sou · GVB347 · 2008-01-01 00:00:00 — Köparen har möjlighet att genom så kallade skyddsprofiler ställa krav på vilka säkerhetsfunktioner som skall ingå samt vilken säkerhetsnivå produkten ska certifieras mot. Exempelvis kan i samband med säkerhetsfunktionerna krävas att ett visst protokoll eller en viss algoritm ska vara implementerad enligt gällande standard. , Ledningssystem för Informationssäkerhet, är en serie av standarder som definierar kraven samt erbjuder råd för hur man skapar en säker informationshantering i en organisation. KBM har inom ramen för Samverkansgruppen för informations- säkerhet (SAMFITPF36FPT) initierat en arbetsgrupp för standardisering inom informationssäkerhetsområdet (SAMFI AgS). Syftet med denna samverkan är att samordna aktiviteter, att följa och påverka den nationella och internationella utvecklingen, att motivera användandet av standarder samt att arbeta med utbildning och information inom området. På det första mötet närvarade 15 myndigheter. En konkret aktivitet som efterfrågades var att inte enbart identifiera vilka standarder som behövdes, utan även på vilka sätt dessa skulle tolkas, implementeras och användas. Det finns ett starkt behov av en gemensam grundläggande säkerhetsnivå och en gemensam tolkning. Vidare diskuterades hur IT-management-standarder skulle kunna samverka med informa- 36TP PT SAMFI bildades och har deltagare från sju myndigheter; KBM, PTS, FRA, FMV, /, FM och Verva. tionssäkerhetsstandarder som ISO 20000 och ISO/IEC 27002. Även svårigheten att integrera informationssäkerhetsarbetet i den normala verksamheten belystes. Frågan om e-legitimationer kan uppfattas som att den, åtminstone delvis, handlar om standarder. När man undersöker området när- mare visar det sig att det istället handlar om affärsmodeller och vilka problem det ger olika aktörer. För att tydliggöra detta följer här en redogörelse för utvecklingen inom området. och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signa- turer genomfördes i genom lagen (2000:832) om kvalifi- cerade elektroniska signaturer som trädde i kraft . Av IT-proposition framgår att lagen gäller sådana certifikatutfärdare som är etablerade i och utfärdar kvalificerade certifikat till allmänheten. EG-direktivet syftade till att standardisera säkerhets- lösningar som e-signaturer och e-legitimationer inom gemen- skapen. Denna effekt kom emellertid inte att uppnås i , bl.a. på grund av att de kvalificerade certifikaten kan komma att med- föra skadeståndsansvar för utfärdaren, och p.g.a. kostnaden för att utfärda legitimationerna.TPF37FPT IT-proposition uttalade regeringen att betryggande säkerhetsfunktioner baserade på krypteringsteknik och elektro- niska signaturer måste utvecklas och göra allmänt tillgängliga i samhället så att förutsättningar skapas för ökad elektronisk kom- munikation och elektronisk handel. Vidare avsåg regeringen att inleda samverkan mellan de viktigaste aktörerna på leverantörs- och användarsidan för att få till stånd en samsyn om hur man kunde stimulera och utveckla en gemensam infrastruktur för elektroniska signaturer. Vikten av att sträva mot en teknikneutral utveckling som följer internationella standarder underströks.TPF38FPT gav regeringen () i upp- drag att under ett inledningsskede ha ett sammanhållande ansvar för administrationen av certifikat för elektronisk identifiering och elektroniska signaturer inom statsförvaltningen. genomförde uppdraget i samverkan med RFV, PRV och Stats- 37TP PT Prop. 2004/05:175, s 155 38TP PT Prop. 1999/2000:86, s. 47-48 kontoret i projektet (SAMhälletS Elektroniska Tjänster). En upphandling genomfördes av Statskontoret och avtal tecknades med , , Före- ningssparbanken , och . Enligt en rapport från dåvarande hade SAM- tagit fram de standarder, riktlinjer och råd som uppdraget från regeringen innehöll. I rapporten sägs också att försörjning med elektroniska id-handlingar till allmänheten och företag har lösts och att det finns en affärsmodell för detta.TPF39FPT Regeringen