Verksamhetsrapport Kommunens säkerhetsarbete 2014 1
1. Inledning...1 2. Säkerhetsgruppens arbete...2 2.1. Skydd mot olyckor...2 2.1.1. Uppföljning och utvärdering handlingsprogram...2 2.1.2. Kampanjer och aktiviteter...2 2.1.3. Oljeskyddsplan...2 2.2. Krishantering...2 2.2.1. Risk- och sårbarhetsanalys...2 2.2.2. Övning enligt Utbildnings- och övningsplan...3 2.3. Internt skydd...3 2.3.1. Skaderapportering...3 2.4. Informationssäkerhet...3 2.4.1. Metodstöd för informationssäkerhet...3 2.4.2. Informationssäkerhetspolicy...4 2.4.3. Incidenthantering...4 2.4.4. Revidering av styrdokument...4 2.5. Säkerhetsskydd...5 2.5.1. Utbildning...5 2.5.2. Säkerhetsanalys...5 0
1. Inledning Enligt Piteå kommuns riktlinjer för säkerhetsarbetet ska en årsplanering för kommunens säkerhetsarbete upprättas varje år av säkerhetsgruppen och fastställs av kommunstyrelsen. Planen för säkerhetsarbetet beskriver hur arbetet ska bedrivas inom de fem säkerhetsområdena: skydd mot olyckor, krishantering, internt skydd, informationssäkerhet och säkerhetsskydd samt säkerhetsgruppens arbete. Enligt riktlinjerna skall planen minst innehålla: Vad som ska göras under året Tidplan Behov av personella och ekonomiska resurser När och hur uppföljning, utvärdering och avrapportering ska ske Uppföljning är en viktig del i kommunens säkerhetsarbete för att kontrollera: Att beslutade åtgärder är genomförda Att årliga mål är uppfyllda Uppföljning av kommunens säkerhetsarbete ska utföras av säkerhetsgruppen och årligen sammanställas i en rapport och redovisas för kommunstyrelsen. Rapporten sammanställs senast under mars månad efterföljande år. 1
2. Säkerhetsgruppens arbete 2.1. Skydd mot olyckor 2.1.1. Uppföljning och utvärdering handlingsprogram Uppföljning av aktiviteternas genomförande samt nyckeltal. Den nämnd som ansvarar för en aktivitets genomförande ansvarar också för att årligen i december rapportera om genomförande till säkerhetsgruppen. Ovanstående genomför i Genvägen och rapporteras till kommunstyrelsen. Beslutad rapport är genomförda och mål är uppfyllda. Rapporten finns att hitta under: V:\SAMARBETE\Säkerhetsgruppen\SKYDD MOT OLYCKOR\Uppföljning HP-FB 2014 2.1.2. Kampanjer och aktiviteter Säkerhetsgruppen deltar aktivt i kampanjer, aktiviteter och mässor som berör området skydd mot olyckor. Säkerhetsgruppen har medverkat och anordnat tre kampanjer under 2014. Brandskyddsveckan, brandvarnardagen och peppar peppar en dag för seniorernas säkerhet. 2.1.3. Oljeskyddsplan I Piteå kommun finns en handelshamn för både gods och olja. Oljehamnen hanteras petroleumprodukter och flytande kemikalier i 5 st. produktledningar. Stora mängder olja till hela Norrbotten passerar denna hamn och en oljeolycka här skulle innebära stora skadar på människa, djur, natur samt ekonomi för ett flertal parter. En god beredskap med i förväg fastställda rutiner för organisation, ansvar, åtgärder för både räddningsinsats och sanerings fas mm, ökar möjligheten för en lyckad insats som blir effektiv både vad gäller resursanvändning och kostnader. Ett stopp i transporterna via hamnen skulle innebära enorma konsekvenser för kommunen som helhet och ett utsläpp till havs kan innebära stor konsekvenser för natur och frilufsliv samt djulivet Arbetet med oljeskyddsplanen fortgår. Ligger hos kommunstyrelsen för ett första beslut. Därefter går planen på remiss till berörda myndigheter och näringsidkare. 2.2. Krishantering 2.2.1. Risk- och sårbarhetsanalys Att förutse och förebygga är grundläggande för ett gott säkerhets- och krisberedskapsarbete. Samhället ska ha god kunskap om de hot, risker och sårbarheter som kan påverka förmågan att fungera. Syftet med risk- och sårbarhetsanalyser är att minska sårbarheten i samhället och öka förmågan att hantera kriser. Genom ett systematiskt arbetssätt ger analyserna myndigheter och organisationer ökad kunskap för att både förebygga och förbereda sig inför kriser. Målet är också att uppnå en helhetssyn på riskhantering: internt skydd, olycksförebyggande arbete, extraordinära händelser, informationssäkerhet och säkerhetsskydd. 2
Arbetet med risk- och sårbarhetanalysen fortgår enligt plan. Arbetet innefattar många steg och går i fyrårscykler. Den nya risk- och sårbarhetsanalys skall vara färdigställd 31 oktober 2015. 2.2.2. Övning enligt Utbildnings- och övningsplan Kommunen är enligt Lag (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap (LEH) ansvariga för att förtroendevalda och anställd personal får den utbildning och övning som behövs för att de ska kunna lösa sina uppgifter vid extraordinära händelser i fredstid. För att kunna uppfylla denna paragraf så finns det en utbildnings- och övningsplan som stöd.. Beslutade åtgärder är genomförda och mål är uppfyllda. Utvärdering finns att hitta under: V:\SAMARBETE\Säkerhetsgruppen\KRISHANTERING\Övning och utbildning\stadsövning våren 2014\Utvärdering 2.3. Internt skydd 2.3.1. Skaderapportering Under året fortsätter arbetet med implementering av de nya skaderapporteringsrutinerna som har fastställts. Arbetet med att implementera de nya skaderapporteringsrutinerna fortgår. 