Bakgrund
ProfilGruppen ska bedriva sitt informationssäkerhetsarbete på ett systematiskt, formaliserat och riskbaserat sätt. Arbetet utgår från den aktuella versionen av den internationella standarden för ledningssystem inom informationssäkerhet, ISO/IEC 27001.
Informationssäkerhet = rätt information till rätt person i rätt tid på ett spårbart sätt samt att informationen är och förblir riktig.
Syfte
Målet med informationssäkerhetsarbetet är att säkerställa ett väl avvägt skydd för ProfilGruppens informationstillgångar. Detta innebär att:
- Data ska lagras som kärndata i den mån det är möjligt. Lagrad data ska vara korrekt benämnd.
- Rätt information ska vara tillgänglig för rätt person vid rätt tidpunkt.
- All åtkomst ska vara spårbar.
- Förtroendet hos partners och intresseorganisationer ska upprätthållas.
Policy
Informationssäkerhetsarbetet och dess dokumentation omfattar alla ProfilGruppens informationstillgångar, oavsett form och om de hanteras manuellt eller automatiserat. Policyn gäller samtliga medarbetare och konsulter.
Alla informationstillgångar och tillhörande IT-system ska klassificeras utifrån känslighetsgrad. Arbetet baseras på regelbundna riskanalyser för:
- Konfidentialitet: Förhindra obehörig åtkomst.
- Riktighet: Säkerställa korrekt, aktuell och fullständig information.
- Tillgänglighet: Garantera åtkomst vid behov.
- Spårbarhet: Säkerställa ursprung och transaktioner.
För varje informationsområde ska organisatoriska, administrativa och tekniska skyddsåtgärder dokumenteras och kontrolleras.
Informationssäkerhetsskyddet granskas regelbundet för att säkerställa efterlevnad av lagar, förordningar och avtal. Avvikelser, risker och incidenter dokumenteras och följs upp som en del av det kontinuerliga förbättringsarbetet. Resultatet redovisas årligen vid ledningens genomgång.
En oberoende revision genomförs årligen för att kontrollera efterlevnad och effektivitet.
Ramverket består av denna policy samt 4 underliggande dokument som styr detaljerna inom informationssäkerhetsarbetet samt innehåller instruktioner för efterlevnad. Dessa instruktioner återfinns i Ledningssystemet Infosäk A, Infosäk F, Infosäk KD samt Kontinuitets- och katastrofplan IT.
Ansvar
- VD är ytterst ansvarig för informationssäkerheten och ska säkerställa att resurser och kompetens finns.
- CIO ansvarar för det operativa genomförandet.
- Alla medarbetare ansvarar för att följa policyer, riktlinjer och processer.
- Undantag får endast beslutas av CIO och ska dokumenteras.
Senast reviderad: 2025-10-30
Senast fastställd: 2025-10-30
Beslutad efter beredning i koncernledning