Kjell Tore Guttormsen
544934dc57
Reference files, test fixtures, the playground demo project and one design document now use generic, fictitious examples (buildings, energy, water, grants, municipal services). The playground demo (17 fixtures plus the embedded demo state) tells one consistent story: a municipal customer chatbot that pre-screens housing-benefit applications, classified under Annex III point 5(a). The embedded demo copies were edited in place rather than regenerated, because they already carry newer AI Act dates than the fixture files. Legal text is unchanged. Test semantics are unchanged. Four dark-theme onboarding screenshots with outdated placeholder text are removed. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
3.6 KiB
3.6 KiB
S5: Sikkerhetsvurdering
S5.1: Sikkerhetsscoring
Totalscore: 2.80/5.00 — BETINGET AKSEPTABEL
| Dimensjon | Score | Status | Viktigste funn |
|---|---|---|---|
| Identity & Access | 3.5/5 | 🟡 Adekvat | Entra ID + Managed Identity. Mangler: PIM for admin, break-glass prosedyrer. |
| Network Security | 2.5/5 | 🟡 Adekvat | VNet-integrasjon planlagt. Mangler: Private Endpoints for alle endepunkter. |
| Data Protection | 2.0/5 | 🔴 Svak | Sweden Central for Azure OpenAI. Presidio PII planlagt. Mangler: CMK, DLP-policyer. |
| Content Safety | 3.5/5 | 🟡 Adekvat | Content Safety + Prompt Shields planlagt. Mangler: norskspesifikke policyer, Groundedness Detection tuning. |
| Compliance & Governance | 2.5/5 | 🟡 Adekvat | AI Act-klassifisering utført. Mangler: DPIA, AI-register, Schrems II TIA. |
| Monitoring & Response | 2.8/5 | 🟡 Adekvat | Application Insights + Sentinel planlagt. Mangler: AI-spesifikke deteksjonsregler, incident response-plan. |
Kritiske funn
P0 (Blokkerende):
- DPIA ikke gjennomført — Obligatorisk (GDPR art. 35) pga. PII i avviksrapporter
- Schrems II TIA mangler — Azure OpenAI i Sweden Central krever formell risikovurdering
- Incident Response-plan mangler — Ingen prosedyre for AI-spesifikke hendelser (prompt injection breach, PII-lekkasje)
P1 (Høy prioritet): 4. Red team-testing av security trimming — Må verifisere at rollebasert tilgangskontroll fungerer korrekt 5. AI-spesifikk alerting mangler — Ingen varsling for anomalier i prompt-mønstre eller uvanlig token-forbruk 6. PIM ikke konfigurert — Admin-tilgang til AI-ressurser bør styres via Privileged Identity Management
S5.2: DPIA-status
| Spørsmål | Svar |
|---|---|
| Behandles personopplysninger? | Ja — PII i avviksrapporter, chatlogger |
| Er DPIA påkrevd? | Ja (GDPR art. 35) |
| Er DPIA gjennomført? | ⬜ Ikke startet |
| Personvernombud involvert? | Planlagt for Fase 1 |
| Konsultasjon med Datatilsynet? | Vurderes etter DPIA |
Tidsestimat: 1-2 uker for gjennomføring, inkl. personvernombuds review.
S5.3: ROS-analyse
| # | Risiko | S | K | Nivå | Tiltak | Restrisiko |
|---|---|---|---|---|---|---|
| 1 | Hallusinering i faglige svar | 4 | 3 | HØY | Groundedness detection 0.8, kildehenvisninger, HITL-disclaimer | MIDDELS |
| 2 | PII-lekkasje via AI-svar | 2 | 4 | HØY | Presidio pre-indexing + runtime PII-filter + security trimming | LAV |
| 3 | Prompt injection | 3 | 3 | MIDDELS | Prompt Shields + Content Safety + system message-hardening | LAV |
| 4 | Uautorisert dokumenttilgang | 2 | 4 | MIDDELS | Security trimming med SharePoint ACL-mapping + Entra ID | LAV |
| 5 | Schrems II — data residency | 3 | 3 | MIDDELS | Formell TIA + risikoaksept. Data-at-rest i Norway East. | MIDDELS |
| 6 | Modell-degradering over tid | 2 | 2 | LAV | Kvartalsvis eval + drift-monitoring + automatisk rollback | LAV |
S5.4: Dataklassifisering
| Datatype | Klassifisering | Behandlingsgrunnlag | Lagringssted |
|---|---|---|---|
| Retningslinjer | Intern | Berettiget interesse | Azure AI Search (Norway East) |
| Kontrakter | Fortrolig | Berettiget interesse | Azure AI Search (Norway East), security trimmed |
| Saksdokumenter | Intern | Berettiget interesse | Azure AI Search (Norway East) |
| Avviksrapporter (PII) | Fortrolig | Samtykke/Lovhjemmel | Azure AI Search (Norway East), PII-maskert |
| Chatlogger | Intern | Berettiget interesse | Application Insights (Sweden Central), 90d retention |
| Åpne statistikkdata | Åpen | Åpne data | Ikke lagret — live API-oppslag |