sou · H9B363 · 2021-07-02 00:00:00 — –se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten och som även ska vara mottagare av information om en samlad lägesbild och annan nödvändig information om läget för informations- säkerheten i statsförvaltningen, –Säkerhetspolisen och FRA bör var för sig systematiskt avge agg- regerade rapporter om säkerhetsläget till och . En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter Myndigheten för samhällsskydd och beredskap (MSB) genomförde 2014 även en kartläggning1 (enkätundersökning) av hur statliga myn- digheter tillämpar myndighetens föreskrifter om statliga myndig- heters informationssäkerhet (2009:10) och i övrigt arbetar med in- formationssäkerhet. Enkäten lämnades till 351 myndigheter varav 334 myndigheter besvarade enkäten. Frågor om hur det praktiska informationssäkerhetsarbetet går till, och som redovisas i rapporten, ställdes till de 227 myndigheter som själva har hand om sitt informa- tionssäkerhetsarbete. Enligt myndigheten gav kartläggningen en god 1En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s före- skrifter (MSB740). Offentliga utredningar och myndighetsrapporter bild av hur myndigheterna själva uppfattade sitt arbete med informa- tionssäkerhet och hur de arbetar med föreskrifternas olika krav. Av resultaten från enkäten framkom bl.a. att av myndig- heterna har en informationssäkerhetspolicy men att av myndigheterna kontrollerar inte efterlevnaden, dvs. att policyer och riktlinjer följs av medarbetarna. Vidare framkom att av de som leder och samordnar informationssäkerhetsarbetet i myndig- heterna uppges sakna tillräcklig kompetens, resurser eller mandat för att utgöra uppdraget på ett tillfredsställande sätt. Det fram gick även att av myndigheterna har en informationsklassningsmodell för att identifiera informationstillgångarna och kunna ställa rätt krav på informationssäkerheten som av myndighe- terna uppgav att det inte är tydligt uttalat vem som ansvarar för att informationsklassning genomförs och av myndigheterna uppgav att det inte är fastslaget när informationsklassning ska ske. Av resultaten framkom vidare att av myndigheterna har en metod för riskanalys men att saknar regler för vad riskanalyser ska omfatta eller när det ska ske, som 35 pro- cent av myndigheterna saknar ett uttalat ansvar för vem som ska initiera riskanalyserna. Det framkom också att av de myn- digheter som besvarat enkäten uppgav att myndighetens ledning i stor utsträckning löpande håller sig informerade om arbetet med informationssäkerhet medan av myndigheterna har ingen eller en mycket begränsad utvärdering av informationssäkerhets- arbetet på myndigheten. I samband med enkäten angav myndighe- terna de önskade mer stöd, bl.a. med kravställning, uppföljning, infor- mationsklassning och kontinuitetsplanering. En bild av kommunernas informationssäkerhetsarbete 2015 Myndigheten för samhällsskydd och beredskap (MSB) redovisade i en rapport resultaten av en granskning av informationssäkerheten i kommunerna2 varvid myndigheten fann att fler än av kommunerna inte arbetade systematiskt med informationssäkerhet, att inte hade någon utpekad funktion för informa- 2En bild av kommunernas informationssäkerhetsarbete 2015, Myndigheten för samhällsskydd och beredskap (MSB), 2015. Offentliga utredningar och myndighetsrapporter tionssäkerhet och att ungefär samma andel inte genomförde någon riskanalys i informationssäkerhetsarbetet. Informationssäkerheten i kommuner – Analys och rekommendationer utifrån MSB:s kommunenkät Myndigheten för samhällsskydd och beredskap (MSB)3 redovisade i en ny rapport en analys och rekommendationer av den enkätunder- sökning som gjordes 2015 (se ovan). MSB konstaterade i rapporten att resultatet tyder på att informationssäkerheten i kommunerna bör stärkas på flera områden. En klar majoritet av kommunerna arbetar inte systematiskt med informationssäkerhet. Kontroll och tillsyn av säkerheten