prop · H20384 · 2015-03-19 00:00:00 — Begreppen informationssäkerhet, IT-säkerhet eller datasäkerhet nämns dock inte i något av dessa regleringsbrev. Andelen regleringsbrev som inte innehåller något krav alls att rapportera om myndighetens informationssäkerhet varierar mellan för de åren som har undersökts. Av genomgången framgår även att regeringen inte har ställt några krav på att myndigheterna ska uppnå en viss nivå av informationssäkerhet. Regeringen ställer dock i några fall krav på enskilda system eller viss specifik hantering. Undersökningen visar att det är Kriminalvården, , Länsstyrelserna och SCB som har den mest omfattande styrningen av IT genom regleringsbrev. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN har gått igenom budgetpropositionerna i syfte att undersöka i vad mån dessa tar upp frågor om informationssäkerhet. Informationssäkerhet behandlas nästan uteslutande under utgiftsområde 6 Försvar och samhällets krisberedskap samt under utgiftsområde 22 Kommunikationer. Informationssäkerhet berörs även i begränsad omfattning under utgiftsområdena 4, 5, 9 och 14. Regeringens skrivningar om inriktningen för samhällets informationssäkerhet följer i stora drag samma linje –2014. I budgetpropositionen konstaterar regeringen att ett ändamålsenligt arbete med informationssäkerhet är av central betydelse för samhällsutvecklingen.127 Regeringen betonar att det är väsentligt att integrera informationssäkerhetsfrågorna och se dem som en naturlig del i bedömningen av samhällets förmåga, i arbetet med risk- och sårbarhetsanalyser.128 I jämförelse med ansvarsprincipen uttrycker regeringen att det finns ett behov att samla resurserna för att skapa goda förutsättningar för att förebygga IT-incidenter såväl som för att hantera dem när de inträffar. Regeringen anser även att rapporteringen av IT-incidenter behöver förbättras.129 MSB pekas ut som den centrala aktören i det breda arbetet med informationssäkerheten i samhället, som kontinuerligt ska analysera och bedöma omvärldsutvecklingen avseende hot, sårbarheter och risker samt konsekvenser för viktiga funktioner i samhället.130 I budgetpropositionen anges betydelsen av att anpassa skyddsåtgärder till hot och risker. Detta förutsätter dock enligt regeringen kännedom om hur många incidenter som inträffar och omfattningen av Sådan kunskap förstärker möjligheten till ett samlat agerande vid IT- incidenter där konsekvenserna bedöms bli omfattande. En obligatorisk IT- incidentrapportering kan enligt regeringen vara en del av det arbetet.131 Betydelsen av informationssäkerhet, särskilt som en del i samhällets krisberedskap, betonas i samtliga budgetpropositioner. Detsamma gäller för stärkt samordning och samverkan för att driva informationssäkerhetsarbetet framåt. I budgetpropositionen återkommer regeringen till frågan om betydelsen av tillgång till kunskap om hur läget är. Regeringens bedömning är att information om det aktuella läget vid en allvarlig händelse är en förutsättning för att de inblandade aktörerna ska få en ömsesidig förståelse 2009/10:1, UO 6, s. 78. 2009/10:1, UO 6, s. 78. 2009/10:1, UO 6, s. 78. 2010/11:1, UO 6, s. 83. 2011/12:1, UO 6, s. 91. för situationen och därmed kunna vidta samordnade åtgärder. Ett system för obligatorisk IT-incidentrapportering kan enligt regeringen bidra till detta. Regeringen ansåg också att ett tekniskt detekterings- och varningssystem (TDV) borde genomföras succesivt inom ramen för FRA:s verksamhet i syfte att stärka skyddet för samhällsviktig verksamhet.132 Regeringens syn på risk- och sårbarhetsanalyser Risk- och sårbarhetsanalyser samt förmågebedömningar utgör enligt regeringen viktiga underlag för att möjliggöra en effektiv uppföljning, styrning och inriktning av den sammantagna krisberedskapen i samhället.133 Ett återkommande krav från regeringen i budgetpropositionerna är att kvaliteten på inlämnade analyser och bedömningar behöver höjas. Arbetet med risk- och sårbarhetsanalyser bör enligt