Trygghet og åpenhet

Definisjoner

Avtalte mål: De domener, underdomener, verter, URL-er, stier eller andre tekniske mål som autorisasjonen om sikkerhetsskanning fra Kunden omfatter, slik de er identifisert i portalen, i bestillingsskjema, i vedlegg eller i annen skriftlig instruks fra Kunden.

Aktiv skanning: Sikkerhetstesting som sender forespørsler, tester eller annen nettverkstrafikk mot Avtalte mål, herunder kartlegging, tjenestesjekk, sårbarhetstesting, portskanning (en metode innen IT-sikkerhet som brukes til å undersøke hvilke porter som står åpne på en datamaskin eller et nettverk), fuzzing (en automatisert metode for å teste programvare ved å mate den med enorme mengder tilfeldige, uventede eller ugyldige data for å se om programmet krasjer, oppfører seg rart eller lekker sensitiv informasjon) og aktiv applikasjonstesting.

Autorisasjon til sikkerhetsskanning fra Vernix: Dersom Kunden ønsker Aktiv skanning eller andre tjenester som forutsetter at Autorisasjon til sikkerhetsskanning fra Vernix er gitt av noen som kan forplikte Kunden til Vernix, gjelder siste versjon av slik autorisasjon som et tillegg til Kundeavtalen.

Bruker: En fysisk person som opptrer på vegne av Kunden.

Brukeravtale: Avtale mellom Vernix og en Bruker om rettigheter og plikter for Bruker på tjenester fra Vernix.

Databehandleravtalen: Databehandleravtale fra Vernix som databehandler til Kunden som behandlingsansvarlig. Databehandleravtalen anses som del av Kundeavtalen.

Kundeavtalen: Kundeavtale fra Vernix om tjenester til Kunden med generelle vilkår og spesielle vilkår som er avtalt mellom Partene.

Kunden: Den juridiske enheten som er avtalepart med Vernix. Kunden kan ikke være en privatperson.

Part: Kunden eller Vernix.

Partene: Kunden og Vernix.

Passiv testing: Sikkerhetstesting som sender forespørsler, tester eller annen nettverkstrafikk mot Avtalte mål, herunder kartlegging, tjenestesjekk, sårbarhetstesting, portskanning (en metode innen IT-sikkerhet som brukes til å undersøke hvilke porter som står åpne på en datamaskin eller et nettverk). Oppslag eller kontroll som sender aktiv trafikk mot Kundens systemer, for eksempel enkelte DNS-oppslag eller lesing av sertifikat-/headerinformasjon.

Formål med Brukeravtalen

Denne Brukeravtalen gjelder mellom Vernix og deg som er ansatt, innleid eller på annen måte autorisert sluttbruker hos det selskap som kalles Kunden av Vernix. Formålet med Brukeravtalen er å regulere din tilgang til og bruk av portal på vernix.no og tilhørende tjenester når du benytter en brukerkonto på vegne av Kunden.

Brukeravtalen gjelder alle personer som logger inn i Kundens Vernix-miljø. Brukeravtalen er underordnet og supplementær til Kundeavtalen som gjelder direkte mellom Kunden og Vernix, herunder Databehandleravtalen fra Vernix og eventuell Autorisasjon til sikkerhetsskanning fra Vernix. Ved motstrid går Kundeavtalen inkludert Databehandleravtalen fra Vernix og eventuell Autorisasjon til sikkerhetsskanning fra Vernix foran denne Brukeravtalen.

Om tjenestene fra Vernix

Vernix leverer kartlegging, overvåking og – dersom Kunden har særskilt grunnlag for det – aktiv sikkerhetsskanning av Kundens digitale sikkerhet. Vernix identifiserer og presenterer sikkerhetsforhold, vurderer alvorlighetsgrad og prioritet, samt gir anbefalinger og forklaringer. Vernix utfører ikke utbedring på Kundens vegne. Du forstår og aksepterer at Vernix ikke har tilgang til Kundens interne systemer, nettverk eller data utover det som uttrykkelig følger av tjenestene som Vernix tilbyr, og at Vernix ikke installerer agent, programvare eller VPN hos Kunden.

