rir · H2B523 · 2014-11-20 00:00:00 — i den civila statsförvaltningen INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Härmed överlämnas enligt 9 § lagen (2002:1022) om revision av statlig verksamhet m.m. följande granskningsrapport över effektivitetsrevision: Informationssäkerheten i den civila statsförvaltningen har granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen avser regeringen och dess stöd- och tillsynsmyndigheter för informationssäkerhet. Resultatet av granskningen redovisas i denna granskningsrapport. Företrädare för Säkerhetspolisen, Datainspektionen, Myndigheten för samhällsskydd och beredskap, , samt har fått tillfälle att faktagranska och i övrigt lämna synpunkter på utkast till slutrapport. Rapporten innehåller slutsatser och rekommendationer som avser , Myndigheten för samhällsskydd och beredskap, samt Säkerhetspolisen. Riksrevisor har beslutat i detta ärende. Per Dackenberg har varit föredragande. Revisionsdirektörerna har medverkat vid den slutliga handläggningen , , Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap, , samt Datainspektionen INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vad händer egentligen när informationssäkerheten brister? Reglering, stöd och tillsyn Systematiskt informationssäkerhetsarbete och stödfunktioner Övriga regler och aktörer tidigare iakttagelser av brister i regelverket Vilken information har kommit regeringen till känna? Vilken bild har MSB och vad har myndigheten rapporterat till regeringen? Vilken bild har FRA och vad har myndigheten rapporterat till regeringen? Vilken bild har Säkerhetspolisen och vad har myndigheten rapporterat till regeringen? Vilken bild har Datainspektionen och vad har myndigheten rapporterat till regeringen? Övriga myndigheternas rapportering i årsredovisningen Rapportering från utredningar m.m. E-delegationens uppföljning av myndigheternas samlade arbete INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vilka åtgärder har regeringen vidtagit för att Övriga propositioner av relevans Strategier, agendor och handlingsplaner organisation för att hantera informationssäkerhet Förteckning över granskade regleringsbrev för 35 myndigheter –2014 Metod för sammanställning av myndigheters rapportering om Till rapporten finns även två elektroniska underlag som kan laddas ner från . Underlag 1 Några myndigheters rapportering om informationssäkerhet Underlag 2 Direktiv till två pågående utredningar Vi lever i ett samhälle där större mängder information än bearbetas, lagras, kommuniceras och mångfaldigas. Det finns stora möjligheter och fördelar med en ökad informationsanvändning. innebär den ökande utvecklingen av IT att samhället öppnas upp för stora risker som vi sannolikt inte är medvetna om . Brister i hanteringen och säkerheten för informationen riskerar att få omfattande konsekvenser, såväl för samhället i stort som för enskilda. Brister kan också leda till ett försämrat förtroende för offentliga och privata aktörer som tillhandahåller viktiga tjänster. Informationssäkerhet omfattar därigenom hela samhället och är en angelägenhet för alla. Denna granskning tar sin utgångspunkt i den allt mer ökande användningen av information i samhället och i statsförvaltningen samt utifrån de brister som konstaterades genom tidigare granskningar av informationssäkerhet. granskade –2007 elva myndigheter och deras arbete med informationssäkerhet. För sex av dessa myndigheter gjordes en djupare granskning. Denna serie av granskningar avslutades med en granskning som avsåg regeringens styrning av myndigheternas informationssäkerhetsarbete. samlade bedömning var att det fanns brister i myndigheternas arbete med informationssäkerhet och att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för statsförvaltningens arbete med informationssäkerhet. Denna granskning har syftat till att utreda om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot. Granskningen omfattar således varken styrningen av eller nivån på informationssäkerhet i samhället i stort. I granskningen har vi inriktat oss på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. Granskningen syftar också till att bedöma om INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN regeringen och ansvariga myndigheter för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheter inom den civila statsförvaltningen. Granskningen svarar på två frågor: Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräckliga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Hur enskilda myndigheter arbetar med informationssäkerhet ingår inte i granskningen. Inte