Schrödingers information

På trettiotalet presenterade Erwin Schrödinger ett tankeexperiment som illustrerar en tänkt paradox där väldigt små fysikaliska partiklar kan befinna sig i ett så kallat överlagrat tillstånd. Konsekvensen av paradoxen är att en katt i ett slutet rum tillsammans med en instabil atomkärna skulle kunna uppfattas som samtidigt död och levande.

Jag tänker inte fördjupa mig ytterligare i kvantfysiken. Ur mitt perspektiv, som är att kontroll över informationen är centralpunkten både för informationssäkerhet och informationsförvaltning inklusive arkiv, finns det allt fler tillfällen då det är rimligt att använda tankeexperimentet som metafor och prata om Schrödingers information. Det är innebär information som både finns och inte finns på samma gång, något som är negativt för den som vill ha kontroll över sin information. Låt mig ta några exempel.

Det första exemplet är kanske det mest uppenbara och gäller formatet. Trots att jag är mycket pro-digitalisering så får ändå pappret och dess föregångare pergament m.m. sägas ha den stora fördelen att informationen som haft papper som bärare har varit möjlig att ta del av över seklerna. I och med att bärarna blivit digitala sluts cirkeln på sätt och vis då information precis som i gamla glömda teckenformer blir omöjlig att ta del av även om den faktiskt finns. Jag tänker då på den information som finns lagrat på medier och i format som inte längre går att läsa. Diskar som står och dammar, format som ligger som bilagor till mail, gamla applikationer som inte migrerats med till nutiden– oräkneliga exempel kan göras. Trots att de inte kan läsas ligger de kvar för ingen riktigt förmår att ta ställning och hålla i yxan.

Oförmågan att ta tag i yxan och faktiskt gallra är mitt andra exempel. Gallring har kallats arkivariens svåraste uppgift men jag ska inte här gå in på den i och för sig mycket väsentliga frågan om vad som ska gallras utan själva gallringsrutinen. Förutsättningen i myndigheter är att allmänna handlingar (vilket generellt är merparten av den information som myndigheten hanterar) ska bevaras. Undantaget är när ett gallringsbeslut fattats som kan göras av ett antal skäl vilket beskrivs i en av Riksarkivets få vägledande skrifter:

Vanligen syftar gallring till att myndighetens arkiv inte skall tyngas av allmänna handlingar som saknar påtagligt informationsvärde, allmänna handlingar som motsvaras av annan dokumentation i det egna arkivet eller andras arkiv, eller allmänna handlingar som har ett informationsvärde som är starkt begränsat i tiden. I fråga om personuppgifter kan gallring ibland syfta till att skydda enskildas personliga integritet. Rent ekonomiska bedömningar kan också ges mycket stor vikt, t ex när man har serier med få intressanta uppgifter i relation till omfånget.

Det som är själva poängen med gallringsbeslutet är att handlingarna sedan verkligen också förstörs. Ett gallringsbeslut är inte ett förslag utan handlingarna ska faktiskt som Riksarkivet skriver

 ske utan dröjsmål när gallringsfristen har löpt ut eller gallringstidpunkten har uppnåtts.

Detta efterlevs inte alltid. Ibland kan gallringsbeslut vara formulerade som att handlingar ”får” gallras vid en viss tidpunkt vilket kan ge intryck av att alternativet att handlingarna bevaras också finns. Inte sällan har jag i kommuner, landstings och myndigheters bestånd påträffat information som borde varit gallrad och därmed, sett till de fattade besluten, inte finns. Detta skapar naturligtvis en stor potentiell brist på rättssäkerhet för den enskilde där myndighetsbeslut säger att exempelvis en information rörande den enskilde inte finns men det sedan visar sig att den ändå gör det. Det rimmar också mycket illa med dataskyddsförordningen och ger dessutom ett intryck av att kommunen/myndigheten har en dålig ordning där man inte efterlever fattade beslut. Och hur skyddas en information som både finns och inte finns?

Ytterligare ett exempel som jag stött på är hanteringen av loggar. Loggar bör av integritetsskäl i de flesta fall gallras efter kort tid, default 3 månader om inte något annat framkommit vid informationsklassning, och då verkligen tas bort. I många verksamheter separeras dock inte loggarna från verksamhetsinformationen utan följer med i den allmänna back upen vilket gör att de ligger kvar år efter år. Integritetskänslig information från tjänster och passersystem som följer den anställdes alla aktiviteter på jobbet kan finnas kvar trots att många arbetsgivare har loggpolicys som säger något helt annat. Och för en myndighet blir det naturligtvis prekärt om loggarna begärs ut som allmän handling och man då måste ta ställning till om de finns eller inte finns trots att de rent faktiskt finns.

Det mest övergripande exemplet som jag redan tidigare varit inne på i en blogg är all den information som finns i en myndighet och som bedömts inte vara allmänna handlingar. Denna andel av den totala informationshanteringen ser jag som i stark tillväxt på gemensamma file servers, i olika egeninitierade molntjänst typ Dropbox och alla möjliga andra former. Informationen fångas inte upp i dokumenthanteringsplaner eller andra verktyg men finns likaväl.

Jag har inga patentlösningar på hur de här olika situationerna ska hanteras. Min spaning är helt enkelt bara att det är viktigt att vi inte har information som liknar katten i Schrödingers tankeexperiment.

Den viktigaste förebyggande åtgärden saknas

Ingen kan idag förneka vikten av att förbättra informationssäkerheten i de samhällsviktiga verksamheterna. Ett antal utredningar har under de senaste tre åren utmynnat i olika förslag på hur detta ska ske. Tyvärr har fokus legat allt för mycket på reaktiva åtgärder som incidentrapportering och allt för litet på det förebyggande arbetet, detta trots att det ofta påpekats att de stora säkerhetsvinsterna kan göras genom olika typer av incidenter och säkerhetsproblem motverkas innan de uppstår.

För mig framstår den i särklass viktigaste förebyggande åtgärden att tillräcklig kompetens finns för att hantera informationssäkerhetsrelaterade frågor på olika nivåer. För att uppnå detta krävs både episteme, fronesis och techne. Det vill säga det måste finnas en vetenskaplig grund för att de åtgärder som vidtas är effektiva i förhållande till de problem de avses att lösa, att det måste finnas en praktisk kunskap hur fungerande informationssäkerhetsarbete ska bedrivas och det måste finnas en djupare förståelse att nya situationer kan hanteras. Jag skulle vilja hävda att detta idag i allt för hög grad saknas.

Konkret kommer ett stort antal organisationers ledningar behöver ett kompetent stöd för att styra sitt informationssäkerhetsarbete så att det motsvarar de risker som verksamheten är utsatt för och för att kunna tillvarata alla nya möjligheter som den pågående digitaliseringen innebär. Jag pratar alltså inte om it-säkerhet som är inriktad på tekniska åtgärder utan informationssäkerhet som handlar om verksamhetsstyrning och information.  Utöver befintliga krav kommer även nya från bland annat dataskyddsförordningen, NIS, civilt försvar och en ny säkerhetsskyddslag. Det gäller c.a. 350 myndigheter, 290 kommuner, ett tjugotal landsting/regioner och ett okänt antal privata aktörer som medverkar till att upprätthålla samhällsviktiga verksamhet. En av de vanligaste frågorna jag får när jag besöker kommuner, regioner och myndigheter är vilka utbildningsmöjligheter som finns. Hos de som får allt tyngre ansvar för det faktiska informationssäkerhetsarbetet finns såvitt jag kan bedöma en allt större medvetenhet om kompetensbehovet. Till viss del fanns denna insikt även i  den strategi för samhällets informationssäkerhet som MSB tog fram tillsammans med andra myndigheter. Tyvärr har inte insikten utmynnat i några konkreta satsningar för att stödja utvecklandet av professionsinriktade utbildningar.

Även om behovet av kompetens är känt anvisas få vägar för kompetensförsörjningen. Vare sig i den nationella säkerhetsstrategin eller i digitaliseringsstrategin, båda presenterade av regeringen 2017, nämns något om kompetensförsörjning inom informationssäkerhetsområdet.   Utredningar som SOU 2015:23 Informations- och cybersäkerhet i Sverige, SOU 2017:36 Informationssäkerhet för samhällsviktiga och digitala tjänster, SOU 2017:114 reboot – omstart för den digitala förvaltningen liksom lagrådsremissen om ny säkerhetsskyddslag är lika renons på förslag annat än de som gäller utpekade tillsynsmyndigheter. Den nationella strategin för informations- och cyberssäkerhet (Skr. 2016/17:213) skulle kunna inge ett visst hopp eftersom den faktiskt innehåller ett avsnitt som heter Öka kunskapen och främja kompetensutvecklingen. Hoppet om att finna ett mål att tillgodose behovet av professionell kompetens generellt avtar dock snabbt då det visar sig att det som avses är att informera organisationer om sårbarheter och behovet av säkerhetsåtgärder samt att höja den enskilda användarens kunskap.  Samtliga strategier och utredningar tycks dock förutsätta att den kompetens som behövs kommer att finnas utan vidare styrning.

Jag delar inte denna tilltro till den osynliga handen. Istället ser jag att vi står inför ett mycket stort och komplicerat kompetensförsörjningsbehov. Bara det ett nyrekryteringsbehov av något hundratal informationssäkerhetsspecialister årligen till kommuner och landsting/regioner som kanske har samhällets mest komplexa informationssäkerhetsbehov måste uppmärksammas. Många av oss som idag är verksamma inom informationssäkerhetsområdet saknar formell utbildning för våra jobb eftersom utbildningar helt enkelt inte funnits i någon högre grad (jag jämställer inte olika certifieringar med högskoleutbildning även om de säkert är bra på sitt sätt). Därav ett stort fortbildningsbehov. De kurser på högskolenivå som erbjuds idag via en sökning på antagning.se för hösten 2018 är antingen korta kurser eller har en renodlad teknisk inriktning. Undantagen är masterutbildningar i Örebro som har ett handfull platser samt i Luleå där ett organisatoriskt perspektiv tillförs en huvudsak it-inriktad utbildning. Detta räcker naturligtvis inte långt.

Mitt förslag är därför att en utredning tillsätts som tillåts koncentrera sig på hur behovet av kunskap och kompetens inom informationssäkerhetsområdet ska tillgodoses under de närmaste åren. Utgångspunkten är att staten måste ta ett betydligt större ansvar för kunskapsförsörjning på en vetenskaplig nivå och för att kunskapen omsätts till kompetenshöjande åtgärder för prioriterade målgrupper i samhället. Målen bör vara att det gemensamma utbildningsplaner för en treårig högskoleutbildning som informationssäkerhetsspecialist med inriktning på organisation och information, att det utbildas 50 informationssäkerhetsspecialister per år samt att varje kommun har tillgång till minimum en halvtids informationssäkerhetsspecialist. Inom detta fält kan även utbildningar av typen ”informationssäkerhetsspecialist kommunal verksamhet” och ”informationssäkerhetsspecialist hälso- och sjukvård” kunna finnas. Även fortbildningar för redan yrkesverksamma bör ingå i ett kunskapslyft för informationssäkerhetsområdet. Utan denna typ av insats har jag mycket svårt att se hur alla andra mål för att höja samhällets informationssäkerhet ska kunna realiseras.

 

Dystopihyllan eller tillit och tyranni

En mig närstående berättade att biblioteket där hen jobbar har en dystopihylla på barn- och ungdomsavdelningen. Så populär är den dystopiska genren för barn att den kräver en egen hylla. Jämfört med den yviga diskussionen om tysthetsnormen på bibliotek känns det här som en viktigare fråga för mig: varför har dystopin blivit ett så dominerande narrativ, så dominerande att även barn måste få en rejäl dos av dyster framtid?

Det är alltid svårt att bedöma sin nutid men detta är bara ett tecken på att vi för närvarande lever i en tid av ett ökande materiellt välstånd, längre livslängd, ett minskat terrorhot (i alla fall i Europa) och, sett i ett längre perspektiv, färre konflikter men med en känsla av att vi vandrar på avgrundens rand. Egendomligt nog är oron i mindre grad riktad mot reella hot som klimatsituationen. Undersökningar liknande den här ger en ganska entydig bild av den bristande tilltron till framtiden bland unga.

Flera av senare tids mest populära serier som The handmaids tale (som bygger på min gamla favorit Atwoods bok) är också dystopier. Inte bara barnen utan även vuxna antingen får sin redan dystra världsbild bekräftad eller influeras till en sådan via masskulturen. Den dystopiska världsbilden fördystrar inte bara den enskilda människans liv utan avspeglar ett samhälle av rädda människor. Att rädda människor är mer lättstyrda och mer beredda att underordna sig starka ledare som säger sig kunna erbjuda skydd är väl utforskat, bland annat av Zygmunt Bauman i verk som den Flytande rädslan.

