Leverantörs­underlag för upphandling och säkerhets­granskning

Tjänsten och avtalet

Sverum är en molntjänst för säkra projektrum. Entreprenörer, tekniska konsulter och beställare delar ritningar och känsliga handlingar med underentreprenörer, underkonsulter och beställare, med kryptering, behörighet per projekt och en loggbok över vem som gjort vad.

• Tjänst: Sverum, en webbaserad tjänst för säkra projektrum som används i webbläsaren.
• Avtalspart: Sverum. Avtalet gäller mellan Sverum och den organisation som beställer tjänsten (villkoren punkt 1.1).
• Kunder: företag, myndigheter och andra organisationer. Inte konsumenter.
• Avtalet: allmänna villkor, biträdesavtal, prislista och säkerhetsbeskrivning. Avtalet godkänns elektroniskt i tjänsten, och godkännandet loggas med tidpunkt och version.
• Personuppgifter: ni är personuppgiftsansvariga och Sverum är personuppgiftsbiträde.
• Lagring: Sverige.

Har tjänsten upphandlats enligt lagen om offentlig upphandling gäller upphandlingsdokumentens villkor i den ordning de anger (villkoren punkt 1.4).

Lagring och underbiträden

All kunddata lagras i Sverige. Det gäller databasen, de krypterade filerna, loggboken och alla säkerhetskopior. Inga projektdata skickas till tjänster utanför Sverige, och inga personuppgifter förs över till ett land utanför EU/EES. Sverum använder inga analysverktyg, spårare eller externa skript.

BeeByte AB är det enda underbiträdet i biträdesavtalets bilaga 3. Sverum informerar minst 30 dagar innan ett underbiträde läggs till eller byts ut. Ni kan invända, och kan vi inte enas får ni säga upp avtalet till den dag ändringen träder i kraft. Sverum ansvarar mot er för underbiträdets behandling.

Kryptering och nycklar

• Modern, autentiserad kryptering med 256-bitars nycklar från etablerade och granskade bibliotek. Ingen egen kryptografi.
• Varje projekt har en egen nyckel, och varje filversion en egen. Filer, filnamn, mappnamn och kommentarer krypteras.
• Filer krypteras redan i webbläsaren och skrivs aldrig i klartext till disk.
• Projektnycklarna skyddas av en huvudnyckel som förvaras åtskild från databasen och filerna, roteras varje månad och aldrig ingår i samma säkerhetskopia som dem.
• Överföring bara över HTTPS med TLS 1.2 eller senare.

Krypteringen är serverbaserad, inte från ände till ände. Servern behöver läsa en fil i arbetsminnet för att visa och vattenmärka den. Projektets namn, deltagarnas namn och e-postadresser och loggboken krypteras inte med projektnyckeln. Läs mer i säkerhetsbeskrivningens avsnitt om kryptering och nyckelhantering.

Inloggning och åtkomst

• SSO, inga lösenord. Organisationer loggar in med Microsoft Entra ID, Google eller annan OpenID Connect-leverantör. Era egna regler för tvåfaktor och konton gäller.
• Gäster utan sådant konto loggar in med en engångslänk som gäller i 10 minuter, plus en tvåfaktorskod (TOTP).
• Sessioner löper ut efter 15 minuters inaktivitet och senast efter 10 timmar. Känsliga åtgärder, till exempel att stänga ett projekt eller exportera loggar, kräver ny inloggning.
• Behörighet per projekt och mapp. Åtkomst ges per projekt, med roll, valfri begränsning till mappar och valfritt slutdatum. Externa är läsare som standard och godkänner en sekretessförbindelse före första åtkomst.
• Beställaren kan kräva att nya underkonsulter godkänns innan de får åtkomst.
• Nedladdning är avstängd som standard. Dokument visas med vattenmärke, och nedladdade PDF-filer märks med ett unikt id.
• Återkallning når öppna webbläsare direkt och stänger dokumentet inom sekunder, och senast inom en minut.

Detaljerna finns under inloggning och sessioner och åtkomst och återkallning.

