Säkra dina externa IT-tjänster

Informationssäkerhet vid upphandling av IT-relaterade tjänster handlar om att du ska styra processen och den levererade tjänsten ska upprätthålla krav på att informationen ska vara skyddad hos leverantören, enligt avtal. Det innebär att din/er information ska vara skyddad från obehörig insyn och förändring hos leverantören. Du som kund ska också ha möjlighet att granska hur informationen hanteras hos leverantören.

Detta ska ske genom ett juridiskt bindande avtal där exempelvis följande bör vara reglerat:

• Vem som äger informationen, hur informationen får användas samt om informationen på något sätt delas med en tredje part och hur skyddet av informationen säkerställs i alla situationer. När det gäller GDPR finns det särskilda bestämmelser för vad som krävs om informationen ska lagras utanför EU.
• Hur snabbt tjänsten eller systemet ska fungera normalt igen efter avbrott och att leverantören visar upp sina egna dokumenterade kontinuitetsplaner.
• När och hur rapportering av säkerhetsincidenter ska ske.
• Att det hos leverantören bör finnas en särskilt utpekad kontaktperson för informationssäkerhetsfrågor och möjlighet till olika former av granskningar av leverantörens säkerhetsarbete.
• Anges vilken information minst som ska säkerhetskopieras, hur ofta säkerhetskopieringen genomförs och hur informationen återställs vid behov.
• På vilket/vilka sätt informationen skyddas genom kryptering samt med vilken algoritm informationen är krypterad. Lagrar organisationen information externt utan skydd av kryptering bör det finnas ett formellt beslut till grund för en sådan lösning.

De biträden som den personuppgiftsansvarige anlitar ska kunna ge tillräckliga garantier för att behandlingen uppfyller kraven i dataskyddsförordningen (GDPR) och säkerställer att den registrerades rättigheter skyddas. Den personuppgiftsansvarige och personuppgiftsbiträdet måste upprätta ett så kallat biträdesavtal. Dataskyddsförordningen räknar upp vad ett sådant biträdesavtal ska innehålla.

Alla områden

• Datorer och mobila enheter
• Programvaror och applikationer
• Nätverk
• Externa IT-tjänster
• Behörigheter
• Utbildning

Lär dig allt du kan göra för att "Cybersäkra ditt företag"