i informationssystemen genomförs i liten omfattning. En majoritet av kommunerna saknar en plan för bortfall av information i kommunens kritiska verksamhetsprocesser. Övning och utbildning är eftersatta områden. Kommunerna har i och för sig påbörjat in- förandet av ett ramverk för informationssäkerhet och utsett ansvar, men har inte implementerat ett arbete med informationsklassning och riskhantering i någon större utsträckning. Enbart en tredjedel av kommunerna har ett systematiskt arbetssätt i sitt arbete med infor- mationssäkerhet och huvuddelen av kommunerna har otillräcklig riskhantering. Sju av tio kommuner lägger eller mindre av en arbetskraft på att säkra informationen i kommunen. Enkätsvaren tyder vidare på att det finns ett gap mellan det som står i kommunens informationssäkerhetspolicy och det som operationaliseras i verk- samheten. Det finns därmed sannolikt större verksamhetsrisker hos kommunerna avseende informationssäkerheten än de är medvetna om. När det gäller hur kommuner arbetar med informationssäkerhet är det mycket som liknar arbetet hos de statliga myndigheterna. En avgörande skillnad är dock att arbetet med informationssäkerhet vid myndigheterna med stor sannolikhet gynnats av att myndigheten har föreskriftsrätt inom området. Föreskrifterna innehåller en hän- visning till standarder inom området (SS-ISO/IEC 27001 och 27002) vilket troligen ytterligare fungerat som stöd för myndigheterna i arbetet med att driva informationssäkerhetsfrågor. 3Informationssäkerheten i kommuner – Analys och rekommendationer utifrån MSB:s kom- munenkät , Myndigheten för samhällsskydd och beredskap, , MSB1045. Offentliga utredningar och myndighetsrapporter ner har inte motsvarande informationssäkerhetsföreskrifter, vilket troligen bidragit till att det finns större brister i kommunerna, exem- pelvis i fråga om informationsklassning och riskanalyser. Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerhet i staten (RiR 2016:8) genomförde 2016 en andra granskning av informations- säkerhet i staten och granskade hur ett antal myndigheter arbetar med sin informationssäkerhet. Resultatet av granskningen redovisades i granskningsrapporten på nio myndigheter – en andra granskning av informationssäkerhet i staten (RiR 2016:8). Syf- tet med denna granskning var att åter granska informationssäkerhets- arbetet vid de myndigheter som granskade 2005–20074 och undersöka om regeringen säkerställer att de granskade myndig- heterna har en effektiv intern styrning och kontroll av sin informa- tionssäkerhet. Granskningen omfattar de myndigheter vars arbete med informationssäkerhet granskades –2007.5 konstaterade i rapporten att granskningen visade att det ännu omkring efter de granskningar då gjorde av informationssäkerhet fortfarande fanns allvarliga brister i myndigheternas arbete med informationssäkerhet.6 Granskningen visade även att det fanns enskilda delar av arbetet som fungerar väl, vilket till stor del kan förklaras av vissa initiativ från enskilda indi- vider eller delar av en verksamhet snarare än som ett resultat av ett systematiskt informationssäkerhetsarbete förankrat på ledningsnivå. framhöll att det fanns ett ansenligt behov av ännu fler insatser för att bygga upp och förvalta en informationssäkerhet som håller jämna steg med de ökande hoten som framkom genom Riks- revisionens förra granskning av informationssäkerhet.7 4Riksrevisionens granskningsrapport i den civila statsförvaltningen (RiR 2014:23). 5Arbetsförmedlingen, , , , Lant- mäteriet, , , och Statens tjänstepensions- verk. Regeringen, och har också ingått i gransk- ningen. 