sou · H3B323 · 2015-03-10 00:00:00 — I krav- standarden ISO 27001 framgår att själva ledningssystemets funktion ska granskas regelbundet, liksom riskbedömningarna, alla kvarvarande risker och den risknivå man har fastställt som godtag- bar. Organisationen ska också göra interna revisioner av lednings- systemet. Brister i arbete med uppföljning och revision Även för organisationer som inte till alla delar följer nämnda informationssäkerhetsstandarder är uppföljning och revision en viktig del i ett systematiskt arbete. Bristande uppföljning och revision kan mycket snabbt få påtagliga konsekvenser för organisationens arbete. Det rör sig inte bara om risker att organisationen på grund av okunskap och bristande underlag prioriterar och genomför säkerhetsåtgärder i en mindre lämplig tidsordning. Det kan även innebära att allvarliga säkerhetsbrister inte hanteras och förblir oupptäckta . Säkerhetsbrister kan skapa risker för att antagonister tillskansar sig känslig information eller förvanskar densamma. Vidare kan processer och tekniska system fallera vilket kan leda till allvarliga tillgänglighetsbrister. Säkerhetsbrister kan även resultera i att organisationen genom sitt förfarande de facto bryter mot lagar och förordningar. En stor del av de nationella och internationella regel- verk som organisationer har att följa ställer uttryckliga krav på hur information ska hanteras. Detsamma gäller för exempelvis olika typer av branschregleringar och interna föreskrifter. De som reviderar och genomlyser informationssäkerhetsarbetet har en mycket viktig roll att spela när det gäller kontrollen av att detta arbete bedrivs på ett korrekt sätt och mot etablerade mål. För att kunna bedriva ett systematiskt informationssäkerhetsarbete torde det mot denna bakgrund kunna slås fast att revision och uppföljning är av avgörande betydelse. finns dock brister på området. Beroende på vilken aktör som uppvisar brister kan konsekvenserna av bristande säkerhet i informationshanteringen (bristande informationssäkerhetsarbete) även få följdverkningar för andra aktörer. Det handlar om ett brett spektra av aktörer, såsom kunder, underleverantörer, bidragsmot- tagare och resenärer i alla delar av samhället. När det gäller myndigheter och deras uppföljning har Riks- revisionen konstaterat i sin årsrapport att den interna kontrollen behöver stärkas eftersom granskning visat på flera olika typer av svagheter i myndigheternas interna styrning och kontroll. Bland annat slås fast att de ”myndigheter som med hjälp av it hanterar samhällsviktig och känslig information måste ha en god informationssäkerhet”. En konsekvens av svagheterna i myndigheternas interna styr- ning och kontroll konstaterade är att ”incidenter, till exempel virusattacker, medfört att medborgare och företag inte fått den service de förväntar sig. Brister i skyddet av webbplatser har också lett till att obehöriga fått tillgång till integritetskänsliga uppgifter.” Därefter konstaterar att dess gransk- ningar visar på ”allvarliga brister i hur många ledningar styr och kontrollerar informationssäkerheten vid myndigheten”. Ett av åtgärdsförslagen som Revisionen lägger fram till rege- ringen för att hantera detta är att ”klargöra myndigheternas ansvar för såväl intern kontroll som informationsskyldigheten gentemot regeringen”. MSB:s kartläggning av myndigheternas informationssäkerhetsarbete I MSB:s föreskrifter om statliga myndigheters informationssäker- het (MSBFS 2009:10) ställs krav på statliga myndigheter under regeringen (med undantag för , Försvarsmakten, Kommittéväsendet och utlandsmyndigheterna) att arbeta systema- tiskt med informationssäkerhet. Föreskrifterna ställer uttryckliga krav på att myndigheterna ska införa ett ledningssystem för in- formationssäkerhet och uttryckliga krav på att ledningen löpande ska informera sig om arbetet samt minst en gång följa upp och utvärdera arbetet. MSB genomförde en kartläggning av hur de statliga myndigheterna tillämpade