1.1 Formålet

Sikkervarsling skal hjelpe en person å forstå situasjonen, formulere et ryddig varsel, velge riktig grad av identitetsskjerming og følge opp det som skjer videre. Samtidig skal virksomheten få et avgrenset, dokumenterbart arbeidsrom for mottak, vurdering, undersøkelse og tilbakemelding.

1.2 Fem styrende prinsipper

1.3 Tjenesten avgjør ikke saken

Motoren kategoriserer ikke automatisk om et forhold juridisk er et varsel, avgjør ikke om en påstand er sann, rangerer ikke varslerens troverdighet og fatter ikke automatiserte personalavgjørelser. Klassifisering, risikonivå og foreslåtte beskyttelsestiltak er strukturering og beslutningsstøtte.

2.1 En hel prosess – ikke bare et skjema

2.2 Særpreget kombinasjon

3.1 Fortrolig og anonymt overfor virksomheten

3.2 Dobbelt anonymt

3.3 Vanlig varsel

4.1 Før innsending

4.2 Under innsending

4.3 Etter innsending

5.1 Saksavgrenset grunnmottak

Mottakeren åpner én saksavgrenset visning og kan bekrefte mottak, velge status, beskrive neste steg og avslutte saken. Grunnløpet fungerer uten virksomhetskonto eller installasjon.

5.2 Kunde: fast mottak og organisatorisk kontroll

5.3 Tosidig prosesshjelp i kundesaker

• Råd når de trengs: hjelpen vises underveis i saken, i stedet for som et stort regelverk brukeren må lete i.
• Maler som senker temperaturen: forslag til mottaksbekreftelse, presiseringsspørsmål, neste steg og statusoppdatering bruker et nøytralt språk.
• Tydelige grenser: veiledningen støtter prosessen, men avgjør ikke om påstanden er sann, gir ikke juridisk godkjenning og overtar ikke arbeidsgiverens ansvar.
• Bredere arbeidsmiljøkartlegging: AMIQ kan brukes dersom virksomheten vil undersøke om flere er berørt. Opplysninger fra varslingssaken blir ikke overført.

5.4 Interaktiv beredskap og tilpasset kundereise

Virksomhetssiden lar beslutningstakeren velge situasjon, virksomhetsstørrelse og beredskapsstatus. Svarene behandles lokalt i nettleseren og gir en tilpasset plan i tre tydelige kolonner.

Etter innlogging endres saksstøtten med statusen: mottatt, bekreftet, innledende vurdering, undersøkelse, oppfølging eller avsluttet. Hvert steg viser prioriterte handlinger, en viktig avgrensning og et redigerbart forslag til statusmelding.

7.1 Lagmodellen

7.2 Data som holdes adskilt

7.3 Nøkkelprinsipp

Saksinnhold krypteres med PHP Sodium secretbox, en autentisert symmetrisk krypteringsmekanisme med en tilfeldig 24-byte nonce og 256-bit nøkkel. Applikasjonsnøkkelen brukes også til domeneavgrensede HMAC-er. Nøkkelen ligger utenfor offentlig webrot og databasefilen har restriktiv filmodus.

7.4 Separat nøkkelmodell for dobbelt anonym dialog

Den opprinnelige saken og den videre dialogen har forskjellige kryptografiske tillitsmodeller. Den opprinnelige saken kan åpnes av autorisert operatør før overlevering. Den videre dialogen krypteres i nettleseren med en tilfeldig AES-GCM-romnøkkel. Virksomhetens nettleser lager et RSA-OAEP-nøkkelpar og krypterer privatnøkkelen lokalt med en separat gjenopprettingshemmelighet. Serveren lagrer bare chiffertekst, offentlig nøkkel, kryptert privatnøkkel og romnøkkelen pakket til den offentlige nøkkelen.

