example during a registration or renewal process

Kravet innebär att

Kravet uppfylls av motsvarande krav i SWAMID AL1 och SWAMID AL2.