prop · H40342 · 2016-11-14 00:00:00 — Regeringens skrivelse 2016/17:42 informationssäkerhetsarbete på nio myndigheter Regeringen överlämnar denna skrivelse till . har granskat hur nio myndigheter arbetar med sin informationssäkerhet och om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. samlade slutsats är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en nivå som är märkbart under vad som är tillräckligt. Regeringen instämmer i huvudsak i samlade slutsats om de myndigheter som granskats. har bl.a. identifierat ett behov av bättre stöd till myndigheterna i informationssäkerhetsarbetet och ett behov av en starkare styrning från regeringen gentemot myndigheterna. Regeringen har genom olika initiativ och åtgärder ökat kraven på myndigheternas informationssäkerhetsarbete, bl.a. genom att införa obligatorisk it-incidentrapportering för statliga myndigheter. För att samhället ska lyckas med utmaningarna inom informations- och cybersäkerhetsområdet behöver arbetet stärkas genom en förbättrad samordning och samverkan, vilket i sin tur kräver gemensamma färdriktningar och målsättningar för alla aktörer i samhället. Regeringen avser därför ta fram en nationell strategi för samhällets informations- och cybersäkerhet. Regeringen instämmer i huvudsak i iakttagelser och kommer mot den bakgrunden att överväga hur den nationella strategin bör utformas för att hantera iakttagelserna. Regeringen anser att är slutbehandlad i och med denna skrivelse. Ärendet och dess beredning .............................................................. iakttagelser och rekommendationer........................ rekommendationer till regeringen............ Regeringens bedömning av iakttagelser och rekommendationer till regeringen ...................................... Öka tydligheten i myndighetsstyrningen........... Ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer........................ Utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i Utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna ............ 4 Regeringens åtgärder med anledning av Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerhet i staten (RiR 2016:8) .......................................................... Utdrag ur protokoll vid regeringssammanträde 1 Ärendet och dess beredning har granskat hur följande myndigheter arbetar med sin informationssäkerhet: Arbetsförmedlingen, , , , , , , samt . Regeringen, och har också ingått i granskningen. Granskningen har resulterat i rapporten på nio myndigheter – En andra granskning av informationssäkerheten i staten. Rapporten överlämnades av till regeringen , se bilaga. 2Riksrevisionens iakttagelser och rekommendationer har undersökt hur nio myndigheter arbetar med sin informationssäkerhet. har granskat om myndigheterna utifrån dagens krav och förutsättningar bedriver ett informationssäkerhetsarbete så att de uppnår ett ändamålsenligt skydd av sina informationstillgångar, och om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av informationssäkerheten. har även låtit undersöka kostnadsbilden för informationssäkerhetsarbete. samlade slutsats är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en nivå som är märkbart under vad som är tillräckligt. menar att en viktig förklaring till det är att förståelsen för vikten av en god informationssäkerhet överlag är alltför liten och att detta får till följd att arbetet med informationssäkerhet inte blir tillräckligt prioriterat i förhållande till de risker som finns. Granskningen av Arbetsförmedlingen, och har varit särskilt djupgående. konstaterar att ingen av dessa myndigheter kan sägas bedriva ett systematiskt informationssäkerhetsarbete som motsvarar kraven i Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). Situationen på de sex andra granskade myndigheterna – , , , , samt – varierar enligt , men sammanfaller i stora delar med hur det ser ut på de tre särskilt djupt granskade myndigheterna. anser att regeringen inte har sett till att de nödvändiga förutsättningarna finns för myndigheternas informationssäkerhetsarbete. 