bet · H501KU20 · 2018-06-12 00:00:00 — Dock fanns det en rad indikationer på att projektet var drabbat av förseningar på grund av säkerhetsarbetet och det första avstegsbeslutet hade redan gjorts, vilket borde ha varit en indikation på allvaret i situationen. Det står inte helt klart för utredningen när icke säkerhetsklassad personal från leverantören faktiskt fick tillgång till systemen första gången. Uppgifterna om detta går nämligen isär. Enligt uppgift från personer vid Transportstyrelsen var planeringen att leverantören skulle och lära sig systemen och då tilldelas behörigheter. Utredningen har inte kunnat utröna om så faktiskt var fallet, dvs. att icke säkerhetsprövad personal från leverantören var inne i systemen redan innan tilldelningsbeslutet fattades och innan avtal om it-driften slöts. Detta innebär att man också måste ställa sig frågan om även icke säkerhetsprövad personal från de andra leverantörerna som var aktuella i upphandlingen hade tillgång till systemen . Det första avsteget, avsteg 1, rubricerat Beslut om avsteg från gällande lagstiftning och Transportstyrelsens riktlinjer för åtkomst till säkerhetsskyddad och sekretessbelagd information är daterat och underskrivet av . Beslut om avsteg 2 rubricerat Beslut om avsteg från gällande lagstiftning och Transportstyrelsens riktlinjer för åtkomst till säkerhetsskyddad och sekretessbelagd information är daterat , och datum för beslut är . Enligt uppgifter från företrädare för Transportstyrelsen föredras beslutet för av it-direktören på telefon, när hon är på semester. Projektet agerar utifrån att beslutet fattas . Det skriftliga beslutet skickas till hemadress och skrivs under av henne . Ingen föredragande är angiven på beslutet och det saknar diarienummer. I rapporten anges också att vid ett styrelsemöte informerade styrelsen om att bytet av it-driftleverantör sannolikt skulle komma att försenas, om skälen för detta samt om sina beslut om avsteg. Styrelsen fick inte se avstegsbeslutet. Bakgrunden till denna information är att internrevisionschefen kontaktade generaldirektören per e-post och bl.a. frågade om styrelsen hade informerats om avstegen och då fick uppfattningen att detta inte var planerat. har å sin sida uppgett att hon troligen hade informerat styrelsen oavsett detta påpekande från internrevisionschefen och att hon inte hade hunnit ta ställning till frågan. Enligt dåvarande styrelseordföranden var styrelsens budskap till att hon skulle ta upp detta med departementet. Han visste också att avsteget redan var anmält till Säkerhetspolisen. funderade över att själv kontakta departementet men bestämde sig för att det räckte att gjorde det. Vidare framgår av rapporten att uppgett att hon inte gav information om avstegen till departementet eftersom hon inte förstod riktigt hur allvarliga avstegen var. Departementet informerades dock löpande om projekten. bild var att departementets fokus var att Transportstyrelsen skulle kunna säkerställa att projekten genomfördes utan förseningar. Avsteg 4 med rubriceringen Beslut om avsteg från gällande lagstiftning och Transportstyrelsens riktlinjer för åtkomst till säkerhetsskyddad och sekretessbelagd information reviderade Avsteg 3 på så sätt att slutdatum sattes till vilket var innan formellt tog över driftansvaret. Beslutet är daterat och undertecknat av generaldirektören . Ingen föredragande är angiven på beslutet och det saknar diarienummer. Utredningen har inte kunnat se att Transportstyrelsen har gett någon detaljerad information om de risker och problem som uppstod i it-driftsprojektet, och den bild som framkommit av intervjuer med företrädare för Transportstyrelsen är att informationen mestadels handlade om hur projekten drevs framåt och om tekniken med mest fokus på stordatormigreringen. Enligt dåvarande generaldirektören var det mest fokus på tidsplanen vad gäller it-driften med utgångspunkt i ny lagstiftning som skulle genomföras. Utredningen noterar i detta sammanhang att den rapport som Transportstyrelsen tog