regeringen bedrivas samordnat med riskanalyser som regleras i annan författning.134 Regeringen efterlyser också metodstöd till aktörerna i hela den process som arbetet med risk- och sårbarhetsanalyser och förmågebedömningar innebär.135 Kvalitetshöjningar av analyserna tillsammans med ett fullgott metodstöd bör enligt regeringen innebära ett mer enhetligt arbetssätt som i sin tur också möjliggör jämförbarhet mellan aktörer och en samlad bild av vilka sårbarheter och risker som finns.136 I budgetpropositionen skriver regeringen att myndigheterna i större utsträckning bör tydliggöra prioriterade och planerade åtgärder utifrån identifierade risker.137 Tanken återkommer i budgetpropositionen där regeringen skriver att arbetet med risk- och sårbarhetsanalyser i högre grad bör fokusera på att följa upp om tidigare identifierade brister har åtgärdats.138 Regeringen anser även att planering för att utveckla och upprätthålla en god krisberedskap bör utgöra en integrerad del av verksamhetsplaneringen hos myndigheter, kommuner och landsting.139 2012/13:1, UO 6, s. 99. 2010/11:1, UO 6, s. 16 f. 2010/11:1, UO 6, s. 73. 2010/11:1, UO 6, s. 74. 2010/11:1, UO 6, s. 73. 2011/12:1, UO 6, s. 79. 2013/14:1, UO 6, s. 93. 2013/14:1, UO 6, s. 93. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN 5.5Övriga propositioner av relevans har gått igenom 33 propositioner /2008 och framåt som vid en första anblick kan tänkas vara av relevans för styrning av informationssäkerheten i statsförvaltningen. I fyra av dessa 33 propositioner finns skrivningar som är intressanta ur ett övergripande informationssäkerhetsperspektiv. I propositionen om behandling av personuppgifter inom studiestödsområdet uttalar regeringen att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation med medborgarna bör bygga på internet.140 I ett remissvar på den utredning som legat till grund för propositionen om utökat elektroniskt informationsutbyte yttrade med hänvisning till sin tidigare granskning av informationssäkerhet141 att formerna, metoderna och takten för ett utökat elektroniskt informationsutbyte borde övervägas noga. Skälet till det var de brister i informationssäkerhet som upptäckt i denna granskning. Regeringen uttalade dock att en god informationssäkerhet är ett ständigt pågående utvecklingsarbete, och att de problem påtalat i stället fortlöpande får tas om hand i annan ordning och att de inte utgör ett hinder för att genomföra ett utökat elektroniskt informationsutbyte. Regeringen framhöll också att det redan finns kontrollfunktioner för att råda bot på brister i informationssäkerheten, till exempel intern styrning och kontroll som granskas av såväl extern revision som i förekommande fall intern revision. Dessutom ska myndighetens ledning i anslutning till undertecknandet av årsredovisningen bedöma huruvida den interna styrningen och kontrollen är betryggande.142 I propositionen om stärkt krisberedskap, som utgör grund för regeringens inriktning av krisberedskapsarbetet /2008 och framåt, framgår målsättningar och inriktning för bland annat informationssäkerhet på en övergripande nivå. Regeringen slår fast att ansvarsprincipen även fortsättningsvis bör vara utgångspunkt för arbetet med krisberedskap, men att ett större fokus bör ligga på det tvärsektoriella perspektivet.143 Regeringens uppgift är att ansvara för den övergripande samordningen, prioriteringen och inriktningen av samhällets krisberedskap medan ansvaret för operativa åtgärder av nationell karaktär ligger på central myndighetsnivå.144 Att styra samhällets krisberedskap är en process som bygger på omvärldsanalys, forskning samt risk- och sårbarhetsanalyser. Utifrån dessa delar i processen 2008/09:96, Behandling av personuppgifter inom studiestödsområdet, s. 64. 141Riksrevisionen: Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen s(RiR 2007:10). 