1. Adgangskontrol
- Autentificering kræves til beskyttede app-/API-funktioner.
- JWT-validering kontrollerer issuer, audience, signatur, levetid, bruger, organisation, rolle og auth-stamp.
- Organisation/tenant-kontekst anvendes til at adskille virksomheders data logisk.
- Roller og medlemskab kontrolleres ved tokenvalidering.
2. Password og session
Passwords gemmes ikke i klartekst. Arova anvender ASP.NET Identitys PasswordHasher til password hashing. Sessionsdata begrænses til nødvendige bruger-/organisationsoplysninger, mens API-adgang autentificeres med en sikker adgangstoken/session.
Brugere bør anvende unikke passwords, beskytte egne enheder og straks deaktivere adgang for medarbejdere, der ikke længere skal have adgang.
3. Netværk, transport og API
- Produktion anvender HTTPS, og API’et aktiverer HSTS uden for udviklingsmiljø.
- CORS er begrænset til konfigurerede Arova-origins.
- Rate limiting beskytter bl.a. login, offentlige formularer, AI-endpoint og offentlige forespørgsler mod simpel misbrug/overbelastning.
- Produktionsmiljøet anvender separat databaseinfrastruktur og server-side secrets til følsom konfiguration.
4. Data, database og isolation
Arovas produktionsmiljø anvender separat databaseinfrastruktur, krypteret transport og organisation/tenant-kontekst i dataadgangen for at reducere risikoen for krydsadgang mellem kunder.
AI-funktioner modtager kun den kontekst, som er nødvendig for den konkrete funktion. Arova anbefaler dataminimering, især ved generativ AI.
5. Leverandør- og secret-håndtering
Produktionsnøgler til betalings-, AI-, kommunikations- og integrationsleverandører håndteres som server-side secrets og skal ikke eksponeres i klientkode. Leverandører vurderes efter deres rolle og dokumenteres som led i Arovas databehandler- og compliancearbejde.
6. Sikkerhedshændelser
Ved en mistænkt sikkerhedshændelse prioriteres begrænsning, undersøgelse, afhjælpning og relevant kommunikation. Hvis hændelsen udgør et brud på persondatasikkerheden for data, Arova behandler på Kundens vegne, underrettes Kunden uden unødig forsinkelse efter DPA’en.
Sikkerhedsproblemer kan rapporteres til kontakt@arova.dk med emnet “Sikkerhed”. Undlad at sende passwords, API-nøgler eller følsomme personoplysninger i første henvendelse.
7. Delt ansvar
Sikkerhed afhænger også af Kundens konfiguration og adfærd. Kunden bør styre roller, holde brugerlisten opdateret, begrænse adgang efter behov, kontrollere integrationer og undgå at gemme unødvendige følsomme oplysninger.