Underlag för IT och informations­säkerhet

Analys, OCR, språkmodell, maskering och export körs på användarens dator. Inga dokument, filnamn, träffar eller användningsstatistik skickas till Itha AB eller någon annan. Programmet har ingen telemetri och ingen felrapportering.

Privera körs på Windows 10 och 11 (x64) och installeras förvalt per användare utan administratörsrätt. Installern kan också köras tyst och per dator, till exempel från Intune eller Configuration Manager. Hur det görs, med identifieringsregel, AppLocker- och WDAC-regler och avinstallation, står i IT-drift. Utrullningen är inte provad i Intune eller Configuration Manager. MSI-paket finns inte.

Privera använder språkmodellen KB/bert-base-swedish-cased-ner från KBLab vid Kungliga biblioteket, låst till en bestämd version. Den känner igen namn, organisationer och platser i svensk text. Personnummer, organisationsnummer, telefonnummer, e-post och liknande hittas med regler och kontrollsiffror, inte med modellen. Användaren granskar alla förslag och bestämmer själv vad som maskeras.

Modellen hämtas från Hugging Face första gången den behövs och körs sedan helt på datorn. Den är inte generativ: den skriver ingen text och svarar inte på frågor. Den tränas inte och finjusteras inte med era dokument, och programmet skickar inga dokument, träffar eller textutdrag till Itha AB eller någon annan, varken för träning eller av något annat skäl. Ingen molntjänst för AI används.

Vår bedömning är att Privera är ett AI-system enligt EU:s AI-förordning, förordning (EU) 2024/1689, men varken en förbjuden tillämpning eller ett system med hög risk enligt bilaga III. Programmet omfattas inte heller av transparenskraven för chattbotar och genererat innehåll i artikel 50. Bedömningen är vår egen och inte prövad av någon myndighet.

Programmet öppnar ingen inkommande port. Utgående trafik:

Från version 0.9.0-beta20 går anropen till licens.privera.se och uppdateringarna genom Windows nätverksinställningar: systemets proxy (även PAC) och certifikaten i Windows certifikatlager används, så de fungerar bakom proxy och TLS-inspektion. Hämtningen av språkmodellen följer inte samma väg, och dess stöd för proxy är inte provat. Den exakta listan över de lagringsadresser Hugging Face omdirigerar till har vi inte fastställt. Att förinstallera språkmodellen centralt, så att flödet till Hugging Face kan stängas, stöds inte i dag. Väljer användaren att hantera sitt abonnemang öppnas Stripes kundportal i webbläsaren.

Installern signeras av Itha AB via Microsoft Azure Trusted Signing. Programfiler (.exe, .dll, .pyd, .node) som saknar signatur signeras av Itha AB med tidsstämpel, och bygget stoppas om någon programfil saknar giltig signatur.

Uppdateringar lämnas bara ut till licenser som får köra programmet. Programmet kontrollerar SHA-512 och signaturen före installation och tvingar aldrig fram en omstart. Från version 0.9.0-beta22 krävs Itha AB:s hela utgivarnamn och den version som uppdateringsmanifestet angav, och kontrollen är stängd vid fel: kan den inte köras, till exempel för att Windows PowerShell är spärrat, installeras inga automatiska uppdateringar. I 0.9.0-beta21 och äldre jämfördes bara certifikatets namn (CN), och kontrollen hoppades över där PowerShell inte kunde köras.

Från version 0.9.0-beta22 är Electrons spärrar (fuses) satta i programfilen, så att den signerade programfilen inte kan användas för att köra annan kod, och programfilen har en binär version som stiger med varje version (0.9.0.22). Versionerna 0.9.0-beta12 till 0.9.0-beta21 är också signerade av Itha AB men saknar spärrarna. AppLocker behöver därför, utöver en utgivarregel för Itha AB, en nekande regel för Privera till och med version 0.9.0.21. I en installation per användare kan användaren byta ut programmets filer; installera därför per dator. Regeln och det som är kvar står i IT-drift.

