ExorLive brukes i helse- og omsorgstjenester, kommuner, klinikker og organisasjoner som stiller høye krav til informasjonssikkerhet. Vi bygger løsningen etter moderne sikkerhetsprinsipper og dokumenterbare standarder, slik at både brukere, pasienter og virksomheter kan være trygge på at data behandles sikkert.

Her finner du en samlet oversikt over hvordan ExorLive beskytter informasjon - teknisk, organisatorisk og juridisk.

Kort oppsummert

• Data lagres sikkert i EU/EØS

• All kommunikasjon er kryptert (TLS 1.2+)

• Data i hvile er kryptert (AES-256)

• Årlige eksterne sikkerhetstester

• ISO 27001-sertifisert og ISAE 3000-revidert

• Rollebasert tilgang, logging og sporbarhet

• Støtte for BankID, SSO og IdP-integrasjoner (tilleggstjenester)

Gå til:

Spesielt for Fagpersoner
Spesielt for Administratorer
Spesielt for IT-avdelinger
Spesielt for Juridisk ansvarlige og innkjøpere

Regelverk og standarder

ExorLive følger alle relevante lover og krav som gjelder for behandling av personopplysninger:

• GDPR og personopplysningsloven

• Norm for informasjonssikkerhet i helse- og omsorgssektoren

• Krav til databehandlere og sikkerhetskontroller

• Prinsipper for risikostyring, tilgangsstyring og kontinuerlig forbedring

Dette sikrer at ExorLive kan brukes trygt i både offentlig og privat sektor.

ISO-sertifiseringer og sikkerhetsrevisjoner

ExorLive er sertifisert etter ISO/IEC 27001, den ledende internasjonale standarden for informasjonssikkerhet. Sertifiseringen innebærer at vi har:

• et dokumentert og revidert styringssystem for informasjonssikkerhet (ISMS)
  faste prosedyrer for risikovurdering, drift, tilgangsstyring og hendelseshåndtering

• kontroller som kontinuerlig overvåkes og forbedres

• opplæring og bevisstgjøring av ansatte

I tillegg gjennomfører ExorLive:

• ISAE 3000-revisjon, som kontrollerer at sikkerhetsprosesser og tiltak etterleves i praksis

• Flere årlige tredjeparts penetrasjonstester av eksternt eksponerte tjenester

For kunder betyr dette at ExorLive følger internasjonalt anerkjent beste praksis for informasjonssikkerhet - og at sikkerhetsnivået er dokumentert, målt og kontinuerlig forbedret.

Til fagpersoner: Hvordan ExorLive beskytter dine pasienter

Hvem kan du se i ExorLive?

Du kan kun se de utøverne som du selv har lagt inn eller fått tilgang til i systemet.

For å åpne andre utøvere må du:

1. aktivt søke dem frem

2. bekrefte at du har gyldig grunnlag for tilgang

3. registrere en kommentar

Alle oppslag logges og kan kontrolleres av administrator.

Signering og låsing av treningsprogram

• Treningsprogrammer kan signeres, slik at de ikke lenger kan endres.

• Signering sikrer integritet og dokumenterer faglig ansvar.

• Les mer om hvordan du signerer treningprogrammer HER.

Sletting og strykning

• Låste/signerte programmer kan ikke slettes - kun strykes.

• Maler og ikke-personlige programmer kan slettes av den som opprettet dem eller en administrator.

Egne øvelser og GDPR

Når du laster opp egne bilder eller videoer:

• du beholder rettighetene

• du er ansvarlig for å innhente samtykke fra personer som innholdet viser

• du velger selv hvordan øvelsen kan deles videre

• Les mer her om hvilke regler som gjelder for innhold. 

Til administratorer: Sikker organisasjonsstyring

Roller og rettigheter

ExorLive har et fleksibelt rollebasert tilgangssystem som sikrer at:

• hver bruker kun har tilgang til det de trenger

• rettigheter følger organisatorisk plassering

• endringer registreres og er sporbare

Administratorer kan opprette, deaktivere eller endre brukere på en sikker og kontrollert måte.

HER kan du lese mer om de forskjellige rollene man kan ha i ExorLive.

Trestruktur

Organisasjoner kan bygges opp i en hierarkisk struktur med enheter, avdelinger og undergrupper.

Tilgangene følger denne strukturen, slik at brukere kun får innsyn der det er relevant.

Hvordan du gjør dette, kan du lese mer om HER.

Aktivitets- og tilgangslogg

Administrator kan når som helst hente ut rapporter som viser:

• oppslag i kontakter

• endringer i data

• programtilganger og signeringer

• systembruk og innlogginger

Dette gir kontroll, sporbarhet og dokumentasjon ved behov.

Til IT-avdelinger: Teknisk sikkerhet og infrastruktur

Identitet og autentisering

Standard autentisering:

• Saltet og hashet passordlagring

• TLS-kryptert innlogging

Tilgjengelige sikkerhetsmoduler (tilleggstjenester):

• BankID (NO/SE/DK/FI) - ExorLive GO

• Single Sign-On (SSO) via Azure AD/Entra ID

• SAML2

• OpenID Connect / OAuth2

• IdP-integrasjon for virksomheter

Disse modulene krever separat avtale.

Tilgangsstyring

• Personlige brukere (ingen felleskontoer)

• Rettigheter tildeles etter “least privilege”-prinsippet

• Alle endringer og innsyn er sporbare

• Full logging av administratorhandlinger

Kryptering og kommunikasjon

• All trafikk er kryptert (HTTPS/TLS 1.2+)

• All lagring i hvile er kryptert (AES-256 eller tilsvarende)

• Videomøter er ende-til-ende-kryptert (krever tilkjøpt videomodul)

• Ingen opptak lagres som standard

Drift og lagring

• ExorLive driftes i Microsoft Azure Dublin (EU/EØS)

• Daglige, krypterte backuper (lagres i 1 år)

• Redundant lagring for høy tilgjengelighet

• Kontinuerlig overvåkning av ytelse og sikkerhet

Systemarkitektur

• Moderne trelagsarkitektur som begrenser eksponering

• Rask patching av sårbarheter gjennom DevOps-prosess

• Regelmessig overvåkning av kapasitet, ytelse og belastning

API-sikkerhet

• OAuth2-basert tilgangsstyring

• API-nøkler med scopes

• Rate-limits og misbruksbeskyttelse

Til juridisk ansvarlige og innkjøpere

Databehandleravtale

ExorLive er databehandler for kundens sluttbrukere. Databehandleravtalen er integrert i lisensvilkårene og følger GDPR-krav.

Databehandleravtal kan findes HER.

Behandlingsgrunnlag

I helse- og offentlig sektor brukes typisk:

• offentlig interesse/helseformål

• samtykke

• avtaleforhold som databehandler

Underdatabehandlere

Vi benytter kun etablerte og dokumenterte leverandører:

• Microsoft Azure (drift, lagring)

  • Microsoft Customer Lockbox er aktivert.

• Atlassian/AWS (supportverktøy)

Ingen data lagres utenfor EU/EØS.

Retting, sletting og opphør av tjenesten

Ved avslutning kan data:

• slettes sikkert

• eventuelt eksporteres etter avtale

• Tilganger, integrasjoner og brukere deaktiveres som en del av avslutningsprosessen. 

Lurer du på mer? Se om noen av dine spørsmål ligger i vår oversikt over aktuelle sikkerhetsspørsmål (FAQ),  Les mer i vårt hjelpesenter, eller kontakt oss her!