fram enligt det uppdrag som den fått i regleringsbrevet att beakta och analysera informationssäkerheten innehåller en hel del information om it-driftsprojektet. Rapporten redovisades som en bilaga till Transportstyrelsens risk- och sårbarhetsanalys och var adresserad till () och Myndigheten för samhällsskydd och beredskap (MSB). Vidare noterar utredningen att Transportstyrelsen i denna rapport relativt tydligt redovisar att det finns klara brister i informationssäkerhetsarbetet vad gäller byte av driftsleverantör. Myndigheten tar upp projektens korta tidsplaner som medfört att t.ex. riskanalyser inte genomförts fullt ut, att projekten vid projektstarten inte haft kunskap om sitt nuläge rörande verksamhetskrav och införda skyddsåtgärder och att projekten saknat kunskap om vilka krav som verksamheten ställer utifrån informationens skyddsvärde eftersom informationsklassningar endast delvis gjorts av verksamheten. I rapporten anges också att leveransmodellen innebär underleverantörer i EU men även i tredjeländer. Utredningen har inte kunnat se att när rapporten kom in tog kontakt med Transportstyrelen för att få mer information utifrån denna rapport trots att det i rapporten enligt utredningens mening framkommer flera saker som borde väckt frågor och kanske även varit anledning till oro. Händelseförloppet kring Säkerhetspolisens tillsyn Informationen till Säkerhetspolisen m.m. Av rapporten framgår att säkerhetsskyddschefen vid i ett brev daterat meddelar Säkerhetspolisen (säkerhetsskyddsenheten) att generaldirektören på förfrågan från it-direktören har fattat två beslut om avsteg från de rutiner som är angivna i säkerhetsskyddsavtal avseende dels automatiserad kod, dels it-drift samt bifogar de aktuella avstegen. Säkerhetsskyddschefen har också uppgett till utredningen att han kontaktade Säkerhetspolisen per telefon i samma veva samt att han bjöd ned två handläggare från Säkerhetspolisen till . Vad som framkommer vid detta möte är inte helt klart för utredningen annat än att säkerhetsskyddschefen uppger att Säkerhetspolisen bekräftat hans farhågor. Enligt uppgifter i medierna har även andra myndigheter framfört oro till Säkerhetspolisen avseende Transportstyrelsens outsourcing av it-drift. Enligt rapporten framgår det av en promemoria daterad att säkerhetsskyddschefen har informerat generaldirektören om sin rapportering av besluten om avsteg till Säkerhetspolisen. Generaldirektören har undertecknat att hon mottagit denna information. Vidare framgår att säkerhetsskyddschefen har informerat generaldirektören om att avsteget rörande it-drift bedöms kunna medföra att Försvarsmakten, Säkerhetspolisen och inte längre kommer att kunna använda sig av de kvalificerade skyddsidentiteter som regleras i lagen (2006:939) om kvalificerade skyddsidentiteter. Säkerhetsskyddschefen antecknar att han avrått från avsteg från ingångna säkerhetsskyddsavtal. Hon vidtar såvitt utredningen kan se inga särskilda åtgärder med anledning av detta. Hon kontaktar inte Säkerhetspolisen eller . Säkerhetspolisen kontaktar inte heller henne när den får information om avstegen av säkerhetsskyddschefen i samma veva. fattar Säkerhetspolisen formellt beslut om att inleda en tillsyn av Transportstyrelsen. informeras vid ett möte med Säkerhetspolisen om den planerade tillsynen, men det är först som det formella beslutet att inleda tillsyn fattas. Anledningen till tidsutdräkten mellan det att oroande information nådde Säkerhetspolisen och att beslut om tillsyn fattas var enligt uppgifter till utredningen att det tog tid att samla information och kompetens samt att det inte kunde göras en bedömning av om upphandlingen borde avbrytas. Av rapporten framgår att det kommer in ytterligare en anmälan om avvikelse till Säkerhetspolisen från Transportstyrelsen. Dagen därefter hålls ett möte där alla intressenter vad gäller kvalificerade skyddsidentiteter (dvs. även Försvarsmakten och ) informeras om situationen och därmed sammanhängande risker. Ett uppstartsmöte för tillsynen