Cyberdeklaration. Exempelbolaget AB
- Protokoll nr
- EX-0001
- Status
- Exempel, inte utfärdat
- Utfärdat
- 2026-09-08
- Granskat omfång
- exempelbolaget.se, exempelbolaget.com, 203.0.113.0/24
- Kontaktnivå
- 0 och 1, passivt, inget uppdrag mot systemen
- Katalogversion
- Kontrollkatalog 1.1Exemplet är uppdaterat till version 1.1
- Giltighet
- Ögonblicksbild per tidsstämpel i respektive rad
Del ett. 11 indikatorer · 2 ej observerbart · 4 förenligt
Del ett
Kontrollerat utifrån, signerat av Cyberdeklaration
A extern evidens, B, grund exponering och bilagan Det utsidan inte ser. Allt i Del ett är kontrollerat av namngiven konsult och omfattas av signaturen ovan.
Del ett · A, extern evidens · 17 rekvisit, observationer kopplade till 18 paragrafer
Observation, källa och utfall rad för rad
- 3 kap 15 § p 2 · Indikator
- IndikatorRedundanta funktionerStyrka 2
Alla namnservrar eller all e-post ligger hos en leverantör i ett nät. Faller det, faller ni utåt även om era system fungerar.
Konsultens kommentar. Gemensam felkälla. Bedöms mot verksamhetens egen kontinuitetsplan i Del två.
Observation. Två namnservrar, båda i samma ASN hos samma leverantör. En MX-post utan sekundär.
- 3 kap 17 § allmänt råd · Indikator
- IndikatorSårbarhetsrapporteringStyrka 2
Filen saknas eller saknar det innehåll RFC 9116 anger som obligatoriskt. Andra rapporteringsvägar kan finnas. Filens RFC-krav är inte samma sak som ett lagkrav.
Konsultens kommentar. security.txt är ett tekniskt sätt att publicera en rapporteringsväg. Filen är inte föreskriven, och det allmänna rådet till 3 kap 17 § är inte bindande. Om vägen publiceras på annat sätt avgörs inifrån.
Observation. De två kontrollerade filerna .well-known/security.txt på exempelbolaget.se och exempelbolaget.com svarade 404. Observationen omfattar endast dessa två adresser.
- 4 kap 1 och 2 §§ · Indikator
- IndikatorDigitala leveranskedjorStyrka 2
Era tjänster vilar på tredje parter för DNS, e-post, hosting eller identitet, och någon av dem har själv avvikelser på utsidan. Beställaren räknar dem som er risk.
Konsultens kommentar. Beroenden utanför verksamhetens kontroll. Leverantörernas skydd är inte bedömt, bara deras utsida.
Observation. DNS, e-post och hosting hos tre tredje parter. Sju tredjepartsskript laddas på www. DNS-leverantören saknar själv DMARC på sin egen domän.
- 4 kap 8 och 9 §§ · Indikator
- IndikatorFörteckning över digital miljöStyrka 2
Ett namn i DNS pekar mot en mottagare som inte svarar, vilket talar för att posten kan vara möjlig att ta över av annan, inte en konstaterad övertagning. En subdomän kan också peka på en tjänst hos en annan part utan att det är ett fel. Den externa bilden kan inte visa om en fullständig förteckning över den digitala miljön finns internt.
Konsultens kommentar. Namn utan mottagare kan tas över av annan. Hängande DNS är en observation, inte evidens för att förteckningen saknas eller är fel. Jämförelsen görs mot verksamhetens egen dokumentation när den lämnas.
Observation. 41 subdomäner funna passivt. Tre CNAME pekar på molntjänster där uppslaget mot mottagaren inte kan besvaras, vilket är en indikator på en oanvänd hänvisning. shop-test.exempelbolaget.se, status.exempelbolaget.se och support.exempelbolaget.com.
- 4 kap 11 § · Indikator
- IndikatorSegmenteringStyrka 2
Utsidan visar inga OT-protokoll eller styrsystem, och administration ligger på en annan adress än de publika tjänsterna. Utsidans bild räcker ändå inte för att avgöra om intern segmentering finns.
Konsultens kommentar. Endast utsidans bild. Att inga OT-protokoll svarar publikt visar inte att intern segmentering finns.
