1. Rola procesów w systemie bezpieczeństwa dowodów
Jeśli blankiet dowodu jest bardzo dobrze zabezpieczony, to fałszerze będą szukali luk w procesach aby zdobyć oryginalne dowody z fałszywymi danymi. Przeciwdziałanie temu zagrożeniu obejmuje uszczelnienie procesów zmieniających dane w bazie dowodów oraz zapewnienie wysokiej aktualności danych dla weryfikacji dowodów on-line.
Zmiany danych w bazie dowodów będą dokonywane w procesie wydawania dowodów oraz w następstwie poniższych zdarzeń:
• Zgłoszenie utraty dowodu
• Wydanie aktu zgonu
• Złożenie wniosku o unieważnienie certyfikatu klucza publicznego dowodu
• Zgłoszenie błędu
Dane w bazie będą zmieniane przez pracowników wystawcy dowodów i podmiotów zewnętrznych (gmin i komend policji). Struktura organizacyjna wydawcy dowodów powinna zapewnić transparentność procesów i sprzyjać tworzeniu mechanizmów rozliczalności dla operacji zmieniających dane. Wystawca dowodów powinien utworzyć co najmniej cztery niezależne jednostki organizacyjne: departament utrzymania bazy z identyfikatorami urzędowymi (tj. bazy PESEL), departament personalizacji dowodów, departament utrzymania centralnej bazy dowodów i biuro kontroli.
Inicjalizacja rekordu obywatela w bazie dowodów obejmuje skopiowanie identyfikatorów urzędowych z bazy PESEL i wpisanie w pole statusu dowodu wartości „nie wydano pierwszego dowodu”. Zmiany w rekordach bazy dowodów będą dokonywane bez ogniw pośrednich. Osoba rejestrująca zdarzenie, które pociąga za sobą aktualizację danych jednocześnie wprowadzi zmiany do bazy w trybie on-line.
Zmiany w rekordach bazy dowodów będą dokonywane tylko i wyłącznie przez:
• pracowników departamentu personalizacji dowodów
• pracowników biura kontroli
• urzędników w gminach
• urzędników w komendach policji
2. Proces wydawania dowodów
Proces wydawania dowodów składa się z trzech faz: przyjęcia wniosku o wydanie dowodu w urzędzie gminy, personalizacji dowodu w departamencie personalizacji i wydania gotowego dowodu w urzędzie gminy.
Składając wniosek o wydanie pierwszego dowodu łatwiej się podszyć pod inną osobę niż przy wnioskach o kolejne dowody. W trakcie personalizacji pierwszego dowodu do bazy dowodów zostanie wprowadzone cyfrowe zdjęcie twarzy. Podszycie się pod właściciela dowodu przed urzędnikiem w gminie mającym dostęp on-line do zdjęć twarzy będzie bardzo trudne. Jednak podszycie się pod osobę, której dowodu jeszcze nie wydano będzie łatwiejsze.
Proces wydawania dowodu będzie miał dwa warianty. Jeden do wydania pierwszego dowodu i drugi do wydawania kolejnego. Różnice będą dotyczyły sposobu weryfikacji tożsamości osoby składającej wniosek o wydanie dowodu.
Proces wydawania dowodów musi być odporny na oszustów podszywających się pod inne osoby, nieuczciwych urzędników w gminach i komendach policji oraz nieuczciwych pracowników wystawcy dowodów.
System bezpieczeństwa procesów opiera się na:
• rozdzieleniu krytycznych operacji na wielu pracowników (ang. separation of duties)
• kontroli blankietów dowodów poprzez numer seryjny komponentu elektronicznego (biuro kontroli będzie monitorowało drogę każdego blankietu od przyjęcia dostawy od producenta do zakończenia personalizacji)
• Uzależnieniu autoryzacji do operacji zmieniającej dane od wartości statusu dowodu (rekord właściciela dowodu będzie miał dwa statusy. Jeden ogólnodostępny dla weryfikacji on-line a drugi dla potrzeb wewnętrznych)
2.1 Przyjęcie wniosku o wydanie dowodu
Osoba ubiegająca się o wydanie dowodu musi mieć wypełniony wniosek i cyfrowe zdjęcie twarzy. Przy składaniu wniosku o wydanie pierwszego dowodu musi być obecny rodzic lub opiekun prawny z ważnym dowodem.