hålls . Något protokoll eller några minnesanteckningar från mötet har utredningen inte kunnat ta del av. Utredningen har tolkat mötet som det tillfälle där Säkerhetspolisen informerar om tillsynen för den berörda myndigheten, men det finns också uppgifter om att ett sådant möte hölls . Vidare framgår det att Säkerhetspolisen under arbetet med tillsynen skickar en skrivelse till Transportstyrelsen adresserad till generaldirektören. Skrivelsen är daterad . I den gör Säkerhetspolisen en genomgång av det underlag som tillsynen dittills genererat, viss relevant lagstiftning och av Transportstyrelsen fattade beslut och vidtagna åtgärder. Skrivelsen avslutas med några rekommendationer om omedelbara säkerhetsskyddshöjande åtgärder. Bland annat rekommenderades Transportstyrelsen att säkerställa att hemliga uppgifter inte kom obehöriga till handa genom att t.ex. avbryta outsourcing av hela eller valda delar. Enligt uppgift till utredningen var anledningen till att rekommendationen skickades att det kommit fram sådana uppgifter att Säkerhetspolisen gjorde bedömningen att det behövdes en sådan skrivelse. Någon uppföljning eller kontroll av rekommendationens effekter gjordes däremot inte. eller andra myndigheter informerades inte heller om rekommendationen såvitt utredningen kunnat se. Det framgår av rapporten att Säkerhetspolisen beslutar att inleda en förundersökning avseende vårdslöshet med hemlig uppgift (19 kap. 9 § ). I denna konstaterar bl.a. följande: Transportstyrelsens säkerhetsanalys är otillräcklig, säkerhetsskyddsavtal saknas med vissa leverantörer, gällande lagstiftning har inte följts fullt ut och Transportstyrelsen har inte själv följt de krav som myndigheten ställt. Enligt vad som uppgivits till utredningen så uppfattade Transportstyrelsens ledning att man hamnat i en hopplös sits. Säkerhetspolisen rekommenderade att avbryta upphandlingen, men ett sådant avbrytande ansågs helt enkelt inte vara möjligt utan att all väsentlig verksamhet vid myndigheten skulle avstanna. Det diskuterades om vidare kontakter borde tas med Säkerhetspolisen och departementet, men någon sådan kontakt togs inte. Angående varför man inte vände sig direkt till departementet i den uppkomna situationen framgår det av uppgifter till utredningen att myndighetsledningen uppfattat att regeringen inte vill ha mer information än vad som var absolut nödvändigt och att den förväntade sig att myndighetscheferna klarar av sina uppdrag utan sådana kontakter. Utredningens synpunkter på tillsynen Utredningens samlade intryck av intervjumaterialet och av hur tillsynen hanterades formellt på Transportstyrelsen är att de flesta inblandade på myndigheten inte verkar ha förstått vad som föranlett tillsynen och allvaret i den uppkomna situationen. En faktor som utredningen kunnat identifiera som en betydelsefull förklaring till att man på Transportstyrelsen inte såg allvaret var den tid som tillsynen tog, vilket ledde till uppfattningen att den inte gärna kunde avse något akut. Utredningen skriver också i rapporten att en slående iakttagelse är att även med beaktande av de krav på korrekt information och rätt kompetens som rimligen måste ställas på en tillsyn av detta slag – och med hänsyn tagen till att det var fråga om sommarmånader – så tar det Säkerhetspolisen fattar beslutet att inleda en tillsyn från det att man fått relativt klara indikationer på att det råder allvarliga missförhållanden. Det tar innan tillsynen verkar komma igång i praktiken. Detta innebar att de hot mot rikets säkerhet som senare kom att identifieras och konstateras kunde fortgå under hela utan någon egentlig åtgärd. Vidare skriver utredningen att en faktor som också måste lyftas fram är det förhållandet att Säkerhetspolisen inte fullt ut lyckades förmedla det allvarliga i den uppkomna situationen, trots att man anger att de varit mycket tydliga i detta avseende. Något har helt uppenbart brustit i kommunikationen mellan Transportstyrelsen och Säkerhetspolisen eftersom två oförenliga bilder av