Kan vi sluta vanvårda offentlighetsprincipen?

Offentlighetsprincipen ligger mig mycket varmt om hjärtat men de senaste decenniernas hantering av denna den svenska demokratins USP kan inte göra dess vänner annat än djupt bekymrade.Låt mig då bara först säga att jag  inte bara har ett känslomässigt engagemang för offentlighetsprincipen utan även en utbildning med inriktning på informationshantering och en mycket lång praktisk erfarenhet av frågor runt utlämnande av allmänna handlingar och det är med denna bakgrund som jag skildrar nedanstående fenomen.

Min oro fick ny näring förra veckan när jag från MSB begärde ut underlag rörande den uppföljningsstruktur som jag skrev om här. Jag begärde ut dels själva frågorna som ingick i den s.k. strukturen som beskrivits i rapporten, dels återkopplingen från de myndigheter som ingått som försökskaniner i projektet med framtagandet. Snabbt fick jag ut den första delen men när det kom till återkopplingen från myndigheterna blev det problem. Här ska jag inte gå in på själva reaktionerna från myndigheterna vilka var påfallande svala utan mer handläggningen som jag tyvärr följer ett mönster som blir allt vanligare bland myndigheter, regioner och kommuner.

Trots att innehållet i dokumentet var banalt inleddes handläggningen med att handläggaren sa att en sekretessprövning måste göras. Därefter fick jag efter någon dag dokumentet men flitigt maskat med hänvisning till OSL 18:8 (sekretess gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs) samt stämplat med sekretess.  Något motstridigt skriver handläggaren i mejlet:

Är du inte nöjd med detta kan du begära att frågan lämnas till myndigheten för ett skriftligt beslut som kan överklagas.

Som den rutinerade medborgare jag är svarar jag att jag självklart vill ett skriftligt beslut med besvärshänvisning vilket två dagar senare leder till följande besked:

Efter en förnyad bedömning har vi funnit att dokumentet kan lämnas ut i sin helhet.

Att jag redovisar hela handhavandet är för att visa hur rutiner och bristande kompetens hos handläggarna leder dels till extra arbete (maskning är ett tidskrävande pyssel) men också en stor risk för att medborgaren inte kan åtnjuta sina lagliga rättigheter. Gissningsvis finner sig de flesta i det första svaret och går inte vidare och missar därmed en möjlighet att få tal del av information som skulle kunna vara väsentlig.Om man ska vara petig så är det väl också så att jag faktiskt fick ett skriftligt avslag med hemligstämplingar och allt men utan besvärshänvisning.

Detta är naturligtvis fel sett till den grundlagsskyddade rätten enligt tryckfrihetsförordningen krav på handlingsoffentlighet:

2 kap 1§ Till främjande av ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande ska var och en ha rätt att ta del av allmänna handlingar.

men strider även mot förvaltningslagens krav på myndigheter:

6 §   En myndighet ska se till att kontakterna med enskilda blir smidiga och enkla.

Myndigheten ska lämna den enskilde sådan hjälp att han eller hon kan ta till vara sina intressen. Hjälpen ska ges i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myndighetens verksamhet. Den ska ges utan onödigt dröjsmål.

Visserligen brukar regeln vara att den som ”har handlingen om hand”, dvs den tjänsteperson som har ärendet, också ska fatta beslut om huruvida den vid utbegäran ska lämnas ut eller inte vilket är bra ur serviceperspektivet. Men min erfarenhet är att den vanliga tjänstepersonen ofta drivs av ängslighet inte mot att eventuellt gå emot grundlagens intentioner utan för att skapa oro i organisationen och därför hellre fäller än friar. Denna uppfattning bygger jag på att jag vid ett flertal tillfällen sett samma förlopp: tjänstepersonen säger nej men när frågan i nästa steg kommer till en jurist så blir det en strikt juridisk prövning vilket leder till att handlingen lämnas ut. Tyvärr känner de flesta medborgare inte till att de sannolikt inte till att de måste upprepa sin fråga två gånger för att få rätt vilket inte heller kan ses som förenligt med förvaltningslagens krav. En bättre fungerande rutin är att handläggaren får svara ja men i de fall då man lutar åt att neka utbegäran bör frågan omedelbart gå till myndighetsjuristerna utan det kladdiga mellansteget med onödiga maskningar och felaktiga hemligstämplingar. Jag tror inte att det är möjligt att i stora myndigheter, särskilt inte de med viss säkerhetskaraktär, bibringa alla medarbetare rätt kompetens för att på ett rättssäkert sätt ta ställning till vad som verkligen ska ses som hemligt i lagens mening. Därför är det bästa sättet att omge offentlighetsprincipen med rätt respekt den rutin jag föreslår.

En annan litet dyster upplevelse i veckan var när jag deltog i en arkivfrukost med Riksarkivet där remissvaren på den nyligen levererade arkivutredningen diskuterades. I detta sammanhang ventilerades Riksarkivets eget remissvar och de initiativ som planerades som en följd av detta. Mycket var bra men själv reagerade jag starkt på att medborgarens rättigheter definierades som rätten till att informationen rörande den egna personen skulle vara korrekt osv. Avsaknaden av demokratiperspektivet var slående trots att arkivlagen har så stark knytning till just tryckfrihetsförordningen. Om medborgarens rätt till allmänna handlingar snarare handlar om en partsinsyn än den offentlighetsprincip som ska främja ”ett fritt meningsutbyte, en fri och allsidig upplysning” har vi tappat ett mycket viktigt demokratiskt inslag. Extra tråkigt är det om Riksarkivet som i sitt uppdrag har så stor möjlighet att driva dessa frågor hemfaller till att se medborgaren som kund till offentliga tjänster istället för som en deltagare i den ständigt pågående demokratiska processen.

Ytterligare en negativ faktor för offentlighetsprincipen är det stora fokus som idag ligger på öppna data där retoriken ibland går mot att öppna data skulle vara något som skulle kunna ge en ökad insyn eller ett demokratiskt värde. Jag skulle vara mycket glad om en bråkdel av det intresse och de resurser som läggs på öppna data skulle läggas på att stärka offentlighetsprincipen. Hoppet om detta är dock ytterst begränsat men jag tycker att vi åtminstone kunde låta bli att blanda ihop korten och låtsas som att öppna data för att bygga tjänster på något sätt skulle kunna utgöra en ersättning för offentlighetsprincipen. För att hårdra det skulle det gå alldeles utmärkt att kombinera öppna data med en diktatur vilket jag gissar att Kina skulle kunna vara ett exempel på.

Detta var bara några aktuella exempel på hur vi i mitt tycke vanvårdar offentlighetsprincipen. Jag ser ett mycket stort mörkertal av oförverkligad deltagardemokrati som blir följden av att vi inte månar om att aktivt sprida tillgången till allmänna handlingar. Tyvärr verkar myndigheter och det offentliga Sverige lämnat arenan och överlåtit till medierna driva frågan. Själv återvänder jag ofta till Lennart Lundquists Demokratins väktare för att hämta inspiration – om vi nu har en sådan tillgång som offentlighetsprincipen bör alla tjänstepersoner se sig som demokratins förkämpar och ta till sig att offentlighet är defaultläget och sekretessen endast ska användas då man har mycket tydliga skäl .

Skammens rodnad på säkerhetskinden

Jag har alltid haft svårt för den oreflekterade gruppkänslan, när tillhörigheten till en grupp blir så viktig för ens (yrkes)identitet att det skuggar tankens klarhet. Tyvärr tycker jag att säkerhetsbranschen ofta drabbas en överdriven gruppkänsla som leder till ett grupptänk och inte minst av en oförståelse för hur det ser ut i ”verkligheten”. Att predika för kören, d.v.s. för andra säkerhetsmänniskor, är enklare än att öppet diskutera säkerhetsfrågor med människor som har andra och kanske viktigare prioriteringar än säkerhet.

Själv måste jag erkänna att jag grips av en skamkänsla över att erbjuda lösningar som tar så mycket tid från kärnverksamheten, dessutom med oklart resultat. Trots att säkerhetsbranschen av tradition är högerlutande, vilket i normala fall skulle leda till ett ifrågasättande av byråkrati, krångel, förmynderi och slöseri med skattemedel, så godtas orimligt insatskrävande säkerhetsåtgärder i just skattefinansierade verksamheter. Ganska hemmablint kan man tycka.

Låt mig bara ta några exempel. I Sverige finns runt 5000 grundskolor. Såsom praxis och stöd är utformade ska då informationsklassning genomföras om inte i samtliga grundskolor så åtminstone per förvaltning eller grundskoleområde, gärna med stöd av SKR:s KLASSA. Många kommuner väljer dessutom att ta in konsulter för att genomföra klassningarna med KLASSA för dyra pengar och utan att den så viktiga dialogen uppstår mellan verksamhet och informationssäkerhetsansvarig. Åtgärderna som levereras ur KLASSA är inte i de flesta fall konkreta utan snarare på en nivå som kräver en egen utredning för framtagning av åtgärder hos kommunen som använder verktyget. För mig känns det som en mycket dyrbar metod som ger ett resultat som i bästa fall är tveksamt. Som jag tidigare skrivit betraktar jag inte det som ett sätt att effektivisera säkerhetsarbetet och föreslår andra möjligheter.

Några andra som inte är så ängsliga för att ta säkerhetsresurser i anspråk är MSB. Myndigheten har nu tagit fram en egen mognadsmodell som såvitt jag kan se inte har något vetenskapligt stöd (däremot en närmast rörande metodbeskrivning med formel och allt). Det framgår inte heller varför man inte tydligare anslutit till ISO 27004 som visserligen nämns men lämnar få spår i utformningen. MSB har gått så långt att man skrivit in ISO 27001/27002 i sin föreskrift för statliga myndigheter så det skulle känts rätt logiskt att man då gått all in i standardfamiljen även då det gäller uppföljning.

Rapporten är ett svar på ett regeringsuppdrag:

MSB fick den 19 september 2019 i uppdrag av regeringen att ta fram en struktur för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen. Uppföljningsstrukturen ska syfta till att aktörer i offentlig förvaltning regelbundet ska erbjudas att medverka i uppföljningen och få återkoppling som omfattar en bedömning om vilken nivå deras informationssäkerhetsarbete befinner sig på samt förslag på åtgärder som bör vidtas för att uppnå en högre nivå på informationssäkerhetsarbetet. Uppföljningsstrukturen ska även syfta till att MSB regelbundet ger regeringen en samlad bedömning om nivån på det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen.

