Уровни доверия (LoA) в цифровой идентификации (RU)

Определение LoAУровни доверия (LoA) количественно оценивают уверенность в заявленной цифровой личности, варьируясь от базовых самодеклараций до высокозащищенных, подтвержденных государством верификаций.

Почему LoA важныПравильное присвоение LoA предотвращает мошенничество, обеспечивает соответствие нормативным требованиям и оптимизирует пользовательский опыт, сопоставляя требования безопасности с чувствительностью транзакции или доступа к данным.

Ключевые факторы LoALoA определяется процессом подтверждения личности, надежностью учетных данных, методом аутентификации и общей безопасностью системы управления идентификацией.

Роль DiditМодульная платформа Didit позволяет компаниям создавать индивидуальные рабочие процессы идентификации, которые соответствуют конкретным требованиям LoA, бесшовно объединяя проверку личности, биометрию и сигналы мошенничества.

Что такое Уровни доверия (LoA)?

В быстро меняющемся ландшафте цифровой идентификации простого знания того, 'кем' человек себя называет, уже недостаточно. Компании и правительства должны быть уверены в том, 'насколько' они могут доверять этой личности. Именно здесь вступают в игру Уровни доверия (LoA). LoA предоставляет стандартизированную основу для категоризации степени уверенности в том, что заявленная личность является истинной и что пользователь, предъявляющий ее, действительно является тем человеком, которому эта личность была присвоена.

Представьте LoA как спектр. На одном конце может быть низкий LoA, когда пользователь просто вводит имя пользователя и пароль – это подходит для доступа к общедоступному контенту на форуме. На другом конце, высокий LoA будет включать строгую проверку личности, биометрическую аутентификацию и, возможно, даже подтверждение физического присутствия, что необходимо для таких чувствительных транзакций, как открытие банковского счета или доступ к секретной правительственной информации.

Различные стандартизирующие органы, такие как NIST (Национальный институт стандартов и технологий) в США и eIDAS в ЕС, разработали свои собственные системы LoA. Хотя их особенности могут отличаться, они, как правило, сосредоточены на схожих критериях:

• Подтверждение личности: Как изначально была проверена личность? Была ли она заявлена самостоятельно или подтверждена официальными документами и доказательствами?
• Надежность учетных данных: Насколько надежен метод, используемый для аутентификации пользователя? Это простой пароль, токен многофакторной аутентификации (MFA) или биометрическое сканирование?
• Механизм аутентификации: Как пользователь подтверждается при каждом доступе к услуге? Это происходит через общий секрет, на основе владения или на основе присущих свойств?
• Безопасность и управление: Насколько безопасно хранятся и управляются учетные данные в системе?

Понимание LoA критически важно для любой организации, работающей онлайн. Оно определяет соответствующий уровень безопасности для различных цифровых взаимодействий, обеспечивая защиту конфиденциальных данных без создания ненужных препятствий для пользователей в сценариях с низким уровнем риска.

Важность соответствия LoA вариантам использования

Реализация правильного Уровня доверия – это не универсальное решение; это стратегическое решение, которое балансирует безопасность, пользовательский опыт и стоимость. Несоответствие LoA может привести к значительным проблемам:

• Слишком низкий LoA: Если LoA недостаточен для чувствительности транзакции, это открывает двери для мошенничества, утечек данных и несоблюдения нормативных требований. Например, предоставление базового доступа по имени пользователя/паролю к финансовой торговой платформе было бы катастрофическим.
• Слишком высокий LoA: И наоборот, требование unnecessarily высокого LoA для каждого взаимодействия может привести к разочарованию пользователей, высоким показателям отказа и увеличению операционных расходов. Требование полного процесса KYC только для комментирования сообщения в блоге – это излишне и вредно для вовлеченности.

Рассмотрим эти практические примеры:

• LoA 1 (Самоподтверждение/Низкая уверенность): Пользователь подписывается на рассылку новостей, используя только адрес электронной почты. Риск минимален; низкий LoA уместен.
• LoA 2 (Базовая проверка/Средняя уверенность): Клиент электронной коммерции совершает покупку. Используется подтверждение по электронной почте и, возможно, номер телефона. Риск умеренный, включая финансовые транзакции.
• LoA 3 (Высокая уверенность): Новый клиент открывает банковский счет. Это требует надежной проверки документов, обнаружения активности и проверки AML. Риск финансового мошенничества и регуляторных штрафов высок, что требует сильного LoA.
• LoA 4 (Очень высокая уверенность): Доступ к критической инфраструктуре или высокочувствительным государственным данным. Это может включать проверку личности на основе NFC, расширенную биометрию и постоянный мониторинг, соответствующий высочайшим уровням национальной безопасности.

Тщательно оценивая риски, связанные с различными цифровыми услугами и данными, организации могут определять и внедрять рабочие процессы идентификации, которые обеспечивают необходимый уровень уверенности, не препятствуя законным пользователям. Этот тонкий подход является ключом к построению доверия в цифровой экономике.

Компоненты, формирующие LoA

Достижение определенного Уровня доверия включает в себя объединение нескольких различных компонентов проверки и аутентификации личности. Каждый компонент добавляет уровень уверенности, способствуя общему LoA:

1. Подтверждение личности: Это первоначальный процесс проверки заявленной личности пользователя. Для более высокого LoA это обычно включает:
   • Проверка документов, удостоверяющих личность: Автоматическая проверка подлинности, подделок и извлечения данных из государственных удостоверений личности (паспортов, водительских удостоверений).
   • Чтение документов NFC: Криптографическая проверка электронных паспортов и электронных удостоверений для обеспечения государственного уровня доверия.
   • Проверка базы данных: Перекрестная сверка данных личности с официальными государственными или доверенными сторонними базами данных.
   • Подтверждение адреса: Проверка места жительства с помощью счетов за коммунальные услуги или банковских выписок.
2. Биометрическая проверка: Эти технологии подтверждают, что человек, предъявляющий личность, действительно является законным владельцем.
   • Обнаружение активности (Liveness Detection): Проверяет, что пользователь является реальным, живым человеком, а не подделкой (фотография, видео, дипфейк). Это может быть пассивным (бесшовным) или активным (требующим действий пользователя).
   • Сопоставление лиц 1:1: Сравнивает живое селфи с фотографией на документе, удостоверяющем личность, чтобы подтвердить, что пользователь является владельцем документа.
   • Биометрическая аутентификация: Использование живого селфи для беспарольной повторной аутентификации для возвращающихся пользователей, часто в сочетании с обнаружением активности.
3. Аутентификация и сигналы мошенничества: Помимо первоначальной проверки, постоянные проверки поддерживают LoA.
   • Многофакторная аутентификация (MFA): Объединение того, что пользователь знает (пароль), имеет (телефон) или является (биометрия).
   • Анализ IP: Обнаружение подозрительных IP-адресов, VPN или аномалий устройств.
   • Проверка AML: Проверка на наличие в санкционных списках, базах данных PEP и негативных СМИ для соблюдения финансовых требований.
   • Постоянный мониторинг AML: Непрерывная повторная проверка пользователей после регистрации.
   • Проверка телефона/электронной почты: Подтверждение владения и оценка риска, связанного с контактными данными.

Сочетание и надежность этих компонентов определяют общий LoA. Например, система, требующая проверки документов, активного обнаружения активности и сопоставления лиц 1:1, с последующим постоянным мониторингом AML, достигнет очень высокого LoA, подходящего для регулируемых отраслей.

Как Didit помогает достичь нужного LoA

Didit специально создан для того, чтобы дать компаниям возможность реализовать точные Уровни доверия для любого цифрового взаимодействия. Наша универсальная платформа идентификации обеспечивает модульность и гибкость, необходимые для построения рабочих процессов идентификации, адаптированных к конкретным требованиям LoA, без объединения нескольких поставщиков.

• Комплексный набор модулей: Didit предлагает 18 компонуемых модулей, охватывающих проверку личности, биометрию, проверку AML, сигналы мошенничества и многое другое. Этот обширный набор инструментов позволяет вам выбирать именно те компоненты, которые необходимы для желаемого LoA. Для высокого LoA вы можете объединить чтение документов NFC, активное обнаружение активности, сопоставление лиц 1:1 и постоянный мониторинг AML. Для более низкого LoA может быть достаточно пассивного обнаружения активности и сопоставления лиц.
• Визуальная оркестровка рабочих процессов: Наш конструктор рабочих процессов без кода позволяет визуально проектировать сложные потоки идентификации. Вы можете перетаскивать модули, устанавливать условную логику (например, если оценка возраста неопределенна, переходить к полной проверке личности) и настраивать пороги для автоматического одобрения или ручного рассмотрения. Это означает, что вы можете динамически настраивать LoA на основе факторов риска, таких как стоимость транзакции, страна происхождения или история пользователя.
• Модель оплаты по факту успеха: Прозрачная ценовая политика Didit гарантирует, что вы платите только за успешно выполненные шаги проверки. Это позволяет компаниям экспериментировать с различными конфигурациями LoA и оптимизировать свои рабочие процессы как для безопасности, так и для экономической эффективности без финансовых потерь из-за прерванных сессий.
• Безопасность и соответствие: Благодаря SOC 2 Type II, ISO 27001, соответствию GDPR и сертифицированному iBeta Level 1 обнаружению активности, Didit обеспечивает базовую безопасность и соответствие, необходимые для поддержки высоких требований LoA даже для самых регулируемых отраслей.
• Бесшовная интеграция: Независимо от того, предпочитаете ли вы размещенные ссылки для проверки, веб-SDK, нативные мобильные SDK или прямую интеграцию API, Didit упрощает встраивание надежной проверки личности в ваши существующие приложения, минимизируя время и ресурсы на интеграцию.

Используя платформу Didit, компании могут уверенно подтверждать личность своих пользователей, снижать риски мошенничества, выполнять нормативные обязательства и обеспечивать бесперебойную работу – при этом точно контролируя Уровень доверия для каждого уникального случая использования.

Готовы начать?

Определение и внедрение правильных Уровней доверия является основополагающим для обеспечения безопасности ваших цифровых услуг и укрепления доверия пользователей. С Didit вы получаете мощное, гибкое и экономически эффективное решение для построения рабочих процессов идентификации, которые точно соответствуют вашим потребностям в безопасности.

Узнайте, как Didit может улучшить вашу стратегию проверки личности. Посетите нашу страницу с ценами, чтобы ознакомиться с нашей прозрачной моделью оплаты по мере использования, или посетите наш демо-центр, чтобы лично ознакомиться с платформой. Для более глубокого изучения наших возможностей просмотрите нашу техническую документацию или свяжитесь с нами по адресу hello@didit.me.