Svar på revisionsrapport: Granskning av IT - och informationssäkerhet

• Säkerställa att nämndernas förvaltningar har en funktion som ansvarar för att samordna och driva respektive nämnds arbete med IT- och informationssäkerhet,
• Dokumentera och etablera en långsiktig strategi med tydliga mål för kommunens informationssäkerhetsarbete,
• Förstärka och tydliggöra processen för granskning av behörigheter till informationssystem,
• Implementera en kommungemensam kontinuitetsplan samt
• Förstärka arbetet med informationsklassning och riskanalyser.

Yttrande Det finns många nyttor för kommunen av ett införande av ledningssystem för informationssäkerhet (LIS). Den allt snabbare digitaliseringen leder till att alla organisationer måste veta hur den egna verksamheten fungerar och vilken information som verksamheten är beroende av. Att informationen blir alltmer digital och att kraven ökar på att hantera organisationens och intressenters information på ett säkert sätt, kan bli påfrestande. Regelverk och lagar som GDPR, säkerhetsskyddslagen, NIS-direktivet m. fl. ställer högre krav på allt fler organisationer med ökade risker för höga sanktionsavgifter. Genom LIS kommer mål för informationssäkerheten definieras, och kommunen bör på sikt införa ett ledningssystem för informationssäkerhet, i enlighet med ISO 27001, men redan nu börja att arbeta enligt ett ledningssystems intention.

Informationssäkerhetsaspekter på kontinuitetsplanering och behörighetshantering kommer att vara en del av ledningssystem för informationssäkerhet.

Hantering av kommunikationsavbrott (”IT-avbrott”) i den kommungemensamma IT driften är redan idag fungerande, men kommunens förvaltningar behöver själva planera för att kunna klara sitt uppdrag i händelse av långvarigt IT-avbrott eller bortfall av annan resurs (lokaler eller information exempelvis). Vad gäller behörighetshantering och granskning av behörigheter faller även detta inom ramen för förvaltningarnas eget arbete med implementering och uppföljning av informationssäkerhet.

Införandet av ett ledningssystem för informationssäkerhet i enlighet med ISO 27001 behöver sannolikt drivas i projektform. Ett LIS enligt ISO 27001, när det är komplett, på plats och fungerande, kan skapa förutsättningar för kommunens förvaltningar att ha tillräcklig intern kontroll inom informationssäkerhetsarbetet.

Ledningssystemet ger en helhetsbild av kommunens informationstillgångar och ger förvaltningarna möjligheten till ett systematiskt, strukturerat arbetssätt för att:

• Identifiera, beskriva och uppdatera relevanta krav (t.ex. lagkrav och andra krav)
• Identifiera och kategorisera samt klassificera sina informationstillgångar
• Genomföra riskanalyser och besluta om olika skyddsåtgärder
• Upprätta relevanta organisatoriska roller och ansvarsområden
• Identifiera och styra interna och externa processer, samt leverantörer med inriktning mot informationssäkerhet
• Upprätta dokumentation för att säkerställa adekvat styrning

Vad gäller respektive revisionsrekommendation:

Överväga att införa ett ledningssystem för informationssäkerhet (LIS) Informationssäkerhetssamordnaren placerad inom IT-funktionen har under flera år arbetat aktivt med punktinsatser i informationssäkerhetsfrågor men utan någon sammanhållen dokumenterad strategi förankrad hos kommunledning. Utan central styrning, systematik och strategi i informationssäkerhetsarbetet riskeras att t ex sekretess inte upprätthålls, att patientuppgifter förvanskas eller att dokumentation inte är tillgänglig för behöriga användare. I förlängningen finns risk för förtroendemässiga och ekonomiska konsekvenser i form av administrativa sanktionsavgifter och förtroendeskada för kommunen.

För att få en början till systematik vad gäller informationssäkerhet har informationssäkerhetssamordnare under 2020 tillsammans med kvalitetschef vävt in informationssäkerhet i högsta ledningens genomgång. Genomgången har bl.a. belyst kontroll av informationstillgångar, riskhanteringsplaner och incidenthantering. Resultatet av ledningens genomgång visar att väldigt lite arbete vad gäller systematisk informationssäkerhet har genomförts. Framförallt brister det i kartläggning av och ansvar för informationstillgångar, klassificering av dessa samt riskanalyser kopplat till informationstillgångarna. Förvaltningarna saknar även handlingsplaner för att åtgärda informationssäkerhetsbrister. Det arbete som förvaltningarna har genomfört vad gäller informationssäkerhet är oftast kopplat till införande av nya system eller applikationer, för att kunna ställa krav mot leverantörer.

