Alla kontroller — ISODORA

CCF-ASSET-003Datalagring och -avveckling

En datalagringstabell definierar hur länge varje datakategori sparas och godkänd metod för säker avveckling vid lagringsdatidens slut. Avveckling loggas.

CCF-COMP-004Inbyggt integritetsskydd och standardinställningar

Informationssystem och tjänster som behandlar personuppgifter utformas med dataminimering och integritetsskydd som standard. Enbart det minimum av personuppgifter som krävs samlas in och standardinställningar samlar inte in överdrivna uppgifter.

CCF-RISK-002Riskbehandlingsplan

Identifierade informationssäkerhetsrisker behandlas genom ett av alternativen: reducera, överföra, acceptera eller undvika. En riskbehandlingsplan dokumenteras, godkänns och följs upp till slutförande.

CCF-LOG-003Logglagrings policy

En dokumenterad logglagringspolicy definierar minsta lagringsperiod för varje loggtyp. Loggar som stödjer säkerhetsincidentutredning bevaras i minst 12 månader online, med ytterligare offlinearchivering vid behov.

CCF-IAM-007Authentication Information ManagementAuto

Secret authentication information (passwords, API keys, access keys, service-account keys and tokens) follows a defined policy: minimum password strength, expiry or rotation of keys and tokens, and removal of unused credentials.

CCF-SUPP-001Leverantörssäkerhetspolicy

Organisationen upprätthåller en dokumenterad policy för hantering av informationssäkerhetsrisker i leverantörsrelationer. Policyn definierar minimisäkerhetskrav för leverantörer som hanterar organisationens data.

CCF-CRYPTO-003Kryptering av data under överföringAuto

All data som överförs via publika nätverk krypteras med TLS 1.2 eller högre. Certifikat är giltiga, utfärdade av betrodda CA:er och förnyas innan de löper ut.

CCF-TEST-001Säkerhetstestningspolicy

En säkerhetstestningspolicy definierar de typer av testning som utförs (SAST, DAST, penetrationstestning, red team), omfång, frekvens och ansvariga parter. Policyn granskas årligen.

CCF-CHG-003Separation av utvecklings-, test- och produktionsmiljöerAuto

Utvecklings-, test-/staging- och produktionsmiljöer är separerade. Utvecklare har inte direkt skrivrättighet till produktion. Driftsättningar till produktion kräver godkännande från en andra person.

CCF-GOV-003Säkerhetsroller och ansvar

Informationssäkerhetsroller, ansvar och befogenheter definieras, dokumenteras och kommuniceras. En informationssäkerhetsansvarig eller motsvarande roll utses med tydligt ansvar för LIS-utfall.

CCF-IAM-005Återkallning av åtkomst och avslutningsprocessAuto

Användaråtkomst återkallas inom en arbetsdag vid anställningens upphörande eller rollbyte. Automatiserade arbetsflöden för provisionering och avprovisionering konfigureras för att minimera fönstret av överblivna konton.

CCF-RISK-004Dokumentation av riskacceptans

Risker som formellt accepteras (i stället för att behandlas) dokumenteras med tydlig motivering, ägare, granskningsdatum och ledningens godkännande. Accepterade risker granskas minst en gång om året.

CCF-RISK-005Underhåll av riskregister

Ett centraliserat informationssäkerhetsriskregister upprätthålls och hålls aktuellt. Registret fångar alla identifierade risker, deras behandlingsstatus, ägare och granskningsdatum.

CCF-CFGMGT-001SystemhärdningsstandarderAuto

Dokumenterade härdningsstandarder (baserade på CIS Benchmarks, NIST SP 800-70 eller motsvarande) tillämpas på alla systemkategorier: servrar, databaser, nätverksenheter och containerkörningar.

CCF-VULN-005Policy för ansvarsfull sårbarhetspublicering

Organisationen upprätthåller en publicerad policy för ansvarsfull sårbarhetspublicering som gör det möjligt för externa forskare att rapportera säkerhetssårbarheter. En utsedd kontaktkanal finns tillgänglig och svar spåras.

CCF-BCM-003Säkerhetskopiering och verifiering av återställningAuto

Kritisk data säkerhetskopieras enligt definierade scheman. Säkerhetskopiornas integritet verifieras genom automatiserade kontrollsummor och periodiska återställningstester. Säkerhetskopior på annan plats eller i molnet upprätthålls.

CCF-ASSET-001Tillgångsinventering

Organisationen upprätthåller en aktuell inventering av alla informationstillgångar (hårdvara, programvara, data, tjänster). Inventeringen inkluderar ägare, klassificering och plats.

CCF-GOV-001Informationssäkerhetspolicy

Organisationen upprätthåller en av styrelsen eller ledningen godkänd informationssäkerhetspolicy som definierar den övergripande riktningen, målen och principerna för LIS:et. Policyn granskas årligen och kommuniceras till all personal.

CCF-PRIV-001Dataskyddspolicy

En dataskyddspolicy dokumenterar hur organisationen samlar in, använder, lagrar och skyddar personuppgifter i enlighet med tillämpliga integritetsregler (GDPR m.fl.). Policyn granskas årligen.

CCF-ASSET-002Informationsklassificeringspolicy

Organisationens information klassificeras enligt ett definierat schema (t.ex. Offentlig, Intern, Konfidentiell, Känslig). Klassificeringspolicyn definierar hanteringskrav för varje nivå.

CCF-AIGOV-001AI-systeminventering och riskklassificering

Organisationen upprätthåller en inventering av alla AI-system i bruk eller under utveckling, inklusive deras klassificering enligt tillämpliga regelverk (EU AI Act Bilaga III, ISO 42001). Varje system tilldelas en risknivå.

CCF-TRUST-003Publicering av underbiträdeslista

En aktuell och korrekt lista över underbiträden (tredjeparter som behandlar kunddata) är publikt tillgänglig. Kunder meddelas om förändringar av underbiträden i förväg enligt kontraktuella åtaganden.

CCF-COMP-001Register över lagstiftnings- och rättsliga krav

Organisationen upprätthåller ett register över tillämpliga legala, regulatoriska och kontraktuella förpliktelser relaterade till informationssäkerhet och dataskydd. Registret granskas årligen.

CCF-PRIV-003Process för dataskyddskonsekvensbedömning (DPIA)

En DPIA-process finns för nya eller ändrade behandlingsaktiviteter som rör personuppgifter och som sannolikt medför en hög risk för registrerades rättigheter. DPIA:er dokumenteras och granskas av DPO:n.