Säkerhetsdokumentation (norska)
1. Utveckling och "Privacy by design"
Identum utvecklar sina lösningar med Integritet genom design som grundfilosofi. De 7 principerna är:
Proaktiv, inte reaktiv; förebyggande, inte avhjälpande
Sekretess som standardinställning
Integritetsskydd inbyggt i designen
Full funktionalitet - positiv summa, inte nollsumma.
Säkerhet från början till slut - skydd för hela livscykeln
Synlighet och transparens - håll det öppet
Respekt för användarnas integritet - användarcentrerat
For sluttkunde betyr dette at våre løsninger som utgangspunkt er sikre; personvern er innebygget i løsningen, det må ikke konfigureres.
1.1 Noll förtroende
Zero trust-principen i kontexten av Identity and Access Management (IAM) är en säkerhetsmodell och strategi som bygger på konceptet att ingen användare eller enhet, antingen inom eller utanför organisationens nätverk, någon gång ska få de facto tillit. I stedet for å anta at alt bak brannmuren er trygt, krever zero trust at all tilgang verifiseres og autoriseres kontinuerlig.
Här är några viktiga aspekter av zero trust-principen i samband med eADM:
Identitetsverifiering: Varje förfrågan om tillgång till systemet kräver strikt verifiering av identiteter till användare eller enhet. Detta är ofta implementerat med hjälp av starka autentiseringsmetoder, som multifaktorautentisering (MFA).
Minimering av tillträdet: Brukerne får kun tilgang til ressursene de trenger for å utføre sine oppgaver (prinsippet om minste privilegium). Tillatelser är ofta granulære og dynamiske, justert basert på brukerens behov og atferd. Dette gjelder både brukeres tilgang til eADM og de rettighetene som systemet setter opp for å gi andre brukere. Typisk vil behovsprøvd tilgangsstyring være bedre på sensitive systemer enn f.eks role based account cotnrol (RBAC).
Kontinuerlig övervakning: All aktivitet övervakas och analyseras för att upptäcka misstänkelig eller uvanlig atferd. Detta kan inkludera uvanlige tilgangsmønstre eller forsøk på å få tilgang til sensitive data.
Databeskyttelse: Selv om identitets- og tilgangsstyring er kritisk, fokuserer zero trust også sterkt på å beskytte data. Detta inkluderar kryptering av data både i transit och i ro, samt att säkra datalagret tilgang baserat på behov.
Implementeringen av nolltillit i eADM är central för att skydda organisationer mot säkerhetstruslar genom att utmana traditionella säkerhetsmodellforutsättningar.
1.2 Dataminimering
Dataminimering handlar om att minska mängden personuppgifter och känsliga uppgifter som samlas in, behandlas och lagras, till det strikt nödvändiga för att utföra legitima funktioner. Detta princip är en nyckelkomponent i personvernforordningen (GDPR) och andra databeskyttelseslover, och det bidrar till att minska risken för databrudd och personvernsbrott.
Begrenset innsamling: Bare de data som er nødvendige for spesifikke funksjoner eller tjenester bør samles inn. eADm importerer f.eks ikke lønnsdata som standard, kun dersom det er nødvendig for den enkelte kunde.
Kortere oppbevaringsperioder: Data bør bare lagres så lenge det er en operasjonell eller juridisk forpliktelse. eADm har dataoppbevaringspolicyer som automatisk sletter eller anonymiserer data etter behov. Som standard benytter eADM 365 dagar som oppbevaring av deaktiverte brukere, dette kan justeres for den enkelte kunde.
Aggregerad data i stället för individuell data: När det är möjligt, bör data anonymiseras eller aggregeras, så att behandlingen inte är baserad på individuell identifiering.
Tillgångskontroll och minsta privilegium: Implementering av strikt tilgangskontroll säkerställer att endast auktoriserad personal har tillgång till personuppgifter, och användarna ger endast de rettighetene de har behov för.
Dataformål og transparens: Klara riktlinjer om varför och hur data används, som är begränsade till de minst påtrengende måtene för att uppnå de formålene, bidrar till dataminimering.
Pseudonymisering: Om identifierbara uppgifter får användas kan pseudonymisering (användning av datalagring) bidra till att skydda personers identitet och minska effekten vid potentiella dataläckor.
Vid tillämpning av dessa principer kan en eADM stödja opp om dataminimeringen i din organisation, och därmed bättre skydda personuppgifter samtidigt som det uppfyller regulatoriske krav og fremmer brukervern.
2. Drift och "Grunnprinsippene for IKT-sikkerhet"
På driftssiden har vi baserat vår säkerhetstenkning på Nasjonal Sikkerhetsmyndighet sina grundprinciper för IKT-sikkerhet.
2.1 Identifiera och kartlägga enheter, program, användare och behov för tillgång
Översikt och kontroll på var länge vi tar vare på användardata, och rutiner för sletting.
Tilganger skal alltid tildeles på minimumsnivå, ingen skal ha høyere tilgang enn det som er nødvendig for å få jobben gjort
Se avsnitten om tillgång för tillgångsnivå för systemanvändare i AD, G-svit och M365.
