sou · GXB35 · 2009-02-03 00:00:00 — Uppgifterna på informationssäkerhetsområdet är på nationell nivå uppdelade på ett antal myndigheter som t.ex. Försvarets materielverk, , , och . , , var fram till utgången av central förvaltningsmyndighet för frågor om samhällets säkerhet när det gäller krishantering och civilt försvar. flyttades KBM:s verksamhet, tillsammans med verksamheten vid och Styrelsen för psykologiskt försvar, över till den nybildade Myndigheten för samhällsskydd och beredskap, MSB. Verva hade fram till utgången av regeringens uppdrag att leda och samordna statsförvaltningens utvecklingsarbete avseende säkert elektroniskt informationsutbyte och säker hantering av elektroniska handlingar (dnr Fi2006/6773/OFA och Fi2006/967/OFA). Vervas verksamhet har delvis tagits över av Kammarkollegiet, och det nyinrättade för utveckling i staten, . Regeringen har tillkännagett sin avsikt att inrätta en e-delegation för att genomföra regeringens handlingsplan för e-förvaltning (prop. 2008/09:1 utgiftsområde 2). E-delegationen är bl.a. tänkt att samordna IT- standardiseringen inom staten. Informationssäkerhetsfrågor berörs i bl.a. arkivlagen (1990:782), säkerhetsskyddslagen (1996:627) och personuppgiftslagen (1998:204). Vidare finns regler om informationssäkerhet i bl.a. arkivförordningen (1991:446), förordningen (1995:1300) om statliga myndigheters riskhantering, säkerhetsskyddsförordningen (1996:633) och förordningen (2006:942) om krisberedskap och höjd beredskap. Internationellt förekommer olika standarder med syftet att utifrån enhetliga normer uppnå god informationssäkerhet i samhället. Tillsammans utgör de internationella organisationerna () och International Electrotechnical Commission (IEC) ett system för internationell standardisering. Inom detta system har olika standarder antagits. De viktigaste av dessa återfinns i standardserien SS-ISO/IEC 27000, även kallad . Informationssäkerhet definieras enligt som förmågan att upprätthålla önskad sekretess (konfidentialitet), tillgänglighet, riktighet och spårbarhet avseende information och informationstillgångar. Standarderna riktar sig till ledningsnivåerna inom en organisation och utgör en anvisning för hur man åstadkommer ett ledningssystem för informationssäkerhet. Standarden SS-ISO/IEC 27001:2006 anger krav både när det gäller uppbyggnad av ledningssystem för informationssäkerhet och mera konkreta åtgärdskrav. Standarden har utformats för att tillhandahålla en modell för att upprätthålla, införa, driva, övervaka, granska, underhålla och förbättra ett ledningssystem för informationssäkerhet. Den omfattar alla typer av organisationer, företag, myndigheter, ideella organisationer etc. Ett av de åtgärdskrav som följer av standarden är att säkerhetskopiering av information och programvara ska tas och testas regelbundet i enlighet med en beslutad policy för säkerhetskopiering. Standarden SS-ISO/IEC 27002:2005, som är ett komplement till SS-ISO/IEC 27001:2006, ger i sin tur riktlinjer och vägledning för en organisations införande av och kontinuerliga arbete med informationssäkerhet. Standarden innehåller fördjupade råd om hur man skapar en säker informationshantering i en organisation. I standarden ges riktlinjer och allmänna principer för att initiera, införa, bibehålla och förbättra arbetet med informationssäkerhet. Syftet med nämnda LIS-standarder är att detta arbete ska anpassas till respektive organisations behov. Därmed ger standarderna en beslutsmodell för ledning och styrning med en rimlig frihet för anpassning. Ledningssystemet för informationssäkerhet utgör en kvalitetsprocess som kontinuerligt ska utvärderas och anpassas till aktuella verksamhets- och omvärldskrav. KBM har utfärdat rekommendationer om säkerhetskopiering (Basnivå för informationssäkerhet, BITS 2006:1). I rekommendationerna berörs bl.a. frågan om säkerhetskopiering. Rekommendationerna bygger på de mål som formulerats i de ovan nämnda LIS- standarderna. Beträffande