{"text_format":"1","workbook":"xlsx","n_sheets":2,"sheets":["0 Manual","1 Säkerhetsåtgärder i nivåer"],"not_rendered":{"charts":0,"images":0,"macros":0,"external_links":0,"defined_names":0,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"0 Manual","index":0,"n_rows":0,"n_cols":0,"rows_kept":0,"cut":false,"hidden":false,"merged":[]}

{"sheet":"1 Säkerhetsåtgärder i nivåer","index":1,"n_rows":119,"n_cols":12,"rows_kept":119,"cut":false,"hidden":false,"merged":[[3,0,3,1],[3,2,3,4],[3,5,4,5],[3,6,4,6],[61,2,61,4],[3,11,4,11],[84,2,84,4],[3,7,4,7],[3,8,4,8],[3,9,4,9],[3,10,4,10],[73,2,73,4]]}
[]
["Verktyg - skapa skyddsnivåer",null,null,null,null,null,"Utgå från genomförd SOA när så du vet vilka säkerhetsåtgärder som er organisation behöver. Antalet kolumner utgår från era konsekvensnivåer i klassningsmatrisen."]
[]
["Valda säkerhetsåtgärder",null,"Aspekter",null,null,"Variationer av krav utifrån skyddsnivå","Kommentarer och exempel","Skyddsnivå 0","Skyddsnivå 1","Skyddsnivå 2","Skyddsnivå 3","Skyddsnivå 4"]
["Benämning","Beskrivning","K","R","T"]
["5.1.1 Informationssäkerhetspolicy","Ett regelverk för informationssäkerhet, som inkluderar informationssäkerhetspolicyn, bör fastställas, godkännas av ledningen, publiceras och kommuniceras till medarbetare och relevanta externa parter.","X","X","X","Bör ej varieras","Dock bör regelverk innehålla olika regler för olika skyddsnivåer i styrdokument"]
["5.1.2 Granskning av regelverk för informationssäkerhet","Regelverket (inklusive informationssäkerhetspolicyn) för informationssäkerhet bör granskas med planerade intervall, eller om betydande förändringar sker, för att säkerställa deras fortsatta lämplighet, riktighet och verkan.","X","X","X","Bör ej varieras"]
["6.1.1 Informationssäkerhetsroller och ansvar","Allt ansvar för informationssäkerhet bör definieras och tilldelas.","X","X","X","Bör ej varieras"]
["6.1.2 Uppdelning av arbetsuppgifter","Ansvar och ansvarsområden som står i konflikt med varandra bör åtskiljas för att minska möjligheterna för obehörig eller oavsiktlig ändring eller missbruk av organisationens tillgångar.","X","X","X","Bör ej varieras"]
["6.1.3 Kontakt med myndigheter","Lämpliga kontakter med relevanta myndigheter bör upprätthållas.","X","X","X","Bör ej varieras"]
["6.1.4 Kontakt med särskilda intressegrupper","Lämpliga kontakter med särskilda intressegrupper eller andra forum för säkerhetsspecialister och branschorganisationer bör upprätthållas.","X","X","X","Bör ej varieras"]
["6.1.5 Informationssäkerhet i projektledning","Informationssäkerhet bör hanteras inom projektledning, oavsett typ av projekt.","X","X","X","Bör ej varieras"]
["6.2.1 Regler för mobila enheter","Regler och stödjande säkerhetsåtgärder bör antas för att hantera de risker som användning av mobila enheter medför.","X","X","X","Bör varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["6.2.2 Distansarbete","Regler och stödjande säkerhetsåtgärder bör införas för att skydda information som nås, bearbetas eller lagras på distansarbetsplatser.","X","X","X","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["7.1.1 Bakgrundskontroll","Bakgrundskontroll på alla sökande för anställning bör utföras i enlighet med relevanta författningar och etiska krav och bör stå i proportion till verksamhetskraven, klassificeringen av information som de ges behörighet till och de upplevda riskerna.","X","X","-","Bör varieras","Kan utökas för roller som hanterar tillgångar med höga skyddskrav"]
["7.1.2 Anställningsvillkor","Avtal med anställda och leverantörer bör ange deras och organisationens ansvar för informationssäkerhet.","X","-","-","Bör varieras","Särskilda villkor kan ges för roller som hanterar tillgångar med höga skyddskrav"]
["7.2.1 Ledningens ansvar","Ledningen bör kräva att alla anställda och leverantörer tillämpar informationssäkerhetskrav i enlighet med för organisationen fastställda regler och rutiner.","X","X","X","Bör ej varieras"]
["7.2.2 Medvetenhet, utbildning och fortbildning vad gäller informationssäkerhet"," Alla organisationens anställda och, i förekommande fall, leverantörer ska erhålla lämplig utbildning och fortbildning för ökad medvetenhet, samt regelbundna uppdateringar vad gäller organisationens policy, regelverk och rutiner i den omfattning som är relevant för deras befattning.","X","X","X","Bör ej varieras","Kompetensutveckling kan anpassas till skyddsnivåer"]
