frsrdg · GV04RRS6 · 2007-09-01 00:00:00 — SAMMANFATTNING 2007/08:RRS6 16.42 2007/08:RRS6 SAMMANFATTNING 16.42 styrelses framställning angående regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen Sammanfattning har granskat regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen. Resultatet av granskningen har presenterats i en rapport med samma namn: Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). har tidigare granskat informationssäkerheten i elva statliga myndigheter med stora skyddsvärda informationstillgångar. Härav framgår att myndigheterna inte arbetar systematiskt med sin interna styrning och kontroll av informationssäkerheten. Ett antal allvarliga incidenter har också inträffat. nu aktuella granskning visar att regeringen har vidtagit åtgärder som rör tekniska förutsättningar för myndigheternas informationssäkerhetsarbete. Några åtgärder för att stödja myndigheternas interna styrning och kontroll av informationssäkerheten har dock inte vidtagits. Styrelsen konstaterar att inslaget av IT-stöd i den statliga förvaltningen är betydande och att IT-beroendet blir allt större. Betydelsen av informationssäkerhet tenderar att öka med tiden, i takt med att IT-systemen blir mer komplexa och integrerade med varandra samt tillgängliga via öppna nätverk. Styrelsen anser att informationssäkerheten i den statliga förvaltningen måste förbättras och att detta kräver åtgärder från regeringens sida. Styrelsen anser att regeringen bör genomföra en översyn av regleringen på området informationssäkerhet och återrapportera resultatet av översynen till . SAMMANFATTNING 2007/08:RRS6 16.42 2007/08:RRS6 SAMMANFATTNING 16.42 Sammanfattning 1 Innehållsförteckning 2 Styrelsens förslag 3 granskning 4 Informationsberoendet i staten 4 granskningar 4 Granskningens syfte och inriktning 5 Fokus på regeringens ansvar 5 Underlaget för granskningen 5 Fyra aspekter av informationssäkerhet 5 Bedömningsgrund för granskning av myndighetsledningarna 6 Bedömningsgrund för regeringens styrning 6 Den samlade problembilden 7 Elva myndigheter har granskats 7 bedömningar utifrån myndighetsgranskningarna 9 Problembilden har bekräftats på myndighetsnivå 9 Orsaker till problemen 9 Allvarliga incidenter har inträffat 10 slutsatser om myndigheternas ansvar 10 Granskningens slutsatser om regeringens ansvar 11 Bristerna på myndighetsnivå har konsekvenser för elektronisk förvaltning och nationell krishantering 11 Regeringens ansvar 11 Otydliga krav och mandat 11 Regeringen har inte följt upp myndigheternas arbete med informationssäkerhet 12 Brister i regeringens beredning av frågor om informationssäkerhet 13 rekommendationer 13 Regeringen bör tydligare fokusera på informationsfrågorna 13 Regeringen bör ge expertmyndigheterna tydliga mandat 14 Regeringen bör ge myndigheterna bättre förutsättningar och ställa tydligare krav på arbetet med informationssäkerhet 14 Styrelsens överväganden 15 En översyn av regleringen på området informationssäkerhet 15 Styrelsens förslag 16 INNEHåLLSFöRTECKNING 2007/08:RRS6 16.42 2007/08:RRS6 INNEHåLLSFöRTECKNING 16.42 Med hänvisning till de motiveringar som framförs under Styrelsens överväganden föreslår följande: En översyn av regleringen på området informationssäkerhet tillkännager för regeringen som sin mening vad styrelsen anfört om att regeringen genomför en översyn av regleringen på området informationssäkerhet och återrapporterar resultatet till . Följande ledamöter har deltagit i beslutet: (), (), (), (), (), Per (), (), (), () och (). GRANSKNING 2007/08:RRS6 2007/08:RRS6 GRANSKNING har granskat regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen. Resultatet av granskningen har presenterats i en rapport med samma namn: Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). Informationsberoendet i staten av IT-stöd i den statliga förvaltningen är betydande och IT-beroendet har blivit allt större. Merparten av den statliga verksamheten skulle sannolikt inte fungera utan