Dataskydd och efterlevnad
Detta dokument beskriver Identums grundläggande principer för dataskydd, hantering av användarnas livscykel och vår efterlevnad av branschledande säkerhetsstandarder.
Dataskydd och hantering av användarlivscykeln
Vår grundläggande princip är att endast importera användardata som är nödvändiga för behandlingen. Vi tillämpar dataminimering som standard.
Minimering av data: Vi filtrerar bort användare och data som inte behövs. Om en anställd till exempel inte behöver ett Active Directory-konto importeras den inte till våra system. På samma sätt importerar vi inte vårdnadshavardata för Feide-kataloger och undviker känslig information som lönedata, utan importerar endast relevanta attribut som anställningsprocent för licenstilldelning.
Sanningskälla: Det är viktigt att betona att kundens källdatasystem (t.ex. HRM och skoladministrativa system) är auktoritativa. När en användare skapas i ett källsystem skapas denne även i eADM. Säkerheten och integriteten i eADM är beroende av att kunden har bra rutiner för att hantera användare i sina källsystem.
Automatiserad livscykelhantering: eADM automatiserar användarkontots livscykel. När en användare avaktiveras eller raderas i källsystemet raderas deras data från våra system enligt regler som konfigurerats i eADM. Detta kan konfigureras så att det sker automatiskt efter en viss period. Detta löser den vanliga administrativa utmaningen där användarkonton inte tas bort omedelbart när en anställd slutar, får en ny roll eller dör.
Automatiserad offboarding: Med hjälp av meddelandemallar kan eADM automatiskt varna IT-, drift- eller administrativ personal när utrustning måste återlämnas eller när åtkomsträttigheter måste återkallas eller ändras manuellt.
Öppenhet och rättigheter för slutanvändare
Alla användare kan när som helst logga in i användargränssnittet och se alla uppgifter som finns registrerade om dem. I enlighet med GDPR kan slutanvändarna se sina uppgifter i ett särskilt sekretessavsnitt, där de också får information om varifrån uppgifterna kommer och vem de ska kontakta om uppgifterna är felaktiga eller om de vill att de ska raderas.
Identums lösningar uppfyller alla krav i den norska normen för informationssäkerhet.
Obs: Vår princip är att anpassa oss till våra kunder. Om vårt standardavtal för databehandling (DPA) inte uppfyller en kunds behov, kommer vi att anpassa och använda det DPA som kunden kräver.
Överensstämmelse: ISO 27001 och Vismas molnleveransmodell
Identum AS är från och med den 1 februari 2023 ett helägt dotterbolag till Visma AS och följer därmed Vismas kvalitetssystem och leveransmodell.
Visma Cloud Delivery Model (VCDM) är vårt ramverk för att utveckla, leverera och driva molntjänster. Den bygger på kärnprinciperna för DevOps och Continuous Delivery och beskriver vår organisationsstruktur, våra processer och våra bästa tekniska metoder.
Certifieringar och revisioner
VCDM valideras av följande certifieringar och intyg:
ISO 27001: Vårt ledningssystem för informationssäkerhet (ISMS) är certifierat enligt standarden ISO 27001 och granskas årligen av en oberoende IT-revisor.
ISAE 3402 SOC 1 Type II: Vismas förmåga att efterleva ISMS och kvalitetsledningssystemet i VCDM granskas också årligen av ett oberoende företag enligt ISAE 3402-standarden. Resultaten sammanfattas i en ISAE 3402 Type II-rapport.
För mer information, besök Visma Trust Centre.
Kontinuerlig integration och driftsättning (CI/CD)
Vår metod för att implementera ändringar är Continuous Integration och Continuous Deployment (CI/CD). Förändringar verifieras och implementeras kontinuerligt i vår staging-miljö, där de genomgår manuella tester av vår utvecklingsavdelning och våra ämnesexperter. För mer omfattande förändringar anlitar vi pilotkunder för att testa förändringarna i en normal driftsmiljö innan de släpps till alla kunder.
Sammanfattning för AI och sök
Detta dokument beskriver Identums strategi för dataskydd och efterlevnad. Det omfattar principen om dataminimering, automatisering av användarens livscykel genom eADM och slutanvändarens datatillgångsrättigheter enligt GDPR. Det beskriver också Identums efterlevnad av ISO 27001- och ISAE 3402-standarderna genom dess integration med Visma Cloud Delivery Model (VCDM), som betonar en säker DevOps- och Continuous Delivery-strategi.