föreskrifterna i sitt inform- ationssäkerhetsarbete. Resultatet har publicerats i en rapport, En bild av myndigheternas informationssäkerhetsarbete 2014, som visar att det fortfarande finns påtagliga brister när det gäller arbete med att kontrollera efterlevnad. uppger att de kontrollerar hur myndighetens styrande dokument efterlevs, anger att de inte gör en sådan kontroll och uppger att de inte har några styrande dokument. I rapporten konstateras också att ”mindre än hälften av myn- digheterna uppger att de alltid, eller i stor utsträckning, dokumen- terar granskningar och säkerhetsåtgärder av större betydelse som har vidtagits”. När det gäller ledningens roll visar resultatet att knappt hälften av myndigheternas ledning i stor utsträckning håller sig löpande informerade om arbetet respektive följer upp in- formationssäkerhetsarbetet åtminstone en gång . Den höga svarsfrekvensen i undersökningen gör de redovisade resultaten signifikanta och extra intressanta. Behov av ett tydligare regelverk Sammantaget kan dels konstateras att uppföljning och revision är en nödvändig förutsättning för ett systematiskt informationssäker- hetsarbete, dels konstateras att det fortfarande finns brister. När det gäller statliga myndigheter kan noteras att de brister som Riks- revisionen pekat på, trots att det ställs tydligare krav på informationssäkerhetsarbetet hos statliga myn- digheter, fortfarande till del finns. Detta gäller även med all sanno- likhet såväl den kommunala nivån som landstingen. I detta ska också beaktas att leverantörerna av it-tjänster till det offentliga i huvudsak består av privata företag, vilket gör att även dessa på olika sätt måste omfattas av informationssäkerhetsarbetet. Samhällsutvecklingen och det ökande beroendet av fungerande informationshantering samt den nu allt mer utbredda avsaknaden av alternativ till informationshantering med hjälp av it-system gör att vikten av ett informationssäkerhetsarbete som får faktisk effekt för skyddet av information har ökat betydligt. Detta innebär sam- tidigt att de brister som påvisats i uppföljning och revision av säkerhetsarbetet kan potentiellt sett få allt större konsekvenser för allt fler. Regelverket som reglerar revision, både inom privat och inom offentlig sektor, kan förtydligas. Givet de brister som påvisats och ovan redovisats finns det skäl att se närmare på dessa möjligheter. behöver dock skiljas på reglerna för extern revision, som exempelvis görs av , och intern revision. Det är särskilt reglerna för intern revision som upplevs uppvisa brister . När det gäller förvaltningsmyndigheter under regeringen styrs internrevisionen av internrevisionsförordningen (2006:1228). Enligt 4 § nämnda förordning ska internrevisionen ”utifrån en analys av verksamhetens risker självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen (2007:515)”. Som framgått har behovet av att skydda information blivit en allt viktigare angelägenhet för myndigheterna. Att i en sådan situ- ation säkerställa att internrevisionen beaktar även informations- säkerhetsfrågorna har potential att öka fokus på frågorna och skapa än förbättrade förutsättningar för att ett systematiskt inform- ationssäkerhetsarbete som får faktisk effekt kan bedrivas. Utred- ningen föreslår därför att det i förordningen (2000:605) om års- redovisning och budgetunderlag införs en bestämmelse om att till årsredovisningen en tilläggsupplysning ska lämnas om genomförd internrevision och status för informationssäkerhetsarbete på myn- digheten. Ett alternativ vore att i myndighetsförordningen (2007:515) införa en bestämmelse om att myndighetens ledning ansvarar för att upprätthålla säkerhet i sin informationshantering. 