sou · GTB342 · 2006-01-01 00:00:00 — Utredningen angav också att man hade för avsikt att särskilt belysa möjligheterna till kompetensutveckling genom en mera generell användning av revisionsinstrumentet inom områdena informationssäkerhet och IT-säkerhet. Utredningen uttryckte avsikten att värdera huruvida en mer generell användning av informationssäkerhetsstandard utgör en bra och resurseffektiv metod för att skapa en grundnivå för informa- tionssäkerhet samt för att utveckla beställarkompetens. Ett alternativ som utredningen såg var att istället för införandet av viss standard, föreslå revisionskrav. Utredningen angav också att man avsåg följa uppbyggnaden av en certifieringsfunktion vid . Utredningen konstaterade att det finns behov av att på ett bättre sätt tydliggöra rollen som (). är det i praktiken Försvarsmakten som genom Totalförsvarets signalskyddssamordning (TSA) har denna roll. Detta trots att något formellt beslut att så skall vara fallet inte har tagits. Utredningen konstaterade vidare att det sker en eftersläpning av signalskyddsutvecklingen och att en anledning till detta är den organisatoriska placeringen. Det innebär att en avvägning sker mot Försvarsmaktens övriga resurser, då det inte finns medel särskilt avsatt för denna verksamhet. Utredningen skrev att det är viktigt att anseende inom detta område upprätthålls genom väl avvägda satsningar och att man därför skulle följa utvecklingen inom dessa frågor. I syfte att fördjupa underlaget har utredningen genomfört dialoger med berörda myndigheter, kommuner och landsting samt med företrädare för näringslivet inom området. Underlag för utredningens överväganden berörda myndigheter har haft huvudsyftet att ytterligare belysa de frågeställningar som FOI har tagit upp i sitt underlag för ut- värdering av uppgiftsfördelningen inom informationssäkerhets- området (FOI-R-1369-SE). Organisationsfrågorna har således varit centrala i detta sammanhang. Utredningen återkommer till dessa frågor i slutbetänkandet . Som komplement till dessa dialoger har dessutom ett antal semi- narier genomförts, där frågor om informationssäkerhetsarbetet inom näringslivet och berörda myndigheter har kunnat belysas ytterligare. En scenarioövning med utredningens experter, sakkun- niga samt ytterligare myndighetsrepresentanter genomfördes . Genom sammansättningen av deltagare ansågs för- utsättningarna goda att få frågorna belysta ur ett myndighets- perspektiv. Ytterligare en scenarioövning med samma spelupplägg genomfördes . med representan- ter för näringslivet. , e-nämnden, inrättades . Nämndens uppgift är att stödja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte mellan myn- digheter och mellan myndigheter samt enskilda. Detta skall ske genom att nämnden beslutar om de standarder eller liknande krav som skall vara gemensamma för det elektroniska informationsut- bytet för myndigheter under regeringen. Nämnden skall vidare bistå med information och utarbeta riktlinjer samt verka för att det på informationsteknikmarknaden tillhandahålls tjänster och pro- dukter till stöd för elektroniskt informationsutbyte. Nämnden har möjlighet att utfärda såväl bindande föreskrifter som rekommendationer i form av riktlinjer och vägledningar. Arbetet bedrivs i projektform genom att nämnden ger uppdrag till andra myndigheter att bedriva arbete på olika områden. Nämndens uppgifter är fastställda i förordning (2003:769) med instruktion för och i förordning (2003:770) om statliga myndigheters elektroniska informationsutbyte. Stats- kontoret ansvarar för nämndens kansli. Utredningen har tagit del av nämndens arbete genom en av ut- redningens experter. Se även avsnitt 7.8. Underlag för utredningens överväganden 2.4.2Sveriges kommuner och landsting En stor del av samhällets informationssäkerhetsarbete bedrivs i kommuner och landsting. I en strategi för informationssäkerhet är det därför viktigt att detta faktum beaktas och att utredningen beskriver de problem kommuner och landsting upplever inom