Det förenande kännetecknet för dystopierna är ett auktoritärt styre vilket känns aktuellt även utanför fiktionens värld. Kanske kan den skräck vi känner för de fiktiva tyrannierna i allt från Harry Potter till vuxenlitteratur omvandlas till en kraft för att förhindra auktoritära tendenser i verkligheten.  Efter att ha läst Timothy Snyders On tyranny, en kort bestseller med hög densitet, funderar jag över om dystopierna på ett olyckligt sätt medverkar till att vi accepterar auktoritära tendenser som oundvikliga. De auktoritära tendensernas återkomst riskerar att urholka demokratin och på sikt leda till tyranni. On tyranny beskriver faktorer som historiskt sett har berett vägen för tyranni och vad en ansvarsfull individ kan göra för att motverka att dessa faktorer får genomslagskraft. Exemplen är hämtade dels från nazismens genombrott i Tyskland, dels det sovjetiska tyranniet. On tyranny ger uppmaningar som att slå vakt om språket, om sanningen, om institutionerna, om integriteten, om yrkesetik och om att våga stå för en egen åsikt. Börjar vi ge vika och kompromissa eller, ännu värre, agera som en del i den kraft som vill underminera demokrati, öppenhet och integritet så kan en snabb förflyttning ske till ett auktoritärt styrelseskick. Exempel på rörelser i den riktningen finns i flera europeiska länder idag och det finns ingen anledning att tro att Sverige skulle vara immunt. Det kan förtjäna att understrykas att förflyttningen mot auktoritära styren i dagens Europa i huvudsak varit interna angelägenheter och jag tänkte därför i detta sammanhang inte fokusera på vår stora stygga granne i öst utan på vad vi kan göra själva.

En möjlig slutsats utifrån den historiska erfarenheten är att ett samhälle som genomsyras av tillit är det som har bäst motståndskraft mot auktoritära styren.  Vi bör alltså inte hålla ögonen öppna enbart för de auktoritära tendenserna utan även för förhållanden i samhället som antingen skapar eller eroderar tillit. Den tillitsdelegation som Ardalan Shekarabi tillsatt är sannolikt ett positivt steg i rätt riktning men otillräckligt eftersom målet för delegationens arbete är att ”styrningen av den offentliga förvaltningen i högre utsträckning ska baseras på tillit”. Det handlar i huvudsak om saker som att föreslå nya styrmodeller i den offentliga förvaltningen som kan ersätta New public management-modeller som visat sig tämligen destruktiva, d.v.s. tillit i förhållandet mellan regeringen och myndigheterna istället för detaljerade och mätbara kontrollprogram. Mycket bra självklart men som sagt otillräckligt för att skapa tillit hos innevånarna i förhållande till staten eller samhället i ett vidare perspektiv.Ändå ska inte verkligen inte myndigheters roll som samhällsbärande institutioner underskattas. Här finns ett samspel mellan att myndigheterna måste göra sitt yttersta för att få förtroende men också att medborgarna, media och debattörer accepterar ett ansvar för myndigheters och andra institutioners möjlighet att fungera.  En uppfordrande maning från Snyder som känns  omodern i dagens skräniga politiska klimat är att vi måste försvara våra institutioner:

It is the institutions that helps us to preserve decency. They need our help as well. Do not speak of ”our institutions” unless you make them yours by acting on their behalf. Institutions do not protect themselves. They fall one after the orher unless each is defended from the beginning. So choose an institution you care about – a court, a newspaper, a law, a labour union – and take its side.

Det här är naturligtvis ett något obekvämt perspektiv, vana som vi är att få gnälla på allt. Jag är dock beredd att köpa Snyders resonemang och ska själv försöka komma bort från slentriangnällandet och bli mer konstruktiv. Min övertygelse om att detta är viktigt stärktes då jag häromdagen läste en terrorismforskare hundvissla om att ”Sverige” accepterar att kriminella spränger polisbilar. Med Snyders text färsk i minnet gjorde jag en ansträngning för att se något som helst positivt i att hen utnyttjar sin stora plattform för att göra den här typen av utspel som knappast har med verkligheten att göra. Jag kan inte se någon sådan positiv effekt – bara att tilliten i samhället minskar. Det måste dock poängteras att försvara institutioner som sådana inte innebär att de inte får kritiseras. Tvärtom måste ett ständigt förbättringsarbete pågå men det måste ske med respekt för institutionerna som just institutioner.

Om vi kan vara överens om premissen att tillit är en motkraft mot auktoritära synsätt så vill jag nu gå ett steg längre och säga att vi som arbetar med frågor inom informationshantering, säkerhet och integritet har en möjlighet att i någon liten mån påverka en förflyttning i rätt riktning. Det kräver dock kulturförskjutning inom kåren mot ett arbete tydligare grundat i värderingar och även en uppgörelse med den anti-intellektuella och delvis auktoritära hållning som alltför ofta präglar synsätt och arbetsformer. Vikten av att förankra säkerhetsåtgärder i värderingar innebär en förståelse av att ”säkerhet” inte har ett existensberättigande i sig själv utan måste vara kopplat till att utveckla och skydda värden i organisationen, och på samhällsnivå; värden för samhället. De materiella värdena är enkla att identifiera men i förhållandet till tillit så är det, som jag uppfattar det, framför allt öppenhet, korrekthet och respekt för den enskildes integritet. Att detta inte faller sig alldeles naturligt för alla som jobbar med säkerhet förstår jag utifrån att ha blivit kallad både integritetsextremist och öppenhetsfundamentalist (med viss glimt i ögat) av kollegor. Och att göra sig fri från det anti-intellektuella handlar väsentligen om att erkänna att informationshantering och säkerhet befinner sig i ett territorium av ständiga dilemman där förmågan till relevanta problemformuleringar är helt central för att vara en positiv kraft. I detta ligger naturligtvis även förmågan att tänka och att kunna ta till sig ny kunskap samt att inse att det inte finns absoluta sanningar. Även här föreställer jag mig en ganska mödosam process för att utveckla kåren mot en mer ändamålsenlig kultur.

Låt mig ta några exempel på frågor där säkerhetsarbete kan stärka eller stjälpa tilliten. Den mest näraliggande proberstenen är dataskyddsförordningen som träder i kraft i maj och vars syfte är stärka den personliga integriteten (och den gemensamma europeiska marknaden). Vi är väl ett antal som både arbetat med informationssäkerhet och integritetsfrågor, t.ex. som PUO, men min personliga erfarenhet är att integritet försätter många säkerhetsmänniskor i ett ambivalent tillstånd. Å ena sidan finns det redan idag lagstiftning som ska skydda integriteten och som förutsätter att informationssäkerheten medverkar till detta, å andra sidan är åtgärder som olika typer övervakning centrala i säkerhetsarbetet. Integritet och övervakning går inte att förena utan en djupare analys där det måste finnas en beredskap för att den övervakning som skulle vara eftersträvansvärd ur ett rent säkerhetsperspektiv inte går att införa på grund av den inskränker den personliga integriteten. Den lagstiftning som redan finns angående integritetsskydd efterlevs i många fall inte. Jag tror inte heller att lagstiftning är tillräckligt utan att relationen mellan värderingar och lagstiftning är mer komplex än vad som framskymtar i dessa mycket seniora jurister debattartikel . Värdering och lagstiftning är helt enkelt inte synonymt (för att ta det mest slitna exemplet otrohet som inte är förbjudet men som det finns en stark värdering kring). För att kunna hantera det återkommande dilemmat mellan integritet (som lagstiftningen kräver) och övervakning måste man ha stöd i värderingar, att verkligen bottna i att integritet är ett viktigt värde och själv aktivt verka för att förbättra den. Lyckas man med det bidrar man till tilliten inte bara genom att slå vakt om integriteten utan även genom att på ett seriöst och öppet sätt visa att världen inte är svart-vitt utan kräver avvägningar och kompromisser.

Integritet har en tendens att frammana svart-vita resonemang och dessutom märkliga motsatsförhållanden som leder tanken fel. Jag har tidigare skrivit om den falska dikotomi (ett argumentationsfel där det förutsätts att det bara finns två alternativ, men där det egentligen skulle kunna vara så att båda dessa alternativ är falska eller att dessa inte behöver utesluta varandra) som använts när det gäller integriteten i sjukvården. Där har nu under 25 år patientsäkerhet ställts mot integritet trots att det är fullt möjligt att uppnå både och. Denna falska motsättning har upprätthållits av sjukvårdens makthavare på olika nivåer och av programvaruleverantörer och är märkligt seglivad och reproduceras i alla sammanhang rörande digitalisering och e-hälsa, explicit och implicit. Ett nytt exempel på detta är den rapport som Myndigheten för vård- och omsorgsanalys publicerade i december . Rapportens syfte är att beskriva Befolkningens inställning till nytta och risker med digitala hälsouppgifter till vilket man haft stöd i enkätundersökning. Trots den goda intentionen att ta reda på befolkningens inställning till tillgången till vårduppgifter menar jag att man hamnar i ett etiskt moras när man läser enkätens beskrivning av verkligheten och de frågor som respondenterna förväntas besvara. Ett exempel på bakgrund:

Sjukvårdspersonal har inte alltid tillgång till dina journaler som förts på andra vårdenheter. Till exempel kan det vara så att läkaren på din vårdcentral inte kan se journalen från specialistläkare som du träffat på sjukhus. Nu tas initiativ för att se till att olika vårdenheter ska kunna se varandras journaler, så att den vårdpersonal du träffar har tillgång till viktig information om dig. Det är bara personal som deltar i vården av dig eller som på andra sätt behöver uppgifterna för sitt arbete som har rätt att läsa din journal. Men detta kan ändå medföra en ökad risk att personal som inte har rätt till det läser dina uppgifter.

Redan beskrivningen sätts förutsättningen att patienten måste gå med på en ökad risk för obehörig åtkomst för att få den självklara nyttan av att behöriga vårdgivare ska få rätt underlag för sin behandling. Samtidigt beskrivs den obehöriga åtkomsten som ett undantag

Andra studier och källor pekar emellertid på att hanteringen av digitala hälsouppgifter inte alltid lever upp till dessa förväntningar på säker hantering.

trots att det är väl känt inte minst genom Datainspektionens försorg att personal som inte alls behöver det har tillgång till känslig information i sjukvården är regel idag, inte ett undantag. När respondenten får frågor som om Vad är din uppfattning om att olika vårdenheter får tillgång till varandras journaler? gissar jag att flertalet förutsätter att det endast är personal som aktivt deltar i respondentens vård som avses. Den falska dikotomin finns ständigt som en bakgrund som när man i intervjuerna frammanar en situation på liv och död:

Anser du att all vårdpersonal som du kommer i kontakt med bör kunna se (allt) ditt journalinnehåll? a. Vilka uppgifter anser du bör vara synliga – om något – för vårdpersonal på till exempel akutmottagningen?

istället för att fråga om respondenten anser att alla inom en region inklusive fotvårdsterapeuter bör få se din psykjournal.

Min generella invändning mot rapporten, vid sidan om den falska dikotomin, är att den riktar hypotetiska frågor om specifika förhållanden där respondenterna med största sannolikhet har mycket litet kunskap som hur informationshanteringen sker, vårdens organisation och rådande säkerhets- och integritetsförhållanden. En radikal tanke är att föreställa sig att enkäten utformats utifrån dagens verkliga situation med frågor som:

Hur upplever du att tusentals anställda som inte alls deltar i din vård har tillgång till all vårdinformation och det heller inte finns rutiner för att i efterhand på ett rimligt effektivt sätt kontrollera eventuell felaktig åtkomst? Detta innebär också en möjlighet att förändra information så att du riskerar allvarlig felbehandling.

Jag tror att den typen att frågor skulle ge en mer rättvisande bild av hur människor faktiskt bedömer sin önskan om integritet. Svarsfrekvensen når inte upp till 30 procent vilket kan vara ett tecken på att många tilltänkta respondenter uppfattade sin förmåga att besvara frågorna som begränsad. Det har inte utgjort något hinder för de slutsatser som presenteras i rapporten.  Jag kommer säkert att återkomma till den här rapporten då den trots sina brister och luddiga slutsatser med säkerhet kommer att användas i olika e-hälsosammanhang som ett stöd för lösningar med bristfälliga integritetskrav. Ur ett tillitsperspektiv är det också negativt inte bara på det sätt som beskrivs i rapporten:

Westins många studier har också påvisat ett starkt samband mellan graden av tillit till institutioner och inställningen till integritetsskydd.

utan också genom att institutionernas förmåga att värna den enskildes integritet påverkar tilliten. Med den integritetssyn som signaleras i rapporten riskerar integriteten att påverkas i negativ riktning vilket i sin tur kan leda till en sänkt tillit. Detta stärks ytterligare av den bild av verkligheten som ges inte rimmar med de granskningar av faktiska förhållanden som gjorts. För mig blir detta ett dubbelfel sett med spaning på tillit: först de verkliga bristerna i sjukvården, därefter att de ignoreras.

Samma osäkerhet om vilken verklighet vi pratar om infinner sig lätt när det gäller säkerhetsåtgärder. Ett uppenbart exempel är övervakningskameror. Vetenskapligt finns det svaga belägg för att övervakningskameror minskar kriminalitet utom då de placeras i parkeringshus. Ändå lyfts övervakningskameror ständigt fram som ett sätt att visa handlingskraft, inte minst för att bekämpa brottslighet i utsatta områden. Jag förutsätter att flertalet som argumenterar för fler kameror är väl medvetna om den bristande effektiviteten i åtgärden men av andra skäl ändå framhärdar i sin argumentation. Som jag ser det leder ineffektiva säkerhetsåtgärder till en falsk trygghet eller till att själva säkerhetsåtgärderna ger belägg för att människor borde känna sig orolig eller till att alerta medborgare inser att de blir ”lurade” av myndigheterna. Inget av dessa tre alternativ skapar en större tillit i samhället. De bör dock få oss som arbetar med säkerhet att fundera över vilka direkta och indirekta konsekvenser vårt säkerhetsarbete kan få och att våga ifrågasätta den reella säkerhetshöjande effekten av olika åtgärder. Avvägningen mellan integritet och vilket annat värde som helst behöver inte med nödvändigt leda till att vilket värde som helst alltid är viktigare.

