Beveiligingsdocumentatie

Dit document geeft een uitgebreid overzicht van het beveiligingsraamwerk voor de producten en diensten van Identum, inclusief eADM en eFeide. Onze beveiliging is gebaseerd op de beste praktijken in de industrie, robuuste operationele procedures en een toewijding om klantgegevens te beschermen.

1. Ontwikkelings- en ontwerpfilosofie

Ons ontwikkelproces wordt geleid door een "security-first"-mentaliteit, met basisprincipes van moderne cyberbeveiliging.

Privacy door ontwerp

De belangrijkste ontwikkelingsfilosofie van Identum is Privacy by Design. Dit betekent dat privacy en gegevensbescherming vanaf het begin zijn ingebed in het ontwerp en de architectuur van onze systemen en niet achteraf worden toegevoegd. Wij houden ons aan de zeven basisprincipes:

Proactief in plaats van reactief; preventief in plaats van corrigerend: We anticiperen en voorkomen privacyschendende gebeurtenissen voordat ze plaatsvinden.
Privacy als standaardinstelling: Gebruikersgegevens worden automatisch beschermd; de gebruiker hoeft niets te doen om zijn privacy te beschermen.
Privacy ingebed in ontwerp: Privacy is een essentieel onderdeel van de kernfunctionaliteit.
Volledige functionaliteit (positief-som, niet nulsom): We vermijden valse dichotomieën, zoals privacy vs. veiligheid, door te bewijzen dat het mogelijk is om beide te hebben.
End-to-End beveiliging (volledige levenscyclusbescherming): Gegevens worden veilig beschermd van verzameling tot vernietiging.
Zichtbaarheid en transparantie: We communiceren open over onze processen en zijn onderhevig aan onafhankelijke verificatie.
Respect voor de privacy van de gebruiker (User-Centric): We stellen de belangen van het individu voorop door sterke privacystandaarden en gebruiksvriendelijke besturingselementen aan te bieden.

Zero Trust-architectuur

We werken met een Zero Trust beveiligingsmodel. Dit model gaat ervan uit dat geen enkele gebruiker of apparaat standaard wordt vertrouwd, ongeacht of ze zich binnen of buiten de netwerkperimeter bevinden. Elk verzoek om toegang wordt streng gecontroleerd en continu geautoriseerd.

Identiteitsverificatie: Voor alle toegangsverzoeken is sterke verificatie nodig, meestal met behulp van Multi-Factor Authenticatie (MFA).
Principe van laagste privilege: Gebruikers krijgen het minimale toegangsniveau dat nodig is om hun taken uit te voeren. Machtigingen zijn granulair, dynamisch en gebaseerd op behoefte.
Continue bewaking: Alle systeemactiviteiten worden gecontroleerd en geanalyseerd om verdacht gedrag of ongebruikelijke toegangspatronen te detecteren en hierop te reageren.
Gegevensbescherming: Gegevens worden beschermd door middel van versleuteling, zowel tijdens het transport als in rust, waarbij de toegang strikt wordt gecontroleerd op basis van noodzaak.

Gegevensminimalisatie

In overeenstemming met de GDPR doen we aan dataminimalisatie. We verzamelen, verwerken en bewaren alleen de persoonlijke gegevens die strikt noodzakelijk zijn voor een legitiem doel.

Beperkte verzameling: We importeren alleen gegevens die nodig zijn voor specifieke functies. Salarisgegevens worden bijvoorbeeld niet standaard geïmporteerd.
Beperkte bewaring: Gegevens worden alleen opgeslagen zolang er een operationele of wettelijke noodzaak is. Gedeactiveerde gebruikers worden standaard 365 dagen bewaard, een periode die door de klant kan worden aangepast.
Anonimisering en aggregatie: Waar mogelijk worden gegevens samengevoegd of geanonimiseerd om individuele identificatie te voorkomen.
Doelbeperking: Gegevens worden alleen gebruikt voor de duidelijke en transparante doeleinden waarvoor ze zijn verzameld.
Pseudonimisering: Waar identificeerbare gegevens nodig zijn, gebruiken we aliassen om de identiteit van gebruikers te beschermen en de impact van mogelijke datalekken te beperken.

