sou · GVB347 · 2008-01-01 00:00:00 — Alla dessa kan ge underlag till förvaltningsgemen- samma specifikationer. kan ta initiativ inom området geografisk informa- tion liksom myndigheter eller myndighetsgrupper i övrigt med gemensamt intresse för samordning inom olika områden. Landstingens beställarorganisation för IT i vård och omsorg kan ta initiativ inom vårdsektorn. Kommuner och Landsting inom kommun- och lands- tingssektorn kan ta initiativ. Föreningar som Sambruk och kan ta initiativ. Interoperabilitet och gemensamma specifikationer i e-förvaltningen En del IT- och konsultföretag kan förväntas själva ta initiativ och bidra med förslag. Under alla förhållanden lär IT-bran- schen i hög grad komma att bidra till arbetet och resultaten, antingen på uppdrag eller av eget intresse. Detta är också önsk- värt för att tidigt få in marknads- och branschkompetens i arbetet. Ovanstående uppräkning hindrar inte att även andra kan ta initia- tiv. Arbetet kan således bedrivas i många olika konstellationer med olika arbetsformer och förutsättningar, och en sådan öppenhet och mångfald är en förutsättning för framgång. 6.4.4Förhållandet till formella och informella standarder Gemensamma specifikationer är i likhet med andra standardlik- nande specifikationer avsedda att så långt möjligt vara frivilliga och de bör utvecklas med möjlighet för alla berörda parter att delta på lika villkor. Det innebär att utvecklingen av gemensamma specifi- kationer som i praktiken motsvarar en ny standard så långt möjligt förväntas ske vid ett erkänt standardiseringsorgan, t.ex. SIS. De förvaltningsgemensamma specifikationerna kan referera till andra självständiga och frivilliga standarder, främst från de erkända (eller formella) standardiseringsorganisationerna SIS, , ISO eller möjligen deras motsvarigheter på elområdet SEK, CENELEC och IEC och inom telekommunikation ITS, ETSI och ITU-T. Inom IT-området utfärdas dock många viktiga standarder av andra, informella, standardiseringsorganisationer, främst IETF, W3C och OASIS. Internet är t.ex. helt beroende av informella, globala standarder från dessa tre, och det förekommer också att formella ISO-standarder i sin tur bygger på informella W3C-stan- darder som t.ex. XML. I samband med EU-direktiv och i upphandlingslagstiftningen kan det dock innebära problem att behöva hänvisa till informella standarder i föreskrifter och upphandlingsdokument. Rättsläget är svårtolkat och behöver belysas ytterligare. Problemet kan delvis kringgås genom att informella standarder upphöjs till formella standarder genom s.k. fast track procedures, vilket har börjat före- komma i ökande omfattning. Detta är dock ingen tilltalande lös- ning, eftersom det medför följande: ökade kostnader för byråkrati och administration Interoperabilitet och gemensamma specifikationer i e-förvaltningen betydande fördröjningar mellan färdigställande och formellt fastställande av standarder en reducering av den formella standardiseringen till en trans- portsträcka som inte tillför något intellektuellt förädlingsvärde. Frågan har uppmärksammats i kommissionens pågående studieTPF7FPT om behovet av förändringar i gällande policy kring ICT-standarder. Studien kommer i sin slutrapport att föreslå för- ändringar på området och kommissionen kommer i en kommuni- kation att uttala sig i saken . Andra typer av syntaktiska och semantiska förvaltningsgemen- samma specifikationer används också redan i praktiken. Vervas föreskrift om elektroniska fakturor anger exempelvis en specifika- tion från SFTI – en samarbetsorganisation som omfattar Kommuner och Landsting, och Verva. för elektronisk ingivning av årsredovis- ningar bygger på att informationen är strukturerad enligt specifi- kationer från den internationella organisationen och på taxonomier från föreningen , som därmed i prakti- ken förvaltar specifikationen, även om denna specifikation inte uttryckligen nämns i föreskrift. Detta är exempel på att den svenska förvaltningen använder spe- cifikationer från olika