Detta skulle kunna tolkas som något som liknar frivillig tillsyn eller revision men istället har MSB knåpat ihop något som enligt min bedömning (jag har ändå rätt många år i mätbranschen) kommer att ta avsevärd tid att hantera för de organisationer som väljer att delta utan egentlig nytta. Ja, visst får ledningen en överblick men även den som är mest besatt av mantrat ”ledningens genomgång” måste någon gång landa i att det är praktiska åtgärder som måste vidtas för att förbättra säkerheten – det räcker inte att rapportera aldrig så mycket. Jag vet hur betvingande det är med spindeldiagram, jag har stått inför otaliga ledningsgrupper och showat med gott resultat, men det som gav verklig nytta var något annat. Det var de insatser vi lade ner på att skriva detaljerade rekommendationer noggrant anpassade efter den specifika organisationens förutsättningar och risker. Efter att ha läst MSB:s rapport kan jag inte förstå hur denna typ av frågeställningar öht ska kunna besvaras och vad eventuella svar skulle kunna ha för kvalitet:

Hur räknar man ens procent på åtgärder? Är åtgärden att sätt lås på ett dokumentskåp lika mycket värd som att ändra backup-rutiner liksom? Måste åtgärderna att ha varit fullständigt genomförda för att räknas eller räcker det att de är påbörjade? Om det endast fullständigt genomförda åtgärder som ingår kommer då organisationen att prioritera kortsiktiga åtgärder och välja bort de som tar lång tid men som kanske har större betydelse för säkerheten? Att med så många grundläggande osäkerhet försöka tillämpa en formel som denna

 

ger mig ett intryck av ett helt verklighetsfrämmande projekt.

Ett tredje ack så resurskrävande villospår är de externa revisioner som många organisationer väljer att göra. Det är ett enkelt men kostsamt beslut att ta för ledningen. Och när man ser på leveranserna från inte minst större välrenommerade företag blir man ofta beklämd. Rapporterna, som inte sällan kommer i power point-format, är så uppenbart standardrekommendationer som av juniora konsulter klippts samman till något som inte är anpassat till kundens verksamhet och i vissa fall inte ens till svensk kontext. Hur svårtolkade (en eufemism) rapporterna kan vara tyder den absurda upplevelse som jag stött på när ett revisionsbolag anlitas för att uttolka ett annat revisionsbolags rapport och försöka göra om den till något som liknar förslag på begripliga åtgärder. Och nej, det blev inte så mycket begripligare i nästa led.

Trots den bristande kvaliteten i många revisionsrapporter får de orimligt stor betydelse i många organisationer. Ledningar tar dem på stort allvar och tycker sig ha fått ett underlag både för den så omtalade ”benchmarketingen” och för att att kunna vidta rätt säkerhetsåtgärder.  Det är inte så konstigt; ledningen tycker sig ha betalat dyrt för att få en professionell genomgång av ett område som man själv i de flesta fall är dåligt insatt i. Att ställa kritiska frågor är inte aktuellt, särskilt om det skulle kunna avslöja ens egen bristande kunskap.

Vid ett inte oväsentligt antal tillfällen har jag tyckt när jag läst rapporterna att de varit mer eller mindre vilseledande när det gäller vilka åtgärder som rekommenderas. Eftersom de som utfört revisionen på ett industriellt sätt inte haft möjlighet att sätta sig in i kundens förutsättningar kan fokuseringen på de prefabricerade åtgärderna leda till både dubbelarbete när vissa element faktiskt redan finns på plats men under annan benämning än revisionsbolagets och till att väsentliga risker missas. Dessutom är hänsyn sällan tagen till beroendeförhållandet mellan olika åtgärder, något som kan göra att kundens åtgärdsarbete blir alldeles i onödan ineffektivt. Ibland betonar revisorerna väldigt specifika åtgärder som den som arbetar med säkerhet i organisationen vet att man redan klarat av på annat sätt eller att avsaknaden av åtgärden innebär en mycket liten risk. Detta går dock inte fram till ledningen som sätter en större tillit till den ytliga granskningen än till den egna personalens bedömningar – onödig kraft läggs då på att checka av åtgärdsförslagen istället för på att reducera verkliga risker. Säkerhetsarbetet kan därmed snedvridas på avgörande sätt för lång tid fram över.

Detta är bara tre exempel, det finns många fler metoder och krav som kan ses som på det hela taget tämligen improduktiva. Det är naturligtvis inte en slump att compliance och rapportering är så populärt. Det är betydligt lättare att ”granska” än att skapa fungerande säkerhetsåtgärder – tro mig, jag har varit på båda sidorna. Ibland skulle jag vilja gå så långt som att det borde vara förbjudet föreslå metoder och åtgärder för den som inte själv stått i det praktiska slitet att försöka förbättra säkerheten i en faktiskt existerande organisation. Det är först då en djupare förståelse för hur komplicerat det är att förbättra den verkliga säkerheten, inte bara den som finns i kolumner och poängsättning.  Säkerhetsbranschen har anammat synsätten som leder till största nackdelen med NPM med oklara rambeskrivningar, mätningar och rapporteringar en masse. Trots att aktörerna i branschen som sagt ofta i andra sammanhang klagar på administration tycks man blind för den negativa byråkrati man själv skapar och som äter upp resurserna som skulle gjort så mycket större nytta i kärnverksamheten.

 

Fler styr och räknar – färre vårdar patienter

Informationssäkerhetskraven såsom de ser ut idag trängs med likartade strukturer för hållbarhet, miljö, jämställdhet, ekonomi m.m. som alla är viktiga men samtidigt tar kraft från det egentliga uppdraget. Det är tyvärr inte så stor risk att vi råkar ut för något ansvarsutkrävande men vi borde verkligen se oss i spegeln och ställa frågan om vi är närande eller tärande. Sannolikt mest det senare vilket borde sporra oss till att tänka på att varje timme vi tvingar alternativt uppmuntrar andra till att lägga på att svara på frågor och rapportera tas från en sjuksköterska eller lärare eller någon som producerar något vettigt.

 

Mycket skrik för litet ull?

Tre rapporter rörande obligatorisk incidentrapportering har kommit sedan årsskiftet: två från MSB och en från IMY (Integritetsskyddsmyndigheten). Spännande läsning men säger rapporterna något väsentligt som jag kan dra nytta av i mitt säkerhetsarbete?

Under senare år har det nationella och även europeiska säkerhetsarbetet präglats av en klockarkärlek till obligatorisk inrapportering av incidenter. Själv känner jag mig mer ambivalent. Å ena sidan kan det tyckas som en självklarhet att det ska finnas en nationell lägesbild över vad som händer både för det akuta läget men även för att dra nytta av erfarenheterna som det brukar heta. Å andra sidan är incidentrapportering en aktivitet som rusar i komplexitet när man bara börjar skrapa på ytan, det räcker att försöka rigga en fungerande process i den egna organisationen för att inse det. Se bara den enkla processbeskrivning jag tagit fram som stöd för den enskilda organsiationer:

Tyvärr måste jag medge att jag inte är alldeles övertygad om att kvantitativa insamlingar av något så komplext som incidenter är det bästa sättet att bringa klarhet i vilka verksamhetsstörningar och andra typer av realiserade hot som kan kopplas till it-incidenter (vilket är det som MSB och NIS-direktivet fokuserar på). Förutom att det tynger de inrapporterande verksamheterna i kritiska faser undrar jag generellt om kvaliteten på rapporteringen och vilken säkerhetshöjande effekt den har.

Generellt är det ett problem att det saknas systematik i det nationella säkerhetsarbetet. I myndigheter, kommuner, regioner och företag försöker vi få till en PDCA-snurra med ett tydligt C men i de nationella satsningarna för att stödja säkerhetsarbetet tycks inte utvärdering ses som ett nödvändigt steg. För att ta ett par exempel så har jag frågat MSB om vilken utvärdering som skett av det s.k. Metodstödet som ligger ute Informationssäkerhet.se och vilken säkerhetshöjande effekt det haft samt ställt samma typ av fråga till SKR angående KLASSA. I båda fallen var svaret att man inte genomfört någon utvärdering och några planer i den riktningen nämndes inte heller. Det finns en risk att mycket blir vad jag brukar kalla ”religiös säkerhet”, d.v.s. åtgärder som vidtas i god tro men där det krävs just tro istället för evidens för att se resultaten. Ofta handlar det om det som jag redan skrivit om som Graeberskt: när arbetet stannar vid dokument som skrivs, mallar som fylls i, enkäter som besvaras och engångsutbildningar som inte leder till någon djupare kunskap. När en kommun glatt skriver om att deras styrande dokument blivit ”godkända” av tillsynsmyndigheten men att man inte tittat på hur det faktiskt ser ut i verkligheten tycker jag mig leva i Graebers värld av BS jobs. Det finns en risk att nationell incidentrapportering blivit så populär just för att den kan röra sig i denna värld.

Vad kommer man då fram till i rapporterna?  För att få litet grepp om frågan har jag gjort en sammanställning av 2020 års inrapporterade incidenter:

Läs mer

För fakta och kunskap

Att viktiga samhällsfrågor alltmer tenderar att diskuteras utifrån andra premisser än fakta och kunskap är djupt oroande. Jag ger därför Fia Ewald Consultings julgåva till två aktörer som verkligen bidrar till att ge oss faktabaserade underlag: Tankesmedjan Balans och Wikipedia får 10 000 kronor vardera. Hoppas att detta inspirerar andra att ge stöd till dessa förkämpar för förbättrad kunskap!

Öppna data för vem?

Det kan knappast ha förbigått någon att information blivit det nya guldet och att det finns extremt starka både offentliga och privata intressen som vill vara med och ta hem vinster från den resursen. Framför allt den information som skapas i offentlig sektor är extra åtråvärd dels för att den är så omfångsrik, dels för att den ofta innehåller detaljerade uppgifter om olika allmänt intressanta förhållanden.