tillämpligheten av rekommendationerna anger KBM att vad som lämnas är just ett antal rekommenderade administrativa säkerhetsåtgärder som minst bör vidtas för att uppnå en acceptabel säkerhetsnivå (basnivå) för informationshanteringen i en organisation. I första hand riktar sig rekommendationerna mot den informationshantering inom samhällsviktig verksamhet som måste kunna fungera även under olika grader av störningar i samhället. Målet med säkerhetskopiering enligt LIS-standarden är att bevara informationens och informationsbehandlingsresursernas riktighet och tillgänglighet (BITS 2006:1, s. 33 f.). KBM rekommenderar mot denna bakgrund att myndigheter och andra aktörer fattar beslut kring följande frågeställningar sammanhängande med säkerhetskopiering: vilken information som ska omfattas av säkerhetskopiering, intervallen för kopiering, hur många generationer säkerhetskopior som ska finnas, hur säkerhetskopiorna ska förvaras, och om vissa säkerhetskopior ska förvaras på plats som är geografiskt skild från driftstället. KBM anvisar att intervallen för säkerhetskopiering måste bestämmas med utgångspunkt i de krav verksamheten ställer på informationens aktualitet vid en återstart från säkerhetskopia. Vidare påpekar KBM att det normala är att säkerhetskopiering sker i en driftmiljö som är gemensam för flera informationssystem och att intervallen för säkerhetskopiering därför kommer att styras av den verksamhet som har högst krav på informationens aktualitet vid återstart. kring säkerhetskopiering återspeglas i diverse myndighetsspecifika föreskrifter. Som exempel kan nämnas föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvården. Enligt dessa föreskrifter ska vårdgivaren ansvara för att det i ledningssystemet finns rutiner för säkerhetskopiering av patientuppgifter (16 §). Av rutinerna ska framgå med vilken periodicitet säkerhetskopieringen ska göras, hur länge kopiorna ska sparas och hur ofta återläsningstester ska göras. Vidare föreskrivs att vårdgivaren ska ansvara för att säkerhetskopiorna förvaras på ett betryggande sätt, väl åtskilda från originaluppgifterna (17 §). Ytterligare ett exempel på myndighetsföreskrifter som i vart fall delvis ansluter till är föreskrifter och allmänna råd (SOSFS 2008:14) om säkerhetsskydd. Av föreskrifternas 4 kap. 24 § följer att säkerhetskopiering ska göras i IT-system av viss art och att myndigheten regelbundet ska kontrollera att informationen på säkerhetskopian går att återskapa. Därutöver föreskrivs att en säkerhetskopia ska förvaras avskilt från den plats där det IT-system från vilken kopian gjorts finns (4 kap. 25 §). Med stöd av arkivförordningen (1991:446) har meddelat föreskrifter och allmänna råd om upptagningar för automatiserad behandling (RA-FS 2003:2). Syftet med föreskrifterna är att möjliggöra ett långsiktigt bevarande av uppgifter på ADB-medium. Upptagningarna ska kunna läsas och överföras till nya databärare . Enligt föreskrifter ska en statlig myndighet regelbundet framställa säkerhetskopior av sina ADB-upptagningar (4 kap. 3 § RA-FS 2003:2). Säkerhetskopieringen ska omfatta samtliga uppgifter som är allmänna handlingar eller som krävs för att sammanställa och förstå allmänna handlingar. Enligt föreskrifterna ska säkerhetskopiorna, för att ge avsett skydd, förvaras separat och på betryggande sätt. Undantag från framställning av säkerhetskopior får göras endast vid användning av utrustning som är så beskaffad och så placerad att en motsvarande säkerhetsnivå kan uppnås. Enligt de allmänna råd som ansluter till den aktuella bestämmelsen anges att med motsvarande säkerhetsnivå avses t.ex. att samma uppgifter skrivs på separata skivminnen. Om det ena skivminnet faller bort på grund av maskinellt fel eller liknande träder det andra automatiskt in i dess ställe. En förutsättning är dock att utrustningen är placerad i en lokal som ger ett betryggande skydd. Beträffande metod och intervall för säkerhetskopiering följer av