Rozporządzenie wykonawcze Komisji (UE) 2024/2981 z dnia 28 listopada 2024 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do certyfikacji europejskich portfeli tożsamości cyfrowej

Załącznik I

W mocy

REJESTR RYZYKA EUROPEJSKICH PORTFELI TOŻSAMOŚCI CYFROWEJ

Wprowadzenie

Rejestr ryzyka opisuje główne rodzaje ryzyka i zagrożeń związane z bezpieczeństwem i prywatnością, które dotyczą portfeli i które należy odpowiednio uwzględnić w każdej architekturze i przy wdrażaniu portfeli. Wysokie ryzyko (sekcja I) wiąże się z korzystaniem z portfeli przez użytkowników i strony ufające, a także ma związek z bezpośrednimi zagrożeniami wobec aktywów portfeli. Ponadto zidentyfikowano kilka rodzajów ryzyka na poziomie systemowym (sekcja II) dla portfeli, zazwyczaj będących skutkiem połączenia zagrożeń mających zastosowanie do całego systemu portfeli.

Rodzaj ryzyka

Identyfikator ryzyka

Powiązane rodzaje ryzyka

Wysokie ryzyko dla portfeli

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej

Tworzenie lub wykorzystywanie fałszywych atrybutów

Kradzież tożsamości

Kradzież danych

Ujawnienie danych

Manipulacja danymi

Utrata danych

Nieupoważniona transakcja

R10

Manipulacja transakcją

R11

Zaprzeczenie

R12

Ujawnienie danych dotyczących transakcji

R13

Zakłócenie usługi

R14

Inwigilacja

Ryzyko systemowe

SR1

Inwigilacja hurtowa

SR2

Nadszarpnięcie reputacji

SR3

Niezgodność z przepisami prawa

W rejestrze wyróżnia się również zagrożenia techniczne (sekcja III) związane z wdrażaniem rozwiązania w zakresie portfela. Zagrożenia te są związane z wysokim ryzykiem, ponieważ każde z nich może zostać wykorzystane do wywoływania wielu rodzajów wysokiego ryzyka.

Rodzaj zagrożenia

Identyfikator zagrożenia

Powiązane zagrożenia

Podkategorie zagrożeń

Zagrożenie techniczne

TT1

Ataki fizyczne

1.1.

Kradzież

1.2.

Wyciek informacji

1.3.

Ingerencja

TT2

Błędy i błędna konfiguracja

2.1.

Błędy podczas zarządzania systemem informatycznym

2.2.

Błędy na poziomie aplikacji lub błędy użytkowania

2.3.

Błędy na etapie rozwoju i błędne konfiguracje systemu

TT3

Korzystanie z niewiarygodnych zasobów

3.1.

Błędne wykorzystanie lub błędna konfiguracja komponentów portfela

TT4

Awarie i przestoje

4.1.

Awaria lub dysfunkcja sprzętu, urządzeń lub systemów

4.2.

Utrata zasobów

4.3.

Utrata usług wsparcia

TT5

Działania w złym zamiarze

5.1.

Przechwycenie informacji

5.2.

Phishing i spoofing

5.3.

Powielanie wiadomości

5.4.

Atak siłowy

5.5.

Luki w oprogramowaniu

5.6.

Ataki na łańcuch dostaw

5.7.

Złośliwe oprogramowanie

5.8.

Przewidywanie liczb losowych

Ponadto rejestr zawiera wykaz bezpośrednich zagrożeń dla portfeli, z których każde jest powiązane z (niewyczerpującym) wykazem rodzajów ryzyka (sekcja IV).

SEKCJA I

Wysokie ryzyko dla portfeli

R1. Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej definiuje się jako tworzenie w portfelu tożsamości elektronicznej, która istnieje w świecie rzeczywistym i jest przypisana innemu użytkownikowi. Zasadniczo ryzyko to prowadzi do ryzyka kradzieży tożsamości (R4) i nieupoważnionej transakcji (R9).

R2. Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej definiuje się jako tworzenie w portfelu tożsamości elektronicznej, która nie istnieje w świecie rzeczywistym.