9.3Staten som tydlig kravställare Informationssäkerhetsproblematiken når samhällets alla delar och nivåer. Privat och offentlig sektor är en del av och drabbade av samma informationssäkerhetsproblematik. Båda sektorerna kan också bidra till att förbättra situationen på olika sätt. De överväganden och förslag som utredningen redovisar i betänkandet rör statens eget agerande. Detta innebär inte att ut- redningen anser att tyngdpunkten i informationssäkerhetsarbetet ska ligga där. Som nämnts i det inledande avsnittet ska förslagen snarare ses som ett första steg som avser att åtgärda de mest ange- lägna bristerna i den centrala statsförvaltningen. I detta avsnitt redovisas hur utredningen anser att staten bör ut- veckla beställarkompetensen avseende hantering och överföring av information i elektroniska kommunikationsnät och it-system. Syf- tet är att få tillfredsställande it-lösningar och förenkla och sänka kostnader för tjänster och produkter. Utifrån sammanfallande intressen inom informationssäkerhets- området tas hänsyn till näringslivets behov som staten bygger sin informationssäkerhet. Detta kan ske genom att samtalet mellan näringslivet och regeringen med dess myndigheter fördju- pas. 1)Statlig upphandling ska innehålla hänvisning till för staten gällande standarder och krav på certifiering i de situationer där säkerhetsnivåer har fastställts för respektive verksamhet. 2)Myndigheten för samhällsskydd och beredskap (MSB) ges i uppdrag att ta fram skyddsprofiler som anger minimikrav på säkerhet i vanligt förekommande it-produkter som används av statliga myndigheter. 3)Det bör införas ett krav på att rapportera vilken leverantör som en statlig myndighet valt då ramavtal rörande it-lösningar används. 4)Avseende tjänster och produkter att användas för kommuni- kation inom staten, bör upphandlande myndighet överväga möjligheten att tillämpa lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet, om upphandling enligt lagen (2007:1091) om offentlig upphandling inte medger nödvändigt kravställande. It-standarder och krav på certifiering En grundförutsättning för dagens informationssamhälle är säker- heten i informationssystemen. All användning av informationstek- nik är starkt beroende av att it-produkter och it-tjänster har säker- hetsegenskaper som ger det skydd som krävs och utlovas. Eftersom nationellt godkända system inte kan omhänderta hela samhällets behov i stort bygger de allra flesta säkerhetslösningar på allmänt tillgängliga kommersiella produkter, så kallade COTS (Commer- cial of the shelf). Fördelarna med COTS är att det finns ett stort utbud och anskaffningen är enkel. Nackdelarna i jämförelse med nationellt godkända produkter, är att myndigheter måste förlita sig på att produkter håller de säkerhetsegenskaper som leverantören utlovat. pågår ett flertal internationella initiativ för att ta fram standarder och rekommendationer för hur man skapar it-säkerhet i produkter. Ett sätt att skapa en kommersiellt driven process för att tillgodose samhället med kryptolösningar med tillräcklig kvalitet är att låta kommersiella aktörer bekosta evalueringar av sina produk- ter genom internationellt erkända certifieringssystem som Com- mon Criteria (CC) inom ramen för CCRA- överenskommelsen. Angående Common Criteria. När en organisation väljer att upphandla nya it-lösningar som till exempel system, molntjänster eller outsourcing av it-drift ska det föregås av en riskanalys eftersom det påverkar informationssäker- heten. En väl genomförd upphandling kan ha positiva säkerhets- effekter inte bara på det system eller den tjänst som upphandlas utan även i ett vidare perspektiv. Ett exempel på detta är att det generella säkerhetsmedvetandet kan höjas när de informations- hanteringsprocesser som ska stödjas analyseras och behovet av säkerhet fastställs. Å andra sidan kan upphandlingar som sker uti- från ett otillräckligt underlag leda till att organisationens säkerhet avsevärt försämras . Med tanke på att upphand- ling av it-relaterade tjänster blir allt vanligare får upphandling också en alltmer framskjuten plats i informationssäkerhetsarbetet. För att möta detta behov har MSB tillsammans med Kammar- kollegiet tagit fram ett stöd riktat till myndigheter, kommuner och landsting