de allmänna råden att det bör ske på ett sådant sätt och med sådana intervall att de uppgifter som förstörts kan rekonstrueras. arbetar med en översyn av delar av myndighetens arkiveringsföreskrifter. En orsak till översynen är det faktum att myndigheterna helt eller delvis har övergått till elektronisk hantering av sina handlingar. Behovet av tydliga regler ur ett bevarandeperspektiv ökar därmed. De nya föreskrifterna är tänkta att ersätta följande nu gällande föreskrifter: -RA-FS 2003:1, Föreskrifter om tekniska krav för ADB- upptagningar, -RA-FS 2003:2, Föreskrifter om ändring i föreskrifter och allmänna råd (RA-FS 1994:2) om upptagningar för automatisk databehandling (ADB-upptagningar), och -RA-FS 2003:3, Föreskrifter om ändring i föreskrifter och allmänna råd (RA-FS 1994:7) om överlämnande av upptagningar för automatisk databehandling (ADB-upptag- ningar) till och landsarkiven. Avsikten är att bl.a. att RA-FS 2003:2 och 3 görs om till en författning och att det införs ett separat kapitel om informationssäkerhet. Den föreslagna ordningen med ett separat kapitel om informationssäkerhet ska jämföras med dagens föreskrifter vilka endast innehåller två paragrafer som hanterar informationssäkerhet, en som rör skydd av ADB-upptagningar och en som rör säkerhetskopiering. Enligt förslag ska informationssäkerhetskapitlet bl.a. innehålla tydligare krav beträffande säkerhetskopiering. Det ska föreskrivas att myndigheter regelbundet ska framställa säkerhetskopior av sina upptagningar och att säkerhetskopiorna ska omfatta samtliga uppgifter som är allmänna handlingar eller som krävs för att sammanställa och förstå allmänna handlingar. Vidare följer av den föreslagna regleringen att säkerhetskopiering ska ske på ett sådant sätt och med sådant intervall att upptagningen kan rekonstrueras vid behov samt att rutiner för säkerhetskopiering och för återställning av allmänna handlingar ska dokumenteras. Av de allmänna råd som är tänkta att ansluta till regleringen framgår att myndigheten bör beakta att återanvändning av databärare som använts för säkerhetskopiering kan innebära gallring. Vidare påpekas att säkerhetskopiering är till för att säkerställa att upptagningar kan återskapas och alltså inte ersätter ordinarie arkivexemplar. Enligt det föreslagna kapitlets 7 § ska säkerhetskopiorna förvaras geografiskt åtskilt från upptagningarna. De ska förvaras i en sådan miljö och i ett sådant klimat som är lämpligt med avseende på föreskrifter om bevarande. Enligt 8 § ska myndigheten säkerställa tillgång till utrustning och programvara för att kunna återställa allmänna handlingar från säkerhetskopian. Utrustningen och programvaran ska förvaras geografiskt åtskilt från upptagningarna. Förslaget till kapitel om informationssäkerhet i de nya ADB- föreskrifterna skickades ut på remiss . ställning har genomförts och en statusrapport med förslag på åtgärder har tagits fram.1 Arbetet med fortgår och en ytterligare remissomgång kommer att äga rum. Enligt förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte ska en myndighet i sin verksamhet främja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte inom den offentliga förvaltningen. Vidare anges att Verva får meddela föreskrifter i fråga om standarder eller liknande krav som ska vara gemensamma för elektroniskt informationsutbyte för myndigheter under regeringen (3 §). Föreskrifterna ska utarbetas i samråd med och samråd ska även ske med andra särskilt berörda myndigheter. Verket ska när det meddelar föreskrifter beakta nationell och internationell standard. Från gäller Vervas föreskrifter (VERVAFS 2007:2) om statliga myndigheters arbete med säkert elektroniskt informationsutbyte samt de allmänna råd som kompletterar föreskrifterna (VERVAFS 2007:2AR). Föreskrifterna ska tillämpas först när motsvarande reglering saknas. Reglerna är således subsidiära till andra föreskrifter om statliga myndigheters arbete med säkert elektroniskt informationsutbyte. Syftet