Säkerhet och datahantering

1. Vårt förhållningssätt

Vi utgår från principen om minsta privilegium, håller så lite data som möjligt och väljer hellre beprövade, välkända kontroller än nya. Säkerhetsarbetet är en del av den vanliga leveransen (det granskas i samma pull requests som allt annat) och inte en separat kontrollpunkt i slutet.

2. Styrning och ansvar

Säkerheten ägs på ledningsnivå och delegeras inte till den som råkar stå närmast. En namngiven person i vår ledning ansvarar för informationssäkerheten, för att hålla den här redogörelsen aktuell och för att samordna vår hantering av incidenter.

Alla frågor om dataskydd och säkerhet (även rapporter om sårbarheter) når oss på office@c9group.dev.

Vi går igenom den här redogörelsen, vår lista över underbiträden och våra behörighetsregister minst en gång om året och efter varje väsentlig förändring av vår infrastruktur.

3. Vilka uppgifter vi har

Besökare på webbplatsen

Vanlig telemetri från förfrågningar (IP-adress, user agent, hänvisande sida, begärda sidor), användningsdata från Rybbit, det analysverktyg vi kör på vår egen server utan cookies, samt identifierare för analys och annonsering om du har samtyckt till dem. Detaljerna, inklusive den rättsliga grunden för varje ändamål, finns i vår integritetspolicy.

Potentiella kunder

Det du skickar till oss via ett kontaktformulär, en bokning eller e-post: oftast namn, e-postadress i jobbet, företag och en beskrivning av ditt projekt. Vi ber bara om det som behövs för ett givande första samtal, och vi kräver inga personuppgifter utöver det.

Uppgifter i kunduppdrag

Under ett uppdrag kan vi ha tillgång till källkod, arkitekturdokumentation, inloggningsuppgifter till de system du ber oss arbeta med och (när arbetet kräver det) data i de systemen. Den här kategorin regleras av uppdragsavtalet och, när personuppgifter berörs, av ett personuppgiftsbiträdesavtal.

4. Drift och datalagring

Den här webbplatsen körs på Amazon Web Services. Applikationens beräkningskapacitet och ursprungslagringen finns i regionen eu-central-1 (Frankfurt, Tyskland), inom Europeiska unionen. Statiska resurser distribueras via Amazon CloudFronts globala edge-nätverk, som cachar offentligt sidinnehåll och resurser (inte formulärinskick eller personuppgifter) nära besökarna.

Infrastrukturen för kundprojekt sätts upp i den region kunden anger. Om en kund kräver att data stannar inom EU bygger vi för det och bekräftar det skriftligen i uppdragsavtalet.

5. Kryptering

• Under överföring: All trafik till och från den här webbplatsen går över HTTPS med TLS 1.2 eller senare. Förfrågningar över okrypterad HTTP omdirigeras till HTTPS.
• Vid lagring: Data som lagras i vår AWS-miljö krypteras med nycklar som hanteras av AWS.
• Intern överföring: Trafiken mellan komponenterna i vår infrastruktur krypteras under överföring.
• Arbetsdatorer: Datorer som används för att komma åt kunders system och källkod har fullständig diskkryptering aktiverad.

6. Behörighetsstyrning

• Minsta privilegium: Behörigheter ges per roll och per uppdrag, begränsas till vad arbetet kräver och ses över regelbundet.
• Flerfaktorsautentisering: Krävs för våra molnleverantörers konsoler, versionshanteringen och e-posten.
• Inga delade konton: Varje person loggar in som sig själv, så att varje åtgärd kan knytas till någon.
• Hantering av inloggningsuppgifter: Hemligheter förvaras i en hanterad tjänst för hemligheter eller i ett krypterat valv. De checkas aldrig in i versionshanteringen, skickas aldrig i chatt och lagras aldrig i okrypterade filer.
• Kundens inloggningsuppgifter: När du ger oss åtkomst till dina system föredrar vi personliga konton som är begränsade till vår roll framför delade inloggningsuppgifter, och vi ber dig dra in dem när uppdraget avslutas. Har du inte dragit in våra, fråga oss. Vi berättar exakt vilken åtkomst vi fortfarande har.
• Avslut: Åtkomsten dras in när en person lämnar företaget eller går ur ett uppdrag.

