Risiko- og sårbarhetsvurdering

1. Omfang og forutsetninger

Omfanget omfatter også quiz med kallenavn, tidsbaserte poeng, streak, bilder, topplister, resultatarkiv og e-postavgrenset administrasjon, kontaktskjema og administrativ kontaktinnboks. Omfanget er oppretterregistrering og regelgodkjenning, innmelding med kode/QR, innsamling av svar, livevisning, rapporteksport, gjenbruk, nullstilling, papirkurv, sletting og deling av tilbakekallbare mal-kopier til registrerte opprettere. Verdiene som skal beskyttes er deltakernes personvern, riktige resultater, tilgang til egne økter og tjenestens tilgjengelighet.

Forutsetninger: liten kontrollert testgruppe, ufølsomt og ikke-identifiserende innhold, frivillig deltakelse, offentlig deltakerside og domenebegrenset opprettertilgang. Helse, personalsaker, barn, formelle valg, eksamen og annen bruk med store konsekvenser er utenfor denne vurderingens bruksscenario. Bredere bruk eller nye funksjoner krever en ny vurdering.

Dataflyt: oppretter logger inn via Clerk med bekreftet e-post; appen lagrer registreringsgodkjenning og undersøkelser i PostgreSQL på Vercel-oppsettet. Deltakerens nettleser får en tilfeldig ID og sender svar til økten. Verten og eventuelt salen ser resultater. Eksport opprettes i vertens nettleser og lagres der brukeren velger.

2. Metode og akseptkriterier

Sannsynlighet (S): 1 svært lite sannsynlig, 2 lite sannsynlig, 3 mulig, 4 sannsynlig, 5 svært sannsynlig. Konsekvens (K): 1 ubetydelig, 2 mindre, 3 moderat, 4 alvorlig, 5 svært alvorlig. Konsekvens vurderes for berørte personer og for konfidensialitet, integritet og tilgjengelighet.

Risiko = S × K. 1–5 er lav, 6–14 er middels og 15–25 er høy. «Før» er et scenario uten de oppførte app-tiltakene; «nå» er estimert restrisiko med dagens tiltak og de avgrensede testforutsetningene. Tallene er faglige skjønn, ikke målte sannsynligheter.

Foreslåtte kriterier: Høy risiko må reduseres eller avklares før det berørte bruksscenarioet tas i bruk. Middels risiko krever en navngitt ansvarlig, oppfølging og dokumentert aksept fra tjenesteeier. Lav risiko kan overvåkes. Tjenesteeier må godkjenne kriteriene og vurdere restrisikoen før testen utvides.

Begrunnelse for revurderingen

R14 er redusert fra 2 × 3 til 2 × 2 for nye delinger i den kontrollerte testen: avsender kan nå begrense eksponeringstiden, og videre deling i appen er sperret. Vurderingen forutsetter ufølsomt malinnhold. Tilbakekalling kan ikke oppheve kunnskap eller eksterne kopier. R07 beholder middels nivå inntil faktisk tidsstyrt opprydding er verifisert, selv om overvåking er lagt til. Øvrige nivåer er beholdt der det fortsatt mangler dokumentasjon eller tiltak.

Offentlig jobb-e-post, IP og tekniske øktdata vurderes ikke som sensitive opplysninger i seg selv. Risikoen avhenger av bruk, sammenheng og koblinger. Vi har derfor skilt sannsynlig skade i en liten, ufølsom test fra manglende dokumentasjon av rettslige krav. Tidligere R09-score 4 × 4 ga ikke tydelig nok uttrykk for dette skillet. Ny score 3 × 3 er et foreløpig faglig skjønn for dette scenarioet, ikke dokumentasjon på at avtalene er på plass.

Dataflyt, leverandørgjennomgang, foreløpig interesseavveiing og DPIA-vurdering. Ved annen bruk må konsekvens og sannsynlighet vurderes på nytt.

3. Risikooversikt

4. Hendelser og tiltaksplan

5. Verifikasjon og åpne kontroller

Automatiserte tester dekker sentrale API-kontroller for eierskap, registreringskrav, regelversjon, skala, øktstyring, automatisk resultatvisning, papirkurv og separate frister for maler og svar. Deling testes for eierskap, registrert mottaker, kopiering uten resultater og separat bilde-eierskap, tilbakekalling kun av avsender, videre-delingsforbud, avledede økter/resultater, bildefjerning og avvisning av gjenoppretting etter tilbakekalling. Kontaktflyten testes for innboksadgang, validering, ratebegrensning, deduplisering, status, sletting, lagring ved varslingsfeil og utelatelse av meldingsinnhold i e-postvarsler. Nettverksfeil og tidsavbrudd er simulert. Excel-strukturen er lest av en uavhengig fil-leser. Dette dokumenterer avgrensede funksjoner, ikke at hele tjenesten er feilfri.

Følgende er ikke ferdig verifisert: flere faktiske mobiler samtidig, deling mellom to faktiske kontoer og full ende-til-ende-registrering på tvers av enheter (én bruker har rapportert vellykket registrering etter et nytt forsøk), høy belastning, uavhengig sikkerhetstest, leverandøravtaler og lagringsland, driftsloggenes levetid, gjenoppretting fra sikkerhetskopi og universell utforming i hele brukerreisen.

6. Oppfølging og beslutning

Tjenesteeier fyller ut juridisk eier, kontaktperson og risikoeier, lukker eller håndterer de åpne tiltakene og dokumenterer eventuell aksept. Hver virksomhet må i tillegg vurdere sin egen bruk. ROS-en revideres etter første test, ved sikkerhetshendelser, leverandørbytte, nye datatyper eller offentlig åpning.

Ved en hendelse: stans innsamlingen, skjul resultater, begrens videre deling, dokumenter nødvendig hendelsesinformasjon og kontakt ansvarlig. Vurder sletting, skadebegrensning og eventuelle lovpålagte varsler. Ikke kopier sensitive svar inn i en generell feilmelding.

Dokumentet kan skrives ut eller lagres som PDF med nettleserens utskriftsfunksjon.