rir · H2B523 · 2014-11-20 00:00:00 — anser att detta är en brist som orsakar svårigheter att styra och följa upp statusen på myndigheternas informationssäkerhet. 161Sedan den nya regeringen tillträtt har ansvaret för krishantering flyttats till (inrikesministern). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Stöd- och tillsyn inte tillräckligt Regeringens tillsyns- och stödmyndigheter, framför allt MSB, Säkerhetspolisen och FRA, är på olika sätt aktiva när det gäller informationssäkerhet. MSB verkar brett över hela den offentliga sektorn med uppdrag att främja en god informationssäkerhet, men har inte till uppgift att utöva tillsyn över informationssäkerheten i enskilda myndigheter. genom Säkerhetspolisen utövar tillsyn, men har av resursskäl inte möjlighet att göra det i hela förvaltningen utan har inriktat sin tillsyn på de myndigheter som har den allra mest skyddsvärda verksamheten. FRA agerar endast på begäran av enskilda myndigheter, och har i praktiken inte möjlighet att testa säkerheten på alla myndigheter. Dessa myndigheter samverkar också tillsammans med PTS, Försvarsmakten och när det gäller informationssäkerhet (SAMFI). Trots dessa myndigheters verksamhet och samverkan visar granskningen att det skulle behöva göras mer, och att myndigheterna saknar mandat för det. Säkerhetspolisen bedriver viss tillsyn inriktad på särskilt skyddsvärd verksamhet, vilket utgör en mindre del av den samlade statsförvaltningen. MSB utfärdar föreskrifter om ledningssystem för informationssäkerhet (), men har inte till uppgift att utöva tillsyn över myndigheters arbete med informationssäkerhet. Datainspektionen utövar tillsyn, men utifrån ett avgränsat perspektiv och i en begränsad omfattning. bedömer att resurser för tillsyn generellt inte har prioriterats i tillräcklig utsträckning. När det gäller stödet till myndigheterna finns ett par resursaspekter som anser värda särskild uppmärksamhet. Den första aspekten är att det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns inte en samlad riskvärdering; i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. Med en samlad lägesbild framtagen hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. Inträffade händelser (se kapitel 2) har visat att kostnaderna kan bli betydande dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. Den andra aspekten är att har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt; de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Om så vore fallet skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. Denna granskning har visat att det råder oklarhet om läget i informationssäkerheten i statsförvaltningen. Med anledning av detta lämnar följande rekommendationer till regeringen och regeringens stöd- och tillsynsmyndigheter. Granskningen har visat ett betydande kunskapsunderskott när det gäller läget för informationssäkerheten i statsförvaltningen. Den tillsyn som sker inriktas i stort sett endast mot den mest skyddsvärda verksamheten – merparten av den civila statsförvaltningen lämnas utan tillsyn. Åtgärder vidtas inte alltid efter genomförda inspektioner. Det saknas också en systematisk och obligatorisk rapportering av incidenter. Allt detta leder till att det blir omöjligt att fånga den verkliga bilden av tillståndet för informationssäkerheten. Därav följer att det inte finns tillräckligt beslutsunderlag för att vidta nödvändiga åtgärder för att möta hoten och riskerna. För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering. Det finns ingen samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. hanteras ärenden rörande informationssäkerhet på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur, etc.). anser att informationssäkerhet är en viktig strategisk fråga för hela statsförvaltningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning i informationssäkerhet rekommenderar därför följande: Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion, och process, ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerheten i statsförvaltningen. 6.2.2 Rekommendationer till regeringens stöd- och tillsynsmyndigheter har i denna granskning kunnat visa att de av regeringen utsedda stöd- och tillsynsmyndigheterna inom nuvarande mandat skulle kunna göra mera, både genom att öka kunskapen om säkerhetsläget och att lämna stöd till den övriga statsförvaltningen för att öka skyddet. Detta är naturligtvis en fråga om vad som ska prioriteras såväl inom dessa myndigheter som inom statsförvaltningen som helhet. För att förbättra statens informationssäkerhet rekommenderar därför följande: MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att flera myndigheter än lämnar en redovisning av sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt avge aggregerade rapporter om säkerhetsläget till och . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Säkerhetsskyddslagen (1996:627) Lagen (2000:130) om försvarsunderrättelseverksamhet Lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet (signalspaningslagen) Offentlighets- och sekretesslagen (2009:400) Lagen (2003:389) om elektronisk kommunikation Lagen (2000:832) om elektroniska signaturer Lagen (2006:24) om nationella toppdomäner för på Internet Personuppgiftslagen (1998:204) Arkivlagen (1990:782) Säkerhetsskyddsförordningen (1996:633) Förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen) Förordningen (2007:603) om intern styrning och kontroll Arkivförordningen (1991:446) Myndighetsförordningen (2007:515) Förordningen (1996:1515) med instruktion för Förordningen (2007:937) med instruktion för Förordningen (2007:951) med instruktion för Förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap Förordningen (2009:1593) med instruktion för MSB:s föreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10) INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7) föreskrifter om säkerhetsskydd (RPSFS 2010:3) föreskrifter om handlingar på mikrofilm (RA-FS 2006:2) föreskrifter om handlingar på papper (RA-FS 2006:1) föreskrifter om elektroniska handlingar (RA-FS 2009:1) Vervas föreskrift om statliga myndigheters arbete med säkert elektroniskt informationsutbyte (VERVAFS 2007:2) Budgetpropositionerna –2014, utgiftsområde 6 1999/2000:86, Ett informationssamhälle för alla 2004/05:175, Från IT-politik för samhället till politik för IT-samhället 2007/08:92, Stärkt krisberedskap – för säkerhets skull 2007/08:160, Utökat elektroniskt informationsutbyte 2008/09:96, Behandling av personuppgifter inom studiestödsområdet Prop. 2009/10:175, Offentlig förvaltning för demokrati, delaktighet och tillväxt Prop. 2013/14:1, UO 6 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling E-delegationens betänkanden SOU 2009:86, 2010:62, 2011:67, 2012:68 samt 2013:22 Utredningen om stärkt krisberedskap i det centrala betalningssystemets betänkande SOU 2011:78 Regeringens skrivelse (2009/10:124) Samhällets krisberedskap – stärkt samverkan för ökad säkerhet Kommittédirektiv (2011:94) till en modern säkerhetsskyddslag Kommittédirektiv (2013:110) till en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och IT-system Kommittédirektiv (2009:110) till viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet Departementspromemorian Bättre regler för elektroniska kommunikationer (Ds 2010:19) Försvarsberedningens promemoria Vägval i en globaliserad värld (Ds 2013:33) Försvarsberedningens promemoria Försvaret av – Starkare försvar för en osäker tid (Ds 2014: 20) Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regeringsbeslut Fö2010/701/SSK Regeringsbeslut Fö2010/702/SSK Regeringsbeslut Fö2010/703/SSK Regeringsbeslut Fö2011/1681/SSK Regeringsbeslut Fö2012/717/SSK Rapporter och andra handlingar från myndigheter m.m. Datainspektionen: Årsredovisningar –2013. : Handlingsplan för – inriktning och ambitioner E-delegationen: Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011 respektive 2013 : Rapport, dnr 10 360:3409/12 : Trender och utmaningar och – informationssäkerhet INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN MSB: Vägledning för risk- och sårbarhetsanalyser, 2011 MSB: Reflektioner kring samhällets skydd och beredskap vid allvarliga it-incidenter – En studie av konsekvenserna i samhället efter driftstörningen hos Tieto MSB: Trendrapport – samhällets informationssäkerhet 2012 MSB: Risker och förmågor 2012 – redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga MSB: Risker och förmågor 2013 – redovisning av regeringsuppdrag om nationell risk- och förmågebedömning MSB: Samlad bedömning av samhällets krisberedskapsförmåga 2013 – komplettering av regeringsuppdrag nummer 26, dnr 2013-5294 MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter MSB: Nationellt system för it-incidentrapportering, dnr 2012-2637 MSB: Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor, dnr 2010-6304 MSB: Säkerhetsgranskning, dnr 2010-6308 MSB: Strategi för samhällets informationssäkerhet 2010–2015 MSB: Samhällets informationssäkerhet – nationell handlingsplan MSB: Strategi för informationssäkerhet i e-förvaltning (dnr 2012-3430) MSB: Ett fungerande samhälle i en föränderlig värld – nationell strategi för skydd av samhällsviktig verksamhet, 2011 MSB: handlingsplan för skydd av samhällsviktig verksamhet, 2013 MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545 : It i människans tjänst – en digital agenda för , 2011 : Granskning av regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10) Statskontoret: Ledningssystem för informationssäkerhet vid 24-timmarsmyndigheter, vägledning och mallregelverk (2003:23) Säkerhetspolisen: Säkerhetsskydd – en vägledning, 2008 Säkerhetspolisen: Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv , dnr 2014-11898-4 Datainspektionen: Yttrande till