2016/17:42 bedömning är att ett övergripande regelverk inte är tillräckligt, utan att det behövs en starkare styrning från regeringen gentemot myndigheterna för att ledningen på respektive myndighet ska prioritera frågan. Vidare konstaterar att det saknas uppgifter om myndigheternas kostnader för informationssäkerhet, både när det gäller enskilda myndigheter och för statsförvaltningen i stort. Därmed anser att det inte går att uttala sig om kostnadseffektiviteten av hanteringen av informationssäkerheten, och att det är en påtaglig brist att regeringen inte efterfrågar dessa uppgifter. pekar på att den svenska statsförvaltningen fungerar på det sättet att myndigheterna själva ombesörjer sin egen informationssäkerhet. konstaterar att förutsättningarna för att bygga upp och upprätthålla en god informationssäkerhet är bättre hos de största myndigheterna som kan dra nytta av skalfördelar. Förutsättningarna hos det stora flertalet myndigheter bedöms dock inte som lika goda. Granskningen pekar på att det är en tung uppgift även för tämligen stora myndigheter att bedriva ett framgångsrikt informationssäkerhetsarbete. konstaterar att MSB bistår med bra vägledning men att flera av de granskade myndigheterna lider brist på operativt bistånd. Mot den bakgrunden menar att informationssäkerhetsarbetet på aggregerad nivå sannolikt inte är kostnadseffektivt. 2.2Riksrevisionens rekommendationer till regeringen har lämnat följande rekommendationer till regeringen. 1.De myndigheter som granskats särskilt djupgående har inte lyckats med att skapa ett informationssäkerhetsarbete som uppfyller kraven i MSB:s föreskrifter och därmed i den standard som ligger till grund för arbetet (ISO 27000). För att öka förutsättningarna att klara kraven rekommenderar regeringen att öka tydligheten i sin myndighetsstyrning, så att var och en av myndigheterna i statsförvaltningen uppnår god informationssäkerhet inom rimlig tid. 2.Det finns ett behov av att komplettera MSB:s metodstöd vid riskanalyser för att bättre kunna ta till vara resultaten av de olika processerna och ställa samman dem till en övergripande enhet, så att allt nedlagt riskhanteringsarbete kommer till bästa nytta. Regeringen bör därför överväga att ge MSB i uppdrag att ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer. Denna modell bör så långt det är möjligt stödja myndigheternas arbete med risker och med att ställa samman dem på ett hanterbart sätt. Det är också viktigt att regeringen genom sin myndighetsstyrning ser till att myndigheterna också tillämpar modellen. 3.För att få ett effektivt skydd av informationstillgångarna i staten är det väsentligt att kunna göra avvägningar mellan kostnader och nytta. Det är inte möjligt , eftersom kostnaderna för myndigheternas insatser för informationssäkerhet är okända. Det vore även angeläget Skr. 2016/17:42 att undersöka hur beslut om investeringar i informationssäkerhet sker i praktiken och vilka organisatoriska faktorer som påverkar synen på investeringar i informationssäkerhet. Regeringen bör därför låta utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten. 4.Var och en av myndigheterna har att på egen hand pröva sig fram till hur de ska bedriva sitt informationssäkerhetsarbete. MSB:s vägledningar är bra, men det som fattas myndigheterna är ett operativt stöd. rekommenderar därför regeringen att överväga att låta utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna. 3Regeringens bedömning av iakttagelser och rekommendationer 3.1Regeringens bedömning av övergripande slutsats samlade slutsats är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en nivå som är märkbart under vad som är tillräckligt. har inte haft någon anledning att anta att den bild som framträder vid de granskade myndigheterna inte skulle gälla även för flertalet andra myndigheter i statsförvaltningen. Regeringen instämmer i huvudsak i samlade slutsats om de myndigheter som granskats. Som framgår av rapport informationssäkerhet, och regeringen delar syn att de myndigheter som inte har omfattats av den djupgående granskningen har kommit olika långt i sitt arbete. Regeringen anser att det utifrån är svårt att bedöma om arbetet med informationssäkerhet på flertalet myndigheter ligger på en nivå som är märkbart under vad som är tillräckligt. Samhällets informationssäkerhet är en prioriterad fråga för regeringen och det är viktigt att svenska myndigheter håller en tillräckligt hög nivå i Omfattningen av hanteringen av information i elektroniska kommunikationsnät och it-system ökar i alla delar av samhället och brister i hanteringen av och säkerheten för informationen riskerar att få omfattande säkerhets- och integritetsmässiga konsekvenser såväl för samhället i stort som för enskilda. har regeringen vidtagit ett antal åtgärder som ytterligare tydliggör vikten av en god informationssäkerhet och som kommer att förbättra förutsättningarna för myndigheterna att bedriva ett Regeringen konstaterar att alla aktörer i samhället måste arbeta systematiskt för att reducera sårbarheter inom sina verksamhetsområden, 2016/17:42 samt planera för vilka åtgärder som kan vidtas och hur dessa ska vidtas innan händelser inträffar. Ur det hänseendet är det viktigt att staten föregår med gott exempel och lever upp till befintliga krav. Arbetet för att stärka informationssäkerheten i samhället måste bedrivas långsiktigt, kontinuerligt och i takt med digitaliseringen av samhället. Regeringen avser att fortsatt prioritera arbetet med att stärka samhällets informations- och cybersäkerhet. 