Dokumentation om säkerhet

Detta dokument ger en omfattande översikt över säkerhetsramverket för Identums produkter och tjänster, inklusive eADM och eFeide. Vår säkerhetsställning bygger på bästa praxis inom branschen, robusta operativa förfaranden och ett åtagande att skydda kunddata.

1. Utvecklings- och designfilosofi

Vår utvecklingsprocess styrs av ett "security-first"-tänk, där vi införlivar grundläggande principer för modern cybersäkerhet.

Inbyggd integritet

Identums centrala utvecklingsfilosofi är Privacy by Design. Det innebär att integritet och dataskydd är inbäddade i designen och arkitekturen av våra system från början, och inte läggs till som en eftertanke. Vi följer de sju grundläggande principerna:

Proaktiv, inte reaktiv; förebyggande, inte avhjälpande: Vi förutser och förhindrar integritetskränkande händelser innan de inträffar.
Sekretess som standardinställning: Användardata skyddas automatiskt; ingen åtgärd krävs av användaren för att skydda deras integritet.
Integritetsskydd inbäddat i designen: Sekretess är en viktig del av kärnfunktionaliteten.
Full funktionalitet (positiv summa, inte nollsumma): Vi undviker falska dikotomier, t.ex. integritet kontra säkerhet, och visar att det är möjligt att ha båda.
Säkerhet från början till slut (skydd under hela livscykeln): Data skyddas på ett säkert sätt från insamling till förstöring.
Synlighet och transparens: Vi har en öppen kommunikation om våra processer och är föremål för oberoende verifiering.
Respekt för användarnas integritet (användarcentrerad): Vi sätter individens intressen främst genom att erbjuda starka standardinställningar för sekretess och användarvänliga kontroller.

Arkitektur med noll förtroende

Vi arbetar enligt en säkerhetsmodell med noll förtroende. Denna modell utgår från att ingen användare eller enhet ska vara betrodd som standard, oavsett om de befinner sig inom eller utanför nätverksperimetern. Varje åtkomstbegäran är strikt verifierad och kontinuerligt auktoriserad.

Verifiering av identitet: Alla åtkomstförfrågningar kräver stark autentisering, vanligtvis med hjälp av multifaktorautentisering (MFA).
Principen om minsta möjliga behörighet: Användare beviljas den lägsta nivå av åtkomst som krävs för att utföra sina uppgifter. Behörigheterna är detaljerade, dynamiska och baseras på behov.
Kontinuerlig övervakning: All systemaktivitet övervakas och analyseras för att upptäcka och reagera på misstänkt beteende eller ovanliga åtkomstmönster.
Dataskydd: Data skyddas genom kryptering, både under transport och i vila, med strikt kontrollerad åtkomst baserad på nödvändighet.

Minimering av data

I enlighet med GDPR tillämpar vi dataminimering. Vi samlar in, behandlar och lagrar endast de personuppgifter som är absolut nödvändiga för ett legitimt syfte.

Begränsad insamling: Vi importerar endast data som krävs för specifika funktioner. Till exempel importeras inte lönedata som standard.
Begränsad lagring: Data lagras endast så länge det finns ett operativt eller juridiskt behov. Avaktiverade användare sparas som standard i 365 dagar, en period som kan anpassas av kunden.
Anonymisering och aggregering: När det är möjligt aggregeras eller anonymiseras data för att förhindra identifiering av enskilda personer.
Begränsning av ändamål: Uppgifter används endast för de tydliga och transparenta syften för vilka de samlades in.
Pseudonymisering: När identifierbara uppgifter är nödvändiga använder vi dataalias för att skydda användarnas identitet och minska effekterna av potentiella dataintrång.

2. Drift och hosting

Vår driftsäkerhet baseras på den norska nationella säkerhetsmyndighetens (NSM) grundläggande principer för ICT-säkerhet och finns i en infrastruktur i världsklass.

Hosting och infrastruktur

Identums lösningar är molnbaserade, hostas och underhålls av vår partner, Microsoft Azure i Norge. De fysiska servrarna är placerade i östra Norge.
Infrastrukturen omfattar inbyggd redundans, externa säkerhetskopior och lastbalansering, med en upptidsgaranti på 99,9% enligt vårt SLA.
Identum ansvarar för operativsystem och programvara, medan Microsoft hanterar hårdvara, nätverk, säkerhetskopiering, redundans och brandväggar.
Tillgång till servermiljön är strikt begränsad till behörig teknisk personal hos Identum och nödvändig operativ personal hos Microsoft, säkrad via TeamViewer-klienter med MFA.