skriver i propositionen Från IT-politik för samhället till en politik för IT-samhället (2005/06:175) att genom dessa ramavtal svarar leverantörerna helt för att förse medborgarna med elektronisk legitimation av tillräcklig kvalitet och för att kontrol- lera riktigheten varje gång en myndighet vill identifiera en använ- dare som söker kontakt elektroniskt eller kontrollera en elektro- nisk underskrift.TPF40FPT Genom ekonomiska vårproposition (2005/06:100, s 166) infördes ett särskilt anslag om ca för e-legitimationer. Syfte med anslaget är att stimulera användningen av e-legitimationer. Den bakomliggande orsaken är att om små myndigheter och kommuner inte har tillräckliga resur- ser för att utnyttja e-legitimationer hämmar det utvecklingen av elektroniska tjänster i offentliga sektorn. Det nuvarande avtalet för e-legitimationer går ut . Det finns olika synpunkter på hur e-legitimationsfrågan bör lösas i fort- sättningen. Den lösning som finns anses av del som otillräcklig och osäker för att hantera känsligt material, t.ex. inom sjuk- och hälsovårdsområdet. Det kan röra sig om journaluppgifter som inte passar i dagens system, vilket kan skada förtroendet hos använ- darna om banker och andra privata aktörer misstänks få tillgång till känsliga uppgifter. Processen kring e-legitimationsfrågan och de problem som upp- stått verkar i första hand ha handlat om modell för utfärdande, behov som ska täckas och hur man ska få fart på användandet. Det talas mycket lite om standarder eller att det skulle finnas någon diskussion kring dem. Det verkar finnas frågor om samordning 39TP av certifikat för elektronisk identifiering och elektroniska signaturer i statsförvaltningen, , 2003 40TP PT s 155 som behöver få en långsiktig lösning men det rör inte i första hand standardiseringsområdet och därmed inte heller vår utredning. Sammanfattande kommentarer till fallbeskrivningarna I detta avsnittTPF41FPT görs en analys av och lämnas kommentarer till standardiseringssituationen inom flertalet av de områden som redovisas i ovanstående fallstudier. I nedanstående tabell markeras några viktiga faktorer relaterade till standardutvecklingen. Förutom överblick visar tabellen på några situationer där en obalans råder mellan drivkrafter och det vi kallat standardiseringssituation . Observera att analysen enbart gäller ett standardiseringsperspektiv, inte eventuella andra obalanser. Det finns ännu ingen gemensam modell för att jämföra standardutvecklingen mellan olika områden, utan tabellen får betraktas som ett första försök som vi hoppas kan vidareutvecklas av t.ex. Verva. Utredningen tar inte ställning till varje enskild värdering (som för överblickens skull gjorts mycket kortfattad) i tabellrutorna utan ser dem t.v. som hypoteser. Avslutningsvis har gjort en sammanfattning av de viktigaste slutsatserna utifrån tabellen, en analys som här i stort återges och som utredningen i huvudsak delar. 41TP PT Grundmaterialet till detta avsnitt är på utredningens uppdrag skrivet av professor , i rapporten , marknaden och den offentliga sektorns standardisering, . Tabellen är en bearbetning av omfattande material. Tabell: Standardutvecklingsituationerna i några svenska fall Internet (elektronisk kommunikation) Viktigaste drivkraft(er) formella standarder (ISO) kör- des över av marknaden Tidig utveckling: W3C, ISOC, ICANN Sen utveckling: Formella standardiseringsorgan Drivande aktörer just nu i Inga, Internet är importerat av användare och företag. när det gäller toppdomäner Sent agerande i vissa fall, t ex elektro- Marknadsstyrd i huvudsak. reglerad avseende t ex konkurrens Radio/TV (elektronisk kommunikation) Viktigaste drivkraft(er) Globalt standardiseringsarbete och nationell Internationella etablerade organ, nationell politik. Drivande aktörer just nu i Inga på det tekniska området, annars SVT. Aktivt i teknikval men inte i teknikutveckling. Övrig elektronisk kommunikation (PTS område) Viktigaste drivkraft(er) Globalt standardiseringsarbete, gemensam