med Vervas föreskrifter är att i förvaltningen skapa förutsättningar för ett säkert och förtroendefullt elektroniskt informationsutbyte genom att myndigheterna bedriver sin verksamhet med den säkerhet som är nödvändig med hänsyn till den enskilda myndighetens förutsättningar (2 §). Ett grundläggande krav är att myndigheterna i sitt arbete för ett säkert elektroniskt informationsutbyte ska tillämpa ett ledningssystem för informationssäkerhet som innebär att myndigheten bl.a. ska upprätta en informationssäkerhetspolicy samt utse en eller flera personer som ansvarar för säkerhetsarbetet (5 §). Dessutom ska myndigheterna utifrån risk- och sårbarhetsanalyser och dokumenterade incidenter avgöra vilka risker som ska elimineras, reduceras eller accepteras samt besluta om åtgärder för myndighetens informationssäkerhet (6 §). Myndighetens arbete med att uppfylla de grundläggande kraven enligt föreskrifternas 5 1 Statusrapport för kapitel om informationssäkerhet – remissgenomgång, , dnr RA 22-2007/3552. och 6 §§ ska enligt 7 § bedrivas i former enligt de ovan nämnda etablerade internationella LIS-standarderna för informationssäkerhet, Ledningssystem för informationssäkerhet – Krav (SS- ISO/IEC 27001:2006) och Riktlinjer för styrning av informationssäkerhet (SS-ISO/IEC 27002:2005). Från och med årsskiftet 2008/2009 har Vervas föreskriftsrätt när det gäller informationssäkerhet tagits över av den nybildade Myndigheten för samhällsskydd och beredskap, MSB. Avslutningsvis ska nämnas att andra krav på lagring av data givetvis kan få betydelse för myndigheternas ansvar för att kunna återskapa information. Ett exempel är effekterna av de stora företagsskandalerna med bl.a. och i . Som ett resultat infördes i en lag mot manipulering av bokföring och annan ekonomisk information i företag – Sarbanes-Oxley Act (SOX). Lagen, som innehåller krav på finansiell styrning och redovisning, anger bl.a. hur länge ekonomisk information ska lagras. SOX omfattar alla företag som är noterade på en amerikansk börs eller som har obligationer emitterade på den amerikanska marknaden och har minst 300 amerikanska aktieägare. Även många svenska företag berörs av SOX och lägger mycket tid och ekonomiska resurser på att klara de stränga krav lagen ställer upp. Anpassningen till SOX har blivit ett krav på affärssystemen. De företag som inte följer regelverket riskerar höga böter och i vissa fall långa fängelsestraff för personer i ledande ställning. trädde det s.k. åttonde bolagsrättsliga direktivet2, eller Euro-SOX, i kraft. Syftet med direktivet är att säkerställa att investerare och andra berörda ska kunna förlita sig på reviderade boksluts riktighet. För att säkerställa tillgången till korrekt information måste aktiebolag kunna redovisa bl.a. ett informationssäkerhetskoncept. Standarder för verksamhetsstyrning, som ISO 27001 för informationssäkerhet, fungerar som ramverk för att hantera olika typer av legala, interna och externa krav, där SOX är ett exempel på ett externt krav. Trots att SOX endast omfattar företag kan således 2 och rådets direktiv /43/EG av om lagstadgad revision av årsbokslut och sammanställd redovisning och om ändring av rådets direktiv /660/EEG samt om upphävande av rådets direktiv /253/EEG. även myndigheter komma att påverkas genom att de befintliga standarderna anpassas till externa krav som uppställs i t.ex. SOX. 4 Säkerhetskopiors rättsliga status IT-miljön hos myndigheter kan delas upp i skilda delar där respektive del täcker ett avgränsat område av IT-systemet. Kommittén har valt att identifiera följande tre olika miljöer i myndigheternas IT-system. Verksamhetsmiljön representerar den del av myndighetens IT- verksamhet där den vanlige datoranvändaren befinner sig. Där finns myndighetens nyttoinformation i form av t.ex. originalhandlingar. Utgångspunkten bakom regleringen av handlingsoffentligheten i 2 kap. tryckfrihetsförordningen är att handlingar i verksamhetsmiljön – vilka bedöms