sou · GXB35 · 2009-02-03 00:00:00 — I stället ansåg Lagrådet att säkerhetskopior bör skyddas genom ändringar av reglerna om begreppet allmän handling i tryckfrihetsförordningen. Mot bakgrund av de anförda invändningarna avstyrkte Lagrådet det remitterade förslaget. Propositionen Sekretess för uppgifter på de s.k. tsunamibanden (prop. 2007/08:38) I propositionen Sekretess för uppgifter på de s.k. tsunamibanden (prop. 2007/08:38) föreslogs vissa ändringar i och en viss förlängning av den tidsbegränsade bestämmelse om sekretess som tidigare hade beslutat om. Förslaget hade delvis utformats mot bakgrund av de påpekanden som Lagrådet hade gjort. I propositionen konstaterades att frågan om tsunamibandens offentligrättsliga status måste bedömas för att man ska kunna ta ställning till behovet av en eventuell fortsatt giltighet av den s.k. tsunamibandssekretessen. Dock påtalades, bl.a. mot bakgrund av de påpekanden som hade gjort, att de uttalanden som görs i propositionen beträffande frågan om rättslig status endast omfattar tsunamibandens status. Inledningsvis framhölls att magnetbanden med säkerhetskopiorna utgör handlingar i tryckfrihetsförordningens mening. Eftersom informationen på banden endast kan läsas med hjälp av viss teknisk utrustning är det fråga om upptagningar. Vidare noterades att banden innehåller ett mycket stort antal mindre, separata upptagningar som även de utgör handlingar. Därefter konstaterades att magnetbandens innehåll kan göras tillgängligt med hjälp av tekniska hjälpmedel som förfogar över. Banden var därför, enligt den bedömning som gjordes i propositionen, att se som förvarade hos . Utgångspunkten var även att de mindre, separata upptagningarna är förvarade där. Dock påtalades det i propositionen att de potentiella elektroniska handlingarna som kan skapas utifrån bandmaterialet endast är förvarade hos myndigheten under förutsättning att de kan göras tillgängliga med rutinbetonade åtgärder. Efter att ha konstaterat att magnetbanden inte kunde betraktas som inkomna till , övergick resonemanget i propositionen till att utröna om banden kunde ses som upprättade. Till att börja med noterades att banden varken var expedierade, hänförliga till något viss ärende eller justerade i den mening som avses i 2 kap. tryckfrihetsförordningen. Frågan var därför om banden hade på annat sätt färdigställts (jfr 2 kap. 7 § första stycket tryckfrihetsförordningen). Den slutsatsen drogs att åtgärden att bara genom att som skedde formlöst ta ut banden ur bandroboten, för att sedan inte på något ordnat sätt omhänderta dem, knappast är tillräcklig för att banden ska anses färdigställda och därmed upprättade. I stället analyserades frågan om banden redan innan de togs ut ur bandroboten nått ett sådant handläggningsstadium att de var att betrakta som upprättade. Här hänvisades till undantagsbestämmelsen i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen om när diarium, journal eller annan fortlöpande förteckning anses upprättad. Det konstaterades att eftersom banden löpande upptar myndighetens datalagrade material skulle det kunna tala för att banden blev färdigställda, och därmed upprättade, redan då de sattes in i bandroboten. Dock påtalades det i propositionen att det framstod som långsökt att jämställa magnetbanden med en fortlöpande förteckning. Slutsatsen i denna del blev därför att mycket talar för att magnetbanden inte är att betrakta som likvärdiga med en fortlöpande förteckning, något som dock inte hindrar att det finns på banden ingående handlingar (t.ex. bandindex och filindex) som kan likställas med ett register. Sammanfattningsvis konstaterades i propositionen att säkerhetskopiorna i form av magnetbanden visserligen förvarades i , men att rättsläget var oklart såvitt avsåg frågan om den stora upptagningen var att anse som upprättad enligt huvudregeln i 2 kap. 7 § första stycket eller undantagsregeln i 2 kap. 7 § andra stycket 1 tryckfrihetsförordningen. Slutsatsen blev därför att det inte kunde uteslutas, vid