rir · H2B523 · 2014-11-20 00:00:00 — Flera myndigheter har i kartläggningen också uttryckt önskemål om att få mer stöd för bland annat kravställning, uppföljning, informationsklassning och kontinuitetsplanering. Enskilda svar i uppföljningen kan uppfattas som positiva. En samlad läsning av svaren visar dock att även om av myndigheterna uppger att de har en informationssäkerhetspolicy så svarar att kompetens, mandat eller resurser är otillräckliga för att utföra arbetet på ett tillfredsställande sätt, att det saknas regler för vad riskanalysen ska omfatta eller när den ska ske och att de saknar kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. konstaterar också att MSB i rapporten inte lämnar någon sammanfattande bedömning av tillståndet och inte heller föreslår vilka eventuella åtgärder som behöver vidtas.79 76MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 77MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 78MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 79MSB har vid faktagranskningen av utkast till denna granskningsrapport uppgett att ett analysarbete pågår för att klargöra vilka åtgärder som behöver vidtas. 4.1.4Vad har MSB rapporterat till regeringen? MSB har lämnat information till regeringen om hot, risker och förmåga gällande krisberedskap på flera sätt. När det gäller krisberedskap i stort har detta främst skett genom rapporter om samhällets krisberedskap och nationell risk- och förmågebedömning. Därutöver tillkommer den redovisning av samhällets informationssäkerhet som MSB själv gör i sin egen risk- och sårbarhetsanalys i egenskap av ansvarig för området. Rapporteringen är framför allt inriktad på risker och förmåga baserat på risk- och sårbarhetsanalyser och scenarioanalyser. MSB informerar regeringen löpande om hot och risker mot och svenska intressen, vilket även kan innefatta informationssäkerhetsrelaterad information när detta bedöms ha hög dignitet. MSB:s trendrapport handlar om informationssäkerhet och dess hot och risker. MSB:s uppföljning av tillämpningen av föreskriften om har avrapporterats i en publik rapport. Den genomgång av informationssäkerhetaspekterna i risk- och sårbarhetsanalyserna som berörs ovan är utförd på uppdrag. Denna information kan möjligen ha lämnats till regeringen efter det att den kommit till handa. MSB:s rapportering till regeringen sker också i form av remissyttranden över utredningar som rör informationssäkerhet. MSB har på detta sätt pekat på att informationssäkerhetsarbetet behöver förbättras inom e-förvaltning och vård och omsorg. Dessutom har MSB enligt egen utsago redovisat åtta regeringsuppdrag på informationssäkerhetsområdet.80 4.2Vilken bild har FRA och vad har myndigheten rapporterat till regeringen? De kvalificerade aktörer som FRA följer inom sin försvarsunderrättelseverksamhet anges i regeringens årliga inriktning. Dessa aktörer är i huvudsak statsunderstödda och de utgör ett hot mot de mest skyddsvärda verksamheterna i . Vad gäller signalunderrättelseverksamhet ska FRA därmed leverera direkt och indirekt skydd mot kvalificerade IT-angrepp till de mest skyddsvärda svenska samhällsfunktionerna. FRA levererar utifrån sin försvarsunderrättelseverksamhet rapporter till regeringen om de aktörer och hot som följer av regeringens inriktning. Rapporteringen innehåller dock inte uppgifter om status på myndigheternas informationssäkerhet. 80 Uppgift vid faktagranskning av utkast till denna granskningsrapport. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN 4.2.2 IT-säkerhetsanalyser och penetrationstester På begäran har FRA lämnat ett yttrande om sin verksamhet som rör IT-säkerhetsanalyser och penetrationstester.81 Följande avsnitt bygger på detta yttrande.82 FRA har inte något tillsynsansvar, utan kan enbart göra IT-säkerhetsanalyser på begäran av kund (statlig myndighet eller statligt bolag) eller som stöd till exempelvis Säkerhetspolisen eller den militära underrättelse- och säkerhetstjänsten (MUST) vid en tillsyn. FRA tar ut avgifter för att utföra IT- säkerhetsanalyserna.83 Detta leder dock till att FRA endast kan hjälpa de som har budgeterat för IT-säkerhetsarbete, vilket inte alltid behöver sammanfalla med de som har den mest skyddsvärda informationen eller behöver mest hjälp.84 Vid IT-säkerhetsanalyser agerar FRA angripare i en IT-miljö i samråd med den beställande kunden. FRA får tillgång till systemdokumentation och information om systemen innan testet. Beställaren och FRA tar också tillsammans fram en lista på det inom beställarens IT-miljö som anses vara det mest skyddsvärda för verksamheten. Målet för IT-säkerhetsanalysen är vanligtvis att hitta så många brister som möjligt för att de ska kunna rättas till. Efter genomförd analys avrapporterar FRA resultatet till beställaren i en skriftlig rapport, och ibland även med en presentation för ledningen. Rapporten innehåller alltid tillvägagångssätt, funna brister samt prioriterade åtgärdsförslag, men ibland även resultat från sårbarhetsskanning, statistik på lösenordskvalitet och förslag på vidare arbete. Rapporteringen från penetrationstesterna delges endast den myndighet som testet avser. FRA har inte gjort någon aggregerad avrapportering till regeringen eller av genomförda tester. 4.2.3Hur ser FRA på informationssäkerheten i de verksamheter man kommer i kontakt med? FRA:s övergripande bedömning är att det ofta är alltför lätt att bryta sig in i samhällsviktiga system. Skyddet motsvarar sällan nivån på informationen som hanteras i systemen eller de hot som systemen bör skyddas mot. De brister som FRA upptäcker leder i stort sett alltid till att en angripare kan ta över hela IT-miljön med möjlighet att läsa, manipulera eller förstöra all information som hanteras på IT-systemen. 81Under 2013 genomförde FRA IT-säkerhetsanalyser vid elva olika statliga myndigheter och statligt ägda bolag. FRA har genomfört uppskattningsvis 120 IT-säkerhetsanalyser och 100 övriga granskningar/rådgivningar. FRA har även hanterat ett antal IT-incidenter . 82FRA:s yttrande till informationssäkerhetsarbete och övergripande bedömning av myndigheters IT- och informationssäkerhet, . 83I 11 § förordningen (2007:937) med instruktion för föreskrivs att myndigheten får ta ut avgifter för genomförande av IT-säkerhetsanalyser. 84Intervjuer med företrädare för . Problem kopplade till en önskan att pressa IT-kostnaderna är något som FRA har sett hos flera statliga myndigheter och statligt ägda bolag. IT-budgeten är hårt styrd, och externa krav på lönsamhet eller sparsamhet medför lösningar som till exempel outsourcing. Outsourcing i kombination med otillräcklig beställarkompetensen gör att outsourcing ofta blir en kortsiktig besparing, men i det långa loppet uppstår flera brister som är svåra att värdera i kronor. Den som outsourcar blir av med sin egen kompetens inom IT-området, vilket i sin tur gör att beställarkompetensen blir än mer lidande. Många beställare gör dessutom misstaget att förutsätta att säkerhet ingår i avtalet även om detta inte uttryckligen är specificerat. Så är inte fallet enligt . Kommersiella driftleverantörers huvudsyfte är att generera vinst, och de kommer enligt FRA:s bedömning inte att göra kostnadsdrivande investeringar i säkerhet om det inte finns konkurrensskäl som talar för det. FRA har inte rätt att granska någon driftleverantörs nätverk eller sätt att administrera IT-driften vid statliga myndigheter eller statligt ägda bolag. FRA har, trots att driftleverantörerna inte har granskats, sett tydliga exempel där externa driftleverantörer och konsulter utsätter myndigheter för stora risker utan myndigheternas vetskap. FRA förespråkar inte att man helt bör sluta med outsourcing, men man bör tydligt se över kravställning mot externa driftleverantörer, samt vilka verksamheter som kan outsourcas. Enligt FRA sammankopplas IT-system mellan olika myndigheter