Informationssäkerhetspolicy (teknisk säkerhet) - Mallformulär i Word- och PDF-format Pro · SE-law

________

INFORMATIONSSÄKERHETSPOLICY

§ 1. Inledning och syfte

________ (nedan benämnt "Arbetsgivaren"), med organisationsnummer ________ och med adress ________, har antagit denna informationssäkerhetspolicy (nedan benämnd "Policyn") i syfte att skapa en trygg arbetsplats med en hög och ändamålsenlig informationssäkerhetsnivå. Syftet är att uppnå såväl en god IT-säkerhet som en god fysisk säkerhet.

En god informationssäkerhet är avgörande för att på ett strukturerat sätt kunna identifiera, bedöma och hantera informationsrisker. Policyn syftar mer specifikt till att skydda de informationstillgångar som finns på arbetsplatsen mot såväl interna som externa hot.

Informationen ska skyddas för att:

- säkerställa att den är korrekt och tillgänglig då den behövs (riktighet och tillgänglighet),
- undvika att den obehörigen manipuleras, förstörs eller går förlorad, samt
- säkerställa att endast behöriga personer ges tillgång till den (konfidentialitet).

Policyn innehåller riktlinjer och övergripande mål för informationssäkerhetsarbetet på arbetsplatsen.

§ 2. Tillämpningsområde och giltighet

Policyn gäller för samtliga medarbetare samt eventuell extern personal som arbetar på uppdrag för Arbetsgivaren. Den omfattar all teknik och samtliga informationstillgångar på arbetsplatsen, oavsett om informationen behandlas manuellt eller automatiskt och oavsett om den lagras digitalt eller i exempelvis pappersform.

Policyn träder i kraft den ________ och gäller tills vidare till dess att den ersätts eller upphävs av Arbetsgivaren.

§ 3. Definitioner

Extern personal
Personer som arbetar på arbetsplatsen på uppdrag av Arbetsgivaren utan att vara anställda, exempelvis konsulter och inhyrd personal.

Fysisk säkerhet
Åtgärder som syftar till att hålla obehöriga borta från områden, lokaler, byggnader och liknande där skyddsklassificerad och konfidentiell information finns tillgänglig.

Informationsrisk
Identifierat hot om att information i verksamheten riskerar att spridas, förstöras eller förvanskas.

Informationssäkerhet
De åtgärder som vidtas för att säkerställa informationens konfidentialitet, riktighet och tillgänglighet samt för att undvika att information förstörs, läcker eller förvanskas.

Informationstillgångar
De resurser som används för att hantera information på arbetsplatsen, inbegripet information som sådan, IT-system, programvara, lagringsmedia och dokument.

IT-säkerhet
Åtgärder, rutiner och aktiviteter som vidtas för att skydda elektronisk information som lagras i exempelvis maskin- eller programvara mot obehörig åtkomst, manipulation eller förstörelse.

Ledning
Den grupp personer som fattar beslut för Arbetsgivarens räkning. Ledningsgruppen utses av styrelsen.

Medarbetare
De personer som är anställda hos Arbetsgivaren.

Personuppgift
Varje upplysning som avser en identifierad eller identifierbar fysisk person i den mening som avses i artikel 4.1 i EU:s dataskyddsförordning (2016/679, "GDPR").

§ 4. Målsättning

Målen med denna Policy är följande:

________

§ 5. Ansvar

a) Ledningen

Ledningen har det yttersta ansvaret för informationssäkerheten och bär följande ansvar:

________

b) Chef/-er

Chefen/cheferna bär följande ansvar:

________

c) Medarbetare

Medarbetarna bär följande ansvar:

________

d) Informationssäkerhetsansvarig

Övergripande samordningsansvar för informationssäkerhetsarbetet innehas av: ________.

§ 6. Riskanalys

De säkerhetsåtgärder som vidtas för att uppnå en god informationssäkerhetsnivå ska grunda sig på en riskanalys.

I riskanalysen ska eventuella hot mot informationssäkerheten i verksamheten bedömas. För varje identifierat hot ska potentiella konsekvenser analyseras, varefter risken för skada samt sannolikheten för att hotet realiseras bedöms.

