rir · H2B523 · 2014-11-20 00:00:00 — Den grundläggande utgångspunkten för granskningen är regeringsformen, budgetlagen och myndighetsförordningen samt kravet på att eftersträva hög effektivitet och god hushållning i statlig verksamhet. När det gäller regeringens styrning utgår granskningen från beprövad erfarenhet för vad som betraktas som effektiv styrning. Det innebär framför allt att det bör ställas krav på en verksamhet, och att dessa krav sedan följs upp för att säkerställa att de fått genomslag. En effektiv styrning kan också innebära att det sätts upp olika mål. Effektiv styrning präglas också av transparens och att ansvar och befogenheter går att urskilja och är symmetriska. En viktig förutsättning för detta är enligt att besluten fattas på den nivå där rätt kompetens finns. utgår från att den civila statsförvaltningen bör ha ett ändamålsenligt skydd för sin information. anser vidare att ett effektivt informationssäkerhetsarbete i statsförvaltningen kräver 1.grundläggande förutsättningar i form av ett ändamålsenligt regelverk, tydliga roller och ansvar samt krav på och organisering av ett systematiskt och processinriktat arbetssätt 2.systematiska analyser av hot och risker, såväl på organisationsnivå som på ett övergripande plan 3.att ansvariga aktörer vid behov beslutar om nya eller förändrade säkerhetsåtgärder, ser till att åtgärderna införs och slutligen kontrollerar säkerhetsåtgärdernas funktion 4.systematisk och regelbunden uppföljning som ger underlag för förbättringar. Regeringen ansvarar framför allt för att de grundläggande förutsättningarna finns på plats (punkt 1). Av 1 kap. 6 § regeringsformen framgår att regeringen styr riket. Innebörden av grundlagens bestämmelse är att regeringen har ansvar både för att ta initiativ till förändringar och att verkställa dessa. Regeringen delegerar en del av sitt ansvar till myndigheterna, vilket innebär att regeringen inför ytterst är ansvarig för allt som myndigheterna gör. har regeringen inte ett operativt ansvar för vilka åtgärder som vidtas eller inte vidtas. För att resurserna inom den offentliga sektorn ska utnyttjas på bästa sätt och användas där de bäst behövs krävs dessutom att regeringen följer upp myndigheternas verksamhet och resultat (punkt 4). Detta krävs för att veta om verksamheten är organiserad på ett ändamålsenligt sätt och ger önskvärda effekter. Informationssäkerhet är en tvärsektoriell fråga och det ställer ökade krav på samverkan mellan departementsområden och myndigheter. Kunskapsuppbyggnad, uppföljning och utvärdering är centrala inslag i styrningen av tvärsektoriella frågor vilket ställer ökade krav på regeringens förmåga att prioritera mellan och samordna olika perspektiv. Det finns ett omfattande regelverk som behandlar informationssäkerhetsområdet. Reglerna anger bland annat vilka krav som ställs på de statliga myndigheterna och återfinns i lagstiftning och inom ramen för regeringens styrning genom förordningar m.m. Vissa myndigheter har också utfärdat föreskrifter och allmänna råd. Regelverket beskrivs i kapitel 3. Vad gäller att ta fram risk- och sårbarhetsanalyser, samt vidta åtgärder för att komma till rätta med brister (punkt 2 och 3) är arbetet baserat på verksamhetsansvaret och ansvarsprincipen. Verksamhetsansvaret innebär att varje enskild myndighet är ansvarig för att den egna informationssäkerheten är tillräcklig utifrån den verksamhet myndigheten bedriver. Ansvarsprincipen innebär att den myndighet som normalt ansvarar för en verksamhet har samma ansvar under en krissituation. Principen innebär också att myndigheten har en skyldighet att verksamheten även ska fungera vid en krissituation. Genom ansvarsprincipen har myndigheterna också en skyldighet att aktivt samverka med andra aktörer för att kunna lösa sina uppgifter vid en krissituation. För att ytterligare stärka samhällets informationssäkerhet har regeringen gett ett antal myndigheter i uppdrag att utöva tillsyn och ge stöd. Dessa myndigheter kan i denna egenskap få en speciell kunskap och information om informationssäkerhetsarbetet på myndigheterna, samt om risker och sårbarheter i en vidare bemärkelse. De blir därmed viktiga för att kunna bedöma risker och sårbarheter på en systematisk och övergripande nivå. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN I denna granskning har information inhämtats huvudsakligen på tre sätt: dels genom dokumentstudier, dels via intervjuer och skriftliga frågor till berörda myndigheter och , dels också genom att gett MSB, FRA och Säkerhetspolisen i uppdrag att sammanställa och analysera läget för informationssäkerheten i den civila statsförvaltningen. Den information som på dessa sätt har inhämtats har sedan bearbetats och analyserats och därigenom lett fram till de slutsatser och rekommendationer som redovisas i denna granskningsrapport. Den första frågan, om regeringens styrning, har utretts genom att kartlägga och analysera de uppgifter och krav på åtgärder och redovisningar som ställts på myndigheterna. Styrningen utgår från myndigheternas instruktioner, särskilda förordningar, regleringsbrev och i förekommande fall särskilda regeringsbeslut. För att belysa regeringens styrning har vi också gått igenom samtliga kommittédirektiv, utredningsbetänkanden, departementspromemorior, propositioner (inklusive budgetpropositioner) som skulle kunna haft relevans för det granskade området. har i faktagranskningen av rapporten framfört synpunkten att det är regeringens formella styrning av myndigheternas arbete med informationssäkerhet som har granskats, vilket endast utgör en del av den styrning som sker. Av ett flertal källor framgår att informella kontakter utgörs av kontakter mellan företrädare för myndigheter och Kontakterna syftar oftast till att utbyta information och kunskap, men ibland även till att förtydliga regeringens styrning.10 förvaltningspolitiska proposition uttalade regeringen även att kontakterna mellan och andra myndigheter är viktiga inslag i en effektiv förvaltning. De bör, menar regeringen, syfta till informations- och kunskapsutbyte samt förtydliganden av regeringens styrning.11 ställde mot bakgrund av detta ett antal skriftliga frågor till om man har använt sig av informell styrdialog för att få information om myndigheternas informationssäkerhet och om det finns något underlag som visar det. ansåg att man inte kunde besvara dessa frågor. framhöll att ett relativt stort antal frågor inte kan besvaras av , då många av frågorna gäller beslut som har fattats av regeringen, inte . 10Se bland annat : Utvecklingsprogrammet för styrning, Styrning av de statliga myndigheterna och informella kontakter, PM eller SOU 2007:75 Att styra staten – regeringens styrning av sin förvaltning. 2009/10:175, bet. 2009/10:FiU38, rskr. 2009/10:315. För regleringsbrev och årsredovisningar har vi gått . För utredningsdirektiv, utredningsbetänkanden, departementspromemorior och propositioner har vi dock ansett oss tvungna att gå tillbaka ända till 2007 för att kunna fånga upp signaler från tiden för krisberedskapsreformen12 och bildandet av MSB. Vi har besökt de granskade myndigheterna och intervjuat olika nyckelpersoner. Vi har även skickat myndigheterna skriftliga frågor. Detsamma har skett i fråga om . För att svara på frågan om stöd- och tillsynsmyndigheterna vidtagit tillräckliga åtgärder för att informera sig och regeringen, har vi tagit del av de analyser som gjorts på myndigheterna och den rapportering som gjorts till regeringen. Rapporteringen till regeringen görs på flera olika sätt: genom årsredovisningar, särskilda redovisningar utifrån regeringsuppdrag och i publika rapporter. För att åskådliggöra vad myndigheter i statsförvaltningen rapporterar till regeringen om informationssäkerhet har vi dessutom gått igenom årsredovisningar från ett urval myndigheter. Vi har också gett stöd- och tillsynsmyndigheterna samt Datainspektionen olika