prop · H20384 · 2015-03-19 00:00:00 — Hela systemet med risk- och sårbarhetsanalyser borde hänga samman, från den lokala nivån upp till den centrala nivån, samt att de krav som ställs i de olika lagarna borde fungera tillsammans.57 Som stöd för redovisningen av krisberedskapsförmåga i risk- och sårbarhetsanalyserna används ett antal indikatorer. Någon redovisning av indikatorerna för informationssäkerhet har dock inte alltid skett i de årliga sammanställningar av resultatet som MSB tar fram, då myndigheternas redovisning inte görs på ett sätt som medger en fullständig aggregering och 57Översyn av processen för fördelning av anslag 2:4 Krisberedskap – Uppdrag 15 i MSB:s regleringsbrev , s. 15. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN övergripande analys.58 För dessa indikatorer bedömer dessutom en stor del av myndigheterna att man endast till viss del eller inte alls uppfyller kriterierna. Ett skäl till detta kan enligt MSB vara att indikatorerna för informationssäkerhet är nytillkomna i förmågebedömningen 2012.59 Det är enligt MSB möjligt att svaren reflekterar en viss osäkerhet bland respondenterna om hur faktorerna redundans och robusthet respektive konfidentialitet, riktighet och tillgänglighet ska tolkas och bedömas. De tre senare begreppen utgör grundkomponenter i ledningssystem för informationssäkerhet, vilket enligt MSB:s föreskrifter är ett krav för alla myndigheter. MSB konstaterar 2013 med anledning av detta att kommande enkäter för särskild förmågebedömning kanske tydligare bör efterfråga hur den berörda myndigheten tillämpar föreskrifterna.60 Ett av de moment som enligt MSB visat sig vara svårt att omsätta är riskvärdering. Riskvärdering handlar enligt MSB ytterst om att värdera om den analyserade risken kan anses vara acceptabel.61 Det analys- och utvecklingsarbete som MSB genomför kommer även att beröra vilka analyser olika krisberedskapsaktörer behöver göra (innehåll, syfte och användning), tidsintervallet för sådana analyser, hur analyserna relaterar till varandra samt analysarbetets förväntade sammantagna effekter.62 Av de analyser som MSB använder som underlag framgår att behovet för myndigheter att samverka med andra aktörer när det gäller informationssäkerhet enligt MSB enbart delvis är identifierat och tillgodosett. Ett skäl är att det är svårt att identifiera dels vilken informationshantering som är samhällsviktig i , dels vilka verksamheter som har direkt samverkansbehov vid en störning (till exempel vilka verksamheter som har IT- drift i samma anläggningar och drabbas vid driftbortfall).63 58Se exempelvis MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 66. 59MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 70. 60MSB: Risker och förmågor 2012 – Redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga, s. 66. 61MSB: Risker och förmågor 2013 – Redovisning av regeringsuppdrag om nationell risk- och förmågebedömning, s. 79. pågår en översyn av MSB:s föreskrifter (MSBFS 2010:6) respektive (MSBFS 2010:7) om redovisning av risk- och sårbarhetsanalyser, och MSB har vid faktagranskningen av utkast till denna granskningsrapport uppgett att nya föreskrifter skulle kunna träda i kraft /2015. 62MSB: Risker och förmågor 2013 – Redovisning av regeringsuppdrag om nationell risk- och förmågebedömning, s. 79 f. 63MSB: PM Samlad bedömning av samhällets krisberedskapsförmåga 2013 – Komplettering av regeringsuppdrag nummer 26, dnr 2013-5294, s. 16. MSB har på begäran av gått igenom 23 myndigheters hantering av informationssäkerhet i sina risk- och sårbarhetsanalyserna för 2013.64. Genomgången visar att informationssäkerheten inte behandlas i samtliga av de undersökta risk- och sårbarhetsanalyser, trots att det finns uttryckliga krav på detta i föreskrifterna. Generellt för myndigheternas risk- och sårbarhetsanalyser är också att det inte alltid finns en