prop · H40342 · 2016-11-14 00:00:00 — Det handlar om hantering av behörigheter och vilka kontrollsystem som finns. Spårbarhet utgör också en del av systemperspektivet. 2.3.1 Behörigheter och kontrollsystem Alla tre myndigheter dokumenterar behörighet till olika typer av information. dokumenteras dock inte alla förändringar i behörigheter, vilket gör att det sannolikt förekommer odokumenterade behörigheter. Alla tre myndigheter administrerar sina användaridentiteter med tydliga steg (ansökan, godkännande och genomförande) när en behörighet ska tilldelas eller ändras. För två av myndigheterna sker detta främst för vanliga användare, under det att systemadministrativa behörigheter hanteras mer informellt. Vid den tredje myndigheten är det ingen skillnad i hanteringen av behörigheter mellan vanliga användare och systemadministratörer.42 Alla tre myndigheter har ett behörighets- och kontrollsystem som reglerar kontroll av tillgång till information och vilken roll den person har i organisationen som ska 40Genomgång av protokoll från styrelsemöten vid fem av de granskade myndigheterna. 41Genomgång av minnesanteckningar från ledningsgruppsmöten vid fem av myndigheterna. RI KS R E VI S I O N E N 23 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R ha tillgång till viss information. En eller flera roller kan tilldelas en individ, och används för att avskilja tillträde till informationen. Vid två av myndigheterna saknas dock en formell koppling till individens arbetsuppgifter i systemet. Den tredje myndigheten har däremot ett behovsprövat system för att ge tillträde till information där rollen är anpassad till individens identitet i systemet och arbetsuppgifter.43 2.3.2 Ledningens styrande dokumentation En av de tre myndigheterna har en lösenordspolicy som når upp till godkänt.44 För de andra två myndigheterna är kraven på längd, komplexitet och giltighetstid inte uppfyllda i policyn.45 Personalens kännedom om säker lösenordshantering är låg i alla tre myndigheterna.46 En av myndigheterna har en rutin för att kontrollera åtkomsten till sina verksamhetssystem, som dock endast används sporadiskt.47 Två av myndigheterna har en rutin som alltid används, och det går att få en förteckning av alla loggningar som gjorts. Av dessa två är det dock endast en som har en dokumenterad rutin som innehåller en tydlig beskrivning av hur verksamheten ska rapportera förändringar och där förteckningen revideras minst årligen.48 Alla tre myndigheter har regler för hur säker utveckling ska ske. Vid en av myndigheterna har de funktioner som ansvarar för styrning och uppföljning av utvecklingsprojekt även ett ansvar för att följa upp efterlevnaden av dessa regler.49 Alla tre myndigheter har dokumenterade regler för fjärranslutning av utrustning som personalen har blivit delgiven. Alla tre myndigheter använder teknisk implementation i form av VPN50 och tvåfaktorsautentisering51, vilket innebär en väsentligt minskad risk vid fjärranslutning. 45Riksrevisionen har dock inte granskat kvaliteten på lösenordshanteringen per se. En av myndigheterna har vid faktagranskningen uppgett att den endast undantagsvis använder lösenord; i stället används inloggningskort med certifikat och PIN-kod. 46Samtidigt använder samtliga tre myndigheter tekniska lösningar i form av tvåfaktorautentisering och VPN-teknik för att användaren ska kunna nyttja datorutrustningen varför bristerna i lösenordspolicyn inte torde innebära någon större risk för verksamheten överlag. 50VPN står för Virtuellt Privat Nätverk och är en teknik som används för att skapa säkra förbindelser mellan två punkter i ett icke-säkert datanätverk. 51Tvåfaktorsautentisering är en extra säkerhetsnivå som ser till att det endast är en behörig användare som kan komma åt sparade uppgifter. 