Sertifikatbehandling, logging og sporing

Det er i den operative daglige forvaltningen av tjenester at sikkerheten blir ivaretatt. Det hjelper ikke å ha skrevet en lang risikovurdering og funnet en detaljert teoretisk og tilsynelatende «bulletproof» sikkerhetsarkitektur, dersom rutiner er for tungvinte og ikke blir etterlevd i praksis. Et gjennomtenkt regime for sporing hjelper deg når misbruk eller angrep skjer.

Innhold

    Lokal tilgangsstyring

    Datakonsument bør:

    Peke ut ansvarlige som sørger for oversikt over brukere og vedlikeholder brukeres tilhørighet i virksomheten til enhver tid

    • Etabler god tilgangsstyring til egne systemer som konsumerer API fra andre. Husk på sporing og juridisk logg hos deg selv.
    • Der «konsumenten» er store plattformer som opererer på vegne av mange må plattformen sørge for å videreformidle validerbare attributter fra sluttbruker-autentiseringen i API-kall.
    • Ha spesielt fokus på gode rutiner rundt de medarbeidere som får lov til opptre som administrator i fellesløsninger.

    Trygg nøkkel-behandling

    Datakonsument bør:

    Ikke gjenbruke samme virksomhetssertifikat til mange systemer.

    Unngå å gi ditt virksomhetssertifikat til dine underleverandører.

    • Velger du å gi ditt virksomhetssertifikat til underleverandør må du sørge for en god avtale. Bruk et dedikert sertifikat for kun denne underleverandøren

    Etabler rutiner for hvem som har tilgang til virksomhetssertifikatet.

    Hvis mulig, opprett og oppbevar virksomhetssertifikatet i en sikker hardwaremodul (HSM).

    Ikke send virksomhetssertifikatet (dvs. p12-fila som også har privatnøkkelen) på e-post.

    Lag gode selvbetjeningsløsninger

    Forvalter av fellesløsning bør:

    Ha tydelig tilgangskontroll og sporing i selvbetjeningsløsninger

    • Med vide fullmakter til å opptre på vegne av virksomheten blir selvbetjening i praksis ofte det øverste nivået i tillitskjeden.
    • Krev nivå-høyt pålogging, og eksplisitt utpeking av administratorer, feks. gjennom dedikerte roller i Altinn Autorisasjon.
    • Ikke la selvbetjeningstilgang være evigvarende.
    • Sørg for å ta vare på sporingsinformasjon om hvem som oppretter systemer og gir tilgang til 3djeparter. Slik informasjon må oppbevares i «lang tid».

    Være tydelig på hvordan knytningen oppstår mellom et system og en virksomhet

    • Beskriv tillitskjeden, og etabler kodeverk dersom din løsning tilbyr ulike «tillitsnivåer» av knytning, slik at brukerne vet hvordan knytningen til en identitet har oppstått.

    Etablere mulighet for at integrasjoner/tilganger kan delegeres

    • Dette hindrer at for eksempel systemleverandører må få kundens virksomhetssertifikat.
    • Bruk for eksempel «eOppslag-mønsteret» med bruk av delegering i autorativt register.

    Sørg for sporbarhet og ikke-benekting

    Forvalter av fellesløsning bør:

    Benytte mekanismer som logging, sporing osv.

    • Ulike bevis kan underbygge sporbarhet. Det er summen av spor som underbygger om en datadeling har skjedd og hvilke data som er delt.
    • Full ikke-benekting er ikke mulig å oppnå i praksis. I en tvist vil det alltid være en skjønnsvurdering om hva som har skjedd og hvem som involvert.

    Kreve at konsumentene bruker virksomhetssertifikat når

    • Det er behov for langtidspreservering av signert dokument/request (type bevis som fremlegges i retten)
    • Det er viktig å bevise knytningen til den som er juridisk ansvarlig