sou · GVB347 · 2008-01-01 00:00:00 — Uppdragen kan ges återkommande i myndigheternas årliga reg- leringsbrev och ska återrapporteras till regeringen. Regeringen ska ge i uppdrag att fortlöpande bevaka näringspolitiska aspekter på IT-standardisering när det gäller inno- vationer och forskning. 13.2IT-standardiseringsansvar inom ramen för verksamhetsansvar 13.2.1Myndigheternas ansvar för interoperabilitet För att fortsätta att utveckla förvaltningens IT-stöd måste samar- betet mellan och inom myndigheter, kommuner och landsting utvecklas mer . Samarbetet måste därtill fokusera på för- utsättningarna för interoperabilitet, dvs. effektiva metoder för informationsutbyte. Framför allt måste de begrepp som används i IT-tillämpningarna standardiseras. I kapitel 6TPF6FPT gav vi några exempel på medborgares och kom- muners behov av interoperabilitet mellan statliga myndigheters informationssystem. Att öka interoperabiliteten är kostnads- krävande, men det möjliggör å andra sidan en utökad användning av IT. Två faktorer ligger bakom detta: Den tekniska kapaciteten har successivt blivit så stor att det är nödvändigt att optimera teknikanvändningen inom varje tjänst. I stället kan man nu bygga IT-systemen skiktvis med en generell teknisk plattform ovanpå vilken de speciella 6TP PT Se även bilaga 3, avsnittet öppen standard i IT-kommunikationen i referatet av intervjuer med kommunala företrädare. tjänsterna kan läggas, i enlighet med en IT-arkitektur inom sektorn. Internet har möjliggjort en allt högre grad av standardisering genom öppna standarder som inte behöver skräddarsys för varje användning och som möjliggör kommunikation med om- världen via standardiserade gränssnitt. Användningen av standardiserade format och tillämpningar förut- sätter dock att olika användare anpassar sig till gemensamma struk- turer. (Vi återkommer i ett följande avsnitt till samordningsfrågan.) För att säkerställa att interoperabiliteten uppmärksammas i myndigheternas arbete ska varje myndighet under regeringen ha en informationsutbytesansvar, dvs. ett ansvar för att det finns effek- tiva metoder för informationsutbytet – det som sammanfattas i begreppet interoperabilitet.TPF7FPT Här ingår även ansvar för tillgänglig- het, t.ex. för funktionshindrade. Interoperabilitet måste skapas på samtliga nivåer i systemen – den tekniska, semantiska, organisatoriska och rättsliga nivån – eftersom det räcker att det brister på någon av dessa nivåer för att interoperabilitet ska förhindras. Den rättsliga nivån finns med för att markera att rättssystemet måste utvecklas i takt med övriga tre systemnivåer om interoperabilitet ska kunna förverkligas i prakti- ken. Genom att på ett tidigt stadium i utvecklingsprocessen bygga in en naturlig samverkan med jurister och lagstiftare kan man, hop- pas vi, undvika att rättsliga hinder för den samverkande e-förvalt- ningen uppstår. För en fortsatt utbyggnad av IT-användningen krävs också en fortsatt standardisering av begreppen, dvs. innehållet i kommuni- kationen. Särskilt på det semantiska området kan det vara lämpligt att utarbeta nationella tillämpningsstandarder anpassade efter det svenska språket samt svenska rutiner och regler, på samma sätt som sker inom t.ex. vårdsektorn och på området för geogra- fisk information. Ansvaret för att initiera och genomföra sådana ligger hos berörda myndigheter, men arbetet kan göras i samverkan med såväl den centrala expertfunktionen som SIS och TNC. För att åstadkomma en rättvisande och någorlunda enhetlig uppfattning om läget bör alla offentliga aktörer få i uppdrag att kartlägga och dokumentera sin samverkan med andra myndigheter, 7TP PT Detta begrepp bedöms dock tills vidare som ett ord som är alltför främmande för svensk språkbruk och därför inte kan användas i författningssammanhang. och då särskilt förutsättningarna för det elektroniska informa- tionsutbyte som redan bedrivs eller som behövs införas. Verva är i färd med att inleda en sådan kartläggning inom ramen för