Nivells d'Assegurament (LoA) en la Identitat Digital (CA)

Definició de LoAEls Nivells d'Assegurament (LoA) quantifiquen la confiança en una identitat digital declarada, des de l'autodeclaració bàsica fins a verificacions altament segures i recolzades pel govern.

Per què són importants els LoAAssignar correctament els LoA prevé el frau, assegura el compliment normatiu i optimitza l'experiència de l'usuari, adaptant els requisits de seguretat a la sensibilitat de la transacció o de les dades a les quals s'accedeix.

Factors clau dels LoAEls LoA es determinen pel procés de prova d'identitat, la solidesa de les credencials, el mètode d'autenticació i la seguretat general del sistema de gestió d'identitats.

El paper de DiditLa plataforma modular de Didit permet a les empreses construir fluxos de treball d'identitat personalitzats que compleixen requisits de LoA específics, combinant la verificació d'identitat, la biometria i els senyals de frau de manera transparent.

Què són els Nivells d'Assegurament (LoA)?

En el paisatge en ràpida evolució de la identitat digital, el simple fet de saber 'qui' una persona diu ser ja no és suficient. Les empreses i els governs necessiten determinar 'com de segurs' poden estar d'aquesta identitat. Aquí és on entren en joc els Nivells d'Assegurament (LoA). Els LoA proporcionen un marc estandarditzat per categoritzar el grau de confiança que una afirmació d'identitat és veritable i que l'usuari que la presenta és de fet l'individu a qui es va assignar la identitat.

Penseu en els LoA com un espectre. En un extrem, podríeu tenir un LoA baix, on un usuari simplement proporciona un nom d'usuari i una contrasenya, adequat per accedir a contingut públic en un fòrum. En l'altre extrem, un LoA alt implicaria una verificació d'identitat rigorosa, autenticació biomètrica i possiblement fins i tot una prova de presència física, necessària per a transaccions sensibles com obrir un compte bancari o accedir a informació governamental classificada.

Diversos organismes de normalització, com el NIST (National Institute of Standards and Technology) als EUA i eIDAS a la UE, han establert els seus propis marcs de LoA. Tot i que les seves especificitats poden diferir, generalment se centren en criteris similars:

• Prova d'identitat: Com es va verificar originalment la identitat? Va ser autoafirmat, o estava recolzat per documents i proves oficials?
• Força de les credencials: Com de robust és el mètode utilitzat per autenticar l'usuari? És una contrasenya simple, un testimoni d'autenticació multifactor (MFA) o un escaneig biomètric?
• Mecanisme d'autenticació: Com es confirma l'usuari cada vegada que accedeix a un servei? És a través d'un secret compartit, basat en la possessió o basat en la inherència?
• Seguretat i gestió: Com de segures són les credencials d'identitat emmagatzemades i gestionades dins del sistema?

Comprendre els LoA és fonamental per a qualsevol organització que operi en línia. Dicta el nivell de seguretat adequat per a diferents interaccions digitals, assegurant que les dades sensibles estiguin protegides sense crear friccions innecessàries per als usuaris en escenaris de baix risc.

La importància d'adaptar els LoA als casos d'ús

Implementar el Nivell d'Assegurament correcte no és una solució única; és una decisió estratègica que equilibra la seguretat, l'experiència de l'usuari i el cost. Uns LoA mal aparellats poden provocar problemes significatius:

• LoA massa baix: Si el LoA és insuficient per a la sensibilitat de la transacció, obre la porta al frau, les violacions de dades i l'incompliment de les regulacions. Per exemple, permetre l'accés bàsic amb nom d'usuari/contrasenya a una plataforma de comerç financer seria desastrós.
• LoA massa alt: Per contra, exigir un LoA innecessàriament alt per a cada interacció pot provocar frustració a l'usuari, altes taxes d'abandonament i un augment dels costos operatius. Exigir un procés KYC complet només per comentar una publicació de bloc és excessiu i perjudicial per a la participació.

Considereu aquests exemples pràctics:

• LoA 1 (Autodeclaració/Baixa confiança): Un usuari s'inscriu a un butlletí de notícies només amb una adreça de correu electrònic. El risc és mínim; un LoA baix és apropiat.
• LoA 2 (Verificació bàsica/Confiança mitjana): Un client de comerç electrònic fa una compra. S'utilitzen la verificació de correu electrònic i possiblement un número de telèfon. El risc és moderat, implicant transaccions financeres.
• LoA 3 (Alta confiança): Un nou client obre un compte bancari. Això requereix una verificació robusta de documents d'identitat, detecció de vivacitat i cribratge AML. El risc de frau financer i sancions reguladores és alt, exigint un LoA fort.
• LoA 4 (Molt alta confiança): Accés a infraestructures crítiques o dades governamentals altament sensibles. Això podria implicar verificació d'identitat basada en NFC, biometria avançada i monitorització contínua, alineant-se amb els nivells més alts de seguretat nacional.

En avaluar acuradament els riscos associats amb diversos serveis i dades digitals, les organitzacions poden definir i implementar fluxos de treball d'identitat que proporcionin la quantitat adequada d'assegurament sense impedir els usuaris legítims. Aquest enfocament matisat és clau per construir confiança en l'economia digital.

