Kontinuitet og beredskap

Kontinuitet og beredskap – Vettu

Versjon 1.2 · 2. oktober 2026 · Enne AS (org.nr. 932 917 963) · Ansvarlig: daglig leder

• RPO og RTO
• Scenarier
• Gjenopprettingsrekkefølge
• Sikkerhetskopier og test
• Informasjon til dere
• Kontaktinformasjon og varslingslister
• Endringer
• Alt for skole og kommune

1. Mål for datatap og gjenoppretting

Målene regnes fra vi er kjent med feilen. De er mål, ikke garantier. Vettu er gratis og har ingen avtalt oppetid (vilkårene punkt 7).

Grunnlaget for målene: i den ukentlige testen tar det noen minutter å gjenopprette databasen. Ved tap av serveren går det meste av tiden med til å sette opp en ny server, kopiere filene og flytte adressen vettu.no. Det har vi ikke øvd i sin helhet, og derfor er målet satt romslig.

En quiz som pågår, ligger bare i minnet og går tapt hvis Vettu stopper. Oppgavesvar lagres fortløpende i databasen. Runder i «Øv selv» tas vare på når Vettu startes på nytt på vanlig måte.

2. Scenarier

Scenario	Hva skjer	Hva vi gjør	Mål
Vettu-prosessen stopper	Sidene og quizene svarer ikke. En quiz som pågår, går tapt, fordi den bare ligger i minnet. Oppgavesvar ligger i databasen og berøres ikke.	Prosessen startes automatisk på nytt etter to sekunder. Svarer den fortsatt ikke, varsler overvåkingen oss, og vi finner årsaken.	Noen minutter (automatisk)
Feil etter en oppdatering	En funksjon virker ikke, eller Vettu starter ikke.	Helsesjekken etter oppdateringen sier fra. Vi retter feilen eller legger tilbake forrige versjon.	Innen 2 timer
Databasen er ødelagt, eller data er slettet ved en feil	Data mangler eller er feil.	Vi gjenoppretter fra nyeste kopi som har bestått kontrollen. Endringer etter kopien går tapt.	Innen 4 timer
Serveren er tapt eller kompromittert	Vettu er nede. Ved innbrudd kan data være kommet på avveie.	Ny server bygges opp i EU, og data legges tilbake fra kopiene (se rekkefølgen under). Ved innbrudd tas ikke den gamle serveren i bruk igjen, alle nøkler og passord byttes, og hendelsesrutinen følges.	Innen 24 timer
En underleverandør faller bort	Driftsleverandøren: som tap av serveren. Skylageret: kopiene på serveren og vårt eget utstyr består. E-post: bekreftelse og nytt passord virker ikke. KI-leverandøren: quizhjelpen og Alex virker ikke, resten av Vettu virker.	Vi tar i bruk en annen leverandør i EØS. Må vi ta i bruk en ny underdatabehandler for å få Vettu opp igjen, varsler vi dere med en gang, og dere har de samme rettighetene som etter databehandleravtalen punkt 5.	Som over. Kan ta lenger tid hvis vi må bytte driftsleverandør.
Daglig leder er utilgjengelig	Vettu går som normalt, og sikkerhetskopier, sikkerhetsoppdateringer og overvåking går automatisk. Men ingen kan rette feil eller håndtere hendelser.	Driften er dokumentert, men ingen stedfortreder har tilgang i dag.	Ingen mål – dette er en gjenstående risiko.
Tjenestenekt (DDoS) eller overbelastning	Vettu blir treg eller utilgjengelig.	Grensene per IP-adresse og de samlede takene stopper det meste. Vi får kapasitetsvarsler og kan stramme inn grensene. Vi har ingen egen tjeneste for vern mot store angrep foran serveren.	Så snart angrepet avtar
Vårt eget utstyr med sikkerhetskopier er tapt	Ingen virkning for brukerne.	Kopiene på serveren og i pCloud består. Arkivkopier eldre enn 14 dager kan gå tapt. Kopiene er kryptert, men nøkkelen oppbevares på det samme utstyret. Ved tyveri vurderes det derfor som et mulig brudd.	Ikke relevant for brukerne

3. Gjenopprettingsrekkefølge når serveren er tapt

1. Vurder årsaken. Er det mistanke om innbrudd, følger vi hendelsesrutinen parallelt, og den gamle serveren brukes ikke igjen.
2. Ny server i EU, satt opp med vårt installasjonsskript: brannmur, database, reverse proxy og tjenestene.
3. Databasen gjenopprettes fra nyeste kopi som har bestått kontrollen, fra vårt eget utstyr eller fra pCloud.
4. Filene (bildene) legges tilbake.
5. Nøkler og hemmeligheter legges inn fra vår egen kopi. Ved mistanke om lekkasje lager vi nye.
6. Vettu og nettsidene startes, og vi sjekker helsen og spiller en testquiz.
7. Adressen vettu.no flyttes til den nye serveren. Sertifikatet for kryptert trafikk hentes automatisk.
8. Etterarbeid: informere dere (punkt 5), føre hendelsen i avviksloggen, og evaluere.

