Policyn gäller för LivKoll365 AB:s uppkopplade larmenheter, appar, IoT-SIM, moln- och larmfunktioner samt de system som stödjer dem. Den omfattar produktval, utveckling eller anpassning, driftsättning, användning, underhåll, sårbarhetshantering och avveckling.

LivKolls rättsliga ansvar kan skilja sig beroende på om bolaget är tillverkare, importör, distributör eller tjänsteleverantör för en viss produkt. Rollen, produktens avsedda användning, leverantörskedjan och tillämplig överensstämmelsebedömning ska fastställas och dokumenteras innan produkten erbjuds.

Ledningen ansvarar för att cybersäkerhet ingår i verksamhetens riskstyrning och får tillräckliga resurser. Varje system och produkt ska ha en utsedd ägare, dokumenterad risknivå, godkända säkerhetskrav och en ansvarig för sårbarheter och incidenter.

• Behörig personal utbildas före åtkomst och regelbundet därefter.
• Undantag från säkerhetskrav ska vara tidsbegränsade, riskbedömda och godkända av ansvarig.
• Kontroller och risker granskas vid större ändringar, incidenter och minst årligen.
• Säkerhetsarbete, beslut, tester och korrigerande åtgärder dokumenteras så att efterlevnad kan visas.

Före lansering och vid väsentlig ändring identifieras tillgångar, beroenden, angreppsytor, hotaktörer, missbruksscenarier och konsekvenser för användaren. Särskild vikt läggs vid obehörig larmaktivering, falsk position, kontoövertagande, avlyssning, utpressning, överbelastning och att trygghetsfunktionen blir otillgänglig.

Kontroller verifieras genom proportionerliga tester, exempelvis konfigurationsgranskning, sårbarhetsskanning, firmware- och apptest, återställningstest och oberoende penetrationstest för högriskfunktioner. Identifierade brister riskklassas, får ägare och följs till verifierad stängning.

• Enhetens modell, identitet, äkthet, godkända firmwareversion och säkerhetsstatus kontrolleras före aktivering.
• Kända kritiska sårbarheter åtgärdas eller riskbehandlas innan enheten lämnas till användaren.
• Universella standardlösenord används inte. Enheter får unik identitet och säkra autentiseringsuppgifter eller certifikat.
• Onödiga tjänster, portar, debuggränssnitt och standardkonton stängs av eller skyddas.
• Kommunikation och larmfunktion testas utan att verkliga larmkedjor störs.
• Kunden får begripliga instruktioner om uppdatering, konto, batteri, nätberoende och hur en säkerhetsincident rapporteras.

Godkänd programvarubas: En testad och godkänd firmwareversion installeras efter kontroll av kompatibilitet, signatur och risk. Nyast versionsnummer är inte ensamt ett bevis på att en version är säker för den aktuella produkten.

Varje enhet och administrativ användare ska kunna identifieras unikt. Behörighet följer principerna minsta privilegium, behov av åtkomst och åtskillnad mellan roller.

• MFA används för privilegierade konton, fjärradministration och andra högriskåtkomster. För kundkonton används MFA eller en jämförbar riskanpassad kontroll där tekniken medger det.
• Maskin-till-maskin-kommunikation använder starka nycklar eller certifikat i stället för delade människolösenord.
• Misslyckade inloggningar begränsas och avvikande beteende följs upp utan att skapa en enkel överbelastningsrisk.
• Behörigheter granskas regelbundet och tas bort omedelbart när behovet upphör.

Kommunikation mellan enhet, app, backend och administrativa gränssnitt skyddas med aktuella och lämpliga protokoll som ger autenticitet, riktighet och – när det behövs – konfidentialitet. Känsliga data i lagring krypteras eller skyddas med jämförbar kontroll utifrån risk.

