Inloggning bara från kontorets nätverk: IP-låsning som tillval i Omsio

IP-låsning betyder att inloggningen bara fungerar från verksamhetens eget nätverk, och det är ofta den raden i en upphandlings IT-bilaga som är svårast att svara ja på. Sedan i september finns den som tillval i Omsio.

Behörigheter svarar på frågan vem. De svarar inte på frågan varifrån.

Regelverket säger vem som får se vad, inte var personen sitter

Sedan mars 2024 ska den personuppgiftsansvarige bestämma villkoren för behörighetstilldelning, begränsa varje behörighet till vad arbetsuppgiften kräver, dokumentera åtkomsten och göra systematiska och återkommande kontroller av om någon kommit åt uppgifter obehörigen. Socialstyrelsen har samlat innebörden i ett meddelandeblad om behörighetstilldelning och kontroll av åtkomst. Kraven preciseras i HSLF-FS 2025:58 om socialtjänstens behandling av personuppgifter, som börjar tillämpas för socialtjänsten den 2 maj 2028 och kräver att behörigheter föregås av en behovs- och riskanalys.

Ingen av bestämmelserna säger något om varifrån inloggningen sker. Riskanalysen gör det desto oftare. En verksamhet där hela dokumentationen om placerade barn ligger i ett system, och där personal loggar in från sin privata dator hemma på kvällen, har en risk att beskriva och ett val att göra.

Kontorets uppkoppling blir ett villkor för att komma in

Verksamhetens IP-adresser, eller hela intervall, läggs in som tillåtna. Därefter fungerar BankID-inloggningen bara därifrån. Sitter någon på ett café eller på hemmanätet kommer de inte in, oavsett giltigt BankID och riktig behörighet i Omsio.

Loggar någon in från annat håll under en pågående session avslutas den sessionen automatiskt.

För den som arbetar på huset märks ingenting alls. Skillnaden syns först när någon försöker komma in någon annanstans ifrån. I upphandlingar och IT-säkerhetsbilagor dyker kravet upp under flera namn: IP-låsning, IP-begränsning och vitlistning av IP-adresser är samma sak, och svaret på alla tre är numera ja.

Ni väljer vilka roller det gäller

En låsning som omfattar alla passar sällan en verksamhet där någon ska kunna arbeta varifrån som helst. Därför sätts begränsningen per roll. Den kan gälla samtliga, eller bara anställda, medan administratörer loggar in var de vill. Enskilda medarbetare kan dessutom få ett personligt undantag.

För ett HVB eller ett stödboende med bemannat hus är den strikta varianten oftast den rimliga: personalen arbetar på plats, och dokumentationen skrivs där. För en konsulentverksamhet där konsulenten loggar hembesöket i bilen på vägen därifrån är den det inte. Samma verksamhet kan behöva båda varianterna, för olika delar av personalen, och det är den avvägningen ni gör innan adresserna läggs in.

En spärr av flera, inte hela skyddet

IP-låsning tar bort en risk: att någon med giltiga inloggningsuppgifter använder dem från en plats verksamheten inte känner till. Den gör ingenting åt vad en behörig användare ser när hon väl är inne. Det sköts av annat, som roll- och behörighetsstyrning per placering, känsliga fält låsta på kolumnnivå, automatisk utloggning efter 15 minuters inaktivitet på webben och en aktivitetslogg som inte går att redigera och sparas i fem år.

Vill ni behålla möjligheten att arbeta hemifrån men ändå strama åt inloggningen finns SSO mot till exempel Microsoft Entra ID som ett annat tillval, offererat per verksamhet.

Så kommer ni igång

Vill ni använda IP-låsning räcker det att ni hör av er. Vi sätter upp tillvalet åt er och går igenom vilka adresser som ska släppas in och vilka roller som ska omfattas.

Ni behöver inte veta vad en fast IP-adress är, eller om kontoret har en. Det tar vi reda på tillsammans. Har ni ett vanligt bredbandsabonnemang där adressen byts med jämna mellanrum hjälper vi er med kontakten med internetleverantören.