Uppsala Universitet Institutionen för informatik och media Informationssystem C, Examensarbete 15 hp HT-14 Informationssäkerhet vid upphandling Författare: Anton Nilsson & Joni Laurila Handledare: Ravi Dar 1 Sammanfattning Denna uppsats frågeställning ämnar ta reda på hur det rådande informationssäkerhetsarbetet på tre olika svenska kommuner ser ut när de anskaffar sig nya informationssystem. För att analysera om det rådande informationssäkerhetsarbetet kan anses tillräckligt så kommer författarna att använda sig av ett ramverk baserat på SIS-ISO/IEC 27001:2014, SIS-ISO/IEC 27002:2013 samt myndigheten för samhällskydd och beredskaps publikation Vägledning - informationssäkerhet i upphandling. Genom att utföra intervjuer med respektive kommuns informationssäkerhetsansvariga samt genom att ta del av deras styrdokument så har en slutsats varit möjlig att dras. Slutsatsen som dras är att det informationssäkerhetsarbetet som utförs på dessa kommuner är i vissa fall bristfälligt trots att det finns många delar som utförs väl. Nyckelord: SIS-ISO/IEC 27001:2014, SIS-ISO/IEC 27002:2013, Upphandling, Kommuner, Informationssäkerhet 2 Innehållsförteckning Sammanfattning 2 1 Inledning 5 1.1 Bakgrund 5 1.2 Syfte och frågeställning 6 1.3 Avgränsning 7 1.4 Tidigare forskning 7 1.5 Kunskapsintressenter 8 1.6 Disposition 8 2 Metod 9 2.1 Forskningsstrategi 9 2.2 Val av metod 9 2.3 Datainsamlingsmetodik 10 2.3.1 Semistrukturerad intervju 10 2.3.2 Frågor till respondenter 10 2.3.3 Dokumentinsamling 11 2.3.4 Genomförande 11 2.4 Dataanalys 12 2.4.1 Analysmetod 12 2.5 Urvalsprocessen 13 3 Begrepp och ramverk 14 3.1 Informationssäkerhet 14 3.2 Ramverk 15 3.2.1 Ledningssystem för informationssäkerhet 15 3.2.2 Vid upphandling 16 3.2.3 Ansvarfördelning 17 3.2.4 Riskanalys 17 3.2.5 Informationsklassning 18 3.2.6 Kontinuitetshantering 18 3 4 Empiri 19 4.1 Solna stad 19 4.1.1 Solna stads styrdokument 19 4.1.2 Solnas informationssäkerhetsarbete vid upphandling 21 4.2 Tierp och Älvkarlebys kommuner 22 4.2.1 Tierp och Älvkarlebys styrdokument 23 4.2.2 IT-centrums informationssäkerhetsarbete vid upphandling 24 5 Analys 26 5.1 Ledningssystem för informationssäkerhet 26 5.2 Vid upphandling 27 5.2.1 Ansvarfördelning 28 5.2.2 Riskanalys 28 5.2.3 Informationsklassning 29 5.2.4 Kontinuitetsplanering 29 6 Slutsats och diskussion 30 6.1 Slutsats 30 6.2 Diskussion 31 7 Litteraturförteckning 33 8 Bilagor 35 8.1 Bilaga 1 - Intervjuformulär 35 4 1 Inledning I detta kapitel presenteras den bakgrund för varför författarna intresserade sig att skriva denna uppsats. Därefter så kommer dess syfte och frågeställning, dess avgränsningar, kunskapsintressenter för uppsatsen samt uppsatsens disposition att presenteras. 1.1 Bakgrund Teknologin är något som konstant rör sig framåt i en rusande takt. För hundra år sedan så var det endast en hästkraft per fordon, och idag så finns det monsterbilar med hundratals. En liknelse kan dras till hur internetanvändningen har sett ut i Sverige, sedan 2003 har den mer än dubblats, från att ungefär 2.6 miljoner till 5.8 miljoner 2014 (SCB, 2003-2014). Detta visar på att den information som används och lagras är på en annan sorts skala än vad som skett tidigare. Med all denna information som rör sig i samhället, är det inte omöjligt att kalla det ett informationssamhälle. I detta informationssamhälle finns det till flertalet olika sorters information. Allt från media och filmer till hemlighetsstämplade dokument bevaras både fysiskt och digitalt idag. Tillväxten av mängden olika sorters information och olika sorters sätt att ta del av denna information genom informationssystem leder till att vi ställs inför nya utmaningar i att bevara och skydda det som behövs vara säkert. ”Informationssäkerhet omfattar hela samhället och är en angelägenhet för alla”(Oehme, 2009). Men att veta vilka skyddsåtgärder som behövs vid anskaffning av nya informationssystem är nog inte alltid självklart. Riksrevisionen kom 2014 ut med en rapport Informationssäkerheten i den civila statsförvaltningen om att regeringen och deras stöd- och tillsynsmyndigheters informationssäkerhetsarbete inte är tillräcklig(RiR 2014:23). Att förbättra denna situation är ett arbete som myndigheten för samhällskydd och beredskap(MSB) har i uppdrag att bistå förvaltningar med. MSB försöker bistå statliga verksamheter med att uppnå informationssäkerhet genom författningen MSBFS 2009:10. 