prop · H20384 · 2015-03-19 00:00:00 — MSB: Risker och förmågor 2012 – redovisning av regeringsuppdrag om nationell riskbedömning respektive bedömning av krisberedskapsförmåga MSB: Risker och förmågor 2013 – redovisning av regeringsuppdrag om nationell risk- och förmågebedömning MSB: Samlad bedömning av samhällets krisberedskapsförmåga 2013 – komplettering av regeringsuppdrag nummer 26, dnr 2013-5294 MSB: En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter MSB: Nationellt system för it-incidentrapportering, dnr 2012-2637 MSB: Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor, dnr 2010-6304 MSB: Säkerhetsgranskning, dnr 2010-6308 MSB: Strategi för samhällets informationssäkerhet 2010–2015 MSB: Samhällets informationssäkerhet – nationell handlingsplan MSB: Strategi för informationssäkerhet i e-förvaltning (dnr 2012-3430) MSB: Ett fungerande samhälle i en föränderlig värld – nationell strategi för skydd av samhällsviktig verksamhet, 2011 MSB: handlingsplan för skydd av samhällsviktig verksamhet, 2013 MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545 : It i människans tjänst – en digital agenda för , 2011 : Granskning av regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10) Statskontoret: Ledningssystem för informationssäkerhet vid 24-timmarsmyndigheter, vägledning och mallregelverk (2003:23) Säkerhetspolisen: Säkerhetsskydd – en vägledning, 2008 Säkerhetspolisen: Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv , dnr 2014-11898-4 Datainspektionen: Yttrande till respektive , Vissa frågor till datainspektionen med anledning av granskning av informationssäkerhet i statsförvaltningen, dnr 2011-2014 : Yttrande till om FRA:s informationssäkerhetsarbete och övergripande bedömning av myndigheters IT- och informationssäkerhet Myndigheten för samhällsskydd och beredskap: Yttrande till 2014-08- 29, Redovisning av informationssäkerhet enligt MSB:s nu gällande föreskrifter om myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7), dnr 2014-3194 : Yttrande till , Svar på arbetsfrågor med anledning av granskning av informationssäkerhet : Yttrande till med underlag till Säkerhetspolisen: Yttrande till , Underlag rörande Säkerhetspolisens bedömning av myndigheters säkerhetsanalyser ur ett informationssäkerhetsperspektiv, dnr 2014-11898-4 Intervjuer på Myndigheten för samhällsskydd och beredskap, , Säkerhetspolisen, Försvarsmaktens militära underrättelse-och säkerhetstjänst samt INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Den som har ansvar för en verksamhet under normala förhållanden ska ha det också under en krissituation. Det betyder att en verksamhet ska kunna ha förmåga att fortsätta utföras även under en kris.162 Ett botnät är ett nätverk av datorer som har infekterats av datavirus och annan skadlig kod. Dessa datorer ansluter till en central styrande nod där de får uppgifter att utföra, till exempel att söka igenom webbsidor efter e-postadresser, skicka ut oönskad skräppost eller i vissa fall utföra överbelastningsattacker mot datasystem, till exempel för en myndighet. Ett botnät kan bestå av tusentals datorer, ofta kallade zombier, spridda över hela världen och med ägare som inte vet om att datorerna är infekterade. har botnät börjat tillhandahållas på kommersiella villkor. Den som vill skicka skräppost i stor skala eller angripa en nätresurs kan hyra ett redan existerande botnät på den svarta marknaden.163 MSB/CERT-SE är nationella IT-säkerhetsincidentsfunktion vars uppgift är att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Funktionen är placerad på MSB inom Verksamheten för samhällets informations- och cybersäkerhet och har till uppgift att agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. MSB/CERT-SE är kontaktpunkt gentemot motsvarande funktioner i andra länder. Fram fanns denna funktion på och benämndes då Sitic.164 164Källa: /CERT-SE 2014. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN E-delegationen är en kommitté under som har i uppdrag att driva på e-utvecklingen inom den offentliga sektorn. Delegationen arbetar med e-förvaltning, sociala medier och vidareutnyttjande av offentlig information. Till exempel initierar och koordinerar man förstudier och projekt som leder till förvaltningsgemensamma tjänster som utgår från privatpersoners och företags behov samt tar fram riktlinjer för och följer upp utvecklingen av myndigheternas arbete med e-förvaltning.165 står för Ledningssystem för informationssäkerhet. Det är en standard framtagen av Internationella standardiseringsorganisationen (ISO), och betecknas enligt Standarden syftar till att förbättra den interna kontrollen av informationssäkerheten, och kan tillämpas på alla typer av organisationer.166 Molntjänster är IT-tjänster som en kund överlåter till en annan aktör att tillhandahålla över internet. Det kan till exempel handla om att laga data, använda serverprogram och