WWI A/S. Indholdsfortegnelse

Uafhængig revisors erklæring med sikkerhed om beskrivelsen af kontroller, deres udformning og funktionalitet i forbindelse med drift af It-hosting-plaform i perioden 01-12-2013 til 30-11-2014 WWI A/S CVR nr.: 26734096 REVI-IT A/S

Indholdsfortegnelse WWI A/S ledelseserklæring... 3 WWI A/S beskrivelse af kontroller for deres It- hosting-aktivitet... 4 Uafhængig revisors erklæring om beskrivelsen af kontroller, deres udformning og funktionalitet...11 Kontrolmål, udførte kontroller, test og resultater heraf...14 REVI-IT A/S Side 2 af 19

Afsnit 2: WWI A/S beskrivelse af kontroller for deres It- hosting-aktivitet Beskrivelse af WWI A/S hostingydelser WWI A/S er et 100% danskejet IT-selskab med fødderne godt plantet i den jyske muld. Dette kan ikke kun ses på vore adresser, men skinner igennem i alt hvad vi tænker og gør. Vi har siden 1993 leveret seriøse og konkurrencedygtige IT-løsninger. Hos os er den rigtige løsning omdrejningspunktet for samarbejdet med vore kunder. Vi sætter en ære i, at give os den rette tid til at forstå behovet og få løsningen fulgt helt til døren! Startskuddet var salg af e-mailadresser, hjemmesider (hosting) og hvad der ellers rørte sig i den første begyndelse for internettets udbredelse til danske virksomheder. I dag udgør hosting stadig en solid grundkerne i virksomheden, men kompetenceniveauet er nu udvidet så hele spektret inden for IT dækkes - derfor kalder vi os også IT Totalleverandør! Vore kompetencer er bl.a.: Konsulentassistance / rådgivning Hosting og outsourcing Sikkerhedsløsninger Kommunikationsløsninger Salg af hardware / software Vi er medlemmer af BFIH, og ser det derigennem som en vigtig opgave at være med til at højne kvalitet, stabilitet og gennemsigtighed i et hostingmarked der er præget af mangeartede løsninger af variende kvalitet og stabilitet. Vores målsætning er at være virksomhedens foretrukne samarbejdspartner med alt inden for IT. Dette skal opnås gennem god kundeservice, stabil og seriøs drift samt højt og professionelt kompetenceniveau. REVI-IT A/S Side 4 af 19

Risikoanalyse og håndtering Ledelsen godkender og revurderer it-sikkerhedspolitikken minimum hvert år, dog altid ved større organisatoriske ændringer med indvirkning på anvendelsen af it i virksomheden. IT-driftsudvalget sikrer, at den overordnede it-sikkerhedspolitik er kommunikeret til alle medarbejdere, samarbejdspartnere samt øvrige personer, der er involveret i anvendelsen af it i virksomheden. It driftsudvalget reviderer og godkender 1 gang årligt risikoanalysen. Ved organisatoriske ændringer revideres og godkendes den ekstraordinært. IT-driftsudvalget sikrer, at sikringsforanstaltninger udvælges på basis af risikoanalysen. Organisering af informationssikkerhed, ansvar og retningslinjer Der afholdes løbende møder i IT-driftsudvalget med fast agenda hvor punkterne fra it-sikkerhedspolitikken vurderes og tages stilling til. Risikoanalysen opdateres og godkendes én gang årligt på driftsudvalgsmøde med mindre der har været organisatoriske ændringer herved revideres den umiddelbart. Organisation og ansvar REVI-IT A/S Side 5 af 19

