Sikkerhed

Jeres data bliver i EU, krypteret under overførsel og i hvile

Prduct kører på AWS-infrastruktur inden for EU. Trafik krypteres med TLS 1.2 eller nyere, lagrede data med AES-256, og enhver adgang logges. Denne side viser, hvilke kontroller der er på plads i dag, og hvilke der stadig er under opbygning.

  • Hosting kun i EU
  • TLS 1.2+ under overførsel
  • AES-256 i hvile
  • Malwarescanning af hver upload
  • SSO med Entra ID
Kontakt sikkerhed Sikkerhedsoverblik (PDF)
2 EU-regioner AWS-regioner med kundedata: Stockholm og Frankfurt
256 bit AES-nøglelængde for data i hvile, inkl. backup
48 timer Mål for underretning om brud på persondatasikkerheden
12 tegn Minimum adgangskodelængde på alle konti

Dataplacering

Hostet i EU, og ingen andre steder

Alle kundedata lagres og behandles i AWS-regioner inden for EU. Backup bliver i EU-availability zones, og ingen kundedata lagres uden for EU.

  • AWS-regionerne eu-north-1 (Stockholm) og eu-central-1 (Frankfurt)
  • Backupkopier opbevares i availability zones adskilt fra de primære data
  • En availability zone er ét eller flere fysisk adskilte datacentre med uafhængig strøm, netværk og forbindelse
  • Hvor en underdatabehandler behandler data uden for EU, gælder EU's standardkontraktbestemmelser, som anført i listen over underdatabehandlere
  • Enterprise-kunder kan aftale særlige krav til dataplacering i deres enterprise-aftale

Kryptering

Krypteret under overførsel og i hvile

Trafik mellem jeres browser og Platformen beskyttes med TLS 1.2 eller nyere, og ældre protokoller afvises. Lagrede data, uploadede dokumenter, backup og logfiler krypteres med AES-256.

  • TLS 1.2 eller nyere på enhver forbindelse, svagere protokoller er blokeret
  • AES-256-kryptering i hvile af database, filuploads, backup og logs
  • Databaseadgang går gennem en SSH-krypteret jumpbox oven på almindelig autentificering
  • Krypteret lagring betyder, at kompromitterede medier forbliver ulæselige uden nøglerne

Adgangskontrol

Mindst mulig adgang, håndhævet pr. rolle

Hver bruger har en individuel konto, hver rolle er afgrænset til de data, den har brug for, og administrativ adgang kræver tofaktorgodkendelse. Organisationer kan logge ind med single sign-on via Microsoft Entra ID med OpenID Connect.

  • Single sign-on via Microsoft Entra ID med OpenID Connect
  • Tofaktorgodkendelse tilgængelig for alle brugere og påkrævet for al administrativ adgang
  • Kun individuelle konti; loginoplysninger deles aldrig
  • Adgangskoder på mindst 12 tegn med kompleksitetskrav og automatisk sessionstimeout
  • Rollebaseret adgangskontrol efter mindst mulig adgang, regelmæssige adgangsgennemgange og øjeblikkelig lukning, når folk stopper
  • Inde i jeres workspace sætter I finkornede rettigheder, inklusive præcis hvad hver leverandørforbindelse kan se

Overvågning og logning

Enhver adgang logges

Autentificering, dataadgang, administrative handlinger, systemfejl og API-mønstre logges, med kontinuerlig trusselsdetektion på tværs af infrastrukturen via AWS GuardDuty og AWS Security Hub. Hver fil, der kommer ind i Platformen, scannes for malware.

  • AWS GuardDuty til kontinuerlig trusselsdetektion, med malwarescanning af hver uploadet fil og hver e-mailvedhæftning
  • AWS Security Hub til centraliserede sikkerhedsfund
  • Kontinuerlig overvågning for uautoriseret aktivitet, netværksindtrængningsdetektion og logning af DNS-forespørgsler
  • Revisionsspor, der dækker logins, dataadgang og -ændringer, administrative handlinger og API-adgangsmønstre
  • Sikkerhedsrettelser installeres ved udgivelse, med månedlig gennemgang af advarsler, IAM-politikker, security groups og netværkskonfiguration

Backup og gendannelse

Krypteret backup, testet gendannelse

Backup krypteres efter samme standard som produktionsdata, opbevares i availability zones adskilt fra de primære data, og gendannelsesprocedurerne testes. Hvad I har ret til, afhænger af jeres abonnementsniveau, som fastsat i Schedule 1.

Starter og Plus

Krypteret backup

Regelmæssig automatisk backup opbevaret i separate EU-availability zones.

Premium

Geo-redundant

Backup replikeret på tværs af EU-regioner, ud over krypteret lagring.

Enterprise

365 dage

Kontinuerlig backup med garanteret gendannelse af data fra de foregående 365 dage.

Compliance

Standarder vi arbejder efter

Nogle af disse forpligtelser er vores egne, og nogle er nedarvet fra den infrastruktur, vi kører på. Hvert kort fortæller hvilket.

ISO 27001

Under udarbejdelse

Vores sikkerhedskontroller er bygget efter ISO 27001:2013/2022-rammeværket. Formel certificering er i gang; denne side viser den aktuelle status frem for vores kontrakter.

Spørg om aktuel status

GDPR

På plads

En offentliggjort Data Processing Agreement, dokumenterede behandlingsinstrukser, EU's standardkontraktbestemmelser for enhver overførsel uden for EU og konsekvensanalyser vedrørende databeskyttelse.

