Sikkerhetspolicy

Datasentre oppfyller høye krav til etterlevelse, og organisatoriske protokoller sikrer avhending av eiendeler og ansattetterlevelse. Regelmessige vurderinger og beredskapsplaner beskytter data ytterligere.

Datasikkerhet er av største betydning for oss. Vi kombinerer flere sikkerhetsfunksjoner for å sikre at kunde-, ansatt- og forretningsdata alltid er beskyttet, slik at våre kunder kan være trygge på at dataene deres er sikre, kommunikasjonen er beskyttet og virksomheten deres er ivaretatt.

Infrastruktursikkerhet

Infrastruktursikkerhet innebærer å beskytte den underliggende maskinvaren, programvaren og nettverkskomponentene som støtter en organisasjons IT-drift. Dette omfatter alt fra datasentre og servere til nettverkstilkoblinger og endepunktsenheter. Effektiv infrastruktursikkerhet har som mål å forhindre uautorisert tilgang, misbruk og forstyrrelser, og sikre integritet, konfidensialitet og tilgjengelighet for IT-systemene.

Nøkkelkomponenter i infrastruktursikkerhet

Tilgang til krypteringsnøkler er begrenset
Policy: Tilgang til krypteringsnøkler er begrenset til autoriserte brukere med forretningsbehov.
Implementering: Dette sikrer at kun personer med riktig klarering kan dekryptere sensitiv informasjon, noe som minimerer risikoen for datainnbrudd.
Unik brukerkontoverifisering håndheves
Policy: Systemer og applikasjoner krever unike brukernavn og passord eller autoriserte Secure Socket Shell (SSH)-nøkler.
Implementering: Dette reduserer risikoen for uautorisert tilgang ved å sikre at hver bruker har en egen identitet for autentisering.
Tilgang til produksjonsapplikasjoner er begrenset
Policy: Tilgang til produksjonsapplikasjoner er kun tillatt for autorisert personell.
Implementering: Dette tiltaket forhindrer uautoriserte brukere fra å endre kritiske applikasjoner som driver virksomheten.
Prosedyrer for tilgangskontroll etablert
Policy: Dokumenterte krav for å legge til, endre og fjerne brukertilgang.
Implementering: Klare prosedyrer sikrer at tilgangsrettigheter håndteres systematisk og sikkert.
Tilgang til produksjonsdatabasen er begrenset
Policy: Privilegert tilgang til databaser er begrenset til autoriserte brukere med forretningsbehov.
Implementering: Dette beskytter sensitiv data lagret i databaser fra uautorisert tilgang eller endringer.
Brannmurtilgang er begrenset
Policy: Privilegert tilgang til brannmuren er begrenset til autoriserte brukere med forretningsbehov.
Implementering: Brannmurer er avgjørende for nettverkssikkerhet, og begrenset tilgang sikrer at konfigurasjonen ikke kan kompromitteres.
Tilgang til produksjons-OS er begrenset
Policy: Privilegert tilgang til operativsystemet er begrenset til autoriserte brukere med forretningsbehov.
Implementering: Dette sikrer OS-laget mot uautoriserte endringer som kan påvirke systemets stabilitet og sikkerhet.
Tilgang til produksjonsnettverket er begrenset
Policy: Privilegert tilgang til produksjonsnettverket er begrenset til autoriserte brukere med forretningsbehov.
Implementering: Sikrer at kun autorisert personell kan få tilgang til nettverket, og reduserer risikoen for interne trusler.
Tilgang fjernes ved oppsigelse
Policy: Tilgang fjernes for ansatte som slutter, i henhold til serviceavtalene (SLA).
Implementering: Dette forhindrer tidligere ansatte i å få tilgang til selskapets systemer etter fratredelse.
Unik nettverkssystemautentisering håndheves
Policy: Krever unike brukernavn og passord eller autoriserte SSH-nøkler for nettverkstilgang.
Implementering: Øker sikkerheten ved å sikre at nettverkstilgang kan spores til individuelle brukere.
Kryptert ekstern tilgang håndheves
Policy: Ekstern tilgang til produksjonssystemer er kun tillatt via godkjente krypterte forbindelser.
Implementering: Beskytter data som overføres via eksterne tilkoblinger mot avlytting.
Innbruddsdeteksjonssystem benyttes
Policy: Kontinuerlig overvåkning av nettverket for tidlig oppdagelse av sikkerhetsbrudd.
Implementering: Et IDS gir sanntidsvarsler, slik at man raskt kan reagere på potensielle trusler.
Overvåkning av infrastrukturens ytelse
Policy: Bruk av overvåkningsverktøy for å følge med på systemytelse og generere varsler ved terskelverdier.
Implementering: Sikrer at infrastrukturen forblir robust og at eventuelle problemer håndteres raskt.
Nettverkssegmentering implementert
Policy: Segmentering av nettverket for å hindre uautorisert tilgang til kundedata.
Implementering: Begrenset spredning av brudd ved å isolere ulike deler av nettverket.
Gjennomgang av nettverksbrannmurer
Policy: Årlig gjennomgang av brannmurregler med sporing av endringer.
Implementering: Holder brannmurkonfigurasjoner oppdaterte og i tråd med gjeldende sikkerhetsstandarder.
Bruk av nettverksbrannmurer
Policy: Brannmurer konfigureres for å hindre uautorisert tilgang.
Implementering: Fungerer som første forsvarslinje mot eksterne trusler.
Standarder for hardening av nettverk og systemer opprettholdes
Policy: Dokumenterte standarder basert på bransjens beste praksis, gjennomgås årlig.
Implementering: Sikrer at systemene er konfigurert sikkert for å motstå angrep.

