bet · H501KU20 · 2018-06-12 00:00:00 — Samtliga granskade myndigheter var starkt beroende av sina it-system för sina verksamheter. Vidare var informationssäkerheten en viktig förutsättning för verksamheterna. Sex myndigheter granskades mer ingående. Sammantaget uppvisade de elva myndigheterna ett vitt spektrum av problem. I granskningen 2007 valde att fokusera på regeringens ansvar för att ställa krav på och följa upp den statliga förvaltningens arbete med informationssäkerheten samt ta initiativ till åtgärder för att förbättra förutsättningarna för förvaltningens arbete inom detta område. Granskningen visade att de viktigaste ledningsproblemen i myndigheterna var dessa: – Ledningen är osäker på vilka uppgifter den har i informationssäkerhetsarbetet och hur dessa uppgifter ska utföras. – Ledningen begär inte något tydligt underlag om vilka risker och hot som finns för verksamheten. Ledningen får därmed inte tillräcklig insikt i vilka åtgärder som ska prioriteras för att skydda verksamheten. – Ledningens beslut om säkerhetsåtgärder fullföljs inte. Den följer inte heller upp om säkerheten uppfyller ledningens krav. Ledningen underrättar sig inte heller om att viktiga åtgärder som kontinuitetsplaner, rapportering och hantering av incidenter är utförda och fungerar som avsett. – Ledningen underskattar betydelsen av utbildning av och information till personalen inklusive sin ledningspersonal och styrelsen. bedömde att problemen var allvarliga och att de innebar risk för betydande negativa konsekvenser för statliga åtaganden som elektronisk förvaltning och nationell krishantering. Regeringens satsning på elektronisk förvaltning innebar att allt fler myndighetstjänster blev tillgängliga på internet, att flera myndigheter tillsammans skapade samverkande e-tjänster samt en ökning av det it-baserade utvecklingsarbetet i övrigt. För att denna reform av förvaltningen skulle lyckas måste medborgare och företag ha förtroende för de e-tjänster som finns på internet. Förtroendet för myndigheternas e-tjänster riskerade att minska om informationen inte kunde skyddas. Det kunde hända om obehöriga fick åtkomst till känslig information eller om de kunde förändra data eller på annat sätt kunde agera så att tjänsterna inte kunde användas. Då fanns en betydande risk för att hela satsningen på e-förvaltning äventyras. Vidare ansåg att brister i informationssäkerheten även kunde påverka den nationella krishanteringen. Statliga myndigheter har som regel viktiga roller att spela i fråga om samhällets förmåga att förebygga, förhindra och hantera kriser. Myndigheterna förutsätts därför ha en viss s.k. basförmåga för att kunna uppfylla sin roll och bidra till samhällets förmåga att klara kriser. Basförmågan är beroende av hur väl utformad myndighetens informationssäkerhet är. Mot bakgrund av detta ansåg att regeringens styrning av informationssäkerheten var av stor vikt. samlade bedömning var att regeringen inte följt upp om den interna styrningen och kontrollen av informationssäkerheten i statliga förvaltningen varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för förvaltningens arbete med informationssäkerheten. konstaterade att regeringen hade vidtagit åtgärder som rörde tekniska förutsättningar för myndigheternas informationssäkerhetsarbete, t.ex. e-signaturer, e-legitimationer, säkert internet etc. Däremot hade inga åtgärder vidtagits för att stödja myndigheternas interna styrning och kontroll av informationssäkerheten. Granskningen visade att regeringen i stora drag hade varit medveten om vissa ledningsproblem på informationssäkerhetsområdet, men bilden hade varit otydlig avseende statliga myndigheter och någon samlad problembild när det gäller statsförvaltningen hade regeringen inte kunnat presentera. Enligt var regeringens organisering av arbete med informationssäkerhetsfrågorna och styrningen av expertmyndigheterna sammantaget otillräcklig för att hantera myndigheternas problem med sin informationssäkerhet. Inget departement hade ett uttalat ansvar för att göra en samlad bedömning av myndigheternas interna styrning och kontroll av informationssäkerheten. Granskningen visade att principerna för att fördela ansvar och bereda frågor inom medförde att det krävdes starka signaler (exempelvis allvarliga säkerhetsincidenter) för att skulle uppmärksamma brister inom enskilda myndigheter. konstaterade att inslaget av it-stöd i den statliga förvaltningen var betydande och att it-beroendet blev allt större (framst. 