tillsynens karaktär kom att etableras. Båda myndigheterna bär rimligen ansvaret för denna brist. Utredningen har dock fått flera belägg för att tidsutdräkten innebar att personalen på upplevde att det inte kunde vara några akuta problem. Detta kan således ha varit en bidragande faktor till att Transportstyrelsen inte vidtog särskilt omfattande direkta åtgärder förrän i ett sent skede utan valde att invänta Säkerhetspolisens rapport. Det står enligt utredningen klart att Säkerhetspolisens skrivelse till Transportstyrelsen inte föranledde Transportstyrelsen att göra någon helt ny värdering av outsourcingen. Enligt uppgifter ansågs det inte i detta läge – – vara realistiskt att avbryta outsourcingen. Utredningens intryck är att detta sannolikt beror på att rekommendationen utformats så att den gett befattningshavarna på Transportstyrelsen intrycket att det fanns ett utrymme för att väga de nackdelar som Säkerhetspolisen påtalade mot de som skulle uppstå om upphandlingen avbröts. Utformningen som en rekommendation kan sägas ha inbjudit till en sådan tolkning, särskilt med beaktande av att mottagaren inte var särskilt positivt inställd till rekommendationens sakliga innehåll. Dessutom påverkade det förhållandet att rekommendationen inte åtföljts av någon uppföljning eller avrapportering angående vad Transportstyrelsen vidtagit för åtgärder. Utredningens intryck är att Transportstyrelsen därför uppfattade det som att rekommendationen kunde läggas till handlingarna efter det att man där bedömt att det var ogörligt att avbryta outsourcingen och vissa övriga justeringar av säkerhetsarbetet gjorts. Utformningen av rekommendationen beror delvis på att författningsregleringen inte gav Säkerhetspolisen några särskilt skarpa instrument mot en myndighet som bröt mot regelverket. Någon annan möjlighet än att i skarpa ordalag rekommendera Transportstyrelsen att vidta åtgärder fanns inte. Inte desto mindre är det enligt utredningen värt att lägga märke till att just ordvalet rekommendation, tillsammans med sättet som denna kommunicerades på och det förhållandet att inget krav på återkoppling eller uppföljning fanns, bidrog till att Transportstyrelsen tvärtemot Säkerhetspolisens strävanden fortsatte med sitt agerande. Direkta personliga kontakter, kanske på högsta nivå, hade sannolikt varit ett bättre sätt för Säkerhetspolisen att försäkra sig om att allvaret i situationen gick fram. förlitade man sig på Transportstyrelsens egen förmåga att prioritera säkerhetsfrågorna, trots att man visste att denna var förhållandevis svag. Att det i formell mening var Transportstyrelsens och inte Säkerhetspolisens ansvar förtar enligt utredningen inte bilden av att myndigheterna hade kunnat kommunicera bättre med varandra. Utredningen anser att en faktor som är särskilt betydelsefull är myndighetens val eller oförmåga att mer aktivt involvera regeringen i den uppkomna situationen. I viss utsträckning handlade den om att prioritera mellan olika centrala samhällsintressen – trafiklösningar av betydelse för hela samhället visavi skyddet av rikets säkerhet och skyddet av personlig integritet. Det hade då inte varit onaturligt att vända sig till regeringen vars uppgift är att styra riket (1 kap. 6 § regeringsformen) och ytterst avgöra sådana målkonflikter. Transportstyrelsen har såvitt utredningen har kunnat se inte varit helt tydlig med hur allvarlig den uppkomna situationen var i sin dialog med . De regelbundna kontakterna mellan myndigheten och tycks främst ha gällt mer övergripande frågor och den vitala stordatormigreringen, där brister i genomförandet kunde få politiska konsekvenser. Det finns ett tillfälle utredningen kunnat belägga att Transportstyrelsen gett och Myndigheten för samhällsskydd och beredskap konkret information om allvarliga brister avseende informationssäkerheten vid myndigheten, nämligen en rapport som Transportstyrelsen lämnade . Utredningen har inte kunnat fastställa om denna rapport ledde till några åtgärder från vare sig regeringen eller