Innlogging og tilgang

E-post som brukernavn

Din registrerte e-postadresse brukes som ditt brukernavn.

Innlogging via engangslenke

Innlogging til din brukerkonto kan skje med en engangslenke sendt til din e-postadresse. Lenken er gyldig i 30 minutter, og den kan bare brukes én gang. Det opprettes eller lagres ikke passord i tjenesten. Det finnes derfor heller ingen passord som kan gjenbrukes, gjettes eller lekkes fra Vernix.

Innlogging med Google eller Microsoft

Du kan også logge inn med en Google- eller Microsoft-konto som har samme e-postadresse som brukerkontoen din, der dette er tilgjengelig i portalen. Da er det Google eller Microsoft som bekrefter hvem du er, og Vernix mottar navn, e-postadresse og profilopplysninger fra kontoen. Vernix får ikke tilgang til passordet ditt hos Google eller Microsoft.

Tofaktorautentisering

Du kan slå på tofaktorautentisering for brukerkontoen din i kontoinnstillingene. Da må du i tillegg til engangslenken eller Google- eller Microsoft-innloggingen oppgi en engangskode fra en autentiseringsapp, for eksempel Microsoft Authenticator eller Google Authenticator, hver gang du logger inn.

Tekniske krav

For å bruke tjenestene fra Vernix må du som Bruker ha en moderne nettleser, JavaScript aktivert, informasjonskapsler aktivert der dette er nødvendig for innlogging og sikker drift og tilgang til den registrerte e-postkontoen eller en Google- eller Microsoft-konto med samme e-postadresse. Har du slått på tofaktorautentisering, trenger du også autentiseringsappen. Tjenesten krever ingen installasjon, agent eller VPN.

Roller og tilgangsnivåer

For å opprette en brukerkonto må Bruker godta Brukeravtale fra Vernix. Tjenestene fra Vernix har tre typer roller for en Bruker. Hver forespørsel kontrollerer både innlogging og rolle for deg som Bruker.

Eier

Eierrollen tildeles automatisk den personen som oppretter virksomheten som Kunden i tjenestene fra Vernix. Den Bruker hos Kunden som innehar roller som Eier, har full tilgang, herunder til å administrere Administratorer og Medlemmer, legge til og fjerne domener, signere og tilbakekalle autorisasjon, administrere abonnement og fakturering, endre innstillinger, se resultater og slette Kunden fra tjenestene.

Eierrollen kan i dag ikke endres eller fjernes gjennom tjenesten, og det finnes ikke selvbetjent funksjon for overføring av eierskap i portalen. Overføring av eierrolle skjer manuelt. Dersom Kunden skriftlig ber Vernix om å overføre eierskapet til en annen Bruker, skal Vernix bistå med manuell overføring så langt dette er teknisk og organisatorisk mulig. Vernix kan kreve at forespørselen kommer fra en person som Kunden med rimelighet kan legitimere som autorisert representant. Inntil overføring er gjennomført, står den eksisterende eieren som formell eier i systemet.

Administrator

Administratorrollen tildeles av Eier eller annen Administrator ved invitasjon. Administrator har i det vesentlige samme operative tilgang som Eier, men Administrator kan ikke slette virksomheten eller endre rollen til eller fjerne Eieren. Administrator kan invitere og fjerne Medlemmer, endre roller, legge til og fjerne domener, signere og tilbakekalle autorisasjon samt administrere abonnement og fakturering.

Medlem

Medlem er standardrollen for en Bruker dersom ingen annen rolle angis ved invitasjon. En Bruker som er Medlem, har lesetilgang til domener, e-postovervåking, skanneresultater samt sårbarhetsfunn. Et Medlem kan også markere enkeltfunn som utført/håndtert. Et Medlem kan ikke invitere eller fjerne Medlemmer, endre roller, legge til eller fjerne domener, signere autorisasjon, se fakturering eller se virksomhetsinnstillinger for Kunden.