5 MSBFS 2009:10 dikterar att svenska myndigheter ska utgå från SS-ISO/IEC 27001 och SS- ISO/IEC 27002 som underlag för att uppnå informationssäkerhet. Riksrevisionen har redan konstaterat att en del förvaltningar på riksnivå inte når upp till de krav som respektive säkerhetstandard formulerar. Därför är det av intresse att undersöka om även förvaltningar på kommunal nivå brister i deras informationssäkerhetsarbete vid anskaffandet av nya informationssystem. 1.2 Syfte och frågeställning Sålunda blir syftet med detta arbete att undersöka om även kommunala förvaltningar brister i deras informationssäkerhetsarbete vid anskaffandet av nya informationssystem. Detta vill vi undersöka genom att få en överblick på hur informationssäkerhetsarbetet inom tre svenska kommuner ser ut vid anskaffandet av nya informationssystem. Utifrån denna överblick ska det jämföras med de krav och riktlinjer som återfinns i de underlag som MSBFS 2009:10 finner nödvändiga. För att kunna se ifall dessa tre svenska kommuner brister i deras arbete appliceras följande frågeställning: Hur ser informationssäkerhetsarbetet ut inför anskaffandet av informationssystem? Hur är det informationssäkerhetsarbetet i enlighet med SIS-ISO/IEC 27000-serien? Utifrån dessa frågeställningar hoppas vi att det kan vara möjligt att förstå varför informationssäkerhetsarbetet som utförs ser ut som det gör. Detta kan skapa förståelse till vilka svårigheter verksamheter står inför i deras informationssäkerhetsarbete vid anskaffning av informationssystem. 6 1.3 Avgränsning För att uppnå ett resultat i ett tidsbegränsat och sidobegränsat arbete som detta så tillkommer det naturliga avgränsningar i mån av material och undersökta organisationer. Det avgränsas i mån av vad om anses med anskaffande av informationssystem. Där anskaffningen kommer att begränsas till anskaffning via upphandling. Den upphandlingsprocess som sker vid upphandlingar som bedöms lyda under säkerhetskyddslagen 1996:627 kommer inte att beröras. Detta för säkerhetsskyddade upphandlingar varken berörs av SIS-ISO/IEC 27001:2014, SIS-ISO/IEC 27002:2013 eller av MSBs Vägledning - Informationssäkerhet i upphandling som ligger till grund för det ramverk som kommer att appliceras. Detta arbete behandlar Solna, Tierp och Älvkarleby och det utförs en jämförande analys mellan deras arbete för att uppnå informationssäkerhet vid anskaffande av nya informationssystem. Slutsatserna dragna från denna uppsats kommer endast kunna hänföras på hur deras arbete ser ut. Dock kan möjligen resultatet av uppsatsen användas för att ta lärdom för någon annan organisations informationssäkerhetsarbete, men arbetet bör ses som en specifik fallstudie av dessa tre svenska kommuner. 1.4 Tidigare forskning Det finns flera undersökningar som har undersökt hur kommuner implementerar ett ledningssystem för informationssäkerhet utifrån SIS-ISO/IEC 27000-serien eller hur efterlevnaden av detta ledningssystem ser ut. Vi har dock inte funnit några studier på hur det organisatoriska och praktiska arbetet utförs för att uppnå informationssäkerhet vid anskaffning av nya informationssystem och hur detta är i enlighet med SIS-ISO/IEC 27000-serien. Genom denna uppsats vill vi fylla det kunskapsgap som finns inom ämnesområdet. 7 1.5 Kunskapsintressenter Det kunskapsbidrag som arbetet resulterar i väntas få en del intressenter. Som tidigare nämnts så finns det ett kunskapsgap inom ämnesområdet informationssäkerhet om hur en verksamhet ska uppnå och säkerställa informationssäkerhet vid anskaffandet av nya informationssystem. De som söker sig få en inblick hur det informationssäkerhetsarbetet kan se ut i svenska kommuner samt hur detta arbete ligger i korrelation till SIS-ISO/IEC-27000 serien kan ses som intressenter för detta arbete. Även kommunala och statliga myndigheter kan ses som potentiella intressenter av resultatet för att kunna jämföra skillnader och likheter i deras informationssäkerhetsarbete inför upphandling och även ta lärdom av de undersökta kommunernas sätt att anamma deras respektive riktlinjer och styrdokument för informationssäkerhet. 