["7.2.3 Disciplinär process","Det ska finnas en formell och kommunicerad disciplinär process för att vidta åtgärder mot anställda som har brutit mot gällande informationssäkerhetsregler.","X","X","X","Bör ej varieras","Disciplinära åtgärder kan kopplas till skyddsnivå"]
["7.3.1 Avslut eller ändring av anställds ansvar","Ansvar för informationssäkerhet och skyldigheter som förblir gällande efter avslut eller ändring av anställning ska definieras och kommuniceras till den anställde eller leverantören samt verkställas. ","X","X","X","Bör ej varieras","Särskilda åtgärder kan krävas för hög skyddsnivå"]
["8.1.1 Inventering av tillgångar","Tillgångar som är relaterade till information och informationsbehandlingsresurser ska identifieras och en förteckning över dessa tillgångar ska upprättas och underhållas.","X","X","X","Bör ej varieras","Alla tillgångar bör inventeras men sådana med höga skyddskrav bör prioriteras"]
["8.1.2 Ägarskap av tillgångar","Tillgångar som återfinns i sammanställningen ska tilldelas ägare.","X","X","X","Bör ej varieras","Alla tillgångar bör ha ägare men sådana med höga skyddskrav bör prioriteras"]
["8.1.3 Tillåten användning av tillgångar","Regler för tillåten användning av information, och tillgångar som är relaterade till information och informationsbehandlingsresurser, ska identifieras, dokumenteras och införas.","X","X","X","Bör varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["8.1.4 Återlämnande av tillgångar","Alla anställda och externa användare ska återlämna alla organisationens tillgångar som de förfogar över då deras anställning, uppdrag eller avtal upphör.","X","X","X","Bör ej varieras"]
["8.2.1 Klassning av information","Information ska klassas i termer av rättsliga krav, värde, verksamhetsbetydelse och känslighet för obehörigt röjande eller modifiering.","X","X","X","Bör ej varieras","Klassning kan påbörjas/prioriteras för kritiska tillgångar"]
["8.2.2 Märkning av information","En lämplig uppsättning rutiner för märkning av information ska utvecklas och införas i enlighet med den modell för informationsklassning som antagits av organisationen.","X","X","X","Kan varieras","Märkning kan påbörjas/prioriteras för kritiska tillgångar"]
["8.2.3 Hantering av tillgångar","Rutiner för hantering av tillgångar ska utvecklas och införas i enlighet med modell för informationsklassning som antagits av organisationen","X","X","X","Kan varieras","Rutiner kan påbörjas/prioriteras för kritiska tillgångar"]
["8.3.1 Hantering av flyttbara lagringsmedia","Rutiner ska införas för hantering av flyttbara lagringsmedia i enlighet med modell för informationsklassning som antagits av organisationen.","X","X","X","Kan varieras","Kan gälla endast tillgångar med höga skyddskrav"]
["8.3.2 Avveckling av lagringsmedia","Lagringsmedia ska avvecklas på ett säkert sätt när det inte längre behövs med stöd av formella rutiner.","X","-","-","Bör varieras","Särskilda rutiner för höga skyddskrav gällande konfidentialitet"]
["8.3.3 Transport av fysiska lagringsmedia","Lagringsmedia som innehåller information ska skyddas mot obehörig åtkomst, missbruk eller förvanskning under transport.","X","X","-","Bör varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["9.1.1 Regler för styrning av åtkomst","Regler för styrning av åtkomst ska upprättas, dokumenteras och vara föremål för uppföljning utifrån verksamhets- och informationssäkerhetskrav.","X","X","-","Bör varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["9.1.2 Tillgång till nätverk och nätverkstjänster","Användare ska endast ges tillgång till nätverk och nätverkstjänster som de specifikt beviljats tillstånd för.","X","X","-","Bör ej varieras","Särskilda rutiner för åtkomst för tillgångar med höga skyddskrav"]
["9.2.1 Registrering och avregistrering av användare","En formell process för registrering och avregistrering av användare ska införas för att möjliggöra tilldelning av åtkomsträttigheter.","X","X","-","Bör ej varieras"]