säkerhetskopiera data. Utlokaliseringen av IT-tjänsterna – ofta benämnt outsourcing – innebär att kunden delvis förlorar kontrollen över dem. Informationssäkerheten kommer då även att vara beroende av den som tillhandahåller molntjänsterna. Om företaget som tillhandahåller tjänsterna verkar utomlands riskerar dessutom lagstiftningen i och det andra landet att vara oförenliga.167 Alla myndigheter under regeringen är enligt 9 § krisberedskapsförordningen (2006:942) skyldiga att analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet. Myndigheten ska värdera och sammanställa resultatet av arbetet i en risk- och sårbarhetsanalys. Ett antal myndigheter som har ett särskilt ansvar för krisberedskapen enligt förordningen ska redovisa sina respektive risk- och sårbarhetsanalyser till och . Denna redovisning ska innehålla de åtgärder som planeras och en bedömning av behovet av ytterligare åtgärder.168 166Källa: () 2014. 168Källa: Förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen). SAMFI står för Samverkansgruppen för informationssäkerhet, som består av sex myndigheter: Försvarsmakten, , , , (respektive Säkerhetspolisen) samt Myndigheten för samhällsskydd och beredskap. verka för säkra informationstillgångar i samhället avseende förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt genom informationsutbyte och samverkan stödja de medverkande myndigheternas arbete när det gäller samhällets informationssäkerhet. SAMFI:s verksamhet inriktar sig på att genomföra de åtgärdsförslag som finns i den nationella handlingsplanen för samhällets informationssäkerhet. Myndigheten för samhällsskydd och beredskap ansvarar för arbetet i SAMFI.169 (Sitic) var en nationell funktion på med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Sitic fungerade som en rikscentral för IT-incidentrapportering. hör funktionen till MSB, och kallas för CERT-SE.170 Säkerhetsskyddsförordningen (1996:633) föreskriver att myndigheter och andra som förordningen gäller för ska utföra säkerhetsanalyser. En säkerhetsanalys innebär att man undersöker vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Syftet med säkerhetsanalysen är att i en verksamhet identifiera det särskilt skyddsvärda, det vill säga där konsekvenserna av en antagonistisk handling kan få betydelse för rikets säkerhet. form av säkerhetsanalys blir ett säkerhetsskydd ineffektivt. Unikt för säkerhetsanalysen är att den fokuserar på skydd mot antagonistiska hot. TDV står för tekniskt detekterings- och varningssystem. FRA har fått i uppdrag av regeringen att stärka informationssäkerheten i samhället genom ta fram ett förslag på ett TDV-system och en pilotversion av detta. Ett sådant system kan liknas vid ett mer avancerat antivirussystem. Systemet larmar för sådan trafik som utgör en del av ett IT-angrepp. Den trafik som orsakar ett larm kan analyseras för att ta reda på mer om angreppet, vilket sker i enlighet med överenskommelse med den myndighet som drabbats av angreppet. TDV är avsett att utgöra ett förstärkt skydd för de mest 169Källa: MSB. 170Källa: 2014. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN skyddsvärda funktionerna i samhället, och ska vara ett komplement till grundläggande informationssäkerhetsåtgärder.171 171 Källa: . Förteckning över granskade regleringsbrev för 35 myndigheter –2014 INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Metod för sammanställning av myndigheters rapportering om informationssäkerhet i årsredovisningen har gått igenom årsredovisningarna för samma urval av myndigheter, vid sidan av stöd- och tillsynsmyndigheterna, som för genomgången av regleringsbreven för att få en uppfattning om myndigheterna självmant redovisar uppgifter om sin informationssäkerhet.172 Genomgången omfattar årsredovisningar för åren 2009–2013 och utgår från två frågor. Omnämns informationssäkerhet, IT-säkerhet eller datasäkerhet på något sätt i årsredovisningen? Går det utifrån årsredovisningen att bilda sig en uppfattning om status på myndighetens informationssäkerhet?173 Bedömningen av om det går att bilda sig en uppfattning utgår från kravet på att myndigheten ska ha ett ledningssystem för informationssäkerhet. Om en myndighet exempelvis skriver att den har infört ett ledningssystem enligt gällande standard och att myndigheten har certifierat sig eller åtminstone utvärderat att systemet fungerar har vi bedömt att myndigheten har informerat om att den har en tillräcklig informationssäkerhet. Om myndigheten skriver att den inte har infört något ledningssystem eller att man håller på att införa det har vi bedömt att myndigheten har informerat om att informationssäkerheten är otillräcklig. uttryckligen har nämnt ett eventuellt ledningssystem, men det ändå av skrivningarna går att sluta sig till att myndigheten har eller inte har ett system har vi bedömt det på motsvarande sätt. Om en myndighet rapporterat tillräcklig såväl som otillräcklig informationssäkerhet bedöms av ur styrningssynpunkt som likvärdiga. Båda sätten att återrapportera ger regeringen kunskap om läget och ger möjlighet att agera respektive vetskap om att man inte behöver agera. De fall som bedöms som att man inte alls eller endast delvis kan bilda sig en uppfattning är ur styrningssynpunkt mer problematiska. I de fallen bör regeringen efterfråga mer information. 