24 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N 2.3.3 Spårbarhet och drift Ingen av myndigheterna når upp till godkänd nivå när det gäller reglering av spårbarhet i revisionsloggar. En myndighet saknar skriftliga bestämmelser för säkerhetsloggning.52 De två andra myndigheterna har regler för spårbarhet som omfattar de viktigaste begreppen i form av tid, användaridentitet och otillåten användning. Det saknas dock bestämmelser om att lösenord inte får loggas.53 Alla tre myndigheter tillämpar personliga identiteter för samtliga användare vid inloggning i IT- systemen. Gruppidentiteter förekommer i begränsad omfattning och sker behovsprövat med god kontroll. Systemadministrativa konton samutnyttjas dock i viss grad. Vad gäller avveckling av datamedier saknar en av myndigheterna regler för hur dessa ska avvecklas.54 De två andra myndigheterna har dokumenterade regler som beskriver hur datamedier ska avvecklas, men endast en av dem55 har regler som är sanktionerade hos ledningen. Säkerhetsansvaret för myndighetens WLAN56 finns muntligt uttalat på två av myndigheterna. På den tredje myndigheten finns detta ansvar dokumenterat i form av arbetsbeskrivningar, befattningsbeskrivningar eller motsvarande.57 Två myndigheter har rutiner för säkerhetskopiering, vilket innebär att de uppnår högsta möjliga nivå i mätningen. Säkerhetskopieringen genomförs automatiskt på de mest väsentliga systemen. Backupschema, omfattning och frekvens är tydliga och lagringen av backuper sker på annan fysisk plats än för originaldata. Informationen om vad som ska säkerhetskopieras och hur det ska ske finns lättillgängligt på annan media än i själva verktyget för säkerhetskopiering och två personer eller fler kan hantera säkerhetsfunktionen och återläsa data. Den tredje myndigheten når inte upp till godkänt, eftersom backuperna förvaras på samma fysiska plats som originaldata.58 2.4Systemperspektiv vid de sex andra granskade myndigheterna I den enkätundersökning som genomfördes på de sex myndigheterna fanns två frågor om IT-säkerhet. Frågor om IT-säkerhet ställdes också vid intervjuerna på de sex 53En av myndigheterna har vid faktagranskningen uppgett att alla lösenord som används är krypterade, och att tangenttryckningar inte loggas. 56WLAN står för och är ett samlingsnamn för olika typer av trådlösa lokala datornätverk. RI KS R E VI S I O N E N 25 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R Svaren indikerar att myndigheterna har ett relativt sett något bättre grepp om just IT-säkerhet än om informationssäkerhet i stort. Fem av myndigheterna uppger att de har dokumenterade regler för såväl hantering av fjärranslutningar till myndigheternas IT-miljö som regler för behörigheter. En av myndigheterna uppger att detta i stort sett saknas. 2.5Riskhantering vid de tre djupt granskade myndigheterna En central del i granskning har varit att undersöka hur myndigheterna organiserar och utför sin riskhantering. I en allt mer komplex värld där resurserna är begränsade blir riskhantering ett viktigt verktyg för att fördela resurser till de områden där de gör mest nytta. I denna granskning har vi framför allt identifierat tre områden där riskhantering har koppling till informationssäkerhet. Det är MSB:s föreskrifter om statliga myndigheters informationssäkerhet som innehåller bestämmelser om ledningssystem (), MSB:s föreskrifter om statliga myndigheters risk- och sårbarhetsanalyser samt myndighetsförordningen och förordningen om intern styrning och kontroll som också dessa omfattar krav på riskanalys.59 Även om varje område innebär separata krav på riskhantering är den bärande tanken bakom bestämmelserna om intern styrning och kontroll att denna ska integreras med myndighetens ordinarie verksamhetsstyrning och uppföljning. Regeringen har uttryckt att arbetet med riskhantering ur ett krisberedskapsperspektiv ska samordnas med myndighetens övriga riskhantering för att uppnå högre effektivitet.60 Även om processen för intern styrning och kontroll formellt sett inte är överordnad de två övriga riskhanteringsprocesserna, anser vi att det är rimligt att se de två andra riskhanteringsprocesserna som komplementära med den övergripande interna styrningen och kontrollen. Vi har därför önskat belysa hur arbetet med att hantera risker inom de tre perspektiven bedrivs samt hur resultatet från de olika områdena slutligen samordnas och aggregeras. Därför belyser granskningen riskhantering enligt alla dessa tre områden. 