Akseptabel bruk

Du skal som Bruker bruke tjenestene fra Vernix i samsvar med hvordan de tilbys til enhver tid og i tråd med denne Brukeravtalen, Kundens instrukser og gjeldende rett. Du skal ikke forsøke å omgå tilgangskontroller eller sikkerhetsmekanismer, bruke tjenestene til formål som ikke er autorisert av Kunden, dele innloggingslenken eller få tilgang til andres kontoer uten hjemmel, forsøke å misbruke, forstyrre eller overbelaste tjenestene, laste opp eller spre skadelig kode, bruke tjenestene til ulovlig overvåking, avlytting eller uthenting av data eller fremstille resultatene fra tjenestene som en garanti for at et system er sikkert.

Kundens kontroll og din plikt ved fratredelse

Kunden bestemmer hvem som skal ha tilgang som Bruker av tjenestene fra Vernix, hvilke domener og adresser som skal inngå, og hvilke roller som gjelder. Du er innforstått med at Kunden kan når som helst endre eller trekke tilbake din tilgang, endre roller, fjerne deg fra virksomheten til Kunden på tjenestene fra Vernix eller trekke tilbake autorisasjon for sikkerhetsskanning der slik autorisasjon er brukt. Du skal straks varsle Kunden dersom du mister tilgang til e-postkontoen som brukes til innlogging, eller dersom du avslutter arbeidsforholdet, oppdraget eller den rollen som ga deg tilgang.

E-postsikkerhet og tilgangskontroll

Sikkerheten hviler på Kundens og Brukerens e-postsikkerhet. Den som har tilgang til den registrerte e-postkontoen, eller til en Google- eller Microsoft-konto med samme e-postadresse, kan logge seg inn med mindre tofaktorautentisering er slått på. Du skal derfor som Bruker beskytte e-postkontoen din og eventuelle Google- eller Microsoft-kontoer du logger inn med, ikke dele videresending, innboks eller enhet med uvedkommende, følge Kundens sikkerhetskrav for e-post og enheter samt varsle Kunden ved mistanke om kompromittering. Kunden er ansvarlig for tilgangskontroll til sine Brukeres e-postkontoer og for å fjerne tilgang ved fratredelse.

Konfidensialitet om sårbarhetsfunn

Du skal behandle alle funn, rapporter, varsler, skjermbilder, risikovurderinger, skanneresultater og lignende opplysninger som konfidensielle. Dette gjelder særlig opplysninger om sikkerhetshull, lekkasjer og andre svakheter som identifiseres i Kundens miljø. Du skal ikke uten Kundens skriftlige samtykke a) dele funn med uvedkommende, b) publisere funn, c) bruke funn til å skade, utpresse eller presse Kunden eller andre virksomheter eller d) omtale funn i offentligheten på en måte som identifiserer Kunden eller avslører tekniske detaljer. Hvis du oppdager at et funn kan medføre akutt risiko, skal du følge Kundens interne varslingsrutiner og eventuelle instruksjoner fra Kundens sikkerhetsansvarlige.

Dersom du vil publisere opplysninger om Vernix' egen plattform, testmetodikk, skannelogikk, sikkerhetsmekanismer eller andre data du antar kan være en forretningshemmelighet for Vernix, må du først innhente skriftlige samtykke fra Vernix for slike opplysninger.

Suspensjon og stans

Vernix kan midlertidig suspendere tilgang eller begrense funksjonalitet dersom det er nødvendig for å a) beskytte tjenestene Vernix tilbyr, b) beskytte Kunden, c) reagere på mistanke om misbruk, d) oppfylle lovkrav eller rettslige forpliktelser, e) håndtere sikkerhetshendelser eller f) håndtere betalingssvikt eller utløpt kundeforhold på Kundens nivå. Vernix kan begrense eller stanse tilgang for deg som Bruker dersom Kunden ber Vernix om det, eller dersom din tilgang ikke lenger er autorisert av Kunden.

