sou · H9B397 · 2021-12-15 00:00:00 — Flera myndigheter angav även robusthet som skäl om en sam- ordnad statlig it-drift skulle möjliggöra säkerhetskopiering och ökad redundans. Det framgår även att 25 myndigheter är intresserade av att erbjuda it-drift till andra myndigheter. Flera är stora eller medelstora myn- digheter som hanterar viss it-drift åt andra myndigheter. anger 13 myndigheter, som inte erbjuder it-drift till andra myndigheter, att de är intresserade av att göra det. För att kunna erbjuda it-drift till andra myndigheter skulle det enligt myndig- heterna krävas ett utpekat ansvar från regeringen (i instruktion eller genom uppdrag), klarlagda rättsliga förutsättningar, ytterligare eko- nomiska resurser och tid för att bygga upp förmågan. 5.1.1Behov och intresse av tjänster För att kunna bilda oss en uppfattning om vilka tjänster som myn- digheterna är intresserade av att utkontraktera till en samordnad stat- lig it-drift skickade vi ut en kompletterande enkät till de 124 myndigheter som tidigare angett att de är eller eventuellt är intresserade av samordnad statlig it-drift. Myndigheternas behov av samordnad statlig it-drift enkät avsåg vi med samordnad statlig it-drift att en eller flera myn- digheter får i uppdrag att helt eller delvis hantera it-drift åt en annan myndighet. har vi valt att bredda begreppet samordnad statlig it-drift, vilket vi beskriver i kapitel 2. Den kompletterande enkäten utgår från den tjänstekarta som in- troducerades kortfattat i avsnitt 2.3. Tjänstekartan utgår från TBM (), ett ramverk som innehåller metoder för att fördela it-kostnader på olika tjänster. Kartan har där- emot anpassats utifrån det som framgår av Kammarkollegiets ram- avtal för it-drift samt erfarenheter från bl.a. reger- ingsuppdrag om samordnad statlig it-drift. Tjänstekartan är indelad i ett antal övergripande tjänsteområden. Av våra intervjuer och möten med olika myndigheter inom stats- förvaltningen har vi förstått att många myndigheter är intresserade av att överlåta hela sin it-drift till en annan myndighet. Av den an- ledningen har vi i vår tjänstekarta inkluderat en övergripande tjänst som vi benämner som helhetsåtagande. Därefter är tjänstekartan in- delad i fem övergripande tjänster: infrastrukturtjänster, plattforms- tjänster, funktionstjänster, användarnära tjänster och applikations- åtagande (se figur 5.1 nedan). Inom varje övergripande tjänst har vi därefter specificerat ett antal underliggande tjänster. För att göra svaren enhetliga har myndigheterna även fått ett antal exempel som ytterli- gare tydliggör vilken typ av underliggande tjänst vi avser. Vi beskriver respektive tjänst mer detaljerat längre ned. Potentiella it-driftstjänster i en samordnad statlig it-drift Källa: Egen illustration. Myndigheternas behov av samordnad statlig it-drift Flera myndigheter anger i enkäten att deras svar i stor utsträckning påverkas av olika faktorer, som t.ex. hur den samordnade statliga it- driften utformas, kostnader för tjänsterna, om skalfördelar kan upp- nås eller hur den egna verksamheten utvecklas framöver. Flertalet myndigheter efterfrågar också en flexibel lösning som kan omhänderta myndigheternas specifika förutsättningar och behov. En förutsätt- ning som flera myndigheter anger för att kunna ansluta sig till en sam- ordnad it-drift är att de har möjlighet till egen kontroll över systemen och att de säkerhetskrav som gäller för myndighetens verksamhet kan uppfyllas. Flera myndigheter tydliggör i sina svar att det på kort sikt inte är aktuellt för myndigheten att ansluta sig till en samordnad it-drift på grund av avtal med leverantörer som fortlöper fram- över. Ett antal myndigheter hänvisar till pågående samordning av it- drift där flera anger att de vill fortsätta på samma sätt även framöver. Små myndigheter efterfrågar i större utsträckning ett helhetsåtagande För att fånga hur många myndigheter som är intresserade av ett helhetsåtagande frågade vi om myndigheten är intresserad av att ut- kontraktera hela eller delar av it-driften till en samordnad statlig it- drift. Av enkätsvaren framgår att 32 myndigheter () anger att de är intresserade av att utkontraktera hela it-driften, medan 69 myndigheter () anger att de är intresserade av att ut- kontraktera delar av it-driften. Fem myndigheter () har av olika skäl angett vet ej. Tabell 5.1 Är myndigheten intresserad av att utkontraktera hela eller delar av it-driften till en samordnad statlig it-drift? Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Myndigheternas behov av samordnad statlig it-drift Små myndigheter anger i högre utsträckning än stora myndigheter att de är intresserade av att utkontraktera hela sin it-drift till en sam- ordnad statlig it-drift. Merparten, 28 myndigheter av de 32 myndig- heter som har angett hela it-driften, är små eller medelsmå myn- digheter med under 200 anställda. Enbart tre av myndigheterna är av storlekskategorin medelstor myndighet med 200–500 anställda. Ingen stor myndighet, med över 500 anställda, har angett att de är intres- serad av att utkontraktera hela it-driften. Denna bild bekräftas av den behovsanalys som har redogjort för i sitt reger- ingsuppdrag om samordnad och säker statlig it-drift där de ser att det går en skiljelinje mellan stora och små myndigheter i relation till hur stor del av it-driften som de är intresserade av att utkontraktera. Såväl stora som små myndigheter är intresserade av att utkontrak- tera delar av sin it-drift till en samordnad statligt it-drift. Stora myn- digheter tenderar däremot att vara intresserade av färre tjänster än små myndigheter. ser vi att flertalet stora myndigheter efter- frågar merparten av de tjänster som vi har angett i enkäten. Tabell 5.2 Myndigheter som är intresserade av att utkontraktera delar av sin it-drift till en samordnad statlig it-drift Källa: Kompletterande enkät om behov av samordnad statlig it -drift (2021). En majoritet av samtliga myndigheter är intresserade av någon form av applikationsåtagande För att bättre förstå omfattningen på myndigheternas behov ställde viäven en fråga till samtliga myndigheter om i vilken utsträckning de är intresserade av ett applikationsåtagande. Ett applikationsåtagande kan förstås som att den myndighet som tillhandahåller it-drift utför antingen drift, förvaltning eller båda delarna av en eller flera av kund- myndighetens applikationer, som även kan vara kundunika. Ett appli- kationsåtagande kan även innefatta applikationer som tillhandahålls Myndigheternas behov av samordnad statlig it-drift som programvara i form av en tjänst (SaaS), t.ex. kontorsprogram, grupprogram för meddelanden och kommunikation. Av svaren på enkäten framgår det att 73 av de 106 myndigheter som svarat på enkäten () anger att de är intresserade av ett applikationsåtagande. Av dessa är en majoritet intresserade av appli- kation som tjänst () följt av applikationsdrift () och applikationsförvaltning (). Tabell 5.3 Myndigheter som efterfrågar ett applikationsåtagande Fördelat på underliggande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Av fritextsvaren framgår att flera myndigheter efterfrågar standard- applikationer som tillhandahålls som tjänst så som webbplats, intra- nät, digitala ytor och samverkansytor. Flera efterfrågar även en lös- ning för att kunna använda Office 365, Skype, Teams eller Zoom i statlig regi som lever upp till myndighetens säkerhetskrav. Flera myn- digheter anger även att möjligheten till skalfördelar påverkar deras intresse. Myndigheternas intresse sprider sig över hela tjänstekartan De myndigheter som angav att de är intresserade av att utkontrak- tera delar av sin it-drift till en samordnad statlig it-drift fick även möj- lighet att med utgångspunkt i den tjänstekarta som presenterades in- ledningsvis ange vilka tjänster myndigheten i så fall är intresserade av. Av enkätsvaren framgår