sou · H9B363 · 2021-07-02 00:00:00 — Infra- strukturen består i sin enklaste form av ett antal så kallade byggblock som tillsammans utgörs av standarder, modeller, ramverk, strukturer och tjänster. Till detta finns även ett nationellt ramverk för grund- data och en struktur för styrning.12 4.4Internationella jämförelser (index) uppgift är att följa utveckling ur ett internationellt perspektiv. Det sker bland annat genom uppföljningen av ett antal internationella index. Indexen presenterar av olika inter- nationella aktörer och uppdateras i regel en gång . Syftet med ett index är att på ett åskådligt sätt jämföra länder med varandra och är uppbyggt genom att mätpunkter inom utvalda områden sam- manvägs för att ranka länder. 12De myndigheter som har uppdragen att etablera en förvaltningsgemensam digital infrastruk- tur och ett nationellt ramverk för grunddata är , , , E-hälso- myndigheten, , Lantmäteriet, Myndigheten för samhällsskydd och bered- skap, samt . Digitalisering och informations- och cybersäkerhet har presterat bra i internationella jämförelser och rankas genomgående högt. Utifrån de index som redovisas presterar bra vad gäller infrastruktur och individers använd- ning i form av till exempel internetanvändning. Några av indexen visar på en lägre rankning för företagens användning av digitaliser- ing. Det område där presterar lägst är e-förvaltning, vilket går igenom alla index där det finns indikatorer som mäter detta. I varierande grad stämmer de internationella indexen med de fem del- mål som den svenska digitaliseringsstrategin innefattar. I jämförel- serna finns stor övervikt av indikatorer som mäter infrastruktur och kompetens ur ett globalt perspektiv. De indikatorer som försöker fånga aspekter av t.ex. innovation, ledning och trygghet bygger ofta på kvalitativa insamlingar vars metoder – enligt rådet – kan ifråga- sättas. Ett annat generellt problem med indexen är att indikatorerna inte alltid mäter det som man avser att fånga. Såväl som an- ser att de internationella jämförelserna täcker endast in delar av de aspekter och trender som bör följas. Djupare kunskap behöver ut- vecklas för att få en adekvat uppfattning om hur ligger till i förhållande till det yttersta målet ”att bli bäst i världen att använda digitaliseringens möjligheter”. T.ex. behövs det tas fram nya indika- torer. Statistiken bör även kompletteras med andra typer av studier som ger kunskap om variationer, mönster och orsakssamband. index, , publiceras och kartläg- ger EU-ländernas prestation inom digitalisering. publi- cerades nya beräkningar som placerar på en andra plats efter . Det är en förbättring med en placering . räknas tillsammans med , , , , , och som de högpreste- rande länderna i Europa.13 Digitalisering och informations- och cybersäkerhet De visioner och strategier som framhåller digitaliseringens möjlig- heter påpekar att utvecklingen i verkar gå långsammare jäm- fört med andra länder. finns risk för att digitaliseringen medför att säkerhetsfrågorna förs in alltför sent i processen, vilket negativt kan påverka olika digitaliseringssatsningar. Regeringens delmål digital ledning pekar på vikten av att verk- samheter effektiviseras, utvecklas och får högre kvalitet genom styr- ning, mätning och uppföljning. menar att den svenska förvaltningen behöver moderniseras och effektiviseras och drar slutsatsen att offentlig sektor behöver kunna svara upp mot växande krav på både ökad informations- och cybersäkerhet och effektivitet i verksamheterna i förening med ökad servicegrad och digitala tjänster. Digitaliseringens möjligheter beror även på i vilken grad meto- derna, bl.a. tillämpning av AI och automatisering, kommer att leda fram till målen om ökad kvalitet och effektivitet. Strävan att auto- matisera olika processer sker i syfte att uppnå ökad kostnadseffekti- vitet och besparingar. Många offentliga utredningar och rapporter framhåller att en ökad digitalisering kan skapa större