rir · H2B523 · 2014-11-20 00:00:00 — (exempelvis häftklamrar) ska avlägsnas, hur transport av handlingar ska ske, m.m.46 I föreskrifter om elektroniska handlingar finns ett kapitel som uttryckligen behandlar informationssäkerhet.47 Av 6 kap. 1 § följer att en myndighet ska skapa och upprätthålla rutiner för samt vidta åtgärder för att skydda handlingarna från skada, manipulation, obehörig åtkomst och stöld. Det ska ske med utgångspunkt i standarden för LIS.48 I kapitlet ställs också krav på att myndigheten har en plan för informationssäkerhet, att riskanalyser genomförs innan driftsättning, att elektroniska handlingar ska förses med behörighetssystem, loggsystem och skydd mot skadlig kod om det inte är uppenbart obehövligt, att säkerhetskopior regelbundet framställs och att hantering och förvaring görs i enlighet med övriga föreskrifter.49 är statlig arkivmyndighet och har det särskilda ansvar för den statliga arkivverksamheten och för arkivvården i landet som framgår av arkivlagen och arkivförordningen (1991:446).50 utformar föreskrifter och allmänna råd för arkivhantering och följer upp hur dessa följs. genomför inspektioner vid statliga myndigheter för att kontrollera att myndigheterna fullgör sina skyldigheter enligt arkivlagen. Enligt arkivförordningen (1991:446) ska arkiven regelbundet inspekteras, och målsättning är att myndigheterna ska inspekteras minst var femte 44Av 2 § arkivförordningen (1991:446) följer att har rätt att ge ut föreskrifter. 45Se exempelvis föreskrifter och allmänna råd om handlingar på mikrofilm (RA-FS 2006:2). 46Riksarkivets föreskrifter och allmänna råd om handlingar på papper (RA-FS 2006:1). 47Riksarkivets föreskrifter om elektroniska handlingar (RA-FS 2009:1). 48SS-ISO/IEC 27001:2006 och SS-ISO/IEC 27002:2005. 49Riksarkivets föreskrifter och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling) RA-FS 2009:1. 501 § förordningen (2009:1593) med instruktion för . En inspektion kan beröra hela arkivverksamheten inom en myndighet eller delar av den, såsom exempelvis arkivredovisning, gallring eller arkivlokaler. Inspektionen aviseras oftast i förväg, men oanmälda inspektioner förekommer också. De flesta inspektioner sker på plats i den inspekterade myndighetens lokaler, men inspektioner kan även utföras genom att myndigheten får besvara frågor per brev. Resultatet av inspektionerna kommuniceras i en inspektionsrapport. Rapporten beskriver hur väl myndigheten sköter sin arkivhantering. Om brister i arkivhanteringen konstateras kan besluta om rättelse i form av ett föreläggande. Om en myndighet inte åtgärdar sina brister kan besluta om en ny inspektion av myndigheten.51 Lagen (2003:389) om elektronisk kommunikation reglerar villkoren för att tillhandahålla elektroniska kommunikationstjänster. Syftet med lagen är att enskilda och myndigheter ska få tillgång till säkra och effektiva elektroniska kommunikationer och största möjliga utbyte vad gäller urvalet av elektroniska kommunikationstjänster samt deras pris och kvalitet. krav på de som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster, bland annat vad gäller teknisk och organisatorisk säkerhet. Lagen (2000:832) om elektroniska signaturer reglerar framställandet och utfärdandet av elektroniska signaturer, och syftet med lagen är att underlätta användningen av elektroniska signaturer. Lagen (2006:24) om nationella toppdomäner för på Internet reglerar den tekniska driften av nationella toppdomäner för på internet samt tilldelning och registrering av domännamn under dessa toppdomäner. () är en av regeringens stöd- och tillsynsmyndigheter när det gäller informationssäkerhet i samhället. PTS har bland annat till uppgift att verka för robusta elektroniska kommunikationer (telekommunikationer, IT och radio) och ökad nät- och informationssäkerhet i fråga om elektronisk kommunikation. PTS ska också lämna råd och stöd till myndigheter, kommuner och landsting samt företag, organisationer och andra enskilda i frågor om nätsäkerhet.52 PTS utövar också tillsyn enligt lagen (2003:389) om elektronisk kommunikation, vilket innebär tillsyn av privata operatörer inom elektronisk kommunikation. PTS ansvarade tidigare för (SITIC). har MSB övertagit denna funktion, som benämns CERT-SE. I samband med detta tydliggjordes de båda myndigheternas uppdrag inom informationssäkerhetsområdet. 