prop · H20384 · 2015-03-19 00:00:00 — En annan allvarlig konsekvens av bristerna i säkerhetsanalyserna är att informationstillgångar med samma skyddsvärde riskerar få varierande nivåer på olika myndigheter. Detta är enligt Säkerhetspolisen särskilt allvarligt när det gäller att identifiera de mest skyddsvärda informationstillgångarna. Säkerhetspolisen har dessutom uppgett för att det vid uppföljningar ibland framkommer att redan påpekade brister inte åtgärdas.87 Den åtgärd som Säkerhetspolisen kan vidta i ett sådant fall är att underrätta regeringen om detta förhållande. Avsaknaden av sanktionsmöjlighet och eventuella problem med anledning av detta är en av de frågor som ska behandlas i utredningen om en ny säkerhetsskyddslag.88 4.3.3Vad har Säkerhetspolisen rapporterat till regeringen? Säkerhetspolisen skickar varje tillsynsrapport till det departement som är ansvarig för den myndighet tillsynen avser. Regeringen har därmed fått en detaljerad redovisning av informationssäkerhetsläget hos de verksamheter som de 18 tillsynsrapporterna avser. Den aggregerade bild som hänvisar till ovan är framtagen på begäran, och saknar kunskap om huruvida informationen även har vidarebefordrats till regeringen. Utöver tillsynsrapporterna lämnar Säkerhetspolisen även annan information om hot och sårbarheter till regeringen. 4.4Vilken bild har Datainspektionen och vad har myndigheten rapporterat till regeringen? 4.4.1Vilken kunskap ger tillsynen? Som tillsynsmyndighet enligt personuppgiftslagen (1998:204) granskar Datainspektionen skyddet för personuppgifter. Inspektionen ska verka för att personuppgiftsansvarigas informationssäkerhet uppfyller de krav som personuppgiftslagen ställer för att skydda de personuppgifter som behandlas. Informationssäkerhetsarbetet hos organisationer har ofta som övergripande syfte att skydda organisationens verksamhet medan personuppgiftslagen syftar till att skydda de registrerades personliga integritet. Det föreligger således skillnader mellan informationssäkerhet i ett generellt perspektiv och 87Intervju på Säkerhetspolisen . 88En modern säkerhetsskyddslag (dir. 2011:94). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN säkerhetskrav enligt personuppgiftslagen i såväl skyddsobjekt som syftet med informationssäkerhetsåtgärderna. Det innebär att det inte går att dra några slutsatser om en organisations informationssäkerhetsarbete i stort utifrån brister i skyddet för personuppgifter. Som exempel kan nämnas Datainspektionens granskning av så kallade bank-appar där bankerna utifrån ett verksamhetsperspektiv kunde sägas ha ett väl strukturerat informationssäkerhetsarbete, att skydda sina och kundernas pengar, men där det ändå fanns brister när det gäller informationssäkerheten för de personuppgifter som behandlades. 4.4.2 Vad har Datainspektionen rapporterat till regeringen? Datainspektionen avrapporterar iakttagelser av informationssäkerhet vid behandling av personuppgifter till regeringen genom publika rapporter, eventuella regeringsuppdrag och årsredovisningen. Inspektionen rapporterar även till genom att vid behov översända tillsynsbeslut för kännedom. Datainspektionen har inte fått några särskilda regeringsuppdrag för att undersöka informationssäkerheten på en viss specifik myndighet eller mer generellt i statsförvaltningen. Datainspektionen har i sin årsredovisning återkommande framfört att ”Vid utveckling av e-förvaltning där fler än en myndighet är inblandad ser inspektionen ofta att ett allt större ansvar läggs på den enskilde… Inspektionen finner också ofta brister i IT-säkerheten … Tjänster för elektronisk förvaltning förefaller fortfarande utvecklas och tas i bruk utan att kraven på säkerhetsåtgärder beaktas tillräckligt.”89 4.5Övriga myndigheternas rapportering i årsredovisningen har även gått igenom årsredovisningarna för samma urval av myndigheter, vid sidan av stöd- och tillsynsmyndigheterna, som för genomgången av regleringsbreven för att få en uppfattning om myndigheterna självmant redovisar uppgifter om sin informationssäkerhet. Genomgången avser perioden –2013.90 Genomgången visar att mindre än hälften av myndigheterna rapporterar något om informationssäkerhet eller datasäkerhet. För det stora flertalet myndigheter – – går det inte att få en uppfattning om hur läget är för informationssäkerhet genom att ta del av årsredovisningen. För en mer detaljerad beskrivning av resultat och tillvägagångssätt hänvisar vi till bilaga 3. 