sou · H9B397 · 2021-12-15 00:00:00 — I båda myndigheternas instruktioner uttrycks sam- ordningen som att de båda myndigheterna ”tillsammans [ska] be- stämma den gemensamma utvecklingen och användningen av admini- strativt och tekniskt stöd inom ”. Andra exempel på samordnad it-drift Samverkan dokumenteras i en överenskommelse Efter att myndigheternas samverkan präglats av konflikt och oenighet fattade dåvarande generaldirektören på tillsammans med dåvarande rikskronofogden beslut om att förnya myndigheternas samverkan. bedrivs samverkan enligt en ny struktur. Myndigheternas samverkan har doku- menterats i en tjänsteöverenskommelse med tillhörande bilagor som bl.a. beskriver vad som överenskommits vad gäller kostnader och be- talning, ansvar och användning av underleverantörer. Företrädare för beskriver att processen för att ta fram, underhålla och uppdatera överenskommelserna kräver mycket arbete. Det har varit viktigt att hitta rätt former i samverkan för att tydliggöra att det rör sig om en överenskommelse om samverkan och inte ett avtal som beskriver en kund- och leverantörsrelation. Det har varit viktigt att etablera en samverkan som präglas av ett partnerskap där myndigheterna gemensamt hittar lösningar på de problem som uppstår. Myndigheterna har tagit fram en samverkansmodell Som en bilaga till tjänsteöverenskommelsen beskrivs även den sam- verkansmodell som myndigheterna tillämpar. Modellen är uppdelad på strategisk, taktisk och operativ nivå. På respektive nivå finns ett eller flera forum där syfte, frågor, förväntat resultat och deltagare specificeras. Utöver detta sker det enligt modellen ett löpande opera- tivt samarbete och informationsutbyte mellan olika funktioner och kontaktpersoner hos de båda myndigheterna på daglig basis och ut- ifrån behov. I våra intervjuer med såväl som Kronofogden fram- går att samverkan överlag fungerar väl. Inom vissa områden kan det däremot uppstå utmaningar. upplever att modellens komplexitet i vissa fall kan leda till förvirring och att frågor riskerar att gå i flera led och parallellt med varandra. Det kan även vara svårt att överföra information från den strategiska till den operativa nivån, eftersom det saknas bra kanaler för kommunikation mellan nivåerna. Modellen är inte heller anpassad för mindre kundmyndigheter. En mindre myndighet har inte alltid personal för att bemanna upp respek- Andra exempel på samordnad it-drift tive forum, vilket innebär att enskilda individer kan behöva ta flera olika roller för att möta upp mot organisation. ser prioriteringen mellan myndigheter som en särskilt stor utmaning vid samordnad it-drift En risk och utmaning som har uppmärksammat gäller hur myndighetens driftsorganisation ska prioritera mellan den egna myndigheten och kundmyndigheterna vid ett eventuellt driftsstopp eller i händelse av en krissituation. I samverkan med Kronofogden har det inte varit något problem då båda parter varit överens om att grad av samhällskritisk verksamhet bör styra, men i relation till andra mer jämbördiga parter ser de att det kan uppstå problem. Ett exem- pel som företrädare för nämner rör myndighetens sam- verkan med , en myndighet vars verksamhet också betecknas som samhällskritisk. Under regeringskrisen riskerade ett extraval sammanfalla med intensiva arbete med deklarationer, vilket kunde ha lett till svåra prioriteringar av till- gängliga resurser. Eftersom extraval aldrig hölls så tvingades Skatte- verket aldrig fatta några beslut om prioritering mellan myndigheter- nas verksamhet, men ser att det är en utmaning som kommer att behöva hanteras och lösas framöver. har tagit fram en tjänsteportfölj som beskriver ett antal olika tjänsteområden med underliggande tjänster. För att kunna följa kostnader per tjänst är de strukturerade enligt den tjänstestruk- tur som ingår i (), ett ram- verk för beräkningar av it-kostnader. Tjänsterna är fördelade enligt TBM:s fyra så kallade Service Types: •Infrastructure Services, som omfattar