BESLUT 1(7) Datum Vår referens Aktbilaga 2013-10-17 Dnr: 12-9626 37 Nätsäkerhetsavdelningen Karin Lodin 073-644 56 04 karin.lodin@pts.se Avbrott i bredbandstelefonitjänst Saken Tillsyn enligt 7 kap. 1 lag (2003:389) om elektronisk kommunikation (LEK) efter avbrott i bredbandstelefonitjänst; nu fråga om avskrivning. Post- och telestyrelsens avgörande Post- och telestyrelsen (PTS) avskriver ärendet från vidare handläggning. Bakgrund Telia Sonera Sverige AB (TeliaSonera) drabbades under hösten 2012 av två omfattande avbrott i sin bredbandstelefonitjänst. Det första avbrottet (Incident 1) inträffade den 26 september 2012 och varade i cirka 17 timmar. Det andra avbrottet (Incident 2) inträffade den 2 oktober 2012 och varade i cirka 14 timmar. Avbrotten drabbade samtliga användare av tjänsten i hela Sverige. Under avbrotten kunde användarna inte ringa eller ta emot samtal via tjänsten, innefattandes möjligheten att ringa nödnumret 112. Enligt uppgift från TeliaSonera orsakades Incident 1 av en felkonfigurering i en brandvägg avsedd för IMS-plattformen 1 som innebar att all trafik stoppades till dess att man justerat konfigureringen. Incident 2 orsakades av att systemet överbelastades när TeliaSonera försökte få igång tjänsten till normal drift igen efter avbrottet. 1 IMS står för IP Multimedia Subsystem, och är en standardiserad nätverksstruktur som möjliggör bland annat bredbandstelefoni. Post- och telestyrelsen Postadress: Besöksadress: Telefon: 08-678 55 00 Box 5398 Valhallavägen 117A Telefax: 08-678 55 05 102 49 Stockholm www.pts.se pts@pts.se
2(7) Mot bakgrund av, bland annat, avbrottens längd och antalet drabbade användare inledde PTS den 30 oktober 2012 tillsyn över TeliaSonera. TeliaSoneras bredbandstelefonitjänst har även tidigare, 2009 och 2011, varit föremål för myndighetens tillsyn efter att ha drabbats av omfattande avbrott. Den 9 november 2012 ställde PTS skriftligen frågor till TeliaSonera och bad bolaget att presentera bland annat hur den tekniska arkitekturen kring tjänsten är uppbyggd, hur övervakningen av tjänsten går till, vad som orsakat respektive incident, vilka åtgärder som vidtagits med anledning av incidenterna, och hur TeliaSoneras driftsäkerhetsorganisation ser ut och hur man arbetar systematiskt och långsiktigt med exempelvis kontinuitetsplanering och riskanalyser i sitt säkerhetsarbete för att säkerställa driften av den aktuella tjänsten. Den 21 november 2012 träffades PTS och TeliaSonera för en genomgång och diskussion av svaren på de av myndigheten ställda frågorna. Vid mötet framgick bland annat att TeliaSonera hade tagit fram en lista med ett knappt trettiotal åtgärdspunkter, inklusive tidplan, som bolaget hade för avsikt att genomföra under de kommande månaderna. PTS meddelade TeliaSonera att myndigheten hade för avsikt att följa upp samtliga punkter på åtgärdslistan inom ramen för tillsynen. Mötet gav även upphov till ytterligare frågor från PTS, vilka översändes till TeliaSonera den 7 december 2012. Frågor som ställdes denna gång var bland annat om PTS kunde få del av en riskanalys för tjänsten, om PTS kunde få del av information från den interna utredningsrapport som TeliaSonera uppgivit att man hade tagit fram efter incidenterna, samt information om hur arbetet med framtagande av en kontinuitetsplan fortskred. Den 20 december 2012 hölls ett telefonmöte mellan PTS och TeliaSonera för presentation och genomgång av svaren på de kompletterande frågorna, samt för en statusuppdatering avseende hur arbetet med åtgärdspunkterna fortskred. Vid mötet framgick bland annat att en kontinuitetsplan inte var planerad för tjänsten, och att en riskanalys inte hade framtagits, av resursskäl. Även telefonmötet gav upphov till nya frågor från PTS, vilka översändes till TeliaSonera den 11 januari 2013. Den 27 januari 2013 inkom TeliaSonera med svar, ur vilka det bland annat framkom att en riskanalys för IMS-plattformen hade genomförts under hösten 2012 och att denna pekade på ett behov av en kontinuitetsplan. TeliaSonera informerade då även PTS om att en kontinuitetsplan skulle tas fram till den 30 juni 2013. Den 1 februari 2012 förelade PTS TeliaSonera att inkomma med intern dokumentation som TeliaSonera, under möten eller i e-post, refererat till under tillsynens gång. Det rörde sig om följande handlingar: intern utredningsrapport, dokument över arbetets tidaxel, manual för riskutvärdering, manual för Post- och telestyrelsen 2
