Sikkerhetsdokumentasjon

Dette dokumentet gir en omfattende oversikt over sikkerhetsrammeverket for Identums produkter og tjenester, inkludert eADM og eFEIDE. Vår sikkerhet er bygget på bransjens beste praksis, robuste driftsprosedyrer og en forpliktelse til å beskytte kundedata.

1. Utvikling og designfilosofi

Utviklingsprosessen vår styres av en "sikkerhet først"-tankegang, som omfatter grunnleggende prinsipper for moderne cybersikkerhet.

Innebygd personvern

Identums sentrale utviklingsfilosofi er innebygd personvern. Det betyr at personvern og databeskyttelse er integrert i utformingen og arkitekturen av systemene våre fra starten av, og ikke legges til som en ettertanke. Vi følger de syv grunnleggende prinsippene:

Proaktiv, ikke reaktiv; forebyggende, ikke avhjelpende: Vi forutser og forebygger personvernkrenkende hendelser før de skjer.
Personvern som standardinnstilling: Brukerdata beskyttes automatisk, og det kreves ingen handling fra brukeren for å sikre personvernet.
Personvern innebygd i designet: Personvern er en viktig del av kjernefunksjonaliteten.
Full funksjonalitet (positiv sum, ikke nullsum): Vi unngår falske dikotomier, for eksempel personvern vs. sikkerhet, og viser at det er mulig å ha begge deler.
Sikkerhet fra ende til ende (beskyttelse gjennom hele livssyklusen): Data beskyttes på en sikker måte fra innsamling til destruksjon.
Synlighet og åpenhet: Vi kommuniserer åpent om prosessene våre og er gjenstand for uavhengig verifisering.
Respekt for brukernes personvern (brukersentrert): Vi setter den enkeltes interesser først ved å tilby sterke standardinnstillinger for personvern og brukervennlige kontroller.

Arkitektur med null tillit

Vi opererer med en sikkerhetsmodell med null tillit. Denne modellen går ut på at ingen brukere eller enheter skal være klarert som standard, uavhengig av om de befinner seg innenfor eller utenfor nettverksperimeteren. Alle tilgangsforespørsler blir strengt verifisert og kontinuerlig autorisert.

Identitetsbekreftelse: Alle tilgangsforespørsler krever sterk autentisering, vanligvis ved hjelp av multifaktorautentisering (MFA).
Prinsippet om minste privilegium: Brukerne får den minste tilgangen som kreves for å utføre oppgavene sine. Tillatelsene er detaljerte, dynamiske og basert på behov.
Kontinuerlig overvåking: All systemaktivitet overvåkes og analyseres for å oppdage og reagere på mistenkelig atferd eller uvanlige tilgangsmønstre.
Beskyttelse av data: Data beskyttes ved hjelp av kryptering, både under transport og i hvile, og tilgangen kontrolleres strengt basert på behov.

Minimering av data

I tråd med GDPR praktiserer vi dataminimering. Vi samler inn, behandler og lagrer bare de personopplysningene som er strengt nødvendige for et legitimt formål.

Begrenset innsamling: Vi importerer bare data som kreves for bestemte funksjoner. Lønnsdata importeres for eksempel ikke som standard.
Begrenset oppbevaring: Data lagres bare så lenge det er et driftsmessig eller juridisk behov for det. Deaktiverte brukere lagres som standard i 365 dager, en periode som kan tilpasses av kunden.
Anonymisering og aggregering: Når det er mulig, aggregeres eller anonymiseres data for å forhindre identifisering av enkeltpersoner.
Begrensning av formål: Opplysningene brukes kun til de klare og tydelige formålene de ble samlet inn for.
Pseudonymisering: Der det er nødvendig med identifiserbare data, bruker vi dataaliaser for å beskytte brukeridentiteter og redusere konsekvensene av potensielle datainnbrudd.

2. Drift og hosting

Driftssikkerheten vår er basert på Nasjonal sikkerhetsmyndighets (NSM) grunnprinsipper for IKT-sikkerhet, og den er driftet på en infrastruktur i verdensklasse.

Hosting og infrastruktur

Identums løsninger er skybaserte, driftes og vedlikeholdes av vår partner, Microsoft Azure i Norge. De fysiske serverne er plassert på Østlandet.
Infrastrukturen inkluderer innebygd redundans, ekstern sikkerhetskopiering og lastbalansering, med en oppetidsgaranti på 99,9 % i henhold til SLA-en vår.
Identum er ansvarlig for operativsystemet og programvaren, mens Microsoft tar seg av maskinvare, nettverk, ekstern sikkerhetskopiering, redundans og brannmurer.
Tilgang til servermiljøet er strengt begrenset til autorisert teknisk personell hos Identum og nødvendig driftspersonell hos Microsoft, sikret via TeamViewer-klienter med MFA.