att en stor majoritet () av myndigheterna anger att de är intresserade av att utkontraktera den övergripande tjänsten infrastrukturtjänster följt av funktionstjänster (), plattformstjänster () och användarnära tjäns- ter (). SOU 2021:97Myndigheternas behov av samordnad statlig it-drift Tabell 5.4 Myndigheter som är intresserade av att utkontraktera delar av sin it-drift till en samordnad statlig it-drift Fördelat på övergripande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Som framgår av tabell 5.4 ovan efterfrågar merparten av myndig- heterna tjänster inom samtliga övergripande tjänsteområden. Stora myndigheter med över 500 anställda sticker däremot ut något genom att i något lägre utsträckning efterfråga användarnära tjänster. Bland infrastrukturtjänsterna hittar vi de mest grundläggande infra- strukturella tjänsterna som behövs för att en verksamhets traditio- nella it-tjänster ska fungera. Det är bland dessa tjänster som den fysiska utrustningen ingår, tjänster för att hantera nätverk och lagring samt lokaler anpassade för denna utrustning. Av enkäten framgår att 67 av de 69 myndigheter som angett att de är intresserade av att utkontraktera delar av sin it-drift är intres- serade av någon form av infrastrukturtjänst. Flest myndigheter anger att de efterfrågar lagringskapacitet eller datasäkring () följt av yta i datacenter (), beräkningskapacitet () och nätverk (). Myndigheternas behov av samordnad statlig it-driftSOU 2021:97 Myndigheter som efterfrågar infrastrukturtjänster Fördelat på underliggande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Merparten av myndigheterna () anger att de efterfrågar lagringskapacitet eller datasäkring. I fritextsvar anger flera myndig- heter särskilt långtidslagring och e-arkiv samt backuptjänster som särskilt intressanta. Några hänvisar även till pågående tjänsteleverans från Sunet, vilken myndigheterna anger att de är nöjda med och vill fortsätta med. Därutöver anger 45 myndigheter () att de är intresse- rade av yta i datacenter. Ett antal myndigheter anger i fritextsvar att de efterfrågar en redundansnod samt yta som är godkänd för olika säkerhetsskydds- och beredskapsnivåer. Av de 42 myndigheter (63 pro- cent) som angett att de efterfrågar beräkningskapacitet framgår det att 19 myndigheter är intresserade av fysisk maskintjänst (utan ope- rativsystem), 22 myndigheter är intresserade av virtuell maskintjänst (utan operativsystem) och 28 myndigheter är intresserade av server- tjänst (en managerad server med operativsystem). Plattformstjänster består till största delen av tjänster som ingår i en molnlik leverans, exempelvis egen virtuell miljö för att bygga egna infrastrukturtjänster. Även tjänster för att tillhandahålla drift av olika generella system och komponenter som t.ex. databaser, system för maskininlärning, containerplattform, utvecklingsstödtjänster etc. ingår. Av enkätsvaren framgår att 54 myndigheter är intresserade av någon form av plattformstjänst. Flest myndigheter anger att de är intresse- rade av virtuellt datacenter () följt av applikationsplattforms- tjänster (), datatjänster (), utvecklingsstödstjäns- ter () och containerplattformstjänster (). SOU 2021:97Myndigheternas behov av samordnad statlig it-drift Myndigheter som efterfrågar plattformstjänster Fördelat på underliggande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Funktionstjänster omfattar i vår tjänstekarta tjänster där den samord- nade it-driften bidrar med framför allt personal för att hantera olika åtaganden åt kundmyndigheten, exempelvis dygnet-runt-övervakning av en kundmyndighets it-system, servicedesk, på-platsen-support m.fl. Även tjänster inom säkerhetsövervakning och compliance ingår i funktionstjänster. Av enkäten framgår att 56 myndigheter är intresserade av någon form av funktionstjänst. Lika många myndigheter () är intresserade av övervakning, som säkerhet och compliance. Något färre () är intresserade