sou · H5B323 · 2017-03-15 00:00:00 — Att arbeta systematiskt med informationssäkerhet är en förut- sättning för att inte under- eller överarbeta säkerhetsåtgärder, att som organisation ha en överblick över området, att hålla ledningen uppdaterad om risker och att kunna prioritera bland de åtgärder som behöver införas. Följande åtta punkter kan, enligt MSB, ses som en lägsta nivå för systematiskt informationssäkerhetsarbete inom en organisation. 23Myndigheten för samhällsskydd och beredskaps föreskrifter (MSBFS 2016:1) om statliga myndigheters informationssäkerhet. Ett samlat ansvar – bedömningar och förslag 1.Utse en funktion för informationssäkerhet. Funktionens placer- ing bör vara direkt underställd den högsta ledningen. För att på bästa sätt kunna arbeta med frågorna visar erfarenhet att funk- tionen behöver använda en majoritet av sin tid till informations- säkerhetsuppdraget. Funktionen behöver kompetensutvecklas kontinuerligt. 2.Det första funktionen bör göra är att ta fram en analys av nu- läget i organisationen. Göra en övergripande verksamhetsanalys för att få kunskap om organisationens processer, vilken infor- mation som hanteras, samt vilket behov av skydd och vilka krav som finns. Gör därefter en övergripande analys för att få en bild av riskerna kopplade till den information som hanteras. Gör också en gap-analys genom en inventering av existerande säker- hetsåtgärder jämförda med skyddsbehovet som framkommit genom verksamhets- och riskanalysen. Här handlar det om att skapa en samlad bild om informationssäkerhetsnivån i organisa- tionen. Det är viktigt för att kunna presentera för ledningen. 3.Informera ledningen hur nuläget ser ut. Visa exempel på reella hot och inträffade incidenter. Visa på förutsättningarna för säker digitalisering. Informationssäkerhetsområdet är ett komplext om- råde och flera kompetenser behövs i arbetet. 4.Skapa en handlingsplan utifrån nuläget. Handlingsplanen bör be- slutas av ledningen. Ta fram styrdokument, policy och riktlinjer samt åtgärda de viktigaste bristerna och sårbarheterna, t.ex. be- redskap mot skadlig kod, backuprutiner etc. 5.Identifiera vilken information som hanteras i verksamheten. Klassificera sedan informationen efter hur allvarliga konsekven- serna skulle bli av bristande informationssäkerhet. Fokusera på den mest kritiska informationen/känsliga informationen som är i behov av höga skyddskrav. Ta här gärna hjälp av Metodstöd för som är publicerat på . 6.Se till att höja säkerhetsmedvetandet inom organisationen och stödja organisationens förmåga att efterleva kraven i de fram- tagna riktlinjerna. Detta kan ske t.ex. genom utbildning och att ta fram vägledningar och annan information. Ett samlat ansvar – bedömningar och förslag 7.Ta fram informationssäkerhetsrelaterade krav som sedan används vid upphandlingar. Det är viktigt att få med informationssäker- hetskrav vid upphandling. Se över om organisationen efterlever det som står i de framtagna riktlinjerna samt se över innehållet för att hantera nya risker, förändrad verksamhet och förbättringar av ledningssystemet. Planera in återkommande uppföljning/revison av verksamheten. Resultaten av uppföljningen ska ingå som en del av den återkommande rapporteringen till ledningen. Alla verksamheter behöver vidta vissa säkerhetsåtgärder för att ha en god informationssäkerhet. En säkerhetsåtgärd kan vara av karaktären fysisk (t.ex. brandlarm och lås), administrativ (t.ex. att styrande dokumentation finns och efterlevs), organisatorisk (t.ex. tillräckliga personella resurser) eller teknisk (t.ex. brandvägg och antivirus- program). Säkerhetsåtgärder införs för att minska de risker som identifierats vid riskanalysen och gapanalysen (se punkt 2 ovan). MSB efterlyser vidare efter en funktion för samordning av myn- digheters upphandling inom it-området. Genom att formulera krav- profiler för tillgänglighet