sou · H6B325 · 2018-03-27 00:00:00 — Analys och rekommendationer utifrån MSB:s kommunenkät , Myndigheten för samhällsskydd och beredskap, , MSB1045. MSB utförde också en kartläggning av informations- säkerhetsarbetet hos samtliga myndigheter som omfattas av MSB:s föreskrifter om statliga myndigheters informationssäkerhet.24 Det övergripande syftet med kartläggningen, som genomfördes som en enkätundersökning, var att säkerställa att föreskrifternas utform- ning gav ett ändamålsenligt stöd för statliga myndigheters syste- matiska arbete med informationssäkerhet. Någon fördjupad analys av resultatet har inte publicerats, men av MSB:s rapport framgår att myndigheterna själva uttryckte ett behov av ökat stöd inom vissa områden bl.a. kravställning, uppföljning, informationsklassning och kontinuitetsplanering.25 genomförde Säkerhetspolisen en inventering av säkerhetsskyddet hos myndigheter och institutioner som utifrån sin verksamhet är av högt skyddsvärde t.ex. energiförsörjning, tele- kommunikation och finanssektor. Resultatet visade att ju mer frek- vent en myndighet hanterar generella säkerhetsfrågor i sin kärn- verksamhet, desto bättre är den på säkerhetsskydd. Men hos ett flertal myndigheter fanns brister i arbetet med t.ex. den egna säker- hetsanalysen.26 9.4Att möta nya risker 9.4.1God informationssäkerhet stödjer och skapar tillit Informationssäkerhetsarbete är en stödjande verksamhet som syftar till att öka kvaliteten hos samhällets funktioner. I och med den ökande digitaliseringen är god informationssäkerhet en förut- sättning för att nya företeelser som uppstår, och ny teknik som utvecklas, ska kunna fungera och användas på ett säkert sätt. Informationssäkerhet innebär en strävan efter att skydda infor- mation så att den alltid finns när den behövs (tillgänglighet), att det går att lita på att den är korrekt och inte manipulerad eller förstörd 24MSBFS 2009:10, nu ersatt av MSBFS 2016:1. 25En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s före- skrifter, Myndigheten för samhällsskydd och beredskap, , MSB740. 26Säkerhetspolisens pressmeddelande , sakerhetsskyddet-maste-starkas/gapet-mellan-hot-och-skydd-vaxer-sakerhetsskyddet- maste-starkas.html (riktighet), att endast behöriga personer får ta del av den (kon- fidentialitet) och att det går att följa hur och när informationen har hanterats och kommunicerats (spårbarhet). Informationssäkerheten garanteras genom dels administrativa åtgärder för att skydda information som t.ex. föreskrifter eller behörighetsrutiner, dels tekniska åtgärder för it-säkerhet eller fysiska inpasseringskontroller. Inom informationssäkerhetsområdet betonas ofta vikten av att verksamheter inför ett ledningssystem för informationssäkerhet, förkortat . Ledningssystem för informationssäkerhet är ett stöd för hur informationssäkerhetsarbetet styrs i en verksamhet.27 En central del är att verksamheten måste ha (myndighets)ledningens uttalade stöd i sitt arbete med informationssäkerhet. Det finns olika typer av svenska och internationella standarder som underlättar arbetet med ledningssystem för informationssäkerhet. Utifrån sådana standarder tar ledningssystem för informationssäkerhet sin utgångspunkt i en verksamhetsanpassad riskanalys och informa- tionssäkerhetsarbetet följer en tydlig process.28 Genom god informationssäkerhet i den offentliga förvaltningen skapas tillit till de digitala tjänster och kommunikationskanaler för- valtningen tillhandahåller enskilda. Privatpersoner och företag har befogade krav på att den digitala förvaltningen upprätthåller en hög säkerhet när myndigheternas informationsmängder bearbetas, lagras och kommuniceras. Men även myndigheter emellan krävs en viss form av tillit till varandras informationssäkerhet för att bl.a. sam- verkan kring digitala informationsutbyten ska kunna komma till stånd. God informationssäkerhet bidrar dessutom till att en verksamhet kan bedrivas på ett ändamålsenligt och effektivt sätt, att risken för att drabbas av avbrott eller störningar i driftmiljön minskar och att enskilda, vars uppgifter hanteras, inte utsätts för kränkningar genom att t.ex. obehöriga får åtkomst till uppgifterna eller att uppgifterna sprids på ett otillåtet sätt. 27MSB har utvecklat ett metodstöd för systematiskt informationssäkerhetsarbete. Metod- stödet finns tillgängligt på webben, 28Se t.ex. den svenska och internationella standardserien SS-ISO/IEC 27000. 