bet · H401FöU8 · 2017-02-01 00:00:00 — Det har belagts med i princip 100 procents säkerhet att agerade och jobbade med att påverka valet. Hur mycket det påverkade vet man dock inte. I kom det en rapport om att de är näst intill övertygade om att har gjort attacker som har fått stora konsekvenser för bland annat försvarsmakten. Vi kan inte sticka huvudet i sanden, utan vi måste agera. Det är flera tidigare talare som har redogjort för den här rapporten. Av den framgår bland annat att det gjordes en rapport som inte var positiv. Det vidtogs en del åtgärder. Det tråkiga nu är att problemen finns kvar. Det har inte hänt någonting. Här får alltså regeringen underkänt för sin hantering. De myndigheter det är fråga om är sådana som har samhällsviktig verksamhet, hanterar mycket pengar, är starkt it-beroende och hanterar skyddsvärd information. Det här är alltså inga småsaker. Man kommer också fram till att det inte är effektivt. Det kostar väldigt mycket skattepengar. Det är olika nivåer, och det finns ingen grundläggande nivå. Det här drabbar säkerheten och gör att blir mer utsatt. Vad är det då för myndigheter som man har tittat på? Jo, det är Arbetsförmedlingen, , , , och flera andra. I varje exempel visar det sig att det inte fungerar bra. Det finns en massa brister som man lyfter fram. MSB bistår med vägledning, men man lider en enorm brist på operativt bistånd, någonting som MSB inte erbjuder. Man saknar det operativa stödet, det vill säga det viktigaste: hur man gör det. Man är då hänvisad till att ha egna it-avdelningar, och i de flesta fall är det ju som vi vet it-konsulter som hittar på olika system. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Det landar i är att man borde inrätta en central funktion som skulle kunna få den här uppgiften. Det här är ganska intressant för vidkommande, i och med att vi har varit väldigt tydliga med att , i likhet med en lång rad andra länder, skulle behöva ha en central myndighet som har ansvaret. är det uppdelat på en rad olika myndigheter, och mångas ansvar är ingens ansvar, som vi allihop vet. Därför är det så viktigt att någon får ansvaret. Ska man då inrätta en ny cybersäkerhetsmyndighet, eller ska man lägga ansvaret på en befintlig myndighet? Det kan man titta på, men det viktigaste är att vi gör någonting. kommer inte det här att ändra på allting, men det kommer att vara en del och någonting som efterfrågas. hoppas jag att regeringen tar till sig det här och tillskapar en central myndighet som kan ta ansvaret och se till att vi stärker skyddet mot de olika cyberangreppen. Om det värsta skulle hända är det här nämligen i princip att likställa med ett konventionellt angrepp. Det är därför det är så viktigt att vi vidtar de här åtgärderna. Med dessa ord, herr talman, yrkar jag än en gång bifall till reservation. Att granskar och underkänner it-säkerhetsarbetet vid våra myndigheter har blivit något av en tråkig följetong för oss i . Det här är som återkommer med en ganska nedslående rapport om it-säkerhetsarbetet vid myndigheterna. I den senaste granskningen, som vi diskuterar , framkommer nya brister. Jag ska inte gå igenom allihop. En del av mina kollegor i utskottet har nämnt några punkter. Det som jag tycker är direkt anmärkningsvärt är påstående att it-säkerhetsfunktionernas krav tenderar att betraktas som hinder, som någonting som ligger i vägen för den övriga verksamheten på myndigheterna. Då har man ett allvarligt problem. Inom det privata näringslivet kan vi ofta höra hur man framhåller att it-säkerhetsfrågorna behöver betraktas som strategiska frågor som ska ligga hos vd:n, hos företagsledningen och ytterst hos styrelsen. På samma sätt kan man tolka slutsatser och rekommendationer på det här området; från regeringen via myndighetsledningar ned till enskilda medarbetare behövs ett systematiskt och kontinuerligt säkerhetsarbete. Det behöver inte nödvändigtvis vara de tekniska systemen som brister. Det finns inom myndighetsvärlden, särskilt hos de mer skyddsvärda myndigheterna, avancerade tekniska system. Men de här systemen blir inte så mycket värda om det brister i andra delar. Det borde, herr talman, vid det här laget vara uppenbart för alla vilka potentiella risker som finns med att slarva med it-säkerhetsarbetet. Samhället är helt beroende av fungerande it-system inom kollektivtrafik, energisystem, finansiella system, trafikledning och så vidare. När de här systemen fungerar tar vi dem ofta för givna. När de av olika anledningar ligger nere blir det moderna samhällets sårbarhet snabbt väldigt tydlig. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Med det liggande försvarsbeslutet anges att en totalförsvarsplanering ska återupptas. En reflektion man kan göra är att samhällets beroende av informationsteknik har ökat väldigt kraftigt under den 15-åriga pausen i totalförsvarsplaneringen. Man skulle nästan kunna kalla det för ett olyckligt sammanträffande, för totalförsvar handlar inte bara om skalskydd, infrastruktur och sådana saker, utan också om "mindset", det vill säga om hur vi tänker kring de här sakerna, exempelvis hur vi hanterar känslig information. Av de tre myndigheter som har djupgranskats av är två, och , så kallade bevakningsansvariga myndigheter, vilket innebär att de har ett särskilt ansvar vid höjd beredskap. Vad görs då, och vad har gjorts från regeringens sida? har vi nu en obligatorisk it-incidentrapportering på plats. Rapporteringsskyldigheten avser incidenter som allvarligt kan påverka säkerheten i informationshanteringen. Incidentrapporteringen möjliggör en förbättrad lägesbild. Den skapar förutsättningar för att vidta rätt skyddsåtgärder, och den utgör en grund för att utveckla förmågan att förebygga, upptäcka och hantera incidenter. I syfte att vidare stärka informationssäkerheten kommer MSB att få i uppdrag att tillhandahålla sensorsystem som gör det möjligt att upptäcka it-angrepp, ungefär på samma vis som FRA har tillhandahållit den typen av tjänster. arbetar, som tidigare nämnts, en statlig utredare med att ta fram åtgärder för hur ska implementera NIS-direktivet. Där är inriktningen att MSB ska få en samordnande roll, som andra myndigheters ansvar för tillsyn inom sina sektorer ska fortsätta att gälla. Målet är att samhällsviktiga aktörer, såsom banker och sjukvård, också ska rapportera in allvarliga it-incidenter. Slutligen bör regeringens arbete med en nationell informationssäkerhetsstrategi nämnas i sammanhanget. Strategin, som väntas bli presenterad , kommer att sätta upp tydliga mål och en färdriktning för det samlade informationssäkerhetsarbetet. Digitaliseringen är en av vår tids stora globala trender. blev persondatorn populär. surfar många av oss i stället i mobilen. Framöver kommer vi att se en digitalisering av allt fler apparater, från bilindustrin, med självkörande bilar, till offentlig sektor, där olika program och tekniker kan hjälpa oss att hålla nere vårdkostnader och ge bättre sjukvård. Men när vi blir alltmer beroende av tekniken blir vi också alltmer sårbara. Teknik kan alltid användas i både goda och onda syften. Dålig it-säkerhet utgör därför ett hot, dels mot den personliga integriteten, dels - i det större perspektivet - mot vår nationella säkerhet. Dessa hot kan naturligtvis illustreras på olika sätt. Som tidigare nämnts kan det handla om att man vill försöka slå ut samhällsviktiga institutioner eller strukturer som elsäkerhetssystem. Det kan handla om att vilja påverka olika demokratiska processer. Det kan också naturligtvis handla om att få tag på känslig information om myndigheter eller personer, som i ett senare skede kan användas för att påverka totalförsvarsförmågan, om motståndaren skulle vilja det. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter , som är ämnet för det betänkande vi diskuterar här , visar tydligt att det finns mycket som behöver göras för att stärka it-säkerheten på våra myndigheter. Rapporten konstaterar att det finns allvarliga brister och att arbetet dessutom har gått långsamt framåt. Det är något vi måste ta på allvar. Kunskap kring säkerhetsfrågorna måste finnas på alla de myndigheter som hanterar känslig infrastruktur eller information. Hos MSB finns stor kunskap, men det räcker inte. Fler myndigheter behöver liknande kompetens. Att höja kompetensen hos enskilda personer som jobbar med säkerhetsfrågor på myndigheter är viktigt, men lika viktigt är att det allmänna säkerhetsmedvetandet bland övrig personal också finns där. Säkerhet kan inte vara valfritt eller något för eldsjälar utan måste ha en bred förankring i organisationen. Regeringen har aviserat att man kommer att ta fram en nationell strategi för samhälls-, informations- och it-säkerhet. Det är ett viktigt steg på vägen mot ett mer sammanhållet arbete kring frågorna. En viktig målgrupp för strategin är just myndigheterna. Regeringen har också tillsatt en utredning som ska lämna förslag till hur EU-direktivet om hög gemensam nivå av säkerhet i nätverks- och informationssystem, alltså NIS-direktivet, ska genomföras i svensk rätt. Vi lever i där varnar för att vi hade över 100 000 aktiviteter från statliga utländska angripare mot svenska mål . Vårt samhälle blir alltmer sårbart för cyberpåverkan. Så kallad hybridkrigföring, där olika verktyg, bland annat digitala, används i samklang för att påverka en motståndares handlingsfrihet, blir alltmer omtalat i de säkerhetspolitiska sammanhangen. Vi har alla att vinna på att arbetet med cybersäkerhet stärks. Den nationella strategin är ett bra steg i den riktningen. Därmed yrkar jag bifall till utskottets förslag. Herr talman och ärade ledamöter! , såväl som flera rapporter från Myndigheten för samhällsskydd och beredskap, inklusive den nationella risk- och förmågebedömningen, visar att samhällets arbete med informations- och cybersäkerhet behöver utvecklas ordentligt. Problembilden som beskrivs i går att applicera på många andra aktörer i samhället, från enskilda kommuner till länsstyrelser och andra centrala myndigheter - alla som bedriver någon form av samhällsviktig verksamhet. Det är allvarligt att bristerna är så stora. Vi har tagit del av många exempel, men när förståelsen för informationssäkerheten inte är tillräcklig, prioriteringarna ser olika ut och frågan inte lyfts i förhållande till kärnverksamhet finns mycket att göra. Detta fokus måste gälla hela verksamheten och genomsyra allt arbete. Man måste också hitta synergier mellan olika myndigheter så att de kan lära av varandra och utveckla gemensamma arbetssätt. Informationssäkerhet har mer och mer blivit en fråga om att skydda hela samhället och får en växande säkerhetspolitisk dimension, något som aktualiserats inte minst i samband med det amerikanska presidentvalet, där databaser utsattes för intrång. Vi ser också att samspelet mellan traditionell och elektronisk brottslighet ökar och blir alltmer komplext. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Frågor kring privatliv och integritet aktualiseras när information om oss själva finns i allt fler system - system som kanske inte alltid, vilket bland annat visar, har ett fullgott skydd. Kort sagt, informationssäkerhetsarbete är viktigt och måste tas på största allvar. Det gäller de myndigheter som regeringen styr över, men det gäller också många andra aktörer som bedriver samhällsviktig verksamhet. Frågan om att skapa en god informationssäkerhet på samhällsnivå är således större och kräver vårt starkaste politiska engagemang. Vi lever i en säkerhetspolitiskt osäker tid, och läget försämras successivt. Hybridhot, ökad underrättelseverksamhet, påverkansoperationer, informationskrigföring och it-attacker är exempel som visar hur sårbara vi är i dagens samhälle och att samhället successivt utsätts för mer press. Svenska myndigheter har börjat återuppta totalförsvarsplaneringen. Detta ställer i sin tur än större krav på att information måste kunna hanteras säkert och skyddat. Det gäller såväl elektronisk som fysisk information. All information kanske inte ens kan sparas elektroniskt eller förvaras i vanliga lokaler. De flesta aktörer sitter i vanliga arbetsmiljöer, och få har tillgång till avlyssningssäkra lokaler. Detta kan hämma och försvåra totalförsvarsplaneringens