7Se i den civila statsförvaltningen (RiR 2014:23). Offentliga utredningar och myndighetsrapporter Säkerhetspolisens rapport om generella brister i säkerhetsskyddet Säkerhetspolisen fick 2016 i uppdrag av regeringen att redovisa dels en samlad bild av vilka generella brister som finns i säkerhetsskyddet hos de myndigheter Säkerhetspolisen har tillsyn över som bedriver mest skyddsvärd verksamhet, dels vilka ytterligare åtgärder som kan behöva vidtas för att hantera dessa brister.8 I Säkerhetspolisens redo- visning av inventeringen av säkerhetsskyddet hos myndigheter och institutioner som utifrån sin verksamhet är av högt skyddsvärde, t.ex. energiförsörjning, telekommunikation och finanssektor, framkom att ju mer frekvent en myndighet hanterar generella säkerhetsfrågor i sin kärnverksamhet, desto bättre är den på säkerhetsskydd. Hos ett flertal myndigheter fanns dock brister i arbetet med t.ex. den egna säkerhetsanalysen. digitalforvaltning.nu (SOU 2017:23) Regeringen beslutade i 2016 att tillkalla en särskild utredare för att analysera och lämna förslag till effektiv styrning av utveckling, in- förande och förvaltning av nationella digitala tjänster. I uppdraget ingick bl.a. analysera och lämna förslag till utformning av organisering och ansvarsfördelning för de nationella digitala tjänsterna, åtgärder och incitament för att uppnå en ökad användning av de nationella digitala tjänsterna, och samverkan mellan offentlig och privat sektor i tillhandahållandet av de nationella digitala tjänsterna. Regeringen beslutade att utvidga uppdraget och i tilläggsdirek- tivet fick utredaren även i uppdrag att analysera hur digitaliseringen i den offentliga sektorn kan stärkas genom att, inom ramen för den befintliga myndighetsstrukturen, samla ansvaret för dessa frågor till en myndighet. Den del av uppdraget som avsåg att samla ansvaret för digitaliseringen i den offentliga sektorn skulle redovisas . Utredningen om effektiv styrning av nationella digitala tjänster lämnade delbetänkandet digitalforvaltning.nu (SOU 2017:23) . I delbetänkandet konstaterade bl.a. att digitaliseringen av för- 8Säkerhetspolisens pressmeddelande , /ovrigt/ pressrum/aktuellt/aktuellt/2017-03-16-sakerhets-skyddet-maste-starkas/gapet-mellan-hot- och-skydd-vaxer-sakerhetsskyddetmaste starkas.html. Offentliga utredningar och myndighetsrapporter valtningen inte en intern angelägenhet utan en vital del av arbetet med att utveckla den nationella digitala infrastrukturen. Digitalisering har därför inte bara som syfte att underlätta för enskilda (medbor- gare) och företag. Den syftar också till att främja konkurrenskraften. Med detta breda perspektiv finns det – enligt utredningen – också skäl att uppmärksamma de risker som följer av en alltmer utvecklad an- vändning och spridning av individrelaterad information. Utredningen har därför valt att integrera frågor om bl.a. informationssäkerhet i utvecklingen och genomförandet av den digitala förvaltningen. Bl.a. denna fråga har därför kommit att ta en större plats i utrednings- arbetet än direktivet gett uttryck för och utredningen lämnar även flera förslag som rör frågor om bl.a. informationssäkerhet. Utred- ningen påpekade att har halkat efter jämförbara länder när det gäller digital förvaltning. Orsaken är främst ett medvetet val att delegera ansvaret för arbetet med e-förvaltning till myndigheterna. Att arbetet varit framgångsrikt i många avseenden kompenserar inte för de begränsningar detta har inneburit. Utredningen fann att reger- ingen har avstått från att använda de styrinstrument som står till buds, t.ex. genom att inte förtydliga vilka uppdrag myndigheterna har när det gäller digitalisering. Vidare saknas styrande mål för vad som ska uppnås. Det är inte heller tydligt vad som ska anses vara offentliga åtaganden i den nationella digitala infrastrukturen.9 Utred- ningen menade att politiken för digital förvaltning bör utformas mot bakgrund av dess roll i den nationella digitala infrastrukturen. En prioriterad fråga är vilket som ska vara det offentliga åtagandet i denna infrastruktur, både i principiella termer och vilka tjänster som det offentliga ska tillhandahålla.10 Vidare behöver säkerhetsfrågorna integ- reras i digitaliseringen av den offentliga sektorn. Stödet till