prop · H20384 · 2015-03-19 00:00:00 — För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvar för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering. Det finns ingen samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. hanteras ärenden rörande informationssäkerhet på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur, etc.). anser att informationssäkerhet är en viktig strategisk fråga för hela statsförvaltningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning i informationssäkerhet rekommenderar därför följande: Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion och process ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerheten i statsförvaltningen. Till regeringens stöd- och tillsynsmyndigheter har i denna granskning kunnat visa att de av regeringen utsedda stöd- och tillsynsmyndigheterna inom nuvarande mandat skulle kunna göra mera, både genom att öka kunskapen om säkerhetsläget och att lämna stöd till den övriga statsförvaltningen för att öka skyddet. Detta är naturligtvis en fråga om vad som ska prioriteras såväl inom dessa myndigheter som inom statsförvaltningen som helhet. För att förbättra statens informationssäkerhet rekommenderar därför följande: MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att flera myndigheter än lämnar en redovisning av sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt avge aggregerade rapporter om säkerhetsläget till och . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vi lever i ett samhälle där större mängder information än bearbetas, lagras, kommuniceras och mångfaldigas. Det finns stora möjligheter och fördelar med en ökad informationsanvändning. Brister i hanteringen och i säkerheten för informationen riskerar dock att få omfattande konsekvenser, såväl för samhället i stort som för enskilda. Brister kan också leda till ett försämrat förtroende för offentliga och privata aktörer som tillhandahåller viktiga tjänster. Informationssäkerhet omfattar därigenom hela samhället och är en angelägenhet för alla. Dagens informationshantering präglas i ännu högre grad än tidigare av hög förändringstakt. uttryckte regeringen att inriktningen för statsförvaltningen bör vara att all den information individer och företag behöver få från, och lämna till, myndigheter bör finnas tillgänglig elektroniskt.1 stegrades målsättningen genom att målet för varje myndighet ska vara att all information och service som med bibehållen eller ökad effektivitet, såväl ekonomisk som organisatorisk, kan tillhandahållas elektroniskt också ska tillhandahållas så.2 I propositionen om behandling av personuppgifter 2008 uttalar regeringen att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation med medborgarna bör bygga på internet.3 I den förvaltningspolitiska propositionen 2010 konstaterades slutligen att det finns en stor effektiviseringspotential att ta till vara med hjälp av tekniken och den ska också bidra till att förstärka förvaltningens öppenhet.4 Inslaget av IT-stöd i den statliga förvaltningen är utifrån regeringens ovan beskrivna ambition betydande och IT-beroendet har blivit allt större.5 Merparten av statsförvaltningens verksamheter skulle sannolikt inte fungera tillfredsställande utan IT-stöd. 1999/2000:86, Ett informationssamhälle för alla, s 30. 2004/05:175, Från IT-politik för samhället till politik för IT-samhället, s 93. 2008/09:96, Behandling av personuppgifter inom studiestödsområdet, s. 64. 2009/10:175, Offentlig förvaltning för demokrati, delaktighet och tillväxt, s 2. 5Prop 2013/14:1, UO 6, s. 96. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Om informationssäkerheten brister är risken stor att myndigheterna inte kan fullfölja sina skyldigheter, vilket kan leda till ett minskat förtroende hos allmänheten. Trots den ökade betydelsen av ett fungerande informationssäkerhetsarbete anser såväl nationella som internationella bedömare att utvecklingen av antagonistiska IT-relaterade hot (attacker, IT-brott, spionage, kränkningar, etc.) numera går fortare än samhällets utveckling av skyddsåtgärder. Detta gäller kanske i ännu högre grad icke-antagonistiska hot såsom utvecklingsfel, mjuk- och hårdvarufel, handhavandefel och liknande.6 Till