Intresset för att använda den offentligt producerade informationen som här kallas ”öppna data” har inom EU formaliserats genom PSI-direktivet som även blivit svensk lag sedan 2010.  En utredning tillsattes på klassiskt och bra svenskt maner 2019 för att bl.a.

genomföra en översyn och utvärdering av lagen (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen, analysera behovet av för-fattningsändringar för att genomföra öppna data-direktivet och säkerställa en ändamålsenlig nationell reglering som, ur ett rättsligt perspektiv, främjar och stödjer den offentliga förvaltningens arbete med att tillgängliggöra öppna data och annan digital information samt lämna förslag till nödvändiga författningsändringar.

Den lämnades över i höstas under beteckningen  SOU 2020:55 Innovation genom information och har knappast lett till några större rubriker. Att vidareförädla data kan ju tyckas som en högst okontroversiell inriktning för ett alltmer digitaliserat samhälle men ändå är det vissa frågor som skaver alltmer ju mer jag funderar på dem. I utredningen ges följande beskrivning av syftet med offentlig verksamhet ska lägga resurser på arbetet med öppna data:

I portalparagrafen till PSI-lagen anges att syftet med lagen är att främja utvecklingen av en informationsmarknad genom att underlätta enskildas användning av handlingar som tillhandahålls av myndigheter.

Redan där kan man haja till. I Sverige har vi en mycket lång tradition av att utnyttja offentlig information för forskning och allmänhetens insyn men vad som här avses skapas är en ”informationsmarknad”. Observera att med enskilda avses inte medborgare som vill ha insyn enligt offentlighetsprincipen vilket klargörs längre fram i utredningen utan endast företag som ska använda informationen. Den tes som drivs i direktivet och i efterföljande lagar och utredningar är att det finns ett starkt samhällsintresse av att skapa en ”informationsmarknad” som ska försörja nationella och internationella företag med råvaran offentlig information till ett självkostnadspris. I en rapport som tagits fram av Lantmäteriet på uppdrag av regeringen blandas ändå syftena ihop så att det framstår som att öppna data skulle förbättra möjligheten till insyn:

Öppna data skapar värde på flera olika plan i samhället. Det rör sig dels om rena ekonomiska värden i form av stimulerad tillväxt och ökad effektivitet som ger aktörer möjlighet att utveckla nya produkter och tjänster. Dessutom bidrar öppna offentliga data per definition till ökad transparens och demokratisk kontroll genom att öka insyn och förståelse för offentlig förvaltning. Den ökade insynen innebär nya möjligheter för externa aktörer att mäta policyeffekter och granska, upptäcka samt motverka oegentligheter inom offentlig sektor.

För mig framstår som mycket tydligt att det finns framför allt tre olika syften med extern åtkomst till myndigheters information:

  • demokratiaspekter genom insyn och transparens
  • forskningens tillgång till information på lång och kort sikt
  • förtags behov av råvara till olika typer av tjänster inklusive AI

Av dessa syften har under de senaste decennierna det sistnämnda syftet varit extremt prioriterat (även om forskning och företagande ofta kan vara överlappande). I de olika initiativ som bedrivits i Sverige rörande digitalisering har jag inte på ett enda ställe sett några konkreta förslag för att utveckla lösningar för att stärka offentlighetsprincipen. Detta trots att öppenheten blivit ordentligt naggad i kanten bland annat genom Sveriges EU-inträde genom avsiktliga och oavsiktliga anpassningar till den betydligt mer begränsade insynsmöjlighet som finns i övriga EU-länder (bortsett från Finland). När man pratar om ökad delaktighet i digitala sammanhang är det alltså inte ökad insyn som diskuteras utan i de allra flesta olika tekniska lösningar som lanseras för offentlig service.

Vilka möjligheter som finns att digitalt utveckla demokratin är ett ämne som ligger mig varmt om hjärtat men jag skulle här även vilja peka på ytterligare en aspekt där den nuvarande satsningen på öppna data rymmer stora intressekonflikter. Eftersom jag skulle vilja belysa den på ett principiellt plan och inte fastna i inhemska perspektiv väljer jag att ta ett exempel från USA. I Erik Åsards nya bok Med lögnen som vapen som handlar om Donald Trump och hans påverkan på det amerikanska samhället. I ett avsnitt berättar Åsard om Trumps märkliga tillsättningar av ledande tjänstemän. Detta är nog så intressant men i det som jag fastnat för i detta sammanhang är när han föreslog Barry Myers, en miljonär och gammal kompis, som chef för NOAA som är den amerikanska motsvarigheten till SMHI. Myers var av en händelse även ägare till ett privat företag som säljer väderrapporter som en kommersiell tjänst. Enligt Åsard såg Myers rapporteringen från NOAA som en svår konkurrent eftersom myndigheten tillhandahöll samma data kostnadsfritt (enligt lag) som Myers paketerade om och marknadsförde i sin egen tjänst. Som Åsard skriver:

Rapporterna från the National Weather Service är kostnadsfria, men AccuWeather lyckades genom förförisk och inte sällan vilseledande marknadsföring få kunderna att betala för dem. Utan den statliga väderlekstjänsten och dess skattefinansierade tillgångar (radar, väderstationer, väderballonger) skulle inte företaget ha mycket att erbjuda. För att skilja ut sig från konkurrenterna började AccuWeather tillverka prognoser som sträckte sig 45 och till och med 90 dagar framåt. Det är en metod som seriösa meteorologer har dömt ut och liknat vid att använda handläsning eller horoskoptydning.

Vidare skriver Åsard:

Till skillnad från bolagen i den privata sektorn är the National Weather Service enligt lag förbjuden att göra reklam för sina tjänster. Det har utnyttjats av företagare som Myers, som under 1990-talet offentligt började argumentera för att den statliga myndigheten borde förbjudas att göra några väderprognoser överhuvudtaget (utom vid fara för liv och egendom). Sådan information borde vara en fråga mellan kunderna och de privata företagen, menade han. När den konservativa republikanska senatorn Rick Santorum lade fram ett snarlikt lagförslag 2005, fick det entusiastiskt stöd av Myers. Förslaget föll, men Myers tvekade alltså inte att stödja en lag som flagrant skulle gynnat hans eget företag och tvingat skattebetalarna att betala dubbelt för en tjänst som den statliga myndigheten tillhandahållit gratis.
Som Michael Lewis påpekar har privata företag i branschen ett ekonomiskt intresse av väderkatastrofer som deras offentliga motsvarigheter saknar. Ju större och farligare orkaner, desto fler kunder kommer att vilja betala för att få varningar om dem. Och ju fler kunder desto större vinster. Lewis föreställer sig en dystopiskt slut – ”dagen då du bara får den väderleksrapport du betalar för”.

Lyckligtvis har vi ingen Trump i Sverige (än). De många intressekonflikter som Erik Åsard så elegant lyfter fram i ett kort stycke i sin bok saknas är dock helt relevanta för  Sverige när det gäller öppna data. Av någon anledning har de utredningar som genomförts sedan direktivets tillkomst undvikit att ta upp dessa frågor trots att de har stor betydelse för både samhälle och den enskilde individen.

Att låta marknadskrafter bli dominerande när det gäller hur offentlig information ska användas skapar intressekonflikter. ”Öppna data” kan leda till motsatsen, att de undanhålls från medborgarna för att de utgör råvara för ett företag.  Och kommer det att ställas krav på myndigheterna att de måste upprätthålla informationshantering som annars skulle effektiviseras bort för att det skulle påverka företag som använder informationen negativt om den togs bort? Det är inte heller säkert att låta multinationella försäkringsbolag kostnadsfritt ta del av patientuppgifter är något som gynnar några andra än just försäkringsbolagen. Som alltid när det gäller intressekonflikter finns det inget entydigt svart eller vitt i hanteringen av öppna data även om det i det svenska sammanhanget hittills framställts som helt utan komplikationer att langa ut vår viktigaste gemensamma resurs gratis på marknaden. Själv har jag svårt att förstå hur det kan utgöra en marknad överhuvudtaget, snarare en nationell välgörenhetsbasar.

För att skapa en mer mångdimensionell bild av öppna data där olika intressen kartläggs och ställs mot varandra på ett öppet (!) sätt bör ett mer gediget underlag än olika konsultrapporter tas fram om det verkliga ekonomiska värdet.  Därefter kan en offentlig diskussion föras om hur vår gemensamma informationsbonanza ska användas så att alla våra olika intressen tillvaratas – inte bara de ekonomiska för vissa aktörer.

Äntligen! Datainspektionens granskningar av vården

Efter långt om länge släppte nu äntligen Datainspektionen (snart Integritetsskyddsmyndigheten) sina granskningar av åtta vårdgivare. Även om jag var väl förberedd på innehållet så är det en chockerande dyster läsning när den fulla konsekvensen av vad jag redan visste blev förtydligad på detta sätt. Låt mig först understryka att det Datainspektionen ställer krav på inte är några nya krav för vården utan de har funnits sedan länge bland annat i Socialstyrelsens föreskrifter och i PuL. De brister som framkommer i granskningar har inte  heller de nyhetens behag utan är de samma som i de granskningar av vården som Socialstyrelsen respektive Datainspektionen gjorde typ 2012. Det är alltså inte så att vårdgivarna är tagna på sängen med helt ny rafflande krav utan det är väl kända försummelser som regioner och vårdgivare medvetet underlåtit att rätta till.

Egentligen räcker det att läsa följande stycke  i granskningen gällande Capio S:t Görans Sjukhus AB för att se vidden av hur undermålig säkerheten och skyddet för integriteten är:

Ytterligare försvårande omständigheter är att behandlingen av uppgifter om patienter i huvudjournalsystemet hör till kärnan i en vårdgivares verksamhet, att behandlingen omfattar många patienter och möjligheten till åtkomst avser en stor andel av de anställda. Inom ramen för den inre sekretessen har mer än 2700 medarbetare åtkomst till uppgifter som rör närmare 490 000 patienter. Utöver det har mer än 600 medarbetare, inom ramen för den sammanhållna journalföringen, åtkomstmöjligheten till uppgifter rörande cirka 3 miljoner patienter i TakeCare.

