Sikkerhedspolitik

1. Formål

Denne sikkerhedspolitik fastlægger de principper og foranstaltninger, som Spitze ApS har indført for at beskytte informationsaktiver, personoplysninger og systemer mod uautoriseret adgang, tab, videregivelse, ændring eller tilintetgørelse.
Politikken gælder for alle medarbejdere, eksterne konsulenter og tredjeparter, der har adgang til Spitzes informationssystemer eller data.

2. Anvendelsesområde

Politikken omfatter alle elektroniske og fysiske informationsaktiver, som Spitze kontrollerer, herunder interne systemer, hostede tjenester og cloudmiljøer, der bruges i forbindelse med rekruttering, kundestyring og virksomhedens drift.

3. Ledelse og ansvar

Informationssikkerheden styres af Spitzes ledelse.
Den administrerende direktør har det overordnede ansvar for, at der er passende sikkerhedsforanstaltninger.
Medarbejdere og eksterne konsulenter skal overholde denne politik og straks rapportere enhver formodet sikkerhedshændelse til deres nærmeste leder eller til trust@spitze.net.

4. Grundprincipper

Spitzes sikkerhedsstyring bygger på følgende principper:

• Fortrolighed: Oplysninger er kun tilgængelige for autoriserede personer.
• Integritet: Oplysninger er korrekte, fuldstændige og beskyttet mod uautoriserede ændringer.
• Tilgængelighed: Systemer og oplysninger er tilgængelige for autoriserede brugere, når forretningen har brug for dem.

5. Tekniske og organisatoriske foranstaltninger

5.1 Netværks- og kommunikationssikkerhed

• Al e-mailtrafik krypteres under overførsel med TLS.
• Domænegodkendelse håndhæves med SPF, DKIM, DMARC og MTA-STS.
• Fortrolig kommunikation sendes med sikker, krypteret levering (Microsoft 365 Secure Mail).
• Ekstern kommunikation overvåges for spoofing, phishing og uautoriseret aktivitet.

5.2 Web- og applikationssikkerhed

• HTTPS håndhæves på alle Spitzes domæner.
• DNSSEC og HSTS er aktiveret for at forhindre aflytning og nedgraderingsangreb.
• Sikkerhedsheadere (CSP, X-Frame-Options, X-XSS-Protection) er implementeret.
• Alle webplatforme og SaaS-leverandører vurderes i forhold til OWASP’s best practice.

5.3 Adgangsstyring

• Adgang tildeles efter princippet om mindst mulige rettigheder (”least privilege”) og gennemgås regelmæssigt.
• Flerfaktorgodkendelse (MFA) er aktiveret, hvor det er teknisk muligt.
• Brugerkonti deaktiveres straks ved fratræden eller ændret rolle.
• Administrativ adgang logges og er underlagt periodisk kontrol.

5.4 System- og infrastrukturstyring

• Operativsystemer og software holdes opdateret med aktuelle sikkerhedsopdateringer.
• Forretningskritiske data sikkerhedskopieres dagligt og opbevares sikkert i krypteret form.
• Alle systemer konfigureres efter faste sikkerhedsbaselines, som gennemgås periodisk.
• Eksterne leverandører og cloududbydere er underlagt due diligence og kontraktlige krav til databeskyttelse.

5.5 Fysisk sikkerhed

• Adgang til kontorlokaler og udstyr er begrænset til autoriseret personale.
• Besøgendes adgang overvåges og registreres.
• Bærbare enheder er krypterede og omfattet af endpoint-beskyttelse.

6. Datahåndtering og opbevaring

Personoplysninger behandles i overensstemmelse med EU’s databeskyttelsesforordning (GDPR) og opbevares kun til legitime forretningsmæssige eller retlige formål.
Detaljerede oplysninger om behandlingsaktiviteter og opbevaringsperioder findes i vores privatlivs- og databeskyttelsespolitik.

7. Håndtering af sikkerhedshændelser

• Alle medarbejdere skal straks rapportere enhver formodet eller faktisk sikkerhedshændelse.
• Hændelser registreres, undersøges og løses efter Spitzes procedure for hændelseshåndtering.
• Hvor loven kræver det, underrettes berørte parter og relevante myndigheder uden unødig forsinkelse.
• Der gennemføres årsagsanalyse og korrigerende tiltag for at forebygge gentagelser.

8. Driftskontinuitet

Spitze har beredskab for driftskontinuitet, der skal sikre tilgængeligheden af centrale systemer og data i tilfælde af driftsforstyrrelser.
Sikkerhedskopier testes periodisk for at bekræfte, at data kan genskabes.

9. Løbende forbedring

Politikken og de tilknyttede kontroller gennemgås mindst én gang om året eller ved væsentlige ændringer i organisationens drift, systemer eller gældende lovgivning.
Spitze arbejder hen imod at efterleve anerkendte sikkerhedsstandarder som ISO/IEC 27001 og ISAE 3000 for at sikre fortsat compliance og best practice.

10. Kontakt

Spørgsmål eller anmodninger om denne politik kan rettes til: trust@spitze.net