vara av intresse för allmänheten – ska vara föremål för insyn. Myndighetens driftmiljö kan förenklat sägas utgöra drift- och systemteknikernas miljö. Driftmiljön innehåller information rörande driften av systemet. Här finns uppgifter i form av loggfiler, logglistor m.m. Att handlingar i myndighetens driftmiljö också kan omfattas av rätten till offentlighetsinsyn har slagits fast i rättspraxis. Till detta kommer en form av tilläggsmiljö i IT-systemen – säkerhetskopiemiljön. Denna miljö har endast till syfte att garantera verksamhets- och driftmiljöns existens. I säkerhetskopiemiljön finns det kopior av både allmänna och icke allmänna handlingar från verksamhetsmiljön. Myndigheten kan exempelvis ha organiserat sin säkerhetskopiering på så vis att förutom allmänna handlingar även privata meddelanden, utkast till beslut, myndighetsinterna minnesanteckningar m.m. säkerhetskopieras. Även information som inte utgör en handling kan vara föremål för säkerhetskopiering. Likaså kan information från driftmiljön – i form av t.ex. olika loggar – säkerhetskopieras. Hur informationen i säkerhetskopiemiljön ska betraktas från offentlighetssynpunkt är oklart. Kommittén vill redan här framhålla att med begreppet säkerhetskopia avses i den fortsatta framställningen en viss samling information – data – inte själva det fysiska medium som är bärare av informationen. Det är vidare att märka att ordet kopia i detta sammanhang inte bör förstås bokstavligt. Vad det handlar om är sådan information som sparas i syfte att kunna återskapa information som annars gått förlorad, oavsett om det handlar om handlingar, loggar eller något annat. Det är alltså fråga om data som ger möjlighet att ta fram kopior i den meningen att annars förlorad information kan återskapas. Det är vidare viktigt att beakta att säkerhetskopieringen kan ske på högst varierande sätt. Vilken information som finns lagrad och i vilken mån och på vilket sätt denna är sökbar varierar. Säkerhetskopiering kan ske på ett sådant sätt att systemen innehåller läsbara kopior av dokument eller filer, men det behöver inte vara på det viset. Även om säkerhetskopiering således kan ske på många olika sätt finns ett gemensamt drag i det att det handlar om information som rent fysiskt hanteras avskilt från den information som finns i verksamhets- och driftmiljön. Själva idén med säkerhetskopieringen är just att garantera att information som annars går förlorad t.ex. till följd av brand eller översvämning i en datorhall ska kunna återskapas. När kommittén i det följande talar om en säkerhetskopia är det alltså fråga om i högsta grad varierande företeelser, både i fråga om innehåll och omfattning. Vilken information som finns sparad, hur den sparas och hur länge den sparas bestäms ju helt av hur den aktuella myndighetens system för säkerhetskopiering ser ut. På samma sätt förhåller det sig med distinktionen mellan vad som kan betraktas som en separat säkerhetskopia i förhållande till flera säkerhetskopior. Den frågan kan inte bedömas utan detaljerad kunskap om hur ett visst system ser ut. Kommittén har i uppgift att utreda frågan om uppgifter på myndigheters säkerhetskopior helt eller delvis ska vara uteslutna från offentlighetsinsyn. Rättsläget är oklart beträffande säkerhetskopiors status. Först om det står klart att säkerhetskopior alls bedöms kunna vara allmänna handlingar enligt dagens regelverk är det enligt kommitténs mening relevant att ta ställning till om det finns anledning att införa regler som slår fast var gränsen ska gå för allmänhetens möjligheter till insyn. Kommittén vill avslutningsvis betona att det inte går att uttala sig om enskilda handlingars status i offentlighetshänseende från generella utgångspunkter. Prövningen av frågan om en viss handling är allmän eller inte måste alltid göras med utgångspunkt i förhållandena i det enskilda fallet. En annan sak är givetvis att lagstiftning och domstolspraxis är styrande när den bedömningen