För att strö ytterligare salt i såret kan man läsa om Aleris sjukvård AB:

Aleris har ett dokument som benämns ”Behovs-och riskanalys-TakeCare”. Dokumentet har sett ut som det gör idag sedan den 28 maj 2012 då Take Care infördes och gäller både  för den inre sekretessen och inom ramen för den sammanhållna journalföringen. Av dokumentet framgår de olika profilerna, så kallade behörighetsgrupper. Dokumentet visar bland annat läsrättigheterna samt skrivrättigheterna för respektive behörighetsgrupp. Alla profiler förutom tekniker har tilldelats läsbehörighet till uppgifterna i TakeCare.

Då ska noteras att man hade 796 350 unika patienter i maj 2019 och 1058 aktiva användarkonton av vilket det absoluta flertalet alltså har läsrättigheter till samtliga patienter oavsett om de har en vårdrelation eller inte. Att Aleris slänger fram en oförändrad riskanalys från 2012 säger nog det mesta om nivån på säkerhetsarbetet liksom när Capio hävdar att de visst har en behov- och riskanalys men att den av okänd anledning är borttappad.

Capio St Göran fick 30 miljoner i sanktionsavgift  och Aleris Sjukvårds AB 15 miljoner (plus ytterligare 12 miljoner från sitt andra bolag Aleris Närsjukvård AB) men de är långt ifrån unika. Bristerna hos övriga granskade vårdgivare (granskningen av Kry ännu ej beslutad) bekräftar det vi redan vet bland annat från tidigare granskningar. Säkerheten i den svenska sjukvården är helt undermålig och det gäller inte bara vad gäller integritetsrelaterade frågor som de Datainspektionen granskat utan generellt. Jag har begärt en större del av underlagen från Datainspektionens granskningar och ska fördjupa mig ytterligare i dem. I detta blogginlägg ska jag ta upp några fenomen som aktualiseras i de granskningsfynd som presenteras i de offentliggjorda rapporterna. Utgångspunkten är att den usla säkerhet som indikeras genom granskningarna är en följdriktig konsekvens av ett konsekvent förhållningssätt till integritet och säkerhet i vården från olika aktörer.

För att förstå hur samtliga granskade vårdgivare (Kry inte inräknade än så länge) så flagrant bryter mot lagstiftningen måsta man känna till att lagtrots när det gäller integritet och säkerhet i digitala lösningar är normen i den svenska vården – inte undantaget. Att endast medarbetare med vårdrelation eller något annat mycket tydligt definierat skäl ska ha åtkomst till patientuppgifter är inte ett krav som har kommit med dataskyddsförordningen utan har funnits i princip sedan journalerna övergick från att vara räkenskapsmaterial till att vara vårddokumentation. Vi rör oss alltså någonstans i början av förra seklet (hur gärna skulle jag inte vilja gå in på detaljerna i denna historia men inser att alla kan inte vara totala journalnördar – skulle någon vilja veta mer så får ni skicka ett mail). På den tiden pappersjournalerna gällde fanns de inlåsta i journalarkiv med strikta regler för vem som fick ta del av dem. Det kan sägas att ha rått en minimalistisk åtkomstprincip innan begreppet var uppfunnet. Återkommande klagomål fanns på att det var för många som ändå kunde slinka in och läsa det de inte fick men möjligheten får ändå säga vara mikroskopisk jämfört med det som skildras i de aktuella granskningsrapporterna.

När de tidiga journalsystemen introducerades på slutet av 1980-talet hade de inte funktionalitet för en effektiv behörighetsstyrning på individ- och rollnivå vilket var ett första steg på färden mot dagens situation.  Istället för att tvinga leverantörerna tillbaka till ritbordet för att konstruera system som följde lagstiftningen började man  (med ”man” avses i det följande den grupp av leverantörer, it-chefer, byråkrater, politiker och andra makthavare inom vården som ansvarat för digitaliseringen) tänja på normerna och hävda att det gick lika bra att styra med logguppföljning som med behörigheter. Istället för att organisatoriskt och tekniskt begränsa åtkomsten hävdade man att logguppföljning var en jämförbar säkerhetsåtgärd (!).

Denna för svensk sjukvård unika bedömning var ett fatalt vägval ligger bakom en stor del av de säkerhetsproblem som finns i vården idag. De negativa konsekvenserna begränsas inte enbart till att det på dryga tjugo år utvecklats de organisatoriska och tekniska lösningar som är nödvändiga för följa lagen och ha ens ett basalt skydd för patientuppgifterna. Det har även lett till att man för att motivera det stora felsteget gjort dygd av nödvändigheten genom att hävda att ALLA inom sjukvården behöver tillgång till ALLA patientuppgifter hela tiden – allt annat vore en risk för patientsäkerheten. I målande ordalag beskrevs hur nödvändig patientinformation inte skulle finnas tillgänglig för vårdpersonalen vid behandlingar olika slag vilket skrämde upp en hel del läkare och sköterskor som därmed köpte den konstruerade motsättningen mellan patientsäkerhet och integritet. Det ledde till en ond spiral där krav på korrekt behörighetshanteringen inte ens ställts vid upphandlingar och stora utvecklingsprojekt trots att lagstiftningen är tydlig på denna punkt vilket i sin tur knappast motiverat leverantörer av vårdinformationssystem att utveckla sådan funktionalitet. Det är därför en särskild glädje att Datainspektionen i granskningen av Capio S:t Göran slår fast att loggning inte kan ersätta att begränsa åtkomst via behörighetshantering:

Capio S:t Görans anger att de använder systematisk logguppföljning för att reducera risken för att medarbetare otillbörligen tar del av patientuppgifter. Datainspektionen konstaterar att patientdatalagen inte lämnar något utrymme förvårdgivare att kompensera frånvaron av behovs-och riskanalys, eller en allt för bred tilldelning av behörighet tillåtkomst, med en omfattande logguppföljning.

Inte heller fiktiva åtkomsthinder som ”journalfilter” eller ”aktiva val” godkänns av Datainspektionen som tillräckligt för att begränsa åtkomsten vilket kan vara en bra tumregel att ha med sig in framtida projekt. Det känns också bra att Datainspektionen drar undan mattan för det i digitala sammanhanget urgamla svepskälet för att ha lagstridig hantering av personuppgifter, nämligen att hävda att man har en akutverksamhet.

Ytterligare en konsekvens är att den lättsinniga hållningen till lagstiftning sedan dess blivit en tradition inom vård-it. Ett aktuellt exempel är när Region Skåne först beslutat att medvetet gå emot bättre vetande och upphandla en vårdinformationslösning som går emot dataskyddslagstiftningen och sedan i sista minuten ändrade sig. Hur mycket denna utsvävning kostat i pengar och förlorad tid är oklart.

Argumentationsfelen för att använda exempelvis molntjänster är desamma som medvetet praktiserats under par decennier i vården: ”ja men det blir ju bättre än det vi har” och så bygger man fast sig i bristfällig lösning som det tar åratal att ta sig ur istället för att ställa rätt säkerhetskrav från början och se till att de levereras. Själv kan jag inte räkna alla gånger som jag, när jag påpekat brister i tänkta lösningar, fått kommentarer som ”ja men det är ju bättre än det som finns idag”, d.v.s. att legitimera kända risker i nya lösningar med den falska jämförelsen med dagsläget.  Detta är ytterligare en väsentlig bakgrund till dagens situation och som bygger på samma knäppa riskhantering som är den andra återkommande bristen i Datainspektionens  aktuella granskningar, nämligen risk- och sårbarhetsanalyser där vårdgivarna återkommande endast analyserar behov och inte risker.  För en sansad människa framstår det kanske som obegripligt varför man över huvud taget bryr sig om att göra riskanalyser om man inte är intresserad av att identifiera och reducera risker. Jag ser det mer som en del i den svenska digitaliseringskulturen där det inte får finnas problem utan vi ständigt är glittrande glada. Och har vi inte identifierat några risker så behöver vi ju inte några säkerhetsåtgärder och då är ”utmaningen” (inte problemet) obefintlig.

Tydliga ansvarsförhållanden är grunden för all fungerande säkerhet. Saknas denna förutsättningen kommer säkerheten oundvikligen att bli lidande och det går inte heller att genomföra ett ansvarsutkrävande. I den trassliga spaghettistruktur som är svensk vård-it blir detta synligt även i Datainspektionens granskningar. En konstruktion som skulle behöva synas beskrivs i rapporten om Aleris Sjukvård AB:

Federation Samverkan TakeCare (FSTC) är beställare av journalsystemet Take Care och Compu Group Medical (CGM) är leverantör av journalsystemet och ansvarar för de funktioner som systemet har för att styra behörigheter.

Alla funktioner i journalsystemet är skapade av CGM, men det är Aleris som väljer vilka funktioner som en viss personalkategori ska ha tillgång till bland de funktioner som finns inlagda. Aleris har inga tekniska möjligheter att göra ändringar i Take Care eftersom Aleris inte har någon rådighet över journalsystemet. Aleris är endast användare av systemet.

Aleris har inte kunnat ställa några krav på CGM vid upphandlingen av journalsystemet. Bolaget har till exempel påpekat att det funnits problem med journalsystemet bestående i, så vitt avser behörighetstilldelningen, att systemet inte kan separera läs-och utskriftbehörigheter för en läsfunktion. CGM har inte varit intresserade av att ändra detta trots synpunkter från Aleris.

Det är FSTC som kan beställa ändringar av funktionerna och det är sedan upp till CGM om de vill utföra ändringarna eller inte. Aleris har en representant i FSTC som kan framföra Aleris önskemål. Aleris har dock inte fått något gehör för bolagets synpunkter.

Här förefaller det alltså omöjligt för vårdgivaren som även är personuppgiftsansvarig att genomdriva sina säkerhetskrav eftersom en organisation utan formellt ansvar förhindrar det. Om vi nu hypotetiskt litar blint på att Aleris verkligen ställt rätt säkerhetskrav är det alltså  FSTC  som drivs av Region Stockholm som inte bara förorsakat kränkningar av ett mycket stort antal patienters integritet utan också ”användarna” Aleris sanktionsavgifter. Det borde finnas ett intresse åtminstone från ”användarna” att reda ut ansvarsförhållandena och skapa garantier för att man kan få påverkansmöjlighet på de gemensamma it-systemen så at de följer lagstiftningen även om regionen inte prioriterar den frågan.

