sou · H5B3114 · 2018-01-01 00:00:00 — Syftet är att på så sätt tillsammans stärka och skapa synergier i det förvaltningsgemensamma arbetet med att digi- talisera den offentliga förvaltningen mot ett gemensamt mål. Enligt utredningen är det för sent att göra en sådan utvärdering efter utgången av 2018. En förnyad avsiktsförklaring behövs . Parterna har möjlighet att i samförstånd revidera avsiktsförkla- ringen under innevarande period. 9Informationssäkerhet – en naturlig del i digitaliseringen För att digitaliseringen och dess effekter ska åtnjuta alla aktörers, inklusive individernas, förtroende och leva upp till förvänt- ningarna om trygghet och säkerhet måste informationssäkerhets- arbetet inom offentliga myndigheter styras på ett mer kraftfullt sätt och därmed genomsyra samtliga digitaliseringsprocesser. En kombination av krav på ett systematiskt och riskbaserat infor- mationssäkerhetsarbete, incidentrapportering och tillsyn tillsam- mans med ett ändamålsenligt stöd ska säkerställa att samhällets aktörer ges möjlighet att hantera och prioritera informations- säkerhetsbehoven. att regeringen inleder ett arbete att samordna och strukturera reg- lering inom informationssäkerhetsområdet, att regeringen ger digitaliseringsmyndigheten i uppdrag att ta fram och mäta nyckeltal för informationssäkerhetsrelaterade aspekter i syfte att följa informationssäkerhetsmognaden i förhållande till digitaliseringen, att regeringen tar fram rättsliga krav som omfattar samtliga offentliga myndigheter att införa ett systematiskt och riskbaserat informationssäkerhetsarbete och ge MSB i uppdrag att utreda hur tillsyn över informationssäkerhetsområdet och incidentrapporte- ring kan genomföras. Informationssäkerhet – en naturlig del i digitaliseringen Digitaliseringen är något som ofta drivs genom att visa på nytta, t.ex. genom att förenkla processer där individer har kontakt med det all- männa. Därmed frigörs resurser som annars hade lagts på admini- strativt arbete. Digitaliseringen medför att offentliga myndigheter allt mer är att betrakta som informationsförädlare och sålunda måste ha tillgång till, och kunna behandla, information. Detta ställer krav på ett struk- turerat arbetssätt för att säkerställa att den information som be- handlas hanteras på ett säkert sätt. Med säker hantering avses både att säkra tillgång till öppen information och att information som inte är öppen ska skyddas. När det uppstår brister i informationssäker- heten kan följden bli omfattande konsekvenser både för samhället i stort och för individers integritet. Tilliten till digitaliseringen kan äventyras. Det är ofta svårt att motivera investeringar i informationssäkerhet eftersom det sällan ger en synbar eller upplevd nytta direkt vid inve- steringstillfället. Informationssäkerhet kan t.o.m. av vissa betraktas som något som endast fördyrar, försvårar och riskerar att försena och till och med stoppa projekt. Många organisationer undviker där- för att sätta sig in i vilka värden säker hantering av information ger på . Inte sällan betraktas också informationssäkerhetsfrågor som en- bart it-frågor vilket innebär att säkerhetsåtgärder av administrativ och organisatorisk art mer eller mindre förbises, exempelvis utform- ning och följsamhet till arbetssätt och rutiner. Dessutom hänvisas resursförfrågningar till att ingå i rådande it-budget som i sin tur inte behöver vara föremål för någon strategisk satsning. Informationssäkerhet ska genomsyra alla processer som handlar om digitalisering. Detta har påpekats även i tidigare utredningar och rapporter. lämnades ett betänkande av NISU 20141 till reger- ingen. Ett av förslagen i denna utredning var att det bör etableras en nationell modell för att styra samhällets informationssäkerhet. Även Riksrevisionen2 har påpekat att det behövs en starkare styr- ning från regeringen gentemot myndigheterna, så att nödvändiga 1SOU 2015:23, Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten, betänkande av NISU 2014. 2RiR 2016:8, Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerhet i staten. Informationssäkerhet – en naturlig del i digitaliseringen säkerhetsåtgärder verkligen blir genomförda. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god. Om regeringen inte efterfrågar information om myndigheternas informationssäkerhet och inte framhåller vikten av god informa- tionssäkerhet bedömer att myndigheternas ledningar inte heller kommer att prioritera frågan. Regeringen har efter sin beredning av NISU:s betänkande och tagit fram en nationell cybersäkerhetsstrategi3 i vilken det framgår att det ska tas fram en nationell modell till stöd för ett informationssäkerhetsarbete. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället. Regeringen vill genom strategin även stödja de insatser och det engagemang som redan finns i samhället för att stärka informations- och cybersäkerheten. Strategin omfattar därmed hela samhället, det vill säga statliga myndigheter, kommuner och landsting, företag, organisationer och individer. 9.1Fragmenterad styrning av informationssäkerhet Arbetet med informationssäkerhet är till stor del varje organi- sations eget ansvar. I och med att organisationer är allt mer beroende av andra för sin informationshantering, exempelvis i de förvaltningsgemensamma digitala funktionerna, är det nödvändigt med samordnade åtgärder för att reducera risker och behålla säker- hetsnivån. Möjligheterna att ytterligare kraftigt öka resurserna som läggs ned på informationssäkerhetsarbetet är dock begränsade inom många organisationer. Som utredningen konstaterade i delbetänkandet4 är det nationella informationssäkerhetsarbetet uppdelat i olika, delvis överlap- pande, ansvarsområden, både på departements- och på myndighets- nivå. Detta gör att det saknas ett enhetligt arbetssätt och en- hetligt regelverk för samhällets informationssäkerhetsarbete och det finns få gemensamma krav på informationssäkerhet. Expert- och sektorsmyndigheter har, utifrån sitt specifika ansvarsområde eller 2016/17:213, Nationell strategi för samhällets informations- och cybersäkerhet. 4SOU 2017:23, digitalforvaltning.nu. 102–110. Informationssäkerhet – en naturlig del i digitaliseringen expertområde, gett ut föreskrifter som i olika grad har bäring på informationssäkerhet. Genom att fler aktörer – utan samordning – utfärdar regler på området finns en stor risk att fragmenteringen av kravställningen på området ökar. Detta får inte sällan till resultat att erfarenheter och kunskap som finns inte nyttjas effektivt, att de resurser som alloke- ras inte används inom de områden där bristerna är som störst och att utfärdade informationssäkerhetskrav fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden. Det fragmenterade arbetet leder till att det saknas gemensamma riktlinjer för vilket skydd olika typer av informationstillgångar minst bör ha. Detta leder till att samma typ av information riskerar att få helt olika skydd beroende på var i förvaltningssystemet som den hanteras. Detta innebär inte sällan även effektivitetsbrister då lös- ningar får olika utformning vilket skapar en minskad interopera- bilitet som i sin tur leder till en ökad kostnad. Mot bakgrund av detta anser utredningen att bristen av sam- ordnat rättsligt stöd medför svårigheter att säkerställa att offentliga aktörer har rätt förutsättningar i sitt arbete med att genomföra och förvalta digitaliseringsarbetet på ett sådant sätt att de tjänster som erbjuds uppfyller tillräckliga krav på tillgänglighet, riktighet och konfidentialitet. har MSB föreskriftsrätt över statliga myndigheters arbete med informationssäkerhet. Av MSB:s föreskrifter om statliga myn- digheters informationssäkerhet5 framgår att Varje myndighet ska bedriva ett systematiskt och riskbaserat informa- tionssäkerhetsarbete med stöd av ett ledningssystem för informations- säkerhet. I detta arbete ska standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 beaktas. Tillräckliga resurser ska tilldelas för infor- mationssäkerhetsarbetet samt löpande och regelbunden information lämnas till myndighetsledningen.6 5MSBFS 2016:1, Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet . 67 § MSBFS 2016:1. Informationssäkerhet – en naturlig del i digitaliseringen Nyckelorden i paragrafen är ”ledningssystem”, ”systematiskt” och ”riskbaserat”. Att informationssäkerhetsarbetet ska bedrivas som ett ledningssystem betyder att det ska ingå som en naturlig del i den dagliga verksamheten och inriktas och styras av organisationens led- ning. Systematiken innebär att arbetet ska ha en tydlig struktur, be- drivas genom att ställa upp mål och i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. Att ett informationssäkerhetsarbete ska vara riskbaserat innebär att det är den aktuella situationen och den aktuella informations- mängden som ställer de exakta kraven på informationssäkerhets- arbetet och de säkerhetsåtgärder som införs. En riskbedömning som genomförs i en organisation som har en informationsmängd på papper är troligen helt skild från den riskbedömning en annan organisation där samma typ av informationsmängd behandlas i ett digitaliserat och uppkopplat system. Som framgår ovan finns det en reglering inom informations- säkerhetsområdet. Den är dock inte heltäckande och den siktar in sig på de specifika