IT-stöd för att hantera information och utföra tjänster för enskilda, företag och andra myndigheter. Regeringen har i olika sammanhang, inte minst i samband med utvecklingen av elektroniska tjänster hos myndigheterna, påtalat vikten av att IT-stödet är säkert och att informationen skyddas. Om informationssäkerheten brister finns stora risker för att myndigheterna inte kan uppfylla sina skyldigheter - beslut kan bli felaktiga, medborgarnas möjligheter till insyn kan äventyras, hemliga uppgifter kan felaktigt röjas för obehöriga, etc. granskningar har tidigare genomfört granskningar av elva olika myndigheters informationssäkerhetsarbete. Flera problem och incidenter har därvid påvisats. Det finns exempel på myndigheter som inte har lyckats avvärja virusattacker, vilket fått till följd att verksamheten inte fungerat. Allvarliga incidenter har också inträffat när myndigheter bytt IT-system eller infört nya IT-system. Vidare har brister i skyddet av myndigheternas hemsidor lett till att obehöriga fått tillgång till integritetskänsliga uppgifter och även kunnat ändra i dessa. framhåller att staten måste kunna garantera allmänheten och företagen att de statliga myndigheternas IT-användning uppfyller kraven på säkerhet. granskning utgår från att regeringen är ansvarig för sina myndigheters verksamhet och därmed också för att de säkerställer sin informationshantering. Att regeringen valt att delegera det mesta av detta ansvar till myndigheterna själva och till sina expertmyndigheter inom området förändrar enligt inte regeringens ansvar. Granskningens syfte och inriktning Granskningen har genomförts mot bakgrund av de problem som framkommit i granskningar av elva myndigheters informationssäkerhetsarbete. En analys av dessa problem presenteras i ett senare avsnitt. Fokus på regeringens ansvar Ansvaret för styrning och ledning av statsförvaltningens informationssäkerhet är fördelat mellan , regeringen, de av regeringen utsedda tillsyns- och stödmyndigheterna samt de enskilda myndigheternas ledningar. Den s.k. ansvarsprincipen innebär att ansvaret för informationssäkerhet ska ligga hos de myndigheter, företag och organisationer som har det normala verksamhetsansvaret. har i denna granskning valt att fokusera på regeringens ansvar för att följa upp förvaltningens arbete och ta initiativ till åtgärder för att förbättra förutsättningarna för förvaltningens arbete med informationssäkerheten. Underlaget för granskningen Granskningen baseras på en syntes av tidigare genomförda och separat redovisade undersökningar av informationssäkerheten i elva myndigheter. Fem av dessa har redovisats i rapportserie. De övriga har offentliggjorts i annan form, men är i de flesta fall tillgängliga via hemsida. Det skriftliga källmaterialet för det samlade granskningsarbetet är omfattande. Inför den här aktuella granskningen av regeringens ansvar på området har materialet kompletterats ytterligare. Vidare har intervjuer genomförts med företrädare för (fem departement) samt fyra av expertmyndigheterna på området, nämligen Kris- och beredskapsmyndigheten (KBM), Post- & (), Säkerhetspolisen () och Verket för förvaltningsutveckling (Verva). Fyra aspekter av informationssäkerhet I behandlas fyra olika aspekter av informationssäkerhet: Skydd av konfidentialitet/sekretess, dvs. att endast behöriga användare kommer åt informationen. Skydd av tillgänglighet, dvs. att behöriga användare har tillgång till den information och de funktioner de är behöriga till i rätt tid och omfattning för att kunna ge en god service. Skydd av riktighet (informations- och datakvalitet), dvs. så att obehöriga inte ändrar eller modifierar informationen samt att den uppfyller verksamhetens krav på kvalitet. Skydd av spårbarhet, vilket innebär att man kan se vem som gjort vad med informationen och informationssystemen och , t.ex. om informationen påverkats i strid med myndighetens regler. Bedömningsgrund för granskning av myndighetsledningarna Frågor