Oppdateringer og patching

For å redusere kjente sårbarheter oppdateres og oppdateres alle systemer, servere og komponenter ukentlig på søndager. En dedikert ressurs hos Identum er ansvarlig for denne prosessen.
Som en organisasjon som er utpekt som kritisk infrastruktur, mottar Identum varsler fra Nasjonalt cybersikkerhetssenter (NCSC) om sikkerhetshull og sårbarheter. Vi gjennomfører kontinuerlige trusselvurderinger og oppdaterer relevante sårbarheter umiddelbart.
Produktoppdateringer for eFeide og eADM distribueres på søndager etter 14-dagers utviklingssprinter. Merk: For å sikre stabilitet settes ikke-kritiske eFeide-oppdateringer på pause i skolestart- og eksamensperioder.

Kryptering

Data i ro: Alle data som lagres på serverne våre i Azure, er beskyttet av standard kryptering på serversiden. Krypteringsnøklene administreres automatisk av Azure-plattformen.
Data i transitt: All kommunikasjon mellom Identums servere, klienter, nettlesere og tredjepartssystemer er ende-til-ende-kryptert ved hjelp av TLS 1.2 med 2048-biters nøkler. SSL-sertifikater utstedes av Digicert og fornyes årlig.
Passord og hemmeligheter: Alle systempassord (hemmeligheter) i eADM og eFeide er sikret med Rijndael AES 256-biters kryptering. Brukerpassordene lagres hashet og kryptert i LDAP-databasen vår, som bruker standard Active Directory-teknologi.

Segregering av data

Kundedata er logisk separert ved hjelp av en unik kunde-ID. Alle datatabeller er knyttet til denne ID-en, og alle API-forespørsler må inneholde denne nøkkelen som en obligatorisk parameter. Dette sikrer at hver enkelt kundes data forblir isolert og sikker, og forhindrer eksponering av data på tvers av kunder.

3. Sikkerhetskopiering og forretningskontinuitet

Vi har robuste planer og prosedyrer for å sikre dataintegritet og tjenestetilgjengelighet.

Sikkerhetskopiering og gjenoppretting

Databasene sikkerhetskopieres hvert 10. minutt. Hele produksjonsmiljøet sikkerhetskopieres daglig.
Sikkerhetskopier lagres i et fysisk adskilt miljø fra produksjonsserverne.
For å validere sikkerhetskopienes integritet gjenopprettes testmiljøet vårt, som er en komplett kopi av produksjonen, fra disse sikkerhetskopiene minst hver 14. dag.

Plan for virksomhetskontinuitet

Hele servermiljøet vårt kan gjenopprettes fra bunnen av på under seks timer, enten i det primære eller et sekundært miljø (f.eks. i tilfelle et DDoS-angrep).
Individuelle kundeforekomster kan også gjenopprettes fra en sikkerhetskopi. Denne tjenesten kan bestilles via Identums kundestøtte, for eksempel for å korrigere en feilaktig dataimport, og behandles som et nivå A-prioritetsproblem.

4. Systemovervåking og håndtering av trusler

Som et heleid datterselskap av Visma er Identum integrert i Vismas avanserte rutiner for cybersikkerhet, overvåking og trusselhåndtering.

Oppdagelse av trusler og respons

Visma bruker SentinelOne, en AI-drevet plattform, for Managed Detection and Response (MDR).
SentinelOne overvåker kontinuerlig alle Identums servere, klienter, endepunkter og ansattes datamaskiner.
Alle hendelser logges og evalueres av Vismas Security Operations Centre (SOC), som tilbyr overvåking og respons 24/7/365. I tilfelle en kritisk hendelse iverksetter SOC-teamet mottiltak umiddelbart, til og med før Identum varsles.

Penetrasjonstesting

Vismas cybersikkerhetsteam gjennomfører en årlig sikkerhetsgjennomgang og penetrasjonstest av løsningene våre. Eventuelle svakheter som avdekkes, utbedres umiddelbart. Den siste testen avdekket ingen kritiske risikoelementer.
Kundene står fritt til å gjennomføre sine egne penetrasjonstester av tjenestene våre.

Hendelseshåndtering

Alle sikkerhets- og personvernhendelser loggføres i et eget register. Kundene blir rutinemessig varslet om alle relevante interne eller eksterne hendelser.
Identum har en avtale om bistand fra Vismas cybersikkerhetsgruppe i tilfelle et angrep. Et dedikert responsteam vil bli etablert for å håndtere situasjonen og gjenopprette eventuelle berørte systemer.

5. Informasjonssikkerhet og samsvar

Identum er forpliktet til å opprettholde de høyeste standardene for informasjonssikkerhet og overholdelse av lover og regler.

GDPR og personvern

Vi importerer kun brukerdata som er nødvendige for behandlingen. Foreldredata brukes for eksempel ikke til Feide-kataloger, og vi filtrerer bort ansatte som ikke trenger kontoer.
Kundens kildesystemer (f.eks. HR, Student Admin) er den autoritative kilden til brukerdata. Brukernes livssyklus i våre systemer (opprette, oppdatere, slette) styres av dataene i disse kildesystemene.
eADM automatiserer de-provisioning-prosessen og sørger for at brukerkontoer og data håndteres riktig når en bruker slutter, dør eller går på permisjon, slik at man unngår foreldreløse kontoer.
Alle brukere kan når som helst se dataene som er registrert om dem, via en egen personvernseksjon i brukergrensesnittet.