och skydd i den offentliga sektorns kom- munikationer som stöd till den upphandlingsansvariga myndigheten tillgodoses flera, till synes, motstridiga krav. För det första får den offentliga sektorns kommunikation en jämn och hög kvalitet. För det andra effektiviseras upphandlingsarbetet. För det tredje kommer en enhetlig kravbild att skapa förutsättningar för en ökad konkur- rens. För att detta ska bli verklighet behövs en funktion för samord- ning och inriktning som tar fram, förvaltar och över tiden vidare- utvecklar krav, med möjlighet att nivåanpassa tillgänglighet och skydd. Funktionen ska ha nära samverkan med såväl offentliga orga- nisationer som marknadens aktörer. Den offentliga sektorn är en betydande beställare som genom stor upphandlingsvolym har förutsättningar att ställa krav och genom av- tal påverka såväl normer och priser för informationssäkerhetsåtgär- der. En sådan påverkan gynnar samtliga aktörer inom den offentliga sektorn och även medborgarna och näringslivet. E-delegationen har tidigare pekat på vikten av att hela den offentliga sektorn använder sådant som en enskild myndighet har gjort bra, så som betydelsen av att utveckla fler former av ”koncern- tänkande” med gemensam planering av stödprocesser, där varje Ett samlat ansvar – bedömningar och förslag aktör fokuserar på sina kärnprocesser. Ett sådant arbetssätt minskar resursåtgången eftersom de offentliga aktörerna kan lära av varandra och undvika onödiga misstag. Ett centraliserat förhållningssätt i upp- handlingsprocesserna gör att säkerheten för informationen höjs och att resurserna kan användas mer effektivt. Även konstaterar i sina granskningar avseende it och outsourcing att: det är stora skillnader mellan olika myndigheters kompetens att be- döma frågor om IT och outsourcing. Det finns därför ett behov av bättre vägledningar och erfarenhetsutbyte, så att myndigheterna inte alltid behöver börja från början när dessa frågor prövas.24 Att den offentliga sektorn utvecklar sin upphandling med ökad risk- spridning gör att fler operatörer kan erbjuda sektorn sina tjänster. Det i sin tur utvecklar konkurrensen och driver på säkerhetsarbetet hos dessa aktörer. På så sätt skapas en situation där hela marknaden drar nytta av utvecklade kravställningar och upphandlingsrutiner. Enligt MSB:s vision är målet att kunna erbjuda tillgängliga, skyddade och kostnadseffektiva kommunikationstjänster. De före- slagna tjänsterna ska kunna hantera existerande och framtida krav i en global miljö med komplex risk- och hotbild. Tillgänglighet och skydd är en förutsättning för att tillgodose de krav som finns från myndigheter och andra aktörer inom allmän ordning, säkerhet, hälsa samt försvar. Vidare skulle finansieringen av en infrastruktur som denna be- höva utformas på ett sätt som skapar incitament för berörda organi- sationer att ansluta sig. För att åstadkomma detta är det viktigt att skapa långsiktiga och förutsebara ekonomiska förutsättningar. Flera faktorer påverkar finansieringen av lösningen, exempelvis vilka aktö- rer som kommer att använda infrastrukturen och hur redan befintlig infrastruktur finansieras i dag.25 24RiR 2011:4, IT inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? 25Enligt uppgift från MSB. Ett samlat ansvar – bedömningar och förslag , , är förvaltningsmyndighet med ett samlat ansvar inom postområdet och området för elektronisk kom- munikation. Det innebär när det gäller informationssäkerhet att myndigheten bl.a. har till uppgift att främja tillgången till säkra och effektiva elektroniska kommunikationer. Det inbegriper att se till att samhällsomfattande tjänster finns tillgängliga, och att främja till- gången till ett brett urval av elektroniska kommunikationstjänster. Myndigheten ska även följa utvecklingen när det gäller säkerhet vid elektronisk kommunikation och uppkomsten av eventuella miljö- och hälsorisker samt