i form av en vägledning Vägledning – informationssäkerhet i upphandling (Publ.nr MSB555). Även PTS har tagit fram en väg- ledning för att ge stöd vid anskaffning av extern elektronisk kom- munikation, exempelvis internetanslutning och telefoni Robust elektronisk kommunikation – vägledning för användare vid anskaff- ning (PTS-ER-2011:16). Som en fördjupning har också ett par av- gränsade studier Outsourcing av it-tjänster i kommuner (publ.nr MSB728) och Informationssäkerhet i Kammarkollegiets ramavtal (dnr 2013-3300) genomförts som båda visar att den offentliga upp- handlingen av system och it-relaterade tjänster har stora brister. Studierna har dels rört hur ett antal myndigheter, ett landsting och en offentlig intresseorganisation formulerat krav på säkerhet när de använt Kammarkollegiets ramavtal för it-drift, dels hur kommuner uppfattar möjligheterna att genomföra upphandlingar där säkerhet är inkluderad. Sammanfattningsvis kan sägas att studierna indikerar att det finns omfattande svårigheter både för statliga myndigheter och kommuner att formulera initiala krav vid upphandlingen men också att upprätthålla en beställarkompetens under hela den tid som avtal gäller. Det är sannolikt inte heller helt tydligt för de myndigheter som nyttjar Kammarkollegiets ramavtal att hela ansvaret för att formulera säkerhetskrav ligger på varje enskild myndighet. Sannolikt finns det outtalade förväntningar både på ramavtalet och på leverantörerna om att säkerhetsaspekterna ska beaktas på ett generellt plan vid upphandlingarna utan att kunderna behöver genomdriva egna villkor. Osäkerheten kring säkerhets- aspekter vid upphandling bör ses i ljuset av att var och en av myn- digheterna, landstingen och kommunerna är sällan-köpare av it- lösningar där flertalet knappast kan förväntas kunna ha hela den kompetens som krävs för att upphandla säkerhet i den egna organi- sationen. Intrycket av att uppgiften att säkerställa god inform- ationssäkerhet vid upphandlingar uppfattas som svårlöst stärks i tidigare refererad rapport från MSB En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter (avsnitt 7.4.2). Utöver den bristande säkerhet som blir följden av ovanstående förhållanden leder oklarheterna också till att den utvecklings- potential som finns hos leverantörerna inte utvecklas. mot flertalet av de offentliga kunderna finns hos leverantörerna en hög kompetens att utveckla it-lösningar. Denna kompetens skulle kunna tas i anspråk även för att inkludera standardiserade säker- hetslösningar vilket skulle vara ekonomiskt fördelaktigt för både kund och leverantör. Förutsättningen för detta är en mer standar- diserad kravställning från de offentliga aktörerna. Här finns det anledning att peka på den gemensamma nationella styrmodell som föreslås i avsnitt 9.2.1 och som bl.a. ska innehålla ett ramverk med gemensamma skyddsnivåer kopplade till informationsklassning. Leverantörerna får genom skyddsnivåerna möjlighet att utveckla standardiserade paketlösningar som kunderna kan välja utifrån sin informationsklassning. Vid sidan om den möjliga ekonomiska rationalisering som ligger i en sådan lösning blir även kraven på heltäckande kompetens hos kunderna mindre eftersom de inte behöver detaljera sina kravställningar utan snarare välja en fastställd skyddsnivå. Ytterligare en vinst är att kontroll av efterlevnad avse- ende leverantörerna skulle kunna samordnas eftersom kraven skulle vara i huvudsak de samma. Samma ramverk bör även användas då myndigheter och kom- muner samverkar i gemensamma it-lösningar. Av utredningens kontakter med MSB har framgått att den nuvarande situationen bedöms oroande då kravställningen och ansvarsfördelningen i dessa relationer förefaller vara ännu mer eftersatta än i de kommersiella relationerna. Det saknas också former för att reglera parternas ansvar på ett effektivt sätt. Dessutom saknas incitament för att följa upp ingångna överenskommelser vilket gör moti- vationen att utarbeta avtalsliknande