Din bruksrett og immaterielle rettigheter til Vernix

Du får bare en begrenset, ikke-eksklusiv, ikke-overførbar og tilbakekallelig rett til å bruke tjenesten i samsvar med denne Brukeravtalen og Kundens avtale med Vernix. Du får ingen rett til å omgå tekniske sperrer eller bruke tjenesten utover det Brukeravtalen tillater. Du skal ikke kopiere, dekompilere, videreselge eller utnytte tjenesten fra Vernix utenfor avtalt bruk.

Vernix med lisensgivere beholder alle immaterielle rettigheter til tjenesten, programvaren, metodene, modeller, oppsett, design, brukergrensesnitt, dokumentasjon, analysemetoder og forbedringer som Vernix har utviklet eller bruker på portalen vernix.no, herunder blant annet, men ikke begrenset til, opphavsrett, patentrettigheter, kjennetegnsrettigheter (navne- og varemerkerettigheter), mønster- eller designrettigheter, knowhow og øvrige immaterielle rettigheter. Kunden beholder alle rettigheter til egne data, egne domener, egne e-postadresser, egne logger og egne forretningshemmeligheter. Kunden får en ikke-eksklusiv, ikke-overførbar og tidsbegrenset bruksrett til tjenestene fra Vernix så lenge Kundeavtalen varer.

Ansvarsfraskrivelser

Du er innforstått med at a) Vernix identifiserer og prioriterer, men ikke utbedrer sikkerhet hos Kunden, b) Vernix ikke kan garantere at alle sårbarheter oppdages, c) et rent resultat ikke er en attest på at virksomheten til Kunden er sikker, d) vurderinger og anbefalinger er bare støtte til Kundens egen beslutningstaking og e) Kunden selv må følge opp og lukke avvik. Vernix gir ingen garanti for at tjenester, systemer eller domener er fri for sårbarheter, feil eller brudd. Vernix er ikke ansvarlig for manglende eller forsinket oppfyllelse som skyldes forhold utenfor Vernix’ rimelige kontroll, herunder strømbrudd, leverandørsvikt, nettverksfeil, naturhendelser, myndighetstiltak, krig, pandemi eller andre tilsvarende forhold.

Varighet og opphør

Denne Brukeravtalen gjelder fra det tidspunkt du logger inn første gang eller på annen måte bruker Kundens Vernix-miljø, og Brukeravtalen varer så lenge du har autorisert tilgang. Brukeravtalen opphører automatisk når a) Kunden trekker tilbake din tilgang, b) du fjernes fra Kundens virksomhet, c) Kundens avtale med Vernix opphører eller d) Vernix avslutter tilgangen etter Brukeravtalen eller lov. Bestemmelser som etter sin karakter skal bestå etter opphør, gjelder fortsatt, herunder om konfidensialitet, immaterielle rettigheter, ansvarsbegrensninger og tvisteløsning.

Personvern og databehandleravtale

Der Vernix behandler personopplysninger på vegne av Kunden, gjelder Databehandleravtalen fra Vernix mellom Kunden og Vernix. Behandlingen av personopplysninger beskrives i Personvernerklæring fra Vernix som er tilgjengelig på vernix.no og før innlogging. Som Bruker plikter du å gjøre deg kjent med Personvernerklæringen før du tar i bruk tjenestene som Vernix tilbyr innloggede Brukere. Som Bruker erkjenner du at enkelte tjenester kan behandle personopplysninger forskjellig, avhengig av om Kunden benytter overvåking, e-postvarsler, aktiv skanning, rapportering eller andre moduler. Autorisasjon til sikkerhetsskanning er et separat rettsgrunnlag for aktiv skanning og er bare nødvendig for VernSkann og annen aktiv testing.

Tvisteløsning

Denne Brukeravtalen reguleres av norsk rett. Vernix og Bruker plikter å løse konflikter på beste mulige måte, og i første omgang ved å forsøke å komme til enighet. Det vedtas at tvister som ikke kan løses etter fire uker, skal løses ved alminnelig domstolsbehandling med Oslo tingrett som rett verneting.