Säkerhetspolicy

1. Omfattning

Denna policy beskriver de tekniska och organisatoriska säkerhetsåtgärder som EXON tillämpar för att skydda personuppgifter och affärsdata i tjänsten. Policyn är anpassad efter GDPR (2016/679), DORA (EU 2022/2554) och tillämpliga finansiella riktlinjer.

2. Kryptering

I transit: TLS 1.3 för all extern trafik. HTTPS-only.
I vila: AES-256 för databas och lagringsvolymer.
Lösenord: Lagras hashade med en etablerad, saltad algoritm.
API-nycklar och tokens: AES-256-GCM med separat KMS.

3. Autentisering och åtkomst

Multi-Factor Authentication (MFA): TOTP-baserad, krävs för backoffice.
Single Sign-On (SSO): Google Workspace och Microsoft Entra via OIDC (invite-only).
Kundportal: BankID via kvalificerad tredjepartsleverantör.
Row-Level Security (RLS): Isolering per tenant på databasnivå.
Rollbaserad behörighet: Granulär åtkomstkontroll per funktion.
Session-timeout: Automatisk utloggning vid inaktivitet.

4. Nätverkssäkerhet

Web Application Firewall (WAF) på plattformsnivå.
DDoS-skydd via edge-nätverk.
Rate limiting på API-nivå.
Antivirus-skanning (ClamAV) på uppladdade filer innan de görs tillgängliga.

5. Incident- och breach-hantering

5.1 Klassificering

Nivå	Beskrivning	Målsvarstid
Kritisk	Aktivt intrång, dataförlust eller kompromiss av kundmiljön.	Inom 30 minuter
Hög	Sårbarhet med hög exploatationsrisk, försök till intrång.	Inom 4 timmar
Medium	Regelbrott utan aktiv exploatation.	Inom 24 timmar
Låg	Icke-akut avvikelse.	Inom 5 arbetsdagar

5.2 Underrättelseflöde vid personuppgiftsincident (Art. 33–34)

Detektering: Incident upptäcks via loggning, larm eller extern rapport.
Verifiering och bedömning: Genom rimlig teknisk verifiering fastställs att en incident faktiskt inträffat, dess omfattning, dataslag och risk för registrerade.
Underrättelse till berörd Kund utan onödigt dröjsmål och senast inom 48 timmar efter bekräftad incident (i EXONs egenskap av personuppgiftsbiträde). Notifieringstiden räknas från den tidpunkt då EXON genom rimlig teknisk verifiering fastställt att en incident som påverkar Kundens data faktiskt har inträffat.
Kundens underrättelse till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från Kundens egen kännedom, för incidenter som medför risk för de registrerade (Art. 33).
Direkt underrättelse till registrerade vid hög risk (Art. 34).
Åtgärd, dokumentation och efterlevnad följs upp och rapporteras.

5.3 Vulnerability disclosure

Sårbarheter kan rapporteras till security@exon.insure. Vi bekräftar mottagande inom 2 arbetsdagar och åtar oss att undersöka rapporten skyndsamt. Vi tillämpar en policy om ansvarsfull disclosure och vidtar inte rättsliga åtgärder mot forskare som följer denna.

6. Loggning och övervakning

Säkerhetsloggar: 24 månader.
Åtkomstloggar: 12 månader.
Applikationsloggar: 90 dagar.

7. Backup och katastrofåterställning

Backup och återställning (daglig backup, Point-in-Time Recovery, RTO- och RPO-mål): se SLA punkt 4.
Katastrofövning (Disaster Recovery drill): halvårsvis.

8. Säkerhetstestning

Automatiserad sårbarhetsscanning: Kontinuerlig genom leverantörens säkerhetsplattform.
Kodgranskning: Kontinuerlig via CI/CD-pipeline (typkontroll, lint, sec-scan).
Penetrationstest av oberoende tredje part kan genomföras vid väsentliga arkitekturförändringar eller efter överenskommelse med Kund.

9. Ändringshantering

Utveckling, test och produktion sker i separerade miljöer med åtskilda data och behörigheter. Samtliga schemaändringar versionskontrolleras. Ändringar granskas via CI/CD-pipeline innan produktionssättning.

10. Personal

Sekretessavtal och bakgrundskontroll för personal med produktionsåtkomst.
Regelbunden säkerhets- och GDPR-utbildning.
Åtkomst enligt minsta möjliga rättighet (principle of least privilege).

11. Compliance

GDPR (2016/679)
DORA (EU 2022/2554)
Cybersäkerhetsprinciper i linje med NIS2-direktivet (EU 2022/2555)
Bokföringslagen (1999:1078)

12. Kontakt

Säkerhetsincidenter och vulnerability disclosure: security@exon.insure
Dataskyddsfrågor: privacy@exon.insure