2.4. Informationssäkerhet 2.4.1. Metodstöd för informationssäkerhet Säkerhetsgruppen införde under 2013 Myndigheten för Samhällsskydd och Beredskap (MSB):s metodstöd för att införa ett ledningssystem för informationssäkerhet (LIS). Metodstödet innebär ett systematiskt informationssäkerhetsarbete med processerna Förbereda, Analysera, Utforma, Införa, Följ upp och Förbättra baserade på gällande ISO- standarder se figur. Under 2014 är målsättningen att ha slutfört delprocesserna i stegen Förbereda samt Analysera med de förvaltningar och bolag som bedriver samhällsviktig verksamhet. Arbetet med metodstödet kommer att genomföras i projektform med sex delprojekt som framgår av figur Analysdelen är omfattande och kommer att involvera personer ur hela kommunens verksamheter men planeras att kunna genomföras i samband med ordinarie risk och sårbarhetsanalyser. Informationssäkerhetssamordnaren ansvarar för projektledning och samordning av arbetet. Arbetet pågår men försenats på grund av att GAP-analys (en nulägesanalys) av ITinfrastrukturen inte har kunna genomföras. Detta beror på att brister i kommunens serverhall uppdagades under våren 2014 och behövde åtgärdas. Under hösten 2014 har ett samarbete inom det regionala informationssäkerhetsnätverket BD-INFOSÄK inletts i syfte att ta fram en gemensam klassningsmodell för att klassificera information. En gemensam modell kommer att påverka både verksamhetsanalys och riskanalys därför kommer arbetet med metodstödet att fortsätta när denna modell är färdigställd. 3
2.4.2. Informationssäkerhetspolicy Ett led i det systematiska informationssäkerhetsarbetet och införande av ett ledningssystem för informationssäkerhet (LIS) är att upprätta en informationssäkerhetspolicy. Informationssäkerhetspolicyn är det övergripande dokument som anger mål och inriktning för samt styr verksamhetens arbete med informationssäkerhet. Kraven på att tillämpa ett ledningssystem och med det en informationssäkerhetspolicy kommer från flera myndigheter med olika perspektiv på informationssäkerhet. Socialstyrelsens föreskrift SOSFS 2008:14 säger exempelvis att alla vårdgivare ska ha en informationssäkerhetspolicy, även de som inte dokumenterar patientuppgifter elektroniskt. Arbetet med styrdokumentet pågår, under arbetets gång har informationssäkerhetssamordnaren tillsammans med säkerhetsgruppen och kommunsekreteraren kommit fram till att dokumentet bör, efter en ändring av formulering i befintlig säkerhetspolicy, vara en riktlinje för informationssäkerhet istället för en policy. Detta för att inte störa den övriga dokumentstrukturen inom säkerhetsarbetet. En översyn av kommunens förvaltningsmodell av IT-system kommer att göras under våren 2015 och lyftas in i styrdokumentet. 2.4.3. Incidenthantering Innebär att revidera befintlig incidenthantering och arbeta fram en fungerande gemensam rutinbeskrivning för samtliga säkerhetsområden innehållande bl.a. anmälan, utredning, rapportering och uppföljning. Syftet är att få ett samlat grepp om och hantering av alla typer av incidenter som sker inom kommunen för att kunna förebygga, identifiera, begränsa och återställa verksamheten efter oönskade skadliga händelser. Förslag och rutinbeskrivning för incidenthantering tas fram av säkerhetsgruppen gemensamt med Informationssäkerhetssamordnaren som projektledare. Arbetet pågår och grundmodellen för incidenthanteringsprocessen har hämtats från MSB CERT-SE:s incidenthanteringsprocess (CIHSP) och bygger på fem steg förebygga, identifiera, begränsa, återställ samt erfarenheter. Processen är särskild användbar för IT-incidenter men är också generisk vilket gör den lämplig för hantering för alla typer av incidenter. Inledningsvis kommer processen att anpassas för att hantera kommunens IT-incidenter och därefter till andra typer av incidenter. 2.4.4. Revidering av styrdokument I samband med införandet av ledningssystemet behöver gällande styrdokument revideras så att de omfattar de begrepp och benämningar som återfinns i metodstöd och gällande standarder. Informationssäkerhetssamordnaren ansvarar för att revideringen av styrdokumenten. Arbetet pågår där dokumentstruktur över vilka styrdokument som bör ingå i ledningssystemet har arbetats fram. 4
2.5. Säkerhetsskydd 2.5.1. Utbildning Kommunens säkerhetsskyddschef och biträdande säkerhetsskyddschef är i behov av utbildning inom området. Utbildningen från Säkerhetspolisen har legat nere och ser inte ut att komma igång igen. Istället hänvisar säkerhetspolisen till de utbildningar som finns att erbjudas inom den militära- eller privata sektorn. Säkerhetsskyddschef undersöker vad som finns och köper det som passar in mot kommunens behov. Resurser för utbildning tas från kommunens budget för säkerhetsarbete. I dagsläget finns ingen sådan utbildning. 2.5.2. Säkerhetsanalys Påbörja arbetet under 2014 med att göra en övergripande säkerhetsanalys över kommunens verksamheter. Det kommer att innefatta en utredning med hänsyn till rikets säkerhet. Rapport presenteras till kommunstyrelsen efter slutfört arbete. Om möjlighet ges till utbildning så påbörjas arbete med säkerhetsanalysen därefter. Eventuella resurser tas ur budget för kommunens säkerhetsarbete. För att inte störa verksamheterna flera gånger valde säkerhetsgruppen att slå ihop detta arbete med kontinuitetshanteringen. 5