SmartInstruks har tekniske kontroller for autentisering, tilgangsstyring, logging og dataminimering. Samtidig er sikker produksjonsbruk et delt ansvar mellom applikasjonen, kunden og driftsleverandøren.
SmartInstruks påstår ikke ISO 27001-sertifisering. Informasjonen nedenfor beskriver faktiske produktkontroller og nødvendige avklaringer før produksjonsbruk.
Produksjonsmiljøet skal bruke HTTPS. SmartInstruks avviser autentiserte forespørsler over ukryptert forbindelse utenfor lokalt utviklingsmiljø.
Passordhashing, signerte sesjoner i HttpOnly-cookie, CSRF-beskyttelse, rate limiting og serverstyrt autorisasjon reduserer risikoen for vanlige angrep.
Bilder i det valgfrie mediebiblioteket kontrolleres på serveren for tillatt format, faktisk bildeinnhold og maksimal filstørrelse før lagring.
Sluttbrukere kan normalt lese publiserte instrukser uten app, konto eller registrering. Navn og e-post samles bare inn i funksjoner der kunden aktivt har konfigurert dette.
Tidsbegrensede invitasjoner lar brukeren velge eget passord. Administratorer kan bruke TOTP-basert MFA, og superadmin kan gjøre MFA obligatorisk for administratorroller.
Offentlig lesing uten konto, konfigurerbare oppbevaringsperioder og avgrenset tilgang til administrasjonen.
Ved drift hos SmartInstruks inngår konfigurert KI-tilgang. Ved selvhosting legger kunden inn egne leverandørnøkler. I begge modeller sendes relevant innhold til aktivert KI-leverandør, og behandlingen dokumenteres for produksjonsmiljøet.
Kunden bestemmer hvilket innhold som legges inn og hvilke KI-funksjoner som brukes. Rettigheter og leverandørens behandling av innhold må reguleres i kunde- og databehandleravtaler.
Krever leverandørvurdering
Systemet fører auditlogg over blant annet innlogging, MFA, brukeradministrasjon, innstillinger og endringer i instrukser. Auditloggen er tilgjengelig for superadmin.
Geolokasjon kan begrense visning basert på posisjonen nettleseren rapporterer. Det er et praktisk tilleggstiltak, ikke sterk identitetskontroll eller eneste vern for konfidensielt innhold.
Backend håndhever tilgang etter rolle, bedrift og avdeling. Superadmin har systemtilgang, admin avgrenses til egen bedrift og editor til tildelte avdelinger.
Applikasjonskontrollene er de samme, men ansvaret for server, KI-tilgang og teknisk drift avhenger av valgt leveransemodell.
Uansett driftsmodell styrer kunden brukere, roller, publisert innhold, informasjonsklassifisering og interne rutiner. Den konkrete ansvarsgrensen dokumenteres i avtalen for leveransen.
Disse punktene bør inngå i virksomhetens vurdering før løsningen tas i bruk.
Publisert QR-innhold er laget for enkel tilgang. Ikke legg hemmelig eller sensitiv informasjon i offentlig innhold. PIN og geolokasjon er tilleggstiltak.
Produktkontrollene støtter et godt sikkerhetsarbeid, men SmartInstruks markedsføres ikke som ISO 27001-sertifisert eller automatisk «ISO-compliant».
Ved drift hos SmartInstruks dokumenteres driftsansvaret i avtalen. Ved selvhosting overtar kunden ansvaret for server, database, KI-nøkler, backup og oppdateringer.
Vi svarer gjerne på spørsmål om arkitektur, sikkerhetskontroller, dataflyt, drift og personvern før en eventuell pilot.
Avtal gjennomgang