görs. I följande avsnitt redovisar kommittén sina överväganden och förslag beträffande säkerhetskopiors rättsliga status. Inledningsvis redovisas i avsnitt 4.2 hur frågan kan betraktas utifrån dagens regelverk. Då kommitténs slutsats är att säkerhetskopior i vissa fall kan antas utgöra allmänna handlingar, följer i avsnitt 4.3 en diskussion rörande frågan om det är befogat att utesluta säkerhetskopior från området för offentlighetsinsyn samt vilka tänkbara alternativ till reglering som kommittén i så fall bedömer står till buds. Efter att i avsnitt 4.4 ha prövat alternativet att föreskriva om sekretess för uppgifter på säkerhetskopior redovisar kommittén sin slutsats i avsnitt 4.5 – att myndigheters säkerhetskopior bör undantas från begreppet allmän handling. I avsnitt 4.6 diskuterar kommittén avslutningsvis vissa frågor om arkivering och gallring av säkerhetskopior. 4.2Säkerhetskopiors status enligt gällande rätt Inledningsvis behandlas frågan om den samlade informationsmängden på säkerhetskopian utgör en handling (avsnitt 4.2.1). Därefter diskuteras om säkerhetskopian är en hos myndigheten förvarad handling (avsnitt 4.2.2). Slutligen analyseras i vilken mån säkerhetskopior bör betraktas som upprättade handlingar (avsnitt 4.2.3). 4.2.1Är säkerhetskopian en handling? Bedömning: Den samlade informationsmängden på en säkerhetskopia kan betraktas som en handling i tryckfrihetsförordningens mening. Något om begreppet handling Begreppet handling i 2 kap. tryckfrihetsförordningen inbegriper både konventionella handlingar och upptagningar vilka kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniska hjälpmedel. En variant av upptagning är vad som i lagtexten benämns som upptagning för automatiserad behandling, dvs. uppgifter som fixerats på en databärare. Som har framgått av redovisningen av gällande rätt betraktas varje möjlig konstellation av sakligt sammanhängande uppgifter som en upptagning för sig (se prop. 1975/76:160 s. 90). En upptagning för automatiserad behandlig kan således teoretiskt sett bestå av endast några få uppgifter eller av en mycket stor mängd information. Vidare kan samma uppgifter ingå i flera olika handlingar . Följden blir att exempelvis ett dataregister – som i sig kan betraktas som en handling – kan sägas bestå av flera separata upptagningar, innehållandes allt från ett fåtal uppgifter till en stor mängd information. I centrum för handlingsbegreppet står informationen, inte informationsbäraren. Det centrala för definitionen av en handling är att den har ett på något slags medium fixerat betydelseinnehåll. I den elektroniska miljön föreligger således inget direkt samband mellan informationsinnehållet och det fysiska lagringsmediet. En logisk, snarare än fysisk, uppdelning av informationen är med andra ord avgörande. Handling eller förvaringsplats för registrerad data? Kommittén har ställt sig frågan om det är rimligt att betrakta den säkerhetskopierade informationen som något annat än handlingar i tryckfrihetsförordningens mening. Ett tänkbart betraktelsesätt skulle då vara att se säkerhetskopior endast som förvaringsplatser för data, inte som handlingar med ett visst informationsinnehåll. Ett sådant synsätt skulle bygga på att fokus placeras på bäraren av informationen och därpå registrerad data, inte på informationsinnehållet. Vad som skulle kunna tala för att se säkerhetskopian endast som en förvaringsplats för data är att det kan möta svårigheter att betrakta materialet på säkerhetskopian som sakligt sammanhängande uppgifter. Det skulle därmed kunna hävdas att säkerhetskopiering, som ju har ett rent tekniskt ändamål – att kunna återställa information som gått förlorad vid t.ex. ett haveri – endast består av en registrering av data som inte lämnar några sakuppgifter sedda i just det sammanhanget. För det fall den samlade informationsmängden på säkerhetskopian inte skulle betraktas som en handling kan uppgifterna inte bli föremål för offentlighetsinsyn.