Ledelsen av tilgangstillatelser og databeskyttelse Det har blitt en stor hodepine for både organisasjoner og avanserte brukere. Med GDPR, LOPDGDD, rammeverk for nettsikkerhet og økosystemer som Microsoft 365 er det ikke nok å bare "sette inn noen få kontroller": en systematisk, målbar og reviderbar tilnærming er nødvendig for å demonstrere at ting gjøres riktig og for å oppdage feil i tide.
Denne håndboken for tillatelser og personvernrevisjon er ment for proffbruker som ønsker å gå et skritt videresikkerhetsansvarlige, systemadministratorer, interne revisorer, konsulenter eller enhver annen profesjonell person som må gjennomgå hvordan personopplysninger håndteres, hvilken tilgang hver bruker har og hvordan hele prosessen dokumenteres fra begynnelse til slutt.
Juridisk rammeverk og konsept for personvernrevisjon
Før vi går i gang med verktøy og kommandoer, er det viktig å avklare hva vi mener med personvernrevisjon og standardene den er avhengig avDet handler ikke bare om å gjennomgå tekniske sikkerhetsaspekter, men om å verifisere om organisasjonen respekterer folks rettigheter og juridiske forpliktelser angående deres data.
En personvernrevisjon er en systematisk og strukturert prosedyre som analyserer hvordan en enhet samler inn, bruker, lagrer, deler og sletter personopplysninger. Dens oppgave er todelt: på den ene siden å verifisere graden av samsvar med regelverk (hovedsakelig GDPR og LOPDGDD i spansk og europeisk kontekst) og på den andre siden å identifisere hull, uoverensstemmelser og risikoer som kan føre til hendelser eller sanksjoner.
I EU gjelder personvernforordningen (GDPR)RGPD) og den organiske loven om databeskyttelse og garanti for digitale rettigheter (LOPDGDDDisse forskriftene etablerer rammeverket: prinsipper, rettslig grunnlag, rettigheter til registrerte, sikkerhetsplikt, konsekvensutredninger, plikt til å varsle om brudd, osv. Selv om disse forskriftene ikke bokstavelig talt pålegger periodiske personvernrevisjoner, er implementeringen av dem Anbefales på det sterkeste som bevis på flid og som en mekanisme for regelmessig å gjennomgå de iverksatte tiltakene.
Fra et teknisk synspunkt er personvernrevisjonen i samsvar med artikkel 32 i GDPR, som omtaler behovet for å regelmessig verifisere, evaluere og vurdere Effektiviteten av de tekniske og organisatoriske sikkerhetstiltakene. Med andre ord: det er ikke nok å implementere kontroller; det er nødvendig å regelmessig kontrollere at de fungerer og forblir passende i forhold til risikoen.
Det praktiske resultatet av en god personvernrevisjon er en klar diagnose av om organisasjonen er i samsvar med regelverket, hvor den mangler og hva konkrete tiltak må iverksettes å styrke vernet av personopplysninger og systemene som behandler dem.
Strategisk betydning av revisjonstillatelser og personvern
Når folk snakker om personvernrevisjoner, tenker de ofte bare på «papirarbeid», men den virkelige virkningen ligger i hvordan dataene håndteres. tilgangstillatelser, brukerrettigheter og kontroller over systemerFaktisk stammer mange alvorlige hendelser fra overdreven eller dårlig administrert tilgang.
Fra et organisatorisk synspunkt tillater en godt planlagt revisjon å måle effektiviteten av sikkerhetstiltakDette inkluderer både tekniske aspekter (kryptering, tilgangskontroller, aktivitetslogger, sikkerhetskopier osv.) og organisatoriske aspekter (interne retningslinjer, opplæring, hendelseshåndtering, kontrakter med tredjeparter osv.). Det er på tide å sjekke om alt som står skrevet i retningslinjene faktisk blir brukt i den daglige praksisen.
Fra et juridisk perspektiv bidrar denne prosessen til å bekrefte at behandlingen av personopplysninger er i samsvar med GDPR-prinsippene (lovlighet, rettferdighet, åpenhet, minimering, nøyaktighet, begrensning av oppbevaring, integritet og konfidensialitet, og proaktiv ansvarlighet). En robust revisjon blir verdifull bevisførsel i tilfelle inspeksjoner eller krav, og kan utgjøre en forskjell i størrelsen på en bot.