och företag i en allt större utsträckning. Till detta kommer en stadigt ökande användning av mobila enheter och olika tjänster på internet både i tjänsten och privat. FRA förutspår att de risker en organisation kommer att öka . Många myndigheter är anslutna till varandra och hanterar samma information, men med olika nivå på skydd och klassning av informationen. En angripare kanske inte behöver ge sig på de mest skyddsvärda verksamheterna för att få den information man är ute efter, utan den kan troligen fås via en mindre skyddsvärd verksamhet eller en driftsleverantör som har tillgång till att hämta informationen från ursprungsstället. Ingen kedja är starkare än den svagaste länken, och i statsförvaltningen hänger allt samman. 4.2.4 Vad har FRA rapporterat till regeringen? FRA rapporterar löpande information av betydelse till regeringen utifrån vad myndigheten fångar upp genom sin försvarsunderrättelseverksamhet. Därav får regeringen information om hot och hotaktörer av en viss dignitet med intresse för samhällsviktig verksamhet även vad gäller informationssäkerhet. Den information som FRA får del av genom IT-säkerhetsanalyser och penetrationstester har förutom i enstaka fall inte rapporterats till regeringen, vare sig i aggregerad form eller specifikt för enskilda verksamheter. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN vad gäller övergripande hot och risker dock använt sig av informationen i en trendrapport som har publicerats.85 4.3Vilken bild har Säkerhetspolisen och vad har myndigheten rapporterat till regeringen? 4.3.1Säkerhetspolisens tillsyn visar på omfattande brister i säkerheten Som en del av Säkerhetspolisens tillsyn ingår att bedöma myndigheternas säkerhetsanalyser ur ett informationssäkerhetsperspektiv. Säkerhetspolisen har på begäran av gjort en övergripande expertbedömning av de 18 säkerhetsanalyser som blivit granskade , och särskilt i fråga om informationssäkerhet.86 Säkerhetspolisens övergripande bedömning är att analyserna generellt lider av allvarliga brister, även om undantag finns. Det saknas ofta en användbar systembeskrivning av det som ska skyddas. Det saknas också genomarbetade, välargumenterade och dokumenterade skadekonsekvensbeskrivningar för de IT-system som myndigheten eventuellt anser behöver skyddas. beskrivningar ändå förekommer beskriver de ofta andra typer av konsekvenser än de som är knutna till rikets säkerhet och terrorism, till exempel ekonomiska konsekvenser eller konsekvenser för myndighetens anseende. Den förmåga en angripare kan tänkas ha tas sällan upp, vilket försvårar vad en myndighet ska behöva dimensionera sitt skydd mot. Det finns heller inte några beskrivningar av vilka specifika sårbarheter hos identifierade skyddsvärda system som får mycket allvarliga konsekvenser om de utnyttjas av en antagonist, och på vilket sätt detta kan ske. 4.3.2Konsekvenserna kan bli allvarliga Säkerhetspolisen bedömer att konsekvenserna av bristerna i säkerhetsskyddet kan bli allvarliga. Detta hänger samman med att de granskade myndigheterna är bland de mest skyddsvärda och att deras information rör rikets säkerhet. Bristerna i att identifiera skyddsvärden under säkerhetsanalysen leder enligt Säkerhetspolisen till att de granskade myndigheterna inte kan ta fram välmotiverade kravspecifikationer på informationssäkerhetsområdet för den mest skyddsvärda informationen. Bristfälliga kravspecifikationer leder i sin tur till att de säkerhetsskyddsåtgärder som myndigheterna vidtagit eller planerar att vidta inte bidrar på ett spårbart sätt till att skydda de mest skyddsvärda 85FRA: Trender och utmaningar och – informationssäkerhet. 