Andreas Andresen

Säkerhet och cybersäkerhet

Security by design – inte påbyggd i efterhand

Hos netPension® är säkerheten en del av arkitekturen. På den här sidan finns svaren på de frågor som en pensionsinrättning måste reda ut före beslutet – i den ordning de ställs.

Begär säkerhetskoncept Till de åtta frågorna

Tre principer

Vad det innebär i drift.

01

Data stannar på servern

Bearbetning och lagring sker uteslutande på servern. Arbetsplatsen visar bara gränssnittet – inga data blir kvar på dina medarbetares datorer, inte heller vid hemarbete. Det finns ingen klientprogramvara och ingen lokal databas.

02

Krypterat och i Tyskland

Dina data är på lämpligt sätt krypterade under överföring och i vila. I molndrift lagras de uteslutande i ett datacenter i Tyskland. Ingen överföring till tredjeländer.

03

AI utan personuppgifter

Artificiell intelligens stöder utveckling och anpassning – uteslutande i interna processer och utan personuppgifter på externa servrar. Ditt datalager är inget träningsmaterial, och i det löpande verksamhetsförfarandet fattar ingen AI några beslut.

Cybersäkerhet

Åtta frågor som kommer före varje beslut.

Dessa punkter reder vi ut med varje pensionsinrättning och varje pensionskassa – i molndrift lika väl som vid drift i den egna verksamheten. Det som står här är kortversionen; den belagda långversionen är säkerhetskonceptet.

1. Var bearbetas våra data?

I molndrift uteslutande i ett datacenter i Tyskland, utan överföring till tredjeländer. Vid drift i den egna verksamheten i ditt datacenter – där lämnar data inte din infrastruktur.

2. Vem kan komma åt data?

Dina behöriga medarbetare via applikationens roll- och behörighetskoncept. Därtill vår utveckling inom ramen för personuppgifts­biträdet, i den mån det krävs för drift och support. Datacenteroperatören tillhandahåller infrastrukturen och behandlar inget innehåll.

3. Loggas åtkomster?

Ja. Åtkomster och ändringar loggas; historiken dokumenterar vilket läge som gällde när och vem som satte det. För känsliga ärenden kan dessutom en fyraögonprincip införas.

4. Görs det penetrationstester?

Ja. Omfattning, intervall och testorgan stämmer vi av med dig inom ramen för säkerhetskonceptet och lägger fram resultaten för ditt upphandlingsförfarande.

5. Hur är roll- och behörighetskonceptet uppbyggt?

I flera nivåer. Handläggning, bokföring och ledning arbetar i samma system utan att alla ser allt. Behörigheter tilldelas per roll, inte per person – det håller arbetet litet vid personalbyten och tilldelningen spårbar.

6. Finns det multifaktorautentisering?

Ja, särskilt för privilegierade konton. Administrativa konton är den väg genom vilken en angripare kan orsaka störst skada; det är just där den andra faktorn är viktigast.

7. Hur krypteras data?

Data krypteras på lämpligt sätt vid överföring och lagring. Vilka metoder som används anger vi i säkerhetskonceptet och inte på en offentlig sida – där vore de bara en ledtråd för den som inte ska känna till dem.

8. Vilka certifieringar har datacentret?

Operatören av det datacenter där netPension® körs i molndrift är certifierad enligt ISO/IEC 27001, har en BSI-C5-attest på nivå 2 och behandlar data enligt dataskyddsförordningen (GDPR). Certifikaten avser datacentret, inte programvaran – vi lägger fram dem tillsammans med underlagen.

I netPension®

Vem som får se och ändra vad bestämmer du.

Roll- och behörighetskonceptet skiljer uppgifterna åt i samma system. Loggning, historik, journaler och bevakningar dokumenterar vad som skedde, när och av vem – grunden för revision och tillsyn.

  • Roll- och behörighetskoncept i flera nivåer

  • Loggning av åtkomster och ändringar

  • Fyraögonprincip för känsliga ärenden

  • Multifaktorautentisering, särskilt för privilegierade konton

  • Historik, journaler och bevakningar

  • Ingen installation och ingen datalagring på arbetsplatsen

Regelverk

DORA som riktmärke.

Vi utgår från kraven i den europeiska DORA-förordningen om IT-risk­hantering, incident­rapportering och motståndskraft. Dataskyddet följer dataskyddsförordningen (GDPR); för kunder i molndrift är personuppgifts­biträdet avtalsreglerat.

I verksamhetsförfarandena

Säkerheten slutar inte vid datacentret.

Själva rapporteringsvägarna är krypterade och granskade: utbetalar­rapporterings­förfarandet använder det föreskrivna säkerhets­förfarandet inom den tyska hälso- och sjukvården och är certifierat av ITSG; rapportfiler hämtas och överförs via en säker förbindelse.

Till rapporterings­förfarandena

Datasuveränitet

Det som inte ska till molnet behöver inte heller hamna där.

Även i SaaS-drift behöver inte alla data bearbetas centralt. Där det krävs eller önskas kan en edge-komponent läggas till i kundens verksamhet, som tar över enskilda steg på plats – kontrollera, filtrera, kryptera, bearbeta lokalt. Till den centrala applikationen går då bara det som behövs där. Det är ingen tredje driftmodell, utan ett tillägg inom SaaS-lösningen.

SaaS och edge i detalj

Vanliga frågor

Två punkter som ofta blandas ihop.

Är netPension® själv certifierat enligt ISO 27001?

Certifierat är det datacenter där netPension® körs i molndrift, inte programvaran. Vi styrker det med operatörens certifikat. En certifiering av programvaran vore ett annat påstående och görs inte av oss.

netPension® ZMV är certifierat av ITSG; certifieringen förnyas årligen.

Gäller allt detta även vid drift i den egna verksamheten?

Arkitekturen gäller oförändrad: ingen datalagring på arbetsplatsen, krypterad överföring, samma roll- och behörighetskoncept, samma loggning. För datacenter, säkerhetskopiering och tillgänglighet ansvarar då du respektive din IT-leverantör; uppgifterna för ditt säkerhetskoncept levererar vi. Till on-premise

Vill du se hur det skulle se ut hos dig?

Vi visar netPension® utifrån dina frågor – inga bildspel, utan den körande programvaran. Ring oss eller boka en demo.

Boka en demo 040 822 15 32 63