Components que construeixen els LoA

Aconseguir un nivell d'assegurament específic implica combinar diversos components distints de verificació i autenticació d'identitat. Cada component afegeix una capa de confiança, contribuint al LoA general:

1. Prova d'identitat: Aquest és el procés inicial de verificació de la identitat declarada de l'usuari. Per a un LoA més elevat, això sol implicar:
   • Verificació de documents d'identitat: Comprovacions automatitzades de documents d'identitat emesos pel govern (passaports, carnets de conduir) per a l'autenticitat, la manipulació i l'extracció de dades.
   • Lectura de documents NFC: Validació criptogràfica de passaports electrònics i DNI electrònics per a una garantia de nivell governamental.
   • Validació de bases de dades: Referència creuada de dades d'identitat amb bases de dades oficials del govern o de tercers de confiança.
   • Prova d'adreça: Verificació de la residència mitjançant factures de serveis o extractes bancaris.
2. Verificació biomètrica: Aquestes tecnologies confirmen que la persona que presenta la identitat és realment el propietari legítim.
   • Detecció de vivacitat: Verifica que l'usuari és una persona real i viva i no una falsificació (foto, vídeo, deepfake). Això pot ser passiu (sense fricció) o actiu (requerint accions de l'usuari).
   • Coincidència facial 1:1: Compara una selfie en directe amb la foto del document d'identitat per confirmar que l'usuari és el titular del document.
   • Autenticació biomètrica: Utilitzant una selfie en directe per a la reautenticació sense contrasenya per als usuaris recurrents, sovint combinada amb la vivacitat.
3. Senyals d'autenticació i frau: Més enllà de la verificació inicial, les comprovacions contínues mantenen el LoA.
   • Autenticació multifactor (MFA): Combinació d'alguna cosa que l'usuari sap (contrasenya), té (telèfon) o és (biomètric).
   • Anàlisi d'IP: Detecció d'adreces IP sospitoses, VPNs o anomalies del dispositiu.
   • Cribratge AML: Comprovació de llistes de sancions, bases de dades PEP i mitjans de comunicació adversos per al compliment financer.
   • Monitorització AML contínua: Reexaminació contínua dels usuaris després de la incorporació.
   • Verificació de telèfon/correu electrònic: Confirmació de la propietat i avaluació del risc associat als detalls de contacte.

La combinació i la força d'aquests components defineixen el LoA general. Per exemple, un sistema que requereixi verificació de documents d'identitat, vivacitat activa i coincidència facial 1:1, seguit d'un cribratge AML continu, aconseguiria un LoA molt alt adequat per a indústries regulades.

Com Didit ajuda a aconseguir el LoA adequat

Didit està dissenyat específicament per capacitar les empreses a implementar Nivells d'Assegurament precisos per a qualsevol interacció digital. La nostra plataforma d'identitat tot en un proporciona la modularitat i la flexibilitat necessàries per construir fluxos de treball d'identitat adaptats als requisits de LoA específics, sense haver de combinar múltiples proveïdors.

• Suite de mòduls completa: Didit ofereix 18 mòduls composables que cobreixen la verificació d'identitat, la biometria, el cribratge AML, els senyals de frau i molt més. Aquesta àmplia caixa d'eines us permet triar els components exactes necessaris per al LoA desitjat. Per a un LoA alt, podríeu combinar la lectura de documents NFC, la vivacitat activa, la coincidència facial 1:1 i la monitorització AML contínua. Per a un LoA més baix, la vivacitat passiva i la coincidència facial podrien ser suficients.
• Orquestració visual de fluxos de treball: El nostre constructor de fluxos de treball sense codi us permet dissenyar visualment fluxos d'identitat complexos. Podeu arrossegar i deixar anar mòduls, establir lògica condicional (per exemple, si l'estimació d'edat és incerta, escalar a una verificació d'identitat completa) i configurar llindars per a l'aprovació automàtica o la revisió manual. Això significa que podeu ajustar dinàmicament el LoA en funció de factors de risc com el valor de la transacció, el país d'origen o l'historial de l'usuari.
• Model de pagament per èxit: Els preus transparents de Didit asseguren que només pagueu pels passos de verificació completats amb èxit. Això permet a les empreses experimentar amb diferents configuracions de LoA i optimitzar els seus fluxos de treball tant per a la seguretat com per a l'eficiència de costos sense penalitzacions financeres per sessions abandonades.
• Seguretat i compliment: Amb SOC 2 Tipus II, ISO 27001, compliment del GDPR i detecció de vivacitat certificada iBeta Nivell 1, Didit proporciona la seguretat i el compliment subjacents necessaris per donar suport a requisits de LoA elevats fins i tot per a les indústries més regulades.
• Integració perfecta: Tant si preferiu enllaços de verificació allotjats, SDK web, SDK mòbils natius o integració directa d'API, Didit facilita la incorporació d'una verificació d'identitat robusta a les vostres aplicacions existents, minimitzant el temps i els recursos d'integració.

Aprofitant la plataforma de Didit, les empreses poden afirmar amb confiança la identitat dels seus usuaris, mitigar el frau, complir les obligacions reguladores i proporcionar una experiència sense friccions, tot controlant amb precisió el Nivell d'Assegurament per a cada cas d'ús únic.

Llest per començar?

Definir i implementar els Nivells d'Assegurament adequats és fonamental per assegurar els vostres serveis digitals i fomentar la confiança dels usuaris. Amb Didit, obteniu una solució potent, flexible i rendible per construir fluxos de treball d'identitat que s'adaptin amb precisió a les vostres necessitats de seguretat.

Exploreu com Didit pot elevar la vostra estratègia de verificació d'identitat. Visiteu la nostra pàgina de preus per veure el nostre model transparent de pagament per ús, o consulteu el nostre centre de demostracions per experimentar la plataforma de primera mà. Per a una anàlisi més profunda de les nostres capacitats, consulteu la nostra documentació tècnica o contacteu-nos a hello@didit.me.