sou · H3B323 · 2015-03-10 00:00:00 — Det första målet är förstärkt styrning och tillsyn av inform- ationssäkerheten i staten. Bland åtgärderna finns krav för alla myn- digheter att driva ett ledningssystem för informationssäkerhet, vilket måste uppfylla internationellt erkända säkerhetsstandarder. Arbetet med informationssäkerhet professionaliseras och tillsynen över de statliga myndigheterna stärks. Det andra målet är att staten blir en tydlig kravställare som upp- handlare av tjänster som innehåller informationshantering eller av it-tjänster. Statliga myndigheter ska arbeta mer systematiskt med att ställa konkreta it-säkerhetsmässiga krav i anslutning till upphandling och avtal på it-området. Dessutom ska det ske löpande uppföljning på den säkerhetsmässiga leverantörstyrningen i staten. Dialogen mellan privata och offentliga aktörer samt relevanta utbildnings- och forskningsinstitutioner på området fördjupas. Det tredje målet är tillgång till säker kommunikation i staten. Information som kommuniceras i staten är skyddsvärd och vital för att statsförvaltningen ska kunna fungera. I orostider ökar detta skyddsbehov, varför lägstanivån måste säkerställas . Informationen omfattas bl.a. av tryckfrihetsförordningen, offent- lighets- och sekretesslagen (2009:400) och arkivlagen (1990:782) varför medborgarna har rätt att förvänta sig att staten har full kon- troll över informationens säkerhet och inte sparat någon möda för att omsätta statens skyldigheter i praktisk handling. Det fjärde målet är att alla statliga myndigheter ska rapportera it- incidenter för att skapa kunskap och lägesbeskrivningar. I målet ingår också att konkretisera samordningsansvaret för att hantera allvarliga it-incidenter. Detta kan ses som ett delmål till det tredje målet, men är dessutom ett av kraven som EU kommer att ställa på samtliga medlemsstater. Det femte målet är att stärka förebyggande och bekämpande av it-relaterad brottslighet. Denna verksamhet ställer särskilda krav på ansvariga myndigheter för att upprätthålla samma nivå av skydd för individer som i samhället i stort. De verktyg som ställs till ansvariga myndigheters förfogande måste hålla jämna steg med den tekniska utvecklingen och balanseras mot skyddet av den enskildes integritet. Det sjätte målet är att ska vara och uppfattas som en stark internationell partner. I detta mål ingår att regeringen stärker och samordnar insatserna för att främja ställning i internationellt samarbete om cybersäkerhet. strategier bör omfatta bl.a. kompetensförsörjningen av- seende informationssäkerhet i samhället i stort, nationell forskning och utveckling om informations- och cybersäkerhet, informations- säkerhet inom verksamheter hos landsting och kommuner, liksom försvaret av riket och dess oberoende mot antagonistiska hot med såväl defensiva som offensiva förmågor. De åtgärder som utredningsdirektivens andra delar har lett ut- redningen att föreslå kan, på sätt som visas i bilaga 5, hänföras till de olika strategiska målen. 1.Inrättandet av en genomförandekommitté övervägs. 2.MSB ges i uppdrag att i samverkan med ett nybildat myndighetsråd ta fram en ny handlingsplan. Flera tidigare utredningars resultat (se exempelvis SOU 2005:42) har endast i begränsad omfattning kommit att genomföras. Då ingen studie har gjorts över skälen till att förslagen inte kommit att realiseras ligger det nära till hands att anta att det hänger samman med dels kostnaderna för vissa av de föreslagna åtgärderna, dels den omfattande krets av myndigheter med olika intressen och roller som är involverade, tillsammans med de departement som ansvarar för styrningen och dess myndigheter. Med förstärkningen av säkerhetsfrågornas hantering inom regeringen som statsministerns inrättande av ett säkerhetspolitiskt råd innebär och den kraftsam- ling som mandatet för inrikesministern möjliggör, föreligger bättre förutsättningar än tidigare att förmå den centrala statsför- valtningen att agera samfällt. Vissa av strategins