فهم مستويات الضمان (LoA) للهوية الرقمية (AR)

تعريف LoAتُحدد مستويات الضمان (LoA) مدى الثقة في أن الهوية المُدّعاة صحيحة، وتشمل عوامل مثل إثبات الهوية، وقوة المصادقة، والربط بفرد معين.

النهج المتدرجتوجد مستويات LoA مختلفة (مثل NIST LoA 1-4، وeIDAS منخفض، وجوهري، وعالٍ) لتتناسب مع متطلبات المخاطر والأمان للخدمات والمعاملات الرقمية المتنوعة.

خصوصية حالة الاستخداميُعد اختيار LoA الصحيح أمرًا بالغ الأهمية؛ فالدخول البسيط إلى منتدى يتطلب LoA أقل من معاملة مالية أو الوصول إلى بيانات شخصية شديدة الحساسية.

التنسيق الديناميكيتتيح منصات الهوية الحديثة مثل Didit للشركات تنسيق تدفقات التحقق ديناميكيًا لتحقيق مستويات LoA محددة، مما يحسن الأمان وتجربة المستخدم على حد سواء.

ما هي مستويات الضمان (LoA)؟

في العالم الرقمي، يُعد بناء الثقة في هوية المستخدم أمرًا بالغ الأهمية. توفر مستويات الضمان (LoA) إطارًا موحدًا لتقييم وتوصيل مدى الثقة في أن الهوية المُدّعاة مشروعة. بشكل أساسي، تشير LoA إلى مدى تأكدك من أن الشخص هو من يدعي أنه هو، بناءً على دقة عمليات التحقق من الهوية والمصادقة التي خضع لها.

لقد حددت هيئات المعايير المختلفة، مثل NIST (المعهد الوطني للمعايير والتكنولوجيا) في الولايات المتحدة وeIDAS (تحديد الهوية الإلكترونية والمصادقة وخدمات الثقة) في أوروبا، أطر LoA الخاصة بها. بينما قد تختلف تفاصيلها، يظل المفهوم الأساسي ثابتًا: ارتفاع LoA يعني ثقة أكبر في هوية المستخدم، ويتطلب عادةً خطوات تحقق أكثر صرامة.

العوامل التي تساهم في مستوى LoA معين تشمل:

• إثبات الهوية: كيف تم التحقق من الهوية في البداية؟ هل كان بناءً على إقرار ذاتي، أو هوية صادرة عن جهة حكومية، أو فحص شخصي؟
• قوة المصادقة: كيف يقوم المستخدم بمصادقة هويته؟ هل هي كلمة مرور بسيطة، أو مصادقة متعددة العوامل (MFA)، أو القياسات الحيوية؟
• الربط بفرد معين: ما مدى قوة ربط الهوية الرقمية بشخص مادي فريد؟
• الكشف عن الاحتيال: ما هي الإجراءات المتخذة للكشف عن المحتالين أو الهويات المصطنعة ومنعهم؟

أطر LoA الشائعة وخصائصها

دعنا نلقي نظرة على إطارين بارزين لـ LoA لفهم الفروق بينهما:

إرشادات الهوية الرقمية لـ NIST (SP 800-63-3)

• LoA 1 (منخفض): يوفر بعض الثقة في الهوية المُدّعاة. يتضمن عادةً هوية ذاتية الإقرار مع التحقق من البريد الإلكتروني/الهاتف. مناسب للوصول العام إلى المعلومات حيث يكون خطر إساءة الاستخدام منخفضًا. مثال: مشاركات المنتدى المجهولة أو الاشتراكات في النشرات الإخبارية.
• LoA 2 (متوسط): زيادة الثقة. يتضمن إثبات الهوية عادةً التحقق عن بُعد مقابل مصادر موثوقة (مثل مسح وثيقة الهوية + صورة شخصية). تستخدم المصادقة غالبًا مصادقة عن بُعد بعامل واحد (مثل كلمة مرور) أو MFA أساسي. مثال: الوصول إلى الخدمات عبر الإنترنت غير الحساسة، التجارة الإلكترونية الأساسية.
• LoA 3 (عالٍ): ثقة عالية. إثبات هوية قوي، غالبًا ما يتطلب ربطًا قويًا بشخص مادي، وربما مع التحقق البيومتري أو قراءة وثيقة NFC. تتضمن المصادقة عادةً MFA قويًا (مثل القياسات الحيوية، الرموز المميزة للأجهزة). مثال: الخدمات المصرفية عبر الإنترنت، الخدمات الحكومية التي تصل إلى البيانات الشخصية، المعاملات المالية ذات القيمة العالية.
• LoA 4 (عالٍ جدًا): ثقة عالية جدًا. يتطلب إثبات هوية شخصيًا أو ما يعادله، ومصادقة تشفيرية عالية الأمان. مصمم للمعاملات عالية المخاطر للغاية أو الوصول إلى البنية التحتية الحيوية. نادرًا ما يتم تطبيقه في السيناريوهات عبر الإنترنت بشكل بحت.

