prop · H20384 · 2015-03-19 00:00:00 — att ansvariga aktörer vid behov beslutar om nya eller förändrade säkerhetsåtgärder, ser till att åtgärderna införs och slutligen kontrollerar säkerhetsåtgärdernas funktion systematisk och regelbunden uppföljning som ger underlag för förbättringar. Syftet med granskningen har inte varit att undersöka hur enskilda myndigheter arbetar med informationssäkerhet eller att bevisa omfattningen av brister i informationssäkerheten. I granskningen har regeringen och dess stöd- och tillsynsmyndigheter för informationssäkerhet ingått. samlade slutsats av denna granskning är att arbetet med informationssäkerheten inte är ändamålsenligt sett till de hot och risker som finns. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Konsekvenserna spänner från att det kan drabba hela samhällsfunktioner till att drabba enskilda. Granskningen har visat på omfattande brister i statsförvaltningen. Regeringen har inte heller någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. Det har inte heller någon av regeringens stöd- och tillsynsmyndigheter. Det innebär att den samlade förmågan att kunna hantera de konsekvenser som kan bli följden av en allvarlig incident till stora delar är okänd. Av det skälet är det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN att få en samlad bild av läget och utifrån detta anpassa säkerheten till de behov som finns. granskning har visat att regeringen inte utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen och regeringens stöd- och tillsynsmyndigheter endast delvis har vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. drar denna slutsats mot följande bakgrund. har som ett led i granskningen uppdragit åt MSB, FRA och Säkerhetspolisen att hämta in och analysera uppgifter om läget för informationssäkerheten Redovisningen av dessa uppdrag innebär väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekar dessutom entydigt i samma riktning. I det följande redovisas de slutsatser som dragit till följd av denna granskning. kan konstatera att läget är allvarligt för de myndigheter som fått sina skydd testade mot intrång av FRA, och även för flera av de myndigheter vars säkerhetsskydd kontrollerats av Säkerhetspolisen. Enbart det faktum att myndigheterna har ett ansvar för sin informationssäkerhet verkar inte vara tillräckligt för att uppnå en god informationssäkerhet i statsförvaltningen. Säkerhetspolisen har i sin tillsyn funnit systematiska brister i säkerhetsskyddsarbetet, framför allt i fråga om IT- och informationssäkerhet hos de mest skyddsvärda myndigheterna. Det handlar till exempel om skadekonsekvensbeskrivningar som antingen saknas eller innehåller ekonomiska eller andra konsekvenser för den egna verksamheten i stället för de som rör rikets säkerhet eller terrorism. Det kan också handla om att det saknas förmågebedömningar av tänkta angripare, vilket medför att det blir oklart hur informationssäkerheten ska dimensioneras. Dessa brister leder sammantaget till att dessa myndigheter inte kan ta fram ändamålsenliga kravspecifikationer för att värna de mest skyddsvärda informationstillgångarna. kan konstatera att det är betydande brister i säkerhetsarbetet som har upptäckts. FRA:s penetrationstester som sker på begäran av en myndighet visar på att säkerhetsnivån är otillräcklig på flertalet av de myndigheter som blivit testade. FRA testar dessutom på detta sätt informationssäkerheten på en avgränsad del av statsförvaltningen, vilket innebär att FRA saknar kännedom om statusen på informationssäkerhet för merparten av myndigheterna i statsförvaltningen. Om inte ens de mest skyddsvärda verksamheterna har ägnat frågan tillräcklig uppmärksamhet är risken stor att motsvarande brister återfinns även i övriga förvaltningen. kan konstatera att statusen på kunskapsläget för informationssäkerheten i statsförvaltningen är oklart. Varken regeringen eller någon av stöd- och tillsynsmyndigheterna har en bra och systematiskt underbyggd lägesbild, vilket är en förutsättning för att kunna säkerställa att man vidtar rätt åtgärder. För att arbetet med informationssäkerhet i förvaltningen ska vara effektivt krävs kunskap om såväl hot och risker som vilka hot som förverkligas och vilka skyddsåtgärder myndigheterna vidtar. Regeringen har organiserat arbetet på ett sätt som gör att man får kunskap om hot och risker på en övergripande nivå. Genom säkerhetspolisens tillsyn får man även kunskap om realiserade hot och vidtagna skyddsåtgärder för de mest samhällskritiska verksamheterna. Vilka hot eller risker som realiseras mot de myndigheter som inte omfattas av säkerhetsskyddslagstiftningen eller vilka skyddsåtgärder dessa myndigheter vidtar finns dock ingen myndighet som kontrollerar. Regeringen har inte heller genom regleringsbrev eller på annat sätt krävt att myndigheterna lämnar sådan information. MSB och FRA har i avrapporteringen av regeringsuppdragen om obligatorisk incidenthantering