2. Operaties en hosting

Onze operationele beveiliging is gebaseerd op de fundamentele principes voor ICT-beveiliging van de Noorse Nationale Veiligheidsautoriteit (NSM) en wordt gehost op een infrastructuur van wereldklasse.

Hosting en infrastructuur

De oplossingen van Identum zijn cloud-gebaseerd, gehost en onderhouden door onze partner, Microsoft Azure in Noorwegen. De fysieke servers bevinden zich in het oosten van Noorwegen.
De infrastructuur bevat ingebouwde redundantie, externe back-ups en load balancing, met een uptimegarantie van 99,9% zoals vastgelegd in onze SLA.
Identum is verantwoordelijk voor het besturingssysteem en de software, terwijl Microsoft de hardware, het netwerk, externe back-ups, redundantie en firewalls beheert.
Toegang tot de serveromgeving is strikt beperkt tot geautoriseerd technisch personeel bij Identum en noodzakelijk operationeel personeel bij Microsoft, beveiligd via TeamViewer clients met MFA.

Patching en updates

Om bekende kwetsbaarheden te beperken, worden alle systemen, servers en componenten wekelijks op zondag gepatcht en bijgewerkt. Een speciaal persoon bij Identum is verantwoordelijk voor dit proces.
Als organisatie die is aangemerkt als kritieke infrastructuur ontvangt Identum meldingen van het National Cyber Security Centre (NCSC) met betrekking tot beveiligingsproblemen en exploits. We voeren voortdurend dreigingsanalyses uit en patchen relevante kwetsbaarheden onmiddellijk.
Productupdates voor eFeide en eADM worden op zondagen uitgerold na sprints van 14 dagen ontwikkeling. Opmerking: Om stabiliteit te garanderen, worden niet-kritieke eFeide gepauzeerd tijdens de start van de school en examenperiodes.

Encryptie

Gegevens in rust: Alle gegevens die zijn opgeslagen op onze Azure-servers worden beschermd door standaard versleuteling aan de serverzijde. Encryptiesleutels worden automatisch beheerd door het Azure-platform.
Gegevens in doorvoer: Alle communicatie tussen Identum's servers, klanten, browsers en systemen van derden is end-to-end gecodeerd met TLS 1.2 met 2048-bit sleutels. SSL-certificaten worden uitgegeven door Digicert en jaarlijks vernieuwd.
Wachtwoorden en geheimen: Alle systeemwachtwoorden (geheimen) binnen eADM en eFeide zijn beveiligd met Rijndael AES 256-bit encryptie. Gebruikerswachtwoorden worden gehasht en versleuteld opgeslagen in onze LDAP-database, die gebruikmaakt van standaard Active Directory-technologie.

Segregatie van gegevens

Klantgegevens worden logisch gescheiden met behulp van een unieke klant-ID. Alle gegevenstabellen zijn gekoppeld aan deze ID en elk API-verzoek moet deze sleutel bevatten als verplichte parameter. Dit zorgt ervoor dat de gegevens van elke klant geïsoleerd en veilig blijven, waardoor gegevens van andere klanten niet zichtbaar worden.

3. Back-up en bedrijfscontinuïteit

We hebben robuuste plannen en procedures om de integriteit van gegevens en de beschikbaarheid van services te garanderen.

Back-up en herstel

Van databases wordt elke 10 minuten een back-up gemaakt. Van de volledige productieomgeving wordt dagelijks een back-up gemaakt.
Back-ups worden opgeslagen in een fysiek gescheiden omgeving van de productieservers.
Om de integriteit van de back-ups te valideren, wordt onze testomgeving, een volledige kopie van de productie, ten minste elke 14 dagen hersteld vanaf deze back-ups.