bl.a. tjänsterna datacenter, datacenternätverk, fast telefoni, backup, lagring, långtidslagring, fysisk server, virtuell server med och utan . •Platform Services, som omfattar bl.a. drift av applikationsservar, integrationsplattformar och databasservrar. Andra exempel på samordnad it-drift •Delivery Services, som omfattar de gemensamma delarna i den tekniknära leveransen såsom drift, övervakning, support, säkerhet och administration. •End , som omfattar sådant som brukar känneteckna en it-arbetsplats så som klienthantering, klientprogramvara, e-post, video- och konferenssamtal, konferensrumsutrustning, utskrift (lokal), mobil telefoni uppger att det finns paketerade tjänster för infrastruk- tur och it-arbetsplats. Det kvarstår arbete främst på applikations- sidan där det saknas en paketering av standardtjänster eftersom de är ingående tjänster i det som levereras till kundmyndigheterna. Det pågår däremot ett arbete att se över paketeringen av tjänster inom myndigheten som beräknas vara klar . Livscykelhantering särskilt utmanande i relation till kundmyndigheter lyfter fram livscykelhantering och teknisk skuld hos kundmyndigheterna som en särskilt stor utmaning. Eftersom Skatte- verket saknar möjlighet att styra över hur kundmyndigheterna prio- riterar sin it-utveckling riskerar den tekniska skulden för kundmyn- digheterna att öka. Detta är en generell utmaning för i relation till den interna verksamheten, men i relation till kundmyndigheter menar myndigheten att det blir ännu svårare eftersom den inte har möjlighet att styra över en annan myndighet. Samverkan mellan och Kronofogden finansieras genom avgifter. Full kostnadstäckning gäller för avgiftsuttaget vilket inne- bär att avgifterna ska beräknas så att intäkterna täcker samtliga kost- nader som är förenade med verksamheten. För att härleda kostnader för leveransen till Kronofogden använder bl.a. TBM. är däremot inte fullt ut implementerat . uppgick avgiftsintäkter från Kronofogden till cirka Andra exempel på samordnad it-drift men omfattar då hela tjänsteleveransen där it- drift är en delmängd. För att beräkna kostnaderna för majoriteten av tjänsterna utgår från t.ex. antal virtuella servrar, antal licenser och antal ärenden. För vissa relaterade kostnader t.ex. datacenter används an- delen servrar en myndighet använder som fördelningsnyckel för att räkna ut en så rättvisande kostnad som möjligt. För vissa mer över- gripande generella tjänster kan kostnaden fördelas relaterat till antal anställda. lämnar prognoser över hur kostnaderna kommer se ut och görs en avräkning för att jämna ut eventuella avvikelser. Än så länge görs avräkningen på årsbasis, men har intresserat sig för den modell som tillämpar i sitt regeringsuppdrag om säker och samordnad statlig it- drift som innebär att utgifterna fördelas . bedömer att det bl.a. krävs förbättringar och för- ändringar i fördelningsnycklar, tjänsteerbjudande och av datakvalite- ten i systemen för att möjliggöra en bättre sortering av kostnaderna. Det pågår ett förbättringsarbete inom området som förväntas vara klart . Myndigheten hoppas även att det fortsatta arbetet med att implementera TBM kommer underlätta. Kronofogden bidrar med ett kostnadstryck som annars hade saknat upplever att det finns fördelar med att ha Kronofogden som kundmyndighet eftersom det sätter press på myndigheten att löpande se över sina kostnader. Det faktum att Kronofogden är en mindre myndighet med snävare budget uppfattar är en fördel eftersom myndigheterna tillsammans ständigt tvingas hitta smartare lösningar. ser att allt för stora skill- nader i ekonomi kan vara en utmaning när det gäller myndigheternas it-utveckling. Det kan leda till låsta positioner där den ena parten ser ett behov av utveckling och har förutsättningar att investera medan den andra parten helt enkelt inte har råd. ser också att det finns en risk att relationen mellan myndigheterna påverkas negativt om dialogen mellan myndigheterna fokuserar allt för mycket på