kostnadseffek- tivitet. Forskning om kostnader för implementering av nya tekniska system visar dock att det kan dröja länge innan ny teknik ger avkast- ning i termer av ökad produktivitet och/eller minskade kostnader.14 Vad gäller att digitalisering av komplexa verksamheter kan i själva verket kostnaden vara avsevärd, bl.a. genom att införandet av ny tek- nologi och nya arbetssätt och som medför en längre process där olika mål och behov behöver beaktas . Som tidigare berörts medför digitaliseringen såväl ökade tekniska möjligheter som nya risker och sårbarheter. I Digitaliseringsrätts- utredningen betänkande 2018 konstaterades att den politiska inrikt- ningen i är att den offentliga förvaltningen ska leda vägen när det gäller den digitala omvandlingen och att ny teknik gärna ska tas i bruk . I betänkandet påpekas att detta mål medför att det kommer att finnas ett växande behov av ett informations- och cybersäkerhetsarbete i myndigheternas informationshantering. Ett ökande behov av arbete med informations- och cybersäkerhet med- 14Vilse i lasagnen? – En upptäcktsfärd i den svenska digitaliseringens mångbottnade problem- struktur, s. 21, (FOI-R--4814--SE), , 2020. Digitalisering och informations- och cybersäkerhet för kostnader, vilket erfarenhetsmässigt dock inte be- aktas när kostnader för verksamheten ska beräknas. Om kostnads- besparingar utgör en drivande kraft för att digitalisera finns en tydlig risk för att bl.a. behovet av informations-och cybersäkerhet inte beaktas i tillräcklig utsträckning. Det finns således en risk att sådant som på kort sikt ses som kostnadsdrivande, som t.ex. säkerhets- aspekter, åsidosätts när nya digitaliseringsprojekt ska genomföras. Ur ett risk- och sårbarhetsperspektiv kan därmed åtgärder för att spara kostnader innebära en risk om säkerhetsarbetet prioriteras ned. Ett argument för en ökad digitalisering av olika samhällsverk- samheter är att ökad automatisering kan frigöra resurser från mer rutinartad administration och i stället tillföras verksamhetens kärn- uppgifter. Automatisering brukar dock inte bara presenteras i termer av behov utan också i termer av nya möjligheter. Bl.a. har i en rapport om artificiell intelligens (AI)15 betonat att utvecklingen av nya systemlösningar, tjänster och varor inom både offentlig sek- tor och näringslivet rymmer en stor potential för bl.a. ökad effek- tivitet. pekar även på ett antal utmaningar och risker, bl.a. risken att AI-lösningar baseras på bristfälliga eller felaktiga algorit- mer och data och att säkerhetsrisker kan uppstå genom medvetet skadlig dataanvändning och datamanipulering. I vilken grad digitalisering kan möta olika typer av utmaningar och t.ex. öka kvaliteten och effektiviteten i olika samhällsverksam- heter är dock en fråga som inte är begränsad till enbart tekniska aspekter. Avgörande är hur dessa utmaningar ser ut och vad som menas med begrepp som kvalitet och effektivitet i sam- hällets olika verksamheter som säkerheten i nätverks- och informationssystem kan uppnås. Ett grundläggande problem som uppkommer kan handla om under- skattningar av den tid som krävs för att skapa säkra och användar- vänliga system, vilket kan medföra bristfälliga lösningar. Detta kan få allvarliga följdverkningar genom sårbarheter och säkerhetsbrister byggs in i de nya systemen. som signalen från strategi- dokumenten är att myndigheterna ska vara drivande vad gäller digi- talisering finns det ett gap mellan behovet av säkerhet och förutsätt- ningarna att bedriva säkerhetsarbete. 15Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential, , 2018. Digitalisering och informations- och cybersäkerhet Sammantaget förmedlas dock i flera rapporter att möjligheterna för ökad effektivitet väger tyngre än riskerna, oavsett om det gäller digitalisering i allmänhet eller användningen av AI eller ökad automatisering. Brister i styrningen och samordningen Flera utredningar och rapporter har identifierat behovet i av att stärka styrningen och samordningen av digitaliseringen, särskilt när det gäller utbyggnad av infrastruktur och samordning av infor- mationssäkerhetsarbetet.16 Mot bakgrund av mängden offentliga aktö- rer är detta en uppgift av betydande omfattning då frågan berör bl.a. fler än 200 statliga förvaltningsmyndigheter, 21 länsstyrelser, 20 regio- ner, 290 kommuner, fler än 100 andra offentliga aktörer och cirka 40 helägda statliga bolag. Det är en omfattande förvaltning som kom- pliceras av stora skillnader mellan verksamheterna vad gäller storlek, geografi, uppdrag, finansiella resurser och kompetens. Alla ska dock med i den digitala transformationen.17 Dessutom tillkommer alla de privata företag som på något sätt driver och förvaltar samhällets infra- struktur. () påpekar i rappor- ten Digitalisering för ökad konkurrenskraft att har en avregle- rad marknad med olika skikt av infrastrukturproducenter, operatö- rer och tjänsteutvecklare, som å ena sidan har många fördelar men som å andra sidan lider av bristande helhetssyn och samordning. är mycket nära en situation där alla vitala samhällsfunktioner kräver en välfungerande digital infrastruktur. Denna förutsätts fun- gera minst lika säkert som annan infrastruktur men det saknas regler och planer för drift och utbyggnad. Ansvaret ligger i stället på många händer och samordningen brister på både statlig och nivå. Enligt IVA är grundläggande infrastruktur för digital kommuni- kation i är av de viktigaste områdena att styra och samordna. Den svenska digitala infrastrukturen är, menar IVA, uppbyggd en- ligt en lasagnemodell med olika lager av verksamheter, men styrning och samordning är inte fullt ut anpassade till detta. 16Digitalisering för ökad konkurrenskraft, IVA, 2019, s. 49 och 50; guide till infrastrukturen, , 2018; Digitalisering av det offentliga (ESV 2018:31), (), 2018. 17Digitaliseringsrådet, 2018, s. 48. Digitalisering och informations- och cybersäkerhet utsätter att statliga myndigheter och kommuner både investerar och utövar tillsyn, som privata aktörer är ansvariga för vitala delar av infrastrukturen. Syftet med samordning och styrning är att se till att både befintliga och nya delar av infrastrukturen har tillräck- lig säkerhet, robusthet och kapacitet. Styrningen och samordningen av digitaliseringsfrågorna är, menar IVA, dock svag och otillräcklig.18 I betänkandet reboot – omstart för den digitala förvaltningen 2017 påpekas att risken för att de krav på informations- och cybersäkerhet som utfärdas i praktiken fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden.19 Utredningen påpekar vidare att det finns en risk för ökad fragmentering av kravställningar när fler aktörer utan samordning utfärdar regler på området, något som kan leda till att samma typ av information riskerar att få helt olika skydd bero- ende på var i förvaltningssystemet som den hanteras.20 En fråga som kan uppkomma när behovet av digitalisering be- handlas är skillnaden mellan förväntningar och verklighet. Förvänt- ningar kan leda till missförstånd om vad digital teknik kan åstad- komma. För aktörerna på den öppna marknaden, som i många avse- enden styr hur infrastrukturen och nätverks- och informations- systemen ska utveckla, strävar ofta efter låga kostnader och effektivitet snarare än säkerhet på samhällsnivå och genomtänkt systemfunktion för offentlig verksamhet. Detta leder till en betydande risk att be- hovet av säkerhet och tillförlitlighet på den högre systemnivån inte tillgodoses, bl.a. vad gäller stora system och i systemet ingående kom- munikationer, elförsörjning och påverkan på samhällseffekter. Ett scenario med ett större cyberangrepp och sammanbrott i samhällets funktionalitet, t.ex. mot elförsörjningen, kan få mycket allvarliga och svåra följder för hela eller vitala delar av samhällets funktion.21 Brister i infrastrukturen och sårbarheter med ny teknik Enligt IVA finns ett gap mellan infrastrukturens kapacitet och de digitala tjänsternas faktiska behov av kapacitet. Hos viktiga be- slutsfattare såväl som i samhället i stort saknas dock kunskap om att 18IVA, 2019, s. 49 och 50. 