Den ambivalens som finns hos många säkerhetsmänniskor inför integritetsfrågorna finns i minst lika hög grad inför öppenhet. Öppenhetens betydelse för samhällelig tillit är knappast ifrågasatt av någon och för svenska förhållanden finns det en stor mängd statsvetenskapliga studier om detta så jag finner det överflödigt att länka till någon enskild av dessa studier. Den intresserade kan börja med Bo Rothstein och sedan gå vidare.  Sverige har ju också unika förutsättningar för att ge insyn i myndigheters verksamhet genom offentlighetsprincipen. Även här finns dock ett glapp mellan lagstiftningen och de värderingar som myndigheter och enskilda tjänstemän har. För att offentlighetsprincipen ska fungera i praktiken krävs en vilja att tillhandahålla information även om det kan leda till negativa konsekvenser för myndigheten. Den kultur som finns inom säkerhetsområdet bär på ett arv där huvuduppgiften har varit att säkerställa att hemlig information inte blir tillgänglig för obehöriga. Resultatet blir en osäkerhet som gör att sekretesstämpeln kommer fram för flitigt när det gäller säkerhetsrelaterad information. Att möjligheten att sekretessbelägga information tillämpas i allt vidare utsträckning uppmärksammas av  grävande journalister nyligen.

Öppenheten är basen för tillit men också ett viktigt verktyg för att kunna bedriva den källkritik som är nödvändig i ett klimat där falska nyheter och påverkansaktiviteter florerar. Men även källkritik måste utgå från rimliga värderingar som ger tillit. För mig som är danad i Lauritz Weibulls hårda källkritiska skola är det centralt att det källkritiska förhållningssättet tillämpas även på grunden för de egna utsagorna. Om inte denna princip anses giltig uppfattar jag det som att vi tar ett steg mot den asymmetriska situation som råder under auktoritära regimer där enbart andra nationers påverkansförsök nagelfars medan utsagor som gynnar den egna ståndpunkten okritiskt anammas. Tecken på sådana tendenser av överdrivet välvilligt mottagande har uppmärksammats av bland annat podden Mediespanarna rörande en undermålig rapport om rysk propaganda . Problemet är att de som har det lovvärda syftet att avslöja rysk desinformation själva blir desinformatörer.

Det är dags att avrunda detta långa och pretentiösa inlägg med att komma några förhoppningar inför det nya året, förhoppningar som känns alldeles särskilt aktuella den här veckan då Folk och försvar drar i gång samtidigt som valåret inleds.  En första förhoppning är att vi alla har ett ansvar för att medverka till att skapa tillit i samhället. Vi som arbetar med säkerhet bör låta vårt arbete styras av värderingar som skyddar öppenhet, integritet och demokrati. Vi måste också våga ifrågasätta våra egna sanningar och tillämpa en systematisk källkritik där det också är tillåtet att ha fel. Ta stöd i Timothy Snyders uppmaningar och se hur du kan omsätta dem i ditt arbete.

Läs och se dystopier men motverka att de förverkligas genom att vara extra vaksamma mot alla steg som går i en auktoritär riktning, som inskränker öppenhet och demokrati samt medborgarens möjlighet att hävda sina rättigheter även i förhållande till den egna statsmakten. Undvik att gå in i starkt polariserade lägen som skapar falska dikotomier som att vi antingen är fullständigt naiva eller att ett storkrig står för dörren vilket legitimerar inskränkningar i öppenheten och andra demokratiska rättigheter. Och var inte rädd, rädsla urholkar inte bara själen utan även samhället.

 

Finns det en informationssäkerhetskultur?

Som jag litet surt påpekat några gånger är kunskapsgrunden för informationssäkerhetsarbetet påfallande svagt. Det är därför en händelse av stort intresse när en ny forskningsantologi inom informationssäkerhetsområdet publiceras som nu då Informationssäkerhet och organisationskultur presenteras. Än mer så när den är inriktad på organisation och inte enbart teknik som den övervägande del av de svenska forskningsinsatser varit.

Antologin bygger på resultatet från ett antal olika forskargrupper som finansierats av MSB i ett femårigt forskningsprogram relaterat till frågor om informationssäkerhetskultur. I programmet genomfördes en omfattande enkätundersökning som använts av flera av de ingående forskningsgrupperingarna.

Att det är ett konglomerat av olika discipliner som deltagit är både en styrka och en svaghet i antologin. Styrka eftersom det ger en i delar ny och intressant belysning av informationssäkerhet, svaghet då den röda tråden i antologin känns väl tunn och att det mer har handlar om paketering än en reell knytning till just säkerhetskultur. Att det inte är ett inarbetat forskningsområde visar sig också i att den litteratur som använts i förvånande hög grad är utgiven för tio år sedan eller mer.

Först två allmänna reflektioner efter genomläsning. För det första beskrivs informationssäkerhet påfallande ofta direkt och indirekt som en statisk entitet, d.v.s. på ett icke-relationellt sätt, som här t.ex:

Informationssäkerhetskultur kan vara bra såväl som dålig. Den är bra om den gynnar informationssäkerheten.

Jag menar att informationssäkerheten inte är ett värde i sig utan att det är organisationens intressen som ska gynnas av informationssäkerhetskulturen, d.v.s. att den goda informationssäkerhetskulturen stödjer organisationen i att identifiera sitt behov av olika informationssäkerhetsåtgärder.

Den andra reflektionen är den i mitt tycke en övertro på regelstyrning. I några av inläggen framstår det som att informationssäkerhetskulturens främsta och möjligen enda uppgift är att motivera medarbetarna att följa regler. Med erfarenhet från att vara informationssäkerhetsansvarig alternativt konsult i rätt många organisationer har jag upplevt att det stora behovet av säkerhetskultur är att den lägger grunden för en dialog om informationssäkerhet. Verksamheten måste vara involverad eftersom det är den som känner de egentliga behoven av säkerhet men behöver hjälp med att kanalisera dem och över huvud taget definiera dem som säkerhetsrelaterade. I detta är exempelvis verksamhetens förmåga och intresse av att uppmärksamma risker och kommunicera dem. Och när det gäller styrningen är det också aningen förvånande att ledarskap inte diskuteras – när organisationskultur i allmänhet brukar ses som i en nära samvariation med ledarskap. Här tänker jag inte enbart på det generella ledarskapet i en organisation. Minst lika viktigt är det ledarskap som de som arbetar med informationssäkerhet utövar både nationellt och i sina respektive organisationer. Min uppfattning, som saknar vetenskapligt belägg, är att detta ledarskap fortfarande är starkt präglat av en patriarkal kultur hämtad från en militär-polisiär tradition som är illasittande i de flesta moderna organisationer. Detta kommer ytterligare att förstärkas när Metoo-revolutionen, som inte bara handlar om sextrakasserier utan även manligt maktmissbruk bland annat på arbetsplatser, rullar vidare.

Några av inläggen läser jag med känsla av: var det inte mer? Det är inte sååå upphetsande med en slutsats som att tjänstemän som arbetar i regelföljande organisationsklimat anammar informationssäkerhetsregler bättre än tjänstemän i organisationer utan detta klimat. Eller att informationssäkerhetskulturen gynnas av att ledningen uttrycker att informationssäkerhet är en viktig fråga för organisationen (även om detta ändå touchar ledarskapsfrågan som jag tidigare skrev att jag saknade).

I andra fall blir jag uppriktigt förbryllad. Avsnittet om ”praktikanpassad informationssäkerhetspolicy” blandar alla nivåer av styrande dokument på ett sätt som jag som strukturfascist känner mig ytterst obekväm med. Bara att skriva informationssäkerhetspolycier i plural …  Ett annat exempel som leder grubbel är detta:

Historiskt sett baseras informationssäkerhetsarbetet på tre tekniskt orienterade principer: sekretess, riktighet och tillgänglighet.

Författarna vill komplettera dem med ”organisatoriskt orienterade och beteendebaserade principer som ansvar, rollintegritet, förtroende och etiskt handlande”. Jag gillar känslan av att få mattan undanryckt under fötterna, för mig har aspekterna konfidentialitet, riktighet, tillgänglighet och spårbarhet varit definitioner av vad som ska uppnås i tillräcklig grad med både organisatoriska och tekniska åtgärder. Tyvärr kan jag inte säga att den nya vinklingen som författarna från Handelshögskolan i Örebro lanserar känns uppenbar ens vid en närmare genomläsning. ”CIA”-begreppen ifrågasätts även av filosofen Björn Lundgren som vill ersätta dem med den s.k. RIGHT-definitionen. Trots att jag har en del högskolepoäng i filosofi går mig delar av hans resonemang förbi, kanske för att jag fastnar på ett tidigt skede eftersom det förefaller som om hans utgångspunkt är att det finns ett läge där information är ”säker”. I min uppfattning strider detta mot det riskbaserade säkerhetsarbetet där det snarare handlar om att rikta in sig mot ett ständigt rörligt mål och få en acceptabel riskmiljö.

Andra inlägg är mer givande. Den etnologiska studien av den konfliktfyllda kultur som råder runt framtagandet av informationssäkerhetsstandarder bör leda till eftertanke men har också  vissa (ofrivilligt?) komiska inslag.

Flera av inläggen handlar om informationssäkerhet i hälso- och sjukvård och det är kanske här antologin är som mest intressant särskilt med den tydliga kopplingen till integritetsfrågor. När nu många nya aktörer börjat visa intresse för integritetsfrågor i samband med dataskyddsförordningen har det ett generellt intresse.  Jag ska därför göra en fördjupning rörande ett av antologins inlägg.

Integritet och hälso- och sjukvård

Jag har i olika sammanhang ifrågasatt säkerheten och hanteringen av personuppgifter i den nationella tjänsten Hälsa för mig och kan därför säkert uppfattas som jävig men vill ändå hävda att Peter Johanssons och Sofie Hellbergs bidrag som handlar om den tjänsten är det mest givande avsnittet i antologin. Detta inte enbart för att sjukvårdens informationssäkerhet och hantering av integritetsfrågor är så viktiga i sig utan också för att de frågeställningar de lyfter fram kan generaliseras.

Bidraget inleds med en effektiv genomgång av tidigare forskning om integritet samt om några möjliga synsätt. Själva förordar de ett s.k. kontextdrivet förhållningssätt i motsats att försöka skapa en allomfattande och evig definition av integritetsbegreppet:

Vi delar uppfattningen om att nyckeln till att förstå och hantera personlig integritet ligger det sammanhang där integritetsfrågorna uppstår. En fördel med detta förhållningssätt är att man redan i designfasen av nya tekniker och system kan inkludera skydd för den personliga integriteten eller sätt upp regler kring nya teknikers användningsområden. Utan ett sådant kontextdrivet förhållningssätt finns en risk att man vare sig kan identifiera eller hantera situationer där den personliga integriteten hotas.

Detta stämmer väl med privacy by design (som ju föreskrivs i dataskyddsförordningen) även om jag hellre skulle beskriva det som privacy by design i processer än i system.

Forskarna identifierar de två parallella trenderna där accelererande mängder information insamlas och bearbetas samtidigt som individen får en ökad tillgång till information om sig själv. Med denna bakgrund studerar forskarna den tidigare regeringens satsning på tjänsten Hälsa för mig.

Hur ansvaret för säkerhet och integritet ska fördelas i det informationshanteringslandskapet är inte uppenbart vilket caset med Hälsa för mig visar. Att trycka ner ansvaret till individen med krav på hen själv ska ”styra” sin integritet har varit en bekväm lösning som myndigheter och tjänsteleverantörer. Individens möjlighet att göra rimliga avvägningar är av flera skäl mycket begränsad av att hen inte kan överblicka användningen av informationen, konsekvenserna av detta och dessutom är i ojämn maktrelation med leverantören av tjänsten. En egen reflektion är att författarna i marginalen låter ett inslag i den kultur som formats runt e-hälsa skymta fram när man skriver:

Att personlig integritet är något som kan upplevas stå i vägen för e-hälsoutvecklingen har vi noterat vid olika e-hälsokonferenser. Där har vi lyssnat på olika talare som raljerat över ”integritetsivrare”, vilket vi uppfattar som mycket problematiskt då det appliceras svepande på bland annat läkare och patientföreningar som representerar särskilt sårbara patientgrupper.

Potentiellt negativa effekter för integriteten tonas dock ner.

Detta är en kultur jag känner igen sedan åtminstone början av nittiotalet. Som verksam inom informationshanteringen i vården blev jag vittne till ett tydligt perspektivskifte.  Från att tystnadsplikt och integritet hade varit kärnvärden i läkarkåren och vården i stort skedde en snabb relativisering (ja, jag vet att allt inte var idealiskt tidigare heller men pratar här om de uttalade etiska ståndpunkterna). Relativiseringen av integriteten blev ett förhållningssätt som funnits med i digitaliseringsprocessen av vården ända sedan dess begynnelse, där det har målats upp en motsatsställning mellan patientsäkerhet och integritet. Bakgrunden till detta är att det har funnits en motvilja hos sjukvårdshuvudmän, vårdgivare och systemleverantörer att göra den insats som krävs för att få en styrning av informationshanteringen och systemen/tjänsterna så att båda dessa värden kan uppnås samtidigt. Min uppfattning är att denna relativisering främst bottnade i att sjukvårdshuvudmännen m.fl. inte prioriterade att ta fram organisatoriska beskrivningar av hur ”vårdrelation” ska definieras, d.v.s. vilka medarbetare som verkligen har anledning att ta del av den enskilda patientens vårdinformationen. Detta kompletterat med att systemleverantörerna inte klarade av att leverera digitala lösningar med en för ändamålet avpassad behörighetshantering gjorde att den personliga integriteten framställdes som ett hinder för verksamheten och ett hot för patienten. Ett tydligt tecken var den ständigt återkommande bilden på konferenser och andra sammanhang där det beskrevs hur en medvetslös patient kommer in på akuten och personalen p.g.a. att patienten kan ge samtycke inte kommer åt information som överkänslighet eller annan medicinsk bakgrund med följd av att patienten avlider. Att flertalet patienter inte är medvetslösa, inte på akuten och att behörighetsstyrningen kan ske situationsanpassat försvann i detta scenario som gjorde det överväldigande tydligt för många att integritet är av ondo. En rådande doktrin var också att behörighetsstyrning var onödigt och att loggning var lösningen på kontroll av åtkomst. Att loggning i detta syfte skulle kräva att det är mycket tydligt vem som har åtkomsträtt, d.v.s. i princip samma förutsättning som för den behörighetshantering som man sa sig inte kunna åstadkomma, förträngdes. Effekten blev usel informationssäkerhet samt att etiken och i förlängningen lagstiftning anpassades efter organisatoriska och tekniska brister. Detta vore ytterst intressant att läsa om i en forskningsstudie.