["9.2.2 Tilldelning av användaråtkomst","En formell process för tilldelning av användaråtkomst ska införas för tilldelning och återkallande av åtkomsträttigheter för alla typer av användare till alla system och tjänster.","X","X","-","Bör ej varieras"]
["9.2.3 Hantering av privilegierade åtkomsträttigheter","Tilldelning och användning av privilegierade åtkomsträttigheter ska begränsas och styras.","X","X","-","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["9.2.4 Hantering av användares konfidentiella autentiseringsinformation","Tilldelningen av konfidentiell autentiseringsinformation ska styras genom en formell hanteringsprocess.","X","X","-","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["9.2.5 Granskning av användares åtkomsträttigheter","Ägare av tillgångar ska med jämna mellanrum granska användarnas åtkomsträttigheter.","X","X","X","Kan varieras","T.ex. mer frekvent granskning för tillgångar med höga skyddskrav"]
["9.2.6 Borttagning eller justering av åtkomsträttigheter","Åtkomsträttigheterna för alla anställda, och externa användare, till information och informationsbehandlingsresurser ska tas bort vid avslutande av deras anställning, avtal eller uppdrag eller justeras vid förändringar.","X","X","X","Bör ej varieras"]
["9.3.1 Användning av konfidentiell autentiseringsinformation","Användare ska åläggas att följa organisationens arbetssätt vid användning av konfidentiell autentiseringsinformation.","X","-","-","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["9.4.1 Begränsning av åtkomst till information","Tillgång till information och systemfunktioner ska begränsas i enlighet med regler för styrning av åtkomst.","X","X",null,"Bör ej varieras"]
["9.4.2 Säkra inloggningsrutiner","Där regler för styrning av åtkomst så kräver, ska tillgång till system och tillämpningar styras genom säkra inloggningsrutiner.","X","X","-","Bör ej varieras","Endast relevant för höga skyddsnivå för konfidentialitet och riktighet"]
["9.4.3 System för lösenordshantering","System för lösenordshantering ska vara interaktiva och ska säkerställa kvalitativa lösenord.","X","X","-","Bör ej varieras"]
["9.4.4 Användning av privilegierade verktygsprogram","Användning av verktygsprogram som kan ha förmåga att kringgå säkerhetsåtgärder i system och tillämpningar ska begränsas och styras strikt.","X","X","-","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["9.4.5 Åtkomstkontroll till källkod för program","Tillgången till källkod för program ska begränsas.","X","X","-","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["10.1.1 Regler för användning av kryptografiska säkerhetsåtgärder","Regler för användning av kryptografiska säkerhetsåtgärder för skydd av information ska utvecklas och införas.","X","X","X","Bör ej varieras"]
["10.1.2 Nyckelhantering","Regler för användning, skydd och giltighetstid för kryptografiska nycklar för deras hela livscykel ska utvecklas och införas.","X","X","X","Bör ej varieras"]
["11.1.1 Fysiska säkerhetsavgränsningar","Fysiska avgränsningar ska definieras och användas för att skydda områden som innehåller antingen känslig eller kritisk information och informationsbehandlingsresurser.","X","X","X","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["11.1.2 Fysiska tillträdesbegränsningar","Säkra områden ska skyddas genom lämpliga säkerhetsåtgärder för att säkerställa att endast behörig personal får tillträde.","X","X","X","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["11.1.3 Säkerställande av kontor, rum och anläggningar","Fysisk säkerhet för kontor, rum och anläggningar ska utformas och tillämpas.","X","X","X","Kan varieras","Säkerhet kan varieras beroende på skyddsnivåer"]
["11.1.4 Skydd mot yttre och miljörelaterade hot","Fysiskt skydd mot naturkatastrofer, illvilliga angrepp eller olyckor ska utformas och införas.","X","X","X","Kan varieras","Säkerhet kan varieras beroende på skyddsnivåer"]
["11.1.5 Arbeta i säkra utrymmen","Rutiner för att arbeta i säkra utrymmen ska utformas och tillämpas.","X","X","X","Bör ej varieras","Hanteras alltid i enlighet med höga skyddskrav"]