in- formationssäkerhetsområdet. Utredningen betonar behovet av ge- mensamma lösningar samt behov av ett bättre kapacitetsutnyttjande för att uppnå ett informationssäkerhetsarbete som alla parter vinner på. Tillit och förtroende inom informations- och kommuni- kationsområdet är nödvändigt för att ny teknik skall användas mer. Kommunerna uppvisar stora olikheter vad gäller antal invånare, förutsättningar och behov. Variationen i såväl användande av IT, som val av teknik och säkerhetslösningar är stora. Den mest framkomliga vägen förefaller därför vara att från statligt håll föreslå målsättningar för informationssäkerhetsarbetet och överlåta beslut om hur dessa skall uppnås till respektive kommun och landsting. Kommuner och Landsting lyfter fram några frågor som särskilt angelägna : behovet av en långsiktig lösning kring e- legitimation/certifikat, fortsatt utveckling av en obruten vårdkedja, stöd för risk- och sårbarhetsanalyser samt ökad samverkan på alla nivåer. Dagens modell för hantering av elektroniska legitimationer och certifikat har visat sig ha egenskaper som i vissa fall snarare hämmar än främjar utvecklingen. Detta beror bland annat på att den bygger på att kontroller av certifikat bekostas via en transaktionsbaserad modell. Detta gör att de kommuner eller landsting som utvecklar e- tjänster ser risker för att kunna få stora och okontrollerbara utgifter. Affärsmodellen bygger i huvudsak på att myndigheten betalar för varje gång man kontrollerar en e-legitimation eller underskrift. Det finns alternativ som innebär fast pris eller år men kommuner och landsting ser bekymmer med att inte kunna styra över medborgarnas användning och helt få kontroll över kostnaderna. Dagens lösning på området främjar inte utvecklingen av e-för- valtningen. Kommuner och landsting efterfrågar därför en nationell lösning med ett större statligt ansvarstagande. Underlag för utredningens överväganden Sammanfattningsvis betyder detta att verksamheter med få men stora transaktioner – till exempel självdeklaration via nätet och () – får kostnader som är hanterliga medan den dagliga verksamheten i en kommun kan leda till okontrollerbara och mer kännbara kostnader. Carelink2 arbetar tillsammans med Landstingen med att ta fram samverkansformer och lösningar för att utveckla de informations- och kommunikationssystem som är knutna till vården. förvaltar och utvecklar , 2001 Sjunet, den nationella infrastrukturen för vård och omsorg. Sjunet är ett VLAN (Virtuellt ). Samtliga landsting, ett antal kommuner, ett antal privata vårdgivare inkl och , samt ett tjugotal leverantörer, inklusive , är anslutna till Sjunet. Det är angeläget att informationssäkerhetsfrågor tas upp i de risk- och sårbarhetsanalyser som genomförs i kommuner och landsting. Det gäller såväl verksamhetsrelaterade risker som eventuella inte- grerade informationssäkerhetsproblem. Delvis är detta en resurs- fråga. De mindre kommunerna har varken ekonomiska eller per- sonella resurser att göra särskilda informationssäkerhetsanalyser. Framtagande av checklistor anpassade till olika verksamheter kan vara en väg att underlätta ett sådant arbete. måste hanteras genom att nyttan av att inkludera informationssäkerhetsfrågor i risk- och sårbarhetsanalyser lyfts fram. Kommuner och Landsting har medverkat i två stödprojekt riktade till kommunerna i samband med statliga satsningar: pro- jektet Infrabas som var en del av ITiS –satsningen (IT i Skolan) samt ett pågående projekt kopplat till bredbandsutbyggnaden. Erfarenheterna av denna form av stöd till kommunerna är mycket goda. 2 bildades av , , Föreningen Vårdföretagarna (f.d. ) och . stöder verksamheten genom ett samverkansavtal. Underlag för utredningens överväganden Stöd och inspiration till att genomföra lokala övningar, där effekter av till exempel konsekvenser av internt genererat databort- fall (och inte, som vanligtvis, skadekonsekvenser från en extern kris eller olycka) övas, är efterfrågat. Sådana övningar är ett sätt att öka medvetenheten