Versjon 1.1, 5. november 2026. Eier: daglig leder, Schoolhub AS. Gjennomgås minst årlig, og ved vesentlige endringer.
1. Formål
Schoolhub leverer Målfrid, en KI-assistent som kommuner bruker i saksbehandling og tjenesteutvikling. Kundene legger inn opplysninger som kan være taushetsbelagte, og personopplysninger om innbyggere. Tilliten til tjenesten avhenger av at vi beskytter konfidensialitet, integritet og tilgjengelighet for disse opplysningene, og at vi kan dokumentere det.
Policyen gjelder alle ansatte, innleide og leverandører som arbeider med Målfrid.
2. Ledelsens forpliktelser
Ledelsen forplikter seg til å:
- sette sikkerhetsmål som henger sammen med virksomhetens strategi
- gjøre informasjonssikkerhet til en del av det daglige arbeidet med utvikling og drift
- sette av tid, budsjett og kompetanse til arbeidet
- sørge for at alle vet hvorfor sikkerhet er viktig, og at reglene skal følges
- forbedre sikkerhetsarbeidet fortløpende
3. Prinsipper
- Vi vurderer sikkerheten i hver endring. Alle endringer vurderes mot dataklassene, skillet mellom kommuner og sporbarheten.
- Dataklassen styrer behandlingen. Kommunen definerer selv dataklassene sine. Dataklassen avgjør hvilke språkmodeller som kan brukes, hvilke krav som stilles til innlogging, hvor lenge data beholdes og hvilke funksjoner som er tilgjengelige. Alt innhold er kryptert, uansett klasse, med en nøkkel for hver kommune.
- Hver kommunes data er skilt fra de andres. Ingen kommune kan lese en annen kommunes data. Det gjelder også administratorer på et høyere nivå i organisasjonen.
- Handlinger som berører data, føres i en logg som ikke kan endres, før svaret gis.
- Vi gir minste tilgang og skiller oppgavene. Hver rolle får bare den tilgangen den trenger.
- Behandlingen skjer i EU/EØS som standard. Data lagres i EU/EØS. Med standardvalgene skjer også all behandling i EU/EØS, og kommunen bestemmer selv om den vil slå på andre leverandører for en dataklasse. Vi krever i avtalene med leverandørene at de ikke trener modeller på kundedata.
- Styringen er risikobasert. Risiko vurderes og behandles fortløpende. Restrisiko aksepteres bare av den som eier risikoen.
- Vi bruker KI ansvarlig. Et menneske har kontrollen, svarene viser kilder, innhold laget med KI er merket, og vi viser hvilken modell og leverandør som er brukt.
- Endringer kan etterprøves. Infrastruktur og konfigurasjon er beskrevet i kode, og alle endringer kan spores.
- Vi er åpne om avvik. Hendelser og avvik meldes uten at noen får skylden, og vi bruker dem til å lære.
4. Sikkerhetsmål
- Ingen data lekker mellom kommuner.
- Ingen leverandør eller språkmodell brukes i strid med reglene kommunen har satt for dataklassene.
- Hendelser som berører personopplysninger varsles til kunden senest 24 timer etter at vi ble kjent med dem.
5. Krav og rammer
Policyen skal oppfylle kravene til informasjonssikkerhet i lov, forskrift og kontrakt. Ledelsen forplikter seg til å forbedre styringssystemet fortløpende.
6. Ansvar
Daglig leder har det øverste ansvaret for informasjonssikkerheten. Alle ansatte og innleide skal kjenne policyen, følge den og melde avvik og sikkerhetshendelser.
7. Brudd på policyen
Brudd håndteres etter reglene for personalsikkerhet og registreres som avvik. Brudd hos leverandører håndteres etter avtalen med leverandøren.
8. Kommunikasjon
Policyen er tilgjengelig for alle ansatte og innleide, og for kunder og andre interessenter på malfrid.eu.