Informationssäkerhet - Rekommendationer till kommuner m. fl. från ansvariga myndigheter

Riksarkivet och Myndigheten för Samhällsskydd och Beredskap, MSB, har tillsammans utarbetat en Vägledning för processorienterad informations-kartläggning . Den kom redan år 2012.

Där slår man bland annat fast vikten av att beskriva informationen i det sammanhang där den skapas eller bearbetas, det vill säga processbaserat.

I januari 2017 kom MSB med Nya rekommendationer till kommuners arbete med informationssäkerhet.

Till att börja med konstaterar man:
• 7 av 10 kommuner arbetar inte systematiskt med informationssäkerhet.
• 4 av 10 kommuner saknar en utpekad funktion för informationssäkerhet.
• 6 av 10 kommuner anger att det inte finns kontinuitetsplaner framtagna för att hantera bortfall av information i kritiska verksamhetsprocesser inom kommunen.
• 4 av 10 kommuner gör ingen riskanalys avseende informationssäkerhet.

Därefter ger man tydliga rekommendationer
• Utse en funktion för informationssäkerhet.
• Ta fram en analys av nuläget i kommunen.
• Informera ledningen om hur nuläget ser ut.
• Skapa en handlingsplan utifrån nuläget.
• Klassa kommunens information.
• Se till att höja säkerhetsmedvetandet inom kommunen.
• Ta fram informationssäkerhetsrelaterade krav som sedan används vid upphandlingar.
• Gör uppföljningar.

I augusti 2017 kom Sveriges Kommuner och Landsting, SKL, med en PM med information till stöd för kommuner, landsting och regioner (även det gällande informationssäkerhet.)

Fem rekommendationer ges till SKLs medlemmar:

1. Alla kommuner, landsting och regioner samt kommunalägda bolag inom sektorn bör kartlägga vilka informationstillgångar (t.ex. information, IT-system) man har i sin verksamhet. Undersök särskilt ifall det finns informationstillgångar som kan vara kritiska för rikets säkerhet och omfattas av reglerna i Säkerhetsskyddslagen.

2. Säkerställ att rutiner för nödvändiga säkerhetsanalyser, riskanalyser och kontroll enligt dataskyddslagstiftning är införda och följs vid upphandling av IT-drift och liknande.

3. Se till att det finns aktuell information om vilka leverantörer och deras underleverantörer som anlitas och i vilka länder dessa finns. Säkerställ att nödvändiga säkerhetsanalyser av resurser, personal och rutiner finns på plats och efterföljs.

4. Arbeta för en god säkerhetskultur i hela organisationen där det finns ett fungerande samspel mellan olika kompetenser inom säkerhet, informationssäkerhet, juridik med projekt, styrgrupper och ledning.

5. Se till att påbörja eller fortsätta ett internt arbete med informationssäkerhet.

Som minimum bör alla arbeta enligt MSB:s rekommendationer, som även SKL står bakom .

I vår film om informationssäkerhet kan du få tips om hur du kan ta hjälp av VisAlfa för arbetet.