prop · H20384 · 2015-03-19 00:00:00 — Samverkansgruppen syftar till att åstadkomma samverkan mellan de statliga myndigheter som har särskilda uppgifter på informationssäkerhetsområdet. Som stöd för det systematiska informationssäkerhetsarbetet i samhället har MSB tagit fram ett antal vägledande dokument. Ett exempel är vägledningen Att hantera överbelastningsattacker som syftar till att höja kunskapsnivån kring överbelastningsattacker och ge råd om förebyggande åtgärder samt om hur den här typen av incidenter kan hanteras. MSB arbetar också med att omsätta strategier för informationssäkerhet i e-förvaltning respektive i vård och omsorg i handlingsplaner. För att följa upp myndigheternas arbete med informationssäkerhet har MSB genomfört en kartläggning av hur statliga myndigheter tillämpar MSB:s föreskrifter om statliga myndigheters informationssäkerhet och hur de i övrigt arbetar med informationssäkerhet. Rapporten ”En bild av myndigheternas informationssäkerhetsarbete 2014” är det första steget i myndighetens arbete med att se över föreskrifterna. Målet är att uppdaterade föreskrifter ska kunna träda i kraft . Myndigheten arbetar också nationellt och internationellt med att stärka skyddet avseende industriella informations- och styrsystem som bl.a. styr vatten- och elförsörjning och transporter. Säkerhetspolisen har mandat att kontrollera säkerhetsskyddet hos kommuner och landsting samt övriga myndigheter som inte svarar under Försvarsdepartementet. Tillsynsansvaret innebär att Säkerhetspolisen kontrollerar att myndigheterna följer de lagar och andra regler som finns 2014/15:84 samt att deras skydd är tillräckligt utifrån den verksamhet de bedriver. Kontrollerna görs i form av besök vid myndigheterna. Säkerhetspolisen och Försvarsmakten har båda rätt att inom sina ansvarsområden meddela föreskrifter om det faktiska utförandet av bestämmelserna i säkerhetsskyddslagen. Säkerhetspolisen har systematiskt arbetat med att förbättra såväl det strategiska som det taktiska arbetet med tillsyn och rådgivning avseende informationssäkerhet för särskilt skyddsvärda verksamheter. På den strategiska nivån består detta förbättringsarbete framför allt av framtagandet av en skyddsvärdesdatabas som av Säkerhetspolisen används för inriktning och operativa prioriteringar av Säkerhetspolisens informationssäkerhetsaktiviteter hos skyddsvärda verksamheter. Det innebär att Säkerhetspolisens arbete strukturerat inriktas mot det mest skyddsvärda i samhället. När det gäller det taktiska arbetet har förbättringar skett inom ett flertal områden. Tillsynsprocessen har förbättrats så att kvaliteten i arbetet med de skyddsvärda verksamheterna är mycket högre än . Metoder och tekniska resurser för att bedöma informationssäkerheten hos skyddsvärda verksamheter har också kontinuerligt och systematiskt förbättrats. Detta innebär alltså att Säkerhetspolisen har metoder, processer och resurser att systematiskt bedriva tillsyn av och ge rådgivning till de mest skyddsvärda verksamheterna avseende deras informationssäkerhet. Säkerhetspolisen har vidare i uppdrag att incidenthantera elektroniska angrepp riktade mot skyddsvärda verksamheter. har Säkerhetspolisen utvecklat sina förutsättningar för och förmågan att hantera dessa angrepp på ett effektivt sätt. Förbättringarna har till stora delar skett i samverkan med andra myndigheter. Säkerhetspolisen får nu bättre information om vilka sårbarheter som angripare ofta utnyttjar. Denna kunskap används sedan av Säkerhetspolisen i tillsyns- och rådgivningsarbetet hos skyddsvärda verksamheter. Tillsammans med FRA och den militära underrättelse- och säkerhetstjänsten har Säkerhetspolisen tagit initiativ till inrättandet av samverkansforumet Nationell samverkan till skydd mot allvarliga it-hot. Inom ramen för denna samverkan har ett antal delprojekt genomförts och kommer att genomföras som syftar till att ta fram metoder och underlag som stöd för en effektiv incidenthantering. fattade polisen beslutet att inrätta ett Nationellt itbrottscentrum (Swedish Cyber Crime Center, SC3). Säkerhetspolisen deltog i framtagandet av konceptet för SC3 och kommer också att permanent finnas representerad i centret. Säkerhetspolisen bedömer att