Sikkerhetsnivå for FTPB Altinn3 Tjenester
Se: https://info.altinn.no/hjelp/innlogging/diverse-om-innlogging/hva-er-sikkerhetsniva/
Kort forklart
Sikkerhetsnivå i Altinn beskriver hvor sikkert en bruker er logget inn, og avgjør hvilke tjenester og handlinger brukeren har tilgang til.
Hvis en bruker ikke får tilgang til en tjeneste, skyldes det ofte at brukeren er logget inn med for lavt sikkerhetsnivå for den tjenesten. Da må brukeren logge inn på nytt og velge en sterkere innloggingsmetode.
Hvorfor finnes sikkerhetsnivå?
Ulike tjenester og handlinger i Altinn har ulike krav til sikkerhet.
Følsomme tjenester krever høyere sikkerhetsnivå
Altinn gir beskjed hvis brukeren må logge inn på nytt med høyere nivå
Dette er forventet funksjonalitet, ikke en feil.
Altinn Sikkerhetsnivåer
Altinn Sikkerhetsnivå | Innloggingsmetode | Tilgang / hva betyr det |
|---|---|---|
4 | BankID, BankID på mobil, Buypass smartkort, Commfides | Høyeste sikkerhetsnivå. Anbefalt for tjenester som gir innsyn i taushetsbelagte opplysninger med særlig beskyttelsesbehov, herunder stigmatiserende opplysninger, forretningskritisk informasjon, sikkerhetskritisk informasjon og helseopplysninger. |
3 | MinID (PIN‑koder via ID‑porten) | Passer til de fleste tjenester med taushetsbelagte opplysninger, blant annet innsyn og endring i egen skattemelding. |
2 | Engangskode fra Altinn (kodebrev eller SMS) | Begrenset tilgang til enkelte tjenester. Kun tilgjengelig via API. |
1 | Kun passord | Svært begrenset tilgang. De fleste tjenester er utilgjengelige. Kun tilgjengelig via API. |
0 | Innlogging uten fødselsnummer/D‑nummer | Tilgang til et svært begrenset antall tjenester. |
Sammenheng mellom ID-porten og Altinn sikkerhetsnivå
Når en bruker logger inn med ID-porten, mottar løsningen et autentiseringstoken med IDporten eIDAS Levels of Assurance (LoA) i feltet acr (for eksempel idporten-loa-substantial).
https://docs.digdir.no/docs/idporten/oidc/oidc_protocol_id_token.html#acr-values
Altinn oversetter dette nivået til sitt sikkerhetsnivå, som brukes videre i tilgangsstyring og policy (XACML).
ID‑porten (acr) | Altinn sikkerhetsnivå |
|---|---|
idporten-loa-high | 4 |
idporten-loa-substantial | 3 |
Ikke støttet i ID-porten | 2 |
Ikke støttet i ID-porten | 1 |
Ikke støttet i ID-porten | 0 |
Ofte tilsvarer “substantial” nivå 3 og “high” nivå 4, men sammenhengen går ikke begge veier – nivåene i Altinn betyr ikke nødvendigvis det samme som i eIDAS.
F.eks. Altinn bruker nivå 3 for enkelte typer innlogginger (som systembruker), selv om disse egentlig ikke er dekket av eIDAS sine nivåer.
Sikkerhetsnivå for FTPB Tjenester
Sikkerhetsnivå (Minimum) | |||||
|---|---|---|---|---|---|
|
| Privatperson | Organisasjon | ||
Tjeneste | Kode | Altinn | ID-porten | Altinn | ID-porten |
Nabovarsel | nabovarsel-v5 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Svar på nabovarsel | nabovarsel-svar-v5 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om dispensasjon utenfor byggesak | disp-v1 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om tillatelse i ett trinn | et-v4 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om rammetillatelse | rs-v4 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad o tillatelse til tiltak uten ansvarsrett | ta-v4 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om endring av gitt tillatelse | es-v2 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Supplering av søknad | su-v2 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om igangsettingstillatelse | ig-v3 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om midlertidig brukstillatelse | mb-v3 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Søknad om ferdigattest | fa-v3 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Direkte oppretede erklæring: Ansvarserklæring* | an-v2 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Direkte oppretede erklæring: Samsvarserklæring* | sa-v2 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Direkte oppretede erklæring: Kontrollerklæring* | ko-v2 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Forespørsel om tiltakshavers samtykke | fts-v1 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Tiltakshaver samtykke til byggeplaner | ts-v1 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Varsel om oppstart av reguleringsplanarbeid | varselplanoppstart-v3 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
Uttalelser - Varsel om oppstart av reguleringsplanarbeid | varselplanoppstartuttalelse-v3 | 2 | Ikke eksplisitt krav | 3 | Betydelig (loa-substantial) |
*Under vurdering