Myndigheten för samhällsskydd och beredskap. I ett protokoll från vid överläggning enligt lagen (1982:80) om anställningsskydd i ärendet vid om avsked av anges bl.a. följande. uppgav att hon varit transparent med sitt handlande och löpande lämnat information till och till . uppgav också att hon från departementet uppfattade att det inte var ett alternativ att backa i processen. I en logg som fört och som getts in till finns antecknat ett antal möten med företrädare för , bl.a. statssekreterare . I en redogörelse för händelserna kopplade till Transportstyrelsens outsourcing, som kom in till , anför bl.a. följande. informerades tjänstemän samt statssekreterare löpande om projekten. Informationen kom dels via , dels via andra medarbetare vid myndigheten. Departementets fokus var att Transportstyrelsen skulle kunna säkerställa att projekten genomfördes utan förseningar. När informerade tjänstemän på departementet om sina avstegsbeslut och sitt ställningstagande till Säkerhetspolisens krav på att avbryta projekten sökte hon också vägledning från tjänstemännen eller regeringen om hon borde handla annorlunda. Hon fick inga sådana signaler. Vid resultatdialogen nämnde vid ett samtal med statssekreterare att myndigheten hade problem med outsourcing och att Säkerhetspolisen agerade. Hon fick då inte någon respons på situationen. Genom en skrivelse begärde utskottet svar på vissa frågor. Som svar fick utskottet en skrivelse från Transportstyrelsen (bilaga A5.2.11). I skrivelsen finns en översiktlig redogörelse för vilka beslut som Transportstyrelsen fr.o.m. successivt fattat inför och under outsourcingen av it driften: – : Beslut om publicering av anbudsunderlag. – : Beslut av ekonomidirektören om tilldelning. – : Avtal inklusive säkerhetsskyddsavtal med leverantören undertecknas av den dåvarande generaldirektören. – : Beslut fattas av generaldirektören om avsteg från bl.a. gällande lagstiftning. – : Beslut om att godkänna projektdirektivet för it-drift 2.0. – : Beslut av generaldirektören om avsteg från bl.a. gällande lagstiftning. – : Beslut om att skjuta upp leverantörens övertagande av driften från 2015. – : Beslut av generaldirektören om avsteg från bl.a. gällande lagstiftning. – : Beslut av generaldirektören om avsteg från bl.a. gällande lagstiftning. I skrivelsen finns även en redogörelse om stordatormigreringen. Vidare finns en redogörelse utifrån dagordningar från dialogmöten med om att Transportstyrelsen har lämnat följande övergripande information: – : Övergripande information om systemmigreringen. Mötet leddes av dåvarande statssekreterare . – : Lägesuppdatering kring stordatormigreringen. Mötet leddes av dåvarande statssekreterare . Vidare anges i svarsskrivelsen att Transportstyrelsen inte har kännedom om att de nämnda besluten varit uppe på dessa dialogmöten eller vid några andra tillfällen. I skrivelsen anges också att leverantören och dess underleverantörer tog över ansvaret för driften av myndighetens system . Den migrerade stordatorn togs inte i produktionsmässig drift förrän . Vidare anges att hade icke säkerhetsklassad personal vid leverantören och underleverantörerna tillgång till Transportstyrelsens system. Den tidigare styrelsen hade fått mycket begränsad insyn i och information om verksamheten som är säkerhetsklassad. Den nuvarande styrelsen har mer insyn. Det anges också i skrivelsen att storleken på myndighetens ekonomiska ramar inte ändrades av regeringen för att it-driften skulle outsourcas. Outsourcingen fanns dock med som en kostnadsbesparande post (80–) som en del av de effektiviseringar som myndigheten eftersträvade. Vidare anges att myndighetens outsourcing är omnämnd vid redovisningen av ett uppdrag i regleringsbrevet . besvarade Transportstyrelsen ytterligare frågor från utskottet (se vidare bilaga A5.2.12). Utskottet har genom skrivelser till begärt svar på olika frågor. Som svar har utskottet fått promemorior som upprättats inom , , Försvarsdepartementet, Statsrådsberedningen och (bilaga A5.2.3–10). Information