sou · H3B339 · 2015-04-08 00:00:00 — Det handlar då inte bara om att skydda enskilda registrerades personliga integritet utan också om samhällets behov av att myndigheterna upprätthåller en god informa- tionssäkerhet i sin verksamhet. All offentlig verksamhet är bero- ende av robusta och fungerande informationssystem samt skydd för informationen. Detta gäller såväl vid normala förhållanden som vid olika slags kriser eller extraordinära belastningar. Behovet av informationssäkerhet omfattar givetvis inte bara personuppgifter utan all slags information. Skyddsintressena är också andra än det rent persondataskyddsrättsliga. Det kan bl.a. handla om att mot- verka störningar i verksamheternas bedrivande, att garantera den långsiktiga offentlighetsinsynen i allmänna handlingar, att skydda rikets säkerhet m.m. Vad avses med informationssäkerhet? Informationssäkerhet är ett brett begrepp som enligt terminologin från (SIS handbok 550 utgåva 3) avser säkerhet för informationstillgångar avseende förmågan att upprätt- hålla önskad konfidentialitet, riktighet och tillgänglighet. –Konfidentialitet syftar på att endast behöriga personer får till- gång till information. –Riktighet avser att informationen inte obehörigt förstörs eller manipuleras. –Med tillgänglighet avses att det ska finnas tillgång till informa- tionen när den behövs. För sekretesskyddade uppgifter som rör rikets säkerhet finns sär- skilda bestämmelser om informationssäkerhet i säkerhetsskydds- lagen (1996:627). Med informationssäkerhet avses säkerhetsskydd som förebygger att uppgifter av det nämnda slaget obehörigen röjs, ändras eller förstörs (7 §). Vidare föreskrivs att vid utformningen av informationssäkerheten ska behovet av skydd vid automatisk informationsbehandling beaktas särskilt (9 §). Säkerhetsskyddslagstiftningen är föremål för över- syn. Utredningen om säkerhetsskyddslagen har lämnat förslag till en ny säkerhetsskyddslag (SOU 2015:25). I den före- slagna lagen uttrycks en bredare ansats i jämförelse med den nu- varande lagen, bl.a. i det att tillgänglighets- och riktighetsaspekterna av information och it-system lyfts fram. På så sätt vidgas tillämpningsområdet för säkerhetsskyddet till att ge skydd för informationstillgångar i samhällsviktig verksamhet som inte be- höver skydd från ett konfidentialitetsperspektiv. Den föreslagna lagen avses svara mot de förändrade krav på säkerhetsskydd som bl.a. följer av utvecklingen på informationsteknikområdet, en ökad internationell samverkan och en ökad sårbarhet i samhällsviktiga funktioner. Övergripande arbete med samhällets informationssäkerhet Myndigheten för samhällsskydd och beredskap, MSB, har bl.a. till uppgift att stödja och samordna arbetet med samhällets informa- tionssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer (11 a § förordningen [2008:1002] med instruktion för Myndigheten för samhällsskydd och beredskap). Myndigheten samverkar också med andra myndig- heter med särskilda uppgifter inom informationssäkerhetsområdet, bl.a. i Samverkansgruppen för informationssäkerhet, SAMFI, vari ingår, utöver Myndigheten för samhällsskydd och beredskap, , , , Säker- hetspolisen, med Certifierings- organ för IT-säkerhet samt Försvarsmakten med den Militära under- rättelse- och säkerhetstjänsten. Nämnas kan även det informations- säkerhetsråd som finns hos Myndigheten för samhällsskydd och beredskap vari ingår företrädare för såväl myndigheter som närings- Visst samarbete sker också med Datainspektionen och Riks- arkivet. Arbetet hos Myndigheten för samhällsskydd och beredskap hand- lar till stor del om att stödja förebyggande åtgärder och främja ett systematiskt och långsiktigt arbete med informationssäkerhet på alla nivåer i samhället. Så sker bl.a. genom olika slags metodstöd till myndigheter eller enskilda aktörer. Myndigheten har också utfor- mat en strategi för samhällets