Rapportera säkerhetsincidenter till ImBox

Introduktion

ImBox tar säkerheten för våra kunders data på största allvar. Som en del av vårt systematiska informationssäkerhetsarbete har vi etablerade processer för att ta emot, hantera och återkoppla på säkerhetsrelaterade rapporter från kunder och andra externa parter.

Vi är certifierade enligt ISO 27001 och omfattas av Cybersäkerhetslagen (NIS2), vilket innebär att vi följer strikta krav på incidenthantering och rapportering.

Kontaktinformation

E-post för säkerhetsincidenter: incident@imbox.se

Denna adress övervakas kontinuerligt under arbetstid och är dedikerad för säkerhetsrelaterade ärenden.

Använd denna adress för:
✅ Misstänkta säkerhetsincidenter som påverkar ImBox tjänster
✅ Upptäckta sårbarheter i ImBox plattform
✅ Misstänkt obehörig åtkomst till era data
✅ Phishing eller bedrägerier som utger sig för att vara ImBox
✅ Andra säkerhetsrelaterade observationer

Använd INTE denna adress för:
⛔️ Allmänna supportärenden (kontakta er ordinarie supportkanal)
⛔️ Fakturafrågor
⛔️ Funktionsförfrågningar

Vad bör en rapport innehålla?

För att vi ska kunna hantera er rapport så effektivt som möjligt, inkludera gärna:

Beskrivning – Vad har ni observerat? Beskriv så detaljerat som möjligt.
Tidpunkt – När upptäckte ni detta? När inträffade händelsen (om känt)?
Påverkan – Vilka system, tjänster eller data verkar vara berörda?
Kontaktuppgifter – Namn, e-post och telefonnummer för uppföljning.
Bilagor – Skärmdumpar, loggfiler eller annan dokumentation som kan vara relevant.

Vad händer när ni rapporterar?

Vår bekräftelseprocess

Steg	Tidsgräns	Vad ni kan förvänta er
1. Mottagningsbekräftelse	Inom 4 arbetstimmar	Ni får ett automatiskt eller manuellt svar med ett ärendenummer som bekräftar att vi mottagit rapporten.
2. Initial bedömning	Inom 1 arbetsdag	Vi granskar rapporten och bedömer allvarlighetsgrad.
3. Statusuppdatering	Inom 3 arbetsdagar	Ni får återkoppling om huruvida vi bekräftat rapporten som en incident eller inte.
4. Löpande information	Vid behov	Om det är en bekräftad incident som påverkar er får ni löpande uppdateringar.

Vid bekräftad incident

Om vi bekräftar att er rapport utgör en säkerhetsincident kommer vi att:

Informera er om vilka åtgärder vi vidtar (utan att avslöja känsliga säkerhetsdetaljer)
Hålla er uppdaterade om status och lösning
Meddela er när incidenten är löst
Vid behov ge rekommendationer om åtgärder ni kan vidta

Om rapporten inte bekräftas som incident

Om vi efter granskning bedömer att rapporten inte utgör en säkerhetsincident kommer vi att:

Meddela er om vår bedömning
Förklara varför (i den mån det är möjligt)
Tacka er för att ni tog er tid att rapportera

Ansvarsfull sårbarhetsrapportering (Responsible Disclosure)

ImBox välkomnar säkerhetsforskare och andra som upptäcker sårbarheter i våra tjänster. Vi uppskattar ert bidrag till att göra våra tjänster säkrare.

Riktlinjer för rapportering

Vi ber er att:

Rapportera direkt till oss via incident@imbox.se innan ni delar information offentligt
Ge oss rimlig tid att åtgärda sårbarheten innan eventuellt offentliggörande (minst 90 dagar)
Inte utnyttja sårbarheten för att komma åt data utöver vad som krävs för att verifiera den
Inte dela information om sårbarheten med tredje part innan den är åtgärdad
Inte utföra attacker som kan påverka tillgängligheten för andra användare

Vårt åtagande

Vi åtar oss att:

Bekräfta mottagande av er rapport inom 4 arbetstimmar
Hålla er informerad om vårt åtgärdsarbete
Inte vidta rättsliga åtgärder mot forskare som följer dessa riktlinjer
Erkänna ert bidrag (om ni önskar) när sårbarheten är åtgärdad

Vårt åtagande enligt Cybersäkerhetslagen (NIS2)

ImBox omfattas av den svenska Cybersäkerhetslagen som implementerar EU:s NIS2-direktiv. Detta innebär att vi:

Har etablerade rutiner för att hantera säkerhetsincidenter
Rapporterar betydande incidenter till tillsynsmyndigheten (PTS)
Informerar berörda kunder skyndsamt vid incidenter som påverkar våra tjänster
Genomför regelbundna säkerhetsbedömningar och förbättringar
Har utbildad personal för incidenthantering

Vanliga frågor

Vad räknas som en säkerhetsincident?
En säkerhetsincident är en händelse som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos data eller tjänster. Exempel:

Obehörig åtkomst till data
Dataläckage
Skadlig programvara
Driftstörningar orsakade av cyberattacker
Phishing-attacker

Ska jag rapportera även om jag är osäker?
Ja! Det är alltid bättre att rapportera för mycket än för lite. Vi granskar alla rapporter och återkopplar till er oavsett utfall.

Vad händer med mina personuppgifter?
Personuppgifter som ni lämnar i samband med en rapport behandlas i enlighet med GDPR och används endast för att hantera det aktuella ärendet.

Kan jag rapportera anonymt?
Ja, ni kan rapportera anonymt. Observera dock att vi då inte kan återkoppla till er om status eller utfall.

Vad gör jag om jag inte får svar?
Om ni inte fått mottagningsbekräftelse inom 4 arbetstimmar, kontakta er ordinarie kontaktperson på ImBox eller ring vår kundtjänst.

Kontaktuppgifter

Säkerhetsincidenter: incident@imbox.se

Allmän support: [Er ordinarie supportkanal]

Webbplats: www.imbox.se

ImBox är ISO 27001-certifierat och arbetar systematiskt med informationssäkerhet för att skydda era data.