Informationssäkerhetspolicy

Informationssäkerhetspolicyn för Oy Matkahuolto Ab (nedan ”Matkahuolto”) beskriver principerna, målen och genomförandet av informationssäkerheten. Informationssäkerhetspolicyn fastställer de informationssäkerhetskrav som stöder Matkahuoltos affärsverksamhet samt planeringen, utvecklingen och genomförandet av verksamheten i enlighet med policyn. Därutöver har kompletterande riktlinjer utarbetats för olika områden inom informationssäkerhet för att stödja genomförandet av informationssäkerhetskraven och målen samt för att komplettera informationssäkerhetspolicyn.

Hos Matkahuolto innebär informationssäkerhet skyddet av alla data som behandlas av Matkahuolto i den utsträckning som krävs för att säkerställa konfidentialiteten, integriteten och tillgängligheten. Detta inkluderar också de informationssäkerhetskrav som förutsätts för implementeringen av dataskyddet.

Informationssäkerhetspolicyn omfattar alla av Matkahuoltos anställda, samarbetspartners och tjänsteleverantörer som hanterar Matkahuoltos data eller system.

Informationssäkerhetsmål

Informationssäkerhetens primära mål är att säkerställa kontinuiteten i Matkahuoltos verksamhet. Genom informationssäkerhet skyddas informationens konfidentialitet, integritet och tillgänglighet. Utgångspunkterna för Matkahuoltos informationssäkerhetsmål är förutom den operativa miljön och intressenternas förväntningar även lagstadgade skyldigheter och krav på affärskontinuitet.

Matkahuoltos informationssäkerhetsmål är:

• Att säkerställa affärskontinuiteten.

• Att skydda de personuppgifter som behandlas i samband med verksamheten.

• Att skydda de data som behandlas i verksamheten i enlighet med klassificeringskraven.

• Att säkerställa efterlevnaden av juridiska skyldigheter.

• Att säkerställa att kundernas förväntningar och krav uppfylls när det gäller informationssäkerhet.

• Att integrera informationssäkerhet som en del av verksamhetskulturen.

Behandling av personuppgifter

Behandlingen av personuppgifter definieras i Matkahuoltos dataskyddspolicy. Dataskydd säkerställs för alla former av data under hela livscykeln. Personuppgifter behandlas i enlighet med dataskyddskraven och skyddas mot obehörig behandling.

Informationssäkerhetskrav

Den nivå av informationssäkerhet som krävs bestäms utifrån en riskbedömning. Kraven gäller både Matkahuoltos egen verksamhet och de samarbetspartner som behandlar Matkahuoltos data. Vid behov kan den nivå av informationssäkerhet som överensstämmer med kraven verifieras genom utvärderingar och revisioner.

Riskbedömning av informationssäkerhet

Riskbedömningar som gäller informationssäkerhet utgör en grund för att fastställa den nivå av informationssäkerhet som krävs. Risker bedöms vid planering av nya tjänster eller system och i samband med betydande förändringar. När det gäller informationssäkerhetskritiska system genomförs riskbedömningar regelbundet.

Klassificering och skydd av information

Matkahuolto klassificerar information enligt informationens konfidentialitet. Informationsklassificeringen styr riskbedömningen och de erforderliga informationssäkerhetsåtgärderna.

Informationssäkerhetsmedvetenhet och utbildning

Matkahuolto använder olika verksamhetsmodeller för att förbättra informationssäkerhetsmedvetenheten hos sin personal: utbildning, kommunikation, intranätnyheter och simulerade bluffmeddelanden. Dessutom kan skräddarsydd informationssäkerhetsutbildning organiseras för olika målgrupper.

Informationssäkerhetsövervakning

Förverkligandet av informationssäkerheten övervakas och följs upp regelbundet med tekniska och organisatoriska medel. Observationer, avvikelser och utvecklingsbehov behandlas på ett definierat sätt och informationssäkerhetsläget rapporteras till ledningen som en del av den kontinuerliga förbättringen.

Hantering av informationssäkerhetsincidenter

Matkahuolto har verksamhetsmodeller och tjänster för att identifiera informationssäkerhetsincidenter samt verksamhetsmodeller för hantering och rapportering av potentiella kränkningar av informationssäkerheten.

Granskning och godkännande

Informationssäkerhetspolicyn godkänns av Matkahuoltos ledningsgrupp.

Informationssäkerheten är en del av Matkahuoltos ledningssystem. Informationssäkerheten utvecklas för att motsvara visionen för Matkahuoltos verksamhet, vilken definieras av högsta ledningen. Utvecklingsmålen, delområdena och uppgifterna inom informationssäkerheten beskrivs i informationssäkerhetsstrategin. De olika delområdena av informationssäkerheten beskrivs mer detaljerat med verksamhetsprinciper och riktlinjer. Dessa behandlas och godkänns av styrgruppen för informationssäkerhet.

Matkahuoltos ledningsgrupp godkände informationssäkerhetspolicyn 30.3.2026.