Hvem har tilgang til mine data?
Det er kunden selv som styrer tilgang til data i sin Pureservice instans. Administrative oppgaver knyttet til oppdateringer, sikkerhetskopi, optimalisering og drift gjennomføres av vårt sertifiserte driftsteam med nødvendige tilganger. Se Pureservice tjenesteavtale for ytterligere informasjon.
Hvordan blir mine data lagret?
Alle data blir lagret i minimum 2 fysisk adskilte databaseinstanser for å sikre tilgjengelighet.
Er dataene kryptert når lagret i Pureservice?
Ja, alle databaser er kryptert ved lagring.
Er informasjon kryptert under transport ved bruk av Pureservice i skyen?
Ja, data er kryptert under transport mellom brukerenhet og Pureservice i skyen.
Har jeg tilgang til å laste ned mine data?
Kopi av dine data kan du få tilsendt på forespørsel. Det vil være en servicekost forbundet med å hente ut data.
Er det greit å utføre penetrasjonstester på sin egen Pureservice skyinstans?
Ja, dette kan gjøres inntil én gang per år og må godkjennes på forhånd ved å kontakte Pureservice support.
Sikkerhetsarkitektur
Hvilke sikkerhetstiltak ivaretar sikkerheten i Pureservice i skyen?
- Kontinuerlig overvåking av ytelse og tilgjengelighet.
- Driftes og utvikles av personell med kunnskap og erfaring i sikkerhetsarbeid.
- Pureservice utvikler, tester og verifiserer Pureservice basert på retningslinjene i OWASP topp 10. Det gjøres eksterne sikkerhetsrevisjoner med penetrasjonstesting på nettverks- og applikasjonsnivå.
- Pureservice kjører i et datasenter som er SOC 2 Type 2 Compliant og ISO 27001:2013 sertifisert iht. ISO 27002 best practices.
- Brukerautentisering og tilgangskontroll per instans.
- Multi-tenant arkitektur med adskilte databaser per kunde.
- Kontinuerlig oppdatering av koden sikrer at alle kunder til enhver tid er oppdatert med funksjonalitet og sikkerhetsfunksjonalitet.
- Sikkerhetskopi av alle data kontinuerlig innenfor siste 30 dager.
- Kundedata er kryptert når lagret og under transport.
Ytterligere informasjon om organisering av sikkerhetsarbeidet og tiltak er beskrevet i vår CAIQ.
Hvilken datamodell brukes for adskillelse av data i skytjenesten?
Løsningen er bygget med en multi-tenant arkitektur der separasjon mellom kunder ivaretas gjennom separate databaser per kundeinstans.
Hvordan ivaretas krav til tilgjengelighet i skytjenesten?
Løsningen leveres på Microsoft Azure plattformen, som er robust designet for å opprettholde tilgjengeligheten til enhver tid. Tjenestene overvåkes kontinuerlig med nødvendige varslingsrutiner for å opprettholde et akseptabelt tjenestenivå som beskrevet i tjenesteavtalen.
Hvordan ivaretas krav til konfidensialitet og integritet i skytjenesten?
Ansatte i Pureservice er pålagt å følge et sett med sikkerhetsinstrukser og kun ansatte med tjenstlige behov har tilgang til produksjonsplattformen. Data er kryptert både på disk og i transport.
Prosess for testing og utvikling?
Utviklingsteamet jobber etter SCRUM-metoden og benytter GIT versjonskontrollsystem. Endringer testes i separate miljøer før de godkjennes for slipp til produksjonsmiljøet. Dette muliggjøres ved bruk av separate oppdateringskanaler (dev, main, preview og release) i våre releaserutiner og en oppdatering publiseres ikke før integriteten på pakken er verifisert og testet. I disse stegene ligger det også manuelle godkjenningsrutiner. Det er automatiserte tester i forkant av alle kanaler. Før en oppdatering godkjennes går den gjennom en kvalitetskontroll i en egen QA-prosess.
Hvilke autentiseringsmekanismer kan benyttes for å integrere Pureservice med virksomhetens eksisterende Identity Provider?
Pureservice støtter Single Sign-On for integrasjon med virksomhetens eksisterende Identity Provider gjennom OpenID Connect, SAML. OAuth 2.0, WS-Federation med flere. Om kunden f.eks. benytter Azure AD som identitetstilbyder «IdP» så vil MFA, hvitelisting, regelsett for tilganger og avansert tilgangskontroll styres fra Azure AD.
Støtter Pureservice multifaktor-autentisering?
Ja, Pureservice støtter multifaktor-autentisering gjennom integrasjon med virksomhetens eksisterende Identity Provider.
Operasjonelle rutiner
Hvordan vedlikeholdes Pureservice programvaren?
Pureservice oppdateres jevnlig med kode som tilfører ny funksjonalitet eller som adresserer kjente feil. Oppgradering av Pureservice i skyen annonseres i nyhetsfunksjonen i Pureservice og skjer automatisk på varslet tidspunkt.
Utviklingsteamet gjennomgår opplæring i sikker utvikling i forbindelse med penetrasjon- og sikkerhetstesting hvert år og er ellers kontinuerlig oppdatert på trusler definert i for eksempel OWASP topp 10-listen.
Hvordan vedlikeholdes Pureservice i skyen infrastrukturen?
Pureservice DevOps teamet oppdaterer jevnlig infrastrukturen etter behov. Endringer som påvirker kunder i særlig grad annonseres i nyhetsfunksjonen i applikasjonen. Vedlikehold og oppdatering på lavere infrastrukturnivå, f.eks. OS-oppdateringer, retting av feil på infrastrukturkomponenter utføres automatisk og regelmessig av Microsoft.
Hvordan håndteres endringer?
Endringer planlegges og utføres av DevOps-teamet. Teamet tester endringer i egnet miljø før endringer eventuelt overføres til produksjon. Alle endringer som planlegges gjennomgår en risikovurdering i forkant.
Hvordan håndteres en sikkerhetshendelse?
Pureservice har etablert et CSIRT (Computer Security Incident Response Team) som følger opp alle sikkerhetshendelser. Teamet undersøker type hendelse og utfører nødvendige tiltak for å rette disse. Dette omfatter også varsling til kundens hovedkontakt dersom kundedata kan ha blitt påvirket, eller opprettelse av en sak til datatilsynet dersom det er oppdaget mulige brudd på personvernforordningen.
Hvordan håndteres avvik?
Pureservice har flere kilder som kan føre til registrering av avvik. Eksempler på dette er overvåking/alarmer, manuell analyse av hendelseslogger eller kundemeldte avvik via vår servicedesk. Alle avvik registreres og behandles videre av DevOps eller CSIRT.
Hva er rutinene for beredskap?
Beredskap dekkes av en 24/7-vaktplan og CSIRT.
Hvordan varsles kjente sårbarheter?
Varsler som omhandler sårbarheter som er av interesse for alle kunder publiseres i applikasjonen. Dersom en sårbarhet er kundemeldt varsles det først gjennom versjonshistorikk når sårbarheten er rettet.
Hvordan identifiseres sikkerhetshendelser?
Pureservice benytter funksjonalitet i Microsoft Azure Security Center for kontinuerlig sikkerhetsovervåking av Pureservice i skyen.
Hvordan gjennomføres sikkerhetstester?
Pureservice gjennomfører årlig penetrasjons- og sikkerhetstest med en ekstern leverandør. Testene tar utgangspunkt i OWASP topp 10.
Ved behov for mer informasjon, ta kontakt med oss.
