Informationssäkerhet
Brister i informationssäkerheten kan få allvarliga konsekvenser för både kommunen och invånare. Här hittar du mer information om kommunens riktlinjer, processer och råd för hur vi tillsammans skyddar vår information.
Vårt gemensamma ansvar
Information är medlet för att förmedla kunskap. Vi kan kommunicera den, lagra den, förädla den och styra processer med den – vi behöver den för det mesta vi gör helt enkelt.
Kommunen har ett av samhällets mest komplexa uppdrag. Det omfattar allt från den dagliga omsorgen av barn och äldre till att leverera dricksvatten och hämta sopor på bestämda tider. Vår information är därför värdefull och ibland livsviktig. Går den förlorad eller är felaktig kan det få allvarliga konsekvenser för både människor och samhälle. Det kan drabba invånarnas förtroende, vår lagefterlevnad och i förlängningen vår förmåga att leverera de tjänster samhället är beroende av.
Vi behöver därför skydda vår information så att den alltid finns när vi behöver den, att vi kan lita på att den inte är manipulerad och att endast behöriga personer får ta del av den. Det är det vi menar med informationssäkerhet, att upprätthålla konfidentialitet, riktighet och tillgänglighet hos kommunens information.
Informationssäkerhet är ett ansvar som delas av alla oss som arbetar i kommunen oavsett om du är medarbetare eller chef och ett krav som följer av lag. Var och en av oss bidrar till att skydda den information vi behandlar.
Har du frågor eller funderingar är du välkommen att höra av dig på informationssakerhet@motala.se.
Informationssäkerhets- och dataskyddspolicyn är kommunens styrdokument som fastställer de mål, principer och den inriktning vi arbetar efter för att hantera information inklusive personuppgifter på ett säkert och ansvarsfullt sätt. Policyn är underordnad kommunens generella säkerhetspolicy.
Alla anställda ansvarar för att känna till och följa policyn i det dagliga arbetet. Som medarbetare är du skyldig att anmäla brister i informationssäkerheten till din närmaste chef.
Läs hela policyn:
Informationssäkerhet och dataskydd är allas ansvar men för att arbetet ska vara strukturerat och effektivt finns det en tydlig organisation som driver och samordnar frågorna i kommunen. Organisationen är uppdelad i två nivåer: en strategisk och en operativ.
Strategisk nivå – Styrgruppen för informationssäkerhet och dataskydd
Styrgruppen är länken mellan det operativa informationssäkerhetsarbetet och kommunens ledning. Gruppen ansvarar för att följa upp ledningens handlingsplan för informationssäkerhet och dataskydd, prioritera föreslagna åtgärder och lämna förslag på resurs- och budgetbehov. Styrgruppen fungerar också som rådgivare i frågor som rör styrdokument, utbildningsinsatser och strategiska säkerhetsåtgärder och ansvarar för att samordna arbetet med dataskydd och informationssäkerhet inom förvaltningen. Styrgruppen är även ett forum för erfarenhetsutbyte och omvärldsbevakning inom området.
Operativ nivå – Operativ grupp för informationssäkerhet och dataskydd
Den operativa gruppen leder och samordnar det löpande arbetet med informationssäkerhet och dataskydd samt ansvarar för att stötta förvaltningen i de aktiviteter som följer av kommunens ledningssystem för informationssäkerhet. Det handlar bland annat om risk-, incident- och kontinuitetshantering samt leverantörsrelationer.
Gruppen består av kommunens informationssäkerhetssamordnare, dataskyddsombud och utsedda koordinatorer från samtliga förvaltningar. Koordinatorerna representerar sin förvaltning i gruppen och är samtidigt ett stöd lokalt.Du kan alltså vända dig till din förvaltnings koordinator om du har frågor kring informationssäkerhet eller dataskydd. Är du osäker på vem som är förvaltningens koordinator kan du kontakta informationssakerhet@motala.se.
För att veta vilken information vi hanterar och hur den ska skyddas används en strukturerad riskhanteringsprocess. Den omfattar informationsklassning, riskanalys, val av säkerhetsåtgärder och uppföljning. Alla verksamheter ska kartlägga och klassificera sin information, genomföra riskanalyser och vidta lämpliga säkerhetsåtgärder. Arbetet styrs av kommunens gemensamma anvisningar för riskhantering av information och ett metodstöd finns tillgängligt som hjälp i det praktiska arbetet.
Om du har frågor eller behöver stöd kan du vända dig till din förvaltnings informationssäkerhets- och dataskyddskoordinator eller till kommunens informationssäkerhetssamordnare.
Läs mer i gemensamma anvisningar:
Gemensamma anvisningar för riskhantering av information
Stödmaterial
Metodstöd för riskhantering av information
Klassningsmodell för informationsklassning
En incident kan se ut på många sätt. Det kan till exempel vara att ett system inte fungerar, att ett mejl hamnar hos fel mottagare, att en dator tappas bort eller att ett brev med känsliga personuppgifter hamnar i fel brevlåda. Oavsett typ ska alla incidenter rapporteras omgående och hanteras enligt tillvägagångssättet i de gemensamma anvisningarna för incidenthantering. Även till synes små händelser kan snabbt eskalera och få allvarliga konsekvenser om de inte hanteras i tid.