9.4.2Informationssäkerhetsrisker i en digital förvaltning som digitaliseringens fördelar välkomnas står det klart att de risker och hot som behöver hanteras i dessa sammanhang är några av våra mest komplexa säkerhetsutmaningar. Säkerhetspolisen konstaterar i sin årsbok 2016 att den största risken för samhället och totalförsvaret utgörs av bristande informationssäkerhet. () framhåller i sin årsrapport att säkerheten generellt hos myndigheter och statliga bolag inte är dimensionerad för den befintliga hotbilden. Ovanstående uttalanden kan betraktas i ljuset av att det sker en ständigt växande hantering av information i elektroniska kommuni- kationsnät och it-system, både inom det offentliga och inom det privata. Äldre, men framför allt relativt sett nya, företeelser som artificiell intelligens, molntjänster, sakernas internet, sociala medier, stora datamängder (big data) och öppna data är exempel på områden där stora datamängder kan hanteras. Om det uppstår brister i hanteringen av information, och i synnerhet i skyddet av densamma, riskerar detta att få omfattande konsekvenser både för samhället i stort och för enskilda individers integritet. Bristande säkerhets- rutiner kan resultera i ett försämrat förtroende för digitala tjänster och för de myndigheter som tillhandahåller tjänsterna i fråga. Allvarliga och upprepade störningar i myndigheters it-system kan leda till förtroendekriser, som kan sprida sig till fler aktörer och tjänster och även till andra sektorer. Utvecklingen och användningen av ny teknik och nya innova- tioner innebär också att nya hot och risker behöver hanteras. Hot- och riskskalan inom det informationsteknologiska området spänner från mindre omfattande risker för den enskilde individen till väl planerade, och med precision riktade, angrepp mot vitala delar av samhällets funktionalitet. Även antagonistiska hot såsom infor- mationsoperationer och elektroniska angrepp mot skyddsvärda informations- och kommunikationssystem t.ex. i form av data- intrång, sabotage eller spionage behöver mötas. Detsamma gäller olika former av störningar i mjuk- eller hårdvara eller störningar i driftmiljö. Yttre fysiska händelser som t.ex. bränder, avgrävda kablar, översvämningar och solstormar utgör också en del av hot- bilden. I andra fall är det den mänskliga faktorn som ligger bakom incidenter, eller som utnyttjas vid angrepp. Teknikutvecklingen har därtill underlättat framväxten av en kriminell, gränsöverskridande, internetbaserad tjänstesektor, s.k. crime-as-a-service. Det innebär i princip att vem som helst, på inter- net, kan köpa t.ex. ett utpressningsprogram29 som kan användas i brottsliga syften. Ett annat exempel är malware-as-a-service30 där program med skadlig kod säljs som färdiga lösningar och som kan återanvändas i olika sammanhang. Ekonomiskt driven it-brottslighet kan inriktas mot att t.ex. utnyttja den mänskliga faktorn eller angripa datorer som inte har försetts med de senaste säkerhetsupp- dateringarna. Även dessa typer av hot och risker behöver hanteras i en allt mer digital förvaltning. 9.5Gällande rätt om informationssäkerhet Som framgått i kapitel 4 finns bestämmelser om informationssäker- het i flera olika regelverk. I huvudsak reglerar författningarna antingen skydd för information i viss typ av verksamhet eller särskilt skydd för viss typ av information. I syfte att här närmare åskådliggöra den juridiska kartan inom området följer nedan en redogörelse av ett antal författningar som ur ett informationssäker- hetsperspektiv är mer eller mindre centrala för den offentliga för- valtningen. I detta kapitel går vi dock inte närmare in på den straff- rättsliga reglering som innebär kriminalisering av vissa handlingar, t.ex. reglering av dataintrång. 29Ett utpressningsprogram (ransomware) är en skadlig programvara som krypterar filerna på en dator. För att häva krypteringen eller återfå kontrollen över datorn kräver utpressningsprogram- met en lösensumma eller annat som gynnar förövaren som ligger bakom programmet (, ”Ransomware”). 30Malware (sabotageprogram) är ett samlingsbegrepp för oönskade datorprogram eller delar av datorprogram som har utvecklats i syfte att störa it-systemet för att samla in information i smyg eller utnyttja för ändamål som inte gagnar användaren (, ”Malware”). 