Videre er revisjon et svært kraftig verktøy for tidlig oppdagelse av problemerDisse inkluderer: overdreven tilgang, dårlig klassifiserte data, utdaterte tekniske tiltak, leverandører uten tilstrekkelige garantier, hull i forvaltningen av de registrertes rettigheter, osv. Jo før disse feilene oppdages, desto lettere er de å rette opp og desto mindre skade forårsaker de.
Til slutt har selve revisjonsprosessen ofte en positiv effekt på den interne kulturen: ved å involvere ansatte fra forskjellige områder øker den bevissthet om personvern og sikkerhetog bidrar til å sikre at de ikke blir sett på som «ting for IT-avdelingen eller personvernombudet», men som ansvar som deles av hele organisasjonen.
Typer personvernrevisjoner: interne og eksterne
I praksis kombinerer organisasjoner ofte ulike revisjonsmetoder for å bedre dekke risikokartet. Det vanligste skillet er mellom internrevisjon og ekstern revisjonHver av dem har fordeler og ulemper som bør forstås tydelig.
Internrevisjon er den som utføres med organisasjonens egne ressurserDet utføres vanligvis av interne revisjonsteam, sikkerhetsansvarlige eller spesialister på databeskyttelse. Hovedfordelen er at det er raskere og mer kostnadseffektivt: konteksten, systemene og prosessene er kjente, og det kan gjentas oftere.
Det svake punktet med denne modellen er at den kan mangle visse uavhengighet og objektivitetTil syvende og sist tilhører ofte de som utfører revisjonene samme organisasjon som de som revideres, og dette kan påvirke dybden av analysen eller alvorlighetsgraden av konklusjonene. Dessuten tar interne ansatte noen ganger visse risikoer eller praksiser for gitt og slutter å stille spørsmål ved dem.
Ekstern revisjon, derimot, innebærer ansettelse fagfolk eller spesialiserte firmaer innen personvern, nettsikkerhet eller styringssystemer (for eksempel eksperter på ISO 27001 eller sektorspesifikke ordninger). Den største fordelen er at de vanligvis bringer med seg et mer upartisk perspektiv, erfaring fra andre organisasjoner og veletablerte metoder, noe som resulterer i mer grundige og sammenlignbare rapporter.
Ulempen ligger i kostnaden og behovet for forklare den interne konteksten til tredjepartersystemene og særtrekkene ved virksomheten. Likevel, i organisasjoner av en viss størrelse eller med høyrisikovirksomhet, er disse eksterne revisjonene vanligvis praktisk talt nødvendige for å ha en realistisk vurdering av samsvarsnivået.
Viktige faser i en personvernrevisjon
Uansett hvem som utfører den, følger en grundig personvernrevisjon en rekke trinn veldefinerte faserÅ tilpasse disse stadiene til sin egen kontekst er grunnleggende, men den generelle opplegget forblir vanligvis det samme.
Den første fasen er gjennomgang og sammenstilling av dokumentasjonDet er her alle relevante dokumenter samles: Oversikt over behandlingsaktiviteter, personvernregler, informasjonsklausuler, kontrakter med databehandlere, interne sikkerhetsregler, prosedyrer for hendelseshåndtering, protokoller for utøvelse av rettigheter, osv. Teknisk bevis samles også inn (konfigurasjoner, nettverksdiagrammer, passordregler, tidligere rapporter, osv.).
Parallelt, en detaljert revisjonsplanleggingOmfanget (hvilke behandlinger, systemer eller områder som revideres), spesifikke mål, metodikk, tidslinje, nødvendige ressurser og personer som skal intervjues er alle viktige. På dette stadiet er det vanlig å gjennomføre innledende intervjuer med nøkkelpersonell for å avklare eventuelle tvil og forstå hvordan dokumentene brukes i praksis.
Den neste fasen er samsvarsanalyseHer sammenlignes informasjonen som er samlet inn (dokumentar- og feltdata) med kravene i GDPR, LOPDGDD, retningslinjene fra tilsynsmyndigheten og, der det er aktuelt, andre relevante standarder (som ISO 27001 eller det nasjonale sikkerhetsrammeverket). Risikoen ved databehandling, de tekniske og organisatoriske tiltakene, det juridiske grunnlaget for hver behandlingsaktivitet, kvaliteten på informasjonen som gis til brukerne, rettighetsadministrasjon og forholdet til leverandører og partnere vurderes blant annet.
