Sikkerhet

Identum utvikler sine løsninger med Privacy by design som grunnfilosofi. De 7 prinsippene er:

1. Proactive not Reactive; Preventative not Remedial

2. Privacy as the Default Setting

3. Privacy Embedded into Design

4. Full Functionality — Positive-Sum, not Zero-Sum.

5. End-to-End Security — Full Lifecycle Protection

6. Visibility and Transparency — Keep it Open

7. Respect for User Privacy — Keep it User-Centric

For sluttkunde betyr dette at våre løsninger som utgangspunkt er sikre; personvern er innebygget i løsningen, det må ikke konfigureres. 

1.1 Zero trust

Zero trust-prinsippet i konteksten av Identity and Access Management (IAM) er en sikkerhetsmodell og strategi som bygger på konseptet at ingen bruker eller enhet, enten innenfor eller utenfor organisasjonens nettverk, noen gang skal få de facto tillit. I stedet for å anta at alt bak brannmuren er trygt, krever zero trust at all tilgang verifiseres og autoriseres kontinuerlig.

Her er noen viktige aspekter av zero trust-prinsippet i forbindelse med eADM:

1. Identitetsverifisering: Enhver forespørsel om tilgang til systemet krever streng verifisering av identiteten til brukeren eller enheten. Dette er ofte implementert ved hjelp av sterke autentiseringsmetoder, som multifaktorautentisering (MFA).

2. Minimering av tilgang: Brukerne får kun tilgang til ressursene de trenger for å utføre sine oppgaver (prinsippet om minste privilegium). Tillatelser er ofte granulære og dynamiske, justert basert på brukerens behov og atferd. Dette gjelder både brukeres tilgang til eADM og de rettighetene som systemet settes opp for å gi andre brukere. Typisk vil behovsprøvd tilgangsstyring være bedre på sensitive systemer enn f.eks role based account cotnrol (RBAC).

3. Kontinuerlig monitorering: All aktivitet overvåkes og analyseres for å oppdage mistenkelig eller uvanlig atferd. Dette kan inkludere uvanlige tilgangsmønstre eller forsøk på å få tilgang til sensitive data.

4. Databeskyttelse: Selv om identitets- og tilgangsstyring er kritisk, fokuserer zero trust også sterkt på å beskytte data. Dette inkluderer kryptering av data både i transit og i ro, samt å sikre datalagret tilgang basert på behov.

Implementeringen av zero trust i eADM er sentral for å beskytte organisasjoner mot sikkerhetstrusler ved å utfordre tradisjonelle sikkerhetsmodellforutsetninger.

1.2 Dataminimering

Dataminimering handler om å redusere mengden personopplysninger og sensitive data som samles inn, behandles og lagres, til det strengt nødvendige for å utføre legitime funksjoner. Dette prinsippet er en nøkkelkomponent i personvernforordningen (GDPR) og andre databeskyttelseslover, og det bidrar til å redusere risikoen for databrudd og personvernsbrudd.

1. Begrenset innsamling: Bare de dataene som er nødvendige for spesifikke funksjoner eller tjenester bør samles inn. eADm importerer f.eks ikke lønnsdata som standard, kun dersom det er nødvendig for den enkelte kunde.

2. Kortere oppbevaringsperioder: Data bør bare lagres så lenge det er en operasjonell eller juridisk forpliktelse. eADm har dataoppbevaringspolicyer som automatisk sletter eller anonymiserer data etter behov. Som standard benytter eADM 365 dager som oppbevaring av deaktiverte brukere, dette kan justeres for den enkelte kunde.

3. Aggregert data i stedet for individuelle data: Når det er mulig, bør data anonymiseres eller aggregeres, slik at behandlingen ikke er basert på individuell identifikasjon.

4. Tilgangskontroll og minste privilegium: Implementering av streng tilgangskontroll sikrer at kun autorisert personell har tilgang til personopplysninger, og brukerne gis kun de rettighetene de har behov for.

5. Dataformål og transparens: Klare retningslinjer om hvorfor og hvordan data brukes, som er begrenset til de minst påtrengende måtene for å oppnå de formålene, bidrar til dataminimering.

6. Pseudonymisering: Hvis identifiserbare data må brukes, kan pseudonymisering (bruk av dataaliaser) bidra til å beskytte personers identitet og redusere effekten ved potensielle datalekkasjer.

Ved å anvende disse prinsippene kan et eADM støtte opp om dataminimeringen i din organisasjon, og dermed bedre beskytte personopplysninger samtidig som det oppfyller regulatoriske krav og fremmer brukervern.