bet · H401FöU8 · 2017-02-01 00:00:00 — om informationssäkerhetsarbete på nio myndigheter Utskottet föreslår att lägger skrivelse 2016/17:42 om informationssäkerhetsarbete på nio myndigheter till handlingarna. har granskat hur nio myndigheter arbetar med sin informa-tionssäkerhet och om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. Den samlade slutsatsen är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en för låg nivå. Regeringen instämmer i huvudsak i iakttagelserna och avser därför att ta fram en nationell strategi för samhällets informations- och cybersäkerhet. Utskottet anför att ett seriöst informationssäkerhetsarbete är mycket viktigt och finner det oroande att funnit att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en för låg nivå och inte heller ser ut att ha utvecklats i tillräcklig grad . Utskottet anser dock att främst regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att det därför inte är motiverat för tillfället att vidta ytterligare åtgärder. I anslutning till detta ärende behandlas också sammanlagt tio yrkanden från den allmänna motionstiden /16 respektive 2016/17. Samtliga motionsyrkanden avstyrks. I betänkandet finns sex reservationer (M, SD, V och KD). Regeringens skrivelse 2016/17:42 om informationssäkerhetsarbete på nio myndigheter. Tre yrkanden i följdmotion. Fem yrkanden från allmänna motionstiden /16. Fem yrkanden från allmänna motionstiden /17. Utskottets förslag till riksdagsbeslut Informationssäkerhetsarbete på myndigheter m.fl. Medborgarnas kunskap om it-säkerhet Ett nordiskt, säkert internet 1.Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (M) 2.Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (SD) 3.Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (V) 4.Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (KD) 5.Medborgarnas kunskap om it-säkerhet, punkt 2 (M) 6.Ett nordiskt, säkert internet, punkt 3 (SD) Bilaga Förteckning över behandlade förslag Motioner från allmänna motionstiden /16 Motioner från allmänna motionstiden /17 Utskottets förslag till riksdagsbeslut Informationssäkerhetsarbete på myndigheter m.fl. 2015/16:28 av m.fl. (V) yrkande 5, 2015/16:424 av (M), 2015/16:2172 av m.fl. (M) yrkande 3, 2015/16:2824 av m.fl. (KD) yrkande 18, 2016/17:2072 av (M), 2016/17:3205 av m.fl. (M) yrkande 10 och 2016/17:3542 av m.fl. (SD) yrkandena 1–3. Reservation 1 (M) Reservation 2 (SD) Reservation 3 (V) Reservation 4 (KD) Medborgarnas kunskap om it-säkerhet 2016/17:3205 av m.fl. (M) yrkande 11. Reservation 5 (M) Ett nordiskt, säkert internet 2015/16:3218 av m.fl. (SD) yrkande 7, 2016/17:2871 av m.fl. (SD) yrkande 14 och 2016/17:2899 av m.fl. (SD) yrkande 77. Reservation 6 (SD) lägger skrivelse 2016/17:42 till handlingarna. Följande ledamöter har deltagit i beslutet: (L), (S), (M), (S), (M), (S), (SD), (M), (C), (MP), (S), (SD), (V), (KD), (S), (S) och Dag Klackenberg (M). Ärendet och dess beredning har granskat hur följande myndigheter arbetar med sin informationssäkerhet: Arbetsförmedlingen, , , , , , , samt . Regeringen, och har också ingått i granskningen. Granskningen har resulterat i rapporten på nio myndigheter – En andra granskning av informationssäkerheten i staten. Rapporten överlämnades av till regeringen . Rapporten föredrogs av i utskottet . Regeringens skrivelse med anledning av denna rapport kom in till . Statsrådet informerade sedan om skrivelsen i utskottet . I betänkandet behandlas även motionsyrkanden om informationssäkerhet från den allmänna motionstiden /16 respektive 2016/17. granskade –2007 arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen. Granskningarna visade ett flertal brister. Regeringen hade inte följt upp om myndigheternas interna styrning och kontroll av informationssäkerhet var tillfredsställande och inte heller gett myndigheterna tillräckliga förutsättningar för ett effektivt informationssäkerhetsarbete. granskade än en gång informationssäkerhet med inriktning mot regeringen och dess expertmyndigheters styrning och stöd. Denna granskning visade att det fanns påtagliga brister i arbetet med informationssäkerhet och att regeringen inte utövat en effektiv styrning. Syftet med den aktuella granskningen har varit att undersöka hur nio myndigheter arbetar med sin informationssäkerhet. Dessa myndigheter bedriver samhällsviktig verksamhet, hanterar mycket pengar, är starkt it-beroende och hanterar skyddsvärd information. har granskat om myndigheterna utifrån dagens krav och förutsättningar bedriver ett informationssäkerhetsarbete så att de uppnår ett ändamålsenligt skydd av sina informationstillgångar. Ett annat syfte har varit