Organisatorisk er ansvar inddelt efter roller primært følgende: ledelse, itdriftsudvalg og systemejer It-driftsudvalget godkender sammen med ledelsen væsentlige indkøb af IT-udstyr og software. It-driftsudvalget har såfremt det er relevant - ansvaret for kontakt til myndighederne vedrørende emner inden for it-sikkerhedsområdet. Som en del af vores almindelige drift er vi registreret hos DK-CERT, og har løbende kontakt. Dette også i kraft af vores medlemskab af BFIH Brancheforeningen for IThostingvirksomheder i Danmark. It-driftsudvalget sørger løbende for at sikre at DK-CERT har relevante kontaktinformation til WWI A/S. Dette sikres gennem et fast punkt på agendaen til de fast planlagte møder i it-driftsudvalget. Eksterne samarbejdspartnere I samarbejde med it-driftsudvalget har systemejeren ansvaret for, at der udarbejdes en risikoanalyse i forbindelse med samarbejde med eksterne parter, der har adgang til virksomhedens it-aktiver. Systemejeren har ligeledes ansvaret for, at alle formelle samarbejdsaftaler med eksterne parter indeholder de dele af it-sikkerhedspolitikken med tilhørende regler, der gør sig gældende for samarbejdet. Styring af informationsrelaterede aktiver Der vedligeholdes fortegnelsen med oversigt over udstyr placeret i datacenteret. Heri er angivet placering, ejerskab og andre relevante oplysninger for aktiverne. Der forefindes ligeledes fortegnelse over de menneskelige ressourcer. Disse findes som bilag til IT-sikkerhedshåndbogen. Klassifikation af informationer og data Data og informationer er inddelt i 3 klassificeringer Kundedata, WWI A/S og Intern WWI. Alle typer data behandles med omhu jvnf. Itsikkerhedshåndbogen. Medarbejdersikkerhed Sikkerhedsprocedure før ansættelse Der informeres mundtlig ved jobsamtaler omkring it-politik og itsikkerhedshåndbog samt baggrund for disse. Ved jobsamtalen kvalificeres den faglige viden, og stikprøve vis kontrolleres opgivne referencer. Medarbejdere er under og efter ansættelse kontraktmæssigt pålagt tavshedspligt omkring forhold hos WWI A/S, samt disses kunder. Ansættelsesforholdet Der er i ansættelseskontrakten angivet reference til at medarbejderen skal følge de til enhver tid gældende retningslinjer. Medarbejdere orienteres løbende på møder samt via e-mail omkring it-sikkerhedspolitik og procedurer. REVI-IT A/S Side 6 af 19

Ansættelsens ophør Ledelsen sikrer, at medarbejdere ved fratrædelse informeres om deres pligter bl.a., med reference til tavshedserklæring og juridiske regler. Ligeledes sikrer ledelsen at det bliver meddelt it-driftsudvalget når medarbejdere eller anden form for personale tilknyttet virksomheden fratræder virksomheden, således rettigheder og privilegier kan inddrages. Fysisk sikkerhed Adgang til sikre områder er begrænset af automatisk adgangskontrol og alarm hvor hver enkelt medarbejder er oprettet med egen personlig adgangskode/nøglebrik. Generel adgang til bygning/kontor kræver adgangskode og kodebrik. Kun personer med arbejdsrelateret behov for at kunne tilgå datacentret har adgang her til. Der er ligeledes etableret videoovervågning af området, samt sikret udeareal hvor eksternt udstyr som dieselgenerator og køling er placeret. Ekstern udstyr er placeret bag aflåst og hærkværkssikret indhegning. Der føres log over op låsning af døre, samt fra og tilkobling af alarm og zoner. Loggen for adgang er sikret jævnføre gældende sikkerhedspolitikker. Alle driftssystemer er placeret i serverrummet. Køle- og brandslukningsanlæg til sikring af driftsfaciliteterne testes og serviceres jævnligt. Alarmer fra serverrummet sendes automatisk til døgnbemandet kontrolcentral. It-aktiver, der understøtter kritiske processer, er forsynet med UPS og diesel generator til fortsat drift i tilfælde af strømsvigt. Hvilket er tilsvarende for køleanlæg, brandslukning samt rum-overvågning. It-driftsudvalget følger min. 1 gang årligt op på servicering af nævnte udstyr. Der er fast punkt på agendaen til it-driftsudvalgsmøder hvor rapporter mv. gennemgås og kontrolleres. Der udføres løbende inspektion af tekniske sikringsforanstaltninger, samt andre relevante systemer i forbindelse med driften i serverrummet. Denne inspektion dokumenteres og logføres. Alle lagringsmedier slettes (almindelig re-formatering er ikke tilstrækkelig) eller fysisk destrueres inden genbrug eller bortskaffelse. Styring af netværk og drift Procedurer og drift It-driftsudvalget tager stilling til relevante procedurer. Procedurer findes tilgængeligt for relevant personale. Der udføres Change Management på relevante systemer og udstyr. Der er defineret følgende typer af Changes: Projekt, Minor og Major. Nærmere beskrivelse af disse er tilgængelig i IT-sikkerhedshåndbogen. Der forefindes change-log på relevant udstyr/systemer. It-driftsudvalget gennemgår minimum hver 6. måned rapporter fra eksterne service- REVI-IT A/S Side 7 af 19

