Teknisk beskrivelse av PowerOffice Go

1. Innledning og leveransemodell

PowerOffice Go er et komplett, skybasert økonomisystem for regnskap, fakturering, timeregistrering, reiseregning og lønn. Tjenesten utvikles og leveres i tråd med Visma Cloud Delivery Model (VCDM), noe som sikrer kontinuerlig oppfølging av datasikkerhet, oppetid og kvalitet i alle ledd. Tjenesten har en målsatt oppetid på 99,8 % per måned. Forbedringer og feilrettinger leveres kontinuerlig og gjennomføres normalt uten nedetid for brukerne. En av hovedpilarene i VCDM er Visma Security Program (VSP), som stiller strenge krav til sikkerhetsarbeidet og integrerer automatiserte og manuelle verktøy i hele utviklingsløpet.

Static Application Security Testing (SAST): Automatisk skanning av kildekode for å avdekke sårbarheter tidlig i utviklingen.
Software Composition Analysis (SCA): Kontinuerlig overvåking av tredjepartskomponenter og biblioteker for kjente sikkerhetshull.
Dynamic Application Security Testing (DAST) & Cloud Guardian: Løpende skanning av kjørende miljøer og skykonfigurasjoner.
Security Log Management (SLM) & CTI: Sentralisert logghåndtering koblet mot trusselstøtte og døgnkontinuerlig overvåking.

2. Driftsmiljø og infrastruktur

PowerOffice Go benytter Microsoft Azure som sin primære driftsplattform. Primærlokasjonen for databehandling og lagring er Azure-datasenteret i Amsterdam (Europa). For å sikre katastrofegjenoppretting (Disaster Recovery) tas det kontinuerlig sikkerhetskopi til Azure i Dublin samt til Azure i Norge. Alt databehandlingsarbeid utføres i fullt samsvar med europeisk personvernlovgivning (GDPR).

Infrastrukturen er bygget opp med et høyt nivå av isolasjon og sikkerhet:

Nettverksisolering: Tjenestene er plassert på virtuelle nettverk (VNet) der kun autoriserte maskiner har tilgang til ressursene. Internett-trafikk skjermes og filtreres via Azure Front Door med Web Application Firewall (WAF).
Adskillelse av kundedata: Data mellom kunder er logisk adskilt med strenge tilgangskontroller og filtrering på applikasjons- og databasenivå.
Sertifiserte datasentre: Benyttede datasentre innehar ISO 27001, ISO 27017, ISO 27018, ISO 20000-1, ISO 22301, ISO 9001 og CSA Star, samt SOC 1-, SOC 2- og SOC 3-rapporter. Fysiske sikkerhetstiltak inkluderer 24/7 overvåking, adgangskontroll, overvåket klimastyring og redundant strømforsyning.
Underleverandører: En oversikt over godkjente underleverandører (databehandlere) er tilgjengelig i Visma Trust Centre - PowerOffice Go. Kunden varsles før nye underleverandører tas i bruk.

3. Informasjonssikkerhet og tilgangsstyring

Datasikkerhet og konfidensialitet er sentrale prinsipper for tjenesten. Alle overføringer og tilganger følger strenge standarder:

Kryptering: All datautveksling mellom klient og server er sikret med TLS-kryptering (TLS 1.2/1.3). Lagret data (data at rest) er kryptert. Passord lagres aldri i fritekst, men som sikre hashverdier.
Autentisering, SSO og 2FA: Tjenesten benytter Visma Connect for identitets- og tilgangsstyring, og støtter Single Sign-On (SSO) for kunder som har sin identitetstilbyder integrert med Visma Connect. Tofaktorautentisering (2FA) er et krav for administratorer og gitte roller, og kan i tillegg settes som påkrevd for alle brukere på et firma.
Kundens tilgangsstyring og roller: Kunden har full kontroll over egne brukere, roller og rettigheter i systemet. Tilgang kan avgrenses granulært per modul, funksjon og klient.
Supporttilgang og intern administrasjon: Support har kun tilgang til kundedata basert på henvendelse fra kunden. All tilgang via supportverktøyet logges, og tilgang til sensitive data og utførelse av endringer må begrunnes. Prinsippet om minste privilegium (least privilege) praktiseres, og Privileged User Management (PUM) benyttes for tidsbegrenset og godkjent tilgang. Alle support- og administrasjonshandlinger logges.

