Kontroller enligt ISO 27001
Itha AB · Gäller Privera 0.9.0-beta22 · Senast uppdaterad: 2026-10-23
Itha AB är inte certifierat enligt ISO 27001 eller SOC 2. Dokumentet beskriver i stället hur bolagets rutiner förhåller sig till kontrollerna i bilaga A i ISO/IEC 27001:2022, så att organisationen kan jämföra med sina egna krav. Det är Itha AB:s egen bedömning. Ingen extern part har granskat den, och den ersätter inte en certifiering.
Läget anges som Finns (infört), Delvis, Saknas eller Ej tillämpligt. Detaljerna står i de dokument som tabellerna hänvisar till.
1. Varför certifieringen väger lättare för Privera
En certifiering visar att en leverantör skyddar de uppgifter den tar emot. Privera är byggt så att Itha AB inte tar emot organisationens dokument vid vanlig användning:
- Dokumenten stannar hos organisationen. Analys, maskering och export görs på organisationens egna datorer. Programmet skickar inte dokument, filnamn, träffar eller användningsstatistik till Itha AB eller till någon underleverantör. Undantaget är när organisationen själv väljer att lämna ett dokument för felsökning. Det sker bara efter ett särskilt personuppgiftsbiträdesavtal för ärendet, och dokumentet raderas senast 30 dagar efter att det tagits emot, om organisationen inte skriftligen begär förlängning. Skickas det med e-post kan kopior av den krypterade arkivfilen finnas kvar i e-postleverantörens säkerhetskopior så länge leverantören sparar dem.
- Det Itha AB har är uppgifter om köp, licens och support. Licens- och betaluppgifterna ligger hos Cloudflare och Stripe, som har säkerhetsintyg. Cloudflare, som driver licensservern, licensdatabasen och lagringen av installationsfiler, är certifierat enligt ISO/IEC 27001:2022, ISO/IEC 27018 och ISO/IEC 27701 och har en SOC 2 Type II-rapport som omfattar Workers, D1 och R2. Stripe, som hanterar betalningen, är certifierat enligt PCI DSS som tjänsteleverantör på nivå 1 och har SOC 1- och SOC 2 Type II-rapporter samt en offentlig SOC 3-rapport. Supportmejl ligger hos one.com, och Itha AB:s interna kundregister och driftlarm hos Vercel och Neon. För dem redovisar Itha AB inga säkerhetsintyg. Se Underleverantörer.
Det som ändå behöver granskas hos Itha AB är själva programmet: att maskeringen håller, att installer och uppdateringar inte går att manipulera och att licensservern är skyddad. Det är dit tabellerna nedan riktar sig.
2. Organisatoriska kontroller (A.5)
| Kontroll | Läge | Beskrivning |
|---|---|---|
| 5.1 Policyer för informationssäkerhet | Delvis | Rutinerna är beskrivna i dokumenten under /security/it/. En samlad, beslutad säkerhetspolicy finns inte. |
| 5.2 Roller och ansvar | Delvis | En person är incidentansvarig. Ersättare är inte utsedd, se Incidentrutin. |
| 5.3 Åtskillnad av arbetsuppgifter | Saknas | Nästan alla ändringar görs av en utvecklare. Granskning av en andra person för säkerhetskritiska ändringar är planerad till Q1 2027, se Säker utveckling. |
| 5.5 och 5.6 Kontakt med myndigheter och intressegrupper | Finns | Rutin för rapportering till CERT-SE, ENISA och IMY. Inloggningen som krävs för rapportering enligt EU:s cyberresiliensförordning finns. |
| 5.7 Hotunderrättelser | Delvis | Larm från GitHub (Dependabot) om sårbara npm-beroenden sedan 2026-10-23. Motorns Python-paket och OCR-motorns bibliotek bevakas manuellt. |
| 5.9 Förteckning över tillgångar | Delvis | Komponentförteckning (SBOM) publiceras för programmet, från 0.9.0-beta22 framtagen ur det byggda paketet, se SBOM. Licensservern ingår inte i den än. Underleverantörerna är redovisade. |
| 5.14 Överföring av information | Finns | Programmet för inte över några dokument. Vid felsökning enligt särskilt personuppgiftsbiträdesavtal överförs dokumentet via organisationens egen tjänst för säker filöverföring eller som en AES-256-krypterad arkivfil, med lösenordet på annat sätt än med e-post, till exempel per telefon eller sms. Trafiken till licensservern går över TLS 1.2 eller 1.3, se Kryptering och åtkomstkontroll. |