2.2 Beskydd och underhåll.
Etablera en säker IKT-arkitektur och beskytt verksamhetens nätverk. Kontrollera dataflyg.
Ha kontroll på identiteter och tilganger.
Alle passord skal lagres i et passordhvelv. Passordet ska inte återanvändas. Alla lösenord och tilganger är personliga.
Får man tillgång till ett kundsystem så ska lösenord och användarnamn slettes när jobbet är utfört.
Beskytt data i ro och i transitt.
Ta vare på kritisk information om deaktiverade användare i eFeide och eADM så att man sørger for å sperre for gjenbruk av brukernavn og andre unike identifikatorer. Efter en satt period blir logger, personinformasjon og tilgangs/rettighetshistorikk for en bruker automatisk slettet.
2.3 Oppdag och fjern kjente sårbarheter og trusler.
I tråd med det första av grundprisippena om "privacy by design" streber vi aktivt för att hitta sårbarheter i systemet vårt. Vi genomfører derfor årlige penetrasjonstester av våre løsninger. Dessa utförs av Visma sine eksperter på sikkerhetsfeltet, se mer information under "Penetrasjonstesting".
Trusselvurdering gjøres i samarbeid med Nasjonalt cybersikkerhetssenter (NCSC). Identum är definierat som kritisk infrastruktur och mottar varsling från NCSC när det upptäcker säkerhetshål och exploateringar i serversystem, programvara och andra IT-system. Trusselvurderinger gjøres løpende av Identum basert på info fra NCSC. Relevant sikkerhetshull blir patchet fortløpende etter hvert som vi blir kjent med dem.
Alla Identum sine servere, både i produksjon og testmiljø, blir oppdatert ukentlig. Det gäller både operativsystem, installerade appar och annan programvara. I tillegg oppdateres også eFeide og eADM på søndager, iht 14-dagers utviklingssprinter. Identum har en egen resurs med ansvar för att ivareta dette. Efter patchning/uppdatering blir alla system testade för att säkerställa full funktionalitet. Søndag er valgt pga lav belastning og bruk på søndag. eFeide blir ikke oppdatert ifm skolestart og eksamensavvikling, med unntak av driftskritiske oppdateringer.
4. Håndtere og gjenopprette
Alle uønskede hendelser angående sikkerhet eller personvern registreres i eget register, med tid, sted, hvem, tiltak og oppfølging i etterkant. Prosedyrene er dokumentert i Identum sin interne beredskapsplan.
Kunder varsles rutinemässigt om både interna och externa oönskade händelser. Prosedyrene er dokumentert i Identum sin interne beredskapsplan.
Der det er relevant, blir trusselvurderinger fra NCSS delt med kundene.
Identum har avtale om bistand fra Visma sin egen cybersikkerhetsgruppe hvis selskapet kommer under angrep, blir hacket eller hvis datasikkerheten på annet vis er truet. Visma vil da etablere et responsteam som vil være ansvarlig for å håndtere situasjonen, få den under kontroll og gjenopprette ev berørte systemer. I tillegg har vi "hot backup" av våre systemer, som gjør at man ila minutter kan etablere et alternativt servermiljø dersom det vanlige går ned pga DDOS eller andre typer angrep.
3. Systemövervakning och trusselhantering
Identum AS är från 01.02.2023 et heleid datterselskap av Visma AS og underlagt Visma sine rutiner for cybersikkerhet, overvåkning og trusselhåndtering. Visma använder Sentinel One(https://www.sentinelone.com/ ) för Managed Detection and Response (MDR). Sentinel One kör kontinuerlig övervakning av Identum sine servere, klienter, endepunkter og ansatte sine datamaskiner. Alla händelser blir loggade, utvärderade och trusler blir automatiskt aktivt fulgt opp av Visma sitt Security Operations Centre (SOC)-team.
Ved en tilstrekkelig alvorlig sikkerhetshendelse eller angrep blir Identum varslet av Visma, de har respons 24/7/365 og vil iverksette tiltak også før Identum blir varslet. Dersom hendelsen/angrepet blir evaluert til å være kritisk eller rettet mot en spesifikk kunde, blir kunden varslet umiddelbart og tatt med inn i teamet som håndterer hendelsen. Normal varslingstjänst för våra kunder är via epost, i sådana fall vil dere også bli oppringt.
Bakdörr och tillgång om ordinär pålogging är nere
Identum har sine egne "break glass"-kontoer i vårt driftsmiljø. Om ordinär loggning för våra anställda är av en eller annan grund är ute av drift, kan sådana konton användas för att ge eller återställa tillgång till systemet. Denna bakdörr används inte i ordinär drift, och all loggning övervakas med omedelbar varning.
I de fall där kunden sin pålogging till eADM inte fungerar (t.ex. om kunden sin AAD är nere och SSO derfor ute av drift), kan Identum ändra till en annan innlogging i perioden kunden har nedetid, t.ex. från Azure AD SSO till innlogging med IDporten.
