Nivells de confiança (LoA) per a la identitat digital (CA-1)

LoA definitEls Nivells de Confiança (LoA) quantifiquen la confiança que una identitat declarada és veritable, incloent factors com la prova d'identitat, la força d'autenticació i la vinculació a un individu.

Enfocament per nivellsExisteixen diferents nivells de LoA (per exemple, NIST LoA 1-4, eIDAS baix, substancial, alt) per adaptar-se als riscos i necessitats de seguretat de diversos serveis i transaccions digitals.

Especificitat del cas d'úsEscollir el LoA correcte és fonamental; un simple inici de sessió en un fòrum requereix un LoA inferior que una transacció financera o l'accés a dades personals altament sensibles.

Orquestració dinàmicaLes plataformes d'identitat modernes com Didit permeten a les empreses orquestrar dinàmicament els fluxos de verificació per aconseguir nivells de LoA específics, optimitzant tant la seguretat com l'experiència de l'usuari.

Què són els Nivells de Confiança (LoA)?

En el món digital, establir la confiança en qui un usuari afirma ser és primordial. Els Nivells de Confiança (LoA) proporcionen un marc estandarditzat per avaluar i comunicar la confiança que una identitat declarada és legítima. Essencialment, el LoA indica com de segur pots estar que una persona és qui diu ser, basant-se en el rigor dels processos de verificació i autenticació d'identitat que ha seguit.

Diversos organismes de normalització, com ara el NIST (National Institute of Standards and Technology) als EUA i l'eIDAS (electronic IDentification, Authentication and trust Services) a Europa, han definit els seus propis marcs de LoA. Tot i que les seves especificitats poden variar, el concepte central segueix sent consistent: un LoA més alt significa una major confiança en la identitat de l'usuari, normalment requerint passos de verificació més estrictes.

Els factors que contribueixen a un LoA específic inclouen:

• Prova d'identitat: Com es va verificar inicialment la identitat? Es va basar en una autodeclaració, una identificació emesa pel govern o una comprovació en persona?
• Força d'autenticació: Com autentica l'usuari la seva identitat? És una contrasenya simple, autenticació multifactor (MFA) o biometria?
• Vinculació a un individu: Com de fortament està vinculada la identitat digital a una persona física única?
• Detecció de frau: Quines mesures hi ha per detectar i prevenir impostors o identitats sintètiques?

Marcs LoA comuns i les seves característiques

Vegem dos marcs LoA destacats per entendre les seves distincions:

Directrius d'Identitat Digital del NIST (SP 800-63-3)

• LoA 1 (Baix): Proporciona certa confiança en la identitat afirmada. Normalment implica una identitat autodeclarada amb verificació de correu electrònic/telèfon. Adequat per a l'accés públic a informació on el risc d'ús indegut és baix. Exemple: Publicacions anònimes en fòrums o subscripcions a butlletins.
• LoA 2 (Mitjà): Major confiança. La prova d'identitat sol implicar la verificació remota contra fonts autoritzades (per exemple, escaneig de document d'identitat + selfie). L'autenticació sovint utilitza autenticació remota d'un sol factor (com una contrasenya) o MFA bàsica. Exemple: Accés a serveis en línia no sensibles, comerç electrònic bàsic.
• LoA 3 (Alt): Alta confiança. Prova d'identitat robusta, sovint requerint una forta vinculació a una persona física, potencialment amb verificació biomètrica o lectura de documents NFC. L'autenticació sol implicar una MFA forta (per exemple, biometria, tokens de maquinari). Exemple: Banca en línia, serveis governamentals que accedeixen a dades personals, transaccions financeres d'alt valor.
• LoA 4 (Molt Alt): Molt alta confiança. Requereix prova d'identitat en persona o equivalent, i autenticació criptogràfica altament segura. Dissenyat per a transaccions d'alt risc extrem o accés a infraestructures crítiques. Rarament implementat en escenaris purament en línia.

Reglament eIDAS (UE) - Baix, Substancial, Alt

• Baix: Proporciona un nivell limitat de confiança en la identitat afirmada. Similar al NIST LoA 1, sovint es basa en un registre bàsic i autenticació d'un sol factor. Exemple: Accés a informació pública general.
• Substancial: Proporciona un nivell substancial de confiança. Requereix prova d'identitat amb verificació remota contra documents oficials i autenticació forta (per exemple, MFA). Comparable al NIST LoA 2-3. Exemple: Accés a serveis públics amb dades personals, presentació de declaracions d'impostos en línia.
• Alt: Proporciona un alt nivell de confiança. Implica una prova d'identitat rigorosa, potencialment requerint verificació presencial o remota equivalent amb biometria, combinada amb una forta autenticació criptogràfica. S'alinea amb un NIST LoA 3 més alt. Exemple: Obertura d'un compte bancari, signatura electrònica de contractes, serveis públics transfronterers.

Adaptació del LoA al vostre cas d'ús: exemples pràctics

La clau és seleccionar un LoA que equilibri els requisits de seguretat amb l'experiència de l'usuari i el cost operatiu. La verificació excessiva pot generar fricció i abandonament, mentre que la verificació insuficient us exposa a fraus i riscos de compliment.

