Säkerhet & Compliance

Inledning

Säkerhet är en grundpelare i vår verksamhet. Vi bedriver ett systematiskt informationssäkerhetsarbete och bygger vår drift enligt erkända ramverk. Nedan beskriver vi de tekniska och organisatoriska åtgärder som skyddar din data.

Säkerhetsorganisation

Securapilot har tydligt definierade roller för säkerhetsarbetet:

Styrande dokumentation

• Informationssäkerhetspolicy
• Säkerhetsplan för patchning, övervakning och härdning
• Incidenthanteringsrutiner
• Backup- och återställningsplan
• Kontinuitetsplanering (BCP/DR)

Hosting och datalagring

• Applikation, databaser och loggar körs på servrar hos Elastx (OpenStack) i Sverige.
• Uppladdade filer och databasbackuper lagras i objektlagring (S3) hos Oderland i Sverige.
• Utgående e-post skickas via ett e-postrelä som VER&IT driver på egen server hos Hetzner Online GmbH i Tyskland (inom EU).
• AI-stöd är avstängt som standard för alla kunder. Det används bara om kunden slår på AI-stöd och väljer leverantör, och kan då innebära leverantörer i USA. Överföringar till USA bygger på leverantörens certifiering under EU-US Data Privacy Framework eller på standardavtalsklausuler.

Se förteckningen över underbiträden för fullständig lista.

Övervakning och loggning

Securapilot övervakas av en övervakningsplattform som körs på en separat server, åtskild från produktionsmiljön, så att ett enskilt avbrott inte slår ut både tjänsten och övervakningen samtidigt.

• Kontinuerlig övervakning av systemresurser, svarstider och tillgänglighet, med automatiska larm vid avvikelser.
• Applikationsloggar sparas i 14 dagar. Säkerhetsrelevanta aktivitetsloggar och loggar över API-anrop sparas i 90 dagar.
• Brandvägg i applikationen (Aikido Zen) som upptäcker och loggar attacker. Den tar emot attackhändelser, metadata om begäranden och klient-IP-adresser.
• Kunden kan strömma sin egen revisionslogg till sitt eget SIEM, till exempel Microsoft Sentinel.

Sårbarhetshantering

• Kontinuerlig sårbarhetsbevakning av operativsystem och paket mot aktuella sårbarhetsdatabaser (NVD).
• Veckovis automatiserad skanning av samtliga containeravbildningar och applikationsberoenden.
• Säkerhetskonfigurationsgranskning löpande mot CIS-benchmarks.
• Larm utlöses omedelbart vid upptäckt av kritiska sårbarheter.
• Extern penetrationstestning genomförs årligen.

Patch- och uppdateringshantering

• Säkerhetsuppdateringar för operativsystemet installeras automatiskt, dagligen.
• Större uppdateringar rullas ut strukturerat och stegvis — först till testmiljö, därefter till produktion efter verifiering.
• En säkerhetskopia tas alltid före varje uppdatering av produktionsmiljön.

Säkerhetskopiering och driftkontinuitet

• Dagliga säkerhetskopior av varje kunddatabas och av den centrala databasen, lagrade i objektlagring hos Oderland, åtskilt från driftservrarna hos Elastx.
• Retention: 14 dagliga, 8 veckovisa och 12 månatliga återställningspunkter. Årliga säkerhetskopior sparas.
• Automatiskt återställningstest varje dag: den senaste säkerhetskopian av en kunddatabas återställs till en temporär databas och kontrolleras. Testet roterar mellan kunder. En backup som aldrig testats betraktar vi inte som en backup.
• Kryptering av säkerhetskopior i vila håller på att införas och är ännu inte påslagen. Överföring sker med TLS.

Åtkomst- och nätverkssäkerhet

• All administrativ åtkomst sker över ett krypterat privat nätverk (WireGuard) — inga administrationsgränssnitt exponeras mot internet.
• Least privilege — åtkomst styrs per roll och tjänst.
• Nyckelbaserad autentisering, krypterad kommunikation (TLS) genomgående.

Ramverk och efterlevnad

• ISO/IEC 27001:2022 — vårt informationssäkerhetsarbete och våra kontroller följer standardens struktur.
• NIS2 — vår drift är anpassad efter direktivets krav på övervakning, incidenthantering och driftkontinuitet.
• GDPR — som personuppgiftsbiträde för kunddata efterlever vi dataskyddsförordningen fullt ut, med kundisolering, krypterad överföring och dokumenterade processer för registrerades rättigheter.
• SOC 2 Type II — granskning planerad under Q3–Q4 2026.

Incidenthantering

VER&IT har en process för incidenthantering, inklusive de rapporteringsskyldigheter som följer av GDPR och NIS2.

Kontakta oss

För frågor om Securapilots säkerhetsarbete, vänligen kontakta:

Ordlista