Sikkerhet og etterlevelse · onVisit by Visma
Sikkerhet og etterlevelse i onVisit
onVisit utvikles og driftes av Adaptive AS, en del av Visma-konsernet, etter et ISO/IEC 27001-basert styringssystem, i Microsoft Azure innenfor EU, med 24/7 sikkerhetsovervåkning fra Visma Security Center. Her finner dere det IT, sikkerhet og personvernombud trenger for å vurdere løsningen.
- ISO/IEC 27001-basert ISMS
- Visma Cloud Delivery Model
- Microsoft Azure · EU
- GDPR · databehandleravtale
- NIS2-klar sporbarhet
- 24/7 SOC
ISO 27001
basert styringssystem (ISMS)
EU
datalagring i europeiske Azure-regioner
24/7
overvåkning, deteksjon og respons
99,99 %
historisk tilgjengelighet siste år*
*Oppgitt historisk tilgjengelighet – ikke en garanti. Avtalt oppetid og kompensasjon reguleres i avtalen.
Kort forklart
Hva betyr sikkerhet og etterlevelse i et besøkssystem?
Et besøkssystem behandler personopplysninger om gjester og ansatte, og er for mange virksomheter en del av den fysiske tilgangskontrollen. Sikkerhet og etterlevelse handler derfor om tre ting: at tjenesten utvikles og driftes etter et dokumentert sikkerhetsrammeverk, at personopplysninger behandles i tråd med GDPR med dataminimering, slettefrister og databehandleravtale, og at virksomheten kan dokumentere hvem som var i bygget når – slik NIS2, Sikkerhetsloven og internkontrollforskriften krever av stadig flere.
Leverandør
Adaptive AS – del av Visma siden 2024
Norsk utvikler av besøkssystemer siden 2009, AAA-kredittrating. Som del av Visma følger onVisit konsernets sikkerhetsprogram og leverandørtransparens.
Metode
Visma Cloud Delivery Model
Sikkerhetskrav i hele utviklingsløpet: kodegjennomgang, sårbarhetshåndtering, endringskontroll og dokumentert beredskap – fra design til produksjon.
Overvåkning
Visma Security Center
Konsernets sikkerhetsfunksjon med 24/7 SOC, hendelses- og krisehåndtering, trusseletterretning og løpende forbedring av kontroller.
Sikkerhetsrammeverk
Slik utvikles og driftes onVisit
Styring
ISMS basert på ISO/IEC 27001
Etablert informasjonssikkerhetsstyringssystem med tydelige roller, risikostyring, interne kontroller og jevnlige revisjoner.
Utvikling
Sikker utvikling (VCDM)
Sikkerhetskrav i utviklingsløpet, kodegjennomganger, sårbarhetshåndtering, endringskontroll og testing før produksjonssetting.
Drift
Microsoft Azure
Segmentering, kryptering i transitt og i ro, nøkkelhåndtering, overvåkning og logging. Høy tilgjengelighet og kontinuerlig sikkerhetsoppdatering.
Visma Security Program
onVisit inngår i Vismas felles sikkerhetsprogram. Funn fra overvåkning, tester og revisjoner følges opp sammen med produktteamet.
Kontinuitet
Beredskap og gjenoppretting
Overvåkning, varsling og etablerte rutiner for hendelseshåndtering gir rask respons. Dokumenterte beredskapsplaner dekker gjenoppretting og kommunikasjon. Historisk tilgjengelighet siste år: 99,99 %.
Personvern og databeskyttelse
GDPR som standard – ikke som tillegg
Dere er behandlingsansvarlig, Adaptive er databehandler. Databehandleravtale og oversikt over underleverandører følger med.
Dataminimering
Kun det besøket krever
onVisit lagrer navn, firma, mobilnummer og e-post der det er registrert, eventuelt skiltnummer, besøksperiode og besøksmottaker. Hvilke felt som er påkrevd, styrer dere selv.
Slettefrister
Automatisk sletting
Gjester som ikke ønsker å bli husket anonymiseres etter et antall dager dere setter (standard 10, kan settes til 0). Gjester som har samtykket til lagring slettes automatisk etter 365 dager uten besøk. Manuell anonymisering ved innsynskrav.
Lagring
Europeiske Azure-regioner
All data i onVisit Online lagres i Microsofts driftssenter i Vest-Europa. Ingen lagring utenfor EU. Datalagring, dataflyt og backup beskrives i detalj på forespørsel.
Informasjonsplikt
Personverntekst i registreringen
Gjesten får informasjon om behandlingen direkte i innsjekk, på valgt språk. Teksten tilpasses virksomhetens eget reglement.
Innsyn og kontroll
Rapporter og eksport
Dynamiske rapporter med eksport gjør internkontroll, innsynsbegjæringer og revisjon enklere.
Tredjeparter
Transparens om underleverandører
Oversikt over underleverandører leveres sammen med databehandleravtalen. Bruker dere Google Forms til HMS-erklæring, er Google databehandler for skjemadataene.
Tilgang og identitet
Hvem får gjøre hva – og hvem er gjesten?