["11.1.6 Leverans- och lastningsområden","Åtkomstpunkter såsom leverans- och lastningsområden och andra punkter där obehöriga personer kan komma in i lokalerna ska styras och om möjligt isoleras från informationsbehandlingsresurser för att undvika obehörig åtkomst.","X","X","X","Kan varieras","Säkerhet kan varieras beroende på skyddsnivåer"]
["11.2.1 Placering och skydd av utrustning","Utrustning ska placeras och skyddas för att minska riskerna för miljörelaterade hot och faror och möjligheter för obehörig åtkoms","X","X","X","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.2 Tekniska försörjningssystem","Utrustning ska skyddas från elavbrott och andra störningar som orsakas av fel i tekniska försörjningssystem.","-","X","X","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.3 Kablagesäkerhet","Kablage för ström och telekommunikation för data eller stödjande informationstjänster ska skyddas från avlyssning, störningar och skada.","X","X","X","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.4 Underhåll av utrustning","Utrustning ska underhållas korrekt för att säkerställa fortsatt tillgänglighet och riktighet.","-","X","X","Bör ej varieras"]
["11.2.5 Utförsel av tillgångar","Utrustning, information eller program ska inte avlägsnas utanför organisationens lokaler utan tillstånd.","X","-","X","Bör varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.6 Säkerhet för utrustning och tillgångar utanför organisationens lokaler","Säkerhet ska tillämpas på tillgångar utanför organisationens lokaler med hänsyn tagen till de särskilda risker som är förknippade med att arbeta utanför organisationens lokaler.","X","-","X","Kan varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.7 Säker kassering eller återanvändning av utrustning","All utrustning som innehåller lagringsmedia ska granskas för att säkerställa att all känslig data och licensierade program har avlägsnats eller säkert överskrivits före kassering eller återanvändning.","X","-","X","Bör varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["11.2.8 Obevakad utrustning som hanteras av användare","Användare ska säkerställa att obevakad utrustning har lämpligt skydd.","X","X","X","Kan varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["11.2.9 Regel om rent skrivbord och tom skärm","En regel ska antas för rent skrivbord med avseende på papper och flyttbara lagringsmedia och en regel för tom skärm på informationsbehandlingsresurser ska antas.","X","X","X","Bör varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["12.1.1 Dokumenterade driftsrutiner","Driftsrutiner ska dokumenteras och göras tillgängliga för alla användare som behöver dem.","X",null,null,"Kan varieras"]
["12.1.2 Ändringshantering","Förändringar i organisationen, verksamhetsprocesser eller informationsbehandlingsresurser och system som påverkar informationssäkerheten ska styras.","X","X","X","Kan varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["12.1.3 Kapacitetshantering","Användningen av resurser ska övervakas samt justeras och prognoser av framtida kapacitetskrav ska göras för att säkerställa nödvändig systemprestanda.","-","X","X","Kan varieras","Särskilda regler för tillgångar med höga skyddskrav"]
["12.1.4 Separation av utvecklings-, test och driftmiljöer","Utvecklings-, test- och driftmiljöer ska vara separerade för att minska risken för obehörig åtkomst eller ändringar i driftmiljön.","X","X","X","Bör ej varieras"]
["12.2.1 Säkerhetsåtgärder mot skadlig kod","Upptäckande, förebyggande och återställande säkerhetsåtgärder för att skydda mot skadlig kod ska införas i kombination med säkerställande av en lämplig nivå av medvetenhet hos användarna.","X","X","X","Bör ej varieras"]
["12.3.1 Säkerhetskopiering av information","Säkerhetskopior av information, program och speglingar av system ska tas och testas regelbundet i enlighet med en överenskomna regler för säkerhetskopiering.","-","X","X","Bör varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["12.4.1 Loggning av händelser ","Händelseloggar som registrerar användaraktiviteter, avvikelser, fel och informationssäkerhetshändelser bör skapas, bevaras och granskas regelbundet","X","X","X","Bör ej varieras"]
["12.4.2 Skydd av logginformation","Loggningsverktyg och logginformation bör skyddas mot manipulation och obehörig åtkomst","-","X","X","Bör ej varieras"]
