Polscy eksperci wyznaczają standardy bezpieczeństwa cyfrowego portfela

Europejski Portfel Tożsamości Cyfrowej od kilku lat pozostaje jednym z kluczowych elementów unijnej debaty o cyfryzacji publicznych i prywatnych usług. Ma zapewnić mieszkańcom państw członkowskich wspólny sposób potwierdzania tożsamości i przechowywania cyfrowych dokumentów i zaświadczeń. Ma być też wykorzystywany do bezpieczniej weryfikacji wieku bez ujawniania dokładnej daty urodzenia.

Dyskusja o portfelu wchodzi obecnie w decydującą fazę: do końca 2026 roku każde państwo UE ma udostępnić co najmniej jedno certyfikowane rozwiązanie. Ciężar debaty przesuwa się z samej idei cyfrowej tożsamości na bezpieczeństwo, wiarygodność i transgraniczność portfeli w całej Unii.

Odpowiedzią na te kwestie może być opracowany przez polskich ekspertów pierwszy w UE kompletny program certyfikacji Europejskiego Portfela Tożsamości Cyfrowej.

Instytut Łączności z ważnym osiągnięciem

Dokument przygotował zespół Instytutu Łączności – Państwowego Instytutu Badawczego pod kierownictwem dr inż. Elżbiety Andrukiewicz. 4 sierpnia br. Ministerstwo Cyfryzacji nadało mu status oficjalnego polskiego programu certyfikacji.

To jedno z najważniejszych osiągnięć  polskich ekspertów w obszarze cyberbezpieczeństwa ostatnich lat i dowód, że Polska nie tylko wdraża europejskie rozwiązania - ale współtworzy standardy, które będą obowiązywać w całej Unii Europejskiej.
Komunikat prasowy Instytutu Łączności – Państwowego Instytutu Badawczego

Pierwszy taki program w Unii Europejskiej

Przygotowany przez polskich specjalistów program określa, w jaki sposób należy sprawdzać bezpieczeństwo cyfrowego portfela. Dopiero po przejściu niezależnych testów rozwiązanie będzie mogło zostać dopuszczone do powszechnego użytku (na terenie UE).

Dokument powstał w momencie, gdy wiele państw członkowskich wciąż pracowało nad własnymi zasadami, a wspólny unijny system certyfikacji nie był jeszcze gotowy. Dlatego też polski program może stać się punktem odniesienia dla przyszłych standardów obowiązujących w całej UE. 

Jego autorzy przyjęli zasadę, że zakres kontroli powinien zależeć od poziomu ryzyka. Najbardziej wrażliwe elementy, w tym moduły kryptograficzne odpowiedzialne za ochronę danych, mają być badane zgodnie z międzynarodowym standardem Common Criteria.

Z kolei część aplikacyjna, która będzie regularnie aktualizowana i rozwijana, zostanie oceniona w sposób pozwalający zachować wysoki poziom bezpieczeństwa, a jednocześnie sprawnie wprowadzać zmiany w oprogramowaniu.

Polscy eksperci wyznaczają kierunek

Najpierw przygotowano wersję angielską, dzięki czemu dokument mogli ocenić zagraniczni partnerzy. Program konsultowano bowiem na forum European Digital Identity Cooperation Group i poddano analizie ekspertów unijnej agencji ds. cyberbezpieczeństwa ENISA.  

Za jego przygotowanie odpowiadali specjaliści z Zakładu Cyberbezpieczeństwa oraz Zakładu Technologii i Zastosowań Internetu Instytutu Łączności, wspierani przez ekspertów z innych jednostek tej placówki. Instytut prowadzi jedyne w Polsce laboratorium klasy ITSEF, które może przeprowadzać zaawansowane badania bezpieczeństwa produktów informatycznych, w tym rozwiązań kryptograficznych. 

Publikacja programu otwiera drogę do akredytowania jednostek prowadzących testy, a następnie certyfikacji portfela tożsamości cyfrowej, którego funkcję ma w Polsce pełnić aplikacja mObywatel.