Trots att det i övrigt finns en mycket god säkerhetskultur i vården har man alltså inte lyckats inympa informationssäkerhet i den. Det huvudsakliga ansvaret för detta ligger naturligtvis hos regionerna som sjukvårdshuvudmän tillsammans med SKR som sedan mitten av 90-talet utlovat gemensamma regler för informationssäkerhet men hittills inte lyckats uppvisa något som ens liknar det. Är det någonstans där Datainspektionen bör göra nästa granskning så är det hos SKR:s it-bolag Inera. Detta är särskilt angeläget eftersom lösningar som NPÖ som tillhandahålls av Inera saknar adekvat behörighetshantering (se ovan) som inte bara drabbar den enskilde vårdgivare utan samtliga vårdgivare som använder.

En annan aktör som väcker viss tveksamhet är IVO vars granskningar hittills inte alls verkar ha genomförts på samma grundliga nivå som Datainspektionen. Några granskade verksamheter hänvisar till granskningar som IVO gjort och som på något sätt skulle gett klartecken för den säkerhetsnivå som de nu ligger på. Förhoppningsvis kan tillsynsansvaret i och med NIS-direktivet leda till att IVO utvecklar sina granskningsmetoder. Jag tror att det är centralt att myndigheterna samverkar här och ser informationssäkerheten i ett helhetsperspektiv och förstår att det är en sammanhängande säkerhetsarkitektur där brister i ett hänseende skapar risker på flera olika sätt. Det skulle även vara en fördel att ha gemensamma granskningsmetoder och kanske t.o.m. genomföra granskningar tillsammans. Många tillsynsmyndigheter kan lära sig mycket genom att studera med vilken noggrannhet och stringens Datainspektionens granskningar genomförts.

I rättvisans namn ska sägas att vården inte fått särskilt mycket hjälp från myndighetshåll att utveckla sin säkerhet. Jag har tidigare skrivit om att MSB:s knytning till ISO 27000 och det metodstöd som utvecklats i denna anda knappast är till hjälp för vårdens infrastruktur och jag kan inte heller se andra satsningar som tagits fram för att stödja denna i sanning samhällsviktiga verksamhet. Datainspektionens granskningar som endast rör ett par aspekter av säkerheten borde ge upphov till ett större samordnande projekt lett av myndigheter för att långsiktigt höja vården säkerhet eftersom detta är en fråga som regionerna med all önskvärd tydlighet visat att de inte klarar av. En helt nödvändig insats är att tvinga regioners och SKR:s makthavare att erkänna att det finns ett mycket stort säkerhetsunderskott i vården och istället för att stoppa huvudet i sanden ta sitt ansvar och börja bygga för framtiden.

 

 

 

 

 

Standardens paradox

Under de (alltför) många år jag arbetat med informationssäkerhet har ingen företeelse varit mer omhuldad än de standarder som använts som stöd i arbetet. När jag började var det BS 77 99 och nu har vi en hel 27000-familj.

Även om jag under alla år har haft en god hjälp av standarderna har jag aldrig riktigt kunna gripas av samma entusiasm som de många, inklusive utgivare av myndigheters föreskrifter, som sett standarderna som ett magiskt spö som det i princip räcker att hänvisa till så försvinner säkerhetsproblemen. Jag har redan skrivit ett antal inlägg, bl a här och här  berör den ganska problematiska övertro som finns i Sverige till standardens kraft att skapa bättre informationssäkerhet. Med tiden har jag kommit att fråga mig om sättet att se på framför allt ISO 27000 kanske snarare stjälpt än hjälpt informationssäkerhetsarbetet.

En rejäl tankeställare fick jag när jag hade uppdraget att försöka få in säkerhetsperspektivet i en utredning om e-hälsa. Få saker har jag misslyckats så kapitalt med och en av orsakerna, förutom mina egna brister, var att både utredaren och utredningens sekretariat så fort frågan kom upp smashade bort den som en irriterande fluga med: vi gör en hänvisning till att standarder ska användas. Eftersom jag inte förstår en vink när jag får den eller snarare bryr mig om den så fortsatte jag och försökte även få ett förtydligande vilka standarder som skulle användas och hur. Som ni säkert förstår fick jag aldrig några svar på mina frågor utan det ansågs helt tillfyllest att säkerhetsproblem skulle hanteras via ”standarder”. Självklart förstår jag lockelsen i att det skulle kunna fungera så. Problemet är att det inte gör det.

Om man tittar bakåt så var standarder i industrisamhällets begynnelse en typ av nationella och internationella överenskommelser om framför allt utformningen av tekniska produkter och mått. En av mina favoriter är standarden för avstånd mellan hålen för hålslag. Det är ju ett sant kaos som väntar om hålslagen utformas hur som helst och ingen vet vilka pärmar som kan användas för vilka papper.  Men vad händer egentligen när man flyttar över standardiseringsidéen från vidden för järnvägsspår till hur organisationer ska styra olika verksamhetsområden? När standarder som framtagits utan kontroll från lagstiftare och den egna förvaltningen ska leva sida vid sida med den ordinarie styrningen?

I en mycket intressant artikel från Örebros universitet har författarna (Andersson, Karlsson och Hedström) genom diskursanalys försökt förstå hur framtagandet av standarder i 27000-serien egentligen går till. Som en bakgrund gör de en åtskillnad mellan s.k. de facto-standarder som ta fram av ett företag eller flera företag tillsammans som har ett konkret behov av standardisering. Den andra typen av standarder benämns de jure-standarder som kan utvecklas av olika lagstiftande organ alternativt myndigheter eller av oberoende standardorganisationer som ISO.  27000-serien är alltså en de jure-standard men ligger utanför det lagstiftande området.

Artikeln lyfter också fram att denna typ av standarder strävar efter att skapa en konsensus av vad som bland experter inom området anses vara ”best practice” vilket även framgår tydligt i arbetet med informationssäkerhetsstandarden:

De jure standards play a central role in information security, and organizations are increasingly required to demonstrate compliance with them (Smith et al., 2010; Tsohou et al., 2010). Standards are said to be consensus-based; they reflect “best practices,” as negotiated by experts. In fact, on their website, ISO refers to “standards” and “best practices” interchangeably. “Best practice” is generally referred to as “a working method or set of working methods that is officially accepted as being the best to use in a particular business or industry” (Cambridge Dictionary, 2019). The rhetoric is that standardization is “governed by the principles of consensus, openness, transparency, national commitment and technical coherence” (CEN, 2015) where “groups of experts from all over the world” (ISO, 2014) make “top quality standards” (ETSI, 2014 1423). Thus, the negotiation between experts takes place in discourses, where best practices are constructed through wordings of the standards.

De jure information security standards are likewise made valid and legitimate through an “appeal to common practice and authority” (Siponen and Willison, 2009). However, there is a lack of empirical evidence for what is considered best practice in standardization, because the discourses governing the reasoning remains hidden from public view. It is, therefore, difficult to evaluate the reliability and objectivity of information security standards (Siponen and Willison, 2009). Thus, when considering the pervasive and normative role these best practices have on safeguarding information, information systems, and infrastructures controlled by such systems, it is important to understand the discourses that construct them. If these standards do not represent best practices, then a large number of countermeasures would share the same type of vulnerabilities.

Det kan alltså ifrågasättas vad standardens ställningstagande egentligen bygger, om dess anspråk på att vila på ”best practice” uppfylls. Eftersom den inte bygger på evidens skulle dess USP bestå just i en bred erfarenhetsbaserad kunskap. Om inte denna grund finns påverkas naturligtvis standardens legitimitet. Senare i artikeln framgår på ett litet roande och samtidigt avslöjande sätt hur ytterst få som deltar i standardarbetet även om man tågat omkring på standardiseringsmötena som en fåmansprocession under beteckningen ”Sweden”. Artikelförfattarna gör en maktanalys av själva arbetet med framtagandet av standarder men jag tycker att en vidare maktanalys av hur en mycket liten krets knutna till standardarbetet har haft ett helt dominerande inflytande över svensk förvaltnings arbete med informationssäkerhet. Resultatet har blivit en hegemonisk doktrin om att ISO 27000 är den enda framkomliga vägen att arbeta med informationssäkerhet i svensk förvaltning trots att denna doktrin vare sig bygger på evidens eller ”best practice”.

Så här 11 år efter att ISO 27000 pekades ut som vägledande för svenska myndigheters arbete med informationssäkerhet i MSB:s föreskrift MSBFS 2009:10 (ytterligare markerat i de följande föreskrifterna fram till den nu gällande MSBFS 2020:6) så tycker jag inte det är uppenbart att det var ett helt lyckat vägval. Detta bygger jag på att informationssäkerhetsarbetet knappast kan ses som särdeles framgångsrikt mätt med tillgängliga måttstockar, d.v.s. de granskningar som gjorts både generellt och de som gjorts med inriktning på samhällsviktiga sektorer som exempelvis sjukvård. Låt oss komma ihåg att detta inte är den enda möjliga vägen att välja. I Finland antogs i år en rekommendationssamling  av informationshanteringsnämnden under finansministeriet som explicit undviker att hänvisa till någon standard:

Rekommendationerna hänvisar inte till några allmänna standarder eller referensramar och ger inga anvisningar om tekniska lösningar, som kan förändras till och med snabbt. Utifrån en riskbedömning som görs från fall till fall ska varje myndighet välja tillräckligt säkra tekniska lösningar som är lämpliga i den aktuella situationen.

Jag kommer ihåg att ansvariga för Normen i Norge förde samma resonemang i sina regler för informationssäkerhet i vården, man ville inte referera till någon särskild standard. Uppfattningen var att det var möjligt  att plocka ut det man ville ha ur standarder utan att behöva ansluta sig till en helhet som inte kunde kontrolleras av norsk sjukvård.