3(7) riskanalys, ett eller flera dokument som beskriver arbetssätt och den tekniska lösningen, dokumentation över processer och modeller för migreringar och förändringsarbete, inklusive den generella processen för change management, samt riskanalys från 2012 för IMS-plattformen. Den 13 februari 2013 inkom TeliaSonera med de efterfrågade dokumenten. Den 9 april 2013 hölls ett möte hos PTS för att stämma av hur det fortlöpande arbetet med åtgärdspunkterna fortskred. Enligt uppgift från TeliaSonera återstod vid tidpunkten för mötet fyra punkter, bland annat framtagandet av en kontinuitetsplan. Den 19 juni 2013 inkom TeliaSonera med en statusuppdatering vari det framgick att endast kontinuitetsplanen återstod och att framtagandet av denna följde tidsplanen. Den 20 augusti 2013 inkom TeliaSonera med en kontinuitetsplan, vilken enligt uppgift från TeliaSonera i e-post per den 5 september 2013 ska vidareutvecklas framöver innan en fullständig implementering kan göras. Skäl Tillämpliga bestämmelser Enligt 5 kap. 6 b LEK ska den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster se till att verksamheten uppfyller rimliga krav på driftsäkerhet. PTS har utfärdat allmänna råd om vad som bör beaktas vid bedömning enligt denna bestämmelse (PTSFS 2007:2). Av PTS föreskrifter och allmänna råd om rapportering av störningar eller avbrott av betydande omfattning (PTSFS 2012:2), framgår vidare att tillhandahållaren är skyldig att rapportera in störningar och avbrott av betydande omfattning till PTS. PTS är enligt 2 förordningen (2003:396) om elektronisk kommunikation tillsynsmyndighet enligt LEK. Tillsynsmyndigheten ska enligt 7 kap. 1 LEK utöva tillsyn över bland annat efterlevnaden av lagen. PTS bedömning Mot bakgrund av att det var tredje gången inom loppet av några år som samma tjänst drabbades av liknande avbrott bedömde PTS att det fanns skäl att i denna tillsyn göra en grundlig genomgång av TeliaSoneras generella driftsäkerhetsarbete för tillhandahållande av bredbandstelefoni, främst i syfte att säkerställa att tillhandahållandet av tjänsten uppfyller de rimliga krav på driftsäkerhet som lagen kräver. För att kunna säkerställa att en verksamhet uppfyller rimliga krav på driftsäkerhet bör, enligt de ovan nämnda allmänna Post- och telestyrelsen 3
4(7) råden, tillhandahållaren bedriva ett dokumenterat, kontinuerligt och systematiskt säkerhetsarbete. Säkerhetsarbetet bör i huvudsak vara framåtsyftande och långsiktigt samt bör omfatta såväl normala driftsförhållanden som extraordinära händelser. Elektroniska kommunikationstjänster bör enligt PTS bedömning vara uppbyggda på ett sådant sätt att avbrott och störningar så långt som möjligt kan undvikas och deras konsekvenser begränsas. En förutsättning för detta är att tillhandahållaren är medveten om vilka risker verksamheten är utsatt för. En verksamhet bör därför regelbundet samt vid betydande förändringar genomföra riskanalyser genom att identifiera hot mot verksamheten, samt bedöma sannolikheten för att hoten inträffar och deras konsekvenser för verksamheten för det fall de inträffar. Efter genomförd riskanalys bör tillhandahållaren även regelbundet bedöma på vilket sätt identifierade risker ska hanteras i verksamheten, s.k. riskhantering. Tillhandahållaren bör även ha planering för vilka åtgärder som skall vidtas för det fall avbrott och störningar inträffar (incidenthantering), samt åtgärder för ett snabbt och effektivt återställande av verksamheten till normal drift, s.k. kontinuitetsplanering. TeliaSonera tillhandahåller Sveriges största bredbandstelefonitjänst sett till antal användare och tjänsten är under tillväxt och utveckling. Mot bakgrund av detta finner PTS det anmärkningsvärt att TeliaSonera uppgivit att någon riskanalys eller kontinuitetsplan inte upprättats. Det är PTS bedömning att TeliaSonera inte utan att arbeta med systematiska riskanalyser på ett ändamålsenligt sätt kan identifiera och hantera de risker som är förenade med tillhandahållandet av tjänsten. Den riskanalys som sedermera framtagits för IMS-plattformen under hösten 2012, som en följd av avbrotten, är av