åtgärder kommer att behöva tas omhand av lagstiftningsansvariga inom , medan andra åtgärder främst kommer att beröra ansvariga för myndighetsstyrning. Rege- ringen kan här överväga om man vill hantera de olika strategiska åtgärderna enligt gängse beredning av regeringsärenden, vilket med ansvarsfördelningen efter regeringsbildningen torde innebära att inrikesministern ”äger” strategin, eller om man vill låta en för ända- målet inrättad genomförandekommitté (se exempelvis den s.k. polis- samordningen, dir. 2012:129) genomföra de i strategin ingående åtgärderna. Koncentrationen av ansvar och myndighetsresurser under in- rikesministern skapar goda förutsättningar för att effektivt styra verksamheten under regeringens politik för informations- och cybersäkerhet. Att det i avsaknad av ett definierat politik- och ut- giftsområde finns relaterade och i viss mån tangerande ansvars- områden ställer stora krav på samordning inom . I ljuset av påpekanden och av erfarenheterna från tidigare försök att genomföra strategiska kursändringar från rege- ringens sida, finns det anledning att noggrant övervaka att de en- skilda åtgärdernas beredning sker i full enlighet med den politiska viljan som ligger i inrikesministerns mandat och att denna bered- ning vid behov också stöttas proaktivt från politisk nivå. Även om flera åtgärder som föreslås nedan är regeringsfrågor kommer de att behöva genomföras av myndigheter. Det är därför lämpligt att de ansvariga myndigheterna inom det föreslagna myn- dighetsrådet under MSB:s ledning utarbetar en handlingsplan för de åtgärder som krävs som följd av förslagen i betänkandet, på lik- nande sätt som skett under SAMFI-strategin. Då behovet av poli- tisk vägledning även framgent kan förväntas vara stort bör rege- ringen överväga att med jämna mellanrum följa upp arbetet i myn- dighetsrådet och vid behov kalla rådet till sig för uppföljning; med hänsyn till rådets uppgifter föreligger inga hinder enligt 12 kap. 2 § regeringsformen för ett nära samarbete mellan regering och råd. 9.2Ansvar, styrning, samordning och tillsyn Bedömning: En nationell styrmodell för informationssäkerhet i samhället bör etableras. Förändrade förutsättningar för informationssäkerhetsarbete Förändringarna i informationshantering innebär att informations- säkerhetsarbete måste utföras på ett förändrat sätt jämfört med tidigare. Information hanteras inte enbart inom en enskild myn- dighet eller organisation utan även mellan sådana, exempelvis genom direktåtkomst till olika databaser. Konsekvensen av detta är att informationssäkerhetsarbete för att fungera måste bedrivas i former som är myndighetsöverskridande. För att detta ska kunna genomföras krävs en långsiktig och uthållig nationell styrning, stödd av en kontinuerligt utvecklad kompetens. I detta samman- hang är det viktigt att notera att styrning kan ske i olika former och bör avpassas efter de aktuella förutsättningarna. Övergripande kan sägas att den offentliga informationshante- ringen tidigare skett i en renodla offentlig styrning, dvs. en situ- ation där offentligt finansierad verksamhet utförts av i huvudsak utförs en allt större andel av den offentligt finansierade verksamheten av privata aktörer. Därmed är det nöd- vändigt att lagstiftning och föreskrifter kompletteras med olika former av avtal för att styrningen ska kunna nå samtliga aktörer som deltar i den gemensamma informationshanteringen. Det inne- bär att det offentliga på ett helt annat sätt än tidigare måste lägga mycket mer tid på att vara en kvalificerad beställare. En alltmer nationellt integrerad informationshantering ställer krav på en sammanhållen nationell styrning och kontroll av in- formationssäkerheten i all den informationshantering som det offentliga ansvarar för. För att detta ska fungera bör det systema- tiska informationssäkerhetsarbete som bedrivs i statliga myndig- heter sammanfogas i en nationell struktur. Det är inte längre möjligt att göra enskilda bilaterala