9.5.2Informationssäkerhet i olika verksamheter Krav på statliga myndigheters informationssäkerhet finns i förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Förordningen kompletteras av MSB:s föreskrifter om statliga myndigheters informationssäkerhet och om statliga myndigheters rapportering av it-incidenter.31 Av förordningen framgår att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Behovet av säkra ledningssystem för infor- mationssäkerhet ska särskilt beaktas. Vidare regleras en skyldighet för myndigheterna att rapportera it-incidenter till MSB.32 I de till förordningen anknytande föreskrifterna om statliga myndigheters informationssäkerhet finns ytterligare reglering kring utformning av ledningssystem för informationssäkerhet, allmänna krav på myndigheternas informationssäkerhetsarbete samt krav på intern incident- och kontinuitetshantering. Föreskrifterna om statliga myndigheters rapportering av it-incidenter innehåller detaljerade krav på vilka typer av incidenter som ska rapporteras, när och hur rappor- tering ska ske samt vad som gäller vid utkontraktering. I anslutning till båda föreskrifterna har MSB tagit fram allmänna råd som för- tydligar innebörden av bestämmelserna i föreskrifterna och ger generella rekommendationer om tillämpningen. För kommuner och landsting gäller lagen (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap med tillhörande förordning. Regleringen omfattar emellertid inte specifika bestämmelser om informationssäkerhet i bemärkelsen säker informationshantering. 31MSBFS 2016:1 och 2016:2. 3219 och 20 §§ förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndig- heters åtgärder vid höjd beredskap. Hälso- och sjukvården hanterar en stor mängd känslig information och informationshanteringen behöver uppfylla kraven på patientsäkerhet och god kvalitet. Hantering av patientinformation regleras av patient- datalagen (2008:355) och patientdataförordningen (2008:360) samt föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården.33 I före- skrifterna finns detaljerad reglering av kraven på informationssäker- het när vårdgivare behandlar patienters personuppgifter i hälso- och sjukvården. NIS-direktivet, som ska vara genomfört i svensk lagstiftning senast , syftar till att förbättra den inre marknadens funktion genom att fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverks- och informationssystem.34 Direktivet innebär bl.a. skyldigheter för vissa leverantörer av samhällsviktiga tjänster, och vissa leverantörer av digitala tjänster, att vidta säkerhetsåtgärder för att hantera risker samt förebygga och hantera incidenter i nätverk och informationssystem som de är beroende av för att tillhandahålla tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande eller avsevärd inverkan på kontinuiteten i tjänster. I direktivet identifieras sju sektorer som tillhandahåller samhälls- viktiga tjänster. Dessa är bankverksamhet, digital infrastruktur, energi, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distri- bution av dricksvatten samt transport. Efterlevnaden av regelverket ska enligt direktivet ske genom att en eller flera tillsynsmyndigheter utses. En sådan tillsynsmyndighet ska ha befogenhet och medel för att kontrollera att leverantörerna uppfyller sina skyldigheter samt fastställa regler om sanktioner vid överträdelse av regelverket. 34Lagrådsremissen Informationssäkerhet för samhällsviktiga och digitala tjänster, , vari föreslås en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. 9.5.3Informationssäkerhet för viss typ av information Skydd för vissa typer av information finns i flera olika författningar. En del författningar är av mer generell karaktär och omfattar bety- dande delar av myndigheters informationstillgångar, t.ex. allmänna handlingar. Av 2 kap. tryckfrihetsförordningen framgår vilken typ av information hos myndigheterna som ska betraktas som allmänna handlingar och som huvudregel ska vara offentliga. Vissa allmänna handlingar innehåller dock känsliga uppgifter och i offentlighets- och sekretesslagen (2009:400) regleras därför vilka uppgifter i sådana handlingar som ska beläggas med sekretess. En myndighets allmänna handlingar bildar myndighetens arkiv och enligt arkivregleringen ska sådana handlingar antingen gallras eller bevaras. Arkivlagen (1990:782), arkivförordningen (1991:446) samt anknytande föreskrifter35 syftar bl.a. till att säkra riktigheten hos, och skapa tillgänglighet till, allmänna handlingar. Arkivregleringen är föremål för översyn i syfte att bl.a. att modernisera och anpassa regleringen till utvecklingen på området.36 Säkerhetsskydd – skydd av säkerhetskänslig verksamhet Säkerhetsskyddslagen (1996:627) och anknytande förordning (1996:633) ställer krav på särskilda skyddsåtgärder (säkerhetsskydd) för den information som kan påverka rikets säkerhet. Lagen gäller vid verksamhet hos staten, kommunerna och landstingen, men även aktiebolag, handelsbolag, föreningar och stiftelser över vilka staten, kommunerna och landstingen utövar ett rättsligt bestämmande inflytande.37 Lagen gäller också för enskilda om verksamheten är av betydelse för rikets säkerhet. Med säkerhetsskydd avses bl.a. skydd av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör 35Se t.ex. föreskrifter och allmänna råd om elektroniska handlingar, RA-FS 2009:1 och föreskrifter och allmänna råd om tekniska krav på elektroniska handlingar, RA-FS 2009:2. 