Bedrijfscontinuïteitsplan

Onze volledige serveromgeving kan in minder dan zes uur vanaf nul worden hersteld, zowel in de primaire als in een secundaire omgeving (bijvoorbeeld in het geval van een DDoS-aanval).
Individuele instanties van klanten kunnen ook vanuit een back-up worden hersteld. Deze service kan worden aangevraagd via Identum support voor scenario's zoals het corrigeren van een foutieve gegevensimport en wordt behandeld als een prioriteitsprobleem van niveau A.

4. Systeembewaking en bedreigingsbeheer

Als volledige dochteronderneming van Visma is Identum geïntegreerd in Visma's geavanceerde routines voor cyberbeveiliging, bewaking en bedreigingsbeheer.

Bedreigingsdetectie en -respons

Visma gebruikt SentinelOne, een AI-platform, voor Managed Detection and Response (MDR).
SentinelOne controleert continu alle Identum servers, clients, endpoints en computers van medewerkers.
Alle gebeurtenissen worden gelogd en geëvalueerd door Visma's Security Operations Centre (SOC) team, dat 24/7/365 bewaking en respons biedt. In het geval van een kritisch incident neemt het SOC-team onmiddellijk tegenmaatregelen, zelfs voordat Identum op de hoogte wordt gesteld.

Penetratietesten

Visma's cyberbeveiligingsteam voert jaarlijks een beveiligingsbeoordeling en penetratietest van onze oplossingen uit. Eventuele zwakke punten worden onmiddellijk verholpen. De laatste test bracht geen kritieke risico-elementen aan het licht.
Klanten zijn vrij om hun eigen penetratietests van onze services uit te voeren.

Incident Management

Alle beveiligings- en privacyincidenten worden bijgehouden in een speciaal register. Klanten worden routinematig op de hoogte gebracht van relevante interne of externe incidenten.
Identum heeft een overeenkomst voor assistentie van Visma's cyberbeveiligingsgroep in het geval van een aanval. Er zal een speciaal responsteam worden samengesteld om de situatie te beheersen en eventueel getroffen systemen te herstellen.

5. Informatiebeveiliging en naleving

Identum is toegewijd aan het handhaven van de hoogste normen van informatiebeveiliging en naleving van regelgeving.

GDPR en privacy

Wij importeren alleen gebruikersgegevens die noodzakelijk zijn voor de verwerking. Oudergegevens worden bijvoorbeeld niet gebruikt voor Feide-catalogi en we filteren medewerkers die geen account nodig hebben.
De bronsystemen van de klant (bijv. HR, Student Admin) zijn de gezaghebbende bron voor gebruikersgegevens. De levenscyclus van gebruikers in onze systemen (aanmaken, bijwerken, verwijderen) wordt gestuurd door de gegevens in deze bronsystemen.
eADM automatiseert het de-provisioningproces en zorgt ervoor dat gebruikersaccounts en -gegevens correct worden afgehandeld wanneer een gebruiker vertrekt, overlijdt of met verlof gaat, waardoor verweesde accounts worden voorkomen.
Alle gebruikers kunnen de over hen geregistreerde gegevens op elk moment bekijken via een speciaal privacygedeelte in de gebruikersinterface.

ISO 27001 en het Visma Cloud Delivery Model (VCDM)

Als Visma-bedrijf houdt Identum zich aan het Visma Cloud Delivery Model (VCDM), een raamwerk voor het ontwikkelen, leveren en exploiteren van veilige cloudservices.
Ons Information Security Management System (ISMS) is ISO 27001 gecertificeerd en wordt jaarlijks gecontroleerd door een onafhankelijke derde partij.
Visma's naleving van het ISMS wordt ook jaarlijks geaudit volgens de ISAE 3402 SOC 1 Type II-standaard, wat uitgebreide zekerheid biedt over onze beveiligings- en kwaliteitscontroles.

Beheer van wijzigingen en updates

We gebruiken een Continuous Integration/Continuous Deployment (CI/CD)-methodologie met frequente, kleine updates om risico's te minimaliseren.
Wijzigingen worden meestal geïmplementeerd achter "feature toggles", zodat we nieuwe functionaliteit pas kunnen activeren als deze volledig is getest en gereed is.
Onze releasestrategie is om "vooruit te rollen" door eventuele problemen met een nieuwe update op te lossen in plaats van terug te rollen, waardoor continue verbetering wordt gegarandeerd.