Med all den informasjonen, den revisjonsrapportDenne rapporten inneholder diagnosen, observerte bevis, oppdagede avvik eller mangler, og anbefalinger for forbedring. Ideelt sett bør den ikke bare identifisere problemer, men også prioritere tiltak basert på risiko og gjennomførbarhet, for å legge til rette for ledelsens beslutningstaking og ressursallokering.
Til slutt, fasen av presentasjon av resultater og handlingsplanRapporten sendes til den behandlingsansvarlige, eller til personvernombudet hvis toppledelsen allerede finnes. Basert på dette defineres en implementeringsplan med tiltak og sikkerhetstiltak: hva som skal korrigeres, innen hvilke tidsrammer, hvem som er ansvarlig, og hvordan hver oppgave skal overvåkes frem til den er fullført.
Minimumsinnhold i personvernrevisjonsrapporten
En nyttig personvernrevisjonsrapport er ikke bare en sjekkliste, men et dokument som tilbyr en klar og hierarkisk visjon av situasjonen. Likevel finnes det innholdsblokker som ikke bør mangle.
Først, en beskrivelse av organisasjonens nåværende situasjon Angående databeskyttelse: type aktiviteter, kategorier av data som behandles, berørte grupper, involverte systemer og informasjonens sensitivitetsnivå. Dette tjener til å sette alt som følger i kontekst.
Den bør også inneholde en detaljert gjennomgang av Oversikt over behandlingsaktiviteterverifisere at den er fullstendig, oppdatert og i samsvar med virkeligheten. Dette inkluderer å kontrollere at den spesifiserer formål, rettslig grunnlag, datakategorier og mottakere, oppbevaringsperioder, generelle sikkerhetstiltak og om det finnes internasjonale overføringer.
En annen nøkkelblokk er risikoanalyse og sikkerhetstiltakDet gjennomgås om det finnes en risikoanalysemetodikk, hvordan den er anvendt, hvilke risikoer som er identifisert og hvilke tekniske og organisatoriske tiltak som er definert for å redusere dem (tilgangskontroll, kryptering, nettverks- og kommunikasjonssikkerhet, sikkerhetskopiering, kontinuitet, opplæring, kontroller over leverandører osv.).
Rapporten skal også bekrefte behovet for å utføre Konsekvensutredninger for personvern (DPIA-er) For databehandling med høy risiko, gjennomgå eksisterende databehandlingsaktiviteter og kontroller at de etablerte sikkerhetstiltakene implementeres. Sjekk også om organisasjonen er pålagt å utnevne et personvernombud, og i så fall om den faktisk har gjort det og har tilstrekkelige ressurser og autonomi.
En analyse av behandlingssystemer, både automatiserte og manuelleGjennomgangen dekker lovligheten av databehandlingen, tilstrekkeligheten av informasjonsklausuler og samsvar med GDPR-prinsippene. Interne protokoller for håndtering av rettighetsforespørsler (tilgang, retting, sletting, innsigelse, begrensning av behandling og dataportabilitet) og for varsling og håndtering av sikkerhetsbrudd gjennomgås også.
Tekniske revisjoner: ISMS, ISO 27001, ENS og sikkerhetstiltak
Personvern og informasjonssikkerhet går hånd i hånd. Derfor er mange personvernrevisjoner avhengige av Informasjonssikkerhetsstyringssystemer (ISMS) basert på standarder som ISO 27001 eller rammeverk som den nasjonale sikkerhetsordningen (ENS) i spansk offentlig sektor.
Et godt implementert ISMS er basert på en logikk om lagdelt risikostyringmed varierende sikkerhetsnivåer som beskytter alt fra fysisk infrastruktur til applikasjoner og data. Innenfor dette rammeverket gjennomgås generelle tekniske tiltak: passordregler, logiske tilgangskontroller, nettverkssegmentering, perimeterbeskyttelse, kryptering under overføring og i ro, enhetssikkerhet, overvåking, sikkerhetskopiering og planer for forretningskontinuitet.
Revisjonen sjekker også hva som gjøres hvis et ISMS allerede finnes i selskapet: hvordan risikoanalyseHvor ofte blir de gjennomgått, hvordan dokumenteres beslutninger om aksept eller håndtering av risikoer, når aktiveres en konsekvensutredning for personvern, og hvordan integreres begge visjonene (sikkerhet og personvern) i et felles verktøy eller en felles metodikk.