2007/08:160, Utökat elektroniskt informationsutbyte, s. 64 f. 2007/08:92, Stärkt krisberedskap – för säkerhets skull, s. 7 f. 2007/08:92, s. 14. kan krisberedskapsarbetet inriktas och mål och förmågekrav anges, och med detta som utgångspunkt kan krisberedskapsarbetet följas upp och utvärderas. Denna process bör förstärkas och utvecklas så att regeringen får ett tydligt beslutsunderlag och en samlad bedömning av samhällets förmåga att motstå och hantera kriser.145 Betydelsen av analyserna som underlag innebär enligt regeringen att det är viktigt att de håller en god kvalitet och är jämförbara och enhetliga.146 Regeringen uttalade också att det vid tillfället utöver säkerhetsskyddslagstiftningen fanns få krav på hur myndigheterna ska hantera den tekniska säkerheten i sina IT-system, varför MSB bör få utfärda generella föreskrifter om ledningssystem för informationssäkerhet ().147 I propositionen om lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling redovisar regeringen utvecklingen av Regeringen pekar på risk- och sårbarhetsanalysernas betydelse och efterlyser en högre grad av samordning av arbetet med risk- och sårbarhetsanalyser på lokal, regional och nationell nivå. Myndigheterna bör förtydliga och utveckla redovisningen av vidtagna åtgärder och uppnådd förmåga. Dessutom bör mer arbete läggas på att följa upp på vilket sätt tidigare brister har åtgärdats.148 Vidare delar regeringen uppfattning att det är nödvändigt att förbättra informationssäkerheten och robustheten i infrastruktur för att minska sårbarheten i samhällsviktig verksamhet.149 Regeringen uttalar sig också om vikten av funktioner för samverkan och samordning inom och mellan samhällssektorer och ansvarsområden samt en tydlig nationell strategi med bred förankring i samhället.150 5.6Strategier, agendor och handlingsplaner Regeringen, och dess myndigheter på uppdrag av regeringen, har tagit fram ett antal strategier, agendor och handlingsplaner som berör informationssäkerhet.151 Vi redogör här kortfattat för några av dessa som är mest relevanta för informationssäkerheten. 2007/08:92, s. 39. 2007/08:92, s. 40. 2007/08:92, s. 36 f. 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling, s. 31. 2013/14:144, s. 25. 2013/14:144, s. 51. 151MSB: Strategi för samhällets informationssäkerhet 2010–2015, Samhällets informationssäkerhet – nationell handlingsplan , Strategi för informationssäkerhet i e-förvaltning (dnr 2012-3430), Ett fungerande samhälle i en föränderlig värld – nationell strategi för skydd av samhällsviktig verksamhet (2011) samt Handlingsplan för skydd av samhällsviktig verksamhet (2013). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Strategi och handlingsplan för samhällets informationssäkerhet Syftet med strategin för samhällets informationssäkerhet är att ange långsiktiga målsättningar, färdriktningar och arbetssätt för informationssäkerhet i hela samhället. Strategin gäller för åren 2010–2015. För att konkretisera strategin har MSB tillsammans med övriga SAMFI- myndigheter152 tagit fram en handlingsplan. Planen är ett verktyg för myndigheterna i att ta fram prioriterade åtgärder, och ska också ses som en efterföljare till den handlingsplan som publicerades av () på uppdrag av regeringen. åtgärder som anges i handlingsplanen är kopplade till fem strategiska områden som anges i strategin för samhällets informationssäkerhet.153 Handlingsplanen omfattar totalt 27 stycken aktiviteter. Exempel på mål och åtgärder i handlingsplanen är: Mål: Att samtliga myndigheter och andra som säkerhetsskyddsförordningen omfattar har fått information om skyldigheten att undersöka vilken verksamhet som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skydd mot terrorism. Åtgärder: Samtliga myndigheter ska ges särskild information om gällande skyldighet att genomföra säkerhetsanalyser enligt säkerhetsskyddsförordningen, samt om kopplingen till riskhantering med utgångspunkt i MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10). Mål: Det ska finnas en generisk modell för kontinuitetsplanering med väldefinierade begrepp som går