och ett tekniskt detektering- och varningssystem uttryckt att dessa åtgärder åtminstone delvis skulle kunna ge sådan information. Dessa frågor bereds fortfarande i , efter att behovet uttryckts. Regeringen har alltså i visst avseende styrt mot en förbättrad säkerhet genom att ge dessa myndigheter uppdrag. När sedan uppdragen redovisats blir de liggande länge i utan åtgärd, vilket försvårar att få till stånd en gemensam lägesbild att utgå från när säkerheten ska förbättras. Eftersom varken regeringen eller stöd- och tillsynsmyndigheterna har den fulla bilden av i vilken omfattning hot realiseras eller vilka skyddsåtgärder myndigheterna vidtar, kan konstatera att en nödvändig förutsättning för ett effektivt arbete med informationssäkerhet saknas. Myndigheternas risk- och sårbarhetsanalyser har omfattande brister när det gäller informationssäkerhet. Trots att det ställs uttryckliga krav på att informationssäkerhet ska beaktas i analyserna, är det inte alla myndigheter som gör det. Det är stora variationer mellan myndigheter på hur analyserna Av dessa skäl är det svårt att aggregera informationen från flera myndigheter, vilket gör det omöjligt att upprätta en gemensam lägesbild av informationssäkerheten på central nivå. Detta leder i sin tur till att det blir svårt att analysera vilka brister som finns och därmed kunna göra en grundlig INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Då blir det naturligtvis också svårt att vidta lämpliga åtgärder för att bygga upp nödvändig förmåga. Regeringen har uttalat att kvaliteten på risk- och sårbarhetsanalyserna behöver höjas. Regeringen ställer dock inte några specifika krav på myndigheternas analyser, utöver det som följer av krisberedskapsförordningen. fått i uppdrag att analysera och vidareutveckla sitt arbete med risk- och sårbarhetsanalyser och förmågebedömningar. Regeringen har inte talat om när analyserna ska uppnå tillräcklig kvalitet. I stället upprepar regeringen i budgetpropositionen att arbetet med analyserna måste förbättras. Både Säkerhetspolisen, genom sin tillsyn, och FRA, genom sin stödjande och rådgivande verksamhet, får kunskap om brister i enskilda myndigheters informationssäkerhet. Ingen av myndigheterna har dock lämnat någon mer aggregerad redovisning av bristerna och vilken status det är på myndigheternas informationssäkerhet till . Ett skäl som anges till varför så inte har skett är att det saknas en naturlig mottagare i . anser dock att både Säkerhetspolisen och FRA borde ha lämnat en sådan aggregerad redovisning till sina respektive huvudmän i för att tydliggöra problembilden. Genom att myndigheten överlämnar problembilden får regeringen bättre möjligheter att agera. MSB har i sin rapportering till regeringen uttryckt att en obligatorisk incidentrapportering är nödvändig för att bedriva ett effektivt arbete med informationssäkerhet i samhället. Någon sådan skyldighet har ännu så länge inte införts. MSB har heller inget mandat att utöva tillsyn över myndigheternas informationssäkerhet. Avsaknaden av dessa verktyg försvårar för MSB att arbeta effektivt. Det finns föreskrifter för ledningssystem för informationssäkerheten () utfärdade av MSB. fanns motsvarande föreskrifter i kraft utfärdade av Verva. ska stödja uppbyggnaden och vidmakthållandet av informationssäkerheten på myndigheterna. Efterlevnaden har visat sig dålig när MSB 2014 utvärderade föreskrifterna då inte ens hälften av myndigheterna, enligt bedömning, kan anses uppfylla kraven i föreskrifterna. anser att detta talar starkt för att många myndigheter inte prioriterar informationssäkerheten. Det tyder också på att utfärdande av föreskrifter behöver kompletteras med ett uppföljnings- eller tillsynsansvar. anser att utvärderingen borde ha skett tidigare, inte minst mot bakgrund av att ett fungerande ledningssystem är avgörande för att uppnå god informationssäkerhet. Regelsystemet för informationssäkerhet ser i huvudsak likadant ut som det gjorde 2007 när senast granskade området. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i Ett tydligt och väl anpassat regelverk är en förutsättning för att uppnå effektivitet i arbetet med informationssäkerhet. drar därför slutsatsen att det regelverk som styr myndigheternas arbete med informationssäkerhet bättre kan behöva anpassas till olika typer av statlig verksamhet för att kunna nå önskvärda mål. Regeringen har på flera fronter uppmärksammat och betonat hur angeläget det är att myndigheterna har en hög informationssäkerhet. Detta har uttalats såväl i propositioner till , i styrdokument ställda till myndigheterna som genom uttalanden i media. Även utredningsbetänkanden och departementspromemorior tar upp frågan. Regeringen har också tillsatt utredningar som berör informationssäkerheten. Frågan om informationssäkerhet är alltså i hög grad aktualiserad av regeringen, men trots det finns det stora brister. Ett skäl till problemen att få till stånd en