51http:///tillsyn-och-radgivning. 524 § 15–17 förordningen (2007:951) med instruktion för . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Till skillnad från regeringens andra stöd- och tillsynsmyndigheter, Säkerhetspolisen, FRA och MSB, har PTS inte något ansvar för att inhämta, analysera eller vidareförmedla information om informationssäkerheten på myndigheterna i statsförvaltningen. PTS har i stället ett sektorsansvar som innefattar bland annat tillsyn över de som tillhandahåller elektroniska kommunikationer (tjänster och nät) oavsett associationsrättslig form. PTS kan sägas ha tre roller som tillsynsmyndighet när det gäller informationssäkerhet. Förutom lagen om elektronisk kommunikation utövar myndigheten även tillsyn enligt lagen (2000:832) om elektroniska signaturer och lagen (2006:24) om nationella toppdomäner för på Internet. I övrigt har PTS som sektorsmyndighet i uppdrag att tillse att samhällets behov av elektronisk kommunikation tillgodoses, och har därför ett särskilt uppdrag för att planera och vidta förberedelser för att skapa förmåga att hantera en kris och för att förebygga sårbarheter och motstå hot och risker.53 I den rollen ligger att PTS har ett samlat ansvar för informationssäkerhet inom sektorn. En stor del av det uppdraget hänger samman med att elektroniska kommunikationer är driftsäkra och tillgängliga vid normalläge och vid extraordinära händelser. Vidare innebär det ett uppdrag att skydda abonnenters uppgifter vid användning av elektroniska kommunikationstjänster.54 3.6Riksrevisionens tidigare iakttagelser av brister i regelverket I tidigare granskning av regeringens styrning av informationssäkerhetsarbetet konstaterades att informationssäkerhetsrelevant reglering fanns spridd över hela rättsordningen. De säkerhetsverktyg som fanns i form av tekniska åtgärder, organisatoriska lösningar, rättsligt stöd, m.m. hade olika begränsningar och möjligheter. För att säkerställa ändamålsenlig användning behövde de olika säkerhetsverktygen samordnas. Ur ett informationssäkerhetsperspektiv ansåg att det krävdes att man anlade en helhetssyn på informationssäkerhetsarbetet och på dess reglering. Det fanns en rad krav i olika regleringar som hade bäring på myndigheters hantering av information.55 Regleringen av informationssäkerhet är i stora drag utformad på samma sätt som den var 2007. Skillnaden är att MSB nu har rätt att utfärda föreskrifter om ledningssystem för informationssäkerhet (). Några bindande regler för 5311 § förordningen (2006:942) om krisberedskap och höjd beredskap. 545 kap. 6 b § samt 6 kap. 3 § lagen (2003:389) om elektronisk kommunikation. 55Riksrevisionen: Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen, (RiR 2007:10), s. 81. systematiskt informationssäkerhetsarbete fanns inte för den tidigare granskningen. Av detta kapitel framgår att de fem regelverken delvis riktar sig mot samma objekt och i huvudsak reglerar samma fråga. Säkerhetsskyddslagstiftningen är ett omfattande och detaljerat regelverk, men avgränsat till verksamhet med betydelse för rikets säkerhet eller verksamhet som behöver skyddas mot terrorism. Personuppgiftslagen ställer genom Datainspektionens allmänna råd detaljerade och omfattande krav. De gäller dock endast hantering av personuppgifter, inte informationssäkerhet för verksamheten i stort även om säker hantering av personuppgifter i princip förutsätter ett systematiskt