Observation. Inga OT-protokoll som Modbus, S7 eller BACnet svarar i 203.0.113.0/24. Administration på .17 ligger inte på samma adress som www på .10 eller mail på .12.
- 4 kap 13 § · Indikator
- IndikatorSäkerhetskonfigureringStyrka 2
Ett administrationsgränssnitt för fjärradministration eller drift svarar på en adress som är nåbar från internet. Observationen visar att porten svarar, inte om åtkomsten är avsedd, begränsad eller skyddad av annan kontroll. Underlaget räcker därför till en indikator, inte till en avvikelse.
Konsultens kommentar. Passiv observation ur index. Ingen anslutning har gjorts mot adressen. Exponeringen är konstaterad, men verksamhetsbehov, godkända flöden och åtkomstskydd behöver klarläggas innan konfigurationskravet prövas.
Observation. RDP 3389 svarar på 203.0.113.17 i det RIPE-block som är tilldelat Exempelbolaget AB. Ingen versionssträng i www-svaren.
- 4 kap 14 till 16 §§ · Indikator
- IndikatorAutentiseringsuppgifterStyrka 2
Konton i er domän förekommer i publika läckor eller stealer-loggar, eller en hemlighet ligger i historiken till ett publikt kodförråd. Det talar för att uppgifterna kan missbrukas, men en historisk förekomst visar inte att de fortfarande är giltiga. Läckta uppgifter provas aldrig av oss.
Konsultens kommentar. Historisk förekomst visar inte att uppgifterna fortfarande är giltiga eller att en aktuell autentiseringsregel överträds. Giltighet testas aldrig och ingen inloggning görs. Kontolista och nyckelns plats lämnas separat till kontaktpersonen.
Observation. 14 konton under exempelbolaget.se i publika läckor, två av dem i stealer-loggar från 2026. En API-nyckel till en betaltjänst i historiken till ett publikt kodförråd under github.com/exempelbolaget.
- 4 kap 17 § · Indikator
- IndikatorFlerfaktor vid extern åtkomstStyrka 2
En inloggningsportal svarar på internet utan synligt flöde till identitetsleverantör. Det säger inte att flerfaktor saknas, bara att vi inte kan se den. Läckta lösenord kan då räcka för inloggning.
Konsultens kommentar. Frånvaro av synligt flöde är inte frånvaro av flerfaktor. Avgörs inifrån.
Observation. OWA på mail.exempelbolaget.se svarar med egen inloggningssida utan omdirigering till identitetsleverantör. vpn.exempelbolaget.se visar leverantörens standardportal.
- 4 kap 19 § · Indikator
- IndikatorVerifierbar identitetStyrka 2
Domänägaren begär ingen särskild hantering av meddelanden som inte klarar DMARC. Mottagaren kan fortfarande blockera meddelanden med sina egna säkerhetsregler. Utan rua-adress får domänägaren inga rapporter om vad som skickas i dess namn.
Konsultens kommentar. 4 kap 19 § pekar inte ut DMARC reject eller quarantine som enda tillåtna teknik. p=none ger ingen verkan mot förfalskad avsändare, men avgör inte ensamt om kravet på verifierbar identitet följs. Vilken teknik som används behöver klarläggas inifrån.
Observation. SPF publicerad med ~all. DKIM-selektor selector1 svarar för båda domänerna. DMARC p=none utan rua-adress. Giltigt webbcertifikat på www.
- 4 kap 24 § · Indikator
- IndikatorSkydd mot skadlig kodStyrka 2
En av era domäner eller adresser står på en blocklista. Det kan vara spår av skräppost, ett kapat konto eller en infekterad server, och det påverkar leveransen av er e-post.
Konsultens kommentar. En listning är ett spår, inte ett bevis. Orsaken avgörs inifrån.
Observation. 203.0.113.22 listad i Spamhaus XBL sedan 2026-08-29. Domänerna rena i Google Safe Browsing och VirusTotal. Ingen träff på ransomware.live.
- 4 kap 25 § allmänt råd · Indikator
- IndikatorNyckelhanteringStyrka 2
Ett certifikat som gått ut, är självsignerat eller har en oväntad utfärdare kan behöva utredas. Ett okänt namn för organisationen eller en gammal post i en CT-logg ger inte i sig en varning för besökaren.
