Vil ha mer systematisk arbeid med informasjonssikkerhet i staten
Historisk arkiv
Publisert under: Regjeringen Solberg
Utgiver: Kommunal- og moderniseringsdepartementet
Pressemelding | Dato: 22.06.2018
– Regjeringen har ambisiøse mål for modernisering og effektivisering i offentlig sektor. For å lykkes, er det viktig at informasjonssikkerheten ivaretas på en god måte. Vi har derfor bestilt en bred gjennomgang av arbeidet med informasjonssikkerhet i statsforvaltningen. Evalueringen viser at dette arbeidet må styrkes, sier kommunal- og moderniseringsminister Monica Mæland.
Direktoratet for forvaltning og IKT (Difi) har, på oppdrag fra Kommunal- og moderniseringsdepartementet, kartlagt hvor systematisk virksomhetene arbeider med informasjonssikkerheten i egen virksomhet. Dette er ikke en kartlegging av selve sikkerhetstilstanden, men rapporten belyser hvordan virksomhetene arbeider med informasjonssikkerhet.
I rapporten går det fram at:
- En av tre statlige virksomheter ikke har tilstrekkelig styring og kontroll på informasjonssikkerhet. Det er også stor variasjon på innretning og omfang på styring og kontroll av informasjonssikkerheten i virksomhetene.
- Departementene etterspør i liten grad status på arbeidet med informasjonssikkerhet hos underliggende virksomheter.
- Virksomhetene har liten kjennskap til regelverket som stiller krav til informasjonssikkerhet. Dette gjelder spesielt økonomiregelverket i staten og paragraf 15 i eforvaltningsforskriften.
- Virksomhetene arbeider med kompetanseheving på informasjonssikkerhet, men arbeidet er i mange tilfeller lite målrettet og ikke tilpasset virksomhetenes egenart og behov.
- Kun 40 prosent av virksomhetene har kartlagt, eller målt, intern sikkerhetskultur.
- Under halvparten av virksomhetene gjennomfører årlige øvelser. 27 prosent av virksomhetene mangler en IKT-beredskapsplan godkjent av virksomhetsleder. 87 prosent av virksomhetene har likevel håndtert hendelser basert på tydelige definerte roller, ansvar og prosedyrer.
- Mange virksomheter i statsforvaltningen har utfordringer med å etablere, og følge opp sikkerhetstiltak.
– Dette er ikke godt nok. Arbeidet med styring og kontroll av informasjonssikkerhet i statlige virksomheter må styrkes, slik at virksomhetene blir bedre rustet til å forebygge og håndtere endringer i trusselbildet, sier Mæland.
Hun vil nå følge opp Difis anbefalinger, og blant annet be departementene stille tydeligere krav til virksomhetenes rapportering av status på IT-sikkerhetsarbeidet. Det må også øves mer på tvers av virksomheter.
–Samfunnet skal ha tillit til at de offentlige digitale tjenestene, og informasjon om den enkelte, blir håndtert på en sikker og trygg måte. Jeg vil derfor be departementene stille tydelige krav til sine virksomheter om å prioritere og jobbe mer systematisk med informasjonssikkerhet, sier Mæland.
Kommunal- og moderniseringsdepartementets pressetelefon: 22 24 25 00.