7. Säker utveckling

• Kodgranskning: Ändringar granskas av någon annan än den som skrev dem innan de slås ihop.
• Versionshantering: Allt arbete spåras i Git, vilket ger en fullständig ändringshistorik där varje ändring kan knytas till en person.
• Automatiserade tester och CI: Test- och lintsviter körs automatiskt vid varje ändring; om något fallerar stoppas pipelinen.
• Hantering av beroenden: Beroenden från tredje part låses med låsfiler och bevakas för publicerade sårbarheter. Säkerhetsmeddelanden som rör ett beroende vi levererar bedöms så snart de kommer in.
• Sökning efter hemligheter: Repositorier bevakas för incheckade inloggningsuppgifter. Allt som upptäcks spärras och byts ut, i stället för att bara tas bort ur historiken.
• Infrastruktur som kod: Miljöer definieras i versionshanterad konfiguration och i driftsättningsskript, så att ändringar kan granskas och återskapas i stället för att göras för hand.
• Separata miljöer: Utveckling, staging och produktion hålls åtskilda, och inloggningsuppgifter för produktion finns bara där produktionen körs.

Våra utvecklare använder AI-assisterade kodverktyg. All genererad kod går igenom samma granskning, tester och kontroller av beroenden som kod som skrivits för hand, och vi klistrar aldrig in kunders inloggningsuppgifter eller konfidentiella kunddata i AI-verktyg från tredje part.

8. Hantering av sårbarheter och uppdateringar

Vi bevakar säkerhetsmeddelanden för de plattformar och beroenden vi kör. Våra mål för att åtgärda dem, räknat från den tidpunkt då en rättning finns tillgänglig för oss:

Om det ännu inte finns någon rättning inför vi en kompenserande kontroll (vi stänger av den berörda funktionen, begränsar nätverksåtkomsten eller lägger till detektering) och dokumenterar beslutet. Åtaganden om uppdateringar för system som vi driver åt en kund anges i det aktuella tjänsteavtalet och kan vara strängare än målen ovan.

9. Loggning och övervakning

Applikations- och infrastrukturloggar samlas centralt i vår molnmiljö, sparas under en bestämd tid och granskas när vi utreder ett fel eller en misstänkt incident. Administrativa åtgärder i våra molnkonton registreras i en granskningslogg.

Vi håller medvetet loggarna fria från onödiga personuppgifter, och vi loggar inte innehållet i förfrågningar som innehåller inloggningsuppgifter eller formulärdata.

10. Säkerhetskopiering och kontinuitet

Den här webbplatsen är tillståndslös och kan byggas om från källkoden: det som driftsätts skapas från versionshanterad kod, så återställning innebär en ny driftsättning snarare än en återläsning. Källkoden finns i Git med distribuerade kopior.

För kundsystem som vi driver bestäms hur ofta säkerhetskopior tas, hur länge de sparas samt mål för återställningspunkt och återställningstid för varje uppdrag, och återställningar testas i stället för att vi bara utgår från att de fungerar.

11. När vi arbetar med kunddata

• Personuppgiftsbiträdesavtal: När vi behandlar personuppgifter för din räkning agerar vi som personuppgiftsbiträde enligt ett skriftligt avtal som uppfyller artikel 28 i GDPR. Vi skickar vårt standardavtal på begäran, och vi kan också granska ditt.
• Sekretess: Vi skriver på ömsesidiga sekretessavtal (NDA) på begäran, även före ett första samtal om uppdragets omfattning.
• Behandling enligt instruktioner: Vi behandlar kunders personuppgifter bara enligt dokumenterade instruktioner och aldrig för egna ändamål.
• Besked om underbiträden: Vi meddelar dig innan vi anlitar ett underbiträde som skulle behandla dina personuppgifter och ger dig möjlighet att invända.
• Återlämning och radering: När ett uppdrag avslutas lämnar vi tillbaka eller raderar kunddata på begäran och bekräftar skriftligen när det är gjort.
• Stöd: Vi hjälper dig att besvara begäranden från registrerade, säkerhetsfrågeformulär och förfrågningar från tillsynsmyndigheter som rör system vi har byggt eller driver.

12. Personal

• Alla som arbetar i kunduppdrag (anställda och konsulter) är bundna av skriftliga sekretessåtaganden som fortsätter att gälla även när deras uppdrag har upphört.
• Underleverantörer omfattas av säkerhets- och sekretesskrav som skyddar minst lika väl som våra egna, och vi ansvarar fortfarande gentemot dig för deras arbete.
• Åtkomst till en kunds miljö ges bara till de personer som arbetar i den och dras in när de lämnar uppdraget.
• Vårt team arbetar från flera orter; fjärråtkomst till kunders system följer samma regler för autentisering och minsta privilegium som åtkomst från kontoret.