externa källor som inte räknas till de formella standardiseringsorganisationerna. Inom svensk förvaltning pågår arkitekturarbete i stora myndigheter som och och även inom sektorer eller områden som försvaret, rättsväsendet, länssty- relserna, vården (), geografisk information (med Lantmä- teriet som en nyckelaktör), jordbrukssektorn med flera. Dessa insatser tar sin utgångspunkt i att man vill samordna och effektivi- sera utvecklingen i den egna sektorn. Ett exempel är den struktur som beskrivs i Nationell IT-strategi för vård och omsorg (Socialde- partementet, Kommuner och Landsting m.fl. 2006). Beho- vet av tjänster i IT-strategin för vård och omsorg riktas mot två målgrupper – dels medborgare, patient och brukare, dels vård- och omsorgspersonal. 7TP PT har genom en sekreterare från vår utredning varit representerad i styrgruppen. Interoperabilitet och gemensamma specifikationer i e-förvaltningen Strukturen innehåller följande: Till denna beskrivning har kopplats ett antal insatsområden som beskriver en projektstruktur för ett genomförande. Olika områden har kommit olika långt och resultaten kan se ganska olika ut. Så länge skillnaderna handlar om den berörda sek- torns inre angelägenheter så är detta inget större problem, men när det finns behov av interoperabilitet måste det finns en struktur som beskriver sambanden, t.ex. en interoperabilitetetsarkitektur, se figuren nedan. Interoperabilitet och gemensamma specifikationer i e-förvaltningen Figur 6.1 En interoperabilitetsarkitektur beskriver hur verksamhetssystem kopplas samman. En interoperabilitetsarkitektur omfattar de datoriserade processer och den elektroniska information som är intressanta för andra organisationer att utnyttja, samt beskrivningar av de protokoll och teknologier, meddelandeformat med mera som tillämpas. Därut- över krävs ibland även organisatorisk anpassning hos de inblandade i samarbetet, varför arkitekturen ofta beskriver även organisations- överskridande processer samt de gemensamma begrepp man enats om. I en interoperabilitetsarkitektur ges övergripande lösningar av tillgången till förvaltningsgemensamma funktioner och resur- ser. Motsvarande arbete pågår inom EU:s IDABC-program, där en uppdatering av ett tidigare ramverk har påbörjats; Verva deltar i detta arbete. Det svenska arkitekturramverket kommer troligen att harmoniseras med den uppdatering och utveckling som är på gång med IDABC-programmets European Interoperability Frame- work, kallat EIF v2.0. En förstudie har beställts av Interoperabilitet och gemensamma specifikationer i e-förvaltningen som kommer att leverera sin slutrapport med rekom- mendationer till fortsatt arbete för att kunna uppnå det föreslagna principiella målet Public services where needed. Det preliminära förslaget bygger på att varje medlemsstat har sitt eget National Interoperability Framework (NIT), vilket således behöver ta fram. Då krävs en organisatorisk plattform för att dela erfarenheter, samordna metoder och modeller och komma fram till vad som behöver samordnas för att möjliggöra återanvändning och effektiva verksamhetsprocesser över sektors- och myndighetsgränser. De fyra nivåerna som beskrivits ovan är viktiga beståndsdelar i en interoperabilitetsarkitektur. Verva planerar att , i samråd med bland annat e-Forum (ett diskussionsforum för cen- trala myndigheter), föreslå ett grundläggande ramverk. 6.6Nytta, kostnad och risker I en rapport från VervaTPF8FPT analyseras bl.a. nytta, kostnader och risker förknippade med samordningen av IT-standardiseringen. Skälet till detta är att merparten av nyttorna förväntas uppstå när de specifi- kationer som finns i t.ex. föreskrifter och standarder tillämpas i konkreta funktioner. Det är också här de stora kostnaderna upp- kommer, eftersom arbetet med ramverket och kravspecifikatio- nerna är fråga om komplicerade processer med många aktörer inblandade. Framför allt betonas att man måste ta hänsyn till ris- kerna. Detta verkar vara särskilt relevant när det är fråga om IT- investeringar, där fokus annars tenderar att hamna på den tekniska nivån. Avsnittet är ett kort sammandrag av Vervas rapport, varvid viframför allt fokuserar på de gemensamma specifikationerna. Nuläget beskrivs i rapporten på följande sätt: Graden av IT-standardisering i dagens förvaltning är låg. Det saknas samordning och gemensam strategi. Användbarheten är ofta outvecklad. 