1.6 Disposition Denna uppsats kommer vara dispositionerad i följande sex kapitel: Inledningen (1) presenterar uppsatsens bakgrund, dess syfte och frågeställning samt avgränsningar. Även de kunskapsintressenterna för uppsatsens frågeställning och resultat samt uppsatsens disposition presenteras. Metod(2) presenterar det metodval och den metodik som använts för att samla in empirin samt en presentation av hur forskningsfrågorna skall besvaras. Begrepp och ramverk (3) presenterar de begrepp och ramverk som kommer ligga till grund för vad som krävs för att uppnå informationssäkerhet vid anskaffande av informationssystem. Empiri (4) presenterar det sammanställda material och det data som insamlats för denna uppsats. Analys (5) presenterar analysen mellan ramverket och empirin. Slutsats och diskussion (6) presenterar uppsatsens resultat och slutgiltigen en diskussion om detta. 8 2 Metod För att presentera det tillvägagångssätt som använts i denna uppsats definierar detta kapitel metodval och den metodik som använts för att insamla empiri samt en presentation av hur forskningsfrågorna skall besvaras. Den forskningsstrategi som presenteras är den som mest lämpligen kan appliceras på det insamlade materialet. 2.1 Forskningsstrategi Den valda forskningsstrategin är att utföra en studie på tre svenska kommuners arbete att uppnå informationssäkerhet. Vanligtvis passar det att utföra en fallstudie när en djup analys av en eller flera verksamheter behöver utföras och denna uppsats har valt att ta inspiration från förhavandet vid utförandet av fallstudier. Fallstudier är lämpliga att utföra när målet med studien består av att få en detaljerad insikt i det fall som undersöks och dess relation till andra processer och händelser (Oates, 2006, s.35). De liknelser denna uppsats har med fallstudier är att den ämnar ta reda på detaljerad information runt ett specifikt fall, men då möjligheten att ta del av helhetsbilden på de organisationer som kontaktas så begränsas arbetet på detta sätt. 2.2 Val av metod Kvalitativ data är sådana data som inte är numerisk, eller som inte går att göra till numerisk(Oates, 2006, s. 266), och det är denna sorts data som uppsatsen kommer samla in. Kvalitativ forskning handlar om att tolka det material som är insamlat på ett, eller flera, valda sätt (Larsen, 2009, s.107). Då denna uppsats kommer sammanställa data som är öppen för tolkning så är en kvalitativ forskningsmetodik det självklara valet. 9 2.3 Datainsamlingsmetodik 2.3.1 Semistrukturerad intervju Intervjuer används ofta när fallstudier och etnografiska studier genomförs (Oates, 2006, s. 187) och en väl genomförd intervju har möjlighet att bidra med data som möjligen är svårare att samla in med en annan insamlingsmetodik. Genom att nyttja semistrukturerade intervjuer har möjligheten funnits att i förhand ta fram essentiella frågor samt att det har även lämnat möjligheten att förändra intervjuns struktur vid genomförandet. Denna metod är lämplig då den information som eftersträvas oftast behöver inhämtas från den sakkunnige på den verksamhet som blivit kontaktad, samt att det skapar en möjlighet att få ta del av personliga åsikter av respondenten. (Oates, 2006, s. 188) Mängden data kan dock variera beroende på hur villig och kunnig respondenten är, samt ifall de frågor som ställs är felriktade är risken att de data som blir insamlad saknar relevans till de forskningsfrågor som ställs. Mängden data som uppstår av intervjuer är stor, vilket i sin tur leder till att analysen och transkriberingen kan bli tidskrävande. (Oates, 2006, s.198) Intervjuerna som genomförts har utförts över telefon istället för att utföra dem person till person. Nackdelen med att genomföra telefonintervjuer är att det blir svårare att ta del av helhetsintrycket som respondenten kan lämna ifrån sig från, till exempel ifall respondenten blir tydligen påverkad av en fråga och visar detta genom sitt kroppspråk så riskeras detta att missas (Oates, 2006, s.196). Dock har en av de två intervjuerna genomförts via ett onlineverktyg som tillåtit respondenten att delta via kamera. 2.3.2 Frågor till respondenter De frågor som ställdes till respondenten klassificerades efter tre kategorier. Bakgrundsinformations frågor, ställdes för att få en möjlighet att få information om respondenten och dennes arbetssituation. Detta är för att få en helhetsbild av den verksamhet som respondenten arbetar i. 10