Säkerhetspolicy

Bakgrund och syfte

Att hantera information är grunden till Eviras verksamhet. Att information hanteras korrekt är av betydelse för förtroende inom bolaget samt externt för kunder och samarbetspartners. Syftet med denna policy är att påvisa bolagsledningens åtagande att hantera information på ett adekvat sätt.‍

Informationssäkerhet kan sammanfattas i följande fyra kravområden:

• Tillgänglighet: att information finns tillgänglig vid behov för behöriga användare
• Korrekthet: att information skyddas från inkorrekt förändring eller borttagning
• Konfidentialitet: att information endast finns tillgänglig för behöriga användare
• Spårbarhet: att åtkomst och ändringar av konfidentiell information ska vara spårbar

Med fastställandet av denna policy åtar sig Evira att följa tillämpliga krav rörande informationssäkerhet och ansvarsförhållanden.

Mål och principer

• att fortlöpande arbeta med kunskapsutveckling om hur informationssäkerhet upprättas och säkerställs,
• att vid behov ta hjälp av extern expertis,
• att information hanteras som känslig om inte annat anges,
• att hot och risker fortlöpande utvärderas och bedöms,
• att arbeta förebyggande mot hot och risker för att förebygga oönskade effekter,
• att arbete med informationssäkerhet är en naturlig och integrerad del i verksamhetens rutiner och
• att ledningssystem, säkerhetsåtgärder och krishanteringsplaner återkommande revideras och uppdateras.

Ansvar

Ansvaret för att upprätthålla Eviras arbete med informationssäkerhet ska följa verksamhetens normala strukturer. Medarbetare har dock ett påtagligt arbete att lyfta potentiella brister eller risker som uppdagas.

I det fall avvikelser sker eller undantag görs från denna policy eller övriga rutiner för informationssäkerhet ska dessa rapporteras till närmaste chef och rapporteras vidare till ledningsgruppen.

Uppföljning & revision

Denna policy och övriga rutiner för informationssäkerhet ska granskas och uppdateras årligen eller om betydande förändringar sker inom Evira eller i omvärlden. Granskningen syftar till att säkerställa policyns relevans och riktighet men också för att säkerställa att det finns en genomgående medvetenhet om policyn och övriga rutiner inom organisationen.

Informationssäkerhetspolicyns giltighet

Policyn fastställdes av Eviras ledningsgrupp och ägare 2022-02-21 och gäller till och med 2023-12-31.