89Datainspektionens årsredovisningar –2013. 90Se bilaga 2. 4.6Rapportering från utredningar m.m. Vi har gått igenom 63 utredningsbetänkanden som lämnats av parlamentariska kommittéer och särskilda utredare och och som kan vara av relevans för styrning av informationssäkerheten i statsförvaltningen.91 Två av dessa har behandlat informationssäkerhet ur ett mer myndighetsövergripande perspektiv. I E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – vägen till effektivare e-förvaltning behandlas ett förslag till samverkanslösning för att stärka informationssäkerheten. Förslaget går ut på att fyra myndigheter bli utvecklingsmyndigheter för e-förvaltning inom var sitt utvecklingsområde. Myndigheterna i fråga är , Lantmäteriet, Transportstyrelsen och Bolagsverket.92 Delegationen konstaterade att informationssäkerhet varit svårt att omsätta i de samarbetsprojekt som bedrivs inom e-förvaltningsområdet, och önskat ett ökat stöd för detta. Delegationen uttalade att det krävs en gemensam grund i form av säkerhetskultur, metoder och regler. MSB tog därför initiativ till att det borde inrättas ett nytt arbetsutskott inom delegationen för att förverkliga den strategi för informationssäkerhet som E-delegationen beslutat. ska dels ta fram en handlingsplan för att förverkliga målen i strategin, dels lämna metodstöd till de projekt som genomförs i delegationen.93 Enligt MSB är dock informationssäkerhetsfrågan fortfarande inte helt etablerad i alla delar av delegationens arbete.94 I ett betänkande från som handlar om vem som ska ansvara för (Sitic) och certifieringsorgan för IT-säkerhet (CSEC) behandlas informationssäkerheten i ett strategiskt perspektiv.95 Vi har även gått igenom 41 departementspromemorior som tagits fram av olika arbetsgrupper inom som kan vara relevanta från informationssäkerhetssynpunkt. I en av promemoriorna som handlar om elektronisk kommunikation talas om att det ska säkerställas att 91Av E-delegationen avlämnade betänkanden: SOU 2009:86, 2010:62, 2011:67, 2012:68 samt 2013:22. Övriga betänkanden är från Utredningen om stärkt krisberedskap i det centrala betalningssystemet (SOU 2011:78), (SOU 2011:38) samt (SOU 2010:25). 92E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – vägen till effektivare e-förvaltning (SOU 2011:67). 93E-delegationens betänkande Så enkelt som möjligt för så många som möjligt – förstärkt samordning av förvaltningsgemensamma tjänster (SOU 2012:68) samt Så enkelt som möjligt för så många som möjligt – samordning och digital samverkan (SOU 2013:22). 94Uppgift vid faktagranskning av utkast till denna granskningsrapport. 95Informationssäkerhetsutredningen betänkande Viss översyn av verksamhet och organisation på informationssäkerhetsområdet (SOU 2010:25). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN elektronisk kommunikation uppfyller rimliga krav på driftsäkerhet, och om att införa en skyldighet att rapportera integritetsincidenter.96 Den promemoria som mest ingående tar upp informationssäkerhet härrör från den senaste försvarsberedningen. I ett säkerhetspolitiskt sammanhang utvecklar beredningen de hot och risker som finns i och omvärlden och vilka krav det ställer. Bland annat föreslog man att hoten och riskerna inom informationssäkerhetsområdet borde utredas, vilket nu också sker i utredningen om att föreslå en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och IT-system (NISU 