informationssäkerhetsarbete. MSB:s föreskrifter om ledningssystem för informationssäkerhet () omfattar till skillnad från personuppgiftslagen och säkerhetsskyddslagstiftningen inte krav på faktisk säkerhetsnivå, utan i stället krav på ett systematiskt arbetssätt. Vad gäller de olika aktörerna på området framgår av kapitlet att Säkerhetspolisen är den enda myndigheten som har mandat att granska informationssäkerhet brett.56 De verksamheter som granskas av Säkerhetspolisen utgör dock i praktiken en ytterst liten del av den totala statsförvaltningen. FRA har i uppdrag att bedriva underrättelseverksamhet genom signalspaning, och den är riktad mot utländska aktörer. FRA har även i uppdrag att stödja statliga myndigheter och bolag i deras arbete med informationssäkerhet. Det gäller dock endast de mest samhällskritiska verksamheterna och endast på deras begäran. MSB har ett omfattande uppdrag att stödja samhällets informationssäkerhet, men har inget uppdrag att utöva tillsyn. MSB är därför till stor del beroende av att aktörer lämnar uppgifter frivilligt. Den nätverksstruktur som MSB delvis grundar sin informationsinhämtning på ger enligt en insyn i vilka problem och hot som finns mot samhället i stort. Sättet att inhämta informationen kan dock innebära svårigheter för MSB att agera mot myndigheter och företag som deltar i informationsutbytet, eftersom agerandet kan riskera förtroendet och därmed grunden för informationsinsamlingen. PTS har till skillnad från de andra stöd- och tillsynsmyndigheterna inte något ansvar för att inhämta, analysera eller vidareförmedla information om andra myndigheters informationssäkerhet. Genom sin tillsynsroll över elektroniska kommunikationer har PTS dock indirekt en viktig roll för statsförvaltningens 56Säkerhetspolisens granskning utgår från säkerhetsskyddsregleringen med bedömningsgrunden rikets säkerhet och den definition av informationssäkerhet som gäller där. Detta kan begränsa vad som kan göras i en granskning. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN informationssäkerhet vad gäller att upprätthålla säkra elektroniska kommunikationer. Detta faller dock utanför syftet med granskningen och behandlas därför inte mer ingående. Datainspektionen, som inte är utpekad stöd- eller tillsynsmyndighet, genomför tillsyn som omfattar informationssäkerhet, men dess tillsyn berör en delmängd av informationssäkerheten (integritetsskyddsaspekterna). Den tillsyn som utövas sker ur ett avgränsat perspektiv och i begränsad omfattning. har mandat att granska informationssäkerheten hos statliga myndigheter och bolag. Tillsynen är dock begränsad till att omfatta det som finns i myndigheternas arkiv, det vill säga i huvudsak allmänna handlingar. Mandatet omfattar därmed inte verksamhetens information och säkerheten för den i ett vidare perspektiv. 4Vilken information har kommit regeringen till känna? Utifrån granskningens inriktning har undersökt vilka möjliga informationskällor regeringen har för att tillägna sig den kunskap om hot, risker och skyddsåtgärder som krävs för att utvärdera och styra informationssäkerhetsarbetet i statsförvaltningen. Detta kapitel handlar om vad stöd- och tillsynsmyndigheterna vet om informationssäkerheten i statsförvaltningen och hur berörda myndigheter, olika slags utredningar, m.m. har rapporterat till regeringen om informationssäkerheten i statsförvaltningen. På så sätts belyses frågan om vilken information som regeringen fått. Kapitlet omfattar också sådan information som inte regeringen har blivit underrättad om, till exempel resultat av de undersökningar som låtit vissa av de granskade myndigheterna utföra. De utgångspunkter som kan kopplas till kapitlet är den om grundläggande förutsättningar i form av krav och organisering, regeringens såväl som stöd- och tillsynsmyndigheternas ansvar att se till att det genomförs systematiska analyser av hot och risker för att befintliga skyddsåtgärder inte är tillräckliga samt beslut om nya eller förändrade åtgärder och införande och kontroll av åtgärdernas funktion. 