R3. Tworzenie lub wykorzystywanie fałszywych atrybutów

Tworzenie lub wykorzystywanie fałszywych atrybutów definiuje się jako tworzenie lub wykorzystywanie atrybutów, w przypadku których nie można potwierdzić, że zostały wydane przez wskazanego dostawcę, i którym nie można zaufać.

R4. Kradzież tożsamości

Kradzież tożsamości definiuje się jako nieuprawnione przejęcie jednostki portfela lub utratę czynników uwierzytelniających, co pozwala podszyć się pod daną osobę.

R5. Kradzież danych

Kradzież danych definiuje się jako nieuprawnione pobranie danych. Kradzież danych wiąże się również z zagrożeniami, takimi jak przechwycenie danych (nieupoważnione przechwycenie danych w trakcie przesyłania) i deszyfrowanie danych (nieupoważnione dekodowanie zaszyfrowanych danych), które w niektórych przypadkach mogą prowadzić do ujawnienia danych (R6).

R6. Ujawnienie danych

Ujawnienie danych definiuje się jako nieuprawnione ujawnienie danych osobowych, w tym szczególnych kategorii danych osobowych. Ryzyko naruszenia prywatności jest bardzo podobne, gdy rozważa się je pod kątem prywatności, a nie bezpieczeństwa.

R7. Manipulacja danymi

Manipulację danymi definiuje się jako nieupoważnioną zmianę danych.

R8. Utrata danych

Utratę danych definiuje się jako sytuację, w której dane przechowywane w portfelu zostały utracone w wyniku niewłaściwego użycia lub działania w złej wierze. Ryzyko to jest często ryzykiem wtórnym wobec manipulacji danymi (R7) lub zakłóceń usługi (R13), w przypadku gdy nie można przywrócić całości lub części danych.

R9. Nieupoważniona transakcja

Nieupoważnione transakcje definiuje się jako działania operacyjne prowadzone bez zgody lub wiedzy użytkownika portfela. W wielu przypadkach nieupoważniona transakcja może prowadzić do kradzieży tożsamości (R4) lub ujawnienia danych (R6). Jest to również związane z nieupoważnionymi transakcjami, takimi jak niewłaściwe użycie kluczy kryptograficznych.

R10. Manipulacja transakcją

Manipulację transakcją definiuje się jako nieupoważnioną zmianę operacji w portfelu. Manipulacja transakcją stanowi atak na integralność i wiąże się z naruszeniem integralności danych.

R11. Zaprzeczenie

Zaprzeczenie oznacza sytuację, w której zainteresowana strona zaprzecza wykonaniu określonej czynności lub udziałowi w transakcji, a pozostali interesariusze nie mają dostatecznych dowodów, aby to zakwestionować.

R12. Ujawnienie danych dotyczących transakcji

Ujawnianie danych dotyczących transakcji definiuje się jako ujawnienie informacji na temat transakcji między zainteresowanymi stronami.

R13. Zakłócenie usługi

Zakłócenie usługi definiuje się jako przerwanie lub pogorszenie normalnego działania portfela. Szczególnym rodzajem zakłócenia usługi jest blokada użytkownika, definiowana jako niezdolność użytkownika do dostępu do własnego konta lub portfela.

R14. Inwigilacja

Inwigilację lub monitorowanie definiuje się jako nieupoważnione śledzenie lub obserwowanie działań, komunikacji lub danych użytkownika portfela. Inwigilacja jest często związana z wnioskowaniem, które definiuje się jako dedukcję danych wrażliwych lub osobowych na podstawie pozornie nieszkodliwych informacji.

SEKCJA II

Ryzyko systemowe

Ryzyko systemowe nie jest uwzględniane w wykazie zagrożeń, ponieważ zazwyczaj jest wynikiem wielu zagrożeń, powtarzających się w sposób zagrażający całemu systemowi.

