Tietosuoja ja vaatimustenmukaisuus
Tässä asiakirjassa esitellään Identumin keskeiset periaatteet tietosuojalle, käyttäjän elinkaaren hallinnalle ja alan johtavien turvallisuusstandardien noudattamiselle.
Tietosuoja ja käyttäjän elinkaaren hallinta
Perusperiaatteemme on, että tuomme vain käsittelyn kannalta välttämättömät käyttäjätiedot. Käytämme oletusarvoisesti tietojen minimointia.
Tietojen minimointi: Suodatamme pois käyttäjät ja tiedot, joita ei tarvita. Jos esimerkiksi työntekijä ei tarvitse Active Directory -tiliä, häntä ei tuoda järjestelmiimme. Vastaavasti emme tuo holhoustietoja Feide-luetteloita varten ja vältämme arkaluonteisia tietoja, kuten palkkatietoja, ja tuomme vain lisenssien jakamista varten olennaisia ominaisuuksia, kuten työllisyysprosentin.
Totuuden lähde: On tärkeää korostaa, että asiakkaan lähdetietojärjestelmät (esim. henkilöstöhallinnon ja koulujen hallintojärjestelmät) ovat arvovaltaisia. Kun käyttäjä luodaan lähdejärjestelmässä, hänet luodaan myös eADMään. eADM :n turvallisuus ja yksityisyys riippuvat siitä, että asiakkaalla on hyvät rutiinit käyttäjien hallintaan lähdejärjestelmissään.
Automatisoitu elinkaaren hallinta: eADM automatisoi käyttäjätilien elinkaaren. Kun käyttäjä poistetaan käytöstä tai poistetaan lähdejärjestelmässä, hänen tietonsa poistetaan järjestelmistämme eADM:ssä määritettyjen sääntöjen mukaisesti. Tämä voidaan määrittää tapahtumaan automaattisesti tietyn ajan kuluttua. Tämä ratkaisee yleisen hallinnollisen haasteen, jossa käyttäjätilejä ei poisteta nopeasti, kun työntekijä lähtee, saa uuden roolin tai kuolee.
Automatisoitu poistuminen: eADM voi ilmoitusmallien avulla varoittaa automaattisesti IT-, käyttö- tai hallintohenkilöstöä, kun laitteet on palautettava tai käyttöoikeudet on peruutettava tai muutettava manuaalisesti.
Loppukäyttäjien avoimuus ja oikeudet
Kaikki käyttäjät voivat kirjautua käyttöliittymään ja nähdä kaikki heistä rekisteröidyt tiedot milloin tahansa. GDPR:n mukaisesti loppukäyttäjät voivat tarkastella tietojaan erityisessä tietosuojaosiossa, jossa kerrotaan myös, mistä tiedot ovat peräisin ja keneen on otettava yhteyttä, jos tiedot ovat virheellisiä tai jos he haluavat poistaa ne.
Identumin ratkaisut täyttävät kaikki Norjan tietoturvanormien vaatimukset.
Huomautus: Periaatteemme on sopeutua asiakkaisiimme. Jos vakiomuotoinen tietojenkäsittelysopimuksemme ei vastaa asiakkaan tarpeita, mukautamme ja käytämme asiakkaan vaatimaa tietojenkäsittelysopimusta.
Vaatimustenmukaisuus: ISO 27001 ja Visman pilvitoimitusmalli.
Identum AS on 1. helmikuuta 2023 alkaen Visma AS:n kokonaan omistama tytäryhtiö, joten se noudattaa Visman laatujärjestelmää ja toimitusmallia.
Visma Cloud Delivery Model (VCDM ) on kehyksemme pilvipalveluiden kehittämiseen, toimittamiseen ja käyttämiseen. Se perustuu DevOpsin ja jatkuvan toimituksen keskeisiin periaatteisiin, ja siinä hahmotellaan organisaatiorakenteemme, prosessimme ja tekniset parhaat käytännöt.
Sertifikaatit ja tarkastukset
VCDM on validoitu seuraavilla sertifikaateilla ja todistuksilla:
ISO 27001: Tietoturvallisuuden hallintajärjestelmämme (ISMS) on sertifioitu ISO 27001 -standardin mukaisesti, ja riippumaton IT-tarkastaja tarkastaa sen vuosittain.
ISAE 3402 SOC 1 Type II: Riippumaton yritys tarkastaa vuosittain ISAE 3402 -standardin mukaisesti myös Visman kyvyn noudattaa ISMS- ja laadunhallintajärjestelmää VCDM:ssä. Tuloksista tehdään yhteenveto ISAE 3402 Type II -raportissa.
Lisätietoja saat Visma Trust -keskuksesta.
Jatkuva integrointi ja käyttöönotto (CI/CD)
Lähestymistapamme muutosten toteuttamiseen on jatkuva integrointi ja jatkuva käyttöönotto (CI/CD). Muutokset tarkistetaan ja toteutetaan jatkuvasti staging-ympäristössämme, jossa kehitysosastomme ja asiantuntijat testaavat ne manuaalisesti. Laajempia muutoksia varten otamme mukaan pilottiasiakkaita testaamaan muutoksia normaalissa toimintaympäristössä ennen kuin ne julkaistaan kaikille asiakkaille.
Tekoälyn ja haun yhteenveto
Tässä asiakirjassa esitetään yksityiskohtaisesti Identumin lähestymistapa tietosuojaan ja vaatimustenmukaisuuteen. Se kattaa tietojen minimoinnin periaatteen, käyttäjien elinkaaren automatisoinnin eADM:n avulla ja GDPR:n mukaiset loppukäyttäjien tiedonsaantioikeudet. Lisäksi siinä hahmotellaan, miten Identum noudattaa ISO 27001- ja ISAE 3402 -standardeja integroitumalla Visma Cloud Delivery Model (VCDM) -malliin, jossa korostetaan turvallista DevOps- ja Continuous Delivery -lähestymistapaa.