172Se bilaga 2. 173Det finns inget uttryckligt krav för myndigheter eller statliga bolag att rapportera om informationssäkerhet i sin årsredovisning. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Av tabellen ovan framgår att antalet årsredovisningar som på något sätt omnämner begreppen informationssäkerhet, IT-säkerhet eller datasäkerhet pendlar mellan 12 och 18 stycken under dessa år. Myndigheter som inte nämner något om informationssäkerhet är , , , , , i , , , Statens servicecenter och . Det motsvarar lite drygt en fjärdedel av det totala antalet undersökta myndigheter. Går det utifrån årsredovis- ningen att få en uppfatt- Av tabellen ovan framgår att för det stora flertalet myndigheter (i genomsnitt över åren) går det inte att få en uppfattning om informationssäkerheten på myndigheten genom att läsa årsredovisningen. Alla tidigare utgivna rapporter finns tillgängliga på Svensk rymdverksamhet – en strategisk tillgång? Statliga myndigheters skydd mot korruption Staten på elmarknaden – insatser för en fungerande Mer patientperspektiv i vården – är nationella riktlinjer en metod? Ungdomars väg till arbete – individuellt stöd och matchning mot – når förmånerna fram? Energieffektivisering inom industrin – effekter av statens insatser i – effektivt utbyte av medlemsskapet På väg ut i världen – statens främjandeinsatser för export Statens kunskapsspridning till skolan Skattekontroll – en fråga om förtroendet för offentlig förvaltning Landsbygdsprogrammet – från jordbruksstöd till landsbygdsstöd? Sjunde AP-fonden – svarar förvaltningen av premiepensionen mot Kränkt eller diskriminerad i skolan – är det någon skillnad? Statens tillsyn över skolan – bidrar den till förbättrade Ett steg in och en ny start – hur fungerar subventionerade anställningar för nyanlända? Tågförseningar – orsaker, ansvar och åtgärder Klimat för pengarna? Granskningar inom klimatområdet 2009–2013 Statens satsningar på – leder de i rätt Statens hantering av riksintressen – ett hinder för bostadsbyggande Försvarsmaktens förmåga till uthålliga insatser Transparensen i budgetpropositionen – tillämpningen av det Statens insatser för riskkapitalförsörjning – i senaste laget Bostäder för äldre i avfolkningsorter Staten och det civila samhället i integrationsarbetet Effekter av förändrade regler för deltidsarbetslösa Att överklaga till förvaltningsrätten – Handläggningstider och Ekonomiska förutsättningar för en fortsatt omställning av försvaret Försvaret – en utmaning för staten. försvarsområdet 2010–2014 Stödet till anhöriga omsorgsgivare Förvaltningen av regionala projektmedel – delat ansvar, Att tillvarata och utveckla nyanländas kompetens – rätt insats i rätt tid? Livsmedelskontrollen – tar staten sitt ansvar? Att gå i pension – varför så krångligt? Etableringslotsar – fungerar länken mellan individen och Nyanländ i – effektiva insatser för ett snabbt mottagande? – Är finansieringen av bolaget effektiv Det allmänna pensionssystemet – en granskning av granskningen Statens dimensionering av lärarutbildningen – utbildas rätt antal Valuta för biståndspengarna? – valutahantering i det internationella Överenskommelser mellan regeringen och SKL inom hälso- och sjukvården – frivilligt att delta men svårt att tacka nej – effektivitet i exportgarantisystemet? Primärvårdens styrning – efter behov eller efterfrågan? INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN har granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen har inriktats mot den information som samlats in om vilka hot som realiseras samt de skyddsåtgärder som har vidtagits av övriga myndigheter. Granskningen omfattar regeringen och dess stöd- och tillsynsmyndigheter: Säkerhets polisen, Myndigheten för samhällsskydd och beredskap, samt i viss mån . Granskningen visar att arbetet med informationssäkerheten inte är ändamålsenligt sett till de hot och risker som finns. Regeringen har inte någon samlad lägesbild över hoten mot den civila statsförvaltningen, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. Detsamma gäller för regeringens stöd- och tillsynsmyndigheter. lämnar vissa rekommendationer till regeringen och stöd- och tillsyns myndigheterna, som bör kunna bidra till att stärka säkerheten. utöka tillsynen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna av statsförvaltningen se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten införa obligatorisk incidentrapportering för samtliga myndigheter. nybrogatan 55, 114 90