Du betalar säker skatt

Agenda

• Presentation av RSV• Varför har frågan kommit upp?• Vad är LIS• Genomgång av RSV LIS och införandet• Vad innebär RSV LIS för medarbetarna?• Framgångsfaktorer

Riksskatteverket

• Beskattning• Folkbokföring• Fastighetstaxering• Indrivning• Bouppteckningar och arvsskatt

Den bästa förvaltningen i medborgarnas tjänst !

• 21 myndigheter• Ca. 200 lokalkontor• Ca. 13 000 anställda• 1 100 000 000 000 kronor i omsättning• 105 koncerngemensamma IT-system varav 21

samhällsviktiga

RSV är en stor organisation

Vi har allmänhetens uppmärksamhet riktad mot oss!

Hotbild

• Vi driver en omfattande verksamhet med stor exponering

• Tänkbara aktörer med varierande uthållighet kan vilja skada vår verksamhet

• Vårt skydd skall vara uthålligt och med hög kvalitet, externt - internt

Varför har frågan kommit upp ?

• De beslut som vi fattar måste bygga på korrekt och aktuell information.

• Vi har stora krav på rättssäkerhet i vårt beslutsfattande.

• Vi är beroende av omvärldens förtroende.

Nya utmaningar

• Spridnings- och hämtningssystem• Digitala certifikat• Deklaration över Internet

Brister

• Styrande dokument• Dokumentation över rutiner och system• Rutiner för uppföljning och utvärdering

SS ISO/IEC 17799

Kap. 3Kap. 3

Kap. 4Kap. 4

Kap. 5Kap. 5

Kap. 6Kap. 6

Kap. 7Kap. 7

Kap. 8Kap. 8

Kap. 9Kap. 9

Kap. 10Kap. 10

Kap. 11Kap. 11

Kap. 12Kap. 12

Säkerhetspolicy

Säkerhetsorganisation

Klassificering och kontroll av tillgångarPersonal och säkerhet

Fysisk och miljörelaterad säkerhet

Styrning av åtkomst

Systemutveckling och -underhåll

Avbrottsplanering

Efterlevnad

Styrning av kommunikation och drift

Säkerhetspolicy

Information som skapas, inhämtas och förvaltas inom

RSV-koncernen är en strategiskt viktig resurs. Med stöd

av lagar och förordningar ska särskilda åtgärder vidtas för

att säkerställa att informationen:

• är korrekt och fullständig

• finns tillgänglig vid behov

• är skyddad mot obehörig åtkomst

• kan spåras och återskapas.

Säkerhetsorganisation

• Chefer och systemägare ansvarar för att säkerheten inom det egna ansvarsområdet upprätthålls och att medarbetare informeras och utbildas.

• Varje medarbetare är medveten om och tar sitt ansvar.

• Säkerhetschefen ansvarar för att stödja och följa säkerhetsarbetet inom myndigheten.

Klassificering och kontroll av tillgångar

• Syftet med informationsklassificering är att användaren ska kunna identifiera och tillämpa lagstiftningens krav på hantering och utlämnande av information på ett enkelt och entydigt sätt.

• Informationsklassificering ska utföras på ett sådant sätt att medarbetare kan handha information på ett enkelt, enhetligt och rättssäkert sätt.

• Som stöd för detta arbete finns detaljerade rutinbeskrivningar.

Personal och säkerhet• Ansökningshandlingar och persondata ska kontrolleras så

att de uppfyller en godtagbar kvalitet.

• Personal som tar del av sådan information som omfattas av Säkerhetsskyddslagen ska genomgå säkerhetsprövning.

• All personal ska genomgå introduktionsutbildning i informationssäkerhetsfrågor och fortlöpande informeras

•  All personal ska informeras om hur obehörig avlyssning kan undvikas på t.ex. allmänna platser.

•  När programfel eller andra incidenter inträffar, ska dessa rapporteras för analys och eventuell åtgärd.

Fysisk och miljörelaterad säkerhet

Skalskydd• Samlingsbegrepp för en eller flera samverkande fysiska

skyddskomponenter, t.ex. lås-, larm-, inbrottsskyddssystem.

Tillträdesbegränsning• System för begränsning och kontroll av tillträde till utrymmen

innanför skalskyddet.

Säkrade utrymmen • Avser de utrymmen inom ett avgränsat skalskydd som kräver

ett förstärkt fysiskt skydd, t.ex. server-, växel- och korskopplingsutrymmen, datorhallar, arkivutrymmen.

Behörighet• Avser person som medgivits åtkomst till information och/eller

lokaler vilka står under myndighetens kontroll.

Styrning av kommunikation och drift

• Ändringar i driftsmiljö får endast ske genom beställning i beställningsrutinen och under kontroll av löpande drift.

• I driftmiljön ska det finnas väl dokumenterade driftrutiner och en ansvarsfördelning för samtliga arbetsuppgifter

• Alla IT-system samt nätverk ska övervakas på erfordrad nivå, för att tillhandahålla en säker och stabil drift.

• Dokumentation över nätverket med en förteckning över befintlig utrustning ska finnas.

Styrning av åtkomst• Användare ska endast ha de behörigheter som krävs för

att denne ska kunna utföra sitt arbete.