redovisningsuppdrag: MSB har gått igenom 23 myndigheters risk- och sårbarhetsanalyser för att undersöka hur dessa hanteras. Detta redovisas i avsnitt 4.1.1. FRA har redovisat hur dess IT-säkerhetsanalyser och penetrationstester går till, och vad de visar om läget på berörda myndigheter. Detta redovisas i avsnitt 4.2. Säkerhetspolisen har redovisat sin syn på läget för informationssäkerhet på de myndigheter och bolag som är mest skyddsvärda. Underlaget för denna redovisning är de 18 tillsyner Säkerhetspolisen gjort . Detta redovisas i avsnitt 4.3. Datainspektionen har redovisat hur inspektionens verksamhet går till. Detta redovisas i avsnitt 4.4. Vi bedömer att dessa redovisningar ger ett tillräckligt underlag för att kunna svara på de båda revisionsfrågorna utifrån de ovan beskrivna förutsättningarna för ett effektivt informationssäkerhetsarbete. 2007/08:92, Stärkt krisberedskap – för säkerhets skull. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Granskningsrapporten är disponerad enligt följande. I kapitel två ges några exempel ur verkligheten som får belysa den operativa kontexten och vad som händer när informationssäkerheten brister. I kapitel tre belyser vi regelstrukturen och vilka krav som gäller för myndigheternas informationssäkerhet. Kapitlet behandlar också de olika stöd- och tillsynsmyndigheterna på området, vilket ansvar de har och hur verksamheten ser ut. Fjärde kapitlet handlar om vilken kunskap stöd- och tillsynsmyndigheterna har om informationssäkerheten i den civila statsförvaltningen och vad de har rapporterat till regeringen Femte kapitlet redogör för vilka åtgärder regeringen vidtagit i sin styrning av informationssäkerheten. I det slutliga sjätte kapitlet drar sina slutsatser utifrån de iakttagelser som gjorts och lämnar rekommendationer till regeringen och de granskade myndigheterna. 2Vad händer egentligen när informationssäkerheten brister? Att myndigheterna bör eftersträva god informationssäkerhet handlar inte bara om att följa de regler som finns för sakens skull. I dagens samhälle är tillgång till tillförlitlig information, ofta i realtid, en kritisk resurs. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Personuppgifter kan innehålla integritetskänslig information, vilket därför omgärdas av särskild lagstiftning. Det handlar exempelvis om informationen i patientjournaler, brottsutredningar eller underrättelseverksamhet. Vissa system i samhället bygger på IT för att kunna fungera. Andra exempel på känslig information rör tekniska produkter, affärsförhållanden och förhållanden som rör andra stater. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Många system i samhället är som tidigare nämnts beroende av informationsteknologi för att kunna fungera. Dessutom tillkommer att beroenden och kopplingar mellan olika tekniska system är en sårbarhetsfaktor i sig genom att störningar kan få konsekvenser som både är svåra att förutse och hantera. Vad som utgör ett hot eller en risk varierar från stater och statsunderstödda aktörer, terrorister, organiserad brottslighet till fel och störningar som inte orsakas av antagonister utan beror på mjuk- eller hårdvarufel, processbrister, bristande kvalitetskontroll, slarv, missbedömningar eller rena olycksfall. Vilka som drabbas och på vilket sätt har en stor spännvidd i form av globala effekter vid exempelvis attacker mot finansiella system, nationella effekter i form av störningar i el- eller vattenförsörjning eller på individnivå som i exemplet med Tieto nedan där en kommun inte hade möjlighet att utfärda parkeringstillstånd åt funktionshindrade. Regeringen ser IT som ett centralt verktyg för att åstadkomma verksamhetsutveckling i statsförvaltningen. Eftersom mer och mer av myndigheternas verksamhet digitaliseras och kopplas samman ökar också risken för att verksamheten inte kan bedrivas på ett tillfredsställande sätt om inte IT-verksamheten fungerar. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Följande avsnitt avser att illustrera de omfattande konsekvenser som brister i informationssäkerhet kan leda till. Redovisningen beskriver såväl tekniska fel som organiserad brottslighets stöld av kontokortsinformation, antagonistiska attacker mot länder eller verksamheter, dataintrång mot myndigheter och industrispionage. Dagens IT-angrepp kommer från resursstarka och kunniga aktörer. Dessa har uttalade mål och syften med sina angrepp, till exempel underrättelseinhämtning, ekonomisk brottslighet, industrispionage och olika former av påverkan (sabotage och utslagning av hela samhällsfunktioner). Angreppen blir alltmer sofistikerade och riktade och samhällets sårbarheter utnyttjas på ett systematiskt sätt av antagonistiska aktörer.13 upptäcktes vad som kallats det värsta dataviruset någonsin och det fick namnet Stuxnet. Viruset var en mask, det vill säga att det sprider sig själv utan hjälp av oförsiktiga användare. Viruset utgjorde enligt bedömare en riktad attack mot styrsystemen i en iransk kärnkraftsanläggning.14 Angreppet skedde mot så kallade SCADA-system15 i kärnkraftverket som styrde generatorer i de centrifuger som används för att anrika uran. Liknande system används även för att styra kylningen av reaktorstavar. Viruset och de metoder som användes var enligt experter mycket avancerade och innehöll exempelvis funktioner som förfalskade indata för övervakningssystemet för att undgå upptäckt.16 Angrepp mot industriella informations- och styrsystem underlättas väsentligt genom den ökande uppkopplingen av systemen mot internet. Sådana system används bland annat för att styra eldistribution, vattenförsörjning, trafikljus och sjukhusutrustning, och antagonistiska angrepp mot sådana system kan därför ställa till med mycket stor skada.17 Ett exempel på manipulation av industriella informations- och styrsystem i är attacken mot det kommunala bostadsbolaget fastigheter i . Någon hackade sig in den datacentral som reglerar fjärrvärmen till bolagets fastigheter och stängde av värmen för 700 lägenheter samt ett äldreboende.18 13FRA: Trender och utmaningar och . 14MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 31. 15Supervisory Control and Data Acquisition. 16http://techworld.idg.se/2.2524/1.356435/sasaboterade-stuxnet-irans-karnkraftverk. 17MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 55. 18http:///sida/artikel.aspx?programid=160&artikel=4239787. Ett annat exempel är som utsattes för dataspionage där ryska och kinesiska underrättelsetjänster misstänks för att av ha utövat verksamhet mot utrikesministeriet.19 Ett tredje exempel är cyberattacken mot . genomfördes omfattande angrepp mot den estniska delen av internet. Händelsen hade av allt att döma ett direkt samband med oroligheter i i samband med förflyttningen av ett ryskt krigsminnesmärke. Angreppen följde ett mönster där enkla åtkomstattacker efterhand följdes av underrättelseinhämtning och fokuserade, välkoordinerade attacker som involverade mycket stora botnät20. fungerade inte nätet normalt. Det blev svårt att nå myndigheter och massmedia via internet, nätbankerna fick avbryta sin verksamhet och var det svårt för flera aktörer att kommunicera med omvärlden via internet. Ekonomisk brottslighet, integritetsförluster och industrispionage Ett exempel på ekonomisk brottslighet som nämns i tidningen är en cyberattack där förövarna stal från privatpersoner. Tjuvarna stal kontouppgifter genom att hacka sig in i IT-systemet hos ett indiskt kreditkortsföretag. De höjde uttagsgränserna på krediter och skickade sedan kontoinformation till kriminella gäng som de samarbetade med. Gängmedlemmar tog sedan ut pengarna via automater.21 Ett annat exempel är attacken mot IT-företaget . Förövaren lyckades bryta sig in i servrar där flera myndigheter förvarade mängder med känsliga uppgifter och kunde lägga beslag på känsliga personuppgifter från Kronofogden, och Polisen.22 Ett tredje exempel är uppgifter