på bred front. Informationssäkerhetsfrågorna måste hanteras som en integrerad del av skolans verksamhet. Utrymmet för särskilda insatser är mycket begränsat. Frågor som inte hanteras inom ordinarie läro- plan löper stor risk att aldrig tas upp. Pedagogiken är viktig och bör utgå från naturliga drivkrafter hos användare. Det är också angeläget att dessa frågor lyfts in i grundutbildningen. Samverkan mellan stat och kommuner Ur kommun och landstingsperspektiv är det önskvärt att oklarhet kring olika myndigheters roller reds ut. En bättre samordning av statens insatser efterfrågas. är det inte ovanligt att flera myn- digheter närmar sig kommunerna med frågor som tangerar varandra, vilket medför såväl merarbete som ökade kostnader för kom- munerna. Det finns ett stort behov av förbättrad samverkan mellan staten och kommuner och landsting. Bredbandsutbyggnaden är ett gott exempel på samverkan där lokala förutsättningar och driv- krafter har beaktats av staten. Kommuner och Landsting har ett förbundsöver- gripande projekt, e-förvaltningsprojektet som har till uppgift stödja kommuner och landsting i deras strategiska arbete med att utveckla en sammanhållen elektronisk förvaltning (24-timmars- myndighet). Detta arbete sker i nära kontakt med de myndigheter och departement som hanterar dessa frågor. Eftersom näringslivet är en heterogen grupp företag med skiftande förutsättningar och mål kan de inte till fullo antas ha samman- fallande behov och krav på informationssäkerhet. Det är viktigt att hålla detta i åtanke, i sammanhang där näringslivet nämns. Underlag för utredningens överväganden ningen har eftersträvat en inblick i vilka förväntningar representan- ter för olika delar av näringslivet har på utvecklingen av informa- tionssäkerhet och hur de ser på de statliga åtgärder som prövats. Enligt utredningens direktiv skall den strategi som formu- leras omfatta hela samhället. Att i en strategi övervägande fokusera på statlig förvaltning leder fel. Utredningen har vid ett flertal till- fällen sammanträffat med representanter från olika delar av näringslivet. Kontakt med de representanter som utredningen träffat har sökts bland annat via och Näringslivets Säkerhetsdelegation. Utredningen har samtalat med olika represen- tanter, dels under sammanträden tillsammans med utredningens experter och sakkunniga och dels under en scenarioövning. 2.5Utredningens slutsatser av inhämtat underlag De genomförda dialogerna och seminarierna har bidragit till att bekräfta bilden av behov, möjligheter och problem inom informa- tionssäkerhetsområdet. Tillsammans med de iakttagelser som utredningen redovisat i delrapport 2 utgör dessa ett bra underlag för de överväganden som redovisas i de följande avsnitten. Ett första viktigt konstaterande är att staten har i stort sett samma problembild att hantera som den som redovisas av kommuner och landsting. Det handlar om gränssnittet mellan myndigheter och medborgare, om tillit och förtroende och möjlig- heter till ökad delaktighet i den offentliga verksamheten samt om ökad tillgänglighet till information med bevarad integritet och trygghet. En utveckling av informationsförsörjning i alla dessa avseenden förutsätter att ett antal säkerhetsproblem löses. Vidare har staten och kommunerna en i allt väsentligt likartad struktur, såväl politiskt som organisatoriskt. Förutsättningarna för samverkan inom staten respektive mellan kommunerna företer många likheter. Ett andra viktigt konstaterande är att, även om offentlig sektor och näringslivet i många avseenden delar problemen med bristande informationssäkerhet, skiljer sig förutsättningarna i fråga om struktur, organisation och möjligheter till samverkan. Inom näringslivet finns inte förutsättningar för central styrning eller representativ sam- verkan så som är vanligt inom offentlig sektor. Näringslivets motsvarighet kan möjligen återfinnas inom branscher, där staten ställer vissa gemensamma krav genom lag eller motsvarande, till exempel inom bankväsendet. Ofta