Penetrationstestning
Årlig utförs en säkerhetsgjennomgång och penetreringstest av våra lösningar av Visma sitt cybersikkerhetsteam. Genomgången visar eventuella svagheter eller förbättringspunkter som vi då förbättrar fortlöpande. Vid sist genomförda test ble ingen alvorlige risikomomenter oppdaget. Om önskvärt kan vi ha en gjennomgang av resultatene av denne testen. Av sikkerhetsårsaker ønsker vi ikke å dele selve rapporten.
Våra kunder står selvsagt fritt till att köra sin egen penetrasjonstesting, med eller uten bistand fra tredjeparter valgt av kunde.
4. Drift och hosting
Identum sine løsninger er skybaserte og driftes og vedlikeholdes hos vår driftspartner Microsoft Norge, med redundans, ekstern backup og lastbalansering. Fysisk står serverene på Østlandet i Norge. Oppetidsgaranti är 99,9 % (se vår SLA).
Identum är ansvarig för operativsystem och programvara medan Microsoft tar seg av drift av maskinvare, kommunikation, offsite backup, redundans och brandmur. Kun ansatte med teknisk ansvar i Identum eller nødvendig driftspersonell hos Microsoft har aksess til servermiljø. Detta sker via Teamviewer klienter med MFA. Identum har ett utökat SLA-avtal med Microsoft med responstid inom 10 minuter inom kontorstid och 1 gång annars.
De enda brandmursportarna som är allmänt öppna för inngående trafik är port 80/433 för användning av Teamviewer, webklienter och api-klienter. All trafik till port 80 blir automatiskt routad till 433 så att kommunikationen sker på krypterad linje via TLS. Alla webbtjänster / sidor internt och externt är säkrade med SSL-sertifikat från Digicert.
Patching och uppdatering
Patching av system, komponenter, server, databaser osv görs varje söndag. Identum har en dedikerad resurs till detta. Identum är definierat som kritisk infrastruktur och mottar varsling från Nasjonalt cybersikkerhetssenter (NCSC) när det upptäcker säkerhetshål och exploateringar i serversystem, programvara och andra IT-system. Trusselvurderinger gjøres løpende av Identum basert på info fra NCSC. Relevant sikkerhetshull blir patchet fortløpende etter hvert som vi blir kjent med dem.
Uppdatering av system, komponenter, server, databaser osv görs också varje söndag. Identum benytter seg som standard ikke at beta-funksjonalitet eller -versjoner.
Kryptering
Identum sine servere er hostet i Azure sky og benytter da standard server-side kryptering av all data ved lagring. Krypteringsnøklene håndteres av Azure plattformen automatiskt. https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption.
Kommunikationen mellan Identum sine servere, klienter, nettlesere og tredjepartssystemer er ende-til-ende kryptert via TLS 1.2 med 2048 bit kryptering, og sertifikatene blir utstedt av Digicert. Dessa installeras och underhålls av medlemmarna i vårt driftsteam som har nödvändig tillgång till server- och digicert-tjänsten. De byttes ut/har gyldighet efter bransjestandard (12 månader)
Databas, backup och driftssystem är också krypterade. Vidare så är alla användardata krypterade. I eADM och eFeide är alla systempassord (hemligheter) säkrade med Rijndael AES 256-bitars kryptering. Passord till användare är lagrade i vår LDAP-databas som använder standard Active Directory-teknologi och lagrar då de hashet och kryptert. Vid överföring av lösenord (hemligheter) så används alltid kryptering från ende till ende via TLS.
Separering
Data separeras logiskt vid användning av ett unikt kund-ID som lagras i kundetabellen. Alla andra datatabeller är knyttet til kundetabellen gjennom fremmednøkler. Varje förfrågan till externa eller interna API-er för hämtning eller lagring av data inkluderar en obligatorisk kundnyckel som parameter, som specificerar vilken kund det gäller. Detta säkerställer att varje kunds data förblir adskilt och säkert, och förhindrar enhver sammenblanding av data mellom ulike klienter.
Administratörer kan endast ge tillgång till mer än en instans av eADM av Identum, och administratören kan inte ge tillgång till andra samma tillgång. Det rekommenderas att slik tilgang alltid gis med utløpsdato
Säkerhetskopiering och gjenoppretting
Databaser blir säkerhetskopierade var 10:e minut, produktionsmiljö som helhet blir säkerhetskopierad dagligen. Backup blir inte lagrad i produktionsmiljön, men på ett fysiskt separat miljö.
För att verifiera både kvalitet och innehåll på säkerhetskopierare och testa återuppretting av data, blir Identum sitt testmiljö alltid opprettet fra sikkerhetskopier. Testmiljön är en fullständig kopia av produktionsmiljön. Detta görs minst varje 14 dag.