heller har granskningen sökt bevisa omfattningen av specifika brister i informationssäkerheten. Granskningen avser regeringen (via Försvarsdepartementet, , och ) samt stöd- och tillsynsmyndigheterna Myndigheten för samhällsskydd och beredskap (MSB), (), Säkerhetspolisen och (). Granskningen avser den civila delen av statsförvaltningen och omfattar därför inte hur Försvarsmakten bedriver arbetet med informationssäkerhet inom sitt verksamhetsområde. samlade slutsats av denna granskning är att arbetet med informationssäkerheten inte är ändamålsenligt, sett till de hot och risker som finns. Den tekniska utvecklingen har accelererat och de risker en organisation ökar och kan förväntas fortsätta öka framöver. Som framgår av underlag i granskningen har vissa av riskerna förverkligats, och konsekvenserna har varit allvarliga. Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerheten är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser som kan bli följden. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom exempelvis kompetensbrist, upphandling, tillsyn/ uppföljning/återrapportering samt styrning/omreglering/samordning. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Konsekvenserna spänner från att det kan drabba hela samhällsfunktioner till att drabba enskilda. Granskningen har visat på omfattande brister i statsförvaltningen. Av underlaget till granskningen framgår att av myndigheterna som själva administrerar sina IT-system uppger att de har en informationssäkerhetspolicy. framgår att av myndigheterna bedömer att kompetens, mandat eller resurser är otillräckliga för att utföra informationssäkerhetsarbetet på ett tillfredsställande sätt. Vidare uppger av myndigheterna att det saknas regler för vad en riskanalys, som ska göras i ett systematiskt informationssäkerhetsarbete, ska omfatta eller när den ska ske. Slutligen uppger av myndigheterna att de saknar en kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. Regeringen har inte någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. En sådan lägesbild har inte heller någon av regeringens stöd- och tillsynsmyndigheter. Det innebär att den samlade förmågan att kunna hantera de konsekvenser som kan bli följden av en allvarlig incident till stora delar är okänd. Av det skälet är det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går att få en samlad bild av läget och utifrån detta anpassar kraven på säkerheten till de behov som finns. granskning har visat att regeringen inte utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen och regeringens stöd- och tillsynsmyndigheter endast delvis har vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. drar denna slutsats mot följande bakgrund. har som ett led i granskningen uppdragit åt MSB, FRA och Säkerhetspolisen att analysera uppgifter om läget för informationssäkerheten i statsförvaltningen. Redovisningen av dessa uppdrag innebär väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekar dessutom entydigt i samma riktning. Regelsystemet för informationssäkerhet ser i huvudsak likadant ut som det gjorde 2007 när senast granskade området. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i regeringens styrning. Ett tydligt och väl anpassat regelverk är en förutsättning för att uppnå effektivitet i arbetet med informationssäkerhet. drar därför slutsatsen att det regelverk som styr myndigheternas arbete med informationssäkerhet bättre kan behöva anpassas till olika typer av statlig verksamhet för att kunna nå önskvärda mål. Det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns inte en samlad riskvärdering; i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. Om det hade funnits en samlad lägesbild hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. Inträffade händelser (se kapitel 2) har visat att kostnaderna kan bli betydande, dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader och minskat förtroende för statsförvaltningen. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt; de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven av säker informationshantering. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Om så vore fallet skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. Granskningen har visat ett betydande kunskapsunderskott när det gäller läget för informationssäkerheten i statsförvaltningen. Den tillsyn som sker täcker i stort sett endast den mest skyddsvärda verksamheten – merparten av den civila statsförvaltningen lämnas utan tillsyn. Åtgärder vidtas inte alltid efter genomförda inspektioner. Det saknas också en systematisk och obligatorisk rapportering av incidenter. Allt detta leder till att det blir omöjligt att fånga den verkliga bilden av tillståndet för informationssäkerheten. Därav följer att det inte finns tillräckligt beslutsunderlag för att vidta nödvändiga åtgärder för att möta hoten och riskerna. För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvar för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering. Det finns ingen samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. hanteras ärenden rörande informationssäkerhet på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur, etc.). anser att informationssäkerhet är en viktig strategisk fråga för hela statsförvaltningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning i informationssäkerhet rekommenderar därför följande: Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion och process ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerheten i statsförvaltningen. Till regeringens stöd- och tillsynsmyndigheter har i denna granskning kunnat visa att de av regeringen utsedda stöd- och tillsynsmyndigheterna inom nuvarande mandat skulle kunna göra mera, både genom att öka kunskapen om säkerhetsläget och att lämna stöd till den övriga statsförvaltningen för att öka skyddet. Detta är naturligtvis en fråga om vad som ska prioriteras såväl inom dessa myndigheter som inom statsförvaltningen som helhet. För att förbättra statens informationssäkerhet rekommenderar därför följande: MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att flera myndigheter än lämnar en redovisning av sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt avge aggregerade rapporter om säkerhetsläget till och . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vi lever i ett samhälle där större mängder information än bearbetas, lagras, kommuniceras och mångfaldigas. Det finns stora möjligheter och fördelar med en ökad informationsanvändning. Brister i hanteringen och i säkerheten för informationen riskerar dock att få omfattande konsekvenser, såväl för samhället i stort som för enskilda. Brister kan också leda till ett försämrat förtroende för offentliga och privata aktörer som tillhandahåller viktiga tjänster. Informationssäkerhet omfattar därigenom hela samhället och är en angelägenhet för alla. Dagens informationshantering präglas i ännu högre grad än tidigare av hög förändringstakt. uttryckte regeringen att inriktningen för statsförvaltningen bör vara att all den information individer och företag behöver få från, och lämna till, myndigheter bör finnas tillgänglig elektroniskt.1 stegrades målsättningen genom att målet för varje myndighet ska vara att all information och service som med bibehållen eller ökad effektivitet, såväl ekonomisk som organisatorisk, kan tillhandahållas elektroniskt också ska tillhandahållas så.2 I propositionen om behandling av personuppgifter 2008 uttalar regeringen att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation med medborgarna bör bygga på internet.3 I den förvaltningspolitiska propositionen 2010 konstaterades slutligen att det finns en stor effektiviseringspotential att ta till vara med hjälp av tekniken och den ska också bidra till att förstärka förvaltningens öppenhet.4 Inslaget av IT-stöd i den statliga förvaltningen är utifrån regeringens ovan beskrivna ambition betydande och IT-beroendet har blivit allt större.5 Merparten av statsförvaltningens verksamheter skulle sannolikt inte fungera tillfredsställande utan IT-stöd. 1999/2000:86, Ett informationssamhälle för alla, s 30. 2004/05:175, Från IT-politik för samhället till politik för IT-samhället, s 93. 2008/09:96, Behandling av personuppgifter inom studiestödsområdet, s. 64. 2009/10:175, Offentlig förvaltning för demokrati, delaktighet och tillväxt, s 2. 5Prop 2013/14:1, UO 6, s. 96. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Om informationssäkerheten brister är risken stor att myndigheterna inte kan fullfölja sina skyldigheter, vilket kan leda till ett minskat förtroende hos allmänheten. Trots den ökade betydelsen av ett fungerande informationssäkerhetsarbete anser såväl nationella som internationella bedömare att utvecklingen av antagonistiska IT-relaterade hot (attacker, IT-brott, spionage, kränkningar, etc.) numera går fortare än samhällets utveckling av skyddsåtgärder. Detta gäller kanske i ännu högre grad icke-antagonistiska hot såsom utvecklingsfel, mjuk- och hårdvarufel, handhavandefel och liknande.6 Till detta kan läggas att i dagens samhälle har vi mer och mer rationaliserat bort möjligheterna att kunna använda alternativ i