leverandører omhandlende hændelser, problemer, fejl, nedbrud og logning. Der indhentes ligeledes revisionserklæring hvor dette er relevant. Der er fast punkt på agendaen til it-driftsudvalgsmøder hvor rapporter mv. gennemgås og kontrolleres. På agendaen er ligeledes fastlagt punkt hvor kapacitetsbehov behandles. På alle relevante servere og maskiner er der installeret antivirus for at sikre mod udefra kommende virus/malware/trusler. Sikkerhedskopiering Der foretages fuld kopiering af alle servere/data jvnf. gældende SLA. Særligt udvalgte systemer kan have flere restorepoints. Kunder kan vælge specialtilpasset backupperioder. Backup foretages i 2 omgange. Primær backup til diskbaseret system i datacentret. Herefter replikeret backup foretaget til diskbaseret system på sekundær site via dedikeret fiberforbindelse. Backuprapport gennemgås løbende for fejl og andre relevante informationer, og der føres log over backuprapporter og hændelser. Der foretages løbende restore test. Der gendannes vilkårlig data og det kontrolleres at data intakt og ser ud som forventet. Der foretages logføring af restore test. Netværk, overvågning og logning Netværk og netværksudstyr overvåges proaktiv via system der løbende kan opsamle data om performance, samt reagere på fejl fra udstyret. Driftsmedarbejdere orienteres automatisk via e-mail eller SMS ved fejl. Overvågning kontrolleres løbende for fejl så der kan følges op på fejl og indmeldinger. Eventuelle åbne fejl leveres i e-mail og præsenteres på oversigtsskærm i kontor for synliggørelse for driftsmedarbejdere. Der opsamles log på systemer for autoriseret og uautoriserede adgangsforsøg. Logs gennemgås periodiske for autoriserede / uautoriserede logins fra brugere med administrative rettigheder. Systemer og netværk overvåges ligeledes proaktivt på relevante parametre for forsøg på misbrug. Logdata gemmes og sikres. Systemer overvåges proaktivt for fejl. Fejl indrapporteres enten via e-mail eller via visuel angivelse på info-skærm. Afhængig af typen af fejl, tager support eller systemejer sig af fejlen og sørger for den bliver rettet. Support eller systemejer rapporterer til it-driftsudvalget hvis fejlen er af en type hvor det findes relevant at tage stilling til hvilke foranstaltninger der kan etableres for at forhindre fejlen i at opstå igen. Systemer og netværksudstyr synkroniserer automatisk tiden via NTP-server fra internettet. REVI-IT A/S Side 8 af 19

