Ivaretakelse av konfidensialitet, integritet og tilgjengelighet

Her finner du ofte stilte spørsmål og tilhørende svar vedrørende ivaretakelse av konfidensialitet, integritet og tilgjengelighet i TILKO.

Azure

Spørsmål Svar
Hvor er dataen lagret? I Norge, i sonen Norway East.
Hvor mange steder er dataen lagret (hvor ligger kopier)? Dataen er ikke replisert over flere soner, men replisert 4 steder innad i sonen.
Hva om Azure går ned? Da får ikke tilgang til å logge inn i Tilko.
Hvis det er skjedd skade, hvordan får man da tilgang til dataen? Det blir tatt kopi av data hver 60 min. Kopien lagres i 30 dager slik at man kan rulle tilbake og hente den.
Tar dere back-up utenfor Azure? Vi lagrer ikke data noe sted utenom Azure.
Hvilken service plan hos Azure har dere? Pricing plan Y!
• Azure functions consumption plan (server less). It scales to 0 when idle and scales out on demand.
• SLA for consumption is 99.95% for triggered executions; there is no zone redundancy in this tier

Denne SLAen er relatert til tilgjengelighet for å behandle kall til våre azure functions. Disse er forventet å svares på/behandles av Azure i løpet av 5 min. Altså dette er ikke en SLA på klassisk oppetid, men “oppetid når det trengs”. Hendelser som kan trigge disse utførelsene er hendelser som starter funksjonen (HTTP-kall, kømelding, Event Grid, timer osv.) |

ElBits ID

Spørsmål Svar
Hvor lenge lenken er gyldig? 15 min.
Hvordan genereres lenken? En “magic link” er bare en engangs påloggingslenke som inneholder en sikker token. Når brukeren klikker på lenken, verifiserer serveren tokenen og logger brukeren inn (oppretter økt/utsteder JWT), uten passord.
Hvis du er innlogget i løsningen, hvor lenge er sesjonen din gyldig? Hver token er gyldig i 1 time, men oppdaterer seg ved å refreshe. Man blir dermed ikke tvunget til å logge inn igjen fordi sesjonen utløper om man kontinuerlig refresher nettleseren.
Lagres det noe data på brukeren i ElBits ID? Nei, all dataen på brukere lagres i Azure. ElBits ID eier ikke noe av brukerdataen. Sesjonen eller token som blir returnert ved innlogging er basert på brukerens id (altså mail) i vår brukerdatabase. Brukerdatabase er hostet på Azure.

Generelt

Spørsmål Svar
Hvordan er sikkerhet generelt ivaretatt i Tilko? Sikkerheten er godt ivaretatt i Tilko, blant annet gjennom at:
• Alle brukere autentiseres via ElbitsID sikker pålogging.
• Alle data lagres i, og all kode kjøres i Microsofts Azure plattform.
• Vi bruker HTTPS for å kryptere all trafikk over internett
• Tilgangen til data er rollebasert, og tildelingen av roller er delegert til autorisert representant hos det enkelte nettselskap.

Konfidensialitet

Spørsmål Svar
Unntak fra offentlighet (Forvaltningsloven): Hvordan
garanterer systemet at bedriftssensitiv informasjon skjermes fra innsynskrav og
uvedkommende tredjeparter? Vi gjør ingen egne vurderinger av innsynsbegjæringer. Dette er det nettselskapet/nettselskapene som behandler tilknytningssaken som gjør. Det er også deres ansvar å vurdere hva slags informasjon som skal unntas offentlighet.
**Kraftsensitiv informasjon
(Kraftberedskapsforskriften):** Er Tilko godkjent for
behandling av skjermingsverdig informasjon/KSU, og hvilke sikkerhetsmekanismer
(kryptering, tilgangsstyring) foreligger for denne datakategorien? Tilko er tatt i bruk av nettselskapene som en tjeneste, og ElBits har databehandleravtaler med nettselskapene som omhandler bl.a. krav til behandling av kraftsensitiv og bedriftssensitiv informasjon. Dette er i stor grad de samme kravene som nettselskapene selv er underlagt, herunder også kravene i kraftberedskapsforskriften.
Segregering av data: Kan dere bekrefte at våre data
er teknisk adskilt slik at øvrige aktører eller nettselskaper uten saklig behov
ikke får innsyn? Sakene er tilgangsstyrt, og det er kun nettselskapene med tjenestlig behov som har innsyn i de konkrete sakene.

Kryptering

Spørsmål Svar
Er dataen kryptert? • Dataene er kryptert under transport ved hjelp av TLS (HTTPS)
• Dataene er kryptert i hvile i databasen (Microsoft Cosmos DB).

Tilgangsstyring

Spørsmål Svar
Hvordan er tilgangsstyring av informasjon ivaretatt i Tilko? Prinsippene for tilgangsstyring på informasjon er at:
• Alle involverte parter kommuniserer rundt en felles sak, og alle involverte nettselskaper ser den samme saksinformasjonen
• Kun en autorisert bruker hos et nettselskap kan skape data på vegne av dette selskapet. Alle autoriserte brukere kan se alle saker som selskapet er involvert i
• Kun en autorisert bruker hos tilknyttende nettselskap kan dele data med kunden, og kunden ser bare det som deles med den.
• Alle data som skapes, endres og deles skaper permanente digitale spor (events/records) i Tilko. Det vil aldri kunne oppstå tvil om autentisitet på dokumentasjonen.
• Alle nettselskap kan når som helst hente ut informasjon om sakene de er en del av ut av Tilko

Mer informasjon finner du i Vedlegg 1.  | | Hvordan er brukeradministrasjon ivaretatt (opprettelse, endring og sletting av brukere)? | Brukeradministrasjon er sentralisert og kan distribueres ut på nettselskapsnivå, der superbrukere ivaretar opprettelse, endring og sletting av brukere. Se Administrere brukere.    Detaljert dokumentasjon av hvordan brukere er håndter finner du her: https://elbits.atlassian.net/wiki/spaces/ID/pages/23592961/Brukerklienter+og+innloggingsmetoder+for+sluttbrukere  |

Tilgjengelighet

Spørsmål Svar
Hvordan driftes og forvaltes Tilko? Tilko utvikles, forvaltes og driftes av ElBits AS. Alle data lagres i, og all kode kjøres i, Microsofts Azure plattform.
Er det etablert databehandleravtale og hva inneholder den? Ja, det er etablert et konsept for databehandling, der det skal inngås databehandleravtale mellom ElBits som leverandør av Tilko og mellom de behandlende nettselskap. ElBits er dataforvalter og lagrer informasjon i sin sikre sky. Nettselskap er databehandler og er de som mottar og bruker personopplysninger i sin prosessering av tilknytningssaker.

Det håndteres kraftsensitive og markedssensitive opplysninger i Tilko. Forbehold for dette gjøres i databehandleravtalen og den vil ta høyde for at signerende parter etterlever taushet rundt disse opplysningene.    Databehandleravtalen inngås elektronisk mellom ElBits og nettselskap i eget verktøy.   | | Hvordan sikres tjenesten mot nedetid? | ElBits har etablert forvaltning og drift av tjenesten.  Ved større feil eller hendelser iverksettes adekvate tiltak. | | Hvordan håndteres back-up av data i TILKO? | Det er etablert løsning for back-up i Microsofts Azure plattform. | | Logger dere alle hendelser? | Vi logger on writes, men logger ikke on read.  • Event log representerer endringer på datagrunnlaget  • Audit logging fra azure for endringer  |

Innhold