IT-politik

Én gang årligt gennemgår ledelsen firmaets IT-sikkerhed. Ved gennemgangen vurderes følgende:

1. Om vores informationer og systemer er sikre, så uvedkommende personer ikke kan få adgang.
2. Om vi kan regne med, at data gemt i vores systemer ikke er ændret af uvedkommende personer.
3. Om vi kan få adgang til vores systemer og website, når der er behov for det. Det indebærer også de IT-systemer, der anvendes i jeres produktion.

Ud fra ovenstående skal følgende vurderes:

1. De forretningsmæssige konsekvenser, hvis uvedkommende har haft adgang til vores data.

Hvis det konstateres, at firmaets sikkerhed ikke er tilstrækkelig, skal der ske tiltag til udbedring heraf. Disse tiltag foretages af Erik Thaysen i samarbejde med vores eksterne IT-konsulent.

Den årlige gennemgang dokumenteres via et skriftligt referat, der underskrives af Erik Thaysen.

Firmaet anvender udelukkende standardprogrammer, der ikke tilrettes. Jonas sørger for opdatering af programmer leveret af Navision samt opdatering af Windows mm. på serveren samt sin egen arbejdsstation. Firmaets andre medarbejder er instrueret i, at opdatere deres egen arbejdsstation løbende i forbindelse med opdateringer til Windows, Java mm.

Alle firmaets arbejdsstationer, mobiltelefoner, e-mailkonti mm. skal tilgås via passwords. Jonas tilser, at dette overholdes. Firmaets medarbejdere har adgang til alle data, da dette er en nødvendighed for udførelsen af deres arbejdsopgaver. De enkelte medarbejderes passwords giver derfor ikke adgang til specifikke dele af firmaets data.

Firmaets medarbejdere skal udvise en passende IT-adfærd underbygget ved nedenstående punkter:

1. Firmaets medarbejdere må ikke åbne links eller filer i e-mails fra ukendte afsendere.
2. Firmaets medarbejdere må ikke besøge hjemmesider, der ikke er arbejdsrelevante (avishjemmesider er undtaget).
3. Firmaets medarbejdere må ikke tage kundemateriale med hjem, hverken fysisk materiale eller elektronisk materiale.
4. Hvis en medarbejder arbejder fra sit private hjem, skal arbejdet udføres via en opkobling (fjernskrivebord) til medarbejderens arbejdsstation placeret i firmaet. Medarbejderen må i forbindelse hermed ikke gemme data af nogen art på sin private computer.

Skulle en medarbejder ved en fejl komme til at åbne en skadelig fil, skal Erik straks informeres herom, således at de nødvendige tiltag kan igangsættes.

Der tages dagligt backup af firmaets data. Backup’en er placeret eksternt hos Sentia. Firmaets netværk er beskyttet af en firewall samt et antivirusprogram, der konstant skal være opdateret.

Fysisk er dataene beskyttet via lås på hovedindgangen til bygningen, hvor firmaets kontor er placeret samt lås på døren ind til kontoret, når kontoret ikke er bemandet. I firmaets levetid har firmaet ikke oplevet indbrud, hvorfor disse foranstaltninger anses for at være tilstrækkelige.

Hvis firmaet konstaterer, at firmaets data er tilgået af udvekommende eller firmaets data på netværket eller på en arbejdsstation er blevet krypteret af en hacker mm. og derfor ikke længere er tilgængelig gøres følgende:

1. Kontakt Erik.
2. Erik finder herefter i samarbejde med firmaets eksterne IT-konsulent frem til en fremgangsmåde, til løsning af den spærrede tilgang til firmaets data.
3. Har uvedkommende haft adgang til firmaets data, kontakter Erik de berørte kunder herom med information om, hvilke data den uvedkommende har haft adgang til.
4. Firmaets sikkerhedsopsætning revurderes af Erik/ Jonas i samarbejde med firmaets eksterne IT-konsulent.
5. Eventuelle nye sikkerhedstiltag fremkommet under punkt 4 implementeres hurtigst muligt.

Hvis firmaet bruger eksterne leverandører som f. eks. et lønbureau udarbejdes en databehandleraftale, hvor det nøje er specificeret:

1. Hvad den eksterne leverandør må anvende data til.
2. At der skal ske sletning af data, når samarbejdet ophører.

Firmaets IT-udstyr består af computere og server fra anerkendte producenter. Ved bortskaffelse af en arbejdsstation udleveres denne til firmaets eksterne IT-konsulent, der over skriver harddisken, så data ikke længere er tilgængelig. Den procedure betragtes som tilstrækkelig, da alle data om firmaets kunder opbevares på firmaets server.

Ved bortskaffelse af firmaets server, afmonteres de fysiske harddiske, der herefter ødelægges med en hammer.

Håndtering af persondata

Der henvises til firmaets persondatapolitik for information om firmaets håndtering af persondata.

Logning af virksomhedens data

Ledelsen har vurderet, at det ikke er nødvendigt at udføre logning af virksomhedens data.

Databehandleraftaler

Når firmaet indgår en aftale med en ekstern databehandler, bliver firmaet dataansvarlig. Firmaet har dermed pligt til at sikre, at databehandleren lever op til kravene i Persondataloven.