Organisatoriske sikkerhetstiltak er like viktige: mekanismene gjennomgås klassifisering og bruk av informasjon, regler for intern og ekstern datautveksling, bevisstgjørings- og opplæringsprogrammer, kontroller av autorisasjoner og periodiske gjennomganger av tillatelser, håndtering av leverandører og underleverandører, og protokoller for håndtering av hendelser og sikkerhetsrelaterte oppgaver.
Den rent tekniske delen omfatter problemstillinger som virtualisering, kryptografi, sikker systemkonfigurasjon, kommunikasjonssikkerhet (for eksempel bruk av HTTPS, TLS, Wi-Fi beskyttet med WPA2 eller WPA3), pseudonymisering, anonymisering, hendelsesovervåking, sikkerhetskopiering og periodisk gjenopprettingstesting, samt planer for forretningskontinuitet og katastrofegjenoppretting.
Revisjon av AI-komponenter og algoritmiske behandlinger
Med utvidelsen av kunstig intelligens-systemer innen dataanalyse, poengsetting, beslutningsautomatisering og tjenestetilpasning, må personvernrevisjoner nå inkludere en spesifikk gjennomgang av AI-komponenter som behandler personopplysningerDette området konsentrerer seg om juridiske, etiske og omdømmemessige risikoer på overordnet nivå.
Denne delen begynner med en klar definisjon av AI-komponentenHva gjør AI, hvilke data opererer den på, hvilke beslutninger eller anbefalinger genererer den, og hvem påvirker den? Det er viktig å identifisere komponenten på en transparent måte (slik at den ikke er en usynlig «svart boks» for brukeren) og tydelig angi dens formål: hvorfor AI brukes, hvilken verdi tilfører den, og hvilke implikasjoner har den for mennesker?
Revisjonen bør også gjennomgå datahåndtering og klargjøring som inngår i modellen: dataopprinnelse, juridisk grunnlag for hver bruk, minimeringstiltak, rengjørings- og merkingsprosesser, kontroll av skjevhet og oppdateringsprosedyrer. Det verifiseres om prinsippene for nøyaktighet, formålsbegrensning og minimering respekteres, samt de registrertes rettigheter mot automatiserte avgjørelser.
En annen kritisk blokk er verifisering og validering av AI-komponentenDette innebærer å analysere hvordan modellen har blitt testet, hvilke målinger som brukes, om det utføres periodiske valideringer for å oppdage forringelser i dens oppførsel, om det finnes menneskelige gjennomganger av sensitive beslutninger, og hvordan testene og resultatene dokumenteres.
I mange tilfeller vil det være nødvendig å utføre en Konsekvensanalyse av personvern spesifikt for AIGitt den dataintensive naturen til databehandling, ugjennomsiktigheten til noen algoritmer og den høye risikoen for folks rettigheter og friheter, må revisjonen sikre at disse konsekvensanalysene for personvern (DPIA-er) finnes, er fullstendige og oppdateres når modeller endres eller bruken av dem utvides.
Revisors rolle og brukerorienterte sikkerhetstiltak
Revisoren, intern eller ekstern, blir den personen som Den evaluerer og sammenligner virkeligheten med sikkerhets- og personvernstandarder.Deres oppgave er ikke bare å gjennomgå dokumenter, men å verifisere på bakkenivå hvordan personopplysninger er beskyttet: hvem som får tilgang til dem, med hvilke påloggingsinformasjoner, hvorfra, til hvilket formål og under hvilke kontroller.
Denne analysen inkluderer både rent tekniske aspekter (tilgangskontroller, passordhåndtering, nettverkssikkerhet, kryptering, oppbevaringsregler) og verifisering av at organisasjonen overholder informasjons- og samtykkeplikterog med fokus på enkeltpersoners rettigheter (tilgang, retting, sletting osv.). Den gjennomgår også hvordan forespørsler om å utøve rettigheter håndteres og hvilken sporbarhet som finnes av svarene.
Fra proffbrukerens perspektiv er det viktig å etablere og verifisere tiltak som bruk av sterke og unike passordSystematisk utrulling av tofaktorautentisering, konstant oppdatering av systemer og applikasjoner, bruk av sikre Wi-Fi-nettverk og utelukkende nettlesing via krypterte tilkoblinger og bruk av oppdaterte antivirus- og antimalware-løsninger.