kostnader. har dock en för- Andra exempel på samordnad it-drift hoppning om att kan underlätta dialogen genom att redovisningen blir mer transparent och enhetlig. Rättsavdelningen lämnar rättsligt stöd i frågor som är kopplade till den it-drift som tillhandahålls åt Kronofogden på begäran från verk- samheten. Överväganden som gjorts kring den informationshantering som sker för Kronofogdens räkning finns dokumenterade i överens- kommelsen mellan de båda myndigheterna. Samma sak gäller över- väganden avseende dataskydd. Myndigheterna har slutit ett person- uppgiftsbiträdesavtal. Det har inte utretts i vilken omfattning undantaget i 2 kap. 13 § första stycket TF är tillämpligt i förhållande till de enskilda tjänster som ingår i leveransen till respektive kundmyndighet, dvs. i vilken utsträckning uppgiftshanteringen är begränsad till enbart teknisk be- arbetning och teknisk lagring för annans räkning. uppdrag att tillhandahålla it-drift åt andra myndig- heter regleras i myndighetens instruktion. Företrädare för rättsav- delningen bedömer att den nuvarande regleringen av uppdrag inte ger stöd för att tillhandahålla it-drift i större utsträck- ning än vad som sker. säkerhet står för basnivån i leveransen till kundmyndig- heterna och i de fall en kundmyndighet har ställt ytterligare säkerhets- krav har myndigheterna haft en dialog om hur det bäst ska hanteras. Både och hanterar säkerhetsskydds- klassificerade uppgifter vilket ställer höga krav på drifts- organisation. är att allt blir mer komplext vid samverkan med en annan myndighet när det förekommer infor- mation som är säkerhetsskyddsklassificerad. Det kräver mycket resur- ser och kompetens för att landa på en bra nivå. När det gäller samordningen med Kronofogden har skillnaden på säkerhetskrav framför allt berott på olika tolkningar och syn på gäl- lande lagstiftning. Myndigheterna har därför, med utgångspunkt i Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter, Andra exempel på samordnad it-drift genomfört ett arbete för att hitta gemensamma nämnare för uppfölj- ning inom respektive myndighets informationssäkerhetsarbete. har påbörjat ett arbete med att implementera så kallad multitenancy i sin hantering av kundmyndigheterna, vilket innebär att flera verksamheter , men oberoende av varandra, kan dela samma it-miljö utan att exponeras för varandra. Myndigheten menar att det kan ge goda förutsättningar för att underlätta t.ex. skillnader i säkerhetskrav. En säker samordnad it-drift förutsätter att kundmyndigheten är tydlig med vilken information som hanteras En förutsättning för att ska kunna erbjuda en säker it- drift är att kundmyndigheterna är tydliga med vilken typ av informa- tion som hanteras så att driftsorganisationen kan säkerställa att den lever upp till aktuella säkerhetskrav utifrån angiven informationsklass. har i regel inte agerat som stödjande funktion åt sina kundmyndigheter. Men för har enga- gerat sig ytterligare för att täcka upp för de brister som har identifierat. menar att det inte ligger i deras roll att ge stöd i kundmyndigheternas informationssäkerhets- arbete eftersom myndigheten saknar den verksamhetskunskap som krävs för att göra en adekvat bedömning. 7.3Samordnad it-drift genom Sunet Från början var det ett pro- jekt som sponsrades av dåvarande Styrelsen för teknisk utveckling (STU) och (). Syftet med projektet var att koppla samman de sex universitetsregionernas datacentraler och nätverk. Sedan bildandet har Sunet tillhört olika värdmyndigheter, men ingår i . Av instruktion framgår att myndigheten ska an- svara för kommunikationssystemet Andra exempel på samordnad it-drift Network (SUNET). Sunet är en avdelning inom Vetenskaps- rådet och styrs av en kommitté med medlemmar från bl.a. , , , och . Nomineringarna görs av univer- (), (KB) samt (). har mandat att ta beslut i frågor som rör utveckling av verksamheten. ansvarar för att Sunet administreras och drivs enligt regeringens fastlagda riktlinjer. Från början försåg Sunet