röd tråd mellan beskrivna risker respektive beskrivna åtgärder, vilket även är fallet för informationssäkerhetsområdet.65 I de fall som en myndighet tar upp informationssäkerhet i sin risk- och sårbarhetsanalys, bedömer MSB att detta ofta sker om myndigheten bedömt att det finns ett (prioriterat) hot. Det finns dessutom mycket sällan någon generell bedömning av informationssäkerheten i underlagen. Ingen myndighet har valt att beskriva sin informationssäkerhet utifrån en systematisk genomgång gentemot tillämpliga standarder eller genom en strukturerad genomgång av parametrarna konfidentialitet, riktighet och tillgänglighet. Allt detta gör det mycket svårt att aggregera informationen. Ingen myndighet nämner heller något i sin risk- och sårbarhetsanalys om säkerhet i samband med e-förvaltning, vilket enligt MSB är anmärkningsvärt då utvecklingen på området gått mycket snabbt . MSB bedömer att det, enbart utifrån myndigheternas risk- och sårbarhetsanalyser inte går att få en kvalitetsmässigt godtagbar bild av myndigheternas förmåga på informationssäkerhetsområdet. MSB har framfört ett antal skäl till att så är fallet. Myndigheterna använder olika metoder för att identifiera risk, vilket omöjliggör jämförelser mellan myndigheter. Det är också så att enbart ett fåtal av samtliga myndigheter beskriver risker, sårbarheter och vidtagna åtgärder på informationssäkerhetsområdet, vilket gör att helhetsbilden brister. Ett annat skäl är att det ofta saknas kopplingar mellan redovisade risker och (planerade och vidtagna) åtgärder.66 Det går därmed inte med stöd av risk- och sårbarhetsanalyserna i sin nuvarande utformning att ge en nationell, sammantagen bild av myndigheternas förmåga att hantera och motstå kriser på informationssäkerhetsområdet. 4.1.2MSB:s trendrapport och annan rapportering om informationssäkerhet MSB ger regelbundet ut trendrapporter och andra rapporter om informationssäkerheten i samhället. Den senaste trendrapporten ger enligt MSB en övergripande bild av situationen på informations- och cybersäkerhetsområdet, 64Genomgången omfattar samtliga myndigheter som uppräknas i krisberedskapsförordningen undantaget länsstyrelserna. Genomgången har skett mot 5 § MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7) punkterna 4 och 8. Enbart information med bäring på informationssäkerhet har inkluderats. 65MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7). 66MSB har även fört fram att a) informationssäkerheten inte redovisas enskilt i underlagen utan ofta ligger med som bisatser till annat, vilket bidrar till otydlighet samt att b) det saknas en systematisk beskrivning av informationssäkerhetsarbetet vid myndigheterna, vilket försvårar aggregering och jämförelser. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN samt en bedömning av vilka förhållanden som är särskilt angelägna att uppmärksamma.67 Rapporten fokuserar på att beskriva vad som kan hända och till viss del vad som har hänt knutet till informationssäkerhet. Rapporten behandlar därmed risker, men säger ingenting om förmåga. Den ger heller ingen kunskap om vilka skyddsåtgärder som vidtas ute i förvaltningen. trendrapporter återrapporterar MSB löpande om samhällets informationssäkerhet inom ramen för den nationella risk- och förmågebedömningen (NRFB) samt i årsredovisningen och särskilda händelserapporter. 