Informasjonssikkerhet og personvern

Data om våre kunder, reiseadferd, kontrakter og operatørdata beskyttes gjennom tiltak som sikrer tilstrekkelig grad av konfidensialitet, integritet og tilgjengelighet i henhold til god informasjonssikkerhetspraksis.

Formålet med Informasjonssikkerhet i Ruter er:

• Ivareta endringsevne i organisasjonen som samtidig oppfyller krav til pålitelighet, stabilitet og sikkerhet i tjenestene.
• Ivareta personvernet gjennom å sikre informasjonen til våre kunder og ansatte.
• Beskytte Ruters informasjon og informasjonssystemer mot tyveri og misbruk.
• Levere pålitelige tjenester med korrekt informasjon som våre kunder og ansatte kan stole på.
• Leverer stabile tjenester som er tilgjengelig for våre kunder og ansatte når de trenger det.
• Ha tilstrekkelig kunnskap og kompetanse til å ivareta et akseptabelt risikonivå, herunder redusere muligheten for, og konsekvensen av, sikkerhetshendelser og avvik.
• Ivareta tilstrekkelig kontinuitet for Ruters tjenester dersom større sikkerhetshendelser skulle inntreffe.

Informasjonssikkerhetsarbeidet følger styringssystemet for Informasjonssikkerhet (ISMS), som er basert på kontrolltiltak beskrevet i ISO 27001. Vi utfører egenevaluering av tiltakene årlig, og en ekstern vurdering annet hvert år. Ekstern vurdering utføres av anerkjente aktører innenfor fagområdet. Evalueringene benyttes for å avdekke eventuelle svakheter, og som innspill til arbeid med tekniske og organisatoriske tiltak.

Ruter er produktorganisert med distribuert utvikling. Organiseringen av Informasjonssikkerhet speiler denne organiseringen. Vi har et sentralt koordinerende team styrket med representanter, Security Champions, i hvert utviklingsteam. Dette gir en bred forankring for informasjonssikkerhet i organisasjonen.

Denne organiseringen har vist seg å være effektiv for å raskt kunne håndtere hendelser, og for å drive innebygd sikkerhet og personvern i våre tjenester. Ruter har i tillegg tett samarbeid med sikkerhetsorganisasjonene hos våre IT-leverandører, og deres SOC.

Opplæring i informasjonssikkerhet for ansatte og innleide generelt gjennomføres årlig gjennom opplæringsprogram under sikkerhetsmåneden, i tillegg til gjennomgang av sikkerhetsrutiner ved ansettelse.

Sommeren 2022 ble Ruter, i likhet med mange norske bedrifter, påvirket av tjenestenektangrep fra Russland. Det reduserte i en periode tilgjengeligheten av Ruters hjemmeside, ruter.no, men hadde ingen konsekvens av operativ betydning. Utover dette hadde Ruter ingen alvorlige informasjonssikkerhetshendelser i 2022.