Patchning och uppdateringar

För att minska kända sårbarheter patchas och uppdateras alla system, servrar och komponenter varje vecka på söndagar. En dedikerad resurs på Identum ansvarar för denna process.
Som en organisation utpekad som kritisk infrastruktur får Identum meddelanden från National Cyber Security Centre (NCSC) om säkerhetsproblem och exploateringar. Vi genomför kontinuerliga hotbedömningar och åtgärdar relevanta sårbarheter omgående.
Produktuppdateringar för eFeide och eADM distribueras på söndagar efter 14-dagars utvecklingssprintar. Obs: För att säkerställa stabilitet pausas icke-kritiska eFeide-uppdateringar under skolstart och tentaperioder.

Kryptering

Data i vila: Alla data som lagras på våra servrar i Azure skyddas av standardkryptering på serversidan. Krypteringsnycklar hanteras automatiskt av Azure-plattformen.
Data i transit: All kommunikation mellan Identums servrar, klienter, webbläsare och tredjepartssystem är krypterad från början till slut med TLS 1.2 med 2048-bitars nycklar. SSL-certifikat utfärdas av Digicert och förnyas årligen.
Lösenord och hemligheter: Alla systemlösenord (hemligheter) i eADM och eFeide är skyddade med Rijndael AES 256-bitars kryptering. Användarlösenord lagras hashade och krypterade i vår LDAP-databas, som använder standard Active Directory-teknik.

Segregering av data

Kunddata är logiskt åtskilda med hjälp av ett unikt kund-ID. Alla datatabeller är länkade till detta ID och varje API-begäran måste innehålla denna nyckel som en obligatorisk parameter. Detta säkerställer att varje kunds data förblir isolerad och säker, vilket förhindrar exponering av data mellan kunder.

3. Backup och kontinuitet i verksamheten

Vi har robusta planer och rutiner för att säkerställa dataintegritet och tjänstetillgänglighet.

Säkerhetskopiering och återställning

Databaser säkerhetskopieras var 10:e minut. Hela produktionsmiljön säkerhetskopieras dagligen.
Säkerhetskopiorna lagras i en miljö som är fysiskt skild från produktionsservrarna.
För att validera säkerhetskopieringsintegriteten återställs vår testmiljö, en fullständig kopia av produktionen, från dessa säkerhetskopior minst var 14:e dag.

Plan för kontinuitet i verksamheten

Hela vår servermiljö kan återställas från grunden på mindre än sex timmar, antingen i den primära eller i en sekundär miljö (t.ex. vid en DDoS-attack).
Enskilda kundinstanser kan också återställas från backup. Denna tjänst kan begäras via Identums support för scenarier som att korrigera en felaktig dataimport och behandlas som ett prioriterat problem på nivå A.

4. Systemövervakning och hothantering

Som ett helägt dotterbolag till Visma är Identum integrerat i Vismas avancerade rutiner för cybersäkerhet, övervakning och hothantering.

Detektering och hantering av hot

Visma använder SentinelOne, en AI-driven plattform, för Managed Detection and Response (MDR).
SentinelOne övervakar kontinuerligt alla Identums servrar, klienter, endpoints och anställdas datorer.
Alla händelser loggas och utvärderas av Vismas Security Operations Centre (SOC)-team, som tillhandahåller övervakning och respons 24/7/365. I händelse av en kritisk incident initierar SOC-teamet motåtgärder omedelbart, även innan Identum meddelas.

Penetrationstestning

En årlig säkerhetsöversyn och penetrationstest av våra lösningar genomförs av Vismas cybersäkerhetsteam. Eventuella identifierade svagheter åtgärdas omedelbart. Det senaste testet avslöjade inga kritiska riskelement.
Det står kunderna fritt att genomföra egna penetrationstester av våra tjänster.

Hantering av incidenter

Alla säkerhets- och integritetsincidenter loggas i ett särskilt register. Kunderna underrättas rutinmässigt om alla relevanta interna eller externa incidenter.
Identum har ett avtal om assistans från Vismas cybersäkerhetsgrupp i händelse av en attack. Ett dedikerat responsteam kommer att etableras för att hantera situationen och återställa alla drabbade system.

5. Informationssäkerhet och efterlevnad

Identum har åtagit sig att upprätthålla de högsta standarderna för informationssäkerhet och regelefterlevnad.

GDPR och integritet

Vi importerar endast användardata som är nödvändiga för behandlingen. Till exempel används inte föräldradata för Feide-kataloger, och vi filtrerar bort anställda som inte behöver konton.
Kundens källsystem (t.ex. HR, Student Admin) är den auktoritativa källan för användardata. Användarnas livscykel i våra system (skapa, uppdatera, ta bort) styrs av uppgifterna i dessa källsystem.
eADM automatiserar de-provisioning-processen och säkerställer att användarkonton och data hanteras korrekt när en användare slutar, dör eller går på semester, vilket förhindrar att konton blir föräldralösa.
Alla användare kan när som helst se vilka uppgifter som finns registrerade om dem via ett särskilt sekretessavsnitt i användargränssnittet.