att granska om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. För att informationssäkerheten ska vara effektiv, såväl för respektive myndighet som för statsförvaltningen i stort, krävs att det går att väga kostnader mot nytta. Därför har låtit undersöka kostnadsbilden för informationssäkerhetsarbetet. Informationssäkerhetsarbete på myndigheter m.fl. Utskottets förslag i korthet lägger regeringens skrivelse 2016/17:42 om informationssäkerhetsarbete på nio myndigheter till handlingarna. avslår motionsyrkandena om informationssäkerhetsarbete på myndigheter m.fl. Utskottet hänvisar till regeringens arbete med att utforma en nationell strategi för samhällets informa-tions- och cybersäkerhet. Jämför reservationerna 1 (M), 2 (SD), 3 (V) och 4 (KD). samlade slutsats är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en nivå som är märkbart under vad som är tillräckligt. En viktig förklaring till det är att förståelsen för vikten av en god informationssäkerhet överlag är alltför liten. Detta får till följd att arbetet med informationssäkerhet inte blir tillräckligt högt prioriterat i förhållande till de risker som finns. Detta gäller såväl för regeringen, som borde kunnat vara tydligare med att styra myndigheterna i frågan, som för myndigheternas ledningar, som inte prioriterat arbetet med informationssäkerhet i den utsträckning som krävs. Mycket tyder på att det är svårt för många myndigheter att få till stånd ett ändamålsenligt informationssäkerhetsarbete. har därför ingen anledning att anta att den bild som framträder vid de granskade myndigheterna inte skulle gälla även för flertalet andra myndigheter i statsförvaltningen. Arbetet med informationssäkerhet når inte upp till en godtagbar nivå på de granskade myndigheterna Granskningen av Arbetsförmedlingen, och har varit särskilt djupgående. Ingen av dessa myndigheter kan sägas ha ett systematiskt informationssäkerhetsarbete som motsvarar kraven i Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter om statliga myndigheters informationssäkerhet, menar . Dessa krav innebär att myndigheterna ska tillämpa ett ledningssystem som bl.a. omfattar att de ska upprätta en policy för informationssäkerhet, klassificera sin information med utgångspunkt från riktighet, tillgänglighet och konfidentialitet samt utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur de ska hantera risker. En viktig förutsättning för att lägga grunden till en god informationssäkerhetskultur och för att skapa förståelse för informationssäkerhet är att myndighetens ledning visar engagemang i frågan. Granskningen visar att myndigheternas ledningar har delegerat ansvaret för informationssäkerhet, utan att se till att de ansvariga har ett tillräckligt mandat att utföra sina uppgifter och tillräckligt med resurser. De funktioner som ansvarar för informationssäkerheten har svårt att hävda sig mot kärnverksamheten som tenderar att se kraven på informationssäkerhet som hinder, vilket får till följd att verksamhetens krav på funktionalitet mestadels går före kraven på säkerhet. Det är snarare it- eller säkerhetsfunktionerna som ställer krav på säkerhet än kärnverksamheten. Situationen på de sex andra granskade myndigheterna – , , , , samt – varierar, men sammanfaller i stora delar med hur det ser ut på de tre särskilt djupt granskade myndigheterna. Trots att myndigheterna har tagit fram policyer, riktlinjer och handledningar i fråga om informationssäkerhet är kännedomen om vad dessa dokument har för innehåll och syfte låg hos många medarbetare och chefer. Säkerhetsarbetet implementeras inte i de ordinarie verksamhetsprocesserna. Kärnverksamheten uppfattar inte att den har något ansvar för informationssäkerheten, utan att det ligger någon annanstans i myndigheten såsom på it- eller säkerhetsfunktioner. Det saknas till betydande delar delaktighet och ansvarstagande som bör genomsyra hela myndigheten, och det finns en bristande förståelse för behovet av säkerhetsinvesteringar utan synbar nytta. Riskanalyser görs på varierande sätt inom och mellan de granskade myndigheterna och omfattar mer än endast informationssäkerhet. Det är inte fel i sig, menar , men inom myndigheterna bidrar det till överlappningar och risk för att områden hamnar mellan stolarna såväl som att vissa områden inte blir belysta. Myndigheterna sammanställer sällan sina olika analyser till en övergripande analys med inriktning mot informationssäkerhet. från ett informationssäkerhetsperspektiv är det ett splittrat tillvägagångssätt, som behöver samordnas bättre. Det är svårt att få en samlad bild av informationssäkerhetsläget vid myndigheterna, vilket