prop · H40342 · 2016-11-14 00:00:00 — Radar Ecosystem Specialists: IT- och informationssäkerhet – statliga myndigheter och verk, 2015–2016 Enkätundersökning till , , , , samt Interna regler, riktlinjer, policyer, m.m. vid de granskade myndigheterna Minnesanteckningar från ledningsgruppsmöten vid de granskade myndigheterna Protokoll från styrelsemöten vid de granskade myndigheterna 44 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Förklaringar till ord och begrepp Här följer förklaringar till de särskilda ord och begrepp som används i rapporten. Behörighet – Med behörighet avses av systemansvarig tilldelad rättighet till system. Behörighet kan bestå av olika nivåer som till exempel endast läsrättighet, rätt att registrera och rätt att radera. Behörigheten kopplas till ett användarkonto. Behörighets- och kontrollsystem – Med behörighetskontrollsystem (BKS) avses ett system som administrerar användarkonton och tilldelar åtkomst till material och funktioner i ett verksamhetssystem. BKS verifierar behörig användare genom att kontrollera användarens användarkonto och i detta registrerat lösenord mot det lösenord som användaren anger vid inloggning. Exempel på BKS som kan ingå i en användares inloggning är arbetsplatsens, nätverkets, applikationsserverns, databasserverns och databashanterarens. BKS-rättigheter ger användare rätt att använda en funktion i systemet. Detta kan exempelvis innefatta rättigheter att skapa ärenden, skapa dokument, redigera dokument, m.m. Behörighet tilldelas till enskilda dokument, mappar och ärenden för att ange vilka användare som ska få läsa dessa och vilka användare som ska få behörighet att redigera dem. Datamedia – Bärare av information i form av hårddiskar, databand, disketter, usbminnen eller liknande. Eskalering – Att föra upp en risk på en högre organisatorisk nivå för beslut om huruvida risken ska hanteras och i så fall hur. Att man eskalerar en risk kan bero på att man inte har tillräckliga resurser eller möjligheter att hantera den på ifrågavarande organisatoriska nivå eller att risken är delad på flera ställen i organisationen eller förekommer på många olika ställen i organisationen. Externredovisning – Den externa redovisningen omfattar bokföring, årsredovisning och i vissa fall även koncernredovisning. Den ska främst utmynna i en resultaträkning och en balansräkning , och i vissa fall även i en kassaflödesanalys. Fjärranslutning – En teknik för fjärråtkomst som möjliggör att anställda kan komma åt sina e-postkonton och delade filer hemifrån eller på andra platser utanför företagets nätverk via internet. Gruppidentiteter – En användaridentitet i systemet som inte är kopplad till en enskild person. Informationsägare – Informationsägare är den som äger och ansvarar för att informationen är riktig och tillförlitlig samt för det sätt genom vilket informationen sprids. Informationsägaren formulerar dels icke-funktionella krav som tillgänglighet, kapacitet, säkerhetsnivå, dels funktionella krav som på vilket sätt information ska visas och vilken information som ska finnas. Informationsägaren är därmed riskägare för den information som ska hanteras. RI KS R E VI S I O N E N 45 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Incident – Oönskad och oplanerad händelse som kan påverka en organisation och som kan innebära en störning av organisationens förmåga att bedriva sin verksamhet. Incidentrapportering – Rutin för att rapportera incidenter i verksamheten. Syftet med rapporteringen är att skapa en erfarenhetsbank och underlag för förbättringsåtgärder Informationstillgångar – Med informationstillgångar avses verksamhetens information och tillgångar relaterade till informationshantering, såsom IT-system, medarbetare, , etc. Internredovisning – Intern redovisning används bland annat för framtagande och uppföljning av budgetar och ekonomiska kalkyler samt av rapporter som används löpande . Till skillnad från den externa redovisningen finns det ingen lagstiftning som reglerar hur den interna redovisningen ska utformas eller vad den ska omfatta. Intrångstest (PEN-test) – Tekniska sårbarhetsanalyser eller så kallade penetrationstester är ett vedertaget sätt att skanna IT-system eller nätverk i syfte att upptäcka kända brister och svagheter i IT-systemen som kan bli kritiska för verksamheten. ISO 27000 – ISO/IEC 27000-serien är en samling säkerhetsstandarder utgivna av standardiseringsorganisationerna ISO och IEC. I är beteckningen för serien SS-ISO/IEC 27000. Standarderna i ISO/IEC 27000-serien är verktyg som en organisation kan välja att utgå ifrån i arbetet med informationssäkerhet. Standarderna kan ge en organisation riktlinjer för hur risker och hot kan kartläggas och hanteras på ett systematiskt sätt. Standardserien omfattar ledningens ansvar, administrativa rutiner och övergripande krav på IT-infrastruktur. Det finns möjlighet till oberoende certifiering av informationssäkerheten, i likhet med standarder för kvalitet ISO 9000 och miljö ISO 14000. I bedrivs utvecklingen av SIS, . IT-incident – en oönskad och oplanerad IT-relaterad händelse som kan påverka säkerheten i en organisations eller samhällets informationshantering, och som kan innebära en störning i förmågan att bedriva en verksamhet. Kontinuitetsplanering – En metod