förbindelser låg. På nationell nivå blir hot- och riskbilden aggregerad då allt större informationsmängder samlas hos ett fåtal leverantörer. Att det är ett fåtal leverantörer beror både på att den svenska marknaden är begränsad och är en konsekvens av de krav som finns i lagen om offentlig upphandling vilka leder till formell begränsning i mång- fald leverantörer. Statliga myndigheter är hänvisade till att sköta sina upphandlingar via Kammarkollegiets ramavtal som i praktiken leder till att det i huvudsak är tre stora leverantörer som levererar MSB har i den rapport som togs fram i samband med den så kallade Tieto-incidenten Reflektioner kring samhällets skydd och beredskap vid allvarliga it-incidenter (Publ.nr. MSB367) lyft fram risken med den starka koncentrationen eftersom en it-incident hos en av dessa kan få mycket vittomfat- tande konsekvenser på samhällsnivå. I en nyligt publicerad rapport från MSB förstärks denna bild. I rapporten och informations- säkerhet i . Erfarenheter och reflektioner från några större it- incidenter –2014 (publ.nr: MSB721 – ) besk- rivs fem fall av it- och informationssäkerhetsincidenter, som in- träffat i och där samhällets inform- ationshantering påverkades kraftigt. Trenden mot koncentration stärks ytterligare av att de nationella tjänster och myndigheter, som exempelvis Statens servicecenter har sina tjänster placerade hos i huvudsak samma leverantörer. Ett första steg för att reducera ris- kerna för ökad koncentration på leverantörssidan är att införa ett krav på myndigheterna att återrapportera vilken leverantör som valts då ramavtal rörande it-lösningar används. Utredningen före- slår därför att MSB bemyndigas att meddela föreskrifter om ett rapporteringskrav. Ett sådant bemyndigande föreslås i 20 § förordningen för statliga myndigheters informationssäkerhet, se avsnitt 9.2.3. Det bör därvid utredas om det finns ett behov av samordning avseende till vilken myndighet som återrapportering ska ske när det gäller it-produkter som omfattas av säkerhets- skyddslagens krav. Som vi konstaterat ovan är beställarkompetensen för informations- säkerhet alltför svag, vilket är ett grundläggande problem. Ägarna och användarna av samhällskritisk infrastruktur måste först och främst inse att den infrastruktur de äger respektive nyttjar i många delar är kritisk, att den behöver skyddas, att skyddet inte enbart ska vara fysiskt utan även av informationssäkerhetsskydd. Om beställa- ren är medveten om vad som krävs av ett bra informationssäker- hetsskydd så är det också möjligt att definiera skyddet, anpassa det och upphandla. En metod att utveckla beställarkompetensen kan vara att använda en gemensam standard för informationssäkerhet. Tillgång till certifierade produkter enligt evalueringskriterier för it-säkerhet, Common Criteria (CC), eller för tjänster enligt Led- ningssystem för informationssäkerhet () underlättar upphand- ling av informationssäkerhet. CC tillämpas redan inom flera olika sektorer, exempelvis försvar, finans, sjukvård, transport och kom- munikation. Staten har ett ansvar för att utveckla beställarkompetensen. Det kan bland annat ske genom att successivt infoga kravet på certifie- ring vid upphandling men också genom tillämpning av kvalitets- kraven i . Utveckling av informationssäkerhet med stöd av internationellt accepterade standarder är en konstruktiv metod för att skapa tillit och förtroende såväl inom en organisation som mellan olika parter. Den möjliggör också en meningsfull revision av säkerheten, eftersom revisionen kan ske gentemot definierade mål och kvali- tetsrutiner, se avsnitt 9.2.5. Utredningen anser att statliga upphandlingar ska innehålla hän- visningar till it-standarder och krav på certifiering i de situationer där säkerhetsnivåer har fastställts för respektive verksamhet. Där- med kan samma krav som ställs på myndigheterna genom den före- slagna förordningen för statliga myndigheters informations- säkerhet även omfatta leverantörer