2014, dir. 2013:110). I ett försvarspolitiskt sammanhang går beredningen vidare och konstaterar att samlade förmåga att förebygga, motverka och aktivt hantera konsekvenserna av cyberhoten måste öka. Man anser bland annat att det internationella samarbetet ska utvecklas för att säkerställa en robustare cybersäkerhet.97 4.7E-delegationens uppföljning av myndigheternas samlade arbete med e-förvaltning E-delegationen har regeringens uppdrag att följa e-förvaltningsarbetet i statsförvaltningen. har delegationen skickat ut en webbenkät för att följa upp utvecklingen.98 Den första undersökningen gjordes 2011 och besvarades av 201 myndigheter. Den andra gjordes 2013 och besvarades av 137 myndigheter. Som en del av undersökningen ställdes ett antal frågor om informationssäkerhet. Frågorna, som var åtta till antalet, fokuserade på om och i så fall hur myndigheterna bedriver ett systematiskt informationssäkerhetsarbete. Frågorna var liknande de som MSB har ställt i sin uppföljning av , men färre till antalet. Bilden som framkom tyder på en förbättring av det systematiska informationssäkerhetsarbetet . Den samlade bilden av läget 2013 var dock lika problematisk som den som framträder i MSB:s uppföljning av , det vill säga en stor andel myndigheter har inte ett systematiskt informationssäkerhetsarbete på plats.99 96Departementspromemorian Bättre regler för elektroniska kommunikationer (Ds 2010:19). 97Försvarsberedningen: Vägval i en globaliserad värld (Ds 2013:33) och Försvaret av – Starkare försvar för en osäker tid (2014: 20). 98E-delegationen: Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011 respektive 2013. 99Uppgifterna från undersökningen är publicerade i rapporterna E-delegationen, Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2011, samt Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2013. Iakttagelserna i detta kapitel visar att läget för informationssäkerheten är allvarligt i de delar av statsförvaltningen som det finns kännedom om, och att det varit så . Därtill är kännedomen om läget lågt för större delen av statsförvaltningen. Detta bygger på det samlade underlag som gett i uppdrag till MSB, FRA och Säkerhetspolisen att ta fram. Underlaget är ny, unik information där var och en av delarna entydigt pekar i samma riktning, vilket ger bevisningen styrka. Myndigheternas risk- och sårbarhetsanalyser lever inte upp till de krav som ställs när det gäller att redovisa informationssäkerhet. Bristerna är så omfattande att det inte går att ställa samman en gemensam bild av samlad förmåga att kunna motstå och hantera kriser inom informationssäkerhetsområdet. Det är även svårt att bilda sig en uppfattning om den enskilda myndighetens informationssäkerhet i ett flertal fall. Den trendrapport som MSB producerar behandlar risker och hot, men inte realiserade hot eller skyddsåtgärder.100 Många myndigheter brister i efterlevnad av . E-delegationens uppföljning indikerade problem med informationssäkerhetsarbetet Verva följde aldrig upp efterlevnaden av föreskrifterna. MSB har inte hellerföljt upp myndigheternas tillämpning av . FRA:s underrättelseverksamhet är inriktad mot utländska hotaktörer av en viss dignitet som riktar sina operationer mot samhällsviktig verksamhet. Underrättelseverksamheten genererar en god kunskap om vilka hot som finns och indikerar vilka myndigheter som kan vara utsatta för angrepp. Underrättelseverksamheten genererar dock ingen kunskap om hur myndigheternas informationssäkerhet är beskaffad. FRA har tack vare sina IT-säkerhetsanalyser en god kunskap om hur läget är i en liten del av statsförvaltningen – i stort sett bland de myndigheter och bolag som har den mest skyddsvärda verksamheten. FRA underrättar dock inte regeringen om resultatet av respektive analys. FRA rapporterar heller inte bristerna på en aggregerad nivå. Säkerhetspolisen har i sin tillsyn funnit systematiska brister i säkerhetsskyddsarbetet, framför allt i fråga om IT- och informationssäkerhet hos de mest skyddsvärda myndigheterna. Få myndigheter har varit föremål för Säkerhetspolisens tillsyn av informationssäkerhet. Säkerhetspolisen saknar därmed kännedom om statusen på merparten av myndigheterna i statsförvaltningen. 