uppträder varje företag för sig Underlag för utredningens överväganden och agerar på en konkurrensutsatt marknad. Samverkan är därför inte alltid möjlig eller ens önskvärd. En tredje iakttagelse från seminarierna är att informationssäker- het kan ses som ett gemensamt, tvärsektoriellt problem och som ett individuellt problem knutet till den egna, sektors- specifika verksamheten. Detta leder till att olika lösningar sannolikt måste sökas parallellt. Det kan således handla om att finna vägar att öka informationssäkerheten som en integrerad del av respektive verksamhet och att utveckla samverkan inom respektive branscher och sektorer i detta syfte. För detta krävs sannolikt en tydligare uttalad ansvars- och arbetsfördelning inom respektive sektor av samhället. Men det har även framkommit att det finns klara be- gränsningar i vad som kan uppnås genom sådana individuella lösningar. Det finns således ett antal kvalificerade frågeställningar inom informationssäkerhetsområdet, både vad avser komplexitet och möjliga konsekvenser eller skador av brister i informations- säkerheten. Dessa problem är av tvärsektoriell, gemensam natur och förutsätter ett annat angreppssätt på styrning och organisation. En förutsättning för detta är bland annat att gränserna mellan det offentliga åtagandet och det privata tydliggörs. En fjärde iakttagelse är att det finns ett ut- vecklat samverkansmönster mellan stat och berörda företag inom vissa verksamhetsområden vilket kan tjäna som förebild för en bredare och fördjupad samverkan i informationssäkerhetsfrågor på flera områden. Utredningen återkommer till de organisatoriska frågorna i sitt slutbetänkande. Dialogerna med berörda myndigheter och olika företrädare för näringslivet utgör en viktig del av underlaget inför för utredningens överväganden om uppgiftsfördelningen inom informationssäkerhetsområdet. De flesta verksamheter är beroende av information för att kunna fungera. Beroendet av fungerande informations- och kom- munikationsverktyg för att informationen skall kunna hanteras effektivt innebär nya utmaningar. Utredningen konstaterade i sitt andra delbetänkande att den tekniska komplexiteten ökar och att möjligheterna att ersätta IT-system med funktioner i många fall har försvunnit. Denna utveckling bidrar till ett ökat be- roende av IT för den dagliga verksamheten, styr- och reglerfunk- tioner, ekonomiska och administrativa funktioner med mera. Be- roendet av tekniken, som ökar inom samtliga sektorer i samhället, och därpå följande förändringar i rutiner och handhavande skapar en mängd behov. Nya behov som uppkommer genom utvecklingen kan vara en statlig angelägenhet men kan också vara nya om- ständigheter för respektive verksamhetsansvarig eller användare att beakta och hantera. Behoven inom informationssäkerhetsområdet skiljer sig åt mellan olika aktörer. Behov och möjligheter kan dessutom ses ur flera vinklar: ur verksamhetssynpunkt och ur säkerhetssynpunkt. I verk- samhetsansvaret ingår kravet på informationssäkerhet, vilket inne- bär att en verksamhetsanpassad säkerhetsnivå skall uppnås inom ordinarie ekonomiska ramar. Vare sig uppgiften är hälso- och sjuk- vård eller annan verksamhet, är respektive verksamhetsansvarig i någon mening ansvarig för resultatet. Detta styrs på olika sätt inom privat och offentlig sektor och säkerhetsarbetet utgör en integrerad del av verksamheten. Den IT-relaterade hotbilden innebär dock att flera aktörer kan vara drabbade av samma problem och att det finns åtgärder som skulle kunna vara till nytta för flera av dem som utsatts. Gemensamt för flertalet aktörer är behovet av att minska sår- barheten i de informations- och kommunikationssystem som är viktiga för den egna verksamheten. Alla sårbarheter kan dock inte Därför måste bland annat säkerhetsmedvetandet ökas för att kompensera för kvarstående sårbarhetsproblem. Bedöm- ningen av sårbarheter bör göras utifrån välgrundade sårbarhets- och riskanalyser, vilka kan indikera vilken nivå säkerheten bör ligga på. 