rir · H2B523 · 2014-11-20 00:00:00 — Förordningen om intern styrning och kontroll avser den process som syftar till att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen (2007:515). Det är krav på att verksamheten bedrivs effektivt, enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen samt att verksamheten redovisas på ett tillförlitligt och rättvisande sätt. Förordningen ställer därmed krav på att myndigheterna har en process för styrning och kontroll som säkerställer att kraven på ledningssystem för informationssäkerhet () uppfylls. Förordningen ställer dock inte i sig några krav på informationssäkerhet. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Figur 2.1 Beskrivning av begreppet informationssäkerhet Källa: – Terminologi för informationssäkerhet, utgåva 3. granskning omfattar utifrån definitionen ovan såväl teknisk säkerhet som administrativ säkerhet. Området informationssäkerhet är ett komplext och omfattande område och rapporten innehåller därmed en del begrepp som kanske inte är helt självklara för alla. I bilaga 1 finns därför en lista med förklaringar till vissa centrala begrepp. Figuren nedan visar de regelverk och aktörer som är relevanta för informationssäkerheten i den civila delen av statsförvaltningen. Figur 2.2 Ett urval av centrala regelverk och aktörer som styr informationssäkerhet i den 3.1.1Vilka krav ställs på säkerhetsskydd Säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633) samt föreskrifter (RPSFS 2010:3) är de regelverk som ställer krav på att vissa verksamheter ska ha ett tillfredsställande säkerhetsskydd. Såväl offentliga som privata verksamheter som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism omfattas av lagen. Med säkerhetsskydd avses skydd mot brott som kan hota rikets säkerhet, skydd av hemliga uppgifter som rör rikets säkerhet och skydd mot terrorism. Säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Det ska också förhindra att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som omfattas av sekretess som rör rikets säkerhet eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning). Slutligen ska säkerhetsskyddet även förhindra att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskydd innebär således att myndigheter och andra som säkerhetsskyddslagstiftningen omfattar ska vidta förebyggande åtgärder för att skydda mot brott som kan hota rikets säkerhet, såsom spioneri och sabotage. Hemliga uppgifter som rör rikets säkerhet ska även de skyddas. Säkerhetsskyddet omfattar också skydd mot terrorism. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Verksamhet som omfattas av säkerhetsskyddslagstiftningen ska ha det säkerhetsskydd som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. En säkerhetsanalys utgör grunden för ett väl anpassat säkerhetsskydd och är dels en undersökning som syftar till att kartlägga vad som är skyddsvärt i en verksamhet, dels en handling som dokumenterar de resonemang som leder fram till vad som är skyddsvärt. Undersökningen ska också relatera det skyddsvärda till de hot som verksamheten kan utsättas för och de säkerhetssårbarheter som verksamheten kan vara behäftad med. I förlängningen syftar säkerhetsanalysen till att ta fram ett beslutsunderlag för säkerhetsskyddsåtgärder samt att skapa spårbarhet för detta underlag.26 Av säkerhetsskyddslagen (1996:627) följer att verksamheter som har betydelse för rikets säkerhet eller behöver skyddas mot terrorism ska utforma ett skydd för verksamheten i enlighet med kraven i lagen, det så kallade säkerhetsskyddet. Säkerhetspolisen är enligt 39 § säkerhetsskyddsförordningen (1996:633) den myndighet som har ansvar för att utöva tillsyn av säkerhetsskyddet i de civila delarna av statsförvaltningen. Säkerhetspolisen samverkar också med den militära underrättelse- och säkerhetstjänsten i Försvarsmakten (MUST) och FRA när det gäller att skydda samhället mot allvarliga IT-hot. Säkerhetspolisen har av regeringen fått ansvaret att prioritera sina insatser utifrån en helhetsbedömning av skyddsbehovet, framför allt när det gäller IT-säkerhet och skydd mot elektroniska angrepp. Säkerhetspolisen har därför inriktat sin tillsyn mot den mest skyddsvärda verksamheten i Denna prioritering medför att tillsynen främst inriktas på myndigheter med sådan verksamhet där konsekvenserna av ett angrepp skulle bli så allvarliga att rikets säkerhet