Herr talman! Vi ska i dag tala om en tunn men skrämmande rapport som heter Informationssäkerhetsarbete på nio myndigheter - En andra granskning av informationssäkerhet i staten. Jag visar den nu för kammarens ledamöter. Den är processad i regering och utskott, och vi ska senare avgöra om den ska läggas till handlingarna.
Rapporten känns redan passé. Vi läser nästan varje dag i tidningarna om olika incidenter. Vi får rapporter från USA om att man har trängt sig in i Demokratiska partiets informationssystem, att man har laborerat med elverk i New England och att man har flyttat räkningar. Det pågår hela tiden någonting som vi borde skydda oss mot.
Det har funnits incidenter även i Sverige. Det har varit attacker mot mediehus, mot banker och mot enskilda. Det har också varit ett antal attacker som ingen har vetat om. Man har nämligen gått in i informationssystemen och inte berättat att man är där. Man har sedan gått ut och kanske också ändrat.
Rapporten kan sammanfattas i tre punkter. Riksrevisorerna menar att informationssäkerhetsarbetet är otillräckligt, på låg nivå och att inget har hänt.
Man behöver egentligen inte säga mer, för det är precis så som det är. Riksrevisionen pekar på att man har gått igenom de nio myndigheterna, djupgranskat tre och sedan dragit slutsatser om att informationssäkerhetsarbetet även i en mängd andra myndigheter och verksamheter i Sverige förmodligen helt enkelt är otillräckligt och på för låg nivå. Inget har hänt under de senaste åren.
Man kan då fråga sig: Vad är det för skyddsbehov vi pratar om? Det är mycket enkelt. Man kan använda tre kärnord även där. Skyddsbehovet innebär till att börja med att den information som lagras ska vara riktig och förvaras på rätt sätt. Ingen ska kunna ändra i den. Det andra är att den ska vara tillgänglig. Man får inte slå sönder systemet så att man inte kommer åt informationen. Den måste vara tillgänglig för dem som ska ha den. Det gäller också att upprätthålla de sekretessbestämmelser som finns. Det är inte meningen att vem som helst ska kunna komma in i stora informationssystem.
Men varför blir det då på det här konstiga viset? Jo, därför att ledningarna för verksamheterna är skäligen ointresserade av informationssäkerhetsarbete - för att inte tala om medarbetarna vid myndigheterna. De är ännu mer ointresserade, för de tycker nämligen att säkerhetsarbete stjäl tid och energi från deras viktiga kärnverksamhet som de egentligen är till för.
STYLEREF Kantrubrik \* MERGEFORMAT Riksrevisionens rapport om informa-tionssäkerhetsarbete på nio myndigheter
Säkerhetsansvariga personer på it-avdelningar och andra blir squeezade mellan ledningarnas ointresse och kanske också okunskap och alla tjänstemäns iver att utföra sin kärnverksamhet och inte ta på sig säkerhetsåtgärder som kan hindra dem i arbetet.
Herr talman! Jag har egen erfarenhet av detta. Jag har varit it-säkerhetschef och it-chef, och jag har varit chef för dessa chefer. Jag har varit utsatt för ledningens tryck på att jag inte skulle ställa till några problem i arbetet. Jag har också varit utsatt för medarbetarnas, det vill säga kollegornas, förakt för att jag har hållit på saker som hindrar dem från att syssla med viktigare uppgifter. Det här var på UD, och det var många år sedan, men det var precis så. Detta är alltså självupplevt, så jag förstår den här rapporten mycket väl.
Sedan finns det alltid en känsla av att ansvaret för informationssäkerhetsarbetet ligger någon annanstans. Det är väldigt svårt att få dem som arbetar med viktig information att förstå att de också har ansvar för att hantera informationen. De måste förstå att den måste skyddas. Men de tror att det finns några medarbetare någonstans som skyddar informationen, att det fungerar ungefär som att städningen och vaktmästeriet fungerar. Varför skulle då inte också informationssäkerhetsarbetet fungera?
Revisorerna kommer fram till att regeringen måste efterfråga de incidentrapporter som sedan drygt ett år tillbaka ska produceras från myndigheterna när det har hänt någonting. Men om regeringen inte efterfrågar dessa rapporter kommer ledningarna inte att tro att de är så viktiga, och då kommer man inte att ge det stöd till informationssäkerhetsarbetet som behövs.
Det är min uppmaning från talarstolen att regeringen rutinmässigt måste efterfråga rapporterna och inte använda dem som någon sorts nummerlek för att säga att det har varit så och så många incidenter. Man måste också försöka att sätta sig in i vad som gick fel. Vad handlade incidenten om?
Vi har ofta uppfattningen att det är någon skum, främmande makt som utsätter myndigheterna för attacker. Det kanske förekommer, men väldigt ofta kan det vara handhavandefel, kunskapsbrist, fel i materialet, fel på servern, felprogrammering och buggar. Det är mycket som kan ha hänt, och då gäller det att analysera detta i rapporten.
MSB ställer upp och gör ett mycket gott arbete, och det blir bättre och bättre. Men man kan inte begära av MSB att MSB också ska ge det operationella stödet och ta ett operativt ansvar för myndigheterna. Detta måste myndigheterna själva ta till sig, antingen genom att skaffa folk som kan det eller att inhandla konsulttjänster.
Det är några som har föreslagit att ett slags informationssäkerhetsmyndighet skulle skapas. Det är ett steg i fel riktning, för det innebär bara att man återigen tror att någon annan ska ta ansvaret. Vi måste sätta tryck på myndigheterna att själva ta det här ansvaret.
Från moderat håll har vi gått ännu lite längre. Det finns två reservationer, nr 1 och nr 5, till vilka jag naturligtvis yrkar bifall.
Vi har funderat rätt mycket på: Vad är den enskildes ansvar i det här sammanhanget? På andra samhällsområden har man som chaufför, hundägare, om man arbetar inom sjukvården eller i trafiken ett ansvar också som individ. Men på informationssäkerhetsområdet är det lite mer oklart vem som har ansvaret.
STYLEREF Kantrubrik \* MERGEFORMAT Riksrevisionens rapport om informa-tionssäkerhetsarbete på nio myndigheter
Mycket av säkerhetsarbetet skulle kunna göras om man hade ordentliga rutiner för backup och om man var säkerhetsövad. Man borde ha sårbarhetstestat it-systemen. Man bör bara använda godkänd programvara, så kallade vitlistade varor. Min erfarenhet är att man på många ställen tycker att man har ett slags rättighet att ta med egen programvara och använda den i systemet. Det är klart att det då är mycket som kan inträffa, och säkert har inträffat.
Man måste ha motåtgärdsträning, precis som vid en brand då alla genom brandövningar ska veta var brandsläckaren finns. Ser man att det är en incident på gång ska man som handläggare eller chef ha en aning om vad man ska göra.
Man måste intrångstesta systemen. Det görs väldigt sällan, men det är ganska intressant att göra det. Jag har själv gjort det i det egna systemet, och det visade sig att det var väldigt lätt att ta sig igenom brandväggen. Man måste också brandväggstesta. Det finns alltså väldigt mycket att göra. Man måste kanske begränsa antalet befogenheter som it-administratörer har.
Herr talman! Jag är helt övertygad om att riksdagen kommer att återkomma till detta i många omgångar tills man får en rimlig lagstiftning på det här området.
Avslutningsvis yrkar jag återigen bifall till reservationerna 1 och 5.
(Applåder)