genomförande. Inte minst måste stora åtgärder vidtas för att garantera att lämpliga miljöer finns, och det kommer att handla om ytterligare pengar och investeringar. Detta riskerar att sätta enskilda medarbetare i en svår situation och att göra totalförsvarsarbetet mer svårarbetat. Det är olyckligt i när arbetet med informationssäkerhet måste intensifieras. Hur regeringen avser att säkerställa att myndigheter och övriga ansvariga för totalförsvarsplaneringen ges rätt förutsättningar att bedriva en trovärdig totalförsvarsplanering på ett säkert sätt får vi återkomma till. Regeringen har utlovat en nationell strategi för cyber- och informationssäkerhet, och det är viktigt att följa upp hur totalförsvarsbehoven kommer att beaktas i den strategin. Det kommer att bli viktigt att följa upp hur regeringens strategi blir i praktiken, vilka åtgärder som konkret kommer att vidtas och vilka resurser som prioriteras eller tilldelas för att utveckla förmågan och stärka skyddet. Detta är en realitet , och området kräver starkt politiskt engagemang, politisk uppföljning och politisk styrning. Då revisorerna konstaterar att den politiska styrningen borde ha varit tydligare i frågan är ansvaret och uppgiften att nu på kort sikt säkerställa att erforderliga åtgärder vidtas. Min oro är dock att detta blir ytterligare en strategi från regeringens sida med lite vägledning i "hur", jämfört med vad som kan beskrivas. Vi kan bland annat titta på den nationella säkerhetsstrategin, som i princip mer liknar en risklista än en konkret åtgärdsstrategi. Man får göra om lite grann för att inte upprepa vad alla andra har sagt. Jag har några saker som jag tycker bekräftar vår inställning. Vi behöver en civilförsvarsmyndighet, herr talman. Om man läser framgår det ganska tydligt att myndigheterna sällan sammanställer sina sårbarhets- och riskanalyser. Det har också påpekats att det behövs samordning, som ni har hört mig säga härifrån. Jag har sagt det, herr talman, och jag kommer att återupprepa det: Utan en bra samordning av verksamheten kommer ingenting att fungera på ett bra sätt. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Överallt läser man om samverkan, samverkan och samverkan. Uppgiften att samordna verksamheten ligger inte på MSB. Vi behöver en myndighet som ansvarar för detta. Det är därför vi har förordat en civilförsvarsmyndighet. Den ska inte ha samma uppgifter som den hade innan den lades ned, men i många stycken behövs en återgång till en myndighet som samordnar och så vidare. Det handlar också om att hantera dessa frågor. Det var det ena jag ville säga. Det andra är att man talar om sanktioner mot myndigheterna. Jag satt och funderade på att man kanske borde titta på ledningen och ledarskapet i de statliga myndigheterna. Ska vi acceptera, herr talman, att man år får grav kritik inom olika områden och att det sedan vid en ny revision uppdagas grava fel på andra delar? Hur länge ska man kunna hålla på på detta vis? Jag funderade på hur det är i en fotbollsmatch. När man spelar och säger något oförskämt till domaren får man en tillsägelse. Sedan går det till, och man yttrar sig lite olämpligt. Då blir man kallad till domaren och får gult kort. Händelsen i sig leder till en tillsägelse, men upprepningen ger gult kort. Den tredje gången tar domaren upp ett rött kort. Händelsen i sig leder till en tillsägelse, men upprepningen leder till avsked - ut från planen! Man måste också fundera på om detta kan vara ett sätt i stället för andra sanktioner i form av böter eller någonting annat. Om upprepningarna i de statliga myndigheterna med sådana här viktiga funktioner enligt är så frekventa att läget är så undermåligt undrar jag om vi ska tillåta det nuvarande ledarskapet att fortsätta. Vi har inte lagt fram något förslag om detta, men det är funderingar som vi kommer att återkomma till. När man ser tillbaka på vad skriver om olika myndigheter ser man att även denna parameter måste finnas med. I detta anförande instämde (SD). Överläggningen var härmed avslutad. (Beslut fattades under § 17.)