detta kan läggas att i dagens samhälle har vi mer och mer rationaliserat bort möjligheterna att kunna använda alternativ i händelse av störningar Dessutom har vi skapat så komplexa beroenden mellan olika IT- system att det blir svårt att få en korrekt bild av vilka konsekvenser en störning kan leda till. granskade –2007 elva myndigheter och deras arbete med informationssäkerhet. För sex av dessa myndigheter gjordes en djupare granskning. Denna serie av granskningar avslutades med en granskning som avsåg regeringens styrning av myndigheternas informationssäkerhetsarbete.7 samlade bedömning var att det fanns brister i myndigheternas arbete med informationssäkerhet och att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för statsförvaltningens arbete med informationssäkerhet. Denna granskning tar sin utgångspunkt i den allt mer ökande användningen av information i samhället och i statsförvaltningen samt utifrån de brister som konstaterades genom tidigare granskningar av informationssäkerhet. I riskanalys för staten identifieras informationssäkerhet som ett särskilt riskområde. Regeringen har tillsatt två utredningar som har stor betydelse för informationssäkerheten i samhället. Dessa är översynen av säkerhetsskyddslagen8 och utredningen som ska ta fram en nationell 6MSB:s trendrapport, FRA:s trendrapport, Säkerhetspolisens och FRA:s yttranden till samt Audit Office; Auditor General . , Country Papers on Topic 2 . 7Granskning av Statens pensionsverks interna styrning och kontroll av informationssäkerheten (RiR 2005:26), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2005:27), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:24), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006: 25), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:26), Granskning av interna styrning och kontroll av informationssäkerheten 2006 samt Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). 8En modern säkerhetsskyddslag (dir. 2011:94). strategi för informationssäkerhet.9 Översynen av säkerhetsskyddslagen syftar till att bättre anpassa lagstiftningen till vad som krävs för att skydda verksamhet med betydelse för rikets säkerhet och till de krav som ställs på internationellt samarbete. Utredningen om strategi och mål för samhällets informationssäkerhet fokuserar på roller och ansvar på myndighetsnivå, men omfattar inte regeringens styrning av informationssäkerhetsarbetet Den inriktning och de avgränsningar som görs i granskning innebär därmed att den behandlar områden som inte omfattas av de två utredningar som regeringen har tillsatt. Denna granskning syftar till att utreda om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen omfattar således varken styrningen av eller nivån på informationssäkerhet i samhället i stort. I granskningen har vi inriktat oss på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. Granskningen syftar också till att bedöma om regeringen och ansvariga myndigheter för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheter inom den civila statsförvaltningen. Granskningen svarar på två frågor: Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräckliga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Granskningen inriktas på den styrning som regeringen och dess stöd- och tillsynsmyndigheter har gett övriga myndigheter i den civila statsförvaltningen genom sitt arbete med informationssäkerhet. Med styrning avses i denna granskning mål och krav, stöd, samordning, tillsyn och kontroll. Av särskilt intresse är den kunskap och information som samlats in som ligger till grund för systematiska och övergripande hotbildsanalyser för den civila statsförvaltningen. Enligt är sådana analyser en viktig 9Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN förutsättning för att informationssäkerhetsarbetet ska kunna anses vara effektivt, eftersom de ger underlag för handlingsplaner och åtgärder. Hur enskilda myndigheter arbetar med informationssäkerhet ingår inte i granskningen. Inte heller har granskningen sökt bevisa omfattningen av specifika brister i informationssäkerheten. Skälet till denna avgränsning är att problembilden i form av brister i myndigheternas informationssäkerhet var relativt tydlig