att anpassa till olika verksamheters behov. Åtgärder: En analys genomförs som beskriver dels behoven av kontinuitetsplanering ur informationssäkerhetssynpunkt, dels hur området relaterar till exempelvis krisberedskap och samordning vid Därefter utarbetas förslag på generiska metoder för kontinuitetsplanering ur denna aspekt som också går att synkronisera med en organisations övergripande kontinuitetsplanering. Mål: Tillgängliga och skyddade kommunikationsinfrastrukturer för offentlig sektor. Åtgärder: Fortsatt arbete med tillgängliga och skyddade kommunikationsinfrastrukturer för offentlig sektor. 152Samverkansgruppen för informationssäkerhet (SAMFI). I SAMFI samarbetar de flesta myndigheter som av regeringen fått ett särskilt utpekat ansvar för olika aspekter av informationssäkerhet i samhället. Följande myndigheter samverkar inom SAMFI: Myndigheten för samhällsskydd och beredskap (MSB), (), (), Säkerhetspolisen, (), (), Certifieringsorgan för IT-säkerhet (CSEC) samt Försvarsmaktens militära underrättelse- och säkerhetstjänst (MUST). 153Informationssäkerhet i verksamheter, kompetensförsörjning, informationsdelning, samverkan och respons, kommunikationssäkerhet och säkerhet i produkter och system. Enligt MSB kommer större delen av åtgärderna i handlingsplanen att vara genomförda vid periodens slut.154 Strategi för informationssäkerhet i e-förvaltning E-delegationen har med anledning av sitt uppdrag från regeringen tagit fram en strategi för informationssäkerhet i e-förvaltning. I inledningen till strategin anges att trots informationssäkerhetens betydelse som framgångsfaktor för svensk e-förvaltning finns det ännu inte etablerade former för hur säkerhetsarbetet ska bedrivas i de e-förvaltningstjänster som alltmer tar form. Ett gemensamt säkerhetsarbete är därför nödvändigt och i detta arbete bör tyngdpunkten ligga på ledning, styrning och analys. En tydlig styrning ger också underlag för att välja rätt tekniska åtgärder. De strategiska mål som anges är följande. Den enskilde känner tillit till att informationshantering i myndigheters, landstings och kommuners e-tjänster sker på ett sådant sätt att personlig integritet förenas med hög tillgänglighet, spårbarhet och riktighet. All informationshantering i e-förvaltning sker med de säkerhetsåtgärder som definieras utifrån risk- och sårbarhetsanalys samt informationsklassning. En god säkerhetskultur och gemensamt regelverk finns så att information behandlas med samma krav på säkerhet oavsett vilken myndighet, vilket landsting eller vilken kommun som tillhandahåller eller använder en e-tjänst. Tydlig ansvarsmodell för styrning och uppföljning av informationssäkerhet inom e-förvaltning är etablerad på nationell nivå. Samhällsviktiga funktioner som stöds av e-tjänster upprätthålls även i krisläge. Detta förutsätter väl utvecklade metoder för kontinuitetsplanering. Processer finns inom e-förvaltningsarbetet för att skapa en nationell informationssäkerhetsrelaterad lägesbild. Informationssäkerhet i enlighet med informationens krav på skyddsnivå upprätthålls även då information kommuniceras till och från enskilda. IT i människans tjänst – en digital agenda för Med utgångspunkt från målet för IT-politiken har regeringen beslutat om en digital agenda. Agendan pekar ut behov av insatser inom fyra strategiska områden med utgångspunkt i användarens perspektiv. Dessa är att det ska vara lätt och säkert att använda IT-tjänster och att de skapar nytta, att det behövs infrastruktur samt IT:s roll för samhällsutvecklingen. För att nå det övergripande målet krävs enligt regeringen att utvecklingen inom alla områden kontinuerligt följs upp och 154 Intervju på MSB . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Då det inte finns någon statlig myndighet som ensam ansvarar för de IT-politiska frågorna har därför regeringen tillsatt Digitaliseringskommissionen.155 Kommissionen har avlämnat två betänkanden.156 Strategi och handlingsplan för skydd av samhällsviktig verksamhet Strategin för skydd av samhällsviktig verksamhet syftar till att skapa en förbättrad förmåga att motstå och återhämta sig från allvarliga störningar i samhällsviktig verksamhet. Syftet med strategin är också att skapa förutsättningar för att samhället ska fortsätta fungera på en acceptabel nivå vid allvarliga händelser och störningar.157 Målet med handlingsplanen är att konkretisera strategin genom att initiera åtgärder och aktiviteter för att skapa förutsättningar för att all samhällsviktig verksamhet har integrerat ett systematiskt säkerhetsarbete i sin verksamhet på lokal, regional och nationell nivå . Handlingsplanen är uppdelad i två delar: åtgärder för kunskapsutveckling samt aktiviteter för implementering av ett systematiskt säkerhetsarbete.158 Åtgärdsdelen för kunskapsutveckling får, genom grunder och regelverk, forskning, utbildning och övning, störst betydelse i början då det finns ett behov av att öka kunskapen om samhällsviktig verksamhet. Arbetet kommer att ske inom ramen för MSB:s ordinarie verksamhet och i samverkan med berörda aktörer. Aktivitetsdelen för implementering av ett systematiskt säkerhetsarbete bygger på att MSB tillsammans med berörda aktörer skapar de förutsättningar och det stöd som behövs för att ägare och verksamhetsutövare av samhällsviktig verksamhet ska kunna nå målet . I handlingsplanen nämns att ett systematiskt informationssäkerhetsarbete i hela samhället är viktigt för att skydda samhällsviktig verksamhet. 5.7Regeringskansliets organisation för att hantera informationssäkerhet är den myndighet under regeringen som förbereder regeringens ärenden och i övrigt är regeringen behjälplig. I har varje fackdepartement på regeringens vägnar ansvar för att följa upp sina respektive myndigheters informationssäkerhetsarbete. I praktiken innebär det att varje myndighetshandläggare hanterar frågor som handlar om myndighetens informationssäkerhet. 155Regeringskansliet: IT i människans tjänst – en digital agenda för , s. 18. 156En digital agenda i människans tjänst – en ljusnande framtid kan bli vår (SOU 2014:13) samt digitala ekosystem, dess aktörer och drivkrafter (SOU 2013:31). 157MSB: Ett fungerande samhälle i en föränderlig värld – Nationell strategi för skydd av samhällsviktig verksamhet, 2011. 158MSB: Handlingsplan för skydd av samhällsviktig verksamhet, . att myndighetshandläggaren får signaler om att det finns behov av att uppmärksamma informationssäkerhetsarbetet. Sådana signaler kan vara IT- incidenter vid myndigheten, uppmärksamhet i massmedier eller att frågan om informationssäkerhet väcks inom . Hur frågor som berör informationssäkerhet fördelas mellan departementen avgörs tydligast av den ansvarsfördelning som är fastställd i en bilaga till instruktion.159 Beroende på vad informationssäkerhetsfrågan handlar om styrs den till det departement som huvudsakligen berörs. Ett ärende som rör flera departements verksamhetsområden ska handläggas inom det departement till vilket det huvudsakligen tillhör och beredas i samråd med övriga berörda statsråd (gemensam beredning).160 Inget departement har egentligen ansvar för att ta fram en samlad och aktuell bild av läget för informationssäkerheten i statsförvaltningen. Däremot finns det ett uttalat samordningsansvar för vissa specifika informationssäkerhetsfrågor. Exempelvis är samordningsansvarigt för frågor som rör elektronisk kommunikation. å sin sida är ansvarigt för frågor som rör intern styrning och kontroll, men inte för intern styrning och kontroll inom specifika tillämpningsområden såsom informationssäkerhet. Det finns inom ingen funktion eller formellt nätverk som enbart ansvarar för informationssäkerhetsfrågor och stöd till andra enheter inom detta område när det gäller regeringens styrning av myndigheterna. Departementen har inte heller några särskilt utsedda handläggare som analyserar behovet av styrning av informationssäkerhet. Sammantaget innebär detta att det inte finns någon