มาตรฐานการตรวจสอบตัวตนของ NIST IAL2 และ IAL3 คืออะไร?

วันนี้ในเศรษฐกิจดิจิทัลกิจกรรมออนไลน์จำนวนมากต้องการการตรวจสอบตัวตนเพื่อสร้างการเชื่อมต่อกับบุคคลในชีวิตจริงโดยเฉพาะอย่างยิ่งในด้านความปลอดภัยการดูแลสุขภาพและการทำธุรกรรมทางการเงิน การปฏิบัติตามกฎระเบียบยังเป็นตัวขับเคลื่อนสำคัญสำหรับองค์กรในการรวมการตรวจสอบข้อมูลประจำตัวแบบดิจิทัล

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา (คนที่มีความสำคัญ) ได้กำหนดข้อกำหนดสำหรับการประเมินความสามารถในการยอมรับการตรวจสอบและการตรวจสอบหลักฐานข้อมูลประจำตัวที่ผู้ใช้ให้ไว้เพื่อสนับสนุนการเรียกร้องตัวตนของพวกเขา มีระดับการประกันตัวตนสามระดับ(IALS) ก่อตั้งขึ้นใน NIST SP 800-63: IAL1, IAL2 และ IAL3 แต่ละครั้งให้ระดับความเชื่อมั่นที่เพิ่มขึ้นในการตรวจสอบตัวตนของแต่ละบุคคล

ในระดับ IAL1 การเชื่อมโยงผู้สมัครเข้ากับตัวตนในชีวิตจริงที่เฉพาะเจาะจงนั้นไม่จำเป็น IAL นี้ไม่ได้ใช้โดยองค์กรที่ต้องยืนยันตัวตนที่อ้างสิทธิ์ในตัวตนที่ไม่ซ้ำกันเพียงตัวเดียวหรือตรวจสอบความถูกต้องและความถูกต้องของหลักฐานที่ส่งทั้งหมด อย่างไรก็ตามคำแนะนำของ NIST กำลังอยู่ในระหว่างการอัปเดตซึ่งจะเสริมสร้าง IAL1 อย่างมีนัยสำคัญ

เฟรมเวิร์ก IAL2 ที่นำมาใช้อย่างกว้างขวาง

เฟรมเวิร์ก IAL2 ถูกใช้อย่างกว้างขวางสำหรับการตรวจสอบตัวตนดิจิตอล มันได้รับคำสั่งจากหน่วยงานของรัฐต่าง ๆ เช่นการบริหารความปลอดภัยการจราจรบนทางหลวงแห่งชาติสำหรับการเปิดเผยระยะทางและ IRS สำหรับการเข้าถึงบันทึกภาษี

ภายใต้ IAL2 บุคคลจะต้องให้หลักฐานตัวตนที่ยืนยันตัวตนในโลกแห่งความเป็นจริงของพวกเขา ซึ่งอาจรวมถึงเอกสารที่ออกโดยรัฐบาลเช่นหนังสือเดินทางหรือใบขับขี่ หลักฐานชิ้นส่วนเหล่านี้จะต้องได้รับการตรวจสอบเพื่อให้แน่ใจว่าถูกต้องและป้องกันการใช้งานปลอม

ข้อมูลที่รวบรวมได้ที่ใช้ในการตรวจสอบตัวตนใน IAL2 โดยทั่วไปจะมีข้อมูลส่วนบุคคลหลักฐานข้อมูลประจำตัวและลักษณะไบโอเมตริกซ์เสริมเช่นตัวเซลฟี่สด IAL2 รวมถึงวิธีการพิสูจน์ตัวตนที่ได้รับอนุมัติที่หลากหลายเพื่อเพิ่มการยอมรับและลดเชิงลบที่ผิดพลาด

เมื่อทำการพิสูจน์ตัวตนระยะไกลโดยไม่ต้องมีบุคลากรที่ได้รับอนุญาตจากผู้ให้บริการข้อมูลรับรอง (CSP) ต้องใช้ไบโอเมตริกซ์สำหรับการตรวจสอบ NIST แนะนำให้ผู้ใช้ใช้ระบบไบโอเมตริกซ์ด้วยการตรวจจับการโจมตีการนำเสนอ (PAD)

CSP ควรรวมการตรวจจับ Livence เพื่อให้แน่ใจว่าภาพใบหน้าของผู้สมัครนั้นเป็นของจริงและไม่เสี่ยงต่อการปลอมแปลงหรือการโจมตีการนำเสนอ

หนึ่งในความท้าทายหลักที่พบในการใช้ IAL2 คือความซับซ้อนของการดำเนินการตรวจสอบเอกสารโดยไม่มีการปรากฏตัวทางกายภาพ ในการแก้ไขปัญหานี้มาตรการเพิ่มเติมเช่นการจัดส่งรหัสการลงทะเบียนไปยังที่อยู่ที่ผ่านการตรวจสอบความถูกต้องมีความสำคัญต่อการตรวจสอบความถูกต้องของการตรวจสอบตัวตน

ระดับความเชื่อมั่นที่สูงขึ้น - IAL3

ข้อกำหนดของเฟรมเวิร์ก IAL3 ได้รับคำสั่งว่าบุคคลนั้นมีอยู่จริงในระหว่างกระบวนการตรวจสอบตัวตนหรือสามารถดูแลได้จากระยะไกลโดย CSP ที่ได้รับอนุญาต

สำหรับ IAL3 จำเป็นต้องมีขั้นตอนเพิ่มเติมเมื่อเปรียบเทียบกับ IAL2 ซึ่งเกี่ยวข้องกับการให้หลักฐานเพิ่มเติมเกี่ยวกับการรักษาความปลอดภัยที่เพิ่มขึ้นผ่านการใช้วิธีการตรวจสอบไบโอเมตริกซ์เช่นการรับรู้ใบหน้าหรือการสแกนลายนิ้วมือ การป้องกันการขโมยข้อมูลประจำตัวการฉ้อโกงและความเสี่ยงอื่น ๆ

ทำไมเฟรมเวิร์กเหล่านี้?

ธุรกิจที่รวมการตรวจสอบเอกลักษณ์ดิจิทัลเพื่อป้องกันการฉ้อโกงและอาชญากรรมไซเบอร์จำเป็นต้องปฏิบัติตามข้อกำหนดด้านกฎระเบียบที่เข้มงวด กฎระเบียบเหล่านี้ส่งผลกระทบต่อหลายภาคส่วนและมอบอำนาจให้ธุรกิจตรวจสอบตัวตนของลูกค้า

นอกเหนือจากการเสริมสร้างประสบการณ์ของลูกค้าและประสิทธิภาพด้านต้นทุนแล้วองค์กรต่าง ๆ ก็หามาตรการรักษาความปลอดภัยเหล่านี้ด้วยเหตุผลต่าง ๆ ด้วยการปรับปรุงกระบวนการ onboarding และลดค่าใช้จ่ายที่เกี่ยวข้องกับการตรวจสอบข้อมูลประจำตัวด้วยตนเอง บริษัท สามารถได้เปรียบเชิงกลยุทธ์