4.1.3Ledningssystem för informationssäkerhet () Efterlevnaden av har följts upp två gånger sedan de trädde i kraft . Den första uppföljningen gjordes av på eget initiativ . Med anledning av enkätundersökningen konstaterade handelskammaren att 22 av 39 tillfrågade myndigheter inte följde föreskriften. Med hänvisning till undersökningen ställdes i en fråga om myndigheternas IT-säkerhet som besvarades av dåvarande statsrådet svarade att ”…med anledning av frågan har departementet underhand erfarit att flertalet av de statliga myndigheter som enligt utredningen inte arbetade enligt LIS- standarden numera gör det, eller har genomfört förstudier och driver projekt med tidplaner i denna riktning. Arbetet med att införa ledningssystem är en process som kräver tid och förberedelser. I de fall som det inte skett beror det på att myndigheten är mycket liten och anger begränsade informationssäkerhetsbehov”. Statsrådet framförde att det i första hand ankommer på myndigheternas ledning och styrelse att införa . Regeringen följer dock utvecklingen, både via den tillsyn som sker, rapporter, genom uppföljning av handlingsplanerna och i myndighetsdialogen.69 har MSB kartlagt hur statliga myndigheter tillämpar MSB:s föreskrifter om . Det övergripande syftet med arbetet har varit att säkerställa att föreskrifternas utformning ger ett ändamålsenligt stöd för statliga myndigheters systematiska arbete med informationssäkerhet. Ett sekundärt syfte har varit att få en bild av hur informationssäkerhetsarbetet bedrivs vid svenska myndigheter.70 Kartläggningen omfattade samtliga 351 myndigheter 67MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 6. 68Svar på skriftlig fråga 2008/09:871 IT-säkerhet inom myndigheter och kommuner. 69Svar på skriftlig fråga 2008/09:871 IT-säkerhet inom myndigheter och kommuner. 70MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, s. 11. som har att följa föreskrifterna, varav 334 myndigheter () har svarat på MSB:s frågor.71 Kartläggningen visar följande resultat för de myndigheter som har besvarat alla frågor som MSB har ställt.72 Policy och styrande dokument73 av myndigheterna har en informationssäkerhetspolicy. av myndigheterna kontrollerar inte efterlevnaden, det vill säga ifall policyer och riktlinjer följs av medarbetarna. av myndigheterna har utsett en informationssäkerhetschef eller motsvarande roll för att leda och samordna informationssäkerhetsarbetet. av de som leder och samordnar informationssäkerhetsarbetet hos myndigheterna rapporterar direkt till myndighetens ledning. av de som leder och samordnar informationssäkerhetsarbetet hos myndigheterna uppges sakna tillräcklig kompetens, resurser eller mandat för att utgöra uppdraget på ett tillfredsställande sätt. av myndigheterna har en informationsklassningsmodell för att identifiera informationstillgångarna och kunna ställa rätt krav på informationssäkerheten. av myndigheterna uppger att det inte är tydligt uttalat vem som ansvarar för att informationsklassning genomförs. av myndigheterna uppger att det inte är fastslaget när informationsklassning ska ske. 71MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 72Myndigheter, som till exempel på grund av ringa storlek, har överlåtit sitt informationssäkerhetsarbete till en annan myndighet har endast besvarat frågor om hur detta reglerats med värdmyndigheten. 73MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 74MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 75MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN av myndigheterna har en metod för riskanalys. av myndigheterna saknar regler för vad riskanalyser ska omfatta eller när det ska ske. av myndigheterna saknar uttalat ansvar för vem som ska av myndigheterna saknar en kontinuitetsplan. av myndigheterna använder inte riskanalyserna som stöd vid av myndigheter uppger att myndighetens ledning åtminstone i stor utsträckning löpande håller sig informerade om arbetet med av myndigheterna har ingen eller en mycket begränsad utvärdering av informationssäkerhetsarbetet på myndigheten. Flera myndigheter har i kartläggningen också uttryckt önskemål om att få mer stöd för bland annat kravställning, uppföljning, informationsklassning och kontinuitetsplanering. Enskilda svar i uppföljningen kan uppfattas som positiva. En samlad läsning av svaren visar dock att även om av myndigheterna uppger att de har en