om informationssäkerhet behandlas i ett stort antal statliga författningar. Regelverken tar bl.a. upp ledningens ansvar, hantering av handlingar samt krav på risk- och säkerhetsanalyser. Ingen av de aktuella författningarna innehåller dock krav på ett systematiskt arbetssätt med informationssäkerheten. har därför utvecklat en revisionsnorm för ändamålet, vilken bygger på de fyra aspekter av informationssäkerhet som beskrivits ovan tillsammans med ett etablerat synsätt på hur intern styrning och kontroll bör organiseras (COSO). omfattar följande moment: ledningens kontrollmiljö, riskanalyser, kontrollfunktioner, information och utbildning samt uppföljning, utvärdering och vidareutveckling (se figur 1). har enligt visat sig fungera väl i granskningsarbetet och har accepterats av de myndigheter som varit föremål för granskning. Dess närmare innebörd beskrivs i granskningsrapporten. Bedömningsgrund för regeringens styrning Det finns ingen av eller regeringen beslutad norm för regeringens styrning av myndigheternas interna styrning och kontroll av informationssäkerheten. har därför utgått från huvuddragen i de bedömningsgrunder som tillämpats i myndighetsgranskningarna. Det innebär bl.a. att regeringen förväntas ställa tydliga krav på myndigheternas styrning och interna kontroll, att regeringen följer upp förvaltningens arbete och att regeringen samordnar frågor om informationssäkerhet inom . Regeringen förväntas också tillse att utlovade eller beslutade åtgärder genomförs och att effekterna av dessa åtgärder följs upp. Kontrollmiljön Riskanalys Säkerhetsåtgärder och kontroll av dessa Information och utbildning Uppföljning och vidareutveckling av styrprocessen Den samlade problembilden Elva myndigheter har granskats har granskat och avrapporterat hur myndighetsledningarna vid elva myndigheter styr och kontrollerar arbetet med informationssäkerhet. Samtliga granskade myndigheter är starkt beroende av sina IT-system och informationssäkerheten är en viktig förutsättning för de berörda verksamheterna. De sex myndigheter som varit föremål för en mera ingående granskning var följande: () AMV:s cirka 10 000 medarbetare svarar för den offentliga arbetsförmedlingen med 320 lokala arbetsförmedlingar samt webb-tjänster. () FK:s cirka 16 000 medarbetare på 330 försäkringskontor administrerar de försäkringar och bidrag som ingår i socialförsäkringen. FK initierar utbetalningar på , året om. () LMV:s 2 000 medarbetare på 100 orter arbetar med fastighetsindelning och ger landskaps- och fastighetsinformation. () MV:s cirka 3 000 medarbetare ansvarar bl.a. för behandling av tillstånd för besök och bosättning i samt medborgarskapsfrågor. () De 350 medarbetarna beräknar och utbetalar pensioner till 260 000 mottagare - till ett värde av för främst statsanställda. (SjöV) SjöV är ett affärsverk. De 1 300 medarbetarna svarar för bl.a. lotsning, isbrytning, sjöräddning och sjökartering. De fem myndigheter som granskat mer översiktligt är följande: () BV:s cirka 530 medarbetare registrerar nya företag, tar emot årsredovisningar och registrerar företagsinteckningar. Försvarsmakten (FM) FM:s cirka 17 000 medarbetare utvecklar och använder operativa insatsförband, nationella skyddsstyrkor och utlandsstyrkan. () Styrelsens 250 medarbetare arbetar med tillsyn och föreskrifter inom områdena elektronisk kommunikation (tele, IToch radio) och post. () Verkets 800 medarbetare arbetar med räddningsinsatser samt råd och stöd för att minska antalet olyckor i samhället och deras effekter. () De cirka 260 medarbetarna vid affärsverket sköter stamnätet för elkraft och har systemansvaret för den svenska elförsörjningen. framhåller att de granskade myndigheterna tillhör statsförvaltningens största myndigheter och har omfattande skyddsvärda informationstillgångar. har alltså granskat myndigheter för vilka informationssäkerhet borde vara en väsentlig fråga för myndighetsledningen. bedömningar utifrån myndighetsgranskningarna