3.2Regeringens bedömning av rekommendationer till regeringen 3.2.1Öka tydligheten i myndighetsstyrningen I granskning har det framkommit att de myndigheter som granskats mer fördjupat inte har lyckats med att skapa ett informationssäkerhetsarbete som uppfyller kraven i MSB:s föreskrifter och därmed inte heller i den standard som ligger till grund för arbetet. För att öka förutsättningarna att klara kraven rekommenderar regeringen att öka tydligheten i sin myndighetsstyrning, så att var och en av myndigheterna i statsförvaltningen uppnår en god informationssäkerhet inom en rimlig tid. Regeringen delar bedömning att myndigheternas arbete behöver utvecklas och att regeringens styrning av myndigheterna spelar en viktig roll. Regeringen har genom flera initiativ och åtgärder gett myndigheternas informationssäkerhetsarbete ökat fokus. Regeringen beslutade att införa ett system för obligatorisk rapportering av it-incidenter för statliga myndigheter. Bestämmelsen började tillämpas . Syftet med systemet är att möjliggöra en förbättrad lägesbild över informationssäkerheten i statlig förvaltning och stimulera myndigheternas förmåga att förebygga, upptäcka och hantera it-incidenter. beslutade regeringen att ge en utredare i uppdrag att föreslå hur EU-direktivet om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS-direktivet) ska genomföras i svensk rätt. NIS-direktivet kommer bl.a. att innebära att en eller flera myndigheter får ett utpekat ansvar för särskilda funktioner som direktivet reglerar, samt att det kommer ställas särskilda krav på säkerheten i nätverk och informationssystem hos myndigheter inom de sektorer som direktivet reglerar. Uppdraget ska redovisas (dir. 2016:29). För att samhället ska lyckas med utmaningarna inom informations- och cybersäkerhetsområdet behöver arbetet även stärkas genom en förbättrad samordning och samverkan, vilket i sin tur kräver gemensamma färdriktningar och målsättningar för alla aktörer i samhället. Regeringen avser därför ta fram en nationell strategi för samhällets informations- och cybersäkerhet. 3.2.2 Ta fram en modell eller ett metodstöd för hur Skr. 2016/17:42 myndigheterna på ett effektivt sätt kan samordna har identifierat ett behov av att komplettera MSB:s metodstöd vid riskanalyser för att bättre kunna ta till vara resultaten av de olika processerna och ställa samman dem till en övergripande enhet, så att allt arbete som lagts ned på riskhantering kommer till bästa nytta. rekommenderar mot denna bakgrund att regeringen överväger att ge MSB i uppdrag att ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer. Regeringen instämmer i bedömning att myndigheterna genomför flera riskanalyser med olika syften för skilda delar av organisationen, och att arbetet med myndighetsövergripande riskanalyser med tydligt fokus på informationssäkerheten behöver utvecklas. Regeringens bedömning är att stödet till myndigheter i att göra riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivå kan utvecklas ur flera olika perspektiv. Regeringen kommer därför att överväga hur stödet till myndigheterna ska kunna vidareutvecklas. 3.2.3Utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten har även rekommenderat att regeringen bör låta utreda förutsättningarna för att visa samtliga kostnader som är förenade med informationssäkerhet för verksamheten i staten. anser inte att det är möjligt att göra en sådan kostnadssammanställning , eftersom kostnaderna för myndigheternas insatser för informationssäkerhet är okända. Vidare är det enligt angeläget att undersöka hur beslut om investeringar i informationssäkerhet sker i praktiken och vilka organisatoriska faktorer som påverkar synen på investeringar i informationssäkerhet. Regeringen instämmer delvis i iakttagelser. Det är myndigheternas ansvar att ha kontroll över sina resurser och investeringar, att kunna verifiera effektiviteten i verksamheten och bedöma och motivera sin resursanvändning. är det av naturliga skäl svårt att beräkna resursåtgången för informationssäkerhetsarbete. Ett seriöst arbete med informationssäkerhet ska genomsyra hela organisationen, inte enbart bedrivas vid en enskild enhet. Regeringen anser att det finns skäl att stärka kunskapen kring samhällsekonomiska kalkyler och värderingar avseende informationssäkerhetsincidenter. För att uppnå ett fullgott underlag i riskhanteringsprocessen är det inte alltid tillräckligt med en god bild av myndigheternas interna kostnader. Bedömningen av vilka investeringar som behöver göras för att öka informationssäkerheten blir mer tillförlitlig om de kostnader som åtgärden är förknippade med kan ställas mot de kostnader som samhället riskerar om incidenter inträffar. 