86Säkerhetspolisen: Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv, , dnr 2014-11898-4. Detta blir särskilt påtagligt då man engagerar externa leverantörer i sin IT-verksamhet eller lägger ut IT-verksamhet på privata och i vissa fall även utländska leverantörer. I dessa fall är en noggrann kravställning grundläggande för att kunna bedöma om en utläggning över huvud taget är lämplig, och om informationstillgångar i så fall ska få ett lämpligt skydd. En annan allvarlig konsekvens av bristerna i säkerhetsanalyserna är att informationstillgångar med samma skyddsvärde riskerar få varierande nivåer på olika myndigheter. Detta är enligt Säkerhetspolisen särskilt allvarligt när det gäller att identifiera de mest skyddsvärda informationstillgångarna. Säkerhetspolisen har dessutom uppgett för att det vid uppföljningar ibland framkommer att redan påpekade brister inte åtgärdas.87 Den åtgärd som Säkerhetspolisen kan vidta i ett sådant fall är att underrätta regeringen om detta förhållande. Avsaknaden av sanktionsmöjlighet och eventuella problem med anledning av detta är en av de frågor som ska behandlas i utredningen om en ny säkerhetsskyddslag.88 4.3.3Vad har Säkerhetspolisen rapporterat till regeringen? Säkerhetspolisen skickar varje tillsynsrapport till det departement som är ansvarig för den myndighet tillsynen avser. Regeringen har därmed fått en detaljerad redovisning av informationssäkerhetsläget hos de verksamheter som de 18 tillsynsrapporterna avser. Den aggregerade bild som hänvisar till ovan är framtagen på begäran, och saknar kunskap om huruvida informationen även har vidarebefordrats till regeringen. Utöver tillsynsrapporterna lämnar Säkerhetspolisen även annan information om hot och sårbarheter till regeringen. 4.4Vilken bild har Datainspektionen och vad har myndigheten rapporterat till regeringen? 4.4.1Vilken kunskap ger tillsynen? Som tillsynsmyndighet enligt personuppgiftslagen (1998:204) granskar Datainspektionen skyddet för personuppgifter. Inspektionen ska verka för att personuppgiftsansvarigas informationssäkerhet uppfyller de krav som personuppgiftslagen ställer för att skydda de personuppgifter som behandlas. Informationssäkerhetsarbetet hos organisationer har ofta som övergripande syfte att skydda organisationens verksamhet medan personuppgiftslagen syftar till att skydda de registrerades personliga integritet. Det föreligger således skillnader mellan informationssäkerhet i ett generellt perspektiv och 87Intervju på Säkerhetspolisen . 88En modern säkerhetsskyddslag (dir. 2011:94). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN säkerhetskrav enligt personuppgiftslagen i såväl skyddsobjekt som syftet med informationssäkerhetsåtgärderna. Det innebär att det inte går att dra några slutsatser om en organisations informationssäkerhetsarbete i stort utifrån brister i skyddet för personuppgifter. Som exempel kan nämnas Datainspektionens granskning av så kallade bank-appar där bankerna utifrån ett verksamhetsperspektiv kunde sägas ha ett väl strukturerat informationssäkerhetsarbete, att skydda sina och kundernas pengar, men där det ändå fanns brister när det gäller informationssäkerheten för de personuppgifter som behandlades. 4.4.2 Vad har Datainspektionen rapporterat till regeringen? Datainspektionen avrapporterar iakttagelser av informationssäkerhet vid behandling av personuppgifter till regeringen genom publika rapporter, eventuella regeringsuppdrag och årsredovisningen. Inspektionen rapporterar även till genom att vid behov översända tillsynsbeslut för kännedom. Datainspektionen har inte fått några särskilda regeringsuppdrag för att undersöka informationssäkerheten på en viss specifik myndighet eller mer generellt i statsförvaltningen. Datainspektionen har i sin årsredovisning återkommande framfört att Vid utveckling av e-förvaltning där fler än en myndighet är inblandad ser inspektionen ofta att ett allt större ansvar läggs på den enskilde Inspektionen finner också ofta brister i IT-säkerheten Tjänster för elektronisk förvaltning förefaller fortfarande utvecklas och tas i bruk utan att kraven på säkerhetsåtgärder beaktas tillräckligt.89 4.5Övriga myndigheternas rapportering i årsredovisningen har även