8TP PT Verva: Ekonomiska samband kring ett förvaltningsgemensamt arkitekturramverk med kravspecifikationer. PM , av . Interoperabilitet och gemensamma specifikationer i e-förvaltningen Drivkrafterna för att samarbeta inom förvaltningen och hitta gemensamma och billigare lösningar är svaga. Det saknas bra metoder för att mäta lönsamhet för offentliga investeringar, särskilt när flera aktörer ingår. Lösningar utgår från tekniska möjligheter och tillgänglig pro- gramvara – inte från användarbehov, verksamhet och ekonomi. finns redan etablerade funktioner inom förvaltningen som bygger på gemensamma specifikationer, t.ex. genom implemente- ring av ramavtalsupphandlingar. Användningen har dock inte alltid fått den förankring och spridning som har förväntats. Nyttan med ökad samverkan är att man kan uppnå en minskad flora av produkter och tjänster inom förvaltningen med ökad enhetlighet och användarvänlighet för medborgare och företag. Kostnaderna delas i rapporten upp i förberedelser och verkstäl- lande. Under förberedelsefasen handlar kostnaderna om att kart- lägga existerande gemensamma specifikationer och standarder, behov av ny- och vidareutveckling samt hinder för interoperabilitet på olika nivåer. Under verkställandefasen ökar kostnaderna märkbart. Det handlar om engångsinvesteringar för att ny- och vidareutveckla gemensamma specifikationer inom några grundläggande områden, skapa en webbplats med webbtjänst för att lämna förslag samt en öppen katalogtjänst, etablera en förvaltningsgemensam samord- nings- och rådgivningsfunktion (standardiseringsenhet), sprida och förankra information internt och externt samt genomföra utbildningsinsatser internt och externt. I slutet av verkställandefasen avtar kostnaderna och administra- tions- och underhållsfasen tar vid. Denna fas handlar om att konti- nuerligt identifiera behov och utveckla specifikationerna, vilket kan medföra tillfälliga kostnadsökningar. Fasen innebär också att bevaka IT-standardisering, handlägga förslag till nya specifikatio- ner, följa upp specifikationer, främja samverkan, vägleda förvalt- ningen, sprida information och administrera samordningsfunktio- nen. De initialt högre kostnaderna under administrations- och underhållsfasen består av justeringar och insatser för att säkerställa tillämpning. Interoperabilitet och gemensamma specifikationer i e-förvaltningen De förväntade nyttoeffekterna innehåller dock också risker att inte realiseras. Detta beror till viss del på att nyttoeffekterna uppkom- mer först efter att ett projekt, en åtgärd eller investering har avslu- tats och att ingen är ansvarig för att se till att nyttan verkligen reali- seras. Här presenteras några centrala risker förknippade med den förväntade nyttan: risker med teknisk utveckling risker med överdriven tilltro. Den största risken med insatsen för gemensamma specifikationer är att förvaltningens aktörer i egenskap av användare inte tar hän- syn till den samordnade insatsen och inte deltar i arbetet eller tar hänsyn till specifikationerna. Anledningar till detta kan vara att information och kunskap om ramverket inte når ut eller att aktö- rerna har svårt att förstå och tillämpa specifikationerna, t.ex. i valet av standarder. Följden blir att de håller kvar vid egna lösningar eller utvecklar nya lösningar som inte uppfyller specifikationerna. Detta medför att ramverket och specifikationerna inte överensstämmer med förvaltningens behov och de funktioner som utvecklas samt att arbetet med interoperabilitet försenas och ger merkostnader. Åtgärder som kan sättas in är information och utbildning men också att skapa forum för dialog kring