hotas. Säkerhetspolisens tillsyn kompletteras med rådgivning till de granskade myndigheterna. Vid en tillsyn kontrollerar Säkerhetspolisen att den granskade myndigheten följer säkerhetsskyddslagstiftningen och vilka säkerhetsskyddsåtgärder som den granskade myndigheten har vidtagit. Säkerhetspolisen granskar alltid den säkerhetsanalys och de styrande dokument som ska finnas. i säkerhetsanalysen ska motivera vidtagna skyddsåtgärder och säkerställa en samverkande helhet. Därefter granskas informationssäkerhet, IT-säkerhet (penetrationstester) och fysiskt skydd kopplat till de skyddsvärden som säkerhetsanalysen pekat ut. Säkerhetspolisen besöker myndigheten och intervjuar verksamhetskunniga och säkerhetsansvariga. Efter avslutad tillsyn lämnar Säkerhetspolisen en tillsynsrapport till den granskade myndigheten med förslag på åtgärder för att förbättra säkerhetsskyddet samt erbjuder stöd 26 Säkerhetspolisen: Säkerhetsskydd – en vägledning, s. 12. i form av rådgivning efter tillsynen. Tillsynsrapporten överlämnas även för kännedom till den granskade myndighetens huvudman i . En tillsyn tar relativt mycket resurser i anspråk och brukar ta att genomföra. Säkerhetspolisen genomför en eller två tillsyner . 3.2Systematiskt informationssäkerhetsarbete och stödfunktioner för samhällets informationssäkerhet 3.2.1Vilka krav ställs på systematiskt informationssäkerhetsarbete? Ledningssystem för informationssäkerhet () är ett sätt att styra en verksamhets informationssäkerhet på ett systematiskt sätt. Dagens har sin bakgrund i en brittisk standard som utkom och som sedermera blev svensk och internationell standard i form av SS-ISO/IEC 17799 Ledningssystem för informationssäkerhet från 1999.27 Verket för förvaltningsutveckling (Verva) utfärdade föreskrifter som trädde i kraft med krav på att myndigheter under regeringen skulle tillämpa ett ledningssystem för informationssäkerhet.28 Av 30 a § krisberedskapsförordningen framgår att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt Även om kravet finns i krisberedskapsförordningen avser det inte endast krisberedskapsarbete, utan gäller generellt för informationssäkerhetsarbete i statsförvaltningen. MSB har även enligt 34 § krisberedskapsförordningen rätt att utfärda verkställighetsföreskrifter för det som föreskrivs i 30 a §. MSB:S verkställighetsföreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10) trädde i kraft , och utformades i stor utsträckning med Vervas föreskrifter som förlaga. MSB:s föreskrifter ska tillämpas av i stort sett alla myndigheter under regeringen. Föreskrifterna är kortfattade och omfattar endast sex paragrafer, men kompletteras med allmänna råd. Av föreskrifterna följer att myndigheternas arbete ska bedrivas enligt svensk standard i form av ISO 27001 och 27002, vilket innebär mer detaljerade krav att förhålla sig till. Av 4 § framgår att myndigheterna ska 27Statskontoret 2003:23: Ledningssystem för informationssäkerhet vid 24-timmarsmyndigheter, Vägledning och mallregelverk, s. 11 f. 28Vervas föreskrift om statliga myndigheters arbete med säkert elektroniskt informationsutbyte (VERVAFS 2007:2). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN upprätta en informationssäkerhetspolicy och andra styrande dokument som behövs för myndighetens informationssäkerhet utse en eller flera personer som leder och samordnar arbetet med informationssäkerhet klassificera sin information med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur risker ska hanteras, samt besluta om åtgärder för myndighetens informationssäkerhet dokumentera granskningar och säkerhetsåtgärder av större betydelse som vidtagits. Av 5 § följer att myndighetens ledning löpande ska informera sig om arbetet med informationssäkerhet samt minst en gång följa upp och utvärdera informationssäkerhetsarbetet på myndigheten.29 Utöver ansvaret inom området samhällets krisberedskap har MSB även ett särskilt uppdrag inom området samhällets informationssäkerhet. Uppdraget innebär att MSB ska göra följande: Stödja och samordna arbetet med samhällets informationssäkerhet. Analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Rapportera till regeringen om förhållanden på informationssäkerhetsområdet som kan leda till behov av åtgärder inom olika nivåer och områden i samhället.30 Utöver ovan nämnda ska MSB även svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter. MSB ska i detta arbete sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. Funktionen ska även vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. Den funktion inom MSB som i huvudsak hanterar frågan har namnet CERT-SE (Computer Emergency Response Team). Det finns ingen skyldighet för myndigheter 29Som stöd för myndigheternas arbete med informationssäkerhet i enlighet med föreskrifterna har MSB distribuerat standarder för informationssäkerhet till berörda myndigheter. MSB har även upprättat en särskild webbplats – – med råd och stöd för att införa . 