13. Underbiträden och tjänster från tredje part

Följande tredje parter kan behandla uppgifter i samband med den här webbplatsen. Tjänster för analys och annonsering laddas först när du har samtyckt via vår cookiebanner; övriga behövs för att driva webbplatsen eller för att kunna svara dig.

Vi använder Google Consent Mode. Googles taggar laddas därför i nekat läge, och ingen lagring för analys eller annonsering skrivs förrän du samtycker. Om du återkallar samtycket via cookiebannern rensas de annonsidentifierare vi har sparat lokalt.

Underbiträden som anlitas i ett visst kunduppdrag anges i personuppgiftsbiträdesavtalet för just det uppdraget, inte här.

14. Överföringar till tredjeland

Driften av webbplatsen håller uppgifterna inom EU. Några av leverantörerna ovan är etablerade utanför Europeiska ekonomiska samarbetsområdet (EES), främst i USA, vilket innebär att vissa uppgifter kan överföras dit.

För de överföringarna stöder vi oss på Europeiska kommissionens standardavtalsklausuler, på leverantörens certifiering enligt EU-US Data Privacy Framework där den är tillämplig, och på de kompletterande åtgärder som beskrivs på den här sidan, framför allt kryptering under överföring och uppgiftsminimering. Vilken överföringsmekanism som gäller för respektive leverantör får du veta på begäran.

15. Incidenthantering

Om vi upptäcker en säkerhetsincident som påverkar uppgifter vi har begränsar vi den, bedömer dess omfattning, åtgärdar orsaken och underrättar dem som berörs.

Efter varje betydande incident gör vi en genomgång utan skuldbeläggning, dokumenterar grundorsaken och de korrigerande åtgärderna och delar slutsatserna med de kunder som berörs.

16. Ansvarsfullt avslöjande

Om du tror att du har hittat en säkerhetssårbarhet på den här webbplatsen eller i något system som vi driver vill vi gärna höra från dig.

I gengäld ber vi dig att:

• Ge oss rimlig tid att åtgärda problemet innan du offentliggör det
• Undvika att komma åt, ändra eller radera data som inte är din, och sluta så snart du har påvisat sårbarheten
• Inte göra överbelastningstester, skicka skräppost eller använda social manipulation eller fysiska angrepp mot vår personal eller våra kontor
• Inte använda automatiska skannrar som försämrar tjänsten för andra användare

Vi har för närvarande inget betalt bug bounty-program. Men vi läser varje rapport som någon skickar, och vi tackar för den.

17. Standarder vi arbetar efter

Våra rutiner är utformade för att stämma överens med följande ramverk. Vi är för närvarande inte certifierade enligt något av dem, och om det ändras anger vi här vilket organ som certifierat oss och certifikatets datum.

• GDPR (förordning (EU) 2016/679): Inbyggt dataskydd och dataskydd som standard, personuppgiftsbiträdens skyldigheter enligt artikel 28 och anmälan av personuppgiftsincidenter.
• ISO/IEC 27001: Används som referensmodell för vårt arbete med behörighetsstyrning, tillgångsförvaltning och incidenthantering.
• OWASP Top 10 och OWASP ASVS: Referens för säkerhetsgranskning av applikationer.
• CIS Benchmarks: Referens för grundkonfiguration av moln och operativsystem.
• NIS2 (direktiv (EU) 2022/2555): Används som referens när vi bygger åt kunder som omfattas och vars krav på leveranskedjan även gäller oss.

18. Dokumentation som finns på begäran

Inköps- och säkerhetsteam kan begära följande från office@c9group.dev:

• Vårt standardavtal för personuppgiftsbiträden
• Ett ömsesidigt sekretessavtal
• Listan över underbiträden och överföringsmekanismen för ett visst uppdrag
• Ifyllda svar på ditt säkerhetsfrågeformulär eller din leverantörsbedömning
• En skriftlig beskrivning av de kontroller som tillämpas i ett visst projekt

19. Kontakt

Se även vår integritetspolicy, våra användarvillkor och vår tillgänglighetsredogörelse.

20. Språk