statliga och kommunala myndigheter behöver stärkas i dessa frågor. Detta inte minst för att informationssäkerhet täcks in av flera olika lagar som bitvis överlappar varandra. Detsamma kan – enligt utredningen – sägas om ansvaret för de myndigheter som har uppdrag inom om- rådena för bl.a. informationssäkerhet. skiljer sig myndig- heternas befogenheter betydligt. Frågor om bl.a. informationssäker- het har under utredningens arbete kommit upp i många samman- hang. Det är avgörande att myndigheternas informationssystem är uppbyggda för att klara av en ökad användning och är motstånds- Offentliga utredningar och myndighetsrapporter kraftiga mot eventuella angrepp.11 Utredningen ansåg att det behövs en övergripande plan för att stärka digitaliseringen av den offentliga sektorn. Enligt planen, som enligt utredningen bör bestå av sju punk- ter varav en är att bl.a. informationssäkerhet ska beaktas i varje skede av arbetet med att bygga ut den digitala förvaltningen. Utredningen ansåg vidare att eftersom frågan om bl.a. informa- tionssäkerhet är av avgörande betydelse för att digitaliseringen ska lyckas bör området ska utgöra ett särskilt prioriterat område i upp- draget. Det behöver beaktas redan från början i förberedelserna inför att axla det samlade ansvaret för den offentliga sektorns digitaliser- ing. Det ska då knytas sådan kompetens till den myndighet som får uppdraget, som behövs för att beakta bl.a. informationssäkerhets- skydd i ett tidigt skede av olika projekt och uppdrag. I uppdraget ska även ingå att ansvara för samverkan med bl.a. MSB och PTS för att säkerställa att frågorna om informationssäkerhet ständigt är närva- rande när digitaliseringen genomförs. Utredningen föreslog vidare att det i uppdraget för den nya digitaliseringsmyndigheten ingå att bl.a. samverka med MSB och PTS för att underlätta myndigheternas arbete med bl.a. informationssäkerhet. Enligt utredningen behöver säkerhetsfrågorna integreras i digitaliseringen av den offentliga sek- torn. Utredningens bedömning är att stödet till statliga och kommu- nala myndigheter därför behöver stärkas i dessa frågor. Reboot – omstart för den digitala förvaltningen (SOU 2017:114) Utredningen om effektiv styrning av nationella digitala tjänster fram- höll i slutbetänkandet reboot – omstart för den digitala förvaltningen (SOU 2017:114) att för att digitaliseringen och dess effekter ska åtnjuta alla aktörers, inklusive individernas, förtroende och leva upp till förväntningarna om trygghet och säkerhet måste informations- säkerhetsarbetet inom offentliga myndigheter styras på ett mer kraft- fullt sätt och därmed genomsyra samtliga digitaliseringsprocesser. En kombination av krav på ett systematiskt och riskbaserat infor- mationssäkerhetsarbete, incidentrapportering och tillsyn tillsammans med ett ändamålsenligt stöd ska säkerställa att samhällets aktörer ges möjlighet att hantera och prioritera informationssäkerhetsbehoven. Utredningen konstaterade att det ofta är svårt att motivera Offentliga utredningar och myndighetsrapporter investeringar i informationssäkerhet eftersom det sällan ger en syn- bar eller upplevd nytta direkt vid investeringstillfället. Informations- säkerhet kan t.o.m. av vissa betraktas som något som endast för- dyrar, försvårar och riskerar att försena och till och med stoppa pro- jekt. Många organisationer undviker därför att sätta sig in i vilka värden säker hantering av information ger på . Inte sällan betraktas också informationssäkerhetsfrågor som enbart it-frågor vilket innebär att säkerhetsåtgärder av administrativ och organisato- risk art mer eller mindre förbises, exempelvis utformning och följ- samhet till arbetssätt och rutiner. Dessutom hänvisas resursförfrå- gningar till att ingå i rådande it-budget som i sin tur inte behöver vara föremål för någon strategisk satsning. Utredningen framhöll att informationssäkerhet ska genomsyra alla processer som handlar om digitalisering, vilket även påpekats i tidigare utredningar och rappor- ter.12 Utredningen noterade även att hade påpekat att det behövs en starkare styrning från regeringen gentemot myndig- heterna, så att nödvändiga säkerhetsåtgärder verkligen blir genom- förda. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god.13 Utredningen noterade att arbetet med informationssäkerhet är dag till stor del varje organisations eget ansvar. I och med att organi- sationer är allt mer beroende av andra för sin informationshan- tering, exempelvis i de förvaltningsgemensamma digitala funktio- nerna, är det nödvändigt med samordnade åtgärder för att reducera risker och behålla säkerhetsnivån. Möjligheterna att ytterligare kraf- tigt öka resurser som läggs ned på informationssäkerhetsarbetet är dock begränsade inom många organisationer. Utredningen konstaterade vidare att det nationella informations- säkerhetsarbetet är uppdelat i olika, delvis överlappande, an- svarsområden, både på departements- och på myndighetsnivå. Detta gör att det saknas ett enhetligt regelverk för och ett enhetligt arbetssätt med samhällets informationssäkerhetsarbete och att det finns få gemensamma krav på informationssäkerhet. Expert- och sektors- myndigheter har, utifrån sitt specifika ansvarsområde eller expert- område, gett ut föreskrifter som i olika grad har bäring på informa- 12Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23), betänkande av NISU 2014. Utredningen föreslog bl.a. att det bör etableras en nationell modell för att styra samhällets informationssäkerhet. 13Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäker- het i staten (RiR 2016:8). Offentliga utredningar och myndighetsrapporter Genom att fler aktörer – utan samordning – utfärdar regler på området finns dessutom en stor risk att fragmenteringen av kravställningen på området ökar. Detta får inte sällan till resultat att erfarenheter och kunskap som finns inte nyttjas effektivt, att de resur- ser som allokeras inte används inom de områden där bristerna är som störst och att utfärdade informationssäkerhetskrav fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden. Utredningen menade att det fragmenterade arbetet leder till att det saknas gemensamma riktlinjer för vilket skydd olika typer av in- formationstillgångar minst bör ha. Detta leder till att samma typ av information riskerar att få helt olika skydd beroende på var i för- valtningssystemet som den hanteras. Detta innebär inte sällan även effektivitetsbrister då lösningar får olika utformning vilket skapar en minskad interoperabilitet som i sin tur leder till en ökad kostnad. Utredningen ansåg att även bristen av samordnat rättsligt stöd medför svårigheter att säkerställa att offentliga aktörer har rätt förut- sättningar i sitt arbete med att genomföra och förvalta digitaliserings- arbetet på ett sådant sätt att de tjänster som erbjuds uppfyller till- räckliga krav på tillgänglighet, riktighet och konfidentialitet. Utredningen noterade vidare att den inte har kunnat finna någon samordnad tillsyn av det systematiska informationssäkerhetsarbetet. Viss tillsyn finns, t.ex. () inom området elektronisk kommunikation samt Försvarsmakten och Säkerhets- polisen gällande säkerhetsskyddet. När det gäller kommuner, de som kanske kommer att erbjuda flest digitala tjänster, finns dock inte några lagkrav på att arbeta systematiskt med informationssäkerhet, inga krav på att rapportera incidenter och inte heller någon tillsyn. Inom vissa delar av det offentligas verksamhet kommer tillsynen utökas genom NIS-direktivet, men den tillsynen är endast gentemot samhällsviktig verksamhet inom de sju sektorerna energi, transporter, bankverksam- het, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Detta är dock bara en delmängd av de elva sektorer som MSB identifierat som sam- hällsviktiga sektorer. Utöver de samhällsviktiga sektorerna finns all övrig offentlig verksamhet som i stort