لائحة eIDAS (الاتحاد الأوروبي) - منخفض، جوهري، عالٍ

• منخفض: يوفر مستوى محدودًا من الثقة في الهوية المُدّعاة. مشابه لـ NIST LoA 1، ويعتمد غالبًا على التسجيل الأساسي والمصادقة بعامل واحد. مثال: الوصول إلى المعلومات العامة.
• جوهري: يوفر مستوى جوهريًا من الثقة. يتطلب إثبات الهوية مع التحقق عن بُعد مقابل الوثائق الرسمية ومصادقة قوية (مثل MFA). يمكن مقارنته بـ NIST LoA 2-3. مثال: الوصول إلى الخدمات العامة التي تحتوي على بيانات شخصية، تقديم الإقرارات الضريبية عبر الإنترنت.
• عالٍ: يوفر مستوى عاليًا من الثقة. يتضمن إثبات هوية صارمًا، وقد يتطلب التحقق وجهًا لوجه أو ما يعادله عن بُعد باستخدام القياسات الحيوية، جنبًا إلى جنب مع المصادقة التشفيرية القوية. يتماشى مع أعلى مستويات NIST LoA 3. مثال: فتح حساب مصرفي، توقيع العقود إلكترونيًا، الخدمات العامة عبر الحدود.

مطابقة LoA لحالة الاستخدام الخاصة بك: أمثلة عملية

المفتاح هو اختيار LoA الذي يوازن بين متطلبات الأمان وتجربة المستخدم والتكلفة التشغيلية. قد يؤدي التحقق المفرط إلى الاحتكاك والتخلي، بينما يعرضك التحقق غير الكافي للاحتيال ومخاطر الامتثال.

حالات استخدام LoA المنخفضة

• الاشتراك في النشرات الإخبارية / التعليق على المدونات: غالبًا ما يكون التحقق البسيط من البريد الإلكتروني (وحدة التحقق من البريد الإلكتروني من Didit) كافيًا. خطر الاحتيال ضئيل، والهدف هو تقليل البريد العشوائي.
• الوصول الأساسي إلى المحتوى: بالنسبة للمنصات التي تقدم محتوى مجانيًا يتطلب تسجيل دخول سريعًا، قد يكون اسم المستخدم/كلمة المرور مع التحقق الأساسي من البريد الإلكتروني أو الهاتف لاستعادة الحساب كافيًا (التحقق من الهاتف من Didit).

حالات استخدام LoA المتوسطة

• إنشاء حساب التجارة الإلكترونية: عندما ينشئ المستخدمون حسابات لحفظ تفاصيل الشحن أو عرض سجل الطلبات، يوفر مسح وثيقة الهوية مع فحص حيوية سلبي (التحقق من الهوية من Didit + حيوية سلبية) توازنًا جيدًا. يساعد هذا في منع الحسابات المتعددة والاحتيال الأساسي.
• منصات الألعاب: للألعاب المقيدة بالعمر أو المشتريات داخل اللعبة، قد تكون هناك حاجة إلى تقدير العمر (تقدير العمر من Didit) أو التحقق الكامل من الهوية للامتثال للوائح.
• الوصول إلى بوابات العملاء غير الحساسة: خطوة المصادقة متعددة العوامل (MFA)، مثل كلمة مرور لمرة واحدة (OTP) إلى هاتف أو بريد إلكتروني مسجل، بعد إثبات الهوية الأولي، تكون مناسبة عادةً.