3011 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. att rapportera IT-incidenter, och MSB är därför beroende av att myndigheter, privata aktörer, med flera lämnar uppgifterna frivilligt. MSB bedriver sitt stödjande arbete med samhällets informationssäkerhet inom en rad områden. En del utgörs av strategi- och utredningsarbete som innefattar regeringsuppdrag, nationell strategi och handlingsplan, nationell plan för hantering av allvarliga IT-relaterade kriser, m.m. MSB:s roll kopplad till det systematiska informationssäkerhetsarbetet innefattar bland annat utfärdandet av föreskrifter och metodutveckling (risk- och sårbarhetsanalyser, kontinuitetshantering, informationsklassning, m.m.). MSB arbetar också mycket med forskning, utveckling och informations- och cybersäkerhetsövningar. MSB har fått i uppdrag av regeringenatt kontinuerligt redovisa en lägesbedömning på informationssäkerhetsområdet avseende hot, sårbarheter och risker på samhällsnivå.31 Detta görs på flera sätt, till exempel genom den rapportering om samhällets informationssäkerhet som sker i MSB:s risk- och sårbarhetsanalys, MSB:s årsredovisning samt den nationella risk- och förmågebedömningen (NRFB). MSB tar också fram händelserelaterade rapporter, till exempel om Tietoincidenten. Eftersom MSB inte har något mandat att bedriva tillsyn32 över myndigheternas informationssäkerhet bygger informationsinsamling på deltagandet i ett antal olika nätverk och samverkansgrupper.33 Den samverkan som sker i olika fora, internationell samverkan och frivillig incidentrapportering ger MSB möjlighet att inhämta kunskap om vad som sker ute i samhället, och informationen ger en grund för den avrapportering som MSB gör på olika sätt.34 Deltagandet i nationella samverkansfora präglas av att diskussionerna, inom ramen för offentlighets- och sekretesslagstiftningen, förs i förtroende med utgångspunkt i Rules. Det innebär att deltagarna kan använda sig av den information som framkommer i diskussioner, men inte får avslöja från vem informationen härrör.35 Deltagandet i internationella fora kan ske på olika sätt, både enligt Rules och genom formella avtal mellan länder. 31Regeringens skrivelse (2009/10:124) Samhällets krisberedskap – stärkt samverkan för ökad säkerhet, s.71. 32Skriftligt yttrande från Försvarsdepartementet, dnr Fö2014/172/SSK. 33MSB deltar i följande grupper: Samverkansgruppen för informationssäkerhet (SAMFI), , Grupp för informationsdelning med inriktning på vårdsektorn, Grupp för informationsdelning med inriktning på industriella informations- och styrsystem (SCADA), Grupp för informationsdelning med inriktning på finanssektorn, Nationella telesamverkansgruppen, Grupp för informationsdelning inom underrättelse- och säkerhetstjänsterna, Nationellt CERT-forum, (), (), () samt (). 34Intervju på MSB . 35http:///about/chatham-house-rule. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Av FRA:s instruktion36 framgår att FRA ska ha hög teknisk kompetens inom informationssäkerhetsområdet och att FRA ska stödja statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig ur sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. FRA ska särskilt kunna stödja insatser vid nationella kriser med IT-inslag, medverka till identifieringen av inblandade aktörer vid IT-relaterade hot mot samhällsviktiga system, genomföra IT-säkerhetsanalyser eller ge annat tekniskt stöd. FRA ansvarar även för att tilldela civila myndigheter och samhällsviktiga företag av Försvarsmakten godkänd signalskyddsutrustning som gör det möjligt för dem att elektroniskt utbyta sekretessbelagd information med varandra.37 Den tekniska rådgivning som FRA utför utgörs exempelvis av rådgivning om säkerhetsåtgärder, stöd i kravställning vid upphandling av IT-drift eller hjälp med utformning av tekniska och administrativa rutiner för säkerhetsarbete. FRA:s primära roll är dock att vara oberoende granskare och tekniskt sakkunnig expert, inte att leverera färdiga lösningar. FRA kan också bistå med rådgivning när en statlig myndighet eller statligt ägt bolag inte klarar av att hantera en IT-incident, till exempel ett dataintrång i särskilt känsliga system med allvarliga konsekvenser. Det rör sig både om åtgärdsförslag och praktisk hjälp med att hantera och utreda incidenten. 