2007/08:RRS6). Betydelsen av informationssäkerhet tenderade att öka med tiden, i takt med att it-systemen blev mer komplexa och integrerade med varandra samt tillgängliga via öppna nätverk. Styrelsen ansåg att informationssäkerheten i den statliga förvaltningen måste förbättras och att detta krävde åtgärder från regeringens sida. Styrelsen ansåg att regeringen borde genomföra en översyn av regleringen på området informationssäkerhet och återrapportera resultatet av översynen till . Framställningen från behandlades av försvarsutskottet i betänkande 2007/08:FöU12. föreslog att skulle avslå framställningen och anförde bl.a. att det i likhet med regeringen ansåg att det fanns behov av en myndighet med uppgiften att hålla samman det nationella informationssäkerhetsarbetet och tillsammans med berörda myndigheter verka för en kontinuerlig utveckling av detta arbete. Enligt utskottet borde den nya myndigheten få i uppgift att hålla samman det nationella informationssäkerhetsarbetet för samhällsviktig verksamhet, och myndigheten borde ha föreskriftsrätt inom området. Utskottet hade vidare erfarit att det inom pågick ett arbete inom en statssekreterargrupp för att samordna arbetet inom de olika departement som var berörda av frågorna. avstyrkte utskottet en följdmotion (S) till framställningen från om bl.a. en översyn av regleringen på området för att stärka informationssäkerheten i den statliga förvaltningen. I betänkandet behandlades även proposition 2007/08:92 Stärkt krisberedskap – för säkerhets skull och följdmotioner till denna samt ett antal motioner från den allmänna motionstiden . I betänkandet fanns nio reservationer (S, V, MP) till förmån för följdmotionen till propositionen och till motioner från den allmänna motionstiden. publicerade inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat om outsourcing bidrar till ökad effektivitet? (RiR 2011:4). Bakgrunden var att it i statliga myndigheter och bolag utgör en av de största kostnadsposterna och att korrekt utförd outsourcing enligt forskning, teori och praktik kan vara ett effektivt sätt att både höja kvaliteten och sänka kostnaderna i olika verksamheter. I rapporten uppmärksammades även bl.a. krav på informationssäkerhet (s. 44 f.). Några myndigheter ansåg att verksamhetssystemen innehåller känsliga uppgifter och det för att kunna upprätthålla kraven på informationssäkerhet krävs att systemen hanteras internt på myndigheten. av de tillfrågade myndigheterna hade gjort en analys av informationssäkerhet i förhållande till extern eller intern hantering av it-verksamheten (om kravet var att analysen skulle vara dokumenterad). ansåg att myndigheterna i vissa fall antingen brister i sin skyldighet att klassificera information eller att all information i myndighetens verksamhet hanteras med samma höga säkerhetsnivå trots att inte all information kräver en sådan nivå (s. 61 f.). Att klassa sin information på en för hög säkerhetsnivå strider dock, anförde , mot syftet med att göra en informationsklassificering, lika väl som att klassa informationen på en för låg nivå. En tänkbar förklaring till att myndigheterna hade svårt att göra informationsklassning kunde vara att det saknades gemensamma riktlinjer och ställningstaganden för hur informationen ska klassificeras. MSB:s modell för klassificering av information och basnivå för informationssäkerhet utgjorde bara en matrisform med olika kategorier, och det fanns ingen vägledning för hur olika informationstyper i sig skulle klassificeras. Även om det är varje myndighets skyldighet att göra klassificeringen så kan avsaknaden, anförde , av mer handgripliga råd ha inneburit att myndigheterna brister i sin klassificering eller att myndigheterna klassificerar information på olika sätt. Ytterligare ett problem var enligt att flera myndigheter ansåg att informationssäkerheten skulle försämras vid en eventuell outsourcing eller att det var svårt att hantera frågor som rör informationssäkerhet vid outsourcing. Någon rekommendation för hur myndigheterna skulle ställa krav vad gäller informationssäkerhet vid en upphandling fanns inte då. Kraven på informationssäkerhet kunde mycket väl upprätthållas vid en eventuell outsourcing, men det förutsatte enligt en noggrann analys och god kravställning. Avsaknaden av