حالات استخدام LoA العالية

• فتح حساب مالي (KYC/AML): هذا سيناريو LoA عالٍ كلاسيكي. يتطلب إثبات هوية قويًا مع التحقق من الهوية الصادرة عن الحكومة، والكشف النشط عن الحيوية، ومطابقة الوجه، وفحص شامل لمكافحة غسل الأموال (التحقق من الهوية من Didit + حيوية نشطة + مطابقة الوجه 1:1 + فحص AML). تعد المراقبة المستمرة لمكافحة غسل الأموال أمرًا بالغ الأهمية أيضًا.
• الخدمات المنظمة عبر الإنترنت (مثل المقامرة، بورصات العملات المشفرة): على غرار الخدمات المالية، تتطلب هذه الخدمات عمليات KYC/AML صارمة لمنع الاحتيال وغسل الأموال وضمان الامتثال للعمر. يمكن أن تضيف قراءة وثيقة NFC طبقة إضافية من الضمان.
• الطب عن بعد / الوصول إلى الرعاية الصحية: يتطلب التحقق من هوية المريض قبل وصوله إلى السجلات الصحية الحساسة أو تلقي المشورة الطبية درجة عالية من الثقة. تُعد المصادقة البيومترية للمستخدمين العائدين (المصادقة البيومترية من Didit) حيوية هنا.
• الخدمات الحكومية (ذات القيمة العالية): يتطلب الوصول إلى السجلات الضريبية، أو التقدم للحصول على المزايا، أو التوقيع الرقمي على المستندات القانونية ضمانًا عاليًا جدًا لمنع سرقة الهوية.

كيف تساعد Didit في تحقيق LoA المطلوبة

تم تصميم منصة Didit المتكاملة للهوية لتوفير المرونة والقوة لتحقيق أي مستوى ضمان مطلوب، مصممًا خصيصًا لحالات الاستخدام المحددة والاحتياجات التنظيمية.

• بنية معيارية: تقدم Didit 18 وحدة قابلة للتركيب، بدءًا من التحقق الأساسي من البريد الإلكتروني وصولًا إلى قراءة وثائق NFC المتقدمة ومراقبة AML المستمرة. تساهم كل وحدة في زيادة LoA لهوية المستخدم.
• تنسيق سير العمل: يتيح منشئ سير العمل المرئي للشركات سحب وإفلات هذه الوحدات لإنشاء تدفقات تحقق مخصصة. هذا يعني أنه يمكنك تصميم سير عمل يضبط LoA ديناميكيًا بناءً على عوامل المخاطر، أو قيمة المعاملة، أو سلوك المستخدم. على سبيل المثال، قد يتطلب تسجيل الدخول البسيط مطابقة الوجه فقط، بينما يؤدي سحب ذو قيمة عالية إلى تشغيل التحقق الكامل من الهوية، والحيوية، وفحص AML.
• التحقق البيومتري: بفضل الكشف السلبي والنشط عن الحيوية، ومطابقة الوجه 1:1، والمصادقة البيومترية، توفر Didit إمكانات بيومترية قوية ضرورية لـ LoA الأعلى.
• التحقق من وثائق الهوية وقواعد البيانات: تدعم Didit أكثر من 14000 نوع من الوثائق عبر أكثر من 220 دولة، ويوفر التحقق من الهوية، جنبًا إلى جنب مع قراءة NFC والتحقق من قواعد البيانات، ضمانًا للهوية على مستوى حكومي.
• إشارات الاحتيال ومكافحة غسل الأموال: تحليل IP المتكامل، وبيانات الجهاز، وفحص AML في الوقت الفعلي مقابل أكثر من 1300 قائمة مراقبة عالمية يعزز بشكل كبير الثقة في هوية المستخدم ويقلل من مخاطر الاحتيال، وهو أمر ضروري لـ LoA الأعلى.
• KYC القابل لإعادة الاستخدام: للمستخدمين العائدين، يتيح KYC القابل لإعادة الاستخدام المتوافق مع eIDAS2 من Didit للمستخدمين مشاركة بيانات اعتماد تم التحقق منها مسبقًا مع إعادة المصادقة البيومترية، مع الحفاظ على LoA عالية مع تحسين تجربة المستخدم بشكل كبير.

من خلال تنسيق هذه الأدوات القوية، يمكن للشركات التحكم بدقة في مستوى الضمان لكل تفاعل، مما يضمن الامتثال، وتقليل الاحتيال، وتحسين رحلة المستخدم دون احتكاك غير ضروري.

هل أنت مستعد للبدء؟

يُعد فهم وتطبيق مستويات الضمان الصحيحة أمرًا أساسيًا لبناء خدمات رقمية آمنة ومتوافقة. مع Didit، تحصل على منصة قوية ومرنة لإدارة جميع احتياجات هويتك، من التحقق الأساسي إلى أكثر متطلبات LoA صرامة. اكتشف كيف يمكن لـ Didit الارتقاء باستراتيجية هويتك.

عرض أسعار Didit | جرب Didit Business Console | احسب عائد استثمارك