Säkerhet

På Flex HRM är säkerhet vår högsta prioritet. Vi arbetar för att utveckla, leverera och driva Flex HRM med en hög säkerhetsnivå.

Vi följer etablerade bästa praxis och branschstandarder för att säkerställa att dina data är skyddade, tillgängliga och hanteras i enlighet med gällande krav. Här hittar du våra certifieringar.

Flex HRM omfattas av Visma Cloud Delivery Model (VCDM), Vismas ramverk för säker drift av molntjänster. Ramverket fastställer de strikta operativa processer och tekniska krav som alla företag och tjänster inom VCDM måste uppfylla för att säkerställa en tillförlitlig och säker leverans av programvara.

Visma Security Program är integrerat i VCDM och säkerställer att vi följer moderna bästa praxis inom både systemutveckling och informationssäkerhet.

Så utvecklar vi säker programvara

Vårt arbete med programvaruutveckling är proaktivt och bygger på kontinuerlig förbättring. Vi använder en robust CI/CD-pipeline där varje förändring valideras genom automatiserade tester. På så sätt integreras säkerhet och kvalitet i koden redan från början.

Säker utvecklingslivscykel (SDLC)

Separerade miljöer: Vi håller miljöerna för Development, Stage och Production strikt åtskilda. Det säkerställer att utvecklingsarbete aldrig påverkar produktionsmiljön eller kunddata.
Riskhantering: Alla förändringar som inte är standardförändringar genomgår en riskbedömning enligt en 5x5-matris (sannolikhet kontra konsekvens). För förändringar som bedöms innebära kritisk risk genomförs hotmodellering baserad på STRIDE för att identifiera och hantera potentiella säkerhetsrisker innan implementationen påbörjas.
Säkerhetsutbildning: Våra utvecklare och Security Champions genomgår regelbundet säkerhetsutbildningar, med särskilt fokus på sårbarheterna i OWASP Top 10.
Infrastructure as Code (IaC): Vi hanterar vår infrastruktur genom kod i stället för manuella förändringar. Det säkerställer att våra miljöer är konsekventa och reproducerbara samt minskar risken för manuella konfigurationsfel.
Kodgranskning: Vi tillämpar en strikt fyrögonprincip för att säkerställa ansvarsfördelning (Separation of Duties, SoD). Varje förändring måste godkännas av minst en oberoende granskare utöver den person som har gjort förändringen.
Spårbarhet: Alla förändringar av kod och infrastruktur loggas och versionshanteras, vilket ger en komplett historik över förändringar i vår miljö.

Säkerhet i CI/CD-pipelinen

Vi använder en fullt automatiserad CI/CD-pipeline (Continuous Integration/Continuous Deployment) som fungerar som en säkerhetskontroll, minskar risken för mänskliga fel och säkerställer en konsekvent process.

Continuous Integration (CI): Varje kodförändring utlöser en automatiserad bygg- och testsekvens som omfattar enhetstester (Unit Tests) och integrationstester (Integration Tests). När en ny version skapas genomför vi även End-to-End-tester (E2E) för att verifiera att programvaran är stabil och säker innan den går vidare.
Continuous Deployment (CD): Uppdateringar driftsätts i en kontrollerad ordning: först i Development, därefter i Stage, där Smoke Tests genomförs, och slutligen i Production. Det gör det möjligt för oss att leverera dagliga uppdateringar och snabbt åtgärda säkerhetssårbarheter utan att kompromissa med tillförlitligheten.

Automatiserad säkerhetsskanning

Vi stärker säkerheten ytterligare genom omfattande och regelbundna säkerhetsskanningar:

SAST (Static Application Security Testing): Skannar källkoden efter sårbarheter.
SCA (Software Composition Analysis): Kontrollerar tredjepartsbibliotek avseende kända sårbarheter och licensefterlevnad.
DAST (Dynamic Application Security Testing): Simulerar attacker mot vår Stage-miljö, som är en kopia av Production, för att identifiera sårbarheter under körning.

Penetrationstester

Vi validerar våra interna säkerhetskontroller genom att anlita en extern leverantör som genomför penetrationstester årligen. Det hjälper oss att identifiera och hantera nya och föränderliga attackvektorer.

Så skyddar vi dina data

Vi använder flera lager av säkerhetsåtgärder för att säkerställa att dina data är krypterade, säkerhetskopierade och hanteras inom regioner som uppfyller relevanta krav.

Så skyddar och begränsar vi åtkomsten till data

Rollbaserad åtkomstkontroll (RBAC): Vi tillämpar principen om minsta möjliga behörighet (Principle of Least Privilege), vilket innebär att åtkomst endast beviljas utifrån roller och ansvarsområden.
Säker autentisering: All åtkomst för personal skyddas med Single Sign-On (SSO) och obligatorisk multifaktorautentisering (MFA). Administrativ åtkomst begränsas ytterligare genom strikt IP-vitlistning.
Ingen åtkomst: Utvecklare har ingen läs- eller skrivåtkomst till produktionsdata.
Privilegierad åtkomst: Administrativ åtkomst är begränsad och endast tillgänglig för behörig personal.

