Säkerhetspolicy

1. Tillämpningsområde

Policyn omfattar:

• Dokument och filer som laddas upp i Tjänsten
• Metadata kopplad till dokument
• Användarkonton och åtkomst
• Systeminfrastruktur och driftmiljö

2. Informationsklassning

All information som lagras i Tjänsten betraktas som konfidentiell företagsinformation.

Informationen skyddas enligt principen ”security by default”.

Exempel på sådan information inkluderar styrelsedokument, avtal, strategidokument, finansiella rapporter och interna beslutsunderlag.

3. Tekniska säkerhetsåtgärder

• All dataöverföring sker via TLS (HTTPS)
• Dokument lagras krypterade
• Krypteringsnycklar hanteras separerat från lagrad data
• Rollbaserad behörighetsstyrning (RBAC)
• Individuella användarkonton
• Starka lösenordskrav
• Möjlighet till tvåfaktorsautentisering (2FA)
• Automatisk utloggning vid inaktivitet
• Loggning av inloggningar, dokumentåtkomst och administrativa förändringar

4. Infrastruktur och drift

• Hosting i professionell datacentermiljö
• Brandväggar och nätverkssegmentering
• Regelbundna säkerhetsuppdateringar
• Intrångsdetektering där tillämpligt
• Regelbundna säkerhetskopior lagrade separat
• Periodiskt testade återställningsrutiner

5. Organisatoriska säkerhetsåtgärder

• Begränsad åtkomst till produktionsmiljö
• Åtkomst dokumenteras och revideras regelbundet
• Sekretessförbindelser för anställda och konsulter
• Kodgranskning och versionshantering
• Separata test- och produktionsmiljöer

6. Hantering av företagsdokument

Företagsdokument lagras krypterat och är endast tillgängliga för behöriga användare.

Kunden styr vilka användare och roller som har åtkomst samt om dokument får laddas ner.

Kunders data hålls logiskt separerad från andra kunders data.

7. Incidenthantering

MMG har rutiner för identifiering, eskalering, åtgärd, dokumentation och kommunikation vid säkerhetsincidenter.

Incidenter hanteras skyndsamt enligt etablerade rutiner.

8. Kontinuitetsplanering

Vi arbetar med backup-strategi, återställningsplan, driftövervakning och riskbedömning av kritiska komponenter.

Målet är att minimera driftstörningar och dataförlust.

9. Tredjepartsleverantörer

Om tredjepartsleverantörer används säkerställer MMG att de uppfyller rimliga säkerhetskrav.

Avtal reglerar säkerhetsansvar och riskbedömning görs vid behov.

10. Kundens ansvar

• Säker hantering av inloggningsuppgifter
• Endast behöriga användare ges tillgång
• Exporterat material hanteras säkert
• Interna säkerhetspolicyer följs

11. Revidering och uppdatering

Säkerhetspolicyn revideras regelbundet och uppdateras vid behov för att möta förändrade hotbilder, tekniska förändringar, lagkrav och affärsutveckling.