Den inneboende paradoxen med självstyrd integritet samtidigt som individen inte har det egentliga valet eller möjligheten att styra begränsningen av användningen av personuppgifter är inte unik för Hälsa för mig. Den möjlighet att spärra uppgifter som patienten fick i patientdatalagen (PDL) 2008 har i praktiken inte realiserats utan på många sätt motarbetats av vårdgivare. Bidraget om Hälsa för mig och den bristande integritetsanalysen i det projektet illustrerar en historisk utveckling formad genom tekniska ofullkomligheter men därefter stödd av en säkerhetskultur som legitimerar den bristande säkerheten, ja rent av gör den till en dygd. Den bristande analysen i fråga om integritet i Hälsa för mig har lett till att Datainspektionen listat ett antal förelägganden som måste åtgärdas innan tjänsten kan tas i bruk. E-hälsomyndigheten har överklagat detta till förvaltningsrätten men i dagsläget verkar det oklart om tjänsten kommer att kunna tas i bruk.

För mig är detta antologins absolut viktigaste bidrag när det gäller att vissa betydelsen av en positiv respektive negativ informationssäkerhetskultur. Dessutom att den kulturella påverkan på intet sätt är begränsad till en enskild organisation utan kan omfatta en hel sektor. Här finns verkligen möjlighet till vidare forskning. I dessa dataskyddsförordningstider är det också av stor betydelse att visa att integritet inte handlar om teknikaliteter utan om kultur och värderingar.

 

Sammantaget illustrerar antologin ett spretigt kunskapsområde med oklar teori och en ganska lång väg kvar att gå. Svaret på frågan i rubriken tycker jag mig kunna se som: ja, det finns både positiv och negativ informationssäkerhetskultur och vi måste förstå mer för att kunna stärka den positiva kulturen.

 

Whoop, whoop en ny säkerhetsskyddslag?

Ett steg till mot en ny säkerhetsskyddslag är taget i och med att lagrådsremissen presenterades för någon vecka sedan. Själv utsatte jag det ursprungliga förslaget som presenterades av utredningen för en kritisk granskning och är därför av naturliga skäl nyfiken på hur regeringen hanterat förslaget och de många remissvar som kommit in.

Efter en genomläsning är min slutsats att regeringen köpt utredningens förslag med några få men viktiga förändringar initierade från remissvaren. En sådan positiv förändring är att regeringen instämmer i ett antal remissinstansers kritik av utredningens förslag att använda begreppet informationssäkerhetsklassificering trots att klassningen endast skulle bedöma konfidentialitet. Istället kommer begreppet säkerhetsskyddsklassificering vilket visserligen är otympligt men, viktigare, är mer korrekt i förhållande till vad aktiviteten innebär. Ännu bättre hade det varit om begreppet informationssäkerhet överhuvudtaget användes i lagen eftersom man definierar det på ett helt eget sätt:

Säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet)

Det vore ju så mycket bättre att undvika begreppsförvirring och istället införa ett unikt begrepp typ informationsskydd men man får vara tacksam för det lilla i det här sammanhanget. Jainfg noterar också att intresset för internationell anpassning förefaller större än för att få en nationellt konsistent modell för informations-/informationssäkerhetsklassificering.

Men i huvudsak kvarstår utredningens förslag och regeringen fyller på. Den nya säkerhetsskyddslagen sägs nödvändig framförallt av tre orsaker som kan sammanfattas som: ”det förändrade omvärldsläget”, digitaliseringen och att allt större del av det som kallas säkerhetskänslig verksamhet ombesörjs av privata aktörer (inklusive i form av outsourcing m.m.). Händelserna vid Transportstyrelsen har inte heller gått obemärkt förbi om man säger så. Detta gör att den nu gällande säkerhetsskyddslagens tillämpningsområde anses för ”snävt” vilket annorlunda uttryckt innebär att man vill utvidga till att fler verksamheter och funktioner samt mer information ska klassas som säkerhetskänslig.

Det som slår mig när jag läser lagrådsremissen liksom den tidigare utredningen är bristen på systemtänkande på samhällsnivå. Här finns ett stuprörsutredande där man försöker utreda och lagstifta i delar utan att sammanhang skapas och utan att det går att se hur de olika delarna hänger ihop. Särskilt tydligt blir detta när det gäller ”säkerhetskänslig” i förhållande till ”samhällsviktig” verksamhet. Med den glidning som sker från att säkerhetsskyddet, förenklat beskrivet, varit fokuserat på antagonistiska hot mot hemlig information i offentlig verksamhet till att övergå till ett betydligt större område blir gränsdragningen än svårare. Nu har vi dels säkerhetsskydd som ska skydda

säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter

där med  säkerhetskänslig verksamhet avses:

verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd

Och så samhällsviktig verksamhet som definieras som:

  • Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksamheter på kort tid leda till att en allvarlig kris inträffar i samhället.

  • Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt

Lagrådsremissen ”förtydligar” skillnaden mellan det ena och det andra genom följande plattityd:

Verksamheter som bör omfattas av en ny säkerhetsskyddslag omfattas i regel av dessa kriterier, men karaktäriseras därutöver av att de har betydelse för Sveriges säkerhet ur ett nationellt perspektiv. Skälet för detta är att säkerhetsskyddslagen i första hand bör syfta till att skydda särskilt känsliga verksamheter mot antagonistiska angrepp, t.ex. spioneri, sabotage och terroristbrott.

Personligen uppfattar jag det som djupt problematiskt när skillnaden på det ena och det andra blir ungefär som den klassiska Fred Astaire-sången med refrängen Potato, potahto, tomato, tomahto . Det är helt enkelt väldigt svårt att avgöra skillnaden mellan samhället respektive Sverige. Den enda skillnaden i detta sammanhang är såvitt jag kan se att säkerhetsskydd ställs i relation till typen av hot (antagonistiska). När det nu blir allt tydligare att informationssäkerheten generellt är på en nivå som inte på något sätt motsvarar behovet borde en huvudfråga vara hur bättre stöd ska ges till alla de verksamheter som är säkerhetskänsliga och/eller samhällsviktiga. Att då inte kunna ge reda ut ens huvudkriterierna på ett pedagogiskt sätt förtjänar ett totalt underbetyg.  I backspegeln verkar lanseringen av samhällsviktig verksamhet som begrepp och det praktiska arbetet med att faktiskt utveckla och skydda de funktioner som vi alla är beroende av vid större störningar ha misslyckats. Det klena stödet för att identifiera vad som är samhällsviktigt kombinerat med avsaknaden av förslag på konkreta åtgärder som ska vidtas om man mot all förmodan lyckas med uppgiften är ett allvarligt problem. Säkerhetsskyddet är knappast lösningen på det problemet även om det verkar vara en tanke som vissa drabbas av.

Varken den ursprungliga utredningen eller lagrådsremissen utgör någon hjälp i det hänseende. I lagrådsremissen blandar man t.o.m. ihop begreppen som på sidan 35 där man motiverar ett ökat säkerhetsskydd med allvarliga konsekvenser i samhällsviktig verksamhet. Att det är svårt att ge exakta kriterier för säkerhetskänslig respektive samhällsviktig verksamhet har jag förståelse för men det måste ändå gå att åstadkomma betydligt mer än det som hittills presenterats. En första insats vore att en central ansträngning gjordes för att definiera vad som är skyddsvärt ur dels säkerhetsskyddsperspektiv, dels ur vad som ska räknas som samhällsviktigt. Nu trycks frågan istället ner på organisationsnivå och skapar en logisk knut: det är organisationen själv som genom en säkerhetsanalys ska fastställa om den är säkerhetskänslig men för att över huvud taget komma på att man är säkerhetskänslig måste man först göra analysen… Detta förstärks ytterligare av att lagrådsremissen uttrycker sig i termer som närmast är att likna vid fjärilseffekten:

Det kan också tänkas att ett angrepp som riktas mot en verksamhet på en förhållandevis liten geografisk yta påverkar människor som har funktioner i andra verksamheter med direkt betydelse för Sveriges säkerhet. Även flera koordinerade, eller av varandra oberoende, angrepp som resulterar i störningar av samhällsviktiga funktioner på lokal eller regional nivå kan påverka Sveriges säkerhet, t.ex. genom att det bland befolkningen generellt sprids oro och misstro mot myndigheternas förmåga att hantera situationen. Dessa exempel på frågeställningar som en verksamhetsutövare måste ta ställning till visar att bedömningen av säkerhetsskyddslagens tillämpningsområde inte enbart kan ha sin grund i geografiska områden eller antalet medborgare som potentiellt kan drabbas av ett angrepp. Även potentiella följdverkningar av en händelse måste vägas in i bedömningen.

Och visst kan säkerhetsbedömningar likna kaosforskning på sätt och vis men att kräva att kommuner, landsting och regioner ska kunna göra sådana bedömningar är att bygga in en fallucka i hela systemet eftersom det är en omöjlig uppgift. Ytterligare en dimension av detta är att privata aktörer förväntas att på ett objektivt sätt analysera om det finns funktioner som är säkerhetskänsliga i den egna verksamheten trots den kostnadsdrivande effekt en sådan bedömning skulle få. Och den spännande frågan om aggregering hos privata aktörer där intet svar ges om vem som ska ha koll på detta:

Ett annat exempel på verksamhet som kan anses ha betydelse för Sveriges säkerhet är om en leverantör svarar för driftstjänster åt ett flertal myndigheter och leverantörens samlade uppdrag kan ha betydelse för Sveriges säkerhet. Även om de enskilda uppdragen inte anses som säkerhetskänsliga kan leverantörens samlade engagemang innebära risker för alla de myndigheter som den utför tjänster åt vid ett antagonistiskt angrepp, vilket i slutändan skulle leda fram till effekter för samhället i stort.(s 46)

Ungefär på samma sätt är det med samhällsviktig verksamhet, det är organisationen själv som ska bedöma vilka delar som är samhällsviktiga och även där intuitivt kunna se långa beroendekedjor på samhällsnivå som inte finns beskrivna. Idag är det uppenbart att 1. Kommuner/landsting har ansvar en stor del av den samhällsviktiga verksamheten och även en del funktioner som är att betrakta som säkerhetskänsliga 2. Förmågan att kunna vidta rätt säkerhetsåtgärder är alldeles för låg. Vad som förvånar mig är detta inte är något som analyseras närmare vare sig i utredningen eller lagrådsremissen, vilka åtgärder och vilket stöd som vore nödvändigt för att intentionerna ska kunna förverkligas. Riskerna med vagheten är flera. Den mest uppenbara är att säkerhetsåtgärder inte vidtas i den omfattning som vore befogat. En annan av jämförbar dignitet är att svårigheten att avgöra om det är ”säkerhetskänsligt” eller ”samhällsviktigt” gör att organisationer i en allmän ängslighet tar det säkra för det osäkra (lätt hänt efter sommarens och höstens massiva mediebevakning) och definierar information och system som säkerhetskänsliga. Detta gör att jag inte ens blir förvånad över crazylösningar som när sjukvårdshuvudmän försöker få sjukvårdssystem att bli säkerhetsskyddade, uppenbarligen utan en susning om vad det skulle innebära i praktiken. Detta är för den med minsta insikt ett totalhaveri i säkerhetstänkande och där ett förverkligande skulle innebära att en stor del av sjukvården lamslogs.

En inte oväsentlig risk är att integritets- och offentlighetsaspekter blir utdefinierade i verkligheten på samma sätt som i lagrådsremissen. Denna risk förs fram av flera remissinstanser men viftas i lagrådsremissen bort utan vidare spisning (ex s 48 och 63).

Jag funderar också rätt mycket när jag läser lagrådsremissen på risken att säkerhetsskyddet genom oklarheten i tillämpningen devalveras. Om information och system inte hör dit ändå placeras där kommer då säkerhetsskyddet verkligen att kunna upprätthållas där det verkligen behövs?

Överhuvudtaget väcker lagrådsremissen så många frågor att jag rekommenderar alla att läsa den och försöka visualisera effekten i den verkliga världen. Hur ska man till exempelvis göra för att bedöma riktighet och tillgänglighet men inte i form av klassning? Och hur få ihop säkerhetsskyddslagens legitimitet i antagonistiska hot när en stor del av störningarna i informationshanteringen och därmed i verksamheten uppstår av andra orsaker? Och vore det inte mycket bättre att inrikta sig på säkerhetskänsliga funktioner än dito verksamheter? Då skulle faktiskt statsmakten kunna peka ut vilka funktioner oavsett organisation som bedöms som väsentliga för Sverige vilket skulle vara ett enormt stöd inte minst för kommunerna.  Sammantaget: det känns inte som livet som säkerhetsmänniska blivit enklare med lagrådsremissen. Den understryker dock behovet av att förstärka arbetet med informationssäkerhet för den samhällsviktiga verksamheten.