informationssäkerhet 2010–2015. Varje myndighet har ett eget ansvar för informationssäkerheten i sin verksamhet vid sidan av de krav på säkerhet som gäller enligt personuppgiftslagen, arkivlagen m.m. Detta ansvar är ett uttryck för den ansvarsprincip som är grunden för samhällets krisbered- skap. Ansvarsprincipen innebär att den som har ansvar för en verk- samhet under normala förhållanden också har det under allvarliga händelser, kriser eller krig. I ansvarsprincipen ingår även att sam- verka och samordna sig med andra aktörer i den omfattning som krävs för att effektivt förebygga och hantera en allvarlig händelse (prop. 2007/08:92 s. 37 f.). I förordningen (2006:942) om kris- beredskap och förhöjd beredskap – som syftar till att statliga myn- digheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap – föreskrivs att varje myndighet ska göra en årlig risk- och sårbarhetsanalys av om det finns sådan sårbarhet eller sådana hot och risker inom myndig- hetens ansvarsområde som synnerligen allvarligt kan försämra för- mågan till verksamhet inom området. Syftet är att stärka egen och samhällets krisberedskap (9 §). Vidare föreskrivs, under rubriken , att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra lednings- system särskilt beaktas (30 a §). Myndigheten för samhällsskydd och beredskap har meddelat kompletterande föreskrifter till de nämnda bestämmelserna, dels MSBFS 2015:3 avseende statliga myndigheters risk- och sår- barhetsanalyser, dels MSBFS 2009:10 avseende statliga myndigheters informationssäkerhet. Av MSBFS 2015:3 framgår bl.a. att myndighetens rutiner för att identifiera och hantera kritiska beroenden till system och tjänster för informationshantering, som är av central betydelse för myndig- hetens verksamhet, är av betydelse som indikator på myndighetens krishanteringsförmåga. Delvis motsvarande bestämmelser för lands- ting och kommuner finns för övrigt i myndighetens föreskrifter om sådana risk- och sårbarhetsanalyser som avses i lagen (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap (MSBFS 2015:4 och 2015:5). Enligt MSBFS 2009:10 åligger det statliga myndigheter att i sitt arbete med informationssäkerhet tillämpa ett ledningssystem för informationssäkerhet. Det innebär att myndigheten ska –upprätta en informationssäkerhetspolicy, –utse personal som leder och samordnar arbetet med informa- tionssäkerhet, –klassificera myndighetens information med utgångspunkt i kraven på konfidentialitet, riktighet och tillgänglighet, –utifrån risk- och sårbarhetsanalyser och inträffade incidenter be- döma hur risker ska hanteras och –dokumentera arbetet. Myndighetens ledning ska vidare löpande informera sig om arbetet med informationssäkerhet och minst en gång följa upp och utvärdera arbetet. Varje statlig myndighet ska därvid införa ett ledningssystem för informationssäkerhet () för att myndighets- ledningen ska kunna styra så att rätt administrativa och tekniska säkerhetsåtgärder ska vidtas utifrån den riskbedömning ledningen gör. Standarderna för ledningssystem för informationssäkerhet, dvs. SS- ISO/IEC 27001:2006 (, krav) och SS-ISO/IEC 27002:2005 (riktlinjer) utgör stöd för arbetet. I de till MSBFS 2009:10 kompletterande allmänna råden anges bl.a. att en organisations sammantagna informationssäkerhet skapas genom en kombination av tekniska och administrativa säkerhets- åtgärder där utgångspunkten för arbetet är att risk- och sårbarhets- analyser genomförs för att klarlägga den säkerhetsnivå som bör gälla till skydd för myndighetens organisation. Vidare lämnas bl.a. rekommendationer i fråga om att det bör upprättas riktlinjer för åtkomst- och behörighetsstyrning som en del av regelverket för infor- Dessa riktlinjer bör även innefatta krav på loggning och uppföljning. tillsattes en utredning om strategi och mål för hantering och överföring av information i elektroniska kommu- nikationsnät och