EU- Internationella, etablerade organ Drivande aktörer just nu i Myndighet med nationellt ansvar (PTS). Aktivt: Deltagare i standardiseringsorgan Välorganiserad internationell standardiseringsmiljö. Viktigaste drivkraft(er) Offentlig sektor och marknaden. kompletteras nu med nya format. Marknaden, offentlig sektor, branschorganisationer seringsorgan och anpassningar nationellt. Drivande aktörer just nu i ESV, SKL, Verva och marknaden. samordnas och utvecklas nationellt och inom EU. Offentlig sektor aktiv. Standardisering drivs internationellt samt nationell och branschvis anpassning. marknaden och offentlig sektor. Viktigaste drivkraft(er) Marknaden och internationella standardiserings- organ Generella säkerhetslösningar finns. Drivande aktörer just nu i Delvis internationellt reglerad. standardisering på komponent- och systemnivå. Viktigaste drivkraft(er) Myndigheten för skolutveckling tillsammans med vissa andra skolmyndihgeter, universitet och Några företag deltar också i arbetet.. finns en lång rad standarder som används, flertalet framtagna av konsortier såsom IMS och Delar av dessa stöds av svenska företag.. Drivande aktörer just nu i Frivilliga samarbeten finns. T ex samverkar några myndigheter och utbildningsorganisationer med att utveckla ( Education Information Markup Uppdrag till Myndigheten för skolutveckling. Generellt få drivkrafter eftersom det inte är en stor marknad, men det finns ett ökat intresse. Generellt råder anpassning till internationella tek- nik- standarder inom kontor och Internet. Undervisning: Marknaden driver genom LMS-utveck- ling. Bilaga 4 SOU 2007:47 Viktigaste drivkraft(er) Vård: Landstingen/ politik Medicinsk teknik: Markna- Internationella teknikstandarder importeras. nistrativa standarder utvecklas ännu ej i önskad Drivande aktörer just nu i Aktörerna har börjat formera sig (SKL, SoS, ). Den nationella IT-strategin för vård och omsorg kan bli en samlande kraft under förutsättning att aktörerna bakom den är tillräckligt starka. Frivilligt samarbete mellan huvudmän är huvud- Nationell samordning såsom arkitektur, standardi- serad terminologi m.m. saknas på det administrativa området, vilket riskerar försena teknisk utveckling, nationell överblick och patientperspektiv. niska området: anpassning till internationella stan- darder (som ofta är outvecklade och ännu proprietära). Viktigaste drivkraft(er) Nationell samverkan, EG-direktivet Inspire blir en allt är en internationell bransch eftersom t.ex. transporter är beroende av gemensamma standarder. Drivande aktörer just nu i Drivande, myndigheter med nationellt ansvar Viktigaste drivkraft(er) Brist, men främst på affärsmodell: svenskarna har inte Drivande aktörer just nu i Inga (men Verva har visst uppdrag). SOU 2007:47 Bilaga 4 Viktigaste drivkraft(er) Bibliotekstjänst, professionen. Standardutvecklingsprocess och dess resultat Kommunalt ansvar förhindrar interoperabilitet Drivande aktörer just nu i Decentraliserad affärsmodell gör att standar- disering av servicekomponenter saknas. Viktigaste drivkraft(er) Standardutvecklingsprocess och dess resultat Icke (väl) sökbar information. Drivande aktörer just nu i Ingen stark aktör med standard som tydligt incitament, men Verva har visst uppdrag. Lokala aktörers intressen styr (mer affärs- modell än teknik). Viktigaste drivkraft(er) Kommuner och landsting. Standardutvecklingsprocess och dess resultat Brist på standarder. För den enskilda kommu- nen, främst den lilla, är enhetliga modeller en medför stort beroende av teknikkonsulter, ofta med proprietär teknik. Drivande aktörer just nu i Ingen stark aktör SKL arbetar med att tydliggöra kommuners behov, vilket är en viktig del av standardutveckling. visst uppdrag som kan ge vägledning också Tekniska standarder finns på många områden, men nationell arkitektur saknas, varför ett tomrum råder och tydligt stöd för val och upp- Några drag i utvecklingen utifrån tabellen och fallbeskrivningarna Vår utgångspunkt är att lyckade områden kännetecknas av att