Informationssäkerhetspolicy
Hudiksvalls kommun hanterar stora mängder information varje dag. En del av informationen är känslig och behöver skyddas. För att säkerställa att information hanteras på ett tryggt och ansvarsfullt sätt finns denna informationssäkerhetspolicy. Policyn uttrycker ledningens mål för informationssäkerhet.
Policyn omfattar informationssäkerhet, cybersäkerhet och dataskydd och är en viktig del i att skapa förtroende för kommunens verksamhet och tjänster. Informationssäkerhetspolicyn antogs av kommunfullmäktige 2026-02-23.
Syfte
Syftet med policyn är att beskriva hur kommunen skyddar sin information och följer lagar och regler.
Arbetet ska vara systematiskt och långsiktigt, så att risker minskar och att kommunens tjänster fungerar säkert – både idag och i framtiden.
Omfattning
Policyn gäller för alla som arbetar inom Hudiksvalls kommun: anställda, förtroendevalda samt verksamheter inom kommunkoncernen.
Den omfattar all information, alla IT-system och digitala tjänster som används i kommunens verksamheter.
Uppföljning
Arbetet med informationssäkerhet följs upp regelbundet.
Kommunen gör återkommande kontroller, analyserar risker och incidenter samt rapporterar till ledningen. Policyn ses över vart fjärde år.
Så arbetar kommunen med informationssäkerhet
Kommunen arbetar systematiskt med informationssäkerhet. Det innebär bland annat att:
- identifiera risker och förebygga problem
- ställa tydliga säkerhetskrav
- utbilda medarbetare
- testa säkerheten och kunna återställa verksamhet vid störningar
- hantera och följa upp incidenter
Arbetet sker genom ett särskilt ledningssystem för informationssäkerhet (LIS), som följer internationella standarder.
Grundprinciper
Arbetet med informationssäkerhet bygger på att:
- information är en av kommunens viktigaste tillgångar
- säkerhet ska vara en naturlig del i all verksamhet och digital utveckling
- medarbetare har kunskap och agerar ansvarsfullt
- risker upptäcks och hanteras i tid
- skyddet mot obehörig åtkomst är högt
En viktig del är också en god säkerhetskultur, där medarbetare är uppmärksamma, använder gott omdöme och rapporterar sådant som kan påverka säkerheten.
Ansvar
Ansvaret för informationssäkerheten följer verksamhetsansvaret.
- Kommunfullmäktige beslutar om policyn
- Kommunstyrelsen ansvarar för att den genomförs
- Nämnder och bolag ansvarar för efterlevnad i sina verksamheter
- Chefer ansvarar för att kraven följs och att medarbetare har rätt kunskap
- Alla medarbetare och förtroendevalda ska följa policyn och rapportera incidenter
Kommunen har också särskilda funktioner, till exempel dataskyddsombud och informationssäkerhetssamordnare, som stödjer och följer upp arbetet.
Informationssäkerhet
Informationssäkerhet handlar om att skydda information så att den:
- inte hamnar i orätta händer (konfidentialitet)
- är korrekt och tillförlitlig (riktighet)
- finns tillgänglig när den behövs (tillgänglighet)
Det gäller all information, oavsett om den är digital eller på papper.
Cybersäkerhet
Cybersäkerhet handlar om att skydda kommunens digitala system och information mot intrång, attacker och andra hot.
Arbetet innebär bland annat att:
- förebygga och upptäcka attacker
- skydda system och nätverk
- hantera behörigheter
- ha beredskap för att snabbt kunna återställa verksamheten
När kommunen använder externa leverantörer, till exempel för IT-drift, ställs tydliga säkerhetskrav i avtal.
Dataskydd
Dataskydd handlar om att skydda människors personliga integritet.
Det innebär bland annat att:
- personuppgifter hanteras lagligt och korrekt
- uppgifter bara används för tydliga ändamål
- invånare får information om hur deras uppgifter används
- uppgifter skyddas med lämpliga säkerhetsåtgärder