Informationssikkerhedspolitik

1. Formål

Formålet med denne politik er at beskrive vores tilgang til informationssikkerhed og skabe gennemsigtighed omkring, hvordan vi arbejder for at beskytte fortrolighed, integritet og tilgængelighed i vores digitale tjenester, supportprocesser og kundeforhold.

Politikken understøtter vores mål om at levere stabile, sikre og professionelle IT-ydelser med høj grad af ansvarlighed og tillid.

2. Vores sikkerhedsprincipper

Vi arbejder ud fra grundlæggende og anerkendte sikkerhedsprincipper, hvor beskyttelsen af data og systemer tager udgangspunkt i:

3. Organisatoriske sikkerhedsforanstaltninger

Vi anvender organisatoriske tiltag for at understøtte en sikker og kontrolleret drift, herunder blandt andet:

• interne procedurer for håndtering af personoplysninger og kundedata
• rollebaseret og behovsstyret adgang til relevante systemer og oplysninger
• løbende opmærksomhed på fortrolighed, ansvarlig databehandling og sikker adfærd
• begrænsning af adgang til data, enheder, kundeportaler og supportsystemer
• intern håndtering af forespørgsler om indsigt, rettelse og sletning
• dokumentation og vurdering af sikkerhedsmæssigt relevante forhold, hvor det er nødvendigt

4. Tekniske sikkerhedsforanstaltninger

Vi anvender en række tekniske sikkerhedsforanstaltninger med henblik på at beskytte vores hjemmeside, kundekommunikation, supportsystemer og øvrige digitale løsninger.

• krypteret dataoverførsel og sikre forbindelser, hvor relevant
• adgangskontrol til systemer, administrative funktioner og kundeområder
• logning, overvågning og teknisk kontrol med relevante systemer og tjenester
• opdatering og vedligeholdelse af software, platforme og sikkerhedsrelevante komponenter
• brug af sikkerhedsværktøjer til forebyggelse, detektion og håndtering af trusler
• sikret håndtering af uploaded filer, sagsmateriale og teknisk dokumentation
• tekniske tiltag mod misbrug, spam, uautoriseret adgang og automatiserede angreb

5. Adgangsstyring

Adgang til oplysninger, systemer og administrative funktioner gives alene efter behov og i det omfang, det er nødvendigt for at udføre konkrete arbejdsopgaver eller levere en aftalt service.

Vi arbejder blandt andet med følgende principper:

• begrænset adgang til data og administrative funktioner
• adgang på baggrund af rolle, funktion og arbejdsbetinget behov
• løbende vurdering af, hvilke adgange der er nødvendige
• kontrol med adgang i forbindelse med support, drift og kundesager

6. Fjernsupport og adgang til kundesystemer

I forbindelse med levering af IT-support, fejlfinding, overvågning, installation, vedligeholdelse og reparation kan vi få adgang til kunders enheder, netværk, brugerkonti eller systemer.

Sådan adgang sker alene i det omfang, det er nødvendigt for at levere den konkrete ydelse, og kun når kunden aktivt har givet tilladelse hertil eller dette følger af en særskilt serviceaftale.

• fjernsupport sker via relevante og professionelle værktøjer
• adgang gives kun til de dele af systemet, der er nødvendige for opgaven
• vi tilstræber at begrænse adgangens varighed og omfang
• kunden bør lukke irrelevante dokumenter og følsomt materiale før supportsessioner

7. Beskyttelse af personoplysninger og kundedata

Vi behandler personoplysninger og øvrige kundedata med fokus på fortrolighed, nødvendighed og sikker håndtering. Dette gælder både ved almindelig kommunikation, supporthenvendelser, kundeportal, uploads, booking, overvågning og serviceforløb.

Vi tilstræber, at personoplysninger og øvrige kunderelevante data kun behandles til legitime formål og opbevares så længe, det er nødvendigt i forhold til kundeforhold, dokumentation, lovkrav og servicehistorik.