Juridik eller arkiv?

Det här kommer att bli ett nördigt inlägg om arkivfrågor eftersom arkivfrågor per se är nördigt eller hur? För läsaren ska kunna sätta inlägget i ett sammanhang ska jag bekänna min bakgrund och därmed även antyda sambandet mellan informationssäkerhet och arkiv.

Min ingång till informationssäkerhet gick via arkiven. Under ett antal år arbetade jag som arkivarie, först på arkivinstitutioner och därefter som landstingsarkivarie. Som så många andra arkivarier hamnade jag i skrået via studier i historia, själv påbörjade jag en forskarutbildning i ekonomisk historia efter att ha läst politisk historia, förvaltningshistoria, naturvetenskapernas idéhistoria o.s.v., o.s.v.  Synsättet att arkivvetenskap (i den mån något sådant ens kan sägas existera) var en stödvetenskap för historieämnet föreföll därför inledningsvis logiskt även för mig. Sedan hände två saker: jag blev väldigt intresserad av metoder för att strukturera information och jag blev tvungen att börja tillämpa detta i en pågående verksamhet, inte bara i avställda arkiv. Jag skrev om proveniensprincipen sett ur det industrihistoriska perspektivet men insåg allt tydligare verksamhetsbehovet i att strukturera information. Det kändes egendomligt att betrakta detta verksamhetsbehov kikande ut från en arkivinstitution och dess behov som är helt annorlunda än verksamhetens. Jag fortsatte att skriva om dessa frågor och vikten av att arkivväsendet omorienterar sig och inte ser sig som en historiens hjälpvetenskap. Istället borde vi vända på processen och se att om arkivarierna specialiserar sig på informationshantering och stödjer verksamheten kommer behovet av långsiktigt bevarande också att hanteras. Däremot gäller inte det omvända. Jag kan väl inte säga att jag fick särskilt mycket gehör för detta utan blev istället betraktad som en arkivvärldens gossen Ruda som en riksarkivarie vänligt uttryckte det.

Nu har jag inte arbetat som arkivarie på många år men interagerar med arkivfrågor nästan dagligen då jag arbetar med informationssäkerhet vilket är naturligt då arkiven kan sägas att jämte krypton vara de informationssäkerhetsåtgärder som förekommit ända sedan antiken. OK, vi kan väl säga signering också så blir det tre antika åtgärdstyper. I vilket fall så sett ur mitt limbo-tillstånd där jag halvvägs utanför, halvvägs innanför arkivvärldens gränser uppfattar jag det som att den desorientering som funnits ända sedan sjuttiotalet fortfarande lever kvar. Jag ska inte här närmare gå in på hur denna desorientering mellan att delta i att utveckla myndigheternas informationshantering år ena sidan och å andra sidan ha blicken fäst vid det historiska materialet. Vad som är glädjande är att regeringen initierat en översyn av arkivområdet under Lars Ilshammars kompetenta ledning. Översynen ska bland annat analysera hur samhällsutvecklingen påverkat kraven på arkivsektorn, se över arkivlagstiftningen och Riksarkivet roll i förhållande till andra myndigheter. Det kan bli spännande!

Inspirerad av detta kommer här tre frågeställningar som kan förtjäna att tas med som faktorer då översynen genomförs och som dessutom är sammankopplade. Först en disclaimer:  i det följande kommer jag liksom som många andra som diskuterar arkivfrågor att strunta i de privata aktörernas behov och praxis gällande dessa frågor och endast ägna mig åt den offentliga sektorn och arkivväsendet i stat, kommun och landsting. Detta är en nästan oförlåtlig avgränsning men eftersom jag här kommer att ta upp några frågeställningar som i första läget framförallt berör det offentliga arkivväsendet finns det en viss logik i detta. Det kan dock inte nog understrykas vikten av att det offentliga arkivområdet idag måste ta mycket större hänsyn till privata aktörer eftersom allt större del av den offentligt finansierade verksamheten utförs av privata aktörer. Ta till exempel inom vården som i efterkrigstiden i all väsentlighet ombesörjdes av offentliga utförare men som sedan nittiotalet alltmer utförs av privata vårdgivare. Vårdinformationen som har ett mycket stort värde under lång tid för den enskilde patienten och ett stort forskningsvärde men lever idag ett osäkert liv eftersom det faktiskt inte längre är tydligt reglerat hur den ska hanteras långsiktigt.

Den första fråga jag tänkte lyfta är frågan är den utpräglade juridifiering som råder gällande arkivhanteringen. I Sverige har arkivväsendet en mycket nära koppling till statsmakten sedan lång tid och numera även en stark koppling i lagstiftningen mellan arkivlagen och offentlighetslagstiftningen. Detta kan ses som en välsignelse och jag tror inte det finns en idag levande arkivarie som inte hämtat legitimitet ur detta faktum och det är självklart att detta ger arkivverksamheten en potentiellt stark ställning i offentliga organisationer (nu blir det ju inte alltid så i praktiken). Men för att travestera femte Moseboken: en välsignelse kan samtidigt vara en förbannelse. Förbannelsen ligger i att samtidigt som offentlighetslagstiftningen definierar arkivens innehåll så definierar den arkivens avgränsning. I arkivlagen sägs att:

3 § En myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen och som myndigheten beslutar skall tas om hand för arkivering.

Vad som utgör en myndighets arkiv är alltså en juridisk definition, inte en arkivvetenskaplig. Detta är i sig värt att uppmärksamma men det får även djupgående praktiska konsekvenser. Det måste understrykas att vad som kan utgöra en allmän handling inte är übertydligt. Formuleringar som att ”handlingen ska vara upprättad eller inkommen till myndigheten” leder tankarna till information som liknar pappersdokument och som är vagt relaterade till postgång (detta är också vad som avspeglas i de heliga diarierna som ofta uppfattas som det som definierar vad som är myndighetens allmänna handlingar). Men detta är ju inte den enda information myndigheten använder. Om man jämför dokumenthanteringsplaner med vilka informationsmängder som en myndighet eller kommun verkligen använder för att utföra sina uppgifter är skillnaden ofta stor. Detta blir ganska uppenbart om man gör en processorienterad informationskartläggning där det, vågar jag hävda, alltid kan identifieras betydligt fler informationsmängder än vad som finns redovisat i dokumenthanteringsplanen. Det finns, tror jag, en outtalad föreställning om vad som ska räknas som allmänna handlingar som inte är uppdaterad så att den går att omsätta i en modern myndighets faktiska informationshantering där Skype, molntjänster och även mer traditionella it-system står för merparten av transaktioner. Och när kartan inte stämmer med verkligheten förefaller kartan vinna över verkligheten. Riksarkivet säger även på sina ställen att man jämställer arkivförteckning (som endast ska innehålla allmänna handlingar) och dokumenthanteringsplan:

Här hittar du svar på frågor som rör den andra delen av arkivredovisningen, den som beskriver vilken information som uppstår i myndighetens verksamhet och hur informationen förvaras. Traditionellt kallas denna redovisning för arkivförteckning eller dokumenthanteringsplan. De element som förekommer här är handlingsslag och handlingstyper samt förvaringsenheter.

Det finns också ofta en stark vilja att göra så litet information som möjligt till allmänna handlingar eftersom det uppfattas som negativt att allmänheten ska få tillgång till information som myndigheten vill ha för sig själv. Det kan både ske genom att man kallar information för ”arbetsmaterial” eller genom att man försöker dra ut på statusförändringen till allmän handling genom att kräva exempelvis att ett ”ärende” (detta fullständigt intetsägande begrepp i de flesta icke-exekutiva verksamheter) ska vara avslutat innan en enskild handling blir allmän.

Sammantaget menar jag att juridifieringen av arkivbegreppet, förutom att leda till att många arkivarier uppträder som någon slags barfotajurister istället för informationshanterare, får effekten att en stor diskrepans uppstår mellan det verkliga arkivet och det som kallas myndighetens arkiv. Med detta verkliga arkivet menar jag den information som myndigheten faktiskt använder för att bedriva sin verksamhet och som arkivteoretiskt borde ses som ”arkivet”. Jag tycker att arkivariekåren och arkivväsendet här sviker sin uppgift eftersom väsentlig information och väsentliga sammanhang här förloras.

Den andra frågan jag tänkte ta upp är gallring. Ingen vettig människa kan idag bortse från att det är ett stort problem att mängden information växer exponentiellt. Konsekvenserna blir bristande sökbarhet, bristande integritet, arbetsmiljöproblem, säkerhetsproblem eftersom det inte går att styra dessa gigantiska informationsmängder och faktiskt i slutändan ett miljöproblem. Arkivariens andra huvuduppgift måste därför att på ett professionellt sätt göra gallringsutredningar och sedan se till att information försvinner. Men trots att det i arkivlagen uttryckligen står att allmänna handlingar får gallras så sker detta inte alls med den fermitet som vore nödvändig, kanske beroende på att många arkivarier räds uppgiften och att det på olika sätt sägs att huvudregeln är att alla allmänna handlingar ska bevaras… Det finns också strukturella problem som att myndigheterna inte är sina egna arkivmyndigheter utan måste vänta på att Riksarkivet fattar gallringsbeslutet. Det mest utarbetade stödet för gallring som Riksarkivet tillhandahåller är såvitt jag kan se från 1999.

Även vad gäller gallring leder den ovan beskrivna juridifieringen till principiella problem med mycket stora konsekvenser. Gallring innebär att allmänna handlingar destrueras, när arbetsmaterial förstörs kallas det rensning. Om dokumenthanterings- och gallringsplaner endast omfattar allmänna handlingar innebär det att det i varje myndighet och kommun finns stora mängder av information där styrning saknas och där informationen inte ens är identifierad. Detta hävdar jag är det reella läget vilket är högst bekymmersamt inte minst ur säkerhetssynpunkt där kontroll av informationen är a och o.

Punkt tre på dagens lista (ja, jag hotar med att komma tillbaka till ämnet) är otidsenligheten och bristen på strategi i arkivområdet. Som ändå hyfsat insatt kan jag inte utläsa vad Riksarkivets strategi för långtidsbevarandet är mer än att man gör allt för att statliga myndigheter inte ska komma och försöka dumpa sina arkiv:

  • Leveranser bör inte innehålla handlingar yngre än 10 år. Leveranser med handlingar 10–20 år gamla övervägs särskilt noga med hänsyn till frekvens, sekretesstyngd och andra handläggningsfrågor.

  • Leverans från en och samma arkivbildare bör inte ske tätare än vart tionde år vad gäller pappershandlingar. Digitalt material bedöms utifrån egna, specifika förutsättningar.

På något sätt tycks man helt leva kvar i en pappersverklighet där arkivhandlingar inte fick levereras förrän efter 50 år och då helst inbundna. I en digital verklighet skulle vore den mest rimliga lösningar att man genom tydlig styrning överförde den information som ska bevaras för framtiden till Riksarkivet i samma stund som den skapas. Naturligtvis skulle detta kräva en massiv höjning av informationssäkerheten i Riksarkivets lagring och kommunikation men det skulle samtidigt vara den mest rationella hanteringen av en digital arkivbildning.

Det är möjligt att Riksarkivet har en mängd spännande strategiska diskussioner men dessa måste i så fall föras ut till de myndigheter och kommuner som idag sliter sitt hår och försöka räkna ut vad som förväntas att de ska göra. Och, don´t get me started, det handlar inte om de s.k. e-arkiv som nu försäljs.

Förhoppningsvis kan en klok översyn leda till att desorienteringens dimmor litet börjar upplösas och att en riktning tas ut.

Att svära i kyrkan

I mina funderingar om en tänkbar nationell styrmodell för informationssäkerhet slås jag av vilket i mitt tycke oproportionerligt intresse incidentrapportering fått som säkerhetsåtgärd.

För att ge en snabb bild av nuläget så har MSB sedan snart två år en särskild föreskrift angående obligatorisk it-incidentrapportering för statliga myndigheter. Till detta kommer dataskyddsförordningens krav och förslaget på NIS-direktivets tillämpning i Sverige som båda framför starka krav på incidentrapportering. Dataskyddsförordningen kommer att träda i kraft i maj 2018, samma månad som även utredningens förslag rörande NIS-direktivet sannolikt kommer att sjösättas.

MSB:s incidentrapportering är alltså inriktad enbart på statliga myndigheter och gäller uttryckligen endast it-incidenter. MSB:s definition handlar inte om störning på verksamhetens processer utan vilken typ av, framförallt teknisk, orsak som lett till störningen samt i vissa fall konsekvenser för informationshantering:

  1. störning i mjuk- eller hårdvara,

  2. störning i driftmiljö,

  3. informationsförlust eller informationsläckage,

  4. informationsförvanskning,

  5. hindrad tillgång till information,

  6. säkerhetsbrist i en produkt,

  7. angrepp,

  8. handhavandefel

  9. oönskad eller oplanerad störning i kritisk infrastruktur, eller

  10. annan plötslig oförutsedd händelse som lett till skada (3 §).

Det är alltså ett tämligen icke-stringent incidentbegrepp (lägg märke till att begreppet ”plötslig” överraskande kommer in under punkt 10) som används. Att notera är också att bristande spårbarhet inte nämns som en incidenttyp.