för att säkerställa organisationens leveransförmåga genom att planera för fortsatt verksamhet vid förlust av operativ förmåga. Det vill säga att trots avbrott kunna leverera de tjänster eller produkter som är viktigast för organisationen och dess avnämare. Kärnverksamhet – En myndighets verksamhet brukar delas upp i kärnverksamhet och stödverksamhet. Det finns ingen given definition av vad som ska betraktas som kärnverksamhet (och följaktligen inte heller av vad som ska betraktas som stödverksamhet). Statlig kärnverksamhet kan definieras som den verksamhet som en myn- 46 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N dighet bedriver enligt lagar, förordningar och andra styrdokument. Stödverksamheten utgörs av det stöd i olika avseenden som ges för att kärnverksamheten ska kunna bedrivas. I denna rapport hanteras säkerhetsstab, IT-avdelning och liknande funktioner som stödverksamhet. Ledningssystem för informationssäkerhet () – Alla organisationer har ett ledningssystem, eller ett ”system” för att leda verksamheten. Det handlar helt enkelt om hur ledningen styr verksamheten. Detta ledningssystem kan vara mer eller mindre strukturerat och mer eller mindre konkret. Det kan kallas för styrsystem eller styrmodell eller ingenting alls, men det finns där. Ett ledningssystem för informationssäkerhet är den del av ledningssystemet som styr informationssäkerheten i verksamheten. Prestandamätning – En analysmetod som mäter existerande säkerhetsnivå i förhållande till ett bör-läge, som utgår från såväl kraven i ISO 27000-standarden som i olika författningar. Metoden är generisk och fungerar på de flesta typer av verksamhet. Revisionsloggar – Logg för att registrera användning, ändringar, statusförändring eller avvikelser i ett system. Riskhantering – en process för att identifiera och hantera risker som omfattar riskanalys (definiera omfattning, identifiera risker, beskriva risker), riskvärdering (värdera om risken kan tolereras, analysera alternativ) och riskreduktion/kontroll (fatta beslut, åtgärda, följa upp). S-koder – En kodstruktur för att samla in statliga myndigheters ekonomiska information i en enhetlig struktur i statsredovisningssystemet. Skalskydd – Skalskydd är den gräns i ett utrymme, en lokal eller en fastighet som har ett fysiskt skydd vilket försvårar forcering och obehörigt tillträde. Uppdelning av skalskydd görs i mekaniskt skydd, elektroniskt skydd och bevakning. Systemadministrativa behörigheter – Tillgång till rättigheter i ett system utöver vad vanliga användare har. Kan exempelvis bestå av rättighet att redigera systeminställningar, lägga upp och ändra behörighet på andra användare, m.m. Tvåfaktorautentisering – identitetskontroll (autentisering) med hjälp av två skilda former av information, till exempel ett kort och ett lösenord. VPN – Virtuellt privat nätverk. Teknik som används för att skapa en säker förbindelse eller "tunnel" mellan två punkter i ett icke-säkert datanätverk (till exempel internet). Exempel på användning av VPN-anslutningar är att någon på resande fot kopplar upp sig mot företagets server för att arbeta som om klienten vore ansluten i det lokala nätverket. Ett trådlöst, lokalt datornätverk. RI KS R E VI S I O N E N 47 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R 48 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Översikt av mätområden för de djupt granskade myndigheterna Denna bilaga beskriver översiktligt den struktur som gäller för de fördjupade granskningar som skett av informationssäkerhetsarbetet på Arbetsförmedlingen, och . När det gäller de andra granskade myndigheterna har utgångspunkten främst varit det som de tidigare granskningarna har visat. Det gör att strukturen inte i alla delar stämmer överens med de fördjupade mätningarna. består av följande kategorier. Kategorin Personal och informationssäkerhet omfattar bland annat medvetenhet om regler och förekomst av information och utbildning när det gäller informationssäkerhet. Kategorin Skalskydd omfattar hantering av besökare och passersystem. Kategorin Informationssäkerhetsledning omfattar ledningssystem för informationssäkerhet () samt ansvar och utvärdering av detsamma. Avsikten med kategorin är att granska om verksamheten är så organiserad att den förmår driva ett . Syftet med kategorin Analys och kontroll är att granska om ett strukturerat säkerhetsarbete bedrivs med regelbundna kontroller och analyser, om det genomförs riskanalyser samt om kontinuitetsplanering sker i tillräcklig omfattning. Kategorin Informationstillgångar omfattar klassificering av informationstillgångarna och dylikt. Syftet är att granska om myndigheten har kontroll över väsentliga informationstillgångar genom bland annat applikationer, databaser samt nyckelpersoner. RI KS R E VI S I O N E N 49 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Syftet med kategorin Incidenthantering är att bedöma förmågan att kunna hantera och följa upp incidenter och omfattar såväl själva hanteringen som hur den är organiserad. Syftet med kategorin Ledningens styrande dokumentation är att undersöka om det finns ett ramverk av styrande dokument för informationssäkerhetsarbetet. System (IT) () består av följande kategorier. Kategorin Behörigheter och kontrollsystem omfattar säker hantering av lösenord och dokumentation av behörigheter. Kategorin Spårbarhet omfattar användaridentiteter och dokumentation av incidenter. Kategorin Ledningens styrande dokumentation omfattar lösenordsdesign och regler för fjärranslutning av teknisk utrustning. Mätområdet Riskhantering är särskilt framtaget för granskning och är inte indelat i kategorier. syfte med mätområdet är att påvisa frekvensen av olika processer för riskhantering med utgångspunkt från tre av de författningar som innehåller bestämmelser om riskhantering: MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10), MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2015:3) samt förordningen om intern styrning och kontroll (2007:603). 