---
title: "Anbefalte krav til leverandører av IT- løsninger"
canonical: "https://forvarelset.tazk.no/space/TO/133726209/Anbefalte%20krav%20til%20leverand%C3%B8rer%20av%20IT-%20l%C3%B8sninger"
format: markdown
---
`Leser du på mobil? Vend den horisontalt for en bedre visning av innholdet i tabellene på denne siden.`

> Macro (toc)


<details>
<summary>Begreper</summary>

**Beskyttelsesbehov**

Hvor viktig det er å unngå:

- tilgang for/formidling til noen som ikke skal ha tilgang til informasjonen eller løsningen.
- uønsket endring eller sletting av informasjonen eller innstillinger i løsningen.
- feil, nedetid eller andre uønskede hendelser som:
  - gjør informasjonen utilgjengelig for de som skal ha tilgang til den.
  - fører til forsinkelser eller stans i kundens prosesser/drift fordi løsningen/funksjoner i løsningen ikke er tilgjengelig.

**Informasjon**  
Data i løsningen.

**Tenant**  
Tenant refererer til kundens unike og isolerte seksjon av en delt løsning (digital tjeneste). Selv om løsningen brukes av flere kunder har hver kunde sin egen beskyttede seksjon.

**Uforanderlig**  
Engelsk: Immutable.
</details>

<details>
<summary>Veiledning</summary>

Det er lurt å gjøre en verdi og risikovurdering før du bruker kravbanken. Ellers er det vanskelig å vite nok om beskyttelsesbehovet → hvilket nivå du skal legge deg på:

Kravene er fordelt på to kategorier:  

1. **Generelle krav som har betydning for helheten av kundeleveransen**: <span style="color: #36b37e">Grønn</span><span style="color: #36b37e">** **</span>skrift.
2. **Krav som har betydning for selve løsningen**: <span style="color: #0747a6">Blå</span> skrift.

Kravene som er i fet skrift er hentet fra [https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak](https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak).

Digitale løsninger og funksjonene som følger med har avhengigheter som kommer med egne sårbarheter. Som en tommelfingerregel må du derfor ha 4 perspektiver i tankene når du skal **definere **og **følge opp** krav til en leverandør (sikkerhetstiltak). Det er blant annet viktig at du er oppmerksom på sårbarheter i leverandørkjeden og at du demmer opp for dette. 

1. **Organisatorisk**: Rammebetingelser, prosesser og føringer.
2. **Menneskelig**: Kompetanse og oppfølging.
3. **Fysisk**: Lokaler og bygningsmessige fasiliteter.
4. **Teknisk**: Programvare, maskinvare og infrastruktur.
</details>