respektive , Vissa frågor till datainspektionen med anledning av granskning av informationssäkerhet i statsförvaltningen, dnr 2011-2014 : Yttrande till om FRA:s informationssäkerhetsarbete och övergripande bedömning av myndigheters IT- och informationssäkerhet Myndigheten för samhällsskydd och beredskap: Yttrande till 2014-08- 29, Redovisning av informationssäkerhet enligt MSB:s nu gällande föreskrifter om myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7), dnr 2014-3194 : Yttrande till , Svar på arbetsfrågor med anledning av granskning av informationssäkerhet : Yttrande till med underlag till Säkerhetspolisen: Yttrande till , Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv, dnr 2014-11898-4 Intervjuer på Myndigheten för samhällsskydd och beredskap, , Säkerhetspolisen, Försvarsmaktens militära underrättelse-och säkerhetstjänst samt INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Den som har ansvar för en verksamhet under normala förhållanden ska ha det också under en krissituation. Det betyder att en verksamhet ska kunna ha förmåga att fortsätta utföras även under en kris.162 Ett botnät är ett nätverk av datorer som har infekterats av datavirus och annan skadlig kod. Dessa datorer ansluter till en central styrande nod där de får uppgifter att utföra, till exempel att söka igenom webbsidor efter e-postadresser, skicka ut oönskad skräppost eller i vissa fall utföra överbelastningsattacker mot datasystem, till exempel för en myndighet. Ett botnät kan bestå av tusentals datorer, ofta kallade zombier, spridda över hela världen och med ägare som inte vet om att datorerna är infekterade. har botnät börjat tillhandahållas på kommersiella villkor. Den som vill skicka skräppost i stor skala eller angripa en nätresurs kan hyra ett redan existerande botnät på den svarta marknaden.163 MSB/CERT-SE är nationella IT-säkerhetsincidentsfunktion vars uppgift är att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Funktionen är placerad på MSB inom Verksamheten för samhällets informations- och cybersäkerhet och har till uppgift att agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. MSB/CERT-SE är kontaktpunkt gentemot motsvarande funktioner i andra länder. Fram fanns denna funktion på och benämndes då Sitic.164 164Källa: /CERT-SE 2014. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN E-delegationen är en kommitté under som har i uppdrag att driva på e-utvecklingen inom den offentliga sektorn. Delegationen arbetar med e-förvaltning, sociala medier och vidareutnyttjande av offentlig information. Till exempel initierar och koordinerar man förstudier och projekt som leder till förvaltningsgemensamma tjänster som utgår från privatpersoners och företags behov samt tar fram riktlinjer för och följer upp utvecklingen av myndigheternas arbete med e-förvaltning.165 står för Ledningssystem för informationssäkerhet. Det är en standard framtagen av Internationella standardiseringsorganisationen (ISO), och betecknas enligt Standarden syftar till att förbättra den interna kontrollen av informationssäkerheten, och kan tillämpas på alla typer av organisationer.166 Molntjänster är IT-tjänster som en kund överlåter till en annan aktör att tillhandahålla över internet. Det kan till exempel handla om att laga data, använda serverprogram och säkerhetskopiera data. Utlokaliseringen av IT-tjänsterna – ofta benämnt outsourcing – innebär att kunden delvis förlorar kontrollen över dem. Informationssäkerheten kommer då även att vara beroende av den som tillhandahåller molntjänsterna. Om företaget som tillhandahåller tjänsterna verkar utomlands riskerar dessutom lagstiftningen i och det andra landet att vara oförenliga.167 Alla myndigheter under regeringen är enligt 9 § krisberedskapsförordningen (2006:942) skyldiga att analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet. Myndigheten ska värdera och sammanställa resultatet av arbetet i en risk- och sårbarhetsanalys. Ett antal myndigheter som har ett särskilt ansvar för krisberedskapen enligt förordningen ska redovisa sina respektive risk- och sårbarhetsanalyser till och . Denna redovisning ska innehålla de åtgärder som planeras och en bedömning av behovet av ytterligare åtgärder.168 166Källa: () 2014. 