undersökningar visar att de granskade myndigheterna med ett par undantag hade allvarliga brister i sina ledningssystem för informationssäkerhet. Exempel på sådana brister är att myndighetsledningarna inte ägnade dessa säkerhetsfrågor tillräcklig uppmärksamhet och att ledningarna inte utformat sina egna ledningsuppgifter på ett bra sätt. Frågor som borde vara förbehållna ledningen visade sig inte behandlas av vare sig myndighetsledningarna eller någon annan. Som exempel på sådant som enligt borde vara väsentliga ledningsfrågor kan nämnas vilka risker myndigheten saknar skydd mot, om kostnaderna för säkerhet är rimliga i förhållande till det ökade IT-beroendet och om delegationerna inom säkerhetsområdet fungerar. Granskningarna visade att det fanns en föreställning om att informationssäkerhetsfrågorna är av teknisk natur och att de därför inte hör hemma på ledningens agenda. Detta har medfört en mycket långtgående delegering, vilket - med undantag av ovan nämna ledningsuppgifter - inte i sig utgör något problem om ledningen följer upp de uppgifter som delegerats. Några sådana uppföljningar har dock inte gjorts. granskningar visade att arbetet med att genomföra beslutade säkerhetsåtgärder i flera fall släpade efter eller inte hade genomförts. Detta förhållande var ofta inte känt hos myndighetsledning och säkerhetschefer. Även andra allvarliga brister uppdagades i granskningar av de elva myndigheterna. Sammantaget saknades tillräckligt underlag för att ledningarna skulle kunna ha en tillräcklig överblick över vilka risker som beaktats och vilka risker som kvarstod. Problembilden har bekräftats på myndighetsnivå En uppföljning av vad tio av de granskade myndigheterna gjort efter granskningen visade i samtliga fall att myndigheterna hade tagit till sig iakttagelser av problem samt rekommendationer. undersökning visar även att problembilden på en övergripande nivå är känd av de fyra expertmyndigheter som intervjuats. Enligt har problembilden varit densamma . Kunskapen inom om de problem som funnit visade sig dock vara högst varierande. Orsaker till problemen Expertmyndigheterna framför flera tänkbara orsaker till de konstaterade bristerna i myndighetsledningarnas styrning av informationssäkerheten. Vid intervjuerna nämns bl.a. att det inte finns någon förordning eller föreskrift som reglerar myndigheternas interna kontroll inom informationssäkerhetsområdet, att ledningens engagemang i dessa frågor är otillräckligt och att riskanalysen för informationssäkerhet inte är en naturlig del av myndighetens samlade riskanalys. Dessutom finns orsaker av teknisk natur: Snabba förändringar i praxis för informationssäkerheten kan ha lett till osäkerhet om vad som gäller på området. Vidare betonas att övergången från slutna IT-miljöer i myndigheterna till öppna miljöer med e-tjänster på Internet är en ovan situation för myndigheterna. De har svårt att hinna med att se över säkerhetsåtgärderna. Komplexiteten i IT-systemen ökar, liksom integrationen mellan systemen. Kunskapen om detta och den sårbarhet som det innebär anses otillräcklig. Allvarliga incidenter har inträffat slutsatser utifrån de genomförda elva granskningarna är att myndigheterna inte utifrån gängse normer arbetar systematiskt med sin interna styrning och kontroll. Följande allvarliga incidenter i myndigheternas verksamheter har framkommit i granskningarna: Det finns exempel på myndigheter som inte har lyckats avvärja virusattacker, vilket fått till följd att verksamheten inte fungerat. Handläggarna hade exempelvis inte tillgång till nödvändig information. Allvarliga incidenter har inträffat när myndigheter bytt IT-system eller infört nya IT-system. Handläggare fick svårt att genomföra sina uppgifter i ett nytt system. Viktiga samhällstjänster för medborgare och företag på Internet fick stängas ned . Brister i skyddet av myndigheternas hemsidor har lett till att obehöriga fått tillgång till integritetskänsliga uppgifter och även kunnat ändra i