19SOU 2017:114, s. 164. 21SOU 2019:59, s. 19 (jfr även s. 22 och 23). Digitalisering och informations- och cybersäkerhet detta gap existerar.22 Detta är allvarligt anser IVA, som menar att det saknas en omfattande kontroll av kvalitet och driftsäkerhet för den digitala infrastrukturen. Det innebär en mycket stor riskaggregering när man utgår från att många funktioner ska fungera. En bakgrund till dessa förhållanden är – enlig IVA – bristande samordning av ut- byggnaden av infrastrukturen. Dagens nationella it-infrastruktur har byggts ut där det funnits affärsmässiga skäl som talat för detta, och bristande koordinering har medfört att det finns för få mötesplatser för fiber, vilket i sin tur leder till bristande redundans. Några få ope- ratörer har etablerat redundanta vägar, men långt ifrån i den utsträck- ning samhället behöver.23 Nya tekniker medför ofta även brister i tekniken som i sig inne- bär sårbarheter. Ny teknik behöver därför testas i skyddade miljöer och introduceras med försiktighet och i lagom takt. För att åstad- komma en kontrollerad och strukturerad utbyggnad av ett nytt system, eller en ny teknik, krävs agenda och planering. Tekniska standarder kan fylla denna funktion och tillämpas ofta just med det syftet. En utmaning är att det kan finnas olika incitament att bygga ut eller exploatera teknik, och att alla incitament inte innebär att tekniken blir säker när den väl är på plats. Om teknik byggs ut i stor skala, med många latenta fel eller sårbarheter kan stora tekniska och säkerhetsmässiga utmaningar följa för att åtgärda problemen. Om tekniken, och därmed dess sårbarheter, sprids okontrollerat kan be- tydande problem uppstå. I bästa fall åtgärdas sårbarheterna löpande, men om utvecklingen är snabb kan detta vara svårt, särskilt om sår- barheterna initialt är okända. Ett exempel som framhålls är utveck- lingen av IoT, vilket kommer att medföra stora utmaningar när det gäller säkra produkter och tjänster ur ett informations- och cyber- säkerhetsperspektiv. Ett annat exempel är bristfälligt genomförda satsningar på ”smarta städer” som inte beaktar risker och sårbarheter med att koppla upp och ihop många olika typer av sensorer och funk- tioner. Denna typ av digitala tjänster möjliggör potentiellt effektivi- seringar men också att många funktioner kan slås ut . Om produkter förses med uppkopplingsmöjligheter ger det utrymme för tekniken att användas t.ex. i en säkerhetskänslig miljö. Om upp- kopplingsmöjligheten till en början är okänd, t.ex. för att den införts 22IVA, 2019, s. 7. 23Att motverka överbelastning av samhällsviktiga webbplatser – Slutrapport från projekt , , 2018. Digitalisering och informations- och cybersäkerhet längre bak i leverantörskedjan, kan det initialt finnas svårigheter till spårbarhet I detta fall är risken att de tekniska installationerna, sär- skilt om de är mångfaldigade, kan bli en, vissa fall dold, hävstång för angrepp mot t.ex. kritisk infrastruktur eller i övrigt säkerhetskäns- liga informationssystem. En av de mer uppmärksammade teknikerna är den femte generationens telekommunikation (5G). Tekniken innebär en kapa- citetshöjning, dvs. högre dataöverföringshastigheter, större antal sam- tidigt anslutna enheter och kortare svarstider. Dessa tekniska för- bättringar innebär i sin tur att förutsättningar för att bygga digitalt smarta hem och städer ökar då fler uppkopplade enheter kan an- slutas. Risker och sårbarheter med tillämpningen av 5G har uppmärk- sammats i olika sammanhang, bl.a. av och olika medlemsstater.24 Andra exempel som medför risker och sårbarheter är produkter och tjänster med många användare, t.ex. operativsystem, molntjäns- ter och sökverktyg. När många är beroende av funktion och säkerhet i en enda produkt eller tjänst kan en sårbarhet där orsaka stora kon- sekvenser