Det finns många nyttor för kommunen av ett införande av ledningssystem för informationssäkerhet. Den allt snabbare digitaliseringen leder till att alla organisationer har större krav på sig att veta hur sin verksamhet fungerar. Att informationen blir alltmer digital och att kraven ökar på att hantera organisationens och intressenters information på ett säkert sätt, kan bli påfrestande. Regelverk och lagar som GDPR, säkerhetsskyddslagen, NIS-direktivet m. fl. ställer högre krav på allt fler organisationer med ökade risker för höga sanktionsavgifter.

Ett ledningssystem används för att ge riktlinjer och principer för att styra och leda verksamheten i en önskad riktning. Med hjälp av ett ledningssystem blir det möjligt att planera, leda, följa upp, kontrollera, utvärdera och förbättra förvaltningarnas informationssäkerhet.

Införandet av ett ledningssystem för informationssäkerhet i enlighet med ISO 27001 behöver drivas i projektform. Ett LIS enligt ISO 27001, när det är komplett och på plats, kan skapa förutsättningar för kommunens förvaltningar att ha tillräcklig intern kontroll inom området.

Säkerställa att nämndernas förvaltningar har en funktion som ansvarar för att samordna och driva respektive nämnds arbete med IT- och informationssäkerhet Det saknas utsedda personer som ansvarar för koordinering, uppföljning, och kontroll av övrigt ansvar rörande IT- och informationssäkerhet inom de olika förvaltningsorganisationerna.

Det är förvaltningschefers ansvar att besluta och se till att rätt förutsättningar finns och fungerar inom den egna organisationen.

En brist på ansvar för att bedriva IT- och informationssäkerhetsarbete i nämndernas förvaltningsorganisationer medför en risk att riktlinjer inte efterlevs och att aktiviteter inte genomförs enligt den frekvens och omfattning som är önskvärd.

Det måste finnas ett tydligt mandat för den eller de som ska samordna och driva IT- och informationssäkerhetsinsatser inom nämnden och att man har nära kontakt med förvaltningsledningen som ytterst är informationsägare.

Ett LIS enligt ISO 27001, när det är komplett och på plats, kan skapa förutsättningar för kommunens förvaltningar att ha tillräcklig intern kontroll inom området. I förlängningen kan man på så sätt uppnå en fullt ändamålsenlig modell för arbetet med GDPR

Dokumentera och etablera en långsiktig strategi med tydliga mål för kommunens informationssäkerhetsarbete Genom LIS kommer mål för informationssäkerheten definieras.

Förstärka och tydliggöra processen för granskning av behörigheter till informationssystem Rättigheter som tilldelas till IT driftens tekniker och administratörer granskas frekvent. För de verksamhetssystem som inte hanteras av IT-driften, behöver förvaltningarna ta eget ansvar när det gäller tilldelning och revision av behörigheter.

Implementera en kommungemensam kontinuitetsplan, Avbrottsplan för den kommungemensamma IT driften finns, men kommunens förvaltningar behöver själva planera för att kunna klara sitt uppdrag i händelse av långvarigt IT-avbrott eller bortfall av annan resurs (lokaler exempelvis)

Förstärka arbetet med informationsklassning och riskanalyser. Enligt kommunens informationssäkerhetspolicy och tillhörande riktlinjer för informationssäkerhet ska informationstillgångar klassificeras och informationsägare utses vid kommunens förvaltningar och verksamheter.

För att klara detta måste förvaltningen tillse att egen kompetens och kapacitet finns i egen organisation.

Långt ifrån kommunens alla viktiga informationstillgångar är klassificerade, arbetet är endast påbörjat. Klassningen som ändock genomförts, genomförs sällan utifrån informationsägarnas krav, eftersom informationsägare inte har blivit utsedda.

Arbete har påbörjats för att identifiera och klassificera informationstillgångar på dokumentnivå men implementation och kommunikation återstår. Ett utkast till metodhandbok är framtagen av ISS för att underlätta för kommunens förvaltningar att kunna genomföra riskanalys och informationsklassificering. Ett LIS enligt ISO 27001, när det är komplett, på plats och fungerande, kan skapa förutsättningar för kommunens förvaltningar att ha tillräcklig intern kontroll inom informationssäkerhetsarbetet.

Ledningssystemet ger en helhetsbild av kommunens informationstillgångar och ger förvaltningarna möjligheten till ett systematiskt, strukturerat arbetssätt för att:

• Identifiera, beskriva och uppdatera relevanta krav (t.ex. lagkrav och andra krav)
• Identifiera och kategorisera samt klassificera sina informationstillgångar
• Genomföra riskanalyser och besluta om olika skyddsåtgärder
• Upprätta relevanta organisatoriska roller och ansvarsområden
• Identifiera och styra interna och externa processer, samt leverantörer med inriktning mot informationssäkerhet
• Upprätta dokumentation för att säkerställa adekvat styrning