Tilgangsstyring i KGV og KAV
Tilgang bør følge oppgave, konkurranse og fase, ikke brede permanente administratorroller.
Et anskaffelsessystem inneholder upubliserte konkurranser, tilbud, forretningshemmeligheter, evalueringer og kontraktsdata. Tilgangsstyring må derfor være en del av arbeidsflyten, ikke en innstilling som bare vurderes ved oppstart.
Rolle og ressurs
En rolle sier hva en bruker kan gjøre. Ressurstilknytningen sier hvor rollen gjelder. En evaluator kan for eksempel lese og score tildelingskriterier i én konkurranse, men skal ikke nødvendigvis se pris eller andre konkurranser.
Typiske roller er konkurranseansvarlig, fagmedlem, evaluator, godkjenner, kontraktsansvarlig, arkivansvarlig, revisor og systemadministrator. Unngå at «administrator» automatisk betyr tilgang til alt innhold.
Fasebasert tilgang
Tilgangen kan endres gjennom prosessen:
| Fase | Eksempel på kontroll |
|---|---|
| Utkast | Bare prosjektgruppen kan redigere |
| Publisert | Endringer krever godkjenning og eventuell rettelse |
| Før tilbudsfrist | Ingen kan lese tilbudsinnhold |
| Tilbudsåpning | Navngitte brukere åpner etter frist, gjerne med to-personers kontroll |
| Evaluering | Evaluator ser bare nødvendig materiale |
| Avsluttet | Skrivetilgang stenges, innsyn og arkiv følger egne roller |
Identitet og kundeisolasjon
Bruk sentral identitetsleverandør der det er mulig, med flerfaktor og rask deaktivering. I en flerleiet SaaS-løsning må hver databaseforespørsel håndheve kundegrensen. Et filter i brukergrensesnittet er ikke sikkerhetskontroll.
Eksterne fagpersoner bør få tidsbegrenset tilgang til navngitte konkurranser. Når oppdraget slutter, skal tilgangen utløpe automatisk. Delte kontoer gjør revisjonssporet verdiløst og bør ikke tillates.
Habilitet og separasjon av plikter
Systemet kan støtte habilitetserklæring før tilgang til tilbud eller evaluering. Det avgjør ikke den juridiske vurderingen, men kan sikre at vurderingen faktisk gjøres og dokumenteres.
Kritiske handlinger som tilbudsåpning, endring av evalueringsresultat etter låsing eller godkjenning av stor kontraktsendring kan kreve to roller. Les mer om habilitet i anskaffelser .
Periodisk kontroll
Kjør jevnlig rapport over aktive brukere, privilegerte roller, eksterne kontoer og tilganger uten nylig bruk. Ressurseier bør bekrefte eller fjerne dem. Logg både tildeling, bruk og tilbakekalling av tilgang i revisjonssporet .
Krav som kan testes
- En deaktivert bruker mister tilgang innen definert tid.
- Evaluator kan ikke åpne tilbud før åpning er gjennomført.
- Administrator kan drifte løsningen uten automatisk å lese tilbud.
- En bruker fra kunde A kan aldri hente ressurs fra kunde B, heller ikke via API.
- Eksport av tilbud krever navngitt rettighet og logges.
- Tilgangsrapport kan hentes per konkurranse og tidsrom.
Les også informasjonssikkerhet og personvern .
Offentlig kilde
Se NSMs grunnprinsipper for IKT-sikkerhet . Tilpass kontrollene til risiko, datatyper og virksomhetens ansvar.