om den nyttjas av en angripare eller på annat sätt utsätts för oväntade händelser. När en ny eller befintlig teknik ska byggas ut för att tillgodose framtidens krav så måste även infrastrukturen och säkerheten, och den redundans som krävs, stärkas i motsvarande takt och omfatt- ning. Det kan vara svårt för verksamheten att förstå hur system är uppbyggda och vilka beroenden som finns, speciellt om de upphandlas från en extern part. En enskild leverantör kan svara för funktioner hos många olika verksamheter, till exempel inom myn- digheter och andra offentliga aktörer. En annan utmaning i detta sammanhang är att det är ett fåtal stora teknikföretag som tillsammans har stor makt över det som sker på t.ex. internet. Företagen står för står för en betydande del av den informationshantering och teknik som används . Denna mark- nad fungerar som ett oligopol, vilket bör beaktas när frågan om informations- och cybersäkerhet diskuteras och hanteras. 24Se bl.a. : SECURITY IN 5G SPECIFICATIONS – Controls in 3GPP Security Specifica- tions (5G SA), 2021. Digitalisering och informations- och cybersäkerhet 4.6Digitalisering och informations- och cybersäkerhet i otakt Informations- och cybersäkerhetsarbete är en stödjande verksamhet som syftar till att bl.a. öka säkerheten i nätverks- och informations- system i olika samhällsverksamheter. I och med den ökande digita- liseringen är informations- och cybersäkerhet en förutsättning för att nya verksamheter som uppstår, och ny teknik som utvecklas, ska kunna fungera och användas på ett säkert sätt. Informations- och cybersäkerhet innebär en strävan efter att skydda information så att den alltid finns när den behövs (tillgänglighet), att det går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när informationen har hanterats och kom- municerats (spårbarhet). Den syftar även till att skydda nätverks- och informationssystem i övrigt. Myndighetens för samhällsskydd och beredskap (MSB) övergri- pande arbete med att stödja och samordna arbetet med samhällets informations- och cybersäkerhet inriktas på strategisk nivå av den nationella informations- och cybersäkerhetsstrategin, som anger sex strategiska prioriteringar: •Säkerställa en systematisk och samlad ansats i arbetet med infor- mations och cybersäkerhet. •Öka säkerheten i nätverk, produkter och system. •Stärka förmågan att förebygga, upptäcka och hantera cyber- attacker och andra it-incidenter. •Öka möjligheterna att förebygga och bekämpa it-relaterad brotts- lighet. •Öka kunskapen och främja kompetensutvecklingen. •Stärka det internationella samarbetet. Förutom MSB finns en rad statliga aktörer som har olika roller för det nationella arbetet med informations- och cybersäkerhet, bl.a. Säkerhetspolisen Försvarsmakten, (), (), () och . Digitalisering och informations- och cybersäkerhet genom det nationella cybersäkerhetscentret. Regeringen har också gett berörda myndigheter uppdrag att ta fram en samlad handlings- plan med förslag på olika åtgärder som kan stärka arbete med informations- och cybersäkerhet. Dessa förslag konkretiserar behov och rekommendationer som identifierats på en mer övergripande nivå i den nationella informations- och cybersäkerhetsstrategin. konstaterar att det ser ut ungefär på samma sätt i andra undersökta länder, dvs. att det finns en digitaliserings- strategi men även ett antal andra strategier som berör specifika aspek- ter av digitaliseringen och ofta på liknande områden som i . kan noteras att det i finns en grupp av myndigheter som fokuserar på digitaliseringens möjligheter, t.ex. ur ett effekti- viseringsperspektiv, och en annan grupp som fokuserar på olika typer av hot, risker och sårbarheter. I takt med ökad digitalisering kommer en ökad samverkan och samordning mellan dessa grupper att få stor betydelse för utvecklingen i sin helhet, annars riskerar gapet mellan digitalisering och informations- och cybersäkerhet att öka ytter- ligare (se nedan). Gapet mellan