Konsultens kommentar. Kan vara en leverantörs eget val eller ett bortglömt certifikat. Avgörs inifrån.
Observation. Självsignerat certifikat på vpn.exempelbolaget.se. Ett certifikat för mail.exempelbolaget.com utfärdat 2026-07-14 av en utfärdare som inte förekommer på någon annan värd i omfånget.
- 4 kap 27 § p 1 och 2 samt 31 § · Ej observerbart
- Ej observerbartSäkerhetsuppdateringar
Versionen är maskerad, vilket i sig är rätt. Vi kan inte bedöma utifrån och beställaren kan inte heller. Verifieras genom er egen utskrift av versioner.
Konsultens kommentar. Maskerade versioner är i sig rätt. Verifieras genom verksamhetens egen utskrift av versioner.
Observation. Serverrubriker på www och mail saknar versionssträng. Ingen produktversion i något index.
- 4 kap 31 § andra meningen · Ej observerbart
- Ej observerbartUtfasad mjukvara
Ingen version syns utifrån, så det går inte att avgöra om någon exponerad produkt saknar säkerhetsstöd. Raden skrivs ut som ej observerbart, aldrig som förenligt.
Konsultens kommentar. Följer av raden ovan. Skrivs aldrig som förenligt utan synlig version.
Observation. Ingen produktversion syns i banners, jämförelse mot endoflife.date går inte att göra.
- 4 kap 9 § och 3 kap 15 § · Förenligt
- FörenligtDomänhygienStyrka 2
Domänen är låst mot flytt, förnyad långt fram och zonen har inga fel.
Konsultens kommentar. Registrarlås och förnyelsemarginal är inte uttryckliga krav i de citerade paragraferna, utan tekniska kriterier. Lookalike-domäner redovisas i Del B, lager 8.
Observation. Transferlås aktivt på båda domänerna, förnyelse till 2028-03, aktuell registrant, CAA satt, inga zonfel enligt Zonemaster.
- 4 kap 13 § p 2 och 25 § · Förenligt
- FörenligtExponerad lagringStyrka 2
Inga lagringsbehållare eller kataloger går att lista från internet.
Konsultens kommentar. Kriteriet är begränsat till de namnmönster och leverantörer som anges i källan. Utebliven träff gäller det omfånget och är inte ett intyg om att miljön saknar publikt listbar lagring. Kontrollen prövar listning, inte läsbehörighet, och inga filer har hämtats.
Observation. Inga publikt listbara behållare på namnmönstren exempelbolaget, exempelbolaget-prod och exempelbolaget-backup hos de tre kontrollerade molnleverantörerna.
- 4 kap 25 § · Förenligt
- FörenligtKryptering vid överföringStyrka 2
HTTPS svarar och ett HSTS-svarshuvud skickas med minst sex månaders max-age. Skyddet gäller efter att webbläsaren fått policyn via en giltig säker anslutning. Sex månader är ett tekniskt kriterium, inte ett uttryckligt krav i föreskriften.
Konsultens kommentar. Avser de publika ändpunkter som svarade i omfånget vid tidpunkten, inte hela paragrafen.
Observation. www på båda domänerna svarar med TLS 1.2 och 1.3, inga svaga sviter, http omdirigerar till https, HSTS med max-age 31536000. MX mail.exempelbolaget.se erbjuder STARTTLS med TLS 1.2. MTA-STS-post publicerad i DNS. Policyfilen hämtades och angav läge enforce.
- 4 kap 26 § · Förenligt
- FörenligtDNSSECStyrka 1
Svaren från era namnservrar är signerade, så en mottagare kan upptäcka förfalskade DNS-svar om er domän.
Konsultens kommentar. Deterministiskt. Vem som helst kan ställa samma fråga och få samma svar.
Observation. Båda zonerna signerade, giltig kedja från rotzonen, AD-flagga satt i svaret.
Åtgärdslista
Redundanta funktioner
Namnservrar i minst två nät, sekundär MX eller en leverantör med egen redundans, dokumenterat i kontinuitetsplanen.
IT-ansvarig med DNS- och e-postleverantör.
En vecka.
Sårbarhetsrapportering
Filen /.well-known/security.txt enligt RFC 9116 med minst raderna Contact och Expires, och en adress som faktiskt läses.