vara tillsynsmyndighet enligt lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektro- nisk identifiering och ska ge stöd och information till myndigheter och enskilda när det gäller betrodda tjänster. Dessutom ska myndigheten verka för robusta elektroniska kom- munikationer och minska risken för störningar, inbegripet att upp- handla förstärkningsåtgärder. Myndigheten ska verka för ökad kris- hanteringsförmåga, verka för ökad nät- och informationssäkerhet i fråga om elektronisk kommunikation, genom samverkan med myn- digheter som har särskilda uppgifter inom informationssäkerhets-, säkerhetsskydds- och integritetsskyddsområdet. Dessutom ska PTS, med andra berörda aktörer, lämna råd och stöd till myndig- heter, kommuner och landsting samt företag, organisationer och andra enskilda i frågor om nätsäkerhet.26 I praktiken innebär ansvaret bl.a. att PTS kontinuerligt genom- för ett arbete som syftar till att öka robustheten i näten. PTS kan till exempel vara med och finansiera alternativa förbindelser för fibernät för datatrafik, mobila basstationer för mobilnät, reserv- aggregat samt skyddade bergrum för telenätens och internets vikti- gaste knutpunkter. Myndigheten har också varit drivande i arbetet att skapa och delta i samarbeten mellan el- och telekomsektorn och mellan privata och offentliga aktörer.27 PTS arbete med frågor om säker kommunikation innebär också tillsyn enligt lagen om elektronisk kommunikation.28 Myndigheten kan till exempel kräva att alla nät för elektronisk kommunikation, 261 och 4 §§ förordningen (2007:951) med instruktion för . 27http:///sv/Om-PTS/Verksamhet/Saker-kommunikation/ . 28Lagen (2003:389) om elektronisk kommunikation. Ett samlat ansvar – bedömningar och förslag till exempel nät för fast och mobil telefoni, ska uppfylla rimliga krav på god funktion och säkerhet. Dessutom bedriver PTS tillsyn på området säkerhets- och integ- ritetsskydd för att kontrollera att marknadens aktörer följer lagens bestämmelser om integritetsskydd. Tillsynen omfattar till exempel hantering av inkomna klagomål, inspektioner och uppföljning av ställda krav. För en utomstående kan det uppfattas som lite oklart var grän- serna går mellan MSB:s och . Det kan handla om områden som direkt angränsar till varandra eller där ansvaret har flyttats mellan de två myndigheterna. Exempelvis flyttades från PTS till MSB och därmed även anhängande information om internetsäkerhet till konsumenter och småföretag.29 CERT-SE (tidigare ) (Sitic) bildades som en nationell funktion med uppgift att stödja samhället i arbetet med att hantera och före- bygga it-incidenter. Sitic fungerade som en internationell CERT- organisation, dvs. en rikscentral för it-incidentrapportering. CERT betyder Computer Emergency Response Team. Från hör Sitic till MSB. Funktionen bytte då namn till CERT-SE.30 CERT-SE är nationella CSIRT (Computer Security Incident Response Team) med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Till CERT-SE:s uppgifter hör bland annat att: Agera skyndsamt vid inträffade it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. Samverka med myndigheter med särskilda uppgifter inom infor- mationssäkerhetsområdet. Vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa.31 29http:///sv/Privat/Internet/Internetsakerhet/ . 30http:///sitic, . 