For at opfylde dette krav indgår firmaet en databehandleraftale med den pågældende databehandler. Aftalen skal indeholde følgende punkter:

1. Formål og varighed.
2. Hvilke kategorier af data, der behandles.
3. Kategorier af registrerede.
4. Organisatorisk sikkerhed – hvem får adgang? Og hvorfor?
5. Krav om fortrolighed.
6. Den dataansvarliges instruktionsbeføjelser.
7. Krav til sikkerhed.
8. Beredskab og notifikation ved sikkerhedsbrist.
9. Dokumentation for overholdelse af forpligtelserne som databehandler.
10. Sletning eller overlevering af data ved ophør.

Derudover vil firmaet indhente en revisorerklæring for databehandleren, der erklærer sig om, at dataleverandøren overholder persondataloven.

Firmaets nuværende leverandører er:

1. Sentia.
2. Microsoft (Office365).
3. Danløn.

Cookies

Firmaet anvender ikke cookies på firmaets hjemmeside.

Oplysninger om personale (egne ansatte)

1. Firmaets personaleoplysninger (herunder ansættelseskontrakter) er opbevaret elektronisk på firmaets server samt i fysisk form i et ringbind, der er placeret på Linda Jensens kontor. Ringbindet opbevares aflåst i et skuffearrangement, hvortil kun Linda har nøglen til.
2. Den eneste medarbejder, der har adgang til personaleoplysninger er Linda Jensen.
3. Linda Jensen behandler oplysningerne i ansættelseskontrakterne fortroligt, således det kun er hende og den pågældende medarbejder, der kender indholdet i ansættelseskontrakterne.
4. Personaleoplysninger opbevares i et ringbind på Linda Jensen kontor. Ringbindet opbevares i et aflåst skuffearrangement, hvortil kun Linda har nøglen. Når et ansættelsesforhold afsluttes, bliver de fysiske dokumenter med personaleoplysninger om den pågældende ansatte makuleret.
5. Alle medarbejdere i firmaet kan tilgå personaleoplysninger, der er lageret elektronisk, da disse er placeret på firmaets server. Alle firmaets arbejdsstationer kan kun tilgås med adgangskoder. Alle dokumenter med personaleoplysninger er dog beskyttet med et kodeord som kun Linda Jensen kender. Dermed er det kun Linda, der kan åbne den elektroniske udgave af personaleoplysningerne mm. Adgangskoden er ikke skrevet noget sted. Når et ansættelsesforhold afsluttes, bliver de elektroniske dokumenter med personaleoplysninger om den pågældende slettet fra serveren.
6. På grund af Tracking virksomhedens størrelse og den vurderede risiko for kompromittering af data, registreres det ikke, hvis andre forsøger at tilgå personaleoplysninger.
7. Personale oplysninger må aldrig lagres på andre medier eller fjernes fra firmaets kontor.
8. Alle firmaets arbejdsstationer er tilkoblet en firewall og har opdateret antivirusbeskyttelse. Opdatering af antivirusprogrammet på de enkelte arbejdsstationer sker automatisk.
9. Firmaet anvender ikke hjemmesideformularer, hvorpå der kan afgives personoplysninger.
10. Firmaets personaleoplysninger må aldrig sendes via Internettet. Hvis en medarbejder ønsker personaleoplysninger udleveret skal dette ske personligt og via fysiske dokumenter.
11. Personaleoplysninger må aldrig placeres på en arbejdsstation, men skal altid lagres på firmaets server. Ved reparation af en arbejdsstation er disse data derfor ikke tilgængelige. Derudover er alle personaleoplysningsdokumenter beskyttet med kodeord. Ved bortskaffelse af en arbejdsstation udleveres denne til firmaets eksterne IT-konsulent, der over skriver harddisken, så data ikke længere er tilgængelig. Den procedure betragtes som tilstrækkelig, da alle personaleoplysninger opbevares på firmaets server. Ved bortskaffelse af firmaets server, afmonteres de fysiske harddiske, der herefter ødelægges med en hammer.
12. Firmaet anvender Danløn som lønbureau. Der er indgået en databehandleraftale med Danløn.

De oplysninger som firmaet opbevare om medarbejdere er:

• Navn
• Adresse
• CPR-nr.
• Mobilnr. / Fastnetnr.
• E-mail
• Medarbejdernummer
• Bankoplysning
• Ansættelsesdato
• Arbejdstid

Herudover registreres ikke andre oplysninger.

Firmaet foretager ikke logning af medarbejdernes brug af telefon, Internet og e-mails mm.

Når en medarbejder fratræder sin stilling, holdes medarbejderens arbejdsemail åben i seks måneder fra fratrædelsesdatoen (medarbejderens sidste officielle arbejdsdag). Der indsættes et autosvar, hvoraf det fremgår, at medarbejderen ikke længere er i firmaet, og til hvem afsenderen herefter kan sende henvendelsen til.

Medarbejderens kontaktinformationer, der fremgår af firmaets hjemmeside, fjernes senest 14 dage efter medarbejderens sidste officielle arbejdsdag.

Ansøgninger, der afvises, til opslåede stillinger eller uopfordrede ansøgninger, der afvises slettes i firmaets elektroniske registre (server, e-mail mm.) eller makuleres, hvis disse er modtaget på papirform.