händelse av störningar Dessutom har vi skapat så komplexa beroenden mellan olika IT- system att det blir svårt att få en korrekt bild av vilka konsekvenser en störning kan leda till. granskade –2007 elva myndigheter och deras arbete med informationssäkerhet. För sex av dessa myndigheter gjordes en djupare granskning. Denna serie av granskningar avslutades med en granskning som avsåg regeringens styrning av myndigheternas informationssäkerhetsarbete.7 samlade bedömning var att det fanns brister i myndigheternas arbete med informationssäkerhet och att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för statsförvaltningens arbete med informationssäkerhet. Denna granskning tar sin utgångspunkt i den allt mer ökande användningen av information i samhället och i statsförvaltningen samt utifrån de brister som konstaterades genom tidigare granskningar av informationssäkerhet. I riskanalys för staten identifieras informationssäkerhet som ett särskilt riskområde. Regeringen har tillsatt två utredningar som har stor betydelse för informationssäkerheten i samhället. Dessa är översynen av säkerhetsskyddslagen8 och utredningen som ska ta fram en nationell 6MSB:s trendrapport, FRA:s trendrapport, Säkerhetspolisens och FRA:s yttranden till samt Audit Office; Auditor General . , Country Papers on Topic 2 . 7Granskning av Statens pensionsverks interna styrning och kontroll av informationssäkerheten (RiR 2005:26), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2005:27), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:24), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006: 25), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:26), Granskning av interna styrning och kontroll av informationssäkerheten 2006 samt Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). 8En modern säkerhetsskyddslag (dir. 2011:94). strategi för informationssäkerhet.9 Översynen av säkerhetsskyddslagen syftar till att bättre anpassa lagstiftningen till vad som krävs för att skydda verksamhet med betydelse för rikets säkerhet och till de krav som ställs på internationellt samarbete. Utredningen om strategi och mål för samhällets informationssäkerhet fokuserar på roller och ansvar på myndighetsnivå, men omfattar inte regeringens styrning av informationssäkerhetsarbetet Den inriktning och de avgränsningar som görs i granskning innebär därmed att den behandlar områden som inte omfattas av de två utredningar som regeringen har tillsatt. Denna granskning syftar till att utreda om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen omfattar således varken styrningen av eller nivån på informationssäkerhet i samhället i stort. I granskningen har vi inriktat oss på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. Granskningen syftar också till att bedöma om regeringen och ansvariga myndigheter för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheter inom den civila statsförvaltningen. Granskningen svarar på två frågor: Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräckliga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Granskningen inriktas på den styrning som regeringen och dess stöd- och tillsynsmyndigheter har gett övriga myndigheter i den civila statsförvaltningen genom sitt arbete med informationssäkerhet. Med styrning avses i denna granskning mål och krav, stöd, samordning, tillsyn och kontroll. Av särskilt intresse är den kunskap och information som samlats in som ligger till grund för systematiska och övergripande hotbildsanalyser för den civila statsförvaltningen. Enligt är sådana analyser en viktig 9Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN förutsättning för att informationssäkerhetsarbetet ska kunna anses vara effektivt, eftersom de ger underlag för handlingsplaner och åtgärder. Hur enskilda myndigheter arbetar med informationssäkerhet ingår inte i granskningen. Inte heller har granskningen sökt bevisa omfattningen av specifika brister i informationssäkerheten. Skälet till denna avgränsning är att problembilden i form av brister i myndigheternas informationssäkerhet var relativt tydlig redan när granskningen inleddes. Dessutom hade en granskning av enskilda myndigheters arbete med informationssäkerhet tagit att genomföra. Granskningen avser regeringen (via Försvarsdepartementet, , och ) samt stöd- och tillsynsmyndigheterna Myndigheten för samhällsskydd och beredskap (MSB), (), Säkerhetspolisen samt (). Granskningen avser den civila delen av statsförvaltningen och omfattar därför inte hur Försvarsmakten bedriver arbetet med informationssäkerhet inom sitt verksamhetsområde.