Så säkerställer vi att dina data är skyddade och stannar inom EU

Alla personuppgifter lagras och behandlas inom Microsofts EU Data Boundary (EU/EES), vilket bidrar till efterlevnad av europeisk dataskyddslagstiftning.

Genom att använda Microsoft Azure bygger vi vidare på en branschledande infrastruktur som är utformad för verksamhetskritisk tillförlitlighet och motståndskraft. Våra kunder får därmed tillgång till avancerad fysisk säkerhet, redundanta strömförsörjningssystem och Microsofts omfattande och kontinuerliga investeringar i cybersäkerhet.

Skydd av data – hela tiden

Vi använder Azures FIPS 140-2-kompatibla infrastruktur för att säkerställa ett robust skydd av information.

Lagrad data (At Rest): Alla databaser krypteras med AES 256-bitars kryptering.
Data under överföring (In Transit): Vi använder HTTPS med minst TLS 1.2 för all kommunikation.

Säkerhetskopiering och återställning

Vi skyddar mot oavsiktlig radering, otillåtna ändringar och ransomware genom oföränderliga säkerhetskopior (Backup Immutability/WORM). Vi har en Long-Term Retention-policy (LTR) på en månad, med differentiella säkerhetskopior var 12:e timme och transaktionsloggbackuper var 10:e minut.

Så skyddar vi oss mot säkerhetshot

Vi arbetar aktivt för att skydda både nätverkets yttre gränser och våra interna system mot skadliga aktörer. Arbetet bygger på en Defense-in-Depth-strategi i kombination med kontinuerlig övervakning dygnet runt.

Övervakning och incidenthantering dygnet runt

Övervakning i realtid: Vi använder Vismas Global Security Operations Centre (GSOC), som är bemannat dygnet runt. Säkerhetsexperter och automatiserade system analyserar kontinuerligt loggar, övervakar avvikelser och hanterar potentiella hot i realtid.
SIEM (Security Information and Event Management): Vi har en dedikerad SIEM-lösning som skickar säkerhetshändelser till en separat och isolerad Event Hub-infrastruktur. Det skyddar säkerhetsdata mot manipulation och gör att informationen kan sparas i ett år för forensisk analys.
Kontinuerlig identifiering av hot: Vi använder Microsoft Defender for Cloud, Defender EASM och Orca Security för att kontinuerligt kartlägga vår digitala attackyta, identifiera okända risker och prioritera åtgärder innan riskerna utvecklas till problem.

Nätverksskydd

DDoS-skydd: Vi använder en enda publik ingångspunkt med DDoS-skydd på Layer 7 för att minimera vår attackyta.
Web Application Firewall (WAF): Vår WAF blockerar aktivt SQL-injektioner, cross-site scripting och andra vanliga webbattacker.

Zero Trust-arkitektur

Neka som standard (Deny by Default): Våra nätverkspolicyer och Access Control Lists (ACL) är konfigurerade för att neka all trafik som standard. Endast uttryckligen tillåten trafik kan passera.
Segmentering: Vi tillämpar strikt nätverkssegmentering där bland annat kunddata, CI/CD-pipelines och AI-tjänster isoleras i separata skyddade subnät.
Privata anslutningar: Backend-tjänster kommunicerar uteslutande via säkra, privata anslutningar och exponeras därmed inte mot det publika internet. Vi använder Network Security Groups (NSG) för att strikt filtrera intern trafik och säkerställa att endast behöriga resurser kan kommunicera med varandra.

Patchhantering

Modell för delat ansvar (Shared Responsibility Model): Microsoft ansvarar för säkerhetsuppdateringar av den underliggande infrastrukturen och operativsystemen, medan vi ansvarar för applikationslagret.
Snabb hantering: Vår målsättning är att åtgärda sårbarheter med hög eller kritisk allvarlighetsgrad inom 24 timmar, när det är möjligt.

Roadmap för regelefterlevnad

Vi arbetar för att upprätthålla höga standarder inom informationssäkerhet och operativ kvalitet.

Anpassning till ISO 27001: Vi arbetar i linje med kraven i ISO 27001. Våra säkerhetskontroller, riskhanteringsprocesser och policyer är utformade för att möta dessa krav.
Strategiska mål 2026: Att uppnå ISO 27001-certifiering och erhålla en ISAE 3402-rapport är prioriterade mål för 2026.

Detta dokument är endast avsett som information och beskriver säkerhetsläget för Flex HRM vid publiceringstillfället (senast uppdaterat 2026-05-22).