Från version 0.9.0-beta21 kan organisationen styra uppdateringarna centralt med grupprincip eller Intune: stänga av dem och rulla ut nya versioner själv, eller låta programmet bara meddela att en ny version finns. En ADMX-mall finns, se IT-drift.

Från version 0.9.0-beta20 skriver Privera en säkerhetslogg till Windows händelselogg (Application, källan Privera) med fasta händelse-ID och till en hashkedjad JSONL-fil. Loggkatalog, fillogg, händelselogg och rensning av exportloggar styrs med registerpolicy under HKLM\Software\Policies\Privera, som också går att sätta med ADMX-mallen. Loggen innehåller inga dokumentuppgifter, filnamn eller sökvägar. Från version 0.9.0-beta22 står varje export i händelseloggen innan utfilen skrivs, och organisationen kan kräva det med policy. Varje export ger dessutom en lokal exportlogg med SHA-256 för källfil och utfil.

Programmet kan upptäcka manipulation av loggen men inte hindra den. Det kan bara organisationens egna åtgärder: append-only-behörighet på loggkatalogen och insamling till SIEM. En vanlig användare kan fylla händelseloggen och en administratör kan rensa den, så det som räknas är det som SIEM redan har samlat in. Insamlingen är inte provad med Windows Event Forwarding eller i något SIEM. Licensservern skriver en säkerhetslogg med pseudonymer i stället för licensnyckel och IP-adress, men den sparas inte i dag och når inte organisationens SIEM. Begränsningarna står i Säkerhetsloggning.

Säkerhetsuppdateringar ingår i abonnemanget, och bara den senaste versionen rättas. Betan får säkerhetsrättningar fram till att version 1.0 ges ut. Från 1.0 ges säkerhetsrättningar i 5 år, med minst 6 månaders varsel före supportens slut. Version 1.0 är inte utgiven och har inget fastställt datum. Utan kontakt med licensservern fungerar programmet i högst 14 dagar efter senaste lyckade förnyelse. Om Itha AB upphör får kunderna en slutversion som fungerar utan licensserver. Den mekanismen finns från version 0.9.0-beta20.

Hur Privera och Itha AB stöder kundens arbete enligt NIS2 och cybersäkerhetslagen, artikel 20, 21 och 23, och vad som saknas, står i Stöd för kundens NIS2-efterlevnad.

Itha AB är inte certifierat enligt ISO 27001 eller SOC 2. Certifieringarna visar att en leverantör skyddar de uppgifter den tar emot, och Privera är byggt så att Itha AB inte tar emot organisationens dokument vid vanlig användning. De behandlas bara på organisationens egna datorer, utom när organisationen själv lämnar ett dokument för felsökning enligt ett särskilt personuppgiftsbiträdesavtal.

Det Itha AB har är uppgifter om köp, licens och support. Licens- och betaluppgifterna ligger hos Cloudflare och Stripe, som har egna intyg. Cloudflare, som driver licensservern, är certifierat enligt ISO/IEC 27001:2022, 27018 och 27701 och har en SOC 2 Type II-rapport som omfattar de tjänster licensservern använder. Stripe, som hanterar betalningen, är certifierat enligt PCI DSS nivå 1 och har SOC 1- och SOC 2 Type II-rapporter samt en offentlig SOC 3-rapport. Supportmejl ligger hos one.com, och vårt interna kundregister och driftlarm hos Vercel och Neon. För dem redovisar vi inga intyg.

Hur våra egna rutiner förhåller sig till kontrollerna i ISO/IEC 27001:2022, kontroll för kontroll och med det som saknas utskrivet, står i Kontroller enligt ISO 27001. Bedömningen är vår egen och inte granskad av någon extern part.