3.1Behov, möjligheter och problem ur verksamhetssynpunkt Allt fler verksamheter kräver hög informationssäkerhet för att kunna bedrivas på ett korrekt sätt. Informationssäkerhet kan vara huvuduppgiften eller en sekundär uppgift. För den verksamhets- ansvarige utgör informationssäkerheten i de flesta fall ett av flera krav som skall uppfyllas i verksamheten. Informationssäkerhet är inte en åtgärd vid extraordinära händelser, utan ett vardagskrav för god funktion. Många verksamheter är i ökande grad beroende av elektroniska kommunikationstjänster. Dels för överföring av olika typer av information inom den egna organisationen och dels för kommunikation med externa aktörer eller funktioner. Information kan utgöra verksamhetens huvudsakliga tillgång medan andra organisationer kan vara beroende av stödfunktioner vars informa- tionssäkerhet det måste gå att ställa höga krav på. Olika aktörer – som offentlig sektor, privat sektor och med– borgare – har olika behov på informationssäkerhetsområdet, men också skiftande ansvar och skyldigheter. Alla aktörer har inte heller samma möjligheter eller incitament att bidra till informationssäker- het utanför den egna verksamheten. Samhällets medborgare har ett behov av att kunna lita på funk- tionaliteten och förutsägbarheten i de informationstjänster som de är beroende av i sitt vardagliga liv, till exempel kontakt med myn- digheter och banktjänster över Internet. Tilliten är ett nödvändigt rekvisit för att medborgarna skall ändra sitt beteende och i allt högre utsträckning använda sig av IT. Tillit används här som ett övergripande begrepp omfattandes tillgänglighet, tillförlitlighet och integritet. Tillit är en subjektiv upplevelse och kan inte med nöd- vändighet hänföras till graden av teknisk säkerhet i ett system. För att IT skall användas för att inhämta och hantera information måste graden av tillgänglighet vara tillräckligt hög. En alltför hög tröskel för användande leder till att traditionella sätt att utföra ärenden söks. Komplicerade säkerhetslösningar kan göra användandet av tjänster svårt eller långsamt, eller kan leda till opraktiska sökvägar för information. Medborgarna har förutom rättigheter och behov också en del i samhällets säkerhetssträvanden. Alla användare av IT bör själva i så hög grad som möjligt följa de säkerhetsföreskrifter som finns och vidta de åtgärder som rekommenderas för ökad informationssäker- het. Detta ansvar rör till exempel att uppdatera antivirusprogram med rekommenderade intervall och att upprätthålla en relevant kom- petensnivå i förhållande till de aktiviteter man avser genomföra. Inom näringslivet är behovet av säker kommunikation och in- formationsöverföring stort, även om behoven varierar beroende på verksamhetens natur. Utöver företagens eget behov av informa- tionssäkerhet är deras roll i samhällets totala informationssäkerhet nödvändig att förhålla sig till. Det åvilar företagen ett stort ansvar som drivkraft bakom utvecklingen av såväl IT som säkerhetslös- ningar och som producent av allmänt tillgänglig teknik och tjänster samt som användare av IT att bidra till att öka informationssäker- heten i samhället och därmed ökat användande. För att skydda den egna verksamheten är företagen själva ansvariga att vidta tillgängliga säkerhetsåtgärder. Det faktum att samhällsviktig infrastruktur och funktioner som den egna verksam- heten är beroende av ofta finns utanför måste tas med i analysen av hela säkerhetsbilden. Säkerheten är då inte enbart en angelägenhet för den verksamhetsansvarige. Företag med samhällsviktig verk- samhet har ett behov av att dels definiera vad som är att betrakta som samhällsviktigt och dels av att få tydliga direktiv om vad detta innebär för verksamheten och vilka särskilda åtgärder som är nöd- vändiga. Statens behov av informationssäkerhet är tudelat. Dels är staten beroende av säker informationshantering inom den egna förvalt- ningen och dels i kontakten med övriga samhället. Projekt för att underlätta kontakten mellan