| 5.15 till 5.18 Åtkomst, identitet, autentisering och behörigheter | Delvis | Programmet saknar egna konton och följer Windows-kontot, så organisationens inloggning och flerfaktorsautentisering gäller. För Itha AB:s egna administrativa konton är det inte dokumenterat vilka som har flerfaktorsautentisering. |
| 5.19 till 5.22 Leverantörsrelationer | Delvis | Underleverantörer, uppgifter och överföringsgrunder är redovisade. Att personuppgiftsbiträdesavtal gäller för alla är inte bekräftat, se Underleverantörer. |
| 5.23 Molntjänster | Delvis | Licensdatabas och lagring ligger hos Cloudflare i region Östeuropa. Lagring inom EU är inte garanterad. |
| 5.24 till 5.28 Incidenthantering | Delvis | Rutin för att ta emot, bedöma, begränsa, rapportera och följa upp finns. Ersättare och övning av rutinen saknas. |
| 5.29 och 5.30 Kontinuitet | Delvis | Om Itha AB upphör får kunderna en slutversion som fungerar utan licensserver, se Avvecklingsläge. Mekanismen är inte provad i ett installerat program på en ren dator. |
| 5.31 Rättsliga krav | Delvis | Rapportering enligt cyberresiliensförordningen gäller sedan 2026-09-11. CE-märkning planeras före 2027-12-11, se Plan för CRA. |
| 5.34 Integritet och skydd av personuppgifter | Delvis | Dokumenten behandlas bara hos organisationen, utom vid felsökning enligt särskilt personuppgiftsbiträdesavtal. Integritetspolicyn redovisar underleverantörerna för köp, licens och support, men ännu inte behandlingen vid säljutskick. Att personuppgiftsbiträdesavtal gäller för one.com, Vercel och Neon är inte bekräftat. |
| 5.35 Oberoende granskning av informationssäkerheten | Saknas | Ingen extern granskning och inget penetrationstest har gjorts. Offerter på ett externt penetrationstest av skrivbordsappen och licensservern tas in under hösten 2026; målet är ett genomfört test under Q1 2027. Extern kodgranskning är planerad till Q1 2027. |
| 5.37 Dokumenterade driftsrutiner | Finns | Installation, central styrning och avinstallation står i IT-drift. |
3. Personalkontroller (A.6)
| Kontroll | Läge | Beskrivning |
|---|---|---|
| 6.1 till 6.7 Bakgrundskontroll, villkor, utbildning, avslut och distansarbete | Saknas | Itha AB är ett litet bolag. Rutiner för detta är inte dokumenterade. |
| 6.8 Rapportering av säkerhetshändelser | Finns | Säkerhetsproblem rapporteras till [email protected]. En security.txt enligt RFC 9116 finns, se Sårbarhetshantering. |
4. Fysiska kontroller (A.7)
| Kontroll | Läge | Beskrivning |
|---|---|---|
| 7.1 till 7.14 Lokaler och utrustning | Delvis | Dokumenten behandlas i organisationens egna lokaler och på dess datorer, utom vid felsökning enligt särskilt personuppgiftsbiträdesavtal, då de finns på en namngiven dator hos Itha AB med krypterad disk. Itha AB har inga egna serverlokaler. Licensservern drivs hos Cloudflare, vars datacenter ingår i deras certifiering. Skyddet av Itha AB:s egna datorer, bland annat byggdatorn, är inte dokumenterat. |
5. Tekniska kontroller (A.8)
| Kontroll | Läge | Beskrivning |
|---|---|---|
| 8.5 Säker autentisering | Delvis | Licensbevis signeras med Ed25519 och kontrolleras mot en publik nyckel i programmet. För Itha AB:s egna administrativa konton är det inte dokumenterat vilka som har flerfaktorsautentisering, se 5.15 till 5.18. |
| 8.7 Skydd mot skadlig kod | Delvis | Installern signeras av Itha AB, och programfiler som saknar signatur signeras vid bygget. Bygget stoppas om någon programfil saknar giltig signatur. Från 0.9.0-beta22 kräver den automatiska uppdateringen Itha AB:s hela utgivarnamn och den version som manifestet angav, och avvisar uppdateringen när kontrollen inte kan köras. Electrons spärrar i programfilen är satta, och programfilens version stiger med varje version, så att AppLocker kan stänga ute äldre versioner. Kvar: i en installation per användare kan användaren byta ut programmets filer, se IT-drift avsnitt 4. |
