Säkerhetspolicy för SEVRA

2. Omfattning

Denna policy gäller för alla anställda, konsulter, och tredje parter som har tillgång till SEVRAs informationssystem. Policyn omfattar all information som hanteras av företaget, oavsett format (digitalt eller fysiskt), samt alla informationssystem och nätverk.

3. Informationsklassificering

Information som hanteras av SEVRA klassificeras enligt följande kategorier:

Offentlig

Information som är tillgänglig för allmänheten och inte kräver skydd.

Intern

Information som endast är avsedd för intern användning inom företaget.

Konfidentiell

Information som kräver hög nivå av skydd, inklusive personuppgifter, kundinformation, och känsliga affärsdata.

4. Åtkomstkontroll

Principen om minsta möjliga åtkomst

Anställda och konsulter ges endast den åtkomst som är nödvändig för att utföra sina arbetsuppgifter.

Autentisering

Alla användare av företagets informationssystem måste identifiera sig med unika inloggningsuppgifter och säkra lösenord. Multifaktorautentisering (MFA) används där det är möjligt.

Rollbaserad åtkomst

Åtkomst till informationssystem och data är rollbaserad och beviljas baserat på arbetsuppgifter och ansvar.

5. Dataskydd

Kryptering

All konfidentiell information, särskilt personuppgifter, ska krypteras under överföring och lagring för att skydda mot obehörig åtkomst.

Regelbunden säkerhetskopiering

System och data säkerhetskopieras regelbundet för att minimera risken för dataförlust. Säkerhetskopior lagras säkert och testas regelbundet för återställningsbarhet.

Fysisk säkerhet

Kontor och datacenter där känslig information lagras ska vara säkrade med tillräckliga fysiska skyddsåtgärder, inklusive lås, säkerhetskameror och åtkomstkontroll.

6. Incidenthantering

Rapportering

Alla säkerhetsincidenter, inklusive misstänkta dataintrång eller förlust av känslig information, ska omedelbart rapporteras till IT-avdelningen och dataskyddsombudet.

Incidentrespons

Ett incidenthanteringsteam utses för att omedelbart hantera och minimera skador från säkerhetsincidenter. Incidenter utreds och dokumenteras noggrant, och åtgärder vidtas för att förhindra framtida incidenter.

Rapportering till tillsynsmyndighet

Vid personuppgiftsincidenter som innebär risk för de registrerades rättigheter och friheter, ska detta rapporteras till relevant tillsynsmyndighet (i Sverige, Integritetsskyddsmyndigheten) inom 72 timmar.

7. Utbildning och medvetenhet

Regelbunden utbildning

Alla anställda ska genomgå utbildning i informationssäkerhet och dataskydd minst en gång per år. Utbildningen ska täcka företagets säkerhetspolicyer, aktuella säkerhetshot och bästa praxis.

Medvetenhet

Anställda och konsulter påminns regelbundet om vikten av informationssäkerhet genom internkommunikation och workshops.

8. Leverantörer och tredjepartsavtal

Säkerhet i tredjepartsavtal

Alla leverantörer och tredje parter som hanterar eller får tillgång till SEVRAs data måste följa denna säkerhetspolicy och underteckna dataskyddsavtal. Leverantörer utvärderas regelbundet för att säkerställa att de uppfyller våra säkerhetskrav.

Riskbedömning

Innan ett samarbete med en tredje part inleds, ska en riskbedömning genomföras för att identifiera och minimera eventuella säkerhetsrisker.

10. Efterlevnad och sanktioner

Efterlevnad

Alla anställda och konsulter är skyldiga att följa denna säkerhetspolicy. Brott mot denna policy kan leda till disciplinära åtgärder, inklusive uppsägning.

Sanktioner

Allvarliga brott mot säkerhetspolicyn, särskilt sådana som leder till dataintrång eller skada på företaget, kan resultera i rättsliga åtgärder.

11. Ändringar av policyn

Denna säkerhetspolicy ska regelbundet ses över och uppdateras för att säkerställa att den fortsatt möter gällande lagstiftning och de föränderliga hotbilderna mot informationssäkerhet. Eventuella ändringar kommer att kommuniceras till alla anställda och berörda parter.

12. Kontaktinformation

För frågor om denna policy eller informationssäkerhet i allmänhet, vänligen kontakta:

IT-avdelningen

info@sevra.se

Dataskyddsombudet

info@sevra.se