Revisjonen bør også analysere Personvernkontroll på sosiale nettverk og skytjenester, bruken av krypterte sikkerhetskopier, praksis for datadeling og nivået på opplæring av ansatte i saker som phishing, ondsinnede e-poster, sosial manipulering og risikoer ved deling av informasjon på nett.
I tillegg til sikkerhetskontroller må organisasjonen ha en oppdatert datalager spesifiserer hvor de bor, hvem som har tilgang til dem og hvem som er ansvarlig for deres oppbevaring. Denne oversikten er avgjørende for å oppfylle juridiske forpliktelser, identifisere sårbarheter, demonstrere ansvarlighet og støtte både interne revisjoner og forespørsler fra interessenter.
Gjennomgang av tilgang, rettigheter og administrasjon av brukerlivssyklus
Et av punktene som utgjør den største forskjellen i praksis er revisjonen av brukertillatelser og tilgangsrettigheter til systemer og data. Saken OneMain Financial og millionboten fra New York-regulatoren for feil i tilgangskontrollen er en klar påminnelse om hva som står på spill.
Den periodiske gjennomgangen av tilgang (brukertilgangsgjennomgang eller UAR) består av å analysere hvilke brukere som har påloggingsinformasjon, hvilke ressurser de har tilgang til, og med hvilket nivå av rettigheterog eliminere alt unødvendig eller upassende. Dette gjelder ansatte, administratorer, leverandører, teknologipartnere og enhver tredjepart med tilgang til kritiske data eller systemer.
Et effektivt brukertilgangsregister (UAR) må svare på grunnleggende spørsmål: hvem har tilgang til hva, med hvilke spesifikke tillatelser, om de har en legitim begrunnelse for denne tilgangen, og hvilke endringer som må gjøres. Denne prosessen er viktig for å beskytte data og eiendeler, overholde sikkerhetsrammeverk og bransjeforskrifter, forbedre risikostyring (spesielt av innsidetrusler), og for øvrig redusere lisenskostnader ved å eliminere tilgang og kontoer som ikke lenger er i bruk.
Det første trinnet er vanligvis lagerverktøy, systemer og brukere: liste opp alle programmerDatabaser, skytjenester og nettverk, samt alle brukere (interne, eksterne, tjenestekontoer, inaktive kontoer) og deres roller eller rettigheter, gjennomgås. Derfra gjennomgås kontoene til avtroppende ansatte og tredjeparter, og eventuell gjenværende aktiv tilgang tilbakekalles umiddelbart og offboarding-prosessen justeres for å forhindre at dette skjer igjen.
Revisjonen bør også avdekke den såkalte skyggeadministratorkontoerDette er nominelt ikke-administratorbrukere som i praksis har fått tildelt svært sensitive rettigheter direkte. De er et perfekt mål for angripere og blir ofte ikke oppdaget. Den typiske anbefalingen er å tilbakekalle unødvendige rettigheter eller integrere dem i formelt administrerte og overvåkede administrative grupper.
En annen vanlig risiko er utilsiktet akkumulering av privilegier Når folk bytter stilling eller avdeling, gjennomgår revisjonen spesifikt de som har byttet rolle, sammenligner deres nåværende tilgang med de faktiske behovene i den nye stillingen og fjerner alt som bare var nødvendig i tidligere roller.
I det siste trinnet analyseres tillatelsene til de andre brukerne for å sikre at hver enkelt overholder Prinsippet om behov for å vite og minste privilegiumTilgang bør begrenses til strengt nødvendig informasjon, og kun med de essensielle mulighetene (vise, redigere, slette osv.). I noen tilfeller kan permanent tilgang konverteres til midlertidig tilgang, for eksempel gjennom engangspassord eller tidsbegrensede rettighetseskaleringer.
Automatisering, beste praksis og revisjonslogger i Microsoft 365
For å forhindre at tilgangskontroll og aktivitetsrevisjon blir en umulig oppgave, er det viktig å stole på automatiseringsverktøy og sentraliserte plattformerDette reduserer menneskelige feil, forbedrer sporbarheten og gjør det enklere å ha komplette rapporter tilgjengelig når som helst.