36Översyn av arkivområdet, (dir. 2017:106). 374 § säkerhetsskyddslagen. rikets säkerhet.38 Informationssäkerhet är en av tre grundläggande säkerhetsskyddsåtgärder i säkerhetsskyddslagen och ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs.39 Vilka uppgifter som en myndighet ska hålla hemliga med hänsyn till rikets säkerhet avgörs efter en säkerhetsanalys hos respektive myndighet. Ytterligare bestämmelser om kraven på informationssäkerhet finns i säkerhets- skyddsförordningen.40 Försvarsmakten och Säkerhetspolisen an- svarar för tillsyn och kontroll av säkerhetsskyddet hos myndigheter och andra som lagen gäller för.41 Som nämnts i kapitel 9.3.2 pågår en reform av säkerhetsskyddslagstiftningen och en ny säkerhetsskyddslag före- slås träda i kraft den 1 april 2019.42 Dataskyddsförordningen – skydd för personuppgifter Dataskyddsförordningens bestämmelser om säkerhet tar sikte på behandlingen av personuppgifter.43 Den som behandlar person- uppgifter (personuppgiftsansvarig och/eller personuppgiftsbiträde) ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid val av säkerhetsåtgärder ska förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos it-systemen och it-tjänsterna beaktas. Vidare ska även förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en teknisk eller fysisk incident beak- tas. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet i form av oavsiktlig eller olaglig förstöring, förlust eller ändring liksom obehörigt röjande av eller obehörig åtkomst till de personuppgifter 386 § 2 säkerhetsskyddslagen. 397 § 1 säkerhetsskyddslagen. 409–13 §§ säkerhetsskyddsförordningen. 4131 § säkerhetsskyddslagen och 39 § säkerhetsskyddsförordningen. 2017/18:89. 43Personuppgifter är enligt definitionen i artikel 4.1 varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikator eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. som behandlas.44 Därtill finns en skyldighet för personuppgifts- ansvariga att anmäla personuppgiftsincidenter till ansvarig tillsyns- myndighet.45 Datainspektionen,46 som är tillsynsmyndighet enligt dataskyddsförordningen, har möjlighet att bl.a. utfärda sanktioner vid överträdelser av regelverket. 9.6.1Utkontraktering till privata leverantörer Förvaltningsmyndigheter under regeringen ska bedriva sin verk- samhet effektivt och hushålla väl med statens resurser.47 och regeringen har även tidigare gett uttryck för att det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing.48 Utkontraktering av it-drift och andra it-baserade funktioner har också enligt våra iakttagelser kommit att bli allt mer centralt för en kostnadseffektiv och även i övrigt väl fungerande digital förvaltning. uppskattar statsförvaltningens samlade it- kostnader till mellan 25 och 30 miljarder . Ungefär 14–av den totala summan beräknas avse kostnad för utkontraktering.49 Se vidare kapitel 13 om it-kostnader. Utkontraktering av bl.a. it-drift kan bidra till att åstadkomma en ändamålsenlig, kostnadseffektiv och tillgänglig förvaltning som erbju- der god digital service för privatpersoner och företag. ställer utkontraktering höga krav på både beställarkompetens och säkerhets- medvetande hos en myndighet för att inte leda till oönskade risker.50 44Artikel 32 dataskyddsförordningen. 45Artikel 33 dataskyddsförordningen. 46Datainspektionen byter namn till . 473 § myndighetsförordningen (2007:515). 48Se finansutskottets betänkande 2011/12:FiU2 s. 30 och regeringens skrivelse granskning av it inom statsförvaltningen och statliga it-projekt, rskr 2010/11:138. Se även Riksrevi- sionens rapport och IT inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet?, , , RiR 2011:4. 49Myndigheters strategiska it-projekt och it-kostnader, Delrapport it-användningsuppdraget, Ekonomi- styrningsverket, , P-2017-77 och Fördjupat it-kostnadsuppdrag, Delrapport 2: Kart- läggning av it-kostnader, , , 2015:58. 