Trust Center

Svenskägt. Data lagras i Sverige. Certifierad säkerhet. Öppna standarder. Här hittar ni information om hur vi skyddar data, uppfyller regulatoriska krav och bygger en plattform som organisationer med höga krav kan lita på.

• Hur härdar ni systemen?Sårbarhetshantering & patchningNIS2

  Vi härdar fysiska och logiska komponenter (till exempel servrar, virtuella maskiner och tjänsteprotokoll) enligt etablerade härdningsstandarder (bland annat CIS Benchmarks), och konfigurationen hanteras som kod så att en säker baslinje upprätthålls.

• Hur rapporterar jag en sårbarhet till er?Sårbarhetshantering & patchningNIS2

  Vi har en etablerad process för ansvarsfull sårbarhetsrapportering. Om du eller en säkerhetsforskare upptäcker en sårbarhet kan den rapporteras konfidentiellt till compliance@elastx.se. Vi tar emot, bedömer och åtgärdar rapporterade sårbarheter enligt vår process för sårbarhets- och patchhantering.

• Hur skyddar ni mot skadlig kod?Sårbarhetshantering & patchningNIS2

  Vi har flerlagrat skydd mot skadlig kod på hypervisor-, orkestrerings- och slutpunktsnivå. Samtliga företagsenheter har säkerhetsövervakning på slutpunktsnivå (EDR), och i utvalda miljöer övervakar intrångsdetektering containerkörningar löpande. Skyddet kombineras med återkommande säkerhetsutbildning och medvetenhet hos personalen.

• Hur håller ni olika kunders miljöer åtskilda?Nätverk & isoleringNIS2

  Vi separerar olika kunders miljöer (tenants) logiskt med bland annat VLAN, VXLAN och mjukvarudefinierade nätverk (SDN), och plattformens administrationslager hålls strikt isolerat från kundernas körmiljöer. Den logiska segmenteringen förhindrar lateral förflyttning och håller kundernas arbetslaster åtskilda.

• Hur skyddar ni mot DDoS och nätverksangrepp?Nätverk & isoleringNIS2

  DDoS-skydd på nätverksnivå (L3/L4) mot volymetriska attacker ingår i plattformstjänsten utan extra kostnad, är alltid aktivt och kräver ingen konfiguration. Utöver det erbjuder vi brandvägg för webbapplikationer (WAF) och hotinformation (threat intelligence) som tillval, tillsammans med säker nätverkszonindelning som blockerar kända skadliga källor. Vi erbjuder även en CDN-tjänst som kan avlasta och skydda webbtrafik.

• Är data krypterad i vila?Dataskydd & krypteringNIS2GDPR

  Ja. Vi har policy och rutiner för kryptering, och samtliga diskar i vår miljö är krypterade med stark kryptering (AES-256). Fysiska servrar använder självkrypterande diskar (SED) enligt TCG Opal med pre-boot-autentisering, så att ett fysiskt stulet lagringsmedium inte ger åtkomst till data.

• Hur skyddas data i transit?Dataskydd & krypteringNIS2GDPR

  Data i transit skyddas med TLS (version 1.2 och 1.3) med stark kryptering (AES-256) och med SSH-nyckelpar. För hanterade databastjänster tillhandahålls CA-certifikat så att ni kan verifiera och kryptera era klientanslutningar.

• Hur hanteras krypteringsnycklar?Dataskydd & krypteringNIS2GDPR

  Krypteringsnycklarna skyddas av pre-boot-autentisering med en unik nyckel per server, härledd ur serverns unika hårdvara, och låses upp först vid uppstart.

• Hur utvecklar ni säker programvara?Säker utvecklingNIS2

  Vår interna utveckling följer en rutin för säker utveckling. Säkerhetskrav definieras tidigt, kod genomgår obligatorisk granskning av kollega (peer review) och automatisk statisk säkerhetsanalys (SAST) av containeravbildningar och inga hemligheter eller nycklar lagras i källkoden. Källkoden ligger i åtkomststyrda förråd med MFA, där behörighet styrs av utvecklarroll och branch protection tillämpas. Bygg- och driftsättningsflöden är automatiserade, och förändringar testas i isolerade testmiljöer innan de når produktion. Inga riktiga kunddata eller personuppgifter används i utvecklings- eller testmiljöer.

• Hur hanterar ni incidenter?IncidenthanteringNIS2

  Vi levererar tjänster dygnet runt och har därmed felsökning och incidenthantering dygnet runt, året runt, med kontinuerlig övervakning av plattformen och larmmottagning. När en händelse identifieras klassificeras och prioriteras den utifrån allvarlighetsgrad och påverkan på tjänsterna, och den eskaleras enligt fastställda rutiner till rätt teknisk kompetens. Ett allvarligt problem kan eskaleras till en kritisk incident, vilket aktiverar en särskild krisledning med mandat att fatta snabba beslut. Efter en åtgärdad incident genomförs en grundorsaksanalys för att fånga permanenta förbättringar i plattformen och våra arbetssätt.

• Hur snabbt informerar ni vid en incident eller personuppgiftsincident?IncidenthanteringNIS2GDPRDORA

  Vid en incident som berör er informerar vi utan onödigt dröjsmål, och senast inom 24 timmar efter att vi fått kännedom, så att ni hinner uppfylla era egna skyldigheter. Vid en betydande incident följer vi Cybersäkerhetslagen (NIS2) i rapporteringen till behörig myndighet (Myndigheten för Civilt Försvar): tidig förvarning inom 24 timmar, incidentrapport inom 72 timmar och slutrapport senast en månad efter incidentrapporten.