6. Beveiliging en toegangscontrole

Toegang tot onze systemen wordt streng gecontroleerd voor zowel klanten als intern personeel.

Toegangscontrole voor klanten

We raden MFA sterk aan voor alle gebruikers en vereisen MFA voor alle accounts op beheerdersniveau. Ondersteunde verificatiemethoden zijn gebruikersnaam/wachtwoord met MFA, IDporten of SSO met Entra ID.
We hanteren het principe van de minste privileges. Klanten wordt aangeraden om restrictief te zijn met beheerdersrechten en rollen zoals Servicedesk te gebruiken voor dagelijkse taken.
Alle wijzigingen die via de webinterface worden aangebracht, worden automatisch geregistreerd.

Interne toegangscontrole

Medewerkers van Identum krijgen toegang op basis van het principe van 'least privilege', afhankelijk van hun rol.
Alleen medewerkers die actief zijn op het gebied van operations en support hebben toegang tot klantgegevens.
Alle toegang wordt onmiddellijk ingetrokken bij beëindiging van het dienstverband.
Alle acties die door Identum medewerkers worden ondernomen, worden op dezelfde manier gelogd als acties van klanten, waardoor volledige transparantie wordt gegarandeerd.

Uitgebreide logging en controle

eADM houdt een volledig, onveranderlijk logboek bij van alle wijzigingen aan gebruikers, groepen en afdelingen. Dit omvat wijzigingen vanuit bronsystemen en handmatige wijzigingen die in eADM zijn aangebracht.
Logs registreren de object ID, tijdstempel, reden voor verandering, wie de verandering heeft gemaakt, de vorige waarde en de nieuwe waarde.
Alle aanmeldpogingen (succesvol en mislukt), wachtwoordwijzigingen en API-aanroepen worden gelogd met gebruiker, tijdstempel, IP-adres en status.

Wachtwoordbeheer

Tijdelijke wachtwoorden voor de eerste keer kunnen worden gegenereerd volgens door de klant gedefinieerde complexiteitsregels.
Gebruikers kunnen worden verplicht om hun wachtwoord voor de eerste keer te wijzigen als ze voor het eerst inloggen.
Zelf je wachtwoord resetten is mogelijk via sms of IDporten authenticatie (aanbevolen).
Wachtwoorden zijn voor geen enkele gebruiker zichtbaar, ook niet voor beheerders, na de eerste installatie.

Gegevensexport en -verwerking

Klanten bepalen welke gegevens worden geëxporteerd naar doelsystemen van derden via synchronisatiesjablonen.
Onze beste aanbeveling is om alleen de minimale gegevens te exporteren die nodig zijn voor het functioneren van het doelsysteem.
Gebruik van nationale ID-nummers:
- On-Premises AD: Als een nationaal ID-nummer wordt gebruikt als uniek attribuut (bijvoorbeeld employeeID), raden we aan het attribuut te coderen of te verbergen voor niet-administratieve gebruikers.
- Azure AD / Entra ID: Waarschuwing: We raden af om het nationale ID-nummer te gebruiken als uniek attribuut in Azure AD, omdat het veld niet adequaat kan worden beschermd of verborgen. Gebruik in plaats daarvan een personeelsnummer of een andere unieke identificatiecode.

Samenvatting voor AI en zoeken

Dit document beschrijft het uitgebreide beveiligingsraamwerk voor Identum's eADM en eFeide producten. Het omvat de "Privacy by Design" en "Zero Trust" ontwikkelingsfilosofie, ISO 27001 certificering via het Visma Cloud Delivery Model en veilige hosting in Microsoft Azure. Het raamwerk omvat voortdurende controle op bedreigingen door Visma's SOC, jaarlijkse penetratietests, robuuste back-up- en noodherstelplannen en gedetailleerde beleidsregels voor versleuteling, toegangscontrole en GDPR-conforme gegevensverwerking.