100 Realiserade hot redovisas dock i viss utsträckning i särskilda händelserapporter. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Datainspektionens tillsyn avser visserligen informationssäkerhet, men har en annan utgångspunkt. Denna är att värna den personliga integriteten för dem som på något sätt är registrerade hos en myndighet eller ett företag. Övriga myndigheter redovisar i liten utsträckning på eget initiativ om sin informationssäkerhet i årsredovisningen. Det förklaras naturligen av att det nästan aldrig finns som krav i regleringsbreven. Endast i några få utredningar behandlas informationssäkerhet mer ingående. De två pågående utredningarna, om översyn av säkerhetsskyddslagen respektive en strategi för hantering och överföring av information i elektroniska kommunikationsnät och IT-system, har dock stor betydelse för informationssäkerheten i samhället.101 101 Dir. 2011:94 respektive 2013:110. 5Vilka åtgärder har regeringen vidtagit för att styra informationssäkerhetsarbetet? För att undersöka vad regeringen vidtagit för åtgärder när det gäller informationssäkerhet har vi gått igenom olika typer av dokument som härrör från regeringen.102 har sökt efter dokument innehållande såväl myndighetsövergripande styrning som mer specifik styrning av enskilda myndigheters informationssäkerhetsarbete. Det rör sig dels om rena styrdokument som särskilda regeringsuppdrag och regleringsbrev, dels om dokument som är bärare av styrsignaler som utredningsdirektiv, budgetpropositioner och vissa andra i sammanhanget relevanta propositioner. Dessutom tar vi upp hur har organiserat sin styrning av informationssäkerhet. Kapitlet svarar mot revisionsfrågan om regeringens styrning och kopplar till utgångspunkterna om grundläggande förutsättningar i form av krav och organisering samt beslut om nya eller förändrade åtgärder och införande och kontroll av åtgärdernas funktion. har gått igenom samtliga utredningsdirektiv för perioden –2014. Sammanlagt identifierades 35 direktiv som vid en första anblick kunde ha bäring på styrningen av informationssäkerhet i statsförvaltningen. Av dessa 35 direktiv har identifierat tre stycken som har betydelse för styrningen av informationssäkerhetsarbetet i den civila statsförvaltningen på ett myndighetsövergripande sätt.103 I ett av utredningsdirektiven finns informationssäkerhetsaspekter då uppdraget var att föreslå var vissa funktioner inom informationssäkerhetsområdet104 skulle ha sin hemvist.105 102I kapitel 3 redogörs för regeringens styrning genom förordning. 103I 16 av 35 fall berör direktiven olika varianter av integritetsaspekter och behandling av personuppgifter på något sätt. Utredningsdirektiven avser därmed inte frågor om övergripande styrning av informationssäkerheten. I övriga 16 fall fanns ingen koppling till informationssäkerhet. 104CSEC som är certifieringsorgan för IT-säkerhet, signatärskapet för de internationella organen CCRA och SOGIS-MRA samt Sitic som är . 105Viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet (dir. 2009:110). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Under denna gransknings gång har två pågående utredningar haft i uppdrag att hantera mer övergripande frågor som rör styrning och kravställning av informationssäkerhet.106 har undersökt vilka eventuella regeringsuppdrag med anknytning till informationssäkerhet som har lämnats. har identifierat sex uppdrag som har lämnats till MSB och FRA och som har bäring på informationssäkerhet. Åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera IT-incidenter 2009 fick MSB i uppdrag lämna förslag på åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera IT-incidenter. MSB redovisade uppdraget 2010 och förslaget gick i huvudsak ut på att skapa ett nationellt operativt samverkanscenter lokaliserat på MSB. Ytterligare förslag var exempelvis att utreda obligatorisk IT-incidenthantering och tekniskt intrångsdetekterings- och varningssystem, att informationssäkerhet beaktas i risk- och sårbarhetsanalyser samt att ta fram en nationell plan för att hantera allvarliga IT-incidenter. Nationell hanterandeplan för allvarliga IT-incidenter 2010 fick MSB i uppdrag att ta fram en nationell plan som klargör hur allvarliga IT-incidenter ska hanteras.107 MSB redovisade uppdraget 2011 och har tagit fram en nationell plan för att hantera allvarliga IT-relaterade kriser.108 Planen syftar till att underlätta för varje aktör genom att tillsammans med andra aktörer ta fram en gemensam lägesbild.109 System för obligatorisk IT-incidentrapportering för statliga myndigheter 2010 fick MSB i uppdrag av regeringen att utreda hur ett system för obligatorisk IT-incidentrapportering för statliga myndigheter kan utformas.110 MSB redovisade 2011 ett förslag där systemet för incidentrapportering föreslogs införas stegvis och föregås av en pilotversion i mindre skala. MSB ansåg dock att ytterligare aspekter behövde utredas vidare varför MSB 2012 fick ett tillkommande uppdrag, 106En modern säkerhetsskyddslag (dir. 2011:94) samt Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). 107Regeringsbeslut Fö21010/701/SSK. 108MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545, s. 26. 109MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545, s. 28. 110Regeringsbeslut Fö2010/701/SSK. vilket redovisades senare samma år.111 MSB kunde konstatera att en viktig del i arbetet med samhällets informationssäkerhet är en systematisk, bred och samlad rapportering av IT-incidenter.112 Frågan om ett eventuellt införande av obligatorisk IT-incidentrapportering är vilande med hänvisning till ett eventuellt kommande krav från EU på att införa ett sådant system.113 Ett nationellt tekniskt IT-intrångsdetekterings- och varningssystem (TDV)114 gav regeringen och två uppdrag rörande ett tekniskt IT- intrångsdetekterings- och varningssystem. FRA fick i uppdrag att lämna förslag på hur ett sådant system kan utformas.115 MSB fick i sin tur i uppdrag att lämna förslag på vilka aktörer som ska omfattas ett sådant system.116 2011 redovisade MSB sina förslag, och rekommenderade att alla statliga myndigheter som är särskilt utpekade i bilagan till krisberedskapsförordningen skulle erbjudas att delta i systemet. FRA föreslog i sin redovisning av uppdraget att det de mest känsliga verksamheterna som är utsatta för ett stadigvarande och högt underrättelsehot från kvalificerade aktörer borde prioriteras. FRA fick 2011 ett kompletterande uppdrag att inkomma med en mer detaljerad redovisning samt att utarbeta en pilotversion av systemet.117 2012 redovisade FRA sitt kompletterande uppdrag och pilotprojektet, vilket innebär att TDV finns i drift hos ett fåtal användare.118 Ett införande i större skala är enligt FRA beroende av regeringens uppfattning om att gå vidare med att implementera systemet.119 Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor 2010 fick MSB i uppdrag av regeringen att lämna förslag på en säker digital informations- och kommunikationsinfrastruktur för myndigheter, kommuner och landsting.120 lämnade MSB sitt förslag på hur en tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor skulle kunna skapas. Förslaget går i huvudsak ut på att skapa en sammanhållande organisatorisk struktur med uppdrag att samordna, inrikta, ansvara för drift och förvalta. 111Regeringsbeslut Fö2012/717/SSK, Regeringsbeslut II:1. 112MSB: Nationellt system för it-incidentrapportering, dnr 2012-2637, s. 95. 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling, s. 53. 