sou · H9B363 · 2021-07-02 00:00:00 — Vid ett sådant samråd lämnar Säkerhetspolisen ett yttrande kring de säkerhetsskyddsåtgärder verksamhetsutövaren har vidtagit, eller har för avsikt att vidta, samt hur dessa förhåller sig till bestäm- melserna om säkerhetsskydd i författningarna. 7.17.2Samråd inför driftsättning av ett informationssystem Den särskilda säkerhetsskyddsbedömningen är central när en verk- samhetsutövare ska samråda med Säkerhetspolisen. En verksamhets- utövare kan inleda ett samråd med Säkerhetspolisen redan vid fram- tagandet av design och arkitektur för ett informationssystem för att i ett tidigt skede få stöd i bedömningen av om säkerhetsskydds- åtgärderna för informationssystemet uppfyller bestämmelserna om säkerhetsskydd. I de fall en verksamhetsutövare har för avsikt att utveckla ett in- formationssystem som ska nyttjas av andra verksamhetsutövare, föreligger samrådsskyldighet primärt för den verksamhetsutövare som utvecklar informationssystemet. Ett samråd avslutas alltid med ett slutligt yttrande från Säkerhets- polisen till verksamhetsutövaren inför driftsättning. I yttrandet läm- nar myndigheten synpunkter på de säkerhetsskyddsåtgärder verk- 59Se även kapitel 13. 603 kap. 2 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 9 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd. samhetsutövaren har vidtagit, eller har för avsikt att vidta, och hur dessa förhåller sig till bestämmelserna om säkerhetsskydd i författ- ningarna. Säkerhetspolisen anger att för myndigheten ska kunna lämna ett ”kvalitativt” yttrande förutsätts att verksamhetsutövaren har: –genomfört tester och verifierat att de säkerhetsskyddsåtgärder (säkerhetskrav) som identifierats i den särskilda säkerhetsskydds- bedömningen har implementerats och att de ger avsedd effekt, –säkerställt att samtliga identifierade sårbarheter och säkerhets- brister i informationssystemet som kan medföra negativ påverkan för den säkerhetskänsliga verksamheten har omhändertagits, och –säkerställt att eventuella undantag och kompenserande åtgärder som vidtagits i förhållande till säkerhetskraven i den särskilda säker- hetsskyddsbedömningen är dokumenterade. 7.17.3Samråd vid väsentlig förändring av ett informationssystem Vad som utgör en väsentlig förändring i ett informationssystem kan vara svårt att entydigt definiera. En väsentlig förändring kan ta sig uttryck på många olika sätt, t.ex. när: –ett befintligt informationssystem ska hantera uppgifter med en högre säkerhetsskyddsklassificering än tidigare, –ett befintligt informationssystem ska integreras eller kommuni- cera med andra informationssystem, eller när exponering av annat skäl väsentligen ökar, eller –ett befintligt informationssystem ska användas i en annan säker- hetskänslig verksamhet. En verksamhetsutövare ska göra en bedömning av vad som kan anses utgöra en väsentlig förändring. För stöd i en sådan bedömning kan verksamhetsutövaren samråda med Säkerhetspolisen. Innan en väsent- lig förändring av ett informationssystem genomförs bör verksamhets- utövaren genomföra en särskild säkerhetsskyddsbedömning. Genom den särskilda säkerhetsskyddsbedömningen sätter verksamhetsutöva- ren ramarna för vilka säkerhetsskyddsåtgärder som ska vidtas i och med att förändringen genomförs. På motsvarande sätt som vid ett samråd innan ett informations- system ska tas i drift, lämnar Säkerhetspolisen ett skriftligt yttrande till verksamhetsutövaren. I yttrandet lämnar myndigheten synpunk- ter på de säkerhetsskyddsåtgärder som verksamhetsutövaren har vid- tagit, eller har för avsikt att vidta, och hur dessa förhåller sig till be- stämmelserna om säkerhetsskydd i författningarna. 8Offentliga utredningar och myndighetsrapporter Bedömning: Av offentliga utredningar och myndighetsrapporter framkommer en mycket bekymmersam bild över nivån och omfatt- ningen av informations- och cybersäkerhet i samhället allmänt och särskilt vad gäller i säkerhetskänslig verksamhet och annan sam- hällsviktig verksamhet. Av utredningarna och rapporterna fram- kommer bl.a.: –att cybersäkerhet föreslås utgöra ett särskilt beredskapsområde och inte någon egen beredskapssektor då regeringen inte har utsett någon samordnande myndighet för cybersäkerhetsom- rådet, –att det behöver etableras samverkansformer med övriga sär- skilda beredskapsområden, –att det behöver finnas en nationell funktion med uppgift att stödja myndigheter och samhället i övrigt i arbetet med att före- bygga och hantera angrepp inom informations- och kommu- nikationsområdet samt upprätthålla en aktuell