SR1. Inwigilacja hurtowa

Inwigilację hurtową definiuje się jako śledzenie lub obserwowanie działań wielu użytkowników poprzez komunikację lub dane portfela. Inwigilacja hurtowa jest często powiązana z inwigilacją (R14) i wnioskowaniem w skali globalnej, gdy informacje o wielu użytkownikach są łączone, aby wydedukować ich dane wrażliwe lub osobowe bądź zidentyfikować tendencje statystyczne, które można potem wykorzystać do przygotowywania dalszych ataków.

SR2. Nadszarpnięcie reputacji

Nadszarpnięcie reputacji definiuje się jako szkody wizerunkowe organizacji lub organu rządowego. Nadszarpnięcie reputacji powstaje również na skutek innych zagrożeń, gdy naruszenie lub incydent zostanie przedstawiony w mediach, ukazując organizację w niekorzystnym świetle. Nadszarpnięcie reputacji może prowadzić do dalszych zagrożeń, takich jak utrata zaufania wynikająca z uzasadnionych wątpliwości użytkownika oraz utrata ekosystemu, gdy cały ekosystem ulega destabilizacji.

SR3. Niezgodność z przepisami prawa

Niezgodność z przepisami prawa definiuje się jako sytuację, w której nie można przestrzegać odpowiednich przepisów ustawowych, wykonawczych lub norm. W kontekście portfela – zważywszy, że bezpieczeństwo i prywatność rozwiązania są wymaganiami prawnymi – wszystkie zagrożenia mogą prowadzić do pewnego rodzaju niezgodności z przepisami prawa.

SEKCJA III

Zagrożenia techniczne

Zagrożenia techniczne nie zawsze są powiązane z konkretnymi rodzajami ryzyka dla portfeli, ponieważ wiele z nich stanowi środki, które mogą być użyte do przeprowadzenia ataków odpowiadających różnym rodzajom ryzyka.

TT1. Ataki fizyczne

1.1. Kradzież

Kradzież definiuje się jako kradzież urządzeń, które mogą wpłynąć na prawidłowe funkcjonowanie portfela (w przypadku gdy urządzenie zostaje skradzione, a jednostka portfela nie jest odpowiednio chroniona). Może się to przyczynić się do powstania wielu rodzajów ryzyka, w tym kradzieży tożsamości (R4), kradzieży danych (R5) i nieupoważnionych transakcji (R9).

1.2. Wyciek informacji

Wyciek informacji definiuje się jako nieupoważniony dostęp do informacji, ich ujawnienie lub wymianę po fizycznym dostępie do portfela. Może on w szczególności przyczynić się do ujawnienia danych (R6) i kradzieży danych (R5).

1.3. Ingerencja

Ingerencja oznacza naruszenie integralności jednego lub wielu komponentów jednostki portfela lub komponentów, na których dana jednostki portfela polega, np. urządzenia użytkownika lub jego systemu operacyjnego. Może ona w szczególności przyczynić się do manipulacji danymi (R7), utraty danych (R8) i manipulacji transakcją (R10). Ingerencja ukierunkowana na komponenty oprogramowania może przyczynić się do powstania wielu zagrożeń.

TT2. Błędy i błędna konfiguracja

2.1. Błędy podczas zarządzania systemem informatycznym

Błędy podczas zarządzania systemem informatycznym oznaczają wyciek informacji, przekazywanie informacji lub szkody spowodowane niewłaściwym wykorzystaniem zasobów informatycznych przez użytkowników (brak wiedzy na temat funkcji aplikacji) lub niewłaściwą konfiguracją bądź błędnym zarządzaniem zasobami informatycznymi.

2.2. Błędy na poziomie aplikacji lub błędy użytkowania

Błędy na poziomie aplikacji lub błędy użytkowania definiuje się jako dysfunkcje aplikacji spowodowane błędem w samej aplikacji lub błędem jednego z użytkowników (użytkowników portfela i stron ufających).

2.3. Błędy na etapie rozwoju i błędne konfiguracje systemu

Błędy na etapie rozwoju i błędne konfiguracje systemu definiuje się jako dysfunkcje lub słabe punkty spowodowane niewłaściwym opracowaniem lub konfiguracją zasobów informatycznych lub procesów biznesowych (nieodpowiednie specyfikacje produktów informatycznych, nieodpowiednia używalność, niezabezpieczone interfejsy, niewłaściwe działanie polityki i procedur, błędy projektowe).