reger- ingsuppdraget om automatisering av ärendehantering. Detta arbete bör göras enligt en gemensam metod och mall (enligt en gemensam specifikation) och resultatet rapporteras in och publiceras i en öppen katalogtjänst för fortsatt analys och samordning. Med tillgång till en sådan övergripande katalog över kommuni- kations- och informationsvägar ökar förutsättningarna för reger- ingen och stabsmyndigheterna, inklusive Verva, att göra korrekta bedömningar av vilka utvecklingsområden som bör prioriteras. Kartläggningen ska fokusera på interoperabiliteten, dvs. kommunika- tionsmöjligheterna mellan olika myndigheters informationssystem. 5.Varje statlig myndighet under regeringen ska utse en person som ansvarar för att främja det elektroniska informationsutbytet inom den offentliga förvaltningen (s.k. informationsutbytesansvarig). 6.Samtliga myndigheter ska ges i uppdrag att kartlägga och publi- cera sina informationsutbyten med tillhörande informationsstruk- turer, kommunikationslösningar och regelverk för att möjliggöra en samlad bild över vilka gemensamma lösningar som behövs för den offentliga sektorns på detta område. Varje myndighet och organisation har ansvar för sin egen informa- tionssäkerhet. Detta ansvar ligger inom respektive myndighets verksamhetsansvar. Enligt den s.k. (Säker information, SOU 2005:42) utvecklas IT-området snabbare än säkerhetsmedvetandet. Medvetandet om sårbarhet, hot och risker är mycket lågt hos enskilda användare, vilket enligt moti- verade särskilda insatser . Vi har kunnat konstatera att visionen om en sammanhållen e- förvaltning kräver ökade möjligheterna att kommunicera mellan SOU 2007:47 Överväganden och förslag olika myndigheters register och IT-applikationer. Ökade kopp- lingar mellan olika administrativa system innebär dock en ökad sårbarhet för systemet som helhet; om man har säkerhetsproblem i en del av ett sammanhållet system så sprider detta sig till andra delar av systemet. Detta gör att säkerhetsfrågorna, liksom de IT- standarder som används för att höja säkerheten, måste uppmärk- sammas mer ju mer sammanhållen e-förvaltningen blir. Myndigheterna bör säkerställa att informationssäkerheten han- teras på ett lämpligt sätt – antingen genom en ökad egenkontroll eller genom certifiering mot ISO/IEC-standarden 27001 och den officiella svenska versionen Ledningssystem för informationssäkerhet Detta skulle vara en förtroendeskapande åtgärd för e-för- valtningen och också bidra till ökad säkerhet hos leverantörer på IT-området. Det ledningssystem som beskriver innehåller följande moment: dokumenterad informationssäkerhetspolicy på övergripande nivå, med verksamhetskraven och ledningens viljeinriktning som utgångspunkt utpekande av ansvariga (roller), som visar vilka säkerhetspro- cesser som ska eller bör göras och målen för dessa struktur för anvisningar och regler för säkerhetsåtgärder som är anpassade efter verksamhetens behovsbild definition av en modell för riskanalys och riskhantering definition av en modell för uppföljning och förbättring av säkerhetsarbetet rutiner för kontinuerliga revisioner av säkerhets- och riskhan- teringsrutiner. ett strukturerat sätt att sprida kunskapshöjande insatser till medarbetarna i den egna verksamheten. Införande av ett ledningssystem enligt innebär inte beslut om en viss säkerhetsnivå utan det är enbart en anvisning för hur man åstadkommer ett systematiskt arbete med organisationens infor- mationssäkerhetsarbete för att i slutänden optimera affärs- eller verksamhetsnyttan. En certifiering enligt betyder inte heller nödvändigtvis att informationssäkerheten hos en organisation är god utan enbart att ledningssystemet följs. Att en organisation arbetar strukturerat med sin informations- tillgång och sina informationsprocesser inom ramen för ett ledningssystem innebär dock oftast i praktiken att organisationen har en god informationssäkerhet. Certifiering enligt är därför en garant för systematiken i myndighetens arbete och ett värdefullt