Dataskyddsförordningen, som i princip kommer att gälla i alla offentliga och privata organisationer som hanterar personuppgifter, har ett incidentbegrepp som är helt inriktat på personuppgifter:

personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats,

Det är framför allt obehörig åtkomst (konfidentialitet) men även förlust eller förvanskning (riktighet) av personuppgifter som ska ses som incidenter i detta perspektiv. Det bör dock understrykas att för att kunna efterleva dataskyddsförordningens övriga krav är både positiv och negativ spårbarhet en central faktor. Däremot kan en personuppgiftsincident lika gärna ske i icke-digitala som digitala medier – det är alltså inte enbart it-incidenter som är aktuella (vilket särskilt bör beaktas med tanke på att den s.k. missbruksregeln i PuL försvinner).

I författningsförslaget gällande NIS-direktivet slutligen är definitionen av incident:

incident: en händelse med en faktisk negativ inverkan på säkerheten i nätverk eller informationssystem

Precis som i MSB:s och Dataskyddsförordningens definitioner lyser verksamhetspåverkan med sin frånvaro, det är nätverken och informationssystemen som är objektet för regleringen som gäller både offentliga och privata aktörer i följande samhällsviktiga branscher:

  • Energi (elektricitet, olja, gas)
  • Transporter (lufttransporter, järnvägstransporter, sjöfart, vägtransport)
  • Bankverksamhet
  • Finansmarknadsinfrastruktur
  • Hälso- och sjukvård (hälso- och sjukvårdsmiljöer [inklusive sjukhus och privata kliniker])
  • Leverans och distribution av dricksvatten
  • Digital infrastruktur

En självklar fråga är om den bristande samordning som av de tre olika regleringarna är acceptabel. Det förefaller inte finnas några planer för att förenkla för de som kommer att behöva rapportera samma incident i två eller i värsta fall tre olika stuprör. Gissningsvis måste MSB:s befintliga inrapportering och den som följer av NIS samordnas eftersom de båda ska ske i MSB:s regi men då kvarstår ändå personuppgiftsincidenterna. Och i författningsförslaget för NIS-direktivet finns det en antydan om att är bra om tillsynsmyndigheterna samarbetar:

med Datainspektionen när den handlägger incidenter som medfört personuppgiftsincidenter och innan ett åtgärdsföreläggande meddelas,

så det finns kanske hopp om en praktisk samverkan.

Jag ska inte fördjupa mig ytterligare i samordningsproblemen även om de är nog så intressanta för alla som kommer att drabbas av dem. Istället tänker jag svära litet i den nationella säkerhetskyrkan och ifrågasätta om det verkligen är rimligt att satsa så mycket intresse och resurser på just incidentrapportering. Man kan göra den inte helt rimliga analogin till en enskild organisation som ska förbättra sin informationssäkerhet och då satsar större delen av sitt krut på incidentrapportering – skulle vi då tycka att det är en ändamålsenlig satsning? Den kritiske kan här invända att författningsförslaget för informationssäkerhet i samhällsviktiga och digitala tjänster innehåller litet vaga krav på säkerhetsåtgärder:

14 § Leverantörer av digitala tjänster ska utarbeta och vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till 1. säkerheten i system och anläggningar, 2. incidenthantering, 3. hantering av driftskontinuitet, 4. övervakning, revision och testning och 5. efterlevnad av internationella standarder.

Samt även ett system för tillsyn med ett antal tillsynsmyndigheter (varav ett par redan tackat nej till uppdraget i sina remissvar). Huvudpunkten är ändå incidentrapportering vill jag hävda. Är detta då den mest effektiva åtgärden för att förbättra säkerheten?

Låt oss då först titta på syftet med incidentrapportering. I en organisation är incidentrapportering inte en lösryckt aktivitet utan del i en incidenthantering där den fyller flera olika syften:

  • Initiera akut felavhjälpning
  • Inleda återställelsearbete (kontinuitetshantering)
  • Ge underlag för långsiktig förbättring
  • Rapportering internt och externt
  • Indirekt: försörja riskanalys och informationssäkerhetsarbetet i stort

Behovet av informationskvalitet i rapporteringen är olika för de olika syftena. För att inleda akut felavhjälpning krävs mycket snabb kommunikation, däremot kan inte den som anmäler felet förväntas kunna redogöra för orsaken. För att inleda kontinuitetshanteringen måste en koppling kunna göras mellan de drabbade informationsbärarna och verksamhetsprocesser för att rätt prioriteringar av återställelse respektive reservrutiner ska kunna göras. Underlaget för långsiktig förbättring måste vara av mer analytisk karaktär men också bygga på en konsistent tillämpning av begrepp för att mönsterigenkänning ska kunna göras. Kravet på god informationskvalitet gäller även för rapportering, riskanalysen och för informationssäkerhetsarbetet i mer vida termer.

Hur har man då resonerat i dessa frågor när det gäller den nationella rapporteringen. Inte alls vad jag kan se, det är till och med svårt att utläsa vad syftet med den befintliga incidentrapporteringen egentligen är även om den dåvarande inrikesministern Ygeman 2015 så följande då beslutet att införa rapporteringen togs:

Syftet med ett sådant system är att möjliggöra en förbättrad lägesbild över informationssäkerheten i statlig förvaltning. Förmågan att förebygga, upptäcka och hantera it-angrepp mot statliga informationssystem ska också bli bättre. Sådana it-incidenter kan röra exempelvis störningar i mjukvara, hårdvara eller driftmiljö eller förlust av data i olika sammanhang. It-incidenter kan orsakas av bland annat externa attacker, säkerhetsbrister i it-produkter eller felaktigt handhavande.

Det är alltså inte incidenthantering som eftersträvas utan ”en förbättrad lägesbild”. För mig förefaller det torftigt att ha en lägesbild som består av tekniska incidentbeskrivningar men jag tror också att inrapporteringsmoralen påverkas i starkt negativ riktning med tanke på att den svaga möjligheten till payoff eftersom det inte handlar om incidenthantering. Egentligen inte ens om rapportering utan endast om incidentanmälan eftersom meddelande om att något hänt ska ske innan någon djupare analys har hunnit ske. Samma oklarhet gäller även rapporteringen av personuppgiftsincidenter och rapportering enligt NIS-direktivet – det enda som kan hända är att man får ett besök av tillsynsmyndigheten för att uttrycka sig raljant. Att både MSB och Datainspektionen hävdar att det finns ett starkt behov av att sekretessbelägga rapporteringen gör att den lägesbild som uppges vara huvudsyftet för åtminstone MSB kommer att vara tillgänglig i mycket begränsade kretsar. Erafarenhetsåtervinningen på nationell nivå är därmed inget som kan locka fler att rapportera.

Att det sannolikt kommer att saknas ett starkt driv att rapportera incidenter påverkar kvaliteten i lägesbilden. Ytterligare en aspekt som påverkar kvaliteten är den svaga begreppsmodelleringen av vad som ska inrapporteras samt att det saknas kriterier för verksamhetspåverkan i rapporteringen. Här hade stora lärdomar kunnat hämtas från exempelvis smittskyddsområdet och överhuvudtaget från ett mer vetenskapligt förhållningssätt. Att resonemang i denna riktning helt saknas både i dataskyddsförordning och i NIS-direktivet talar för sig själv.

Att incidentrapporteringen ändå fått ett så stort genomslag som universalmedel beror förmodligen på att den har en USP. Det går nämligen att förklara vad incidentrapportering är för politiker och andra makthavare medan många andra säkerhetsåtgärder på systemnivå kräver betydligt mer i pedagogik. Incidenter kan också kopplas till mer actioninriktad kommunikation som kan leda fram till snabba beslut än en diskussion om hur informationssäkerhet ska bli en normal del av förvaltningen. Men, som alla vet, är det inte alltid det som är lätt att sälja som är det vi bäst behöver.

Sammantaget tror jag följande. Den nationella incidentrapporteringen kommer inte att ge de enskilda organisationerna något stöd i det egna informationssäkerhetsarbetet och kvaliteten i de rapporter som faktiskt sker kommer att vara låg. Den gemensamma lägesbilden som summa kommer inte ha högre kvalitet än de ingående delarna och kommer därför att ha ett värde som inte är i paritet med fokus och de resurser som läggs på incidentrapporteringen. Vore det då inte bättre att försöka göra en något djupare analys och försöka reda ut vilka åtgärder som skulle ha en reellt säkerhetshöjande effekt på nationell nivå? Eller åtminstone sätta in incidentrapporteringen i ett sammanhang som redovisas och som kan vara del av en större styrmodell?

 

 

Frånvaron av den goda offentlighetsstrukturen

Den goda offentlighetsstrukturen, eller bristen på sådan, är värd ett blogginlägg till. För att sammanfatta mitt förra inlägg så är det inte bara kraven i OSL som gör att offentlighetsstrukturen inom myndigheter, kommuner och landsting bör prioriteras. Den transparens som ingen politiker, högre tjänsteman eller konsult någonsin missar att närmast religiöst lyfta fram på konferenser och i strategier som en förutsättning för en fungerande demokrati borde innebära att insyn är en central fråga.

Ett annat högaktuellt skäl är att god tillgång till korrekt information från källan är ett av de mest verksamma sätten att bekämpa den farsot av informationspåverkan som bedrivs av både politiska och kommersiella intressen.

Ytterligare en anledning som kanske är mer av motiverande karaktär är att om kravet på systematik och sökbarhet i informationshanteringen (som en god offentlighetsstruktur förutsätter)  realiseras skulle det innebära enorma effektivitetsvinster för den offentliga förvaltningen. Då skulle ju nämligen även medarbetarna på myndigheten eller i kommunen helt plötsligt få arbetsverktyg och en överblick som är  revolutionerande jämfört med i dag. Något som borde ligga helt i linje med de officiella digitaliseringssträvandena. I en kommentar till mitt förra blogginlägg i frågan framkom också att myndigheter ibland får anlita konsulter för att söka fram allmänna handlingar hos andra myndigheter, ett tydligt tecken på bristande insynsmöjligheter även mellan myndigheter.

Trots alla dessa goda anledningar i heta områden är ändå inte offentlighetsstrukturen god och de finns få indicier på att andra än enstaka torra bloggare intresserar sig för frågan. Och när man ändå närmar sig frågan så fastnar man i diarieföringen vilket jag ser som den återvändsgränd vi sprungit i sedan 1970-talet utan att någonsin bromsa in och fundera vad vi håller på med.

Innan jag tittar vidare på några myndigheters mer eller mindre ambitiösa insatser på området ska jag därför skriva litet om diarieföring som fenomen och dess roll som ett klent substitut för en god offentlighetsstruktur. Vad som måste noteras är att det inte finns någon skyldighet för myndigheter att diarieföra information utan skyldigheten är att allmänna handlingar ska vara registrerade. Däremot är kravet på god offentlighetsstruktur obligatoriskt. Varför är det här intressant? Jo, därför att diarieföring inte på något sätt borgar för en god offentlighetsstruktur – snarare tvärtom. Diarieföring är från början ett sätt att dagligen lista in- och utgående korrespondens (därav ordet diarium som litet slarvigt kan översättas som ”dagbok”). Sedan medeltiden och ännu tidigare har detta varit ett sätt för hov, kyrkliga institutioner och en begynnande förvaltning att hålla ordning på korrespondensen. I Sverige finns exempel från bruk och proto-industri där man redan tidigt började föra diarium – eftersom jag ordnade arkivet minns jag med särskild kärlek Långvinds bruk och dess diarium från 1600-talet.

Problemet är bara att diarieföringen sedan 1600-talet inte på något sätt utvecklats i samma takt som övrig informationshantering utan utgör en slags museal kvarleva i dagens förvaltning. Trots att myndigheter har både en och två registratorer (även kommuner och landsting) så ger inte diarieföring vare sig insyn utifrån eller möjlighet till styrning av informationshanteringen internt i myndigheten. Ingen tycks heller ställa krav på att det ska kunna gå att söka information eller registrera den utan personlig hjälp av en registrator. Att diariet omfattar endast en bråkdel av de allmänna handlingar som finns i myndigheten (d.v.s. att endast vissa typer av korrespondens samt dokument som ser ut som pappershandlingar) verkar inte heller väcka oro. Istället lever diarieföringen kvar som en ritual som blir allt mer tom år för år. Fossiliseringen har pågått under årtionden vilket också visar sig vid en snabb sökning på Libris. Sökningen renderar inte i en enda längre text som på djupet analyserar hur diarieföring i traditionell utformning skulle kunna ersättas av sökverktyg som bättre uppfyller andemening i OSL de senaste 30 åren.  En DIVA-sökning är ungefär lika nedslående.

 

 

Diarieföringen sker idag med en stor arbetsinsats och i it-system som utformats för att i mesta mån efterlikna papperskartotek och slippar i tre färger. Det finns ingen formell utbildning till registrator (Mitthögskolan har haft enstaka kurser på arkivutbildningen) utan detta är ett yrke som traderats från kvinna till kvinna och idag är mer en konstform än en funktionell sökfunktion. Det räcker att titta på sökmöjligheten som erbjuds i ett diarieföringssystem för att förstå hur lång bort från en Google-sökning vi är och vilken omöjlig nivå av förförståelse som krävs för att göra en sökning ens inom en myndighet.

För att ge ytterligare ett par exempel på hur det i realiteten ser ut för den som söker på en myndighets webbplats och vill ha insyn, inte bara tillgång till tjänster, så ska jag här beskriva ett par myndigheter som borde ha särskilt intresse för de här frågorna.