8.1 Konfidensialitet

8.2 Tilgangskontroll

8.3 Integritet og misbruksvern

• CSRF: skrivende API-kall krever serverutstedt token.
• Ratebegrensning: innsending, sporing og innlogging begrenses per tidsvindu uten rå IP i tabellen.
• Revisjon: innlogging, visning, oppdatering, tildeling og habilitetsfratreden logges med pseudonym øktfingeravtrykk.
• Replayvern: TOTP-trinn kan ikke brukes på nytt; ekstern attest har HMAC-beskyttet gjenbruksregister.
• Selektiv misbruksdeling: operatøren får ikke generell lesetilgang til E2E-dialogen. En part må selv velge og bekrefte deling av den konkrete meldingen som rapporteres.
• Blokkering: begge parter kan stenge den dobbelt anonyme dialogen, og serveren avviser nye meldinger etter blokkering.
• Sikkerhetsheadere: HSTS, CSP med object-src 'none', frame-ancestors 'none', Referrer-Policy: no-referrer og restriktiv Permissions Policy.
• Fail-closed: ny database eller manglende tjenestekontroll betyr stengt inntak til eksplisitt åpning.

8.4 QR-nøkkelens sikkerhetsmodell

QR-tokenet er tilfeldig 256-bit data i URL-fragmentet. Fragmentet sendes normalt ikke som del av HTTP-forespørselen, og klienten fjerner det fra adresselinjen før første API-kall. Serveren lagrer bare HMAC av tokenet. Separat PIN anbefales fordi QR-bildet alene ellers er en bærernøkkel.

9.1 Tre identitetsnivåer

9.2 Nøytral verifikasjon

Løsningen kan lagre en sanitert opplysning om at identitet og eventuelt arbeidsforhold er kontrollert, uten å lagre legitimasjon, fødselsnummer, arbeidsavtale eller kontrollkode i saken. En ekstern attest kan signeres med Ed25519 og bindes til virksomhet, kort levetid og engangskontroll. Attesten bekrefter tilknytning – aldri at påstanden er sann.

9.3 Habilitetsvern

Virksomhetsmottakeren kan erklære standardisert konfliktgrunn. Systemet fjerner da aktiv tildeling, registrerer hendelsen og sperrer ny tildeling av samme bruker i saken. Dette støtter prinsippet om habil behandling, men virksomheten må fortsatt ha en navngitt stedfortreder og prosedyre når administrator eller ledelse er berørt.

10.1 Retensjon

Retensjonsverktøyet kjører som standard i tørrmodus. Det kan slette lukkede saker etter valgt frist, fjerne rå saksreferanse fra mottakerrevisjonen og bevare en HMAC-pseudonymisert slettekvittering. SQLite secure_delete og WAL-checkpoint brukes for å redusere rester i databasefilen.

10.2 Backup

Backupopplegget omfatter kryptert offsite-lagring, separat nøkkelkopi, autentisert manifest og automatisert kontroll av integritet og dekrypterbarhet. Gjenoppretting inngår i driftsøvelsen.

10.3 Hendelsesbryter

Nye varslingssaker kan stanses uten å stenge oppfølgingen av eksisterende saker. Pausen lagres med begrunnelse uten saksinnhold. Lokale varselpakker skal fortsatt kunne lages mens inntaket er stengt.

11.1 Varslingsrutinen

Arbeidsmiljøloven § 2 A-6 krever skriftlige rutiner for virksomheter som jevnlig har minst fem arbeidstakere, og også i mindre virksomheter når forholdene tilsier det. Rutinen skal utarbeides sammen med arbeidstakerne og deres tillitsvalgte og beskrive oppfordring, fremgangsmåte og arbeidsgivers behandling og oppfølging.

11.2 Rollemodell

11.3 DPIA

Sakene kan inneholde opplysninger om helse, fagforening, straffbare forhold, trakassering og andre opplysninger med høy konsekvens. DPIA-en følger derfor hele behandlingsløpet. Rettsgrunnlag etter artikkel 6, eventuelt artikkel 9 og 10, fastsettes per aktør og behandling.