Kontinuitetsplan
Vid behov kan hela drift/servermiljøet gjenopprettes fra null på under seks timer, enten i samme miljø eller i et sekundært miljø (f.eks hvis primærmiljø blir utsatt for et DDOS-angrep). Det är också möjligt att återställa enkeltkunder från backup. Detta kan göras både om det uppstår felaktig oppgradering eller tekniska förändringar av lösningen, eller om kunden har behov av att återställa t.ex. efter en import av korrupta data från kildesystemet. Dette kan bestilles via Identum sin brukerstøtte, og slike henvendelser vil bli behandlet som en nivå A-feil iht kunden sin enhver tid gjeldende Service Level Agreement. Dersom Identum på egen hånd bestemmer seg for at enten hele servermiljøet eller en spesifikk kunde må gjenopprettes, blir kunden varslet, enten via varslingstjenesten i eADM eller per telefon.
Förberedande åtgärder
Identum har, i likhet med andra Visma-selskaper, egna procedurer för Riskbedömning, Riskreducering och Riskhantering. Risker blir identifierade och bedömda iht allvarlighetsgrad och sannolikhet (riskbedömning). För varje risk ska det foreligge en förebyggande plan (riskreducering) och en hanteringsplan (riskhantering) dersom risikoen faktisk inntreffer. Detta material är en del av Identum sin interna säkerhetsdokumentation. Detta är, naturligt nog, inte offentlig information.
Se även avsnitt 3 "Systemovervåkning og trusselhåndtering " och avsnitt 5. "ISO27001 og Visma Cloud Delivery Model"
Konsekvenser av nedetid på eADM
Dersom eADM har nedetid vil alle kontoer i organisasjonen fungere som før, med alle rettigheter og tilganger. Så länge eADM är nere, kommer konton inte att bli opprettet/oppdatert/deaktivert/slettet och ingen tilganger/lisenser kommer att bli gitt/endret/fjernet av eADM. Det kommer fortfarande att vara möjligt att göra detta manuellt i det enskilda målsystemet.
Konsekvenser av nedetid på eFeide
Dersom eFeide, som Brukeradministrasjonssystem (BAS) for FEIDE-katalogen, opplever nedetid vil FEIDE-innlogging fortsatt fungere som før. Det är endast om SIKT (Kunnskapssektorens tjenesteleverandør, https://sikt.no/) upplever nedetid att FEIDE-påloggning blir utilgjengelig.
Om eFeide har nedetid kommer passordhåndteringsfunksjonalitet, eTID internettilgangsstyring og MFA-administrasjon av FEIDE-kontoer være utilgjengelig.
Nedetid på kildesystemer
Om ett kildesystem är nere kommer eADM och eFeide naturligt nog inte att bli uppdaterade med nya kildedata. Dataflyt från eADM och eFeide till målsystemen kommer att fortsätta som förut. Exempel på detta är passordendringer, endringer i gruppe/teamsmedlemskap, roller og rettigheter.
När kildesystemet igjen er tilgjengelig vil eADM og eFeide prosessere alle kildedata på nytt, slik at alle ventende brukere osv. får de nødvendige kontoer og tilganger.
Nedetid på målsystemen
Dersom et målsystem er nede i en kortere eller lengre periode, blir endringer lagt i en eksportkø. Når målsystemet er tilgjengelig igjen blir køen prosessert. Exempel på ändringar som läggs i exportkø är attributtendringer (t.ex. namn på en användare), passord, gruppe/teams-medlemskap, roller og tilganger. Det loggføres i eADM når endringer ble lagt i eksportkø og sendt til de forskjellige målsystemene.
Varsling
Identum har flera typer av varsling om feil, nedetid eller andra händelser som har negativ påverkan för tjänsten:
Automatisk systembaserad varsling -> Systemet skickar ut en statusrapport efter varje fullgjord synkronisering med övergripande information. I tillegg vil systemet varsle dersom synkronisering stanser, f.eks som en følge av korrupte data eller om et målsystem ikke svarer. Det är også mulig å sette opp sine egne varslingskriterier, enten på epost eller SMS, f.eks dersom en administratortilgang blir gitt til en bruker.
eADM kan sätta opp til å varsle automatisk ved feilmeldinger på enkeltbrukere, f.eks dersom en oppdatering feiler i et målsystem (gitt at målsystemet støtter dette!).
Manuell varsling -> Identum har en egen varslingslista med epost och SMS för alla administratörer i eADM och/eller eFeide. Denna lista används för att varna om händelser som negativt påverkar en eller flera kunder. Identum har lav terskel for å sende ut varsel.
Kunder som har sina egna övervakningssystem kan ansluta sig till loggen i eADM via API och automatiskt hämta ut fortlöpande loggar med varsel, uppdateringar och fel
Feilrapportering
Alla fel som upptäcks av kunden kan meldes direkte til Identum via skjema tilgjengelig for administratorer i eFeide og eADM. Detta gäller alla typer av fel, både fel med systemet och varsler om personvern-relaterte hendelser og tiltak. Alle personvern-relaterte hendelser blir behandlet som en feil med nivå A iht avtalt tjenestenivå (SLA). Alle hendelser blir håndtert iht grunnprinsippene for IKT-sikkerhet, pkt 4.-4.4.
eADM och eFeide har också innebygd funktionalitet för att skicka in förbättringsförslag. Alla förslag bedöms fortlöpande.