it-system, NISU 2014. Utredningen har bl.a. före- slagit en strategi för informations- och cybersäkerhet i staten. Ett av strategins mål är att stärka styrning och tillsyn inom området. Det ska bl.a. ske genom en nationell styrmodell för ett systematiskt informationssäkerhetsarbete i statlig verksamhet samt genom inrätt- andet av ett statligt myndighetsråd för informationssäkerhet bestå- ende av företrädare för relevanta myndigheter på området. Vidare föreslås en förordning för statliga myndigheters informationssäker- het enligt vilken Myndigheten för samhällsskydd och beredskap ska utöva tillsyn över myndigheternas informationssäkerhetsarbete (SOU 2015:23). God offentlighetsstruktur, arkivvård m.m. och informationssäkerhet I 4 kap. 1 § OSL finns regler om hanteringen av allmänna hand- lingar. Där föreskrivs bl.a. att en myndighet ska ta hänsyn till rätten att ta del av allmänna handlingar när den organiserar hanteringen av sådana handlingar. Myndigheten ska särskilt se till att allmänna handlingar kan skiljas från andra handlingar och lämnas ut med den skyndsamhet som krävs enligt tryckfrihetsförordningen. Myndig- heter ska också se till att rätten att ta del av allmänna handlingar enligt tryckfrihetsförordningen säkerställs som sekre- tesskyddet upprätthålls. Handlingar med olika offentlighetsstatus ska alltså kunna hållas i sär. Av offentlighets- och sekretesslagen följer även indirekt ett krav på att uppgifter hos myndigheterna skyddas informationssäkerhetsmässigt, i synnerhet vad gäller upp- gifter som är sekretessreglerade. Det sistnämnda kan illustreras med ett JO-beslut med anledning av en anmälan om att en nämnd hade röjt en persons sekretesskyddade namn vid handläggning av ett ärende om försörj- ningsstöd. Röjandet orsakades av att handläggarna använde ett elek- troniskt verksamhetssystem där det inte tydligt framgick om det fanns någon sekretessmarkering för den enskildes personuppgifter. JO uttalade att det är mycket allvarligt att en myndighet som i sitt dagliga arbete hanterar en mängd personuppgifter som omfattas av sekretess inte har ett verksamhetssystem som i det hänseendet är säkert (beslut , dnr 5932-2012). Såsom exemplet visar sammanfaller i praktiken kravet på sekretesskydd ofta med flera av de krav på säkerhetsåtgärder som persondataskyddsregleringen uppställer. Detsamma kan sägas gälla beträffande de krav som arkiv- vården ställer. I arkivlagen finns närmare bestämmelser om säkerhetsåtgärder i olika avseenden. Enligt 6 § 3 arkivlagen ingår det i varje myndighets ansvar för arkivvården att skydda sitt arkiv mot förstöring, skada, tillgrepp och obehörig åtkomst. Detta ansvar avser skydd mot yttre och inre faktorer som kan skada arkivet, t.ex. tekniska problem i ett it-system för arkivering som förstör eller försvårar åtkomst till handlingar i systemet. I en elektronisk miljö innebär det vidare att det måste finnas skydd mot dataintrång. Att arkivet ska skyddas mot obehörig åtkomst syftar i första hand på att sekretesskyddet för uppgifter i handlingarna ska kunna upprätthållas. Handlingar som kan innehålla uppgifter som omfattas av sekretess måste så- ledes hanteras så att inte obehöriga kan läsa dem (m.fl., Arkivlagen. En kommentar, uppl. 1:1, 2013, s. 174). De krav på informationssäkerhetsåtgärder som följer av arkiv- lagens bestämmelser om arkivvård är alltså i vissa avseenden de- samma som de som följer av personuppgiftslagens krav på säker- hetsåtgärder till skydd för personuppgifter som behandlas (31 § PuL). Det övergripande syftet med arkivvården är emellertid inte att skydda människor mot kränkningar av deras personliga integri- tet utan att tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov (3 § tredje stycket arkivlagen). har rätt att meddela föreskrifter för statliga myndig- heters arkiv om skydd av arkivet med stöd av 11 § 2 arkivförordningen (1991:446). Sådana