bättre informationssäkerhet är sannolikt att det inte finns någon funktion som ansvarar för informationssäkerheten som helhet i statsförvaltningen, inklusive , och som är mottagare av viktig information om denna. Inte heller har något av statsråden ett uttalat ansvar för just informationssäkerheten i statsförvaltningen. hanteras frågor om informationssäkerhet antingen på det departement som respektive myndighet lyder under eller bereds i samråd med andra departement. Till saken hör att informationssäkerhet är en dimension som spänner över hela statsförvaltningen och dessutom har bäring på flera funktioner såsom förvaltningspolitik, intern styrning och kontroll, krishantering samt brottsbekämpning. Beroende på vilken funktion som anses mest styrande kommer ansvaret för att samordna ärendet att variera mellan olika departement. Överväger det förvaltningspolitiska samordnar , är det intern styrning och kontroll är samordningsansvarig, är det fråga om krishantering ligger ansvaret på Försvarsdepartementet161 och gäller det brottsbekämpning är ansvarigt. Dessa förhållanden gör att i praktiken är det inget departement som har ett samlat ansvar för informationssäkerheten i statsförvaltningen. Det innebär att det inte finns en given funktion i som kan stå för styrning och samordning av informationssäkerheten, såsom fallet är med till exempel krisberedskap där ett visst departement har ett utpekat ansvar. Det betyder dessutom att det saknas en självklar mottagare av information i när det gäller informationssäkerhet. anser att detta är en brist som orsakar svårigheter att styra och följa upp statusen på myndigheternas informationssäkerhet. 161Sedan den nya regeringen tillträtt har ansvaret för krishantering flyttats till (inrikesministern). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Stöd- och tillsyn inte tillräckligt Regeringens tillsyns- och stödmyndigheter, framför allt MSB, Säkerhetspolisen och FRA, är på olika sätt aktiva när det gäller informationssäkerhet. MSB verkar brett över hela den offentliga sektorn med uppdrag att främja en god informationssäkerhet, men har inte till uppgift att utöva tillsyn över informationssäkerheten i enskilda myndigheter. genom Säkerhetspolisen utövar tillsyn, men har av resursskäl inte möjlighet att göra det i hela förvaltningen utan har inriktat sin tillsyn på de myndigheter som har den allra mest skyddsvärda verksamheten. FRA agerar endast på begäran av enskilda myndigheter, och har i praktiken inte möjlighet att testa säkerheten på alla myndigheter. Dessa myndigheter samverkar också tillsammans med PTS, Försvarsmakten och när det gäller informationssäkerhet (SAMFI). Trots dessa myndigheters verksamhet och samverkan visar granskningen att det skulle behöva göras mer, och att myndigheterna saknar mandat för det. Säkerhetspolisen bedriver viss tillsyn inriktad på särskilt skyddsvärd verksamhet, vilket utgör en mindre del av den samlade statsförvaltningen. MSB utfärdar föreskrifter om ledningssystem för informationssäkerhet (), men har inte till uppgift att utöva tillsyn över myndigheters arbete med informationssäkerhet. Datainspektionen utövar tillsyn, men utifrån ett avgränsat perspektiv och i en begränsad omfattning. bedömer att resurser för tillsyn generellt inte har prioriterats i tillräcklig utsträckning. När det gäller stödet till myndigheterna finns ett par resursaspekter som anser värda särskild uppmärksamhet. Den första aspekten är att det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns inte en samlad riskvärdering; i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. Med en samlad lägesbild framtagen hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. Inträffade händelser (se kapitel 2) har visat att kostnaderna kan bli betydande dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. Den andra aspekten är att har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt; de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Om så vore fallet skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. Denna granskning har visat att det råder oklarhet om läget i informationssäkerheten i statsförvaltningen. Med anledning av detta lämnar följande rekommendationer till regeringen och regeringens stöd- och tillsynsmyndigheter. Granskningen har visat ett betydande kunskapsunderskott när det gäller läget för informationssäkerheten i statsförvaltningen. Den tillsyn som sker inriktas i stort sett endast mot den mest skyddsvärda verksamheten – merparten av den civila statsförvaltningen lämnas utan tillsyn. Åtgärder vidtas inte alltid efter genomförda inspektioner. Det saknas också en systematisk och obligatorisk rapportering av incidenter. Allt detta leder till att det blir omöjligt att fånga den verkliga bilden av tillståndet för informationssäkerheten. Därav följer att det inte finns tillräckligt beslutsunderlag för att vidta nödvändiga åtgärder för att möta hoten och riskerna. För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering. Det finns ingen samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. hanteras ärenden rörande informationssäkerhet på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur, etc.). anser att informationssäkerhet är en viktig strategisk fråga för hela statsförvaltningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning i informationssäkerhet rekommenderar därför följande: Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion, och process, ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerheten i statsförvaltningen. 