Czynności związane z przyjęciem wniosku o wydanie pierwszego dowodu:
• Sprawdzenie czy identyfikatory urzędowe we wniosku pokrywają się z identyfikatorami w bazie PESEL
• Sprawdzenie zgodności cyfrowego zdjęcia osoby składającej wniosek z wyglądem twarzy oraz pozostałych cech charakterystycznych wyglądu (kolor oczu, wzrost) opisanych we wniosku
• Sprawdzenie tożsamości osoby towarzyszącej na podstawie zdjęcia na dowodzie i zdjęcia cyfrowego z bazy dowodów
Czynności związane z przyjęciem wniosku o wydanie kolejnego dowodu:
• Sprawdzenie czy identyfikatory urzędowe we wniosku pokrywają się z identyfikatorami w bazie PESEL
• Sprawdzenie zgodności wyglądu na podstawie starego dowodu lub w przypadku braku dowodu na podstawie zdjęcia cyfrowego twarzy w bazie dowodów i pytań sprawdzających bazujących na danych z poprzednich dowodów
Jeśli weryfikacja tożsamości zakończy się pomyślnie, to urzędnik wykonuje następujące operacje:
• Zmienia status dowodu w rekordzie bazy dowodów na „wniosek o wydanie dowodu złożony”
• Wysyła do departamentu personalizacji elektroniczną kopię wniosku, zdjęcie cyfrowe i skan podpisu odręcznego
W tej fazie istnieje zagrożenie, że urzędnik sam sporządzi wniosek i wprowadzi go do systemu a następnie wyda sobie gotowy dowód. Przeciwdziałać temu będą dwa zabezpieczenia:
• Zasada, że urzędnik przyjmujący wniosek o wydanie dowodu od danej osoby nie może jej wydać gotowego dowodu.
• System będzie pamiętał kto wprowadził wniosek o wydanie dowodu i automatycznie zablokuje mu dostęp do operacji wydania dowodu (w której zmienia się status dowodu i podwyższa dwucyfrowy numeru dowodu) jeśli wydanie będzie dotyczyło osoby od której przyjął wniosek.
2.2 Personalizacja dowodu
Proces personalizacji dowodu będzie mógł być rozpoczęty, jeśli:
• Wpłynął wniosek o wydanie dowodu z gminy
• Wniosek nie budzi zastrzeżeń
• Status dowodu ma stan: „wniosek o wydanie dowodu złożony”
Pracownicy departamentu personalizacji będą mogli wykonać tylko jedną operację na statusie dowodu w bazie dowodów. Będzie to zmiana statusu z „wniosek o wydanie dowodu złożony” na „dowód spersonalizowany”. Zmiana statusu kończy fazę personalizacji.
2.3 Wydanie gotowego dowodu
Wydanie niewłaściwej osobie gotowego dowodu jest głównym zagrożeniem w tej fazie. Istnieje też zagrożenie wyprodukowania i wprowadzenia do obiegu dowodu przez pracowników departamentu personalizacji z pominięciem urzędu gminy.
Weryfikacja wyglądu osoby odbierającej dowód na podstawia zdjęcia cyfrowego z bazy dowodów oraz zablokowanie pracownikom departamentu personalizacji dostępu do operacji zwiększającej dwucyfrowy numer dowodu minimalizują te ryzyka.
