prop · H40342 · 2016-11-14 00:00:00 — 13Veriscan Rating, tillhandahållet av , som i huvudsak bygger på ISO-27000-stan- darden och är särskilt anpassat för Riksrevisionensgranskning. RI KS R E VI S I O N E N 13 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R detta instrument har omkring 30 personer på respektive myndighet i olika befattningar och funktioner intervjuats med exakta, förutbestämda frågor anpassade till den roll och funktion personen har. Vi har på detta sätt intervjuat allt från styrelseledamöter och myndighetschefer via linjechefer till enskilda handläggare samt inte minst nyckelpersonal som arbetar med säkerhet.14 Alla dokument på en myndighet som myndigheten har bedömt påverkar informationssäkerheten har också granskats med hjälp av mätinstrumentet.15 Utöver detta har vi genomfört ett antal kompletterande och fördjupande intervjuer med nyckelpersoner inom säkerhetsarbetet på de granskade myndigheterna. Mätningen på de tre myndigheterna är en prestandamätning som visar status på informationssäkerheten i förhållande till kraven i den standard (ISO 27001) för ledningssystem som myndigheterna, enligt MSB:s föreskrifter, ska tillämpa. Vi har mätt informationssäkerhetsarbetet när det gäller områdena organisation, system (IT) och riskhantering.16 Varje område har brutits ned i kategorier, som i sin tur består av olika så kallade mätpunkter. Strukturen för detta framgår närmare av bilaga 2. Mätpunkterna belyser olika sidor av samma företeelse med utgångspunkt från perspektiven kunskap/medvetenhet, funktion samt reglering. Ett exempel: reglering kan mätas med utgångspunkt från både förekomst av en regel och kännedom om att den regeln finns. Varje mätpunkt genererar ett resultat när alla intervjuer är genomförda på respektive myndighet. Resultatet kan variera från underkänt via godkänt till mer än godkänt. Resultaten från varje mätpunkt har sedan aggregerats för respektive kategori och sedan till de tre mätområdena organisation, system (IT) och riskhantering. Övriga sex granskade myndigheter har besvarat en omfattande enkät som på ett mer övergripande sätt ringar in deras arbete med informationssäkerhet.17 Efter det att enkätsvaren analyserats har vi besökt var myndighet på plats och med enkätsvaren som grund genomfört kompletterande, djupare intervjuer med personal som arbetar med informationssäkerhet. Vi har också tagit del av relevant dokumentation från dessa myndigheter. För att belysa informationssäkerhetsarbetet ur aspekten intern styrning och kontroll har vi även granskat det stöd som ESV har lämnat. Vi har intervjuat berörda tjänstemän vid denna myndighet, och tagit del av relevant dokumentation. 14När det gäller intervjuad personal som inte arbetar specifikt med säkerhet har urvalet skett på praktiskt möjligast sätt, vilket begränsar möjligheterna till generaliseringar. 15Sammanlagt har cirka 550 dokument från Arbetsförmedlingen, ochMigrationsverket granskats. 16När det gäller riskhantering är utgångspunkten inte endast ISO-standarden, utan olika regelverk, och i den delen avviker mätningen från områdena organisation och system. 17Enkätformuläret redovisas i elektronisk bilaga 5, som finns tillgänglig på webbplats . 14 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N intervjuat tjänstemän vid som ansvarar för frågor om intern styrning och kontroll. Dessutom har huvudmännen i Justitie-, Social- och Arbetsmarknadsdepartementen besvarat skriftliga frågor om intern styrning och kontroll av informationssäkerheten på , och Arbetsförmedlingen. I syfte att få uppgifter om kostnader för IT, IT-säkerhet och informationssäkerhet har vi låtit en konsult undersöka och jämföra dessa kostnader för statlig, och privat verksamhet.18 Konsultrapporten redovisas i elektronisk bilaga 6.19 Som ett led i att säkerställa hållbarheten i våra iakttagelser och slutsatser har vi i slutet av granskningen genomfört ett externt seminarium med experter på informationssäkerhet. Dessa