50 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Sammanställning av mätresultaten från de djupt granskade myndigheterna Bedömning 1–5 Info/utbildning om RI KS R E VI S I O N E N 51 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Bedömning 1–5 Överföring av krav på 52 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Bedömning 1–5 RI KS R E VI S I O N E N 53 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Bedömning 1–5 54 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N Lista över roller för intervjupersoner vid de djupt granskade myndigheterna Den befattningshavare som har ansvar för och därmed hårdvara, mjukvara och kommunikation i en myndighet. Normalt är denna roll IT-chef. Den befattningshavare som har ansvar för bevaka IT-säkerhetsfrågor, det vill säga tekniska säkerhetsåtgärder i verksamhetens IT-system. Den befattningshavare som har ansvar för att driva informationssäkerhetsfrågor i myndigheten, framför allt rörande organisatorisk-administrativ säkerhet. Den befattningshavare som är ansvarig för driften av myndighetens IT-system. I vissa myndigheter innehas denna roll av IT-chef eller motsvarande. I andra myndigheter är denna roll delegerad till annan medarbetare. Den befattningshavare som har ansvar för information som hanteras i ett för myndigheten viktigt verksamhetssystem (IT-system). Informationsägaren äger ansvar för sin verksamhet, därmed också för informationen och dess hantering. Informationsägarens viktigaste roll både vad gäller säkerhet och funktionalitet är att vara kravställare. Den befattningshavare som är ansvarig för att funktionalitet och säkerhet hanteras i ett för myndigheten viktigt verksamhetssystem (IT-system), som motsvarar de krav verksamheten (informationsägaren) ställt. Representant för myndighetens ledning, till exempel generaldirektör eller ställföreträdande generaldirektör. Kan också vara annan representant i en myndighets ledningsgrupp, dock ej IT-chef. Representant från myndighetens styrelse eller myndighetschef i en enrådigt styrd myndighet. Den befattningshavare som har ett centralt ansvar för personal- och HR-frågor. RI KS R E VI S I O N E N 55 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Den befattningshavare som har ett övergripande säkerhetsansvar i myndigheten, det vill säga framför allt fysiskt skydd och personssäkerhet. Den befattningshavare som har till uppgift att granska den interna styrningen och kontrollen. Den befattningshavare som har ett uttalat verksamhetsansvar, och därmed har ansvar för att hantera risker i sin verksamhet. Den befattningshavare som ansvarar för att genomföra riskanalyser i enlighet med förordningen (2006:942) om krisberedskap och höjd beredskap.101 Riskanalysutförare för området intern styrning och kontroll Den befattningshavare som ansvarar för att genomföra riskanalyser i enlighet förordningen (2007:603) om intern styrning och kontroll. Den befattningshavare som ansvarar för att genomföra riskanalyser i enlighet med Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10).102 Medarbetare utan särskild kunskap om informationssäkerhet och som representerar användarperspektivet på olika nivåer i myndigheten. 101Sedan 1 april 2016 enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. 102Sedan 4 april 2016 enligt Myndigheten för samhällsskydd ochberedskaps föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS2016:1). 56 RI KS RE VI S I O N E N informationssäkerhetsarbete på nio myndigheter har granskat hur nio myndigheter arbetar med informationssäkerhet. Det är samma myndigheter som granskades av –2007. Granskningen omfattar också samt regeringen och dess kansli med utgångspunkt från intern styrning och kontroll, som informationssäkerhet är en viktig del av. Granskningen berör även kostnadsbilden av informationssäkerhet. Granskningen visar att myndigheterna har allvarliga brister i sitt informationssäkerhetsarbete. Myndigheterna uppnår inte en godtagbar nivå på arbetet. Regeringen har inte heller sett till att nödvändiga förutsättningar ﬁnns för myndigheterna att ha ett ändamålsenligt informationssäkerhetsarbete. lämnar med anledning av granskningen också vissa rekommendationer till regeringen i syfte att få till stånd ett förstärkt informationssäkerhetsarbete. De granskade myndigheterna är: , , , , , , , samt . nybrogatan 55, 114 90 Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , , Y , Baylan, Bucht, , , , Hellmark , Ygeman, A , , Bah Kuhnke, Strandhäll, Shekarabi, , , , , , Regeringen beslutar skrivelse om informationssäkerhetsarbete på nio myndigheter