Den offentliga förvaltningens digitala säkerhet utvecklas kontinuerligt, men hoten måste hanteras bättre

Resultaten från enkäten som genomfördes av Myndigheten för digitalisering och befolkningsdata visar att organisationerna inom den offentliga förvaltningen systematiskt har utvecklat informationssäkerheten, dataskyddet och beredskapen inför störningar under de senaste två åren. Utvecklingen har delvis påverkats av de krav som lagstiftningen ställer, bland annat ikraftträdandet av EU:s allmänna dataskyddsförordning (25.5.2018) och informationshanteringslagen (1.1.2020). Snabba förändringar i verksamhetsmiljön, såsom övergången till distansarbete på grund av coronapandemin samt den allt vanligare IT-brottsligheten och cyberspionaget, har också krävt aktiva reaktioner.

Myndigheten för digitalisering och befolkningsdata kartlade förvaltningens digitala säkerhet våren 2021 med Enkäten för organisationens digitala säkerhet, som besvarades av 128 aktörer inom den offentliga förvaltningen. De största svarsgrupperna var statsförvaltningen, kommunerna och samkommunerna, högskolorna samt aktörer inom social- och hälsovården som ägs av den offentliga förvaltningen.

Dataskyddet och datasäkerheten har utvecklats mest

Myndigheten för digitalisering och befolkningsdata genomförde senast en motsvarande enkät i början av 2019 och då var granskningsperioden 2018. Båda gångerna genomfördes enkäten så att respondentorganisationerna utvärderade sina prestationer i påståenden som är kopplade till den digitala säkerhetens olika delområden – ledning, riskhantering, verksamhetens kontinuitet och beredskap, informationssäkerhet och cybersäkerhet. Ju närmare värdet 1 resultatet ligger, desto bättre anser organisationerna att de har presterat.

När årets resultat jämförs med den tidigare enkäten har den största utvecklingen skett i fråga om dataskyddet. I fråga om detta har medeltalet för alla branscher stigit med 0,11 enheter (0,70 → 0,81) på två år. En betydande utveckling har också skett i informationssäkerheten (0,70 → 0,78) samt i verksamhetens kontinuitet och beredskap (0,62 → 0,68).

Störningar i ICT-tjänsterna är fortfarande de största utmaningarna

Utöver självutvärdering av den digitala säkerheten utredde enkäten hur vanligt det är med olika hotfulla situationer och hur riskerna realiseras i de svarande organisationerna. 33 procent av alla de organisationer som svarade på enkäten uppgav att de stött på minst en kritisk informationssäkerhetsavvikelse. 72 procent av respondenterna uppgav att de stött på avvikelser i informationssäkerheten överlag.

Den vanligaste olägenheten uppgavs vara en teknisk störning i organisationens kritiska tjänster som i viss mån störde organisationens verksamhet. Den näst vanligaste olägenheten uppgavs en motsvarande störning som avsevärt störde organisationens verksamhet. Den tredje vanligaste olägenheten var en personuppgiftsincident som riktades mot en tjänst som organisationen använder och som förutsatte en anmälan till tillsynsmyndigheten.

Beredskapen har förbättrats under coronaperioden, men även nya hot har uppstått

I svaren kan man se branschspecifika skillnader. Enligt enkäten verkar det som om aktörerna inom social- och hälsovården inom den offentliga förvaltningen i viss mån ligger före andra organisationer i fråga om förvaltningens digitala säkerhet. Detta fenomen observerades redan i den föregående enkäten som granskade situationen 2018.

Jämfört med enkätresultaten 2018 har den största positiva utvecklingen skett vid högskolorna. Där har verksamhetens kontinuitet och beredskap ökat med 0,23 enheter.

Som helhet kan man konstatera att coronapandemin klart har utvecklat beredskapen för olika störningssituationer, men att det också har framkommit helt nya utvecklingsobjekt.

”Den digitala säkerheten har utvecklats målmedvetet inom den offentliga förvaltningen. Det finns dock så många traditionella och nya hot att vi även i fortsättningen nog måste läsa tråkiga nyheter om störningar och lyckade cyberattacker ", sammanfattar Kimmo Rousku, ledande expert på digital säkerhet vid Myndigheten för digitalisering och befolkningsdata.

Utvecklingsåtgärderna för digital säkerhet följs snart upp på ett nytt sätt

Rapporten som sammanställts utifrån enkätresultaten listar 18 utvecklingsobjekt och presenterar utvecklingsåtgärder riktade till dessa. De tre viktigaste åtgärderna är en omfattande utveckling av riskhanteringen, en förbättring av ICT-tjänsternas feltolerans samt främjande av personalens kompetens i digital säkerhet.

Vid Myndigheten för digitalisering och befolkningsdata följer utvecklingsprojektet för digital säkerhet JUDO och den offentliga förvaltningens VAHTI-verksamhet för digital säkerhet upp och stöder genomförandet av de föreslagna utvecklingsåtgärderna.

I fortsättningen förs enkätresultaten och uppföljningen av dem in i en ny tjänst, med hjälp av vilken organisationerna inom den offentliga förvaltningen själva kan följa utvecklingen av sin egen digitala säkerhet och jämföra sina resultat med data från andra organisationer som svarar på enkäten. Samtidigt gör tjänsten det möjligt för Myndigheten för digitalisering och befolkningsdata att regelbundet rapportera om helhetsbilden av den digitala säkerheten inom den offentliga förvaltningen.

Länkar

Rapport: Organisaation Digiturvakysely – Raportti ja kehittämiskohteet (pdf), på finska

Video: Enkätens resultat granskades under Seminariet om digital säkerhet 31.8.2021, på finska. Se inspelningen.

Ytterligare information

Kimmo Rousku, ledande specialsakkunnig, Myndigheten för digitalisering och befolkningsdata, [email protected], tfn. 0295 535 120