vägledning på detta område kunde även det vara en av förklaringarna till att många myndigheter inte hade prövat frågan om outsourcing. Det kunde även innebära att genomförd outsourcing ute på myndigheterna hade gjorts med bristfälliga krav vad gäller informationssäkerhet. Regeringen redovisade sin bedömning av iakttagelser och vilka åtgärder som den avsåg att vidta i skrivelsen granskning av it inom statsförvaltningen och statliga it-projekt (skr. 2010/11:138). Regeringen konstaterade att utvecklingen inom it-området skapat ökade förutsättningar för myndigheter att i allt större utsträckning köpa mer färdiga och standardiserade it-tjänster från externa leverantörer i stället för att myndigheterna producerar dessa tjänster på egen hand (s. 4). Som konstaterade utgjorde kostnader relaterade till it en betydande del av myndigheternas totala kostnader. Det var enligt regeringen av central betydelse att statsförvaltningen hushållar med allmänna medel. Regeringen konstaterade vidare att det var viktigt att frågor som rör informationssäkerhet tas på allvar. Regeringen uppgav att den delade bedömning att det var önskvärt att en större del av myndigheternas it-behov tillfredsställdes med hjälp av outsourcing. Vidare redogjorde regeringen för E-delegationens förslag i betänkandet Effektivare stödprocesser (SOU 2009:86), att regeringen skulle ställa krav på myndigheterna att ta fram försörjningsstrategier för it-tjänster, ofta benämnda sourcingstrategier (s. 5 f.). Förslaget hade remitterats, och i huvudsak var samtliga de remissinstanser som kommenterat delegationens förslag positiva till att myndigheterna skulle inrätta en försörjningsstrategi. Regeringen avsåg att fortsätta bereda frågan om myndigheters outsourcing av it-tjänster. Regeringens skrivelse behandlades av finansutskottet (bet. 2011/12:FiU2). Utskottet ansåg i likhet med regeringen att förutsättningarna hade ökat för myndigheterna att köpa mer färdiga och standardiserade it-tjänster från externa leverantörer i stället för att myndigheterna producerar dessa tjänster på egen hand. Kostnadsbesparingar kunde göras genom att öka inslaget av externt köpta it-tjänster. Utskottet anförde att det ”delar bedömning att det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing och förutsätter att regeringen i den fortsatta beredningen av frågan om myndigheters outsourcing av it-tjänster beaktar detta”. Med det sagda föreslog utskottet att regeringens skrivelse lades till handlingarna. I en motivreservation (V) anfördes bl.a. att det inte var önskvärt att myndigheternas it-behov i större utsträckning tillfredsställs med hjälp av outsourcing av it-verksamheten till privata aktörer. I stället borde myndigheterna utveckla samordningen mellan sig och utveckla gemensamma it-lösningar. följde utskottet (rskr. 2011/12:104–107). publicerade på sin webbplats en kommentar till granskningsrapporten. I kommentaren anfördes bl.a. följande: I den pågående diskussionen om Transportstyrelsens informationssäkerhetsproblem inom it-förvaltningen har det vid upprepade tillfällen hänvisats till granskning ”IT inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet?” som publicerades . Dessvärre verkar det som att rapporten i vissa sammanhang har tolkats som att kom fram till att fler myndigheter borde lägga ut sina IT-verksamheter på externa leverantörer. Detta är ett missförstånd, slutsats var att myndigheterna borde pröva om deras IT-verksamhet borde outsourcas – vilket är en helt annan sak. lämnade i den civila statsförvaltningen (RiR 2014:23). hade granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. Granskningen avsåg regeringen och dess stöd- och tillsynsmyndigheter för informationssäkerhet. Bakgrunden till granskningen var den alltmer ökande användningen av information i samhället och i statsförvaltningen samt utifrån de brister som konstaterades genom tidigare granskningar av informationssäkerhet. I sammanfattningen i granskningsrapporten anfördes följande om granskningens resultat (s. 10 f.): samlade slutsats av denna granskning är att arbetet med informationssäkerheten inte är ändamålsenligt, sett till de hot och risker som finns. Den tekniska utvecklingen har accelererat och de risker en organisation ökar och kan förväntas fortsätta öka framöver. Som framgår av underlag i granskningen har vissa av riskerna förverkligats, och konsekvenserna har varit allvarliga. Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerheten är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser som kan bli följden. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom exempelvis kompetensbrist, upphandling, tillsyn/ uppföljning/återrapportering samt styrning/omreglering/samordning. En stor del av den information som skapas och lagras i samhället är viktig och känslig. Är informationen förlorad, stulen, manipulerad eller spridd till obehöriga kan det få allvarliga följder. Konsekvenserna spänner från att det kan drabba hela samhällsfunktioner till att drabba enskilda. Granskningen har visat på omfattande brister i statsförvaltningen. Av underlaget till granskningen framgår att av myndigheterna som själva administrerar sina IT-system uppger 11 att de har en informationssäkerhetspolicy. framgår att av myndigheterna bedömer att kompetens, mandat eller resurser är otillräckliga för att utföra informationssäkerhetsarbetet på ett tillfredsställande sätt. Vidare uppger av myndigheterna att det saknas regler för vad en riskanalys, som ska göras i ett systematiskt informationssäkerhetsarbete, ska omfatta eller när den ska ske. Slutligen uppger av myndigheterna att de saknar en kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. Regeringen har inte någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. En sådan lägesbild har inte heller någon av regeringens stöd- och tillsynsmyndigheter. Det innebär att den samlade förmågan att kunna hantera de konsekvenser som kan bli följden av en allvarlig incident till stora delar är okänd. Av det skälet är det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går att få en samlad bild av läget och utifrån detta anpassar kraven på säkerheten till de behov som finns. granskning har visat att • regeringen inte utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen och • regeringens stöd- och tillsynsmyndigheter endast delvis har vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. drar denna slutsats mot följande bakgrund. har som ett led i granskningen uppdragit åt MSB, FRA och Säkerhetspolisen att analysera uppgifter om läget för informationssäkerheten i statsförvaltningen. Redovisningen av dessa uppdrag innebär väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekar dessutom entydigt i samma riktning. Regelsystemet för informationssäkerhet ser i huvudsak likadant ut som det gjorde 2007 när senast granskade området. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i regeringens styrning. Ett tydligt och väl anpassat regelverk är en förutsättning för att uppnå effektivitet i arbetet med informationssäkerhet. drar därför slutsatsen att det regelverk som styr myndigheternas arbete med informationssäkerhet bättre kan behöva anpassas till olika typer av statlig verksamhet för att kunna nå önskvärda mål. Det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns inte en samlad riskvärdering; i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. Om det hade funnits en samlad lägesbild hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. Inträffade händelser (se kapitel 2) har visat att kostnaderna kan bli betydande, dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader och minskat förtroende för statsförvaltningen. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt; de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven av säker informationshantering. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Om så vore fallet skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. I rapporten uppmärksammades att () hade sett problem hos flera statliga myndigheter och statligt ägda bolag kopplade till en önskan att pressa it-kostnaderna (s. 53). It-budgeten var hårt styrd, och externa krav på lönsamhet eller sparsamhet medför lösningar som t.ex. outsourcing. Det anfördes att outsourcing i kombination med otillräcklig beställarkompetens gör att outsourcing ofta blir en kortsiktig besparing, men i det långa loppet uppstår flera brister som är svåra att värdera i kronor. Den som outsourcar blir av med sin egen kompetens inom it-området, vilket i sin tur gör att beställarkompetensen blir än mer lidande. Många beställare gör dessutom misstaget att förutsätta att säkerhet ingår i avtalet även om detta inte uttryckligen är specificerat. Så var inte fallet enligt . Kommersiella driftleverantörers huvudsyfte