Page History

Medlem i Ena-federationen som inte är ett offentligt organ ska drivas som registrerad juridisk person samt teckna och vidmakthålla för verksamheten erforderliga försäkringar.

x

x

x

x

x

Medlem i Ena-federationen ska ha en etablerad verksamhet, vara fullt operationell i alla delar som berörs i detta dokument, samt vara väl insatt i de juridiska krav som ställs på denne som medlem i Ena-federationen.

x

x

x

x

x

Medlem i Ena-federationen ska ha förmåga att bära risken för skadeståndsskyldighet samt förfoga över tillräckliga ekonomiska medel för att kunna bedriva verksamheten i minst 1 år.

x

x

Två krav? Skadestånd rimligt? Ekonomi orimligt?

LoT-krav snarare än iam-förmågekrav!?

Orimligt krav då det ställs på varje medlemsorganisation!?

Formulera om till att endast gälla infrastrukturleverantörer!?

Medlem i Ena-federationen ska inrätta och följa ett ledningssystem för informationssäkerhet (LIS) som i tillämpliga delar baseras på ISO/IEC 27001 eller motsvarande likvärdiga principer för ledning och styrning av informationssäkerhetsarbetet. Detta ska införas och användas för de delar av verksamheten som på något sätt är inblandad i drift, förvaltning, eller annat handhavande av komponent för vilken detta krav ska efterlevas.

x

x

x

x

x

Medlem i Ena-federationen ska utse en person som ansvarar för organisationens anslutning till Ena.

x

x

x

x

x

Medlem i Ena-federationen ska utse en person som ansvarar för varje komponent som organisationen väljer att ansluta till Ena

x

x

x

x

x

Medlem i Ena-federationen ska ha samtliga säkerhetskritiska, administrativa och tekniska processer dokumenterade och vilande på en formell grund, där roller, ansvar och befogenheter finns tydligt definierade.

x

x

x

x

x

Medlem i Ena-federationen ska säkerställa att denne vid var tid har tillräckliga personella resurser till förfogande för att uppfylla sina åtaganden inom Ena-federationen.

x

x

x

x

x

precisera åtaganden per märke (jmfr SC:s kravförtydliganden på "lätt svenska")

Medlem i Ena-federationen ska ha en process för riskhantering som på ett ändamålsenligt sätt, kontinuerligt eller minst var tolfte månad, analyserar hot och sårbarheter i verksamheten. Processen ska resultera i en förbättringsplan innehållande rekommenderade säkerhetsåtgärder.

x

x

x

x

x

ändra "inrätta" till "ha" i kravkatalogen!

samt avgränsa till berörda delar av organisationen, ev i en ingress till kravkatalogen.

Medlem i Ena-federationen ska inrätta en som omfattar såväl incidentrapportering som hur lämpliga reaktiva och preventiva åtgärder vidtas för att lindra eller förhindra skada till följd av sådana händelser.

x

x

x

x

x

Se över kravetrs formulering i katalogen!

Medlem i Ena-federationen ska upprätta och regelbundet testa en kontinuitetsplan som tillgodoser verksamhetens tillgänglighetskrav genom en förmåga att återställa kritiska processer och förmågor vid händelse av kris eller allvarliga incidenter.

Behöver förtydligas att det endast gäller komponenter som delas med andra.

Har annan tillgänglighet med tillit att göra.

Medlem i Ena-federationen ska regelbundet utvärdera arbetet med informationssäkerheten och införa förbättringsåtgärder i ledningssystemet.

x

x

x

x

x

Medlem i Ena-federationen som har lagt ut utförandet av en eller flera säkerhetskritiska processer på en underleverantör, ska definiera vilka processer som underleverantören är ansvarig för utförandet av, vilka krav som är tillämpliga på dessa, samt att underleverantören ska uppfylla dessa krav, samt säkerställa att detta regleras mellan parterna.

x

x

x

x

x

Man tar ansvar för sina underleverantörer. Formulera om kravet

...nuvarande formulering stödjer granskningens genomförande. Betänk vid eventuell omformulering

En medlem i Ena-federationen ska, i tillämpliga delar, bevara:

1. Avtal
2. Styrande dokument
3. Handlingar som rör förändringar av uppgifter hänförliga till Användare, Attribut och Metadata
4. Övrig dokumentation som stöder efterlevnaden av de krav som ställs på denne, och som visar att de säkerhetskritiska processerna och kontrollerna fungerar.

x

x

x

x

x

precisera "tillämpliga delar"