standardiseringsläget är gott, att marknaden är drivande och att det finns en stark – central – aktör inom den svenska offentliga sektorn eller att den internationella utvecklingen driver på. Exempel är PTS, Radio/TV-området och området för geografisk information. I många fall räcker det med en drivande marknad, t.ex. inom områ- dena Internet generellt, säkerhet och elektroniska fakturor. I andra fall räcker det inte, t ex kommunala e-tjänster och skola, eftersom marknaden inte är så tydlig, t ex för att den är väldigt diversifierad, består av många små aktörer utan samordning eller tydliga allmän- giltiga krav. Exempelvis är det SKL:s ambition är att tydliggöra kommunernas krav; det är en ambition som måste förverkligas. Problemet är delvis uppmärksammat. I andra fall finns ingen marknad eftersom användarkrav inte definierats, t.ex. rättsin- formation. Folkbiblioteken är exempel på en tidig utveckling på grund av en gemensam aktör, men trycket i riktning mot interope- rabilitet mellan kommunerna är svagt och därför växer det inte fram någon standard i det avseendet. Sjukvården (vården, inte medicin och medicinteknik där det finns marknader) är ett mellanting, där marknadstrycket varit svagt men där det nu byggs upp en nationell samordning med politisk vilja. Svenska inhemska standardiseringsförsök har byggt på förhand- ling mellan aktörer (t ex kommuner – e-faktura). De har ofta misslyckats, och har med tiden körts över av internationella standarder som varit mer internationella och därmed haft fördelen av större spridning (t ex säkerhet). Misslyckanden är ibland ett resultat av den svenska förhandlingsmodellen, såsom försöken med Direkt och andra gemensamma ingångar till offentlig sektor. är problemet att man försökt standardisera för tidigt, som i fallet e-faktura. XML-formaten (som UBL) blev mer livs- kraftiga än EDI-formaten internationellt, och slog därför så små- ningom igenom också i . Här kan man se risker med att vara för tidigt ute, något som också ska vägas in i resonemangen. e- fakturan har dock utvecklats i takt med den internationella utveck- lingen och innehåller i sin nuvarande version modern teknik med internationell standard. Rubriken standardiseringssituation har valts i tabellen ovan för att markera att det viktigaste är inte att standardisera snabbt utan att verksamheten eller branschen i fråga så att säga hänger med i utvecklingen, så att det finns förutsättningar för standardisering. Det innebär, som framgår av tabellen, att det måste finnas starka aktörer inom , att man anknyter till internationell utveck- ling, och att incitamenten för enskilda myndigheters handlingar överensstämmer med den generella standardiseringsutvecklingen. I en sådan situation behöver myndigheter inte ta alltför långa om- vägar genom osäkerhet om vad man ska investera i eller genom att särintressen tar över. På flera områden finns sådana risker. Flera viktiga områden saknar enhetliga definitioner av både data och metadata. Detta gäller bland de exempel som studerats här sjukvård, rättsinformation, och , men även andra områden som t.ex. den svenska toppmenyn (), en fråga som Verva just har utrett på uppdrag av regeringenTPF42FPT. I samt- liga fall beror det på att det inte funnits någon stark aktör som har dessa frågor som affärsmodell, d.v.s. som ett tydligt incitament i sin verksamhet. Enhetlighet har huvudsakligen varit ett önskemål utifrån, som i utvärdering av verksamhet, anpassning till EU, eller brukarkrav, inte något internt som i stordrifts- fördelar. Man kan säga att detta är exempel på i vilka situationer New Public Management-modellen inte kan fungera, nämligen sådana där intressen på systemnivå inte tydligt kan uttryckas i incitament på myndighetsnivå. Standardisering sker per definition på systemnivå, IT-standardisering i förhållande till IT-system. För att kunna uttrycka standardiseringsbehov krävs därför två varandra kompletterande metoder, å ena sidan processer för att tydliggöra behoven av standarder, å andra sidan