informationssäkerhetspolicy så svarar att kompetens, mandat eller resurser är otillräckliga för att utföra arbetet på ett tillfredsställande sätt, att det saknas regler för vad riskanalysen ska omfatta eller när den ska ske och att de saknar kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. konstaterar också att MSB i rapporten inte lämnar någon sammanfattande bedömning av tillståndet och inte heller föreslår vilka eventuella åtgärder som behöver vidtas.79 76MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 77MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 78MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter, 79MSB har vid faktagranskningen av utkast till denna granskningsrapport uppgett att ett analysarbete pågår för att klargöra vilka åtgärder som behöver vidtas. 4.1.4Vad har MSB rapporterat till regeringen? MSB har lämnat information till regeringen om hot, risker och förmåga gällande krisberedskap på flera sätt. När det gäller krisberedskap i stort har detta främst skett genom rapporter om samhällets krisberedskap och nationell risk- och förmågebedömning. Därutöver tillkommer den redovisning av samhällets informationssäkerhet som MSB själv gör i sin egen risk- och sårbarhetsanalys i egenskap av ansvarig för området. Rapporteringen är framför allt inriktad på risker och förmåga baserat på risk- och sårbarhetsanalyser och scenarioanalyser. MSB informerar regeringen löpande om hot och risker mot och svenska intressen, vilket även kan innefatta informationssäkerhetsrelaterad information när detta bedöms ha hög dignitet. MSB:s trendrapport handlar om informationssäkerhet och dess hot och risker. MSB:s uppföljning av tillämpningen av föreskriften om har avrapporterats i en publik rapport. Den genomgång av informationssäkerhetaspekterna i risk- och sårbarhetsanalyserna som berörs ovan är utförd på uppdrag. Denna information kan möjligen ha lämnats till regeringen efter det att den kommit till handa. MSB:s rapportering till regeringen sker också i form av remissyttranden över utredningar som rör informationssäkerhet. MSB har på detta sätt pekat på att informationssäkerhetsarbetet behöver förbättras inom e-förvaltning och vård och omsorg. Dessutom har MSB enligt egen utsago redovisat åtta regeringsuppdrag på informationssäkerhetsområdet.80 4.2Vilken bild har FRA och vad har myndigheten rapporterat till regeringen? De kvalificerade aktörer som FRA följer inom sin försvarsunderrättelseverksamhet anges i regeringens årliga inriktning. Dessa aktörer är i huvudsak statsunderstödda och de utgör ett hot mot de mest skyddsvärda verksamheterna i . Vad gäller signalunderrättelseverksamhet ska FRA därmed leverera direkt och indirekt skydd mot kvalificerade IT-angrepp till de mest skyddsvärda svenska samhällsfunktionerna. FRA levererar utifrån sin försvarsunderrättelseverksamhet rapporter till regeringen om de aktörer och hot som följer av regeringens inriktning. Rapporteringen innehåller dock inte uppgifter om status på myndigheternas informationssäkerhet. 80 Uppgift vid faktagranskning av utkast till denna granskningsrapport. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN 4.2.2 IT-säkerhetsanalyser och penetrationstester På begäran har FRA lämnat ett yttrande om sin verksamhet som rör IT-säkerhetsanalyser och penetrationstester.81 Följande avsnitt bygger på detta yttrande.82 FRA har inte något tillsynsansvar, utan kan enbart göra IT-säkerhetsanalyser på begäran av kund (statlig myndighet eller statligt bolag) eller som stöd till exempelvis Säkerhetspolisen eller den militära underrättelse- och säkerhetstjänsten (MUST) vid en tillsyn. FRA tar ut avgifter för att utföra IT- säkerhetsanalyserna.83 Detta leder dock till att FRA endast kan hjälpa de som har budgeterat för IT-säkerhetsarbete, vilket inte alltid behöver sammanfalla med de som har den mest skyddsvärda informationen eller