incidenthanteringsarbetet vid detta centrum kommer att generera värdefull information som kan omsättas av Säkerhetspolisen i det förebyggande arbetet. Säkerhetspolisen har därutöver intensifierat sitt arbete med att förbättra den internationella samverkan mellan säkerhetstjänster i rörande utbyte av information om elektroniska angrepp. FRA har till uppgift att bedriva signalspaning. Myndigheten ska särskilt följa förändringen av signalmiljön i omvärlden samt den tekniska utvecklingen och signalskyddet, fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten och utföra matematiska bedömningar av kryptosystem för totalförsvaret. FRA ska också stöjda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem. FRA ska ha hög teknisk kompetens inom informationssäkerhetsområdet. Myndigheten får efter begäran stödja sådana statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. FRA ska särskilt kunna stödja insatser vid nationella kriser med it-inslag, medverka till identifieringen av inblandade aktörer vid it-relaterade hot mot samhällsviktiga system, genomföra itsäkerhetsanalyser, och ge annat tekniskt stöd. Myndigheten ska samverka med andra organisationer inom informationssäkerhetsområdet såväl inom som utom landet. Bland myndighetens tjänster ingår it-säkerhetsanalysers.k. aktiv itkontroll, stöd vid kvalificerade it-incidenter, forensisk analys, teknisk rådgivning och utbildning i it-säkerhet. Vid it-säkerhetsanalyseraktiv itkontroll kontrolleras sårbarheter i uppdragsgivarens it-system och en bild ges av vilka brister som behöver åtgärdas. Vid myndigheten finns en forsknings- och utvecklingsenhet med uppgift att metodiskt upptäcka och analysera sårbarheter i informationsmiljöer. FRA tillhandahåller av Försvarsmakten godkända kryptografiska funktioner till civila myndigheter som gör det möjligt att elektroniskt utbyta sekretessbelagd information. Användarstöd i form av service och support lämnas dygnet runt. FRA fick i uppdrag av regeringen att lämna ett förslag på hur ett tekniskt detekterings- och varningssystem (TDV) för samhällsviktig verksamhet och kritisk infrastruktur kan utformas och införas (Fö2010/703/SSK). Uppdraget redovisades i en rapport . FRA fick (Fö2011/1681/SSK) i uppdrag av regeringen att komma in med ett kompletterande underlag avseende det föreslagna systemet och att utarbeta en pilotversion av detta. FRA föreslog i rapporten bl.a. att det föreslagna TDV-systemet med varnande och skyddande sensorer bör placeras hos särskilt skyddsvärd verksamhet med behov av ett förstärkt skydd mot itangrepp från kvalificerade aktörer. Pilotverksamheten visade att det tekniska konceptet med varnande sensorer fungerade, medan systemet med skyddande sensorer behövde vidareutvecklas genom ytterligare försöksverksamhet. Förslagen om TDV-verksamhet bereds i . Regeringens åtgärder med anledning av Informationssäkerhet är en angelägen fråga för regeringen. kan konstateras att informationssäkerhet inte är en fråga som kan ses isolerad och som enbart några särskilt utpekade myndigheter behöver Alla myndigheter och organ som hanterar känslig information behöver, i enlighet med ansvarsprincipen, arbeta aktivt med att skydda sin information. Det rör både sådan information som är känslig ur ett integritetsperspektiv och sådan som behöver skyddas ur ett En viktig fråga är att öka medvetenheten om Här har bl.a. MSB ett viktigt uppdrag. När det gäller de myndigheter som har ett särskilt ansvar för informationssäkerhet är det viktigt att fördelningen av ansvar och roller så långt det är möjligt är tydlig. ligger det i sakens natur att berörda myndigheters ansvar i vissa fall överlappar varandra. bakgrunden är det av stor vikt att myndigheterna samverkar. välkomnar därmed de samverkansforum som har inrättats på området, Samverkansgruppen för informationssäkerhet och Nationell samverkan till skydd mot allvarliga it-incidenter. Som framgår av finns det ett antal områden där hanteringen av informationssäkerhet i den civila statsförvaltningen kan utvecklas. Regeringen tagit emot betänkandet Informations- och cybersäkerhet i – strategi och åtgärder för säker information i staten (SOU 2015:23). Utredningen har bl.a. föreslagit en ny strategi för informationssäkerhet