Nøglepunkter
- Sikkerhed i en SMS-løsning handler om fortrolighed, ægthed, tilgængelighed og sporbarhed, og de fire kræver hver deres spørgsmål til udbyderen.
- Bed om databehandleraftale, underdatabehandlere, behandlingssted, logs og hændelseshåndtering, før du vælger.
- SMS er generelt ikke ende-til-ende-krypteret. Undgå personfølsomme oplysninger, og henvis til en sikker kanal.
- Brug flere kanaler, så vigtige meddelelser ikke afhænger af ét netværk eller én app.
Hvad betyder “sikker”, når kommuner og forsyninger sender SMS?
Der er ikke ét certifikat eller én funktion, der gør en SMS-løsning sikker. Det er mere nyttigt at se på fire forhold og stille udbyderen et konkret spørgsmål til hvert.
| Forhold | Det skal du spørge om |
|---|---|
| Fortrolighed | Hvem kan se indhold og modtagernumre, og hvordan styres adgangen? Hold selve beskeden fri for følsomme oplysninger. |
| Ægthed | Kan modtageren genkende afsenderen? Brug et fast afsendernavn, hvor landet tillader det, og overvej beskyttelse mod efterligning. |
| Tilgængelighed | Hvad sker der, når et netværk eller en rute har problemer? Failover og flere kanaler gør, at en vigtig meddelelse ikke hænger på ét led. |
| Sporbarhed | Kan du se, hvad der er sendt, hvornår, og hvad der blev leveret? Leveringsstatus og logs er dit grundlag for at dokumentere. |
Hvad skal du spørge en udbyder om?
Offentlige indkøb følger egne regler, så brug listen som udgangspunkt for kravspecifikationen, og bed om skriftlige svar, så udbydere kan sammenlignes.
- Databehandleraftale: Hvilken aftale gælder, og kan den tilpasses jeres krav? GDPR kræver en databehandleraftale, når en udbyder behandler personoplysninger på jeres vegne.
- Underdatabehandlere: Hvilke virksomheder behandler data på udbyderens vegne, og hvordan får I besked om ændringer?
- Behandlingssted: Hvor behandles og opbevares data, herunder telefonnumre og beskedindhold?
- Logs: Hvad logges (modtager, tidspunkt, status, indhold), hvor længe gemmes det, hvem har adgang, og kan det slettes efter en aftalt periode?
- Hændelser: Hvordan håndteres og meddeles sikkerhedshændelser, og inden for hvilken tid?
- Dokumentation: Hvilke certificeringer eller revisionserklæringer findes, og kan de fremlægges? Bed om at se dem frem for at stole på en påstand.
- Support: Hvornår og hvordan kan I få fat i en person, hvis noget går galt?
Hvad bør der stå i en SMS fra en myndighed eller forsyning?
SMS er generelt ikke ende-til-ende-krypteret. Beskeden passerer flere systemer, og den kan vises på en låst skærm. Derfor bør en SMS kun indeholde det nødvendige: hvem der skriver, hvad der er sket, og hvad modtageren skal gøre. Undgå personnumre (CPR-numre), sagsoplysninger og andre følsomme oplysninger, og henvis i stedet til en sikker kanal, hvor borgeren logger ind.
Svindlere efterligner ofte myndigheder og forsyninger. Brug gennemskuelige links, og fortæl borgerne, hvilket afsendernavn I bruger.
Hvordan når du alle borgere og kunder?
Ikke alle bruger de samme apps, og vigtige meddelelser som afbrydelser, ændringer i en ydelse, betalingspåmindelser og aftalebeskeder bør ikke afhænge af ét netværk eller én kanal. Kombinér kanalerne:
- SMS når de fleste telefoner uden en app.
- Voice kan levere en talebesked ved siden af SMS og e-mail.
- E-mail egner sig til længere information, som borgeren kan vende tilbage til.
Hvad med udbud og indkøb?
Offentlige indkøb er underlagt udbudsregler, og kravene varierer fra opgave til opgave. Det er ikke juridisk rådgivning, så afklar proceduren med jeres indkøbs- og juridiske funktion. En god kravspecifikation beskriver mængder, lande, kanaler, tidskrav, databehandling og support, så svarene kan sammenlignes ens.
Hvordan ZafeConnect passer ind
ZafeConnect tilbyder beskeder i høje mængder med failover-routing og flere kanaler (SMS, voice og e-mail) fra én platform, med en leveringsrate på over 98 % (rapporteret, ikke garanteret) og kundesupport 24/7. ZafeConnect oplyser her hverken certificeringer, godkendelser eller offentlige kunder. Det, du kan få, er en gennemgang af jeres krav: Send dem, så går vi dem igennem sammen med jeres sikkerhedsteam.