Sertifikatbehandling, logging og sporing
Det er i den operative daglige forvaltningen av tjenester at sikkerheten blir ivaretatt. Det hjelper ikke å ha skrevet en lang risikovurdering og funnet en detaljert teoretisk og tilsynelatende «bulletproof» sikkerhetsarkitektur, dersom rutiner er for tungvinte og ikke blir etterlevd i praksis. Et gjennomtenkt regime for sporing hjelper deg når misbruk eller angrep skjer.
Lokal tilgangsstyring
Datakonsument bør:
- Peke ut ansvarlige som sørger for oversikt over brukere og vedlikeholder brukeres tilhørighet i virksomheten til enhver tid
- Etabler god tilgangsstyring til egne systemer som konsumerer API fra andre. Husk på sporing og juridisk logg hos deg selv.
- Der «konsumenten» er store plattformer som opererer på vegne av mange må plattformen sørge for å videreformidle validerbare attributter fra sluttbruker-autentiseringen i API-kall.
- Ha spesielt fokus på gode rutiner rundt de medarbeidere som får lov til opptre som administrator i fellesløsninger.
Trygg nøkkel-behandling
Datakonsument bør:
- Ikke gjenbruke samme virksomhetssertifikat til mange systemer.
- Unngå å gi ditt virksomhetssertifikat til dine underleverandører.
- Velger du å gi ditt virksomhetssertifikat til underleverandør må du sørge for en god avtale. Bruk et dedikert sertifikat for kun denne underleverandøren
- Etabler rutiner for hvem som har tilgang til virksomhetssertifikatet.
- Hvis mulig, opprett og oppbevar virksomhetssertifikatet i en sikker hardwaremodul (HSM).
- Ikke send virksomhetssertifikatet (dvs. p12-fila som også har privatnøkkelen) på e-post.
Lag gode selvbetjeningsløsninger
Forvalter av fellesløsning bør:
- Ha tydelig tilgangskontroll og sporing i selvbetjeningsløsninger
- Med vide fullmakter til å opptre på vegne av virksomheten blir selvbetjening i praksis ofte det øverste nivået i tillitskjeden.
- Krev nivå-høyt pålogging, og eksplisitt utpeking av administratorer, feks. gjennom dedikerte roller i Altinn Autorisasjon.
- Ikke la selvbetjeningstilgang være evigvarende.
- Sørg for å ta vare på sporingsinformasjon om hvem som oppretter systemer og gir tilgang til tredjeparter. Slik informasjon må oppbevares i «lang tid».
- Være tydelig på hvordan knytningen oppstår mellom et system og en virksomhet
- Beskriv tillitskjeden, og etabler kodeverk dersom din løsning tilbyr ulike «tillitsnivåer» av knytning, slik at brukerne vet hvordan knytningen til en identitet har oppstått.
- Etablere mulighet for at integrasjoner/tilganger kan delegeres
- Dette hindrer at for eksempel systemleverandører må få kundens virksomhetssertifikat.
- Bruk for eksempel «eOppslag-mønsteret» med bruk av delegering i autoritativt register.
Sørg for sporbarhet og ikke-benekting
Forvalter av fellesløsning, konsumenter, tilbydere bør:
- Benytte mekanismer som logging, sporing osv.
- Ulike bevis kan underbygge sporbarhet. Det er summen av spor som underbygger om en datadeling har skjedd og hvilke data som er delt.
- Full ikke-benekting er ikke mulig å oppnå i praksis. I en tvist vil det alltid være en skjønnsvurdering om hva som har skjedd og hvem som involvert.
- Lag en loggepolicy for tjenesten. Vær klar over at «for god» sporbarhet kan misbrukes av utro tjenere. (Eksempel: trunkér signatur på tokens og maskér hemmeligheter i logger slik at ikke personale med tilgang kan kopiere disse ut av logg og misbruke dem via egne API-kall).
- Kreve at konsumentene bruker virksomhetssertifikat når
- Det er behov for langtidspreservering av signert dokument/request (type bevis som fremlegges i retten)
- Det er viktig å bevise knytningen til den som er juridisk ansvarlig