Incidentrutin

Beskriver hur Itha AB hanterar säkerhetsincidenter i Privera och rapporterar dem till myndigheter och kunder. Rutinen beskriver hur vi arbetar och är inte i sig ett avtal. Frister blir avtalsvillkor först när en kund har undertecknat säkerhetsbilagan till avtalet. Bilagan finns som utkast för juristgranskning, och ingen kund har undertecknat den per 2026-10-23. Hör ihop med Sårbarhetshantering.

1. Roller

Itha AB är ett litet bolag, och rollerna är få.

Så länge ingen ersättare finns kan en frist på 24 timmar inte garanteras när den incidentansvarige inte är nåbar. Det är rutinens största svaghet och ska åtgärdas först.

Kontaktuppgifter:

2. Vad som är en incident

Följande startar rutinen:

1. Aktivt utnyttjad sårbarhet i Privera, i uppdateringskedjan eller i en ingående komponent (CRA artikel 14.1).
2. Allvarlig incident som påverkar produktens säkerhet: den påverkar eller kan påverka förmågan att skydda tillgänglighet, äkthet, riktighet eller konfidentialitet hos känsliga eller viktiga data eller funktioner, eller har lett eller kan leda till att skadlig kod förs in eller körs (CRA artikel 14.5). Exempel: signeringen eller uppdateringskanalen har missbrukats.
3. Personuppgiftsincident i Itha AB:s egna uppgifter: licensdatabasen, betaltjänsten eller e-posten.
4. Kvarvarande uppgift i en exporterad fil som en kund upptäcker: en uppgift som programmet visade som maskerad finns kvar i utfilen. Det är den incidenttyp produkten främst riskerar. Den hanteras alltid som en sårbarhet och blir en CRA-incident om den utnyttjas.

Klockan startar när Itha AB får kännedom. Inkorgen bevakas helgfria vardagar och det finns ingen jour. Ett meddelande som kommer en fredagskväll kan därför bli läst först på måndagen. Planerat: mobilavisering för inkorgen, så att den incidentansvarige ser meddelandet samma dag.

3. Förlopp

Steg 1. Ta emot och registrera (genast)

Ett ärende öppnas och tidpunkten för kännedom skrivs ner. Den styr alla frister.

Steg 2. Bedöm (inom några timmar)

Är det en av typerna i avsnitt 2? Är det aktivt utnyttjat? Vilka kunder kan beröras? Itha AB ser inte vilken version en kund kör, bara vilka licenser som har hämtat en viss installationsfil.

Steg 3. Begränsa

Åtgärderna beror på fallet:

• Stoppa uppdateringar och nedladdning genom att ta bort den berörda versionen ur både uppdateringskanalen och nedladdningen. Det räcker inte att ta bort den ur uppdateringskanalens manifest.
• Redan nedladdade uppdateringar kan inte återkallas från servern. Programmet hämtar en ny version i bakgrunden och installerar den vid nästa avslut. Kan en skadlig version redan ha hämtats varnas kunderna per e-post och telefon, snarast och senast inom fristerna i avsnitt 5.
• Om signeringen har missbrukats: stoppa byggen, byt åtkomsten till signeringstjänsten och begär att Microsoft återkallar berörda certifikat. Förfarandet är inte prövat.
• Om licensserverns databas berörs: byt licensserverns hemligheter och betaltjänstens nycklar och granska de åtkomstloggar som finns hos leverantörerna. Licensserverns egen säkerhetslogg sparas inte i dag, se Säkerhetsloggning avsnitt 11.
• Vid kvarvarande uppgifter i exporten: ge kunderna en skyddsåtgärd, till exempel att inte använda en viss exportväg eller filtyp, tills en rättad version finns.

Steg 4. Rapportera

Se avsnitt 4 och 5. Frister räknas från kännedom.

Steg 5. Rätta och följ upp

Rätta enligt tidsramarna i Sårbarhetshantering, ge ut säkerhetsmeddelande och lämna slutrapport. Avsluta med en kort genomgång: vad hände, vad tog tid och vad ändras i rutinen.

4. Rapportering till myndigheter

Innehåll enligt CRA artikel 14.2: den tidiga varningen anger, om det är känt, i vilka medlemsstater produkten har tillhandahållits (i dag Sverige). Anmälan efter 72 timmar beskriver produkten, sårbarhetens och utnyttjandets art, vidtagna åtgärder och vad användarna själva kan göra. Slutrapporten beskriver allvarlighet och påverkan, vad som är känt om angriparen och vilken säkerhetsuppdatering som rättar felet.

5. Vad kunden får

Berörda kunder underrättas utan onödigt dröjsmål, och senast enligt tabellen. Fristerna är satta efter vad en person utan jour kan hålla. Samma frister för tidig varning och uppdatering står i utkastet till säkerhetsbilaga, som också har frister för slutrapporten.

Räknat under helgfria vardagar betyder att tid på lördagar, söndagar, helgdagar, midsommarafton, julafton och nyårsafton inte räknas in. Exempel: kännedom en fredag klockan 17 ger tidig varning senast klockan 17 närmast följande helgfria vardag. Kännedom en lördag ger tidig varning senast klockan 12 närmast följande helgfria vardag.

När kännedomen uppkommer nära eller under en helg kan kunden alltså få den tidiga varningen senare än de 24 timmar som gäller för kundens egen tidiga varning enligt cybersäkerhetslagen (NIS2). Itha AB:s egen rapportering enligt CRA artikel 14 (avsnitt 4) har en frist på 24 timmar som gäller alla dagar och påverkas inte av tabellen.

Underrättelsen ges i steg som passar kundens egen rapportering enligt cybersäkerhetslagen:

Inkorgen bevakas bara helgfria vardagar, och det finns ingen jour och ingen ersättare. Därför räknas fristen ovan under helgfria vardagar.

Vilka kunder som informeras: alla som kan beröras. Eftersom Itha AB inte ser vilken version en kund kör informeras i tveksamma fall alla med aktiv licens.

Kontaktväg ut: e-post till kundens registrerade adress och till kontaktpersonen i avtalet, när ett avtal finns. Kritiska ärenden även per telefon till kontaktpersonen, om numret finns. Därtill ett säkerhetsmeddelande på privera.se/security/sarbarheter/.

Kontaktväg in: [email protected], telefon 076 926 35 70.

När kunden själv hittar en kvarvarande uppgift i en fil: dokumenten finns bara hos kunden, och Itha AB ser dem inte. Kunden är personuppgiftsansvarig och avgör om det är en personuppgiftsincident hos kunden. Itha AB hjälper till att fastställa orsaken. Beskriv felet eller återskapa det med påhittade uppgifter, och skicka inte det verkliga dokumentet.

6. Läge