• Beslut om tilldelning av behörigheter fattas av ansvarig chef som också ska informera sin personal om vilka regler och vilket ansvar som följer med respektive behörighet.

• Den som tilldelats behörighet ska kvittera alternativt bekräfta den genom godkänd digital signatur.

• Alla användare ska identifiera sig mot RSV-koncernens IT-system med egen unik användaridentitet som verifieras med unik PIN-kod.

Systemutveckling och -underhåll

• I kravspecifikationen på nya system ska kraven på styrmedel och säkerhetsåtgärder specificeras.

• Kravspecifikationen ska omfatta de krav som ställs med avseende på:– Sekretess – Tillgänglighet – Tillförlitlighet eller integritet– Spårbarhet

• Provkörning av system ska göras före godkännande som ska ske enligt fastställd rutin.

AvbrottsplaneringEn kontinuitetsplan ska säkerställa fortsatt verksamhet vid störning eller avbrott i den ordinarie datadriften och omfattar två delar:

 a) Avbrottsplan, som ingår som en del av den ordinarie verksamheten, ska omfatta de reserv- och återstartsrutiner för datadriften som vidtas inom ramen för ordinarie drift. På så sätt kan datasystemet återstartas inom fastställd tid.

 b) Katastrofplan omfattar en organisation inom RSV som ska träda i funktion när RSV:s GD eller systemägaren av den tekniska infrastrukturen beslutar att en katastrofsituation har inträffat.

Efterlevnad• Myndighetschef ansvarar för att alla krav på god

informationssäkerhet tillgodoses inom myndigheten och att detta verifieras genom regelbundna och dokumenterade granskningar.

• Systemägare har motsvarande krav beträffande sina informationssystem.

• Säkerhetsenheten på RSV tillhandahåller erforderliga hjälpmedel och verktyg för uppföljning.

Hur har vi gått tillväga?

Nuläge Krav Anpassning

Införande Uppföljning

Förankring !!!

LIS FA22 Interna/externa krav

Nuläge Krav Förstudie-/analysfas

• Nulägesinventering• Analys/riskbedömning• Bedömning av tillämplighet• Kartläggning av teknisk infrastruktur

• Plattformar• BKS• Internetkopplingar• Externa kopplingar

• Kostnads-/nyttokalkylering• Korsreferenslista• Beslutsunderlag

Styrgrupp

Referensgrupp

PLProjektgrupp

BADMDOK-IT

Kvalitet

Införande UtbildningSystemutveckling/underhåll

Anpassning

Projektarbetet

RSV LIS

LISRamverk med fokus på myndighetschefer

och säkerhetschefer

VerksamhetsskyddEn handledning för medarbetare inom RSV

DOK-ITRutiner och regler för

medarbetare inom RSV IT

Här ingår de riktlinjer och anvisningar som

är styrande

för RSV-koncernens LIS.

Här ingår regler, rutiner och hjälpmedel för

informationssäkerhet men också för

krishantering och beredskap etc.

Utifrån LIS och verksamhetens processer

finns här regler och rutiner för den tekniska

infrastrukturen.

Verktyg och hjälpmedel för uppföljning,avtal, riskhantering etc

Personalhandbok, beredskapsplaner etc

Anpassning

InförandeInförande

- Genomförande av utbildningar- Fortsättning BADM- Uttalande om tillämplighet- Ägande/förvaltning

Utbildning

Kravuppfyllelse på godinformationssäkerhet

handledn.verksam-hetsskydd

säk.-handbok IT

rutin-beskrivn.

Krav på godinformationssäkerhet

Införande

RSVLIS

Uppföljning

Uppföljning

•M- Målgruppsanpassade checklistor•M- Metod för riskanalys•D- Del av den normala interna kontrollen•T- Teknisk efterlevnad•E- Efterlevnad i utvecklingsarbetet

Vad innebär LIS för det dagliga arbetet?

•T- Trygghet för medarbetarna•F- Förtroende från medborgare och partners•H- Handledning utifrån ett användarperspektiv•E- Ett RSV-anpassat LIS!!•T- Tillgång till mallar, checklistor och hjälpmedel vid behov•H- Hjälp vid kravställning för utvecklare och systemägare

• Tydliga krav på chefer och verksamhetsansvariga

• Kunskap om säkerhet kopplat till den egna verksamheten

• Gemensamt synsätt på säkerhet inom hela koncernen

• Gemensamma processer för riskhantering, informationsklassificering och kontinuitetsplanering

• Klar överblick över informationssäkerheten

Vad innebär LIS för det dagliga arbetet, forts?

RSV EK/Säk Version 1

Framgångsfaktorer

• Ledningens stöd och engagemang

• Anpassning till språkbruk och kultur

• Inflytande av och förankring hos medarbetarna

• Kompetens i projektet

• Pilotverksamheterna

Framgångsfaktorer, forts

• UUtgå ifrån verksamhetens krav, behov och ordinarie arbetssätt

• EEtt processorienterat angreppssätt är att föredra då det är möjligt

• LLåt inte standarden styra för mycket• fEffektiv marknadsföring och förankring är en

förutsättning• BBättre att börja på en lägre nivå och komma igång• EI en stor och utbredd organisation måste en

gemensam grundnivå identifieras