förenklad karaktär. Med hänsyn till bredbandstelefonitjänstens storlek, tillväxttakt och betydelse för enskilda användare bedömer PTS att det är nödvändigt att TeliaSonera utvecklar modellen för riskanalysen i takt med att tjänsten utvecklas. Vidare ser PTS det som nödvändigt att TeliaSonera inte endast utför riskanalyser efter det att incidenter inträffat utan även, såsom de allmänna råden stadgar, regelbundet och vid förändringar som i betydande omfattning påverkar förutsättningarna för verksamheten. PTS lämnar härvid denna del av tillsynen utan vidare åtgärd men vill understryka att myndigheten vid kommande granskningar av TeliaSoneras driftsäkerhetsarbete kommer att följa upp att TeliaSonera tillämpar riskanalyser av sådan utformning och karaktär, samt med den regelbundenhet, som bredbandstelefonitjänsten kräver. Vad gäller riskhantering och incidenthantering gör PTS följande bedömning. I åtgärdsplanen och den interna dokumentation som PTS erhöll i och med föreläggandet av den 1 februari 2013 framgick att TeliaSonera i ett relativt tidigt Post- och telestyrelsen 4
5(7) skede hade kännedom om orsaken till incidenterna och de förbättringsområden som bolaget behövde arbeta med i anledning av dessa. De insända handlingarna gav myndigheten en bra och tydlig helhetsbild av händelseförloppet, förbättringsområdena, riskområdena för IMS-plattformen och TeliaSoneras hantering av de identifierade problemen. Dokumentationen visar att TeliaSonera arbetat systematiskt och långsiktigt med riskhantering och incidenthantering, även om det i handlingarna framgick områden som behövde förbättras. TeliaSoneras interna utredningsrapport för incidenterna pekade till exempel på behov av tydligare arbetsrutiner och definierade roller, och tydligare ansvarfördelningar internt vid driftsäkerhetsarbetet, vilket även utgjorde punkter på åtgärdslistan. Vid svar på kompletterande frågor som PTS ställt har TeliaSonera bland annat uppgivit att arbetsrutinerna nu setts över och att de förbättringsområden och åtgärdspunkter som varit hänförliga till detta har identifierats och genomförts. Vid frågor från PTS huruvida nya incidenter inträffat i IMS-plattformen under senare tid har PTS fått till svar att inga betydande störningar eller avbrott har inträffat, vilket enligt uppgift från TeliaSonera är hänförligt till att bland annat driftsorganisation, rutiner och ansvarsfördelningar har fungerat. TeliaSonera har vidare uppgivit att bolaget inom ramen för detta arbete har sett över sina rutiner för samarbeten med sina leverantörer. PTS bedömer härvid att det är positivt att TeliaSonera har arbetat med att förbättra sina arbetsrutiner inom riskhantering och incidenthantering. TeliaSonera behöver enligt PTS bedömning även kontinuerligt se över dessa rutiner och arbetssätt. I övrigt lämnar PTS denna del av tillsynen utan ytterligare åtgärd. Vad gäller arbetet med att ta fram en kontinuitetsplan har TeliaSonera uppgivit att detta är ett pågående projekt och att implementation inte har kunnat ske fullt ut ännu. PTS anser att en dokumenterad och för berörda anställda känd och övad kontinuitetsplan är en nödvändighet för att en verksamhet ska vara tillräckligt förberedd för att hantera mycket omfattande störningar och avbrott. Detta i syfte att tillhandahållaren på bästa möjliga sätt kan upprätthålla driften av kommunikationsnät och kommunikationstjänster och, så långt det är möjligt, begränsa konsekvenser av inträffade störningar och avbrott. PTS ser därför positivt på att arbete med att ta fram kontinuitetsplan har inletts, inte bara för denna specifika tjänst utan för koncernen i stort. PTS har för avsikt att i kommande granskningar följa upp hur arbetet med införande av kontinuitetsplan för bredbandstelefonitjänsten fortskrider, men lämnar utöver detta påpekande saken utan ytterligare åtgärd. Med de påpekanden om uppföljande åtgärder som PTS har lämnat ovan ser myndigheten inga skäl att i dagsläget fortsätta granskningen av TeliaSoneras Post- och telestyrelsen 5
6(7) bredbandstelefonitjänst. Tillsynen ska därför avskrivas från vidare handläggning. Post- och telestyrelsen 6
7(7) Beslutet har fattats av enhetschefen Patrik Bystedt. I ärendets slutliga handläggning har även juristen Karin Lodin deltagit. Post- och telestyrelsen 7