["12.4.3 Administratörs- och operatörsloggar","Systemadministratörers och systemoperatörers aktiviteter bör loggas och loggarna bör skyddas och granskas regelbundet","X","X","X","Bör ej varieras"]
["12.4.4 Synkronisering av tid","Systemklockorna i alla relevanta informationsbehandlingssystem inom en organisation eller säkerhetsdomän bör synkroniseras mot en och samma referenskälla för tid","-","X","-","Bör ej varieras"]
["12.5.1 Installation av program på driftssystem","Rutiner bör införas för att styra installation av program på driftsystem","X","X","X","Kan varieras","Ev särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["12.6.1 Hantering av tekniska sårbarheter","Information om tekniska sårbarheter i de informationssystem som används bör erhållas i tid, organisationens exponering för sådana sårbarheter analyseras och lämpliga åtgärder vidtas för att behandla den tillhörande risken","X","X","X","Bör ej varieras"]
["12.6.2 Restriktioner för installation av program","Regler för programinstallationer som utförs av användare bör upprättas och införas","X",null,null,"Kan varieras"]
["12.7.1 Revisionskontroll av informationssystem","Revisionskrav och revisionsaktiviteter som omfattar verifiering av status på driftsystem bör planeras noggrant och godkännas för att minimera störningar i verksamhetsprocesser","-","X","X","Bör ej varieras"]
["13.1.1 Säkerhetsåtgärder för nätverk ","Nätverk bör hanteras och styras för att skydda information i system och tillämpningar","X","X","X","Bör ej varieras"]
["13.1.2 Säkerhet hos nätverkstjänster","Säkerhetsmekanismer, tjänstenivåer och ledningskrav vad gäller alla nätverkstjänster bör identifieras och inkluderas i avtal för nätverkstjänster, oavsett om dessa tjänster tillhandahålls internt eller som outsourcade tjänster","X","X","X","Bör varieras","Särskilda säkerhetsåtgärder för tillgångar med höga skyddskrav"]
["13.1.3 Separation av nätverk","Grupper av informationstjänster, användare och informationssystem bör separeras i nätverk","X","X","X","Bör varieras","Nätverk med tillgångar som har höga skyddskrav kan behöva separeras "]
["13.2.1 Regler och rutiner för informationsöverföring","Formella regler, rutiner och säkerhetsåtgärder bör vara införda för att skydda överföring av information genom användning av alla typer av kommunikationsmedel","X","X","X","Bör varieras","Särskilda regler, rutiner och säkerhetsåtgärder kan gälla vid höga skyddskrav"]
["13.2.2. Överenskommelser om informationsöverföring","Säker överföring av verksamhetsinformation mellan organisationen och externa parter bör vara reglerad i överenskommelser","X","X","-","Bör ej varieras","Gäller endast tillgångar med höga skyddskrav"]
["13.2.3 Elektronisk meddelandehantering","Information som hanteras genom elektronisk meddelandehantering bör ha tillräckligt skydd","X","X","X","Bör varieras","Varierande säkerhetsåtgärder för olika skyddskrav"]
["13.2.4 Konfidentialitet och förbindelser om konfidentialitet","Krav på konfidentialitet eller förbindelser rörande konfidentialitet som återspeglar organisationens behov av skydd av information bör identifieras, regelbundet granskas och dokumenteras","X","-","-","Bör varieras","Varierande krav på konfidentialitet "]
["14.1.1 Analys och specifikation av informationssäkerhetskrav","Krav som rör informationssäkerhet bör inkluderas i kraven för nya informationssystem eller förbättringar av befintliga informationssystem","X","X","X","Bör varieras","Krav kan gälla KRT och för alla nivåer"]
["14.1.2 Säkerställande av programtjänster på publika nätverk","Information i programtjänster på publika nätverk bör skyddas från bedräglig aktivitet, avtalstvist och obehörigt röjande och modifiering","X","X","X","Bör varieras","Varierande säkerhetsåtgärder för olika skyddskrav"]
["14.1.3 Skydd av transaktioner i tillämpningstjänster","Information hanterad som del i programtjänsters transaktioner bör skyddas för att förhindra ofullständig överföring, felaktig styrning av nätverkstrafik, obehörig ändring av meddelanden, obehörigt röjande, obehörig duplicering av meddelanden eller återuppspelning","X",null,null,"Kan varieras"]