ett formellt ramverk mot vil- ket centrala krav på enskilda myndigheter kan formuleras. Här kan man förvisso se positiva tecken. Då det gäller den för- sta metoden, att uttrycka användarkrav och användarbehov av standarder, kan SKL:s e-förvaltningsprojekt och användarstyrda projekt såsom Sambruk ses som första steg. Det är dock för tidigt att se tydliga effekter av dessa, och nyckeln till framgång ligger i hur väl kraven kan omsättas i incitament för enskilda myndigheter. Då det gäller den andra metoden, ramverket, är tillsättandet av statssekreterargrupp och en interdepartemental arbetsgrupp med uppgift att stärka samordningen i tecken på 42TP PT Verva. Ett nationellt informationssystem – medborgares och företags tillgång till elektronisk samhällsservice. begynnande politisk styrning. De nya riktlinjerna till Verva () om att utveckla gemensamma riktlinjer och spe- cifikationer kan ses som början på en nationell strategi. Utvecklan- det av den nationella IT-strategin för hälsa och sjukvård och dess implementering är ett uttryck för behovet av nationell styrning. Detta är givetvis positiva tecken, men effekterna är ännu inte synliga. Dessutom gäller de i första hand statsförvaltningen och får därmed inte direkt effekt inom kommunsektorn, även om de san- nolikt kommer att ge effekter indirekt. Även om samarbete med SKL är inskrivet i direktiven är det de hårda resultaten såsom en tydlig struktur för informationsinfrastrukturen som kommer att ge sådana effekter. Vi har ovan visat att standardiseringssituationen i svensk för- valtning är väldigt olika inom olika sektorer. I sammanfattning kan man säga att när det finns ett tydligt användarperspektiv är stan- dardiseringssituationen mer livaktig. Exempel på detta, bland fall- studierna, är PTS och . Dessa finns inom en fun- gerande standardutvecklingsmiljö. En sådan utmärks av att det finns en internationell miljö och någon svensk aktör med tydligt mandat. I övriga fall är det som driver utvecklingen antingen mark- naden, IT-utvecklingsföretagens kommersiella perspektiv och tek- niska försteg, myndigheters egenintressen (t ex sjukvården, rättsinformationen) eller politik (ekonomistyrningen av skolan). Många av de områden som beskrivs i fallstudierna är breda – sjukvård, kommuner – och låter sig inte enkelt definieras av ett fåtal standarder och en tydlig marknad eller en stark ledande aktör. Några resultat av analysen är: På några områden finns uppenbar brist på koppling till helheten (gemensamma och tydliga prestationsmått). Det gäller sjukvård, skola, rättsinformation, och e-legiti- mationer. Inom vissa områden pågår samarbete och standardiserings- liknande utveckling på lägre nivå. Det gäller t.ex. sjukvård och . Sådana initiativ är både bra och ris- kabla. Bra för de inblandade eftersom de gör sin verksamhet mer enhetlig, ibland också inbegripande fler än en aktör. Riskabla eftersom de riskerar att ytterligare befästa de luckor som finns i tabellen: utan koppling till nationella mål och prestationsmått riskerar sådan utveckling att ytterligare försvåra nationell ens- ning. Svenska inhemska standardiseringsförsök har ofta byggt på för- handling mellan aktörer (t ex kommuner – e-faktura). har dessa misslyckats med tiden och körts över av internatio- nella standarder som varit mer internationella och därmed haft fördelen av större spridning (t ex säkerhet). Detta visar risker både med att försöka standardisera för tidigt och med att lämna för stort utrymme för särintressen. Policy- och planeringsdokument om EU:s IT-standardisering Av direktiven till utredningen framgår behovet av överblick över EU:s övergripande planering av IT-standardisering. Inget offentligt organ har f.n. en sådan, framförallt när det gäller IT-behoven utanför telekomsektorn, t.ex. den användning som sker av IT- standarder i e-förvaltningens tjänster. Frånvaron av överblick leder också till att i dessa frågor har svårt att samlat och slagkraftigt hävda svenska ståndpunkter inom EU. Nedan beskrivs några planeringsdokument som beskriver inriktningen av EU:s standardiseringsarbete; därefter beskrivs arbetet att ompröva EU:s policy för IT-standardisering som pågår parallellt med vår utredning. 