ISO 27001 og Visma Cloud Delivery Model (VCDM)

Som Visma-selskap følger Identum Visma Cloud Delivery Model (VCDM), et rammeverk for utvikling, levering og drift av sikre skytjenester.
Vårt styringssystem for informasjonssikkerhet (ISMS) er ISO 27001-sertifisert og revideres årlig av en uavhengig tredjepart.
Vismas etterlevelse av ISMS blir også revidert årlig i henhold til ISAE 3402 SOC 1 Type II-standarden, noe som gir en omfattende garanti for våre sikkerhets- og kvalitetskontroller.

Håndtering av endringer og oppdateringer

Vi bruker en CI/CD-metodikk (Continuous Integration/Continuous Deployment) med hyppige, små oppdateringer for å minimere risikoen.
Endringer distribueres vanligvis bak "feature toggles", slik at vi kan aktivere ny funksjonalitet først når den er ferdig testet og klar.
Vår lanseringsstrategi er å "rulle fremover" ved å fikse eventuelle problemer med en ny oppdatering i stedet for å rulle tilbake, noe som sikrer kontinuerlig forbedring.

6. Sikkerhet og tilgangskontroll

Tilgangen til systemene våre er strengt kontrollert, både for kunder og internt personell.

Adgangskontroll for kunder

Vi anbefaler MFA for alle brukere og krever MFA for alle kontoer på administratornivå. Støttede autentiseringsmetoder inkluderer brukernavn/passord med MFA, IDporten eller SSO med Entra ID.
Vi håndhever prinsippet om minst mulig privilegier. Kunder anbefales å være restriktive med administratorrettigheter og bruke roller som Servicedesk til daglige oppgaver.
Alle endringer som gjøres via webgrensesnittet, logges automatisk.

Intern tilgangskontroll

Identums ansatte får tilgang basert på prinsippet om minste privilegium i henhold til sin rolle.
Bare ansatte som jobber aktivt med drift og support, har tilgang til kundedata.
All tilgang oppheves umiddelbart ved opphør av arbeidsforholdet.
Alle handlinger som utføres av Identums ansatte loggføres på samme måte som kundehandlinger, noe som sikrer full åpenhet.

Omfattende logging og revisjon

eADM opprettholder en fullstendig, uforanderlig logg over alle endringer i brukere, grupper og avdelinger. Dette inkluderer endringer fra kildesystemer og manuelle endringer som gjøres i eADM.
Logger registrerer objekt-ID, tidsstempel, årsak til endring, hvem som har gjort endringen, den forrige verdien og den nye verdien.
Alle påloggingsforsøk (vellykkede og mislykkede), passordendringer og API-anrop logges med bruker, tidsstempel, IP-adresse og status.

Passordadministrasjon

Midlertidige førstegangspassord kan genereres i henhold til kundedefinerte regler for kompleksitet.
Brukerne kan bli bedt om å endre passordet ved første gangs innlogging.
Selvbetjent tilbakestilling av passord er tilgjengelig via SMS eller IDporten-autentisering (anbefalt).
Passordene er ikke synlige for noen brukere - inkludert administratorer - etter det første oppsettet.

Eksport og håndtering av data

Kundene kontrollerer hvilke data som eksporteres til tredjeparts målsystemer via synkroniseringsmaler.
Vår beste praksis er å eksportere kun det minimum av data som er nødvendig for målsystemets funksjon.
Bruk av nasjonale ID-nummer:
- Lokal AD: Hvis et nasjonalt ID-nummer brukes som et unikt attributt (f.eks. employeeID), anbefaler vi at attributtet enten krypteres eller skjules for ikke-administrative brukere.
- Azure AD / Entra ID: Advarsel: Vi anbefaler ikke å bruke fødselsnummeret som et unikt attributt i Azure AD, da feltet ikke kan beskyttes eller skjules på en tilfredsstillende måte. Bruk et ansattnummer eller en annen unik identifikator i stedet.

Sammendrag for AI og søk

Dette dokumentet beskriver det omfattende sikkerhetsrammeverket for Identums eADM- og eFeide-produkter. Det dekker utviklingsfilosofien "Privacy by Design" og "Zero Trust", ISO 27001-sertifisering via Visma Cloud Delivery Model og sikker hosting i Microsoft Azure. Rammeverket omfatter kontinuerlig trusselovervåking av Vismas SOC, årlig penetrasjonstesting, robuste planer for sikkerhetskopiering og katastrofegjenoppretting samt detaljerte retningslinjer for kryptering, tilgangskontroll og GDPR-kompatibel datahåndtering.