arbetet med ramverket och förvaltningsgemensamma funktioner. Genom att öka aktörernas inflytande i processen, t.ex. deras möjlighet att lämna förslag, ska- pas delaktighet och acceptans. Om normnivån inte är tillräckligt hög (t.ex. i form av föreskrift och vägledning) eller själva utformningen inte tillräckligt attraktiv för att lyckas motivera deltagande, kan det vara nödvändigt att anpassa normnivån, utveckla kompletterande styrmedel eller se över fördelningen av kostnader. Från implementeringssynpunkt kan det för en enskild aktör kan det vara rationellt att hitta egna tillfälliga lösningar – trots att dessa blir mer kostsamma , både för den enskilda aktören och för förvaltningen som helhet. Aktörer väntar dessutom ut varandra och hoppas att någon annan ska stå för utvecklingskostnaden. Interoperabilitet och gemensamma specifikationer i e-förvaltningen Andra orsaker till att aktörer inte deltar i arbetet med ramverket eller beaktar specifikationerna kan vara brister i tillit till hur arbetet bedrivs eller att man saknar intresse för att delta, dvs. vad som kan kallas organisatoriska risker. Aktörer som har hittat lösningar som de upplever fungerar kommer naturligt att vara ovilliga att byta. Det gäller alltså att ha en utarbetad strategi för att skapa driv- krafter för deltagande och användande och en process som skapar delaktighet. specifikationerna bör i största möjliga utsträckning hämtas från generella funktioner som finns på marknaden som minskar aktörernas risk och ger hållbarhet på lång sikt. Här är en tydlig strategi för samarbetet med externa aktörer och etablerade standardiserings- och normeringsorgan viktig. Interoperabilitet förutsätter att flera nivåer är i överensstäm- melse, dvs. inte bara den tekniska utan även den rättsliga, seman- tiska och organisatoriska. Det finns risk att fokus även fortsätt- ningsvis hamnar på den tekniska. En stor orsak till att nytta uteblir med IT-investeringar i all- mänhet är just bristen på överensstämmelse mellan verksamhetens behov och övriga förutsättningar. Rättsliga hinder för samverkan inom förvaltningen samt mellan förvaltningen och medborgare och företag måste därför kartläggas . Risker förknippade med teknisk utveckling är att utvecklingen av säkra IT-lösningar tar och kostar mer än beräknat. Om elektroniska överföringar inte är tillräckligt säkra och myndighe- terna inte kan skydda sig mot olika typer av dataintrång kan detta ifrågasätta satsningen och dess prioriteringar, och därmed skapa förseningar och merkostnader. För att komma tillrätta med detta kan arbetet med säkerhet behöva prioriteras ytterligare i kombina- tion med insatser för kommunikation med aktörerna i säkerhets- frågor. Satsningarna bör i första hand inriktas på funktioner som kan klara kraven på säkerhet. Politiska risker kan t.ex. vara att politiskt stöd saknas för inve- steringen och projektet avbryts, försenas, ändrar omfattning, änd- rar inriktning, får tilläggsdirektiv, får oväntade nedskärningar i budgeten (för deltagande myndigheter eller för hela eller delar av projektet) eller viktiga aktörer hoppar av. Risken är särskilt aktuell i samband med val och kan leda till att hela kostnads- och nyttobil- den förändras. Tilltron till fördelarna och möjligheterna med IT och nya verk- samhetssystem har en tendens att förstoras, särskilt av dem som har något att tjäna på att systemen införs, vad som kan kallas risker Interoperabilitet och gemensamma specifikationer i e-förvaltningen med överdriven tilltro. Därför är det viktigt att ha en tydlig plan för hur arkitekturramverket och kravspecifikationerna ska genomföras för att inte generera skepsis och motstånd mot satsningar på inter- operabilitet överlag. Två problem behöver enligt vår mening lösas. Det ena hänger samman med den drivkraft som finns eller kan skapas i den decent- raliserade och verksamhetsbaserade styrmodellen som vi har i , dvs. att varje myndighet, kommun och landsting har ett eget verksamhetsansvar inom de ramar som lagts fast av de