överens- kommelser inom en och samma sektor kring säkerhetsåtgärder när hundratals aktörer, eller i vissa fall tusentals som inom hälso- och sjukvård, är involverade i samma system för informationshantering. Den fragmentiserade kravställningen utgör en stor utmaning för de privata organisationer som ska leverera de olika tjänsterna till det offentliga. Att ta fram ett stort antal unika men snarlikna lösningar är inte rationellt vare sig för kund eller för leverantör. Inom e-förvaltning och e-hälsa samverkar ett stort antal aktörer, offentliga såväl som privata, med mycket olika förutsättningar. Ett exempel är när en liten kommun som har begränsade ekonomiska resurser och små möjligheter att tillförsäkra sig informationssäker- hetskompetens delar information med bland annat landets största landsting. Det innebär att den lilla kommunen kan äventyra säker- heten i hela den gemensamma infrastrukturen om inte gemen- samma regler finns och kommunen inte har resurser att genomföra de säkerhetsåtgärder som regelverket kräver. På detta sätt kan även de investeringar som andra aktörer gör i sin och den gemensamma säkerheten blir underminerade. Detta förhållande gäller inom ett stort antal samhällsområden. Det är därför viktigt att börja skapa en utveckling där säkerheten stärks både hos den enskilda organi- sationen och i den gemensamma infrastrukturen. har staten gjort ett antal satsningar på nationell informationshantering både i form av tjänster som Mina meddelanden, en svensk e-legitimation och i organisatoriska for- mer som i Statens servicecenter (SSC) och . Det har även bedrivits ett aktivt arbete från E-delegationen och inom vårdområdet för att främja utvecklingen mot ett e-samhälle. I dessa satsningar finns en stor potentiell möjlighet att höja den nationella informationssäkerhetsnivån inom viktiga områden. Myndigheter har också i olika utsträckning ålagts att överföra sin informationshantering till Statens servicecenter och att använda de nationella tjänsterna. En nationell styrmodell för systematiskt informationssäkerhetsarbete Förändringarna i myndigheternas informationshantering har skett . Till det kommer att tiden för själva genomförandet av respektive åtgärd har varit kort. Koncentration av informationshantering på nationell nivå sammantaget med otyd- ligheter i ansvarsförhållanden och i vilka krav och förväntningar på informationssäkerheten som ska gälla, gör att ett samlat grepp behöver tas för att se till att ansvar för informationssäkerheten klargörs och säkerställs på ett betryggande sätt. Det behövs således enligt utredningens bedömning en nationell satsning på systematiskt informationssäkerhetsarbete i statlig verk- samhet. Utredningen föreslår därför att ett gemensamt ramverk, en nationell styrmodell, för statens informationssäkerhetsarbete eta- bleras. Genom denna ska ett för de statliga myndigheterna gemen- samt förhållningssätt till informationssäkerhetsfrågor säkerställas. Styrmodellen blir en gemensam bas för statligt informationssäker- hetsarbete. Utredningens förslag avser i första hand de statliga myndigheterna och ska vara normerande för dessa men styr- modellen kan utsträckas till att omfatta hela den offentliga sektorn. En gemensam styrmodell syftar till att myndigheters informat- ionssäkerhetsarbete ska utföras på ett ensat sätt. Därigenom tas ett samlat grepp om informationssäkerheten i det offentliga. Syftet är att skapa en gemensam syn på en lägsta nivå av informationssäker- het i staten och höja denna från dagens situation. Det ska alltså skapas en samlad modell innefattande bl.a. gemen- samma metoder för riskanalys, riskhantering, informationsklass- ning och kontinuitetshantering, definierade skyddsnivåer med till- hörande skyddsåtgärder och gemensamma kravbilder, stöd för informationsklassning och säkerhetsnivåer, terminologi för in- formationssäkerhetsarbete och regelverk. Styrmodellen ska baseras på existerande krav i författningar och verksamheternas behov. Genom etablering