Compliance-expertis för reglerade företag

Compliance-expertis

Opsios kärntjänst är att hjälpa reglerade företag uppnå och bibehålla efterlevnad. För varje ramverk nedan visas vad Opsio själva bär och vad vi levererar för kunder. Dokumentation tillhandahålls för upphandlingsgranskning under NDA.

• ISO 27001:2022

  Opsio: Indien-omfattning · Kundprogram

  Opsio: ISO 27001-certifierade vid vårt leveranscenter i Bangalore (omfattningen täcker driftspersonal och utvecklingsaktiviteter där). För kunder: vi leder fullständiga ISO 27001-implementationsprogram — gap-analys, ISMS-design, policyskrivning, internrevision och stöd genom Stage 1/Stage 2-revision. Flera kunder har uppnått certifiering via detta tillvägagångssätt.

• SOC 2 Type II

  Kundberedskapsprogram

  Opsio: har för närvarande ingen SOC 2-attestering som företag. För kunder: vi kör SOC 2-beredskapsprogram — kontrollkartläggning, bevisautomatisering, övervakningskonfiguration och revisorskoordination genom observationsperioden. Våra arkitekter är förtrogna med Security, Availability, Confidentiality och Processing Integrity-kriterierna.

• GDPR (EU 2016/679)

  Personuppgiftsbiträde

  Opsio: personuppgiftsbiträde enligt GDPR artikel 28 för kundens personuppgifter som vi hanterar under managed operations. Standard Contractual Clauses finns på plats för överföring till vårt Indien-team. För kunder: DPIA-stöd, upprättande av personuppgiftsansvarig–biträdesavtal och teknisk implementering av verktyg för registrerades rättigheter.

• NIS2-direktivet

  Kundens efterlevnadsprogram

  Opsio: operativ praxis som ligger i linje med NIS2-förväntningar för väsentliga och viktiga entiteter. För kunder: fullständiga NIS2-efterlevnadsprogram — tillämplighetsbedömning, riskanalys, kartläggning av artikel 21-kontroller, integration av incidentrapportering till MSB och tredjepartsriskhantering.

• HIPAA (US-kunder)

  BAA tillgängligt · Kundarkitekturer

  Opsio: Business Associate Agreement tillgängligt för amerikanska vårdkunder. För kunder: HIPAA-kompatibel arkitektur på AWS, Azure eller GCP med revisionskontroller, kryptering och BAA-kedjehantering. Levererat till flera medelstora amerikanska hälsovårdsbelastningar.

• DORA (EU 2022/2554)

  Kundens efterlevnadsprogram

  För kunder inom finanssektorn: DORA IKT-riskhanteringsprogram, tredjepartsriskregister, incidentklassificering, testprogram (TLPT) och styrelserapportmallar. Opsios arkitekter har levererat detta för banker och försäkringsbolag i Sverige och Norden.

• DPDPA (Indien)

  Indien-drift · Kundprogram

  Opsio: verksamhet vid leveranscentret i Bangalore är i linje med Indiens Digital Personal Data Protection Act. För kunder: DPDPA-beredskapsbedömningar, samtyckesarkitektur, retentionskontroller och CERT-In-incidentrapporteringspipelines.

Underleverantörer

Opsio anlitar följande underleverantörer för att leverera tjänsterna. Den aktuella auktoritativa listan upprätthålls internt och tillhandahålls som bilaga till DPA på begäran. Hyperscaler-region är konfigurerbar per kundavtal.

Kunder kan invända mot nya underleverantörer inom 30-dagars varselperiod. Uppdragsspecifika underleverantörer (övervakningsagenter, SIEM-plattformar m.m.) anges i Statement of Work.

Dataresidens

Kundens produktionsdata behandlas i den molnregion ni väljer. För europeiska kunder utgår vi från EU/EES-regioner (AWS eu-north-1 Stockholm, Azure Sweden Central, GCP europe-north1 Finland) om inget annat avtalats.

Opsios personal kommer åt kundmiljöer via namnade konton med MFA och just-in-time-eskalering. Supportverksamhet bedrivs från Sverige (primär) och Indien (leveranscenter). Personal utanför EES åtkomst regleras via Standard Contractual Clauses där tillämpligt.

Säkerhetskopior och loggar ärver kundens valda region som standard. Cross-region-replikering för disaster recovery är kundkonfigurerbar.

Ansvarsfullt avslöjande

Säkerhetsforskare som identifierar en sårbarhet i Opsio-drivna system uppmuntras att rapportera den via krypterad e-post. Vi åtar oss att bekräfta mottagning inom en arbetsdag och tillhandahålla åtgärdstidslinje inom fem arbetsdagar. Vi vidtar inte rättsliga åtgärder mot god-tros-forskning som följer dessa riktlinjer.

Rapportera till: security@opsio.se