Loggning och spårbarhet

• Vad som loggas: inloggningar, inbjudningar, öppningar, lästa sidor, aktiv lästid, nedladdningar, ändringar av behörighet och alla nyckelhändelser.
• Manipuleringsskydd: varje händelse länkas kryptografiskt till den föregående. Kedjan verifieras varje timme och förankras utanför databasen. En ändring i efterhand upptäcks.
• Inga känsliga namn: loggen innehåller aldrig filnamn eller kommentarstext. Filer anges med nummer.
• Lagringstid: loggboken sparas så länge projektet finns, även efter att det har stängts.
• Export: organisationens ägare och säkerhetsansvariga, och projektägare för sina projekt, kan exportera loggen som CSV eller PDF efter ny inloggning. Varje rad bär sin kontrollsumma och kedjans värde, så att exporten kan verifieras utan Sverum. Exporten innehåller personuppgifter och ska hanteras som loggen.
• Beställaren ser en åtkomstlogg för sina projekt, men inte den detaljerade lässpårningen.

Se även loggboken i säkerhetsbeskrivningen.

Incidenter, drift och radering

Incidenter

Sverum underrättar er utan onödigt dröjsmål, och senast inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör era personuppgifter. Underrättelsen beskriver incidentens art, sannolika konsekvenser och åtgärder, och Sverum bistår med anmälan till Integritetsskyddsmyndigheten (biträdesavtalet punkt 9). Sårbarheter rapporteras till security@sverum.se.

Tillgänglighet och support

Målet är att tjänsten är tillgänglig 99,5 procent per kalendermånad. Planerat underhåll räknas inte. Målet är inte ett åtagande med vite eller avdrag, om inte ett servicenivåavtal har ingåtts. Support ges via e-post på svenska och engelska, vardagar 08-17 (villkoren punkt 6).

Säkerhetskopior

Databasen och de krypterade filerna kopieras varje dygn, hos BeeByte AB i Sverige och åtskilt från driftservern. Huvudnyckeln ingår aldrig i kopian. Kopiorna sparas i högst 30 dagar, och den senaste provåterställs varje månad.

Radering

• När ett projekt stängs förstörs projektets nyckel och filerna raderas. Det går inte att ångra. Ett intyg skrivs i loggboken. I säkerhetskopior blir filerna oläsbara senast 60 dagar efter stängningen.
• När avtalet upphör kan ni exportera er data under 30 dagar. Därefter raderas den, och i säkerhetskopior senast 30 dagar senare. Sverum bekräftar raderingen skriftligt om ni begär det.

Sverum som underleverantör

Många beställare ställer krav på informationssäkerhet i sina avtal. Trafikverket gör det till exempel med avtalsbilagan TMALL 1588. Vilka krav som gäller framgår av den aktuella upphandlingen.

Om kraven innebär att ni behöver få underleverantörer eller molntjänster godkända innan de hanterar beställarens information, är det här underlaget till för det. Ni kan lämna länken till beställaren, eller använda svaren nedan i er egen leverantörsgranskning.

Rollerna är desamma som i alla era projekt: ni är kund och personuppgiftsansvariga, och Sverum är ert personuppgiftsbiträde. Ni bestämmer vilka som får åtkomst, med vilken roll och hur länge, och ni klassar er information och väljer inställningar för varje projekt.

Gäller uppdraget säkerhetsskyddsklassificerade uppgifter, läs när Sverum passar och när det inte gör det.

Planerat och inte certifierat

Sverum är inte certifierat enligt ISO/IEC 27001 eller någon annan standard. Kontrollerna mäts mot ISO/IEC 27001:2022 bilaga A och Säkerhetspolisens vägledningar för informationssäkerhet. Det är en måttstock, inte en certifiering.

Planerat

• Extern granskning av kryptografin och ett externt penetrationstest.
• Två granskare för all kod som rör kryptering, behörighet och loggbok.
• Huvudnyckeln i en dedikerad nyckeltjänst.
• En daglig kontroll som larmar om den senaste säkerhetskopian är för gammal eller saknas, och automatisk provåterställning i en isolerad miljö.
• Export av loggboken direkt till beställaren.

Vanliga frågor från leverantörsgranskningar

Dokument

Alla dokument är webbsidor med version och datum, och alla går att skriva ut. Det finns ingen separat PDF som kan bli inaktuell.

• Säkerhetsbeskrivningen: hur data lagras, krypteras, loggas och förstörs.
• Avtal och allmänna villkor: avtalet om tjänsten.
• Biträdesavtalet: behandlingen av personuppgifter, säkerhetsåtgärderna och underbiträdena.
• Säkerhetsskydd och Sverum: när tjänsten passar, och när den inte gör det.