Turvallisuus
Kehitysprosessiamme ohjaa "turvallisuus ensin" -ajattelutapa, joka sisältää nykyaikaisen kyberturvallisuuden perusperiaatteet.
Yksityisyydensuoja suunnittelun avulla
Identumin keskeinen kehitysfilosofia on Privacy by Design. Tämä tarkoittaa, että yksityisyys ja tietosuoja sisällytetään järjestelmiemme suunnitteluun ja arkkitehtuuriin alusta alkaen, eikä niitä lisätä jälkikäteen. Noudatamme seitsemää perusperiaatetta:
Ennakoiva, ei reaktiivinen; ennaltaehkäisevä, ei korjaava: Ennakoimme ja estämme yksityisyyden suojaa loukkaavat tapahtumat ennen kuin ne tapahtuvat.
Yksityisyys oletusasetuksena: Käyttäjän tiedot suojataan automaattisesti; käyttäjän ei tarvitse tehdä mitään toimenpiteitä yksityisyyden suojaamiseksi.
Yksityisyydensuoja osaksi suunnittelua: Yksityisyys on olennainen osa ydintoimintoja.
Täysi toiminnallisuus (positiivinen summa, ei nollasumma): Vältämme vääriä kahtiajakoja, kuten yksityisyys vs. turvallisuus, ja todistamme, että molemmat ovat mahdollisia.
End-to-End Security (koko elinkaaren suojaus): Tietoja suojataan turvallisesti keräämisestä hävittämiseen.
Näkyvyys ja avoimuus: Viestimme avoimesti prosesseistamme, ja ne ovat riippumattoman tarkastuksen kohteena.
Käyttäjien yksityisyyden kunnioittaminen (käyttäjäkeskeisyys): Asetamme yksilön edut etusijalle tarjoamalla vahvoja yksityisyyden suojaa koskevia oletusasetuksia ja käyttäjäystävällisiä hallintalaitteita.
Zero Trust -arkkitehtuuri
Toimimme Zero Trust -turvamallilla. Tässä mallissa oletetaan, että yhteenkään käyttäjään tai laitteeseen ei pitäisi oletusarvoisesti luottaa riippumatta siitä, ovatko ne verkon rajojen sisä- vai ulkopuolella. Jokainen käyttöoikeuspyyntö tarkistetaan tiukasti ja valtuutetaan jatkuvasti.
Henkilöllisyyden todentaminen: Kaikki käyttöoikeuspyynnöt edellyttävät vahvaa todennusta, yleensä käyttämällä monitekijätodennusta (Multi-Factor Authentication, MFA).
Vähäisimmän etuoikeuden periaate: Käyttäjille myönnetään tehtäviensä suorittamiseen tarvittavat vähimmäisoikeudet. Käyttöoikeudet ovat yksityiskohtaisia, dynaamisia ja perustuvat tarpeeseen.
Jatkuva seuranta: Järjestelmän toimintaa seurataan ja analysoidaan, jotta epäilyttävä käyttäytyminen tai epätavalliset käyttötavat voidaan havaita ja niihin voidaan reagoida.
Tietosuoja: Tietoja suojataan salauksella sekä siirron aikana että levossa, ja pääsyä niihin valvotaan tiukasti tarpeen mukaan.
Tietojen minimointi
GDPR:n mukaisesti harjoitamme tietojen minimointia. Keräämme, käsittelemme ja tallennamme vain ne henkilötiedot, jotka ovat ehdottoman välttämättömiä laillista tarkoitusta varten.
Rajoitettu kokoelma: Tuomme vain tiettyjä toimintoja varten tarvittavat tiedot. Esimerkiksi palkkatietoja ei oletusarvoisesti tuoda.
Rajoitettu säilyttäminen: Tietoja säilytetään vain niin kauan kuin toiminnallinen tai oikeudellinen tarve vaatii. Deaktivoituja käyttäjiä säilytetään oletusarvoisesti 365 päivän ajan, jonka asiakas voi mukauttaa.
Anonymisointi ja yhdistäminen: Tietoja yhdistetään tai anonymisoidaan aina kun se on mahdollista, jotta yksittäisiä henkilöitä ei voida tunnistaa.
Käyttötarkoituksen rajoittaminen: Tietoja käytetään vain niihin selkeisiin ja läpinäkyviin tarkoituksiin, joita varten ne on kerätty.
Pseudonymisointi: Pseudonymisointi: Jos tunnistettavat tiedot ovat välttämättömiä, käytämme peitenimiä käyttäjien henkilöllisyyden suojaamiseksi ja mahdollisten tietomurtojen vaikutusten vähentämiseksi.