["14.2.1 Regler för säker utveckling","Regler för utveckling av program och system bör upprättas och tillämpas vid systemutveckling inom organisationen","X","X","X","Kan varieras","Åtgärder kan varieras beroende på skyddskrav"]
["14.2.2 Rutiner för hantering av systemförändringar","Systemförändringar inom utvecklingscykeln bör styras genom användning av formella riktlinjer för ändringshantering","X","X","X","Kan varieras","Riktlinjer kan varieras beroende på skyddskrav"]
["14.2.3 Tekniska granskningar av tillämpningar efter ändringar i driftsmiljö","När driftsmiljön ändras bör verksamhetskritiska tillämpningar granskas och testas för att säkerställa att det inte innebär negativ påverkan på verksamheten eller säkerheten ","X","X","X","Bör ej varieras"]
["14.2.4 Restriktioner  för ändringar av programpaket","Ändringar av programpaket bör förhindras eller begränsas till nödvändiga ändringar och alla ändringar bör styras noggrant","X","X","X","Kan varieras"]
["14.2.5 Principer för utveckling av säkra system","Riktlinjer för utveckling av säkra system bör upprättas, dokumenteras, underhållas och tillämpas vid alla införanden av informationssystem","X","X","X","Bör ej varieras"]
["14.2.6 Säker utvecklingsmiljö","För systemutvecklings- och integrationsåtgärder bör organisationen upprätta och på lämpligt sätt skydda säkra utvecklingsmiljöer som sträcker sig över systemets hela livscykel","X","X","X","Bör ej varieras"]
["14.2.7 Outsourcad utveckling","Organisationen bör övervaka och styra outsoursad systemutveckling","X","X","X","Kan varieras "]
["14.2.8 Säkerhetstestning","Säkerhetsfunktionalitet bör testas vid utveckling","X","X","X","Bör varieras"]
["14.2.9 Acceptanstestning av system","Program för acceptanstester och relaterade kriterier bör fastställas för nya informationssystem, uppgraderingar och nya versioner","X","X","X","Kan varieras "]
["14.3.1 Skydd av testdata","Testdata bör noggrant väljas ut, skyddas och styras","X","X","X","Bör ej varieras","Information med höga skyddskrav bör inte användas som testdata"]
["15.1.1 Informationssäkerhetsregler för leverantörsrelationer","Informationssäkerhetskrav för att reducera riskerna förknippade med leverantörers åtkomst till organisationens tillgångar bör avtalas med leverantören och dokumenteras","X","X","X","Bör varieras "]
["15.1.2 Hantering av säkerhet inom leverantörsavtal","Alla relevanta informationssäkerhetskrav bör upprättas och avtalas med varje leverantör som kan tillgå, behandla, lagra, kommunicera eller som tillhandahåller infrastrukturkomponenter för organisationens information","X","X","X","Bör varieras "]
["15.1.3 Försörjningskedja för informations- och kommunikationssteknologi","Avtal med leverantörer bör innehålla krav på att hantera informationssäkerhetsriskerna förknippade med försörjningskedjan för tjänster och produkter baserade på informations- och kommunikationsteknologi","X","X","X","Bör varieras "]
["15.2.1 Övervakning och granskning av leverantörstjänster","Organisationer bör regelbundet övervaka, granska och revidera leverantörers tjänsteleverans","X","X","X","Kan varieras"]
["15.2.2 Ändringshantering av leverantörers tjänster","Ändringar av tillhandahållande av tjänster från leverantörer, inklusive underhåll och förbättring av befintlig informationssäkerhetspolicy med tillhörande regelverk och befintliga rutiner bör hanteras, med beaktande av informationens, systemens och processernas kritiska betydelse för verksamheten och riskerna ska omvärderas","X","X","X","Bör varieras"]
["16.1.1 Ansvar och rutiner","Ledningsansvar och rutiner bör fastställas för att säkerställa snabb, verkningsfull och korrekt hantering av informationssäkerhetsincidenter","X","X","X","Bör ej varieras"]
["16.1.2 Rapportering av informationssäkerhetshändelser","Informationssäkerhetshändelser bör rapporteras genom lämpliga rapporteringsvägar så snabbt som möjligt","X","X","X","Kan varieras"]
["16.1.3 Rapportering av svagheter gällande informationssäkerhet","Anställda och leverantörer som använder organisationens informationssystem och -tjänster bör vara skyldiga att notera och rapportera alla observerade eller misstänkta svagheter gällande informationssäkerhet i system eller tjänster","X","X","X","Kan varieras"]
