1) Introduktion
Denna informationssäkerhetspolicy definierar våra åtaganden och strategier för att säkerställa att alla system och data hanterade i Management Planner skyddas enligt de krav som ställs i ISO 27001. Målet är att skydda organisationens informationstillgångar mot alla typer av hot, oavsett om de kommer från interna eller externa källor.
2) Syfte och mål
Syftet med denna policy är att skapa ett ramverk för informationssäkerhet inom Management Planner.
De övergripande målen är att:
- Skydda data från obehörig åtkomst, förlust eller skada.
- Upprätthålla systemets tillgänglighet och funktionalitet.
- Säkerställa att alla säkerhetsåtgärder är i linje med organisationens och branschens best practices.
3) Tillämpningsområde
Denna policy gäller för alla användare och system som interagerar med Management Planner, oavsett om de är interna eller externa. Det omfattar all data som samlas in, lagras och bearbetas, samt system och applikationer som används för att hantera dessa data.
4) Styrning av informationssäkerhet
Informationssäkerheten ska hanteras genom ett ledningssystem som stödjer och styr alla säkerhetsåtgärder för att uppfylla organisationens och ISO 27001:s krav. Ledningen ska säkerställa att alla nivåer inom organisationen förstår vikten av informationssäkerhet och att erforderliga resurser tillhandahålls.
5) Riskhantering och bedömning
Riskidentifiering: Alla potentiella hot och sårbarheter som kan påverka Management Planner ska identifieras och dokumenteras.
Riskbedömning: Riskerna ska bedömas i termer av sannolikhet och påverkan för att definiera lämpliga åtgärder för att reducera eller eliminera dessa risker.
Riskhanteringsplan: Åtgärder för att hantera identifierade risker ska implementeras och följas upp kontinuerligt.
6) Åtkomstkontroller
Åtkomstprincip: Åtkomst till Management Planner ska baseras på principen om minsta privilegium, vilket innebär att användare endast ska ha åtkomst till de system och data som är nödvändiga för att utföra sina arbetsuppgifter.
Autentisering och auktorisation: Alla användare ska autentiseras genom säkra metoder (t.ex. multifaktorautentisering) innan åtkomst ges.
Rollbaserad åtkomst: Användare ska tilldelas roller baserat på deras arbetsuppgifter och ansvar. Alla behörigheter ska vara dokumenterade och regelbundet reviderade.
7) Skydd av information
Kryptering: All känslig information ska krypteras både vid överföring och lagring för att skydda mot obehörig åtkomst.
Säkerhetskopiering: Regelbundna säkerhetskopior ska tas för att skydda mot dataförlust. Dessa säkerhetskopior ska lagras på säkra platser och vara tillgängliga för återställning vid behov.
Dataförstörelse: När data inte längre är nödvändig, eller när den inte längre uppfyller lagstadgade krav, ska den förstöras på ett säkert sätt.
Incidenthantering och rapportering
Alla säkerhetsincidenter, inklusive förlust eller läckage av information, ska rapporteras omedelbart internt inom vår organisation. Incidenter som berör den tekniska delen av plattformen ska rapporteras till utvecklingsavdelning för att säkerställa att incidenten hanteras och största möjliga mån förebyggs.
9) Rätt till radering av personuppgifter (GDPR)
I enlighet med GDPR:s rätt till radering (artikel 17) ska alla personuppgifter som inte längre är nödvändiga för de ändamål de samlades in för, eller om den registrerade begär detta, raderas utan onödigt dröjsmål.
- Process för radering: Användare har rätt att begära radering av sina personuppgifter. För att säkerställa efterlevnad av denna rätt, finns en tydlig process för att behandla begäran om radering.
- Radering av data: När en begäran om radering godkänns, ska all relevant personlig information tas bort från systemet, och det ska säkerställas att ingen ytterligare behandling sker med denna data.
- Undantag från radering: Vid vissa tillfällen kan radering inte genomföras om det finns rättsliga krav eller andra legitima intressen som motiverar att informationen behålls, i enlighet med GDPR:s artikel 17.
- Medvetenhet och utbildning
- Alla medarbetare, kunder och användare av Management Planner får en möjlighet att delta i en generell informationssäkerhetsutbildning.
10) Kontinuitet och återhämtning
För att säkerställa att Management Planner kan fortsätta fungera under och efter störningar, så aktiveras vår affärskontinuitetsplan (BCP) och katastrofåterställningplan (DRP). Dessa planer inkluderar tydliga processer för att återställa data och system i händelse av incidenter.
11) Efterlevnad och övervakning
Vi ska säkerställa att alla säkerhetsåtgärder är i enlighet med gällande lagstiftning och regelverk, såsom GDPR och andra relevanta lagar. Regelbundna säkerhetsrevisioner och interna kontroller genomförs för att säkerställa att informationssäkerhetspolicyn följs.
12) Revision och förbättring
Denna policy ska revideras och uppdateras minst en gång per år eller när större förändringar sker i verksamheten eller i externa krav. Alla förbättringar och ändringar ska baseras på feedback från säkerhetsrevisioner och incidenthantering.
Läs mer om ISO, lagkrav som NIS2 och DORA och FR2000 genom att klicka på länken till höger:
© Copyright Managementplanner. All Rights Reserved