Produksjonssetting

Målgruppen for denne fasen er primært prosjektleder, sikkerhetsrådgiver og personvernombud. Ved utarbeidelse av en plan for hendelseshåndtering bør de som håndterer hendelser bidra, og i sikkerhetsgjennomgangen bør testere bidra.

I virksomheter som produksjonssetter tidlig og hyppig må det etableres en plan for hendelseshåndtering før første produksjonssetting, mens sikkerhetsgjennomgang bør gjøres ved hver produksjonssetting. Det er viktig at alle relevante data fra hele utviklingsløpet arkiveres.

Plan for hendelseshåndtering

Virksomheten må etablere en plan for å håndtere hendelser relatert til programvaren. Planen bør omfatte definerte ressurser og et kontaktpunkt eller responssenter som kan håndtere hendelser. Planen bør inneholde relevant kontaktinformasjon for bistand og eskalering, inkludert kontaktinformasjon til virksomhetens personvernombud. Planen bør også omfatte en oversikt over hvordan hendelser på kode arvet fra tredjepart skal håndteres. Responstiden bør defineres ut fra hvor viktig programvaren er. For eksempel vil programvare relatert til akuttbehandling innen helse sannsynligvis kreve responstid alle timer i døgnet, alle dager i året. Det er viktig å vurdere hvilke kanaler som brukes for å varsle hendelser. Ivaretar kanalene for eksempel sikkerheten til innholdet i meldingen og personvernet til den som rapporterer godt nok?

Planen bør definere hva en hendelse er og hvilken livssyklus den har. Det kan for eksempel være å detektere, analysere, rapportere, håndtere og normalisere. Videre bør planen beskrive konfigurering og håndtering av logger, inkludert hvilke føringer personvernregelverket legger for dette. I tillegg bør planen omfatte rutiner for evaluering av hendelseshåndtering («lessons learned»). Den bør også kort beskrive hvordan disse erfaringene kan få konsekvenser for utviklingsløpet, virksomheten og berørte.

Dersom hendelsen omfatter konfidensialitet-, integritet- eller tilgjengelighetsbrudd relatert til personopplysninger skal virksomheten varsle Datatilsynet innen 72 timer og den registrerte skal varsles umiddelbart.

Planen bør omfatte et regime for patching av programvaren som inkluderer policy og oppfølging. Dette omfatter også tredjepartskode. Planen bør oppdateres regelmessig og virksomheten bør definere hvilke triggere som krever oppdatering.

Full sikkerhetsgjennomgang av programvaren

Gjennomgangen skal baseres på tidligere gjennomganger i utviklingsløpet og inngå i de kontrollpunkter (control gates) som må gjøres før produksjonssetting. Alle krav, analyser og vurderinger gjort i utviklingsløpet skal gjennomgås på nytt for å avdekke eventuelle avvik. Ulike ekspertgrupper bør involveres i sikkerhetsgjennomgangen for å sikre en best mulig gjennomgang av ulike scenarier og konsekvenser, og best mulig kvalitet på eventuelle tiltak som implementeres.

Godkjenning av produksjonssetting

Sikkerhets- og personvernombud skal verifisere at alle definerte personvern- og sikkerhetskrav er implementert og fungerer etter hensikten. Virksomheten må definere hvem som har godkjenningsmyndighet.

All relevante data og dokumentasjon fra hele utviklingsløpet bør arkiveres. Dette er viktig for å utføre supportoppgaver og vil bidra til å redusere langsiktige kostnader knyttet til forvaltning og vedlikehold. Arkivering er i tillegg viktig for kunder og kontrollmyndigheter.

Last ned

Eksempel på sjekkliste for fasen med produksjonssetting (pdf)