Tiden för bevarande av avtal, dokument och handlingar enligt krav Ena O.14 ska inte understiga fem år och material ska kunna tas fram i läsbar form under hela denna tid, såvida inte krav på gallring påkallas från integritetssynpunkt och har stöd i lag eller annan författning.

x

x

x

x

x

Byt "och" till "eller" i kravet

En medlem i Ena-federationen ska inrätta en funktion för internrevision som periodiskt granskar verksamheten enligt följande:

1. Internrevisorn ska vara oberoende i utförandet av uppdraget på ett sätt som tryggar en objektiv och opartisk granskning och ha den kompetens och erfarenhet som krävs för uppdraget.
2. Internrevisorn ska självständigt planera genomförandet av revisionen och dokumentera detta i en revisionsplan som sträcker sig över en 3-årsperiod.
3. Varje enskild internrevisions omfattning ska väljas utifrån en risk- och väsentlighetsanalys och grundas i kraven som ställs på medlemmen inom Ena-federationen.
4. Revisionsresultatet ska dokumenteras och vid förfrågan göras tillgänglig för ledningsaktör och operatörer.

x

x

x

x

x

Risk att slå ut småaktörer, tex enmansföretag

Är detta efterlevnad som ska hanteras på annan plats

Medlem i Ena-federationen ska ha rutiner som säkerställer att endast behörig personal har åtkomst till de uppgifter som samlas in och bevaras i enlighet med Ena O.14.

x

x

x

x

x

Medlem i Ena-federationen ska säkerställa att personuppgifter som behandlas av medlem i Ena-federationen ska skyddas emot obehörig åtkomst.

x

x

x

x

x

ta bort "av medlem i Ena-federationen" 

byt "personuppgifter" mot "behörighetsgrundande information"

Medlem i Ena-federationen ska vid incidenter som kan påverka tilliten till medlemmens roll i federationen, kommunicera detta enligt gällande incidentprocess.  

 x

 x  

x 

 x  

x 

Medlem i Ena-federationen ansvarar för att behörighetsgrundande information är korrekt, aktuell och verifierad mot ursprungskällor. Rutinen för detta ska finnas dokumenterad.

x

x

x

Medlem i Ena-federationen ska i samband med incident skyndsamt vidta åtgärder för att återställa förtroende inom federationen.

x

x

x

x

x

Varje medlem i Ena-federationen ska ta fram en tillitsdeklaration på överenskommet format för varje Ena-tillitsmärke man innehar per teknisk komponent.

x

x

x

x

x

Detaljeras vad tillitsdeklaration är i fokusområde  efterlevnadskontroll

Medlem i Ena-federationen ska hålla sina tillitsdeklarationer för Ena-tillitsmärken uppdaterade och säkerställa att de reflekterar nuvarande förhållanden vid varje tidpunkt.

x

x

x

x

x

Medlem i Ena-federationen ska lämna in ny tillitsdeklaration för sina Ena-tillitsmärken inom 24 månader från det att den senaste tillitsdeklarationen godkändes, oavsett om förändring skett eller inte.

Omformulera krav utan fast period!?

LoT-krav med olika periodiciteter

Medlem i Ena-federationen får endast använda behörighetsgrundande information inom ramen för avtal och överenskommelser för samverkan inom Ena-federationen om inte särskild överenskommelse finns med informationsägande organisation.

x

x

x

x

x

Omformulera, vänd på meningen

Medlem i Ena-federationen ska säkerställa att information i beskrivningar och fritextfält ej är stötande eller kränkande. Den ska vara informativ och relevant utan värderingar och jämförelse med andra.

Medlem i Ena-federationen ska säkerställa att personer registrerade i  attributkällan ska ha ett anställnings- eller uppdragsförhållande till den organisation de tillhör.

Medlem i Ena-federationen ska säkerställa att systemanvändare registrerade i  attributkällan ska ha ett uppdragsförhållande till den organisation som ansvarar för dess förehavanden.

Medlem i Ena-federationen ska verifiera systematiskt  och med en periodicitet enligt gällande regelverk från tillitsmärkesägare att anställning och/eller uppdragsförhållande mellan uppdragsgivare och individ i attributkällan finns.

Medlem i Ena-federationen ska säkerställa att uppdragsförhållande mellan uppdragsgivare och systemanvändare (t.ex. RPA eller AI) i attributkällan verifieras systematiskt  med en periodicitet enligt gällande regelverk från tillitsmärkesägare.

Medlem i Ena-federationen ska säkerställa att fejkade data i attributkällor, avsedda för testverksamhet, inte sprids externt.

Medlem i Ena-federationen ska säkerställa att personer med skyddade personuppgifter informeras av informationsägaren om hur deras personuppgifter i attributkällan hanteras.