redan när granskningen inleddes. Dessutom hade en granskning av enskilda myndigheters arbete med informationssäkerhet tagit att genomföra. Granskningen avser regeringen (via Försvarsdepartementet, , och ) samt stöd- och tillsynsmyndigheterna Myndigheten för samhällsskydd och beredskap (MSB), (), Säkerhetspolisen samt (). Granskningen avser den civila delen av statsförvaltningen och omfattar därför inte hur Försvarsmakten bedriver arbetet med informationssäkerhet inom sitt verksamhetsområde. Den grundläggande utgångspunkten för granskningen är regeringsformen, budgetlagen och myndighetsförordningen samt kravet på att eftersträva hög effektivitet och god hushållning i statlig verksamhet. När det gäller regeringens styrning utgår granskningen från beprövad erfarenhet för vad som betraktas som effektiv styrning. Det innebär framför allt att det bör ställas krav på en verksamhet, och att dessa krav sedan följs upp för att säkerställa att de fått genomslag. En effektiv styrning kan också innebära att det sätts upp olika mål. Effektiv styrning präglas också av transparens och att ansvar och befogenheter går att urskilja och är symmetriska. En viktig förutsättning för detta är enligt att besluten fattas på den nivå där rätt kompetens finns. utgår från att den civila statsförvaltningen bör ha ett ändamålsenligt skydd för sin information. anser vidare att ett effektivt informationssäkerhetsarbete i statsförvaltningen kräver 1.grundläggande förutsättningar i form av ett ändamålsenligt regelverk, tydliga roller och ansvar samt krav på och organisering av ett systematiskt och processinriktat arbetssätt 2.systematiska analyser av hot och risker, såväl på organisationsnivå som på ett övergripande plan 3.att ansvariga aktörer vid behov beslutar om nya eller förändrade säkerhetsåtgärder, ser till att åtgärderna införs och slutligen kontrollerar säkerhetsåtgärdernas funktion 4.systematisk och regelbunden uppföljning som ger underlag för förbättringar. Regeringen ansvarar framför allt för att de grundläggande förutsättningarna finns på plats (punkt 1). Av 1 kap. 6 § regeringsformen framgår att regeringen styr riket. Innebörden av grundlagens bestämmelse är att regeringen har ansvar både för att ta initiativ till förändringar och att verkställa dessa. Regeringen delegerar en del av sitt ansvar till myndigheterna, vilket innebär att regeringen inför ytterst är ansvarig för allt som myndigheterna gör. har regeringen inte ett operativt ansvar för vilka åtgärder som vidtas eller inte vidtas. För att resurserna inom den offentliga sektorn ska utnyttjas på bästa sätt och användas där de bäst behövs krävs dessutom att regeringen följer upp myndigheternas verksamhet och resultat (punkt 4). Detta krävs för att veta om verksamheten är organiserad på ett ändamålsenligt sätt och ger önskvärda effekter. Informationssäkerhet är en tvärsektoriell fråga och det ställer ökade krav på samverkan mellan departementsområden och myndigheter. Kunskapsuppbyggnad, uppföljning och utvärdering är centrala inslag i styrningen av tvärsektoriella frågor vilket ställer ökade krav på regeringens förmåga att prioritera mellan och samordna olika perspektiv. Det finns ett omfattande regelverk som behandlar informationssäkerhetsområdet. Reglerna anger bland annat vilka krav som ställs på de statliga myndigheterna och återfinns i lagstiftning och inom ramen för regeringens styrning genom förordningar m.m. Vissa myndigheter har också utfärdat föreskrifter och allmänna råd. Regelverket beskrivs i kapitel 3. Vad gäller att ta fram risk- och sårbarhetsanalyser, samt vidta åtgärder för att komma till rätta med brister (punkt 2 och 3) är arbetet baserat på verksamhetsansvaret och ansvarsprincipen. Verksamhetsansvaret innebär att varje enskild myndighet är ansvarig för att den egna informationssäkerheten är tillräcklig utifrån den verksamhet myndigheten bedriver. innebär att den myndighet som normalt ansvarar för en verksamhet har samma ansvar under en krissituation. Principen innebär också att myndigheten har en skyldighet att verksamheten även ska fungera vid en krissituation. Genom ansvarsprincipen har myndigheterna också en skyldighet att aktivt samverka med andra aktörer för att kunna lösa sina uppgifter vid en krissituation. För att ytterligare stärka samhällets informationssäkerhet har regeringen gett ett antal myndigheter i uppdrag att utöva tillsyn och ge stöd. Dessa myndigheter kan i denna egenskap få en speciell kunskap och information om informationssäkerhetsarbetet på myndigheterna, samt om risker och sårbarheter i en vidare bemärkelse. De blir därmed viktiga för att kunna bedöma risker och sårbarheter på en systematisk och övergripande nivå. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN I denna granskning har information inhämtats huvudsakligen på tre sätt: dels genom dokumentstudier, dels via intervjuer och skriftliga frågor till berörda myndigheter och , dels också genom att gett MSB, FRA och Säkerhetspolisen i uppdrag att sammanställa och analysera läget för informationssäkerheten i den civila statsförvaltningen. Den information som på dessa sätt har inhämtats har sedan bearbetats och analyserats och därigenom lett fram till de slutsatser och rekommendationer som redovisas i denna granskningsrapport. Den första frågan, om regeringens styrning, har utretts genom att kartlägga och analysera de uppgifter och krav på åtgärder och redovisningar som ställts på myndigheterna. Styrningen utgår från myndigheternas instruktioner, särskilda förordningar, regleringsbrev och i förekommande fall särskilda regeringsbeslut. För att belysa regeringens styrning har vi också gått igenom samtliga kommittédirektiv, utredningsbetänkanden, departementspromemorior, propositioner (inklusive budgetpropositioner) som skulle kunna haft relevans för det granskade området. har i faktagranskningen av rapporten framfört synpunkten att det är regeringens formella styrning av myndigheternas arbete med informationssäkerhet som har granskats, vilket endast utgör en del av den styrning som sker. Av ett flertal källor framgår att informella kontakter utgörs av kontakter mellan företrädare för myndigheter och Kontakterna syftar oftast till att utbyta information och kunskap, men ibland även till att förtydliga regeringens styrning.10 förvaltningspolitiska proposition uttalade regeringen även att kontakterna mellan och andra myndigheter är viktiga inslag i en effektiv förvaltning. De bör, menar regeringen, syfta till informations- och kunskapsutbyte samt förtydliganden av regeringens styrning.11 ställde mot bakgrund av detta ett antal skriftliga frågor till om man har använt sig av informell styrdialog för att få information om myndigheternas informationssäkerhet och om det finns något underlag som visar det. ansåg att man inte kunde besvara dessa frågor. framhöll att ett relativt stort antal frågor inte kan besvaras av , då många av frågorna gäller beslut som har fattats av regeringen, inte . 10Se bland annat : Utvecklingsprogrammet för styrning, Styrning av de statliga myndigheterna och informella kontakter, PM eller SOU 2007:75 Att styra staten – regeringens styrning av sin förvaltning. 2009/10:175, bet. 2009/10:FiU38, rskr. 2009/10:315. För regleringsbrev och årsredovisningar har vi gått . För utredningsdirektiv, utredningsbetänkanden, departementspromemorior och propositioner har vi dock ansett oss tvungna att gå tillbaka ända till 2007 för att kunna fånga upp signaler från tiden för krisberedskapsreformen12 och bildandet av MSB. Vi har besökt de granskade myndigheterna och intervjuat olika nyckelpersoner. Vi har även skickat myndigheterna skriftliga frågor. Detsamma har skett i fråga om . För att svara på frågan om stöd- och tillsynsmyndigheterna vidtagit tillräckliga åtgärder för att informera sig och regeringen, har vi tagit del av de analyser som gjorts på myndigheterna och den rapportering som gjorts till regeringen. Rapporteringen till regeringen görs på flera olika sätt: genom årsredovisningar, särskilda redovisningar utifrån regeringsuppdrag och i publika rapporter. För att åskådliggöra vad myndigheter i statsförvaltningen rapporterar till regeringen om informationssäkerhet har vi dessutom gått igenom årsredovisningar från ett urval myndigheter. Vi har också gett stöd- och tillsynsmyndigheterna samt Datainspektionen olika redovisningsuppdrag: MSB har gått igenom 23 myndigheters risk- och