lägesbild över samhällets digitala miljö, vilket är en viktig verksamhet för bl.a. det civila försvaret, –att myndigheter som bedriver de mest skyddsvärda verksam- heterna i många fall har svårt att bedöma vad som är skydds- värt med hänsyn till säkerhet, –att myndigheter också vanligtvis har svårt att bedöma hot- bilden mot den egna verksamheten, –att myndigheter i stor utsträckning även saknar förmågan att bedöma den egna verksamhetens sårbarheter, Offentliga utredningar och myndighetsrapporter –att som en följd av dessa brister har många myndigheter svårt att vidta ändamålsenliga och kostnadseffektiva säkerhetsskydds- åtgärder, –att det finns allvarliga brister i arbetet med informations- och cybersäkerhet samt att arbetet med informations- och cyber- säkerhet och säkerhetsskydd dessutom inte är tillräckligt integ- rerade, –att det på nationell nivå saknas enhetlig styrning och sam- ordning av arbetet med informations- och cybersäkerhet, –att det är svårt att få en sammanhängande bild av samtliga regel- verk om informations- och cybersäkerhet samt säkerhets- skydd och hur de ska tolkas, –att avsaknaden av en samlad statlig strategi leder till att varje myndighet gör egna utredningar, bedömningar och bygger egna lösningar för att uppfylla krav på informations- och cyber- säkerhet, –att krav på digitalisering och kostnadseffektiva lösningar ofta ställs mot höga krav på informations- och cybersäkerhet, –att höga krav på informations- och cybersäkerhet påverkar i sig möjligheterna att nyttja kostnadseffektiva it-driftstjänster, –att det finns svårigheter med att formulera ändamålsenliga krav för it-drift som påverkar kostnadseffektiviteten, –att informations- och cybersäkerhet inte prioriteras och att det inte avsätts tillräckligt med resurser för denna verksamhet hos många verksamhetsutövare, –att det finns föråldrade nätverks- och informationssystem hos ett stort antal myndigheter som dessutom är verksamhetskri- tiska system, –att teknikskulden avseende nätverks- och informationssystem påverkar förutsättningarna att arbeta med informations- och cybersäkerhet i systemen, –att föråldrade nätverks- och informationssystem medför ris- ker för bristande informations- och cybersäkerhet samt säker- Offentliga utredningar och myndighetsrapporter hetsskydd, vilket även medför bristande hushållning med sta- tens medel, –att det finns allvarliga brister i arbetet med systematisk infor- mationssäkerhet hos många verksamhetsutövare, –att det brister bl.a. i förmågan att genomföra informations- klassificering, som ligger till grund för säkerhetsskyddsåtgär- der hos verksamhetsutövare, –att det är svårt att finna personer med kompetens inom it, säkerhet och upphandling, –att bristen på relevant kompetens upplevs som ett stort hinder för säker it-drift, och –att myndigheterna har kommit olika långt i sitt informations- och cybersäkerhetsarbete. Ett antal offentliga utredningar och myndighetsrapporter samt andra rapporter som berör informationssäkerhet i olika verksamheter har offentliggjorts . I några av utred- ningarna och rapporterna berörs även frågor om informationssäker- het inom ramen för regleringen av säkerhetsskydd i olika verksam- heter. I detta kapitel redogörs för ett urval av dessa utredningar och rapporter i de delar som behandlar frågor om informationssäkerhet mer allmänt och informationssäkerhet inom ramen för säkerhets- skydd, såväl i offentlig som enskild verksamhet. Urvalet har skett med utgångspunkt i direktiven att utredningen ska analysera om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Urvalet grun- das på behovet av att – om möjlig – få en översiktlig bild över nivån på och omfattningen av nätverks- och informationssäkerheten i an- givna verksamheter, särskilt vad avser den säkerhetskänsliga verksam- heten, men även hur arbetet med att stärka informationssäkerheten allmänt och i säkerhetskänslig verksamhet har utvecklats över tiden, eftersom dessa två frågor har beröringspunkter. Offentliga utredningar och myndighetsrapporter 8.2Offentliga utredningar och rapporter Informationssäkerheten i den civila statsförvaltningen (RiR 2014:223) konstaterade i granskningsrapporten säkerheten i den civila statsförvaltningen (RiR 2014:223) att reger- ingen gett olika myndigheter flera uppdrag med stor betydelse för informationssäkerheten i statsförvaltningen men att regeringen i liten utsträckning hade informerat sig om status på informationssäker- heten. Man noterade att regeringen i regleringsbreven inte hade ställt krav på myndigheternas nivå för