Säkerhetspolicy

1. Inledning

Electronic COC är utformad för att stödja operativa eCoC-arbetsflöden som kan involvera fordonsinformation, godkännandereferenser, XML-filer, VECTO-filer, signeringsförberedelser, arbetsflödesregister och uppladdade dokument. Syftet med denna säkerhetspolicy är att beskriva säkerhetsprinciperna och ansvarsgränserna som styr plattformen.

2. Säkerhetsprinciper

Electronic COC tillämpar säkerhetsrutiner som är avsedda att stödja konfidentialitet, integritet, tillgänglighet, ansvarsskyldighet, minsta rättigheter och operativ synlighet. Säkerhet betraktas genom hela förberedelsearbetsflöden, valideringsarbetsflöden, signeringsarbetsflöden och leveransrelaterade arbetsflöden snarare än som en separat eftertanke.

3. Skyddade informationstyper

Plattformen kan skydda information som behövs för eCoC-operationer på tillverkarens sida. Den exakta informationen som hanteras beror på kundkonfiguration, arbetsflödesomfång och överenskomna integrationer.

• Fordonsinformation och godkännandereferenser
• XML-filer, VECTO-filer och eCoC-relaterade poster
• Arbetsflödesinformation, kontoinformation och användaraktivitetsregister
• Uppladdade dokument och operativa förberedelser
• Integrationsrelaterad information från ERP-system, API-anslutningar eller kundgodkända källor

4. Åtkomsthantering

Åtkomsthantering baseras på kontrollerade behörigheter, kontosäkerhet, rollbaserad åtkomst och operativ tillsyn. Kundadministratörer och auktoriserade användare förblir ansvariga för att ge lämplig åtkomst, skydda autentiseringsuppgifter och ta bort åtkomst när det inte längre behövs.

5. Säkerhetskontroller

Electronic COC använder säkerhetskontroller på hög nivå som är lämpliga för plattformskontexten. Dessa kan inkludera autentiseringskontroller, åtkomstkontroller, övervakning, operativa säkerhetsåtgärder och säkra utvecklingsmetoder. Denna policy avslöjar inte detaljerad infrastrukturarkitektur eller känsliga implementeringsdetaljer.

6. Plattformsdrift

Plattformsoperationer stöds av rutiner för säkerhetsgranskning, övervakningsfilosofi, operativ tillsyn och medvetenhet om incidenter. Operationella register och arbetsflödesaktivitet är avsedda att stödja ansvarsskyldighet och granskning där så är lämpligt.

7. Tredjepartsberoende

Electronic COC kan förlita sig på molnleverantörer, infrastrukturleverantörer, eIDAS-leverantörer, integrationspartners, ERP-system, API-anslutningar eller andra tredjepartstjänster beroende på kundens konfiguration. Electronic COC ansvarar för sina egna tjänster och överenskomna kontroller, inte för oberoende tredje parts system, beslut eller avbrott.

8. Incidenthantering

Potentiella säkerhetsincidenter hanteras genom upptäckt, bedömning, svar och kommunikationsprocedurer som är lämpliga för händelsen. Tidpunkten, omfattningen och formatet för kommunikationen kan bero på händelsens karaktär, juridiska krav, avtalsenliga åtaganden och teknisk genomförbarhet. Denna policy skapar inte garanterade svarstider såvida det inte har avtalats separat skriftligen.

9. Kundens ansvar

Kunder förblir ansvariga för kontosäkerhet, autentiseringsskydd, interna användarbehörigheter, datanoggrannhet och laglig användning av plattformen. Kunder förblir också ansvariga för godkännandeacceptans, XML godkännande, EUCARIS godkännande, NAP godkännande och regelefterlevnad.

10. Begränsningar

Electronic COC garanterar inte oavbruten tillgänglighet, absolut säkerhet, förhindrande av alla incidenter eller förhindrande av alla attacker från tredje part. Säkerhetsåtgärder är baserade på kommersiellt rimliga ansträngningar och är föremål för ansvarsgränser, undantag och begränsningar som definieras i tillämpliga avtal.

11. Kontinuerlig förbättring

Säkerhetspraxis, plattformsskydd och operativa kontroller kan utvecklas över tiden i takt med att arbetsflöden, teknik, kundkrav och riskförhållanden förändras. Ändringar kan införas för att förbättra skydd, tillförlitlighet, underhållsbarhet eller driftsklarhet.

12. Kontaktinformation

Säkerhetsfrågor kan skickas till info@electroniccoc.eu. Avtalsmeddelanden, säkerhetsfrågeformulär, revisionsbegäranden eller kundspecifik säkerhetskommunikation kan kräva ytterligare formella kanaler som definieras i det tillämpliga avtalet.