Webbansvarig.
Tio minuter.
Digitala leveranskedjor
Kända tredje parter förtecknade, föreskriftens krav ställda vidare i avtal, och deras utsida bevakad.
Inköps- och IT-ansvarig.
En månad för avtalsöversyn.
Förteckning över digital miljö
Bekräfta internt om namnet ingår i förteckningen och används, och ta bort eller peka om poster som inte längre behövs.
IT-ansvarig med DNS-ansvarig.
En dag.
Segmentering
Administration och drift avskilda från publika tjänster i egna nät eller VLAN, dokumenterat i nätverksarkitekturen.
Nätverksansvarig.
En dag att kartlägga, längre att genomföra.
Säkerhetskonfigurering
Bekräfta vilken tjänst som lyssnar, om exponeringen är avsedd och hur åtkomsten begränsas. Är den inte avsedd, stäng den eller flytta den bakom VPN eller identitetsleverantör.
Nätverks- och driftansvarig, ibland hostingleverantören.
En dag för att bekräfta, längre om tjänsten ska flyttas.
Autentiseringsuppgifter
Bekräfta internt om kontona eller hemligheten fortfarande är giltiga, byt lösenord och rotera nycklar oavsett, och slå på flerfaktor på berörda konton.
IT-ansvarig för konton, utvecklingsansvarig för kodförråd.
Samma dag för byte, en vecka för uppföljning.
Flerfaktor vid extern åtkomst
Flerfaktorsautentisering på all extern åtkomst för personal och leverantörer, och på all administration.
IT-ansvarig, i identitetsplattformen.
En vecka för portalerna, längre för äldre system.
Verifierbar identitet
Innan policyn skärps behöver avsändarflödena kartläggas och SPF eller DKIM verifieras med rätt domänkoppling. Ett godkänt, domänkopplat resultat av SPF eller DKIM räcker för DMARC-pass. Höj därefter till p=quarantine och vidare till p=reject.
E-postansvarig. Aggregatrapporter förutsätter en rua-adress som någon läser.
Två till fyra veckor för att gå från none till reject utan att stoppa egen post.
Skydd mot skadlig kod
Orsaken utredd och åtgärdad, därefter begäran om borttagning från listan.
IT-ansvarig.
En dag för utredning, upp till en vecka för borttagning.
Nyckelhantering
Alla certifikat för era domäner giltiga, utfärdade av utfärdare ni valt, med automatisk förnyelse och en rutin för att läsa CT-loggar för era domäner.
Webb- och driftansvarig.
En dag.
Del ett · B, grund exponering · nio lager, en rad per lager
Exponering lager för lager
Fynden är hämtade ur öppna källor på kontaktnivå 0 och 1 för Exempelbolaget AB. En rad per lager. Exponeringskartan kör samma nio lager i full bredd med manuell källgranskning av varje rad.
Lager 01 · Infrastruktur
Fynd. Två domäner, 41 subdomäner, ett RIPE-block med 254 adresser varav nio svarar. RDP på .17, OWA och VPN-portal utan synligt flerfaktorsflöde.
Vad det innebär. Exponerade administrationsgränssnitt står öppna för alla att se.
Vad som krävs. Ingen administration direkt mot internet, portaler bakom identitetsleverantör.
Källa. Shodan, Censys, RIPEstat.
Lager 02 · Kod
Fynd. Ett publikt kodförråd under github.com/exempelbolaget med en API-nyckel i historiken, samma fynd som Del A 4 kap 14 till 16 §§.
Vad det innebär. Fyndet är en indikator, inte en bekräftad läcka. En sådan hemlighet kan vara giltig tills den roteras, om den fortfarande används, men giltigheten är inte testad. Historiken raderas inte av sig själv.
Vad som krävs. Hemligheten roterad oavsett status, och borttagen ur historiken.
Källa. GitHub-sökning, gitleaks.
Lager 03 · Läckor
Fynd. 14 konton förekommer i publika läckor, två av dem i stealer-loggar från 2026 där vpn.exempelbolaget.se anges som adress.
Vad det innebär. Uppgifterna är historiska och visar inte att åtkomsten fungerar i dag. Om lösenord återanvänds kan de vara giltiga, vilket behöver bekräftas inifrån. Vi provar aldrig läckta uppgifter.