4. Sikkerhetskopiering og beredskap (BCP)

Det utføres kontinuerlig og automatisert sikkerhetskopiering av all data i tjenesten:

Sikkerhetskopiering: Det tas automatiske øyeblikksbilder (snapshots) av databasene hvert tiende minutt, med denne oppløsningen tilgjengelig for den siste uken. Sikkerhetskopier er tilgjengelige ett år tilbake i tid. Sikkerhetskopier oppbevares geografisk adskilt i Amsterdam, Dublin og Norge, og gjenopprettingsrutiner testes regelmessig.
Overvåking (GSOC): Gjennom Security Log Management rapporteres hendelser til et døgnbemannet Global Security Operations Center (GSOC) som overvåker og reagerer på uønsket aktivitet.
Beredskapsplaner: VCDM stiller krav om etablerte beredskapsplaner for hendelseshåndtering. Ved større hendelser kalles krisestab inn for umiddelbar håndtering.
Varsling ved driftshendelser: Ved planlagt vedlikehold eller uforutsette driftsavvik varsles kunder direkte via systemmelding i PowerOffice Go samt på PowerOffice Hjelpesenter

5. Sporbarhet, revisjon og etterlevelse

PowerOffice Go har utformet funksjonalitet som oppfyller de lovpålagte kravene til regnskapsføring og rapportering. Sikkerhetsrevisjoner og evalueringer av stabilitet, oppetid og compliance gjennomføres løpende gjennom året.

Sertifiseringer: PowerOffice Go inngår i Visma Cloud Delivery Model (VCDM). VCDMs styringssystem for informasjonssikkerhet er ISO 27001-sertifisert og omfattes av en årlig ISAE 3402 Type II-attestasjonsrapport. Nærmere dokumentasjon finnes i Visma Trust Centre. Visma Trust Centre - PowerOffice Go
Hendelseslogg: Alle endringer utført av brukere logges med tidspunkt og bruker-ID (revisjonslogg). Denne loggen bevares for å tilfredsstille kravene i bokføringsloven og gir sporbarhet i ettertid. Revisjonsloggen kan ikke manipuleres av brukere av systemet og er tilgjengelig på forespørsel. Det finnes også en forenklet hendelseslogg i løsningen.
SAF-T: Løsningen kan eksportere og generere SAF-T-rapporter i fullt samsvar med gjeldende tekniske krav til struktur, format og integritet.
Dataeierskap og sletting: Kunden eier alle sine data fullt ut. Ved oppsigelse eller avslutning av klientforhold kan data eksporteres (f.eks. via SAF-T og bilagsarkiv). Klienter slettes automatisk 12 måneder etter at abonnementet opphører. Det opprettholdes lesetilgang i hele perioden fram til sletting. Les mer i vårt hjelpesenter: hjelpesenter.poweroffice.no
Integrasjoner og API: PowerOffice Go tilbyr et moderne REST API for tredjepartsintegrasjoner. Integrasjoner aktiveres og godkjennes av kundens administrator eller en bruker med nødvendig rettighet. Ved aktivering vises hvilke tilganger integrasjonen får til kundens data. Komplett teknisk dokumentasjon er tilgjengelig på developer.poweroffice.net.

Ofte stilte spørsmål

Er dataene mine trygge i PowerOffice Go?

Ja. All datautveksling mellom klient og server er sikret med TLS-kryptering (TLS 1.2/1.3), og lagret data er kryptert. Passord lagres aldri i fritekst. Tjenesten leveres etter Visma Cloud Delivery Model (VCDM), med automatisk skanning av kildekode, tredjepartskomponenter og kjørende miljøer, og døgnkontinuerlig overvåking.

Kan PowerOffice-ansatte se regnskapsdataene mine?

Support har kun tilgang til kundedata basert på henvendelse fra deg. All tilgang via supportverktøyet logges, og tilgang til sensitive data og endringer må begrunnes. Tilgang gis tidsbegrenset og etter godkjenning (Privileged User Management).

Hvor langt tilbake i tid er backup tilgjengelig?

Sikkerhetskopier er tilgjengelige ett år tilbake i tid. For den siste uken tas det øyeblikksbilder av databasene hvert tiende minutt. Sikkerhetskopiene oppbevares geografisk adskilt i Amsterdam, Dublin og Norge.

Hvor lagres dataene mine, og oppfyller det GDPR?

PowerOffice Go driftes på Microsoft Azure, med Azure-datasenteret i Amsterdam som primærlokasjon. Sikkerhetskopi tas kontinuerlig til Azure i Dublin og i Norge. Alt databehandlingsarbeid utføres i fullt samsvar med europeisk personvernlovgivning (GDPR).

Støtter PowerOffice Go tofaktorautentisering (2FA)?

Ja. 2FA er et krav for administratorer og gitte roller, og kan i tillegg settes som påkrevd for alle brukere på et firma. Innloggingen går via Visma Connect, som også støtter Single Sign-On (SSO) for kunder som har integrert sin identitetstilbyder.