Casos d'ús de LoA baix

• Subscripció a butlletins / Comentaris de bloc: Sovint és suficient una simple verificació de correu electrònic (mòdul de verificació de correu electrònic de Didit). El risc de frau és mínim i l'objectiu és reduir el correu brossa.
• Accés a contingut bàsic: Per a plataformes que ofereixen contingut gratuït que requereix un inici de sessió ràpid, una combinació de nom d'usuari/contrasenya amb una verificació bàsica de correu electrònic o telèfon per a la recuperació del compte podria ser suficient (verificació de telèfon de Didit).

Casos d'ús de LoA mitjà

• Creació de comptes de comerç electrònic: Quan els usuaris creen comptes per desar detalls d'enviament o veure l'historial de comandes, un escaneig de document d'identitat combinat amb una comprovació de vida passiva (verificació d'identitat de Didit + vida passiva) proporciona un bon equilibri. Això ajuda a prevenir múltiples comptes i fraus bàsics.
• Plataformes de jocs: Per a jocs amb restricció d'edat o compres dins del joc, podria ser necessària una estimació d'edat (estimació d'edat de Didit) o una verificació completa d'identitat per complir amb les regulacions.
• Accés a portals de clients no sensibles: Un pas d'autenticació multifactor (MFA), com un OTP a un telèfon o correu electrònic registrat, després de la prova d'identitat inicial, sol ser apropiat.

Casos d'ús de LoA alt

• Obertura de comptes financers (KYC/AML): Aquest és un clàssic escenari de LoA alt. Demanda una prova d'identitat robusta amb verificació d'identificació emesa pel govern, detecció de vida activa, coincidència facial i una exhaustiva anàlisi AML (verificació d'identitat de Didit + vida activa + coincidència facial 1:1 + anàlisi AML). La supervisió AML contínua també és crucial.
• Serveis en línia regulats (per exemple, jocs d'atzar, intercanvis de cripto): De manera similar als serveis financers, aquests requereixen processos KYC/AML estrictes per prevenir fraus, blanqueig de diners i garantir el compliment de l'edat. La lectura de documents NFC pot afegir una capa addicional de garantia.
• Telemedicina / Accés a la salut: Verificar la identitat d'un pacient abans que accedeixi a registres de salut sensibles o rebi consell mèdic requereix un alt grau de confiança. L'autenticació biomètrica per a usuaris recurrents (autenticació biomètrica de Didit) és vital aquí.
• Serveis governamentals (d'alt valor): L'accés a registres fiscals, la sol·licitud de beneficis o la signatura digital de documents legals requereixen una garantia molt alta per prevenir el robatori d'identitat.

Com Didit ajuda a aconseguir el LoA requerit

La plataforma d'identitat tot en un de Didit està dissenyada per proporcionar la flexibilitat i la potència per aconseguir qualsevol Nivell de Confiança requerit, adaptat a casos d'ús específics i necessitats reguladores.

• Arquitectura modular: Didit ofereix 18 mòduls composables, des de la verificació bàsica de correu electrònic fins a la lectura avançada de documents NFC i la supervisió AML contínua. Cada mòdul contribueix a augmentar el LoA de la identitat d'un usuari.
• Orquestració de fluxos de treball: El constructor visual de fluxos de treball permet a les empreses arrossegar i deixar anar aquests mòduls per crear fluxos de verificació personalitzats. Això significa que podeu dissenyar fluxos de treball que ajustin dinàmicament el LoA en funció de factors de risc, valor de la transacció o comportament de l'usuari. Per exemple, un simple inici de sessió podria requerir només la coincidència facial, mentre que una retirada d'alt valor desencadena una verificació completa d'identitat, vida i anàlisi AML.
• Verificació biomètrica: Amb detecció de vida passiva i activa, coincidència facial 1:1 i autenticació biomètrica, Didit proporciona capacitats biomètriques robustes crucials per a un LoA més alt.
• Validació de documents d'identitat i bases de dades: Admetent més de 14.000 tipus de documents en més de 220 països, la verificació d'identitat de Didit, combinada amb la lectura NFC i la validació de bases de dades, proporciona una garantia d'identitat de grau governamental.
• Senyals de frau i AML: L'anàlisi IP integrada, les dades del dispositiu i l'anàlisi AML en temps real contra més de 1.300 llistes de vigilància globals reforcen significativament la confiança en la identitat d'un usuari i mitiguen els riscos de frau, essencials per a un LoA més alt.
• KYC reutilitzable: Per als usuaris recurrents, el KYC reutilitzable compatible amb eIDAS2 de Didit permet als usuaris compartir credencials prèviament verificades amb reautenticació biomètrica, mantenint un LoA alt i millorant enormement l'experiència de l'usuari.

En orquestrar aquestes potents eines, les empreses poden controlar amb precisió el nivell de confiança per a cada interacció, garantint el compliment, minimitzant el frau i optimitzant el viatge de l'usuari sense friccions innecessàries.

Llest per començar?

Comprendre i implementar els Nivells de Confiança adequats és fonamental per construir serveis digitals segurs i conformes. Amb Didit, obteniu una plataforma potent i flexible per gestionar totes les vostres necessitats d'identitat, des de la verificació bàsica fins als requisits de LoA més estrictes. Exploreu com Didit pot elevar la vostra estratègia d'identitat.

Veure preus de Didit | Provar la consola de negocis de Didit | Calcular el vostre ROI