Säkerhet

Vår utvecklingsprocess styrs av ett "security-first"-tänk, där vi införlivar grundläggande principer för modern cybersäkerhet.

Inbyggd integritet

Identums centrala utvecklingsfilosofi är Privacy by Design. Det innebär att integritet och dataskydd är inbäddade i designen och arkitekturen av våra system från början, och inte läggs till som en eftertanke. Vi följer de sju grundläggande principerna:

• Proaktiv, inte reaktiv; förebyggande, inte avhjälpande: Vi förutser och förhindrar integritetskränkande händelser innan de inträffar.

• Sekretess som standardinställning: Användardata skyddas automatiskt; ingen åtgärd krävs av användaren för att skydda deras integritet.

• Integritetsskydd inbäddat i designen: Sekretess är en viktig del av kärnfunktionaliteten.

• Full funktionalitet (positiv summa, inte nollsumma): Vi undviker falska dikotomier, t.ex. integritet kontra säkerhet, och visar att det är möjligt att ha båda.

• Säkerhet från början till slut (skydd under hela livscykeln): Data skyddas på ett säkert sätt från insamling till förstöring.

• Synlighet och transparens: Vi har en öppen kommunikation om våra processer och är föremål för oberoende verifiering.

• Respekt för användarnas integritet (användarcentrerad): Vi sätter individens intressen främst genom att erbjuda starka standardinställningar för sekretess och användarvänliga kontroller.

Arkitektur med noll förtroende

Vi arbetar enligt en säkerhetsmodell med noll förtroende. Denna modell utgår från att ingen användare eller enhet ska vara betrodd som standard, oavsett om de befinner sig inom eller utanför nätverksperimetern. Varje åtkomstbegäran är strikt verifierad och kontinuerligt auktoriserad.

• Verifiering av identitet: Alla åtkomstförfrågningar kräver stark autentisering, vanligtvis med hjälp av multifaktorautentisering (MFA).

• Principen om minsta möjliga behörighet: Användare beviljas den lägsta nivå av åtkomst som krävs för att utföra sina uppgifter. Behörigheterna är detaljerade, dynamiska och baseras på behov.

• Kontinuerlig övervakning: All systemaktivitet övervakas och analyseras för att upptäcka och reagera på misstänkt beteende eller ovanliga åtkomstmönster.

• Dataskydd: Data skyddas genom kryptering, både under transport och i vila, med strikt kontrollerad åtkomst baserad på nödvändighet.

Minimering av data

I enlighet med GDPR tillämpar vi dataminimering. Vi samlar in, behandlar och lagrar endast de personuppgifter som är absolut nödvändiga för ett legitimt syfte.

• Begränsad insamling: Vi importerar endast data som krävs för specifika funktioner. Till exempel importeras inte lönedata som standard.

• Begränsad lagring: Data lagras endast så länge det finns ett operativt eller juridiskt behov. Avaktiverade användare sparas som standard i 365 dagar, en period som kan anpassas av kunden.

• Anonymisering och aggregering: När det är möjligt aggregeras eller anonymiseras data för att förhindra identifiering av enskilda personer.

• Begränsning av ändamål: Uppgifter används endast för de tydliga och transparenta syften för vilka de samlades in.

• Pseudonymisering: När identifierbara uppgifter är nödvändiga använder vi dataalias för att skydda användarnas identitet och minska effekterna av potentiella dataintrång.