1.1EU:s utveckling av standardiseringspolicy Det pågår åtminstone två översyner på EU-nivå av stor betydelse för standardisering på IT-området. Den ena är en översyn av EU:s IT-standardiseringspolicy, som vi beskriver ingående härunder. Den andra översynen som också bör nämnas är uppdateringen av det s.k. EIF, European Interoperability Framework. skall uppdateras till version 2 och syftar till att utgöra en gemensam europeisk mall för hur interoperabilitet mellan med- lemsländerna skall åstadkommas. Arbetet utförs inom projektet på DIGIT. –2007 genomför (DG Enter- prise) en ICT-standardisation policy study. Studien är ett resultat av EU-kommunikationen The role of european standardisation in the framework of EU policies and legislation (COM (2004)674 final). Kommunikationen meddelade att kommissionen avsåg att sjösätta en strategisk översikt av EU:s policy för IT-standardisering med syfte att bättre svara mot marknadens och samhällets utma- ningar. En grupp konsulter har uppdraget att genomföra studien (gene- ral invitiation to tender No ENTR/05/059). Till studien är kopplad en styrgrupp bestående av företrädare för medlemsländer, europe- iska standardiseringsorganisationer, samt internationella konsortier och företrädare för näringsliv och konsumenter. Studien genomförs , då slutrapporten presenteras. En av vår utrednings sekreterare har deltagit i studiens styr- gruppsmöten och arbetsgruppsmöten. Syften med dessa grupper har varit att övervaka studiens genomförande av den kontrakterade konsultgruppen i relation till uppdraget, samt att vara rådgivande. Publiceringen av studiens slutrapport sammanfaller med vår utrednings slutrapportering varför vi inte kan delge den här. Under arbetets gång har ett antal policyfrågor givits särskild vikt av medlemmarna i styrgruppen och deltagarna på arbets- gruppsmöten, och däremellan i en stundtals livlig e-post-diskus- sion. Vi återger här ett sammandrag av de policyfrågor som disku- terats, och beskriver sedan konsulternas tolv preliminära förslag. Slutgiltiga rekommendationer från projektet presenteras i de slut- rapport som kommer . Förslag därifrån kommer tillstäl- las SOGS och blir då en fråga också för medlemsländerna att bereda och ta ställning till. Samverkan med konsortier och fora MedanT 98/34-direktivet slår fast att enbart sådana standarder som emanerar från erkända standardiseringsorganisationer kan användas för gemensam europeisk standardisering, utvecklas enligt styrgrup- pen många viktiga IT-standarder utanför dessa formella organisa- tioner. (Detta gäller i större grad IT-området än telekommunika- tion/IT). Därför bör europeisk standardisering erkänna och ta hän- syn till sådana konsortier som arbetar för öppna standarder och i likhet med formella organisationer uppfyller förutsättningar för koherens, transparens, öppenhet, konsensus, oavhängighet och fri- het från särintressen. Förslagsvis, och som ett alternativ till for- mella erkännanden, menade gruppen, borde standardleverabler inte bedömas utifrån vilken organisation som utvecklat dem men utifrån kriterier kring vilka de tillkommit, exempelvis baserat på förutsättningar specificerade av WTO. Det finns också skäl att ytterligare uppmärksamma behovet av samarbete och samordning mellan konsortier å ena sidan och euro- peiska standardiseringsorganisationer å andra sidan. förekommer åtskilligt samarbete, dels på nivån av , , dels bilateralt, drivet av behovet att anta standarder som behöver tillgängliggöras i den formella europeiska strukturen. Det rådde bred enighet inom arbetsgruppen att en konsultativ kommitté bestående av samtliga europeiska formella standardise- ringsorganisationer samt konsortier och fora skulle kunna bidra med rådgivning till och samordna organisatio- nernas engagemang visavis EU:s standardiseringspolicies.