expert- och sektorsmyndigheternas ansvarsområden. Ett aktivt informationssäkerhetsarbete är en förutsättning för en fortsatt digitalisering. Det ska ses som ett baskrav i alla organisa- tioners informationshantering. finns inom andra områden krav på ett systematiskt och riskbaserat arbete, t.ex. miljö och arbets- miljö. För arbetsmiljön gäller föreskrifter om systematiskt arbetsmiljöarbete.7 Det är ett ledningssystem och har till sin struktur många likheter med andra standardiserade lednings- system. Det finns dock en viktig skillnad – det är ett lagkrav att ha ett systematiskt arbetsmiljöarbete8 som omfattar alla arbetsgivare, medan kravet på ett systematiskt och riskbaserat informationssäker- hetsarbete endast omfattar statliga myndigheter genom en föreskrift. Målbilden för styrning inom informationssäkerhetsområdet torde vara att få motsvarande effekt av styrningen som på områdena för t.ex. miljö och arbetsmiljö. Det skulle kunna vara att ta fram lagkrav på att införa ledningssystem för informationssäkerhet () för att höja medvetenheten om området samt att få kravet att träffa samtliga offentliga myndigheter. Det kan också leda till att ge mandat för 7Arbetsmiljöverkets föreskrifter om systematiskt arbetsmiljöarbete (AFS 2001:1). 83 kap. 2 a § arbetsmiljölagen (1977:1160). Informationssäkerhet – en naturlig del i digitaliseringen expert-och sektorsmyndigheter att genomföra inspektioner (tillsyn) och ha sanktionsmöjligheter som ett verktyg. Utredningen menar att alla offentliga myndigheter ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Detta för att enskil- da individer i sina kontakter med offentliga myndigheter ska kunna förvänta sig en säker informationshantering, oavsett myndighet. 9.3Tillsyn, revision och uppföljning Utredningen har inte kunnat finna någon samordnad tillsyn av det systematiska informationssäkerhetsarbetet. Viss tillsyn finns såsom () inom området elektronisk kommu- nikation9, Datainspektionen för personuppgifter10 samt Försvars- makten och Säkerhetspolisen gällande säkerhetsskyddet11. När det gäller kommuner, de som kanske kommer att erbjuda flest digitala tjänster, finns inte några lagkrav på att arbeta systema- tiskt med informationssäkerhet, inga krav på att rapportera inciden- ter och inte heller någon tillsyn. Inom vissa delar av det offentligas verksamhet kommer tillsynen utökas i och med att NIS-direktivet12 träder i kraft , men den tillsynen är endast gentemot samhällsviktig verksamhet inom de sju sektorerna energi, transporter, bankverksamhet, finansmarknads- infrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Detta är dock bara en del- mängd av de elva sektorer som MSB identifierat13 som samhällsvik- tiga sektorer. Utöver de samhällsviktiga sektorerna finns all övrig offentlig verksamhet som i stort är helt utan tillsyn. Vid införande av tillsyn är det viktigt att regleringens olika delar samspelar så att det inte uppstår en obalans mellan dem.14 Om t.ex. vissa delar av tillsynsverksamheten är detaljerat reglerad med avse- ende på vilka prestationer en tillsynsmyndighet ska åstadkomma 97 kap. lagen (2003:389) om elektronisk kommunikation. 1043 § personuppgiftslagen (1998:204). 1131 § säkerhetsskyddslagen (1996:627). 12Direktiv (2016/1148/EU) om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. 13Handlingsplan för skydd av samhällsviktig verksamhet (MSB597) – . 14Statskontoret 2012, Tänk till om tillsynen – Om utformningen av statlig tillsyn. Informationssäkerhet – en naturlig del i digitaliseringen medan andra delar har mer övergripande målformuleringar finns en risk att den detaljerade regleringen får en starkt styrande inverkan på tillsynen, med den konsekvensen att annan mer strategiskt inriktad tillsyn får stå tillbaka. Det finns också en stor risk att organisationer som är utsatta för tillsyn fokuserar arbetet på de delar som granskas mer specifikt och att arbetet att jobba med informationssäkerhet över hela linjen får stå tillbaka. De uppföljningar som har gjorts inom området informations- säkerhet har bland annat visat att myndigheternas granskning av sitt eget informationssäkerhetsarbete behöver effektiviseras.15 Gransk- ningen kan bedrivas med olika metoder och på olika nivåer. Den kan också behöva kombineras med rapportering av resultatet av genom- förda granskningar för att uppnå avsedd effekt. Olika alternativa vägar för att stärka både granskning och rapportering av informa- tionssäkerhetsarbetet bör övervägas. Utredningen förslog i delbetänkandet att digitaliseringsmyndig- heten ska följa upp och analysera utvecklingen av den offentliga sek- torns digitalisering och användningen