4.1Vilken bild har MSB och vad har myndigheten rapporterat till regeringen? 4.1.1MSB:s arbete med risk- och sårbarhetsanalyser MSB identifierade att det fanns ett behov av att utfärda föreskrifter och förenkla arbetet med risk- och sårbarhetsanalyser. Hela systemet med risk- och sårbarhetsanalyser borde hänga samman, från den lokala nivån upp till den centrala nivån, samt att de krav som ställs i de olika lagarna borde fungera tillsammans.57 Som stöd för redovisningen av krisberedskapsförmåga i risk- och sårbarhetsanalyserna används ett antal indikatorer. Någon redovisning av indikatorerna för informationssäkerhet har dock inte alltid skett i de årliga sammanställningar av resultatet som MSB tar fram, då myndigheternas redovisning inte görs på ett sätt som medger en fullständig aggregering och 57Översyn av processen för fördelning av anslag 2:4 Krisberedskap – Uppdrag 15 i MSB:s regleringsbrev , s. 15. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN övergripande analys.58 För dessa indikatorer bedömer dessutom en stor del av myndigheterna att man endast till viss del eller inte alls uppfyller kriterierna. Ett skäl till detta kan enligt MSB vara att indikatorerna för informationssäkerhet är nytillkomna i förmågebedömningen 2012.59 Det är enligt MSB möjligt att svaren reflekterar en viss osäkerhet bland respondenterna om hur faktorerna redundans och robusthet respektive konfidentialitet, riktighet och tillgänglighet ska tolkas och bedömas. De tre senare begreppen utgör grundkomponenter i ledningssystem för informationssäkerhet, vilket enligt MSB:s föreskrifter är ett krav för alla myndigheter. MSB konstaterar 2013 med anledning av detta att kommande enkäter för särskild förmågebedömning kanske tydligare bör efterfråga hur den berörda myndigheten tillämpar föreskrifterna.60 Ett av de moment som enligt MSB visat sig vara svårt att omsätta är riskvärdering. Riskvärdering handlar enligt MSB ytterst om att värdera om den analyserade risken kan anses vara acceptabel.61 Det analys- och utvecklingsarbete som MSB genomför kommer även att beröra vilka analyser olika krisberedskapsaktörer behöver göra (innehåll, syfte och användning), tidsintervallet för sådana analyser, hur analyserna relaterar till varandra samt analysarbetets förväntade sammantagna effekter.62 Av de analyser som MSB använder som underlag framgår att behovet för myndigheter att samverka med andra aktörer när det gäller informationssäkerhet enligt MSB enbart delvis är identifierat och tillgodosett. Ett skäl är att det är svårt att identifiera dels vilken informationshantering som är samhällsviktig i , dels vilka verksamheter som har direkt samverkansbehov vid en störning (till exempel vilka verksamheter som har IT- drift i samma anläggningar och drabbas vid driftbortfall).63 58Se exempelvis MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 66. 59MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 70. 60MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 66. 61MSB: Risker och förmågor 2013 – Redovisning av regeringsuppdrag om nationell risk- och förmågebedömning, s. 79. pågår en översyn av MSB:s föreskrifter (MSBFS 2010:6) respektive (MSBFS 2010:7) om redovisning av risk- och sårbarhetsanalyser, och MSB har vid faktagranskningen av utkast till denna granskningsrapport uppgett att nya föreskrifter skulle kunna träda i kraft /2015. 