59Det finns även andra krav på att myndigheter ska analysera och hantera risker, bland annat ur arbetsmiljöperspektiv eller försäkringsperspektiv. Dessa områden har dock inte någon direkt bäring på just informationssäkerhet. De krav på riskhantering som säkerhetsskyddslagen och säkerhetsskyddsförordningen ställer har dock en direkt bäring på informationssäkerhet. Då detta är ett område som omgärdas av stark sekretess, vilket försvårar hanteringen i en öppen rapport, har det exkluderats från granskningen. 2010/11:1 UO6, s. 73. 26 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N 2.5.1 Modeller för intern styrning och kontroll Alla tre myndigheter har en modell för att arbeta med sin interna styrning och kontroll. De har även i sina styrdokument integrerat processerna för myndighetens riskhantering med verksamhetens processer för planering och uppföljning. Myndigheterna har även tagit fram någon form av handläggarstöd för riskhantering som styr hur riskhanteringen generellt sett ska bedrivas. En av myndigheterna har i sina riktlinjer för intern styrning och kontroll organiserat arbetet i vad man kallar försvarslinjer. Den första försvarslinjen i myndigheten utgörs av de primära riskägarna, vilket följer av hur myndigheten är organiserad. Den första försvarslinjen utgörs av avdelningar och staber och ytterst av respektive avdelnings- eller stabschef. Ansvaret innebär att hantera risker och upprätthålla en systematisk, transparent och effektiv intern styrning och kontroll på samtliga nivåer inom sin organisatoriska del. Den andra försvarslinjen är funktionellt orienterad mot dem som ansvarar för väsentliga moment för intern styrning och kontroll i vid mening. Funktionerna har inslag av både stödjande och övervakande roller, till exempel ekonomistab och säkerhetsstab. Den tredje försvarslinjen är internrevisionen. De två andra myndigheterna har inte lika utförliga modeller för riskhantering; där är ansvaret för riskhantering i stort reglerat utifrån rollen som chef. De processer som finns för att specifikt hantera risker när det gäller informationssäkerhet ser dock i huvudsak likadana ut i alla tre myndigheter. Varje avdelnings-, stabs- eller enhetschef har ansvar för att analysera risker och vidta nödvändiga åtgärder. Risker som beror på nyutveckling eller förändring av IT-system hanteras dock genom analyser för det specifika systemet. Risk- och sårbarhetsanalyser ur ett krisberedskapsperspektiv ska i två av myndigheterna utföras av kärnverksamheten med stöd av säkerhetsstaben. Säkerhetsstaben ansvarar för att sammanställa och analysera materialet och vid behov föra in risker i myndighetens övergripande riskanalys inom intern styrning och kontroll. I den tredje myndigheten har säkerhetsstaben haft i uppdrag att ta fram en risk- och sårbarhetsanalys, dock utan att det är uttalat att kärnverksamheten ska bidra.61 Alla tre myndigheter har någon form av riktlinjer och metodik för riskanalys generellt. Två av myndigheterna graderar risk utifrån sannolikhet och konsekvens i en fyrgradig skala medan den tredje ganska har slutat med detta när det gäller hanteringen enligt förordningen om intern styrning och kontroll.62 Skälet är att det blev för stort fokus på graderingen snarare än att hitta och åtgärda risker. RI KS R E VI S I O N E N 27 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R myndigheter finns riktlinjer för eskalering, det vill säga för när frågan ska lyftas högre upp i organisationen. Alla tre myndigheter har verksamhetscontrollers på olika nivåer i organisationen, som stöder kärnverksamheten vid riskanalys. Det finns