50I kapitel 11 om avtal och överenskommelser redogörs mer utförligt för frågor kopplade till beställarkompetens och avtal. Till stöd för att genomföra upphandling av it där informationssäker- hetsaspekterna hanteras på ett ändamålsenligt sätt har MSB tagit fram en vägledning om informationssäkerhet i upphandling.51 FRA har i en av utförd granskning uttalat att en hårt styrd it-budget och externa krav på lönsamhet eller sparsamhet kan vara anledningar till att myndigheter väljer att utkontraktera sin it-drift. Utkontraktering i kombination med otillräcklig beställar- kompetens leder dock ofta till en kortsiktig besparing. I det långa loppet kan flera brister uppstå som är svåra att värdera i kronor. Många beställare gör dessutom misstaget att förutsätta att säkerhet ingår i avtalet även om detta inte uttryckligen är specificerat.52 I Kammarkollegiets ramavtal för it-drift finns aspekter av infor- mationssäkerhet inkluderade för avropande myndigheter. Avtalet används dock främst som mall och en avropande myndighet avgör själv det slutliga innehållet i avtalet. I en undersökning av ett antal avrop från Kammarkollegiets ramavtal framkom att de undersökta avtalen i hög grad saknade relevanta krav på informationssäkerhet. De krav som formulerats var i samtliga fall inriktade på enstaka frågor och inte ett resultat av en systematisk genomgång av myndighetens behov utifrån en genomarbetad riskanalys.53 Utredningen 2014 konstaterade i sitt betänkande att beställarkompetensen för informationssäkerhet är alltför svag. Utred- ningen nämner ett antal olika metoder som kan utveckla beställar- kompetensen exempelvis användning av en gemensam standard för informationssäkerhet, successiv infogning av krav på certifiering och hänvisning till internationellt accepterade standarder.54 51Vägledning – informationssäkerhet i upphandling, Informationssäkerhet i upphandling av system, outsourcing och molntjänster, Myndigheten för samhällsskydd och beredskap, , MSB555. 52Informationssäkerheten i den civila statsförvaltningen, , , RIR 2014:23 s. 53. 53Outsourcing av it-tjänster i kommuner, Myndigheten för samhällsskydd och beredskap, , MSB728. 54SOU 2015:23 s. 240 f. 9.6.2Utkontraktering till annan myndighet Myndighetssamverkan kring it-drift och andra it-baserade funktioner Utkontraktering som sker inom den offentliga förvaltningen går ofta under benämningen samverkan. Det finns olika anledningar till att en myndighet väljer att utkontraktera sin it-drift till en annan myndighet. i den statliga förvaltningen kan vara en sådan anled- ning. Här kan bl.a. nämnas att Kronofogden, som innan myndigheten bildades var en avdelning hos , uppdrar åt att handha Kronofogdens it-drift. , som vid sitt bildande övertog ansvaret för den allmänna pensionen från För- säkringskassan, delar flera gemensamma system med Försäkrings- kassan som också handhar driften av dem. En annan form av liknande samverkan inom statlig förvaltning sker inom ramen för Statens servicecenters uppdrag att tillhandahålla tjänster inom löne- och ekonomiadministration. Inom den kommunala sektorn är det vanligt förekommande med både större och mindre samarbeten kring gemensam it-drift. En granskning utförd av MSB visar att av kommunerna ingår i någon form av samverkan om it. För kommuner finns det uppenbara stordriftsfördelar med gemensam it-drift eller sam- arbete kring digitala system och tjänster eftersom kommunernas obligatoriska uppgifter utförs på ett likartat sätt.55 Förslaget om en generell rätt till avtalssamverkan kan också komma att förenkla förutsättningarna för avtalssamverkan kring it- drift.56 Även länsstyrelserna samverkar kring gemensam it-drift genom att i ansvarar för it-stödet för landets samtliga 21 länsstyrelser. God beställarkompetens och medvetenhet om vilken nivå av säkerhet som krävs för att skydda information vid utkontraktering krävs i regel även vid utkontraktering till, eller samverkan med, annan myndighet kring gemensam it-drift. Precis som vid köp av tjänst från en privat leverantör är det också ofta lämpligt att förhållandet mellan offentliga aktörer regleras av avtal eller annan överenskommelse som anger t.ex. vilken nivå av säkerhet som ska gälla. 55Outsourcing av it-tjänster i kommuner, MSB728. 56Lagrådsremissen En generell rätt till avtalssamverkan, . I vårt kartläggningsarbete har frågor ställts om var gränsen går för när samarbete mellan myndigheter faller inom ramen för upp- handlingslagstiftningen. Enligt upphandlingsregelverket är viss upp- handling mellan två eller flera myndigheter undantagen från upphandlingsplikt. Det gäller sådan upphandling som syftar till att upprätta eller reglera formerna för ett samarbete mellan myndig- heter som ska säkerställa att de offentliga tjänster som myndig- heterna ska utföra, tillhandahålls för att uppnå myndigheternas gemensamma mål.