• Hur rapporterar ni väsentliga händelser till myndigheter?IncidenthanteringNIS2GDPRDORA

  Väsentliga händelser rapporteras enligt gällande regler. Allvarliga incidenter som omfattas av Cybersäkerhetslagen (NIS2) rapporteras till Myndigheten för Civilt Försvar (MCF), och för incidenter som rör finansiella entiteter vi levererar till följer vi DORA. Vid en personuppgiftsincident informerar vi som personuppgiftsbiträde berörd personuppgiftsansvarig utan onödigt dröjsmål enligt GDPR, så att de kan fullgöra sin egen anmälningsskyldighet.

• Testar ni er kontinuitetsförmåga?Kontinuitet & återställningNIS2DORA

  Ja. Vi övar vår kontinuitetsplan (Business Continuity Plan, BCP) genom återkommande, fullskaliga kontinuitetsövningar som en del av vårt ISO/IEC 27001-arbete. Övningarna är typiskt oannonserade för merparten av organisationen för att ge ett realistiskt resultat och prövar krisledningens beslutsförmåga, de tekniska inneslutningsrutinerna och våra kommunikationsvägar under hög press.

• Hur är plattformen byggd för redundans och återställning?Kontinuitet & återställningNIS2DORA

  Plattformen är fördelad över tre aktiva tillgänglighetszoner i Stockholmsområdet (STO1, STO2 och STO3), geografiskt åtskilda så att en fysisk eller miljörelaterad störning i en zon inte slår ut tjänsten. Tjänster replikeras mellan zonerna för automatisk redundans. För kritiska säkerhetskopior och loggar erbjuder vi The Vault - en oföränderlig (immutable), ransomware-motståndskraftig lagring som dessutom ligger i en separat region cirka 350 km från Stockholmsområdet, i en skyddad underjordisk anläggning. Den bygger på Object Lock (WORM - Write Once, Read Many), vilket gör att data inte kan ändras eller raderas under den konfigurerade låsperioden, även om behörigheter komprometteras.

• Tar ni säkerhetskopior av vår data?Kontinuitet & återställningNIS2

  Vi säkerhetskopierar vår egen plattform, till exempel konfiguration och systemavbildningar, och dessa säkerhetskopior skapas och testas enligt fastställd backuppolicy. Säkerhetskopiering och eventuell replikering av er data konfigurerar och styr ni själva, med verktyg i plattformen eller externa verktyg, utifrån era önskemål och vad ert avtal omfattar - det ger er full kontroll över vad som sparas, var och hur länge. För oföränderlig (immutable) lagring av kritiska kopior och loggar erbjuder vi The Vault. Vår objektlagringstjänst lagrar som standard tre kopior fördelade över tre tillgänglighetszoner.

• Hur säkerställer ni säkerheten i er leverantörskedja?LeverantörskedjaNIS2

  Vi är en del av en leveranskedja och tillämpar en kontinuerlig, dokumenterad och riskbaserad granskning av våra leverantörer, i linje med kraven på leverantörskedjans säkerhet i Cybersäkerhetslagen (NIS2). Nya leverantörer granskas och godkänns innan de tas i bruk, och våra kritiska och väsentliga leverantörer följs upp årligen samt vid noterade avvikelser. Sammanfattning eller intyg avseende leverantörsgranskningen kan delas på begäran.

• Kan ni ge konkreta exempel på hur ni säkrar leverantörskedjan?LeverantörskedjaNIS2Digital suveränitet

  Ja. Vår fiberinfrastruktur tillhandahålls bland annat via Stokab, som omfattas av Stockholms stads centrala riktlinjer och övervakas operativt av CERT Stockholm. Vår CDN levereras av Varnish Software som en helt europeisk tjänst med kontrollplan i Frankrike, isolerad från utländsk lagstiftning som CLOUD Act. Genomgående prioriterar vi leverantörer inom EU/EES och tjänster som inte exponeras mot utländsk jurisdiktion.

• Hur bedömer ni nya leverantörer innan ni anlitar dem?LeverantörskedjaNIS2

  Vi tillämpar ett strukturerat ramverk för leverantörsriskbedömning i två steg. I det första steget bedömer vi leverantören som helhet - säkerhetsmognad (exempelvis ISO/IEC 27001-certifiering eller en ISAE 3000-rapport), finansiell stabilitet och hur de i sin tur hanterar sina egna underleverantörer. Utfallet blir godkänt, eskalering för djupare granskning eller stopp. I det andra steget bedömer vi den specifika tjänstens risk enligt en modell för sannolikhet och konsekvens (ISO 31000), med hänsyn till dataskydd, tillgänglighet och affärspåverkan. Bedömningen genomförs och dokumenteras innan en leverantör tas i bruk, och kritiska leverantörer godkänns av ledningen.

• Ställer ni säkerhetskrav på era leverantörer i avtal?LeverantörskedjaNIS2

  Ja. Vi ställer säkerhetskrav på leverantörer i avtal, och kraven skärps i takt med den risk tjänsten innebär, exempelvis krav på kryptering, redundans och beredskapsplaner. Vi kräver också att leverantörerna har kontroll på sin egen leverantörskedja och håller sin personal utbildad i enlighet med NIS2. Ramverket innehåller även bindande regler för dataöverföring som styr vilken data som får lagras var, oavsett vad övriga delar av bedömningen visar.

• Väger ni in var data lagras och vilken jurisdiktion som gäller?LeverantörskedjaNIS2GDPR

  Ja. När vi bedömer och väljer leverantörer väger vi in var data lagras fysiskt och vilken jurisdiktion leverantören omfattas av, inklusive exponering mot utländsk lagstiftning som CLOUD Act. Där det är relevant prioriterar vi lagring inom EU/EES och leverantörer som erbjuder europeisk datasuveränitet.