också etablerade controllernätverk där frågor om riskanalys kan diskuteras. Resurserna för styrning och uppföljning av myndighetens riskhantering på den myndighetsövergripande nivån består av 2–3 personer på respektive myndighet. Riskidentifieringsprocessen ingår i den löpande uppföljningen och är en integrerad del av verksamhetsplaneringen. Trots att myndigheterna lägger ned mycket tid på arbetet med riskanalys går det inte, utifrån de uppgifter om genomförda riskanalyser som fått del av, att bedöma kvaliteten på riskhanteringen. Av granskningen framgår att det finns en övergripande riskanalys med risker, åtgärder, värderingar och riskägare. Det framgår också att riskhanteringen har följts upp och att cheferna har fått bedöma om hanteringen har varit betryggande. Det framgår dock även att det inte finns någon dokumentation av på vilket sätt riskanalysen har genomförts; tonvikten ligger snarare på att någonting har blivit gjort än hur det gått till och med vilken kvalitet. En av myndigheterna har inte gjort någon risk- och sårbarhetsanalys ur ett krisberedskapsperspektiv.63 För en av de två myndigheter som har genomfört en sådan risk- och sårbarhetsanalys är det svårt att bilda sig en uppfattning om krisberedskapsförmåga när det gäller informationssäkerheten.64 Det går heller inte att se någon tydlig koppling mellan risk- och sårbarhetsanalysen, som görs utifrån ett krisberedskapsperspektiv, och myndighetens övergripande riskanalys. Den tredje myndigheten har tagit fram en risk- och sårbarhetsanalys i vilken man till viss del kan se att risker har förts över från den analysen till myndighetens övergripande riskanalys.65 Av underlagsmaterialet till risk- och sårbarhetsanalyserna går det dock inte att göra någon kvalitativ bedömning av själva analysen då det saknas beskrivning av metod, ingångsvärden, m.m. 2.5.4 Vem har egentligen ansvaret? I de intervjuer som gjort på myndigheterna framkommer att medarbetare och chefer inom kärnverksamheten i huvudsak anser att ansvaret för informationssäkerhet ligger på säkerhets- eller IT-funktionerna. Personalen har generellt sett svårt att se sitt eget ansvar för informationssäkerheten, vilket i förläng- 28 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N ningen kan innebära att informationssäkerhetsrisker inte framkommer i de riskanalyser som genomförs inom kärnverksamheten. Majoriteten av de risker som identifieras och återges i myndigheternas övergripande riskanalys är risker kopplade till strategisk och operativ styrning. Risker med bäring på informationssäkerhet saknas i stor utsträckning i två av myndigheternas riskanalyser66, och förekommer endast till viss del i den tredje myndighetens. Myndighetsledningarnas engagemang och ställningstagande i fråga om riskhantering och det praktiska riskidentifieringsarbetet är inte tillräckligt tydligt kommunicerat. Det är inte myndighetsledningen som för ut budskapet om riskhantering i organisationen, utan det är delegerat till respektive chefsnivå. I en av myndigheterna67 har internrevisionen granskat riskhanteringen och där framkommer att styr- och stöddokument inte alltid når ut till alla chefer, vilket gör att arbetet med att identifiera risker i flera fall tenderar att ske ad hoc i stället för systematiskt. Re- visionen kunde också visa att processen för att identifiera risker inte alltid bidrar till ett mervärde, varför dokumentationen blir en pappersprodukt som inte hålls levande. Vidare framkom att vissa avdelningar och staber med ansvar för specifika riskanalyser inte på ett samlat och systematiskt sätt har kunnat redogöra för hur de bedriver arbetet. Arbetet med specifika riskanalyser är således inte tillräckligt transparent, och det saknas en koppling till de organisatoriska riskanalyserna. Myndigheterna har i huvudsak en struktur för riskanalys och riskhantering på plats när det gäller intern styrning och kontroll. Det finns i varierande utsträckning