5. Informationssäkerhet
GDPR och personlig integritet
Som grundprincip för import av kildedata till våra system gäller det att vi endast importerar användare och användardata som ska behandlas vidare. Om en anställd inte ska ha konto i AD, kommer vi att filtrera denna från att bli importerad in i våra system överhuvudtaget. Foresattdata benyttes ikke ved import til Feidekataloger. Endast relevant användardata importeras, exempelvis importerar vi stillingsprosent (som kan vara relevant vid tilldelning av lisenser) i motsats till lönedata som vi inte importerar.
Det är viktigt att understryka att det är kildedatasystemen (HRM och SAS) som är överstyrande. När en användare upprättas i HRM, blir användaren upprättad i eADM. Når en bruker deaktiveres eller slettes fra systemet vil tilhørende data også bli slettet, iht regler satt i eADM. Det kan till exempel automatiseras att användare först deaktiverar och så slettes från systemet efter en given tidsperiod. Säkerheten och personvernet i eADM är helt beroende av att kunden har goda rutiner ifm inn- og utmelding av brukere fra sine kildesystemer.
Ett vanligt hjertesukk fra administratorer når det kommer til livssyklusen til brukerkontoer er at "alle får med seg når noen begynner, men ingen får med seg når noen slutter". Dermed kan man risikere at gamle brukerkontoer og persondata liggende igjen i lang tid. Lösningen på detta är gode regelsett i eADM som sørger for at data som ikke skal lagres blir slettet f.eks når brukeren blir deaktivert, går ut i permisjon, dør eller slutter. eADM automatiserar detta och ser till att alla användarkonton antingen försvinner automatiskt eller att nödvändiga mottagare varsles där något måste göras manuellt. Via meldingsmaler kan man varsle IT, drift, admin, när utstyr skal leveres inn, tilganger skal endres eller fjernes.
Alla användare har pålogging till användargränssnittet, och alla kan se alla data som är registrerade för egen användare till enhver tid. I samband med GDPR och personvern kan sluttbrukere se sine data i en personvernseksjon der vi også opplyser om hvor data kommer fra, hvem de skal henvende seg til hvis noe ikke stemmer eller om de ønsker data slettet.
Identum sine løsninger oppfyller alle krav til Norm for informasjonssikkerhet.
Se bilaga 9 i kontraktet för databehandleravtalen till Identum AS. Vi har som princip att vi tilpasser oss kundene våre, istedenfor at de må tilpasse seg oss. Om vårt standardiserade databehandlingsavtal inte täcker kundens behov, anpassar vi oss och använder det kunden önskar.
ISO27001 och Visma Cloud Delivery Model
Identum AS är från 01.02.2023 ett helägt dotterbolag till Visma AS och har underkastat sig deras kvalitetssystem och leveransmodell som beskrivs här:
Visma Cloud Delivery Model (VCDM) beskriver vår tilnærming til å utvikle, levere og drifte skytjenester. Den beskriver aspekter av hur vi bör vara organiserade, hur vi bör arbeta (processer) samt tekniska krav och bästa praxis som är nödvändiga för framgångsrik leverans av skytjänster. Ytterligare information om VCDM hittar du på: https://www.visma.com/trust-centre/vismaclouddelivery
Modellen är baserad på ett sett med kärnprinciper och fokus på DevOps och Continuous Delivery. VCDM har följande revisjonserklæring og sertifiseringer:
ISAE 3402 SOC 1 Typ II
ISO 27001
Visma Security Program och Visma Architecture and Technology Programme är integrerade i Visma Cloud Delivery Model. Vårt styrsystem för informationssäkerhet (ISMS) är certifierat i enlighet med ISO 27001 och det revideras årligen av en oberoende IT-revisor.
I tillegg revideres Vismas evne til å etterleve ISMS og kvalitetsstyringssystemet i VCDM av et uavhengig revisjonsselskap i henhold til ISAE 3402. Denna omfattande kontroll genomförs också årligen och är sammanfattad i en ISAE 3402 Type II-rapport.
Vår tilnærming til implementering av endringer er fortløpende integrering og implementering (Continuous Integration and Continuous Deployment - CI/CD).
Metodikken utvikler seg stadig med tanke på teknologi, kompetanse og prosedyrer. Akkurat nå betyr dette at endringer blir fortløpende verifisert og implementert i vårt stagingmiljø. Der gjøres det manuelle tester både internt i utviklingsavdelingen og av fageksperter. For mer omfattende endringer benytter vi oss også av pilotkunder som tester endringene i normal drift en periode før de slippes til alle kunder.
Https://www.visma.com/trust-centre
Leveransmodell för Visma Cloud.
Ändringar och uppdateringar
Endringer og oppdateringer medfører som hovedregel ikke nedetid. Om det sker, kommer det att genomföras i förhandsdefinierade servicevinduer och varsles iht. SLA.