av en sådan styrmodell möjliggörs att inform- ation kan överföras mellan myndigheter med samma skydd, eftersom en ensad modell för informationsklassning inklusive skyddsnivåer skapas. Av särskild betydelse att generellt besluta om är ansvarsförhål- landen i informationshanteringen och därmed för olika delar av informationssäkerhetsarbetet. Ytterst handlar kraven om hur lösningar för drift och kommu- nikation ska utformas och detta kommer att i hög grad påverka privata leverantörer av denna typ av tjänster. För att leverantörerna ska kunna få en tillräckligt god förutsägbarhet och därmed kunna utveckla standardiserade och prisvärda lösningar är gemensamma regelverk också ett mycket gott stöd. Den statliga sektorn skulle på så sätt också utveckla sin beställarkompetens och som följd skulle utvecklingen av den nationella säkerhetsarkitekturen styras av verksamhetskrav i stället för att, som ofta nu är fallet, vara händel- sestyrd och teknikdriven. En nationell satsning på systematisk informationssäkerhet skulle innebära att de beskrivna förhållandena kan hanteras på ett över tiden sammanhållet och proaktivt sätt. En viktig del i detta är att skapa sektorsspecifika strukturer för informationssäkerhet uti- från en generisk nationell styrmodell. Genom en nationell styrmodell för systematiskt informations- säkerhetsarbete skulle ett effektivt stöd för de aktörer som ingår i den integrerade informationsinfrastrukturen skapas. Styrmodellen skulle också verka sammanbindande eftersom såväl andra offentliga som privata organisationer skulle kunna ansluta sig till den. Att ett sådant gemensamt ramverk tas fram på nationell nivå måste också vara det mest ekonomiskt försvarbara sättet att bedriva systematiskt informationssäkerhetsarbete i staten med hänsyn till att metodarbetet då inte behöver utföras hos varje enskild myndighet även om varje myndighet måste göra sin egen riskbedömning, kartlägga sina egna skyddsvärda tillgångar och bestämma över sitt eget behov av skyddsnivå. Samverkan, långsiktighet och uthållighet är nödvändiga förut- sättningar för att en nationell styrmodell för systematisk inform- ationssäkerhet ska fylla den funktion som är önskvärd. Genom en styrmodell skapas en långsiktighet och tydlighet i samhällets arbete med informationssäkerhet. En styrmodell skapar också en indirekt styrning mot det privata näringslivet då staten, jämte landstingen och kommunerna, är de största beställarna av privata tjänster. Det blir på detta sätt tydligt vilka regler och ramar som gäller vid leverans av olika tekniska lös- ningar vilket med hänsyn till förutsägbarheten kommer att inne- bära ekonomiska fördelar för privata aktörer. MSB ges i uppdrag att utveckla styrmodellen Enligt utredningen är MSB den myndighet som bör får i uppdrag att utveckla, förvalta och vidareutveckla styrmodellen. MSB bör utveckla denna med stöd från övriga myndigheter i det av utred- ningen föreslagna för informationssäkerhet, se följande avsnitt. Med sitt regeringsuppdrag att stödja samhällets arbete med informationssäkerhet ska MSB alltså även få ett utvidgat uppdrag att efter samverkan i myndighetsrådet och i sam- verkan med andra myndigheter utveckla, förvalta och vidareut- veckla en styrmodell för statens informationssäkerhet. Myndig- heter som ingår i myndighetsrådet bör ges i uppdrag att stödja för- valtningen och utvecklingen av styrmodellen. 