är helt utan tillsyn. Utredningen framhöll att vid införande av tillsyn är det viktigt att regleringens olika delar samspelar så att det inte uppstår en obalans mellan dem. Om t.ex. vissa delar av tillsynsverksamheten är detal- jerat reglerad med avseende på vilka prestationer en tillsynsmyn- Offentliga utredningar och myndighetsrapporter dighet ska åstadkomma medan andra delar har mer övergripande målformuleringar finns en risk att den detaljerade regleringen får en starkt styrande inverkan på tillsynen, med den konsekvensen att annan mer strategiskt inriktad tillsyn får stå tillbaka. Det finns också en stor risk att organisationer som är utsatta för tillsyn fokuserar arbetet på de delar som granskas mer specifikt och att arbetet att jobba med informationssäkerhet över hela linjen får stå tillbaka. De uppföljningar som har gjorts inom området informationssäkerhet har bl.a. visat att myndigheternas granskning av sitt eget informations- säkerhetsarbete behöver effektiviseras. Granskningen kan bedrivas med olika metoder och på olika nivåer. Den kan också behöva kom- bineras med rapportering av resultatet av genomförda granskningar för att uppnå avsedd effekt. Olika alternativa vägar för att stärka både granskning och rapportering av informationssäkerhetsarbetet bör övervägas. Utredningen föreslog mot den ovan angivna bakgrunden bl.a. att regeringen: –inleder ett arbete att samordna och strukturera reglering inom in- formationssäkerhetsområdet, –ger digitaliseringsmyndigheten i uppdrag att ta fram och mäta nyckeltal för informationssäkerhetsrelaterade aspekter i syfte att följa informationssäkerhetsmognaden i förhållande till digitali- seringen, –tar fram rättsliga krav som omfattar samtliga offentliga myndig- heter att införa ett systematiskt och riskbaserat informations- säkerhetsarbete, och –ger MSB i uppdrag att utreda hur tillsyn över informationssäker- hetsområdet och incidentrapportering kan genomföras. Länsstyrelsernas förutsättningar att stödja kommuner gällande informationssäkerhet Myndigheten för samhällsskydd och beredskap (MSB) gav 2017 Hög- skolan i , , i uppdrag att genomföra en studie med syfte att kartlägga länsstyrelsernas fak- tiska möjligheter och hur de arbetar med att samordna och stödja kommunernas arbete avseende informationssäkerhet. Offentliga utredningar och myndighetsrapporter framhålls att resultatet visar att länsstyrelserna behöver ett tydligt uppdrag med tillhörande mandat och resurser för att ha förutsätt- ningar att kunna samordna och stödja kommunerna i deras infor- mationssäkerhetsarbete. Detta anser de involverade länsstyrelserna saknas . Dessutom visar resultatet på att det finns omfattande kompetensbrist inom informationssäkerhetsområdet. Kompetens- bristen finns såväl i det interna arbetet som i det externa arbetet ut mot kommunerna, allt från ledningsnivå till operativ nivå. Det finns även behov av tydligare roller både strategiskt och operativt för att sätta igång arbetet och möjliggöra en tydligare överblick. Detta be- hövs för att ge förutsättningar till länsstyrelserna för att kunna sam- ordna och stödja kommunerna i informationssäkerhetsarbetet relaterat till kris och höjd beredskap men även för att erhålla en strategisk helhetssyn på informationssäkerhetsarbetet utifrån ett samhällsper- spektiv. Bevakningsansvariga myndigheters informations- och cybersäkerhet Myndigheten för samhällsskydd och beredskap (MSB) fick 2017 i uppdrag av regeringen att, i samverkan med Försvarsmakten och Säkerhets- polisen, redovisa en sammanvägd rapport utifrån samtliga bevaknings- ansvariga myndigheters redovisningar av analyser och bedömningar av sin informationssäkerhet i de delar av den egna verksamheten som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. Säkerhetspolisen och Försvarsmakten har i samverkan bidragit med sina respektive perspektiv på den bild och den analys som MSB sam- manställt baserat på redovisningarna.