Versjon 1.0, 21. oktober 2026. Eier: daglig leder, Schoolhub AS. Gjennomgås minst årlig, og ved vesentlige endringer.
1. Formål
Schoolhub leverer Målfrid, en KI-assistent som kommuner bruker til saksbehandling og tjenesteutvikling. Kundene våre legger inn opplysninger som kan være taushetsbelagte og personopplysninger om innbyggere. Tilliten til tjenesten avhenger av at vi beskytter konfidensialitet, integritet og tilgjengelighet for denne informasjonen, og at vi kan dokumentere det.
Policyen gjelder alle ansatte, innleide og leverandører som arbeider med Målfrid.
2. Ledelsens forpliktelser
Ledelsen forplikter seg til å:
- sette sikkerhetsmål som er i tråd med virksomhetens strategi
- bygge informasjonssikkerhet inn i utvikling og drift, ikke gjøre det til en egen aktivitet ved siden av
- stille nødvendige ressurser til rådighet: tid, budsjett og kompetanse
- sørge for at alle vet hvorfor sikkerhet er viktig og at reglene skal følges
- støtte dem som bidrar til god sikkerhet
- forbedre sikkerhetsarbeidet løpende
3. Prinsipper
- Sikkerhet fra første linje kode. Alle endringer vurderes mot dataklasser, skille mellom kommuner og sporbarhet.
- Dataklassen styrer alt. Hvilken språkmodell som brukes, hvordan data lagres, hvor lenge de beholdes og hva som logges, avgjøres av dataklassen: Åpen, Intern, Konfidensiell eller Personopplysninger.
- Hver kommunes data er skilt fra de andres. Ingen kommunes data kan leses av en annen kommune, heller ikke av administratorer på høyere nivå i organisasjonen.
- Logg først, så svar. Handlinger som berører data blir ført i en logg som ikke kan endres, før svaret gis.
- Minste tilgang og tydelig atskilte oppgaver. Hver rolle får bare den tilgangen den trenger.
- EU/EØS først. Personopplysninger behandles i EU/EØS. Trening på kundedata er forbudt, og det er satt en kostnadsgrense.
- Risikobasert styring. Risiko vurderes og behandles løpende. Restrisiko aksepteres bare av den som eier risikoen.
- Ansvarlig bruk av KI. Mennesker har kontrollen, svar viser kilder, alt KI-generert er merket, og vi er åpne om hvilken modell og leverandør som er brukt.
- Endringer kan etterprøves. Infrastruktur og konfigurasjon er beskrevet i kode, og endringer er sporbare.
- Åpenhet om avvik. Hendelser og avvik meldes uten skyld og brukes til læring.
4. Sikkerhetsmål
- Ingen lekkasje mellom kommuner.
- Ingen bruk av leverandør eller språkmodell som bryter reglene for dataklassene.
- Hendelser som berører personopplysninger varsles til kunden senest innen 24 timer etter at de ble kjent.
5. Krav og rammer
Policyen skal oppfylle gjeldende krav til informasjonssikkerhet i lov, forskrift og kontrakt, og forplikter til løpende forbedring.
6. Ansvar
Daglig leder har det øverste ansvaret for informasjonssikkerheten. Alle ansatte og innleide skal kjenne policyen, følge den og melde avvik og sikkerhetshendelser.
7. Brudd på policyen
Brudd håndteres etter reglene for personalsikkerhet og registreres som avvik. Brudd hos leverandører håndteres etter avtalen med leverandøren.
8. Kommunikasjon
Policyen er tilgjengelig for alle ansatte og innleide, og for kunder og andre interessenter på malfrid.eu.