["16.1.4 Bedömning av och beslut om informationssäkerhetshändelser","Informationssäkerhetshändelser bör bedömas och beslut bör fattas om de klassificeras som informationssäkerhetsincidenter","X","X","X","Bör ej varieras"]
["16.1.5 Hantering av informationssäkerhetsincidenter","Informationssäkerhetsincidenter bör hanteras i enlighet med dokumenterade rutiner","X","X","X","Kan varieras"]
["16.1.6 Att lära av informationssäkerhetsincidenter","Kunskaper baserade på analyser av hanterade informationssäkerhetsincidenter bör användas för att minska sannolikheten eller påverkan av framtida incidenter","X","X","X","Bör ej varieras"]
["16.1.7 Insamling av bevis","Organisationen bör fastställa och tillämpa rutiner för identifiering, insamling, kopiering och bevarande av information som kan tjäna som bevis","X","X","X","Kan varieras"]
["17.1.1 Planering av kontinuitet för informationssäkerhet","Organisationen bör fastställa sina krav på informationssäkerhet och kontinuitet för styrning av informationssäkerhet vid svåra situationer, exempelvis under en kris eller katastrof","X",null,null,"Bör ej varieras"]
["17.1.2 Införa kontinuitet för informationssäkerhet","Organisationen bör fastställa, dokumentera, införa och upprätthålla processer, rutiner och säkerhetsåtgärder för att säkerställa den nivå av kontinuitet för informationssäkerhet som krävs vid en svår situation","X",null,null,"Bör ej varieras"]
["17.1.3 Styra, granska och utvärder kontinuitet för informationssäkerhet","Organisationen bör verifiera de fastställda och införda säkerhetsåtgärderna för kontinuitet för informationssäkerhet med jämna mellanrum för att säkerställa att de är giltiga och verkningsfulla under störningar","X",null,null,"Bör ej varieras"]
["17.2.1 Tillgänglighet för informationsbehandlingsresurser","Informationsbehandlingsresurser bör vid införande ha tillräcklig redundans för att uppfylla krav på tillgänglighet","X",null,null,"Bör ej varieras"]
["18.1.1 Identifiering av gällande lagstiftning och avtalsmässiga krav","Alla relevanta författningsenliga och avtalsmässiga krav samt organisationens tillvägagångssätt för att uppfylla dessa krav bör uttryckligen identifieras, dokumenteras och hållas uppdaterade för varje informationssystem och organisationen","X",null,null,"Bör ej varieras"]
["18.1.2 Immateriella rättigheter","Lämpliga rutiner bör införas för att säkerställa efterlevnad av författningsenliga och avtalsmässiga krav relaterade till immateriella rättigheter och användning av proprietära programprodukter","X",null,null,"Bör ej varieras"]
["18.1.3 Skydd av dokumenterad information","Dokumenterad information bör skyddas från förlust, förstörelse, förfalskning, obehörig åtkomst och otillåten utgivning i enlighet med författningsenliga, avtalsmässiga och verksamhetsmässiga krav","X",null,null,"Bör ej varieras"]
["18.1.4 Skydd av personlig integritet och personuppgifter","I förekommande fall bör skydd av personlig integritet och personuppgifter säkerställas i enlighet med gällande författningar","X",null,null,"Bör ej varieras"]
["18.1.5 Regler av kryptografiska säkerhetsåtgärder","Kryptografiska säkerhetsåtgärder bör användas i enlighet med alla gällande avtal och författningar","X",null,null,"Bör ej varieras"]
["18.2.1 Oberoende granskning av informationssäkerhet","Organisationens tillvägagångssätt för att hantera informationssäkerhet och dess införande (d.v.s. mål,säkerhetsåtgärder, regler, processer och rutiner för informationssäkerhet) bör med jämna mellanrum eller när betydande förändringar sker genomgå oberoende granskning","X",null,null,"Kan varieras"]
["18.2.2 Efterlevnad av säkerhetspolicy, regler och standarder","Högsta ledningen bör inom gällande ansvarsområden regelbundet granska efterlevnaden av informationssäkerhetspolicyn, gällande regler och riktlinjer, standarder och eventuella andra säkerhetskrav i förhållande till informationsbearbetning och rutiner","X",null,null,"Kan varieras "]
["18.2.3 Granskning av teknisk efterlevnad","Informationssystem bör granskas regelbundet avseende efterlevnad av organisationens informationssäkerhetspolicy, regler, riktlinjer och standarder","X",null,null,"Kan varieras "]