Patchning og andre opgraderinger udføres som fastlast i gældende procedurer. Disse dokumenteres ligeledes i Change Management. Via vores medlemskab af BFIH, er vi forpligtede til at sikre, at kritiske sikkerhedsopdateringer implementeres inden for 2 måneder efter frigivelse. Dette sikrer vi ved, at vi efter fastlagte procedurer afvejer alle væsentlige opdateringer og implementerer dem inden for det pågældende tidsrum. Systemdokumentation er tilgængelig for de relevante medarbejdere og sikret via adgangskontrol. Forsendelse af fortrolige data må kun foregå med stærk kryptering, og efter aftale med dataejer. Destruktion af datamedier må kun foregå med garanti for total destruktion af medier, og med dokumentation fra bortskafferen. Adgangsstyring Brugere oprettes som personlige brugeridentiteter. Der vedligeholdes en brugeroversigt for relevante systemer, og denne oversigt revideres løbende for at sikre dens gyldighed. Er der tale om servicebrugere, er muligheden for egentlig log-on så vidt muligt deaktiveret. I tilfælde af ændringer/nedlæggelse/spærring af brugeradgang sørger systemejer for at udføre den pågældende opgave. Adgangsrettigheder gennemgås løbende for relevante systemer og det kontrolleres at der kun er de relevante adgange tildelt. Der er etableret automatisk passwordpolicy der systemmæssigt tvinger brugere til at overholde den gældende politik samt sikre regelmæssig skift af password. Til særligt sikrede systemer er der endvidere etablere 2-faktorvalidering. Der er etableret systempolicy der automatisk sørger for at låse og slå pauseskærm til på alle enheder, så ledes disse sikres hvis de ikke er overvåget. Diagnose- og konfigurationsporte kan kun anvendes ved fysisk tilstedeværelse ved det pågældende udstyr, og er således sikret af den almindelige adgangskontrol. Systemer der kan sidestilles med samme adgangsniveau uden fysisk tilstedeværelse er beskyttet af adgangskontrol med 2-faktorvalidering. Netværket er opdelt i segmenter samt beskyttet af firewalls for at opnå den nødvendige sikkerhed for systemerne. Sikkerheden er tilpasset den enkelte kundeløsning eller det pågældende system. Adgang til netværk via mobil opkobling sikres via krypteret VPN-forbindelse og 2- faktorvalidering. Alle medarbejdere internt i WWI A/S arbejder via krypterede forbindelser når der benyttes mobil opkobling udefra. Bærbare computere opdateres automatisk med beskyttelse selv om der ikke kan kommunikeres med de centrale servere, og medarbejderes egne PC ere er underlagt den til enhver tid gældende IT-sikkerhedspolitik. REVI-IT A/S Side 9 af 19

Styring af sikkerhedsbrud Sikkerhedshændelser behandles og evalueres som et fast punkt på Itdriftsudvalgets møder. Der føres en sikkerhedshændelseslog der behandler både tekniske samt generelt sikkerhedsmæssige hændelser. It-driftsudvalget vurderer nødvendigheden for at indhente data fra logs fra relevante systemer når it-driftsudvalget finder det relevant. Beredskabsstyring Der forefindes en ledelsesgodkendt beredskabsplan. Denne plan er tilgængelig på papir og i elektronisk form distribueret. Der forefindes ligeledes en ledelsesgodkendt risikoanalyse. Gennemgang og revidering af beredskabsplanen er en fast del af agendaen for itdriftsudvalgets fastlagte møder. Test af beredskabsplanen foretages løbende. Overensstemmelse med lovbestemte krav WWI A/S er ikke underlagt særlig lovgivning i forbindelse med drift af hostingsystemerne. Vores kunder kan dog være underlagt dette, og her vil WWI A/S understøttelse af dette være aftalt særskilt. Der udsendes jævnligt orienterende e-mail til alle medarbejdere med henblik på orientering omkring WWI A/S sikkerhedspolitik samt It-sikkerhedshåndbogen og dertilhørende relaterede procedurer og emner. Èn gang årligt lader vi os undergå uvildig IT-revision med henblik på afgivelse af en 3402 erklæring for overholdelse af kontrollerne nævnt i denne beskrivelse. I kraft af, at vi er medlemmer af BFIH (Brancheforeningen for IT-hostingvirksomheder i Danmark), skal vi årligt kunne bevise at vi følger rammerne inden for ISO 27002. Omtalte revisorerklæring sikrer dette, ligesom BFIH ønsker ekstern revisors bekræftelse på vores overholdelse af foreningens øvrige krav. Disse omhandler forsikringsforhold, gennemsigtighed i forretningsvilkår, selskabsretlige forhold for virksomheden mv. Disse bekræftelser fra revisor er hjælp til BFIH s certificering af WWI A/S. Ændringer i perioden Vi har i perioden løbende opgraderet infrastruktur samt omkringliggende systemer, så vi er med på de seneste versioner og teknologier vi anvender fra VMware, Microsoft, Cisco, Citrix, HP og Veeam. REVI-IT A/S Side 10 af 19