Datasentersikkerhet

Vi sikrer konfidensialitet og integritet for dine data med bransjens beste praksis. FlowHunt-servere er plassert i fasiliteter som er Tier IV eller III+, PCI DSS, SSAE-16 eller ISO 27001-sertifiserte. Vårt sikkerhetsteam distribuerer kontinuerlig sikkerhetsoppdateringer og reagerer aktivt på sikkerhetsvarsler og hendelser.

Fysisk sikkerhet

Fasiliteter	Beskrivelse
Servermiljø	FlowHunt-servere er plassert i fasiliteter som er Tier III+ eller IV eller PCI DSS, SSAE-16 eller ISO 27001-sertifiserte. Datasenterfasilitetene har redundant strømforsyning, hver med UPS og reservegeneratorer.
Sikkerhet på stedet	Våre datasenterfasiliteter har sikret perimeter med flernivå sikkerhetssoner, døgnbemannet sikkerhet, CCTV-videoovervåkning, flerfaktoridentifikasjon med biometrisk adgangskontroll, fysiske låser og alarmer ved sikkerhetsbrudd.
Overvåking	Alle systemer i produksjonsnettverket, tilkoblede enheter og kretser overvåkes kontinuerlig og administreres logisk av FlowHunt-administratorer. Fysisk sikkerhet, strøm og internettforbindelse utenfor samlokaliseringsbur eller Amazon/Linode-tjenester overvåkes av fasilitetsleverandørene.
Plassering	Offentlig FlowHunt-tjeneste lagrer data hovedsakelig i EU (Frankfurt datasentre). Private skyer kan bygges etter dine preferanser eller geografisk plassering i USA, Europa og Asia. Kunder kan velge å plassere sine servicedata kun i USA eller kun i Europa.

Nettverkssikkerhet

Vårt nettverk er beskyttet av redundante brannmurer, bransjeledende ruterteknologi, sikker HTTPS-transport over offentlige nettverk og nettverksbaserte innbruddsdeteksjons- og/eller forebyggingsteknologier (IDS/IPS) som overvåker og/eller blokkerer ondsinnet trafikk og nettverksangrep.

Ytterligere tiltak

DDoS-beskyttelse: Bransjeledende infrastruktur er på plass for å beskytte mot og redusere virkningen av tjenestenektangrep.
Kommunikasjonskryptering: Kommunikasjon mellom deg og FlowHunt-servere er kryptert via bransjens beste praksis for HTTPS og Transport Layer Security (TLS) over offentlige nettverk.

Organisatorisk sikkerhet

Prosedyrer for avhending av eiendeler

Vurdering av inventar: Identifiser og katalogiser alle enheter som skal avhendes.
Sikkerhetskopiering av data: Sikkerhetskopier nødvendige data før avhending.
Sletting av data: Bruk sertifiserte verktøy for å slette all data fra enheter etter bransjestandarder.
Fysisk destruksjon: For enheter som ikke kan slettes, brukes fysiske destruksjonsmetoder som makulering eller avmagnetisering (degaussing).
Miljømessig etterlevelse: Alle avhendingsmetoder følger miljøforskrifter.

Sertifisering og etterlevelse

Dokumentasjon: Oppretthold detaljerte opptegnelser over alle avhendede eiendeler, inkludert serienummer, avhendingsmetoder og datoer.
Tredjepartsverifisering: Benytt sertifiserte tredjepartsleverandører for å verifisere og dokumentere avhendingsprosessen.

Etterlevelse blant ansatte og innleide

Bakgrunnssjekk: Nye ansatte gjennomgår grundige bakgrunnssjekker før ansettelse.
Etiske retningslinjer: Både ansatte og innleide må bekrefte og overholde selskapets etiske retningslinjer, med disiplinærtiltak ved brudd.
Taushetserklæringer: Taushetserklæringer kreves for alle ansatte ved ansettelse og for innleide ved oppdragets start.

Besøks- og sikkerhetsprotokoller

Besøksprosedyrer: Besøkende må registrere seg, bære besøksbrikke og ledsages av autorisert ansatt ved tilgang til sikre områder.
Sikkerhetsopplæring: Ansatte gjennomfører sikkerhetsopplæring innen tretti dager etter ansettelse og deretter årlig for å holde seg oppdatert på beste praksis og nye trusler.

Produktsikkerhet

Datakryptering

Alle FlowHunt-databaser og sikkerhetskopier med sensitiv kundedata er kryptert. Kryptering av faktura- og betalingsdata håndteres av våre betalingsleverandører (Stripe).

Kolonnenivå-kryptering: Krypterer spesifikke kolonner i en database og gir en mer målrettet tilnærming til databeskyttelse. Denne metoden er nyttig for å sikre sensitive felt som API-nøkler.
Krypteringsprotokoller: Secure Sockets Layer (SSL) og Transport Layer Security (TLS) brukes for å kryptere dataoverføringer over nettverk.

Penetrasjonstesting

FlowHunt gjennomfører regelmessig penetrasjonstesting og oppmuntrer eksterne sikkerhetsforskere gjennom et bug bounty-program til å identifisere sårbarheter.

Oppdatert: 30.05.2025