informationssäkerhet. I de fall regler- ingsbreven innehöll krav på it handlar det mer om effektivisering av myndighetens it eller krav på enskilda system. Vidare utgjorde enligt regeringen risk- och sårbarhetsanalyser samt förmågebedömningar vik- tiga underlag för att möjliggöra en effektiv uppföljning, styrning och inriktning av den sammantagna krisberedskapen i samhället. Påpekan- den om brister i risk- och sårbarhetsanalyserna hade dessutom gjorts . bedömning av den aktuella handlingsplanen för informationssäkerhet var att mål och åtgärder var av blandad karak- tär. Det fanns heller ingen central funktion i med ett utpekat ansvar för att dels vara mottagare av strategiskt viktig information som underlag för styrning från regeringens sida, dels bereda ärenden som rör informationssäkerheten i statsförvaltningen. framhöll att den granskat om informationssäker- heten i den civila delen av statsförvaltningen är ändamålsenlig utifrån ökande hot. samlade slutsats av granskningen var att arbetet med informationssäkerheten inte är ändamålsenligt sett till de hot och risker som finns och påpekade att granskningen visade på omfattande brister i statsförvaltningen. Regeringen hade inte heller någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. Det hade inte heller någon av regeringens stöd- och tillsyns- myndigheter. Det innebar att den samlade förmågan att kunna han- tera de konsekvenser som kan bli följden av en allvarlig incident till stora delar var okänd. Av det skälet var det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går att få en samlad Offentliga utredningar och myndighetsrapporter bild av läget och utifrån detta anpassa säkerheten till de behov som finns. framhöll att granskningen visade att –regeringen inte utövat en effektiv styrning av informationssäker- heten i den civila statsförvaltningen och –regeringens stöd- och tillsynsmyndigheter endast delvis hade vid- tagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas. framhöll hade vidare att den som ett led i gransk- ningen uppdragit åt Myndigheten för samhällsskydd och beredskap (MSB), () och Säkerhetspolisen att hämta in och analysera uppgifter om läget för informationssäkerheten i statsförvaltningen. Redovisningen av dessa uppdrag innebar ny och väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekade dessutom entydigt i samma riktning. Riksrevisio- nen drog till följd av granskningen slutsatsen att läget var allvarligt för de myndigheter som fått sina skydd testade mot intrång av FRA, och även för flera av de myndigheter vars säkerhetsskydd kontrolle- rats av Säkerhetspolisen. Enbart det faktum att myndigheterna har ett ansvar för sin informationssäkerhet verkar inte vara tillräckligt för att uppnå en god informationssäkerhet i statsförvaltningen. Säker- hetspolisen hade i sin tillsyn funnit systematiska brister i säkerhets- skyddsarbetet, framför allt i fråga om it- och informationssäkerhet hos de mest skyddsvärda myndigheterna. Det handlar till exempel om skadekonsekvensbeskrivningar som antingen saknas eller innehåller ekonomiska eller andra konsekvenser för den egna verksamheten i stället för de som rör rikets säkerhet eller terrorism. Det kan också handla om att det saknas förmågebedömningar av tänkta angripare, vilket medför att det blir oklart hur informationssäkerheten ska dimen- sioneras. Dessa brister ledde sammantaget till att dessa myndigheter inte kan ta fram ändamålsenliga kravspecifikationer för att värna de mest skyddsvärda informationstillgångarna. betonade att det var betydande brister i säkerhets- arbetet som hade upptäckts. FRA:s penetrationstester som sker på begäran av en myndighet visade på att säkerhetsnivån är otillräcklig på flertalet av de myndigheter som blivit testade. FRA testar dess- utom informationssäkerheten på en avgränsad del av statsförvaltningen, Offentliga utredningar och myndighetsrapporter vilket innebär att FRA saknar kännedom om statusen på informa- tionssäkerhet för merparten av myndigheterna i statsförvaltningen. Om inte ens de mest skyddsvärda verksamheterna hade ägnat frågan tillräcklig uppmärksamhet var risken stor att motsvarande brister åter- finns även i övriga förvaltningen. konstaterade vidare att statusen på kunskapsläget för informationssäkerheten i statsförvaltningen var oklart. Varken regeringen eller någon av stöd- och tillsynsmyndigheterna hade en bra och systematiskt underbyggd lägesbild, vilket är en förutsättning för att kunna säkerställa att man vidtar rätt åtgärder. För att arbetet med informationssäkerhet i förvaltningen