av support. Flera av myndigheterna som är intresserade av någon funktionstjänst anger i fritextsvar att de är särskilt intresserade av en myndighetsgemensam SOC-funk- tion (Security Operation Center). Av de myndigheter som anger att de är intresserade av support anger flera att de inte är intresserade av en komplett supportfunktion utan som komplement till befintlig support, antingen som andralinjens support eller för vissa av tjänsterna. Tabell 5.7 Myndigheter som efterfrågar funktionstjänster Fördelat på underliggande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). Myndigheternas behov av samordnad statlig it-drift Användarnära tjänster inbegriper tjänster för den it-utrustning kund- myndighetens medarbetare behöver, t.ex. olika klienttjänster så som klientdator, läsplatta och mobiltelefon. Även tjänster för digitalt sam- arbete, fysisk konferensrumsteknik och utskriftstjänster ingår här. Av enkäten framgår att 46 myndigheter är intresserade av någon form av användarnära tjänster. Merparten av myndigheterna anger att de är intresserade av kontorsstödstjänster () följt av klienttjänster () och anslutningstjänster (). Flera myndigheter anger i fritextsvaren att de är intresserade av digitala mötestjänster och samarbetsverktyg. Tabell 5.8 Myndigheter som efterfrågar användarnära tjänster Fördelat på underliggande tjänster Antal svarande (andel av total) Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). 5.1.2Gemensamma behov och behov som skiljer sig åt För att fördjupa resultatet från vår kompletterande enkätunder- sökning anordnade vi en workshop med 15 myndig- heter för att ytterligare förstå hur behoven av en samordnad statlig it-drift ser ut. fick myndigheterna i mindre grupper baserade på myndigheternas storlek (liten, mindre och stor) disku- tera ett antal frågor om hur myndigheternas behov skiljer sig åt, vilka behov som är gemensamma samt vilka tjänster som bör och inte bör ingå i en samordnad statlig it-drift. Myndigheterna identifierade flera gemensamma behov. En av grup- perna lyfte t.ex. fram långtidslagring och arkivering som ett gemen- samt behov, vilket bekräftas av vår enkätundersökning där flera myn- digheter anger att de är intresserade av en sådan tjänst. Flera av myndigheterna var även överens om att det finns ett gemensamt be- hov av samordning och stöd gällande juridik- och säkerhetsfrågor, där man även efterfrågar gemensamma initiativ för t.ex. statliga moln- Myndigheternas behov av samordnad statlig it-drift Myndigheterna såg även att man genom samordning kan uppnå en bättre förhandlingsposition vid upphandlingar genom att ta fram en gemensam kravställning gentemot privata leverantörer. En av grupperna lyfte även fram att man genom en samordnad it-drift skulle kunna etablera en gemensam lägstanivå baserat på de säker- hetskrav som ställs på samtliga myndigheter, vilket skulle bli billigare om myndigheterna etablerade kraven gemensamt. Merparten av myndigheterna angav även att det finns ett behov av en samordnad statlig it-drift som är flexibel utifrån myndigheter- nas olika förutsättningar, där vissa myndigheter är intresserade av en samordnad statlig it-drift som komplement till andra driftsmodeller medan andra myndigheter kan vara intresserade av att utkontraktera hela sin it-drift. Flera myndigheter lyfte även fram att myndigheterna har olika säkerhetskrav vilket påverkar vilka lösningar som kan vara aktuella i en samordnad it-drift. En grupp lyfte fram att samhälls- konsekvenserna ser olika ut för respektive myndighet eftersom krav- massan sträcker sig från fred till ytterst krig, t.ex. tillgänglighets- kravet som varierar mellan myndigheterna i händelse av kris eller höjd beredskap. Vad bör och vad bör inte ingå i en samordnad statlig it-drift? Merparten av myndigheterna som deltog på workshopen angav att man inom en samordnad statlig it-drift bör utgå från de behov där det finns störst skalfördelar och som