samt pekat på vikten av att inrätta ett statligt myndighetsråd för informations- och cybersäkerhet och att förstärka tillsynen över den statliga sektorns informations- och cybersäkerhet. Regeringen kommer också att ta emot Utredningen om säkerhetsskyddslagens förslag om hur säkerhetsskyddsregleringen bör reformeras. Dessa två betänkanden är viktiga underlag för regeringens fortsatta inriktning på området. Regeringen avser också att tillsätta en utredning med uppdrag att utreda hur NIS-direktivet kan genomföras i svensk rätt. Syftet med direktivet är just att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen. En viktig del i detta är att genomföra ett system för incidentrapportering. Parallellt med detta pågår arbete för att skapa förutsättningar för ett nationellt system för incidentrapportering. En central faktor för all form av incidentrapportering och hantering av incidenter och attacker är förmågan att veta att man är utsatt för en incident eller attack. Arbetet kommer att intensifieras när det gäller att skapa förutsättningar för att myndigheter och andra berörda aktörer som bedriver särskilt skyddsvärd verksamhet ska kunna erbjudas att delta i ett nationellt tekniskt detekterings- och varningssystem (TDV). I syfte att höja medvetenheten om vikten av informationssäkerhet och för att skapa en bild av läget hos berörda myndigheter har regeringen i respektive myndighets regleringsbrev beslutat att myndigheter som har ett särskilt ansvar för krisberedskap och höjd beredskap särskilt ska redovisa sitt arbete med informationssäkerhet. I samma syfte har regeringen också beslutat att MSB ska genomföra en undersökning av hur kommuner arbetar med informationssäkerhet. Dessa båda uppdrag kommer att bidra till att förbättra regeringens kunskap på området och därmed skapa förutsättningar för ett ändamålsenligt arbete med att stärka samhällets informationssäkerhet. Det har även inletts ett arbete som syftar till att öka regeringens kunskap om säkerhetsläget inom de mest skyddsvärda delarna av statsförvaltningen. Sammanfattningsvis har regeringen vidtagit flera åtgärder på informationssäkerhetsområdet i syfte att förbättra samhällets beredskap och robusthet mot allvarliga it-incidenter. Regeringen avser att även fortsättningsvis prioritera arbetet. Regeringen anser att är slutbehandlad i och med skrivelsen. Utdrag ur protokoll vid regeringssammanträde Närvarande: Statsministern , ordförande, och statsråden Å Romson, Y , I Baylan, S-E Bucht, P , H Hellmark , M , A , P , M , M , A Bah Kuhnke, A Strandhäll, A Shekarabi, G , G , A Hadzialic Regeringen beslutar skrivelse om informationssäkerhet i den civila statsförvaltningen Informationssäkerheten i den civila är en myndighet under med uppgift att granska den verksamhet som bedrivs av staten. Vårt uppdrag är att genom oberoende revision skapa demokratisk insyn, medverka till god resursanvändning och effektiv förvaltning i staten. bedriver både årlig revision och effektivitetsrevision. Denna rapport har tagits fram inom effektivitetsrevisionen, vars uppgift är att granska hur effektiv den statliga verksamheten är. Effektivitetsgranskningar rapporteras direkt till . isbn 978 91 7086 361 5 rir 2014:23 tryck: interntryckeri, 2014 i den civila statsförvaltningen INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Härmed överlämnas enligt 9 § lagen (2002:1022) om revision av statlig verksamhet m.m. följande granskningsrapport över effektivitetsrevision: Informationssäkerheten i den civila statsförvaltningen har granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen avser regeringen och dess stöd- och tillsynsmyndigheter för informationssäkerhet. Resultatet av granskningen redovisas i denna granskningsrapport. Företrädare för Säkerhetspolisen, Datainspektionen, Myndigheten för samhällsskydd och beredskap, , samt har fått tillfälle att faktagranska och i övrigt lämna synpunkter på utkast till slutrapport. Rapporten innehåller slutsatser och rekommendationer som avser , Myndigheten för samhällsskydd och beredskap, samt Säkerhetspolisen. Riksrevisor har beslutat i detta ärende. Per Dackenberg har varit föredragande. Revisionsdirektörerna har medverkat vid den slutliga handläggningen , , Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap, , samt Datainspektionen INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vad händer egentligen när informationssäkerheten brister? Reglering, stöd och tillsyn Systematiskt informationssäkerhetsarbete och stödfunktioner Övriga regler och aktörer tidigare iakttagelser av brister i regelverket Vilken information har kommit regeringen till känna? Vilken bild har MSB och vad har myndigheten rapporterat till regeringen? Vilken bild har FRA och vad har myndigheten rapporterat till regeringen? Vilken bild har Säkerhetspolisen och vad har myndigheten rapporterat till regeringen? Vilken bild har Datainspektionen och vad har myndigheten rapporterat till regeringen? Övriga myndigheternas rapportering i årsredovisningen Rapportering från utredningar m.m. E-delegationens uppföljning av myndigheternas samlade arbete INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Vilka åtgärder har regeringen vidtagit för att Övriga propositioner av relevans Strategier, agendor och handlingsplaner organisation för att hantera informationssäkerhet Förteckning över granskade regleringsbrev för 35 myndigheter –2014 Metod för sammanställning av myndigheters rapportering om Till rapporten finns även två elektroniska underlag som kan laddas ner från . Underlag 1 Några myndigheters rapportering om informationssäkerhet Underlag 2 Direktiv till två pågående utredningar Vi lever i ett samhälle där större mängder information än bearbetas, lagras, kommuniceras och mångfaldigas. Det finns stora möjligheter och fördelar med en ökad informationsanvändning. innebär den ökande utvecklingen av IT att samhället öppnas upp för stora risker som vi sannolikt inte är medvetna om . Brister i hanteringen och säkerheten för informationen riskerar att få omfattande konsekvenser, såväl för samhället i stort som för enskilda. Brister kan också leda till ett försämrat förtroende för offentliga och privata aktörer som tillhandahåller viktiga tjänster. Informationssäkerhet omfattar därigenom hela samhället och är en angelägenhet för alla. Denna granskning tar sin utgångspunkt i den allt mer ökande användningen av information i samhället och i statsförvaltningen samt utifrån de brister som konstaterades genom tidigare granskningar av informationssäkerhet. granskade –2007 elva myndigheter och deras arbete med informationssäkerhet. För sex av dessa myndigheter gjordes en djupare granskning. Denna serie av granskningar avslutades med en granskning som avsåg regeringens styrning av myndigheternas informationssäkerhetsarbete. samlade bedömning var att det fanns brister i myndigheternas arbete med informationssäkerhet och att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för statsförvaltningens arbete med informationssäkerhet. Denna granskning har syftat till att utreda om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot. Granskningen omfattar således varken styrningen av eller nivån på informationssäkerhet i samhället i stort. I granskningen har vi inriktat oss på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. Granskningen syftar också till att bedöma om INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN regeringen och ansvariga myndigheter för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheter inom den civila statsförvaltningen. Granskningen svarar på två frågor: Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräckliga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Hur enskilda myndigheter arbetar med informationssäkerhet ingår inte i granskningen. Inte heller har granskningen sökt bevisa omfattningen av specifika brister i informationssäkerheten. Granskningen avser regeringen (via Försvarsdepartementet, , och ) samt stöd- och tillsynsmyndigheterna Myndigheten för samhällsskydd och beredskap (MSB), (), Säkerhetspolisen och (). Granskningen avser den civila delen av statsförvaltningen och omfattar därför inte hur Försvarsmakten bedriver arbetet med informationssäkerhet inom sitt verksamhetsområde. samlade slutsats av denna granskning är att arbetet med informationssäkerheten inte är ändamålsenligt, sett till de hot och risker som finns. Den tekniska utvecklingen har accelererat och de risker en organisation ökar och kan förväntas fortsätta öka framöver. Som framgår av underlag i granskningen har vissa av riskerna förverkligats, och konsekvenserna har varit allvarliga. Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerheten är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser som kan bli följden. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom exempelvis kompetensbrist, upphandling, tillsyn/ uppföljning/återrapportering samt styrning/omreglering/samordning. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Konsekvenserna spänner från att det kan drabba hela samhällsfunktioner till att drabba enskilda. Granskningen har visat på omfattande brister i statsförvaltningen. Av underlaget till granskningen framgår att av myndigheterna som själva administrerar sina IT-system uppger att de har en informationssäkerhetspolicy. framgår att av myndigheterna bedömer att kompetens, mandat eller resurser är otillräckliga för att utföra informationssäkerhetsarbetet på ett tillfredsställande sätt. Vidare uppger av myndigheterna att det saknas regler för vad en riskanalys, som ska göras i ett systematiskt informationssäkerhetsarbete, ska omfatta eller när den ska ske. Slutligen uppger av myndigheterna att de saknar en kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. Regeringen har inte någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. En sådan lägesbild har inte heller någon av regeringens stöd- och tillsynsmyndigheter. Det innebär att den samlade förmågan att kunna hantera de konsekvenser som kan bli följden av en allvarlig incident till stora delar är okänd. Av det skälet är det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går att få en samlad bild av läget och utifrån detta anpassar kraven på säkerheten till de behov som finns. granskning har visat att regeringen inte utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen och regeringens stöd- och tillsynsmyndigheter endast delvis har vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. drar denna slutsats mot följande bakgrund. har som ett led i granskningen uppdragit åt MSB, FRA och Säkerhetspolisen att analysera uppgifter om läget för informationssäkerheten i statsförvaltningen. Redovisningen av dessa uppdrag innebär väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekar dessutom entydigt i samma riktning. Regelsystemet för informationssäkerhet ser i huvudsak likadant ut som det gjorde 2007 när senast granskade området. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i regeringens styrning. Ett tydligt och väl anpassat regelverk är en förutsättning för att uppnå effektivitet i arbetet med informationssäkerhet. drar därför slutsatsen att det regelverk som styr myndigheternas arbete med informationssäkerhet bättre kan behöva anpassas till olika typer av statlig verksamhet för att kunna nå önskvärda mål. Det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns inte en samlad riskvärdering; i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. Om det hade funnits en samlad lägesbild hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. Inträffade händelser (se kapitel 2) har visat att kostnaderna kan bli betydande, dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader och minskat förtroende för statsförvaltningen. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt; de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven av säker informationshantering. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Om så vore fallet skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. Granskningen har visat ett betydande kunskapsunderskott när det gäller läget för informationssäkerheten i statsförvaltningen. Den tillsyn som sker täcker i stort sett endast den mest skyddsvärda verksamheten – merparten av den civila statsförvaltningen lämnas utan tillsyn. Åtgärder vidtas inte alltid efter genomförda inspektioner. Det saknas också en systematisk och obligatorisk rapportering av incidenter. Allt detta leder till att det blir omöjligt att fånga den verkliga bilden av tillståndet för informationssäkerheten. Därav följer att det inte finns tillräckligt beslutsunderlag för att vidta nödvändiga åtgärder för att möta hoten och riskerna.