experter är och från Försvarshögskolan/CATS20, från samt från (). i granskningen, när preliminära resultat från de djupt granskade myndigheterna förelåg, genomfördes också ett seminarium med informationssäkerhetsansvariga från dessa myndigheter samt experter från och . Granskningsrapporten är disponerad på följande sätt: I kapitel 2 redogör vi för hur arbetet med informationssäkerhet ser ut på de granskade myndigheterna. Vi belyser resultaten av de djupgående granskningarna av informationssäkerhetsarbetet på Arbetsförmedlingen, och samt redovisar iakttagelser från de andra granskade myndigheterna – , , , , samt . Kapitel 3 söker fånga en bild av vilka kostnader som läggs ned på informationssäkerhet på myndigheter i statsförvaltningen i sin helhet. Kapitel 4 handlar om vad regeringen och ESV gör när det gäller intern styrning och kontroll av informationssäkerhet. 18Radar Ecosystem Specialists: IT- och informationssäkerhet – statliga myndigheter och verk, 2015–2016. 19Den elektroniska bilagan finns tillgänglig på webbplats . 20CATS står för . RI KS R E VI S I O N E N 15 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R 2Arbetar myndigheterna systematiskt med informationssäkerhet? Denna granskning visar att det ännu omkring efter de granskningar då gjorde av informationssäkerhet finns allvarliga brister i myndigheternas arbete med informationssäkerhet. Granskningen visar även att det finns enskilda delar av arbetet som fungerar väl, vilket till stor del kan förklaras av vissa initiativ från enskilda individer eller delar av en verksamhet snarare än som ett resultat av ett systematiskt informationssäkerhetsarbete förankrat på ledningsnivå. Följaktligen finns det ett ansenligt behov av ännu fler insatser för att bygga upp och förvalta en informationssäkerhet som håller jämna steg med de ökande hoten som framkom genom förra granskning av informationssäkerhet.21 I detta kapitel visar vi vad vi kommit fram till när det gäller dels de tre särskilt ingående granskade myndigheterna, dels de andra sex granskade myndigheterna. Vid redovisningen av resultaten för de djupare granskade myndigheterna anges deras status anonymiserat i noter, och i bilaga 3 finns en sammanställning därav. Tre djupt granskade myndigheter Vi har genomfört fördjupade granskningar av hur arbetet med informationssäkerhet ser ut på Arbetsförmedlingen, och . Granskningen har skett i form av en prestandamätning som visar status på informationssäkerheten i förhållande till kraven i den standard (ISO 27001) som regleras i MSB:s föreskrifter. Granskningen omfattar de aspekter på informationssäkerhetsarbetet som handlar om organisation, IT-system samt riskhantering.22 Sex andra granskade myndigheter , , , , samt 21Se i den civila statsförvaltningen (RiR 2014:23). 22Redogörelsen för de fördjupade granskningarna i detta kapitel bygger på mätningar med programmet Veriscan Rating inklusive genomgång av relevant dokumentation samt på fristående intervjuer med säkerhetsansvariga på myndigheterna. Programmet har anpassats särskilt för denna granskning, där till exempel avdelningen Fysiskt skydd i huvudsak har utgått och Riskhantering tillkommit. 16 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Vi har också granskat hur de sex andra tidigare granskade myndigheterna arbetar med sin informationssäkerhet. Granskningen bygger på en enkätundersökning, intervjuer samt dokumentstudier.23 2.1Organisatoriska perspektiv på informationssäkerhetsarbetet vid de tre djupt granskade myndigheterna Alla tre djupt granskade myndigheter är relativt likvärdiga när det gäller övergripande organisatoriska delar för informationssäkerhetsarbetet. Ingen av myndigheterna når dock upp till godkänt resultat. 