Afsnit 3: Uafhængig revisors erklæring om beskrivelsen af kontroller, deres udformning og funktionalitet Til ledelsen hos, WWI A/S kunder, der benytter it-hosting-platformen, og deres revisorer. Omfang Vi har fået til opgave at afgive erklæring om WWI A/S beskrivelse, som er gengivet i afsnit 2. Beskrivelsen, som i afsnit 1 er bekræftet af WWI A/S ledelse, dækker virksomhedens behandling af kunders transaktioner i forbindelse med drift af it-hosting-platformen i perioden 01-12-2013 til 30-11-2014, samt udformningen og funktionaliteten af de kontroller der knytter sig til de kontrolmål, som er anført i beskrivelsen. WWI A/S beskrivelse (afsnit 2) indeholder en række forhold som virksomheden skal leve op til jf. virksomhedens medlemskab af BFIH (Brancheforeningen for IT-hostingvirksomheder i Danmark). Vores revision har omfattet disse forhold, og består udover de fysiske forhold, herunder server hardware, LAN, WAN og firewalls, af: hvorvidt WWI A/S implementerer kritiske sikkerhedsopdateringer inden for 2 måneder fra frigivelse, og hvorvidt WWI A/S kan retablere enheder i datacenter inden for 3 dage. WWI A/S ansvar WWI A/S er ansvarlig for udarbejdelsen af beskrivelsen (afsnit 2) og tilhørende udsagn (afsnit 1), herunder fuldstændigheden, nøjagtigheden og måden, hvorpå beskrivelsen og udsagnet er præsenteret. WWI A/S er herudover ansvarlig, for leveringen af de ydelser, beskrivelsen omfatter, for at anføre kontrolmål og for udformningen, implementeringen og effektiviteten af fungerende kontroller for at nå de anførte kontrolmål. REVI-IT A/S ansvar Vores ansvar er på grundlag af vores handlinger at udtrykke en konklusion om WWI A/S beskrivelse (afsnit 2) og om udformningen og funktionaliteten af de kontroller, der knytter sig til de kontrolmål, der er anført i denne beskrivelse. Vi har udført vores arbejde i overensstemmelse med ISAE 3402, Erklæringer med sikkerhed om kontroller hos en serviceleverandør, som er udstedt af IAASB. Denne standard kræver, at vi overholder etiske krav samt planlægger og udfører vores handlinger for at opnå en høj grad af sikkerhed for, at beskrivelsen i alle væsentlige henseender er retvisende, og at kontrollerne i alle væsentlige henseender er hensigtsmæssigt udformet og fungerer effektivt. Opgaven med afgivelse af en erklæring med sikkerhed om beskrivelsen, udformningen og funktionaliteten af kontroller hos en serviceleverandør omfatter udførelse af handlinger for at opnå bevis for oplysningerne i serviceleverandørens beskrivelse af sit system og for kontrollernes udformning og funktionalitet. De valgte handlinger afhænger af serviceleverandørens revisors vurdering, herunder vurderingen af risiciene for, at beskrivelsen ikke er retvisende, og at kontrollerne ikke er hensigtsmæssigt udformet eller ikke fungerer effek- REVI-IT A/S Side 11 af 19

tivt. Vores handlinger har omfattet test af funktionaliteten af sådanne kontroller, som vi anser for nødvendige for at give en høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen, blev nået. En erklæringsopgave med sikkerhed af denne type omfatter endvidere en vurdering af den samlede præsentation af beskrivelsen, hensigtsmæssigheden af de heri anførte mål samt hensigtsmæssigheden af de kriterier, som serviceleverandøren har specificeret og beskrevet i afsnit 2. Det er vores opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne grundlag for vores konklusion. Begrænsninger i kontroller hos en serviceleverandør WWI A/S beskrivelse i afsnit 2 er udarbejdet for at opfylde de almindelige behov hos en bred kreds af kunder og deres revisorer og omfatter derfor ikke nødvendigvis alle de aspekter ved systemet, som hver enkelt kunde måtte anse for vigtige efter sine særlige forhold. Endvidere vil kontroller hos en serviceleverandør som følge af deres art muligvis ikke forhindre eller afdække alle fejl eller udeladelser ved behandlingen eller rapporteringen af transaktioner. Herudover er fremskrivningen af enhver vurdering af funktionaliteten til fremtidige perioder undergivet risikoen for, at kontroller hos en serviceleverandør kan blive utilstrækkelige eller svigte. Konklusion Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. Kriterierne, vi har anvendt ved udformningen af konklusionen, er de kriterier, der er beskrevet i WWI A/S udsagn i afsnit 2 og det er på den baggrund vores vurdering, (a) (b) (c) (d) at beskrivelsen af kontroller anvendt i forbindelse med driften af ithosting-platformen, således som den var udformet og implementeret i hele perioden 01-12-2013 til 30-11-2014, i alle væsentlige henseender er retvisende, og at kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen, i alle væsentlige henseender var hensigtsmæssigt udformet i hele perioden fra 01-12-2013 til 30-11-2014, og at kontrollerne for de særlige krav, som er foranlediget af virksomhedens medlemskab af BFIH jf. beskrivelsen i kapitel 2, var hensigtsmæssigt udformet i hele perioden fra 01-12-2013 til 30-11-2014, og at de testede kontroller, som var de kontroller, der var nødvendige for at give en høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev nået i alle væsentlige henseender, har fungeret effektivt i hele perioden 01-12- 2013 til 30-11-2014. REVI-IT A/S Side 12 af 19