av nationella digitala tjänster baserad på nyckeltal och myndigheters rapportering till regeringen.16 På samma sätt bör även informationssäkerhetsarbetet följas upp genom att digitaliseringsmyndigheten tar fram nyckeltal som mäter informationssäkerhetsmognaden i de organisationer som mäts gällan- de digitaliseringen. Utredningen bedömer även att alla offentliga myndigheter bör omfattas av en för hela den offentliga förvaltningen gemensam regle- ring gällande tillsyn av informationssäkerhetsarbetet med tillhörande incidentrapportering. Hur denna tillsyn och incidentrapportering ska utformas ligger utanför denna utrednings område och bör ut- redas närmare. Utredningen föreslår att regeringen ger MSB, som är ansvarig för att ta emot rapportering från statliga myndig- heter, i uppdrag att utreda hur tillsyn och incidentrapportering inom informationssäkerhetsområdet kan genomföras för samtliga offentliga myndigheter. 15MSB remissvar över SOU 2015:23 Informations- och cybersäkerhet i , dnr 2015-2930. 16SOU 2017:23, digitalforvaltning.nu. att området för elektronisk identifiering är underreglerat, att e-legitimation ska benämnas elektronisk identitetshandling, att regelverk för elektroniska identitetshandlingar är en förvalt- ningsgemensam digital funktion, att regelverk som anvisar hur offentliga myndigheter elektro- niskt ska kontrollera individers identitet är en förvaltnings- gemensam digital funktion. Enligt utredningens direktiv finns det behov av att analysera om- fattningen av det offentliga åtagandet i förhållande till de privata aktörernas roll och lämna förslag på vidareutveckling av modellen för elektroniska identitetshandlingar för att långsiktigt tillgodose den offentliga sektorns och användarnas behov samt främja inno- vation på den privata marknaden. Utredningen ska bland annat lämna förslag på långsiktig utformning processen för grundidenti- fiering, utfärdande av elektroniska identitetshandlingar och organi- sering av attribut- och behörighetstjänster som medger att elek- troniska identitetshandlingar kan användas i olika roller, särskilt i tjänsten. I följande kapitel (10–15) behandlar utredningen de förut- sättningar, bedömningar och förslag som har att göra med elek- troniska identitetshandlingar för användning i . Förvaltningsgemensamma digitala funktioner och elektronisk identifiering – ett underreglerat område Elektronisk identifiering är en förutsättning för att offentliga myndigheter ska kunna utveckla e-tjänster och erbjuda individer stöd och service via dessa. Det är vidare en förutsättning för många offentliga arbetsgivare för att deras anställda i sin yrkesroll ska kunna identifiera sig mot interna eller externa system på ett säkert och tillförlitligt sätt. Allt mer av kontakterna mellan individer och offentliga myndigheter liksom privata aktörer inleds via e-tjänster i vilka individen måste identifiera sig. Elektronisk identifiering innefattar: –den elektroniska identitetshandling som individen har, hur den utformas, vem som utfärdar den liksom hur den kan användas samt –relationer mellan användaren, den som har en e-tjänst och den som har utfärdat en elektronisk identitetshandling. Området för elektronisk identifiering omfattar många olika delar, där olika aktörer är inblandade. Det är viktigt att elektronisk identifiering omgärdas av ett legalt och säkerhetsmässigt nät. För att elektronisk identifiering ska fungera måste det också finnas på plats utdelade ansvar för olika uppdrag. En framgångsfaktor är om det är lätt för inblandade aktörer att veta vem som har ett ansvar och vad som ska eller kan göras. Utredningen kommer i följande kapitel att återkomma till den författningsreglering som finns och de pågående initiativen på området samt det förslag som ut- redningen lämnar. Utredningen kan emellertid redan här konstatera att området för elektronisk identifiering är underreglerat. För att komma fram till vilka delar och således vilket regelverk som skapar en eller flera förvaltningsgemensamma digitala funktioner måste varje del analyseras för sig. Nedan följer i korthet vilka delar som utredningen bedömer vara förvaltningsgemensamma och vars regel- verk utgör förvaltningsgemensamma digitala funktioner. Först vill utredningen emellertid uppmärksamma begreppet e-legitimation. Förvaltningsgemensamma digitala funktioner och elektronisk identifiering 10.2Elektronisk identitetshandling i stället för e-legitimation Den identitetshandling som individer använder för att identifiera sig elektroniskt kallas för e-legitimation. En legitimationshandling är en handling som användaren nyttjar för att legitimera sig. Legitimations- handlingar