sou · GTB371 · 2006-01-01 00:00:00 — Det gäller till exempel krav på god funktion och teknisk säkerhet samt integritetsskydd i elektronisk kommunikation (till exempel telefoni, mobiltelefoni och Internet). Myndigheten arbetar för att göra näten mer robusta och för att förhindra att system slås ut vid störningar. PTS utreder och informerar även om säkerhet på Internet och andra säkerhetsproblem. PTS fick av regeringen i uppdrag att bilda en rikscentral för IT- incidentrapportering. Sitic () har som främsta uppgift att stödja samhället i arbetet med skydd mot IT- incidenter. Arbetet sker genom ett system för informationsutbyte om IT-incidenter mellan samhällets organisationer och Sitic. Sitic sprider information om nya problem som kan störa IT-system. Centrumet ger råd om förebyggande åtgärder och sammanställer statistik. Sitic har en omfattande omvärldsbevakning och en övervägande del av den är operativ. Utifrån hitintills insamlad erfarenhet har ett informationsinsamlingssystem skapats. 31 Förordning (2002:518) med instruktion för , 2 §. Nuvarande hantering av informationssäkerhet individer, organisationer och samlingsorganisationer – nationellt och internationellt – har varit av stor vikt för att få tillgång till förstahandsinformation. Det väsentliga från omvärldsbevakningen publiceras i första hand på Sitics webbplats och via e-post till anmälda prenumeranter. Utredningen kan konstatera att inrapporteringen av incidenter till Sitic har varit låg. Företag och organisationer känner inte till Sitic och har inte mekanismer för intern rapportering av IT- incidenter. Kunskapen om möjligheten att sekretessbelägga information om incidenter är inte spridd. En erfarenhet från Sitics arbete visar dock att tidig identifiering av risker, via omvärldsbevakning, ofta är viktigare än efterhandsanalyser av incidenter för att förebygga IT-incidenter. Statskontoret har haft flera uppgifter som har betydelse för utredningens överväganden och förslag. Myndigheten skall enligt sin instruktion samordna arbetet med den fredstida informationssäkerheten för den civila statsförvaltningen under regeringen.32 I praktiken har informationssäkerhetsarbetet i första hand inriktats på förändringsarbetet i offentlig sektor samt att åstadkomma tillgång till produkter och tjänster, genom uppgiften inom ramen för IT-upphandling. Detta har också omfattat upphandling av säkerhetsprodukter som möjliggjort utvecklingen av myndigheternas e-tjänster, till exempel e-legitimation och spridning och hämtningssystem (SHS). Statskontoret har möjlighet att påverka upphandlingen av till exempel utrustning och program genom sin uppgift att se till att villkoren för den offentliga förvaltningens inköp och användning av utrustning och tjänster på informationsområdet är så bra som möjligt. På IT-området genomför Statskontoret ramavtalsupphandlingar för den offentliga sektorn. I upphandlingsverksamheten ingår som en väsentlig del att ställa relevanta krav på säkerhet i de produkter och tjänster som upphandlas. Statskontoret har i sitt arbete med vägledning för bland annat 24-timmarsmyndigheterna också utarbetat rekommendationer för styrning av informationssäkerhet i enlighet med , och med det 32 Förordning (1992:877) med instruktion för Statskontoret, 2 § p. Nuvarande hantering av informationssäkerhet som grund även deltagit i det nationella och internationella standardiseringsarbetet med inriktning på . Vidare skall myndigheten stödja övriga myndigheters arbete med bland annat sekretessen i allmänna handlingar som hanteras i IT- system enligt sekretesslagen (1980:100) 15 kap. 9 §. Statskontoret ansvarar också för kansliet för . Datainspektionen är en förvaltningsmyndighet som har till uppgift att skydda människors privatliv i IT-samhället.33 Myndigheten har även uppgifter med anledning av personuppgiftslagen (1998:204),34 för att säkerställa att den personliga integriteten skyddas i sammanhang där informationsteknik