FAQ25 frågor
Säkerhet, regelefterlevnad och upphandling
Säkerhetsunderlag
Var lagras data i MuchSkills?
MuchSkills lagrar kunddata i vila inom EU, i Stockholm i Sverige, med Amazon Web Services (eu-north-1) för hosting och MongoDB som databas. Därmed faller frågan om dataöverföring bort i de flesta europeiska säkerhetsgranskningar innan den ens har kommit upp. Listan över underbiträden i MuchSkills Trust Center är det gällande underlaget för var data lagras, och ni får besked 30 dagar innan någon ändring görs. Om ni har ett specifikt krav på hosting, till exempel i USA eller Storbritannien, ta upp det redan under utvärderingen i stället för när det är dags att skriva avtal.
Hur lång tid tar en säkerhetsgranskning av MuchSkills?
När ni skickar ett säkerhetsformulär till MuchSkills strävar vi efter att skicka tillbaka det inom en vecka. Därefter beror tidsåtgången på ert eget säkerhetsteam. Det mesta som granskare efterfrågar finns redan i MuchSkills Trust Center: säkerhetsöversikten, policyer, intyget från penetrationstestet, underbiträden och aktuell kontrollstatus. Några dokument kräver en enkel begäran om åtkomst. Två saker snabbar på processen hos er: bestäm tidigt vem som är personuppgiftsansvarig för kompetensdatan, och skicka formuläret under utvärderingen i stället för efter det kommersiella avtalet.
Hjälper MuchSkills till med kompetenskraven i ISO 9001?
Ja. MuchSkills är byggt för ISO 9001 avsnitt 7.2, avsnittet om kompetens. Det kräver att ni fastställer vilken kompetens varje roll behöver, säkerställer att medarbetarna har den, vidtar åtgärder där den saknas och kontrollerar att åtgärderna gav effekt, samt bevarar dokumenterade belägg. I MuchSkills finns kravet per roll, varje persons nuvarande nivå och certifikat, kompetensgapet, den åtgärd som vidtagits, till exempel ett utvecklingsmål eller en utbildning, och en fullständig ändringslogg över varje certifikatändring som visar vem som ändrade vad och när. Hela historiken sparas och ingenting skrivs över. Det är just den historiken revisorerna vill se. Läs mer om MuchSkills för compliance.
Kan MuchSkills ta fram underlag för en extern revision?
Ja. Med MuchSkills Compliance Intelligence väljer ni vilka personer som omfattas, även tidigare anställda, och laddar ner alla deras certifikat och verifikationsfiler, korrekt namngivna och klara att lämna till revisorn. Certifikatstatus, utgångsdatum och ändringsloggen följer med: vem som lade till varje certifikat, när, vem som validerade det och varje senare ändring, med hela historiken bevarad. Rapporter per roll, team eller arbetsplats visar vilka som uppfyller varje krav, vilka som snart inte längre gör det och vilka som redan har fallit ut.
Täcker MuchSkills CSRD och rapportering om personalen?
Delvis. MuchSkills har data om utbildning, kompetens och certifieringar i ett exporterbart format som kan användas i upplysningarna om egen personal enligt ESRS S1, till exempel nyckeltal för utbildning och kompetensutveckling, om CSRD gäller för er. Det är inte ett verktyg för hållbarhetsrapportering och tar inte fram er rapport. Se det som en av källorna ert rapporteringsteam hämtar underlag från, tillsammans med system för lön, arbetsmiljö och mångfald.
Vilka åtaganden gör MuchSkills kring tillgänglighet och säkerhetskopiering?
MuchSkills har ett mål om 99,5 % tillgänglighet per månad, enligt dokumentet Service Description and Service Levels i MuchSkills Trust Center. Säkerhetskopiering sker minst var sjätte timme och kopiorna sparas i upp till 90 dagar, med ett återställningspunktsmål (RPO) på 24 timmar och ett återställningstidsmål (RTO) på 72 timmar. Avtalade servicenivåer kan överenskommas på Enterprise-planen.
Är data i MuchSkills krypterad?
Ja. MuchSkills krypterar kunddata i vila med AES-256 på databas- och lagringsnivå, och under överföring med TLS 1.2 eller senare, även mellan sina egna tjänster. Åtkomsten till nycklar är begränsad till namngivna administratörer och loggas, och flerfaktorsautentisering krävs för alla administratörskonton hos MuchSkills. Aktuella detaljer finns alltid i MuchSkills Trust Center FAQ.
Har MuchSkills stöd för single sign-on och SCIM-provisionering?