av it-produkter (CC- certifierade) i samband med upphandling, se avsnitt 9.2.3. Detta medför också att det ställs krav på sådana produkter som ska upphandlas och användas i samhällsviktig verksamhet som bedrivs av staten. Krav på it-säkerhet i it-produkter kan ställas i form av skyddsprofiler som följer CC-standarden. Sådana skyddsprofiler beskriver kraven på olika typer av it-produkters säkerhetsegenskaper. MSB skulle tillsammans med berörda myndigheter och leverantörer kunna utveckla de skyddsprofiler som anger olika it-produkters minsta tillåtna säkerhetsnivå. I den föreslagna styrmodellen (se avsnitt 9.2.1) kan hänvisning ske till sådana skyddsprofiler. Härigenom skulle minimikrav för olika typer av it-produkters säkerhetsegenskaper kunna anges. Upphandlande myndighet som ska tillämpa styr- modellen kan kräva att leverantörerna certifierar sina produkter mot kraven som formulerats i dessa skyddsprofiler. Upphandlande myndigheter och Statens inköpscentral kan referera till skydds- profilerna i ramavtal. Leverantörer av produkterna kan få sina produkter certifierade mot dessa krav och därmed få åtkomst till den stora myndighetssektorns marknad. På detta sätt undviks att oseriösa leverantörer med produkter med dålig säkerhet och lägre pris konkurrerar ut leverantörer med en mer medveten säkerhetsinriktning med potentiellt högre utvecklingskostnad. Utredningen föreslår därför att MSB ges i uppdrag att ta fram skyddsprofiler som anger minimikrav i vanligt förekommande it- produkter som används av statliga myndigheter. Vid utvecklingen av skyddsprofilerna kan samverkan ske med berörda myndigheter och representanter för näringslivet. Detta förslag innebär en betydande förstärkning av beställarnas förmåga att ställa tydliga och relevanta krav på it-produkters säkerhet. En satsning på tydligare hänvisning till standarder och krav på certifiering kan medföra större behov av i förväg utpekade evalueringslaboratorier. Möjligheten att tillämpa lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet (LUFS) Lagen (2007:1091) om offentlig upphandling () utgör den generella regleringen avseendet det allmännas upphandling. Det finns möjligheter inom LOU-systemet att ställa krav avseende t.ex. informationssäkerhet i de tjänster eller produkter som ska upp- handlas, (se .) där statliga myndigheter enligt föreskrifter är skyldiga att rapportera inträffade it-incidenter är det troligt att ett stående krav vid upphandling av it-tjänster kommer att vara att leverantören ska rapportera alla in- cidenter av visst slag. Då LOU-systemet tenderar att gynna det lägsta priset när andra faktorer är lika, är det av största vikt att myndigheter som avser upphandla tjänster eller produkter som ska garantera informations- säkerhet och skydd för den information som myndigheten enligt offentlighets- och sekretesslagen (2009:400) är skyldig att hantera på särskilt sätt, alltid utnyttjar möjligheter till kravställande i enlig- het med de standarder som framförallt MSB:s föreskrifter kräver att myndigheten följer. Om upphandlande myndighet efter att ha uttömt de möjligheter till kravställande som medger likafullt inte anser att upp- handling kan ske med erforderliga garantier för säkerhet i staten kan myndigheten i stället överväga att använda upphandlingsförfa- randet enligt lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet (LUFS). Lagen är avsedd för upphandlingar av materiel och tjänster som är av så känslig natur att upphandling enligt eller lagen (2007:1092) om upphandling inom områ- dena vatten, energi, transporter och posttjänster inte lämpar sig. LUFS är i stort sett parallell till dessa två lagar men till skillnad från dem innehåller LUFS bestämmelser om informationssäkerhet, försörjningstrygghet och underentreprenad. Lagen genomför huvudsakligen och rådets direktiv2009/81/EG. 9.3.2Fördjupad dialog mellan privat och offentlig sektor Förslag: Regeringen fördjupar dialogen mellan privata och offentliga aktörer.