Beskrivelse af test af kontroller De specifikke kontroller, der er testet, samt arten, den tidsmæssige placering og resultater af disse tester fremgår i det efterfølgende hovedafsnit (afsnit 4). Tiltænkte brugere og formål Denne erklæring er udelukkende tiltænkt kunder, der har anvendt WWI A/S ithosting-platform, og disses revisorer, som har en tilstrækkelig kompetence til at vurdere den medfølgende beskrivelse sammen med anden information, herunder information om kunders egne kontroller. Denne information tjener til opnåelse af en forståelse af kundernes informationssystemer, som er relevante for regnskabsaflæggelsen. København, 5. februar 2015 REVI-IT A/S Statsautoriseret revisionsaktieselskab Henrik Paaske Statsautoriseret revisor Martin Brogaard Nielsen It-revisor, CISA, adm. direktør REVI-IT A/S Side 13 af 19

Afsnit 4: Kontrolmål, udførte kontroller, test og resultater heraf Den følgende oversigt er udformet for at skabe en forståelse for effektiviteten af de kontroller, som WWI A/S har implementeret. Vores test af funktionaliteten har omfattet de kontroller, som vi har vurderet nødvendige for at kunne opnå en høj grad af sikkerhed for, at de anførte kontrolmål har været opnået i perioden 01-12-2013 til 30-11-2014. Vi har således ikke nødvendigvis testet alle de kontroller, som WWI A/S har nævnt i sin beskrivelse i afsnit 2. Kontroller, udført hos WWI A/S kunder, er herudover ikke omfattet af vores erklæring idet kundernes egne revisorer må foretage denne gennemgang og vurdering. Vi har udført vores tests af kontroller hos WWI A/S via følgende handlinger: Metode Forespørgsel Observation Inspektion Genudførelse af kontrol Overordnet beskrivelse Interview, altså forespørgsel af udvalgt personale hos virksomheden angående kontroller Observation af hvordan kontroller udføres Gennemgang og stillingtagen til politikker, procedurer og dokumentation vedrørende kontrollers udførelse. Vi har selv eller observeret en genudførelse af kontroller med henblik på at verificere, at kontrollen fungerer som forventet. Beskrivelse og resultat af vores tests ud fra de testede kontroller fremgår af de efterfølgende skemaer. I det omfang vi har konstateret væsentlige svagheder i kontrolmiljøet eller afvigelser her fra, har vi anført dette. REVI-IT A/S Side 14 af 19

Risikovurdering og -håndtering Risikovurdering 4.1 Formålet er at sikre, at virksomheden periodisk fortager en analyse og vurdering af it-risikobilledet Vi har forespurgt på løbende vurdering af it-risikoen. Vi har inspiceret dokumentation for periodisk gennemgang af risikobilledet. IT-sikkerhedsstyrring It-sikkerhedspolitik 5.1 Formålet er at sikre, at der gives retningslinjer for og understøtte informationssikkerheden i overensstemmelse med forretningsmæssige krav og relevante love og forskrifter Vi har forespurgt på udarbejdelsen af it-sikkerhedspolitik. Vi har overordnet inspiceret politikken. Vi har endvidere forespurgt på dokumentation for revurdering og medarbejdernes kendskab til politikken. Organisering af informationssikkerhed Intern organisering 6.1 Formålet er at sikre, at der etableres et ledelsesmæssigt grundlag for at kunne igangsætte og styre implementeringen og driften af informationssikkerhed i organisationen. Vi har forespurgt på tildeling af ansvar for it-sikkerheden. Vi har endvidere forespurgt på opretholdelse af funktionsadskillelse. Vi har inspiceret dokumentation for funktionsadskillelse. Mobile enheder og fjernarbejdspladser 6.2 Formålet er at sikre fjernarbejdspladser og brugen af mobilt udstyr. Vi har forespurgt på sikring af ekstern adgang til driftssystemerne. Vi har endvidere inspiceret dokumentation for anvendelse af løsning. Sikkerhed i forhold til HR Inden ansættelse 7.1 Formålet er at sikre, at medarbejdere og kontrahenter forstår deres ansvar og er egnede til de roller, de er i betragtning til Vi har forespurgt på formalisering af ansættelsesforhold, samt aftale om ansvar og tavshedspligt. Vi har stikprøvevis inspiceret dokumentation for formalisering. REVI-IT A/S Side 15 af 19