komplement till andra granskningar som går mer in i sakfrågan. Många myndigheter har som ledstjärna i sitt informationssä- kerhetsarbete. föreslog att staten skulle använda inom den egna verksamheten. En klar majoritet av de statliga myndighe- ternas remissvar var positiva till detta; av 74 svarande myndigheter var 51 helt eller i stort sett positiva, 20 avstod, 2 var tveksamma och 1 var negativ. I tabellen nedan framgår några av de myndigheter som var positiva till detta förslag från . (som följer ), , Tveksamma var och Datainspektionen – den förra myndigheten med motiveringen att redan är den gällande standarden inom området men att detta förhållande inte behövde vara över åren, och den senare med hänvis- ning till ISO/IEC 17799 är under revidering vilket ger anledning att avvakta. Bland dem som avstod från att kommentera detta förslag fanns , , och . Försvarsmakten var den enda klart negativa myndigheten med motiveringen att tillämpning av innebar en risk för att bli skenbart heltäckande. Försvarsmakten föredrog att själv genomföra teknisk och administrativ kontrollverksamhet. Kravet på en fullständig implementering av uppfattas på sina håll som kostnadsdrivande och som att det innebär orimliga krav på mindre myndigheter. Certifiering enligt är förmodligen en alltför genomgripande åtgärd för myndigheter med lägre krav på informationssäkerhet. För mindre myndigheter kan BITS, KBM:s Basnivå för Informationssäkerhet, vara ett lämpligt första steg inför . Medan är en standard för en metod som anger vad som behöver beaktas utifrån ett organisationsperspektiv, är dock BITS, rekommendationer som anger hur säkerheten ska åtgärdas, i huvudsak på IT-systemnivå. BITS syftar till att skapa en minimi- nivå för informationssäkerhet och har använts framgångsrikt bl.a. av kommuner och landsting. BITS innefattar dessutom OFFLIS, dvs. Statskontorets metodstöd och mallregelverk för myndigheters informationssäkerhet. Verva bör fullfölja sin ansats att ge ut en föreskrift som pekar ut ISO/IEC 27001 respektive ISO/IEC 27002 () som grund för myndigheternas arbete med informationssäkerhet, kompletterat med BITS i en förbättrad form som grund till etablering av en basnivå för informationssäkerhet. Verva skulle även kunna bidra till ökad tillämpning av Common Criteria (CC), som är en standard för att definiera krav på IT- säkerhet i produkter samt regler och metoder för granskning av IT- produkter. Vervas insatser kan vara metodstöd vid kravställande inom ramen för e-förvaltningen, t.ex. målinriktade informationsin- satser beträffande offentliggjorda CC-evaluerade kravprofiler (PP, Protection Profile). Ett slags nationellt bibliotek med information kopplad till beskrivningar av en IT-säkerhetsarkitektur för den offentliga sektorn kan vara ett sätt att skapa tillgång till relevant information. Inom ramen för e-förvaltningen kan en stegvis upp- trappning av kravmetoderna vid upphandling ingå, som en väg mot ökad tillämpning av CC och certifierade produkter, t.ex. inom kri- tiska områden i IT-infrastrukturen med stor betydelse för kommu- nikationssäkerheten eller för säkerhetsprodukter som används i verksamheter med höga krav på sekretess. En ökad användning av CC som metodstöd bidrar dessutom till säkrare produkter och system, under förutsättning att standardens metodpaket utvecklas på ett sätt som så långt som möjligt förenklar användningen. Ett antal statliga myndigheter har viktiga roller när det gäller informationssäkerhet, och ett samarbete mellan dessa myndigheter bedrivs i Samverkansgruppen för informationssäkerhet (SAMFI). har ett sammanhållande myndig- hetsansvar för samhällets informationssäkerhet. Verva följer kontinuerligt utvecklingen av e-förvaltningens IT- standardisering på informationssäkerhetens område och skulle därigenom kunna ha ansvar för information och spridning av kunskap om standarder, en uppgift som behöver utvecklas och ges en allt tydligare inriktning och avgränsning. På sektorsnivå kan nämnas som ett