en formell tolkning av 2 kap. tryckfrihetsförordningen, att den stora upptagningen ansågs som upprättad och därmed utgjorde en allmän handling. I propositionen noterades dock att detta synsätt skulle få till följd att alla de mindre upptagningarna på magnetbanden – oavsett om de i sitt originalskick var allmänna eller inte – skulle lämnas ut på den grunden att de ingick i den stora upptagningen. Vidare skulle myndigheten som huvudregel vara skyldig att lämna ut uppgifter även ur de mindre upptagningarna till följd av föreskrifterna i 15 kap. 4 § sekretesslagen. I propositionen framhölls därför att den enda rimliga tolkningen av bestämmelserna i 2 kap. tryckfrihetsförordningen måste vara att den stora upptagningen aldrig kan anses som upprättad och därmed inte vara en allmän handling. En motsatt uppfattning skulle sätta hela regleringen av allmänna och icke allmänna handlingar ur spel. Enligt propositionen är i stället en rimlig utgångspunkt att varje handlings rättsliga status ska bedömas för sig och att kopian har samma status som originalhandlingen. Effekterna av en arkivering I propositionen fördes vidare ett resonemang kring frågan om effekterna av en eventuell arkivering av en säkerhetskopia. Mot bakgrund av den tidigare påtalade uppfattningen att magnetbanden inte utgör allmänna handlingar, konstaterades att en eventuell arkivering av banden saknar betydelse för den rättsliga statusen på banden som helhet. Dock påpekades att för att åtskillnaden mellan allmänna och icke allmänna handlingar ska kunna upprätthållas även vid en arkivering, måste de separata upptagningarnas rättsliga status bedömas för sig. Följden blir att vissa av de mindre upptagningarna kan övergå från att vara icke allmänna till att bli allmänna vid en eventuell arkivering. Detta gäller t.ex. minnesanteckningar och s.k. mellanprodukter som inte tidigare i sitt originalskick omhändertagits av myndigheten för arkivering (jfr 2 kap. 9 § tryckfrihetsförordningen). I propositionen anmärktes dock att privata handlingar inte bör kunna bli allmänna handlingar trots en arkivering av den säkerhetskopia där handlingen ingår. Det påpekades i propositionen att tillgången till uppgifter i de separata handlingar på banden som bedöms som allmänna innebär en säkerhetsrisk. Säkerhetsrisken består i att uppgifter om regeringens och funktionssätt kan sammanställas och analyseras. Till följd härav ansågs det föreligga ett behov av sekretess för uppgifter i de (kopior av) allmänna handlingar som finns på banden. Sekretessen skulle dock inte vara absolut utan gälla för uppgift på banden om det inte står klart att uppgiften kan röjas utan fara för att verksamhet skadas. Angående placeringen av sekretessbestämmelsen i sekretesslagen anfördes att de säkerhetsrisker som hör samman med de omfattande sök- och sammanställningsmöjligheterna medför att det är påkallat med sekretess både för att värna rikets säkerhet och för att förebygga brott (jfr 2 kap. 2 § 1 och 4 tryckfrihetsförordningen). Således skulle bestämmelsen kunna placeras i såväl 2 kap. som i 5 kap. sekretesslagen. I likhet med tidigare förslag förordades dock en placering i 5 kap. sekretesslagen. Bestämmelsen föreslogs gälla till och med utgången av . Mot bakgrund av bl.a. det som framkommit i lagstiftningsärendet samt katastrofkommissions betänkande uttalade regeringen att den hade för avsikt att låta en utredning se över regleringen i 2 kap. tryckfrihetsförordningen. Regeringen påpekade vidare att det inte fanns utrymme att inom de givna tidsramarna för lagstiftningsärendet utreda förutsättningarna för och utformningen av en mer generell reglering – i tryckfrihetsförordningen eller i sekretesslagen – avseende skyddet för uppgifter på säkerhetskopior. Den utredning som skulle tillsättas borde därför också få i uppgift att överväga behovet av en sådan generell reglering. beslutade att anta de av regeringen föreslagna ändringarna i 5 kap. 11 § sekretesslagen. Ändringarna trädde i kraft (bet. 2007/08:KU5, rskr. 2007/08:84). Bestämmelsen har följande lydelse. Sekretess gäller för uppgift i säkerhetskopior som har genererats i datasystem och som har bevarats med anledning av naturkatastrofen i , om det inte står klart att uppgiften kan röjas utan fara för att verksamhet skadas. Föreskrifterna i 14 kap. gäller inte i fråga om sekretessen enligt denna paragraf. Sekretessen hindrar dock inte att uppgift lämnas till . Enligt SFS 2007:1354 upphör paragrafen att gälla vid utgången av . 