kallas också identitetshandlingar eller identitetskort. En- ligt betyder legitimation en handling varigenom något görs lagligt eller behörighet.1 Begreppet innefattar därmed behörighetsstrukturer. En identitet kan vara hur en individ upplever sig själv, men det kan också betyda att två ting egentligen är ett och samma.2 En identitetshandling syftar till att visa en individs identitet och kan användas för att kontrollera att individen är den som han eller hon utger sig för att vara. Identitetskontrollen görs genom att jämföra individen med identitetshandlingen. Utredningen menar att identitet och behörighet ska skiljas åt. Behörigheter kommer av att uppgifterna om en individ på identitets- handlingen kombineras med ett regelverk, exempelvis att individen får köpa alkoholdrycker3 eller att någon är legitimerad för ett visst yrke, exempelvis läkare.4 För att avgöra om en individ får köpa vin är det mer intressant om individen överensstämmer med regelverket, dvs. är gammal, än vem individen är. För att veta om en individ är legitimerad läkare måste uppgifter om individen kopplas samman med uppgifter i registret över legitimerad hälso- och sjukvårdspersonal. Utfärdare av elektroniska identitetshandlingar vill skilja uppgifter om en individs identitet från uppgifter om dennes behörighet. Detta eftersom behörigheter kan variera snabbt från till en annan, medan identitetsuppgifterna är bestående. Utredningen menar därför att begreppet e-legitimation är missvisande. Begreppet antyder att det är fråga om en samling elektroniska uppgifter som utvisar både identi- tet och behörighet. Utredningen bedömer att det är lämpligare att fortsättningsvis tala om elektroniska identitetshandlingar, för att inte 1www.saob.se/artikel/?seek=legitimation&pz=1, . 2www.saob.se/artikel/?unik=I_0001-0061.e20x&pz=5, . 33 kap. 7 § Alkohollagen (2010:1622). 4Socialstyrelsen ansvarar för ett register över legitimerad hälso- och sjukvårdspersonal (HoSp). Registret innehåller aktuella uppgifter om legitimerad hälso- och sjukvårdspersonal. Upp- gifterna kan användas för upplysningar om personals behörighet till apotek, arbetsgivare och allmänhet samt för tillsyn. Uppgifterna används också för statistik. Förvaltningsgemensamma digitala funktioner och elektronisk identifiering blanda samman frågor om identitet och behörighet. I det följande kommer utredningen därför att utgå från begreppet elektronisk iden- titetshandling. 10.3Elektroniska identitetshandlingar är en förvaltningsgemensam digital funktion Utredningen menar att identitetshandlingar är en förvaltnings- gemensam angelägenhet. Det är viktigt för enskilda individer, offent- liga myndigheter och marknadens aktörer att veta vilka identitets- handlingar som går att lita på samt vad de kan användas till. Detta gäller för fysiska såväl som elektroniska identitetshandlingar. Elektro- niska identitetshandlingar är en förvaltningsgemensam digital funk- tion, som bör författningsregleras. Utredningen återkommer med be- dömningar och förslag hur en sådan författningsreglering ska se ut. 10.4Sätt för offentliga myndigheter att elektroniskt kontrollera individers identitet är en förvaltningsgemensam digital funktion För att individer ska kunna använda sina elektroniska identitets- handlingar hos offentliga myndigheter måste en offentlig myndig- het ha etablerat en relation till utfärdaren av den elektroniska iden- titetshandlingen. Etableringen av relationen mellan utfärdare och offentliga myndigheter med behov av en funktion för elektronisk identifiering är alltså redan författningsreglerad. För offentliga myndigheter etableras denna relation ofta genom upphandling och ibland genom att de beslutar om valfrigetssystem enligt lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering. Utredningen bedömer att det finns behov att staten anvisar offentliga myndigheter ett sätt att anskaffa funktionen för elektronisk identifiering. Det är alltså en förvaltningsgemensam angelägenhet att säkerställa att individer kan använda samma elek- troniska identitetshandling hos alla offentliga myndigheter. Utred- ningen menar att ett regelverk som säkerställer detta är en för- valtningsgemensam digital funktion och återkommer till detta i senare kapitel. 11 Processen för grundidentifiering 11.1Vad betyder grundidentifiering? att grundidentifiering syftar till att koppla ihop en individ med uppgifter i folkbokföringsregistret och resulterar i en identitets- handling. Av utredningens direktiv framgår inte vad som menas med processen för grundidentifiering. Utredningen bedömer att det inte heller finns någon enhetlig definition av begreppet.