När standarder lämnar tekniska specifikationer och övergår till organisatorisk styrning uppstår paradoxala effekter. Jag tänker nu på att ISO 27000 innehåller mycket allmänna krav, att det ska finnas informationsklassning men inte hur den ska utföras eller vilken normskala som ska tillämpas. Varje organisation ska själv ta fram sitt eget komplexa ledningssystem med de komponenter som anvisas i standarden men utformningen och tillämpningen kommer att se väldigt olika ut, det tror jag varje erfaren konsult kan intyga. Istället för centrala regler som specificerar olika lösningar får vi alltså en mängd olika regelverk som ska användas i samma infrastruktur. Standarden leder alltså sannolikt till mindre standardisering på grund av sin inriktning på enskilda organisationer istället för på helhet.

Bräckligheten i kunskapsunderlaget och det fragmentiserade resultatet är två orsaker att ompröva ISO 27000 ställning i den offentliga verksamhetens informationssäkerhetsarbete i Sverige. Vi behöver inte kasta ut barnet med badvattnet men vi måste våga ifrågasätta doktrinen även om de som har byggt upp en stark ställning med hjälp av standarden riskerar att ta illa upp. Informationssäkerhet är en för viktig fråga för att vi ska ha råd med heliga principer som inte tål att diskuteras.

Marshmallows och digitalisering

Häromveckan kom en OECD-rapport där det framkom att Sverige enligt de måttstockar som användes inte var så bra på digitalisering. Rapporten väckte förvåning och upprördhet i vissa kretsar. Jag kan på sätt och vis förstå att det kan upplevas som en kalldusch med tanke på hur mycket offentlig ”digitalisering” haussas och sponsras. Samtidigt får jag litet drygt medge att jag inte är såååå häpen. Den svenska digitaliseringen har under decennier fört en haltande tillvaro trots att den ständigt varit omgiven av jublande kaskader av pepp.

Under dessa år har olika mystiska nationella organisationer skapats, marknadsförts och sedan dött utan att lämna några imponerande spår efter sig. Ur minnet kan jag rada upp följande:

  • Toppledarforum
  • E-nämnden (Nämnden för elektronisk förvaltning)
  • 24-timmarsmyndigheten
  • Verva
  • E-delegationen
  • E-legitimationsnämnden
  • Digitaliseringskommissionen
  • Digitaliseringsrådet
  • DIGG

Utöver detta har diverse ännu mer kortlivade initiativ tagits av regeringar i form av råd och kanske den mest luftiga av alla: en nationell CIO, en funktion som lyckligtvis evaporerade efter mindre än ett år. Av allt detta finns idag bara DIGG kvar – en myndighet med oklart ansvar och mandat.

Efter att ha rört mig i både närmare centrum och och för det mesta i periferin av dessa cirklar så finns det vissa genomgående drag som jag tycker mig kunnat notera. Bara uppräkningen av alla flyktiga organisationer som haft en förväntan på sig att samordna den svenska digitaliseringen visar på det kanske främsta problemet: bristen på kontinuitet. Det har aldrig funnits en långsiktig plan med prioriteringar för hur den offentliga digitaliseringen ska rullas ut. Bristen på strategisk inriktning skulle i sig kunna vara en strategi, att den svenska staten gjort en välavvägd bedömning att en organisk framväxt  utan styrning av digitala lösningar på sikt skulle gynna samhället bäst. Om detta har varit planen har den dock hållits väl dold. Verkligheten tyder på, i alla fall för mig, att planering och tydlig inriktning hade varit mycket önskvärt för att skapa en fungerande digital infrastruktur.

Kanske var vi närmare en möjlighet att skapa en infrastruktur på slutet av 90-talet än idag. Då fanns en medvetenhet om att Sverige hade unika möjligheter bland annat genom denna snabba spridningen av hemdatorer som skett då anställda fick möjlighet att med förmånliga villkor skaffa sig en egen dator via arbetsgivaren. Då diskuterades hur en statlig e-legitimation skulle kunna införas som en central infrastrukturkomponent. Själv tyckte jag att det var en rimlig förlängning av ett statlig åtagande: folkbokföring, personnummer och sedan e-legitimation skulle fullfölja en lång linje i svensk förvaltningshistoria som skulle kunna vara byggstenen för många andra lösningar. Men sedan hände ingenting, varje år sas det att i september – då kommer den att komma! Vet ej varför just september var en så bra månad för att lansera e-leg men i min något osäkra minnesbild var det så. En myndighet (E-nämnden) bildades 2003 för att leva i två somrar med uppdrag att

stödja utvecklingen av ett säkert effektivt elektroniskt informationsutbyte mellan myndigheter och mellan myndigheter och enskilda genom att beslut om vilka standarder för informationsutbyte myndigheter under regeringen skulle använda sig av.

Detta inkluderade även e-legfrågan. Men som sagt någon statlig e-legitimation blev det inte då vilket jag är ganska övertygad berodde på ideologiska skäl. Politiker av olika schatteringar gick all in för nyliberalism och ville hellre att ”marknaden” skulle hantera e-legitimationerna vilket säkert påverkade införande och fördröjde en säker infrastruktur-utveckling. Att jag tagit upp denna gamla historia är mest för att peka på ett annat återkommande tema i den svenska digitaliseringen, nämligen att det saknats öppna och tydliga diskussioner om hur staten och marknaden ska samverka på bästa sätt för gynna samhället. Istället har framtagandet av digitala lösningar skett i en ideologisk blindhet som lett mycket stora kostnader (tänk bara Hälsa för mig) utan att det lett till de resultat som eftersträvats.

Och vad är det då för resultat som eftersträvas? Man skulle tycka att med den stora förväntan på digitalisering och AI som lösningen på alla problem liksom de miljarder som pytsats in att även utan plan så skulle det vara nödvändigt att ha någon slags tydliga mål som går att följa upp. Så är dock inte fallet om man inte räknar det outsägligt fåniga målet att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter” som tydligt. Istället vimlar det av fluffiga utsägelser som digitaliseringen ska rädda allt från äldreomsorgen till exportindustrin och självklart skolan. Exakt hur det här ska gå till beskrivs vad jag kan se varken av infrastrukturdepartementet, DIGG eller digitaliseringsevangelisterna SKR  trots att man skrivit vad man kallar mål och strategier. Det förväntas bara ske.

Det ligger något av en paradox i att digitaliseringslösningar idag så ofta används för att mäta som en del i det rådande NPM-paradigmet när det samtidigt sker så litet av formell utvärdering av vad digitaliseringen faktiskt leder till. Om man går in de traditionella utvärderarna av ”vad f-n får vi för pengarna?” som Riksrevisionen, Statskontoret och, när det gäller e-hälsa, Myndigheten för vårdanalys finns påfallande få granskningar och rapporter skrivna just om digitalisering. Riksrevisionen publicerade 2016  en rapport som knappast är en av dem som länder revisionen till heder med tanken på kvaliteteten som kontrollerar om myndigheter digitaliserat tillräckligt mycket – inte vad digitaliseringen lett till. Detta är i sig en generell tendens, att se digitaliseringen i sig som något ”gott” samtidigt som man i nästa andetag säger att digitaliseringen inte är självändamål. Men vad kan vara mer självändamål än att ha som mål att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter”? Däremot kom 2019 en granskning  om digitalisering och nyföretagande som faktiskt sätter nyföretagandet i centrum – inte digitaliseringen. Utöver detta finns det inte mycket att hämta om digitalisering hos Riksrevisionen om man är intresserad av resultatet av statens insatser på området. Statskontoret har skrivit myndighetsanalyser av bl.a. E-delegationen, Digisam och Digitaliseringsrådet (spoiler alert: de har inte lyckats så bra) men egentligen inget vad jag kan se om digitaliseringen i sig. Riksrevisionens och Statskontorets uppdrag kan möjligen göra dem något begränsade i sina granskningar men att Myndigheten för vårdanalys inte haft detta som ett starkt granskningsområde förvånar mig starkt. Med tanke på hur e-hälsa, välfärdsteknologi, AI och digitalisering lyfts fram  som vårdens frälsare borde utfallet av detta vara mycket angeläget att kontinuerligt följa. Som det nu är hittar jag egentligen bara en rapport som handlar om cancervården specifik. Ett projekt om äldreomsorgens digitalisering ska slutlevereras 2023 och inriktningen ”Myndigheten ska bedöma hur digitaliseringen av äldreomsorgen bidrar till verksamhetsutveckling, med särskilt fokus på kostnadseffektivitet.” – alltså hur ska digitaliseringen ”effektivisera” äldreomsorgens.  Sammanfattande kan jag förstå om det är svårt att göra granskningar med så fluffiga mål för vad är det egentligen som ska följas upp?

Min egen anekdotiska upplevelse är att den svenska digitaliseringen lider svårt av ett marshmallowssyndrom. Ni vet det där gamla experimentet om uppskjuten tillfredställelse som sedan har ifrågasatts men som jag ändå använder här som bild. På Stanford university erbjöds fyraåring att marshmallows med förutsättningen att om de kunde motstå att genast sluka den godbit de fick och kunde vänta några minuter kunde de istället få två. Tanken var att de som kunde planera och motstå frestelsen blev framgångsrika längre fram i livet. Den svenska digitaliseringen tyckte jag ofta har liknat barnen som inte kunde låta bli att genast tillfredsställa sitt sötsug. De politiker, tjänstemän och företag som drivit på digitaliseringen har dock styrts av starkare tobak än marshmallows men kontentan blir att det idag saknas en plan. Det tycks som man ofta gör saker för att man kan, inte för att man analyserat och kommit fram till att det är rätt steg i en bestämd riktning.

Detta leder också till den intressanta frågan vems intressen tjänar den nuvarande digitaliseringen. Som redan nämnts är äldreomsorgen ett frestande område att digitalisera, mindre så digitaliseringsbyråkraternas egna jobb. Jag ska inte ge mig in på David Graebers tankar om Bullshit jobs (läs gärna själva!) men tanken på de undersköterskor som flänger omkring som torra skinn i äldreomsorgen är de som ska effektiviseras och inte de som har bullshit jobs är djupt störande. Jag tänker också på vad en äldre människa tjänar på att inte få en människa som kommer och hjälper till med matning utan en robot. Detta borde vi prata mycket mer om.

För att ingen ska missförstå ovanstående: jag vet och uppskattar den ständigt puttrande digitaliseringen men skulle uppskatta en plan.