3 Allmänt om säkerhetskopiering Den snabba utvecklingen inom informationsteknologin påverkar samhället på alla nivåer. IT-systemens komplexitet ökar liksom möjligheterna att införa nya och mer avancerade funktioner. Inom den offentliga förvaltningen utförs allt fler moment med hjälp av elektroniska rutiner. En stor del av myndigheternas informationshantering sker i elektronisk form. Det blir också allt vanligare att myndigheterna utbyter information genom elektronisk kommunikation och att handlingar lagras elektroniskt. Informationsteknologin effektiviserar handläggningen hos myndigheterna och erbjuder mer kostnadseffektiva lösningar. bidrar informationsteknologin till att myndigheterna kan hålla en högre servicenivå gentemot allmänheten. Det är meningen att den statliga förvaltningen ska vara ett föredöme som aktiv användare av informationsteknologin, såväl i den egna verksamheten som i samverkan med företag och myndigheter. I budgetpropositionen för (prop. 2006/07:1) framhöll regeringen bl.a. att utvecklingen av elektronisk förvaltning ska göra det enklare för myndigheter att samverka och för medborgare och företag att utöva sina rättigheter och fullgöra sina skyldigheter gentemot förvaltningen. Regeringen framhöll vidare att den avsåg att säkerställa dels att förvaltningen utvecklar gemensamma principer för hur statlig registerinformation enklare ska kunna utbytas, dels att myndigheter använder enhetliga format för övrig informationsöverföring och kommunikation när så krävs. fastställde regeringen en nationell handlingsplan för e-förvaltning (Fi2008/491/OFA). Handlingsplanen syftar till att öka tillgängligheten för företagare och medborgare att använda offentliga tjänster. Handlingsplanen innehåller ett antal insatsområden vars ändamål är att förbättra de rättsliga, tekniska och ekonomiska förutsättningarna för myndigheternas kontakter med medborgare och företagare. Bland annat ska myndigheternas informationshantering effektiviseras, informationssäkerheten höjas samt automatiserade IT-stöd för ärendehantering och inköp införas. Den statliga förvaltningen ska i så stor utsträckning som möjligt använda öppna standarder och förvaltningen ska genom stegvisa insatser frigöra sig från beroendet av särskilda plattformar (systemmiljöer) och lösningar. Verket för förvaltningsutveckling, Verva, presenterade en rapport (Verva rapport 2008:14) baserad på en uppföljning av 69 myndigheters arbete med att realisera regeringens handlingsplan för e-förvaltning. Slutsatsen är att regeringen behöver ta fram en kompletterande handlingsplan för myndigheternas arbete och utveckling av e-förvaltningen. I en rapport har granskat regeringens styrning av arbetet med informationssäkerhet i den statliga förvaltningen (Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen, RiR 2007:10). Granskningen har genomförts mot bakgrund av de problem som framkommit i granskning av hur elva utvalda myndigheter har tagit sitt ansvar för arbetet med informationssäkerhet. Slutsatsen av granskning var att myndigheterna inte utifrån gängse normer arbetar systematiskt med sin interna styrning och kontroll av informationssäkerheten. Bristerna har lett till en rad allvarliga incidenter (virusattacker, tillgång för obehöriga till integritetskänsliga uppgifter etc.) vilka bl.a. har sin grund i att myndigheternas ledning brustit i sitt arbete med informationssäkerheten. 