| 8.8 Hantering av tekniska sårbarheter | Delvis | Bedömning med CVSS och tidsramar för åtgärd finns, se Sårbarhetshantering. Automatisk bevakning finns bara för npm-beroendena (Dependabot-larm sedan 2026-10-23), och ingen sårbarhetsskanning görs mot SBOM:en. |
| 8.9 Konfigurationshantering | Delvis | Uppdateringar och loggning kan styras centralt med registerpolicy och ADMX-mall. Policyn styr vanlig användning men skyddar inte mot en användare som avsiktligt kringgår den, se Säkerhetsloggning avsnitt 7.1. |
| 8.11 Maskering av data | Finns | Produktens huvudfunktion. Vald text tas bort ur filen, inte bara täcks över. Organisationen bedömer själv om uppgifter som finns kvar kan peka ut någon. |
| 8.12 Förhindrande av dataläckage | Finns | Exporten kontrolleras med flera metoder och stoppas om en kontroll underkänns. Varje bekräftat exportfel har ett eget regressionstest. |
| 8.13 Säkerhetskopiering | Delvis | Kundens filer lagras bara hos kunden, utom vid felsökning enligt särskilt personuppgiftsbiträdesavtal. Då säkerhetskopierar Itha AB inte dokumenten, men kopior av den krypterade arkivfilen kan finnas kvar i e-postleverantörens säkerhetskopior. Säkerhetskopiering av licensdatabasen är inte dokumenterad. |
| 8.15 Loggning | Delvis | Säkerhetslogg till Windows händelselogg och hashkedjad fil, som kan samlas in till SIEM. Programmet upptäcker manipulation av loggen men hindrar den inte; det kan bara organisationens behörigheter på loggkatalogen och insamlingen till SIEM. Insamlingen är inte provad mot något SIEM. Licensservern skriver en säkerhetslogg med pseudonymer i stället för licensnyckel och IP-adress, men den sparas inte i dag, se Säkerhetsloggning. |
| 8.20 till 8.22 Nätverkssäkerhet | Finns | Programmet öppnar ingen inkommande port. Utgående trafik går bara till licensservern och, första gången språkmodellen behövs, till Hugging Face. |
| 8.24 Kryptografi | Delvis | TLS 1.2 eller 1.3 i transit, och HSTS på privera.se och licens.privera.se. Sparade granskningar och licensfilen skyddas med Windows DPAPI. En skriftlig rutin för byte av signeringsnycklar saknas. |
| 8.25 till 8.29 Säker utveckling och testning | Delvis | Tester och kontroller när koden ändras och före varje version finns. Skriftlig hotmodell, penetrationstest och spärr som kräver godkända tester före release saknas, se Säker utveckling. |
| 8.28 Säker kodning | Delvis | Programfönstret har isolerat innehåll, sandlåda, blockerad navigering och strikt innehållspolicy. Från 0.9.0-beta22 är Electrons spärrar (fuses) i programfilen satta och felsökningsporten avstängd i kundutgåvan. Spärren GrantFileProtocolExtraPrivileges står kvar på, och en skriftlig hotmodell saknas, se Säker utveckling avsnitt 7. |
| 8.32 Ändringshantering | Delvis | All kod versionshanteras och ändringar görs på egna grenar. Granskning av en andra person saknas. |
6. Det som saknas, samlat
- Certifiering enligt ISO 27001 eller SOC 2. Itha AB har inget beslut om certifiering.
- Externt penetrationstest: offerter tas in under hösten 2026, och målet är ett genomfört test under Q1 2027. Extern kodgranskning, planerad till Q1 2027. Budget är inte fastställd.
- Information i integritetspolicyn om säljutskicken.
- Dokumentation av flerfaktorsautentisering för Itha AB:s administrativa konton.
- Ersättare för den incidentansvarige, och övning av incidentrutinen. Inkorgen bevakas helgfria vardagar, och det finns ingen jour.
- Samlad säkerhetspolicy, rutiner för personal och dokumenterat skydd av Itha AB:s egna datorer.
- Granskning av en andra person för säkerhetskritiska ändringar, och skriftlig hotmodell.
- Automatisk bevakning av sårbarheter i motorns Python-paket och OCR-motorns bibliotek, kontroll av beroenden i CI och sårbarhetsskanning mot SBOM:en.
- Lagring av licensserverns säkerhetslogg, som kräver att licensnyckeln och kassans session-id först flyttas ur adressen.
- Garanterad lagring inom EU hos Cloudflare.
Datumen är förslag och inte beslutade. De står i Säker utveckling och Plan för CRA.
Alla dokument finns också samlade i en PDF för e-post.