dessa. slutsatser om myndigheternas ansvar Enligt analys har dessa incidenter delvis sin grund i brister i myndighetsledningarnas arbete med informationssäkerheten. De viktigaste ledningsproblemen är enligt följande: Ledningen är osäker på vilka uppgifter den har i informationssäkerhetsarbetet och hur dessa uppgifter ska utföras. Ledningen begär inte något tydligt underlag om vilka risker och hot som finns för verksamheten. Ledningen får därmed inte tillräcklig insikt i vilka åtgärder som ska prioriteras för att skydda verksamheten. Ledningens beslut om säkerhetsåtgärder fullföljs inte. Ledningen följer inte heller upp om säkerheten uppfyller ledningens krav. Ledningen är inte medveten om att viktiga åtgärder som kontinuitetsplaner, rapportering och hantering av incidenter inte fungerar. Ledningen underskattar betydelsen av utbildning och information till personalen, inklusive sin ledningspersonal och styrelsen. Granskningens slutsatser om regeringens ansvar bedömer att de ovan beskrivna problemen är allvarliga och att de innebär risk för betydande negativa konsekvenser för statliga åtaganden som elektronisk förvaltning och nationell krishantering. Bristerna på myndighetsnivå har konsekvenser för elektronisk förvaltning och nationell krishantering Regeringens satsning på elektronisk förvaltning innebär att alltfler myndighetstjänster blir tillgängliga på Internet, att flera myndigheter tillsammans skapar samverkande e-tjänster samt att det IT-baserade utvecklingsarbetet ökar även i övrigt. För att denna reform av förvaltningen ska lyckas måste medborgare och företag ha förtroende för de e-tjänster som finns på Internet, framhåller . Förtroendet för myndigheternas e-tjänster riskerar att minska om informationen inte kan skyddas. Detta kan hända om obehöriga får åtkomst till känslig information, om de kan förändra data eller på annat sätt agera så att tjänsterna inte kan användas. Då finns enligt en betydande risk för att hela satsningen på e-förvaltning äventyras. Brister i informationssäkerheten kan även påverka den nationella krishanteringen. Statliga myndigheter har som regel viktiga roller i samhällets förmåga att förebygga, förhindra och hantera kriser. Myndigheterna förutsätts därför ha en viss s. k. basförmåga för att kunna uppfylla sin roll och bidra till samhällets förmåga att klara kriser. Basförmågan är beroende av hur väl utformad myndighetens informationssäkerhet är. Regeringens ansvar Enligt har de statliga myndigheterna ett eget ansvar för sin informationssäkerhet enligt ansvarsprincipen. Regeringen har ett ansvar för att ställa krav på och följa upp statsförvaltningens arbete med informationssäkerheten samt ta initiativ till åtgärder för att förbättra förutsättningarna för förvaltningens arbete inom detta område. samlade bedömning är att regeringen inte följt upp om den interna styrningen och kontrollen av informationssäkerheten i statsförvaltningen varit tillfredsställande. Regeringen har inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för förvaltningens arbete med informationssäkerheten. Otydliga krav och mandat konstaterar att regeringen har vidtagit åtgärder som rör tekniska förutsättningar för myndigheternas informationssäkerhetsarbete, t.ex. e-signaturer, e-legitimationer, säkert Internet etc. Däremot har ännu inga åtgärder vidtagits för att stödja myndigheternas interna styrning och kontroll av informationssäkerheten. De granskade myndighetsledningarna uppfattar inte tydligt vilka krav och regler som gäller för deras informationssäkerhetsarbete, exempelvis när det gäller ledningens ansvar och myndigheternas riskanalyser. Detta kan enligt bedömning orsakas bl.a. av att författningarna på området inte ger någon tydlig och samlad vägledning. Regeringen utlovade en översyn av regleringen inom informationssäkerhetsområdet. Översynen har ännu inte genomförts. bedömer att översynen av regleringen är angelägen, särskilt mot bakgrund av satsningen på