Effektivisera informationssäkerhetsarbetet!

I mitt förra inlägg hävdade jag att arbetet med informationssäkerhet alltför ofta kännetecknas av byråkratiska aktiviteter utan reell säkerhetshöjande effekt men däremot med ett anspråkstagande av verksamheters resurser på ett orimligt sätt. Det är ju inte heller enbart kärnverksamhetens resurser som används på ett sätt som kan etiskt ifrågasättas. Att säkerhetsarbetet bedrivs utan hänsyn till hur effektiv användningen av resurser är samtidigt som den oavlåtliga klagovisan ljuder att säkerhetsarbetet får för litet resurser, ständigt för litet resurser, är paradoxalt. För den som arbetar med säkerhet borde det ha högsta prioritet att få fram arbetssätt som ger största möjliga utdelning av säkerhetshöjande effekter i förhållanden till insatta resurser. Tyvärr har jag sett mycket litet av den typen av analyser och jag kan t.o.m. tycka att säkerhetsområdet får rejält med pengar sammantaget utan det riktigt framgår vad som kommit ut av det.

Rubriken på blogginlägget är aningen ironisk eftersom det väl nu är allmänt känt att effektiviseringar sällan leder till bättre verksamhet. Jag tycker ändå att det är klädsamt om vi som jobbar informationssäkerhet, som är en stödfunktion, håller upp spegeln och ser vad vi kan göra när kärnverksamheten i många organisationer är hårt pressad av krav på besparingar. Att försöka göra saker bättre och mer kostnadseffektiva behöver inte heller vara till nackdel för metodutveckling, jag dristar mig att anse att det skulle vara en fördel om det fanns ROI-perspektiv på både planerade och genomförda säkerhetsåtgärder. Jag tror det skulle vara ett stort stöd för många informationssäkerhetsansvariga som nu ibland verkar beta av ett antal aktiviteter utan att kunna bedöma vad det egentligen leder till. Vissa aktiviteter kan vara stora och dyrbara men det handlar också om annat där kostnaden kanske inte är så stor men effekten ännu mindre. Att genomföra generiska e-utbildningar är enligt min erfarenhet tämligen bortkastat men den informationssäkerhetsansvarige som initierat dem kan bocka av en ruta. För mig betyder detta mekaniska tillvägagångssätt, förutom pengar och medarbetares tid i sjön, att organisationen invaggas i en vilseledande och farlig falsk trygghet.

Det tämligen obefintliga effektivitetspressen inom säkerhetsområdet, som är så kännbar i andra sektorer, tycker jag mig se leda till en lättja i tanke och i handling. Det är lätt att glömma bort men informationssäkerhet handlar i grunden om att ha kontroll över sin information. Har man inte det så har man inte en fungerande informationssäkerhet. Med detta i bakhuvudet så kan den seriösa informationssäkerhetsarbetaren inte leva efter bekvämlighetsprincipen och hela tiden göra det som känns enklast. Att enbart identifiera information som råkar finnas i system som man redan känner till är som, för att använda en mycket uttjatad bild, att leta efter den borttappade nyckeln under gatlyktan eftersom det är enklast. Tyvärr är det så jag uppfattar rätt mycket av de insatser som går under beteckningen ”informationsklassning” som inte leder till kontroll över den information som är viktig för verksamheten utan den som redan finns bekvämt paketerad i en behållare a.k.a ett ”system”. Ibland när jag får ”verktyg” för informationsklassning som är obegripligt efterfrågade presenterade för mig kan jag inte låta bli att fnissa till och tänka på min bekant som var kommunal it-chef på 1990-talet. Hen hävdade att det var en underbar tillvaro där hen sågs som en wizzard som på vilken fråga som helst (i princip) från verksamheten kunde hacka ihop ett it-verktyg för att lösa en uppgift. ”Stöd” sågs helt enkelt som synonymt med någon slags programvara. Tyvärr tycks denna uppfattning leva kvar bland många i informationssäkerhetsbranschen trots att det ofta är de icke-digitala delarna i en aktivitet som är svåra. I informationsklassning (se nedan) är den stora frågan exempelvis att göra rätt analyser, inte att hålla reda på genomförda klassningar. Innehåller verktygen dessutom generiska skyddsåtgärder uppstår en annan problematik: vem tar då egentligen ansvar för att det är korrekta skyddsåtgärder i förhållande till risken?

Efter denna salva känner jag mig förpliktigad att ge exempel på alternativ. Här kommer därför ett förslag på arbetssätt motsvarande informationssäkerhetens kinderägg. De tre fördelarna med mitt förslag är att man faktiskt arbetar med information – inte system, att man kan bygga upp en likvärdig säkerhet i likartade verksamheter och att kostnader i form av pengar och tid radikalt skulle kunna minskas samtidigt som får ökad kvalitet/säkerhet. Med avsikt har jag valt en mycket säkerhetskänslig funktion som även är mycket vanligt förekommande: processen för läkemedelshantering i äldreomsorgen.

För att ge en kort bakgrund så ombesörjs äldreomsorgen med de 290 kommunerna som huvudman. Kommunerna kan bedriva omsorgen själva eller anlita underleverantörer som privata vårdföretag. Oavsett vilket så är det kommunen som har ansvar som sjukvårdshuvudman och ska därmed säkerställa att omsorgen bedrivs på ett säkert och likvärdigt sätt oavsett utförare. En central del i omsorgen av äldre är läkemedelshanteringen. Äldre som inte får rätt läkemedel i rätt dos vid rätt tidpunkt löper en avsevärd hälsorisk, i värsta fall med döden som utgång. Omsorgen sker dygnet runt av ett antal medarbetare som vid varje givet tillfälle måste ha korrekt och spårbar information tillgänglig. Samtidigt berör uppgifterna om läkemedel omsorgstagarens hälsotillstånd vilket gör dem till känsliga personuppgifter som måste omges med ett mycket starkt skydd mot obehörig åtkomst. Utöver detta finns en särskild risk i läkemedelshanteringen, narkotiska preparat och även andra är mycket stöldbegärliga.  Även detta stärker det utpräglade behovet av spårbarhet där varje händelse kan följas och och kopplas till person som i en lång verifikationskedja.

En generisk processbeskrivning på övergripande nivå skulle kunna se ut så här.

 

Inga konstigheter i det men man kan gå ett fördjupande steg till utan att beskrivningen skulle tappa särskilt mycket i allmängiltighet med däremot fånga upp vilken information som hanteras, se detta utsnitt ur processen:

 

 

Processen startar med att en av regionens läkare gör en läkemedelsordination vilket dokumenteras i regionens vårdsystem samt i den nationella läkemedelslistan. Dessa moment ligger utanför processbeskrivningen ovan som startar med att information om ordination överförs till kommunen som en pappersutskrift vilket startar processen. Den intresserade kan notera följande:

  1. Merparten av informationsmängderna är även de att betrakta som tämligen generiska
  2. Merparten av informationen hanteras i pappersform, detta särskilt i kritiska aktiviteter i processen
  3. En stor del av informationen finns på flera bärare samtidigt
  4. I hela processen är spårbarheten är essentiell för patientsäkerheten

Detta är inte på något sätt unikt för den här processen utan gäller för många andra. Slutsatsen man kan dra är att om man seriöst ska arbeta med informationssäkerhet så räcker det sannerligen inte med att ”klassa” ett enskilt system utan måste få kontroll över hela informationshanteringen. Inte heller att enbart titta på digital information utan det är just helheten som måste fångas för att rätt åtgärder ska kunna vidtas. Även för dataskyddet är detta en självklarhet – man kan liksom inte bara skydda personuppgifter i digital form. I den ovan beskrivna processen finns t.o.m. bärare som apodos-påsar som måste omhändertas på ett korrekt sätt.

Det kan tyckas ansträngande att inte bara få ägna sig åt färdigpaketerad information prydligt avgränsad i system men här finns istället stora effektivitetsvinster att göra. Det går att klassa informationsmängden ”ordination” och så vidare så att det går att använda som en normerande klassning i samtliga kommuner oavsett vilka bärare man för tillfället råkar använda. Dagens rekommendation från myndigheter och SKR är  att 290 kommuner med vissa fall flera förvaltningar som bedriver äldreomsorg  ska klassa system i varje förvaltning. Dessutom måste samma manöver upprepas av de privata vårdgivare som anlitas av kommunerna.  Enligt Almegas beräkningar fanns 2019 14900 företag som ägnade sig åt vård och omsorg. Jag har inte riktigt tid att fördjupa mig i exakt hur många av dessa som bedriver äldreomsorg men för saken skull så utgår jag från att det åtminstone finns 500 privata äldreboenden. Sammantaget kanske det då behöver göras 850 klassningar av olika vårdgivare.  Låt oss höfta och säga att resursåtgången per klassning är minst 100 timmar inklusive förberedelser och dokumentation (detta är extremt lågt räknat med tanke på att det ofta är ett flertal deltagare på klassningarna) för att klassa ett system som stödjer en liten del av ordinationsprocessen. Lustigt nog kommer det också att bli samma system som klassas gång på gång med varierande resultat. Kontentan blir alltså bristande kontroll över informationen och bristande likvärdighet mellan olika äldreomsorgsverksamheter till en sammantagen resursåtgång av 85 000 timmar. Betänk också att detta bara är en av flera processer bara i äldreomsorgen.

Mitt förslag är att man istället slår ihop sina påsar, tar fram gemensamma normerande klassningar och skyddsnivåer. Skyddsnivåerna måste då tas fram i stor öppenhet där det redovisas hur man ser på olika risker och hur de föreslagna skyddsåtgärderna avses reducera dessa. Koppling till krav i föreskrifter med mera bör även finnas. Skyddsnivåerna måste även innefatta skydd av andra bärare än system och molntjänster, t.ex. fysiskt skydd av papper. En jätteuppgift är att hålla skyddsnivåerna uppdaterade så att de inte ger förlegade rekommendationer. Då ska vi komma ihåg att detta ändå skulle kräva en bråkdel av de resurser som skulle gå åt om varje vårdgivare skulle genomföra alla moment själv. Jag kan mycket väl tänka mig att man i många fall även kan ge förslag på arbetsrutiner.