poli- tiska organen. Utredningen koncentrerar sig på att lösa drivkrafts- frågan inom den statliga sektorn. Vi har i kapitlet beskrivit behovet av interoperabilitet mellan myndigheternas olika system för att möjliggöra enkel tillgång till information både för medborgare och andra privata användare liksom för olika delar av den offentliga sektorn. Som framgått så ingår de olika e-tjänsterna och registren i respektive myndigheters, liksom även kommuners och landstings, verksamhetsansvar. Vill man uppnå interoperabilitet krävs beslut hos respektive organisation. Den mest framkomliga vägen förefal- ler vara att precisera det verksamhetsansvar som de statliga myn- digheterna redan har men som ännu inte har formulerats på ett pre- ciserat sätt när det gäller interoperabilitet. Vi återkommer i kapitel 13 till metoden för detta. Det andra problemet är den organisatoriska formen för den centrala samordningen och det stöd som kan behöva ges till myn- digheterna. De eventuella motsättningarna mellan de enskilda myndigheternas, kommunernas och landstingens verksamhetsan- svar och det övergripande intresset av enhetlighet måste överbryg- gas på något sätt. Vad gäller kommun- och landstingssektorn handlar eventuell samordning och stöd om frivilligt deltagande. Vad gäller staten framgår det av regeringens beslut med uppdrag till Verva att det, för att åstadkomma den öns- kade interoperabiliteten och för att skapa förutsättningar för marknaden, behövdes riktlinjer, metoder och specifikationer som är gemensamma för förvaltningen och avpassade till näringslivets behov. För att underlätta och driva på utvecklingen ansågs det vik- tigt att de myndigheter som utvecklar automatiserade processer och e-tjänster har en kontaktpunkt att vända sig till för vägledning Interoperabilitet och gemensamma specifikationer i e-förvaltningen vid införandet av säker kommunikation och dokumenthantering. Verva beskrivs som en sådan kontaktpunkt för myndigheterna. I regeringsuppdraget till Verva om att samordna automatisering av viss ärendehantering m.m. () så handlar Vervas roll bl.a. om att vidareutveckla och sammanställa befintliga riktlinjer och vägledningar samt lämna förslag till hur ansvaret för begreppsmodeller för informationsutbytet bör fördelas mellan berörda sektorsmyndigheter (dvs. myndigheter inom olika sak- områden). Vårt uppdrag kan uttryckas på ett liknande sätt: för att uppnå interoperabilitet i allmänhet inom e-förvaltningen behöver myn- digheternas användning av standarder m.m. samordnas. Det behövs ett centralt samordningskansli för interoperabilitet och återan- vändning med stöd av gemensamma specifikationer. Verva pekas dock i våra direktiv inte uttryckligen ut som den centrala samord- ningspunkten. Detta blir en diskussionsfråga när alla beståndsdelar av samordningsfrågan kommit på plats efter de närmaste kapitlen, som behandlar olika delar av e-förvaltningen: informationssäkerheten (kapitel 7), upphandlingen, dels generellt (kapitel 8), dels särskilt den inköpsprocess som sker med elektroniska hjälpmedel (kapitel 9) och användningen av öppen programvara (kapitel 10). Därefter behandlar vi begreppsstandardisering samt några andra aspekter på IT-standardisering som inte i första hand är förvalt- ningspolitiska (kapitel 11). Slutligen återkommer vi till frågan om samordning och de organisatoriska alternativen i kapitel 12 och lämnar förslag i kapitel 13. I regeringens tilläggsdirektiv till vår utredning framhålls särskilt att informationssäkerhetsfrågorna ska ges en framträdande roll i utredningens arbete. I detta syfte har utredningen gett Verva i uppdrag att beskriva området och föreslår hur säkerhetsarbetet inom e-förvaltningen bör fortsätta. Detta kapitel bygger i huvudsak på Vervas rapportTPF1FPT som utarbetats i en arbetsgrupp där även exper- ter från och deltagit. Rapporten är ingen total redovisning av standardisering med koppling till detta område utan den begränsas till standarder som vunnit gehör och tillämpas, i större eller mindre