exempel, vilken ansvarar för informationssäkerhetsfrågor på hälso- och sjukvårdens, tandvårdens och smittskyddets områden samt inom annan medicinsk verksamhet. informationssäkerhetsarbete är dock betydligt vidare än de andra myndigheternas, eftersom det inte bara handlar om informationsskydd utan även om krav på riktighet och tillgänglighet för att värna patientsäkerheten i vårdens informations- hantering. När det gäller de statliga vårdgivarna (m.fl.) har och Verva överlappande roller på informationssäkerhetens område. Verva ska få i uppdrag att ingående undersöka hur kostnads- aspekten påverkar spridning och användning av standarder inom myndigheterna när det gäller informationssäkerhet inom e-förvalt- ningen. 8.Myndigheter som deltar i upphandling av IT-tjänster och IT- utrustning för e-förvaltningen bör definiera den egna organisa- tionens säkerhetskrav kopplade till det som ska upphandlas. 9.Verva bör fullfölja sin ansats att ge ut en föreskrift som pekar ut ISO/IEC 27001 respektive ISO/IEC 27002 () som grund för myndigheternas arbete med informationssäkerhet, förslagsvis med BITS i en förbättrad form som grund för etablering av en basnivå för informationssäkerhet. 13.2.3Användning och utveckling av standarder Regeringen uttalande i sin IT-proposition (prop. 2004/05:175) att användning av öppna standarder ska främjas. , , och är några av de EU-länder som redan beslutat använda standarder i offentlig förvaltning i ökad utsträck- ning, och som har definierat vilka krav man ställer på standarder för att de ska komma ifråga. EU närmar sig en sådan definition i arbe- tet med IDABCTPF8FPT. I debatten framförs vissa krav på standarder för att dessa ska komma ifråga för användning i offentliga sammanhang. Kraven är att standarderna: tillkommer och förvaltas i ett öppet forum med balanserad representation där berörda parter inte utesluts, under en trans- parent, kollaborativ process där beslut präglas av enighet och demokrati är fullständigt dokumenterade och offentliggjorda till låg eller ingen kostnad tillåter licensiering till RAND-villkor i de delar de innehåller patent, alternativt är royaltybefriade och fria att implementera upprätthålls och att villkoren inte förändras. Formella standarder anses vanligtvis uppfylla dessa krav. Det finns också i den formella processen instrument för att reglera hur tvister ska hanteras. Främst gäller det frågor om villko- ren för patent och licensiering i dessa standarder. Formella standarder svarar mot de grundläggande krav på öppenhet som man kan ställa på standarder för att de ska användas i offentlig förvaltning. Men vi konstaterar att det även finns krav på att ytterligare förbättra och förenkla myndigheters och företags möjligheter att utveckla, ta del av, förvalta och implementera standarder. Av den anledningen finns det skäl att kontinuerligt se över och förbättra öppenheten och möjlighet att delta i dessa moment. Vi vill uttrycka ett allmänt önskemål om att ett sådant engage- mang kommer till uttryck i såväl internationella som nationella sammanhang från myndigheters och andra aktörers sida. 8TP PT Interoperable Delivery of Pan-European eGovernment Services to , Business and Citizens. Situationer kan förutses där formell standard kan ställas mot informell standard eller de facto-standard, därför att det saknas en formell standard eller att den inte alltid självklart bäst uppfyller det allmänna intresset. Under förutsättning att ett undantag har starka motiv bör det kunna accepteras enligt våra utgångspunkter. I lagen om offentlig upphandling () stadgas hur standar- der får åberopas, och där är formella standarder huvudalternativet. Men trots det domineras den offentliga upphandlingen av applika- tioner med proprietär programvara. Med tanke på att det nu finns öppna standarder med god funktion på en mängd områden, borde även upphandlingen sträva efter att använda dessa, och detta bör dessutom ge avtryck även i ramavtalsupphandlingar. Vi föreslår därför att Verva får