Ja. MuchSkills har stöd för single sign-on via er egen identitetsleverantör, bland annat Okta, Google Workspace och Microsoft Entra ID (Azure Active Directory), i alla planer. En medarbetare som slutar och tas bort ur er katalog förlorar alltså åtkomsten genom er egen process. Automatisk provisionering och avprovisionering via SCIM ingår också i alla planer. Installationsguider för varje identitetsleverantör finns på MuchSkills integrationssida.
Vad händer om MuchSkills drabbas av en personuppgiftsincident?
Om MuchSkills får kännedom om en incident som berör era personuppgifter meddelar MuchSkills er utan onödigt dröjsmål och senast inom 48 timmar. Meddelandet beskriver vad som har hänt, vilka kategorier av personer och poster som berörs och ungefär hur många, de troliga konsekvenserna och vilka åtgärder som vidtagits eller föreslås. MuchSkills hjälper er sedan att uppfylla era egna skyldigheter som personuppgiftsansvarig. Beslutet om att anmäla till tillsynsmyndigheten och informera berörda personer ligger fortsatt hos er. Säkerhetsproblem kan rapporteras till security@muchskills.com.
Kan vi själva granska eller testa säkerheten i MuchSkills?
Ja. Ni får säkerhetstesta ert eget MuchSkills-konto och era egna data, så länge det sker i god tro och enligt Vulnerability Disclosure Policy. Last- och överbelastningstester (denial of service), liksom allt som berör en annan kund, kräver skriftligt medgivande i förväg. Rapporten från det oberoende penetrationstestet och intygsbrevet finns i MuchSkills Trust Center. Revisionsrätten, inklusive en inspektion på plats en gång per år på er egen bekostnad, framgår av personuppgiftsbiträdesavtalet (Data Processing Agreement).
Vilka underbiträden anlitar MuchSkills, och får vi veta när något ändras?
MuchSkills redovisar sina underbiträden i MuchSkills Trust Center och i personuppgiftsbiträdesavtalet, med syfte, plats och skyddsåtgärd för överföring för vart och ett. Kunddata lagras i vila inom EU. Viss behandling sker utanför EES, till exempel AI-funktionerna, supportchatten i produkten och delar av faktureringen, och då alltid med stöd av standardavtalsklausulerna. Ni får minst 30 dagars varsel innan ett underbiträde läggs till eller byts ut, med rätt att invända, och ni kan prenumerera på uppdateringar.
Fungerar MuchSkills för AS9100, IATF 16949 och andra standarder som bygger på ISO 9001?
Ja. Kvalitetsstandarder som bygger på ISO 9001, som AS9100 inom flyg- och rymdindustrin och IATF 16949 inom fordonsindustrin, behåller kompetenskravet i avsnitt 7.2 i ISO 9001 och lägger till branschspecifika krav ovanpå. Därför fungerar samma underlag i MuchSkills: den kompetens varje roll kräver, varje persons nuvarande nivå och certifikat, kompetensgapen, vidtagna åtgärder och en fullständig ändringshistorik. Detsamma gäller andra ISO-standarder för ledningssystem som har ett kompetensavsnitt, som ISO 14001, ISO 45001 och ISO 22000. Compliance Intelligence laddar ner alla certifikat och bevisfiler för de personer som omfattas, och med Compliance-planen kan revisorer få egen åtkomst utan extra kostnad.
Kan vi ge externa revisorer åtkomst till MuchSkills?
Ja. MuchSkills Compliance-plan är en organisationslicens som omfattar ett obegränsat antal administratörer, läsare och revisorer utan extra kostnad, så en extern revisor kan få egen åtkomst till det underlag hen behöver. Med Compliance Intelligence kan ni dessutom välja ut de personer som omfattas, inklusive tidigare anställda, och ladda ner alla deras certifikat och bevisfiler, korrekt namngivna och klara att lämna över.
Stöder MuchSkills DORA för banker och finansinstitut?
Ja. För banker, försäkringsbolag, betalningsföretag och andra finansiella företag som omfattas av EU:s förordning om digital operativ motståndskraft har MuchSkills ett DORA-tillägg som kompletterar Enterprise Terms och personuppgiftsbiträdesavtalet. Fråga efter det när du utvärderar oss, eftersom det inte finns på den publika juridiska sidan. I MuchSkills Trust Center hittar du den säkerhetsdokumentation som din riskbedömning av IKT-tredjepartsleverantörer kräver.
Är MuchSkills validerat för GxP eller 21 CFR Part 11?
Nej. MuchSkills levereras inte som ett validerat GxP-system och tillhandahåller varken elektroniska signaturer enligt 21 CFR Part 11 eller ett IQ-, OQ- och PQ-paket. Systemet kan följa upp utbildnings- och certifieringsstatus med fullständig ändringshistorik för team inom läkemedel, bioteknik och medicinteknik, och om ert kvalitetssystem kräver validering för en definierad avsedd användning är det ni som ansvarar för att genomföra valideringen. Berätta tidigt vilken dokumentation ni behöver.