2.1.1 Personal och informationssäkerhet Generellt sett har de tre myndigheterna bra rutiner för vad som gäller vid anställning. Dessa rutiner inkluderar dock på två av myndigheterna generellt sett inte bakgrundskontroll eller säkerhetsprövning.24 Alla myndigheter genomför utbildning för anställda där frågor om informationssäkerhet berörs, dock utan någon kontinuitet. Alla tre myndigheter har genomfört tekniska åtgärder för att höja säkerheten på bärbara datorer, och den tekniska säkerheten för dessa är därför god. Två av myndigheterna har också tagit fram skriftliga regelverk för att hantera bärbara datorer. Dessa regelverk håller godkänd nivå.25 Personalens kännedom om dessa regler är dock låg på alla tre myndigheter. Myndigheterna kontrollerar heller inte aktivt efterlevnaden av reglerna, utan endast när incidenter har rapporterats. Smarta telefoner och surfplattor, i den mån de används, har dock inte samma tekniska säkerhetsnivå och det saknas regler som styr vad som är tillåtet och inte. Dock krypteras e- post och kalenderfunktioner i smarttelefonerna. Alla tre myndigheterna sprider även information internt om säkerhetsrelaterade hot, varav en gör det rutinmässigt.26 2.1.2 Ledningens styrande dokumentation Ingen av myndigheterna når upp till godkänd nivå när det gäller ledningens styrande dokumentation på en övergripande nivå. Redogörelsen för de andra granskningarna bygger i sin helhet på a) en enkätundersökning som be- svarats av var och en av de sex myndigheterna, b) intervjuer med säkerhetsansvariga på samtliga dessa myndigheter samt c) genomgång av relevanta handlingar från dessa myndigheter såsom sty- relseprotokoll, protokoll eller minnesanteckningar från ledningsgruppsmöten, riskanalyser, externa och interna granskningar av informationssäkerheten, m.m. 24Myndighet A har riktlinjer som rör bakgrundskontroll. 25Myndighet A och C uppnår godkänt medan myndighet B inte uppnår godkändnivå. 26Myndighet B bedöms ha en rutinmässig spridning. RI KS R E VI S I O N E N 17 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R saknas på en av myndigheterna27 och är bristfälliga på de övriga två. Alla tre myndigheter har en informationssäkerhetspolicy där det tydligt framgår att det är en viljeyttring från ledningen och gäller för hela myndigheten. Det är dock endast en myndighet28 som indikerar att arbetet med informationssäkerhet är riskdrivet och ska förverkligas genom insatser som exempelvis riskanalys, utbildning, incidenthantering och kontinuitetshantering. Personalens kännedom om informationssäkerhetspolicyn är låg på alla tre myndigheterna. Generellt sett kan personalen inte redogöra för vad policyn har för syfte och funktion och var den finns att tillgå. Personalen har också låg medvetenhet om informationsklassificering och hur den tilllämpas i praktiken.29 Två myndigheter har en otillräcklig organisation för att hantera incidenter.30 Bristerna består främst i att insamling och utvärdering inte sker på ett strukturerat sätt. Det saknas även en gradering av incidenterna efter hur allvarliga de är samt en process med tydliga roller och ansvarsfördelning när det handlar om vem som ska rapportera till ledningen när det är nödvändigt. Ingen av myndigheterna har heller en tydlig process, som omfattar hela verksamheten, för att systematiskt identifiera orsakerna till incidenterna. Personalen vid alla tre myndigheterna har också låg kännedom om vilka regler som finns för att hantera incidenter och hur de ska gå till väga om en incident inträffar. 2.1.4 Hanteringen av informationstillgångar Ingen av de tre myndigheterna når upp till godkänd nivå när det gäller att hantera sina informationstillgångar. Alla tre myndigheter har förvisso en metod för att klassificera informationen, som täcker in tillgänglighet, riktighet och konfidentialitet. Två av myndigheterna har enligt riktlinjen som krav att klassificeringsmetoden ska gälla för all information, men det kravet efterlevs inte operativt.31 Den tredje myndigheten tillämpar endast sin metod för digital information. Ingen av myndigheterna tillämpar informationsägarskap fullt ut på så sätt att det är definierat vad ansvaret för det innebär, det vill säga att det är dokumenterat, formellt godkänt och Myndigheten har vid faktagranskningen framfört att man har vissa riktlinjer på intranätet, men att dessa är bristfälliga. 29Det vill säga att man kan beskriva innebörden av informationsklasser, även om man inte använder begreppet uttryckligen. 30Myndighet B och C. 31Myndighet A och C. 18 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N definierat i en roll i form av informationsägare. Det är sällan som kärnverksamheten ställer krav på säkerhet i de system som används. Det är snarare säkerhets- och IT-funktioner som ställer krav på säkerhet. Ingen av myndigheterna når upp till godkänd nivå i fråga om att säkra nyckelkompetens. En av myndigheterna säger sig ha identifierat nyckelpersoner, men har inte vidtagit några mer omfattande åtgärder på grund av det. 32 De två övriga myndigheterna uppger att problemet är känt, men har inte i någon större omfattning identifierat nyckelpersoner. 2.1.5 Analys och kontroll Ingen av myndigheterna når upp till godkänd nivå när det gäller analys och kontroll av informationssäkerhet på övergripande nivå. Samtliga myndigheter har en modell som stöder verksamhet som bedrivs i projekt. Modellen är baserad på riskanalys och inbegriper även informationssäkerhetsaspekter. Två myndigheter har en modell som ska säkerställa att informationssäkerhetsaspekter blir bedömda och tillvaratagna.33 Av dessa två är det endast en myndighet som tydligt säkerställer att bedömningen av informationssäkerhetsaspekterna sker tidigt i projektet.34 En av myndigheterna har delvis genomfört en kontinuitetsplanering för kritiska funktioner. Samma myndighet har till viss del även testat dessa planer, dock inte regelbundet.35 De två övriga myndigheterna har inte en kontinuitetsplanering som når upp till godkänd nivå. Samtliga tre myndigheter genomför sporadiska riskbedömningar med koppling till konfidentialitet, riktighet och tillgänglighet. Ingen av myndigheterna utför dock regelbundna och övergripande analyser som fokuserar på informationssäkerhet. De analyser som ändå berör informationssäkerhet gäller endast enskilda system. Av intervjuerna med företrädare för organisationen framgår att i samtliga myndigheter anses ledningen ha det yttersta ansvaret för informationssäkerheten. Det finns också ett uttalat särskilt ansvar i form av att leda och samordna arbetet. Det ansvaret är dock delegerat långt ned i organisationen, utan tillräckliga befogenheter och resurser. För att åstadkomma ett systematiskt informationsarbete ska myndigheterna enligt MSB:s föreskrifter utforma ett ledningssystem för informationssäkerhet. 33Myndighet A och B. RI KS R E VI S I O N E N 19 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R del av ledningssystemet är den återkommande så kallade ledningens genomgång. Syftet med denna genomgång är att den högsta ledningen, som har det yttersta ansvaret, ska kunna säkerställa systemets fortsatta lämplighet, tillräcklighet och verkan. Genomgången är en förutsättning för att kunna besluta om förbättringar och att möjliggöra att ledningssystemet följer den så kallade PDCA-cykeln36 eller annan likvärdig metodik. Granskningen visar dock att ingen av myndigheterna har haft någon sådan genomgång . En annan viktig del av ett ledningssystem är regelbunden utvärdering. Ingen av myndigheterna utvärderar dock sitt ledningssystem till väsentliga delar eller med den periodicitet som krävs. Därför saknar myndigheterna tillräckligt underlag för att kunna bedöma om ledningssystemet fungerar eller inte. Samtliga tre myndigheter har ett skalskydd som bedöms som tillräckligt. Passerkort eller bricka används för inpassering dygnet runt och utanför kontorstid krävs även kod. För känsligare utrymmen används säkerhetszoner, som alltid kräver såväl kod som kort eller bricka. Man har även en loggfunktion kopplad till passersystemet. Alla tre myndigheter har dessutom regler för att reducera risker när man tar emot