används för att behandla personuppgifter. har fått skarpare resurser och förstärkt mandat att utöva tillsyn både vad gäller finansmarknaden, värdepapper och försäkringsmarknaden. övervakar företagen på finansmarknaden och har uppdrag att bidra till att finanssystemet fungerar effektivt och uppfyller kravet på stabilitet.35 De skall även verka för gott konsumentskydd i finanssektorn. arbetar bland annat med att ta tillvara konsumenters intressen i förhållande till IT-marknaden. De ger bland annat råd om e-handel, modemkapning och bredband, tar emot anmälningar om oönskad e-postreklam och ger tips om att använda Internet på ett säkert sätt samt ger råd och bistår de som blivit lurade på nätet. 33Förordning (1998:1192) med instruktion för Datainspektionen, 1 §. 34Personuppgiftsförordningen (1998:1191). 35Förordning (1996:596) med instruktion för . Nuvarande hantering av informationssäkerhet Styrelsen för ackreditering och teknisk kontroll (Swedac) ackrediterar laboratorier och certifierings- och kontrollorgan enligt lagen (1992:1119) om teknisk kontroll. Ackreditering föregås av insyning av organet mot kraven i tillämplig internationell standard. Swedac har i regel inte ansvar för de regelverk som organen certifierar eller kontrollerar mot. 3Utgångspunkter för organisation av informationssäkerhetsarbetet Såväl offentliga organ, företag som privatpersoner är beroende av fungerande IT och säker information. Att det är olika typer av aktörer som berörs gör informationssäkerhetsarbetet komplicerat, men ger också möjligheter till fruktbärande samverkan. Utredningen har i tidigare betänkanden pekat på de stora samberoenden som finns och den stora dynamik som bestämmer utvecklingen inom informationssäkerhetsområdet. I det tredje delbetänkandet Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), redovisade utredningen ett antal förslag till åtgärder som skulle förbättra informationssäkerheten i och därigenom bidra till bland annat tillväxt, konkurrens och ge förutsättningar för ökad delaktighet och utvecklad demokrati. Utredningen redovisade förslag till hur regeringens strategi för informationssäkerhet kan utvecklas. Vidare lämnades förslag till vad som bör falla inom det privata åtagandet och vad som skulle kunna betraktas som det statliga åtagandet, även om gränsdragningen är svår. Utvecklingen av den övergripande strategin sammanfattas i tio punkter som innefattar att: 1.utveckla position inom EU och i internationella sammanhang 2.skapa förtroende, trygghet, säkerhet, och öka integritetsskyddet 3.främja ökad användning av IT 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem 5.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen 6.förstärka förmågan inom området nationell säkerhet I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet 8.fokusera på samhällsviktig verksamhet Utgångspunkter för organisation av informationssäkerhetsarbetet 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd Den av utredningen föreslagna utvecklingen av regeringens strategi bör leda till organisatoriska konsekvenser. Detta följer av behovet att förstärka underrättelse- och säkerhetstjänsternas informationssäkerhetsarbete respektive att förstärka förmågan inom området nationell säkerhet med avseende på informationssäkerhet. Båda dessa områden förutsätter tydlig ansvarsfördelning och säkerställande av kompetens och resurser. Vidare bör den utvärdering som utredningen har gjort av de av regeringen beslutade organisatoriska förändringarna för att etablera funktionerna omvärldsanalys, incidenthantering, teknikkompetens samt evaluering och certifiering få organisatoriska konsekvenser. Slutligen bör den av utredningen föreslagna strategin att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar i några fall leda till justeringar inom nuvarande organisationer. Dessutom kan förutses att dessa uppgifter i några fall bör preciseras och införas i berörda myndigheters