31https:///om-cert-se, . Ett samlat ansvar – bedömningar och förslag Datainspektionens uppgift är bl.a. att verka för att människor skyd- das mot att deras personliga integritet kränks genom behandling av personuppgifter. Myndigheten ska särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt person- uppgiftsombud. Myndigheten ska följa och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Myndigheten är tillsynsmyndighet när det gäller behandling av per- sonuppgifter.32 Datainspektionens uppgift är bl.a. att praktiskt kontrollera efter- levnaden av personuppgiftslagen, kameraövervakningslagen, kredit- upplysningslagen och inkassolagen. Datainspektionen är också till- synsmyndighet för integritetsskyddet i en mängd andra register- författningar. Kontrollen görs framför allt genom tillsyn där Data- inspektionen genom egna iakttagelser av företag, myndigheter eller organisationer kontrollerar att lagar och förordningar följs. De ovan beskrivna ansvarsområdena och de krav som följer av den nya data- skyddsförordningen33 gör att Datainspektionen har en särställning i frågor om personlig integritet och personuppgiftsansvar i . Det hindrar inte, enligt utredningen, att fler myndigheter får ansvar för frågor om personlig integritet inom sina respektive områden. ska den nya dataskyddsförordningen34 börja tilläm- pas i samtliga medlemsstater i EU. Att det är en EU-förordning in- nebär att reglerna kommer att gälla som lag direkt och på samma sätt i alla EU:s medlemsstater. Förordningen kommer att ersätta EU:s 32Förordningen (2007:975) med instruktion för Datainspektionen. 33Kapitel VI, och rådets förordning 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsförordningen). 34Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Ett samlat ansvar – bedömningar och förslag nuvarande dataskyddsdirektiv från 199535 och därmed också natio- nella regler, såsom den nu gällande svenska personuppgiftslagen (PuL), som bygger på dataskyddsdirektivet. Förordningen innehåller regler om personuppgiftsansvariga och personuppgiftsbiträden. Förberedelser pågår i skrivande stund för att det ska finnas bered- skap för alla berörda när dataskyddsförordningen ska börja tillämpas. Regeringen har tillsatt en rad utredningar och Datainspektionen har tagit fram vägledningar. Det faktum att integritetsskydd och personuppgiftsansvar snart kommer att regleras av ett helt nytt och mycket omfattande regel- verk medför, enligt utredningens mening, stora behov av sam- verkan mellan involverade myndigheter för att skapa gemensamma angreppssätt och samsyn i dessa frågor. en nationell digital infrastruktur Enligt utredningen behövs det en förvaltningspolitik för en natio- nell digital infrastruktur. Det innebär bl.a. att regeringen ska besluta om innehållet i en övergripande plan för att stärka digitaliseringen av den offentliga sektorn. Planen ska bestå av följande sju punkter: 1.Det måste finnas ett mål för övergången till digital förvaltning. 2.Regeringen måste klargöra vilka de offentliga åtagandena ska vara i den nationella digitala infrastrukturen. 3.Myndigheternas uppdrag att medverka måste preciseras, både vad som gäller generellt och vad som är specifikt för vissa myndig- heter. 4.Myndigheternas och kommunernas arbete med att bygga ut den digitala förvaltningen måste följas upp genom självutvärdering och verifiering. 5.Samarbetet mellan stat, kommun och landsting måste ges fastare former genom överenskommelser och uppföljning. 35 och rådets direktiv /46/EG av om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter. Ett samlat ansvar – bedömningar och förslag 6.Informationssäkerhet och integritetsskydd måste beaktas i varje skede av arbetet med att bygga ut den digitala förvaltningen. 7.De centrala statliga uppgifterna i arbetet att utveckla den offent- liga förvaltningen bör samlas hos en myndighet. 4.4.1Behovet av tydliga och styrande mål –att regeringen ska lägga fast ett tydligt och styrande mål för när digital förvaltning ska vara genomförd inom staten. Målet bör dock kunna tillämpas olika för olika myndigheter efter- som förutsättningarna varierar. har beslutat att målet för it-politiken är att ska vara bäst i världen på att använda digitaliseringens möjligheter.36 Regeringens mål för digitalisering av det offentliga är en enklare vardag för medborgare, en öppnare förvaltning som stödjer innovation och delaktighet samt högre kvalitet och effektivitet i verksamheten.37 har även beslutat