ska vara effektivt krävs kunskap om såväl hot och risker som vilka hot som förverkligas och vilka skyddsåtgärder myndigheterna vidtar. Regeringen hade organi- serat arbetet på ett sätt som gör att man får kunskap om hot och risker på en övergripande nivå. Genom Säkerhetspolisens tillsyn får man även kunskap om realiserade hot och vidtagna skyddsåtgärder för de mest samhällskritiska verksamheterna. Vilka hot eller risker som realiseras mot de myndigheter som inte omfattas av säkerhetsskydds- lagstiftningen eller vilka skyddsåtgärder dessa myndigheter vidtar fanns dock ingen myndighet som kontrollerar. Regeringen hade inte heller genom regleringsbrev eller på annat sätt krävt att myndighe- terna lämnar sådan information. MSB och FRA hade i avrapporter- ingen av regeringsuppdragen om obligatorisk incidenthantering och ett tekniskt detektering- och varningssystem uttryckt att dessa åt- gärder åtminstone delvis skulle kunna ge sådan information. Dessa frågor bereddes dock – efter att behovet uttryckts – fortfa- rande i . Regeringen hade således i visst avseende styrt mot en förbättrad säkerhet genom att ge dessa myndigheter uppdrag. När sedan uppdragen redovisats blev de liggande länge i utan åtgärd, vilket försvårade att få till stånd en gemensam lägesbild att utgå från när säkerheten ska förbättras. konstaterade även att eftersom varken regeringen eller stöd och tillsynsmyndigheterna hade den fulla bilden av i vilken omfattning hot realiseras eller vilka skyddsåtgärder myndigheterna vidtar saknades en nödvändig förutsättning för ett effektivt arbete med informationssäkerhet. fann att även myndigheternas risk- och sårbarhets- analyser hade omfattande brister när det gäller informationssäkerhet. Trots att det ställs uttryckliga krav på att informationssäkerhet ska Offentliga utredningar och myndighetsrapporter beaktas i analyserna, var det inte alla myndigheter som gjorde det. Det var dessutom stora variationer mellan myndigheter på hur analy- serna struktureras. Av dessa skäl var det svårt att aggregera informa- tionen från flera myndigheter, vilket gjorde det omöjligt att upprätta en gemensam lägesbild av informationssäkerheten på central nivå. Detta ledde i sin tur till att det blir svårt att analysera vilka brister som finns och därmed kunna göra en grundlig riskbedömning. Då blir det naturligtvis också svårt att vidta lämpliga åtgärder för att bygga upp nödvändig förmåga. noterade vidare att både Säkerhetspolisen, genom sin tillsyn, och FRA, genom sin stödjande och rådgivande verksamhet, får kunskap om brister i enskilda myndigheters informationssäker- het. Ingen av myndigheterna har dock lämnat någon mer aggregerad redovisning av bristerna och vilken status det är på myndigheternas informationssäkerhet till . Ett skäl som angavs till varför så inte har skett är att det saknas en naturlig mottagare i . konstaterade vidare att MSB har inget mandat att utöva tillsyn över myndigheternas informationssäkerhet. Avsakna- den av dessa verktyg försvårar för MSB att arbeta effektivt. Det fanns föreskrifter för ledningssystem för informations- säkerheten () utfärdade av MSB. ska stödja uppbyggnaden och vidmakthållandet av informationssäkerheten på myndigheterna. Efterlevnaden visade sig dålig när föreskrifterna 2014 hade utvärderats då inte ens hälften av myndigheterna – enligt Riks- revisionens bedömning – kunde anses uppfylla kraven i föreskrif- terna, vilket talar starkt för att många myndigheter inte prioriterar informationssäkerheten. Det tyder också på att utfärdande av före- skrifter behöver kompletteras med ett uppföljnings- eller tillsyns- ansvar. Ett tydligt och väl anpassat regelverk är dessutom en förut- sättning för att uppnå effektivitet i arbetet med informationssäkerhet. drog därför slutsatsen att det regelverk som styr myn- digheternas arbete med informationssäkerhet bättre kan behöva an- passas till olika typer av statlig verksamhet för att kunna nå önskvärda mål. konstaterade att även om frågan om informa- tionssäkerhet i hög grad var aktualiserad av regeringen fanns det så- ledes stora brister. Ett skäl till problemen att få till stånd en bättre informationssäkerhet var sannolikt – enligt – att det Offentliga utredningar och myndighetsrapporter inte finns någon funktion som ansvarar för informationssäkerheten som helhet i statsförvaltningen, inklusive , och som är mottagare av viktig information om denna. Inte heller hade något av statsråden ett uttalat ansvar för just informationssäkerheten i stats- förvaltningen. Frågor om informationssäkerhet