enbart svenska universitet och högskolor med datakommunikation och tjänster via ett gemensamt nät, men vartefter har även andra organisationer tagit del av tjänsterna. är cirka 100 organisationer (universitet och högskolor, myndigheter med forskningsanknytning, museer och andra organisationer) an- slutna till Sunets nät och tjänster. Regeringen beslutar genom regleringsbrev om att universitet och högskolor samt vissa namngivna statliga centrala museer etc. ska anslutas till Sunets nät. Det finns även möjlighet för andra organisa- tioner att ansluta sig, men de måste då genomgå ett ansökningsför- farande via som prövar om organisationen har till- räckliga skäl för att anslutas. Exempel på organisationer som Sunet bedömer lämpliga att ansluta är: lärosäten, forskningsråd, akademier, arkiv, statliga museer, nationella forskningsanläggningar och myn- digheter och organisationer med tydlig anknytning till forskning. Företag, övriga myndigheter, föreningar med flera organisationer har normalt sett inte möjlighet att ansluta sig till Sunet. Vissa av dem har emellertid ett nära samarbete med högskolan och kan då tillåtas att ansluta. Sunet sluter avtal med samtliga anslutna organisationer, förutom när det gäller universitet och högskolornas generella anslutning (bas- nätet) eftersom anslutningen framgår av regleringsbrev. Andra exempel på samordnad it-drift Sunet har som uppgift att tillgodose behovet av datakommunikation hos svenska lärosäten och andra offentliga organisationer med kopp- ling till forskning eller högre utbildning. Sunet levererar även ett an- tal valbara tilläggstjänster till ett flertal anslutna organisationer. Tjänsteutbudet inkluderar följande tjänsteområden: –Identifiering – olika typer av identifieringstjänster för studenter eller forskare. –Molnbaserade tjänster – molnbaserad fillagring, virtuella servrar (IaaS), säkerhetskopiering samt fildelning och samarbetsyta. –Nätverkstjänster – t.ex. nätverk som tjänst i samverkan med läro- säten, trådlöst internet och Sunets rikstäckande nät. –Säkerhet – t.ex. säker digital underskrift, säkerhetscenter, certifikat och mailfilter. –Samarbete – t.ex. digital tentamen, enkätverktyg, e-möte, lärplatt- form och tjänst för video och ljud. –Sunet är även del av den tekniska förvaltningen av den nationella eIDAS-noden som DIGG är nod-myndighet och ansvarar för. Sunet sköter driften av noden och bistår med tekniskt kunnande tillsammans med andra leverantörer. Sunet erbjuder enbart andralinjens support. Det har kommit förfrågningar om att även etablera förstalinjens support och help- desk, men Sunet menar att det skulle kräva för mycket resurser. Före- trädare för Sunet framhäver att Sunet har en väldigt liten organisation för det stora utbud som erbjuds. För att det ska fungera i praktiken har man därför inte haft möjlighet att hantera slutanvändare. Verksamheten finansieras i första hand genom avgifter från de an- slutna medlemmarna, men Sunet får även anslag från Utbildnings- departementet via . Myndigheten får ta ut avgifter för grundanslutning och tilläggstjänster från anslutna organisationer. När det gäller universitet och högskolor ska avgifterna för grund- Andra exempel på samordnad it-drift anslutningen tas ut i proportion till respektive lärosätes andel av hög- skolesektorns totala intäkter. Myndigheten får disponera intäkterna i verksamheten. fick i anslag för att finansiera Sunet varav var ett extra tillskott för att täcka extra kostnader på grund coronapandemin. Av Veten- skapsrådets regleringsbrev framgår att anslaget får användas för kostnader avseende Sunet samt vissa andra organisationer. Det får även användas för kostnader för grundanslutning till Sunet för de konstnärliga högskolorna, statliga kulturarvsinstitutioner och Kung- liga samt för de specifika kostnader Sunet har för anslut- ning till internationella forskningsnät. Anslaget får även användas för finansiering av utveckling av gemensamma lösningar inom digital kommunikation och