3.3.1Vilka krav ställs på krisberedskap Förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen) syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap. Förordningen innehåller flera bestämmelser med bäring på informationssäkerhetsarbetet hos myndigheter. Enligt 9 § krisberedskapsförordningen ska varje myndighet analysera om det finns sådana sårbarheter eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. MSB har enligt 34 § rätt att utfärda verkställighetsföreskrifter om hur dessa analyser ska redovisas. 36Förordning (2007:937) med instruktion för . 37Enligt 31 § krisberedskapsförordningen ska , , MSB och FRA ha säkra kryptografiska funktioner, som tilldelas av FRA. MSB beslutar om vilka övriga myndigheter, kommuner, landsting, företag och organisationer som ska ha sådana funktioner som tilldelas av FRA. dessutom enligt 31 och 33 §§ ett ansvar för civila myndigheters signalskydd. MSB beslutar vilka civila myndigheter som ska ha säkra kryptografiska funktioner. Av MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2009:10) följer att de myndigheter som har ett särskilt ansvar för krisberedskap ska redovisa sin förmåga kopplat till informationssäkerhetsfrågor med hjälp av ett antal indikatorer. Redovisningen ska ske i form av en bedömning av om det finns tillräcklig förmåga hos myndigheten att upprätthålla informationstillgångarnas konfidentialitet, riktighet och tillgänglighet. De myndigheter som bedriver samhällsviktig verksamhet ska dessutom bedöma förmågan till redundans och robusthet inom myndigheten och dess ansvarsområdes kommunikationssystem (IT, tele och radio).38 3.3.2MSB ansvarar på ett övergripande plan Av MSB:s instruktion framgår att myndigheten ansvarar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträckning inte någon annan myndighet har ansvaret.39 MSB:s arbete är inte begränsat till en viss grupp av aktörer eller organisationer utan uppdraget sträcker sig över såväl statlig och som privat verksamhet. Den del av myndighetens ansvar inom krisberedskapsområdet som har betydelse för de frågor som behandlas i granskningen är MSB:s föreskriftsrätt för kommuners, landstings och statliga myndigheters risk- och sårbarhetsanalyser. Utöver att utfärda föreskrifter har MSB även tagit fram en vägledning för hur myndigheter, kommuner och landsting bör arbeta med sina analyser.40 Risk- och sårbarhetsanalyserna utgör ett viktigt underlag som MSB använder sig av för att göra sina nationella risk- och förmågebedömningar. FRA har ett flertal uppgifter utifrån svensk utrikes-, säkerhets- och försvarspolitik. Utifrån granskningens inriktning har undersökt vilka möjliga informationskällor regeringen har för att tillägna sig den kunskap om hot och skyddsåtgärder som krävs för att utvärdera och styra informationssäkerhetsarbetet i statsförvaltningen. Utifrån den aspekten har FRA:s försvarsunderrättelseverksamhet undersökts. Enligt lagen (2000:130) om försvarsunderrättelseverksamhet ska försvarsunderrättelseverksamhet bedrivas till stöd för svensk utrikes-, 38MSB har vid faktagranskning av utkast till denna granskningsrapport uppgett att man nu ser över dessa föreskrifter, och avser att utfärda nya /2015. 39Förordning (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 40MSB: Vägledning för Risk- och sårbarhetsanalyser, 2011. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet. Det är regeringen som bestämmer inriktningen, och inom ramen för denna inriktning får de myndigheter som regeringen bestämmer ange en närmare inriktning av verksamheten.41 Det är följaktligen inte FRA själv som inriktar sin verksamhet, utan det gör de myndigheter som får ge FRA underrättelseuppdrag. Försvarsunderrättelseverksamheten vid FRA bedrivs bland annat genom signalspaning. Av 1 § lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet (signalspaningslagen) följer att den myndighet som regeringen bestämmer (FRA) får inhämta signaler i elektronisk form vid signalspaning. Av 2 a § signalspaningslagen följer att inhämtning inte får avse signaler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. Av de lagar och förordningar som reglerar FRA:s verksamhet framgår således att försvarsunderrättelseverksamhet ska bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet, exempelvis med avseende på dataintrång i statsförvaltningen. Verksamheten får endast avse utländska förhållanden. Signalspaningsverksamheten vid FRA är alltså omgärdad av ytterst stränga regler. 