02 · Sikkerhed
Sikker automatisering: adgang, nøgler, GDPR og NIS2.
Når en partner får adgang til jeres miljø, skal I kunne svare præcist på: Hvem har adgang? Til hvad? Hvordan ser vi, hvad de gør? Og hvordan lukker vi det igen? Her er svarene.
Adgangsmodellen
Princippet er mindst mulige rettigheder: Vi får kun den adgang, opgaven kræver – og intet andet.
GDAP via Microsoft
Vores administrative adgang går gennem Microsofts partnerprogram med granulære, tidsbegrænsede roller (GDAP). I godkender relationen og kan se den i jeres admin center.
Kun ressourcegruppen
I Azure tildeles vores rettigheder på automatiseringens ressourcegruppe – ikke på hele abonnementet eller tenanten.
Navngivne konti med MFA
Hver tekniker logger på med sin egen konto og MFA. Ingen delte logins – så det altid fremgår, hvem der har gjort hvad.
Kendte IP-adresser
Ønsker I det, kan vores administrative adgang begrænses til Fisker IT’s faste IP-adresser via jeres Conditional Access.
Egen identitet, egne rettigheder
Hver automatisering får kun de API-rettigheder, den skal bruge. Rettighederne står i dokumentationen, så I kan godkende dem.
Hvem kan hvad?
Standardfordelingen. Den kan tilpasses jeres politikker.
| Handling | Jer | Fisker IT | Automatiseringen |
|---|---|---|---|
| Se kørsler, logs og dokumentation | Ja | Ja | – |
| Bygge, ændre og udgive automatiseringer | Efter aftale | Ja | – |
| Tilføje og rotere API-nøgler | Ja | Ja | – |
| Tildele og fjerne adgang | Ja | Nej | – |
| Læse og skrive i Microsoft 365 og andre systemer | Ja | Via GDAP-roller | Kun det aftalte |
| Betale Azure-forbrug | Ja | Nej | – |
| Godkende nye automatiseringer | Ja | Indstiller | – |
Hemmeligheder
API-nøgler ligger krypteret – aldrig i koden.
Krypteret i Azure
Nøgler gemmes som krypterede variabler eller i Key Vault i jeres miljø.
Aldrig på mail eller chat
Nøgler udveksles via password manager eller lægges ind direkte af jer.
Én nøgle pr. system
Lækker én nøgle, rammer det kun ét system – og den kan skiftes alene.
Skiftes i tide
Nøgler med udløbsdato overvåges, og vi skifter dem, før de udløber.
Fuld sporbarhed
Fire logs giver tilsammen et komplet billede af, hvem der har gjort hvad – og hvornår.
Loginlog
Entra ID registrerer hvert login fra vores teknikere – med tidspunkt, sted og MFA.
Aktivitetslog
Azure logger enhver ændring i ressourcegruppen: oprettelser, ændringer og sletninger.
Jobhistorik
Hver kørsel gemmes med status, varighed og output – hvad den læste, og hvad den ændrede.
Sagshistorik
Fejl og ændringsønsker registreres som sager hos os – med forløb og løsning.
GDPR
Persondata bliver i jeres miljø
- Ingen kopi hos osAutomatiseringerne behandler data i jeres tenant.
- EU-regionMiljøet oprettes i en europæisk Azure-region, som I godkender.
- DataminimeringVi henter kun de felter, opgaven kræver.
- DatabehandleraftaleVores rolle er beskrevet i en databehandleraftale.
NIS2
Gør dokumentationen lettere
- LeverandørstyringVores adgang er dokumenteret, afgrænset og kan tilbagekaldes.
- AdgangsstyringFaste sikkerhedstjek af MFA, roller og gæster.
- HændelseshåndteringFejl bliver automatisk til registrerede sager.
- SporbarhedLogs over adgang, ændringer og kørsler.
Automatisering gør jer ikke compliant alene – men den leverer meget af dokumentationen.
Sådan lukker I vores adgang
I behøver ikke vores hjælp. Automatiseringerne kører videre bagefter.
Afslut GDAP
Fjern partnerrelationen i Microsoft 365 admin center.
Fjern Azure-rollen
Slet vores rolletildeling på ressourcegruppen.
Skift nøgler
Roter API-nøglerne, så kun I kender de aktive.
Kør videre
Automatiseringer, logs og dokumentation forbliver hos jer.
Skal jeres sikkerhedsansvarlige se med?
Vi gennemgår gerne adgangsmodellen med jeres IT- eller sikkerhedsansvarlige.