föreskrifter gäller dock inte för myn- digheter, regeringen, eller utrikesrepresentationen (10 § första stycket arkivförordningen). I 6 kap. föreskrifter och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling) – RA-FS 2009:1 – har meddelat föreskrifter om informations- säkerhet. Där föreskrivs bl.a. att en myndighet ska, för att säker- ställa ett bevarande av de elektroniska handlingarna, skapa och upp- rätthålla rutiner samt vidta åtgärder för att skydda handlingarna från skada, manipulation, obehörig åtkomst och stöld. Det kan vidare nämnas att föreskrifterna anger samma standarder för informa- tionssäkerhet som anges av Myndigheten för samhällsskydd och beredskap (MSBSF 2009:10), dvs. SS-ISO/IEC 27001:2006 () och SS-ISO/IEC 27002:2005. Vidare ska myndigheten upprätta en informationssäkerhetsplan, dvs. en plan för hur de elektroniska handlingarna ska skyddas. Planens efterlevnad ska regelbundet kontrolleras och dokumen- teras (2 §). Det åligger myndigheten att också genomföra en risk- analys innan driftsättning sker eller innan uppdrag ges till annan myndighet eller enskild för att bedöma behovet av säkerhetsrutiner (3 §). Elektroniska handlingar ska förses med behörighetssystem, loggsystem och skydd mot skadlig kod om det inte är uppenbart obehövligt (4 §). Säkerhetskopior ska regelbundet framställas och särskilda krav gäller avseende rutinerna för detta och för övrig hantering av säkerhetskopiorna (5 och 6 §§). Elektroniska handlingar ska hanteras och transporteras under sådana former att de inte skadas och så att de inte riskerar att bli utsatta för obehörig åtkomst. Hand- lingarna och dokumentationen om dessa ska transporteras åtskilda. Särskild aktsamhet ska iakttas när det gäller handlingar som kan omfattas av sekretess (8 §). är tillsynsmyndighet för statliga myndigheter och gör regelbundna inspektioner av att myndigheterna fullgör sina skyldigheter enligt arkivlagstiftningen. 10.2.5Våra överväganden och förslag Allmänna krav på säkerhetsåtgärder m.m. Förslag: Skyldigheterna i fråga om säkerhetsåtgärder och lämp- lig säkerhetsnivå ska framgå genom en bestämmelse i lagen som ersätter 31 § första stycket PuL. Där ska det föreskrivas att personuppgiftsansvariga myndigheter är skyldiga att vidta lämp- liga tekniska och organisatoriska åtgärder för att skydda de per- sonuppgifter som behandlas och att åtgärderna ska åstadkomma en lämplig säkerhetsnivå som ska bestämmas utifrån de risker som behandlingen medför och personuppgifternas karaktär. ska framgå att säkerhetsarbetet ska omfatta förebyggande, löp- ande och uppföljande åtgärder samt att säkerhetsarbetet ska ske med beaktande av andra föreskrifter om informationssäkerhet i lag eller annan författning. Härmed klargörs den nära kopp- lingen mellan den persondataskyddsrättsliga regleringen av säker- heten för personuppgifter och det vidare regelverk om informa- tionssäkerhetsansvar som myndigheterna också är skyldiga att följa. Det är av central betydelse att myndigheters behandling av person- uppgifter sker under former som är säkra och som innebär att uppgifterna aktivt skyddas från förstöring, obehörig åtkomst eller okontrollerad spridning m.m. Det är av betydelse inte bara för det dataskydd som måste tillkomma de enskilda registrerade utan också för att allmänhetens förtroende för myndigheternas informations- hantering upprätthålls. Säkerhetsfrågor har givetvis också, i det större perspektivet, en central betydelse för att den offentliga verk- samheten ska fungera på ett ändamålsenligt och tillförlitligt sätt. Som framgått är det i allt väsentligt personuppgiftslagens bestäm- melser om säkerhet vid behandling av personuppgifter som gäller för informationssäkerheten vid myndigheters behandling av person- uppgifter. De särregler om säkerhet och internt integritetsskydd som förekommer i registerförfattningar är ofta ganska allmänt