it-tjänster. Därutöver mottog myndigheten i av- giftsintäkter samt i bidrag. Totalt hade Veten- skapsrådet alltså intäkter om för den verksamhet som bedrivs inom Sunet. Kostnaderna för Sunet uppgick till totalt , varav stod för driften av det nationella nätet. Verk- samheten har ett ackumulerat överskott om trots att myndigheten gick med ett underskott om . Andra exempel på samordnad it-drift Frågor kopplade till den samordnade it-driften som tillhandahålls genom Sunet har hanterats genom att de ställs till juristerna som stödfunktion. Samverkan med statliga myndigheter dokumenteras i överenskommelser och med andra anslutna aktörer träffas avtal. I de fall som Sunet inte står för någon ”förädling” av en tjänst sluts per- sonuppgiftsbiträdesavtal direkt mellan kundmyndighet och under- leverantör. När det gäller informationshanteringen som sker vid nyttjande av Sunets tjänster så tillämpas inom Sunets verksamhet en bestämmelse om sekretess för uppgifter om innehållet i ett elektroniskt med- delande som förmedlas i ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst. Sunet vill därför inte ägna sig åt annat än enbart teknisk bearbetning och teknisk lagring för annans räkning. har beslutat om att inrätta en inköpscentral för att kunna underlätta avrop av Sunets tjänster. Sunets tjänster får inte erbjudas till andra än offentliga aktörer. Sunet bedriver ett gemensamt it-säkerhetsarbete med sina kunder, framför allt universiteten. –2021 har arbetet omstruk- turerats inom ramen för ett projekt som Sunet drivit tillsammans med () och MSB finansierat genom an- slag 2:4 Krisberedskap för att stärka samhällets krisberedskap och försvarsförmåga. Syftet är att etablera ett så kallat SOC (Security Operations Center). Projektet har fokuserat på att etablera verktyg och metoder för att bedriva it-säkerhetsarbete i en distribuerad miljö, t.ex. mellan samverkande organisationer. Säkerhetsarbetet fokuserar främst på förebyggande verksamhet vilket bl.a. involverar underrättelsearbete och arbete med arkitektur och säkra system. Inom projektet har Sunet etablerat relationer med bl.a. och andra statliga myndigheter som är verk- samma inom it-säkerhetsområdet. It-säkerhet tas i beaktande vid utformning av it-arkitektur. Detta medför bland annat att Sunets egna tjänster byggs på ett sätt som är uppdelade i delar som inte kommunicerar med varandra och i så stor Andra exempel på samordnad it-drift utsträckning som möjligt inte har externa beroenden som kan orsaka säkerhetsproblem. Sunet har av det skälet varit förskonade från flera av den senaste tidens så kallade supply-chain attacker. När Sunet utvecklar egna tjänster arbetar avdelningen nästan ute- slutande med system baserade på öppen källkod. Sunet har identifie- rat att en vinst med en sådan strategi är att undvika säkerhetsproblem som i större utsträckning drabbar system som inte är baserade på öppen källkod. Sunet upplever att anslutna kunder implementerar egna modeller för att kunna utvärdera tjänster i stället för att använda ISO 27001 Sunet tar aldrig ansvar för informationssäkerhetsaspekterna i sina tjänster utan dessa frågor hanteras alltid av respektive kund. Tjäns- terna är utformade så att det finns tekniskt stöd för att uppfylla olika krav på informationssäkerhet. Valet av tjänst ligger alltid på kunden och inom ramen för Sunets process för förvaltning av tjänster arbe- tar avdelningen tillsammans med sina kunder för att identifiera vilka behov (bl.a. informationssäkerhetsmässiga) som behöver uppfyllas. Det är vanligt att Sunets kunder genomför interna genomgångar (antingen var och en för sig eller tillsammans med andra kunder) av tjänsternas stöd för deras informationssäkerhetsarbete. Sådana genom- lysningar sker ofta av en intern informationssäkerhetsavdelning på lärosätet eller myndigheten. Sunet menar att avdelningens angreppssätt, som alltså förutsätter att kunden till en tjänst tar ansvar för informationssäkerheten medan Sunet tar ansvar för it-säkerheten