instruktioner. Det statliga åtagandets omfattning leder till krav på att bygga upp förmåga inom flera viktiga områden och att lösa ett antal uppgifter i den statliga verksamheten. Långt ifrån alla krav eller uppgifter är dock direkt beroende av hur staten organiserar sin verksamhet. Informationssäkerhetsarbetet måste, som utredningen påpekar, utgöra en integrerad del av alla aktörers verksamheter, så också inom staten. Detta följer av ansvarsprincipens tillämpning. Det återstår därför att formulera uppdrag och uppgifter till myndigheter i den befintliga organisationsstrukturen i syfte att öka säkerheten. Utredningen har därför i delbetänkande 3, Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42) redovisat förslag till handlingsprogram. har utredningen konstaterat att informations- säkerheten inte bara inrymmer frågeställningar för respektive verksamhetsansvarig utan att det också finns gemensamma behov och problem av tvärsektoriell natur. Dessa båda frågeställningar förutsätter ett annat angreppssätt på styrning och organisation och att gränsdragningen mellan det offentliga och privata åtagandet måste tydliggöras. Dessutom finns det, som utredningen redovisar under avsnittet offentlig-privat samverkan, sannolikt frågeställningar som inte kan lösas av en aktör ensam, inte ens av staten. Utgångspunkter för organisation av informationssäkerhetsarbetet inom offentlig sektor och mellan offentliga och privata aktörer förutsätter därför en tydlig ansvarsfördelning inom staten och en organisation som kan hantera frågor av gemensam respektive tvärsektoriell natur, i en vardag präglad av sektorstänkande och sektorsansvar. Statens åtagande, ansvar och intresse har av utredningen sammanfattats enligt följande: 1.Staten har ett övergripande ansvar för att en helhetssyn etableras och appliceras på informationssäkerheten och att nationella intressen bevakas genom EU och i internationella sammanhang. 2.Staten har ansvaret för samhällets regelverk på informationssäkerhetsområdet. 3.Staten har ett särskilt ansvar för informationssäkerheten inom ett antal politikområden. Det gäller statens kärnverksamhet, som till exempel rättsväsendet. Det gäller även ansvaret för att olika samhällsviktiga verksamheter bedrivs med tillräcklig säkerhet oavsett vem som äger dem (till exempel elförsörjning och telekommunikation). 4.Staten har slutligen ett eget intresse för informationssäkerheten inom sitt verksamhets- och ansvarsområde, i sina olika roller som till exempel ansvarig för myndighetsutövning och i sin ägarroll. Enligt utredningens uppfattning bör samtliga dessa åtaganden leda till organisatoriska konsekvenser. Till detta skall fogas de organisatoriska konsekvenser som följer av den av utredningen föreslagna utvecklingen av regeringens strategi. Utredningen har i sina direktiv fått i uppgift att genomföra en utvärdering av de fyra myndigheter som gavs uppgifter inom informationssäkerhetsområdet i enlighet med det som regeringen anmälde i Samhällets säkerhet och beredskap (prop. 2001/02:158). Den rapport som FOI redovisade på uppdrag av utredningen,36 samt de egna kontakter som utredningen har haft med berörda myndigheter utgör en viktig grund för de ställningstaganden som utredningen gör. En organisatorisk fördelning av uppgifter på området måste vara tillräckligt flexibel och långsiktig för att kunna klara den utmaning som teknisk utveckling innebär samt fluktuerande belastning av funktionerna. I tidigare betänkanden har utredningen pekat på ett antal förhållanden och synsätt som kan vara vägledande för 36 Underlag för utvärdering av uppgiftsfördelning inom informationssäkerhetsområdet, , och , FOI-R-1369-SE, , . Utgångspunkter för organisation av informationssäkerhetsarbetet I föreliggande kapitel presenterar utredningen de utgångspunkter som ligger till grund för hur detta arbete bör organiseras. Olika utgångspunkter för val av organisation Den organisatoriska modell som gäller formulerades