Sikkerhet
Utviklingsprosessen vår styres av en "sikkerhet først"-tankegang, som omfatter grunnleggende prinsipper for moderne cybersikkerhet.
Innebygd personvern
Identums sentrale utviklingsfilosofi er innebygd personvern. Det betyr at personvern og databeskyttelse er integrert i utformingen og arkitekturen av systemene våre fra starten av, og ikke legges til som en ettertanke. Vi følger de syv grunnleggende prinsippene:
Proaktiv, ikke reaktiv; forebyggende, ikke avhjelpende: Vi forutser og forebygger personvernkrenkende hendelser før de skjer.
Personvern som standardinnstilling: Brukerdata beskyttes automatisk, og det kreves ingen handling fra brukeren for å sikre personvernet.
Personvern innebygd i designet: Personvern er en viktig del av kjernefunksjonaliteten.
Full funksjonalitet (positiv sum, ikke nullsum): Vi unngår falske dikotomier, for eksempel personvern vs. sikkerhet, og viser at det er mulig å ha begge deler.
Sikkerhet fra ende til ende (beskyttelse gjennom hele livssyklusen): Data beskyttes på en sikker måte fra innsamling til destruksjon.
Synlighet og åpenhet: Vi kommuniserer åpent om prosessene våre og er gjenstand for uavhengig verifisering.
Respekt for brukernes personvern (brukersentrert): Vi setter den enkeltes interesser først ved å tilby sterke standardinnstillinger for personvern og brukervennlige kontroller.
Arkitektur med null tillit
Vi opererer med en sikkerhetsmodell med null tillit. Denne modellen går ut på at ingen brukere eller enheter skal være klarert som standard, uavhengig av om de befinner seg innenfor eller utenfor nettverksperimeteren. Alle tilgangsforespørsler blir strengt verifisert og kontinuerlig autorisert.
Identitetsbekreftelse: Alle tilgangsforespørsler krever sterk autentisering, vanligvis ved hjelp av multifaktorautentisering (MFA).
Prinsippet om minste privilegium: Brukerne får den minste tilgangen som kreves for å utføre oppgavene sine. Tillatelsene er detaljerte, dynamiske og basert på behov.
Kontinuerlig overvåking: All systemaktivitet overvåkes og analyseres for å oppdage og reagere på mistenkelig atferd eller uvanlige tilgangsmønstre.
Beskyttelse av data: Data beskyttes ved hjelp av kryptering, både under transport og i hvile, og tilgangen kontrolleres strengt basert på behov.
Minimering av data
I tråd med GDPR praktiserer vi dataminimering. Vi samler inn, behandler og lagrer bare de personopplysningene som er strengt nødvendige for et legitimt formål.
Begrenset innsamling: Vi importerer bare data som kreves for bestemte funksjoner. Lønnsdata importeres for eksempel ikke som standard.
Begrenset oppbevaring: Data lagres bare så lenge det er et driftsmessig eller juridisk behov for det. Deaktiverte brukere lagres som standard i 365 dager, en periode som kan tilpasses av kunden.
Anonymisering og aggregering: Når det er mulig, aggregeres eller anonymiseres data for å forhindre identifisering av enkeltpersoner.
Begrensning av formål: Opplysningene brukes kun til de klare og tydelige formålene de ble samlet inn for.
Pseudonymisering: Der det er nødvendig med identifiserbare data, bruker vi dataaliaser for å beskytte brukeridentiteter og redusere konsekvensene av potensielle datainnbrudd.