Hopp til hovedinnhold

Sertifikatbehandling, logging og sporing

Det er i den operative daglige forvaltningen av tjenester at sikkerheten blir ivaretatt. Det hjelper ikke å ha skrevet en lang risikovurdering og funnet en detaljert teoretisk og tilsynelatende «bulletproof» sikkerhetsarkitektur, dersom rutiner er for tungvinte og ikke blir etterlevd i praksis. Et gjennomtenkt regime for sporing hjelper deg når misbruk eller angrep skjer.

    Lokal tilgangsstyring

    Datakonsument bør:

    • Peke ut ansvarlige som sørger for oversikt over brukere og vedlikeholder brukeres tilhørighet i virksomheten til enhver tid
      • Etabler god tilgangsstyring til egne systemer som konsumerer API fra andre. Husk på sporing og juridisk logg hos deg selv.
      • Der «konsumenten» er store plattformer som opererer på vegne av mange må plattformen sørge for å videreformidle validerbare attributter fra sluttbruker-autentiseringen i API-kall.
      • Ha spesielt fokus på gode rutiner rundt de medarbeidere som får lov til opptre som administrator i fellesløsninger.

    Trygg nøkkel-behandling

    Datakonsument bør:

    • Ikke gjenbruke samme virksomhetssertifikat til mange systemer.
    • Unngå å gi ditt virksomhetssertifikat til dine underleverandører.
      • Velger du å gi ditt virksomhetssertifikat til underleverandør må du sørge for en god avtale. Bruk et dedikert sertifikat for kun denne underleverandøren
    • Etabler rutiner for hvem som har tilgang til virksomhetssertifikatet.
    • Hvis mulig, opprett og oppbevar virksomhetssertifikatet i en sikker hardwaremodul (HSM).
    • Ikke send virksomhetssertifikatet (dvs. p12-fila som også har privatnøkkelen) på e-post.

    Lag gode selvbetjeningsløsninger

    Forvalter av fellesløsning bør:

    • Ha tydelig tilgangskontroll og sporing i selvbetjeningsløsninger
      • Med vide fullmakter til å opptre på vegne av virksomheten blir selvbetjening i praksis ofte det øverste nivået i tillitskjeden.
      • Krev nivå-høyt pålogging, og eksplisitt utpeking av administratorer, feks. gjennom dedikerte roller i Altinn Autorisasjon.
      • Ikke la selvbetjeningstilgang være evigvarende.
      • Sørg for å ta vare på sporingsinformasjon om hvem som oppretter systemer og gir tilgang til tredjeparter. Slik informasjon må oppbevares i «lang tid».
    • Være tydelig på hvordan knytningen oppstår mellom et system og en virksomhet
      • Beskriv tillitskjeden, og etabler kodeverk dersom din løsning tilbyr ulike «tillitsnivåer» av knytning, slik at brukerne vet hvordan knytningen til en identitet har oppstått.
    • Etablere mulighet for at integrasjoner/tilganger kan delegeres
      • Dette hindrer at for eksempel systemleverandører må få kundens virksomhetssertifikat.
      • Bruk for eksempel «eOppslag-mønsteret» med bruk av delegering i autoritativt register.

    Sørg for sporbarhet og ikke-benekting

    Forvalter av fellesløsning, konsumenter, tilbydere bør:

    • Benytte mekanismer som logging, sporing osv.
      • Ulike bevis kan underbygge sporbarhet. Det er summen av spor som underbygger om en datadeling har skjedd og hvilke data som er delt.
      • Full ikke-benekting er ikke mulig å oppnå i praksis. I en tvist vil det alltid være en skjønnsvurdering om hva som har skjedd og hvem som involvert.
      • Lag en loggepolicy for tjenesten. Vær klar over at «for god» sporbarhet kan misbrukes av utro tjenere. (Eksempel: trunkér signatur på tokens og maskér hemmeligheter i logger slik at ikke personale med tilgang kan kopiere disse ut av logg og misbruke dem via egne API-kall).
    • Kreve at konsumentene bruker virksomhetssertifikat når
      • Det er behov for langtidspreservering av signert dokument/request (type bevis som fremlegges i retten)
      • Det er viktig å bevise knytningen til den som er juridisk ansvarlig