som svar på ett starkt behov av ett samordnat statligt informations- säkerhetsarbete (prop. 2001/02:158 Samhällets säkerhet och beredskap). Flera funktioner saknades helt och fick byggas upp från grunden. behövde ett fungerande informations- säkerhetsarbete snabbt komma igång. Fyra funktioner skapades för att fungera under de förutsättningar som rådde då, såväl organisatoriska som tekniska. har utvecklingen gått framåt och regeringen har gett utredningen i uppdrag att genomföra en utvärdering och vid behov komma med förslag till alternativ organisering. Utredningen har därvid funnit att nuvarande organisatoriska modell behöver modifieras i vissa avseenden för att bättre möta dagens krav på informationssäkerhet. Samverkan mellan de olika funktionerna måste bli bättre då de är delar av en helhet och till del beroende av varandra. Uppgifterna måste vara tydliga och väl avgränsade för att undvika kraftsplittring och överlappande arbete. Oklarheter måste undanröjas och genomförandefrågor hamna i fokus så att avsett resultat kan uppnås. Om nuvarande organisationsstruktur i stort bevaras, med marginella eller inga förändringar, tas arbete och erfarenhet till vara. Å andra sidan cementeras även de aspekter av arbetet som fungerar mindre bra. Ett alternativt sätt att hantera informationssäkerhetsfrågorna är att samla alla funktioner som behövs under en och samma myndighet. Detta skulle kunna medföra korta beslutsvägar och goda möjligheter till korsbefruktning mellan funktioner som är avhängiga varandra. En sådan lösning skulle även skapa en självklar arena för olika typer av informationssäkerhetsfrågor och på så sätt minska risken för att ärenden inte behandlas bara för att de inte har någon naturlig organisatorisk hemvist. Att samla alla aspekter av informationssäkerhet under ett tak skulle innebära ett mycket stort organisatoriskt ingrepp då informationssäkerhetsrelaterade funktioner är spridda på ett antal aktörer. Förväntade gynnsamma effekter skulle inte uppstå . Det är till och Utgångspunkter för organisation av informationssäkerhetsarbetet med sannolikt att en temporär minskning av effektiviteten i arbetet skulle uppstå. Om däremot varje sektorsmyndighet ansvarade för informationssäkerheten inom sitt ansvarsområde, utan en gemensam, sammanhållande stödfunktion, skulle överlappande och sammanfallande uppgifter bli en nödvändig konsekvens. Denna lösning är enligt utredningens mening inte att föredra. Ansvarsprincipen innebär förvisso att varje aktör har ansvar för sin informationssäkerhet och utredningen har vid flertalet tillfällen förordat att så även fortsättningsvis skall vara fallet. Dock har staten det övergripande ansvaret, för till exempel sådana funktioner som rimligen inte kan lastas den enskilde, oavsett om det gäller ett företag eller en myndighet. Utredningen presenterade i sitt tredje betänkande Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), i anslutning till strategi för informationssäkerhet, ett handlingsprogram. De förslag till åtgärder som där läggs fram kan till del uppfyllas i en uppsättning funktioner. Utredningen har konstaterat att de funktioner som är viktiga eller till och med nödvändiga för ett gott informationssäkerhetsarbete i stor utsträckning redan finns. Däremot kan funktionerna i vissa fall behöva utvecklas, förstärkas och/eller sammanföras. Utredningen har konstaterat att informationssäkerheten inte bara inrymmer frågeställningar för respektive verksamhetsansvarig utan att det också finns behov av gemensam natur, där stora krav ställs på samordning. Vidare finns flera frågeställningar av tvärsektoriell karaktär, som ofta kräver tillgång på specialistkompetens. Dessa frågeställningar förutsätter ett annat angreppssätt på styrning och organisation än det traditionella sektorstänkandet. Det förutsätter vidare att gränsdragningen mellan det offentliga och privata åtagandet måste tydliggöras. Till dessa resonemang kan läggas