9.2.2Inrättande av ett myndighetsråd Förslag: Regeringen inrättar ett statligt myndighetsråd för in- formationssäkerhet bestående av företrädare för de relevanta myndigheterna på området. I gruppen SAMFI samverkar myndigheter med särskilda upp- gifter och särskilt ansvar inom området informationssäkerhet (se avsnitt 7.6.1). MSB har en uttalad samordningsroll när det gäller samhällets informationssäkerhet och myndigheten har ett samord- nande ansvar i SAMFI. Utöver detta har MSB för att utnyttja sam- hällets samlade kompetens i övrigt knutit till sig ett informations- säkerhetsråd med bred representation från både offentlig förvalt- ning och näringslivet (se avsnitt 7.7.1). SAMFI träffas och syftet är att underlätta sam- arbetet genom informationsutbyte och samverkan. De myndig- heter som medverkar är följande. Myndigheten för samhällsskydd och beredskap (MSB) Post- och () Säkerhetspolisen () och Nationella operativa avdelningen (, tidigare ) i samverkan ()/Certifieringsorgan för IT-säkerhet (CSEC) Försvarsmakten (FM)/Militära underrättelse- och säkerhets- tjänsten (MUST) Det finns ett stort behov av ledning på informationssäkerhetsom- rådet och det gäller såväl samordning av myndigheter som styrning av informationssäkerhetsarbetet. De allvarliga brister i informationssäkerheten i den civila stats- förvaltningen som påtalats såväl i granskning RiR 2014:23 Informationssäkerheten i den civila statsförvaltningen som i MSB:s kartläggning En bild av myndigheternas informations- säkerhetsarbete 2014 av hur statliga myndigheter tillämpar MSB:s föreskrifter och i övrigt arbetar med informationssäkerhet gör att det är angeläget att åtgärder vidtas för att stärka säkerheten. För att stärka informationssäkerheten är samordning av statliga myndig- heters arbete av central betydelse. Regeringen har i sin skrivelse Samhällets krisberedskap – stärkt samverkan för ökad säkerhet (Skr. 2009/10:124) betonat betydelsen av SAMFI:s arbete: ”SAMFI (…) har en särskilt viktig roll då den syftar till att åstadkomma samverkan mellan de statliga myn- digheter som har särskilda uppgifter på informationssäkerhets- området.” Grunden för samhällets krisberedskap är ansvarsprincipen (pro- positionen Stärkt krisberedskap – för säkerhets skull, prop. 2007/08:92, bet. 2007/08:FöU12, rskr. 2007/08:193-194). Det innebär att den som har ansvar för en verksamhet under normala förhållanden också har det under allvarliga händelser, kriser eller krig. I ansvarsprincipen ingår även att initiera och bedriva sektors- övergripande samverkan. Det finns flera statliga myndigheter med särskilda uppgifter eller uppdrag på informationssäkerhetsområdet, såväl nationellt som internationellt, och frågorna spänner över en mängd olika områden och nivåer. I ansvarsprincipen ingår att sam- verka och samordna sig med andra aktörer i den omfattning som krävs för att effektivt förebygga och hantera en allvarlig händelse. I utredningens direktiv anges särskilt att de statliga myndigheterna bör utveckla sin förmåga att samverka inom informationssäker- hetsområdet. Samordning av ansvariga myndigheter är alltså en central fråga för arbetet med statens informationssäkerhet. Den samverkan mellan myndigheter som sker inom ramen för SAMFI är enligt ut- redningens mening mycket betydelsefull. Dagens komplexa och snabba utveckling av informationsteknik och it-tjänster och sam- hällets sårbarhet gör att det är nödvändigt att ytterligare fördjupa samordningen mellan myndigheterna. Med hänsyn till denna ut- veckling och påtalade brister är behovet av att stärka informations- säkerheten stort. Det är därför av vikt att insatser görs för att stärka säkerheten inom området för att ska kunna upprätt- hålla säkerhet, robusthet och integritet i samhällsviktig it-infra- struktur. Detta kan bl.a. ske genom en utveckling och fördjupning av det arbete som sker inom ramen för SAMFI. I syfte att ytterligare formalisera, utveckla och fördjupa samord- ningen av arbetet även i de delar av statens informationssäkerhet som inte främst gäller krisberedskap bör regeringen inrätta ett myndighetsråd för informationssäkerhet. Rådet ska främst bestå av företrädare för relevanta statliga myndigheter på området. Genom inrättandet av rådet ges förutsättningar för en bättre systematisk analys av hot och risker och uppfattning om genomförda säkerhetsåtgärder. Genom att etablera rådet skapas också bättre förutsättning för det bredare informationssäkerhetsarbetet. Försla- get ger MSB och deltagande myndigheter förbättrade möjligheter att uppfylla arbetet med en gemensam lägesbild och