att målet för den statliga förvalt- ningspolitiken är en innovativ och samverkande statsförvaltning som är rättssäker och effektiv, har väl utvecklad kvalitet, service och till- gänglighet och som därigenom bidrar till utveckling och ett effektivt EU-arbete.38 Ett genomgående drag i dessa mål är att de snarare är mål för re- geringens arbete och politiken som helhet, än mål som myndig- heterna förväntas uppnå. Därmed är styreffekten för myndigheterna begränsad. Vid de samtal som utredningen fört med företrädare för myndigheter och kommuner och de workshops som genomförts, har det framkommit att det finns starka önskemål om tydligare och mer styrande mål för arbetet med digitaliseringen. Detta ska ses mot bakgrund av att svenska statliga myndigheter har ett omfattande delegerat ansvar när det gäller hur verksamheten ska utformas och 2011/12:1, utg. omr. 22, bet. 2011/12:TU1, rskr. 2011/12:87. 2016/17:1 utg. omr. 22, 4.3 Mål för området. 2009/10:175, bet. 2009/10:FiU38, rskr. 2009/10:315. Ett samlat ansvar – bedömningar och förslag Utredningen bedömer att det finns ett starkt behov av att klargöra inom vilken tidsrymd som den offentliga förvaltningen förväntas uppnå målet att vara digital. Mot bakgrund av att myndig- heterna nått olika långt är det svårt att fastställa en tidpunkt som är lika för alla. De myndigheter som deltagit i e-delegationens och/eller eSams arbete har i många fall kommit betydligt längre än övriga. finns det också myndigheter som inte deltagit i detta ar- bete som i stort sett är helt digitaliserade. Inom ramen för för den digitala marknaden finns flera initiativ som berör e-förvaltningen. Däribland handlingsplanen för e-förvaltning för åren 2016–2020 som innehåller följande vision: ska offentliga förvaltningar och institutioner i Europeiska unionen vara öppna, effektiva och inkluderande. De ska tillhandahålla gränslösa, individanpassade, användarvänliga och obrutna digitala offent- liga tjänster åt alla medborgare och företag i . De ska använda inno- vativa metoder för att utforma och tillhandahålla bättre tjänster som är anpassade till medborgarnas och företagens behov och önskningar. De ska utnyttja de möjligheter som den nya digitala miljön erbjuder för att underlätta sina kontakter med intressenter och med varandra.39 Om har ambitionen att svara upp mot de förväntningar hand- lingsplanen väcker behövs ett samlat grepp. kan, enligt utredningen, ses som ett riktmärke. Investeringar i it-lösningar måste uppfylla krav på ändamålsenlig- het och effektivitet. Digitalisering är inte bara en teknikfråga. Det handlar i hög grad om förändring av arbetsmetoder och organisa- tion. Digitaliseringsarbetet måste därför integreras i myndighetens verksamhetsutveckling. Det finns risker förknippade med mål som medför en alltför pressad tidsplan. Resultatet kan bli bristande funktionalitet och ekonomisk ineffektivitet. Ett tidsperspektiv skulle kunna vara 3–. Den nedre delen av tidsintervallet skulle då motsvara handlingsplanens vision. Frågan behöver dock belysas ytterligare, bland annat när det gäller kriterier för när en myndighet ska anses vara digitaliserad och utredningen avser att återkomma till denna fråga i slutbetänkandet. 39 COM(2016) 179 Meddelande från Kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén, samt , för e-förvalt- ning –2020 Snabbare digital omvandling av förvaltningar. Ett samlat ansvar – bedömningar och förslag 4.4.2Statens åtaganden i den nationella digitala infrastrukturen –ett samlat myndighetsansvar för förvaltning av nationella digitala tjänster. I förvaltningsansvaret ingår även att bereda frågor om vilka komponenter som ska anses vara statliga uppgifter. Regeringen ska besluta om vilka dessa ska vara och vad som ska vara statliga principiella åtaganden. Enligt definitionen i utredningens direktiv är nationella digitala tjänster sådana gemensamma digitala