3.1Säkerhetskopiering – innebörd och syfte Ett resultat av informationsteknologins frammarsch är alltså möjligheten att hantera handlingar i elektronisk form. En sådan hantering ställer emellertid krav på att kunna säkerställa åtkomst till informationen även vid olyckshändelser eller systemfel av olika slag. Detta behov tillgodoses normalt genom att myndigheten ser till att man har tillgång till kopior av originaldata – i form av s.k. backup eller säkerhetskopiering – som förvaras åtskilt från originalet. Säkerhetskopia definieras på följande vis i () 550 (utgåva 3), Terminologi för informationssäkerhet. Kopia av informationsmängd som skapats för att kunna utnyttjas vid förlust av hela eller delar av den ursprungliga informationsmängden – med syfte att så snabbt som möjligt kunna återgå till normal drift efter systemkrasch eller dataförlust. Säkerhetskopiering innebär kopiering av information som vid en viss given tidpunkt finns i datasystemet. Den tekniska utvecklingen har gjort det möjligt att genom säkerhetskopiering lagra mycket stora informationsmängder. Säkerhetskopiering sker för att information i datasystemen ska kunna återskapas om den går förlorad på grund av tekniska fel, sabotage, extraordinära händelser som brand eller översvämning etc. Myndighetens eller företagets krav på att ha tillgång till information i en säkerhetskopia kan ha sin grund i ett behov av att tillgodose hela informationssystemets säkerhet. Exempelvis kan det vara aktuellt att göra en total återstart av datasystemet efter ett avbrott. Men man kan också behöva använda information från en säkerhetskopia för att t.ex. återskapa enstaka förstörda filer eller e- postmeddelanden. En säkerhetskopia kan också komma till användning för andra syften än att återställa data. Regelbunden säkerhetskopiering medför exempelvis att de ansvariga för ett datasystem kan analysera olika driftincidenter i systemet. Även utanför området för de rent systemtekniska åtgärderna kan information på en säkerhetskopia givetvis visa sig användbar, exempelvis i samband med disciplinärenden eller brottsutredningar. Det finns en mängd olika metoder för att skapa säkerhetskopior i ett IT-system. Ett system för säkerhetskopiering kan vara uppbyggt kring magnetband, diskar i servrar eller snabba hårddiskar sammankopplade i nätverk. Säkerhetskopiering kan i vissa fall även ske manuellt till dvd-skivor, disketter eller minneskort. Kopiering av material i säkerhetssyfte kan också göras genom att man helt enkelt tar ut pappersutskrifter. Säkerhetskopiering kan ske genom att hela eller delar av filsystemet på en dator kopieras manuellt eller med hjälp av ett program som automatiskt sköter kopieringen. Kopian på informationen kan t.ex. brännas på dvd-skivor, lagras på en separat hårddisk eller skickas till andra servrar än de som används i den vanliga verksamheten. När säkerhetskopieringen stöds av en s.k. backupserver sker kopieringen genom att ett styrprogram i servern efter ett givet schema kontaktar datorer i nätet och hämtar de data som ska säkerhetskopieras. Servern skickar i sin tur informationen vidare till ett lagringsmedium. IT-systemets administratörer definierar sina behov av säkerhetskopiering och beställer utrymme i backupservern som de anger minsta lagringstid för informationen. Materialet från backupservern kopieras sedan vidare till själva lagringsmediet, som t.ex. kan bestå av magnetband i en s.k. bandrobot. För att allt säkerhetskopierat material ska kunna hanteras och vara sökbart kan olika index kontinuerligt skapas i servern. Ett s.k. bandindex kan beskrivas som en innehållsförteckning och ett filindex som ett sakregister. När en viss kopia inte längre behövs frigörs utrymme på lagringsmediet och nya data kan skrivas in. Bandroboten söker då efter ledigt minnesutrymme för att skriva in den nya informationen. Sökandet sker utan hänsyn till det säkerhetskopierade materialets innehåll och sammanhang. Lagrad data kommer därför att delas upp på olika band, utan inbördes samband. Information från bandroboten kan emellertid återskapas med hjälp av sökningar i index. Detta sker utan att