Sikkerhetserklæring

1. Tekniske Sikkerhetstiltak

1.1 Kryptering og Datatransmisjon

1.2 Datalagrings og -behandlingssikkerhet

• In-Memory behandling: Fullstendige finansielle transaksjonsdata lagres kun i serverminne
• Automatisk sletting: Sesjonsdata slettes umiddelbart etter sesjonslutt
• Forhandlerdatalagring: Anonymiserte forhandlerbeskrivelser lagres permanent for tjenestforbedring
• Kryptert database: Alle persistente data krypteres med AES-256
• Salted hashing: Kritiske data hashet med unike salts
• Zero-knowledge arkitektur: Vi kan ikke se dine finansielle data

1.3 Nettverks og Infrastruktursikkerhet

• Web Application Firewall (WAF): Filtrerer ondsinnede forespørsler
• DDoS-beskyttelse: Beskytter mot volumangrep
• Intrusion Detection System (IDS): Overvåket for mistenkelig aktivitet
• Rate limiting: Forhindrer automatiserte angrep
• IP-basert geografisk blokkering: Begrenset tilgang fra høyrisikoområder

2. Applikasjonssikkerhet

2.1 OWASP Top 10 Beskyttelse

2.2 Input-validering og Sanitering

• Streng filopplastingsvalidering: Kun godkjente CSV/Excel-formater
• Filstørrelsebegrensninger: Maksimum 10MB opplastinger
• Malware-skanning: Alle opplastede filer skannes for trusler
• Content-Type validering: Verifiserer faktisk filtype mot påstått type
• Input-rensing: Fjerner potensielt farlig innhold fra data

2.3 Session og Tilgangssikkerhet

• Sikre session-cookies: HttpOnly, Secure, SameSite attributter
• Session-rotasjon: Nye session-ID-er ved kritiske handlinger
• Tidsavbrudd: Automatisk utlogging etter inaktivitet
• Concurrent session control: Begrensning av samtidige økter
• Brute force beskyttelse: Rate limiting på autentiseringsforespørsler

3. Organisatoriske Sikkerhetstiltak

3.1 Tilgangskontroll og Personalsikkerhet

3.2 Sikkerhetstrening og Bevisstgjøring

• Aarlig sikkerhetstrening: Alle ansatte gjennomgår sikkerhetskurs
• Phishing-simulering: Regelmessige tester av ansattes beredsskap
• Incident response trening: Øvelser for håndtering av sikkerhetsbrudd
• Social engineering bevissthet: Trening i å gjenkjenne manipulasjonsforespørsler
• Sikkerhetspolicies: Detaljerte retningslinjer og prosedyrer

3.3 Leverandør og Tredjeparts Sikkerhet

• Leverandørvurderinger: Sikkerhetsevaluering av alle tredjepartsleverandører
• Kontraktsikkerhetskrav: Bindende sikkerhetstandarder i avtaler
• Databehandleravtaler: GDPR-kompatible avtaler med alle prosessorer
• Regelmessige revisjoner: Aarlige sikkerhetskontroller av kritiske leverandører
• Sikkerhetsincidentrapportering: Obligatorisk rapportering fra alle partnere

4. Overvåkning og Hendelsesrespons

4.1 Sikkerhetsovervåkning

4.2 Enkel Hendelseshåndtering

• Deteksjon: Overvåkning av systemvarsler og brukerrapporter
• Respons: Rask håndtering av identifiserte problemer
• Undersøkelse: Enkel analyse for å forstå hendelsens omfang
• Varsling: Informasjon til berørte brukere ved behov
• Gjenoppretting: Rask gjenoppretting av tjenesten

4.3 Loggføring

• Grunnleggende logging: Logging av viktige systemhendelser
• Feillogging: Systematisk logging av feil og unntak
• Sikkerhetslogger: Logging av sikkerhetshendelser
• Regelmessig gjennomgang: Periodisk gjennomgang av logger
• Oppbevaring: Oppbevaring i henhold til GDPR-krav

5. Fysisk og Miljøsikkerhet

5.1 Hostingmiljø

• Profesjonell hosting: Bruk av anerkjente hosting-leverandører
• Sikre datasentre: Hosting-leverandørers sikkerhetsstandarder
• Tilgangskontroll: Begrenset tilgang til serverinfrastruktur
• Miljøsikkerhet: Hosting-leverandørens miljøkontroller
• Oppetid: Avhengighet av hosting-leverandørens SLA