2016/17:42 Däremot kan aggregerade sammanställningar över samtliga kostnader förenade med informationssäkerhet för all verksamhet i staten inte användas som underlag för att bedöma vilka säkerhetshöjande åtgärder som bör vidtas. Därmed bör det primära syftet med att stärka kunskapen om kostnader inte vara att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten. 3.2.4 Utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna Slutligen har rekommenderat att regeringen överväger att låta utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna. konstaterar att MSB:s vägledningar är bra, men har ändå identifierat detta behov då anser att var och en av myndigheterna på egen hand har att pröva sig fram till hur de ska bedriva sitt Regeringen anser att stödet till myndigheterna behöver utvecklas men instämmer inte i rekommendation att en central funktion bör få i uppdrag att lämna operativt stöd till myndigheterna. Informationssäkerhetsområdet befinner sig i ständig utveckling som en följd av att ny teknik och nya innovationer kontinuerligt utvecklas. Därför är det viktigt att vägledningar och utbildningar hålls uppdaterade. Vidare ser regeringen, se 3.2.2, ett behov av att stödet till myndigheter i att göra riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivå utvecklas, vilket i sin tur också bör resultera i nya och uppdaterade vägledningar. Det behövs bl.a. i syfte att underlätta för mindre myndigheter som inte har så goda förutsättningar att på egen hand utforma sitt informationssäkerhetsarbete. Alla myndigheter måste arbeta systematiskt för att reducera sårbarheter inom sina verksamhetsområden samt planera för vilka åtgärder som kan vidtas och hur dessa ska vidtas innan händelser inträffar. inte ses som enbart tekniska – lämpligt utformade rutiner och regelverk och iakttagandet av dessa är lika viktigt. För att uppnå detta behöver informationssäkerhetsfrågorna genomsyra hela organisationen och prioriteras av myndighetsledningen. Det finns en risk att möjligheten till ett operativt stöd till myndigheternas informationssäkerhetsarbete skulle kunna få en hämmande effekt på myndigheternas strävan att bygga upp en tillfredställande intern kompetens, vilket krävs för att arbetet ska kunna bedrivas effektivt och kontinuerligt. Det är myndigheten själv som har bäst kännedom om och ansvar för sin egen information, och därför bör vara bäst lämpad att fortlöpande kartlägga och värdera informationen. Bedömningen är att man behöver bygga upp en kompetens för detta arbete på respektive myndighet för att uppnå långsiktiga och hållbara MSB och andra aktörer bedriver ett stödjande arbete på Detta sker bl.a. i form av seminarier och utbildningar som syftar till att mer djupgående diskutera frågor som är kopplade till metodstöden, möjligheten att få operativt stöd vid inträffade Skr. 2016/17:42 it-incidenter eller kunskapsöverföring utifrån myndigheternas En central funktion med uppdrag att lämna operativt stöd till myndigheterna skulle kunna bli resurskrävande jämfört med det befintliga stödjande arbetet. Regeringen anser att det stödjande arbetet behöver finnas kvar i sin nuvarande form, men utvecklas med målet att på ett kostnadseffektivt sätt nå ut till så många som möjligt. 