Under ansættelse 7.2 Formålet er at sikre, at medarbejdere og kontrahenter er bevidste om og lever op til deres informationssikkerhedsansvar Vi har forespurgt på beskrivelse af ledelsen ansvar i forbindelse med ansættelse. Vi har stikprøvevis inspiceret dokumentation for ledelsens løbende kommunikation til medarbejderne i forhold til it-sikkerheden. Styring af aktiver Ansvar for aktiver 8.1 Formålet er at sikre, at organisationens aktiver defineres og der defineres passende Vi har forespurgt på dokumentation af server og netværk. Vi har stikprøvevis inspiceret dokumentationen med henblik på at sikre, at den er opdateret. Vi har endvidere forespurgt på tildelingen af ejerskab af aktiver og processer. Vi har stikprøvevis inspiceret dokumentation for tildeling. Mediehåndtering 8.3 Formålet er at sikre hindring af uautoriseret offentliggørelse, ændring, fjernelse eller destruktion af information lagret på medier. Vi har forespurgt på politik for bortskaffelse af medier. Der har ikke været destruktion og bortskaffelse af hardware i perioden. konstateret i øvrigt. Adgangskontrol Forretningskrav til adgangskontrol 9.1 Formålet er at sikre, at adgangen til information og informationsbehandlingsfaciliteter begrænses Vi har forespurgt på politik for administration af adgangen. Administration af brugeradgange 9.2 Formålet er at sikre adgang for autoriserede brugere og forhindre uautoriseret adgang til systemer og tjenester Brugeransvar 9.3 Formålet er at gøre brugere ansvarlige for at sikre deres autentifikationsinformation Vi har forespurgt på procedurer for brugeradministration. Vi har stikprøvevis inspiceret dokumentation for anvendelse og udførelse. Vi har forespurgt på politik for anvendelsen af kodeord. Vi har endvidere stikprøvevis inspiceret dokumentation for kvalitetssikring af kodeord. REVI-IT A/S Side 16 af 19

Kontrol af adgang til Systemer og data 9.4 Formålet er at sikre, at uautoriseret adgang til systemer og applikationer forhindres. Vi har forespurgt på sikring af adgang til data. Vi har endvidere stikprøvevis kontrolleret konfigurationerne. Fysiske og miljømæssige sikringer Sikre områder 11.1 Formålet er at sikre hindring af uautoriseret fysisk adgang til samt beskadigelse af og forstyrrelse af organisationens information og informationsbehandlingsfaciliteter Vi har inspiceret de fysiske rammer for WWI A/S' drift med henblik på at identificere betryggende sikring af de fysiske rammer. Udstyr 11.2 Formålet er at undgå tab, skade, tyveri eller kompromittering af aktiver og drifts-afbrydelse i organisationen Vi har inspiceret serverrummet hos WWI A/S med henblik på at identificere betryggende forhold med hensyn til placeringen af driftssystemerne. Vi har forespurgt på dokumentation for udførsel af service og vedligehold af køl, brand og strømforsyning. Vi har endvidere stikprøvevis inspiceret dokumentation for anvendelse af automatisk låsning af computere ved inaktivitet. Sikkerhed i forbindelse med drift Operationelle procedurer og ansvarsområder 12.1 Formålet er at sikre korrekt og sikker drift af informationsbehandlingsfaciliteter. Vi har forespurgt på formelle driftsprocedurer. Vi har stikprøvevis inspiceret dokumentation for deres anvendelse. Vi har forespurgt på overvågning af driftsmiljøet. Vi har endvidere forespurgt på dokumentation for overvågning, og har observeret udførslen af manuelle kontroller. Beskyttelse mod Malware 12.2 Formålet er at sikre, at information og informationsbehandlingsfaciliteter er beskyttet mod malware Vi har forespurgt på anvendelsen af anti-malware. Vi har stikprøvevis kontrolleret anvendelsen. REVI-IT A/S Side 17 af 19