utsträckning, inom offentlig verksamhet och näringslivet i och internationellt. Rapporten visar också hur standardisering och strukturerade arbetsformer kan bidra till utveckling av en effektiv och säker offentlig sektor. Utveckling av IT-användningen, inte minst den som följer av ökade krav på en effektivare offentlig förvaltning, innebär stora möjlig- heter men ger också en dramatiskt ökad sårbarhet. Den omfattande internationaliseringen – främst en ökad användning av Internet, utökat informationsutbyte mellan organisationer samt tjänster som innehåller olika former av integritetskänslig information – leder ofrånkomligen till att hela samhällets riskexponering förändras. Begreppet informationssäkerhet innefattar såväl det som tradi- tionellt benämnts som datasäkerhet som övriga områden med 1TP PT Verva, Informationssäkerhet – standardisering för ledning och styrning samt för säkerhet i system, produkter och tekniska skyddskomponenter. anknytning till hur information ska kunna hanteras på ett säkert sätt i skilda slag av verksamheter. Utgångspunkten är att viss information kan vara kritisk i något avseende – t.ex. genom att verksamheten och dess mål kan komma att äventyras om informa- tion kommer till obehörigs kännedom, modifieras, förstörs eller på annat sätt görs otillgänglig (). Detta synsätt gör att informationssäkerhetsområdet är mycket omfattande och kom- plext och därmed också omfattar skydd av information – både när den hanteras manuellt av människor i en organisation och när den behandlas och kommuniceras med hjälp av IT. Ett väl genomfört informationssäkerhetsarbete inom ramen för offentlig sektor är en nödvändighet för att skapa nödvändigt för- troende från allmänhet och företag. Därmed ökar också förutsätt- ningarna för att de investeringar som görs på e-tjänsteområdet blir lönsamma. Att åstadkomma god informations- och IT-säkerhet ställer krav på god styrning samt administrativa och tekniska skyddsåtgärder och är en förutsättning för att ärendehantering och dokument- produktion ska fungera utan störningar eller förlust av informa- tion. granskningar av ett tiotal myndigheter visar att det finns betydande brister, inte minst när det gäller ledningarnas engagemang och förmåga att styra. Ökat beroende av IT och framåt synliggjorde behovet av insatser. Viktiga initiativ togs inledningsvis av större industriföretag, bl.a. inom försvarsindustrin. upp- stod flera organisationsutvecklade de facto-standarder, bl.a. inspi- rerade av Försvarsdepartementet i och den samling anvis- ningar och rekommendationer som kallades . Sakkunniga inom området slog tidigt fast vikten av att säkerhet ses som en ledningsfråga och att ansvaret även beträffande infor- mations och IT-säkerhet måste följa verksamhetsansvaret. Infor- mationssäkerhetsarbetet präglades av två stora frågor av betydelse – Internets framväxt och det förestående mil- lennieskiftet. Persondatorns och Internets utveckling skapade nya hot och risker som medförde att det krävdes nya säkerhets- produkter för att förhindra intrång och spridning av farlig kod, dvs. datavirus, trojaner och liknande. Former för varudeklaration eller certifiering utvecklades. En modell att certifiera produkter på basis av internationella överenskommelser utvecklades från via Evalutation Criteria (IT- SEC) till Common Criteria eller ISO 15408 som blev dess stan- dardbeteckning. och inledningen av fick också stan- darder för ledning och styrning av IT- och informationssäkerhet en ökad spridning, liksom standarder för tekniska lösningar, t.ex. för identifiering med hjälp av smarta kort och kryptering. 7.3Nuläget för informations- och IT- säkerhetsstandardisering i Standardiseringen vad gäller informationssäkerhet har i huvudsak bedrivits inom ramen för SIS arbete kopplat till ISO/IEC, JTC1, SC27 och IT Security Techniques. Arbetet har utvecklats till att omfatta fem arbetsgrupper (WG) med följande inriktning: WG1 – Information security management systems WG2 – Cryptography and security mechanisms