hänger samman med att det ofta saknas en strukturerad uppföljning av hur ledningssystemet fungerar. Bristen på uppföljning försvårar ett förbättringsinriktat arbetssätt. Avsaknaden av ett lärandeperspektiv visar sig även i incidenthanteringen, som mer är inriktad mot att skapa statistik än att ta reda på orsaker till att incidenter inträffar. kan konstatera att arbetet med informationssäkerhet på de granskade myndigheterna sker på varierande sätt, trots att betydande delar av detta arbete borde vara generiskt till sin karaktär. Det kan också konstateras att de delar av informationssäkerhetsarbetet som omfattar it-säkerhet och fysiskt skalskydd överlag visar sig bättre än de organisatoriska delarna, även om det finns förbättringspotential för it-säkerheten. Många av komponenterna i ledningssystemet verkar finnas till för att det är ett krav, snarare än att de skulle kunna vara ett kraftfullt verktyg för att bedriva förändringsarbete. Regeringen har inte sett till att det finns nödvändiga förutsättningar Vid en första anblick kan förutsättningarna synas vara till fyllest genom att regeringen har skapat vissa förutsättningar för myndigheterna att kunna arbeta med intern styrning och kontroll av informationssäkerheten, anför Riksrevi-sionen. Det finns en struktur på plats med olika författningar som är avsedda att styra detta arbete. En del i detta är att regeringen har beslutat att ledningen för ett antal myndigheter ska intyga att den interna styrningen och kontrollen är betryggande. Varje departement för dessutom en regelbunden dialog med myndigheternas ledning. Likväl visar granskningen att det är allvarliga brister i myndigheternas informationssäkerhetsarbete. bedömer att det behövs en starkare styrning från regeringen gentemot myndigheterna, så att nödvändiga säkerhetsåtgärder verkligen blir vidtagna. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god. Om regeringen inte efterfrågar information om myndigheternas informationssäkerhet och inte framhåller vikten av god informationssäkerhet bedömer att myndigheternas ledningar inte heller kommer att prioritera frågan. Kostnaderna för informationssäkerhet är okända För att kunna ta ställning till om det fattas välgrundade beslut om vilka åtgärder som behöver vidtas för att skydda all information i statsförvaltningen som är värd att skydda behövs en samlad lägesbild över hot, risker och lämpliga åtgärder, menar . Till detta kommer ett behov av att känna till hur stora kostnader som läggs ned på informationssäkerhet. Först när denna bild är klar är det möjligt att väga kostnader mot nytta av skyddsåtgärder och på så sätt uppnå en optimal nivå på informationssäkerheten i staten som helhet. Det saknas uppgifter om myndigheternas kostnader för informationssäkerhet, såväl när det gäller enskilda myndigheter som för statsförvaltningen i stort. Därmed går det inte att uttala sig om hanteringen av informationssäkerheten är kostnadseffektiv. Det är enligt bedömning en påtaglig brist att regeringen inte efterfrågar dessa uppgifter, särskilt i förhållande till att it är utpekat som ett centralt verktyg för att utveckla statsförvaltningen. Resurserna används sannolikt inte effektivt Den svenska statsförvaltningen fungerar på det sättet att myndigheterna åtnjuter en långtgående självständighet när det gäller att organisera sin verksamhet, anför . Av det följer att alla myndigheter i statsförvaltningen, oavsett storlek, själva ska ombesörja sin egen informationssäkerhet. Det innebär att de antingen måste göra det mesta av arbetet själva eller anlita konsulter. För de största myndigheterna är förutsättningarna bättre för att på egen hand kunna bygga upp och upprätthålla en god informationssäkerhet på grund av skalfördelar. För de flesta av myndigheterna är dock förutsättningarna inte lika goda. granskning visar att det är en tung uppgift även för tämligen stora myndigheter att bedriva ett framgångsrikt informationssäkerhetsarbete. MSB bistår med bra vägledning för hur en myndighet ska arbeta med informationssäkerhet, menar . För flera av de granskade myndigheterna är det likväl inte tillräckligt då de faktiskt lider brist på operativt bistånd, något som MSB inte lämnar . Detta leder enligt bedömning till att informationssäkerhetsarbetet på aggregerad nivå sannolikt inte är kostnadseffektivt. Granskningen visar att myndigheternas arbete med informationssäkerhet har allvarliga brister. lämnar därför följande rekommendationer till regeringen. • Myndigheterna har inte lyckats med att skapa ett informationssäkerhetsarbete som uppfyller kraven i MSB:s föreskrifter och därmed i den standard