banden behöver plockas ut ur roboten. Det normala är att band fysiskt tas ut först när de är utslitna. Man har normalt olika stort behov av att kunna återskapa den information som säkerhetskopieras, viss information kan vara viktigare än annan. Säkerhetskopiering kan därför göras med hjälp av s.k. nivåindelad lagring (benämns ibland även hierarkisk lagring). Lagringen av informationen delas då in i nivåer med olika prestanda och tillgänglighet. Utgångspunkten är att all information inte har samma krav på åtkomlighet. I takt med att informationen t.ex. blir äldre kan den automatiskt flyttas till billigare och mindre avancerad utrustning. Data som behöver användas ofta lagras vanligen på hårddisk medan data som efterfrågas mer sällan normalt kopieras till magnetband. blir det allt vanligare att säkerhetskopiering sker till nät av sammankopplade datalagringsenheter (benämns ofta storage area network). Dessa nät byggs bl.a. för att ta hand om de stora datavolymer som säkerhetskopiering genererar. Genom att låta denna datatrafik löpa i ett särskilt nät, som ofta inte sträcker sig längre än mellan servrar och backupsystem i myndighetens datahall, avlastas det vanliga datanätet. Denna utveckling förstärks av att många myndigheter samlar sin information i centrala datalager. En av fördelarna med dessa system är att informationen genom speciell teknik kan spridas ut på många hårddiskar på ett sådant sätt att ingen information försvinner även om enstaka hårddiskar går sönder. Informationen är av tekniska skäl således ständigt fragmenterad och lagras på flera platser i ett samlat lagringssystem som består av ett stort antal hårddiskar. Information kan också speglas, något som är vanligt i system som byggs för hög tillgänglighet. Här sker all lagring parallellt i två (ibland fler) separata datalager som sålunda är identiska kopior av varandra. Om ett fel uppstår hos det ena systemet kan det andra överta driften. sker denna spegling lokalt i en server, för att undvika problem vid fel på en hårddisk. I andra fall speglas flera serverhårddiskar eller ett helt datalager till ett identiskt system på annan plats. Det hela har närmast karaktären av en kontinuerligt uppdaterad reservkopia. Det speglade systemet innehåller dock inte någon fryst bild av informationen utan uppdateras ständigt i takt med att originalsystemet förändras. Om ett dokument tas bort i det ena datalagret kommer det således också att tas bort ur det andra datalagret. Det speglade systemet utgör alltså inte någon säkerhetskopia för senare återställning av informationen utan är ett reservsystem som används för att minimera risken för driftavbrott. Säkerhetskopiering kan ske på mer eller mindre avancerade sätt. I system som ständigt förändras, t.ex. stora databassystem, behöver man bl.a. arbeta med s.k. snapshotteknik, vilket innebär att man tar en kontrollerad ögonblicksbild av systemet. Om det sker tusentals förändringar i en stor databas kan det ibland ha skett flera miljoner förändringar det tar att kopiera data från en hårddisk till en annan. Därför behöver man inte bara hålla ordning på de data som finns på systemets hårddiskar utan även alla de överskrivningar (transaktioner) som sker under själva kopieringen. Ovan har redovisats några exempel på tekniska metoder för att skapa säkerhetskopior. Därtill finns det möjlighet att välja mellan att kopiera all information i systemet (en s.k. totalbackup) eller enbart de förändringar som skett i systemet sedan senaste kopieringstillfället (s.k. inkrementell backup). Vid en totalbackup av IT-systemet exempelvis en gång kommer i regel samma information att kopieras om. Metoden att i stället endast kopiera gjorda förändringar gör säkerhetskopieringen betydligt mer effektiv, men förutsätter att det gjorts en totalbackup i ett tidigare skede som kan fungera som utgångspunkt för den följande säkerhetskopieringen av förändringar från till en annan. En effekt av att endast kopiera de senaste förändringarna i systemet är alltså att