Vad som krävs. Bekräftelse inifrån av kontonas status, byte av lösenord för berörda konton och flerfaktor på portalerna.
Källa. HIBP, Hudson Rock, IntelX.
Lager 04 · Människor
Fynd. Tre administratörer namnger sina system i offentliga profiler. Vd publicerar resor i förväg. Aggregerat, inga namn i protokollet.
Vad det innebär. Riktade bedrägerier får sitt manus gratis.
Vad som krävs. Rådgivning till ledning och administratörer om vad som publiceras.
Källa. LinkedIn, theHarvester, alltid aggregerat.
Lager 05 · Organisation
Fynd. Förvärv av ett dotterbolag 2025. Dotterbolagets domän ligger kvar hos gammal registrar utan transferlås.
Vad det innebär. Förvärvade miljöer följer sällan med in i förteckningen.
Vad som krävs. Domänen förd in i förteckningen och flyttad till egen registrar.
Källa. Bolagsverket, allabolag, RDAP.
Lager 06 · Upphandlingar
Fynd. Ett kommunalt anbud från 2025 beskriver driftmiljön i detalj. En platsannons anger VPN-leverantör och e-postplattform.
Vad det innebär. Teknikvalen är publika, en angripare slipper gissa.
Vad som krävs. Granskning av vad anbud och annonser avslöjar före publicering.
Källa. Mercell, e-Avrop, Platsbanken, LinkedIn Jobs.
Lager 07 · Leverantörskedja
Fynd. Sju tredjepartsskript på www. DNS-leverantören saknar DMARC på sin egen domän, samma fynd som Del A 4 kap 1 och 2 §§.
Vad det innebär. Beställaren räknar leverantörens avvikelser som er risk.
Vad som krävs. Föreskriftens krav ställda vidare i avtal med DNS-leverantören, skripten förtecknade.
Källa. DNS, httpx, Wappalyzer, SecurityTrails.
Lager 08 · Varumärke
Fynd. Två registrerade lookalike-domäner, exempelbo1aget.se och exempelbolaget-se.com. Den senare har MX-post.
Vad det innebär. Domänen har en MX-post, vilket är en förutsättning för att ta emot e-post. Om den används för utskick i ert namn framgår inte av utsidan.
Vad som krävs. Bevakning och begäran om nedtagning.
Källa. dnstwist, crt.sh.
Lager 09 · Fysiskt och historik
Fynd. Pressbild med synligt passerkort på bolagets webbplats. Wayback visar en administrationsadress från 2023 som inte längre svarar.
Vad det innebär. Gamla spår och synliga passerkort används vid fysiskt intrång.
Vad som krävs. Bilden utbytt.
Källa. Wayback, nyhetsarkiv.
Angreppsvägar
- Väg 1, portalenPlatsannonsen anger VPN-leverantör, lager 6. Två konton finns i stealer-loggar, lager 3 och Del A 4 kap 14 till 16 §§. vpn.exempelbolaget.se svarar utan synligt flerfaktorsflöde, Del A 4 kap 17 §.
- Väg 2, fakturanDMARC p=none, Del A 4 kap 19 §. Med p=none avvisas eller karantänsätts inte förfalskade utskick på grund av policyn. Om ett meddelande når mottagaren avgörs ändå av mottagarens egen filtrering, avsändarens rykte och övriga skydd. Anbudet namnger beställare och kontaktpersoner, lager 6. Lookalike-domänen har MX, lager 8.
- Väg 3, det övertagna namnetCNAME mot en molntjänst som inte svarar, Del A 4 kap 8 och 9 §§. Det är en indikator på att namnet kan tas över, inte ett konstaterat övertagande. Om övertagande är möjligt beror på tjänsteleverantörens kontroller, och certifikatutfärdande förutsätter i sin tur en godkänd validering.
Del ett · bilaga
Det utsidan inte ser
Följande krav i MCFFS 2026:11 kan inte bedömas utifrån. De kräver dokument, intervju eller platsbesök och redovisas här för att protokollet ska visa hela ytan, inte bara den vi har granskat. De besvaras i Del två.
- 2 kap 1 §Ledningens utbildning. Kräver utbildningsintyg och deltagarlista.