lösningar som är av infra- strukturkaraktär och som är en avgörande förutsättning för offent- lig e-tjänstutveckling i sin helhet. De nationella digitala tjänsterna ska kunna användas inom hela den offentliga sektorn och syftar till att underlätta elektronisk hantering av ärenden och kontakter med enskilda och företag. De nationella digitala tjänsterna ska utvecklas utifrån medborgarnas behov, vilket förutsätter en bred och omfat- tande samverkan mellan statliga myndigheter, mellan kommunala myndigheter, mellan stat och kommun samt mellan den offentliga och den privata sektorn.40 Ramböll har identifierat sex kvalificerade NDI-komponenter som bedöms vara starkt offentlig- och samhällsekonomiskt lönsam- ma. Tre av de sex komponenterna bedöms vara prioriterade. Dessa är en infrastruktur för digital identifiering (e-legitimation, infra- struktur för digital kontakt (Mina meddelanden) och gemensamma grunddata. Övriga komponenter avser funktioner för att säkerställa utbyte av information och viderautveckling av tjänster. Ramböll bygger sin analys på studier av ett antal länder, men har också intervjuat experter och nyckelpersoner inom den offentliga förvaltningen. Man konsterar att vad som ska vara nyckelkompo- nenter behöver ytterligare belysning. En förutsättning för fram- gång bedöms vara att det finns ett samlat ansvar för detta och en tydlig politisk inriktning.41 Fi2016/03059/DF. Ett samlat ansvar – bedömningar och förslag Utredningens bedömning är att statliga åtaganden inte bara handlar om funktioner och tjänster. Det är också viktigt att lägga fast vissa principiella åtaganden. Allt fler digitala tjänster, såsom Mina meddelanden, kräver inloggning med e-legitimation. I dags- läget innebär det att enskilda riskerar att stängas ute från digitala tjänster eftersom de inte har eller kan få e-legitimation. Orsaken till detta skiftar. Möjligheten att bruka e-legitimation påverkas av vilken modell på utrustning och operativsystem den enskilde har. En en- skild kan förlora möjligheten att använda e-legitimation därför att utrustningens tillverkare inte längre uppdaterar operativsystemet. Det framgångsrika genomförandet av digital förvaltning i har underlättats av en plattformsoberoende form av e-legitimation, dvs. nyckelkort med engångskoder. Frågor om e-legitimation ska inte behandlas i detta betänkande. Det står dock klart att möjligheten att uppnå det mål som gäller för digital förvaltning kräver att enskildas tillgång till e-legitimation säkerställs. Det måste vara ett statligt åtagande att alla som behöver en e-legitimation kan få det. Metoden för att uppnå detta är, enligt utredningen, att möjliggöra för flera aktörer att tillhandahålla e- legitimationstjänster. Att en komponent identifieras som en natio- nell digital tjänst innebär dock inte automatiskt att staten ska till- handahålla den eller att den ska tillhandahållas utan kostnad för brukaren. Detta är en fråga som får avgöras utifrån en bedömning av varje enskilt fall. Utredningen avser återkomma till dessa frågor i slutbetänkandet. Det handlar bland annat om att lämna förslag om hur samverkan och kravställning, eller vidareutveckling av nationella digitala tjäns- ter, ska analyseras utifrån ett livscykelperspektiv. Ett samlat ansvar – bedömningar och förslag 4.4.3Behovet av styrning och uppföljning –att det i förordningen42 om statliga myndigheters elektroniska informationsutbyte införs en ny bestämmelse om att myndig- heter ska erbjuda elektronisk kommunikation i kontakten med enskilda. Myndigheterna ska återkommande rapportera till re- geringen om de åtgärder de vidtar för att säkerställa detta. Det bör ankomma på den myndighet som har det samlade ansvaret att föreskriva närmare om åtgärder och rapportering. Regeringen har valt att sätta press på myndig- heternas utveckling av elektronisk förvaltning genom särskilda upp- följningsuppdrag.