Ansatte
SSO med Microsoft Entra ID
Pålogging til onVisit-portalen med virksomhetens egen identitetsleverandør og MFA-policy.
Brukerstyring
Katalogsynk via SCIM 2.0
Ansatte og besøksmottakere opprettes, oppdateres og deaktiveres automatisk fra Entra ID. Sluttede ansatte slettes innen ett døgn etter deaktivering.
Rettigheter
Roller og tillatelser
Forhåndsdefinerte roller (administrator, firmaadministrator, resepsjon, besøksmottaker, bruker) og egendefinerte roller avgrenset til bestemte lokasjoner.
Gjestens identitet
Digital legitimering med BankID
Gjesten skanner ID-kortet i BankID-appen ved innsjekk. Kan kombineres med HMS- eller NDA-erklæring og manuell ID-sjekk som fallback.
Adgang
Godkjenning før adgang
Autoriseringsmodulen krever at vert eller resepsjon godkjenner besøket før gjesten slippes inn – for drop-in, forhåndsregistrerte eller begge.
Fysisk adgang
QR mot sluser og dører
Med integrasjon mot adgangskontroll gir gjestens QR-kode tilgang kun til godkjente soner, etter virksomhetens regler.
Regelverk
NIS2, Sikkerhetsloven og internkontroll
Kravene til sporbar fysisk tilgangskontroll skjerpes. Et digitalt besøkssystem er en del av dokumentasjonen.
NIS2
Sporbar tilgangskontroll
Virksomheter i kritiske og viktige sektorer må dokumentere fysisk og logisk tilgangskontroll, føre tilgangslogger og vurdere leverandørrisiko. onVisit gir logg over hvem som var i bygget når, og Visma gir leverandørtransparensen.
Sikkerhetsloven
Dokumentert adgangskontroll
Sikkerhetsgodkjente virksomheter må kunne dokumentere besøkskontroll. ID-verifisering, godkjenning og logg støtter dette.
Internkontroll og HMS
Evakuering og dokumenterte rutiner
Arbeidsmiljøloven § 3-1 og internkontrollforskriften krever oversikt over hvem som er i bygget. Evakueringsliste i sanntid og SMS-varsling er innebygd.
Full gjennomgang av lovkravene finner dere i guiden til lovkrav, GDPR og NIS2. Funksjonene støtter etterlevelse, men oppfyllelse av kravene må vurderes mot virksomhetens egen risiko og rutiner.
Dokumentasjon
Dette kan dere få på forespørsel
Til anskaffelse, risikovurdering og revisjon.
Dokumentpakke
- Databehandleravtale (DPA)
- Oversikt over underleverandører
- Beskrivelse av sikkerhetsarkitektur
- Datalagring, dataflyt og backup
- Beskrivelse av ISMS og Visma Cloud Delivery Model
- Svar på sikkerhetsskjema (f.eks. ved anbud)
Slik går dere frem
Send en henvendelse med hvilke dokumenter dere trenger og formålet (anskaffelse, DPIA, revisjon). Vi svarer normalt innen få virkedager, og tar gjerne et møte med IT eller personvernombud.
Vanlige spørsmål
Ofte stilte spørsmål om sikkerhet og personvern
Hvor lagres dataene i onVisit?
All data i onVisit Online lagres i Microsofts driftssenter i Vest-Europa (Azure). Det lagres ikke data utenfor EU, og data er kun tilgjengelig for autorisert personell.
Er onVisit ISO 27001-sertifisert?
onVisit utvikles og driftes etter et informasjonssikkerhetsstyringssystem (ISMS) basert på ISO/IEC 27001, som del av Vismas sikkerhetsprogram og Visma Cloud Delivery Model. Dokumentasjon av styringssystemet kan fås på forespørsel.
Får vi databehandleravtale?
Ja. Databehandleravtale og oversikt over underleverandører følger med avtalen. Dere er behandlingsansvarlig, Adaptive AS er databehandler.
Hvor lenge lagres opplysninger om besøkende?
Det styrer dere selv. Standard er at gjester som ikke ønsker å bli husket anonymiseres etter 10 dager (kan settes til 0), og at gjester som har samtykket til lagring slettes etter 365 dager uten besøk.
Hvordan hjelper onVisit med NIS2?
onVisit gir dokumentert og sporbar fysisk tilgangskontroll: hvem som ble registrert inn og ut, når, og av hvem besøket ble godkjent. Som del av Visma leveres også den leverandørtransparensen NIS2 krever.
Støttes SSO og automatisk brukersynkronisering?
Ja. Pålogging med SSO fra Microsoft Entra ID og synkronisering av ansatte via SCIM 2.0. Sluttede ansatte deaktiveres automatisk.
Hvem overvåker tjenesten?
Visma Security Center, Visma-konsernets sikkerhetsfunksjon, leverer 24/7 sikkerhetsoperasjoner (SOC), hendelses- og krisehåndtering og trusseletterretning for onVisit.
Trenger IT eller personvernombud mer underlag?
Vi sender dokumentpakken og tar gjerne en gjennomgang av sikkerhetsarkitektur, dataflyt og databehandleravtale.
Les også