Lantmäteriet

Lantmäteriet har varit mycket framgångsrika när det gäller digitalisering och öppna data. När jag gnällt över att öppna data (som ju är näringsinriktade tjänster) prioriterats framför insyn ur ett demokratiskt perspektiv har jag ibland fått det lugnande beskedet att de två frågorna hänger ihop. Den myndighet som satsar ambitiöst på öppna data kommer att vara lika ambitiös när det kommer till insynsperspektivet har varit tanken. Men stämmer det i verkligheten?

Lantmäteriet har visserligen en lockande flik under Om oss som heter Diariet och informationsredovisning. Kan man bli annat än sugen på att kika in där? Under Informationsredovisning  finns en redovisning över olika hjälpmedel som används inom Lantmäteriet som t.ex.:

Informationshanteringsplan, som innehåller upp
gifter hämtade från Arkivförteckningen. Denna sammanställs som ett stöd till verksamheten. Planen beskriver verksamhetens processer och dess handlingstyper. För varje handlingstyp finns beskrivande och styrande information som t ex format, gallring, lagring och förvaring.

Den skulle jag gärna vilja ta del eftersom den ju vore en första ingång för att förstå vilken information som Lantmäteriets processer hanterar. Detta verkar dock bara vara en teaser för planen är inte tillgänglig på webben och det finns heller ingen hänvisning till hur jag skulle kunna ta del av den. Däremot kan jag klicka mig i in informationsredovisningsverktyget Klara där jag kan få ta del av

Historik och information om Lantmäteriets föregångare hittas i informationsredovisningsprogrammet Klara på respektive arkivbildare.

Det är alltså själva arkivredovisningarna som ligger här. Märkligt nog är även det nya materialet ordnat enligt allmänna arkivschemat framtaget 1903 och sammantaget är detta inte ett sätt att presentera information för målgrupper utanför den snäva arkivariekretsen. För att ändå vara någorlunda rättvis kan  en högmotiverad utomstående få ett visst grepp om det historiska materialet men knappast en insyn i dagens verksamhet.

Att det står Diariet och informationsredovisning är missvisande; något diarium kan jag inte hitta utan vad som gäller är att ta personlig kontakt med registratorerna om man inte söker remisser och remissvar samt rapporter som presenteras under egna flikar.

Sammantaget är bedömningen att Lantmäteriet möjligen har en halvgod offentlighetsstruktur när det gäller arkivbildningen men knappast när det gäller pågående verksamhet. Tesen att en satsning på öppna data med automatik leder till samma engagemang i insynsfrågor finner inte särskilt mycket stöd här.

MSB

Det är kanske litet dumt att titta på en myndighet där jag själv arbetat eftersom jag då har en betydligt bättre förförståelse än den vanlige invånaren. Men eftersom MSB har en roll gällande psykologisk försvar (oklart exakt vilken) och i att motverka informationspåverkan tycker jag det är intressant att se om och hur myndigheten själv understödjer källkritik med en god offentlighetsstruktur.

Tyvärr finns inte ens ett diarium tillgängligt (remisser och remissvar finns utlagda). Tanken verkar vara att man ska ringa eller maila registraturen. Med min ”lokalkännedom” uppfattar jag det som att MSB:s webbplats är tämligen orörd sedan myndighetens tillblivelse 2009. Om något ska göras åt detta jungfruliga tillstånd bör en god offentlighetsstrukturen vara ett centralt mål med tanke på de budskap som lämnas till externa parter om vikten av källkritik.

Efter detta tappar jag litet motivationen att närgranska fler myndigheters webbplatser. Jag bläddrar igenom eSams övriga medlemmar, d.v.s. myndigheter som uttryckt ett stort intresse för digitalisering: Migrationsverket, Statens Servicecenter, Arbetsförmedlingen, Kronofogden…  Det ser ungefär likadant ut hos de flesta, i korthet hänvisar man till att ta kontakt med registrator. Det verkar ha formats en icke-uttalad standard för hur liten ansträngning myndigheter tillåts göra för att skapa insyn.

För mig är det förvånande att omvärlden, och då kanske allra mest journalister, finner sig i den dåliga insynen i myndigheters verksamhet och att kritiken som riktas då riktas nästan enbart mot bristande diarieföring och rutiner för utlämnande. Exempel på detta är när Peter Wolodarski idag (15 oktober) riktar en helsida med i och för sig mycket välmotiverad kritik mot UD för att man tar alldeles för lång tid på sig att lämna ut handlingar. Wolodarski utvecklar den kritik som redan framförts av JO om brister i diarieföring och utlämnande. Självklart är detta brister som måste tas på stort allvar och i sitt svar på Facebook säger Margot Wallström att hon ska göra det:

I DN i dag den 15 oktober tar Peter Wolodarski upp de anmärkningar som Utrikesdepartementet fått från Justitieombudsmannen för att inte skyndsamt nog ha lämnat ut information om mejl om Sveriges kampanj till FN:s säkerhetsråd.

Det ska inte råda något tvivel om att jag delar Wolodarskis syn på värdet i offentlighetsprincipen. Öppenhet och transparens är värden som Sverige förknippas med och främjar över hela världen.

I det aktuella fallet begärdes information om drygt 74 000 mejl ut. För vart och ett måste vi ta ställning till om någon uppgift omfattas av sekretess i enlighet med offentlighets- och sekretesslagen. Det är ingen liten uppgift: grovt skattat bedöms detta ärende ta ungefär ett och ett halvt års arbetstid.

JO bedömer att UD inte har handlagt ärendet tillräckligt skyndsamt. I vissa fall har UD, enligt JO, inte heller tagit ställning löpande till registrering av mejl i ärendet. Som departementschef för UD ser jag allvarligt på JO:s anmärkningar. UD har sedan år 2014 sett över och förändrat rutinerna för hur vi hanterar utlämning av handlingar. Förfrågningar om att få ta del av allmänna handlingar är arbetsuppgifter som ska hanteras skyndsamt och gå före annan verksamhet, och vi tillsätter extra resurser vid arbetstoppar. Vi fortsätter nu vårt arbete för att förbättra dessa rutiner

Men även om diarieföringen och utlämnandet skulle fungera oklanderligt enligt de normer som gäller idag menar jag att detta inte på något sätt är tillräckligt för att skapa en god offentlighetsstruktur på det sätt som OSL kräver, bl.a:

2 § Varje myndighet ska upprätta en beskrivning som ger information om
1. myndighetens organisation och verksamhet i syfte att underlätta sökande efter allmänna handlingar,
2. register, förteckningar eller andra sökmedel till myndighetens allmänna handlingar,
3. tekniska hjälpmedel som enskilda själva kan få använda hos myndigheten för att ta del av allmänna handlingar,

Jag hävdar att det med dagens teknik är fullt möjligt att ge offentlighetsprincipen ett reellt innehåll, ge insyn, ge möjlighet till förståelse för vilken information som finns och ge tillgång till allmänna handlingar utan onödiga dröjsmål. Men istället för god offentlighetsstruktur fortsätter vi med en fullständigt obsolet diarieföring.

Varför nöjer vi oss med så litet?  Varför låter vi inte digitaliseringens omvandlande kraft användas här där det är så angeläget?

Nya roller vid outsourcing

Sällan har uttrycket ”på förekommen anledning” förefallit så relevant som när en promemoria angående Skärpt kontroll av statliga myndigheters utkontraktering och överlåtelse av säkerhetskänslig verksamhet  presenterades och skickades på remiss i veckan. Den konspiratoriskt lagde funderar naturligtvis vid vilken tidpunkt promemorian initierades och hur diskussionen gick då . Nu är den i alla fall lagd och det är naturligtvis intressant att se på det faktiska innehållet. Redan här bör det dock poängteras att promemorian endast gäller statliga myndigheter och därför saknar relevans i den senaste veckans diskussioner om kommunernas säkerhetsskydd till exempel.

Såvitt jag kan se innehåller den egentligen bara tre förslag på förändringar i säkerhetsskyddsförordningen som innebär konkreta förändringar. För det första kompletteras rubriken för 16 § till att omfatta även utkontraktering (Överlåtelse och utkontraktering av verksamhet som drivs av det allmänna). På det sättet tydliggörs att reglerna även omfattar outsourcing av den typ som genomfördes vid Transportstyrelsen.

För det andra ska myndigheter som planerar att genomföra till exempel en outsourcing genomföra en särskild säkerhetsanalys:

undersöka och dokumentera vilka uppgifter i den verksamhet som myndigheten avser att utkontraktera som ska hållas hemliga med hänsyn till rikets säkerhet och som kräver säkerhetsskydd (särskild säkerhetsanalys)

Eftersom säkerhetsskyddsförordningen redan förutsätter att myndigheten ska ha koll på var det finns uppgifter som ska hållas hemliga bör detta i princip inte innebära något större merarbete. Redan initialt vid en planerad outsourcing bör det ju vara klart om det förekommer hemliga uppgifter eller inte i den information som ska outsourcas. Naturligtvis vet jag att det inte alltid är så i verkligheten men nu försöker jag ringa in vad som är det som kan tillkomma som nya element. Den tredje förändringen är också den som innebär den stora förändringen, nämligen att det inte, om förslaget går igenom, längre räcker att själv upplysa den enskilde outsourcingpartnern om att säkerhetsskyddslagen som gäller för utkontrakterade. Nu ska myndigheten också samråda med tillsynsmyndigheten (Försvarsmakten respektive SÄPO) om den planerade outsourcingen. Myndigheten ska alltså ta sin särskilda säkerhetsanalys till sin tillsynsmyndighet för samråd redan innan upphandling inleds. Tillsynsmyndigheten får också enligt förslaget ett mycket starkt mandat att styra upphandlingen och till och med stoppa den:

Tillsynsmyndigheten får förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens
krav inte kan tillgodoses trots att ytterligare åtgärder vidtas får tillsynsmyndigheten
besluta att utkontrakteringen inte får genomföras.

Utdraget till sin konsekvens ger förslaget ett helt nytt rollspel där Försvarsmakten respektive SÄPO blir ytterst ansvariga för riskbedömningen medan myndigheten som ska outsourca i princip kan skicka in sin säkerhetsanalys och därefter sätta sig på läktaren. Detta innebär både potentiella nackdelar som att ansvarsprincipen sätts ur spel och fördelar som att det tydliggörs vem som egentligen gjort bedömningen, d.v.s. tillsynsmyndigheterna. Händer det något med den information som outsourcats och alla de åtgärder som myndigheten förelagts av SÄPO kan vad jag ser inget ansvarsutkrävande ske mot myndigheten. Hur SÄPO ska kunna hålla sig uppdaterade för att kunna göra korrekta riskbedömningar är för mig svårt att riktigt förstå. Med tanke på förslagen till utvidgning av säkerhetsskyddslagens tillämpning i förslaget till säkerhetsskyddslag där det är mycket oklart vad som ska anses påverka ”Sveriges säkerhet” ser jag framför mig en ny flaskhals i den offentliga förvaltningen när SÄPO ska döma av alla större upphandlingar. Det ska bli intressant att läsa remissvaren och se hur dessa frågor diskuteras av remissinstanserna.

Test: Offentlighetsstrukturen hos tre myndigheter

I dessa dagar då vikten av att kunna gå till källan för att kontrollera fakta har blivit alltmer uppenbar borde offentlighetsprincipen lyfts fram som den nationalklenod den är bara av det skälet. Så är inte fallet vad jag kan se, trots 250-årsjubileet förra året. I så fall skulle den exempelvis haft en central plats i den nationella digitala strategin men avsnittet Demokratin värnas i digitala miljöer som börjar bra med

Digitalisering bidrar till att skapa förutsättningar för ett öppet och inkluderande demokratiskt samhälle med goda möjligheter att uttrycka och sprida åsikter, idéer och information.

utmynnar endast i förslag rörande medier. Ord som insyn och offentlighetsprincip förekommer överhuvudtaget inte i strategin.

 Tråkigt tycker jag, särskilt med tanke på att insikten om insynens betydelse för ett väl fungerande samhälle fanns (i alla fall med hjälp av vissa politiska påtryckningar) till och med hos Adolf Fredrik (på bilden ovan) som annars mest intresserade sig för att svarva snusdosor. Han undertecknade 1766 lagtexten som motiverade offentlighetsprincipen med:

”Att vi eftersinnat den stora båtnad allmänheten av en rättskaffens skriv- och tryckfrihet tillflyter i det en obehindrad inbördes upplysning uti varjehanda nyttiga ämnen icke allenast länder till vetenskapers och goda slöjders uppodling och utspridande, utan ock gifver en hvar af undersåtarne ymnigare tillfälle att dess bättre känna och värdera ett visligen inrättadt regerings-sätt; ävensom ock denna frihet bör anses för ett af de bästa hjälpmedel till sedernas förbättring och laglydnadens befrämjande, då missbruk och olagligheter genom trycket bliva för allmänhetens ögon ådagalagda.”

 

Dagens ministrar är knappast distraherade av att svarva snusdosor, ändå missas hur gynnsamt insyn är för samhället i de förvaltningspolitiska utspelen.

Men trots allt är ju faktiskt offentlighetsprincipen, om än undanskymt, fortfarande det som gäller för myndigheter, landsting och kommuner. I en digital verklighet skulle också själva innebörden av principen kunna förverkligas, långt bortom tunga ritualer bland uråldriga diarieföringsprinciper och pappershantering. En positiv bieffekt av en mer digital och utvecklad tillämpning är att det också skulle kunna leda till ett indirekt försvar av offentlighetsprincipen som nu ibland ifrågasätts av att den kan vara administrativt tyngande för vissa verksamheter. Det är naturligtvis ett orimligt argument men med en smidigare hantering skulle det återkommande ifrågasättande av enskildas möjlighet till insyn kunna reduceras så att det inte längre utgör ett hot.