funktion inom med uppgift att göra en samlad analys av det som rapporteras till regeringen om informationssäkerhet. Genomgången av utredningsdirektiv visar att flertalet av de som berör informationssäkerhet endast gör det i begränsad omfattning. Regeringen har dock tillsatt två nu pågående utredningar som har direkt bäring på kravställning och styrning av informationssäkerhet i statsförvaltningen. Regeringen har gett FRA och MSB flera uppdrag med stor betydelse för informationssäkerheten i statsförvaltningen. En obligatorisk IT- incidentrapportering och införandet av teknisk detekterings- och varningssystem (TDV) skulle enligt förmodligen avsevärt stärka 159Bilaga till förordningen (1996:1515) med instruktion för . 16015 § förordningen (1996:1515) med instruktion för . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN informationssäkerhetsarbetet genom att ge en bild av vad som faktiskt händer ute på myndigheterna. Inget av dessa två förslag har ännu genomförts; de bereds fortfarande i . Även frågan om tillgänglig och skyddad kommunikationsinfrastruktur bereds ännu i . Av genomgången framgår att regeringen i liten utsträckning har informerat sig om status på informationssäkerheten genom regleringsbrev. Regeringen har i regleringsbreven heller inte ställt krav på myndigheternas nivå för informationssäkerhet. I de fall regleringsbreven innehåller krav på IT handlar det mer om effektivisering av myndighetens IT eller krav på enskilda system. har också ställt frågan till om det finns särskilda regeringsbeslut som avser informationssäkerhet, och fått till svar att det inte finns. Budgetpropositionerna tar upp informationssäkerhet på en övergripande nivå – regeringen betonar vikten av en god informationssäkerhet i statsförvaltningen. Risk- och sårbarhetsanalyser samt förmågebedömningar utgör enligt regeringen viktiga underlag för att möjliggöra en effektiv uppföljning, styrning och inriktning av den sammantagna krisberedskapen i samhället. Påpekandena om brister i risk- och sårbarhetsanalyserna har gjorts . Av genomgången framgår att regeringen inte i någon större utsträckning har använt sig av andra propositioner för att styra informationssäkerhetsarbetet. Propositionen om stärkt krisberedskap och bildandet av MSB är egentligen det enda exemplet på en mer direkt styrning. Propositionen om krisberedskapens utveckling utgör mer indirekt styrning i form av uttalanden om betydelsen av god informationssäkerhet. bedömning av handlingsplanen för informationssäkerhet är att mål och åtgärder är av blandad karaktär. En hel del av åtgärderna är sådana som faller inom ramen för myndigheternas ordinarie verksamhet och ansvar. Vissa mål och åtgärder är väldigt blygsamma, exempel på det är skrivningarna om kommunikationsinfrastruktur. Andra mål och åtgärder är sådant som enligt redan borde ha varit genomfört. Ett sådant exempel är generisk modell för kontinuitetsplanering. Strategin och handlingsplanen för skydd av samhällsviktig verksamhet kommer att innefatta informationssäkerhet, men frågan behandlas väldigt summariskt i handlingsplanen. Det finns ingen central funktion i med ett utpekat ansvar för att dels vara mottagare av strategiskt viktig information som underlag för styrning från regeringens sida, dels bereda ärenden som rör informationssäkerheten i statsförvaltningen. Beredningen blir onödigt omständlig och mer tidskrävande. Det kan göra det svårare att kraftsamla och att reagera snabbt vid behov. 6 Slutsatser och rekommendationer har granskat om informationssäkerheten i den civila delen av statsförvaltningen är ändamålsenlig utifrån ökande hot. informationssäkerhetsarbetet i statsförvaltningen ska vara effektivt krävs enligt grundläggande förutsättningar i form av ett ändamålsenligt regelverk, tydliga roller och ansvar, samt krav på och organisering av ett systematiskt och processinriktat arbetssätt systematiska analyser av hot och risker, såväl på organisationsnivå som på ett övergripande plan