hållna. Myndigheternas förutsättningar och behov i fråga om informa- tionssäkerhet varierar i hög grad. De grundläggande krav på säker- heten vid personuppgiftsbehandling som dataskyddsdirektivet före- skriver är emellertid allmängiltiga och bör komma till uttryck i den nya lagen. Liksom i personuppgiftslagen bör därför föreskrivas att en per- sonuppgiftsansvarig myndighet ska vidta tekniska och organisa- toriska åtgärder för att skydda de personuppgifter som behandlas. Vi bedömer att det i en samlad reglering för myndigheters behand- ling av personuppgifter varken är påkallat eller lämpligt att närmare precisera vad för slags risker som personuppgifter ska skyddas mot (jfr artikel 17.1). Däremot ska, liksom enligt personuppgiftslagen, framgå att säkerhetsarbetet ska åstadkomma en lämplig säkerhets- nivå i förhållande till de risker som behandlingen medför och per- sonuppgifternas karaktär. Enligt vår bedömning är det däremot knappast motiverat att på myndighetsområdet särskilt föreskriva att detta ska göras med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärderna. Detta är en självklarhet och det torde för övrigt följa, i vart fall indirekt, av annan reglering av myndigheternas verksamhet att sådana faktorer måste beaktas när myndigheterna gör avvägningar beträffande vad som är en lämplig säkerhetsnivå. Både för statliga och kommunala myndigheter gäller t.ex. att de ska hushålla väl med allmänna medel (3 § myndighetsförordningen och 8 kap. 1 § KL). I förhållande till den rent persondataskyddsrättsliga regleringen ser vi emellertid ett behov av en precisering rörande hur myndig- heternas säkerhetsarbete bör bedrivas. Det har i vårt arbete fram- kommit att det förekommer brister angående behovet av att säker- hetsarbetet sker systematiskt och inbegriper förebyggande, löpande och uppföljande åtgärder av olika slag som ser till helheten i per- sonuppgiftsbehandlingen. Det är därför önskvärt att det tydliggörs i lagen att detta sätt att arbeta med säkerhetsfrågorna är av central betydelse för ett gott personuppgiftsskydd. Som exempel på ett systematiskt säkerhetsarbete tillämpat på en enstaka teknisk säkerhetsåtgärd kan nämnas behandlingshistorik i form av loggning av sökningar på personuppgifter. Det räcker då inte med att planera och installera funktioner som möjliggör logg- ning. Loggning måste sedan också faktiskt ske liksom kontroll av att den fungerar på avsett sätt. Redan vetskapen om att loggning sker kan verka förebyggande och t.ex. motverka obefogade sök- ningar. Men även uppföljningen av loggningarna i efterhand måste ske systematiskt. Vi har vidare kunnat konstatera att det förhållandet att myndig- heters arbete med informationssäkerhet regleras i författningar med i huvudsak andra syften än det persondataskyddsrättsliga kan leda till tillämpningsproblem för myndigheterna. Det gäller dels att det kan uppstå konflikter mellan de olika skyddsintressen som reglerna tar sikte på, dels att ansvaret för informationssäkerhets- frågor inte alltid är organisatoriskt samordnat inom en myndighet. I den mån fokus i säkerhetsarbetet varierar, kan det påverka de avvägningar som görs vid utformningen av olika säkerhetsåtgärder och det finns då en risk att skyddet för personuppgifter inte priori- teras på ett adekvat sätt. Några egentliga regelkonflikter mellan den dataskyddsrättsliga regleringen och den allmänna informations- säkerhetsregleringen kan vi emellertid inte se. ning, menar vi, att i den nya lagen tydliggöra den nära koppling som finns till andra bestämmelser om informationssäkerhet som gäller för myndigheterna och som berörts i det föregående. De säkerhetsåtgärder som persondataskyddsregleringen kräver tar sikte på vad som behövs för skyddet av personuppgifter. Detta kan föranleda säkerhetsskyddande åtgärder som andra regelverk inte påkallar. Så kan exempelvis vara fallet när det gäller behovet