om kinesiska hackargrupper som slår mot teknikföretag. Tidningen refererar i en artikel till en rapport av ett amerikanskt säkerhetsföretag som hävdar att en kinesisk grupp är ansvarig för en stor mängd attacker mot olika teknikföretag. Gruppen uppges bestå av hundratals, kanske till och med flera tusen personer. De kinesiska hackarnas främsta intresse är enligt tidningen tekniska verksamheter, exempelvis IT, rymd, satellit och telekom. Omfattningen av de attacker säkerhetsföretaget kartlagt uppgår till 141 drabbade verksamheter, varav 20 större industriföretag. I artikeln uppger tidningen också att svenska forskare vid KTH följer de kinesiska angreppen: Vi har ett projekt som 20Se bilaga 1 för förklaring av botnät. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN följer deras organisation, utbildning, träning och de verktyg de använder. Det mest imponerade de gjort var när de hackade sig in på den franska militära underrättelsetjänstens huvuddator i och speglade deras hårddiskar. Sedan ett flertal år hackar de bland annat amerikanska företags- och myndighetsservrar – . Det är en del av deras träning, säger , lärare på KTH i och föreståndare för IT-forensiska labb.23 drabbades IT-driftleverantören av ett tekniskt fel, vilket kom att få direkta konsekvenser för cirka 50 av företagets kunder inom såväl privat som offentlig sektor. Konsekvenserna varierade kraftigt. Vissa kunder kom lindrigt undan, med enstaka funktioner utslagna . De värst drabbade saknade i princip möjlighet att använda sina IT-lösningar . Det tekniska felet hos Tieto tog att åtgärda. Kundernas data kunde emellertid inte återställas enbart genom att byta ut en komponent i den tekniska utrustningen. Maskinvarufelet utlöste nämligen en kedja av incidenter som resulterade i en komplex och tidsödande återställningsprocess. Därför dröjde det betydligt längre innan Tieto kunde återställa kundernas lagrade data till samma skick som innan maskinvarufelet inträffade. Åtskilliga av Tietos kunder fick ganska omgående allvarliga problem, eftersom verksamheten hos dem pågår ständigt. Ett exempel var att 350 av apotek över hela landet plötsligt inte fick kontakt med sina IT-system och därför inte kunde lämna ut receptbelagda mediciner enligt normala rutiner. En närliggande verksamhet, , drabbas också av driftstoppet hos Tieto. Företagets externa webbplats låg nere . Webbplatsen är en viktig informationskälla för vård- och omsorgssektorn i . Den innehåller bland annat läkemedelsinformation, kontaktuppgifter och information om driftstörningar. Även det statligt ägda bostadsfinansieringsföretaget drabbades av driftstoppet och händelsen var kritisk , som råkade infalla den 25:e, det datum då många får ut sin lön. Inom bank- och finanssektorn betraktas detta kalenderdatum av tradition som en extra känslig tidpunkt, då störningar kan få stora konsekvenser. Företaget lyckades emellertid begränsa skadan och kundernas tillgång till likvida medel påverkades inte i 24Hela detta avsnitt bygger på MSB:s rapport kring samhällets skydd och beredskap vid allvarliga IT-incidenter. En studie av konsekvenserna i samhället efter driftstörningen hos Tieto . någon mer betydande omfattning. Däremot fick driftstörningen stor effekt på låneverksamhet, som inte var i normal drift förrän . Hos den statliga myndigheten tvärstannade den normala verksamheten då myndigheten drabbades av ett nästan totalt driftstopp för IT-stödet. Ekonomisystemet fungerade inte, e-posten var borta, myndighetens webbtjänster gick inte att nå. Ansökningssystemet, det ärendehanteringssystem som hanterar forskningsansökningar och granskningar, var inte heller tillgängligt. För att överhuvudtaget kunna kommunicera med omvärlden fick inrätta en tillfällig blogg på internet. Stora delar av den kommunala administrationen i berördes när handläggarna inte längre kunde arbeta med sina ärenden. Vid sidan av utbetalningsproblemen kunde inte nå sin journalföring, och