• Privera är inte CE-märkt enligt EU:s cyberresiliensförordning. Kravet gäller från 2027-12-11.
• Itha AB är inte certifierat enligt ISO 27001 eller SOC 2.
• Inget penetrationstest och ingen oberoende kodgranskning har gjorts. Offerter på ett externt penetrationstest av skrivbordsappen och licensservern tas in under hösten 2026; målet är ett genomfört test under Q1 2027.
• Ingen MFA och inga roller i programmet. Åtkomsten följer Windows-kontot. Webbens kundsida öppnas med licensnyckeln som enda faktor.
• Säkerhetsbilagan om incidenter, revision och insyn är ett utkast för juristgranskning och inte undertecknad av någon kund. Köpvillkoren nämner inte incidenter eller revision.
• Automatisk bevakning av sårbarheter finns bara för npm-beroendena (larm från GitHub sedan 2026-10-23), inte för motorns Python-paket och OCR-motorns bibliotek, och ingen sårbarhetsskanning görs mot SBOM:en.
• Licensserverns säkerhetslogg sparas inte, eftersom licensnyckeln fortfarande står i adressen vid nedladdningen av installern.
• I en installation per användare kan användaren byta ut programmets filer. Skyddet mot det är installation per dator eller AppLocker och WDAC.
• Ingen fast rutin för att byta Electron-serie i tid. Programmet levereras med Electron 44, vars stöd enligt Electrons tidsplan upphör 2027-03-02.
• Säkerhetsärenden hanteras av en person, inkorgen bevakas helgfria vardagar och det finns ingen jour.

Planerade datum står i respektive dokument.

• IT-driftTyst installation per dator, Intune, AppLocker och WDAC, registerpolicyer med ADMX-mall, styrning av uppdateringar, VDI och avinstallation.
• SårbarhetshanteringMottagning, bedömning med CVSS, tidsramar för åtgärd, samordnat röjande och säkerhetsmeddelanden.
• IncidentrutinRoller, vad som räknas som incident, förlopp och rapportering till CERT-SE, ENISA, IMY och kunder.
• SäkerhetsloggningHändelsekoder, hashkedja, Windows händelselogg, registerpolicy och insamling till SIEM.
• Kryptering och åtkomstkontrollTLS, kryptering i vila, nyckelhantering och varför programmet saknar egna konton och roller.
• UnderleverantörerVilka leverantörer som behandlar vilka uppgifter, var de finns och på vilken överföringsgrund.
• Livscykel och supportSupportperiod, säkerhetsuppdateringar, uppdateringskanal, drift utan licensserver och slut på support.
• Säker utvecklingTester, releasekontroller, signering, beroenden och det som ännu saknas.
• SBOMKomponentförteckningen i CycloneDX: vad den täcker, hur den tas fram och kända luckor.
• AvvecklingslägeHur Privera fortsätter fungera utan licensservern om Itha AB upphör eller slutar med Privera.
• Kontroller enligt ISO 27001Hur rutinerna förhåller sig till kontrollerna i ISO/IEC 27001:2022, varför certifieringen väger lättare för ett lokalt program, och underleverantörernas intyg.
• Plan för CRALäget mot EU:s cyberresiliensförordning: klassning, rapportering, supportperiod och tidsplan.
• Stöd för kundens NIS2-efterlevnadHur Privera och Itha AB stöder kundens arbete enligt NIS2 och cybersäkerhetslagen, artikel 20, 21 och 23, och vad som saknas.

Alla dokument samlade i en fil för e-post: Privera säkerhetsunderlag (PDF).

CycloneDX 1.5 i JSON för version 0.9.0-beta22: privera-0.9.0-beta22.cdx.json, med kontrollsumma (SHA-256) i privera-0.9.0-beta22.cdx.json.sha256. Från 0.9.0-beta22 tas den fram ur det byggda paketet i bygget. SBOM:erna för 0.9.0-beta20 och 0.9.0-beta21 finns på samma plats. Filen är inte signerad. Innehåll och kända luckor beskrivs i SBOM.

Policyn för sårbarhetsrapporter och samordnat röjande finns på Rapportera en sårbarhet. Kontaktuppgifterna finns också maskinläsbart i security.txt.

Avtalsbilagan om säkerhet, incidenter, revision och insyn publiceras inte här. Den är ett utkast för juristgranskning och lämnas ut på begäran till [email protected].