i tjänsten, förutsätter att kunden har tillräcklig kompetens för att genomlysa tjänstens förmågor samt att det finns strukturer och modeller för att utvärdera tjänsten. En sådan modell är t.ex. ISO 27001, men Sunet upplever att kunderna ofta uppfattar modellen som för komplicerad för att kunna användas. Sunets uppfattning är att det har medfört att många kunder tar fram och implementerar sina egna modeller för att utvärdera tjänster. Sunet menar att en förutsättning för att deras modell med uppdelat ansvar ska fungera är att MSB tar fram utvärderingsmodeller som myndigheter kan använda. Andra exempel på samordnad it-drift Under utredningens arbete har vi haft möjlighet att följa den sam- verkan som bedrivs mellan , Lantmäteriet, Skatte- verket, , och (del- tar i Program ) genom de två myndighetsövergripande program som myndigheterna har initierat, Säkra it-tjänster i statlig samverkan (SITSSAM) och Program 2032. Vi har även under utredningen följt Gaia-X som är ett europeiskt samarbetsprojekt för molninfrastruktur med syfte att öka självförsörjning inom digital infrastruktur. Nedan beskriver vi det arbete som har bedrivits inom ramen för de tre pågående initiativen. 7.4.1Säkra it-tjänster i statlig samverkan (SITSSAM) generaldirektör kontaktade general- direktörerna för Lantmäteriet, och för att undersöka möjligheten för dessa fyra myndigheter att erbjuda it-drift till andra statliga myndigheter. Bakgrunden till initiativ var att myndigheten genom regeringsuppdraget om samord- nad och säker statlig it-drift sett att behovet av säker statlig it-drift inom statsförvaltningen var större än vad hade kapacitet att omhänderta. Myndigheten konstaterade också att det fanns hinder för att ansluta vissa kundmyndigheter vars tekniska plattformar skiljde sig från den som används inom . tillfrågade , och Trafik- verket eftersom man ansåg att dessa myndigheter hade en väletable- rad it-driftverksamhet med potential att hjälpa andra myndigheter. Även Transportstyrelsen deltar i samverkan för att bidra med sina erfarenheter som kundmyndighet. Transportstyrelsen var en av de myndigheter som hörde av sig till med önskemål om att ansluta sig till myndighetens it-drift. och Transportstyrelsen kom i samförstånd fram till att det, till följd av skillnader i teknisk plattform, inte fanns förutsättningar för att an- sluta Transportstyrelsen till inom ramen för reger- ingsuppdraget om samordnad och säker statlig it-drift. Andra exempel på samordnad it-drift Syftet med samverkan är att utreda om och i sådant fall under vilka förutsättningar Lantmäteriet, och kan bli tjänsteproducerande myndigheter för att därigenom tillsammans med kunna hjälpa fler myndigheter med deras it- drift. ägnade myndigheterna sig åt ett erfarenhetsutbyte där framför allt delade med sig av sina erfarenheter från regeringsuppdraget om samordnad och säker statlig it-drift. tog myndigheterna tillsammans fram en upp- dragsbeskrivning som beslutades av myndigheternas generaldirektörer . Myndigheterna etablerade i samband med be- slutet ett myndighetsövergripande program under namnet Säkra it- tjänster i statlig samverkan (SITSSAM). Myndigheterna har sedan beslutet fattades tagit fram en program- organisation som består av en beställargrupp, styrgrupp, program- ledning samt funktioner för kommunikation, juridik och säkerhet. Programmet har även tagit fram ett antal produktmål med tillhörande arbetsgrupper. Styrgruppen anordnar möten löpande för att stämma av läget i arbetsgrupperna. Det finns även en ambition att etablera en referensgrupp, men den har inte formaliserats . Programmet har tagit fram en samverkansplan som beskriver fyra olika faser. Den första fasen genomfördes och innefattade erfarenhetsutbyte mellan myndigheterna. Den andra fasen pågår sedan början på 2021 och planeras pågå . Syftet med den andra fasen är att utreda om det genom att skapa processer, ramverk och arbetssätt är möjligt att gå från en tjänsteproducerande myndighet () till fyra.