TT3. Korzystanie z niewiarygodnych zasobów

Korzystanie z niewiarygodnych źródeł definiuje się jako działanie prowadzące do niezamierzonej szkody spowodowanej źle określonymi relacjami zaufania, na przykład zaufania do zewnętrznego dostawcy nieposiadającego odpowiedniego poziomu bezpieczeństwa.

3.1. Błędne wykorzystanie lub konfiguracja komponentów portfela

Błędne wykorzystanie lub konfigurację komponentów portfela definiuje się jako niezamierzone uszkodzenie komponentów portfela z powodu błędnego użycia lub niewłaściwej konfiguracji przez użytkowników portfela lub niewystarczająco przeszkolonych deweloperów, lub z powodu braku dostosowania do zmian w krajobrazie zagrożeń, zazwyczaj w związku z używaniem podatnych na zagrożenia komponentów stron trzecich lub platform wykonawczych.

TT4. Awarie i przestoje

4.1. Awaria lub dysfunkcja sprzętu, urządzeń lub systemów

Awaria lub dysfunkcja sprzętu oznacza niezamierzone uszkodzenie zasobów informatycznych wynikające z problemów z funkcjonowaniem sprzętu, w tym infrastruktury dostawcy oraz urządzeń użytkowników.

4.2. Utrata zasobów

Utratę zasobów definiuje się jako przerwę lub dysfunkcję z powodu niedostępności takich zasobów, np. części do konserwacji.

4.3. Utrata usług wsparcia

Utratę usług wsparcia definiuje się jako awarię lub dysfunkcję z powodu niedostępności usług wsparcia wymaganych do właściwego funkcjonowania systemu, z uwzględnieniem łączności sieciowej infrastruktury dostawcy i urządzenia użytkownika.

TT5. Działania w złym zamiarze

5.1. Przechwycenie informacji

Przechwycenie informacji oznacza pozyskiwanie niewłaściwie zabezpieczonych informacji podczas transmisji, w tym ataki „człowiek pośrodku”.

5.2. Phishing i spoofing

Phishing definiuje się jako przechwytywanie informacji, które użytkownik udostępnia w wyniku wprowadzenia w błąd, często powiązanego z fałszowaniem legalnych kanałów komunikacji i stron internetowych. Zagrożenia te są ukierunkowane na użytkownika i zazwyczaj przyczyniają się do kradzieży tożsamości (R4) i nieupoważnionej transakcji (R9), często poprzez kradzież danych (R5) lub ujawnienie danych (R6).

5.3. Powielanie wiadomości

Powielanie wiadomości oznacza ponowne wykorzystanie uprzednio przechwyconych komunikatów w celu przeprowadzania nieupoważnionych transakcji, często na poziomie protokołu. To zagrożenie techniczne prowadzi głównie do nieupoważnionych transakcji, które w zależności od transakcji mogą skutkować innymi rodzajami ryzyka.

5.4. Atak siłowy

Atak siłowy oznacza naruszenie bezpieczeństwa, najczęściej poufności, poprzez podejmowanie wielu interakcji w celu uzyskania odpowiedzi zawierających przydatne informacje.

5.5. Luki w oprogramowaniu

Zagrożenie związane z lukami w oprogramowaniu stanowi naruszenie bezpieczeństwa poprzez wykorzystanie podatności oprogramowania w komponentach portfela lub w komponentach oprogramowania i sprzętu wykorzystywanych do wdrożenia portfela, w tym opublikowanych i niepublikowanych (0-day) podatności na zagrożenia.

5.6. Ataki na łańcuch dostaw

Atak na łańcuch dostaw definiuje się jako naruszenie bezpieczeństwa poprzez ataki na podmiot dostarczający dostawcy portfela lub jego użytkowników w celu umożliwienia dalszych ataków na sam portfel.