behöver mest hjälp.84 Vid IT-säkerhetsanalyser agerar FRA angripare i en IT-miljö i samråd med den beställande kunden. FRA får tillgång till systemdokumentation och information om systemen innan testet. Beställaren och FRA tar också tillsammans fram en lista på det inom beställarens IT-miljö som anses vara det mest skyddsvärda för verksamheten. Målet för IT-säkerhetsanalysen är vanligtvis att hitta så många brister som möjligt för att de ska kunna rättas till. Efter genomförd analys avrapporterar FRA resultatet till beställaren i en skriftlig rapport, och ibland även med en presentation för ledningen. Rapporten innehåller alltid tillvägagångssätt, funna brister samt prioriterade åtgärdsförslag, men ibland även resultat från sårbarhetsskanning, statistik på lösenordskvalitet och förslag på vidare arbete. Rapporteringen från penetrationstesterna delges endast den myndighet som testet avser. FRA har inte gjort någon aggregerad avrapportering till regeringen eller av genomförda tester. 4.2.3Hur ser FRA på informationssäkerheten i de verksamheter man kommer i kontakt med? FRA:s övergripande bedömning är att det ofta är alltför lätt att bryta sig in i samhällsviktiga system. Skyddet motsvarar sällan nivån på informationen som hanteras i systemen eller de hot som systemen bör skyddas mot. De brister som FRA upptäcker leder i stort sett alltid till att en angripare kan ta över hela IT-miljön med möjlighet att läsa, manipulera eller förstöra all information som hanteras på IT-systemen. 81Under 2013 genomförde FRA IT-säkerhetsanalyser vid elva olika statliga myndigheter och statligt ägda bolag. FRA har genomfört uppskattningsvis 120 IT-säkerhetsanalyser och 100 övriga granskningar/rådgivningar. FRA har även hanterat ett antal IT-incidenter . 82FRA:s yttrande till informationssäkerhetsarbete och övergripande bedömning av myndigheters IT- och informationssäkerhet, . 83I 11 § förordningen (2007:937) med instruktion för föreskrivs att myndigheten får ta ut avgifter för genomförande av IT-säkerhetsanalyser. 84Intervjuer med företrädare för . Problem kopplade till en önskan att pressa IT-kostnaderna är något som FRA har sett hos flera statliga myndigheter och statligt ägda bolag. IT-budgeten är hårt styrd, och externa krav på lönsamhet eller sparsamhet medför lösningar som till exempel outsourcing. Outsourcing i kombination med otillräcklig beställarkompetensen gör att outsourcing ofta blir en kortsiktig besparing, men i det långa loppet uppstår flera brister som är svåra att värdera i kronor. Den som outsourcar blir av med sin egen kompetens inom IT-området, vilket i sin tur gör att beställarkompetensen blir än mer lidande. Många beställare gör dessutom misstaget att förutsätta att säkerhet ingår i avtalet även om detta inte uttryckligen är specificerat. Så är inte fallet enligt . Kommersiella driftleverantörers huvudsyfte är att generera vinst, och de kommer enligt FRA:s bedömning inte att göra kostnadsdrivande investeringar i säkerhet om det inte finns konkurrensskäl som talar för det. FRA har inte rätt att granska någon driftleverantörs nätverk eller sätt att administrera IT-driften vid statliga myndigheter eller statligt ägda bolag. FRA har, trots att driftleverantörerna inte har granskats, sett tydliga exempel där externa driftleverantörer och konsulter utsätter myndigheter för stora risker utan myndigheternas vetskap. FRA förespråkar inte att man helt bör sluta med outsourcing, men man bör tydligt se över kravställning mot externa driftleverantörer, samt vilka verksamheter som kan outsourcas. Enligt FRA sammankopplas IT-system mellan olika myndigheter och företag i en allt större utsträckning. Till detta kommer en stadigt ökande användning av mobila enheter och olika tjänster på internet både i tjänsten och privat. FRA förutspår att de risker en organisation kommer att öka . Många myndigheter är anslutna till varandra och hanterar samma information, men med olika nivå på skydd och klassning av informationen. En angripare kanske inte behöver ge sig på de mest skyddsvärda verksamheterna för att få den information man är ute efter, utan den kan troligen fås via en mindre skyddsvärd verksamhet eller en driftsleverantör som har tillgång till att hämta informationen från ursprungsstället. Ingen kedja är starkare än den svagaste länken, och i statsförvaltningen hänger allt samman. 