Sikkerhet

Sikkerhet er grunnleggende for Lexera. Vi beskytter organisasjonsdata med industristandarder for kryptering, tilgangskontroll og overvåking.

1. Infrastruktur

Lexera kjører på Microsoft Azure med databehandling i EU/EØS-regionen:

  • Azure App Service med dedikerte ressurser (Norge, EU/EØS)
  • Azure Database for PostgreSQL med automatisk kryptering og automatiske sikkerhetskopier (7 dagers historikk, geografisk redundant)
  • Azure Key Vault for hemmelighetsforvaltning (API-nøkler, databasetilkoblinger, OAuth-hemmeligheter)
  • Databasetilgang begrenset med brannmurregler og påkrevd TLS

2. Autentisering og tilgangskontroll

Vi bruker flere lag med autentisering og autorisering:

  • OAuth 2.0 med Microsoft Entra ID og Google for bedriftsinnlogging
  • Passord hashes med bcrypt (ved bruk av e-post/passord-innlogging)
  • JWT-baserte sesjoner med HTTPOnly og Secure-flagg
  • Rollebasert tilgangskontroll (RBAC) med over 40 granulære tillatelser

3. Kryptering

Alle data er kryptert både under overføring og ved lagring:

  • TLS 1.2+ for all kommunikasjon mellom klient og server
  • AES-256-kryptering av data i databasen (Azure-administrert)
  • HTTPS påkrevd i alle miljøer – HTTP-forespørsler omdirigeres automatisk

4. Applikasjonssikkerhet

Vi følger OWASP-retningslinjer og implementerer flere beskyttelsesmekanismer:

  • Content Security Policy (CSP) for å forhindre XSS-angrep
  • CSRF-beskyttelse via autentiseringsrammeverket
  • SQL-injeksjonsbeskyttelse gjennom parameteriserte spørringer (Prisma ORM)
  • HTTP-sikkerhetsheadere: HSTS, X-Frame-Options, X-Content-Type-Options
  • Hastighetsbegrensning på innloggingsforsøk for å forhindre brute force-angrep

5. Overvåking og revisjon

Vi overvåker plattformen kontinuerlig:

  • Azure Application Insights for sanntidsovervåking og feilsporing
  • Revisjonslogg over endringer i vurderinger, godkjenninger og compliance-data (hvem, hva, når)
  • Automatiske varsler ved uvanlig aktivitet eller feil

6. Hendelseshåndtering

Vi har etablerte prosedyrer for sikkerhetshendelser. Ved et bekreftet databrudd varsles berørte organisasjoner uten ugrunnet opphold og senest innen 24 timer, slik at de kan overholde sin varslingsplikt til Datatilsynet innen 72 timer (GDPR art. 33).

Hendelsesrapporter dokumenteres og gjennomgås for å forhindre gjentakelse. Vi gjennomfører jevnlige sikkerhetsgjennomganger av infrastruktur og applikasjonskode.

7. Ansvarlig rapportering

Finner du en sårbarhet i Lexera? Vi setter pris på ansvarlig rapportering. Send detaljer til support@lexera.no, og vi vil svare innen 48 timer. Vi ber om at du ikke offentliggjør sårbarheten før vi har hatt mulighet til å utbedre den.

Sikkerhetsspørsmål? Kontakt oss på support@lexera.no