Säkerhet

Våra säkerhetsrutiner

Vi är en liten konsultbyrå, och vår interna säkerhet bygger på moderna plattformsstandarder gjorda ordentligt snarare än en stor säkerhetsorganisation. Rutinerna utgår från ISO 27001-kontroller; vi är inte certifierade och påstår inte det.

• Microsoft Entra ID med obligatorisk MFA på alla interna konton
• Hanterade, krypterade arbetsdatorer med automatisk patchning
• Minsta möjliga behörighet, granskad när uppdrag börjar och slutar
• Hemligheter i Azure Key Vault, aldrig i kod eller chatt
• Kryptering under överföring (TLS) och i vila för allt vi lagrar

Så säkrar vi kunduppdrag

• Kundarbete sker i er tenant och era prenumerationer där det är möjligt, data stannar under er kontroll
• Åtkomst via er identitetsleverantör, avgränsad till uppdraget och avslutad när det är klart
• Kunddata kopieras inte till våra enheter om inte uppdraget uttryckligen kräver det, och då minimalt
• Personuppgiftsbiträdesavtal och sekretess som standard i varje uppdrag
• Säkerhetsrelevanta beslut dokumenteras så att ert team kan granska vad vi gjort

Säkerhet i det vi bygger

Det mesta av säkerhetsvärdet vi levererar finns i systemen vi bygger. Standard i våra leveranser:

• Managed identities i stället för anslutningssträngar; Key Vault för resten
• Privata nätverk (VNet-integration, private endpoints) för AI- och datatjänster
• Kodgranskning, beroendeskanning och infrastruktur som kod i CI/CD
• Loggning och telemetri (Application Insights, Azure Monitor) från dag ett
• För AI-arbetslaster: skydd mot promptinjektion, hantering av utdata och avgränsade agentbehörigheter

Plattformssäkerhet (Microsofts roll)

Vi bygger på Azure och Microsoft 365, som bär Microsofts certifieringar (ISO 27001, SOC 1/2/3 med flera) och EU Data Boundary. De intygar plattformen, inte oss, vårt bidrag är att konfigurera identitet, nätverk, datahemvist och loggning så att er arbetslast faktiskt drar nytta av kontrollerna.

Om något går fel

Vi håller det enkelt och ärligt: upptäcker vi eller informeras om en säkerhetsincident som rör kunddata utreder vi omedelbart, meddelar berörda kunder utan onödigt dröjsmål i enlighet med GDPR och dokumenterar orsak och åtgärd. Loggningen i systemen vi bygger finns just för att incidenter ska kunna utredas ordentligt.