att informationssäkerheten kräver tillgång till hög kompetens och resurser, såväl administrativt som tekniskt. Som liten nation är det av synnerlig vikt för att regeringen fokuserar de resurser som finns tillgängliga och utnyttjar samhällets samlade kapacitet på ett bättre sätt. I tidigare betänkanden har utredningen pekat på ett antal förhållanden och synsätt som kan vara vägledande för informationssäkerhetsarbetet. Några av dessa är särskilt viktiga för val av organisation inom staten: Informationssäkerhet omfattar hela samhället och frågeställningen är därför vidare än totalförsvarets behov. Utgångspunkter för organisation av informationssäkerhetsarbetet 2.Det finns ett behov att kraftsamla och att tydligare fokusera den statliga verksamheten nationellt, inom EU och internationellt. 3.Alla statliga aktörer måste, inom ramen för sitt respektive sektorsansvar, medverka till förmågan att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar. 4.Ansvaret för förmågan i den statliga kärnverksamheten, liksom för säkerheten i samhällsviktiga verksamheter, måste tydliggöras. Vissa gemensamma behov förutsätter bättre samordning inom staten och i samverkan med andra, icke-statliga aktörer. 5.Kompetensen och förmågan att hantera tvärsektoriella frågor måste säkerställas inom informationssäkerhetsområdet. Den första organisationsprincipen följer av ansvarsprincipen. Detta innebär att varje sektorsmyndighet har ansvaret för utvecklingen av informationssäkerheten inom sitt ansvarsområde och i relation till de aktörer som berörs av myndighetens verksamhet. I syfte att tydliggöra omfattningen av detta ökade ansvar har utredningen i det tredje delbetänkandet lämnat ett förslag till förordning om vissa åtgärder för informationssäkerhet i den statliga verksamheten.37 Inom några områden finns det enligt utredningens mening anledning att ytterligare tydliggöra och förstärka detta ansvar och uppdrag. PTS utökade ansvar och befogenheter inom området elektronisk kommunikation är ett sådant exempel. samverkan med aktörer inom finansmarknaden är ett annat. I andra fall kan det handla om att ge ökad prioritet och lyfta upp säkerhetsfrågorna i berörda myndigheters verksamhet och förstärka insatserna, till exempel inom energi- och transportsektorerna. Den andra organisationsprincipen syftar till att tillgodose sådana behov som är gemensamma i den statliga verksamheten. syftar framförallt till att uppnå en bättre samordning inom staten i administrativa och tekniska sammanhang. Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället, vare sig det handlar om att kunna hantera och ingripa vid störningar eller att ge underlag för förebyggande arbete hos alla aktörer. 37 SOU 2005:42 Säker information – Förslag till informationssäkerhetspolitik, s. 31 ff. Utgångspunkter för organisation av informationssäkerhetsarbetet Administrativa respektive tekniska frågeställningar Det finns flera olika aspekter av och sätt att se på åtgärder inom informationssäkerhetsområdet. Utredningen har i tidigare betänkande pekat på en vanligt förekommande indelning i administrativa respektive tekniska frågeställningar. Denna indelning återfinns också i de grundläggande definitioner som finns inom informationssäkerhetsområdet och som utredningen har anslutit sig till. Utredningen är medveten om att begreppet administrativ i vissa sammanhang kan uppfattas som liktydigt med byråkratiska, förvaltningsmässiga åtgärder. Som framgår av de definitioner som återfinns i inryms dock många aspekter av informationssäkerhetsarbete i begreppet administrativ. Då det har visat sig svårt att finna ett bättre begrepp har utredningen valt att använda denna indelning i resonemangen om vilka principer som bör ligga till grund för organisation av informationssäkerhetsarbetet i den statliga verksamheten. Utredningens syn på vad som bör ingå i den administrativa respektive tekniska funktionen utvecklas närmare i avsnitten 3.1 och 