Vi har en gemensam, automatisk, process för uppgradering för alla miljöer. Hyppiga och små uppdateringar ger låg risk för fel vid varje förändring. Vi använder i økende grad implementering av oppgraderinger direkte i produksjonsmiljøet, men skjult bak funksjonsbrytere (eng: "feature toggles"), slik at funksjonaliteten først aktiveres når den er klar for kunden. I samspel med automattester ger detta högre stabilitet, färre fel och snabb utrullning av nya funktioner.
Oppdateringer vil bli ulikt kommunisert avhengig av størrelse og omfang av endringen:
Mindre ändringar som inte påverkar kunden eller användaren kommer att bli varnade genom uppdatering av release notes
Medium endringer som for eksempel endringer eller tillegg i arbeidsprosesser eller skjermbilder vil bli annonsert i release notes, varslinger i startsiden, oppdatert brukerdokumentasjon og på Visma Community.
Större förändringar som ny nyckelfunktionalitet eller en större förändring i en arbetsprocess kommer i tillägg att kunna ha webinarer och/eller uppdaterad e-læring
Vid större ändringar som kräver utbildning och/eller konfigurering av systemet kommer vi att involvera kunden innan vi implementerar ändringen. Omfanget av detta kommer att variera beroende på vilken typ av förändring det är. Vår strategi för hantering av eventuella fel som skulle uppstå vid uppdateringar är att "rulla framåt" (roll-forward). Detta innebär att vi vill rätta till felet och uppdatera det med en ny version, framför att rulla tillbaka. Endast undantagsvis och vid allvarlig fel, kommer det att vara aktuellt att rulla tillbaka.
6. Säkerhet och tillgångsstyrning
Identum drifter sin programvara i huvudsak via webbapplikationer: efeide //mega.efeide.no och eADM. All tilgang til webapplikasjonene er beskyttet av captcha, brukernavn og passord samt 2FA autentisering. Kunden kan själv använda dessa portaler för administration och självbetjäning, men även med andra användare och rättigheter (se avsnittet om tilgangsstyring).
Vi rekommenderar alla våra kunder att använda autentisering med MFA aktivert, och vi har ett krav på att alla tillgång till alla våra system på administratornivå ska vara med MFA. Vi erbjuder pålogging via användarnamn/passord med MFA, IDporten eller SSO med Azure AD. Om SSO används kräver vi att tillträdet beskärs på rettighetsnivå Avdelingsleder og oppover.
Det är ett viktigt princip att inte ge högre tillgång än det som är nödvändigt. Vi rekommenderar därför att ni är restriktiva med att ge tillträde på administratornivå. För det mesta av daglig drift är serviceskyddstillägg bra nog. För användare som ska lösa endast en specifik uppgift, till exempel administratörens lösenord för en avdelning, är superbrukertilgang nog. Endast helt nödvändig personal bör ha administratörstillgång till systemet och denna bör bedöma tidsbegränsningen. Detta princip förutsätter insyn i persondata och möjligheter för att ge tillgång till eller rättigheter.
Alla ändringar som blir utförda via webbgränssnittet blir automatiskt loggförda. Kunden blir rutinemässigt varnad för oönskade händelser, i tillägg till den dagliga statusrapporten från våra system. Vi understreker at vi anbefaler at tilgang til eFeide og eADM beskyttes med tofaktorautentisering for alle brukere med administratortilgang, denne funksjonaliteten er en del av løsningene.
Vår policy för tilgangsstyring er at brukere ikke skal få et høyere rettighetsnivå enn det de trenger i det daglige, høyere tilgang vurderes etter behov. Administratortilgang skal kun tildeles få utvalgte brukere som har gjennomført opplæring i bruk av systemet. Ett exempel kan vara att 1.linje brukerstøtte hos kunden har servicedesktilgang, medan kun 3.linje har tilgang til systemet på administratornivå. Identum rekommenderar alla våra kunder att följa denna policy när de sätter upp regler för automatisk eller manuell tilgangsstyring til fagsystemer, tredjeparter osv via eADM.
Intern personal
Detta gäller även Identum sine egne ansatte. Ansatte får endast nödvändig tillgång iht stilling og funksjon. När anställda slutar blir alla tilganger fjernet umiddelbart. Identum benytter seg ikke av bistand fra eksterne tredjeparter og har en policy på at kun ansatte som aktivt arbeider med drift og brukerstøtte av løsningen har tilgang til kundene sine data.
De olika tilgangsnivåene og rollene i Identum er fast definert, og blir iht ISO27001 revidert og behovsprøvd med jevne mellomrom.
Alla ändringar som görs i systemet blir loggförda på lik linje med kunden sine egne brukere. Så om en anställd i Identum ger en tilgang til et fagsystem hos en kunde, blir det loggført i historikken til brukeren som fikk tilgangen.Det er ikke mulig å kopiere brukerdata mellom de forskjellige instansene i brukergrensesnittet, kun maler og regelsett.
Tilgangskontroll
Både eFeide och eADM støtter forskjellige metoder for brukerpålogging, herunder også tofaktorautentisering. Vi erbjuder (självklart) FEIDE-påloggning, IDporten, ADFS/LDAP, SSO med Azure/EntraID, SSO med Google Workspace och andra SAML2.0-autentiseringslösningar. Vi forventer at kundene beskytter SSO-pålogging med MFA, det er ikke anbefalt at tilgang til eADM og eFeide er uten tofaktorbeskyttelse, selv på ansatt/avdelingsledernivå. På servicedesk och administratornivå har vi krav på att våra kunder ska skydda SSO med MFA, alternativt använda IDporten.
Systemtilganger kan gis automatisk basert på regelsett eller manuelt for den enkelte bruker. Vi rekommenderar att administratörstillägg endast ges manuellt och behovsprövat. Tilganger kan gis med eller uten utløpsdato og systemet har løsning for både aktiv og passiv tilgangsrevisjon ved gitte tidsintervaller.
De olika tilgangsnivåene kan administreras på grupp-, roll- och personnivå. För exempel kan påloggningen till användargränssnittet för eFeide regleras så att alla som har tillgång till att se persondata om andra användare måste logga in på med tofaktorautentisering, medan studenter (som bara kan se sina egna data) kan logga in på utan bruk av tofaktor.
Systemet tar også høyde for at en og samme bruker kan ha forskjellige roller i de forskjellige avdelingene, med varierende behov og tilganger. En anställd kan se all tillgänglig information om sig själv och byta lösenord. En avdelningsledare ser endast sina anställda. Dersom en bruker er avdelingsleder og samtidig er ansatt på et annet nivå i organisasjonen, vil denne brukeren kun ha administratortilgang til avdelingen hvor han/hun er avdelingsleder. På den andra avdelingen vil han/hun han/hun kun ha ordinær ansatt-tilgang.
De sex rollerna ger tillgång till funktionsområden, underliggande information och funktionalitet. Under följer en tabell som visar vilka operatörer rollene har tillgång till:
Historik, loggar och tillgångsrevision i eADM
eADM har full loggföring av alla ändringar som blir gjorda på objektnivå, även för användare, grupper och avdelningar. Loggene er tilgjengelig for alle med administratortilgang i løsningen. Både ändringar som kommer in från kildesystem och ändringar som görs i eADM loggføres. Systemet loggar också alla data som skickas till de olika kildesystemen, så att man har full överblick över vilka data som exporteras var. Alla oppføringer loggføres med objektID, dato/klokkeslett, årsaken til endring, hvem som utførte endring dersom det er en manuell endring, forrige verdi og ny verdi.
Alla ändringar i själva systemoppsettet loggar också. Med det menes alle endringer på regelsett, synkroniseringsmaler, meldingsflyter, tilgangsstyringer og arbeidsflyter.
Alla loggar blir lagrade, krypterade, digitala och fysiskt skyddade iht de samma standarderna som Identum sine øvrige data. Logger kan ikke endres av noen typer brukere, inkludert Identum sin egen superduperadministratorrolle. Logger kan exporteras för behandling i tredjepartssystem.
Alla händelser, logger osv kan sätta opp til å utløse varsel på e-post eller SMS når de opptrer. F.eks kan systemet varsle om specifika felmeldinger ifm eksport til sensitive systemer eller når en bruker logger seg på med en IP-adresse utenfor et gitt geografisk område.
Loggning av ändringar på användardata, rättigheter och tilganger
I användargränssnittet till eADM kan man också se alla tilganger och lisenser som är tilldelade en användare, både i eADM och i tilknyttede målsystemer. Historikken viser når en tilgang eller lisens ble tildelt, om det ble gitt automatisk på basis av regelsett eller manuelt av en bruker. Man kommer att kunna se vad en användare har tillgång till i sak/arkivsystem, och vilken typ av tillgång det gäller. eFeide logger alla rettighetsändringar i tillägg till ändringar i användardata och lösenord. Dersom en tilgang er gjort av et regelsett, kan man videre spore hvem som gjorde endringen i regelsettet som utløste tilgangen.
Säkerhets- och lösenordsloggare
Sikkerhetslogging i eADM loggfører alle påloggingsforsøk, både autoriserte og uautoriserte med hvem, tid, sted (IP), type autentisering og status. I tillägg loggas alla felanmälningar, med metod (t.ex. typ API-kall), tid, användare och IP.
Alla passordbytter blir loggført, med tid og datostempel, hvordan passordbyttet ble gjort, hvem som initierte passordendringen, om passordet ble eksportert videre til andre målsystemer og med eventuelle feilmeldinger.
Tredjepartstilgang
Kunden styr själv vem som har tillgång till kunddata i eADM via brukergrensesnittet. Identum benytter seg ikke av underleverandører og gir ikke tilgang til kundedata til tredjeparter.
Dataflyt till tredjeparter styrs via synkroniseringsmaler där kunden själv bestämmer vilka data som ska exponeras för/överföras till varje enskild tredjepart. För API-baserade integrationsenheter kör eADM endast PUSH, dvs att eADM är den som initierar dataöverföring och styr vilka data som blir överförda. eADM tillåter inte att tredjeparter kan hämta data från systemet efter eget förgodtbefinnande.
