Gjelder fra 25. august 2026. Beskriver hvordan Seal Media AS håndterer sikkerhetshendelser som berører personopplysninger vi behandler på vegne av kunder.
1. Hva regnes som en hendelse
En sikkerhetshendelse er enhver hendelse som kan ha ført til utilsiktet eller ulovlig tilgang til, endring av, tap av eller spredning av personopplysninger vi behandler. Eksempler:
- uautorisert innlogging eller mistanke om kompromittert konto
- tap eller lekkasje av tilgangstoken, API-nøkkel eller passord
- utilsiktet sletting eller utilgjengelighet av kundedata
- sårbarhet hos en underdatabehandler som berører våre data
- feil i egen kode som eksponerer data for feil mottaker
2. Varsling internt
Hendelser meldes umiddelbart til post@sealmedia.no, som når daglig leder. Daglig leder er ansvarlig for håndteringen og for kontakt med berørte kunder og myndigheter.
3. Håndtering
Innen 1 time: bekreft at hendelsen er reell, og begrens skaden. Typiske strakstiltak er å trekke tilbake tokens, rotere nøkler, deaktivere kontoer eller ta en tjeneste midlertidig ned.
Innen 24 timer: kartlegg omfanget. Hvilke opplysninger, hvilke registrerte, hvilke kunder, hvilket tidsrom, og hvordan det skjedde. Varsle berørte kunder skriftlig med det vi vet så langt, også når bildet er ufullstendig.
Innen 72 timer: bistå kunden med grunnlaget de trenger for eventuell melding til Datatilsynet. Kunden er behandlingsansvarlig og står for selve meldingen.
Etterpå: lukk sårbarheten permanent, og skriv en kort gjennomgang av hva som skjedde, hvorfor, og hva som endres for å hindre gjentakelse.
4. Varsling til kunder
Berørte kunder varsles uten ugrunnet opphold og senest innen 24 timer etter at hendelsen er bekreftet. Varselet beskriver hendelsens art, hvilke kategorier opplysninger og registrerte som er berørt, sannsynlige konsekvenser, og hvilke tiltak som er iverksatt.
Vi varsler også når omfanget ennå er uavklart. Kunden skal ikke få vite om en hendelse først når den er ferdig undersøkt.
5. Logg
Alle hendelser føres i en intern logg med tidspunkt, beskrivelse, omfang, tiltak og utfall, uavhengig av om de utløste varslingsplikt. Loggen gjøres tilgjengelig for kunden ved revisjon.
6. Forebygging
- tilgang til produksjonsdata er begrenset til navngitte administratorer
- passord til kontoer med tilgang til personopplysninger må være minst 12 tegn med store og små bokstaver, tall og symboler, og kontrolleres mot kjente lekkasjer
- test- og produksjonsdata holdes i adskilte miljøer
- behandling av personopplysninger logges
- automatiske sikkerhetskopier med mulighet for gjenoppretting
7. Gjennomgang
Denne rutinen gjennomgås årlig, og etter hver hendelse av betydning.
Kontakt
Seal Media AS, org.nr. 924 976 608. Sikkerhetshendelser meldes til post@sealmedia.no