digitalisering och informations- och cybersäkerhet ökar Den digitala utvecklingen i samhället går snabbt men däremot ökar inte informations- och cybersäkerheten i samma takt. Det innebär att informations- och cybersäkerhetsgapet som uppstår ökar ris- kerna för att drabbas av ett cyberangrepp eller en it-incident, vilket illustreras nedan i figuren nedan. Digitalisering och informations- och cybersäkerhet Figur 4.1 Digitalisering och informationssäkerhet i otakt Gapet kan dock minska genom olika åtgärder, bl.a. genom ett ökat systematiskt informationssäkerhetsarbete och åtgärder som stärker it-säkerheten. Inom informations- och cybersäkerhetsområdet betonas ofta vikten av att verksamheter inför ledningssystem för informations- säkerhet (). Ledningssystem för informations-säkerhet är ett stöd för hur informations- och cybersäkerhetsarbetet styrs i en verk- samhet.25 En central del är att verksamheten måste ha ledningens uttalade stöd i sitt arbete med informationssäkerhet. Det finns olika typer av svenska och internationella standarder som underlättar arbetet med ledningssystem för informationssäkerhet. Utifrån sådana standarder tar ledningssystem för informationssäkerhet sin utgångs- punkt i en verksamhetsanpassad riskanalys och informations- och cybersäkerhetsarbetet följer en tydlig process.26 God informations- och cybersäkerhet bidrar till att en verksam- het kan bedrivas på ett säkert, ändamålsenligt och effektivt sätt, att risken för att drabbas av avbrott eller störningar i driftmiljön mins- kar. God informations- och cybersäkerhet är också en grundläg- 25MSB har utvecklat ett metodstöd för systematiskt informationssäkerhetsarbete. Metod- stödet finns tillgängligt på webben: . 26Se t.ex. den svenska och internationella standardserien SS-ISO/IEC 27000. Digitalisering och informations- och cybersäkerhet gande byggsten för den fortsatta utvecklingen av en säker, innovativ och effektiv digital förvaltning. som digitaliseringens fördelar välkomnas står det klart att de risker och hot som behöver hanteras i dessa sammanhang är några av våra mest komplexa säkerhetsutmaningar. Säkerhetspolisen konstaterar att den största risken för samhället och totalförsvaret utgörs av bristande informationssäkerhet.27 () framhåller att säkerheten generellt hos myndigheter och statliga bolag inte är dimensionerad för den befintliga hotbilden.28 Dessa uttalanden ska ses i ljuset av att det sker en ständigt växande hantering av information i nätverks- och informationssystem, både i offentlig och enskild verksamhet. Om det uppstår brister i hanter- ingen av information i nätverks- och informationssystem, och i skyddet av densamma, riskerar det att få omfattande konsekvenser både för samhället i stort och för enskilda. Brister i informations- och cybersäkerheten, t.ex. bristande säkerhetsrutiner, kan medföra allvarliga och upprepade störningar i myndigheters nätverks- och in- formationssystem som kan sprida sig till andra sektorer och aktörer. Utvecklingen och användningen av ny teknik och nya innovatio- ner innebär att nya hot och risker behöver hanteras. Hot och risk- skalan inom det informationsteknologiska området spänner från mindre omfattande risker till väl planerade, och med precision rik- tade, angrepp mot vitala delar av samhällets funktionalitet. Även antagonistiska hot såsom informationsoperationer och elektroniska angrepp mot skyddsvärda nätverks- och informationssystem, t.ex. i form av dataintrång, sabotage eller spionage behöver mötas. Det- samma gäller olika former av störningar i mjuk- eller hårdvara eller störningar i driftmiljö. Yttre fysiska händelser som t.ex. bränder, av- grävda kablar, översvämningar och solstormar utgör också en del av hotbilden. I andra fall är det den mänskliga faktorn som kan utnytt- jas vid cyberangrepp eller som ligger bakom it-incidenter. 27Säkerhetspolisens årsbok 2016, s. 40. 28FRA:s årsrapport , s. 19. Digitalisering och informations- och cybersäkerhet