till om informationssäkerhetsfrågor m.m. Risk- och sårbarhetsanalyser m.m. I Transportstyrelsens risk- och sårbarhetsanalys , som fick , anges följande: ”IT-driften är av avgörande betydelse för att vägtrafikregistrets funktion ska kunna upprätthållas. Driften sker via försorg, Trafikverket-IT (TrV-IT). IT-driften kommer att skötas internt inom Transportstyrelsen.” I en redovisning av ett uppdrag om informationssäkerhet, som Transportstyrelsen lämnade i samband med myndighetens risk- och sårbarhetsanalys och som kom in till , redogjorde Transportstyrelsen för bl.a. outsourcingen av myndighetens it-drift. I svaret från hänvisas till s. 9 och 10 i rapporten om informationssäkerhet. Rapporten är bifogad till svaren. I rapporten anfördes (s. 9 f.): Myndigheten står inför en stor förändring av sin it-miljö, som har stor påverkan på hela myndighetens verksamhet. Dels pågår ett omfattande arbete med att migrera vägtrafikregistret från den nuvarande föråldrade stordatorplattformen till en modem windowsbaserad plattform. Arbetet utförs av extern leverantör och väntas vara färdigt . Dels avslutas uppdrag som leverantör av myndighetens it-drift. Uppdraget övergick till . I båda fallen drivs arbetet i projektform i nära samverkan med de externa leverantörerna. Eftersom vägtrafikregistret är en källa för information och registrering för både offentliga och privata aktörer i samhället räknas vägtrafikregistret som en samhällsviktig verksamhet. För myndigheten är det av stor betydelse att informationssäkerhetsfrågoma omhändertas. Båda projekten arbetar under ytterst tidskritiska planer. Vid bytet av leverantör för it-drift har myndigheten dessutom ställt högre krav på informationssäkerheten. Projektet är något försenat och informationssäkerhetsarbetet är en stor utmaning. Som följd av detta finns nu vissa risker men som av myndighetens ledning bedöms vara hanterbara. Alternativet att senarelägga projekten skulle medföra ännu större risker för myndighetens förmåga att upprätthålla kvalitet i sin verksamhet. I följande text beskrivs iakttagelser från en intern granskning av projekten. Observationer från interna projekt inom myndigheten Inom ramen för Transportstyrelsens uppdrag i regleringsbrevet har informationssäkerheten granskats i båda dessa projekt. Granskning visar bl.a. att projekten har drivits med mycket korta tidplaner, vilket medfört att delar av normalt förberedelsearbete inte hunnits med. T.ex. har riskanalyser inte genomförts fullt ut. Projekten har vid projektstarten inte heller haft kunskap om sitt nuläge rörande verksamhetskrav och införda skyddsåtgärder. GAP-analyser har heller inte gjorts, men planeras att ske . I projekten saknas även kunskap om vilka krav som verksamheten ställer utifrån informationens skyddsvärde då informationsklassningar endast delvis gjorts av verksamheten. Plan saknas även för hur myndigheten ska kontrollera överenskommelser i avtal med leverantörer. Vad gäller migreringsprojektet visar det sig att knappt hälften av de krav som ställs upp av myndighetens har beaktats. Den korta tidplanen för båda projekten har medfört att informationssäkerhetsfrågoma inte har beaktats fullt ut, vilket medför högre risker vad främst gäller möjligheten till otillbörlig åtkomst av känslig information. Vad gäller migreringsprojektet är uppdraget att genomföra en funktionsmigrering 1:1, vilket innebär att samma data flyttas från en miljö till en annan miljö med bibehållen teknisk funktionalitet. Projektet har inte att utveckla systemets applikationer eller åtgärda brister i it-miljön. Migreringen är tekniskt sett redan slutförd, men kvaliteten i migrerad data återstår att kontrollera. Den nya tekniska plattformen ger fler möjligheter till åtkomst av informationskritisk data än vad den tidigare plattformen medgav, vilket är en risk för verksamheten att kompletterande skydd kring den nya tekniska plattformen är införda. Vad gäller bytet av it-driftsleverantör är risken även här relaterad till åtkomstmöjlighetema.