Nycklar, certifikat, API-hemligheter och återställningskoder lagras inte i källkod eller okrypterad firmware. De genereras, distribueras, roteras, återkallas och förstörs genom en dokumenterad livscykel. Föråldrade algoritmer och protokoll fasas ut innan de blir en oskälig risk.

Fjärrhantering används endast när den behövs för drift, support, säkerhet eller en funktion som Kunden beställt. Åtkomst ska vara individuellt identifierad, starkt autentiserad, tids- och behörighetsbegränsad samt loggad.

LivKoll får inte ge generell eller permanent leverantörsåtkomst utan dokumenterat behov och skydd. Känsliga supportsessioner ska godkännas eller på annat sätt vara transparenta för Kunden när detta är praktiskt och inte motverkar en akut säkerhetsåtgärd.

Loggar ska skyddas mot manipulation, innehålla så lite persondata som möjligt och gallras enligt integritetspolicyn. Loggning får aldrig användas för dold eller oproportionerlig övervakning.

LivKoll övervakar relevanta signaler för driftfel, missbruk, obehörig åtkomst, sårbara komponenter och avvikande kommunikation. Larmregler och trösklar testas så att de inte i onödan stör Tjänsten eller skapar falsk trygghet.

LivKoll beskriver inte planerad AI som en befintlig säkerhetskontroll. Om AI-baserad detektion införs ska den riskbedömas, testas, övervakas av människor och utvärderas för felaktiga larm, diskriminerande effekter, dataskydd och leverantörsrisk innan den används i produktion.

LivKoll har en incidentprocess för att upptäcka, klassificera, begränsa, utreda, återställa och lära. Roller, kontaktvägar, beslutsmandat, bevisbevarande och externa rapporteringskrav ska vara dokumenterade och övade.

• Trygghetskritiska funktioner prioriteras och har rimliga reserv- och manuella rutiner.
• Säkerhetskopior skyddas separat och återställning testas.
• Berörda användare informeras skyndsamt när de behöver agera eller när lag kräver det.
• Efter en allvarlig incident genomförs rotorsaksanalys och korrigerande åtgärder följs till avslut.

Flera regelverk kan gälla samtidigt: en händelse kan behöva bedömas enligt GDPR, cybersäkerhetslagen, Cyber Resilience Act, avtal och produktregler – med olika trösklar och tidsfrister.

Kunden och Användaren ska följa säkerhetsinstruktioner, skydda konto och kod, installera eller tillåta rekommenderade uppdateringar, hålla kontaktuppgifter aktuella och rapportera förlust, misstänkt intrång eller avvikande beteende utan onödigt dröjsmål.

Utrustningen får inte manipuleras, rootas, jailbreakas eller anslutas till otillåtna tjänster om detta äventyrar säkerheten. LivKoll ska samtidigt ge begriplig information, rimlig support och säkra standardinställningar. Kundens ansvar befriar inte LivKoll från ansvar för egna eller leverantörers brister.

När konto eller enhet tas ur bruk ska LivKoll följa en verifierbar avvecklingsprocess:

• koppla bort enheten från Kunden, appen, larmkedjan och administrativa system,
• återkalla certifikat, tokens, nycklar, SIM-behörighet och fjärråtkomst,
• radera data med verifierad säker radering eller kryptografisk radering där tekniken medger det,
• kontrollera att återställning till fabriksinställning inte lämnar kunddata eller aktiva hemligheter,
• förstöra lagringsmedia på godkänt sätt när säker radering inte kan verifieras, och
• återanvända eller återvinna elektronik genom behörig aktör med dokumenterad spårbarhet.

Terminologi: Kryptering är inte i sig radering. Nycklar och data måste hanteras så att återställning inte längre är praktiskt möjlig.

LivKoll365 AB
Organisationsnummer 559481-0656
Sallyhillsvägen 6, 853 53 Sundsvall

Policyn granskas minst årligen och vid större produkt-, leverantörs-, hot- eller regeländringar. Väsentliga ändringar kommuniceras tydligt och äldre versioner arkiveras.