av att skapa ett internt skydd för personuppgifter inom en myndighet så att t.ex. otillåten användning förhindras och att överträdelser mot t.ex. interna föreskrifter motverkas, upptäcks och beivras. Med den informationstekniska utvecklingen och den tilltagande komplexiteten i myndigheternas informationshantering går det emellertid inte att betrakta arbetet med att skapa säkerhet vid per- sonuppgiftsbehandling som en isolerad uppgift skild från övrigt informationssäkerhetsarbete. För att tydliggöra detta bör det i den nya lagen införas en erinran om att myndigheterna vid utform- ningen av säkerhetsåtgärder ska beakta bestämmelser om informa- tionssäkerhet i annan lag eller författning som gäller för myndig- heten. En sådan erinran är framför allt ägnad att samordna upp- fyllandet av skyldigheterna enligt de olika regelverken men tydlig- gör att regelverken gäller parallellt och inte nödvändigtvis är överlappande. Sammanfattningsvis föreslår vi således att det ska framgå av den nya lagen att myndigheter ska vara skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Säkerhetsarbetet ska omfatta förebyggande, löpande och uppföljande åtgärder och ska åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som behandlingen medför och till per- sonuppgifternas karaktär. Vid utformningen av säkerhetsåtgärderna ska myndigheten även beakta bestämmelser om informationssäker- het i annan lag eller författning som gäller för myndigheten. Det angivna bör framgå direkt av lagtexten utan hänvisning till 31 § PuL. De behov av specifika regler i fråga om säkerhetsåtgärder som kan finnas inom vissa sektorer, hos vissa myndigheter eller verk- samheter bör tillgodoses genom föreskrifter i förordning eller, efter bemyndigande, i föreskrifter som meddelas av Datainspek- tionen eller den myndighet som regeringen annars kan komma att bestämma. Tillgängligheten till personuppgifter inom en myndighet Förslag och bedömning: En bestämmelse införs som innebär en skyldighet för varje myndighet att se till att anställda och andra som arbetar hos myndigheten bara ges tillgång till person- uppgifter utifrån vad som krävs för arbetsuppgifterna. Detta ska gälla i fråga om såväl personuppgifter i myndighetens egna informationssamlingar som personuppgifter som myndigheten får tillgång till genom direktåtkomst eller andra former av infor- mationsutbyte. Det behövs inte någon bestämmelse om att den som arbetar hos en personuppgiftsansvarig myndighet får behandla person- uppgifter bara i enlighet med instruktioner från den personupp- giftsansvarige (jfr 30 § första stycket PuL). Inte heller behövs någon särskild bestämmelse om informationssäkerhet hos ett per- sonuppgiftsbiträde utöver vad som föreslagits i avsnitt 10.1.4. Ju fler personer inom en organisation som har tillgång till person- uppgifter, desto större är riskerna för obefogad åtkomst eller spridning av uppgifterna på sätt som innebär otillbörliga intrång i de registrerades personliga integritet. Detta behöver inte handla om medvetet missbruk utan kan bero på okunskap eller rena misstag. Utbildning i informationssäkerhets- och persondataskyddsfrågor och att all personal görs medvetna om vad som gäller för hans eller hennes användning av personuppgifter är i sig en viktig organisa- torisk säkerhetsåtgärd men är normalt inte en tillräcklig åtgärd. Att tillgången till personuppgifter i så stor utsträckning som möjligt faktiskt begränsas till vad var och en behöver för att fullgöra sitt arbete är, som vi ser det, en nödvändig säkerhetsåtgärd för att skapa ett tillfredsställande internt skydd för personuppgifter vid myndig- heters informationshantering. Vi menar att ett behov av behörig- hetsstyrning kan sägas föreligga generellt. Vi föreslår mot den bak- grunden en bestämmelse som ska gälla för alla myndigheter som omfattas av lagen och som innebär att behörighetsstyrning ska ske.