114Ett TDV består mycket förenklat av sensorer, en kommunikationslösning och en central funktion för analys. Sensorerna analyserar trafik som passerar i nätverk för att identifiera IT-angrepp. Om ett angrepp upptäcks skickas ett larm som kan gå såväl till den verksamhet som är utsatt för IT-angreppet som till en analyscentral. (Källa: FRA 10 360:3409/12.) 115Regeringsbeslut Fö2010/703/SSK. 116Regeringsbeslut Fö2010/702/SSK. 117Regeringsbeslut Fö2011/1681/SSK. 118Rapport från FRA, dnr 10 360:3409/12. 119Intervjuer på FRA. 120Regeringsbeslut Fö2010/702/SSK. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN delar av infrastrukturen ska enligt förslaget tillhandahållas genom staten och andra genom näringslivet.121 Frågan bereds fortfarande inom . 2010 fick MSB i uppdrag att säkerställa att myndigheten ska ha möjlighet att utifrån analyser av förmågebedömningar, genomförda risk- och sårbarhetsanalyser samt bedömningar av beroendeförhållanden föreslå enskilda myndigheter att anlita FRA för IT-säkerhetsanalyser.122 I sitt svar till pekar MSB på att man har lyft upp och utvecklat sitt analysarbete när det gäller informationssäkerhetsaspekter i förmågebedömningarna och risk- och sårbarhetsanalyserna. MSB anger även att man kontinuerligt arbetar med att analysera och bedöma omvärldsutvecklingen inom informationssäkerhetsområdet och bygger genom detta upp ändamålsenligt underlag för beslut om att föreslå enskilda myndigheter att anlita FRA för IT-säkerhetsanalyser.123 Uppdrag i regleringsbrev till MSB I regleringsbrevet fick MSB i uppdrag att redovisa hur arbetet med risk- och sårbarhetsanalyser och förmågebedömningar har förenklats samt bedöma om ytterligare komponenter behövs för att skapa en sammantagen bedömning av samhällets krisberedskap.124 2011 fick MSB i uppdrag att sammanställa en övergripande samlad bedömning av förmågor respektive risker och sårbarheter på lokal, regional och nationell nivå samt inom samverkansområden. 2012 skulle MSB med utgångspunkt i föregående års uppdrag redovisa en vidareutveckling av den övergripande samlade bedömningen avseende förmågor, risker och sårbarheter. I bedömningen skulle även informationssäkerhet beaktas.125 2014 får MSB dessutom uppdraget att analysera rapporteringsfrekvensen av risk- och sårbarhetsanalysarbetet för att kunna effektivisera krisberedskapen.126 121MSB: Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor, dnr 2010-6304, s. 20 f. 122Regeringsbeslut Fö2010/701/SSK. 123MSB: Säkerhetsgranskning, dnr 2010-6308. 124Uppdrag 15 i regleringsbrev till MSB . 125Uppdrag 10 i regleringsbrev till MSB . 126Uppdrag 29 i regleringsbrev till MSB . har gått igenom regleringsbreven för 35 civila myndigheter i statsförvaltningen som inte är stöd- eller tillsynsmyndigheter på området. Myndigheterna har valts efter två kriterier: dels myndigheter som är särskilt viktiga ur skyddssynpunkt, dels myndigheter som har stora anslag (se bilaga 2). Genomgången omfattar regleringsbreven –2014. Syftet med genomgången har varit att undersöka i vilken mån regeringen har ställt krav på att myndigheterna ska rapportera status på sin informationssäkerhet. har valt att kategorisera regleringsbreven i kategorierna ja, nej och delvis och dessa redovisas nedan i tabell 5.1. Tabell 5.1 Urval av myndigheter med informationssäkerhetsrelaterade krav i regleringsbrev (RB) 2010–2014 För att regleringsbrevet ska kategoriseras som ja krävs att myndigheten uttryckligen uppmanas att rapportera om informationssäkerhet/IT- säkerhet/datasäkerhet. har inte funnit något sådant krav i regleringsbreven för någon myndighet under ovan nämnda period. De regleringsbrev som kategoriseras som delvis är sådana där återrapporteringen exempelvis rör ett enskilt system eller en enskild fråga eller där återrapporteringen berör intern styrning och kontroll eller IT i stort. Antalet regleringsbrev som har kategoriserats som att de delvis berör återrapportering av informationssäkerhet i vid bemärkelse är 13–14 stycken med en lägsta notering på 9 .