ger tydliga kostnadsfördelar. Myndigheterna hade däremot svårt att komma fram till vilka tjänster som är gemensamma eftersom så många olika faktorer påverkar myn- digheternas förutsättningar att nyttja samtliga tjänster som ingår i tjänstekartan. Några grupper angav däremot ett antal tjänster som ”lågt hängande frukter” som man skulle kunna börja med: samarbets- plattformar, e-post, plattformstjänster och infrastrukturtjänster. Merparten av myndigheterna var överens om att den samordnade statliga it-driften behöver vara flexibel och valbar. En av grupperna presenterade tre typexempel som utgångspunkt för hur myndigheter- nas efterfrågan på tjänster kan skilja sig åt. Det första exemplet be- nämns som ”smörgåsbordet” där samtliga tjänster kan vara aktuella att konsumera. Det andra exemplet benämns som ”hybrid” där ett urval av tjänster kan vara aktuella utifrån myndighetens förutsätt- Myndigheternas behov av samordnad statlig it-drift Det tredje exemplet benämndes som ”bevakningsansvariga myndigheter” där det på grund av höga säkerhetskrav enbart kan vara aktuellt med yta i datacenter. 5.2Myndigheternas förutsättningar för att göra medvetna val av it-driftslösning Som framgår av avsnitt 2.2 ser vi ett samordnat statligt tjänsteutbud som en av flera leveransformer. Ett samordnat statligt tjänsteutbud kan vara särskilt aktuellt för myndigheter som hanterar känslig in- formation som av något skäl inte lämpar sig att utkontraktera till en privat leverantör. Det kan även vara aktuellt om en myndighet saknar förutsättningar att själv hantera it-driften i egen regi. För att kunna välja it-driftslösning krävs det att myndigheterna har rätt förutsätt- ningar för att kunna göra en bedömning av vad som är lämpligt för de uppgifter som myndigheten hanterar. Ikartläggningen av statliga myndigheters it-drift i vårt delbetän- kande konstaterade vi att drygt en tredjedel av myndigheterna anger att de bedriver samhällsviktig verksamhet och att merparten av myn- digheterna () anger att de hanterar någon form av skyddsvärd information. Det kan röra sig om uppgifter som omfattas av säkerhetsskyddslagstiftningen, offentlighet- och sekretesslagstift- ningen (OSL) eller känsliga personuppgifter enligt dataskyddsför- ordningen. Vi konstaterade att så gott som samtliga myndigheter har att ta ställning till olika grad av säkerhetsaspekter i valet av it-drifts- lösningar. En grundförutsättning för att göra rätt avvägningar när det gäller it-drift är att myndigheten har kunskap om vilka uppgifter som han- teras och vilka krav det ställer på uppgiftshanteringen. Genom att titta på hur myndigheterna har självskattat sig i sitt systematiska in- formationssäkerhetsarbete kan vi göra en grundläggande bedömning av hur förutsättningarna ser ut för myndigheterna att säkerställa ett ändamålsenligt skydd för sin information. Vi konstaterade i vårt delbetänkande att det återstår en del arbete med att få informationssäkerhetsarbetet på plats bland de statliga myndigheterna som grund för säkra it-driftslösningar. Hälften av myn- digheterna har påbörjat ett informationssäkerhetsarbete, men har Myndigheternas behov av samordnad statlig it-drift inte klassat sin information. Ett fåtal myndigheter har inte gjort någonting alls. För att bättre förstå vilka myndigheter som skulle kunna vara i behov av ytterligare stöd vid valet av it-driftslösning har vi tittat när- mare på de myndigheter som har självskattat sitt systematiska infor- mationssäkerhetsarbete på skala 1–3.1 Vi har även valt att titta närmare på vilka myndigheter som har självskattat sig på skala 4–6 eftersom vibedömer att dessa myndigheter kan bidra med bättre förutsätt- ningar för en kostnadseffektiv samordnad statlig it-drift. Vi har även fördjupat vår förståelse för myndigheternas förutsättningar att göra rätt val genom att tillfråga de 15 myndigheter som deltog i vår work- shop . 