4Regeringens åtgärder med anledning av iakttagelser Regeringen har tagit emot betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23). Regeringen har även tagit emot betänkandet Utredningen om säkerhetsskyddslagen (SOU 2015:25) som innehåller förslag om hur säkerhetsskyddsregleringen bör reformeras. Vidare har regeringen tillsatt en utredning som ska lämna förslag över hur EU-direktivet om en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS- direktivet) bör genomföras i svensk rätt. Dessa underlag är viktiga i regeringens kommande arbete med att utforma en nationell strategi för samhällets informations- och cybersäkerhet. Avsikten är att strategin ska ligga till grund både för fortsatta åtgärder från regeringens sida och för åtgärder som övriga aktörer ska arbeta fram. Statliga myndigheter kommer att utgöra en central målgrupp för strategin. Regeringen instämmer i huvudsak i iakttagelser och kommer att överväga hur den nationella strategin bör utformas för att hantera iakttagelserna. Regeringen anser att är slutbehandlad i och med denna skrivelse. Informationssäkerhetsarbete på nio myndigheter En andra granskning av informationssäkerhet i staten är en myndighet under med uppgift att granska den verksamhet som bedrivs av staten. Vårt uppdrag är att genom oberoende revision skapa demokratisk insyn, medverka till god resursanvändning och eﬀektiv förvaltning i staten. bedriver både årlig revision och eﬀektivitetsrevision. Denna rapport har tagits fram inom eﬀektivitetsrevisionen, vars uppgift är att granska hur eﬀektiv den statliga verksamheten är. Eﬀektivitetsgranskningar rapporteras direkt till . isbn 978-91-7086-401-8 rir 2016:8 foto: illia uriadnikov tryck: interntryckeri, 2016 E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N T I L L RI KS D A G E N DAT UM: 2 0 1 6 -0 5 DN R: 3 1 -2 0 1 4 -1 5 2 6 RI R 2 0 1 Härmed överlämnas enligt 9 § lagen (2002:1022) om revision av statlig verksamhet m.m. följande granskningsrapport över effektivitetsrevisionen: Informationssäkerhetsarbete på nio myndigheter En andra granskning av informationssäkerhet i staten har granskat hur följande myndigheter arbetar med sin informationssäkerhet: Arbetsförmedlingen, , , , , , , samt . Regeringen, och har också ingått i granskningen. Resultatet av granskningen redovisas i denna granskningsrapport. Företrädare för och de granskade myndigheterna har fått tillfälle att faktagranska och i övrigt lämna synpunkter på utkast till rapporten. vill tacka seminariedeltagare från Försvarshögskolan, , , , Myndigheten för samhällsskydd och beredskap, Arbetsförmedlingen, , och för synpunkter. står dock helt för de slutsatser som dras i rapporten. Rapporten innehåller slutsatser och rekommendationer som avser och de granskade myndigheterna. Utöver den tryckta versionen av granskningsrapporten omfattar detta beslut bilagorna 5 och 6 i elektronisk form, vilka framgår av innehållsförteckningen. Riksrevisor har beslutat i detta ärende. Revisionsdirektör har varit föredragande. Enhetschef och revisionsdirektör har medverkat i den slutliga handläggningen. Regeringen, , , , , , , , , , , RI KS RE VI S I O N E N I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Arbetar myndigheterna systematiskt med informationssäkerhet? 2.1Organisatoriska perspektiv på informationssäkerhetsarbetet vid de tre djupt 2.2Organisatoriska perspektiv på informationssäkerhetsarbetet vid de sex andra Systemperspektiv (IT) vid de tre djupt granskade myndigheterna Systemperspektiv vid de sex andra granskade myndigheterna Riskhantering vid de tre djupt granskade Riskhantering vid de sex andra granskade Myndigheterna måste göra allt Vad kostar det? Vad visste vi före granskningen? Varför behöver vi veta kostnaderna? Vad visade ESV:s rapport? Vilka uppgifter har granskade myndigheter kunnat lämna? Vad har den kompletterande informationsinsamlingen visat? Har regeringen skapat tillräckliga förutsättningar? Vad har regeringen gjort? Vad har ESV gjort? Förklaringar till ord och begrepp Översikt av mätområden för de djupt granskade myndigheterna 49 Mätresultat från de djupt granskade myndigheterna Lista över roller för intervjupersoner vid de djupt granskade RI KS RE VI S I O N E N I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Till rapporten finns två ytterligare bilagor att ladda ned från . Dessa kan begäras ut från ärendets akt genom registraturen. Enkät till , , , , samt Konsultrapport: Radar Ecosystem Specialists: IT- och informationssäkerhet – statliga myndigheter och verk, 2015–2016 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N I statsförvaltningen hanteras mycket information som är skyddsvärd. Informationssäkerhet innebär att se till att all skyddsvärd information är tillgänglig, riktig, konfidentiell och spårbar. Informationssäkerhet är en fråga som berör samtlig personal i en myndighet. Att skapa en god informationssäkerhet är viktigt eftersom brister i denna kan få allvarliga konsekvenser, till exempel att integritetskänslig information sprids eller att utbetalningar av transfereringar stoppas. I föregående granskning av informationssäkerheten i den civila statsförvaltningen berördes ett antal hot och risker.