Mer information om den fullständiga incidenthanteringsprocessen finns i de gemensamma anvisningarna för incidenthantering. Där hittar du bland annat fler exempel på vad en incident är, var incidenten ska rapporteras samt hanteras och i vissa fall anmälas enligt särskilda lagar.
Extern rapportering till myndighet
Vissa incidenter ska, utöver vår interna hantering, anmälas till externa myndigheter.
Personuppgiftsincidenter
Personuppgiftsincidenter som inte osannolikt innebär en risk för individers fri- och rättigheter ska anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från det att incidenten upptäcktes. En riskbedömning krävs alltid enligt tillvägagångssättet som finns i de gemensamma anvisningarna för incidenthantering. Mer information om detta hittar du i de gemensamma anvisningarna för incidenthantering:
Gemensamma anvisningar för incidenthantering
Informationssäkerhetsincidenter
Sedan den 15 januari 2026 gäller cybersäkerhetslagen (2025:1506), Sveriges genomförande av EU:s NIS2-direktiv. Hela kommunen omfattas, vilket bland annat innebär en lagstadgad skyldighet att rapportera betydande informationssäkerhetsincidenter till Myndigheten för civilt försvar (MCF). En incident räknas som betydande om den orsakat eller kan orsaka allvarlig driftsstörning, ekonomisk skada eller riskerar att vålla andra personer betydande materiell eller immateriell skada. Rapportering sker i tre steg: inom 24 timmar, 72 timmar och genom en slutrapport inom en månad. Mer information hittar du i de gemensamma anvisningarna för incidenthantering.
När det kommer till utbyte av känsliga personuppgifter eller sekretessbelagd information, är det avgörande att använda godkända och säkra kommunikationskanaler.
Outlook och Teams ska inte användas för utbyte av känsliga personuppgifter eller sekretessbelagd information. Även om de erbjuder bekvämlighet för daglig kommunikation inom organisationen, uppfyller de inte kraven för säker överföring av känsliga uppgifter.
Använd istället Sefos som är speciellt utformat för att hantera känsliga personuppgifter och sekretessbelagd information. Vidta även nedanstående säkerhetsåtgärder för att ytterligare stärka säkerheten vid hantering av känsliga meddelanden:
- Säkerställ mottagarens identitet innan känslig information skickas.
- Endast behöriga personer med ett verkligt behov av att känna till informationen bör ha tillgång till den.
- Meddelanden som innehåller känsliga uppgifter får inte vidarebefordras utan uttryckligt godkännande.
Läs mer i:
Du som använder Microsoft Teams ska tänka på att använda det på rätt sätt för att det ska vara säkert.
Personuppgifter eller dokument som innehåller det får inte delas eller diskuteras i Teams. Detta är exempelvis personnummer, hemadresser, telefonnummer och annan känslig information som kan identifiera en individ. Använd istället Sefos för denna typ av uppgifter.
Diskutera heller inte konfidentiell information öppet i Teams. Även i dessa fall hänvisas till Sefos. Var medveten om vilka som har tillgång till olika kanaler och team och dela endast information som är lämplig för den specifika gruppen.
Det är inte tillåtet att föra konversationer med sekretessuppgifter i chatten under mötet eftersom chatten sparas. Det är heller inte tillåtet att dela skärmen där känsliga uppgifter eller annan sekretessbelagd information visas eftersom det inte går att kontrollera om annan deltagare tar en kopia. Dessutom är det inte tillåtet att spela in mötet eftersom inspelningen kan sparas och visas igen av obehöriga.
Läs mer:
Ledningens genomgång är ett strukturerat tillvägagångssätt där kommunstyrelsen, kommundirektören och förvaltningsledningen gemensamt utvärderar statusen för kommunens informationssäkerhets- och dataskyddsarbete minst en gång per år. Underlaget till ledningens genomgång tas fram av informationssäkerhetssamordnaren och dataskyddsombudet, som samlar in och analyserar information från samtliga förvaltningar för att ge en samlad bild av läget i kommunen. Det fullständiga tillvägagångssättet beskrivs i informationssäkerhets- och dataskyddspolicyn.
Granskningar ska genomföras löpande av informationssäkerhetssamordnaren och dataskyddsombudet inom utvalda områden. Syftet är att kontrollera att beslutade säkerhetsåtgärder fungerar som avsett, synliggöra risker och ge underlag för förbättringar. Resultatet ingår som en del av ledningens genomgång.
Du som medarbetare och chef har möjlighet att genomföra en webbaserad utbildning i informationssäkerhet. Utbildningen tar ca 25 minuter och innehåller ett test med tio frågor. När du är klar kan du skriva ut ett intyg på att du klarat testet. Utbildningen omfattar i huvudsak hantering av information på datorer och mobila enheter liksom på surfplattor och smartphones.