e-förvaltning. Regeringens strategi för informationssäkerhet ger enligt inte heller någon tydlig vägledning. Den är inriktad på samhället som helhet och preciserar inte kraven på myndigheterna. Regeringen har utsett sju olika expertmyndigheter med ansvar för olika frågor inom informationssäkerhetsområdet. Expertmyndigheterna har dock inte fått tydliga mandat av regeringen, något som enligt inneburit svårigheter för dem att ge regeringen en samlad bild av de statliga myndigheternas problem med informationssäkerhet. Tydliga mandat krävs också för att expertmyndigheterna ska kunna utfärda lämpliga föreskrifter som preciserar regeringens krav på myndigheternas arbete med informationssäkerhet. Regeringen har inte följt upp myndigheternas arbete med informationssäkerhet Granskningen visar att regeringen i stora drag har varit medveten om vissa ledningsproblem på informationssäkerhetsområdet. Bilden har dock varit otydlig vad gäller statliga myndigheter och någon samlad problembild avseende statsförvaltningen finns inte. Regeringen har, enligt , inte ställt några krav på de statliga myndigheterna att rapportera om de huvudsakliga problemen när det gäller informationssäkerhet. De lägesbedömningar om informationssäkerhet som görs av är enligt en viktig källa för regeringens bedömningar på detta område. Regeringen har dock inte ställt krav på att lämna informationen i sådan form att förhållanden som avser statliga myndigheter tydligt kan urskiljas från exempelvis kommuner och landsting. Det framgår också att inte anser sig ha ett sådant mandat att utöva tillsyn över myndigheternas informationssäkerhetsarbete som man behöver för att kunna ge regeringen ett bra underlag för dess styrning av den statliga förvaltningen. noterar också att ledningsfrågorna i de statliga myndigheterna inte har berörts i regeringens direktiv till de statliga utredningar som avsett frågor om informationssäkerhet. Brister i regeringens beredning av frågor om informationssäkerhet Regeringens organisering av arbete med informationssäkerhetsfrågorna och dess styrning av expertmyndigheterna är enligt otillräckliga för att hantera myndigheternas problem med informationssäkerhet. Inget departement har ett uttalat ansvar för att göra en samlad bedömning av myndigheternas interna styrning och kontroll av informationssäkerheten. Granskningen visar att principerna för att fördela ansvar och bereda frågor inom innebär att det krävs starka signaler - exempelvis allvarliga säkerhetsincidenter - för att ska uppmärksamma brister i enskilda myndigheter. Starka signaler krävs också för att identifiera generella problem i den statliga förvaltningen. Regeringen har dock inte nåtts av någon sådan signal, t. ex. via årliga lägesbedömning, och har alltså inte uppfattat att det föreligger ett behov av att åtgärda problem i myndigheternas arbete med informationssäkerhet. konstaterar vidare att inte heller de elva myndighetsgranskningar som gjorts av har utgjort en tillräckligt stark signal för att regeringen skulle dra slutsatsen att det finns generella problem i statsförvaltningen. rekommendationer Av granskningen framgår att regeringen har vidtagit flera åtgärder i syfte att ge förvaltningen och samhället i övrigt bättre förutsättningar att upprätthålla en god informationssäkerhet. Enligt bedömning är dessa åtgärder dock inte tillräckliga för att lösa de problem som myndighetsledningarna har med informationssäkerhetsarbetet. har därför rekommenderat regeringen att vidta följande åtgärder. Regeringen bör tydligare fokusera på informationsfrågorna elva granskningar av myndigheternas informationssäkerhetsarbete har av regeringen inte uppfattats som en signal på ett mer generellt problem. I och med regeringens satsning på e-förvaltning krävs, enligt , att regeringen också vidtar åtgärder för att fokusera informationssäkerhetsfrågorna. Särskilt Försvarsdepartementet och bör närmare samordna sitt arbete i frågor som rör myndigheternas informationssäkerhet.