Vad skull då detta kunna innebära i praktiken? Naturligtvis skulle ansvaret för säkerheten aldrig kunna delegeras men exempelvis en vårdgivare skulle kunna gå i ett bibliotek av olika verksamhetsprocesser, välja ut den aktuella och få fram en bild av generisk process samt en normerande klassning av typen nedan (fast ifylld):


Därefter jämför vårdgivaren med sin egen verksamhet hur väl det presenterade materialet stämmer överens. Gör det det i stora drag, kanske med litet annorlunda benämningar, så skulle vårdgivaren med detta stöd kunna ta sig ner till nivå att kunna köpa rätt skåp att förvara den enskilde vårdtagarens medicin i. Att krav på digitala lösningar ingår är naturligtvis självklart.

Som en bonus kan även krav på bevarande och gallring läggas in.

Det kan kännas som en överväldigande uppgift att ta itu med men minns då att den redan är överväldigande och idag tynger kärnverksamheten på ett orimligt sätt. Kan vi åtminstone ta fram normerande klassningar för generiska processer i samhällsviktig verksamhet skulle vi ge möjlighet att höja samhällssäkerheten högst väsentligt och dessutom kunna reducera resursåtgången. Eftersom myndigheterna med särskilt ansvar för informationssäkerhet förefaller skeptiska till den här typen av stöd finns det utrymme för andra aktörer att träda fram.

Tack Calle Lilius för bilderna!

Den byråkratiska informationssäkerheten

Statskontorets publikationer är en underskattad men ständig källa om inte till glädje så till mycket nyttig kunskap. Under sommaren har jag en forskningsantologi kallad Statlig förvaltningspolitik för 2020-talet. Min bedömning är att denna antologi är ett måste för den som arbetar med informationshantering eller informationssäkerhet i offentlig sektor. Här får man så mycket sammanhang och tankar att man går ur boken som en tjänsteperson eller konsult stärkt och betydligt bättre rustad att hantera sitt uppdrag.

Ur en informationssäkerhetskonsults vinkel är det framför allt avsnitten om hur förpappring, managementbyråkrati, användning av standarder och konsulter riskerar leda inte bara till onödig administration utan också till bristande styrförmåga. Tyvärr är det mycket som känns obehagligt välbekant. Det är dystert att blir varse om hur det område man själv jobbar inom liksom man själv kanske är en förgiftad gåva till uppdragsgivaren, att det kostar mer än det smakar. Vi kanske ödmjukt borde inse att informationssäkerhet alltför ofta ger upphov till mer byråkrati än nytta, till mer krångel än säkerhet. En ständigt närvarande fråga borde vara hur kan vi skapa bättre säkerhet utan att tynga våra uppdragsgivare och utan att ta kraft från organisationernas verkliga uppgifter. Hur mycket har alla de icke-fungerande ledningssystem inte kostat i pengar, incidenter och en falsk trygghet som hindrat att man vidtagit reella säkerhetsåtgärder. Slutligen är det för mig oetiskt att ta mer resurser från kärnverksamheten till säkerhet om det inte går att påvisa att det är nödvändigt.

Givna frågor borde vara:

  1. Har den här åtgärden en säkerhetshöjande effekt som står i paritet med den kostnad och krångel som den orsakar verksamheten?
  2. Är den här åtgärden verkligen avpassad till och tar hänsyn till verksamhetens egentliga behov av säkerhet? Indirekt: vet jag som vill lansera den tillräckligt mycket om verksamhetens behov för att kunna avgöra det?
  3. Kommer den här åtgärden verkligen att fungera i praktiken eller är den en ren pappersprodukt? Och kommer den även att fungera över tid, t.ex. när konsulten lämnat skeppet?
  4. Finns det verkligen inte ett effektivare sätt att reducera risken till en acceptabel nivå?

Varför fungerar då så mycket av informationssäkerhetsarbetet så dåligt trots de avsevärda resurser som läggs på det från olika håll? Efter att ha begrundat Statskontorets antologi vill jag på prov lansera hypotesen att många av informationssäkerhetens tillkortakommande beror på att arbetet bedrivits som en del i den new public management-trend som varit rådande i svensk förvaltning de senaste decennierna. NPM diskuteras frekvent i antologin och många av dessa resonemang kan med lätthet översättas till informationssäkerhetsområdet. Kännetecknande för NPM är bland annat en strävan att styrformerna i offentlig förvaltning ska likna de i privata företag. Konsekvenserna blir i korthet decentralisering, ram/mål-styrning, standarder och en massa mätande. Det som regleras är vad som ska göras men inte hur. Ansvaret för hur åtgärder ska genomföras trycks ner i den decentraliserade strukturen. Någon som kommer att tänka på den så omtalade ansvarsprincipen kanske?

NPM kan låta lockande men jag skulle säga att informationssäkerheten nationellt och i de enskilda organisationerna lidit stor skada av att det inte funnits en inriktning att ge tydliga direktiv om hur olika säkerhetsåtgärder ska utföras. Det är en närmast kuslig suboptimering att varje organisation ska räkna ut allt själva. Kravet på kortsiktig leverans och mätbarhet gör att det strategiska arbetet försummas.

Dessutom leder till en bristande samordning i en alltmer integrerad informationsinfrastruktur där en parts investering i säkerhet görs helt urarva genom att andra aktörer har gjort andra bedömningar och därmed inte infört samma skydd. Fokus ligger också på dokument, standarder och rapportering, allt i enlighet med NPM:s styrfilosofi.

Jag tror inte att motståndet mot att få en konkretare styrning i säkerhetsfrågor ligger hos enskilda myndigheter, kommuner eller regioner, tvärtom är en vanlig utgångspunkt i diskussioner att man vill ha tydlighet och stöd i att veta vilka säkerhetsåtgärder som är adekvata och uppdaterade. Snarare uppfattar jag att myndigheterna med föreskriftsrätt duckar och inte vill ta det ansvar som det innebär att peka med hela handen. Det är liksom lättare att klaga på den bristande säkerheten i förvaltningen än att ge ett ändamålsenligt stöd.

Jag vill lansera ett förslag som jag haft sedan jag jobbade på MSB som exempel på hur vi skulle kunna bryta med ovanstående ineffektiva styrning och få en bättre och billigare säkerhet. Mitt förslag är och har varit att erbjuda stöd i form av standardiserade skyddsnivåer och det jag kallar normerande klassningar. Skyddsnivåer har jag skrivit om tidigare så därför koncentrerar jag mig på de normerande klassningarna.

Det mest uppenbara exemplet på hur det skulle kunna fungera gäller kommunal verksamhet. Tänk er att det finns 290 kommuner med samma tio obligatoriska uppgifter. Det leder till att man har i grunden har mycket likartade processer även om man ofta har egna beteckningar på förvaltningar, processer och informationsmängder. I större kommuner kan det vara så att flera organisatoriska enheter ägnar sig åt samma slags verksamhet, exempelvis förskola eller äldreomsorg. Man kan också anlita utomstående leverantörer för att driva verksamhet som till exempel ett äldreboende.

En viktig grundprincip för kommunal verksamhet är likvärdighet, dvs. att invånare har rätt att förvänta sig samma kommunala service oavsett var man bor eller vem som är utförare. I det här sammanhanget bör det tolkas som att invånare har rätt till samma säkerhet och integritet. Detta uppnås dock knappast om informationsklassningar genomförs på tusentals olika sätt med helt olika resultat (jag kommer inte att ta upp SKR:s KLASSA här eftersom jag gjort det på annat ställe och kommit fram till att det inte är ett verktyg för informationsklassning utan möjligen för att ställa baskrav på enskilda system och som dessutom ger precis samma risk för olikartade bedömningar som om man inte använde verktyget).

Vad som skulle leda till både ensartade bedömningar och dramatiskt minskad resursåtgång är att göra normerande klassningar på prioriterade processer i kommunal verksamhet. Man skulle då gå igenom en generisk process, exempelvis utbetalning av försörjningsstöd, se vilka informationsmängder som stödjer och skapas  i de olika aktiviteterna i processen. Därefter kan informationsmängderna klassas och den normerande klassningen användas av samtliga som utbetalar försörjningsstöd. I och med att aktiviteter och informationsmängder är förvånansvärt konstanta över tid i många processer (tro mig, jag har gått igenom ett stort antal processer även i ett ”historiskt” perspektiv) så skulle denna grund kunna användas under lång tid. Uppdateringar måste göras då exempelvis lagstiftning eller andra nya förutsättningar leder till att en förändrad bedömning blir nödvändig. Även denna förvaltningsinsats har allt att vinna på att genomföras kollektivt och inte av varje informationsägare. Och, observera, den normerande klassningen är bara ett stöd. Det står varje informationsägare fritt att välja en annan nivå eftersom ansvaret för säkerheten kvarstår hos hen.

Ytterligare en poäng är att det här finns mycket stora samordningsvinster att göra även med dataskydd och arkiv.

Jamen systemen och it-tjänsterna säger ni uppbragt – varför finns inte de med i konceptet??? Det gör de faktiskt eftersom it-säkerheten hanteras i de standardiserade skyddsnivåerna och gör man sin processorienterade informationskartläggning rätt så identifierar man inte bara de digitala lösningar som används som bärare utan även de andra medier som faktiskt används. Dessutom förekommer idag information i många fall i flera versioner på olika bärare så därför kan man inte gå nerifrån och upp. Slutligen är bärarna inte alls lika konstanta som aktiviteter och informationsmängder så att ha dem som utgångspunkt för strategiskt styrning skulle vara göra sig själv en stor otjänst.

En passant kan sägas att samma synsätt sannolikt skulle kunna användas av SÄPO till allas nytta. Att göra generiska säkerhetsskyddsanalyser för exempelvis kommuner och regioner skulle avlasta dessa aktörer och ge ett mer likvärdigt skydd. (Jag flyr nu eftersom jag vet att detta är en helig ko som absolut inte får besudlas….).

Min förutsägelse är att det inte finns något ljus som automatiskt kommer att slås på i denna mörka byråkratiska tunnel utan det är vi själva genom att tänka fritt och nytt som måste skapa det. Det är inte i mängden dokument säkerheten sitter.