Kontrollerar MuchSkills att ett certifikat är äkta?
MuchSkills registrerar vad som laddades upp, av vem och när, men intygar inte själv att ett certifikat är äkta. En chef eller HR kan validera varje certifikat mot bevisfilen, licensnumret eller länken till meritbeviset, så att det markeras som validerat i stället för bara uppgivet, och certifikat som synkas från Credly kommer in som utfärdarens egna digitala badges. Varje senare ändring loggas med vem som gjorde den och när.
Kan MuchSkills ge underlag som styrker personalens kompetens vid vår ISO 27001- eller SOC 2-revision?
Ja. Enligt ISO 27001 ska ni fastställa och kunna styrka kompetensen hos dem vars arbete påverkar informationssäkerheten, liksom deras medvetenhet och utbildning. SOC 2 efterfrågar i sin tur ett åtagande att attrahera, utveckla och behålla kompetenta medarbetare. I MuchSkills samlas de säkerhetscertifieringar, utbildningsbadges och kompetenser som varje roll kräver. Medarbetarna får en påminnelse innan ett certifikat går ut, och en fullständig ändringshistorik finns att visa upp för revisorn. Det här är en annan fråga än MuchSkills egen certifieringsstatus, som vi tar upp i vårt svar om ISO 27001.
Kan vi ange obligatoriska certifieringar för varje roll i MuchSkills?
Ja. Ni lägger till de certifikat som varje roll kräver i rollprofilen, tillsammans med kompetenser och nivåer, och MuchSkills visar i realtid vem som uppfyller kravet, vem som inte gör det och vem som snart riskerar att falla utanför när certifikat närmar sig sitt utgångsdatum. Medarbetarna ser ett obligatoriskt certifikat som saknas eller har gått ut markerat i rött i sin egen gapvy, och HR kan sätta ett certifikatmål för alla i en roll på en gång.
Kan MuchSkills hålla koll på certifieringarna bakom vår partnerstatus hos Microsoft eller AWS?
Ja. Redan i dag kan ni ta fram certifieringsrapporter per leverantör som visar vem som har vilket certifikat från AWS, Microsoft och andra leverantörer och när det går ut, och ni får en påminnelse innan det förfaller. MuchSkills håller också på att lansera bevakning av partnernivåer. Funktionen kontrollerar löpande att ni fortfarande har tillräckligt många certifierade medarbetare för varje partnernivå i takt med att folk kommer och går och certifikat löper ut, och varnar er om ni hamnar under kravet.
Kan MuchSkills hålla koll på licenser och interna behörigheter, inte bara leverantörscertifikat?
Ja. Förutom de fler än 9 700 certifieringarna i databasen kan din organisation lägga in egna certifikat, licenser, medlemskap och interna behörigheter i MuchSkills, till exempel truckkort, passerkort till en arbetsplats eller ett godkännande för att arbeta i ett visst system. Alla får ett utgångsdatum, ett bifogat underlag och samma påminnelser och ändringshistorik.
Behöver vi teckna ett separat personuppgiftsbiträdesavtal (DPA) med MuchSkills?
Nej. MuchSkills personuppgiftsbiträdesavtal uppfyller kraven i artikel 28 i GDPR och ingår i avtalet, så det gäller utan separat underskrift. Inköpsavdelningar som behöver ett undertecknat exemplar kan begära ett. Avtalet förhandlas inte punkt för punkt. Har ni ett specifikt krav tar ni upp det i samband med beställningen, så hanteras det där.
Hjälper MuchSkills till med EU:s lönetransparensdirektiv?
Delvis. EU:s lönetransparensdirektiv (2023/970) anger kompetens som ett av kriterierna för att jämföra likvärdigt arbete, tillsammans med ansträngning, ansvar och arbetsförhållanden. MuchSkills dokumenterar kompetenskriteriet: vilka kompetenser och nivåer varje roll kräver och vilket underlag som finns för varje person. Det är inget verktyg för lönesättning eller arbetsvärdering, så lönekartläggning och rapportering ligger kvar i era HR- och ersättningssystem.
Kan MuchSkills användas för arbete som omfattas av ITAR eller CMMC?
MuchSkills lagrar kunddata enbart inom EU och lämpar sig därför inte för teknisk data som omfattas av ITAR eller för Controlled Unclassified Information. Amerikanska leverantörer till försvaret och myndigheter kan använda MuchSkills för att hålla koll på medarbetarnas kompetenser och certifikat, inklusive de säkerhetscertifieringar som deras kontrakt kräver, i arbete som inte omfattar kontrollerad data.