Det är inte möjligt att få tillgång till andra kunder sine data gjennom eADM. Selv om f.eks en administratorkonto hos kunde A blir overtatt av en ekstern del, vil ikke denne tilgangen kunne brukes til å få innsyn i kundedata hos kunde B. Se også punktet "Penetrasjonstesting".
Hantering av lösenord
I eADM och eFeide är alla systempassord (hemligheter) säkrade med Rijndael AES 256-bitars kryptering. Passord till brukere er lagret i vår LDAP database som benytter standard Active Directory teknologi og lagrer da de hashet og kryptert. Vid överföring av lösenord (hemligheter) så används alltid ende till ende kryptering då via TLS. Detta gäller för all överföring av data till och från lösningen.
Passord är inte tillgängligt för någon användare i eADM eller eFeide, det är de anställda själva, avdelningsledare eller administratörer. Det enda undantaget är førstegangspassord, naturlig nok siden de må kunne leses, skrives ut og sendes til den ansatte. Efter första pålogging vil dette passordet bli endret og lagret kryptert. Från det att någon inte kan se det, kan det bara ändras.
Førstegangspassord for brukere blir skapt i eFeide når en brukerkonto blir opprettet. Passordet blir generert iht regelsett satt opp etter krav fra kunde, f.eks 16 tegn, stor bokstav, minst 1 spesialtegn. Når en brukerkonto blir opprettet i målsystemer som AD, Azure eller fagsystemer, kan brukerne bli opprettet med samme førstegangspassord. Dette blir overført kryptert.
Passord kan ändras i våra lösningar och överföras i sanntid till målsystemene. Det kan sätta krav om at brukere må endre førstegangspassord før de får tilgang til å logge på. Identum har lösning för att återställa lösenord via SMS eller via autentisering genom IDporten, och vi rekommenderar helt klart IDporten.
Alla passordbytter blir loggført, med tid og datostempel, hvordan passordbyttet ble gjort, hvem som initierte passordendringen, om passordet ble eksportert videre til andre målsystemer og med eventuelle feilmeldinger.
I eADM kan avdelningsledere endre passord for sine ansatte, enten ved å tildele et nytt passord eller sende et generert passord til den ansatte på SMS dersom det er registrert et mobiltelefonnummer på brukeren. Vi anbefaler dog at prosedyren bør være at ansatte gjør dette selv via glemt-passordportalen.
Servicedeskbrukere og administratorer i eADM kan endre passord for alle brukere, enten ved å tildele et nytt passord eller sende et generert passord til den ansatte på SMS dersom det er registrert et mobiltelefonnummer på brukeren. Vi anbefaler dog at prosedyren bør være at ansatte gjør dette selv via glemt-passordportalen.
I eFeide kan lærere endre passord på elever, skoleADMinistratorer kan endre passord for elever og lærere ved sin skole og kommuneADMinistratorer kan endre passord for alle brukere.
Sikkerhet og feidetjenester
I eFeide kan administratörer administrera inloggning med MFA till gitte Feidetjenester for ansatte. Krav om MFA för Feidetjenester kan settes både individuelt og for hele skoler. En tofaktor-metode är det en bruker benytter for å bevise sin identitet når en Feidetjeneste krever tofaktor-autentisering. Feide har fire forskjellige tilgjengelige tofaktormetoder; pålogging via IDporten, kode via sms, kodeark og godkjennerklient (MS Authenticator eller Google Authenticator).
Hvilke Feidetjenester som skal beskyttes med MFA er opp til den enkelte kunde, vår tommelfingerregel er at alle Feidetjenester der det er lagret personinformasjon om elever og/eller ansatte bør beskyttes med MFA. Et skybasert skoleADMinistrativt system er et eksempel på et system som etter vår mening bør beskyttes med tofaktorpålogging.
Export av persondata till målsystemen
Både eADM och eFEIDE innehåller persondata, och man böra vara aktsom med hvilke data som eksporteres til hvilke målsystemer. Tommelfingerregel bör vara att man bör endast exportera det minimum av data som målsystemet har behov för. I tillägg bör det genomföras en behovsprövning för data som fødselsnummer, privat kontaktinformasjon, lønnsinformasjon osv.
Använd av fødselsnummer i Active Directory
Vi rekommenderar att dersom fødselsnummer benyttes som en unik identifiserende attributt i AD (f.eks i attributtene employeeID eller employeeNumber. ), bör denna antingen krypteras (detta är det funktionalitet för i begge systemene) eller skjules slik at visning av denne attributtene kun er tilgjengelig for administratorer: Så här döljer du användarattribut i Active Directory
Använd av fødselsnummer i Azure AD / Entra ID
Vi rekommenderar inte användning av fødselsnummer som unikt identifierande attribut i Azure AD, eftersom detta fält inte kan beskyttes eller skjules. Benytt istedenfor ansattnummer eller en annan unik nummerserie.