Spesialiserte løsninger tillater spore alle brukere, inkludert inaktive og ikke-personlige kontoerAdministrer roller, grupper og tillatelser, overvåk leverandørtilgang, oppdag skyggeapplikasjoner som brukes med bedriftslegitimasjon, og generer automatiserte rapporter om hvem som har tilgang til hva og hvorfor.
I Microsoft 365-miljøer, enhetlig revisjonslogg Den er aktivert som standard i de fleste organisasjoner. Likevel, når du konfigurerer en ny leietaker, anbefales det å sjekke revisjonsstatusen, siden denne loggen lagrer bruker- og administratoraktivitet i en periode som vanligvis er 180 dager, men kan justeres gjennom oppbevaringspolicyer og lisenser.
En global administrator kan aktivere eller deaktivere revisjon fra Microsoft Purview-portalen eller via PowerShell, forutsatt at de har riktig rolle i Exchange Online. Statuskontroller utføres ved hjelp av kommandoer som Get-AdminAuditLogConfigKontrollerer verdien til egenskapen UnifiedAuditLogIngesionEnabled. En True-verdi indikerer at revisjon kjører; False, at den er deaktivert.
Aktivering via det grafiske grensesnittet innebærer å gå inn på Purview-portalen, finne revisjonsløsningen og følge banneret som ber deg om å starte logging av bruker- og administratoraktivitet. Det kan ta opptil en time før endringen trer i kraft. Bruk PowerShell til å kjøre Set-AdminAuditLogConfig-UnifiedAuditLogIngestmentEnabled $true for å aktivere den, eller den samme kommandoen med $false for å deaktivere den, og deretter sjekke statusen på nytt for å bekrefte at kommandoen er brukt.
En interessant detalj er at Endringer i selve revisjonsstatusen revideres ogsåMed andre ord, når noen aktiverer eller deaktiverer enhetlig logging, genereres det en oppføring i Exchange-administratorens revisjonslogger som angir hvem som gjorde endringen, fra hvilken IP-adresse og når. Disse hendelsene kan finnes ved hjelp av Search-UnifiedAuditLog, filtrering etter Set-AdminAuditLogConfig-operasjoner og kontroll av verdien til UnifiedAuditLogIngesionEnabled i AuditData-egenskapen.
Hyppighet, opplæring og kultur for kontinuerlig forbedring
En typisk feil er å behandle personvern- og tillatelsesrevisjon som en en engangsøvelse for å "klare seg"I virkeligheten endrer det teknologiske miljøet, truslene og regelverket seg så raskt at ethvert øyeblikksbilde blir foreldet på kort tid.
Derfor er det tilrådelig å etablere en konsekvent gjennomgangsplanperiodiske tilgangsgjennomganger (f.eks. kvartalsvis for administratorer og privilegerte kontoer), årlige eller halvårlige personvernrevisjoner og umiddelbare oppdateringer når nye systemer innlemmes, AI-prosjekter lanseres eller relevante endringer i databehandlingen oppstår.
Opplæring av ansatte er et annet viktig element. Integrering av tilgangshåndtering og gjennomgang av tillatelser I onboarding- og offboarding-prosessene for ansatte hjelper det HR-, IT- og teamledere med å koordinere: før noen blir med, bestemmes det hvilke verktøy de skal ha tilgang til og med hvilke tillatelser; når noen slutter, planlegges tilbakekallingen av alle kontoene og tilgangen deres til riktig tidspunkt.
Videre, å involvere viktige forretningsfolk i anmeldelsene (ikke bare for IT) forbedrer kvaliteten på beslutninger: områdeledere vet bedre enn noen andre hvem som trenger hvilke data og hvor lenge. Automatisering kan gi dem dashbord og lister for å godkjenne, avslå eller justere tilgang uten å måtte fordype seg i den tekniske konfigurasjonen.
På lang sikt oppnår organisasjoner som tilnærmer seg tillatelser og personvernrevisjon som en kontinuerlig, tverrgående praksis ikke bare redusere juridiske og cybersikkerhetsrisikoermen også å bygge en kultur preget av etikk og ansvarlighet i datahåndtering. Dette fører til større tillit fra kunder, brukere og regulatorer, og en mye sterkere posisjon til å håndtere hendelser eller regulatoriske endringer i et stadig mer krevende digitalt økosystem.