3.2. Utredningen har även övervägt och prövat möjligheten att använda indelningen i administrativa respektive tekniska fråge- ställningar som grundläggande organisatoriskt angreppssätt för att fokusera och kraftsamla den statliga organisationen. Tillsammans med förslaget till en mer utvecklad samverkan mellan privat och offentlig sektor skulle således en kraftsamling till en administrativ respektive en teknisk organisation (eller funktion) lägga grunden för en bättre ansvars- och arbetsfördelning inom staten. Behov av förändringar inom befintliga organisationer Som utredningen tidigare framhållit leder det statliga åtagandet till krav på att bygga upp förmåga inom flera viktiga områden och att lösa ett antal uppgifter i den statliga verksamheten. Långt ifrån alla krav eller uppgifter är dock direkt beroende av hur staten organiserar sin verksamhet. Inom några områden kan det som utredningen redan påpekat finnas anledning att ytterligare tydliggöra vissa myndigheters ansvar och uppdrag. I andra fall kan det handla om att ge ökad prioritet och lyfta upp informationssäkerhetsfrågorna i berörda myndigheters verksamhet Utgångspunkter för organisation av informationssäkerhetsarbetet och förstärka insatserna. Utredningen redovisar detta under kapitel 4. Samverkan mellan privat och offentlig sektor Enligt utredningen finns det problemställningar som är av sådan art att ingen av aktörerna ensam kan leverera lösningar. Följaktligen finns behov av att samverka för att identifiera och komma närmare lösningar på dessa. Det finns dessutom skäl att söka samverkan kring de prioriteringar som måste göras mellan olika problem och sektorer, i syfte att utnyttja tillgänglig kompetens och resurser på ett optimalt sätt. Under avsnitt 3.3 redovisar utredningen förslag till fortsatt arbete. Vidare bör staten samordna sina egna intressen inför en sådan fördjupad samverkan. Detta bör enligt utredningen ske genom att en myndighet ges uppgiften att initiera samverkan mellan statliga myndigheter och privat sektor samt svara för den nödvändiga samordningen mot övriga aktörer. Regeringens ledande och samordnande roll Regeringen har en ledande och samordnade roll inom informationssäkerhetspolitiken. Det sätt som regeringen väljer att sätta mål, styra och följa upp resultat är avgörande för myndigheternas arbete. Inom informationssäkerhetsområdet är det av särskild vikt med hänsyn till frågornas komplexitet, dynamik och internationella dimension. Utredningen har därför i det tredje delbetänkandet pekat på vikten av en sammanhållande målstruktur för informationssäkerhetsarbetet. Utredningen kan konstatera att regeringens strategi bör ligga fast i fråga om en funktion för omvärldsanalys. Den bör dock utvidgas i vissa avseenden, som utvecklas närmare under avsnitt 3.3.1. Utredningen har funnit aspekter av informationssäkerhet som behöver förstärkas och inordnas under de funktioner som finns . Detta gäller behovet av samordning av informationssäkerhetsarbetet nationellt och internationellt (avsnitt 3.1.3), liksom ett sammanhållande ansvar för kompetensfrågorna Utgångspunkter för organisation av informationssäkerhetsarbetet (avsnitt 3.1.4) och frågor som rör standarder och revision (avsnitt 3.1.5). Staten har, som utredningen har påpekat vid ett flertal tillfällen i tidigare betänkanden, Informationssäkerhet i och internationellt – en översikt (SOU 2004:32), och Säker information – förslag till informationssäkerhetspolitik (SOU2005:42), det sammanhållande ansvaret för informationssäkerhetsarbetet i samhället. För detta krävs att en bild av informationssäkerhetsläget, med hjälp av statistik och annan information, löpande tas fram och hålls uppdaterad. Omvärldsbevakning innebär insamlandet av information på området och analys är en bearbetning av detta underlag. Omvärldsanalys kan i stor utsträckning grundas på öppet material som sammanställs för att kontinuerligt kunna göra bedömningar och jämförelser.