stöddokument, metodbeskrivningar, rutiner för eskalering, m.m. Samtliga tre myndigheter genomför även systemsäkerhetsanalyser, och två av myndigheterna genomför risk- och sårbarhetsanalyser ur ett krisberedskapsperspektiv. I flera av intervjuerna framkommer dock synpunkter på att myndigheterna har skapat en struktur eller process som på papperet uppfyller kraven på intern styrning och kontroll, men att man inte avsätter tillräckligt med resurser för att skapa en kvalitativ riskhantering de facto. En möjlig förklaring är att förordningen om intern styrning och kontroll ställer krav på processen, snarare än det resultat som processen ska uppnå. Alla tre myndigheter genomför riskanalyser med olika syften i skilda delar av organisationen, ofta med överlappningar. Ingen av myndigheterna genomför dock någon myndighetsövergripande riskanalys med fokus på informationssäkerhet och som kopplar samman systemsäkerhetsanalyser och krisberedskapsanalyser med analyser i kärnverksamheten. Ingen av myndigheterna har heller genomfört någon övergripande planering med riskanalys som grund för prioriteringar i arbetet med informationssäkerhet. 66Myndighet B och C. RI KS R E VI S I O N E N 29 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R 2.6Riskhantering vid de sex andra granskade myndigheterna Granskningen visar att riskanalyser vid de sex andra granskade myndigheterna tas fram på varierande sätt, och att det finns brister såväl i genomförandet som i den vidare hanteringen av riskerna. Ett viktigt underlag för riskanalysen är att klassificera informationstillgångarna efter konfidentialitet, tillgänglighet och riktighet. Alla sex myndigheter uppger att de har en metod för att klassificera sina informationstillgångar. Två av myndigheterna har också kommit så långt att de kunnat upprätta en samlad förteckning av samtliga tillgångar. Dock framgår inte om några åtgärder har vidtagits till följd av resultatet av klassificeringen. För en av myndigheterna framgår inte heller vilka beroendeförhållanden som finns mellan tillgångarna då man ännu inte hunnit med att göra det. Fyra myndigheter har svarat att de genomför en systematisk riskanalys inom ramen för informationssäkerhetsarbetet. En annan av myndigheterna analyserar dessa risker ad hoc vid större förändringar i system till exempel. Ytterligare en annan myndighet har tagit fram en process för att göra en systematisk riskanalys. De analyser vi tagit del av skiljer sig såväl i framtagning och utformning som efter vilket regelverk de är framtagna från.68 Detta utgör dock inte något fel i sig, men gör en samlad bedömning komplicerad. Tre av myndigheterna gör en återkommande riskanalys. För fem av myndigheterna omfattar analysen hela verksamheten. För tre av myndigheterna omfattar analysen alla konfidentialitet, riktighet, tillgänglighet och spårbarhet. Två av myndigheterna har analyser som inte omfattar någon av dessa parametrar. På fråga om myndighetsledningen efter riskanalys tagit ställning till vilka risker de är beredda att ta och vilka som ska minskas, undvikas eller kvarstå uppger två myndigheter att ledningen har gjort det. Vid övriga myndigheter har så inte skett. 2.7 Myndigheterna måste göra allt Denna granskning har visat att det är en tung uppgift för myndigheter att bedriva ett framgångsrikt informationssäkerhetsarbete. MSB bistår med bra vägledning för hur en myndighet ska arbeta med informationssäkerhet. Flera av de granskade myndigheterna uppger dock att det är långt ifrån tillräckligt och att de faktiskt lider 68MSB:s föreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10), förordningen (2007:603) om intern styrning och kontroll, förordningen (2006:942)om krisberedskap och höjd beredskap, förordningen (1995:1300) om statliga myndigheters riskhantering samt säkerhetsskyddsförordningen (1996:633). Den senare gäller i fråga om säkerhetsanalys. 