Informationssäkerhet en förutsättning för effektiv digitalisering Moderator: William Linnefell, Ekonomistyrningsverket
Informationssäkerhet en utmaning eller ett stöd i digitaliseringsarbetet? ESV-dagen 2016 Helena Andersson Verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet Myndigheten för samhällsskydd och beredskap Helena.andersson@msb.se
Vad vill vi uppnå med informationssäkerhet? Konfidentialitet Tillgänglighet Riktighet Spårbarhet
Snabbkurs informationssäkerhet Informationssäkerhet Administrativ säkerhet Teknisk säkerhet -metoder -regelverk IT-säkerhet Fysisk säkerhet -organisation - kommunikation - tillträdesbegränsning -utbildning - tekniska säkerhetsåtgärder - skydd för datorhallar -kontroll/uppföljning
Utmaningen
Informationssäkerhets-arbete en process Informationsklassning Följa upp Kartlägga krav Vidta åtgärder Riskanalys
Central reglering Vad ska skyddas respektive hur ska säkerhetsarbetet bedrivas? Personuppgiftslagen/dataskyddsförordningen Säkerhetsskyddslagen Offentlighets- och sekretesslagen Förordning om krisberedskap och höjd beredskapmsb:s föreskrifter om statliga myndigheters informationssäkerhet MSB:s föreskrifter om statliga myndigheters, landstings respektive kommuners risk- och sårbarhetsanalyser Socialstyrelsens föreskrifter Finansinspektionens föreskrifter M fl
20 Förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap Informationssäkerhet 19 Varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. 21 föreskriftsrätt för MSB
Informationssäkerheten hos statliga myndigheter några orosmoln Kartläggning av informationssäkerhetsarbetet i statliga myndigheter 2014, drygt 95% svarsfrekvens Hos många är det otydligt vad gäller vem som är ansvarig för informationsklassning och riskanalys, även otydligt när och hur det ska göras 65% av myndigheterna (som svarat på alla frågorna i enkäten) har inte någon kontinuitetsplan, de som har en sådan plan övar den sällan. Nästan 40% av myndigheterna (de som svarat på alla frågorna i enkäten) uppger att de som leder och samordnar informationssäkerhetsarbetet saknar tillräcklig kompetens, resurser eller mandat för att utföra uppdraget. Läs mer: https://www.msb.se/sv/produkter-- tjanster/publikationer/publikationer-fran-msb/en-bildav-myndigheternas-informationssakerhetsarbete-2014/
Nya föreskrifter (4 april 2016) om statliga myndigheters informationssäkerhet Gäller statliga myndigheter (några undantag) Ställer krav på systematiskt informationssäkerhetsarbete Ställer krav på ledningssystem för informationssäkerhet Ställer krav på god säkerhetskultur Ställer krav på itincidenthantering Ställer krav på kontinuitetshantering
Syftet med den obligatoriska it- incidentrapporteringen är att skapa en bred och samlad rapportering av it-incidenter i samhället Syfte: Att skapa en systematisk, bred och samlad rapportering av it-incidenter i samhället. Detta för att öka samhällets förmåga att förebygga, motstå, återhämta och lära av it-incidenter och it-relaterade kriser. Ett nationellt system för it-incidentrapportering möjliggör att: Skapa en samlad lägesbild Avvärja och begränsa Lära och återföra Arbeta förebyggande Rättvisande och aktuell lägesbild på nationell nivå Skapar beslutsunderlag Säkerställa snabbt agerande vid inträffade itincidenter genom att sprida information i samhället Samordna åtgärder Lindra effekter Kanalisera information till berörda myndigheter Ge underlag för rapportering till regeringen Ge stöd för internt informationssäkerhetsarbete Skapa underlag för långsiktigt förebyggande och ökad krisberedskap Ovanstående fördelar kommer att realiseras successivt
Personuppgiftslag (1998:204) Säkerhetsåtgärder 31 Den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av a) de tekniska möjligheter som finns, b) vad det skulle kosta att genomföra åtgärderna, c) de särskilda risker som finns med behandlingen av personuppgifterna, och d) hur pass känsliga de behandlade personuppgifterna är. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna.
Dataskyddsförordning Träder ikraft 25 maj 2018 Förstärkning av enskildas rättigheter och tydliggörande av skyldigheter för de som behandlar personuppgifter Skarpare säkerhetskrav Några nyheter: rätt att bli glömd, anmäla dataskyddsincidenter, privacy by design m fl Skadeståndsansvar, böter 10 20 milj
Säkerhet i samband med behandlingen Art 32. PUA och PUB ska vidta lämpliga tekniska och organisatoriska åtgärder för lämplig säkerhetsnivå inkl Pseudonymisering och kryptering Säkerställa konfidentialitet, integritet, tillgänglighet och motståndkraft hos behandlingssystemen och tjänsterna Regelbundet testa, undersöka och utvärdera effektiviteten hos tekniska och organisatoriska åtgärder Riskbaserat val av säkerhetsnivå Certifiering kan användas som garant Säkerställa efterlevnad varje fysisk person Art 33. Anmälan av en personuppgiftsincident Art 34. Information till den registrerade om en personuppgiftsincident
EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen På EU-nivå.. Ska vara införlivat i nationell lag 10 maj 2018 Ta fram strategier, policys och regelverk i syfte att uppnå och bibehålla en hög nivå av nät- och informationssäkerhet. Nationellt system för incidentrapportering (offentliga och privata aktörer inom sektorerna energi, transporter, bank, finans, hälso- och sjukvård och vattenförsörjning ) samt för digitala samhällstjänster. Funktioner för tillsyn och sanktioner kopplat till direktivet.
Några medskick rörande Informationssäkerhet en förutsättning för effektiv statsförvaltning och digitalisering integrera tidigt i processerna människan och organisationen i centrum ökat fokus och fler krav stöd finns för arbetet
Några tips Arbeta stegvis: Nya digitaliseringsprojekt tar tid och i varje steg finns anledning att beakta informationssäkerhetsfrågorna Samverka: Skapa grupper med andra yrkesgrupper jurister, arkivarie, personuppgiftsombud, it-drift, nätdrift, upphandling, revision, projektkontor Dokumentera nuläge: Vad har redan gjorts, bygg vidare och utveckla det Kartlägg rättslig reglering: Dataskyddsförordningen och annan reglering ställer krav på informationshantering och säkerhet Säkerhetskultur: Satsa på kompetenshöjning i organisationen Nätverka: Nyttja kompetensen i de många nätverk som finns.
Stöd för informationssäkerhetsarbetet finns bl.a. på informationssäkerhet.se och msb.se På informationssäkerhet.se finns: Metodstöd för ledningssystem Stöd & vägledning Kompetensutveckling Lagar och regelverk Rapporter och studier Nyheter Webbplatsen är framtagen av MSB i samverkan med FRA, Försvarsmakten, Säkerhetspolisen, FMV, PTS och Polisen
Frågor och tack! Helena Andersson Verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet Helena.andersson@msb.se
Tack!