- 3 kap 1 till 14, 16, 18 och 19 §§Systematiskt arbete, standarder, interna regler, ledningens godkännande, roller, personalsäkerhet, omvärldsbevakning, klassning, riskhantering, åtgärdsplan, kontinuitet, krisorganisation, krishantering och uppföljning. Kräver dokument och intervju.
- 4 kap 3 till 7, 10, 12, 18, 20 till 23 och 28 till 30 §§ samt 5 och 6 kapCertifierade produkter, avtal, säker utveckling, driftsättning, avveckling, driftdokumentation, avskilda miljöer, e-legitimation för mottagare av externa tjänster, övervakning, loggning, logganalys, tid, säkerhetskopiering, intrångsskydd och ändringshantering. 5 kap fysiska åtgärder, 6 kap sektorsspecifika åtgärder för offentlig förvaltning. Kräver dokument, intervju eller platsbesök.
Del två · Egen deklaration · 39 paragrafer, ifylld av verksamheten
Egen deklaration, inte signerad av oss
Ifylld av Exempelbolaget AB efter Cyberdeklarationens mall. Inte kontrollerad och inte signerad av Cyberdeklaration. Tre av 39 rader visas här, varje rad har samma fält som mallen.
- 2 kap 1 § · Ledningens utbildning
Kravet i korthet. Ledningen ska ha den kunskap som krävs för att fastställa mål och inriktning, bedöma vilka säkerhetsåtgärder som behövs utifrån risk och övervaka genomförandet.
Vad som normalt behöver finnas. Genomförd utbildning för samtliga i ledningen med det innehåll allmänna råden anger. Plan för nytillkomna ledamöter.
Exempel på underlag. Utbildningsintyg eller deltagarlista med datum, kursbeskrivning, beslut om utbildningsplan.
Status. Infört
Ert svar. Styrelse och ledningsgrupp, sju personer, utbildade 2026-04-22 med det innehåll allmänna råden anger. Ny ledamot utbildas inom tre månader från tillträde.
Underlag, referens. Deltagarlista 2026-04-22, kursbeskrivning, beslut i ledningsgruppen 2026-03-10 om utbildningsplan.
Ansvarig roll och datum. Vd, 2026-08-28
- 3 kap 12 § · Riskhantering
Kravet i korthet. Identifiera, analysera och värdera risker utifrån konsekvens och sannolikhet med kriterier som gör risker jämförbara över tid. Fastställ kriterier för riskacceptans. Uppdatera vid nya hot och sårbarheter.
Vad som normalt behöver finnas. Riskmetod, riskregister med de områden allmänna råden räknar upp, rutin för uppdatering.
Exempel på underlag. Riskregister med datum, beslut om riskacceptanskriterier, senaste uppdatering efter ny sårbarhet.
Status. Delvis infört
Ert svar. Riskregister finns med kriterier för konsekvens och sannolikhet, senast uppdaterat 2026-05-30. Kriterier för riskacceptans är beslutade. Rutin för uppdatering vid nya sårbarheter saknas och införs under fjärde kvartalet 2026.
Underlag, referens. Riskregister version 3, beslut om riskacceptans 2026-02-17.
Ansvarig roll och datum. Informationssäkerhetssamordnare, 2026-08-28
- 4 kap 4 § · Avtal om säkerhetsåtgärder
Kravet i korthet. Avtal om förvärv och utkontraktering ska säkerställa att säkerhetsåtgärder kan genomföras och förvaltas över tid.
Vad som normalt behöver finnas. Avtalsmall som reglerar det allmänna råden räknar upp, samt kontroll av klassning och risk före utkontraktering.
Exempel på underlag. Avtalsmall, exempel på tecknat avtal, checklista före utkontraktering.
Status. Delvis infört
Ert svar. Avtalsmall med säkerhetsbilaga används för nya avtal sedan februari 2026. Tolv leverantörer har avtal på mallen. Fyra äldre avtal kompletteras före 2026-10-01. Uppföljning en gång per år.
Underlag, referens. Avtalsmall version 2 med säkerhetsbilaga, avtal med DNS-leverantören 2026-06-01, checklista före utkontraktering.
Ansvarig roll och datum. Inköpschef, 2026-08-28
och 36 rader till
Signatur
Signaturen omfattar Del ett. Del två är verksamhetens egen deklaration och är inte signerad av oss.