besökare. Reglerna är uttalade och inkluderar ansvaret för den besökande samt registrering och avregistrering. Två av myndigheterna kontrollerar även efterlevnaden av dessa regler.37 2.2Organisatoriska perspektiv på informationssäkerhetsarbetet vid de sex andra granskade myndigheterna Informationssäkerhetsarbetet är organiserat på olika sätt vid de sex andra granskade myndigheterna. Vid en av myndigheterna är informationssäkerhetsansvarig en chef direkt underställd generaldirektören och därmed också medlem i myndighetens ledningsgrupp. Vid en annan myndighet finns den ansvariga på lägsta möjliga organisatoriska nivå. På de övriga myndigheterna befinner sig ansvariga på olika nivåer däremellan. Eftersom informationssäkerhet även inbegriper IT-säkerhet finns det också personal från IT-funktioner som delvis arbetar informationssäkerhetsrelaterat. Fyra av myndigheterna har därtill kontaktpersoner på avdelningar inom kärnverksamheten som har informationssäkerhet som tillikauppdrag vid sidan av sina ordinarie arbetsuppgifter i linjen. Vid de andra två myndigheterna finns, i stället för kontaktpersoner, forum för säkerhetsrespektive IT-frågor där informationssäkerhet kan avhandlas. Vid en av myndigheterna är den chef som är ansvarig för 36PDCA står för Plan, Do, Check, Act, det vill säga Planera, Utföra, Studera, Agera, och är en metod inom kvalitetstekniken för systematiskt förbättringsarbete. 37Myndighet A och B. 20 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N informationssäkerheten adjungerad till detta forum. Denna person har dock aldrig blivit kallad till något möte. 2.2.1 Ledningssystem för informationssäkerhet Alla de granskade myndigheterna har en policy för informationssäkerhet. Efterlevnaden varierar dock mellan myndigheterna. Det finns flera förklaringar till att efterlevnaden varierar. En förklaring som myndigheterna lämnat är att ledningssystemet inte har uppdaterats och därför blivit föråldrat, en annan är att det är svårt att få människor att följa regler rent allmänt. En av myndigheterna har angett att bristande kunskap och svag ekonomi gjort att säkerhetsarbetet fått stå tillbaka. En annan myndighet har sagt att de medvetet gått långsamt fram med att genomföra informationsklassningen för att inte störa kärnverksamheten mer än nödvändigt och för att få bättre kvalitet i genomförandet. Yt- terligare en myndighet uppger att den agerat pragmatiskt och gjort kontinuerliga förbättringar efter rådande lägesbild, i stället för att vänta på att ett perfekt system ska vara på plats. En annan sak som kan förklara bristerna i efterlevnad, och även bristerna i säkerheten, är att endast två av myndigheterna säger att de systematiskt och regelbundet följer upp att beslutade åtgärder verkligen genomförs. Endast en myndighet anger att den fullt ut tillämpar de standarder som ska ligga till grund för ledningssystemet. För de övriga myndigheterna varierar det hur mycket de tillämpar dessa standarder. 2.2.2 Ansvar, roller och kompetens När –2007 granskade samma myndigheter visade det sig att det ofta var problem med nomenklaturen när det gäller ansvar och roller i säkerhetsarbetet. Detta problem kvarstår inte , vilket gör att tydligheten i säkerhetsarbetet har ökat. Däremot finns det kvarstående problem med att säkerställa att nyckelpersoner får den utbildning de behöver, så att de besitter rätt kompetens. Några myndigheter anser att det är svårt att säkerställa detta, några andra har svarat att de inte har säkerställt det. När det kommer till övrig personal varierar omfattningen på utbildningsinsatserna. Tyngdpunkten ligger för det mesta på nyanställda, men behovet av återkommande utbildning för redan anställda är uppmärksammat. Det är viktigt att kunna ha tillgång till en samlad lägesbild över hot, risker, händelser och vidtagna skyddsåtgärder för att kunna skapa nödvändig säkerhetsförmåga. En av flera nödvändiga komponenter i detta är att det finns en väl fungerande och