Slik beskytter vi dataene i AnbudRadar. Vi beskriver bare tiltak som faktisk er på plass.
1.Kryptert forbindelse
All trafikk går over HTTPS. Nettleseren instrueres til alltid å bruke kryptert forbindelse (HSTS). Forbindelsen mellom appen og databasen er også kryptert.
2.Atskillelse mellom kundene
Hver organisasjons data er skilt fra andres i selve databasen (radnivåsikkerhet). Appen kobler til med en egen bruker som bare ser dataene til organisasjonen den jobber for – så en feil i appen gir ikke tilgang til andre kunders data. Dette testes automatisk.
3.Innlogging og passord
- Passord lagres med scrypt og unik salt – aldri i klartekst.
- Innloggingsforsøk begrenses per IP-adresse og per konto, og kontoen låses midlertidig etter gjentatte feil.
- Økter utløper etter 30 dager uten bruk, og du kan logge ut alle andre økter under Innstillinger.
- Eiere og administratorer styrer hvem i organisasjonen som har tilgang, og med hvilken rolle.
4.Beskyttelse i nettleseren
- Informasjonskapsler er satt som HttpOnly, Secure og SameSite.
- Alle skjemaer er beskyttet mot falske innsendinger (CSRF).
- Streng innholdssikkerhetspolicy (CSP), og siden kan ikke bygges inn i andre nettsider.
5.Personvern i logger
IP-adresser lagres bare enveis-kryptert (pseudonymisert). Viktige handlinger, som endring av roller, betaling og sletting, revisjonslogges og slettes etter 12 måneder.
6.Drift og utvikling
- Nettsiden og databasen driftes hos leverandører i EU (se /underleverandorer).
- Tjenesten har automatiske tester, blant annet for at én kunde ikke kan se en annen kundes data.
- Avhengighetene sjekkes for kjente sårbarheter i den automatiske testkjøringen.
- Opplastede dokumenter er bare tilgjengelige for organisasjonen som lastet dem opp.
7.Meld fra om sårbarheter
Har du funnet en sårbarhet, send en e-post til anbudradar@gmail.com. Ikke test på andres data, og gi oss rimelig tid til å rette feilen før du omtaler den. Kontaktinformasjonen står også i security.txt.