därigenom ett bättre stöd till samhället. Ett annat samordningsorgan, mot terrorism, kan nämnas. Detta samverkansråd består av fjorton myndigheter. Nätverket har visserligen inget formellt uppdrag men ett uttalat stöd från regeringen. Med hänsyn till MSB:s samordnande roll inom området för in- formationssäkerhet bör myndigheten leda myndighetsrådet samt sköta administrationen. bör också kunna sam- mankallas under ledning för diskussioner av policykaraktär (jfr konstruktionen i Rådet för rättsväsendets in- formationsförsörjning). Även de övriga myndigheter med särskilda uppgifter och särskilt ansvar inom området informationssäkerhet som samverkar i SAMFI bör ingå i rådet. Utöver nämnda myndigheter kan även andra myndigheter och aktörer som inte direkt omfattas av regeringens uppdrag ges en viktig roll. Exempel- vis kan sektorsmyndigheter bjudas in för samverkan i rådet. Rådet skulle också efter utvärdering kunna överta flera av de funktioner som handhas av SAMFI-gruppen. Vidare föreslås att det i en förordning för statliga myndigheters informationssäkerhet (se avsnitt 9.2.3) föreskrivs att arbetsgrupper kan inrättas. På detta sätt skapas en flexibilitet som över tiden kan adressera den dynamiska it-utvecklingen och de utmaningar som e-samhället efterhand ställs inför. Att inrätta ett råd för informationssäkerhet ligger i linje med de synpunkter och rekommendationer som Riksrevisonen lämnat i sin rapport (RIR 2014:23). för informationssäkerhet ska ha som uppgift att förebygga, följa och åtgärda brister i statens informationssäkerhet. Ett särskilt inrättat myndighetsråd medför en kontinuitet och tyd- lighet i det samordnade arbetet jämfört med SAMFI som baseras på frivillighet. Inrättandet av ett myndighetsråd innebär således en förstärkning av insatserna för säkerheten på området. För att när- mare tydliggöra myndighetsrådets uppgifter bör dessa slås fast på förordningsnivå. ska agera inom SAMFI:s nuvarande aktivitets- områden (se avsnitt 7.6.1) samt inom de områden som kan följa av den nya förordningen för statliga myndigheters informations- säkerhet (se avsnitt 9.2.3). Arbetet ska ske genom samråd och samverkan och grundas på informations- och erfarenhetsutbyte mellan myndigheterna och samordning av insatser. Myndighets- rådet föreslås inte ha egen beslutanderätt utan myndigheterna fattar beslut inom respektive ansvarsområden efter samråd i rådet. kan fungera som en gemensam remiss- och beredningsinstans i informationssäkerhetsfrågor. Vid framtagande av styrmodellen kan MSB inhämta kommentarer i rådet. Sektors- ansvariga myndigheter som inte ingår i rådet bör kunna ges stöd i rådet inför utfärdande av föreskrifter på informationssäkerhets- området. ska, vid sidan av den föreslagna genom- förandekommittén (se avsnitt 9.1.5) säkerställa verkställandet av den nationella informations- och cybersäkerhetsstrategin. Vidare ska myndighetsrådet, baserat på ett system för incidentrapporte- ring, förses med lägesbeskrivningar av hot- och risknivåer i den statliga verksamheten (se vidare avsnitt 9.5). En uppgift för myndighetsrådet ska vara att förvalta och ut- veckla tillämpliga krav på standarder och certifiering för produkter och tjänster med bäring på informationssäkerhet i samhällsviktig verksamhet. All anskaffning av produkter som av myndighetsrådet bedöms vara kritiska för säkerställandet av säker kommunikation i staten skulle kunna göras till föremål för en certifieringsprocess där rådet skulle kunna spela en viktig roll (se vidare avsnitt 9.3.1 om säkra it-produkter i staten). För det fall ett behov uppstår av nationella evalueringslaboratorier kan myndighetsrådet få i uppgift att vara remissinstans för de regler och krav som utfärdas av det nationella certifieringsorganet CSEC inordnat vid FMV. bör med bland annat stöd av den nationella styrmodellen och tillsammans med den nya upphandlingsmyndig- heten ge stöd till myndigheter som har behov av expertkompetens vad gäller it- och informationssäkerhet.