är att generera vinst, och de skulle enligt FRA:s bedömning inte göra kostnadsdrivande investeringar i säkerhet om det inte finns konkurrensskäl som talade för det. FRA hade inte rätt att granska någon driftleverantörs nätverk eller sätt att administrera it-driften vid statliga myndigheter eller statligt ägda bolag, men hade trots det sett tydliga exempel där externa driftleverantörer och konsulter utsätter myndigheter för stora risker utan myndigheternas vetskap. FRA förespråkade inte att man helt borde sluta med outsourcing, men man borde tydligt se över kravställningen gentemot externa driftleverantörer samt vilka verksamheter som kan outsourcas. I sin skrivelse (skr. 2014/15:84) om , som beslutades , instämde regeringen i huvudsak i slutsats att delar av arbetet med informationssäkerhet i den civila statsförvaltningen inte var ändamålsenliga. Sedan granskning hade de förutsättningar som gällde under den förra mandatperioden dock ändrats, anförde regeringen. Under den nuvarande mandatperioden hade bl.a. frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för egen krisberedskap, samlats under inrikesministerns ansvar. Inrikesministern ansvarar också för styrningen av bl.a. MSB, och Säkerhetspolisen. Regeringen hade genom förändringarna skapat bättre förutsättningar för en mer sammanhållen styrning av informationssäkerheten. Regeringens skrivelse behandlades i försvarsutskottets betänkande 2014/15:FöU10. Utskottet föreslog att skrivelsen skulle läggas till handlingarna och såg allvarligt på slutsats att arbetet med informationssäkerheten i den civila statsförvaltningen inte är ändamålsenligt sett till de hot och risker som finns. konstaterade utskottet att regeringen i sin skrivelse i huvudsak instämde i slutsats och hade inlett ett förändringsarbete sedan granskningen gjordes. I betänkandet fanns en reservation (SD) om bifall till en följdmotion om bl.a. en handlingsplan för en myndighetsgemensam övergripande strategi för it-säkerhet. Regeringen beslutade att tillsätta en delegation – E-delegationen – med uppdraget att samordna myndigheternas it-baserade utvecklingsprojekt och skapa goda möjligheter för myndighetsövergripande samordning (dir. 2009:19). E-delegationen genomförde en förstudie om effektivare it-drift som presenterades (Effektiv IT-drift inom staten). Studien innehöll olika förslag till effektivisering av myndigheternas it-drift. Ett förslag var att regeringen skulle ålägga myndigheterna att konkurrensutsätta it-driften. Ett annat förslag var att regeringen skulle besluta att it-driften koncentreras till en myndighetsgemensam aktör, som i sin tur åläggs att konkurrensutsätta utförandet. I förstudien uppmärksammades säkerhetsmässiga aspekter (s. 50 f.). När det gällde alternativet obligatorisk konkurrensutsättning fanns risker förknippade med informationssäkerheten, särskilt hanteringen av personuppgifter och sekretess (s. 88). Alternativet statlig koncentration ansågs ha fördelar då det blev lättare för staten att styra och säkra driftsäkerhet, informationssäkerhet etc. (s. 92). Dock tillkom även med detta alternativ risker som var förknippade med att utförandet skulle konkurrensutsättas och delar av utförandet därför sannolikt outsourcas, däribland att informationssäkerheten skulle bli lidande. Vidare anfördes i förstudien att säkerhetsskydd måste utgöra en vital funktion vid koncentrationer av statens it-drift, både vid en myndighetsgemensam aktör och externa leverantörer (s. 54). För att etablera och upprätthålla ett gott förtroende mellan kundmyndigheterna och leverantör vid en koncentrerad statlig it-drift var det viktigt att det finns en god tillsyn av verksamheten. Med tanke på säkerhetsområdets vikt borde enligt förstudien en etablering av en särskild tillsynsmyndighet för säkerhetsområdet övervägas. I förstudien uppskattades den sammanlagda möjliga besparingspotentialen inom statens it-drift till , vilket motsvarade mellan av den totala it-kostnaden. Vidare uppmärksammades sourcingstrategier. Regeringen kunde genom målstyrning precisera kraven på upprättande av sådana strategier och genomförande regelbundna uppföljningar av dem (s. 85 f.). En möjlighet kunde vara att bygga upp en stödfunktion i Kammarkollegiets regi som hjälper myndigheterna med att bl.a. ta fram sourcingstrategier och som konkret tillhandahåller beställar- och upphandlarresurser till myndigheterna.