som ligger till grund för arbetet (ISO 27000). För att öka förutsättningarna att klara kraven rekommenderar regeringen att öka tydligheten i sin myndighetsstyrning, så att var och en av myndigheterna i statsförvaltningen uppnår god informationssäkerhet inom rimlig tid. • Det finns ett behov av att komplettera MSB:s metodstöd vid riskanalyser för att bättre kunna ta till vara resultaten av de olika processerna och ställa samman dem till en övergripande enhet, så att allt nedlagt riskhanteringsarbete kommer till bästa nytta. Regeringen bör därför överväga att ge MSB i uppdrag att ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer. Denna modell bör så långt det är möjligt stödja myndigheternas arbete med risker och med att ställa samman dem på ett hanterbart sätt. Det är också viktigt att regeringen genom sin myndighetsstyrning ser till att myndigheterna tillämpar modellen. • För att få ett effektivt skydd av informationstillgångarna i staten är det väsentligt att kunna göra avvägningar mellan kostnader och nytta. Det är inte möjligt , eftersom kostnaderna för myndigheternas insatser för informationssäkerhet är okända. Det vore även angeläget att undersöka hur beslut om investeringar i informationssäkerhet fattas i praktiken och vilka organisatoriska faktorer som påverkar synen på investeringar i informa-tionssäkerhet. Regeringen bör därför låta utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten. • Var och en av myndigheterna har att på egen hand pröva sig fram till hur de ska bedriva sitt informationssäkerhetsarbete. MSB:s vägledningar är bra, men det som fattas myndigheterna är ett operativt stöd. rekommenderar därför regeringen att överväga att låta utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna. Regeringens bedömning och åtgärder med anledning av iakttagelser och rekommendationer Regeringen instämmer i huvudsak i samlade slutsats om de myndigheter som granskats. Som framgår av varierar dock de granskade myndigheternas arbete med informationssäkerhet, och regeringen delar syn att de myndigheter som inte har omfattats av den djupgående granskningen har kommit olika långt i sitt arbete. Regeringen anser att det utifrån är svårt att bedöma om arbetet med informationssäkerhet på flertalet myndigheter ligger på en nivå som är märkbart under vad som är tillräckligt. Samhällets informationssäkerhet är en prioriterad fråga, anför regeringen, och det är viktigt att svenska myndigheter håller en tillräckligt hög nivå i sitt informationssäkerhetsarbete. Omfattningen av hanteringen av information i elektroniska kommunikationsnät och it-system ökar i alla delar av samhället, och brister i hanteringen av och säkerheten för informationen riskerar att få omfattande säkerhets- och integritetsmässiga konsekvenser såväl för samhället i stort som för enskilda. anger regeringen att den har vidtagit ett antal åtgärder som ytterligare tydliggör vikten av en god informationssäkerhet och som kommer att förbättra förutsättningarna för myndigheterna att bedriva ett ändamålsenligt informationssäkerhetsarbete. Regeringen konstaterar i skrivelsen att alla aktörer i samhället måste arbeta systematiskt för att reducera sårbarheter inom sina verksamhetsområden, samt planera för vilka åtgärder som kan vidtas och hur dessa ska vidtas innan händelser inträffar. Ur det hänseendet är det viktigt att staten föregår med gott exempel och lever upp till befintliga krav. Arbetet för att stärka informationssäkerheten i samhället måste bedrivas långsiktigt, kontinuerligt och i takt med digitaliseringen av samhället. Regeringen anger att den avser att fortsätta att prioritera arbetet med att stärka samhällets informations- och cybersäkerhet. Regeringen bedömer rekommendationer till regeringen enligt följande: Öka tydligheten i myndighetsstyrningen Regeringen delar i skrivelsen bedömning att myndigheternas arbete behöver utvecklas och att regeringens styrning av myndigheterna spelar en viktig roll. Regeringen anger att man har gett myndigheternas informationssäkerhetsarbete ökat fokus genom flera initiativ och åtgärder. Regeringen beslutade att införa ett system för obligatorisk rapportering av it-incidenter för statliga myndigheter. Bestämmelsen började tillämpas . Syftet med systemet är att möjliggöra en förbättrad lägesbild över informationssäkerheten i statlig förvaltning och stimulera myndigheternas förmåga att förebygga, upptäcka och hantera it-incidenter. beslutade regeringen att ge en utredare i uppdrag att föreslå hur EU-direktivet om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS-direktivet) ska genomföras i svensk