4.2.4 Vad har FRA rapporterat till regeringen? FRA rapporterar löpande information av betydelse till regeringen utifrån vad myndigheten fångar upp genom sin försvarsunderrättelseverksamhet. Därav får regeringen information om hot och hotaktörer av en viss dignitet med intresse för samhällsviktig verksamhet även vad gäller informationssäkerhet. Den information som FRA får del av genom IT-säkerhetsanalyser och penetrationstester har förutom i enstaka fall inte rapporterats till regeringen, vare sig i aggregerad form eller specifikt för enskilda verksamheter. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN vad gäller övergripande hot och risker dock använt sig av informationen i en trendrapport som har publicerats.85 4.3Vilken bild har Säkerhetspolisen och vad har myndigheten rapporterat till regeringen? 4.3.1Säkerhetspolisens tillsyn visar på omfattande brister i säkerheten Som en del av Säkerhetspolisens tillsyn ingår att bedöma myndigheternas säkerhetsanalyser ur ett informationssäkerhetsperspektiv. Säkerhetspolisen har på begäran av gjort en övergripande expertbedömning av de 18 säkerhetsanalyser som blivit granskade , och särskilt i fråga om informationssäkerhet.86 Säkerhetspolisens övergripande bedömning är att analyserna generellt lider av allvarliga brister, även om undantag finns. Det saknas ofta en användbar systembeskrivning av det som ska skyddas. Det saknas också genomarbetade, välargumenterade och dokumenterade skadekonsekvensbeskrivningar för de IT-system som myndigheten eventuellt anser behöver skyddas. Om dessa beskrivningar ändå förekommer beskriver de ofta andra typer av konsekvenser än de som är knutna till rikets säkerhet och terrorism, till exempel ekonomiska konsekvenser eller konsekvenser för myndighetens anseende. Den förmåga en angripare kan tänkas ha tas sällan upp, vilket försvårar vad en myndighet ska behöva dimensionera sitt skydd mot. Det finns heller inte några beskrivningar av vilka specifika sårbarheter hos identifierade skyddsvärda system som får mycket allvarliga konsekvenser om de utnyttjas av en antagonist, och på vilket sätt detta kan ske. 4.3.2Konsekvenserna kan bli allvarliga Säkerhetspolisen bedömer att konsekvenserna av bristerna i säkerhetsskyddet kan bli allvarliga. Detta hänger samman med att de granskade myndigheterna är bland de mest skyddsvärda och att deras information rör rikets säkerhet. Bristerna i att identifiera skyddsvärden under säkerhetsanalysen leder enligt Säkerhetspolisen till att de granskade myndigheterna inte kan ta fram välmotiverade kravspecifikationer på informationssäkerhetsområdet för den mest skyddsvärda informationen. Bristfälliga kravspecifikationer leder i sin tur till att de säkerhetsskyddsåtgärder som myndigheterna vidtagit eller planerar att vidta inte bidrar på ett spårbart sätt till att skydda de mest skyddsvärda 85FRA: Trender och utmaningar och – informationssäkerhet. 86Säkerhetspolisen: Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv, , dnr 2014-11898-4. Detta blir särskilt påtagligt då man engagerar externa leverantörer i sin IT-verksamhet eller lägger ut IT-verksamhet på privata och i vissa fall även utländska leverantörer. I dessa fall är en noggrann kravställning grundläggande för att kunna bedöma om en utläggning över huvud taget är lämplig, och om informationstillgångar i så fall ska få ett lämpligt skydd.