Informationssäkerhetspolicy
1. Syfte
Vi hanterar våra kunders information och system. Informationen ska skyddas så att den är tillgänglig för behöriga, inte kan läsas eller ändras av obehöriga och alltid går att spåra. Arbetet är riskbaserat: skyddet anpassas efter hur känslig informationen är.
2. Roller och ansvar
- VD fastställer policyn och ansvarar för att resurser finns.
- Informationssäkerhetsansvarig leder arbetet, gör riskbedömningar, följer upp efterlevnad och är kontaktpunkt för kunder vid incidenter.
- Alla medarbetare och underleverantörer följer policyn och rapporterar säkerhetshändelser direkt.
3. Åtkomst
- Personliga, spårbara konton. Inga delade konton för administration.
- Tvåstegsverifiering för all administrativ åtkomst.
- Behörigheter enligt principen om minsta möjliga behörighet, även för systemkonton.
- Lösenord och nycklar lagras krypterat, aldrig i klartext eller i källkod.
- Behörigheter ses över kvartalsvis och tas bort samma dag som någon slutar.
4. Teknisk säkerhet
- Kryptering av all trafik (TLS) och av säkerhetskopior.
- Säkerhetsuppdateringar installeras automatiskt eller inom avtalad tid.
- Loggning av inloggningar, behörighetsändringar och konfigurationsändringar, skyddad mot ändring.
- Säkerhetskopior förvaras på separat plats och återläsning testas regelbundet.
- Tidssynkronisering mot gemensam tidskälla.
- Drift i datacenter som uppfyller minst skyddsnivå 1 enligt MSB:s vägledning för fysisk informationssäkerhet i it-utrymmen.
5. Personuppgifter
Vi behandlar personuppgifter enligt dataskyddsförordningen (GDPR). När vi behandlar uppgifter åt en kund gör vi det som personuppgiftsbiträde, enligt skriftligt avtal och kundens instruktioner. Mer finns i Personuppgifter och integritet.
6. Utbildning
Alla som arbetar i våra uppdrag går igenom denna policy vid start och genomgår utbildning i informationssäkerhet minst en gång per år.
7. Incidenter
- Rapportering: varje misstänkt säkerhetshändelse rapporteras direkt till informationssäkerhetsansvarig.
- Bedömning: inom 4 timmar avgörs om händelsen är en incident. Berörd kund deltar i bedömningen om kundens information kan vara påverkad.
- Eskalering: kunden informeras utan dröjsmål. Personuppgiftsincidenter meddelas den personuppgiftsansvarige så att anmälan till IMY kan göras inom 72 timmar.
- Åtgärd och utredning: incidenten begränsas och åtgärdas, orsaken utreds och dokumenteras.
- Uppföljning: förebyggande åtgärder beslutas och följs upp.
8. Sårbarheter
Vi bevakar säkerhetsmeddelanden för de system vi driftar, åtgärdar sårbarheter omgående och informerar berörda kunder om sårbarheter som kan påverka dem.
9. Uppföljning
Policyn ses över minst en gång per år, efter allvarliga incidenter och när verksamheten förändras.