stat och medborgare, till exempel 24- timmarsmyndigheter kräver en hög grad av informationssäkerhet. Det finns även en internationell aspekt av statens behov av infor- mationssäkerhet. För att skall kunna hävda sig i såväl inter- nationella sammanhang som EU, måste informationssäkerhetsarbetet harmonieras med den internationella utvecklingen såväl gällande grad av informationssäkerhet som av säkerhetslösningar. De behov som finns inom statlig sektor sammanfaller till stor del med det som finns i kommuner och landsting. Informationssäker- hetsfrågor bör ingå som en integrerad del i de risk- och sårbarhets- analyser som tas fram för kommunerna. Det gäller såväl verksam- hetsrelaterade som eventuellt integrerade risker. På kommun- och landstingsnivå finns det behov av ett förebyggande arbete för att säkerställa och förbättra de nationella försörjningssystemen, till exempel Stomnät för el och IT samt på såväl nätägar- som operatörs- nivå. Informationssäkerhetsproblem skulle kunna lösas genom att man på central nivå utvecklade decentraliserade modeller. Inom landstingen är frågan om hanteringen av medicinska register angelägen att diskutera ur ett informationssäkerhetsperspektiv. För aktörer vars uppgift till exempel är att förmedla elektroniska tjänster åt andra är situationen delvis en annan. Den verksamhets- ansvariges möjligheter att påverka informationssäkerheten i system, som ligger utanför det egna området, är begränsade. Detta gäller framför allt kommunikationstjänster. Outsourcing - att lägga ut IT-system på driftsentreprenad, vilket innebär att en del av det dagliga ansvaret för driften av system flyttas till en extern part - blir allt vanligare. För mindre företag och kommuner innebär det en stor resursmässig och ekonomisk lättnad att kunna anlita andra aktörer med specialkompetens för delar av informationshanteringen, när denna inte är del av kärnverksamheten. Detta kan i många fall leda till förbättrad säkerhet. Det är dock ett inte försumbart problem att man genom att lägga ut informationshantering på entreprenad riskerar att få försämrad inblick i sin säkerhet och mindre möjlighet att påverka den. På motsvarande sätt är de flesta aktörer indirekt beroende av leverantörer av tjänster motsvarande till exempel elförsörjning eller transporter och därmed av informa- tionssäkerhet i dessa system. Även i detta fall lämnas således en stor del av informationssäkerhetsproblemen till marknaden att lösa. Inom dessa områden kan det finnas behov av att kunna garantera tredje man viss informationssäkerhet, eftersom utbudet och valfri- heten kan vara begränsat. Frågan om kommunikationstjänsterna är så viktiga att det kan vara motiverat att rikta särskilda krav. Utgångspunkten för samtliga aktörskategorier är att varje verk- samhetsansvarig genom ansvarsprincipen måste svara för sin egen informationssäkerhet, på samma sätt som för sin säkerhet i övrigt. Staten har i praktiken vare sig möjlighet eller anledning att i särskild ordning reglera vilken nivå för informationssäkerhet som bör finnas i respektive verksamhet. Undantaget är intresse i och ansvar för statens egen verksamhet. I den mån verksamheten omfattas av annan lagstiftning eller motsvarande måste informationssäkerhet kunna inrymmas utan närmare specificering. dock att vissa legaldefinitioner, till exempel gällande elektroniska urkunder och inom e-handelsområdet, är nödvändiga eftersom tekniken är ny, vilket i viss utsträckning påverkar befintliga lagars tillämpning. Inom bereds kommittédirektiv till en utredning om en översyn av vissa be- stämmelser i 14 och 15 kap. ur ett IT-perspektiv. En fråga för översynen är i vad mån en elektronisk handling kan anses utgöra en urkund. Det finns dessutom ett behov av att utöka IT- relaterad kriminalteknisk verksamhet inom rättsväsendet. Med detta resonemang lämnas således en stor del av informationssäkerhets- problemen till marknaden att lösa. För att uppnå god informationssäkerhet måste medvetenheten om säkerhetsriskerna höjas.