W celu weryfikacji osoby odbierającej dowód urzędnik gminy pobiera cyfrowe zdjęcie twarzy z bazy dowodów i sprawdza:
• czy dowód ma status „spersonalizowany” i czy dwucyfrowy numer dowodu jest właściwy
• zgodność zdjęcia na dowodzie z wyglądem oraz zgodność pozostałych cech charakterystycznych wyglądu (kolor oczu, wzrost)
• zgodność zdjęcia cyfrowego z bazy dowodów z wyglądem twarzy (jeśli osoba nie ma poprzedniego dowodu)
• zgodność numeru seryjnego komponentu elektronicznego dowodu z jego wartością w bazie dowodów
Jeśli wszystko się zgadza, to wydaje dowód oraz zmienia on-line w bazie dowodów status dowodu na „ważny” i zwiększa o jeden dwucyfrowy numer dowodu.
3. Aktualizacje danych dokonywane w gminach i komendach policji
W gminach i komendach policji zakres autoryzacji do zmian danych w bazie dowodów jest ściśle związany z przyczyną powodującą zmianę. W przypadku zgłoszenia utraty dowodu, wniosku o unieważnienie certyfikatu lub zgłoszenia zgonu będzie zmieniany w bazie tylko status dowodu lub certyfikatu (pole daty zmiany statusu zostanie automatycznie uzupełnione przez system).
Zmiana statusu dowodu lub certyfikatu będzie dokonywana przez urzędnika gminy lub komendy policji. Zmiana statusu dowodu z powodu zgonu będzie dokonywana przez urzędnika gminy.
W procesie wydawania dowodów urzędnik gminy będzie miał uprawnienia do:
• Zmiany wewnętrznego statusu dowodu na „wniosek o wydanie dowodu złożony” po sprawdzeniu wniosku o wydanie dowodu
• Zmiany statusu dowodu z „dowód spersonalizowany” na „dowód ważny” w trakcie wydania dowodu
• Zwiększenia o jeden dwucyfrowego numeru dowodu
4. Weryfikacja osoby zgłaszającej utratę dowodu
W przypadku zgłoszenia utraty dowodu tożsamość osoby zgłaszającej sprawdza się według scenariusza:
1. Osoba sprawdzana podaje swój numer PESEL
2. Uprawniony urzędnik wysyła zapytanie do bazy dowodów z parametrem („numer PESEL”)
3. W odpowiedzi przychodzi zawartość zbioru Z2 (tj. zdjęcie cyfrowe twarzy z napisami zawierającymi: numer PESEL, dwie cyfry numeru dowodu, numer seryjny komponentu elektronicznego, etc.) i status dowodu
4. Zdjęcie ze zbioru Z2 zostaje wyświetlone na ekranie komputera
5. Jeśli urzędnik uznał, że wygląd osoby sprawdzanej jest w dużej mierze zgodny ze zdjęciem to wysyła zapytanie o udostępnienie zawartości zbioru Z1
6. Opierając się na danych ze zbioru Z1 i innych informacjach otrzymanych z bazy dowodów, zadaje pytania osobie sprawdzanej
7. Porównuje podpis odręczny osoby ze skanem podpisu w bazie dowodów
8. Jeśli sprawdzana osoba potrafi prawidłowo podać dane osobowe i inne szczegóły (np. dwucyfrowy numer aktualnego dowodu), podpis jest właściwy to przyjmuje się, że tożsamość osoby jest prawdziwa
5. Proces usuwania błędów
Usuwanie błędów w rekordach bazy dowodów będzie w kompetencji biura kontroli.
Proces usuwania błędu rozpoczyna się po wpłynięciu wniosku ze zgłoszeniem błędu. Biuro kontroli nie będzie mogło zgłaszać błędów. Jeśli błąd dotyczy identyfikatorów urzędowych to musi być usunięty z bazy PESEL i bazy dowodów.
Przebieg procesu usuwania błędu:
• przyjęcie zgłoszenia błędu
• sprawdzenie czy faktycznie jest błąd i określenie prawidłowej wartości
• wprowadzenie poprawnej wartości do rekordu bazy dowodów i ewentualnie bazy PESEL
• zmiana wewnętrznego statusu dowodu na „dowód ważny zawieszony” lub „dowód nieważny” w zależności od ryzyka związanego z błędem
• powiadomienie właściciela dowodu o zawieszeniu lub unieważnieniu dowodu i potrzebie złożenia wniosku o wydanie nowego dowodu
