Sikkerhet / NSM Grunnprinsipper

    NSM Grunnprinsipper 2.1 — kartlegging

    Denne siden er vedlikeholdt av Justera og viser vår egen-kartlegging av tekniske og organisatoriske kontroller mot NSM Grunnprinsipper for IKT-sikkerhet 2.1. Ikke en uavhengig sertifisering. Uavhengig revisjon (ISO 27001) er på roadmap.

    Kort svar: Justera oppfyller intensjonen i NSM Grunnprinsipper for de fleste kontroller. Vi er alignet, ikke sertifisert. Enterprise-kunder som krever sertifisering, ta kontakt for statuslinje.

    Identifiser og kartlegg

    3 kontroller

    1.1

    Kartlegg data og systemer

    Alle tabeller dokumentert i schema, kundedata låst til workspace_id.

    Implementert
    1.2

    Kartlegg avhengigheter

    Underleverandører listet på /sikkerhet/data-lokasjon.

    Implementert
    1.3

    Risikoanalyse

    Intern gjennomgang gjøres av teamet selv. Ekstern penetrasjonstest er ikke gjennomført og ikke avtalt med leverandør.

    Delvis

    Beskytt og oppretthold

    5 kontroller

    2.1

    Ivareta sikker konfigurasjon

    Infrastruktur som kode via databasemigrasjoner; alle endringer versjonert.

    Implementert
    2.2

    Kontroller identiteter og tilgang

    JWT-basert auth, workspace-scoped RLS, RBAC med 10 roller inkl. advokatfirma-hierarki.

    Implementert
    2.3

    Beskytt data i ro og bevegelse

    AES-256 ved lagring, TLS 1.2+ i transport.

    Implementert
    2.4

    Etabler evne til gjenoppretting

    Daglige krypterte backuper, 14 dagers oppbevaring, punktgjenoppretting i eu-west-1 (Irland).

    Implementert
    2.5

    Innfør en sikker programvareutviklings-praksis

    Automatisk sikkerhetsskanning, PR-review, RLS-tester i CI.

    Implementert

    Oppdage

    3 kontroller

    3.1

    Oppdag og fjern kjente sårbarheter

    Ukentlig avhengighetsskanning; kritiske CVE-er patches innen 72t.

    Implementert
    3.2

    Oppdag hendelser og avvik

    Kritiske edge-function-feil trigger e-postvarsel via critical_failure_alerts + platform admin.

    Implementert
    3.3

    Analyser data fra hendelser

    Feilrapportering og internt adminpanel gir sanntidsinnsikt; SIEM-integrasjon på roadmap.

    Delvis

    Håndtere og gjenopprette

    4 kontroller

    4.1

    Forbered virksomheten på håndtering

    Incident response-runbook, kontaktliste og eskaleringskjede dokumentert internt.

    Implementert
    4.2

    Vurder og kategoriser hendelser

    Klassifisering: kritisk / høy / lav basert på GDPR art. 33.

    Implementert
    4.3

    Kontroller og håndter hendelser

    72t-varslingsplikt mot Datatilsynet; kunder varsles direkte per e-post.

    Implementert
    4.4

    Evaluer og lær av hendelser

    Retrospektiv etter hver høy/kritisk hendelse; publiseres ikke offentlig.

    Delvis

    Referanser

    • NSM Grunnprinsipper for IKT-sikkerhet 2.1 — nsm.no

    • Datatilsynets veileder for kunstig intelligens — datatilsynet.no

    • GDPR art. 32 (sikkerhet ved behandling)

    Sist oppdatert: 2. november 2026.