Elastx informationssäkerhetspolicy

Elastx AB är en svensk molnleverantör certifierad enligt ISO/IEC 27001, ISO/IEC 27017 och ISO/IEC 27018. Vi förbinder oss att upprätthålla och kontinuerligt förbättra ett ledningssystem för informationssäkerhet (LIS) som skyddar våra kunders information, stödjer våra affärsmål och uppfyller tillämpliga legala, regulatoriska och avtalsmässiga krav.

1. Syfte och omfattning

Denna policy definierar syfte, inriktning och grundläggande principer för informationssäkerhetsarbetet på Elastx. Den gäller alla anställda, uppdragstagare, leverantörer och andra parter som behandlar information för Elastx räkning.

Vår strategi är att tillhandahålla en suverän molnplattform som drivs från Sverige för europeiska verksamhetskritiska tjänster och känslig data. Informationssäkerhet är kärnan i vår verksamhet för att möta högt ställda regelefterlevnadskrav inom offentlig sektor, hälso- och sjukvård samt finansiella tjänster.

Detta dokument är den publika versionen av vår informationssäkerhetspolicy och får delas med externa parter. Operativa rutiner, detaljerade kontrollkrav och styrkande underlag dokumenteras internt och tillhandahålls behöriga parter på begäran.

2. Säkerhetsprinciper

Informationssäkerheten på Elastx bygger på följande principer:

Konfidentialitet: Information är endast tillgänglig för behöriga personer och system.
Riktighet: Information är korrekt, fullständig och skyddad mot obehörig förändring.
Tillgänglighet: Information och tjänster är åtkomliga när de behövs.
Proportionalitet: Säkerhetsåtgärder är anpassade till informationens värde och risk.
Ständig förbättring: Ledningssystemet granskas, testas och förbättras regelbundet.
Delat ansvar: Elastx, våra kunder och våra leverantörer har var för sig tydligt definierade säkerhetsansvar.

3. Styrning och ansvar

Ledningsgruppen är ytterst ansvarig för ledningssystemet och säkerställer att det har tillräckliga resurser.

Operativ samordning och ansvar för vår regelefterlevnad är delegerat till vår Cybersecurity Compliance Officer, som förvaltar, mäter och följer upp ledningssystemet, riskhanteringen och våra säkerhetsmål. Tekniska säkerhetskontroller och mål initieras av våra ingenjörsteam med slutligt godkännande av teknisk ledning.

Ledningens genomgång av ledningssystemet, inklusive säkerhetsmål och risker, hålls minst årligen. Målen ses över minst årligen och justeras för att ligga i linje med affärsmål, förändringar i riskbilden och tillämpliga krav.

4. Mål och uppföljning

Elastx förbinder sig att kontinuerligt förbättra ledningssystemet och minimera konsekvenserna av säkerhetsincidenter. Arbetet följs upp genom att:

Berörda kunder får incidentrapporter som beskriver incidenten, grundorsaken och vidtagna åtgärder.
Riskanalyser genomförs och riskbehandlingsrapporter tas fram minst var sjätte månad.
Dokumenterad kapacitetsplanering för molnplattformen upprätthålls.
Kontinuitets- och katastrofåterställningsplaner testas med planerade intervall.
Leverantörer och interna processer revideras enligt en riskbaserad revisionsplan.
Avvikelser hanteras genom en process för korrigerande åtgärder och följs till avslut.

5. Legala, regulatoriska och avtalsmässiga krav

Ledningssystemet är utformat för att uppfylla de legala, regulatoriska och avtalsmässiga krav som gäller Elastx direkt eller genom våra åtaganden gentemot kunder, inklusive men inte begränsat till:

Dataskyddsförordningen (GDPR)
Cybersäkerhetslagen, det svenska genomförandet av NIS2-direktivet
Digital Operational Resilience Act (DORA), tillämplig på Elastx som tredjepartsleverantör av IKT-tjänster till finansiella enheter
EU:s AI-förordning (AI Act)

En detaljerad förteckning över legala, regulatoriska och avtalsmässiga skyldigheter upprätthålls internt och ses över regelbundet.