62MSB: Risker och förmågor 2013 – Redovisning av regeringsuppdrag om nationell risk- och förmågebedömning, s. 79 f. 63MSB: PM Samlad bedömning av samhällets krisberedskapsförmåga 2013 – Komplettering av regeringsuppdrag nummer 26, dnr 2013-5294, s. 16. MSB har på begäran av gått igenom 23 myndigheters hantering av informationssäkerhet i sina risk- och sårbarhetsanalyserna för 2013.64. Genomgången visar att informationssäkerheten inte behandlas i samtliga av de undersökta risk- och sårbarhetsanalyser, trots att det finns uttryckliga krav på detta i föreskrifterna. Generellt för myndigheternas risk- och sårbarhetsanalyser är också att det inte alltid finns en röd tråd mellan beskrivna risker respektive beskrivna åtgärder, vilket även är fallet för informationssäkerhetsområdet.65 I de fall som en myndighet tar upp informationssäkerhet i sin risk- och sårbarhetsanalys, bedömer MSB att detta ofta sker om myndigheten bedömt att det finns ett (prioriterat) hot. Det finns dessutom mycket sällan någon generell bedömning av informationssäkerheten i underlagen. Ingen myndighet har valt att beskriva sin informationssäkerhet utifrån en systematisk genomgång gentemot tillämpliga standarder eller genom en strukturerad genomgång av parametrarna konfidentialitet, riktighet och tillgänglighet. Allt detta gör det mycket svårt att aggregera informationen. Ingen myndighet nämner heller något i sin risk- och sårbarhetsanalys om säkerhet i samband med e-förvaltning, vilket enligt MSB är anmärkningsvärt då utvecklingen på området gått mycket snabbt . MSB bedömer att det, enbart utifrån myndigheternas risk- och sårbarhetsanalyser inte går att få en kvalitetsmässigt godtagbar bild av myndigheternas förmåga på informationssäkerhetsområdet. MSB har framfört ett antal skäl till att så är fallet. Myndigheterna använder olika metoder för att identifiera risk, vilket omöjliggör jämförelser mellan myndigheter. Det är också så att enbart ett fåtal av samtliga myndigheter beskriver risker, sårbarheter och vidtagna åtgärder på informationssäkerhetsområdet, vilket gör att helhetsbilden brister. Ett annat skäl är att det ofta saknas kopplingar mellan redovisade risker och (planerade och vidtagna) åtgärder.66 Det går därmed inte med stöd av risk- och sårbarhetsanalyserna i sin nuvarande utformning att ge en nationell, sammantagen bild av myndigheternas förmåga att hantera och motstå kriser på informationssäkerhetsområdet. 4.1.2MSB:s trendrapport och annan rapportering om informationssäkerhet MSB ger regelbundet ut trendrapporter och andra rapporter om informationssäkerheten i samhället. Den senaste trendrapporten ger enligt MSB en övergripande bild av situationen på informations- och cybersäkerhetsområdet, 64Genomgången omfattar samtliga myndigheter som uppräknas i krisberedskapsförordningen undantaget länsstyrelserna. Genomgången har skett mot 5 § MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7) punkterna 4 och 8. Enbart information med bäring på informationssäkerhet har inkluderats. 65MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7). 66MSB har även fört fram att a) informationssäkerheten inte redovisas enskilt i underlagen utan ofta ligger med som bisatser till annat, vilket bidrar till otydlighet samt att b) det saknas en systematisk beskrivning av informationssäkerhetsarbetet vid myndigheterna, vilket försvårar aggregering och jämförelser. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN samt en bedömning av vilka förhållanden som är särskilt angelägna att uppmärksamma.67 Rapporten fokuserar på att beskriva vad som kan hända och till viss del vad som har hänt knutet till informationssäkerhet. Rapporten behandlar därmed risker, men säger ingenting om förmåga. Den ger heller ingen kunskap om vilka skyddsåtgärder som vidtas ute i förvaltningen. trendrapporter återrapporterar MSB löpande om samhällets informationssäkerhet inom ramen för den nationella risk- och förmågebedömningen (NRFB) samt i årsredovisningen och särskilda händelserapporter. 