6.2.2 Rekommendationer till regeringens stöd- och tillsynsmyndigheter har i denna granskning kunnat visa att de av regeringen utsedda stöd- och tillsynsmyndigheterna inom nuvarande mandat skulle kunna göra mera, både genom att öka kunskapen om säkerhetsläget och att lämna stöd till den övriga statsförvaltningen för att öka skyddet. Detta är naturligtvis en fråga om vad som ska prioriteras såväl inom dessa myndigheter som inom statsförvaltningen som helhet. För att förbättra statens informationssäkerhet rekommenderar därför följande: MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att flera myndigheter än lämnar en redovisning av sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt avge aggregerade rapporter om säkerhetsläget till och . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Säkerhetsskyddslagen (1996:627) Lagen (2000:130) om försvarsunderrättelseverksamhet Lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet (signalspaningslagen) Offentlighets- och sekretesslagen (2009:400) Lagen (2003:389) om elektronisk kommunikation Lagen (2000:832) om elektroniska signaturer Lagen (2006:24) om nationella toppdomäner för på Internet Personuppgiftslagen (1998:204) Arkivlagen (1990:782) Säkerhetsskyddsförordningen (1996:633) Förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen) Förordningen (2007:603) om intern styrning och kontroll Arkivförordningen (1991:446) Myndighetsförordningen (2007:515) Förordningen (1996:1515) med instruktion för Förordningen (2007:937) med instruktion för Förordningen (2007:951) med instruktion för Förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap Förordningen (2009:1593) med instruktion för MSB:s föreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10) INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7) föreskrifter om säkerhetsskydd (RPSFS 2010:3) föreskrifter om handlingar på mikrofilm (RA-FS 2006:2) föreskrifter om handlingar på papper (RA-FS 2006:1) föreskrifter om elektroniska handlingar (RA-FS 2009:1) Vervas föreskrift om statliga myndigheters arbete med säkert elektroniskt informationsutbyte (VERVAFS 2007:2) Budgetpropositionerna –2014, utgiftsområde 6 1999/2000:86, Ett informationssamhälle för alla 2004/05:175, Från IT-politik för samhället till politik för IT-samhället 2007/08:92, Stärkt krisberedskap – för säkerhets skull 2007/08:160, Utökat elektroniskt informationsutbyte 2008/09:96, Behandling av personuppgifter inom studiestödsområdet Prop. 2009/10:175, Offentlig förvaltning för demokrati, delaktighet och tillväxt Prop. 2013/14:1, UO 6 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling E-delegationens betänkanden SOU 2009:86, 2010:62, 2011:67, 2012:68 samt 2013:22 Utredningen om stärkt krisberedskap i det centrala betalningssystemets betänkande SOU 2011:78 Regeringens skrivelse (2009/10:124) Samhällets krisberedskap – stärkt samverkan för ökad säkerhet Kommittédirektiv (2011:94) till en modern säkerhetsskyddslag Kommittédirektiv (2013:110) till en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och IT-system Kommittédirektiv (2009:110) till viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet Departementspromemorian Bättre regler för elektroniska kommunikationer (Ds 2010:19) Försvarsberedningens promemoria Vägval i en globaliserad värld (Ds 2013:33) Försvarsberedningens promemoria Försvaret av – Starkare försvar för en osäker tid (Ds 2014: 20) Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regleringsbrev för avseende Myndigheten för samhällsskydd och beredskap Regeringsbeslut Fö2010/701/SSK Regeringsbeslut Fö2010/702/SSK Regeringsbeslut Fö2010/703/SSK Regeringsbeslut Fö2011/1681/SSK Regeringsbeslut Fö2012/717/SSK Rapporter och andra handlingar från myndigheter m.m. Datainspektionen: Årsredovisningar –2013. : Handlingsplan för – inriktning och ambitioner E-delegationen: Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011 respektive 2013 : Rapport, dnr 10 360:3409/12 : Trender och utmaningar och – informationssäkerhet INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN MSB: Vägledning för risk- och sårbarhetsanalyser, 2011 MSB: Reflektioner kring samhällets skydd och beredskap vid allvarliga it-incidenter – En studie av konsekvenserna i samhället efter driftstörningen hos Tieto MSB: Trendrapport – samhällets informationssäkerhet 2012