alla ansökningar om ekonomiskt bistånd fick därför hanteras manuellt. Dokument och datafiler i administrationen gick inte att nå, vilket skapade förseningar i handläggning av bygglov, ärenden hos överförmyndaren, handläggning av livsmedelsärenden och miljö- och hälsoskyddsärenden. kommunfullmäktige och kommunstyrelse försenades, det gick inte att utfärda parkeringstillstånd till funktionshindrade, månadsbokslut försenades och idrottsföreningar kunde inte boka lokaler. Dessutom innebar driftstoppet att inpasseringen till lokaler som ägs av kommunen fick skötas manuellt. Hos påverkade driftstoppet den rikstäckande verksamheten under hela den påföljande arbetsveckan. En konsekvens var att den automatiska vidarerapportering av godkända kontrollbesiktningar som normalt sker till Transportstyrelsen inte längre fungerade. Trivialt, kan tyckas, men detta fel fick snabbt till följd att många fordon automatiskt blev belagda med körförbud. Först rapporterade att bolagets kontrollstationer åter fått fungerande IT-stöd och att kontrollbesiktningar och bokning fungerade som vanligt igen. För kommun dröjde det innan webbplatsen åter var i drift. kommunicerade kommunen med omvärlden på andra sätt. efter driftstoppet var flera centrala IT-system i fortfarande inte i drift. Handlingar och protokoll var inte tillgängliga, funktioner för felhantering fungerade inte och inloggning med e-legitimation var inte i drift. Först kunde kommun meddela att verksamheten till kunnat återgå till det normala. Först fungerade alla datasystem igen. efter händelsen pågick fortfarande arbete med att hinna ikapp. Kostnaden till följd av haveriet uppskattades till . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN De här relaterade händelserna har ägt rum. Konsekvenserna har varit allvarliga. Liknande saker kommer att hända igen – var, när och i vilken omfattning Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerheten är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser som kan bli följden. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom exempelvis kompetensbrist, upphandling, tillsyn/uppföljning/ återrapportering samt styrning/omreglering/samordning. 3 Reglering, stöd och tillsyn I detta kapitel beskriver vi den huvudsakliga rättsliga regleringen som rör informationssäkerheten i statsförvaltningen och vad informationssäkerhet innebär.25 Här behandlas regeringens styrning och utgångspunkten för grundläggande förutsättningar i form av kravställning gentemot myndigheterna genom lagar, förordningar och föreskrifter. Kapitlet behandlar också regeringens styrning och utgångspunkten för grundläggande förutsättningar i form av organisering genom en beskrivning av vilka stöd- och tillsynsmyndigheter som finns och vad dessa ska och kan göra. Dessa myndigheter är Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap (MSB) och (). Kapitlet omfattar även reglerna om personuppgiftsbehandling och arkivering samt myndigheterna Datainspektionen, och , eftersom dessa regler och myndigheters uppdrag delvis berör frågan om informationssäkerhet. Med informationssäkerhet avser säkerhet för informationstillgångar. Säkerheten syftar till att upprätthålla förmågan till konfidentialitet, riktighet och tillgänglighet. Informationssäkerhet är ett begrepp som omfattar säkerhet för information oavsett dess form, alltså inte endast IT-säkerhet. Enligt () kan informationssäkerhet illustreras på följande sätt. 25Utöver de lagar, förordningar och föreskrifter som behandlas i kapitlet finns även regler som delvis har bäring på informationssäkerhet. Det rör sig om offentlighets- och sekretesslagen (2009:400), förordningen (2007:603) om intern styrning och kontroll samt ett antal olika registerförfattningar. Offentlighets- och sekretesslagen ställer krav på att vissa uppgifter inte får röjas eller lämnas ut, vilket också innebär att uppgifterna ska skyddas. Lagen ställer dock inte upp några krav för hur detta ska ske.