i uppdrag att i ramavtalsarbetet med att upp- rätta kravspecifikationer även ta hänsyn till de långsiktiga aspek- terna av användningen av standarder med hög grad av öppenhet. Upphandling enligt ramavtal motsvarar visserligen bara en del av myndigheternas totala upphandling, men en ändrad inriktning av ramavtalen kommer förhoppningsvis att leda till att den övriga upphandlingen följer efter. I samband med EU-direktiv och i upphandlingslagstiftningen kan det innebära problem att i föreskrifter behöva hänvisa till informella standarder. Detta är i princip möjligt, så länge man kan visa att valet av standard inte är diskriminerande, vilket är den omväg som används för att i föreskrift peka på icke-formella stan- darder för exempelvis Svefakturan (se kapitel 9 och bilaga 4). Rättsläget är dock oklart och behöver ytterligare belysas. Problemet kan inte helt lösas genom s.k. fast track procedures, vilket har börjat förekomma i ökande omfattning och som syftar till att i formella standardiseringsorganisationer godkänna infor- mella standarder (rubber stamping). Frågan har uppmärksammats i pågående studie om behovet av förändringar i gällande policy kring IT-stan- darder. Studien kommer i sin slutrapport att före- slå förändringar på området, och kommissionen kommer att uttala sig i saken . bör arbeta för, och för egen del göra en tolkning som gör det praktiskt möjligt, att utan omvägar hänvisa till IT-standar- der från IETF, OASIS, W3C, UN/CEFACT och liknande organi- sationer. 10.Användningen av formella standarder vid elektronisk informa- tionshantering ska främjas beträffande myndigheter som lyder under regeringen. 11.Regeringen ska ge Verva i uppdrag att även ta hänsyn till de långsiktiga aspekterna av användningen av standarder med hög grad av öppenhet när man upprättar kravspecifikationer i ramavtalsar- betet. Verva ska redovisa hur uppdraget fullföljs. 12.Sverige ska inom EU arbeta för att upphandlingar ska kunna referera till standarder likvärdiga de formella, såväl på EU-nivå som på nationell nivå. Detta skulle göra det möjligt att hänvisa till IT- standarder från IETF, OASIS, W3C, UN/CEFACT och andra lik- nande organ som utarbetar brett accepterade standarder som dock inte är erkända i den mening som avses i för offent- lig upphandling. I Statskontorets rapport programvara (2003:8) konstatera- des bl.a. att öppna standarder och format samt öppen programvara är viktiga komponenter för bättre konkurrens, varav öppna stan- darder ansågs vara den viktigaste faktorn. I regeringens IT-propo- sition (prop. 2004/05:175) görs bedömningen att användningen av öppna standarder och öppna programvaror bör främjas och att utvecklingen på området för öppna programvaror och öppen käll- kod löpande bör följas upp. Regeringens skäl för detta är dels att det ger en möjlighet att minska kostnaderna för IT-användning, dels att konkurrensen bör främjas inom programvaruområdet. Verva har gjort en ny analys på uppdrag av utredningen och kommit fram till ett antal slutsatser: I första hand ska öppna standarder och gränssnitt främjas, inte öppen programvara. Endast genom att använda öppna standar- der kan man undvika inlåsning och få valfrihet som kund. Något absolut samband mellan öppen källkod och öppen stan- dard finns inte, utan det finns proprietära program som använ- der öppen standard. Marknadsutvecklingen, den öppna käll- kodsrörelsen samt det pågående arbetet med arkitekturfrågor har sammantaget påverkat leverantörer av proprietära lösningar att öppna dessa. Utredningen delar Vervas uppfattning att en allmän utgångspunkt bör vara att öppna programvaror i normalfallet måste ha egen kraft att klara sig på marknaden. Undantagen är bl.a. applikationer som är särskild anpassade för svensk offentlig förvaltning, t.ex. barnom- sorgsplanering, som i vissa fall kan behöva stöd för att få igång användningen, och användargrupper (communities) för denna typ av program kan behöva främjas. Det är också viktigt att det finns en