Backup 12.3 Formålet er at beskytte mod tab af data Logning og overvågning 12.4 Formålet er at registrere hændelser og generere bevis. Styring af tekniske sårbarheder 12.6 Formålet er at sikre, at udnyttelse af tekniske sårbarheder forhindres. Vi har forespurgt på anvendelse af backup. Vi har inspiceret løsningen med henblik på at kontrollere konfigurationen af backupløsningen. Vi har endvidere inspiceret både den primære, og sekundære lokalitet for opbevaring af backupfiler. Ydermere har vi stikprøvevis inspiceret, dokumentation for test af anvendelighed af backup. Vi har forespurgt på anvendelsen af logning. Vi har observeret genudførelse af kontrol og anvendelighed af logdata. Vi har stikprøvevis inspiceret dokumentation for konfigurationen og opbevaring af log i perioden. Vi har stikprøvevis inspiceret systemer med henblik på at kontrollere rettidig installation af sikkerhedsopdateringer. Kommunikationssikkerhed Styring af netværkssikkerheden 13.1 Formålet er at sikre beskyttelse af informationer i netværk og af understøttende informationsbehandlingsfaciliteter. Vi har forespurgt på anvendelsen af firewall, og har stikprøvevis inspiceret dokumentation for anvendelse. Vi har endvidere forespurgt på opdeling af netværket, og stikprøvevis inspiceret dokumentation for opdeling. Leverandørforhold Informationssikkerhed i leverandørforhold 15.1 Formålet er at opretholde et aftalt niveau af informationssikkerhed og levering af ydelser i henhold til leverandøraftalerne. Vi har forespurgt på aftaler om eksternes overholdelse af itsikkerhedspolitikken hos WWI A/S. Vi har endvidere inspiceret dokumentation for formalisering af aftalerne. REVI-IT A/S Side 18 af 19

Styring af serviceydelser fra tredjepart 15.2 Formålet er at sikre, at aftalt niveau og ændringer i levering af ydelser kontrolleres. Vi har forespurgt på betryggende tilsyn med serviceleverandører. Vi har observeret genudførsel af kontrol i forbindelse med besøg hos serviceleverandør. Styring af sikkerhedshændelser Styring af informationssikkerhedsbrud og forbedringer 16.1 Formålet er at sikre ensartet og effektiv metode til styring af informationssikkerhedsbrud, herunder kommunikation om sikkerhedshændelser og -svagheder. Vi har forespurgt på ansvar for styring af hændelser og procedurer. Vi har stikprøvevis inspiceret dokumentation for kommunikation af itsikkerhedsrelevante problemer. Vi har endvidere stikprøvevis inspiceret dokumentation for vurdering og læring af it-sikkerhedsmæssige forhold. Informationssikkerhedsaspekter ved beredskabsstyring Beredskab i forhold til informationssikkerheden 17.1 Formålet er at sikre, at informationssikkerhed er forankret i organisationens ledelsessystemer for beredskabs- og reetableringsstyring. Vi har forespurgt på udarbejdelsen af beredskabsplan. Endvidere har vi forespurgt til nødprocedurer og periodisk test af beredskabsplanen. Redundans 17.2 Formålet er at sikre tilgængelighed af informationsbehandlingsfaciliteter Vi har forespurgt på redundans af centrale driftsmæssige løsninger. Vi har inspiceret, dokumentation for anvendelse af løsningerne. Overensstemmelse Review af informationssikkerheden 18.2 Formålet er at sikre, at informationssikkerhed er implementeret og drives i overensstemmelse med organisationens politikker og procedurer. Vi har forespurgt på periodisk kontrol af konfigurationen af de tekniske systemer. Vi har endvidere stikprøvevis kontrolleret dokumentation for anvendelse. REVI-IT A/S Side 19 af 19