sårbarhetsanalyser för att undersöka hur dessa hanteras. Detta redovisas i avsnitt 4.1.1. FRA har redovisat hur dess IT-säkerhetsanalyser och penetrationstester går till, och vad de visar om läget på berörda myndigheter. Detta redovisas i avsnitt 4.2. Säkerhetspolisen har redovisat sin syn på läget för informationssäkerhet på de myndigheter och bolag som är mest skyddsvärda. Underlaget för denna redovisning är de 18 tillsyner Säkerhetspolisen gjort . Detta redovisas i avsnitt 4.3. Datainspektionen har redovisat hur inspektionens verksamhet går till. Detta redovisas i avsnitt 4.4. Vi bedömer att dessa redovisningar ger ett tillräckligt underlag för att kunna svara på de båda revisionsfrågorna utifrån de ovan beskrivna förutsättningarna för ett effektivt informationssäkerhetsarbete. 2007/08:92, Stärkt krisberedskap – för säkerhets skull. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Granskningsrapporten är disponerad enligt följande. I kapitel två ges några exempel ur verkligheten som får belysa den operativa kontexten och vad som händer när informationssäkerheten brister. I kapitel tre belyser vi regelstrukturen och vilka krav som gäller för myndigheternas informationssäkerhet. Kapitlet behandlar också de olika stöd- och tillsynsmyndigheterna på området, vilket ansvar de har och hur verksamheten ser ut. Fjärde kapitlet handlar om vilken kunskap stöd- och tillsynsmyndigheterna har om informationssäkerheten i den civila statsförvaltningen och vad de har rapporterat till regeringen Femte kapitlet redogör för vilka åtgärder regeringen vidtagit i sin styrning av informationssäkerheten. I det slutliga sjätte kapitlet drar sina slutsatser utifrån de iakttagelser som gjorts och lämnar rekommendationer till regeringen och de granskade myndigheterna. 2Vad händer egentligen när informationssäkerheten brister? Att myndigheterna bör eftersträva god informationssäkerhet handlar inte bara om att följa de regler som finns för sakens skull. I dagens samhälle är tillgång till tillförlitlig information, ofta i realtid, en kritisk resurs. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Personuppgifter kan innehålla integritetskänslig information, vilket därför omgärdas av särskild lagstiftning. Det handlar exempelvis om informationen i patientjournaler, brottsutredningar eller underrättelseverksamhet. Vissa system i samhället bygger på IT för att kunna fungera. Andra exempel på känslig information rör tekniska produkter, affärsförhållanden och förhållanden som rör andra stater. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Många system i samhället är som tidigare nämnts beroende av informationsteknologi för att kunna fungera. Dessutom tillkommer att beroenden och kopplingar mellan olika tekniska system är en sårbarhetsfaktor i sig genom att störningar kan få konsekvenser som både är svåra att förutse och hantera. Vad som utgör ett hot eller en risk varierar från stater och statsunderstödda aktörer, terrorister, organiserad brottslighet till fel och störningar som inte orsakas av antagonister utan beror på mjuk- eller hårdvarufel, processbrister, bristande kvalitetskontroll, slarv, missbedömningar eller rena olycksfall. Vilka som drabbas och på vilket sätt har en stor spännvidd i form av globala effekter vid exempelvis attacker mot finansiella system, nationella effekter i form av störningar i el- eller vattenförsörjning eller på individnivå som i exemplet med Tieto nedan där en kommun inte hade möjlighet att utfärda parkeringstillstånd åt funktionshindrade. Regeringen ser IT som ett centralt verktyg för att åstadkomma verksamhetsutveckling i statsförvaltningen. Eftersom mer och mer av myndigheternas verksamhet digitaliseras och kopplas samman ökar också risken för att verksamheten inte kan bedrivas på ett tillfredsställande sätt om inte IT-verksamheten fungerar. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Följande avsnitt avser att illustrera de omfattande konsekvenser som brister i informationssäkerhet kan leda till. Redovisningen beskriver såväl tekniska fel som organiserad brottslighets stöld av kontokortsinformation, antagonistiska attacker mot länder eller verksamheter, dataintrång mot myndigheter och industrispionage.