det kan krävas av myndigheten att den går ett antal steg tillbaka i systemet för att kunna återskapa ett förlorat dokument. En backup ger inte någon kontinuerlig bild av förändringarna i systemet utan enbart förändringarna . För att kunna fastställa vilken information som funnits lagrad behöver man även spara alla de transaktionsdata som skapats under tidsintervallet mellan två backuptillfällen. Detta kan dock vara till stor nytta i sådana fall där det ställs särskilda krav på spårbarhet, t.ex. i finansiella sammanhang. En annan form av driftstöd utgörs av de ofta otaliga loggar som skapas i IT-systemen. En logg i datasammanhang kan förenklat beskrivas som ett rutinmässigt uppsamlande av information om de operationer som utförs i ett system. Om ett fel uppstår i det datoriserade informationssystemet eller om ett obehörigt intrång i systemet sker är en logg viktig för att genomförda transaktioner ska kunna spåras och fastställas. Den definition av begreppet logg som ges i () 550 (utgåva 3), Terminologi för informationssäkerhet är följande. (Kontinuerligt) insamlad information om de operationer som utförs i ett system – med syfte att kunna utnyttja registrerade uppgifter till att i efterhand analysera vilka operationer som utförts och vilka användare eller systemfunktioner som initierat dessa. Registreringen i en logg omfattar som regel tidpunkt, användaridentitet, berörda objekt (t.ex. registerposter) och utförda operationer. Registreringen kan ibland vara så detaljerad att bearbetningen kan rekonstrueras i sin helhet, men av utrymmesskäl är den ofta begränsad till att gälla huvuddragen. Något förenklat kan loggar delas in i två grupper. Tekniska loggar lagrar händelser som inträffar i ett datasystem, exempelvis händelser som hänger samman med operativsystemet eller försök till obehörig åtkomst av systemet. Ett exempel på en teknisk logg är en s.k. brandväggslogg. Brandväggsloggen registrerar vad som händer i gränssnittet mellan det lokala nätverket och omgivningen, t.ex. vilka sidor på Internet som besöks. Informationsloggar å sin sida kan bl.a. ange hur e-posttrafiken sett ut i systemet (e- postlogg) eller hur en viss användare loggat in och ut ur systemet. Loggningen kan vara total och omfatta alla händelser i systemet, in- och utloggning, försök till överträdelser av åtkomstregler, kommunikation, åtkomst till filer, operatörsingripanden m.m. Alternativt kan bara ett urval händelser loggas. Loggningen kan också begränsas till vissa tidsintervaller eller åtgärder mot vissa resurser. Liksom mycket annan information som förekommer i en myndighets datasystem är det vanligt att de loggar som genereras också säkerhetskopieras för att möjliggöra senare granskning. Vid många myndigheter skickas loggdata till ett centralt system för logghantering, där de ibland lagras på lagringsmedia där det inte går att radera några data utan enbart att skriva till – allt i syfte att kunna återskapa informationen i loggen om denna går förlorad. Detta sker för att omöjliggöra manipulering av loggdata, vilket annars förekommer vid t.ex. ett dataintrång. Loggfunktionerna i moderna IT-system genererar i allmänhet mycket stora datamängder och brukar därför gallras så snart de inte längre behövs. 3.2Regler och krav avseende myndigheters säkerhetskopiering Myndigheters säkerhetskopiering av information i den elektroniska miljön är en del i den statliga och kommunala förvaltningens strävan att uppnå god informationssäkerhet. I propositionen Ett informationssamhälle för alla (prop. 1999/2000:86) uttalade regeringen att en effektiv offentlig förvaltning ska åstadkommas genom att man låter förvaltningen vara en föregångare i användningen av IT. I propositionen betonades också vikten av en hög informationssäkerhet. I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158) framhöll regeringen att den som ansvarar för ett informationsbehandlingssystem även ansvarar för att systemet har den säkerhet som krävs för att det ska fungera tillfredsställande.