prop · H40342 · 2016-11-14 00:00:00 — Det handlar om att många samhällsfunktioner är beroende av informationsteknologi för att kunna fungera. Olika tekniska system är dessutom ofta beroende av varandra eller tekniskt sammankopplande, vilket utgör en sårbarhetsfaktor i sig genom att störningar kan få konsekvenser som både är svåra att förutse och hantera. Vad som utgör ett hot eller en risk varierar från exempelvis stater, statsunderstödda aktörer, terrorister och organiserad brottslighet till fel och störningar som inte orsakas av antagonister utan beror på mjuk- eller hårdvarufel, processbrister, bristande kvalitetskontroll, slarv, missbedömningar eller rena olycksfall. Vilka som drabbas kan vara allt från enskilda individer till hela samhällssektorer. Konsekvenserna kan till exempel vara uteblivna betalningar av transfereringar och störningar i el- eller vattenförsörjning. granskade –2007 arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen. Granskningarna visade ett flertal brister. Re- geringen hade inte följt upp om myndigheternas interna styrning och kontroll av informationssäkerhet var tillfredsställande och inte heller gett myndigheterna tillräckliga förutsättningar för ett effektivt informationssäkerhetsarbete. granskade ånyo informationssäkerhet med inriktning mot regeringen och dess expertmyndigheters styrning och stöd. Denna granskning visade att det fanns påtagliga brister i arbetet med informationssäkerhet och att regeringen inte utövat en effektiv styrning. Syftet med denna granskning har varit att undersöka hur nio myndigheter arbetar med sin informationssäkerhet. Dessa myndigheter bedriver samhällsviktig verksamhet, hanterar mycket pengar, är starkt IT-beroende och hanterar skyddsvärd information. har granskat om myndigheterna utifrån dagens krav och förutsättningar bedriver ett informationssäkerhetsarbete så att de uppnår ett ändamålsenligt skydd av sina informationstillgångar. Ett annat syfte har varit att granska RI KS R E VI S I O N E N I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. För att informationssäkerheten ska vara effektiv, såväl för respektive myndighet som för statsförvaltningen i stort, krävs att det går att väga kostnader mot nytta. Därför har låtit undersöka kostnadsbilden för informationssäkerhetsarbete. samlade slutsats är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en nivå som är märkbart under vad som är tillräckligt. En viktig förklaring till det är att förståelsen för vikten av en god informationssäkerhet överlag är alltför liten. Detta får till följd att arbetet med informationssäkerhet inte blir tillräckligt högt prioriterat i förhållande till de risker som finns. Detta gäller såväl för regeringen, som borde kunnat vara tydligare med att styra myndigheterna i frågan som för myndigheternas ledningar, som inte prioriterat arbetet med informationssäkerhet i den utsträckning som krävs. Mycket tyder på att det är svårt för många myndigheter att få till stånd ett ändamålsenligt informationssäkerhetsarbete. har därför ingen anledning att anta att den bild som framträder vid de granskade myndigheterna inte skulle gälla även för flertalet andra myndigheter i statsförvaltningen. Arbetet med informationssäkerhet når inte upp till en godtagbar nivå på de granskade myndigheterna Granskningen av Arbetsförmedlingen, och har varit särskilt djupgående. Ingen av dessa myndigheter kan sägas ha ett systematiskt informationssäkerhetsarbete som motsvarar kraven i Myndigheten för samhällsskydd och beredskaps (MSB:s) föreskrifter om statliga myndigheters informationssäkerhet. Dessa krav innebär att myndigheterna ska tillämpa ett ledningssystem som bland annat omfattar att de ska upprätta en policy för informationssäkerhet, klassificera sin information med utgångspunkt från riktighet, tillgänglighet och konfidentialitet samt utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur de ska hantera risker. En viktig förutsättning för att lägga grunden till en god informationssäkerhetskultur och för att skapa förståelse för informationssäkerhet är att myndighetens ledning visar engagemang i frågan. Granskningen visar att myndigheternas ledningar har delegerat ansvaret för informationssäkerhet, utan att se till att de ansvariga har ett tillräckligt mandat att utföra sina uppgifter och tillräckligt med resurser. De funktioner som ansvarar för informationssäkerheten har svårt att hävda sig mot kärn- RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N verksamheten som tenderar att se kraven på informationssäkerhet som hinder, vilket får till följd att verksamhetens krav på funktionalitet mestadels går före kraven på säkerhet. Det är snarare IT- eller säkerhetsfunktionerna som ställer krav på säkerhet än kärnverksamheten. Situationen på de sex andra granskade myndigheterna – , , , , samt – varierar, men sammanfaller i stora delar med hur det ser ut på de tre särskilt djupt granskade myndigheterna. Trots att myndigheterna har tagit fram policyer, riktlinjer och handledningar i fråga om informationssäkerhet är kännedomen om vad dessa dokument har för innehåll och syfte låg hos många medarbetare och chefer. Säkerhetsarbetet implementeras inte i de ordinarie verksamhetsprocesserna. Kärnverksamheten uppfattar inte att den har något ansvar för informationssäkerheten, utan att det ligger någon annanstans i myndigheten såsom på IT- eller säkerhetsfunktioner. Det saknas till betydande delar delaktighet och ansvarstagande som bör genomsyra hela myndigheten, och det finns en bristande förståelse för behovet av säkerhetsinvesteringar utan synbar nytta. Riskanalyser sker på varierande sätt inom och mellan de granskade myndigheterna och omfattar mer än endast informationssäkerhet. Det är inte fel i sig, men inom myndigheterna bidrar det till överlappningar och risk för att områden hamnar mellan stolarna såväl som att vissa områden inte blir belysta. Myndigheterna sammanställer sällan sina olika analyser till en övergripande analys med inriktning mot informationssäkerhet. från ett informationssäkerhetsperspektiv är det ett splittrat tillvägagångssätt, som behöver samordnas bättre. Det är svårt att få en samlad bild av informationssäkerhetsläget vid myndigheterna, vilket hänger samman med att det ofta saknas en strukturerad uppföljning av hur ledningssystemet fungerar. Bristen på uppföljning försvårar ett förbättringsinriktat arbetssätt. Avsaknaden av ett lärandeperspektiv visar sig även i incidenthanteringen, som mer är inriktad mot att skapa statistik än att ta reda på orsaker till att incidenter inträffar. kan konstatera att arbetet med informationssäkerhet på de granskade myndigheterna sker på varierande sätt, trots att betydande delar av detta arbete borde vara generiskt till sin karaktär. Det kan också konstateras att de delar av informationssäkerhetsarbetet som omfattar IT-säkerhet och fysiskt skalskydd överlag visar sig bättre än de organisatoriska delarna, även om det för IT-säkerhet finns förbättringspotential. Många av komponenterna i ledningssystemet verkar finnas till för att det är ett krav, snarare än att de skulle kunna vara ett kraftfullt verktyg för att bedriva förändringsarbete. RI KS R E VI S I O N E N I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Regeringen har inte sett till att det finns nödvändiga förutsättningar Vid en första anblick kan förutsättningarna synas vara till fyllest genom att regeringen har skapat vissa förutsättningar för myndigheterna att kunna arbeta med intern styrning och kontroll av informationssäkerheten. Det finns en struktur på plats med olika författningar som är avsedda att styra detta arbete. En del i detta är att regeringen har beslutat att ledningen för ett antal myndigheter ska intyga att den interna styrningen och kontrollen är betryggande. Varje departement för dessutom regelbundna dialoger med myndigheternas ledning. Likväl visar granskningen att det är allvarliga brister i myndigheternas informationssäkerhetsarbete. bedömer att det behövs en starkare styrning från regeringen gentemot myndigheterna, så att nödvändiga säkerhetsåtgärder verkligen blir genomförda. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god. Om regeringen inte efterfrågar information om myndigheternas informationssäkerhet och inte framhåller vikten av god informationssäkerhet bedömer att myndigheternas ledningar inte heller kommer att prioritera frågan. Kostnaderna för informationssäkerhet är okända För att kunna ta ställning till om det fattas välgrundade beslut om vilka åtgärder som behöver vidtas för att skydda all information i statsförvaltningen som är värd att skydda behövs en samlad lägesbild över hot, risker och lämpliga åtgärder. Till detta kommer ett behov av att känna till hur stora kostnader som läggs ned på informationssäkerhet. Först när dessa bilder har framträtt är det möjligt att väga kostnader mot nytta av skyddsåtgärder och på så sätt uppnå en optimal nivå på informationssäkerheten i staten som helhet. Det saknas uppgifter om myndigheternas kostnader för informationssäkerhet, såväl när det gäller enskilda myndigheter som för statsförvaltningen i stort. Därmed går det inte att uttala sig om hanteringen av informationssäkerheten är kostnadseffektiv. Det är enligt bedömning en påtaglig brist att regeringen inte efterfrågar dessa uppgifter, särskilt i förhållande till att IT är utpekat som ett centralt verktyg för att utveckla statsförvaltningen. Resurserna används sannolikt inte effektivt Den svenska statsförvaltningen fungerar på det sättet att myndigheterna åtnjuter en långtgående självständighet när det gäller att organisera sin verksamhet. Av det följer att alla myndigheter i statsförvaltningen, oavsett storlek, har att själva ombesörja sin egen informationssäkerhet. Det innebär att de antingen måste göra det mesta av arbetet själva, eller anlita konsulter. För de största myndigheterna är förutsättningarna bättre för att på egen hand kunna bygga upp och upprätthålla en god informationssäkerhet på grund av skalfördelar. För de flesta av myndigheterna är dock förutsättningarna inte lika goda. Denna granskning har visat att det är en tung RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N uppgift även för tämligen stora myndigheter att bedriva ett framgångsrikt informationssäkerhetsarbete. MSB bistår med bra vägledning för hur en myndighet ska arbeta med informationssäkerhet. För flera av de granskade myndigheterna är det likväl inte tillräckligt då de faktiskt lider brist på operativt bistånd, något som MSB inte lämnar . Detta leder enligt bedömning till att informationssäkerhetsarbetet på aggregerad nivå sannolikt inte är kostnadseffektivt. Granskningen visar att myndigheternas arbete med informationssäkerhet har allvarliga brister. lämnar därför följande rekommendationer till regeringen. xMyndigheterna har inte lyckats med att skapa ett informationssäkerhetsarbete som uppfyller kraven i MSB:s föreskrifter och därmed i den standard som ligger till grund för arbetet (ISO 27000). För att öka förutsättningarna att klara kraven rekommenderar regeringen att öka tydligheten i sin myndighetsstyrning, så att var och en av myndigheterna i statsförvaltningen uppnår god informationssäkerhet inom rimlig tid. xDet finns ett behov av att komplettera MSB:s metodstöd vid riskanalyser för att bättre kunna ta till vara resultaten av de olika processerna och ställa samman dem till en övergripande enhet, så att allt nedlagt riskhanteringsarbete kommer till bästa nytta. Regeringen bör därför överväga att ge MSB i uppdrag att ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer. Denna modell bör så långt det är möjligt stödja myndigheternas arbete med risker och med att ställa samman dem på ett hanterbart sätt. Det är också viktigt att regeringen genom sin myndighetsstyrning ser till att myndigheterna också tillämpar modellen. xFör att få ett effektivt skydd av informationstillgångarna i staten är det väsent- ligt att kunna göra avvägningar mellan kostnader och nytta. Det är inte möjligt , eftersom kostnaderna för myndigheternas insatser för informationssäkerhet är okända. Det vore även angeläget att undersöka hur beslut om investeringar i informationssäkerhet sker i praktiken och vilka organisatoriska faktorer som påverkar synen på investeringar i informationssäkerhet. Regeringen bör därför låta utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten. xVar och en av myndigheterna har att på egen hand pröva sig fram till hur de ska bedriva sitt informationssäkerhetsarbete. MSB:s vägledningar är bra, men det som fattas myndigheterna är ett operativt stöd. rekommenderar därför regeringen att överväga att låta utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna. RI KS R E VI S I O N E N I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R 1.1 Bakgrund och motiv I statsförvaltningen hanteras mycket information som är skyddsvärd. Det handlar om allt från information som hanteras inom ramen för myndighetsutövning mot enskilda till sådan information som avser rikets säkerhet. Informationssäkerhet innebär att se till att all skyddsvärd information är tillgänglig, riktig, konfidentiell och spårbar. Arbetet med att bygga och upprätthålla en god informationssäkerhet är en process som består av regler, rutiner och fysiska skyddsåtgärder. För att göra det behöver man införa ett ledningssystem som bland annat innebär att myndighetens information klassificeras utifrån tillgänglighet, riktighet och konfidentialitet samt att utifrån en riskanalys avgöra vilka åtgärder som behöver vidtas för att säkra informationen.1 Informationssäkerhet är en fråga som berör samtlig personal i en myndighet. Det är alltså inte endast myndighetens ledning och säkerhetspersonalen som har ansvar för att bidra till att upprätthålla en god informationssäkerhet, utan alla som arbetar i en myndighet har detta ansvar. granskade –2007 arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen.2 Dessa myndigheter bedriver samhällsviktig verksamhet, hanterar mycket pengar, är starkt IT-beroende och hanterar skyddsvärd information. Informationssäkerhet var alltså en viktig förutsättning för verksamheten, något som i ännu högre utsträckning gäller . Några exempel är Arbetsförmedlingen som i genomsnitt hade cirka 664 000 arbetslösa inskrivna och transfereringar som uppgick till , som betalade ut mer än och som tog emot drygt 163 000 asylansökningar och betalade ut i bidrag.3 Granskningarna av dessa myndigheter visade ett flertal brister när det gäller 1I definitionen av ledningssystem ingår inte spårbarhet som en separat variabel, utan utgör i stället delmängder av tillgänglighet och konfidentialitet. 2Granskning av Statens pensionsverks interna styrning och kontroll av informationssäkerheten (promemoria 2005, dnr 31-2004-1295), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2005:27), Granskning av interna styrning ochkontroll av informationssäkerheten (RiR 2006:24), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006: 25), Granskning av interna styrning och kontroll av informationssäkerheten (RiR 2006:26), informationssäkerhet (promemoria 2005, dnr 32-2005-0717), Granskning av interna styrning och kontroll av informationssäkerheten (revisionsrapport , dnr 32-2005-0655), Post- och informationssäkerhet (revisionsrapport , dnr 32-2005-0738), Löpande granskning av 2005 (revisionsrapport , dnr 32-2005-0714), Försvarsmaktens styrning av informationssäkerhetsarbetet (revisionsrapport , dnr 32-2005-0551), Löpande granskning av 2006 (revisionsrapport , dnr 32-2006-0700) samt Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). 3Arbetsförmedlingens, respektive årsredovisningar . 10 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N myndigheternas arbete med informationssäkerhet. Regeringen hade inte följt upp om myndigheternas interna styrning och kontroll av informationssäkerhet var tillfredsställande, och regeringen hade inte heller gett myndigheterna tillräckliga förutsättningar för ett effektivt informationssäkerhetsarbete. granskade ånyo informationssäkerhet. undersöktes regeringen och dess stöd- och tillsynsmyndigheters styrning och stöd inom informationssäkerhetsområdet.4 Granskningen visade att regeringen inte utövat en effektiv styrning. Den visade också att regeringens stöd- och tillsynsmyndigheter endast delvis hade vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. 1.2 Syfte och avgränsningar Syftet med denna granskning har varit dels att ånyo granska informationssäkerhetsarbetet vid de myndigheter som granskade 2005–2007, dels att bedöma om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. Granskningen omfattar de myndigheter vars arbete med informationssäkerhet granskades av –2007, det vill säga , , , , , , , samt . ingick i gruppen av myndigheter som granskades, men har upphört. Denna granskning är, liksom granskning, inriktad mot den civila statsförvaltningen; därför ingår inte heller Försvarsmakten, som granskades . De utvalda myndigheterna bestämdes 2005 utifrån risk och väsentlighet, och utgör från storlekssynpunkt en betydelsefull del av statsförvaltningen. Utöver dessa myndigheter omfattar granskningen även regeringen och dess kansli samt (). ESV är berört eftersom myndigheten har ett särskilt utpekat ansvar för intern styrning och kontroll i statsförvaltningen. Vi har granskat om myndigheterna utifrån dagens krav och förutsättningar bedriver ett informationssäkerhetsarbete på ett sådant sätt att de uppnår ett ändamålsenligt skydd av sina informationstillgångar. Det innebär även att vi har undersökt om det finns effektiva processer för att identifiera och hantera risker kopplade till informationssäkerhet. 4Riksrevisionens granskningsrapport i den civila statsförvaltningen (RiR 2014:23). RI KS R E VI S I O N E N 11 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Det sätt på vilket regeringen styr och följer upp myndigheterna är avgörande för att den ska kunna förvissa sig om att statsförvaltningen är effektiv och kunna gå i god för att statens medel förvaltas på ett betryggande sätt.5 Ett ytterligare moment i granskningen har därför varit att undersöka om regeringen har följt upp myndigheternas interna styrning och kontroll för arbetet med informationssäkerhet och om myndigheterna fått tillräckliga förutsättningar för att bedriva detta, så att de uppnår goda resultat. För att informationssäkerheten ska vara effektiv, såväl för respektive myndighet, som för statsförvaltningen i stort krävs att det går att väga kostnader mot nytta. Därför har vi låtit en konsult undersöka kostnadsbilden. I denna granskning har utgått från följande bestämmelser • 1 kap. 3 § budgetlagen (2011:203) • 3 § och 4 § 4 myndighetsförordningen (2007:515) • 2–5 §§ förordningen om intern styrning och kontroll (2007:603) • Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10)6 med stöd av 30 a och 34 §§ förordningen (2006:942) om krisberedskap och höjd beredskap 7 •Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2015:3) med stöd av 9 och 34 §§ förordningen om krisberedskap och höjd beredskap 8 Statlig verksamhet ska eftersträva hög effektivitet och god hushållning. Ledningen för en myndighet ska även säkerställa att det finns en intern styrning och kontroll som fungerar på ett betryggande sätt.9 Av det följer, enligt bedömning, att myndigheterna i statsförvaltningen bör ha ett ändamålsenligt skydd för sin information. Informationssäkerheten utgör därmed en viktig del av den interna styrningen och kontrollen. utgör en betryggande intern styrning och kontroll en förutsättning för en god informationssäkerhet. 5Departementspromemorian Intern styrning och kontroll i staten (Ds 2006:15), s. 17 f. 6Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndighetersinformationssäkerhet (MSBFS 2009:10) upphörde att gälla , då Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet (MSBFS2016:1) började att gälla. 7Förordningen(2006:942) om krisberedskap och höjdberedskap upphörde att gälla , då förordningen (2015:1052) om krisberedskapoch bevakningsansvariga myndigheters åtgärder vid höjd beredskap började att gälla. 91 kap. 3 § budgetlagen (2011:203) samt 3 § och 4 § 4 myndighetsförordningen (2007:515). 12 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Med intern styrning och kontroll avses den process som syftar till att en myndighet med rimlig säkerhet bedriver sin verksamhet effektivt och rättsenligt samt att redovisningen är tillförlitlig och rättvisande. Denna process ska innehålla ett antal viktiga moment. För det första ska myndigheten göra en riskanalys för att identifiera omständigheter som utgör risk för att myndigheten inte lever upp till dessa krav. Med ledning av riskanalysen ska myndigheten vidta de åtgärder som är nödvändiga för att kraven ska fullgöras med rimlig säkerhet. Vidare ska den interna styrningen och kontrollen systematiskt och regelbundet följas upp och bedömas.10 Processen för intern styrning och kontroll bygger på den så kallade COSO-mo- dellen.11 För informationssäkerheten som sådan finns en standard för ledningssystem för informationssäkerhet (ISO 27000), som är införlivad i Myndigheten för samhällsskydd och beredskaps (MSB:s) föreskrifter om statliga myndigheters informationssäkerhet (MSBSF 2009:10). Även MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2015:3) är en utgångspunkt för denna granskning. Utifrån dessa normer har granskat områden som rör myndigheternas kontrollmiljö, organisering, riskanalyser, säkerhetsåtgärder, kontroll, uppföljning, information och utbildning. Det ankommer på regeringen att försäkra sig om att myndigheternas ledningar lever upp till sitt förvaltningsansvar. Det är därför av betydelse för regeringen att myndigheternas interna styrning och kontroll fungerar väl. En förutsättning är att regeringen preciserar vad som avses med intern styrning och kontroll, och ställer tydliga krav på myndigheternas ledningar.12 Om det finns brister kan regeringen behöva vidta åtgärder för att komma till rätta med dessa. Enligt mening innebär regeringens ansvar för intern styrning och kontroll att regeringen bör ställa tydliga krav på att myndigheterna bedriver ett arbete som leder till att ett ledningssystem är på plats och att det tillämpas i hela myndigheten. I detta ingår också att regeringen bör begära återrapportering om åtgärder är vidtagna och, om så inte skett, se till att det sker. Vi har granskat Arbetsförmedlingen, och särskilt ingående genom ett mätinstrument för status på informationssäkerhet.13 Med 102–5 §§ förordningen (2007:603) om intern styrning ochkontroll. 11Den amerikanska oberoende revisionsorganisationenCommittee of of the Treadway Commision (COSO) har beskrivit intern styrning ochkontroll i en särskildmodell som kallas för COSO-modellen. 12Departementspromemorian Intern styrning och kontroll i staten (Ds 2006:15), s. 45.