Riksrevisionen ansåg att ledningens informationssäkerhetsarbete har tre huvudsakliga brister :