168Källa: Förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen). SAMFI står för Samverkansgruppen för informationssäkerhet, som består av sex myndigheter: Försvarsmakten, , , , (respektive Säkerhetspolisen) samt Myndigheten för samhällsskydd och beredskap. verka för säkra informationstillgångar i samhället avseende förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt genom informationsutbyte och samverkan stödja de medverkande myndigheternas arbete när det gäller samhällets informationssäkerhet. SAMFI:s verksamhet inriktar sig på att genomföra de åtgärdsförslag som finns i den nationella handlingsplanen för samhällets informationssäkerhet. Myndigheten för samhällsskydd och beredskap ansvarar för arbetet i SAMFI.169 (Sitic) var en nationell funktion på med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Sitic fungerade som en rikscentral för IT-incidentrapportering. hör funktionen till MSB, och kallas för CERT-SE.170 Säkerhetsskyddsförordningen (1996:633) föreskriver att myndigheter och andra som förordningen gäller för ska utföra säkerhetsanalyser. En säkerhetsanalys innebär att man undersöker vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Syftet med säkerhetsanalysen är att i en verksamhet identifiera det särskilt skyddsvärda, det vill säga där konsekvenserna av en antagonistisk handling kan få betydelse för rikets säkerhet. form av säkerhetsanalys blir ett säkerhetsskydd ineffektivt. Unikt för säkerhetsanalysen är att den fokuserar på skydd mot antagonistiska hot. TDV står för tekniskt detekterings- och varningssystem. FRA har fått i uppdrag av regeringen att stärka informationssäkerheten i samhället genom ta fram ett förslag på ett TDV-system och en pilotversion av detta. Ett sådant system kan liknas vid ett mer avancerat antivirussystem. Systemet larmar för sådan trafik som utgör en del av ett IT-angrepp. Den trafik som orsakar ett larm kan analyseras för att ta reda på mer om angreppet, vilket sker i enlighet med överenskommelse med den myndighet som drabbats av angreppet. TDV är avsett att utgöra ett förstärkt skydd för de mest 169Källa: MSB. 170Källa: 2014. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN skyddsvärda funktionerna i samhället, och ska vara ett komplement till grundläggande informationssäkerhetsåtgärder.171 171 Källa: . Förteckning över granskade regleringsbrev för 35 myndigheter –2014 INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Metod för sammanställning av myndigheters rapportering om informationssäkerhet i årsredovisningen har gått igenom årsredovisningarna för samma urval av myndigheter, vid sidan av stöd- och tillsynsmyndigheterna, som för genomgången av regleringsbreven för att få en uppfattning om myndigheterna självmant redovisar uppgifter om sin informationssäkerhet.172 Genomgången omfattar årsredovisningar för åren 2009–2013 och utgår från två frågor. Omnämns informationssäkerhet, IT-säkerhet eller datasäkerhet på något sätt i årsredovisningen? Går det utifrån årsredovisningen att bilda sig en uppfattning om status på myndighetens informationssäkerhet?173 Bedömningen av om det går att bilda sig en uppfattning utgår från kravet på att myndigheten ska ha ett ledningssystem för informationssäkerhet. Om en myndighet exempelvis skriver att den har infört ett ledningssystem enligt gällande standard och att myndigheten har certifierat sig eller åtminstone utvärderat att systemet fungerar har vi bedömt att myndigheten har informerat om att den har en tillräcklig informationssäkerhet. Om myndigheten skriver att den inte har infört något ledningssystem eller att man håller på att införa det har vi bedömt att myndigheten har informerat om att informationssäkerheten är otillräcklig. uttryckligen har nämnt ett eventuellt ledningssystem, men det ändå av skrivningarna går att sluta sig till att myndigheten har eller inte har ett system har vi bedömt det på motsvarande sätt. Om en myndighet rapporterat tillräcklig såväl som otillräcklig informationssäkerhet bedöms av ur styrningssynpunkt som likvärdiga. Båda sätten att återrapportera ger regeringen kunskap om läget och ger möjlighet att agera respektive vetskap om att man inte behöver agera. De fall som bedöms som att man inte alls eller endast delvis kan bilda sig en uppfattning är ur styrningssynpunkt mer problematiska. I de fallen bör regeringen efterfråga mer information. 172Se bilaga 2. 173Det finns inget uttryckligt krav för myndigheter eller statliga bolag att rapportera om informationssäkerhet i sin årsredovisning. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Av tabellen ovan framgår att antalet årsredovisningar som på något sätt omnämner begreppen informationssäkerhet, IT-säkerhet eller datasäkerhet pendlar mellan 12 och 18 stycken under dessa år. Myndigheter som inte nämner något om informationssäkerhet är , , , , , i , , , Statens servicecenter och . Det motsvarar lite drygt en fjärdedel av det totala antalet undersökta myndigheter. Går det utifrån årsredovis- ningen att få en uppfatt- Av tabellen ovan framgår att för det stora flertalet myndigheter (i genomsnitt över åren) går det inte att få en uppfattning om informationssäkerheten på myndigheten genom att läsa årsredovisningen. Alla tidigare utgivna rapporter finns tillgängliga på Svensk rymdverksamhet – en strategisk tillgång? Statliga myndigheters skydd mot korruption Staten på elmarknaden – insatser för en fungerande Mer patientperspektiv i vården – är nationella riktlinjer en metod?