Varför vi byggde ett öppet API, och vad ni kan göra med det
Om du jobbar med dataskydd eller informationssäkerhet har du säkert tagit ut samma uppgifter i Excel flera gånger. En gång till rapporten till ledningen, en gång till revisorn och en gång för att någon ville lägga upp det på en intern sida. Informationen finns ju redan i systemet. Men för att få ut den måste någon göra det för hand, och så fort det är gjort är filen gammal.
Det är därför vi har byggt ett öppet API. I det här inlägget går jag igenom vad det betyder i praktiken, vad ni kan använda det till och vad som är bra att veta innan ni börjar.
Vad är ett API egentligen?
Om du inte jobbar med teknik är Application Programming Interface (eller API) ett ganska luddigt begrepp, så jag ska försöka förklara det enkelt.
Ett API gör att ett annat system kan hämta information från DirSys automatiskt, istället för att en människa loggar in och klickar sig fram. Systemet frågar efter till exempel vilka personuppgiftsbehandlingar som är registrerade och får tillbaka svaret direkt.
För att få göra det behövs en API-nyckel. Den skapar ni själva i vår developer-portal, ni bestämmer vad den får göra och ni kan ta bort den när ni vill. Informationen är alltså exakt samma som ni redan har i DirSys. Den blir bara tillgänglig på fler ställen, utan att någon behöver kopiera den för hand.
Rapporter som håller sig uppdaterade
"Går det att hämta ut informationen från DirSys till vår egen rapport?", det är en av de vanligaste frågorna jag får av våra kunder.
Svaret är ja, det går. Ert rapportverktyg, till exempel PowerBI eller en dashboard som ni redan använder, kan hämta uppgifterna direkt från DirSys. Hur mycket som finns registrerat, hur mycket som är granskat och vad som snart behöver ses över.
Då slipper någon ta fram det för hand inför varje möte med ledningen, och siffrorna är aktuella varje gång rapporten öppnas.
Nå ut till fler i organisationen
Dataskydd och informationssäkerhet berör många fler än de som jobbar med det varje dag. Ofta är det ute i organisationen man vet hur informationen faktiskt hanteras.
Med API:et kan ni möta dem där de redan är, och samtidigt leda dem in i DirSys när det är dags att göra något. Till exempel en intern sida som visar vad just deras avdelning har registrerat, med en länk vidare in i systemet. Eller en notis i Teams till den som är ansvarig när något behöver granskas, också den med en länk direkt till rätt ställe.
Då blir det tydligare för fler vad arbetet handlar om, och det blir enklare för den som ska göra sin del.
Ge revisorn en nyckel istället för en Excel-fil
Inför en revision är det vanligt att någon tar ut en fil och mejlar över den. Det fungerar, men då ligger uppgifterna i en Excel-fil i någons inkorg och ni har ingen koll på vad som händer med den sen.
Ni kan istället skapa en nyckel som bara får läsa det revisorn behöver, som slutar fungera på ett datum ni bestämmer och som ni kan ta bort direkt när uppdraget är klart.
Samma sak går att göra internt. Har ni en lista över era system, eller ett CMDB, kan ni jämföra vad ni har skrivit in i DirSys med vad som faktiskt körs.
Det är ofta då man hittar sådant som inte stämmer, som system som används men aldrig registrerades, eller sådant som ligger kvar långt efter att systemet stängdes ner.
Det är ni som bestämmer vad nyckeln får göra
Men betyder inte det här att man öppnar upp sin information? Nej, informationen är säker, faktiskt mer säker än om den mailades ut i en Excel-fil.
Varje nyckel kan begränsas till bara vissa personuppgiftsansvariga och security spaces. En integration som ska visa en avdelnings uppgifter på en intern sida behöver inte se resten av organisationen.
Ni väljer också om en nyckel bara ska få läsa, eller om den även ska få skriva. De flesta integrationer behöver bara läsa. Men det går även att skriva tillbaka, till exempel kommentarer på kontrollpunkter i kontrollplanerna, och mer sådan funktionalitet kommer framåt. En nyckel utan rätt att skriva kan aldrig ändra något, hur integrationen än är byggd.
Nycklar har dessutom ett slutdatum. Ett år är standard, men ni kan sätta kortare eller låta den gälla tills ni tar bort den. Nyckeln visas bara en gång när den skapas, vi sparar den aldrig i läsbar form, och ni kan stänga av den direkt om något känns fel. Dessutom loggas allt som hämtas, så att ni kan se vad som har använts.
Det är samma tanke som ni redan använder för behörigheter i systemet. Så lite åtkomst som möjligt, och bara så länge det behövs.
Det är enkelt att komma igång
Först behöver vi slå på API:et för er. Det är inte aktiverat som standard.
Sen behövs någon som bygger själva kopplingen. Du behöver inte kunna göra det själv, men någon behöver det, antingen er IT-avdelning, er leverantör eller vi. För exemplen ovan tar det oftast några timmar.
Mitt tips är att börja med en enda sak. Ta den rapport eller den sida som ni uppdaterar för hand oftast idag och börja där. Det är lättare att se nyttan då än att försöka planera alla integrationer på en gång.
Vi öppnar upp det här steg för steg, så säg till om ni vill vara med tidigt.
Informationen ska göra mer nytta
Ni har redan lagt ner mycket arbete på ert dataskydd och er informationssäkerhet. Det vore synd om allt det bara går att se genom att logga in i DirSys. När det hamnar i rapporten till ledningen, på en intern sida eller hos revisorn blir det också mer värt att hålla informationen uppdaterad.
Vill ni prata om vad som skulle vara mest användbart att koppla ihop hos er? Boka ett möte med oss så hjälper vi er komma igång.