ISO 27001 och Visma Cloud Delivery Model (VCDM)

Som ett Visma-företag följer Identum Visma Cloud Delivery Model (VCDM), ett ramverk för att utveckla, leverera och driva säkra molntjänster.
Vårt ledningssystem för informationssäkerhet (ISMS) är certifierat enligt ISO 27001 och granskas årligen av en oberoende tredje part.
Vismas efterlevnad av ISMS granskas också årligen enligt ISAE 3402 SOC 1 Type II-standarden, vilket ger en omfattande försäkran om våra säkerhets- och kvalitetskontroller.

Hantering av ändringar och uppdateringar

Vi använder en CI/CD-metodik (Continuous Integration/Continuous Deployment) med frekventa, små uppdateringar för att minimera riskerna.
Förändringar distribueras vanligtvis bakom "feature toggles", vilket gör att vi kan aktivera ny funktionalitet först när den är helt testad och klar.
Vår lanseringsstrategi är att "rulla framåt" genom att åtgärda eventuella problem med en ny uppdatering snarare än att rulla tillbaka, vilket säkerställer kontinuerlig förbättring.

6. Säkerhet och åtkomstkontroll

Tillgången till våra system är strikt kontrollerad för både kunder och intern personal.

Åtkomstkontroll för kunder

Vi rekommenderar starkt MFA för alla användare och kräver MFA för alla konton på administratörsnivå. Autentiseringsmetoder som stöds är användarnamn/lösenord med MFA, IDporten eller SSO med Entra ID.
Vi tillämpar principen om minsta möjliga privilegium. Kunderna uppmanas att vara restriktiva med administratörsbehörigheter och använda roller som Servicedesk för dagliga uppgifter.
Alla ändringar som görs via webbgränssnittet loggas automatiskt.

Intern åtkomstkontroll

Identums medarbetare beviljas åtkomst baserat på principen om minsta möjliga privilegium i enlighet med deras roll.
Endast medarbetare som aktivt arbetar med drift och support har tillgång till kunddata.
All åtkomst återkallas omedelbart vid anställningens upphörande.
Alla åtgärder som vidtas av Identums anställda loggas på samma sätt som kundåtgärder, vilket säkerställer full transparens.

Omfattande loggning och granskning

eADM upprätthåller en fullständig, oföränderlig logg över alla ändringar av användare, grupper och avdelningar. Detta inkluderar ändringar från källsystem och manuella ändringar som görs i eADM.
I loggarna registreras objekt-ID, tidsstämpel, orsak till ändring, vem som gjorde ändringen, föregående värde och nytt värde.
Alla inloggningsförsök (lyckade och misslyckade), lösenordsändringar och API-anrop loggas med användare, tidsstämpel, IP-adress och status.

Lösenordshantering

Tillfälliga förstagångslösenord kan genereras enligt kunddefinierade komplexitetsregler.
Användare kan åläggas att ändra sitt lösenord vid första inloggningen.
Återställning av lösenord via självbetjäning är tillgänglig via SMS eller IDporten-autentisering (rekommenderas).
Lösenord är inte synliga för någon användare - inte heller för administratörer - efter den första installationen.

Export och hantering av data

Kunderna kontrollerar vilka data som exporteras till tredjeparts målsystem via synkroniseringsmallar.
Vår bästa praxis är att endast exportera det minimum av data som krävs för att målsystemet ska fungera.
Användning av nationella ID-nummer:
- On-Premises AD: Om ett nationellt ID-nummer används som ett unikt attribut (t.ex. employeeID) rekommenderar vi att attributet antingen krypteras eller döljs för icke-administrativa användare.
- Azure AD / Entra ID: Varning: Vi rekommenderar inte att du använder det nationella ID-numret som ett unikt attribut i Azure AD, eftersom fältet inte kan skyddas eller döljas på ett tillfredsställande sätt. Använd istället ett anställningsnummer eller annan unik identifierare.

Sammanfattning för AI och sök

Detta dokument beskriver det omfattande säkerhetsramverket för Identums eADM- och eFeide-produkter. Det täcker utvecklingsfilosofin "Privacy by Design" och "Zero Trust", ISO 27001-certifiering via Visma Cloud Delivery Model och säker hosting i Microsoft Azure. Ramverket omfattar kontinuerlig hotövervakning av Vismas SOC, årliga penetrationstester, robusta planer för säkerhetskopiering och katastrofåterställning samt detaljerade policyer för kryptering, åtkomstkontroll och GDPR-kompatibel datahantering.