I ett tidigare blogginlägg har jag skrivit om behovet av att utveckla offentlighetsprincipen och Peter Seipels viktiga text om de olika tolkningar som är möjliga. Som jag ser det finns det både ett mycket stort behov av att utveckla offentlighetsprincipen samtidigt som möjligheterna att göra det i princip är oändliga. Det som avgör är enbart om det finns en vilja att förbättra insynen eller inte. Att döma av de insatser som hittills gjorts av regeringar oavsett färg de senaste decennierna, då frågor som 24-timmarsmyndigheter, e-förvaltning och digitalisering varit ständigt prioriterade, är viljan inte besvärande intensiv. Faktiskt knappt synlig.

För att inte bara fördomsfullt anta saker har jag gjort ett litet test av nuläget. Offentlighetsprincipen innebär inte enbart att man kan begära ut allmänna handlingar. Myndigheten ska underlätta för den intresserade att få insyn i själva handlingarna men inte bara det; man ska även ha en så kallad god offentlighetsstruktur. Detta beskrivs i offentlighets- och sekretesslagen (OSL) 4 kap. Allmänna åtgärder för att underlätta sökande efter allmänna handlingar, m.m. där det särskilt betonas att en myndighet särskilt ska beakta att enskilda bör ges goda möjligheter att söka allmänna handlingar samt:

Beskrivning av en myndighets allmänna handlingar

2 § Varje myndighet ska upprätta en beskrivning som ger information om
1. myndighetens organisation och verksamhet i syfte att underlätta sökande efter allmänna handlingar,
2. register, förteckningar eller andra sökmedel till myndighetens allmänna handlingar,
3. tekniska hjälpmedel som enskilda själva kan få använda hos myndigheten för att ta del av allmänna handlingar,
4. vem hos myndigheten som kan lämna närmare upplysningar om myndighetens allmänna handlingar, deras användning och sökmöjligheter,
5. vilka bestämmelser om sekretess som myndigheten vanligen tillämpar på uppgifter i sina handlingar,
6. uppgifter som myndigheten regelbundet hämtar från eller lämnar till andra samt hur och när detta sker, och
7. myndighetens rätt till försäljning av personuppgifter.

 

Vad är då rimliga förväntningar på god offentlighetsstruktur idag om man redan 1766 beslutade följande:

”och bör till den ändan uti alla arkiver fri tillgång lämnas att sådana handlingar få avskriva på platsen eller utbekomma i bevittnad avskrift och det vid samma tjänsteansvar som nyss nämnts”

Själv tycker jag att det är en miniminivå utifrån OSL:s krav i ett digitalt Sverige att myndigheters webbplatser ska vara ingången för den enskilde att söka information inte bara om myndighetens tjänster utan om vilka allmänna handlingar som finns i myndigheten. Det bör alltså finnas en beskrivning av myndighetens processer och den information som genereras ur dessa processer alternativt stödjer processerna. Eftersom myndigheter ändå enligt en föreskrift sedan 2008 är skyldiga att ha en processorienterad arkivredovisning borde inte detta vara ett ohemult krav. Sättet att beskriva verksamheten och informationen måste självklart vara så att en utomstående kan förstå den utan att ha kontakt med myndighetens personal, typ registratorer. Det är viktigt att understryka att det inte går att begränsa sig till vilka handlingar som finns registrerade i diariet vilket ju naturligtvis är en bråkdel av alla de allmänna handlingar som finns i myndigheternas it-tjänster och -system. Inte heller kan offentlighetsstrukturen sägas gälla de tjänster som en myndighet har i förhållande till allmänheten – insynen måste riktas främst mot myndighetens egen verksamhet om den ska tjäna de syften som uppställts.

Som utomstående bör jag också ha möjlighet att söka på och identifiera enskilda allmänna handlingar, även detta utan att behöva ta kontakt med myndigheten. Myndigheten bör också i detta sammanhang kunna redovisa väsentliga uppgifter som om på vilket sätt personuppgifter kan ingå i olika handlingar och vilka gallringsbeslut som fattats om olika informationsmängder.

Slutligen bör jag kunna ta del av handlingarna digitalt. Inte heller detta gäller endast de handlingar som finns i diariet utan samtliga allmänna handlingar. En sekretessprövning måste i många fall ske innan utlämnandet men även detta är en rutin som borde kunna effektiviseras och där de handlingar som per definition är offentliga ligger tillgängliga för nedladdning. Så är ju redan fallet med protokoll m.m. från de politiska församlingarna i kommunerna.

För att göra en liten temperaturmätning har jag formulerat, i mitt tycke, tre rimliga frågor för test på några myndigheter/kommuner för att se hur utvecklad deras offentlighetsstruktur är:

  1. Får jag en beskrivning av verksamheten och av de allmänna handlingar som är kopplade till myndighetens processer?
  2. Kan jag själv söka och identifiera enskilda allmänna handlingar?
  3. Kan jag ta del av handlingarna digitalt?

För att börja uppifrån tänkte jag i det här blogginlägget börja med några centrala myndigheter. Med avsikt avstår jag från att testa regeringens hemsida eftersom jag redan tillbringat mycket tid med att snurra runt på den för att söka information – sällan med önskat resultat. Istället tänkte jag titta på några myndigheter som har uppdrag så att de skulle kunna påverka offentlighetsstrukturen hos andra myndigheter alternativt varit delaktiga i nationella digitaliseringsaktiviteter.

Riksarkivet

Riksarkivet har vid sidan om uppdraget om det långsiktiga bevarandet också gett ut föreskrifter om bland annat arkivredovisning vilket är grunden för hur myndighetens allmänna handlingar redovisas. Myndigheten har även ingått i E-delegationen och där haft uppdrag bland annat att genomföra projekt om e-diarium. Riksarkivet har sedan den 1 juli år 2016 i uppdrag att främja arbetet med att tillgängliggöra information och öppna data från statliga myndigheter. Detta är ett axplock av Riksarkivets aktiviteter på området vilket skulle föranleda en att tro att myndighetens egen offentlighetsstruktur är väl utvecklad.

startsidan  finns ingenting som leder en besökare intresserad av Riksarkivets verksamhet och de allmänna handlingar som stödjer den. Jag går via Om Riksarkivet vidare till Om oss och kan då gå in på fliken Organisation som visare den traditionella matrisbilden. Organisationen beskrivs också i fyra ”processområden” vilket känns något motstridigt som begrepp men ger en ganska tydlig bild av vad man sysslar med. Däremot saknas helt uppgifter om vilken information som stödjer processerna.

Jag gör en sökning på diarium för att kanske hitta myndighetens diarium så att jag åtminstone kan se vilka allmänna handlingar som är diarieförda men får då 202 träffar som handlar om olika projekt som Riksarkivet deltagit i för att bland annat utveckla e-diarium. En träff känns aningen ironisk: en nyhetsnotis om en rapport där Riksarkivet framhåller de enorma samhällsvinster som skulle kunna göras med e-diarium och e-arkiv. Det är möjligt att de bland de 202 träffarna döljer sig något litet myndighetsdiarium som jag inte upptäckte när jag skummade igenom söklistan men då är det så väl dolt att i praktiken inte är sökbart.

Vad jag kan se är de enda allmänna handlingar som identifierade, sökbara och även möjliga att ta del av digitalt de remissvar som Riksarkivet skrivit. Det är svårt att säga något annat att det är ett klent resultat för en myndighet som borde hålla fanan högt för en god offentlighetsstruktur.

Pensionsmyndigheten

Pensionsmyndigheten är en stor myndighet och har också varit involverad i flertalet mer eller mindre lösa organisationer inom digitaliseringsområdet som exempelvis E-delegationen. Myndigheten är nu hemvist för eSam, ett medlemsdrivet program för samverkan mellan 21 myndigheter och SKL. Samarbetet syftar till att underlätta och påskynda digitaliseringen av det offentliga Sverige.

På Pensionsmyndighetens webbplats finns betydligt mer av den information jag söker än hos Riksarkivet. Från första sidan kan jag gå in via Om oss och klicka vidare till en föredömligt tydlig box: Lagar, regler och allmänna handlingar. Här finns en länk till en arkivbeskrivning i pdf-format som också ger exempel på handlingar som används i olika ärendeslag/processer. Arkivbeskrivningen redovisar också sökverktyg som finns samt Pensionsmyndighetens gallringsregler. Exemplariskt ur arkivariesynpunkt men sannolikt svårt att koppla informationen till en enskild handling som önskar göra det; t.ex. för att begära ut en enskild handling eller försöka se om en handling som man vill ta del av kommer att gallras.

Dessutom finns ett e-diarium som lider av den svaghet som alla andra diarier har, nämligen att man måste vara registrator för att kunna använda det som söksystem. Heliga åtgärder som att man måste lägga in datum för att kunna få fram resultat är en avgörande nackdel för den som är van att googla men så är inte heller diarieföringssystemen utformade för att ge bredare allmänhet sökmöjligheter.  Eftersom det saknas fritextsökning måste den som söker ha mycket hög grad av förförståelse för att kunna göra en lyckad sökning. Här måste jag veta vilken typ av ärende som Pensionsmyndigheten anser att en handling ingår i eller vem som är ”motpart” för att kunna göra en sökning. När jag skriver in ”digitalisering” får jag exempelvis fram enbart två handlingar eftersom det är de enda handlingar (gissar jag) som har ”digitalisering” i rubriken. Det saknas alltså metadatahantering vilket leder till att en myndighet som har haft väldigt många fingrar i digitaliseringsburken ändå via sitt diarium framstår som helt utanför. Den instruktion till diariet som presenteras visar väl litet på svårigheterna:

Så söker du i e-diariet

  • Ange namn på ett ärende eller motpart. Du kan skriva in hela eller delar av namnet.

  • Du kan söka ärenden inom olika verksamhetsområden.

  • Du kan söka bland pågående ärenden, avslutade ärenden eller alla ärenden.

  • Ett ärende-ID består av ett prefix (till exempel VER), årtal och löpnummer och skrivs på följande sätt: VER 2010-2.

  • Via datumfälten anger du vilket datumintervall sökningen ska göras inom.

  • Sökresultatet sorteras efter datum som du själv kan sortera på.

 

Man kan också gå in via Senast diarieförda handlingar som redovisar diarienummer, ärenderubrik och datum för handlingar som diarieförts de senaste sju dagarna. Även här krävs ofta en hög grad av förförståelse för att kunna tillgodogöra sig informationen och handlingarna är inte läsbara i sig en när de är uppenbart offentliga.

Sammantaget har Pensionsmyndigheten gjort en stark ansats för att få en god offentlighetsstruktur men fortfarande känns det som att det är starkt inifrån-och-ut-perspektiv som präglat det som gjorts. De är olika delar som satts ihop utan att en riktig synergi uppstått och e-diariet som är den enda egentliga sökmöjligheten är dels inte ett fungerande sökverktyg för en utomstående, dels innehåller det endast begränsade delar av de allmänna handlingar som finns inom myndigheten. Det går inte heller att förstå var det förekommer personuppgifter eller vilka handlingar som gallras när.

ESV

En annan viktig myndighet i digitaliseringsbranschen är ESV som ska stödja regeringen och Regeringskansliet med att ta ett helhetsgrepp om digitaliseringen och driva utvecklingen framåt, tillsammans med myndigheterna. Bland annat genom att analysera den offentliga sektorns digitalisering, följa myndigheternas it-användning, utveckla metodstöd och ge stöd inom nyttorealisering. Det är också ett uppdrag som förpliktigar och där ambitionen för den egna verksamhetens digitala hantering borde finnas.

Att döma av ESV:s webbplats ligger myndigheten tyvärr på samma nivå som Riksarkivet med enbart remissvar som tillgängliga allmänna handlingar.

Genomgången av de tre myndigheterna gav inte ett positivt resultat. Jag kan ana flera bakomliggande orsakerna till det dåliga utfallet som inte är knutet till de enskilda myndigheterna utan snarare är generella. Det främsta skälet tror jag är att offentlighetsprincipen obekväm. Bara häromdagen hörde jag en statlig tjänsteman till synes obrydd förklara att hen inte brydde sig om att diarieföra handlingar eftersom det var så jobbigt när utomstående började ringa och fråga om ärendet. Men det obekväma ligger också på en helt annan nivå, kunskap är makt och en tämligen oproblematisk hypotes är att den som har makt gärna vill ha kvar den orubbad. Kanske är det därför det finns så få högljudda förespråkare för verklig insyn bland högre tjänstemän och politiker. En annan orsak är den rådande förvaltningsfilosofin som är och under en längre tid har varit starkt influerad av New Public Management där offentlig sektor ses i huvudsak som en tjänsteleverantör bland andra. Eftersom denna trend har varit i princip synkroniserad med digitaliseringen har demokrati- och insynsaspekter varit kraftfullt nedprioriterade. Ett tredje skäl kan vara den bristande styrning myndigheter internt har av sin informationshantering. Min erfarenhet är att många myndigheter inte styr sin informationsförsörjning på ett systematiskt sätt och därmed kan man inte heller presentera den på ett begripligt sätt utåt. Sannolikt är den bristande sökbarheten och den fragmentariska beskrivningen den samma inifrån som utifrån, något som inte gynnar verksamheter som är helt beroende av sin informationsförsörjning.  Sammantaget finns allt att vinna på att ägna sig åt att utveckla den goda offentlighetsstrukturen vilket alldeles särskilt bör gälla de myndigheter som i någon mån ska utgöra föregångare för andra.

Jag tar gärna emot synpunkter på det jag nu skrivit, om det är missvisande, har felaktiga utgångspunkter eller om jag missat något på de webbplatser jag gått in på.