Digitaliseringsdirektoratet (Digdir) har ansvar for digitale identitetstjenester i offentlig sektor i Norge. Dette inkluderer fellesløsninger, lovverk, rammeverk og anbefalinger. 

I norsk lovgivning har vi implementert EU-forordningen om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (eIDAS) og de samme kravene til eID gjelder i Norge som i EU. 

Et viktig tema på eID-området er hvordan man utfører digital onboarding og identitetskontroll i henhold til lovens krav. I likhet med mange andre europeiske land ønsker Norge å finne ut hvordan dette kan være mulig på høyt sikkerhetsnivå.

Sammen med Norsk kommunikasjonsmyndighet (Nkom) har Digdir fått i oppgave å etablere et rammeverk med krav til slike løsninger, og som skal kunne brukes til samsvarsvurderinger..

Basert på tidligere arbeid i Norge og land vi samarbeider med, ønsker vi å få etablert et rammeverk som kan publiseres innen utgangen av året. Vi søker en konsulent som kan lede prosessen med å skrive forslaget til et slikt rammeverk sammen med representanter fra Digdir og NKOM.

Konsulenten vil være del av det felles prosjektteamet til Digdir og NKOM. 

Arbeidsoppgaver:
For det ovennevnte rammeverket ser vi for oss følgende oppgaver. Arbeidsoppgavene omfatter utvikling av både krav og veiledning.

Client requirements 
En ikke-uttømmende liste er:

• Motstandsdyktighet generelt, og motstandsdyktighet forutsatt testing i et fiendtlig miljø
  
• At kravene fremstår relevante og velegnede for en tilpasset app
• Krav til plattformenKrav til server
• Generelle krav som er relevante for et «critical system».

Artifact validation 

• The provenance of presented artefact.
• The integrity of presented artefact.
• Revocation checks.

Holder validation

• FAR requirements.
• FRR guidance.
• Liveness and presentation attach requirements.
• Image quality.
• Source of artefact.
  

Process and organization 

• Logging av audit tails.
• Safeguards.
• Communication requirements.
• End states of process.
• Operational envelope requirements.
• General ITIL requirements.

Special requirements on holder validation
For the match rate and resilience toward client side attacks including presentation attacks specific requirements on testing including penetration testing shall be developed. An non extensive list is.

• Presentation attack.
• Morphing attacks.
• MIM resilience