På arbetsplatsen ska en riskanalys avseende informationssäkerheten genomföras med följande regelbundenhet:

________

Riskanalysen ska genomföras av följande person/-er på arbetsplatsen: ________.

§ 7. Principer

Vid arbetet med informationssäkerhet på arbetsplatsen ska följande principer iakttas:

a) Allt arbete ska bedrivas i enlighet med gällande lagar och regler, däribland GDPR och kompletterande nationell dataskyddslagstiftning.

b) Information ska klassificeras utifrån behov av konfidentialitet, riktighet och tillgänglighet.

c) IT-system och IT-tjänster ska klassificeras utifrån konfidentialitet.

d) Information och IT-system ska skyddas från obehöriga; vilket skydd som krävs beror på klassificeringen.

e) Kostnaderna för skyddsåtgärder ska vägas mot värdet av det som skyddas.

f) Samtliga medarbetare och eventuella konsulter ska ha tillräcklig kunskap i informationssäkerhet i förhållande till sina arbetsuppgifter så att den avsedda säkerhetsnivån kan upprätthållas.

g) Incidenter kopplade till informationssäkerheten ska rapporteras, dokumenteras och utvärderas.

§ 8. Säkerhetsåtgärder

a) IT-säkerhet

För att upprätthålla en hög nivå av IT-säkerhet ska följande säkerhetsåtgärder vidtas:

________

b) Fysisk säkerhet

För att upprätthålla en hög nivå av fysisk säkerhet ska följande säkerhetsåtgärder vidtas:

________

§ 9. Riktlinjer för användning av e-post och Internet

a) Användning av Internet

Följande riktlinjer gäller för användning av Internet på arbetsplatsen:

________

b) Användning av e-post

Följande riktlinjer gäller för användning av e-post på arbetsplatsen:

________

§ 10. Hantering av personuppgifter

Lorem ipsum dolor sit amet consectetur adipiscing elit sed do eiusmod tempor incididunt ut labore et dolore magna aliqua ut enim ad minim veniam quis nostrud exercitation ullamco laboris nisi ut aliquip ex ea commodo consequat duis aute irure dolor in reprehenderit voluptate velit esse cillum dolore eu fugiat.

Lorem ipsum dolor sit amet consectetur adipiscing elit sed do eiusmod tempor incididunt ut labore et dolore magna aliqua ut enim ad minim veniam quis nostrud exercitation ullamco laboris nisi ut aliquip ex ea commodo consequat duis aute irure dolor in reprehenderit voluptate velit esse cillum.

Personuppgiftsincidenter ska utan onödigt dröjsmål rapporteras internt till ________. Om incidenten är anmälningspliktig ska anmälan till Integritetsskyddsmyndigheten (IMY) göras inom 72 timmar i enlighet med artikel 33 GDPR.

§ 11. Överträdelse

Om någon på arbetsplatsen bryter mot denna Policy ska det hanteras enligt följande:

________

Allvarliga eller upprepade överträdelser kan, i förekommande fall, utgöra grund för arbetsrättsliga åtgärder i enlighet med lagen (1982:80) om anställningsskydd och tillämpligt kollektivavtal.

§ 12. Intern kontroll

________ ansvarar för att kontrollera att verksamheten följer Policyn samt tillämpliga regler och lagar på området.

§ 13. Information

Denna Policy ska finnas lättillgänglig för samtliga medarbetare på arbetsplatsen. Den återfinns på följande plats: ________.

§ 14. Uppdatering

Denna Policy ska uppdateras enligt följande:

________

Uppdatering meddelas berörda parter enligt följande:

________

§ 15. Tillämplig lag

På denna Policy och därtill hörande informationssäkerhetsarbete ska svensk rätt tillämpas.

§ 16. Signering

Denna Policy har antagits av Arbetsgivaren.

Ort: ________ Datum: ________

_________________________________________

Namnförtydligande (VD eller annan behörig person): ________

Befattning: ________