heltäckande incidentrapportering. RI KS R E VI S I O N E N 21 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Två myndigheter uppger att de har en samlad lägesbild som omfattar risker, skyddsåtgärder och händelser. Dock har en av dem uppgett att de inte har en systematisk incidentrapportering. Det talar sannolikt för att denna myndighets lägesbild är behäftad med brister. Planeringen för informationssäkerheten och för att kunna fortsätta verksamheten om det inträffar en händelse uppvisar brister. Två av de granskade myndigheterna har en övergripande plan för sin informationssäkerhet. Ingendera planen innehåller dock uppgifter om vilka skyddsåtgärder som är beslutade, inte heller vilka personer som i så fall skulle ansvara för att genomföra åtgärderna. Av enkätundersökningen framgår att det ser bättre ut när det gäller kontinuitetsplanering. Fyra av myndigheterna uppger att de har en kontinuitetsplan eller motsvarande. Två av dessa planer täcker in omfattande delar av verksamheten, varav en dock har brister i fråga om IT. Två av dessa myndigheter har planer som täcker in endast IT. Myndigheterna har svarat att planerna övas i viss utsträckning. Vid två av de granskade myndigheterna finns en samlad åtgärdsplan som gör det möjligt för myndigheternas ledning att bli informerad om vilka skyddsåtgärder som är genomförda. En myndighet uppger att den saknar kontroll över vilka åtgärder som faktiskt blir genomförda. Överlag uppfattar de som arbetar med informationssäkerhet att myndigheternas ledning stöder arbetet med informationssäkerhet. till vad som i övrigt visat sig under granskningen finns det starka skäl som talar för att stödet ändå inte är till fyllest. Vi bedömer att det finns utsagor som också tyder på att stödet från ledningen varierar mellan myndigheterna. Till exempel är det en myndighet där ledningen har liten förståelse och lågt engagemang, och där behov endast blir tillgodosedda om så oundgängligen måste ske.39 Vi har också undersökt hur ofta som styrelse och ledning har behandlat frågor om informationssäkerhet eller frågor som kan ha beröringspunkter med detta område. Fem av de granskade myndigheterna har en styrelse, en är enrådigt styrd. Det är få gånger som informationssäkerhet har behandlats i myndigheternas styrelser. Som mest har det skett två gånger i två styrelser, en gång i två styrelser och 38Detta avsnitt bygger enbart på intervjuer och dokumentstudier på de sex granskade myndigheterna. 39Intervjuer på de sex myndigheterna. 22 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N ingen gång i en styrelse. Ärendena är för det mesta av strategisk karaktär, och handlar till exempel om att godkänna eller presentera upplägg för riskanalys enligt förordningen om intern styrning och kontroll, redovisa riskanalys enligt förordningen om krisberedskap och höjd beredskap eller att anmäla att Säkerhetspolisen har påpekat att det bör ske en säkerhetsanalys enligt säkerhetsskyddsförordningen.40 I ledningsgrupperna har frågor om informationssäkerhet behandlats oftare: i tre ledningsgrupper har det skett mellan sex och sju gånger, i två grupper två gånger och i en är det okänt eftersom minnesanteckningar från ledningsgruppens möten inte förs vid den myndigheten. Ärendena i ledningsgrupperna kan ligga både på strategisk nivå och operativ nivå. Exempel på ämnen är kontinuitetsplanering, redovisning av störningar, incidenthantering, riktlinjer för elektronisk utrustning, integrering av ledningssystem för informationssäkerhet med övrigt ledningssystem, olika lägesrapporter, etc. Ämnena varierar i fråga om hur mycket de berör informationssäkerhet. Värt att nämna är att i ledningsgruppen vid en av myndigheterna finns ett ärende som i sin helhet berör just hur det går med informationssäkerhetsarbetet.41 2.3Systemperspektiv (IT) vid de tre djupt granskade myndigheterna Systemperspektivet har bäring på IT-området och är en viktig beståndsdel i informationssäkerheten.