11.4 Arbeidsgivers ansvar består

Arbeidsgiveren skal undersøke innen rimelig tid, følge opp også anonyme varsler, beskytte mot gjengjeldelse og sikre forsvarlig arbeidsmiljø for både varsler og andre involverte. Sikkervarsling kan gi struktur, spor og sikker kanal; den kan ikke automatisk oppfylle aktivitetsplikten på virksomhetens vegne.

12.1 Syntetisk ende-til-ende-bevis

Den lokale testpakken har bestått direkte kundeløp, Sikkervarsling-først, dobbelt anonym nettleserdialog, passordbytte, TOTP, mottak, statusmelding, avslutning, varsleroppfølging, sletting og databaseintegritet med kun syntetiske data.

12.2 Siste produksjonsport

• Uavhengig sikkerhetsgjennomgang uten åpne kritiske eller høye funn.

13.1 Alltid gratis for varsleren

Begrunnelsen er både etisk og kommersiell: betaling fra en person i et mulig makt- eller avhengighetsforhold reduserer bruken, svekker tillit og gjør tjenesten mindre verdifull også for arbeidsgiveren. Virksomheten har størst økonomisk nytte av tidlig oppdagelse og bør finansiere infrastrukturen.

13.2 Gratis saksavgrenset grunnmottak

Når et varsel allerede finnes, kan virksomheten motta én saksavgrenset lenke, bekrefte mottak og gi en enkel status. Det gir rask oppfølging også når virksomheten ikke har etablert en fast kanal på forhånd.

13.3 Dette finansieres av virksomheten

• Fast, direkte varslingskanal med virksomhetens mottakerkode.
• Flerbrukerportal, roller, MFA, saksfordeling og habilitetsspor.
• 29 lagrede og statustilpassede verktøy for varsler og virksomhet.
• Dokumentert onboarding, årlig øvelse, rutinemaler og kontroll av mottak.
• Menneskelig første mottak, prosessbistand, fasilitering og eventuell ekstern utredning.

14.1 Enterprise og konsern

Fra kr 3 490 per måned, priset etter antall juridiske enheter, integrasjoner, SSO, databehandlerkrav, språk, beredskap og responstid.

14.2 Oppstart

14.3 Menneskelig bistand

15.1 Anbefalt posisjon

15.2 Budskap

«Varsleren får gratis hjelp til å si ifra på en trygg og ryddig måte. Virksomheten betaler for beredskap, sikker saksbehandling og den støtten som gjør at varselet faktisk kan følges opp.»

1. ✓

   Separat fortrolig kontakt

   Navn og e-post krypteres i et eget mottaksfelt og fjernes teknisk fra innholdet virksomheten får.

2. ✓

   Dobbelt anonym innboks og toveis dialog

   Separat meldingslager, nettleserkryptering, saksavgrenset bedriftsnøkkel, nøkkelfingeravtrykk, misbruksvern og automatiserte kryptografi- og nettlesertester.

3. ✓

   Tosidig saksveiledning og ettervern

   12 varslerverktøy og 17 virksomhetsverktøy vises etter saksstatus og risiko, med privat tidslinje, 7/30/90-kontrollpunkter og vern mot gjengjeldelse.

4. ✓

   Drift, retensjon og gjenoppretting

   Fail-closed tjenestebryter, sikkerhetslogger, konsistent backup, separat nøkkelkopi, retensjonsjobb og øvelsestester inngår i utgivelseskontrollen.

5. ✓

   Full klikk- og regresjonskontroll

   Alle sentrale tastevalg kontrolleres på mobil og desktop sammen med roller, autorisasjon, QR, E2E, personverngrenser og transportvern.

6. EKSTERN

   Uavhengig sikkerhetsgjennomgang

   En ekstern kontrollør vurderer nøkkellivsløp, nettlesertrusler, kryptografiske valg, gjenoppretting og misbruksflyt. Inntaket åpnes når kontrollen er godkjent uten kritiske eller høye funn.