5.2.1Målgruppsanalys utifrån myndigheternas informationssäkerhetsarbete Av tabell 5.9 nedan framgår att 65 av de myndigheter som har angett att de hanterar någon form av skyddsvärd information har klassat sig på skala 1–3 och 78 myndigheter har klassat sig på skala 4–6. Det innebär att en stor andel () av myndigheterna för enkäten inte hade påbörjat arbetet med att genomföra informa- tionsklassning. Flertalet () saknade dessutom en informa- tionssäkerhetspolicy som är beslutad av ledningen för att säkerställa att myndigheten följer Myndigheten för samhällsskydd och bered- skaps (MSB) föreskrifter. 1I enkäten fick myndigheterna uppskatta hur långt de kommit i sitt informationssäkerhets- arbete. Detta utifrån en skala från 1–6, där nivå 1 innebär att myndigheten inte påbörjat något systematiskt informationssäkerhetsarbete och nivå 6 innebär att det finns ett systematiskt och dokumenterat informationssäkerhetsarbete i hela organisationen. Skalan utgick från de då gällande föreskrifterna och allmänna råden för myndigheterna informationssäkerhetsarbete (MSBFS 2016:1). Myndigheternas behov av samordnad statlig it-drift Tabell 5.9 Hur långt har myndigheterna kommit i arbetet med informationssäkerhet – enligt myndigheternas egen uppskattning Svar per kategori av myndigheter som angett att de hanterar någon form av skyddsvärd information Vi har inte påbörjat ett systematiskt informationssäkerhetsarbete enligt Vi har påbörjat arbetet genom att ha utsett en ansvarig att leda arbetet och börja analysera hur föreskrifterna MSBFS 2016:1 ska införas i Vi har tagit fram informationssäkerhetspolicy och påbörjat arbetet med styrande interna regelverk. Ledningen har beslutat om informations - säkerhetspolicyn och vi har beslutade styrande interna regelverk för allt informationssäkerhetsarbete enligt MSBFS 2016:1. Vi har förutom av ledningen beslutad informationssäkerhetspolicy och styrande interna regelverk, arbetssätt i delar av organisationen som säker - ställer att vi genomför informationsklassning och riskbe dömning samt inför säkerhetsåtgärder utifrån dessa underlag. Vi har förutom av ledningen beslutad informationssäkerhetspolicy och styrande interna regelverk, arbetssätt i hela organisationen som säker - ställer att vi genomför informationsklassning och riskbedömning samt inför säkerhetsåtgärder utifrån dessa underlag. Allt informationssäkerhetsarbete i hela organisationen sker systematiskt enligt framtaget arbetssätt dokumenterat i interna regler och stöd. och de interna regelverken och stöden utvärderas och vidareutvecklas Totalt antal svarande: Källa: Enkät om säker och kostnadseffektiv it-drift (2020). Myndigheter som skattat sig på skala 1–3 i sitt systematiska informationssäkerhetsarbete Av enkäten framgår att det i gruppen som skattat sig på skala 1–3 i sitt systematiska informationssäkerhetsarbete finns myndigheter som hanterar uppgifter som omfattas av säkerhetsskyddslagstiftningen (inom samtliga klassificeringar), OSL (rakt och omvänt skaderekvisit samt absolut sekretess) och känsliga personuppgifter i kärnverksam- heten. Det framgår vidare att det förekommer myndigheter i gruppen som i enkäten anger att de bedriver samhällsviktig verksamhet. Såväl stora som små myndigheter anger i enkäten att de inte har implementerat ett systematiskt informationssäkerhetsarbete inom Myndigheternas behov av samordnad statlig it-drift Små myndigheter tenderar däremot att i högre utsträck- ning ange att de befinner sig någonstans på skala 1–3 i sitt systema- tiska informationssäkerhetsarbete än stora myndigheter. Av de 58 stora myndigheterna med över 500 anställda som anger att de hanterar skyddsvärd information anger enbart 13 myndigheter () att de befinner sig på skala 1–3 i sitt systematiska informationssäker- hetsarbete. Tabell 5.10 Myndigheter som hanterar skyddsvärd information som skattat sig på skala 1–3 i sitt systematiska informationssäkerhetsarbete Källa: Enkät om säker och kostnadseffektiv it-drift (2020).