Informationssäkerhetspolicy

Denna informationssäkerhetspolicy beskriver principerna och målen för samt genomförandet av informationssäkerheten vid Oy Matkahuolto Ab (nedan "Matkahuolto"). Informationssäkerhetspolicyn definierar de grundläggande informationssäkerhetskrav som stöder Matkahuoltos affärsverksamhet och skapar en grund för planering, utveckling och genomförande av verksamheten i enlighet med policyn. För att stöda genomförandet av kraven och målen för informationssäkerheten har dessutom anvisningar som kompletterar informationssäkerhetspolicyn utarbetats inom olika områden av informationssäkerhet.

Hos Matkahuolto innebär informationssäkerhet skyddet av alla data som behandlas av Matkahuolto i den utsträckning som krävs för att säkerställa konfidentialiteten, integriteten och tillgängligheten. Detta inkluderar också de informationssäkerhetskrav som förutsätts för implementeringen av dataskyddet.

Informationssäkerhetspolicyn omfattar alla av Matkahuoltos anställda, samarbetspartners och tjänsteleverantörer som hanterar Matkahuoltos data eller system.

Informationssäkerhetsmål

Det primära målet för informationssäkerheten är att säkerställa kontinuiteten i Matkahuoltos verksamhet under alla omständigheter. Genom informationssäkerhet skyddas informationens konfidentialitet, integritet och tillgänglighet. Utgångspunkterna för Matkahuoltos informationssäkerhetsmål är förutom den operativa miljön och intressenternas förväntningar även lagstadgade skyldigheter och krav på affärskontinuitet.

Matkahuoltos informationssäkerhetsmål är:

• Att säkerställa affärskontinuiteten.

• Att skydda de personuppgifter som behandlas i samband med verksamheten.

• Att skydda de data som behandlas i verksamheten i enlighet med klassificeringskraven.

• Att säkerställa efterlevnaden av juridiska skyldigheter.

• Att säkerställa att kundernas förväntningar och krav uppfylls när det gäller informationssäkerhet.

• Att integrera informationssäkerhet som en del av verksamhetskulturen.

Implementering av informationssäkerhet

Behandling av personuppgifter

Behandlingen av personuppgifter definieras i Matkahuoltos dataskyddspolicy. Dataskydd säkerställs för alla former av data under hela livscykeln. Personuppgifter behandlas i enlighet med dataskyddskraven och skyddas mot obehörig behandling.

Informationssäkerhetskrav

Den nivå av informationssäkerhet som krävs bestäms utifrån en riskbedömning. Kraven gäller både Matkahuoltos egen verksamhet och de samarbetspartner som behandlar Matkahuoltos data. Vid behov kan den nivå av informationssäkerhet som överensstämmer med kraven verifieras genom utvärderingar och revisioner.

Riskbedömning

Riskbedömningar som gäller informationssäkerhet utgör en grund för att fastställa den nivå av informationssäkerhet som krävs. Risker bedöms vid planering av nya tjänster eller system och i samband med betydande förändringar. När det gäller informationssäkerhetskritiska system genomförs riskbedömningar regelbundet.

Klassificering och hantering av information

Matkahuolto klassificerar information enligt informationens konfidentialitet. Informationsklassificeringen styr riskbedömningen och de erforderliga informationssäkerhetsåtgärderna.

Utbildning

Matkahuolto använder olika verksamhetsmodeller för att förbättra informationssäkerhetsmedvetenheten hos sin personal: utbildning, kommunikation, intranätnyheter och simulerade bluffmeddelanden. Dessutom kan skräddarsydd informationssäkerhetsutbildning organiseras för olika målgrupper.

Övervakning och uppföljning

Förverkligandet av informationssäkerheten övervakas och följs upp regelbundet med tekniska och organisatoriska medel. Observationer, avvikelser och utvecklingsbehov behandlas på ett definierat sätt och informationssäkerhetsläget rapporteras till ledningen som en del av den kontinuerliga förbättringen.

Hantering av informationssäkerhetsincidenter

Matkahuolto har verksamhetsmodeller och tjänster för att identifiera informationssäkerhetsincidenter samt verksamhetsmodeller för hantering och rapportering av potentiella kränkningar av informationssäkerheten.

Brott mot informationssäkerheten

Verksamhet som strider mot informationssäkerhetspolicyn och relaterade riktlinjer behandlas i enlighet med de förfaranden som Matkahuolto har fastställt.

Ansvarsområden och organisation

Informationssäkerhetspolicyn godkänns av Matkahuoltos ledningsgrupp.

Modellen för styrning av informationssäkerheten är en del av Matkahuoltos ledningssystem. Informationssäkerheten utvecklas för att motsvara visionen för Matkahuoltos verksamhet, vilken definieras av högsta ledningen. Utvecklingsmålen, delområdena och uppgifterna inom informationssäkerheten beskrivs i informationssäkerhetsstrategin. De olika delområdena av informationssäkerheten beskrivs mer detaljerat med verksamhetsprinciper och riktlinjer. Dessa behandlas och godkänns av styrgruppen för informationssäkerhet.

Ikraftträdande

Matkahuoltos ledningsgrupp godkände informationssäkerhetspolicyn 30.03.2026.