EtusivuTekninen kuvaus
Tekninen kuvaus
Tämä kuvaus on tarkoitettu hankintapäättäjille, tietoturvavastaaville ja järjestelmäintegraatioista vastaaville henkilöille.
1. Arkkitehtuuri
IT-Elmeri on verkkopalveluna toimitettava sovellus (SaaS). Kaikki asiakkaat käyttävät samaa sovellusta, mutta jokaisella organisaatiolla on oma ympäristönsä, eivätkä organisaatiot näe toistensa tietoja.
Oma osoite
Jokainen asiakasympäristö tunnistetaan omasta osoitteestaan (esim. organisaatio.it-elmeri.fi). Toisen organisaation ympäristöön ei voi kirjautua.
Palvelinpuolen renderöinti
Sivut muodostetaan palvelimella. Käyttöoikeudet ja organisaation tiedot käsitellään palvelimella, eivät selaimessa.
Roolit
Rooli tarkistetaan palvelimella jokaisessa pyynnössä. Peruskäyttäjä näkee omat tukipyyntönsä, ja käsittelijä hoitaa organisaationsa pyyntöjä ja asetuksia.
2. Tietoturva
Tärkeimmät asiat lyhyesti. Tarkempi kuvaus on tietoturvasivulla.
Salattu tiedonsiirto
Kaikki liikenne salataan (TLS 1.2 ja 1.3). Salaamaton HTTP-liikenne ohjataan automaattisesti HTTPS-yhteyteen.
Organisaatioiden erottelu
Erottelu tarkistetaan sekä pyynnön reitityksessä että jokaisessa tietokantakyselyssä. Toisen organisaation ympäristöön ei voi kirjautua.
Tapahtumaloki
Tukipyynnön luonti, tilan muutokset ja kommentit kirjataan lokiin aikaleimoineen.
Kirjautuminen
Salasanoista tallennetaan vain bcrypt-tiiviste. Istunto on allekirjoitettu JWT-tunniste, jossa on käyttäjän organisaatio ja rooli. Istunto vanhenee 10 tunnin käyttämättömyyden jälkeen.
3. Infrastruktuuri ja jatkuvuus
Palvelin on UpCloudin konesalissa Helsingissä. Tietoja ei siirretä EU/ETA-alueen ulkopuolelle.
Helsinki, Suomi
Konesali on Suomessa, ja siihen sovelletaan Suomen lakia.
Joka yö
Tietokannan varmuuskopio joka yö, säilytys 30 vuorokautta. Lisäksi UpCloud varmuuskopioi palvelimen (säilytys 7 vuorokautta).
4. Lait ja velvoitteet
Tietosuoja-asetus
Henkilötietoja käsitellään tietosuoja-asetuksen mukaisesti. Käsittelyn perusteet on kuvattu tietosuojaselosteessa.
Käyttöoikeudet
Käyttäjillä ja ohjelmilla on vain tarvittavat oikeudet, ja ne tarkistetaan palvelimella.
Tapahtumaloki
Tärkeät toiminnot kirjataan lokiin aikaleimoineen, joten niitä voi selvittää jälkikäteen.
Haavoittuvuuksien ilmoittaminen
Havaitut haavoittuvuudet voi ilmoittaa osoitteeseen security@it-elmeri.fi
5. Pääsy asiakkaiden tietoihin ja päivitykset
Pääsy asiakkaiden tietoihin
Asiakkaiden tietoja käsitellään vain teknisen tuen ja vikojen selvittämisen yhteydessä asiakkaan pyynnöstä. Tietoja ei käytetä markkinointiin eikä muihin tarkoituksiin.
Päivitykset
Tietoturvapäivitykset asennetaan heti, kun ne julkaistaan. Suunnitellut huoltokatkot ilmoitetaan asiakkaille etukäteen sähköpostitse.
6. Salasanat ja laitteet
Kaikki toiminnot ovat samassa sovelluksessa ja samassa tietokannassa. Erillisiä moduuleja, asennuksia tai kirjautumisia ei ole.
- Salasanalinkit: salasanan tai muun luottamuksellisen tiedon toimitus kertakäyttöisellä linkillä. Salaus tehdään selaimessa (AES-GCM 256), ja avain on linkin #-osassa, jota selain ei lähetä palvelimelle. Tietokantaan tallentuu vain salattu sisältö.
- Saman laitteen pyynnöt: käsittelijä voi merkitä pyynnön koskemaan laitetta sarjanumerolla tai nimellä. Saman laitteen muut pyynnöt näkyvät pyynnön yhteydessä.
Säännöt, kuten vasteaikojen työaikalaskenta ja tietosuoja-arviointi, ovat erillään käyttöliittymästä omissa tiedostoissaan. Kun laki muuttuu, muutos tehdään yhteen paikkaan.
7. Laadunvarmistus
Testit ajetaan ennen jokaista tuotantoon vientiä.
- 103 yksikkötestiä sääntöjen tarkistamiseen: vasteaikojen työajat ja suomalaiset juhlapyhät, tietosuoja-arviointi sekä henkilötietojen poisto virheraporteista.
- Kokonaistestit käynnissä olevaa järjestelmää vasten: organisaatioiden erottelu, hyväksynnät, sähköpostilla tehdyt pyynnöt ja salasanalinkit.
8. Integraatiot
Sähköposti (SMTP)
Ilmoitukset tukipyyntöjen tapahtumista. Pyynnön voi tehdä myös sähköpostilla, ja vastaukset kirjataan pyyntöön kommentteina.
Microsoft-kirjautuminen (Entra ID)
Henkilöstö kirjautuu Microsoft-tunnuksillaan, eikä erillisiä salasanoja tarvita. Sisältyy hintaan.
9. Yhteyshenkilö
Teknisiin kysymyksiin ja hankintaprosessia koskeviin tiedusteluihin vastaa: elmeri@it-elmeri.fi