6. Säkerhetskontroller

Elastx väljer, inför och upprätthåller säkerhetskontroller baserat på riskbedömningar, ISO/IEC 27001:2022, ISO/IEC 27017, ISO/IEC 27018 och kundspecifika krav. Kontrollområdena omfattar:

Åtkomstkontroll och identitetshantering: Principer om minsta möjliga behörighet och strikt ansvarsfördelning mellan plattformsdrift och applikationsutveckling, upprätthållna genom policy-as-code och automatiserad rollbaserad åtkomstkontroll (RBAC).
Informationsklassning: Information klassas enligt definierade kategorier och skyddsåtgärder väljs utifrån klassningen.
Kryptering: Data i transit och i vila krypteras, med nycklar som hanteras genom godkända KMS/HSM-tjänster.
Nätverkssäkerhet: Segmentering och strikta åtkomstregler tillämpas.
Omvärldsbevakning av hot: Vi bevakar hotbilden och vidtar skyddsåtgärder baserat på hotunderrättelser.
Sårbarhets- och patchhantering: Sårbarheter identifieras, bedöms och åtgärdas inom definierade tidsramar.
Loggning och incidentdetektering: Aktiv övervakning av säkerhetshändelser.
Säker utveckling: Säkra kodningsrutiner, kodgranskning och automatiserad sårbarhetsskanning i CI/CD-pipelines.
Kontinuitet: Rutiner för säkerhetskopiering och katastrofåterställning testas med planerade intervall.
Fysisk säkerhet: Skydd av datacenter och säkra zoner.

7. Incidenthantering och kontinuitet

Säkerhetsincidenter hanteras genom en dokumenterad process för kritiska incidenter som omfattar upptäckt, eskalering, begränsning, eliminering, återställning och kommunikation. Rapportering till behöriga myndigheter och berörda kunder sker i enlighet med legala krav och avtalsmässiga skyldigheter.

Kontinuitets- och katastrofåterställningsplaner är dokumenterade, testas och ses över med planerade intervall för att säkerställa oavbruten leverans av tjänster.

8. Leverantörs- och tredjepartshantering

Leverantörer och partner med åtkomst till Elastx information eller tjänster bedöms, kontrakteras och följs upp i enlighet med vår process för leverantörsriskhantering. Leverantörsrelationer styrs av krav på konfidentialitet, säkerhet och personuppgiftsbehandling. Kritiska leverantörer omfattas av due diligence och periodisk översyn.

9. Artificiell intelligens

Användning och utveckling av AI på Elastx styrs av vår AI Ethics and AI Governance Policy. AI-system klassas, riskbedöms och genomgår mänsklig granskning där det krävs. Vi tillåter inte att AI-genererade ändringar driftsätts utan lämplig granskning och godkännande.

10. Medvetenhet, utbildning och efterlevnad

All personal är skyldig att följa denna policy, Acceptance Use Policy för Elastx system och information samt relaterade säkerhetsrutiner. Utbildning i säkerhetsmedvetenhet ges vid introduktion och därefter regelbundet, och roller med utökade behörigheter får ytterligare utbildning.

Efterlevnaden av denna policy och ledningssystemet följs upp genom interna revisioner, ledningens genomgångar, sårbarhetsbedömningar, penetrationstester och andra granskningsaktiviteter. Avvikelser hanteras genom en process för korrigerande åtgärder.

11. Översyn av policyn

Denna policy ses över minst årligen samt vid väsentliga förändringar i verksamheten, riskbilden eller tillämpliga krav. Den aktuella versionen publiceras på elastx.se/se/information-security.

Versionsdatum: 21 september 2026

Elastx Management System Certificate (ISO/IEC 27001:2022) - giltigt till den 9 december 2027 (certifikatnummer 0095098, utfärdat av Intertek)

Elastx är även certifierat som tjänsteleverantör enligt ISO 14001.

En fullständig revisionsrapport tillhandahålls på begäran.