## Kravbank

| **Kategori** | **Krav** |
| --- | --- |
| <span style="color: #36b37e">Sikkerhetsstyring</span> | Ha et etablert og risikobasert system for å styre og operasjonalisere kontinuerlig forbedring av sikkerheten. |
| <span style="color: #36b37e">Zero Trust og Assume Breach</span> | Beskriv hvordan dere jobber med IT-sikkerhet fra et *Zero Trust* og *Assume Breach*-perspektiv |
| <span style="color: #36b37e">Uønskede hendelser</span> | Ha en etablert prosess for uønskede hendelser. |
| <span style="color: #36b37e">Driftskontinuitet og beredskapsevne</span> | Ha en plan for å sikre driftskontinuitet og beredskapsevne ved vesentlige endringer og uønskede hendelser. Planen skal øves. |
| <span style="color: #36b37e">Avvikling</span> | Ha en etablert prosess for å migrere og slette kundens data når kundeforholdet avvikles. |
| <span style="color: #36b37e">**Utdatert teknologi**</span> | Eldre maskinvare og programvare skal fases ut. |
| <span style="color: #36b37e">**Godkjent programvare**</span> | Bruk kun programvare som er godkjent. |
| <span style="color: #36b37e">**Oppdateringer**</span> | Ha en etablert prosess for oppdateringer. |
| <span style="color: #0747a6">Referansekunder</span> | Vis til relevante referansekunder. |
| <span style="color: #0747a6">Veiledning/ oppsett og bruk</span> | Gi tilgang til en enkel veiledning om hvordan kunden skal sette opp og bruke løsningen på en effektiv og sikker måte. |
| <span style="color: #0747a6">Sikkerhetsansvar</span> | Ha en etablert modell for å fordele sikkerhetsansvaret mellom leverandør og kunde. |
| <span style="color: #0747a6">Sikkerhetsnivå</span> | Ha dokumentasjon på sikkerhetsnivået i løsningen. |
| <span style="color: #0747a6">Personvern</span> | Sikre at personopplysninger ikke overføres til land utenfor EU/EØS. |
| <span style="color: #0747a6">Sikkerhetstesting</span> | Test sikkerheten i løsningen jevnlig. |
| <span style="color: #0747a6">Tenant/ isolering</span> | Beskriv hvordan løsningen er satt opp for å isolere kundens tenant fra andre kunders tenants. |
| <span style="color: #0747a6">Tenant/ IP-adresse</span> | Sørg for at kundens tenant kun kan nås fra kundens IP-adresse. |
| <span style="color: #0747a6">API-støtte</span> | Løsningen skal ha API-støtte for alle etterspurte funksjoner. |
| <span style="color: #0747a6">Kryptering</span> | Krypter data som lagres (at rest) og overføres (in transit). Også kalt *ende-til-ende kryptering*. |
| <span style="color: #0747a6">Krypteringsnøkler</span> | Sørg for å håndtere krypteringsnøkler på en tilstrekkelig sikker måte. |
| <span style="color: #0747a6">Kvantesikker IT</span> | Ha en plan for migrasjon til kvantesikker IT. |
| <span style="color: #0747a6">**Tilgangsstyring**</span> | Ha en etablert prosess for tilgangsstyring. |
| <span style="color: #0747a6">**Påloggingssikkerhet**</span> | Ha en etablert prosess for påloggingssikkerhet. |
| <span style="color: #0747a6">Påloggingssikkerhet/ FIDO2</span> | Løsningen skal ha FIDO2-funksjonalitet for administratorer. |
| <span style="color: #0747a6">Logging og varsling</span> | Innlogging og uønskede hendelser i løsningen skal kunne spores. Kunden skal varsles om uønskede hendelser i løsningen. |
| <span style="color: #0747a6">Logging og varsling/ systemleverandørens SOC</span> | Logger skal sendes i sanntid for innlogginger og hendelser i løsningen til systemleverandørens SOC. Kunden skal varsles om uønskede hendelser i løsningen. |
| <span style="color: #0747a6">Logging og varsling/ kundens SOC</span> | Logger skal sendes i sanntid for innlogginger og hendelser i løsningen til kundens SOC. |
| <span style="color: #0747a6">Backup og gjenoppretting</span> | Ha en etablert prosess for backup og gjenoppretting samt en beskrivelse av løsningens MTTR (Mean Time to Recover) i timer eller dager. |
| <span style="color: #0747a6">Offline backup</span> | Løsningen skal ha en offline backup. |
| <span style="color: #0747a6">Uforanderlig backup</span> | Løsningen skal ha en uforanderlig backup. |
| <span style="color: #0747a6">Sikker utvikling</span> | Ha en etablert metode for sikker utvikling og en utviklingsplan for løsningen. |

## Modenhetsskala

Du kan bruke skalaen som et verktøy til å vurdere om kravene kan oppfylles og i hvilken grad de er implementert. 

<details>
<summary>Eksempel...</summary>

Det finnes backupfunksjon i løsningen men det **mangler føringer** for å **påse** at denne **fungerer som avtalt**. Det må blant annet være nok diskplass for backupfiler. **Hvor ofte** det skal tas backup og **hvor lenge **backupene skal **lagres** spiller inn for den diskplassen som trengs.
</details>

| - | 0 | 1 | 2 | 3 | 4 | 5 |
| --- | --- | --- | --- | --- | --- | --- |
| Ikke mulig | Ikke etablert | Etablert | Etablert | Etablert | Etablert | Etablert |
|  |  |  | Dokumentert | Dokumentert | Dokumentert | Dokumentert |
|  |  |  |  | Kontrolleres | Kontrolleres | Kontrolleres |
|  |  |  |  |  | Forbedres  
kontinuerlig | Forbedres  
kontinuerlig |
|  |  |  |  |  |  | Optimalisert/ automatisert |

## Kilder/inspirasjon

[https://gorantomte.no/leverandorkontroller/](https://gorantomte.no/leverandorkontroller/)

[https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak](https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak)

[https://nsm.no/regelverk-og-hjelp/rapporter/nasjonalt-digitalt-risikobilde-2023](https://nsm.no/regelverk-og-hjelp/rapporter/nasjonalt-digitalt-risikobilde-2023)

[https://nsm.no/regelverk-og-hjelp/rapporter/ti-sarbarheter-i-norske-ikt-systemer](https://nsm.no/regelverk-og-hjelp/rapporter/ti-sarbarheter-i-norske-ikt-systemer)

## Se også

 [https://tazk.atlassian.net/wiki/spaces/TO/pages/222036049](https://tazk.atlassian.net/wiki/spaces/TO/pages/222036049)