Säkerhetsåtgärder

Denna bilaga utgör en integrerad del av personuppgiftsbiträdesavtalet mellan den personuppgiftsansvarige och Digi Hosting. Den innehåller en förteckning över de tekniska och organisatoriska säkerhetsåtgärder som Digi Hosting har vidtagit för att skydda behandlingen av personuppgifter i enlighet med kraven i den allmänna dataskyddsförordningen (AVG).

1. Organisation av informationssäkerhet

• Ägande av säkerhet
  Digi Hosting har utsett en informationssäkerhetsansvarig med ansvar för att samordna, implementera och övervaka tillämpliga säkerhetsåtgärder och rutiner. Denne stöds av ett internt styrande organ på ledningsnivå som övervakar säkerhetspolicyn.

• Roller och ansvar för säkerhet
  Anställda hos Digi Hosting som har tillgång till personuppgifter omfattas av en strikt sekretessförpliktelse. Dessa skyldigheter betonas i början av anställningen och uppmärksammas regelbundet.

• Riskhantering
  Digi Hosting genomför systematiskt riskbedömningar innan vi behandlar personuppgifter eller beställer nya tjänster. Riskhanteringsförfarandet fokuserar på att identifiera, prioritera och minska potentiella risker. Säkerhetskopiering är strukturellt inbäddad i tjänsterna.

• Dokumenthantering
  Säkerhetsdokumentation bevaras i enlighet med lagstadgade och avtalsenliga krav på bevarande, även om dessa dokument formellt har upphört att gälla.

2. Förvaltning av tillgångar

• Inventering av informationstillgångar
  Digi Hosting upprätthåller en detaljerad förteckning över alla databärare på vilka personuppgifter lagras. Tillgång till denna förteckning är endast förbehållen behörig och skriftlig personal.

• Hantering av databärare

  • Digi Hosting klassificerar personuppgifter för att säkerställa lämpliga åtkomstbegränsningar och skyddsnivåer.

  • Anställda ska i förväg inhämta uttryckligt samtycke för behandling av personuppgifter på bärbara enheter, utanför företagets lokaler eller via fjärråtkomst.

3. Säkerhet för personal

• Medvetenhet och utbildning
  Alla anställda på Digi Hosting instrueras om sitt säkerhetsansvar. De får regelbunden träning och utbildning i relevanta förfaranden och i att känna igen aktuella hot.

4. Fysisk och miljömässig säkerhet

• Säkerhet vid tillträde till anläggningar
  Fysisk tillgång till platser där personuppgifter behandlas är begränsad till behöriga personer baserat på identifiering och åtkomstkontroll.

• Säkerhet för databärare
  Fysiska databärare som innehåller personuppgifter förvaras i säkra rum med tillträdesbegränsningar.

• Skydd mot katastrofer
  Digi Hosting använder anläggningar av industristandard för att skydda mot störningar på grund av strömavbrott, brand, översvämning och andra risker.

• Borttagning av data
  Personuppgifter förstörs i enlighet med branschstandard så snart de inte längre är nödvändiga för ändamålen med behandlingen.

5. Operativ säkerhet

• Policyer och rutiner
  Digi Hosting har uppdaterad dokumentation av sin säkerhetspolicy, inklusive rutiner och ansvarsområden för anställda med tillgång till personuppgifter.

• Återställningsförfaranden

  • Reservkopior av personuppgifter lagras på geografiskt åtskilda platser.

  • Tillgången till dessa uppgifter är strikt reglerad och dokumenterad.

• Skydd mot skadlig programvara
  Åtgärder har vidtagits för att skydda mot skadlig programvara, inklusive virusskannrar och nätverksfilter.

• Loggning
  Åtkomst- och användningsaktiviteter i samband med system som behandlar personuppgifter registreras i loggfiler, inklusive användar-ID, tid, åtkomststatus och relevanta åtgärder.

• Kryptering
  Dataöverföring över Internet baseras på krypteringstekniker i enlighet med gällande standarder.

6. Kontroll av åtkomst

• Policy
  Digi Hosting har en policy för åtkomstkontroll som definierar vilka anställda som har tillgång till vilka system och data.

• Hantering av behörigheter

  • Inaktiva åtkomstuppgifter avaktiveras automatiskt efter en tids inaktivitet.

  • Endast behörig personal får bevilja, ändra eller återkalla rättigheter.

  • Varje användare har en unik inloggningsidentifierare.

• Minsta tillgång
  Tillgång till personuppgifter är begränsad till anställda för vilka detta är nödvändigt inom ramen för deras arbetsuppgifter.

• Sessionshantering och lösenordsskydd

  • Sessionerna avslutas automatiskt vid inaktivitet eller när du lämnar arbetsplatsen.

  • Lösenord lagras på ett sätt som garanterar irreversibel kryptering.

• Autentisering

  • Tillgång till informationssystem beviljas på grundval av starka autentiseringsförfaranden.

  • Lösenord förnyas regelbundet och utgångna eller inaktiverade åtkomster återanvänds inte.

  • Obehöriga åtkomstförsök upptäcks och loggas.

  • Lösenordshanteringen uppfyller branschstandarder.

• Nätverkssäkerhet
  Nätverksarkitektur och åtkomsträttigheter är utformade för att förhindra obehörig åtkomst till personuppgifter.

7. Hantering av incidenter

• Anmälan och registrering av säkerhetsincidenter

  • Digi Hosting registrerar alla säkerhetsincidenter, inklusive typ, varaktighet, påverkan, berörda uppgifter och vidtagna åtgärder.

  • Vid dataintrång ska den personuppgiftsansvarige underrättas utan onödigt dröjsmål och senast inom 72 timmar.

• Öppenhet i offentliggörandet av uppgifter
  Datahämtningen loggas med angivande av art, mottagare och tidpunkt.

8. Kontinuitetshantering

• Åtgärder vid nödsituationer
  Digi Hosting upprätthåller omfattande nöd- och beredskapsplaner för alla databehandlingsanläggningar.

• Redundans och återställning
  Den redundanta lagringsstrukturen och återställningsförfarandena är utformade så att personuppgifter kan återställas till det senast kända fullständiga tillståndet före en incident.

Dessa säkerhetsåtgärder ska regelbundet ses över och anpassas till den aktuella tekniska utvecklingen och riskbedömningen, i syfte att fortsätta skydda den personuppgiftsansvariges personuppgifter.