rätt. NIS-direktivet kommer bl.a. att innebära att en eller flera myndigheter får ett utpekat ansvar för särskilda funktioner som direktivet reglerar, samt att det kommer att ställas särskilda krav på säkerheten i nätverk och informationssystem hos myndigheter inom de sektorer som direktivet reglerar. Uppdraget ska redovisas (dir. 2016:29). För att samhället ska lyckas med utmaningarna inom informations- och cybersäkerhetsområdet behöver arbetet även stärkas genom en förbättrad samordning och samverkan, vilket i sin tur kräver gemensamma färdriktningar och målsättningar för alla aktörer i samhället, anför regeringen. Den avser därför att ta fram en nationell strategi för samhällets informations- och cybersäkerhet. Ta fram en modell eller ett metodstöd för hur myndigheterna på ett effektivt sätt kan samordna resultat och processer Regeringen instämmer i bedömning att myndigheterna genomför flera riskanalyser med olika syften för skilda delar av organisationen, och att arbetet med myndighetsövergripande riskanalyser med tydligt fokus på informationssäkerheten behöver utvecklas. Regeringens bedömning är att stödet till myndigheter i fråga om att göra riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivå kan utvecklas ur flera olika perspektiv. I skrivelsen anger regeringen därför att man kommer att överväga hur stödet till myndigheterna ska kunna vidareutvecklas. Utreda förutsättningarna för att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten har även rekommenderat att regeringen bör låta utreda förutsättningarna för att visa samtliga kostnader som är förenade med informationssäkerhet för verksamheten i staten. Vidare är det enligt angeläget att undersöka hur beslut om investeringar i informationssäkerhet fattas i praktiken och vilka organisatoriska faktorer som påverkar synen på investeringar i informationssäkerhet. Regeringen instämmer delvis i iakttagelser. Det är myndigheternas ansvar att ha kontroll över sina resurser och investeringar, att kunna verifiera effektiviteten i verksamheten och bedöma och motivera sin resursanvändning. är det av naturliga skäl svårt att beräkna resursåtgången för informationssäkerhetsarbete. Ett seriöst arbete med informationssäkerhet ska genomsyra hela organisationen, inte enbart bedrivas vid en enskild enhet, anför regeringen. Den anser att det finns skäl att stärka kunskapen om samhällsekonomiska kalkyler och värderingar som rör informationssäkerhetsincidenter. För att uppnå ett fullgott underlag i riskhanteringsprocessen är det inte alltid tillräckligt med en god bild av myndigheternas interna kostnader. Bedömningen av vilka investeringar som behöver göras för att öka informa-tionssäkerheten blir mer tillförlitlig om de kostnader som åtgärden är förknippade med kan ställas mot de kostnader som samhället riskerar om incidenter inträffar. Däremot anger regeringen att samlade sammanställningar över samtliga kostnader förenade med informationssäkerhet för all verksamhet i staten inte kan användas som underlag för att bedöma vilka säkerhetshöjande åtgärder som bör vidtas. Därmed bör det primära syftet med att stärka kunskapen om kostnader inte vara att visa samtliga kostnader förenade med informationssäkerhet för verksamheten i staten. Utreda behovet av att inrätta en central funktion som skulle kunna få i uppdrag att lämna operativt stöd till myndigheterna Regeringen anser att stödet till myndigheterna behöver utvecklas men instämmer inte i rekommendation att en central funktion bör få i uppdrag att lämna operativt stöd till myndigheterna. Informationssäkerhetsområdet befinner sig i ständig utveckling som en följd av att ny teknik och nya innovationer kontinuerligt utvecklas. Därför är det viktigt att vägledningar och utbildningar hålls uppdaterade. Vidare ser regeringen ett behov av att stödet till myndigheter i fråga om att göra riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivå utvecklas, vilket i sin tur också bör resultera i nya och uppdaterade vägledningar. Det behövs bl.a. i syfte att underlätta för mindre myndigheter som inte har så goda förutsättningar att på egen hand utforma sitt informa-tionssäkerhetsarbete. Alla myndigheter måste arbeta systematiskt för att reducera sårbarheter inom sina verksamhetsområden samt planera för vilka åtgärder som kan vidtas och hur dessa ska vidtas innan händelser inträffar, anger regeringen. Problem bör inte ses som enbart tekniska, utan lämpligt utformade rutiner och regelverk och att följa dessa är lika viktigt. För att uppnå detta behöver informationssäkerhetsfrågorna genomsyra hela organisationen och prioriteras av myndighetsledningen.