Læs DPA'en

AWS-certificeringer

Nedarvet

Vores hosting nedarver ISO 27001, 27017 og 27018, SOC 1, SOC 2 og SOC 3, PCI DSS og C5 fra AWS, hvis datacentre har fysisk sikkerhed i flere lag.

AWS' complianceprogrammer

Underdatabehandlere

Offentliggjort

Enhver tredjepart, der behandler personoplysninger på jeres vegne, er anført med formål, behandlingssted og omfang, og ændringer varsles 30 dage i forvejen.

Se listen

Sikkerhedstest

Hvad der er på plads, og hvad der kommer

Vi vil hellere være præcise om vores modenhed end antyde et testprogram, vi endnu ikke kører.

På plads i dag

  • Kontinuerlig sårbarhedsscanning via AWS Inspector
  • Sikkerhedsgennemgange af infrastruktur og applikationer
  • Sikkerhedsgennemgang af kode
  • Månedlig gennemgang af sikkerhedsadvarsler, IAM-politikker og security groups
  • Periodiske gennemgange af AWS Security Hub-vurderinger og audits af netværkskonfiguration

Planlagt

  • Årlig penetrationstest udført af tredjepart
  • Tilbagevendende formelle sårbarhedsvurderinger
  • Eksterne compliance-audits med rapporter tilgængelige for Premium- og Enterprise-kunder på forespørgsel

Delt ansvar

Sikkerhed er et delt ansvar

Vi sikrer Platformen og den infrastruktur, den kører på. I bestemmer, hvem i jeres organisation og i jeres forsyningskæde der kan se hvad.

Hvad Prduct gør

  • Hoster jeres data i EU og krypterer dem under overførsel og i hvile
  • Scanner hver uploadet fil og e-mailvedhæftning for malware
  • Logger adgang og overvåger infrastrukturen kontinuerligt
  • Patcher, gennemgår og auditerer de systemer, Platformen kører på
  • Underretter jer om brud på persondatasikkerheden med et mål på 48 timer
  • Giver 30 dages varsel, før en ny underdatabehandler rører jeres data

Hvad vi beder jer om

  • Slå tofaktorgodkendelse til, eller tilslut single sign-on via Entra ID
  • Brug stærke, unikke adgangskoder, og del aldrig loginoplysninger
  • Gennemgå roller og rettigheder, og fjern fratrådte medarbejdere hurtigt
  • Konfigurér, hvad hver leverandørforbindelse må se
  • Træn jeres team, og indberet alt mistænkeligt til security@prduct.com

Kontakt

Indberetning af et sikkerhedsproblem

Mener I at have fundet en sårbarhed, så skriv til os. Vi undersøger enhver indberetning og bekræfter modtagelsen. Giv os venligst en rimelig frist til at udbedre, før I offentliggør, og undlad at tilgå, ændre eller udtrække andre kunders data under test.

Sikkerhedsspørgsmål vi får

Hvor lagres vores data?
I AWS-regioner inden for EU: eu-north-1 (Stockholm) og eu-central-1 (Frankfurt). Backup opbevares i EU-availability zones. Ingen kundedata lagres uden for EU.

Er I ISO 27001-certificerede?
Vores kontroller er bygget efter ISO 27001-rammeværket, og formel certificering er i gang. Vi offentliggør den aktuelle status på denne side frem for at fremsætte en påstand i vores kontrakter, og vi bekræfter den skriftligt på forespørgsel.

Udfører I penetrationstest?
Vi kører kontinuerlig sårbarhedsscanning via AWS Inspector, sikkerhedsgennemgange af vores infrastruktur og applikationer samt sikkerhedsgennemgang af kode. Årlig penetrationstest udført af tredjepart er planlagt, ikke på plads, og det siger vi frem for at antyde andet.

Scannes uploadede filer for malware?
Ja. AWS GuardDuty scanner hver fil, der kommer ind i Platformen, både dokumenter uploadet af brugere og vedhæftninger, der ankommer pr. e-mail, før de gøres tilgængelige i workspacet.

Understøtter I single sign-on?
Ja. I tilslutter jeres egen Microsoft Entra ID-tenant via OpenID Connect, så jeres brugere forbliver under jeres kontrol, og jeres directory er fortsat kilden. Prduct modtager kun den identitetsbekræftelse og de rolleoplysninger, jeres tenant udsteder. Tofaktorgodkendelse er tilgængelig på alle konti som alternativ. Kontakt os for at få det sat op.

Kan vi auditere jer?
Ja. Punkt 11 i Data Processing Agreement giver jer en årlig revisionsret med 30 dages varsel, og oftere efter et brud, eller hvor en myndighed kræver det. Vi kan også fremlægge tredjepartscertificeringer og -vurderinger i stedet for en revision.

Hvem ellers behandler vores data?
Enhver underdatabehandler er anført med formål, behandlingssted og omfang på vores side om underdatabehandlere. Vi giver mindst 30 dages varsel, før en ny underdatabehandler begynder at behandle, og I kan gøre indsigelse på databeskyttelsesmæssige grunde.

Hvor hurtigt får vi besked om et brud?
Uden unødig forsinkelse, med et mål på 48 timer fra vi bliver opmærksomme på det. Underretningen dækker bruddets karakter, kategorierne og det omtrentlige antal berørte personer, de sandsynlige konsekvenser og de trufne foranstaltninger.
Se, hvor jeres supply chain-risiko rent faktisk ligger.

Kom med jeres leverandørliste og den regel, der er sværest for jer. På 45 minutter ser I jeres egne data i Prduct – ikke en generisk demo.

Book en 45-minutters gennemgang