3.5Övriga regler och aktörer Syftet med personuppgiftslagen (1998:204) är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. De bestämmelser som är inriktade på informationssäkerhet finns i 31 och 32 §§. Av 31 § framgår att lämpliga tekniska och organisatoriska åtgärder ska vidtas för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns vad det skulle kosta att genomföra åtgärderna de särskilda risker som finns med behandlingen av personuppgifterna hur pass känsliga de behandlade personuppgifterna är. Enligt 32 § har Datainspektionen möjlighet att fatta beslut om vilka säkerhetsåtgärder den personuppgiftsansvarige ska vidta enligt 31 § i enskilda fall. De uttryckliga lagkraven är textmässigt kortfattade men Datainspektionen 41 1 § lagen (2000:130) om försvarsunderrättelseverksamhet. har gett ut allmänna råd för att ge exempel på hur man uppfyller lagkraven. Dessa allmänna råd är omfattande och påminner i flera delar om säkerhetsskyddslagen. Ett exempel på råd är det som handlar om säkerhet för personuppgifter där det pekas på ISO-standarderna 27001 och ISO/IEC 27002. Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Inom ramen för uppdraget ingår tillsyn av informationssäkerhet. Tillsynen bedrivs ofta sektorsvis och på förekommen anledning. Datainspektionen granskar bland annat nya tekniska företeelsers påverkan på den personliga integriteten. Som exempel kan nämnas molntjänster eller sociala nätverkstjänster. I dessa fall är det ofta fråga om granskning av specifika behandlingar av personuppgifter, funktioner eller system utifrån ett visst perspektiv, till exempel elektroniskt utlämnande. Det är sällan fråga om en fullständig genomlysning av den totala personuppgiftsbehandlingen hos ett tillsynsobjekt eftersom det enligt Datainspektionens bedömning, ur ett integritetsskyddsperspektiv, är mer effektivt med begränsade granskningar.42 Tillsynen sker genom skriftväxling eller genom inspektioner på plats hos tillsynsobjektet. Vid en inspektion på plats får tillsynsobjektet besvara frågor och förevisa de system eller funktioner som har betydelse för den personuppgiftsbehandling som granskas. En sådan inspektion tar vanligtvis en eller en halv dag att genomföra. För att få en uppfattning om verksamhetens inriktning och omfattning mot statliga myndigheter och statliga bolag har Datainspektionen på begäran tagit fram statistik över inspektionsverksamheten. Av de uppgifter Datainspektionen har lämnat framgår att har drygt två årsarbetskrafter () genomfört 61 aktiviteter riktade mot statliga myndigheter och statliga bolag. Av dessa aktiviteter har sju varit inspektioner på plats hos tillsynsobjektet. Detta kan jämföras med Säkerhetspolisens verksamhet med två tillsyner i genomsnitt och som vardera tar cirka Datainspektionen uppger med anledning av statistiken att det till synes låga totala antalet nedlagda inspektionstimmar bör ses utifrån myndighetens breda uppdrag och de begränsade resurserna myndigheten har tilldelats i förhållande till det breda uppdraget.43 42Datainspektionens yttrande till . 43Datainspektionens yttrande till . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Av arkivlagen (1990:782) följer att vissa handlingar hos en myndighet ska tas om hand för arkivering och att myndighetens arkiv ska bevaras, hållas ordnade och vårdas. I detta ingår enligt 6 § att skydda arkivet mot förstörelse, skada, tillgrepp och obehörig åtkomst. För att utveckla på vilket sätt myndigheter ska vårda sina arkiv har gett ut omfattande krav och vägledning i form av föreskrifter och allmänna råd.44 Av föreskrifterna och råden framgår exempelvis krav på säkerhet, autenticitet, åtkomst och gallring.45 Det finns även krav på dokumentation och register för arkivet och handlingar, krav på vilken form av papper som ska användas, krav på att skadliga föremål