Innhold som ble slettet etter at kopien ble tatt, kan komme tilbake ved en gjenoppretting. Vi har ingen fullstendig liste over slike slettinger. Det vi vet om, sletter vi på nytt.

4. Sikkerhetskopier og test

• Hver natt tas en fullstendig kopi av databasen og filene.
• Kopien lagres tre steder: på serveren, på vårt eget utstyr i Norge og i pClouds EU-region. Overføringen er kryptert, og fra 1. oktober 2026 krypteres kopiene før de forlater serveren, både på vårt eget utstyr og hos pCloud.
• Hver kopi sjekkes for feil, og vi får varsel hvis nyeste kopi er eldre enn 26 timer, eller hvis en kopiering feiler.
• Hver mandag gjenopprettes nyeste kopi automatisk i et isolert miljø på vårt eget utstyr, kontrolleres og slettes igjen. Vi får varsel hvis testen feiler. Testen har lyktes hver uke siden august 2026.
• Daglige kopier beholdes i 14 dager, og en arkivkopi i inntil 12 måneder. Filer som slettes i Vettu, fjernes fra kopiene av fillageret innen 14 dager.

Begrensninger: testen kontrollerer databasen som helhet, men ikke Vettus tabeller særskilt og ikke bildefilene. De gamle ukrypterte kopiene fra før 1. oktober 2026 ble slettet 2. oktober 2026. Se også risikovurderingen (R6, R7, R12 og R17).

5. Informasjon til dere

• Er Vettu nede eller ustabil i mer enn fire timer på en skoledag, eller går data tapt, sender vi e-post til skoler og kommuner som har inngått databehandleravtale.
• E-posten sendes fra hei@skjerm.ai, som ikke ligger på Vettu-serveren. Den kan derfor sendes også når serveren er nede.
• Når Vettu er oppe igjen, skriver vi en kort melding på Drift og planlagt nedetid.
• Er personopplysninger berørt, gjelder varslingen i hendelsesrutinen (senest innen 48 timer).

6. Kontaktinformasjon og varslingslister

• Varslingslista består av e-postadressen for varsler i hver signerte databehandleravtale. Adressen føres inn når vi signerer avtalen.
• Endringer: skolen eller kommunen melder ny kontaktperson eller ny e-postadresse til hei@skjerm.ai. Vi oppdaterer lista samme virkedag som vi får meldingen.
• Kontroll: hvert år ved skolestart i august ber vi alle på lista bekrefte at kontaktinformasjonen stemmer. Kommer et varsel i retur, kontakter vi skolen eller kommunen på annen måte, for eksempel via postmottaket.
• Våre egne kontaktpunkter: hei@skjerm.ai og /.well-known/security.txt. Datoen i security.txt fornyes automatisk.
• Sikt (Feide): når Feide-innlogging er slått på, varsler vi Sikt på kontakt@sikt.no om hendelser som berører Feide (hendelsesrutinen).
• Leverandørene: kontoer og kontaktinformasjon hos driftsleverandøren, skylageret, e-postleverandøren og KI-leverandøren ligger hos daglig leder og sjekkes ved den årlige gjennomgangen.

7. Gjennomgang av planen

Planen gjennomgås minst én gang i året, etter større endringer i driften og etter hendelser der den ble brukt. Gjenopprettingen av databasen testes automatisk hver uke. Full gjenoppbygging av serveren er ikke øvd.

8. Endringer

• Versjon 1.0 – 1. oktober 2026: første versjon.
• Versjon 1.1 – 1. oktober 2026: Sikt (Feide) er tatt med i kontaktlistene (punkt 6).
• Versjon 1.2 – 2. oktober 2026: sikkerhetskopiene: sletting i kopiene innen 14 dager, de gamle ukrypterte kopiene slettes, og tap av eget utstyr (punkt 2 og 4).

Spørsmål: hei@skjerm.ai.