Sikkerhetsoversikt

Tilgangsstyring

• Admin-tilgang: Tofaktorautentisering (MFA/TOTP) er påkrevd for alle administratorer.
• Rollebasert tilgangskontroll: Tre roller (owner, admin, manager) med differensierte rettigheter.
• Kursdeltakere: Token-basert identitetsbinding sikrer at hver deltaker kun har tilgang til egen kursflyt og egne resultater.

Datakryptering

Våre underleverandører tilbyr kryptering av data i hvile (AES-256) og i transitt (TLS 1.2+). Vi benytter disse kontrollene for all databehandling.

Tenant-isolasjon

Tenant-isolasjon håndheves på databasenivå (Row Level Security) og i applikasjonslaget via autorisasjonskontroller. Hver bedriftskunde har fullstendig separerte data.

Rate limiting

IP-basert rate limiting er aktivert på alle sensitive endpoints, inkludert innlogging, registrering og API-kall.

Audit logging

Admin-handlinger logges, inkludert innlogging, DPA-aksept og sertifikatutstedelse. Logger er tilgjengelige for behandlingsansvarlig ved behov.

Anti-juks

Quiz-fasit eksponeres aldri til klienten. All vurdering og scoring skjer server-side for å sikre integritet i sertifiseringen.

Sårbarhetshåndtering

OWASP Top 10 benyttes som utviklingsstandard. Koden gjennomgås med fokus på vanlige sårbarheter som injeksjon, autentiseringssvakheter og tilgangskontrollfeil.