5.7. Złośliwe oprogramowanie

Złośliwe oprogramowanie definiuje się jako naruszenie bezpieczeństwa za pomocą aplikacji wykonujących niepożądane i niezgodne z prawem operacje na portfelu.

5.8. Przewidywanie liczb losowych

Przewidywanie liczb losowych definiuje się jako umożliwianie ataków siłowych poprzez częściowe lub całkowite przewidywanie wygenerowanych liczb losowych.

SEKCJA IV

Zagrożenia dla portfeli

Ostatnia sekcja zawiera typowe scenariusze zagrożeń charakterystycznych dla portfeli, które są powiązane z kluczowymi rodzajami wysokiego ryzyka wymienionymi powyżej. Wykaz ten określa zagrożenia, które należy uwzględnić, ale nie stanowi wyczerpującego wykazu zagrożeń, które w dużym stopniu zależą od architektury wybranego rozwiązania w zakresie portfela oraz od ewolucji środowiska zagrożeń. Ponadto w ocenie ryzyka i zaproponowanych środkach dostawca portfela może być odpowiedzialny wyłącznie za komponenty objęte zakresem certyfikacji (*).

Identyfikator

Opis zagrożenia

Opis zidentyfikowanego zagrożenia (*)

Nazwa ryzyka

Powiązane ryzyko

TR1

Atakujący może bez uzasadnionego powodu unieważnić pseudonimy.

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR2

Atakujący może tworzyć gotowe tożsamości elektroniczne, które nie istnieją.

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR3

Atakujący może rozpocząć tworzenie nieupoważnionych danych identyfikujących osobę.

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR4

Atakujący może zwrócić się do administratora o wpis nieprawidłowego dostawcy danych identyfikujących osobę na zaufaną listę dostawcy takich danych.

Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR5

Atakujący może obejść usługę zdalnego potwierdzania tożsamości.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR6

Atakujący może obejść usługę potwierdzającą tożsamość fizyczną.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR7

Atakujący może obejść usługi potwierdzania tożsamości za pomocą (kwalifikowanego) certyfikatu zdalnego.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR8

Atakujący może uzyskać dostęp do portfela, który nie jest związany z daną osobą.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR9

Atakujący może przełamać kontrole techniczne i proceduralne w celu stworzenia niewłaściwych danych identyfikujących osobę.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR10

Atakujący może aktywować nowy portfel na nieprawidłowym bezpiecznym urządzeniu kryptograficznym portfela (WSCD).

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)

TR11

Atakujący może obejść usługę potwierdzania tożsamości związaną z wykorzystaniem istniejących środków eID.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR12

Atakujący może obejść weryfikację przez dostawcę danych identyfikujących osobę potwierdzającą, że portfel jest kontrolowany przez użytkownika, i spowodować wydanie danych identyfikujących osobę do portfela znajdującego się pod kontrolą atakującego.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR13

Atakujący może otrzymać ważne dane identyfikujące osobę dla nieważnej jednostki portfela.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR14

Dostawca danych identyfikujących osobę może tworzyć sfabrykowane tożsamości, jeśli tożsamość jest związana z istniejącą osobą.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR15

Atakujący może połączyć dane identyfikujące osobę z niewłaściwym portfelem, ponieważ dostawca takich danych nie jest w stanie powiązać ich z prawidłowym portfelem.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR16

Atakujący może upoważnić użytkownika do zatwierdzenia aktywacji nowej jednostki/instancji portfela pod kontrolą atakującego, co pozwala na późniejszą kontrolę poświadczeń.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Tworzenie lub wykorzystywanie fałszywej tożsamości elektronicznej (R2)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR17

Atakujący może utworzyć dane identyfikujące osobę z innego państwa, aby uzyskać dostęp do danych/zasobów cyfrowych obywateli, którzy są celem ataku.

Tworzenie lub wykorzystywanie istniejącej tożsamości elektronicznej (R1)/Kradzież tożsamości (R4)/Nieupoważniona transakcja (R9)

TR18

Atakujący może przełamać kontrole techniczne i proceduralne w celu stworzenia fałszywych (kwalifikowanych) elektronicznych poświadczeń atrybutów ((Q)EAA).