När ett allvarligt säkerhetshål upptäcks kan tiden till åtgärd vara avgörande. För fastighetsbolag och bostadsrättsföreningar väcker det en konkret fråga: hur väl förberedd är leverantören som hanterar information om fastigheterna och de boende?

Den 21 oktober 2026 publicerade PHP-projektet säkerhetsuppdateringar för två kritiska sårbarheter i PHP, en teknik som används i många webbplatser och digitala tjänster. Sårbarheterna kan göra det möjligt för en angripare att köra skadlig kod på utsatta servrar utan att först logga in. Bland andra EU:s cybersäkerhetsbyrå ENISA uppmanade berörda organisationer att agera omedelbart. Läs myndigheternas gemensamma uppmaning hos ENISA.

Loggameras plattform använder inte PHP. De aktuella PHP-sårbarheterna berör därför inte den teknik som vår plattform bygger på. Men även andra tekniker kan drabbas av allvarliga säkerhetsbrister. Alla leverantörer behöver kunna upptäcka nya risker, bedöma konsekvenserna och agera när något händer.

För dig som ansvarar för fastigheternas digitala tjänster är det därför relevant att förstå hur leverantörens säkerhetsarbete fungerar i praktiken.

Säkerhet är en del av ett fungerande IMD-system

Ett system för individuell mätning och debitering, IMD, hanterar mer än siffror från mätare. Förbrukningsuppgifter kan vara kopplade till lägenheter och boende, och informationen används som underlag för kostnadsfördelning och debitering.

Det behöver finnas skydd mot att obehöriga får tillgång till uppgifterna. Samtidigt behöver informationen vara korrekt och tillgänglig när den behövs i verksamheten.

Säkerhetsarbetet har därför en direkt koppling till både de boendes integritet och den löpande fastighetsförvaltningen. Det är en del av leveransen som bör följas upp, precis som funktion, pris och support.

Tre frågor är särskilt värda att ställa.

1. Hur upptäcker och åtgärdar leverantören nya säkerhetshål?

Digitala tjänster bygger ofta på flera lager av programvara och externa komponenter. Leverantören behöver veta vilka delar som används och kunna avgöra om en ny sårbarhet påverkar tjänsten.

Be leverantören beskriva hur säkerhetsvarningar bevakas, vem som bedömer riskerna och hur uppdateringar prioriteras. Fråga också vad som händer om en permanent rättning ännu inte finns tillgänglig.

Ett användbart svar beskriver ansvar och arbetssätt. Vem agerar? Hur snabbt görs bedömningen? Hur kontrolleras att åtgärden fått avsedd effekt?

2. Hur skyddas information om fastigheterna och de boende?

Skyddet behöver omfatta hela hanteringen av informationen: insamling, överföring, lagring och åtkomst.

Vilka uppgifter samlas in? Vilka personer och system får använda dem? Hur tas behörigheter bort när någon byter roll eller avslutar sitt uppdrag?

Fråga även hur leverantören arbetar med säkerhetskopiering och återställning. Att det finns en säkerhetskopia är en början. Leverantören behöver också kunna återställa information och få tjänsten att fungera igen.

För IMD är det dessutom relevant att förstå hur mätvärden och debiteringsunderlag kvalitetssäkras.

3. Vad händer om ett system faktiskt utsätts för ett intrång?

En incidentplan behöver vara förberedd innan den ska användas.

Vem leder arbetet? Hur begränsas skadan? Hur undersöks vilka system och uppgifter som har berörts? När och hur får ni som kund information?

Som kund bör du veta vem du kan kontakta och hur du får löpande besked. Efteråt behöver leverantören också följa upp orsaken och förbättra skyddet utifrån det som inträffat.

Tydliga svar på de här frågorna säger mycket om leverantörens beredskap.

Vad innebär ISO 27001 i sammanhanget?

Loggamera är certifierat enligt ISO/IEC 27001 för informationssäkerhet. Det innebär att vårt säkerhetsarbete bygger på ett systematiskt arbetssätt med riskbedömningar, tydligt ansvar, uppföljning och kontinuerliga förbättringar som granskas externt.

Certifieringen är ingen garanti mot säkerhetsincidenter. Den ger däremot en grund för att hantera risker och arbeta strukturerat även när förutsättningarna förändras.

PHP-sårbarheterna är ett aktuellt exempel på hur snabbt sådana förändringar kan ske. För fastighetsägare och förvaltare är den långsiktiga frågan densamma: har leverantören den kontroll och beredskap som krävs för att ta ansvar när något händer?

Ta med de tre frågorna till nästa leverantörsmöte. Be om konkreta svar som ni kan följa upp.

Teknisk bakgrund

PHP-projektets egna beskrivningar av sårbarheterna och tillgängliga åtgärder: