frsrdg · GV04RRS6 · 2007-09-01 00:00:00 — Regeringen bör ge expertmyndigheterna tydliga mandat Expertmyndigheterna har inte kunnat förse regeringen med sådan information att regeringen fått en tillräcklig inblick i de väsentliga problem som finns i myndigheternas arbete med informationssäkerhet. Regeringen bör därför, enligt , tydliggöra dessa myndigheters uppdrag så att någon av expertmyndigheterna får ett tydligt mandat att följa upp och rapportera om myndigheternas styrning och kontroll av informationssäkerhetsarbetet. Regeringen bör i samband med detta precisera syftet med de årliga lägesbedömningar som görs av . Regeringen bör ge myndigheterna bättre förutsättningar och ställa tydligare krav på arbetet med informationssäkerhet Myndigheterna har själva ansvaret för sin informationssäkerhet. granskningar har dock visat att myndighetsledningarna är osäkra på hur de ska hantera frågor om informationssäkerhet. Detta kan enligt bedömning bl.a. bero på att det saknas tillräckligt tydliga krav från regeringen. Regeringen utlovade en översyn av regleringen inom informationssäkerhetsområdet. förde fram förslag på en förordning inom informationssäkerhetsområdet. Regeringen har ännu inte genomfört översynen av regleringen och inte heller tagit ställning till utredningens förslag. bedömer att en översyn av regleringen är angelägen särskilt mot bakgrund av satsningen på e-förvaltning. rekommenderar att regeringen tydliggör sin strategi inom informationssäkerhetsområdet, så att regeringen får en bättre grund för sin styrning av informationssäkerhetsfrågor inom statsförvaltningen och så att myndigheterna får bättre information om politikens innehåll. har av regeringen fått uppdraget att ta fram en handlingsplan för genomförandet av regeringens strategi. Detta uppdrag bör enligt mening även omfatta myndigheternas interna styrning och kontroll av informationssäkerhetsarbetet. I mål- och resultatstyrningen av de enskilda myndigheterna bör regeringen ta upp informationssäkerhetsarbetet. Kraven på de enskilda myndigheterna bör därvid anpassas efter deras skilda förutsättningar. GRANSKNING 2007/08:RRS6 16.42 2007/08:RRS6 STYRELSENS öVERVäGANDEN Styrelsen överlämnar härmed en framställning till med anledning av granskning av regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen. I anslutning härtill vill styrelsen anföra följande. En översyn av regleringen på området informationssäkerhet Styrelsen konstaterar att inslaget av IT-stöd i den statliga förvaltningen är betydande och att IT-beroendet har blivit allt större. Många myndigheter förfogar över mycket stora informationstillgångar. Informationssäkerhet i olika bemärkelser - dvs. skydd av informationen vad gäller konfidentialitet/sekretess, tillgänglighet, riktighet och spårbarhet - utgör en förutsättning för en mängd olika verksamheter av stor betydelse för medborgarna och förvaltningens funktionssätt. Betydelsen av informationssäkerhet tenderar också att öka med tiden, i takt med att IT-systemen blir mer komplexa och integrerade med varandra samt tillgängliga via öppna nätverk. Styrelsen vill framhålla de risker som är förknippade med denna utveckling. Frågor om informationssäkerhet behandlas i ett stort antal statliga författningar. I nämns fem olika lagar och fem förordningar från regeringen. Ingen av de aktuella författningarna innehåller dock krav på ett systematiskt arbetssätt med informationssäkerheten. Av granskningen framgår att regeringen har vidtagit åtgärder som rör tekniska förutsättningar för myndigheternas informationssäkerhetsarbete. Däremot har inga åtgärder vidtagits för att stödja myndigheternas interna styrning och kontroll av informationssäkerheten. har tidigare granskat informationssäkerheten i elva statliga myndigheter med stora skyddsvärda informationstillgångar. slutsatser utifrån dessa granskningar är att myndigheterna inte arbetar systematiskt med sin interna styrning och kontroll på detta område. Ett antal allvarliga incidenter har inträffat. Några genomgående problem gällde ledningens roll i de berörda myndigheterna. Det framgick bl.a. att myndighetsledningen ofta är osäker på vilka uppgifter den har i informationssäkerhetsarbetet och att den inte begär något tydligt underlag om vilka risker och hot som finns för verksamheten. De beslut om säkerhetsåtgärder som fattas fullföljs ofta inte och ledningen följer inte heller upp om säkerheten uppfyller de krav som ställts. Denna generella problembild har bekräftats såväl av de direkt berörda myndigheterna som av de fyra expertmyndigheter som haft kontakt med i granskningen. Styrelsen anser att informationssäkerheten i förvaltningen måste förbättras och att de beskrivna problemen motiverar åtgärder från regeringens sida. Av särskild betydelse är att regeringen formulerar tydliga krav på myndigheterna när det gäller hur frågor om informationssäkerhet ska hanteras. Styrelsen noterar att regeringen utlovade en översyn av regleringen på informationssäkerhetsområdet men att denna ännu inte har kommit till stånd. Styrelsen anser att regeringen bör genomföra en översyn av regleringen på området informationssäkerhet och återrapportera resultatet av översynen till . Styrelsens förslag Mot bakgrund av ovanstående överväganden föreslår styrelsen att begär att regeringen genomför en översyn av regleringen på området informationssäkerhet och återrapporterar resultatet till . 2001/02:158, bet. 2001/02:FöU10. Dessa rapporter rör (RiR 2005:26), (RiR 2005:27), (RiR 2006:24), (RiR 2006:25) och (RiR 2006:26). Informationssäkerhet är en samlingsbeteckning för åtgärder som syftar till att skydda olika typer av informationstillgångar - både information i IT-system och själva systemen (programvara och dokumentation). De fyra aspekterna av informationssäkerhet bygger på en internationellt accepterad standard, den s.k. LIS-standarden. De viktigaste är följande: verksförordningen (1995:1322), sekretesslagen (1980:100), förvaltningslagen (1986:223), säkerhetsskyddslagen (1996:627), personuppgiftslagen (1998:204), arkivlagen (1990:782), förordningen om myndigheternas riskhantering (1995:1300), förordningen (2006:942) om krisberedskap och förhöjd beredskap, säkerhetsskyddsförordningen (1996:633) och internrevisionsförordningen (2006:1228). () har beskrivit den interna styrningens och kontrollens olika beståndsdelar och deras samband i den s.k. COSO-modellen. I en kontinuitetsplan beskrivs de åtgärder som krävs för att de viktigaste delarna av verksamheten ska påverkas så lite som möjligt vid en allvarlig incident. Denna fråga har varit föremål för en särskild analys i granskningen se bilaga 2 i . 2001/02:10, bet. 2001/02:FöU10. (), Säkerhetspolisen (), Post & (), (), Verket för förvaltningsutveckling (Verva), Försvarsmakten (FM) och (). SOU 2005:42 och SOU 2005:71. Se not 4.