gått igenom årsredovisningarna för samma urval av myndigheter, vid sidan av stöd- och tillsynsmyndigheterna, som för genomgången av regleringsbreven för att få en uppfattning om myndigheterna självmant redovisar uppgifter om sin informationssäkerhet. Genomgången avser perioden –2013.90 Genomgången visar att mindre än hälften av myndigheterna rapporterar något om informationssäkerhet eller datasäkerhet. För det stora flertalet myndigheter – – går det inte att få en uppfattning om hur läget är för informationssäkerhet genom att ta del av årsredovisningen. För en mer detaljerad beskrivning av resultat och tillvägagångssätt hänvisar vi till bilaga 3. 89Datainspektionens årsredovisningar –2013. 90Se bilaga 2. 4.6Rapportering från utredningar m.m. Vi har gått igenom 63 utredningsbetänkanden som lämnats av parlamentariska kommittéer och särskilda utredare och och som kan vara av relevans för styrning av informationssäkerheten i statsförvaltningen.91 Två av dessa har behandlat informationssäkerhet ur ett mer myndighetsövergripande perspektiv. I E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – vägen till effektivare e-förvaltning behandlas ett förslag till samverkanslösning för att stärka informationssäkerheten. Förslaget går ut på att fyra myndigheter bli utvecklingsmyndigheter för e-förvaltning inom var sitt utvecklingsområde. Myndigheterna i fråga är , Lantmäteriet, Transportstyrelsen och Bolagsverket.92 Delegationen konstaterade att informationssäkerhet varit svårt att omsätta i de samarbetsprojekt som bedrivs inom e-förvaltningsområdet, och önskat ett ökat stöd för detta. Delegationen uttalade att det krävs en gemensam grund i form av säkerhetskultur, metoder och regler. MSB tog därför initiativ till att det borde inrättas ett nytt arbetsutskott inom delegationen för att förverkliga den strategi för informationssäkerhet som E-delegationen beslutat. ska dels ta fram en handlingsplan för att förverkliga målen i strategin, dels lämna metodstöd till de projekt som genomförs i delegationen.93 Enligt MSB är dock informationssäkerhetsfrågan fortfarande inte helt etablerad i alla delar av delegationens arbete.94 I ett betänkande från som handlar om vem som ska ansvara för (Sitic) och certifieringsorgan för IT-säkerhet (CSEC) behandlas informationssäkerheten i ett strategiskt perspektiv.95 Vi har även gått igenom 41 departementspromemorior som tagits fram av olika arbetsgrupper inom som kan vara relevanta från informationssäkerhetssynpunkt. I en av promemoriorna som handlar om elektronisk kommunikation talas om att det ska säkerställas att 91Av E-delegationen avlämnade betänkanden: SOU 2009:86, 2010:62, 2011:67, 2012:68 samt 2013:22. Övriga betänkanden är från Utredningen om stärkt krisberedskap i det centrala betalningssystemet (SOU 2011:78), (SOU 2011:38) samt (SOU 2010:25). 92E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – vägen till effektivare e-förvaltning (SOU 2011:67). 93E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – förstärkt samordning av förvaltningsgemensamma tjänster (SOU 2012:68) samt Så enkelt som möjligt för så många som möjligt – samordning och digital samverkan (SOU 2013:22). 94Uppgift vid faktagranskning av utkast till denna granskningsrapport. 95Informationssäkerhetsutredningen betänkande Viss översyn av verksamhet och organisation på informationssäkerhetsområdet (SOU 2010:25). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN elektronisk kommunikation uppfyller rimliga krav på driftsäkerhet, och om att införa en skyldighet att rapportera integritetsincidenter.96 Den promemoria som mest ingående tar upp informationssäkerhet härrör från den senaste försvarsberedningen. I ett säkerhetspolitiskt sammanhang utvecklar beredningen de hot och risker som finns i och omvärlden och vilka krav det ställer. Bland annat föreslog man att hoten och riskerna inom informationssäkerhetsområdet borde utredas, vilket nu också sker i utredningen om att föreslå en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och IT-system (NISU 2014, dir. 2013:110). I ett försvarspolitiskt sammanhang går beredningen vidare och konstaterar att samlade förmåga att förebygga, motverka och aktivt hantera konsekvenserna av cyberhoten måste öka. Man anser bland annat att det internationella samarbetet ska utvecklas för att säkerställa en robustare cybersäkerhet.97 4.7E-delegationens uppföljning av myndigheternas samlade arbete med e-förvaltning E-delegationen har regeringens uppdrag att följa e-förvaltningsarbetet i statsförvaltningen. har delegationen skickat ut en webbenkät för att följa upp utvecklingen.98 Den första undersökningen gjordes 2011 och besvarades av 201 myndigheter. Den andra gjordes 2013 och besvarades av 137 myndigheter. Som en del av undersökningen ställdes ett antal frågor om informationssäkerhet. Frågorna, som var åtta till antalet, fokuserade på om och i så fall hur myndigheterna bedriver ett systematiskt informationssäkerhetsarbete. Frågorna var liknande de som MSB har ställt i sin uppföljning av , men färre till antalet. Bilden som framkom tyder på en förbättring av det systematiska informationssäkerhetsarbetet . Den samlade bilden av läget 2013 var dock lika problematisk som den som framträder i MSB:s uppföljning av , det vill säga en stor andel myndigheter har inte ett systematiskt informationssäkerhetsarbete på plats.99 96Departementspromemorian Bättre regler för elektroniska kommunikationer (Ds 2010:19). 97Försvarsberedningen: Vägval i en globaliserad värld (Ds 2013:33) och Försvaret av – Starkare försvar för en osäker tid (2014: 20). 98E-delegationen: Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011 respektive 2013. 99Uppgifterna från undersökningen är publicerade i rapporterna E-delegationen, Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011, samt Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2013. Iakttagelserna i detta kapitel visar att läget för informationssäkerheten är allvarligt i de delar av statsförvaltningen som det finns kännedom om, och att det varit så . Därtill är kännedomen om läget lågt för större delen av statsförvaltningen. Detta bygger på det samlade underlag som gett i uppdrag till MSB, FRA och Säkerhetspolisen att ta fram. Underlaget är ny, unik information där var och en av delarna entydigt pekar i samma riktning, vilket ger bevisningen styrka. Myndigheternas risk- och sårbarhetsanalyser lever inte upp till de krav som ställs när det gäller att redovisa informationssäkerhet. Bristerna är så omfattande att det inte går att ställa samman en gemensam bild av samlad förmåga att kunna motstå och hantera kriser inom informationssäkerhetsområdet. Det är även svårt att bilda sig en uppfattning om den enskilda myndighetens informationssäkerhet i ett flertal fall. Den trendrapport som MSB producerar behandlar risker och hot, men inte realiserade hot eller skyddsåtgärder.100 Många myndigheter brister i efterlevnad av . E-delegationens uppföljning indikerade problem med informationssäkerhetsarbetet Verva följde aldrig upp efterlevnaden av föreskrifterna. MSB har inte hellerföljt upp myndigheternas tillämpning av . FRA:s underrättelseverksamhet är inriktad mot utländska hotaktörer av en viss dignitet som riktar sina operationer mot samhällsviktig verksamhet. Underrättelseverksamheten genererar en god kunskap om vilka hot som finns och indikerar vilka myndigheter som kan vara utsatta för angrepp. Underrättelseverksamheten genererar dock ingen kunskap om hur myndigheternas informationssäkerhet är beskaffad. FRA har tack vare sina IT-säkerhetsanalyser en god kunskap om hur läget är i en liten del av statsförvaltningen – i stort sett bland de myndigheter och bolag som har den mest skyddsvärda verksamheten. FRA underrättar dock inte regeringen om resultatet av respektive analys. FRA rapporterar heller inte bristerna på en aggregerad nivå.