4.1.3Ledningssystem för informationssäkerhet () Efterlevnaden av har följts upp två gånger sedan de trädde i kraft . Den första uppföljningen gjordes av på eget initiativ . Med anledning av enkätundersökningen konstaterade handelskammaren att 22 av 39 tillfrågade myndigheter inte följde föreskriften. Med hänvisning till undersökningen ställdes i en fråga om myndigheternas IT-säkerhet som besvarades av dåvarande statsrådet svarade att med anledning av frågan har departementet underhand erfarit att flertalet av de statliga myndigheter som enligt utredningen inte arbetade enligt LIS- standarden numera gör det, eller har genomfört förstudier och driver projekt med tidplaner i denna riktning. Arbetet med att införa ledningssystem är en process som kräver tid och förberedelser. I de fall som det inte skett beror det på att myndigheten är mycket liten och anger begränsade informationssäkerhetsbehov. Statsrådet framförde att det i första hand ankommer på myndigheternas ledning och styrelse att införa . Regeringen följer dock utvecklingen, både via den tillsyn som sker, rapporter, genom uppföljning av handlingsplanerna och i myndighetsdialogen.69 har MSB kartlagt hur statliga myndigheter tillämpar MSB:s föreskrifter om . Det övergripande syftet med arbetet har varit att säkerställa att föreskrifternas utformning ger ett ändamålsenligt stöd för statliga myndigheters systematiska arbete med informationssäkerhet. Ett sekundärt syfte har varit att få en bild av hur informationssäkerhetsarbetet bedrivs vid svenska myndigheter.70 Kartläggningen omfattade samtliga 351 myndigheter 67MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 6. 68Svar på skriftlig fråga 2008/09:871 IT-säkerhet inom myndigheter och kommuner. 69Svar på skriftlig fråga 2008/09:871 IT-säkerhet inom myndigheter och kommuner. 70MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, s. 11. som har att följa föreskrifterna, varav 334 myndigheter () har svarat på MSB:s frågor.71 Kartläggningen visar följande resultat för de myndigheter som har besvarat alla frågor som MSB har ställt.72 Policy och styrande dokument73 av myndigheterna har en informationssäkerhetspolicy. av myndigheterna kontrollerar inte efterlevnaden, det vill säga ifall policyer och riktlinjer följs av medarbetarna. av myndigheterna har utsett en informationssäkerhetschef eller motsvarande roll för att leda och samordna informationssäkerhetsarbetet. av de som leder och samordnar informationssäkerhetsarbetet hos myndigheterna rapporterar direkt till myndighetens ledning. av de som leder och samordnar informationssäkerhetsarbetet hos myndigheterna uppges sakna tillräcklig kompetens, resurser eller mandat för att utgöra uppdraget på ett tillfredsställande sätt. av myndigheterna har en informationsklassningsmodell för att identifiera informationstillgångarna och kunna ställa rätt krav på informationssäkerheten. av myndigheterna uppger att det inte är tydligt uttalat vem som ansvarar för att informationsklassning genomförs. av myndigheterna uppger att det inte är fastslaget när informationsklassning ska ske. 71MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 72Myndigheter, som till exempel på grund av ringa storlek, har överlåtit sitt informationssäkerhetsarbete till en annan myndighet har endast besvarat frågor om hur detta reglerats med värdmyndigheten. 73MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 74MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 75MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN av myndigheterna har en metod för riskanalys. av myndigheterna saknar regler för vad riskanalyser ska omfatta eller när det ska ske. av myndigheterna saknar uttalat ansvar för vem som ska av myndigheterna saknar en kontinuitetsplan. av myndigheterna använder inte riskanalyserna som stöd vid av myndigheter uppger att myndighetens ledning åtminstone i stor utsträckning löpande håller sig informerade om arbetet med av myndigheterna har ingen eller en mycket begränsad utvärdering av informationssäkerhetsarbetet på myndigheten.