underhållsorganisation som håller . För att upprätthålla en rimlig konkurrenssituation inom olika segment av programvarumarknaden bör en upphandlande enhet kunna överväga att främja öppna programvaror om dessa lösningar har minst samma funktionalitet, kvalitet och villkor i övrigt som en motsvarande proprietär applikation som tillhandahålls av en mark- nadsdominerande aktör. Långsiktigt kan det vara en vinst även för den upphandlande organisationen att konkurrensen upprätthålls. I en särskild rapport från Verva har juridiska aspekter på använ- dandet av öppen programvara diskuterats. I rapporten beskrivs flera olika möjliga scenarior för återanvändning av datorprogram som utvecklats av eller för den offentliga sektorn. Slutsatsen av rappor- ten är att den gällande lagstiftningen sällan hindrar en sådan återan- vändning, om det är fråga om öppna programvaror. På flera punk- ter kan det emellertid finnas en osäkerhet om hur den gällande lag- stiftningen ska tillämpas, och denna osäkerhet kan hämma återan- vändningen. Mot denna bakgrund delar utredningen rapportens bedömning av att det kan vara lämpligt att utarbeta någon form av vägledning. Vägledningen skulle både kunna beskriva hur myndigheter bör agera vid upphandling av utveckling och hur man kan gå till väga för att underlätta återanvändning av de program som tagits fram. En fråga som också kan behandlas i vägledning är i vilken utsträck- ning en statlig myndighet kan delta som medlem i en användar- grupp för utveckling och förvaltning av öppen programvara. Ett sätt att återanvända egenutvecklade program inom den offentliga förvaltningen är att statliga myndigheter bidrar till det arkiv (repository) för öppna program som erbjuds av det s.k. Pro- gramverket. Detta är ett projekt som initierats av Kom- muner och Landsting tillsammans med kring öppna program och öppen programutveckling inom den Syftet är en ökad samverkan och en effektivare IT-användning. Detta är ett bra initiativ för att stimulera utveck- lingen av öppen programvara inom inte bara den kommunala sek- torn utan hela den offentliga sektorn. Förutsättningen för statens medverkan är dock att licensvillkoren i varje enskilt fall möjliggör detta. Det kan nämligen finnas inslag av externa beståndsdelar även i egenutvecklade program, för vilka andra upphovsrättigheter gäller. En annan förutsättning är att , som är en för- söksverksamhet, ges etablerade former. Även andra arkiv bör kunna användas för denna återanvändning, t.ex. Sourceforge. 13.Statliga myndigheter bör bidra med eget utvecklingsarbete i form av öppna programvaror och delar av sådana till Programver- kets programarkiv och till andra liknande arkiv, under förutsättning att licensvillkoren i de enskilda fallen medger detta. 14.Verva bör utarbeta en vägledning som beskriver hur myndig- heter bör agera när man anskaffar och utvecklar öppna programva- ror, inklusive upphandling av stödtjänster till dessa, och hur myn- digheterna kan gå till väga för att underlätta återanvändning av de programvaror som de utvecklat. 13.3.1En central expertfunktion för interoperabilitet och IT- standardiseringsfrågor vid Verva Ovan har vi föreslagit vissa förbättringar av samordningen vid handläggningen av EG-ärenden om IT-standardisering med hjälp av ett nytt samordningsorgan. Denna samordningen bör dock hållas isär från samordningen av IT-standardiseringen inom den svenska offentliga förvaltningen, som är det andra huvudämnet för vår utredning. Skälet är att det handlar om två helt olika samordnings- processer, och det är viktigt att den svenska hanteringen av EG- ärendena inte kan misstänkas vara påverkad av den offentliga för- valtningens egna intressen av standarder, vilka kan riskera att få nationell prägel. Skälet för en förstärkning av expertfunktionen för IT-standardise- ring inom e-förvaltningen är att IT-standarder och förvaltningsge- mensamma specifikationer av olika slag har visat sig vara viktiga förutsättningar för e-förvaltningens fortsatta utveckling.