Landstingsdirektörens stab Kanslienheten TJÄNSTESKRIVELSE Sida 1(1) Datum 2015-06-29 Diarienummer 150246 Landstingsstyrelsen Granskning av informationssäkerhet inom Landstinget i Kalmar län Förslag till beslut Landstingsstyrelsen antar redovisat yttrande som sitt svar på revisorernas granskning av informationssäkerhet inom Landstinget i Kalmar län. Yttrandet överlämnas till landstingets revisorer. Bakgrund Landstingets revisorer har låtit granska landstingets informationssäkerhet. Granskningen visar att landstinget under de senaste åren har tagit ett antal goda initiativ inom området informationssäkerhet och IT-säkerhet. KPMG:s granskning ger ett antal rekommendationer, ett flertal är nödvändiga säkerhetsåtgärder och andra är inriktade på arbetssättet för att stärka proaktiviteten och säkerhetskulturen inom landstinget. Landstingets revisorer har begärt svar från landstingsstyrelsen med uppgift om vilka åtgärder som vidtagits respektive planeras för att tillvarata de förbättringsmöjligheter och rekommendationer som redovisas i granskningsrapporten. Redovisning av genomförda och planerade åtgärder redovisas i yttrande. Mot bakgrund av ovanstående föreslås landstingsstyrelsen anta redovisat yttrande. Carl-Johan Ekelund Informationssäkerhetssamordnare Bilagor 1. Yttrande daterat den 29 juni 2015. 2. Revisionsrapport från KPMG. Landstinget i Kalmar län Webbplats Ltkalmar.se E-post landstinget@ltkalmar.se Postadress Besöksadress Telefon 0480-810 00 vx Organisationsnr 232100-0073 Bankgiro 833-3007
Landstingsdirektörens stab Kanslienheten YTTRANDE Sida 1(2) Datum 2015-06-29 Diarienummer 150246 Landstingets revisorer Granskning av informationssäkerhet inom Landstinget i Kalmar län Landstingets revisorer har låtit granska landstingets informationssäkerhet. Granskningen visar att landstinget under de senaste åren har tagit ett antal goda initiativ inom området informationssäkerhet och IT-säkerhet. KPMG:s granskning ger ett antal rekommendationer, ett flertal är nödvändiga säkerhetsåtgärder och andra är inriktade på arbetssättet för att stärka proaktiviteten och säkerhetskulturen inom landstinget. En i alla avseenden tillförlitlig informationsförsörjning är avgörande för landstingets förmåga att uppnå sina verksamhetsmål. står det i Landstinget i Kalmar läns riktlinjer för informationssäkerhet. Att ha tillförlitlig och spårbar information tillgänglig för de som behöver den är centralt för att landstinget ska kunna säkerställa ett friskare, tryggare och rikare liv för medborgarna. Landstinget i Kalmar län Webbplats Ltkalmar.se E-post landstinget@ltkalmar.se Postadress Besöksadress Telefon 0480-810 00 vx Organisationsnr 232100-0073 Bankgiro 833-3007
Landstinget i Kalmar län Datum 2015-06-29 Sida 2(2) Redovisning av åtgärder Nedan redovisas status för de genomförda och planerade kort- och långsiktiga åtgärder som krävs för att uppnå en god informationssäkerhet. Åtgärd KPMG:s bedömning LKL Status Kommentar Handlingsplan LIS Ej tillfredsställande Pågår Beräknas klart under 2015. Ny datahall Tillfredsställande Genomfört Klart 2014. <sekretess> Ej tillfredsställande Pågår Beräknas klart under 2015. <sekretess> Ej tillfredsställande Pågår Beräknas klart under 2015. Forum informationssäkerhet Tillfredsställande Genomfört Roll/funktion infosäksamordnare Tillfredsställande Genomfört Dokumenthantering Ej tillfredsställande Ej påbörjat Både system, processer och utb. Förvaltningsmodell IT/verksamhet Tillfredsställande Genomfört pm3 infört. PdL i praktiken Ej tillfredsställande Pågår Årlig riskanalys saknas, klart 2016. Införa LIS Ej tillfredsställande Pågår Del av ledningssystemsprojekt, klart 2016. <sekretess> Ej tillfredsställande Ej påbörjat Skapa förmåga att mäta tillgänglighet för systemobjekt och infrastruktur. Ej tillfredsställande Ej påbörjat Utveckling av befintliga övervakningssystem efter verksamhetens krav. Förutsätter att systemet som skall övervakas har funktioner för att funktioner för finkornig mätning. Behörighetsportal Ej tillfredsställande Pågår Beräknas klar under 2015. Informationssäkerhetsutbildning före och under och under anställning. Ej tillfredsställande Pågår Tillfredsställande Genomfört Ta fram riktlinjer och implementera processer och rutiner kring dessa. Ej tillfredsställande Pågår Kravkatalog kopplat till informationsklassning. Ej tillfredsställande Ej påbörjat Informationssäkerhetsutbildning ges till samtliga sommarvikarier, LSA:er och SÄBEombud men utöver det sker endast punktvisa insatser, t.ex på IT-förvaltningen. Med datorstödd utbildning (film, enkät, spel, etc. på Navet) så kan man få en bredare spridning av kunskap. Riktlinjerna är beslutade, rutiner och process tas fram under hösten 2015. Ett förebyggande verksamhets- och nutidsanpassat arbetssätt är att föredra. Det är alltså av yttersta vikt att landstinget inför och integrerar ett ledningssystem för informationssäkerhet (LIS, enligt SS-ISO/IEC 27001) i arbetet med information landstinget är beroende av. Att verksamheterna tidigt och löpande involveras i arbetet som informationssäkerhetsansvariga ger en delaktighet som är mycket positiv i efterlevnaden. Införandet bör ske för den viktigaste informationen och därefter iterativt utökas. Carl-Johan Ekelund Informationssäkerhetssamordnare