30 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N brist på operativt bistånd, något som MSB inte erbjuder . Flera myndigheter har uppgett att man får, som det heter, uppfinna hjulet på egen hand i alltför stor utsträckning.69 69 Intervjuer på de granskade myndigheterna. RI KS R E VI S I O N E N 31 I N F O RMAT I O N S S Ä K E R H E T S A RB E T E PÅ N I O MYN DI GH E T E R 3 Vad kostar det? Syftet med denna granskning har varit att kunna uttala oss om myndigheterna utifrån dagens krav och förutsättningar bedriver ett informationssäkerhetsarbete, så att de uppnår ett ändamålsenligt skydd av sina informationstillgångar. En aspekt av ändamålsenligheten är att bedöma om myndigheterna gör effektiva avvägningar mellan investeringar i säkerhet och de risker som finns. För att kunna göra en sådan bedömning krävs dels uppgifter om myndigheternas kostnader för informationssäkerhet, dels uppgifter om eventuella risker. Detta kapitel behandlar myndigheters IT-kostnader på en övergripande nivå samt en kompletterande informationsinsamling som har låtit Radar Ecosystem Specialists göra, eftersom de granskade myndigheterna haft svårt att redogöra för sina kostnader för informationssäkerhet. 3.1 Vad visste vi före granskningen? Frågan om omfattningen och redovisningen av myndigheternas IT-kostnader har berörts i ett flertal publikationer . Trots det finns det ännu inte några säkra uppgifter om IT-kostnader i staten. ESV fick i regleringsbrevet i uppdrag av regeringen att utveckla en modell för beräkningar av myndigheternas IT-kostnader och IT-investeringar i syfte att effektivisera användningen av IT, skapa jämförbarhet samt möjlighet till överblick och återanvändbarhet. ESV konstaterar i sin rapport att det varken med stöd av myndigheternas extern- eller internredovisning går att mäta IT-kostnader på ett strukturerat sätt. I statsredovisningssystemet samlas utfallet för myndigheternas externredovisning in på så kallade S-koder. Externredovisningen utgår från kostnader för personal, lokaler, övrig drift samt ned- och avskrivningar. IT-kostnader ryms inom samtliga dessa, som det inte finns några krav på att särredovisa IT-kost- nader. Myndigheterna har inte heller tillgång till några gemensamma verktyg för att enkelt och effektivt kunna följa sina kostnader över tiden eller jämföra sig med andra myndigheter. Det gör det svårt att bedöma om IT används effektivt, både för myndighetsledningar och för regeringen.70 3.2 Varför behöver vi veta kostnaderna? För att kunna göra en optimal avvägning av hur mycket vi som samhälle behöver skydda oss måste vi kunna relatera kostnaden för att skydda oss mot den nytta vi uppnår genom att skydda oss. Ett sätt att göra det är att analysera kostnaderna för 70Ekonomistyrningsverket: IT-kostnadsmodell –HWWförsta steg mot ett gemensamt språk (ESV 2014:50), s. 10 och 17. 32 RI KS RE VI S I O N E N E N GRAN S KN I N G S R AP PO R T F RÅN RI KS RE VI S I O N E N IT-händelser då dessa visar var kostnaderna uppstår, vilket kan vara alltifrån den drabbade organisationen till individer och skattebetalare i samhället.71 Det finns inte någon tillförlitlig sammanställning av de totala kostnaderna för otillgänglighet hos IT-system i . Ofta uppskattar man inte ens kostnaderna på medialt uppmärksammade händelser. Svårigheten att göra uppskattningar är också, enligt MSB, ett symptom på ett djupare problem: att de flesta organisationer inte vet hur sårbara de är. De vet inte vad driftavbrott kan komma att kosta när de gör sin riskhantering, och de har till och med i efterhand svårt att beräkna kostnaderna för inträffade driftavbrott.72 Om det saknas sakligt underbyggda underlag för kostnader påverkas förmågan att etablera optimal säkerhet negativt ur ett totalt ekonomiskt perspektiv – såväl samhällsekonomiskt som företagsekonomiskt. Avsaknaden av tillräckliga underlag när det gäller kostnader försvårar för myndighetsledningarna att motivera utgifter för att reducera risk. En konsekvens av det kan bli att ledningar underfinansierar arbetet med riskreducering.