Nærmere information om vores behandling af personoplysninger fremgår af vores privatlivspolitik.

8. Hændelseshåndtering

Vi arbejder for at identificere, håndtere og begrænse virkningen af sikkerhedshændelser, herunder tekniske fejl, driftsforstyrrelser, kompromittering, uautoriseret adgang eller andre forhold, der kan påvirke data eller systemer.

• relevante hændelser vurderes og håndteres ud fra alvor, omfang og påvirkning
• vi iværksætter passende tekniske og organisatoriske modforanstaltninger
• vi søger at begrænse skadevirkning og genetablere normal drift hurtigst muligt
• ved persondatasikkerhedsbrud håndteres sagen efter gældende regler og interne procedurer

9. Backup, tilgængelighed og drift

Vi prioriterer stabil drift og passende tekniske foranstaltninger for at reducere risikoen for tab af data, systemnedbrud og længerevarende utilgængelighed.

Omfanget af backup, overvågning, genetablering og driftsmæssige sikkerhedsforanstaltninger afhænger af den konkrete løsning, den tekniske opsætning og den aftalte service.

Kunden er som udgangspunkt ansvarlig for backup af egne data, medmindre andet er særskilt aftalt skriftligt.

10. Leverandører og tredjepartsforhold

Vi kan anvende underliggende tekniske platforme, hostingmiljøer, kommunikationsløsninger, supportsystemer, analyseværktøjer og sikkerhedsværktøjer som led i levering, drift og beskyttelse af vores tjenester.

Hvor tredjeparter indgår i vores tekniske setup, tilstræber vi, at disse anvendes på en ansvarlig og sikker måde og kun i det omfang, det er nødvendigt for drift, funktionalitet eller levering af service.

Ud fra de oplysninger, vi aktuelt lægger til grund, overføres data ikke uden for EU/EØS i relation til de behandlinger, der er beskrevet på hjemmesiden.

11. Sikker udvikling og løbende forbedring

Vi udvikler, vedligeholder og driver vores hjemmeside og digitale løsninger med fokus på sikkerhed, stabilitet og ansvarlig teknisk implementering.

• vi arbejder løbende med forbedring af processer, struktur og sikkerhed
• vi vurderer løbende behovet for opdateringer, justeringer og tekniske forbedringer
• vi tilpasser vores praksis i takt med ændringer i trusselsbillede, teknologi og forretningsbehov

12. Kundens ansvar

Informationssikkerhed er også et fælles ansvar. For at understøtte en sikker leverance forventer vi, at kunden bidrager med almindelig ansvarlig sikkerhedsadfærd.

• kunden bør sikre backup af egne data og systemer
• kunden bør anvende opdateret software og relevante sikkerhedstiltag
• kunden bør beskytte adgangskoder, brugerkonti og interne adgange
• kunden bør oplyse os om kritiske forhold, sikkerhedskrav og særlige risici
• kunden bør kun dele relevante oplysninger, filer og adgangsrettigheder

13. Overholdelse og opdatering

Denne informationssikkerhedspolitik opdateres løbende efter behov for at afspejle ændringer i lovgivning, tekniske løsninger, services, sikkerhedsforhold og organisatoriske processer.

Den til enhver tid gældende version vil være tilgængelig på hjemmesiden.

14. Kontakt

Hvis du har spørgsmål til denne informationssikkerhedspolitik eller til vores generelle arbejde med sikkerhed og databeskyttelse, er du velkommen til at kontakte os.

FIND-EN-SERVICE / IT-ALARMCENTRALEN.DK
Stamholmen 175, 1, 2650 Hvidovre
Telefon: 88 74 74 78
E-mail: gdpr@it-alarmcentralen.dk

Denne informationssikkerhedspolitik gælder for IT-ALARMCENTRALEN.DK, som drives af FIND-EN-SERVICE.