5.2 Datasikkerhet

• Kryptert kommunikasjon: HTTPS for all datatransmisjon
• Sikker sletting: Riktig sletting av midlertidige data
• Backup-sikkerhet: Sikre backup-rutiner
• Systemoppdateringer: Regelmessige sikkerhetsopdateringer
• Secure disposal: Sertifisert destruksjon av utrangerte enheter

6. Ditt Ansvar Som Bruker

6.1 Enhets og Nettverkssikkerhet

• Oppdatert programvare: Hold operativsystem og nettleser oppdatert
• Antivirus-beskyttelse: Bruk oppdatert antivirus på enheten din
• Sikre nettverk: Unngå offentlig Wi-Fi for finansielle data
• Enhetslåsing: Bruk sterke passord eller biometrisk låsing
• Fysisk sikkerhet: Ikke la enheten være uovervåket mens tjenesten er aktiv

6.2 Datahåndtering og Personvern

• Datasensitivitet: Behandle finansielle data som høyst konfidensielle
• Ingen skjermbilder: Ikke ta skjermbilder av sensitive data
• Privat bruk: Ikke bruk tjenesten på delte eller offentlige enheter
• Rask utlogging: Lukk nettleser umiddelbart etter bruk
• Deling av data: Del aldri behandlede data med uvedkommende

6.3 Trusselgjenkjenning og Rapportering

• Phishing-bevissthet: Vær skeptisk til mistenkelige e-poster eller lenker
• URL-verifisering: Kontroller alltid at du er på riktig domene
• Sosial manipulering: Vi vil aldri spørre om sensitive data utenfor vårt sikre kontaktskjema
• Umiddelbar rapportering: Rapporter mistenkelig aktivitet umiddelbart
• Incident documentation: Beskriv sikkerhetsincidenter detaljert

7. Sikkerhetsincidenter og Bruddshåndtering

7.1 Brudd Klassifisering

7.2 Brukervarslingsprotokoll

• Umiddelbart varsel: Varsel gjennom tilgjengelige kanaler ved kritiske hendelser som påvirker din data
• Detaljert oppfølging: Utfyllende rapport innen 72 timer
• Gjenoppretting: Trinn-for-trinn instruksjoner for å sikre din konto
• Forebyggende tiltak: Anbefalinger for å forhindre fremtidige incidenter
• Support-tilgjengelighet: Dedikert støtte under sikkerhetsincidenter

8. Kontinuerlig Forbedring og Overholdelse

8.1 Sikkerhetsrevisjon og Testing

• Sikkerhetstesting: Periodisk testing av systemsikkerhet
• Kodegjennomgang: Regelmessig gjennomgang av sikkerhetskritisk kode
• Sikkerhetsoppdateringer: Rask implementering av sikkerhetsopdateringer
• Enkel testing: Grunnleggende sikkerhetstesting
• Brukerrapporter: Mottaking og håndtering av sikkerhetsrapporter

8.2 Overholdelse

• GDPR-overholdelse: Følger EU's personvernreglement
• Norsk personvernrett: Overholder norske personvernkrav
• Beste praksis: Følger anerkjente sikkerhetsprinsipper
• Kontinuerlig forbedring: Arbeider konstant med å forbedre sikkerheten

9. Rapportering av Sikkerhetsbrudd

9.1 Rapporteringskanaler

Umiddelbar rapportering av mistenkelig aktivitet:

• Kontaktskjema: Bruk vårt offisielle kontaktskjema på nettsiden
• Emne: "Sikkerhetsincident" eller "Security Incident"
• Incident-skjema: Strukturert rapporteringsskjema på nettsiden
• Responsible disclosure: Bruk kontaktskjema med emne "Security Disclosure"

9.2 Hva å Rapportere

• Mistenkelige innloggingsforsøk eller ukjent tilgang
• Uventede endringer i kontofunksjonalitet
• Mottakelse av mistenkelige e-poster som påstår å være fra oss
• Tekniske feil som kan indikere sikkerhetsproblemer
• Observerte såabarheter i systemet