Säkerhetsarbete. A.3 Betrodd Part ska för den tjänst som medlemskapet avser ha infört ett strukturerat säkerhetsarbete anpassat efter risker och säkerhetsbehov, bestående av: En riskanalys avseende tjänsten och dess Funktioner. Denna ska ta hänsyn till skyddsvärde, befintliga skyddsåtgärder och legala krav. Riskanalysen ska omfatta analys av hot och sårbarheter, samt sannolikhet och konsekvens (skada) på Användare, den egna organisationen, andra Medlemmar och Federationsoperatören. Ett ledningssystem för informationssäkerhet för tjänsten baserat på ISO/IEC 27001 eller motsvarande. Säkerhetsåtgärderna ska hantera riskerna enligt riskanalysen för tjänsten och dess Funktioner. Genomförd internrevision av införandet och efterlevnaden av säkerhetsregelverket för tjänsten. Riskanalys och internrevision ska genomföras årligen och leda till en förbättringsplan innehållande rekommenderade säkerhetsåtgärder.
Säkerhetsarbete. A.3 Betrodd Part ska för den Funktion Tillitsdeklarationen avser ha infört ett strukturerat säkerhetsarbete anpassat efter risker och säkerhetsbehov, bestående av: (a) Riskanalys avseende den Funktion som Tillitsdeklarationen avser. Denna ska ta hänsyn till skyddsvärde, befintliga skyddsåtgärder och legala krav. Riskanalysen ska omfatta analys av hot och sårbarheter, samt sannolikhet och konsekvens (skada) på Användare, den egna organisationen, andra Medlemmar och Federationsoperatören. Riskanalysen ska genomföras årligen och leda till en förbättringsplan innehållande rekommenderade säkerhetsåtgärder. (b) Ett ledningssystem för informationssäkerhet (LIS) för Funktionen baserat på ISO/IEC 27001. Säkerhetsåtgärderna ska hantera riskerna enligt riskanalysen för Funktionen. (c) Genomförd internrevision av införandet och efterlevnaden av ledningssystemet för informationssäkerhet (b). Ledningssystemet för informationssäkerhet och efterlevnaden av de krav som ställs i detta Tillitsramverk ska minst en gång per treårsperiod vara föremål för internrevision, utförd av en till Funktionen oberoende kontrollfunktion. Ja Ja Samverkansorganisationen kommer ta fram en modell och en generisk process som kan implementeras i varje användarorganisation. Det pågår redan ett sådant arbete med SITHS i VG som eventuellt skulle kunna gå att återanvända i valda delar.
Säkerhetsarbete. Bolaget ska ha en riktlinje för hantering av informationssäkerhet och IT-verksamhet som beslutats av styrelsen och som reglerar Bolagets hantering av risker relaterade till informationssäkerhet. Denna policy ska ange vilken information som ska skyddas och vilka åtgärder som ska vidtas för att skydda dessa. Policyn finns intagen i Bolagets verksamhetsplan med bilagor. Bolaget har en beredskapsplan som bilaga till verksamhetsplanen. Denna innehåller även kontinuitetsplanering och återställningsplan. Här anges bland annat vilka värden och tillgångar som ska skyddas och vilka åtgärder som ska vidtas för att skydda dessa. Bolaget ska årligen och i samband med riskutvärderingen utföra scenarioanalyser och simuleringar för att få en bättre förståelse för hur olika typer av hot, oegentligheter och brottsliga handlingar kan uppstå i företagets verksamhet.
Säkerhetsarbete. Grundläggande i säkerhetsarbetet är att Säljaren förbinder sig att levererade Tjänster ska uppfylla vid var tid gällande myndighetsföreskrifter om driftsäkerhet samt integritetsskydd. Det är också grundläggande att det åligger Köparen att klassificera den data som registreras och behandlas i IoT-tjänsten och meddela Säljaren huruvida den är att anses som känslig alternativt extra skyddsvärd. Utifrån den grundläggande informationen ska Säljaren i samråd med Köparen kontinuerligt genomföra erforderlig säkerhetsanalys och vidta nödvändiga säkerhetsåtgärder. Säljaren har rätt till utökad ersättning till följd av tillkommande säkerhetsåtgärder under avtalstiden. Säkerhetsanalysen ligger till grund för säkerhetsarbetet avseende driftsäkerhet, IT-säkerhet, informationssäkerhet och säkerhetsskydd, regleras i bilaga 3.2 Säkerhet. En schematisk ansvarsfördelningen framgår av Purdue-modellen i bilaga 3.2.3 Arkitektur vid byggande av OT/IoT-system. Det åligger därigenom Säljaren att inom sitt område tillgodose erforderlig säkerhet genom att följa vedertagna standarder för IoT och kritisk IoT (grön säkerhetszon). Köparen å sin sida ansvarar för att tillgodose erforderlig säkerhet genom att följa vedertagna standarder för exempelvis IT administration inom sitt verksamhetsområde (blå säkerhetszon). Vidare åligger det båda parter att säkerställa hanteringen av informationsflödet genom att i säkerhetsarbetet dokumentera regler avseende gränssnitt/DMZ (gula områden).