hanterades antingen på det departement som respektive myndighet lyder under eller be- reds i samråd med andra departement, även om informationssäker- het är en dimension som spänner över hela statsförvaltningen och dessutom har bäring på flera funktioner såsom förvaltningspolitik, intern styrning och kontroll, krishantering samt brottsbekämpning. Beroende på vilken funktion som anses mest styrande kommer an- svaret för att samordna ärendet att variera mellan olika departement. Dessa förhållanden gör att i praktiken är det inget departement som har ett samlat ansvar för informationssäkerheten i statsförvaltningen. Det innebär att det inte finns en given funktion i som kan stå för styrning och samordning av informationssäkerheten, såsom fallet är med till exempel krisberedskap där ett visst departe- ment har ett utpekat ansvar. Det betyder dessutom att det saknas en självklar mottagare av information i när det gäller informationssäkerhet. ansåg att detta var en brist som orsakar svårigheter att styra och följa upp statusen på myndig- heternas informationssäkerhet. noterade vidare att regeringens tillsyns- och stöd- myndigheter, framför allt MSB, Säkerhetspolisen och FRA, är på olika sätt aktiva när det gäller informationssäkerhet. MSB verkar brett över hela den offentliga sektorn med uppdrag att främja en god informa- tionssäkerhet, men har inte till uppgift att utöva tillsyn över informa- tionssäkerheten i enskilda myndigheter. Dåvarande Rikspolisstyrel- sen genom Säkerhetspolisen utövar tillsyn, men har av resursskäl inte möjlighet att göra det i hela förvaltningen utan har inriktat sin tillsyn på de myndigheter som har den allra mest skyddsvärda verk- samheten. FRA agerar endast på begäran av enskilda myndigheter, och har i praktiken inte möjlighet att testa säkerheten på alla myn- digheter. Dessa myndigheter samverkar också tillsammans med PTS, Försvarsmakten och när det gäller informa- tionssäkerhet (SAMFI). Trots dessa myndigheters verksamhet och samverkan visade granskningen att det skulle behöva göras mer, och att myndigheterna saknar mandat för det. Säkerhetspolisen bedriver viss tillsyn inriktad på särskilt skyddsvärd verksamhet, vilket utgör en Offentliga utredningar och myndighetsrapporter mindre del av den samlade statsförvaltningen. MSB utfärdar föreskrif- ter om ledningssystem för informationssäkerhet (), men har inte till uppgift att utöva tillsyn över myndigheters arbete med informa- tionssäkerhet. bedömde att resurser för tillsyn gene- rellt inte har prioriterats i tillräcklig utsträckning. ansåg vidare att när det gäller stödet till myndig- heterna fanns resursaspekter som var värda särskild uppmärksamhet. Den första aspekten var att det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Det fanns inte en samlad riskvärdering, utan i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. En samlad lägesbild hade gett förutsättningar för en samlad värdering av riskerna och sannolikhe- ten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur om- fattande stödet behöver vara. Inträffade händelser har visat att kost- naderna kan bli betydande dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kost- nader. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker. Den andra aspekten var att varje myndighet har ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket är nöd- vändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt eftersom de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven. De av regeringen utpekade stödmyndigheterna har dess- utom begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Riksrevi- sionen menade att det fanns behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de en- skilda myndigheternas egen kompetens. Det skulle kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. konstaterade att granskningen visade att det råder oklarhet om läget i informationssäkerheten i statsförvaltningen och lämnade bl.a. följande rekommendationer till regeringen och reger- ingens stöd- och tillsynsmyndigheter: Offentliga utredningar och myndighetsrapporter –angivna brister förelåg , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering, –låt utreda om regelverket som styr arbetet med informations- säkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än , –utöka tillsynen av informationssäkerheten i den civila statsför- valtningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna, –överväg att låta tillsynsmyndigheten få mandat att utfärda sank- tioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister,