Standardens paradox

Under de (alltför) många år jag arbetat med informationssäkerhet har ingen företeelse varit mer omhuldad än de standarder som använts som stöd i arbetet. När jag började var det BS 77 99 och nu har vi en hel 27000-familj.

Även om jag under alla år har haft en god hjälp av standarderna har jag aldrig riktigt kunna gripas av samma entusiasm som de många, inklusive utgivare av myndigheters föreskrifter, som sett standarderna som ett magiskt spö som det i princip räcker att hänvisa till så försvinner säkerhetsproblemen. Jag har redan skrivit ett antal inlägg, bl a här och här  berör den ganska problematiska övertro som finns i Sverige till standardens kraft att skapa bättre informationssäkerhet. Med tiden har jag kommit att fråga mig om sättet att se på framför allt ISO 27000 kanske snarare stjälpt än hjälpt informationssäkerhetsarbetet.

En rejäl tankeställare fick jag när jag hade uppdraget att försöka få in säkerhetsperspektivet i en utredning om e-hälsa. Få saker har jag misslyckats så kapitalt med och en av orsakerna, förutom mina egna brister, var att både utredaren och utredningens sekretariat så fort frågan kom upp smashade bort den som en irriterande fluga med: vi gör en hänvisning till att standarder ska användas. Eftersom jag inte förstår en vink när jag får den eller snarare bryr mig om den så fortsatte jag och försökte även få ett förtydligande vilka standarder som skulle användas och hur. Som ni säkert förstår fick jag aldrig några svar på mina frågor utan det ansågs helt tillfyllest att säkerhetsproblem skulle hanteras via ”standarder”. Självklart förstår jag lockelsen i att det skulle kunna fungera så. Problemet är att det inte gör det.

Om man tittar bakåt så var standarder i industrisamhällets begynnelse en typ av nationella och internationella överenskommelser om framför allt utformningen av tekniska produkter och mått. En av mina favoriter är standarden för avstånd mellan hålen för hålslag. Det är ju ett sant kaos som väntar om hålslagen utformas hur som helst och ingen vet vilka pärmar som kan användas för vilka papper.  Men vad händer egentligen när man flyttar över standardiseringsidéen från vidden för järnvägsspår till hur organisationer ska styra olika verksamhetsområden? När standarder som framtagits utan kontroll från lagstiftare och den egna förvaltningen ska leva sida vid sida med den ordinarie styrningen?

I en mycket intressant artikel från Örebros universitet har författarna (Andersson, Karlsson och Hedström) genom diskursanalys försökt förstå hur framtagandet av standarder i 27000-serien egentligen går till. Som en bakgrund gör de en åtskillnad mellan s.k. de facto-standarder som ta fram av ett företag eller flera företag tillsammans som har ett konkret behov av standardisering. Den andra typen av standarder benämns de jure-standarder som kan utvecklas av olika lagstiftande organ alternativt myndigheter eller av oberoende standardorganisationer som ISO.  27000-serien är alltså en de jure-standard men ligger utanför det lagstiftande området.

Artikeln lyfter också fram att denna typ av standarder strävar efter att skapa en konsensus av vad som bland experter inom området anses vara ”best practice” vilket även framgår tydligt i arbetet med informationssäkerhetsstandarden:

De jure standards play a central role in information security, and organizations are increasingly required to demonstrate compliance with them (Smith et al., 2010; Tsohou et al., 2010). Standards are said to be consensus-based; they reflect “best practices,” as negotiated by experts. In fact, on their website, ISO refers to “standards” and “best practices” interchangeably. “Best practice” is generally referred to as “a working method or set of working methods that is officially accepted as being the best to use in a particular business or industry” (Cambridge Dictionary, 2019). The rhetoric is that standardization is “governed by the principles of consensus, openness, transparency, national commitment and technical coherence” (CEN, 2015) where “groups of experts from all over the world” (ISO, 2014) make “top quality standards” (ETSI, 2014 1423). Thus, the negotiation between experts takes place in discourses, where best practices are constructed through wordings of the standards.

De jure information security standards are likewise made valid and legitimate through an “appeal to common practice and authority” (Siponen and Willison, 2009). However, there is a lack of empirical evidence for what is considered best practice in standardization, because the discourses governing the reasoning remains hidden from public view. It is, therefore, difficult to evaluate the reliability and objectivity of information security standards (Siponen and Willison, 2009). Thus, when considering the pervasive and normative role these best practices have on safeguarding information, information systems, and infrastructures controlled by such systems, it is important to understand the discourses that construct them. If these standards do not represent best practices, then a large number of countermeasures would share the same type of vulnerabilities.

Det kan alltså ifrågasättas vad standardens ställningstagande egentligen bygger, om dess anspråk på att vila på ”best practice” uppfylls. Eftersom den inte bygger på evidens skulle dess USP bestå just i en bred erfarenhetsbaserad kunskap. Om inte denna grund finns påverkas naturligtvis standardens legitimitet. Senare i artikeln framgår på ett litet roande och samtidigt avslöjande sätt hur ytterst få som deltar i standardarbetet även om man tågat omkring på standardiseringsmötena som en fåmansprocession under beteckningen ”Sweden”. Artikelförfattarna gör en maktanalys av själva arbetet med framtagandet av standarder men jag tycker att en vidare maktanalys av hur en mycket liten krets knutna till standardarbetet har haft ett helt dominerande inflytande över svensk förvaltnings arbete med informationssäkerhet. Resultatet har blivit en hegemonisk doktrin om att ISO 27000 är den enda framkomliga vägen att arbeta med informationssäkerhet i svensk förvaltning trots att denna doktrin vare sig bygger på evidens eller ”best practice”.

Så här 11 år efter att ISO 27000 pekades ut som vägledande för svenska myndigheters arbete med informationssäkerhet i MSB:s föreskrift MSBFS 2009:10 (ytterligare markerat i de följande föreskrifterna fram till den nu gällande MSBFS 2020:6) så tycker jag inte det är uppenbart att det var ett helt lyckat vägval. Detta bygger jag på att informationssäkerhetsarbetet knappast kan ses som särdeles framgångsrikt mätt med tillgängliga måttstockar, d.v.s. de granskningar som gjorts både generellt och de som gjorts med inriktning på samhällsviktiga sektorer som exempelvis sjukvård. Låt oss komma ihåg att detta inte är den enda möjliga vägen att välja. I Finland antogs i år en rekommendationssamling  av informationshanteringsnämnden under finansministeriet som explicit undviker att hänvisa till någon standard:

Rekommendationerna hänvisar inte till några allmänna standarder eller referensramar och ger inga anvisningar om tekniska lösningar, som kan förändras till och med snabbt. Utifrån en riskbedömning som görs från fall till fall ska varje myndighet välja tillräckligt säkra tekniska lösningar som är lämpliga i den aktuella situationen.

Jag kommer ihåg att ansvariga för Normen i Norge förde samma resonemang i sina regler för informationssäkerhet i vården, man ville inte referera till någon särskild standard. Uppfattningen var att det var möjligt  att plocka ut det man ville ha ur standarder utan att behöva ansluta sig till en helhet som inte kunde kontrolleras av norsk sjukvård.

När standarder lämnar tekniska specifikationer och övergår till organisatorisk styrning uppstår paradoxala effekter. Jag tänker nu på att ISO 27000 innehåller mycket allmänna krav, att det ska finnas informationsklassning men inte hur den ska utföras eller vilken normskala som ska tillämpas. Varje organisation ska själv ta fram sitt eget komplexa ledningssystem med de komponenter som anvisas i standarden men utformningen och tillämpningen kommer att se väldigt olika ut, det tror jag varje erfaren konsult kan intyga. Istället för centrala regler som specificerar olika lösningar får vi alltså en mängd olika regelverk som ska användas i samma infrastruktur. Standarden leder alltså sannolikt till mindre standardisering på grund av sin inriktning på enskilda organisationer istället för på helhet.

Bräckligheten i kunskapsunderlaget och det fragmentiserade resultatet är två orsaker att ompröva ISO 27000 ställning i den offentliga verksamhetens informationssäkerhetsarbete i Sverige. Vi behöver inte kasta ut barnet med badvattnet men vi måste våga ifrågasätta doktrinen även om de som har byggt upp en stark ställning med hjälp av standarden riskerar att ta illa upp. Informationssäkerhet är en för viktig fråga för att vi ska ha råd med heliga principer som inte tål att diskuteras.

Marshmallows och digitalisering

Häromveckan kom en OECD-rapport där det framkom att Sverige enligt de måttstockar som användes inte var så bra på digitalisering. Rapporten väckte förvåning och upprördhet i vissa kretsar. Jag kan på sätt och vis förstå att det kan upplevas som en kalldusch med tanke på hur mycket offentlig ”digitalisering” haussas och sponsras. Samtidigt får jag litet drygt medge att jag inte är såååå häpen. Den svenska digitaliseringen har under decennier fört en haltande tillvaro trots att den ständigt varit omgiven av jublande kaskader av pepp.

Under dessa år har olika mystiska nationella organisationer skapats, marknadsförts och sedan dött utan att lämna några imponerande spår efter sig. Ur minnet kan jag rada upp följande:

  • Toppledarforum
  • E-nämnden (Nämnden för elektronisk förvaltning)
  • 24-timmarsmyndigheten
  • Verva
  • E-delegationen
  • E-legitimationsnämnden
  • Digitaliseringskommissionen
  • Digitaliseringsrådet
  • DIGG

Utöver detta har diverse ännu mer kortlivade initiativ tagits av regeringar i form av råd och kanske den mest luftiga av alla: en nationell CIO, en funktion som lyckligtvis evaporerade efter mindre än ett år. Av allt detta finns idag bara DIGG kvar – en myndighet med oklart ansvar och mandat.

Efter att ha rört mig i både närmare centrum och och för det mesta i periferin av dessa cirklar så finns det vissa genomgående drag som jag tycker mig kunnat notera. Bara uppräkningen av alla flyktiga organisationer som haft en förväntan på sig att samordna den svenska digitaliseringen visar på det kanske främsta problemet: bristen på kontinuitet. Det har aldrig funnits en långsiktig plan med prioriteringar för hur den offentliga digitaliseringen ska rullas ut. Bristen på strategisk inriktning skulle i sig kunna vara en strategi, att den svenska staten gjort en välavvägd bedömning att en organisk framväxt  utan styrning av digitala lösningar på sikt skulle gynna samhället bäst. Om detta har varit planen har den dock hållits väl dold. Verkligheten tyder på, i alla fall för mig, att planering och tydlig inriktning hade varit mycket önskvärt för att skapa en fungerande digital infrastruktur.

Kanske var vi närmare en möjlighet att skapa en infrastruktur på slutet av 90-talet än idag. Då fanns en medvetenhet om att Sverige hade unika möjligheter bland annat genom denna snabba spridningen av hemdatorer som skett då anställda fick möjlighet att med förmånliga villkor skaffa sig en egen dator via arbetsgivaren. Då diskuterades hur en statlig e-legitimation skulle kunna införas som en central infrastrukturkomponent. Själv tyckte jag att det var en rimlig förlängning av ett statlig åtagande: folkbokföring, personnummer och sedan e-legitimation skulle fullfölja en lång linje i svensk förvaltningshistoria som skulle kunna vara byggstenen för många andra lösningar. Men sedan hände ingenting, varje år sas det att i september – då kommer den att komma! Vet ej varför just september var en så bra månad för att lansera e-leg men i min något osäkra minnesbild var det så. En myndighet (E-nämnden) bildades 2003 för att leva i två somrar med uppdrag att

stödja utvecklingen av ett säkert effektivt elektroniskt informationsutbyte mellan myndigheter och mellan myndigheter och enskilda genom att beslut om vilka standarder för informationsutbyte myndigheter under regeringen skulle använda sig av.

Detta inkluderade även e-legfrågan. Men som sagt någon statlig e-legitimation blev det inte då vilket jag är ganska övertygad berodde på ideologiska skäl. Politiker av olika schatteringar gick all in för nyliberalism och ville hellre att ”marknaden” skulle hantera e-legitimationerna vilket säkert påverkade införande och fördröjde en säker infrastruktur-utveckling. Att jag tagit upp denna gamla historia är mest för att peka på ett annat återkommande tema i den svenska digitaliseringen, nämligen att det saknats öppna och tydliga diskussioner om hur staten och marknaden ska samverka på bästa sätt för gynna samhället. Istället har framtagandet av digitala lösningar skett i en ideologisk blindhet som lett mycket stora kostnader (tänk bara Hälsa för mig) utan att det lett till de resultat som eftersträvats.

Och vad är det då för resultat som eftersträvas? Man skulle tycka att med den stora förväntan på digitalisering och AI som lösningen på alla problem liksom de miljarder som pytsats in att även utan plan så skulle det vara nödvändigt att ha någon slags tydliga mål som går att följa upp. Så är dock inte fallet om man inte räknar det outsägligt fåniga målet att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter” som tydligt. Istället vimlar det av fluffiga utsägelser som digitaliseringen ska rädda allt från äldreomsorgen till exportindustrin och självklart skolan. Exakt hur det här ska gå till beskrivs vad jag kan se varken av infrastrukturdepartementet, DIGG eller digitaliseringsevangelisterna SKR  trots att man skrivit vad man kallar mål och strategier. Det förväntas bara ske.

Det ligger något av en paradox i att digitaliseringslösningar idag så ofta används för att mäta som en del i det rådande NPM-paradigmet när det samtidigt sker så litet av formell utvärdering av vad digitaliseringen faktiskt leder till. Om man går in de traditionella utvärderarna av ”vad f-n får vi för pengarna?” som Riksrevisionen, Statskontoret och, när det gäller e-hälsa, Myndigheten för vårdanalys finns påfallande få granskningar och rapporter skrivna just om digitalisering. Riksrevisionen publicerade 2016  en rapport som knappast är en av dem som länder revisionen till heder med tanken på kvaliteteten som kontrollerar om myndigheter digitaliserat tillräckligt mycket – inte vad digitaliseringen lett till. Detta är i sig en generell tendens, att se digitaliseringen i sig som något ”gott” samtidigt som man i nästa andetag säger att digitaliseringen inte är självändamål. Men vad kan vara mer självändamål än att ha som mål att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter”? Däremot kom 2019 en granskning  om digitalisering och nyföretagande som faktiskt sätter nyföretagandet i centrum – inte digitaliseringen. Utöver detta finns det inte mycket att hämta om digitalisering hos Riksrevisionen om man är intresserad av resultatet av statens insatser på området. Statskontoret har skrivit myndighetsanalyser av bl.a. E-delegationen, Digisam och Digitaliseringsrådet (spoiler alert: de har inte lyckats så bra) men egentligen inget vad jag kan se om digitaliseringen i sig. Riksrevisionens och Statskontorets uppdrag kan möjligen göra dem något begränsade i sina granskningar men att Myndigheten för vårdanalys inte haft detta som ett starkt granskningsområde förvånar mig starkt. Med tanke på hur e-hälsa, välfärdsteknologi, AI och digitalisering lyfts fram  som vårdens frälsare borde utfallet av detta vara mycket angeläget att kontinuerligt följa. Som det nu är hittar jag egentligen bara en rapport som handlar om cancervården specifik. Ett projekt om äldreomsorgens digitalisering ska slutlevereras 2023 och inriktningen ”Myndigheten ska bedöma hur digitaliseringen av äldreomsorgen bidrar till verksamhetsutveckling, med särskilt fokus på kostnadseffektivitet.” – alltså hur ska digitaliseringen ”effektivisera” äldreomsorgens.  Sammanfattande kan jag förstå om det är svårt att göra granskningar med så fluffiga mål för vad är det egentligen som ska följas upp?

Min egen anekdotiska upplevelse är att den svenska digitaliseringen lider svårt av ett marshmallowssyndrom. Ni vet det där gamla experimentet om uppskjuten tillfredställelse som sedan har ifrågasatts men som jag ändå använder här som bild. På Stanford university erbjöds fyraåring att marshmallows med förutsättningen att om de kunde motstå att genast sluka den godbit de fick och kunde vänta några minuter kunde de istället få två. Tanken var att de som kunde planera och motstå frestelsen blev framgångsrika längre fram i livet. Den svenska digitaliseringen tyckte jag ofta har liknat barnen som inte kunde låta bli att genast tillfredsställa sitt sötsug. De politiker, tjänstemän och företag som drivit på digitaliseringen har dock styrts av starkare tobak än marshmallows men kontentan blir att det idag saknas en plan. Det tycks som man ofta gör saker för att man kan, inte för att man analyserat och kommit fram till att det är rätt steg i en bestämd riktning.

Detta leder också till den intressanta frågan vems intressen tjänar den nuvarande digitaliseringen. Som redan nämnts är äldreomsorgen ett frestande område att digitalisera, mindre så digitaliseringsbyråkraternas egna jobb. Jag ska inte ge mig in på David Graebers tankar om Bullshit jobs (läs gärna själva!) men tanken på de undersköterskor som flänger omkring som torra skinn i äldreomsorgen är de som ska effektiviseras och inte de som har bullshit jobs är djupt störande. Jag tänker också på vad en äldre människa tjänar på att inte få en människa som kommer och hjälper till med matning utan en robot. Detta borde vi prata mycket mer om.

För att ingen ska missförstå ovanstående: jag vet och uppskattar den ständigt puttrande digitaliseringen men skulle uppskatta en plan.

Effektivisera informationssäkerhetsarbetet!

I mitt förra inlägg hävdade jag att arbetet med informationssäkerhet alltför ofta kännetecknas av byråkratiska aktiviteter utan reell säkerhetshöjande effekt men däremot med ett anspråkstagande av verksamheters resurser på ett orimligt sätt. Det är ju inte heller enbart kärnverksamhetens resurser som används på ett sätt som kan etiskt ifrågasättas. Att säkerhetsarbetet bedrivs utan hänsyn till hur effektiv användningen av resurser är samtidigt som den oavlåtliga klagovisan ljuder att säkerhetsarbetet får för litet resurser, ständigt för litet resurser, är paradoxalt. För den som arbetar med säkerhet borde det ha högsta prioritet att få fram arbetssätt som ger största möjliga utdelning av säkerhetshöjande effekter i förhållanden till insatta resurser. Tyvärr har jag sett mycket litet av den typen av analyser och jag kan t.o.m. tycka att säkerhetsområdet får rejält med pengar sammantaget utan det riktigt framgår vad som kommit ut av det.

Rubriken på blogginlägget är aningen ironisk eftersom det väl nu är allmänt känt att effektiviseringar sällan leder till bättre verksamhet. Jag tycker ändå att det är klädsamt om vi som jobbar informationssäkerhet, som är en stödfunktion, håller upp spegeln och ser vad vi kan göra när kärnverksamheten i många organisationer är hårt pressad av krav på besparingar. Att försöka göra saker bättre och mer kostnadseffektiva behöver inte heller vara till nackdel för metodutveckling, jag dristar mig att anse att det skulle vara en fördel om det fanns ROI-perspektiv på både planerade och genomförda säkerhetsåtgärder. Jag tror det skulle vara ett stort stöd för många informationssäkerhetsansvariga som nu ibland verkar beta av ett antal aktiviteter utan att kunna bedöma vad det egentligen leder till. Vissa aktiviteter kan vara stora och dyrbara men det handlar också om annat där kostnaden kanske inte är så stor men effekten ännu mindre. Att genomföra generiska e-utbildningar är enligt min erfarenhet tämligen bortkastat men den informationssäkerhetsansvarige som initierat dem kan bocka av en ruta. För mig betyder detta mekaniska tillvägagångssätt, förutom pengar och medarbetares tid i sjön, att organisationen invaggas i en vilseledande och farlig falsk trygghet.

Det tämligen obefintliga effektivitetspressen inom säkerhetsområdet, som är så kännbar i andra sektorer, tycker jag mig se leda till en lättja i tanke och i handling. Det är lätt att glömma bort men informationssäkerhet handlar i grunden om att ha kontroll över sin information. Har man inte det så har man inte en fungerande informationssäkerhet. Med detta i bakhuvudet så kan den seriösa informationssäkerhetsarbetaren inte leva efter bekvämlighetsprincipen och hela tiden göra det som känns enklast. Att enbart identifiera information som råkar finnas i system som man redan känner till är som, för att använda en mycket uttjatad bild, att leta efter den borttappade nyckeln under gatlyktan eftersom det är enklast. Tyvärr är det så jag uppfattar rätt mycket av de insatser som går under beteckningen ”informationsklassning” som inte leder till kontroll över den information som är viktig för verksamheten utan den som redan finns bekvämt paketerad i en behållare a.k.a ett ”system”. Ibland när jag får ”verktyg” för informationsklassning som är obegripligt efterfrågade presenterade för mig kan jag inte låta bli att fnissa till och tänka på min bekant som var kommunal it-chef på 1990-talet. Hen hävdade att det var en underbar tillvaro där hen sågs som en wizzard som på vilken fråga som helst (i princip) från verksamheten kunde hacka ihop ett it-verktyg för att lösa en uppgift. ”Stöd” sågs helt enkelt som synonymt med någon slags programvara. Tyvärr tycks denna uppfattning leva kvar bland många i informationssäkerhetsbranschen trots att det ofta är de icke-digitala delarna i en aktivitet som är svåra. I informationsklassning (se nedan) är den stora frågan exempelvis att göra rätt analyser, inte att hålla reda på genomförda klassningar. Innehåller verktygen dessutom generiska skyddsåtgärder uppstår en annan problematik: vem tar då egentligen ansvar för att det är korrekta skyddsåtgärder i förhållande till risken?

Efter denna salva känner jag mig förpliktigad att ge exempel på alternativ. Här kommer därför ett förslag på arbetssätt motsvarande informationssäkerhetens kinderägg. De tre fördelarna med mitt förslag är att man faktiskt arbetar med information – inte system, att man kan bygga upp en likvärdig säkerhet i likartade verksamheter och att kostnader i form av pengar och tid radikalt skulle kunna minskas samtidigt som får ökad kvalitet/säkerhet. Med avsikt har jag valt en mycket säkerhetskänslig funktion som även är mycket vanligt förekommande: processen för läkemedelshantering i äldreomsorgen.

För att ge en kort bakgrund så ombesörjs äldreomsorgen med de 290 kommunerna som huvudman. Kommunerna kan bedriva omsorgen själva eller anlita underleverantörer som privata vårdföretag. Oavsett vilket så är det kommunen som har ansvar som sjukvårdshuvudman och ska därmed säkerställa att omsorgen bedrivs på ett säkert och likvärdigt sätt oavsett utförare. En central del i omsorgen av äldre är läkemedelshanteringen. Äldre som inte får rätt läkemedel i rätt dos vid rätt tidpunkt löper en avsevärd hälsorisk, i värsta fall med döden som utgång. Omsorgen sker dygnet runt av ett antal medarbetare som vid varje givet tillfälle måste ha korrekt och spårbar information tillgänglig. Samtidigt berör uppgifterna om läkemedel omsorgstagarens hälsotillstånd vilket gör dem till känsliga personuppgifter som måste omges med ett mycket starkt skydd mot obehörig åtkomst. Utöver detta finns en särskild risk i läkemedelshanteringen, narkotiska preparat och även andra är mycket stöldbegärliga.  Även detta stärker det utpräglade behovet av spårbarhet där varje händelse kan följas och och kopplas till person som i en lång verifikationskedja.

En generisk processbeskrivning på övergripande nivå skulle kunna se ut så här.

 

Inga konstigheter i det men man kan gå ett fördjupande steg till utan att beskrivningen skulle tappa särskilt mycket i allmängiltighet med däremot fånga upp vilken information som hanteras, se detta utsnitt ur processen:

 

 

Processen startar med att en av regionens läkare gör en läkemedelsordination vilket dokumenteras i regionens vårdsystem samt i den nationella läkemedelslistan. Dessa moment ligger utanför processbeskrivningen ovan som startar med att information om ordination överförs till kommunen som en pappersutskrift vilket startar processen. Den intresserade kan notera följande:

  1. Merparten av informationsmängderna är även de att betrakta som tämligen generiska
  2. Merparten av informationen hanteras i pappersform, detta särskilt i kritiska aktiviteter i processen
  3. En stor del av informationen finns på flera bärare samtidigt
  4. I hela processen är spårbarheten är essentiell för patientsäkerheten

Detta är inte på något sätt unikt för den här processen utan gäller för många andra. Slutsatsen man kan dra är att om man seriöst ska arbeta med informationssäkerhet så räcker det sannerligen inte med att ”klassa” ett enskilt system utan måste få kontroll över hela informationshanteringen. Inte heller att enbart titta på digital information utan det är just helheten som måste fångas för att rätt åtgärder ska kunna vidtas. Även för dataskyddet är detta en självklarhet – man kan liksom inte bara skydda personuppgifter i digital form. I den ovan beskrivna processen finns t.o.m. bärare som apodos-påsar som måste omhändertas på ett korrekt sätt.

Det kan tyckas ansträngande att inte bara få ägna sig åt färdigpaketerad information prydligt avgränsad i system men här finns istället stora effektivitetsvinster att göra. Det går att klassa informationsmängden ”ordination” och så vidare så att det går att använda som en normerande klassning i samtliga kommuner oavsett vilka bärare man för tillfället råkar använda. Dagens rekommendation från myndigheter och SKR är  att 290 kommuner med vissa fall flera förvaltningar som bedriver äldreomsorg  ska klassa system i varje förvaltning. Dessutom måste samma manöver upprepas av de privata vårdgivare som anlitas av kommunerna.  Enligt Almegas beräkningar fanns 2019 14900 företag som ägnade sig åt vård och omsorg. Jag har inte riktigt tid att fördjupa mig i exakt hur många av dessa som bedriver äldreomsorg men för saken skull så utgår jag från att det åtminstone finns 500 privata äldreboenden. Sammantaget kanske det då behöver göras 850 klassningar av olika vårdgivare.  Låt oss höfta och säga att resursåtgången per klassning är minst 100 timmar inklusive förberedelser och dokumentation (detta är extremt lågt räknat med tanke på att det ofta är ett flertal deltagare på klassningarna) för att klassa ett system som stödjer en liten del av ordinationsprocessen. Lustigt nog kommer det också att bli samma system som klassas gång på gång med varierande resultat. Kontentan blir alltså bristande kontroll över informationen och bristande likvärdighet mellan olika äldreomsorgsverksamheter till en sammantagen resursåtgång av 85 000 timmar. Betänk också att detta bara är en av flera processer bara i äldreomsorgen.

Mitt förslag är att man istället slår ihop sina påsar, tar fram gemensamma normerande klassningar och skyddsnivåer. Skyddsnivåerna måste då tas fram i stor öppenhet där det redovisas hur man ser på olika risker och hur de föreslagna skyddsåtgärderna avses reducera dessa. Koppling till krav i föreskrifter med mera bör även finnas. Skyddsnivåerna måste även innefatta skydd av andra bärare än system och molntjänster, t.ex. fysiskt skydd av papper. En jätteuppgift är att hålla skyddsnivåerna uppdaterade så att de inte ger förlegade rekommendationer. Då ska vi komma ihåg att detta ändå skulle kräva en bråkdel av de resurser som skulle gå åt om varje vårdgivare skulle genomföra alla moment själv. Jag kan mycket väl tänka mig att man i många fall även kan ge förslag på arbetsrutiner.

Vad skull då detta kunna innebära i praktiken? Naturligtvis skulle ansvaret för säkerheten aldrig kunna delegeras men exempelvis en vårdgivare skulle kunna gå i ett bibliotek av olika verksamhetsprocesser, välja ut den aktuella och få fram en bild av generisk process samt en normerande klassning av typen nedan (fast ifylld):


Därefter jämför vårdgivaren med sin egen verksamhet hur väl det presenterade materialet stämmer överens. Gör det det i stora drag, kanske med litet annorlunda benämningar, så skulle vårdgivaren med detta stöd kunna ta sig ner till nivå att kunna köpa rätt skåp att förvara den enskilde vårdtagarens medicin i. Att krav på digitala lösningar ingår är naturligtvis självklart.

Som en bonus kan även krav på bevarande och gallring läggas in.

Det kan kännas som en överväldigande uppgift att ta itu med men minns då att den redan är överväldigande och idag tynger kärnverksamheten på ett orimligt sätt. Kan vi åtminstone ta fram normerande klassningar för generiska processer i samhällsviktig verksamhet skulle vi ge möjlighet att höja samhällssäkerheten högst väsentligt och dessutom kunna reducera resursåtgången. Eftersom myndigheterna med särskilt ansvar för informationssäkerhet förefaller skeptiska till den här typen av stöd finns det utrymme för andra aktörer att träda fram.

Tack Calle Lilius för bilderna!

Den byråkratiska informationssäkerheten

Statskontorets publikationer är en underskattad men ständig källa om inte till glädje så till mycket nyttig kunskap. Under sommaren har jag en forskningsantologi kallad Statlig förvaltningspolitik för 2020-talet. Min bedömning är att denna antologi är ett måste för den som arbetar med informationshantering eller informationssäkerhet i offentlig sektor. Här får man så mycket sammanhang och tankar att man går ur boken som en tjänsteperson eller konsult stärkt och betydligt bättre rustad att hantera sitt uppdrag.

Ur en informationssäkerhetskonsults vinkel är det framför allt avsnitten om hur förpappring, managementbyråkrati, användning av standarder och konsulter riskerar leda inte bara till onödig administration utan också till bristande styrförmåga. Tyvärr är det mycket som känns obehagligt välbekant. Det är dystert att blir varse om hur det område man själv jobbar inom liksom man själv kanske är en förgiftad gåva till uppdragsgivaren, att det kostar mer än det smakar. Vi kanske ödmjukt borde inse att informationssäkerhet alltför ofta ger upphov till mer byråkrati än nytta, till mer krångel än säkerhet. En ständigt närvarande fråga borde vara hur kan vi skapa bättre säkerhet utan att tynga våra uppdragsgivare och utan att ta kraft från organisationernas verkliga uppgifter. Hur mycket har alla de icke-fungerande ledningssystem inte kostat i pengar, incidenter och en falsk trygghet som hindrat att man vidtagit reella säkerhetsåtgärder. Slutligen är det för mig oetiskt att ta mer resurser från kärnverksamheten till säkerhet om det inte går att påvisa att det är nödvändigt.

Givna frågor borde vara:

  1. Har den här åtgärden en säkerhetshöjande effekt som står i paritet med den kostnad och krångel som den orsakar verksamheten?
  2. Är den här åtgärden verkligen avpassad till och tar hänsyn till verksamhetens egentliga behov av säkerhet? Indirekt: vet jag som vill lansera den tillräckligt mycket om verksamhetens behov för att kunna avgöra det?
  3. Kommer den här åtgärden verkligen att fungera i praktiken eller är den en ren pappersprodukt? Och kommer den även att fungera över tid, t.ex. när konsulten lämnat skeppet?
  4. Finns det verkligen inte ett effektivare sätt att reducera risken till en acceptabel nivå?

Varför fungerar då så mycket av informationssäkerhetsarbetet så dåligt trots de avsevärda resurser som läggs på det från olika håll? Efter att ha begrundat Statskontorets antologi vill jag på prov lansera hypotesen att många av informationssäkerhetens tillkortakommande beror på att arbetet bedrivits som en del i den new public management-trend som varit rådande i svensk förvaltning de senaste decennierna. NPM diskuteras frekvent i antologin och många av dessa resonemang kan med lätthet översättas till informationssäkerhetsområdet. Kännetecknande för NPM är bland annat en strävan att styrformerna i offentlig förvaltning ska likna de i privata företag. Konsekvenserna blir i korthet decentralisering, ram/mål-styrning, standarder och en massa mätande. Det som regleras är vad som ska göras men inte hur. Ansvaret för hur åtgärder ska genomföras trycks ner i den decentraliserade strukturen. Någon som kommer att tänka på den så omtalade ansvarsprincipen kanske?

NPM kan låta lockande men jag skulle säga att informationssäkerheten nationellt och i de enskilda organisationerna lidit stor skada av att det inte funnits en inriktning att ge tydliga direktiv om hur olika säkerhetsåtgärder ska utföras. Det är en närmast kuslig suboptimering att varje organisation ska räkna ut allt själva. Kravet på kortsiktig leverans och mätbarhet gör att det strategiska arbetet försummas.

Dessutom leder till en bristande samordning i en alltmer integrerad informationsinfrastruktur där en parts investering i säkerhet görs helt urarva genom att andra aktörer har gjort andra bedömningar och därmed inte infört samma skydd. Fokus ligger också på dokument, standarder och rapportering, allt i enlighet med NPM:s styrfilosofi.

Jag tror inte att motståndet mot att få en konkretare styrning i säkerhetsfrågor ligger hos enskilda myndigheter, kommuner eller regioner, tvärtom är en vanlig utgångspunkt i diskussioner att man vill ha tydlighet och stöd i att veta vilka säkerhetsåtgärder som är adekvata och uppdaterade. Snarare uppfattar jag att myndigheterna med föreskriftsrätt duckar och inte vill ta det ansvar som det innebär att peka med hela handen. Det är liksom lättare att klaga på den bristande säkerheten i förvaltningen än att ge ett ändamålsenligt stöd.

Jag vill lansera ett förslag som jag haft sedan jag jobbade på MSB som exempel på hur vi skulle kunna bryta med ovanstående ineffektiva styrning och få en bättre och billigare säkerhet. Mitt förslag är och har varit att erbjuda stöd i form av standardiserade skyddsnivåer och det jag kallar normerande klassningar. Skyddsnivåer har jag skrivit om tidigare så därför koncentrerar jag mig på de normerande klassningarna.

Det mest uppenbara exemplet på hur det skulle kunna fungera gäller kommunal verksamhet. Tänk er att det finns 290 kommuner med samma tio obligatoriska uppgifter. Det leder till att man har i grunden har mycket likartade processer även om man ofta har egna beteckningar på förvaltningar, processer och informationsmängder. I större kommuner kan det vara så att flera organisatoriska enheter ägnar sig åt samma slags verksamhet, exempelvis förskola eller äldreomsorg. Man kan också anlita utomstående leverantörer för att driva verksamhet som till exempel ett äldreboende.

En viktig grundprincip för kommunal verksamhet är likvärdighet, dvs. att invånare har rätt att förvänta sig samma kommunala service oavsett var man bor eller vem som är utförare. I det här sammanhanget bör det tolkas som att invånare har rätt till samma säkerhet och integritet. Detta uppnås dock knappast om informationsklassningar genomförs på tusentals olika sätt med helt olika resultat (jag kommer inte att ta upp SKR:s KLASSA här eftersom jag gjort det på annat ställe och kommit fram till att det inte är ett verktyg för informationsklassning utan möjligen för att ställa baskrav på enskilda system och som dessutom ger precis samma risk för olikartade bedömningar som om man inte använde verktyget).

Vad som skulle leda till både ensartade bedömningar och dramatiskt minskad resursåtgång är att göra normerande klassningar på prioriterade processer i kommunal verksamhet. Man skulle då gå igenom en generisk process, exempelvis utbetalning av försörjningsstöd, se vilka informationsmängder som stödjer och skapas  i de olika aktiviteterna i processen. Därefter kan informationsmängderna klassas och den normerande klassningen användas av samtliga som utbetalar försörjningsstöd. I och med att aktiviteter och informationsmängder är förvånansvärt konstanta över tid i många processer (tro mig, jag har gått igenom ett stort antal processer även i ett ”historiskt” perspektiv) så skulle denna grund kunna användas under lång tid. Uppdateringar måste göras då exempelvis lagstiftning eller andra nya förutsättningar leder till att en förändrad bedömning blir nödvändig. Även denna förvaltningsinsats har allt att vinna på att genomföras kollektivt och inte av varje informationsägare. Och, observera, den normerande klassningen är bara ett stöd. Det står varje informationsägare fritt att välja en annan nivå eftersom ansvaret för säkerheten kvarstår hos hen.

Ytterligare en poäng är att det här finns mycket stora samordningsvinster att göra även med dataskydd och arkiv.

Jamen systemen och it-tjänsterna säger ni uppbragt – varför finns inte de med i konceptet??? Det gör de faktiskt eftersom it-säkerheten hanteras i de standardiserade skyddsnivåerna och gör man sin processorienterade informationskartläggning rätt så identifierar man inte bara de digitala lösningar som används som bärare utan även de andra medier som faktiskt används. Dessutom förekommer idag information i många fall i flera versioner på olika bärare så därför kan man inte gå nerifrån och upp. Slutligen är bärarna inte alls lika konstanta som aktiviteter och informationsmängder så att ha dem som utgångspunkt för strategiskt styrning skulle vara göra sig själv en stor otjänst.

En passant kan sägas att samma synsätt sannolikt skulle kunna användas av SÄPO till allas nytta. Att göra generiska säkerhetsskyddsanalyser för exempelvis kommuner och regioner skulle avlasta dessa aktörer och ge ett mer likvärdigt skydd. (Jag flyr nu eftersom jag vet att detta är en helig ko som absolut inte får besudlas….).

Min förutsägelse är att det inte finns något ljus som automatiskt kommer att slås på i denna mörka byråkratiska tunnel utan det är vi själva genom att tänka fritt och nytt som måste skapa det. Det är inte i mängden dokument säkerheten sitter.

Informationssäkerhetens Mary Poppins

Antalet konsulter har tillväxt kanske inte explosionsartat men massivt under de senaste decennierna. Det skulle föra för långt att ta upp alla bakomliggande orsaker till detta i ett kort blogginlägg. Jag tänkte istället ägna mig åt litet självspäkning så här i slutet av sommaren och resonera litet om informationssäkerhetskonsulter och vilken eventuellt nytta eller skada vi kan bidra till. För dessa resonemang har jag inte något specifikt stöd gällande konsulter inom informationssäkerhetsområdet men utgår från forskning angående managementkonsulteri generellt. Tankarna som presenteras nedan bygger dock främst på mina egna erfarenheter från båda sidor upphandlingsbordet samt av de studier av de palimpsestlika konsultinsatser som man alltför ofta stöter på som konsult. Det vill säga de ofta flerfaldiga lager av tidigare uppdrag som inte lett till något varaktigt säkerhetsarbete men som lever kvar som bortglömda power points, ibland regelverk som är copy paste ur standarden och som resignation i organisationen: ”vi har ju redan försökt och det gick inte”.

Marknaden för informationssäkerhetskonsulter har som sagt växt. Många organisationer, både privata och offentliga, ser behov externa specialister för att förbättra sin säkerhet. Men flera faktorer försvårar redan i upphandlingsskedet.  En sådan faktor är att det är marknad där ”varan” saknar en tydlig definition för vad ska egentligen en sådan konsult ha för bakgrund och kompetens? När det inte ens finns en tydlig överenskommelse om vad informationssäkerhet ÄR och än mindre krav på enhetliga utbildningar med fastställt innehåll så är förvirring en självklar konsekvens. Vanligaste förvirringen är sammanblandningen av informations- respektive it-säkerhet där både leverantör och kund ofta har inriktning på teknisk säkerhet snarare än den organisatoriska säkerhet som är grunden för informationssäkerheten.

Leverantör och kund kan med denna bakgrund ha helt olika uppfattningar om vad som ska levereras. Genomgående har leverantörer ett kunskapsövertag – det är ju de som förväntas sitta på expertisen. Om kunden inte har gjort ett ordentligt förarbete med analys av vilken typ specialiststöd man egentligen behöver kan leverantören på olika sätt styra vad som faktiskt kommer att levereras. Detta moment 22, att man har alltid för litet intern kompetens för att kunna beskriva vad som behövs innan man har upphandlat kompetens, gäller inte bara för enskilda organisationer. Under åren har jag sett ett rätt stort antal gemensamma ramavtal som haft samma brist. Upphandlingen tycks formad av önskan att hitta en informationssäkerhetens Mary Poppins som bara glider in och fixar till saker utan att besvära organisationen.  Resultatet blir bland annat att rena teknikföretag kan kapa åt sig uppdrag där organisatorisk kompetens är helt nödvändig.

 


När ingen annan kan beskriva vad en ”informationssäkerhetsspecialist” är och vad som krävs för att arbeta som en sådan är det naturligtvis ett omöjligt krav att ställa att just den upphandlande organisationen ska göra det.  I ett antal upphandlingar och även anställningsförfarande har  varit med om att några yrkesgrupper anser sig kompetenta även om de aldrig arbetat med informationssäkerhet, läs militärer och poliser. Tidigare har jag skrivit om att informationssäkerhet fortfarande i hög grad är en erfarenhetsbaserad kunskap där juniora utövare lär sig av seniora dito. Men hur ska krav på denna typ av erfarenhet ställas i en upphandling och hur mycket enklare vore det inte med någon typ av examen kompletterad med praktik under x antal år? Under senare år har det dykt upp krav på att konsulter ska vara certifierade. Detta menar jag är ett attraktivt villospår. De certifieringar som ofta refereras till lider dels av att vara utformade främst för amerikanska förhållande, dels ha teknisk inriktning. Det är inte till mycket hjälp när man ska få till en organisatorisk styrning i en svensk kommun eller myndighet.Själv skulle jag alltid ge företräde till en konsult med akademisk examen i samhällsvetenskapliga ämnen framför någon med aldrig så många certifieringar men utan examen.

Ett trick som ibland har använts när upphandlingarna inte varit tillräckligt tydliga i kraven är att leverantören erbjuder en senior konsult men det sedan i praktiken blir juniora konsulter som får genomföra uppdraget. Till viss del kan sådana ageranden uppmuntras genom upphandlingens konstruktion och hur man hanterar dilemmat att å ena sidan försöka uppnå en trygg leverans av konsultkraft från leverantören, å andra sidan få tillgång till verkligt kvalificerade konsulter. Om betoningen läggs på att leverantörens förmåga att leverera kvantitet finns det en risk att konsulter ses som utbytbara. En annan nackdel är att mindre leverantörer utesluts från möjligheten att lämna anbud. Med risk att trampa folk på tårna är min erfarenhet att många av de mest kvalificerade konsulterna inom informationssäkerhetsområdet väljer att starta eget eller att arbeta i mindre bolag så att satsa på kvantitet i upphandlingen kan leda till att man kanske missar kvalitet.

Sedan är den upphandlingstekniska utformningen som ska formulera vad kunden prioriterar. Ska man göra en bred utannonsering eller räcker det med att vända sig till några få leverantörer? Är det priset, kvaliteten eller tiden som är viktigast? För offentliga organisationer finns också omfattande regelverk som LOU att följa när det gäller den här typen av frågor.

Ett mer grundläggande problem är hur man egentligen ska prissätta konsulttjänster. Fortfarande är den vanliga linjen att man använder timpris vilket är förståeligt men ofta vilseledande. För en duktig konsult kan naturligtvis leverera mycket mer kvalitet på kortare tid än en mer orutinerad. Ur kundens synvinkel får man alltså mer kvalitet till lägre pris om man väljer en dyrare konsult (under förutsättning att den dyrare konsulten verkligen är bättre). Det rimliga vore att sätta priset utifrån nyttan som levereras till kunden oavsett hur lång tid det tar att utföra uppdraget. Nu är det ofta så att upphandlingar görs av ett visst antal timmar vilket om det kombineras med alltför stor betoning av timpriset leder till att kunden får en sämre konsult till ett högre sammanlagt pris.  Jag menar också att det fordras en ansenlig mängd icke-fakturerbar tid för att utveckla sin kompetens och hålla sig uppdaterad vilket påverkar det som blir timpris ut.  För en medveten kund bör detta vara en aspekt värd att noggrant analysera innan upphandlingsunderlag skickas ut.

Kunder väljer ofta att upphandla x antal timmar eller ett fastprisuppdrag för att få kontroll och inte en löpande räkning utan slut. Själv brukar jag istället föreslå att kunden köper en timbank med fritt avrop. Då ligger makten hos kunden som inte behöver avropa fler timmar än man faktiskt använder och dessutom, om man inte trivs med konsulten, kan kunden på ett smidigt sätt avsluta relationen. Eftersom det ofta är svårt att avgöra hur omfattande uppdraget blir innan man börjar med en mer konkret planering så ger detta kunden en flexibilitet som på ett avgörande sätt kan minska kostnaderna för uppdraget. Jag tycker också det är rimligt att leverantören tar risken i affären eftersom man har kunskapsövertaget och möjligheten att påverka uppdragets utförande.

Det handlar ju också om att ställa krav som går att utvärdera på ett bra sätt vilket ju är något enklare för tekniska prylar än då man ska köpa mänsklig kompetens. Kompetensen är som sagt svår att beskriva vilket leder till att den är även är svår att kontrollera. Med beaktande att kunden ofta inte har möjlighet att göra en riktigt rättvis bedömning så tycker jag ändå att det finns vissa krav som kan leda till en bättre uppfattning om vad leverantörens erbjudande innebär. Exempelvis skulle jag numera som kund ställa krav på exakt vilka konsulter som är aktuella i anbudet samt efterfråga skriftprov och andra underlag som just dessa konsulter skrivit. Vid referenstagning skulle jag försöka tala med andra än den eller de som konsulten arbetar närmast hos en tidigare uppdragsgivare eftersom jag upplever att det är rätt vanligt att det finns en aningen symbiotisk relation mellan exempelvis informationssäkerhetsansvarig hos kunden och konsulten. Kunden bör också få möjlighet att träffa den tilltänkta konsulten för att skaffa sig en bättre bild av personen och det intryck den ger. Särskilt vikt bör i samtalet läggas vid vilken faktiskt erfarenhet av och förståelse för kundens verksamhet som konsulten har. Utan denna förförståelse kommer kunden att få betala för leverantörens kompetenshöjning då konsulten måste sätta sig in i förutsättningarna för kundens organisation. Men inte ens dessa varianter på krav garanterar på något sätt att man hittar ”rätt” konsult.

Inte bara kunden behöver göra analyser av chansen/risken för att uppdraget avlöper framgångsrikt. Även leverantören har all anledning att försöka klargöra hur redo kundens organisation är för genomförandet av det aktuella uppdraget. Inte så sällan tackar jag nej till uppdrag. Det kan handla om att kunden har satt en alldeles för snäv tidsram för att de organisatoriska åtgärderna ska hinna tas fram, processas, beslutas och genomföras eller att jag inte uppfattar att ledningen verkligen är beredd på vad som kommer att vara nödvändiga förutsättningar.

Om ett avtal sluts uppstår omedelbart ett antal nya frågeställningar. En del av dem uppkommer genom att leverantören och kunden inte har riktigt samma intressen. Många leverantörer är starkt inriktade på att genomföra uppdrag på sitt sätt, inte minst därför att det lönar sig bättre att ”ta från hyllan” än att utveckla saker tillsammans med kunden (såvida man inte har uppdrag på löpande räkning). Att vara alltför lyhörd och explorativ kan äventyra vinsten i ett fastprisuppdrag med definierad leverans men även uppdrag med begränsat antal timmar. Juniora konsulter är också av naturliga skäl rädda att släppa sargen och överge mallar som tagits fram av arbetsgivaren.

För en konsult är det också en svår balansgång mellan att göra för mycket alternativt för litet. Det är ofta svårt frestande att ta över alltmer av informationssäkerhetsarbetet, alldeles särskilt om förväntan finns på att man ska vara Mary Poppinslikt allfixande. Det är praktiskt för konsulten eftersom man då kan genomföra arbetet på sitt sätt vilket gör att man har kontroll och det på ett sätt går snabbare. För kunden kan det dock bli en nackdel om konsulten blir alltför dominerande eftersom man då riskerar få en leverans som inte är avpassad för verksamheten och att behovet av att bygga upp egen kompetens försummas. Om detta finns mycket mer att skriva men eftersom det är sommar och sol får det vänta till ett senare tillfälle.

Jag tror att vi måste bli mycket mer öppna om att det är svårt både att vara kund och att vara leverantör när det kommer till att upphandla konsulttjänster. En förbättrad dialog i de enskilda uppdragen där konsulten är följsam och öppen inför hur kunden uppfattar leveransen höjer kvaliteten inte bara i uppdraget utan kan bidra till en långsiktig utveckling av branschen.  Ja, det verkar självklart men vid ett stort antal tillfällen har jag träffat på kunder som varit missnöjda med tidigare konsult men inte tyckt sig kunna nå fram utan istället valt att så snabbt som möjligt avsluta uppdraget.

Vi måste också ha diskussioner generellt om hur man får till en bra upphandling där kund och leverantör har samförstånd om vad och hur uppdraget ska levereras och med vilken kompetens. Kanske kan informella men allmänt accepterade paketeringar av olika typer uppdrag tas fram. Detta försvåras dock av att det inte finns någon sammanhållande branschorganisation. En flink människa skulle ju också kunna ta fram en ratingsida där olika konsultinsatser betygssätt ungefär som ett restaurangbesök – det vore nog smärtsamt men nyttigt för många av oss.

 

Förstatliga eller inte förstatliga – det är frågan

1910 blev Karlstads lasarett det andra i Sverige som blev s.k. delat lasarett (efter Falun). Att ett lasarett blev delat betydde att det fanns både en medicinsk och en kirurgisk verksamhet. I korthet var detta första steget på den snabba utveckling pådriven av en framgångsrik forskning där ögon, öron, ortopedi, röntgen, BB, barn, gynekologi o.s.v, o.s.v. , blev egna specialiteter och subspecialiteter i ett allt finmaskigare nät. Till detta kommer allmänmedicin och annan öppenvårdsverksamhet för att inte glömma psykiatrin i olika former. Alla dessa med tiden hundratals olika kompetensområden måste organiseras i avdelningar, kliniker, mottagningar m.m. för att få bästa möjliga vård för patienten till en för samhället rimlig kostnad.

Det räcker dock inte med att organisera vårdens olika verksamhet i förhållande till varandra utan vården måste styckevis och delt även passas in i samhällets generella styrning som i sin tur består av förvaltning respektive den politiska styrningen.  För Sveriges del har det i huvudsak inneburit inpassning i kommun, landsting/region och stat eftersom vården varit offentligt finansierad (även detta i huvudsak) sedan lång tid tillbaka. Historiskt har vårdverksamheten i delar vandrat mellan huvudmännen. Att allmänmedicin och psykiatri var ett statligt ansvar fram till 1960-talet och äldrevård en landstingsangelägenhet fram till ÄDEL-reformen då den överfördes till primärkommunerna är bara två exempel.

Vad jag vill säga med denna skamligt korta sammanfattning är att sjukvård är EXTREMT svårt att styra med en fullständigt oöverblickbar komplexitet i tre dimensioner: den interna styrningen av vårdarbetet och förvaltningsstyrningen samt den politiska styrningen. Fram till 1970-talet var inriktningen för att hantera denna komplexitet bland annat att försöka skapa mer enhetliga huvudmannaskap vilket var en av orsakerna till att exempelvis allmänmedicin och psykiatri överfördes till landstingen från staten. Denna trend avlöstes av den glada NPM-eran när styrningen av offentlig verksamhet fragmentiserades bland annat för att underlätta för privata alternativ. Det var då äldreomsorgen och den social omsorgen fördes till den kommunala sektorn vilket bland annat har lett till bollandet av gamla multisjuka mellan två huvudmän  – något vi sett de avskräckande konsekvenserna av nu efter covid-19.

Det är ett ganska väl beforskat hur organisatorisk komplexitet leder till det som slarvigt brukar kallas byråkrati men som jag hellre skulle benämna administration som inte är direkt kopplad till kärnverksamhetens uppgifter. Ju större antal aktörer som ska förmås att röra sig i samma riktning eller åtminstone samspela, desto fler samordnade aktiviteter krävs för att hålla ihop helheten. Det blir strategier, policies, planer, möten, kontroller och rapporteringar i olika riktningar. Genom privatiseringen av offentlig verksamhet har dessutom ytterligare behov av upphandlingar, kravställningar, regelverk, beställningar och uppföljningar tillkommit. Detta skapar kohorter av  nya typer av administratörer, alltså inte den gamla typen som skötte budget, bokföring och löneutbetalningar. Istället har kvalitetsutvecklare, upphandlingsspecialister, digitaliseringsstrateger, e-hälsosamordnare och (visst, jag kackar i eget bo) informationssäkerhetsansvariga tillkommit. Och så naturligtvis kommunikatörer, kommunikatörer och åter kommunikatörer. Utan jämförelser i övrigt kommer jag osökt att tänka på den här gamla klassiska bilden där jag föreställer mig vårdpersonalen dignar under hela lasset av administration upp till sjukvårdspolitiker och vårdbolagschefer.

Det är med detta i bakhuvudet jag läser ledaren i DN som drar en lans för förstatligande av sjukvården. För mig framstår det som ett relevant förslag. 1962 gav de flesta landsting ut historiker över sina första hundra år. Dessa historiker rymmer en fascinerande motsättning mellan beständighet och föränderlighet. Landstingen hade funnits i respektingivande hundra år men vad ett landsting var och skulle syssla med hade ständigt förändrats under dessa är.

Vad detta lär oss är att hur samhällets basala funktioner ska organiseras ständigt måste omprövas för att institutionerna ska vara ändamålsenliga och anpassade till rådande behov. Historiskt har detta skett kontinuerligt som jag snabbskissat ovan och det finns ingen anledning att tro att just den organisation av sjukvården har idag är den enda möjliga oavsett vad som händer i samhället i övrigt.  Själv hyser jag inte någon ohejdad tilltro till att ett förstatligande av sjukvården skulle lösa alla eller ens merparten av problem som vården har att leva med men i all enkelhet skulle åtminstone ett lager i pyramiden försvinna. Förhoppningsvis skulle grundläggande mål som likvärdig vård vara enklare att uppnå. En annan effekt är att den samordnade byråkratin internt mellan de idag 21 regioner skulle kunna plockas bort (även om den säkert delvis skulle komma tillbaka i en annan form).

Att inte bara DN utan även andra med viss energi börjar ifrågasätta regionernas roll väcker oro i regionsleden, inte minst hos särintressets främsta företrädare SKR vars ordförande Anders Knape som skrev ett kanske aningen sentimentalt svar på DN:s ledare. Han, liksom regionala företrädare, lobbar ivrigt för att regionernas USP är den politiska styrningen av regionerna som hypotetiskt skulle göra  sjukvården regionalt anpassad och därmed ”bättre”. Med viss bombasm skriver Knape:

Folkviljan utövas genom den lokala och regionala nivåns omkring 40.000 förtroendevalda utifrån kunskap om invånarna lokalt och regionalt. Deras kraft är oslagbar.

För den som något fördjupat sig i landstingens/regionernas historia väcker denna beskrivning antagligen skuggan av ett leende. Inga sjukvårdsstrider har varit så infekterade som de inom enskilda landsting där sedan åtminstone 1920-talet omfattande manifestationer skett för att sjukstugor skulle placeras i ”rätt” samhälle eller rörande nedläggningar av sjukhus. Knapes uttalande pekar snarare på en klassisk problemställning inom svensk sjukvård: den potentiella motsättningen mellan regional särart å ena sidan och likvärdighet nationellt å andra.

För mig framstår denna argumentationslinje också som alltmer paradoxal då SKR själva så intensivt försöker samla nationell styrning hos sig själva. Som jag tidigare skrivit om har alltfler frågor börjat samordnas via SKR och därmed flyttats från den regionala nivån till en nationell.

Om SKR starkaste argument mot ett förstatligande är det demokratiska värde som finns i den  regionala politiska styrningen verkar det ju vara att såga av sin egen viktigaste sittgren om makten förs från dessa demokratiska församlingar in i det mörker som föreningen SKR utgör. Själv skulle jag alla dagar i veckan föredra en normal svensk myndighet framför SKR som nationellt samordnande. Ibland dristar jag mig till och med till att tycka att det kanske är en demokratisk fördel om sjukvården lyfts bort från bypolitiken.

Knape har förstås en poäng när han lyfter fram mindre lyckade statliga experiment och då även inom digitaliseringsområdet. Tyvärr måste jag dock säga att det är en boll som är svår att inte smasha tillbaka för den som strävar mot förstatligande av sjukvården. INGEN fråga har engagerat SKR så mycket som digitalisering som lösning på all och jag misstänker att man har en gemensam morgonbön i SKR-palatset som går ungefär så här:

Digitalisering, låt ditt namn bli helgat

Låt ditt rike komma.

Låt din vilja ske, på jorden som i molnet.

Ge oss i dag vårt dagliga bröd .

Och glöm våra misslyckade projekt, så som vi glömmer dem själva.

Och för oss inte in i verkligheten, utan fräls oss från ansvar.

Förlåt, det är semester…

Min poäng är att trots den närmast religiösa inställning som SKR har till digitalisering i teorin så ser i praktiken digitaliseringen av den svenska sjukvården som ett härke trots de enorma resurser som tillförts. Jag sitter mycket tungt på mina händer för att inte skriva något om den totala frånvaron av samordning av informationssäkerhet och det provocerande ointresset för integritetsfrågor där SKR knappast agerat som insiktsfull vägledare för sina medlemmar.  Om verkligheten ska användas som betygssättare för regionernas och SKR:s förmåga att skapa en nationellt sammanhållande och långsiktigt fungerande vård så ser det rätt illa ut för Knapes linje.

För att komma vidare vore det önskvärt med en hederlig gammaldags utredning som inte helt styrdes av särintressen inom vården. Personligen lutar jag svagt åt att behovet av nationell samordning av sjukvården bäst hanteras genom ett förstatligande åtminstone av delar av vården. Det kommer visserligen att skapa nya gränslinjer – hur ska exempelvis äldreomsorgen hanteras med större medicinsk kompetens – men jag tror verkligen det är dags att ompröva dagens situation.

Sluta obfuskera och gå vidare

Att lyckas med sitt informationssäkerhetsarbete handlar i hög grad om att kommunicera. Att kommunicera handlar i sin tur i hög grad om att skapa förståelse och samsyn. Detta är nödvändigt för att få människor och organisationer att agera. Banala sanningar kan tyckas men tyvärr är dålig kommunikation en ständig ledsagare för de som arbetar med informationssäkerhet. Ibland känns det som folk i branschen oavsiktligt använder obfuscation som sin normala kommunikationsform, här i Wikipedias definition:

Obfuscation is the obscuring of the intended meaning of communication by making the message difficult to understand, usually with confusing and ambiguous language. The obfuscation might be either unintentional or intentional (although intent usually is connoted), and is accomplished with circumlocution (talking around the subject), the use of jargon (technical language of a profession), and the use of an argot (ingroup language) of limited communicative value to outsiders.

Själva begreppet informationssäkerhet saknar en tydlig och accepterad uttolkning. Detta leder till problem både för dem som anser sig arbeta med ”informationssäkerhet” och för dem som avser att anställa eller anlita vad de tror är en definierad kompetens. Det blir inte enklare då man slänger in nya spännande beteckningar som ”cybersäkerhet”.

Jag tror att det finns en olycklig tendens att de som arbetar med informationssäkerhet (i någon form) är mer intresserade av att bekräfta varandra i gruppen än att skapa en relation med omvärlden, d.v.s. en relation byggd på ömsesidig förståelse. Därav obfuscation.

Ta exemplet med titeln ”CISO” som fått en snabb spridning i svenska myndigheter inklusive regioner och kommuner. Uttytt står CISO för chief information security officer vilket låter flott men titeln leder enligt min mening till mer oförståelse och förvirring än klarhet. När  informationssäkerhet  i sig ännu inte är ett hushållsbegrepp så min fråga är varför man i Söpple kommun väljer att höja svårighetsnivån ytterligare och införa en titel som är helt ogenomtränglig för alla utanför skrået.Vad man chiefar över är även det höljt i dunkel.

Särskilt märkligt blir detta titulerande sett i ljuset av den svenska språklagen som uttryckligen skriver:

Språkanvändningen i offentlig verksamhet

10 §   Språket i domstolar, förvaltningsmyndigheter och andra organ som fullgör uppgifter i offentlig verksamhet är svenska.

I annan lag finns särskilda bestämmelser om rätt att använda nationella minoritetsspråk och annat nordiskt språk.

När det gäller skyldigheten för domstolar och förvaltningsmyndigheter att anlita tolk och att översätta handlingar finns det särskilda bestämmelser.

11 §   Språket i offentlig verksamhet ska vara vårdat, enkelt och begripligt.

12 §   Myndigheter har ett särskilt ansvar för att svensk terminologi inom deras olika fackområden finns tillgänglig, används och utvecklas.

Detta har alltså svenska myndigheter att följa vilket jag finner som ett rimligt krav. Jag har funderat över varför så många väljer att bryta mot detta när det gäller CISO-begreppet, vad vill man uppnå på bekostnad av att varken den egna organisationen eller de invånare man är satt att tjäna begriper vad man sysslar med? CISO är ju inte heller på något sätt en skyddad yrkestitel eller resultatet av en specifik utbildning utan kan stå för litet vad som helst. Jag är den första att förespråka en klassisk professionalisering av vår yrkesgrupp, vilket jag skrivit om bland annat här, men då är det helt andra och mer seriösa åtgärder som krävs än en flashig titel. Vi borde vilja nå ut, inte spinna in oss i en allt tätare skråkokong.

Återigen; CISO-begreppet är bara ett exempel men jag tycker det är signifikativt för en attityd som jag menar är till nackdel både för professionen och för uppdragsgivare. En episod som ofta återkommer i mitt minne är när en medarbetare för ett antal år sedan argumenterade för sin linje (som inte var min) med fritt citerat:” well, det är så vi i communitiet ser det.”. Tyvärr fann jag mig inte tillräckligt snabbt för att fråga exakt vad ”communitiet” egentligen var och vilka som ingick i det men jag misstänker att det var någon slags informell och självutnämnd kommitté av människor som såg sig som ägare av informationssäkerhetsfrågan i Sverige. Eftersom jag själv alltid skytt den här typen av gemenskaper är jag partisk. Ändå vill jag säga jag uppfattar den här kårandan som ett problem som gestaltas bland annat genom lanserandet av CISO-titeln.  Istället för att rikta blicken på den egentliga målgruppen, det vill säga de som inte arbetar med informationssäkerhet, spelar vi för vårt eget galleri. Den skapar också osunda lojalitetsband eftersom det saknas objektiva och accepterade krav på den som ska ses som en kompetent yrkesutövare.

Låt oss skingra dimman och inrikta oss på att nå ut till de som vi egentligen ska tjäna och skapa förutsättningarna för en seriös utveckling mot en profession. Detta kan också en etablerad titel med ett tydligt kompetenskrav som på sikt till och med skulle kunna bli en skyddad.

Riskmenageriet

Det är lätt att bli tidsblind men jag tror att vi även efterhand kommer att uppfatta våren 2020 som den värsta krisperioden i Sverige sedan andra världskriget. Skadad av historiska studier är jag väl medveten om hur svårt det är att bedöma nutiden medan den pågår men har ändå blivit fascinerad av hur den nationella beredskapen fungerar när det som alla pratar om men ingen sett inträffar. Det vill säga den stora samhällskrisen.

En termometer på hur väl det svenska krissystemet mår är den centrala myndigheten för dessa frågor Myndigheten för samhällsskydd och beredskap, MSB. Jag hade egentligen, efter att ha studerat ett ganska stort antal allmänna handlingar, tänkt fortsätta skriva om hur myndigheten hanterat det beryktade enkätverktyget. Det är i sig en intressant historia som i delar redan skildrats av flera medier, kanske mest heltäckande av Arbetaren bland annat här. När man läser handlingarna är det så många överraskande steg allt sedan regeringen den 19 mars ger MSB ett uppdrag (Ju2020/01165/SSK) :

Regeringen uppdrar åt Myndigheten för samhällsskydd och beredskap (MSB) att säkerställa att myndigheternas information med anledning av utbrottet av det nya coronaviruset är samordnad och tydlig samt att det finns effektiva kanaler för att föra ut informationen. I uppdraget ingår att skyndsamt utarbeta ett nationellt informationsmaterial som på ett effektivt sätt ska kommuniceras till så många som möjligt.

MSB får 75 miljoner (!) för att genomföra uppdraget under 2020, ett uppdrag som till synes inte på något sätt innehåller smittspårning eller insamlande av uppgifter. Kanske är det de 75 miljonerna som snedvrider uppdraget från början, kanske lockar de 75 miljonerna till sig aktörer som ger myndigheten tips om vad de skulle kunna hitta på för att sätta sprätt på pengarna. I vilket fall så är det inte MSB:s professionella kommunikatörer som får lead i detta jättelika kommunikationsuppdrag utan Avdelningen för cybersäkerhet och säkra kommunikationer. Det formella beslutet på denna interna delning kommer den 26 mars, dagen efter att MSB bjudit in Folkhälsomyndigheten till ett möte där den förra myndigheten erbjuder den senare ett digitalt verktyg, allt enligt minnesanteckning från mötet:

Kort möte med GD Folkhälsomyndigheten (FHM) sen em 25/3.

MSB tar upp initiativ kring digitalt verktyg för digital självskattning.

GD FHM positiv, betonar att ett sådant här verktyg inte ska driva fysisk testning i fel riktning. Viktigt att anpassa svar på självskattning så respondenten inte förväntar sig att bara för att man gör digitalt test så får man fysiskt test.

Vad som händer under veckan där MSB:s samordningsuppdrag för myndigheters kommunikation angående corona övergår till att handla om ett digitalt verktyg för självskattning av smitta är för mig okänt men det är uppenbart att det är MSB som vill ha verktyget. Litet småaktigt vill jag poängtera det eftersom jag själv blivit åthutad på sociala medier av en i utvecklingsarbetet involverad konsult när jag hävdade att det var så det låg till. Några dagar efter åthutningen gick MSB officiellt ut och sa att det var på deras initiativ som verktyget tagits fram. Note to self som konsult: undvik att agera som dina kunders talesperson om du inte formellt blivit ombedd. Enligt den juridiska utredning som MSB låter en extern byrå genomföra framgår det att det inte ingår i MSB:s uppdrag att bedriva smittspårning. Därför måste man ha med sig expertmyndigheten FHM för att kunna genomföra projektet med digital självskattning. Redan här går det se de problem som snart kommer att göra att projektet blir en återvändsgränd. Rollen som samordnande myndighet kräver respekt för olika aktörers uppdrag och mandat och detta särskilt i trängda lägen, inte att man försöker ta över andra myndigheters uppgifter.

Sedan följer en närmast smärtsam historia fram till slutlig nedläggning via ett antal anhalter där det blir allt tydligare att ingen utom MSB (och leverantör samt konsulter) är intresserade av verktyget. Kontentan blir x antal miljoner i sjön (konsultkostnaderna är inte medräknade i de 6,4 miljoner som MSB ska betala till leverantören), en granskning av Konkurrensverket och ett rejält tapp i anseende när MSB som bäst skulle behöva det. Sannolikt har MSB tappat i förmåga att genomföra det egentliga uppdraget från regeringen: att samordna myndigheters information angående corona vilket knappast kan glädja uppdragsgivaren. Det går att föreställa sig mindre trivsamma samtal på regeringskansliet.

Som en slutkommentar till Arbetaren säger MSB:s pressekreterare:

Vi tar hellre kritik för att vi skyndar på att ta fram en lösning som på något sätt kan vara till hjälp när människor dör, än att få kritik för att vi sitter på händerna och inte gör något. Vi ansåg att vi var, och är, i ett läge där det var viktigt att agera när det handlar om människoliv.

MSB reagerar alltså exakt på det sätt som jag skrivit om i ett tidigare inlägg, att göra NÅGOT känns alltid bättre även om detta något är inte leder framåt eller förbättrar situationen. I krissituation är det viktiga tillit och att alla vet vem som ska göra vad. I bakhuvudet gnager en liten olustig känsla av att myndigheten kan ha reagerat på yttre påverkan vilket lett fram till haveriet. Det är lätt att glömma bort att de vanligaste påverkanskampanjerna är de ekonomiska.

Det skulle vara lätt att göra sig lustig över denna tragikomiska historia. Det är inte min intention. Istället får den mig, liksom många andra i dessa dagar, att reflektera över den svenska beredskapen och myndigheters förmåga. Framförallt funderar jag på hur MSB (och andra myndigheter) förefaller så synnerligen oförberedda på en pandemi att man är tvungen att kasta sig in i så äventyrliga och ofruktbara aktiviteter som webenkäten. Pandemi är verkligen inte en svart svan i ett riskperspektiv utan snarare vad Michele Wucker kallar en ”grå noshörning”:

A “gray rhino” is a highly probable, high impact yet neglected threat: kin to both the elephant in the room and the improbable and unforeseeable black swan. Gray rhinos are not random surprises, but occur after a series of warnings and visible evidence.

Pandemier har redan inträffat och har varit på MSB:s short list över samhällsrisker ända sedan myndigheten startade. Ändå tycks inte nödvändiga förberedelser för samordning i en pandemisituation ha gjorts. Detta ska inte MSB lastas för utan snarare de regeringar som styrt under perioden. Kanske måste djurmetaforerna gå vidare till svarta strutsar (ja, jag vet att det inte är så i verkligheten att strutsar gräver ner huvudet vid annalkande fara men det är en bra metafor).

Nu pratas det i alla politiska läger om vikten av att förbättra den civila beredskapen och kanske till och med snegla tillbaka till beredskapens guldålder i Sverige: 1970-talet. Problemet med detta är att det innebär att ett antal av dagens heliga kor måste slaktas om det ska fungera. Det är inte bara mycket stora ekonomiska resurser som behövs. Vi har under närmare 40 år demonterat den starka staten som är en förutsättning för en sammanhållen nationell beredskap och istället privatiserat och fragmentiserat ansvaret utan tanke på hur alla skärvor ska kunna skapa en helhet då det behövs. Typexemplet på detta är ansvarsprincipen som inte är inskriven i någon lag men som har haft en förödande inverkan på den gemensamma styrningen av krisberedskapen. Fragmentiseringen har inte kompenserats med en stark myndighet som nationellt nav. MSB:s roll är istället att försöka samordna utan sammanhållen nationell planering och i stort utan mandat att faktiskt styra samhällsviktiga aktörer. Fallet med webenkäten får tolkas som ett utslag av MSB:s omöjliga roll och borde vara ett exempel av många som bör leda till att ansvarsprincipen omprövas och att en verklig krisberedskapsmyndighet med fullt mandat skapas.

Remissvar på arkivutredningen

Lämnade idag följande remissvar angående arkivutredningen.

 

Arkivutredningen fick i uppdrag att göra en bred översyn av arkivområdet i Sverige.

Jag menar att utredningen inte lyckats formulera de strategiska frågor som är av verklig betydelse för att arkivväsendet ska kunna uppfylla sin viktiga samhällsfunktion, än mindre kommit med lösningar på dessa frågor. Istället har man fastnat i detaljer och frågor av mindre betydelse. Genomgående har det som kan sammanfattas som ”kulturarvsperspektivet” få styra utredningens inriktning och prioriteringar. Det gör att de mycket komplexa frågor som samhällets informationshantering brottas med i huvudsak lämnas utan behandling.

Några av de frågor som jag menar är av essentiella för att information av vikt ska kunna säkras för framtiden och som utredningen utelämnar i sin rapport är följande.

Den långsiktiga hanteringen av information

Det finns i idag ingen plan för hur all den information som skapas idag ska bevaras med kvalitet, säkerhet och autenticitet för framtiden. Detta är kärnan i all arkivverksamhet. När vi nu har en exponentiell tillväxt av information saknas organisatoriska, metodmässiga och tekniska lösningar för det långsiktiga bevarandet. Likaså saknas aktuell vägledning för hur gallring ska kunna genomföras i de enorma informationsmängder som skapas. De senast tillkomna generella vägledningar rörande gallring togs fram av Riksarkivet under senare hälften av 1990-talet, d.v.s. för snart ett kvarts sekel sedan.

Istället för varaktiga lösningar har spridda experiment med så kallade e-arkiv skett i olika regi som exempelvis Statens servicecenters upprepade misslyckande med en e-arkivtjänst. Dessa lösningar är dock bara mellanarkiv – hur det slutgiltiga omhändertagandet av den digitala informationen är fortfarande höljt i dunkel. Denna fråga borde ha varit centrum i utredning som har till uppdrag att göra en översyn av arkivverksamheten.

Den nya informationsinfrastrukturen

Ända fram till 1990-talet föreföll det fortfarande relevant att utgå från att varje myndighet kan ha i uppdrag att kontrollera den information man själv upprättar samt den information som inkommer till myndigheten. Detta är idag ett betraktelsesätt som ligger långt ifrån den verklighet som snarare består av en snabbt sammanväxande nationell (och delvis internationell) informationsinfrastruktur. Offentliga och privata aktörer ingår i processer information utbyts, förädlas, aggregeras och ackumuleras i snabb takt. Svåra frågor som hur information ska kunna reproduceras från olika källor på ett säkert sätt över tid berörs inte av utredningen. Inte heller hur ansvarsfördelningen i denna gemensamma infrastruktur ska fördelas röner intresse hos utredningen. Vad som ska utgöra allmänna handlingar i den enskilda myndighetens arkiv liksom vem som ska ses som arkivbildare i denna helhet finns det idag inga officiella verktyg för att avgöra. Även detta hade varit en central fråga att peka på för utredningen.

Den krympande andelen allmänna handlingar

Arkivlagen gör en sammankoppling mellan allmänna handlingar och arkiv:

En myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 12 § tryckfrihetsförordningen och som myndigheten beslutar ska tas om hand för arkivering.

Tyvärr gör denna sammankoppling att då en allt mindre andel av en myndighets handlingar ses som allmänna handlingar, vilket är negativt i sig, kommer även andelen information som ska bedömas ur arkivperspektivet att minska. Vad denna utveckling innebär för framtidens möjlighet för bland annat forskning tas inte upp utredningen. Ej heller hur detta påverkar den svenska demokratin där en mer extensiv tillämpning av vad som ska utgöra allmänna handlingar skulle kunna förbättra insyn och delaktighet.

Av särskilt intresse är de verksamheter som tidigare varit offentliga men som privatiserats och där det inte längre finns allmänna handlingar som ger insyn eller möjlighet till forskning. Här finns privata företag men även intresseorganisationer som SKR som med offentliga medel skapar information med stor betydelse för samhället men som samhället saknar kontroll över.

Information som samhällsresurs

I informationssamhället är av naturliga skäl information den viktigaste resursen. Den information som skapas av myndigheter inklusive kommuner och regioner är därför begärlig inte bara inom myndighetssfären och inte bara för forskning utan även för nationella och internationella företag. Detta har uppmärksammats vad gäller personuppgifter och alldeles särskilt för personuppgifter inom hälso- och sjukvård som är det nya guldet för många multinationella företag. Hur svenska myndigheter ska förhålla sig till detta utan att t.ex. äventyra personlig integritet eller riskera att snedvrida verksamheten för att producera information kommenteras inte av utredningen. Lika litet berörs hur arkivväsendet ska förhålla sig till långsiktigt enormt värdefulla vårdsystemen och hur de ska bevaras för framtiden.

Riksarkivet har uttryckt att de anser att myndigheten ska får peka ut ”samhällsviktig” information oavsett arkivbildare. Jag menar att det snarare behövs en analys av informationens betydelse som samhällsresurs för att först därefter kan bli möjlighet att besluta om hur prioritering och omhändertagande ska ske.

Bristande relation till näraliggande områden

Utredningen uppmärksammar inte den nära relation arkivområdet har till områden som informationssäkerhet och dataskydd samt generell informationshantering. Möjligen har det dominerande kulturarvsperspektivet gjort utredningen blind för de aktuella utmaningar som kräver samverkan mellan dessa områden.

En strategi för den svenska arkivverksamheten

Ett förslag är att snarast ta fram en strategi för svensk arkivverksamhet som behandlar ovanstående frågor. Strategin bör bygga på en utredning som förutsättningslöst går igenom:

  • juridiska,
  • organisatoriska
  • arkivteoretiska,
  • tekniska

möjligheter för att långsiktigt kunna bevara och tillhandahålla för samhället relevant information i autentisk form. I detta ligger även att analysera intressenter och på vilket sätt de ska få tillgång till information alternativt påverka vilken information som ska tas fram/bevaras.

Utan närmare analys går att säga att hela andra resurser än nuvarande kommer att behövas för att ta hand om informationen. Hur en hållbar finansiering på tillräcklig nivå ska ske är även det en fråga som bör utredas innan en strategi tas fram.

 

Fia Ewald

En gång arkivarie, alltid arkivarie

 

När krisen kommer

Kriser har den fördelen att de oftast tar slut. Att framgångsrikt hantera kriser bygger därför på att man inte bara hanterar nuet utan även framtiden. Folkhälsomyndigheten har varit beundransvärda i att de lyckats hålla blicken uppe och fått allt fler att förstå att bekämpningen av coronaviruset inte bara handlar om drastiska åtgärder här och nu utan att vi både måste tänka på nästa virusvåg som kanske kommer redan i höst. Ett annat budskap är att vad som ska värnas är folkhälsa där virusbekämpningen inte får överskuggande sekundäreffekter som i totalen skapar större ohälsa och död än själva viruset.

Däremot når nu MSB:s insatser en sådan nivå att de t.o.m. får vara med i satirinslaget Publik Service i P1, en ynnest som är få myndigheter förunnad. Inslaget handlar förstås om den famösa enkätappen som jag omnämnde i mitt förra inlägg och som nu även tagits upp i Ekot.

MSB har hintat om lanseringen av appen med en  näraliggande men okänd startpunkt. Tyvärr har myndigheten inte någon kommunikationslinje i frågan, vid konkreta frågor som i Eko-inslaget kommer endast  undflyende svar. Jag kan förstå det. Det är svårt att sälja in en lagring av personuppgifter på befolkningsnivå i en amerikansk molntjänst. Eftersom jag själv varit engagerad i svagheterna i projektet Hälsa för mig så har jag svårt att känna stark tilltro till att det snabbt går att vispa ihop en dylik tjänst med tillräcklig säkerhet och med tillräcklig respekt för dataskyddsförordningen. Det är ju liksom ingen slump att eSam gjort ett uttalande om det olämpliga i att använda molntjänster när personuppgifter eller annan känslig information förekommer.

Vid sidan om själva enkätappen är MSB:s kommunikation om den lika märklig. Grunden för fungerande kriskommunikation är att inte skapa mer oro än nödvändigt utan delge de fakta som finns och som är relevanta i den aktuella situationen. MSB har nu haft några olyckliga veckor trots att de ska vara samhällets experter på kriskommunikation. Kanske tröttnade man att vara transportsträckan i dagliga presskonferensen på Folkhälsomyndigheten och att det var orsaken till att man helt plötsligt spicade upp sin monotona redogörelse om samordningsmöten med länsstyrelserna med att föranstalta en möjlig vattenbrist. En signal som ledde till att redan hårt tyngda kommuner fick svara på helt irrelevanta frågor om icke-existerande vattenbrister från oroliga medborgare och medier. Sedan detta smyglanserande av enkätappen som skapar frågor som inte besvaras utan skjuts till en obestämd framtid. Detta leder inte till en större tillit i krisen.

Någon skulle kunna invända att nu när vi står inför en så stor kris som denna blir frågor som säkerhet och integritet underordnade. Jag håller inte med om detta utan som jag skrev i mitt tidigare inlägg så är det när vi är som mest pressade som vi måste försöka tänka klart och följa de rutiner vi satt i normalläget, t.ex. gällande riskbedömningar. Vi ser nu hur det runt om i världen sker överträdelser mot grundläggande rättigheter och att auktoritära medel som inkräktar på individens sfär alltför villigt vidtas. I Sverige har vi en lång stabil tradition av tillit och respekt men det finns ingen garanti att vi klarar att bevara detta.  Att myndigheterna sköter sig, inte genar eller agerar impulsivt är också grunden för den tillit som krävs för krisbekämpningen – inklusive att genomföra smittspårning m.m. Efterklokt skulle man möjligen kunna kritisera myndigheterna för att de inte tagit fram ett smittspårningsverktyg i mellantiden sedan svininfluensan för ett decennium sedan utan börja ad hoca nu för då skulle säkerhetsfrågorna sannolikt kunnat hanteras på ett systematiskt sätt men det båtar föga.

Naturligtvis skulle man kunna säga att det är dumt att spekulera när så litet är känt och allt det jag skriver nu står på en mycket vacklande grund. Ändå är detta en så viktig fråga att det är svårt att låta bli och spekulationernas kvalitet blir även den ett resultat av MSB:s kommunikationsplan. För mig är det svårt att förstå hur en kombination av inloggning med BankID, amerikansk molntjänst och och känsliga personuppgifter inte skulle leda till mycket stora risker och att dataskyddsförordningen inte kan efterlevas. MSB:s gedigna juridiska kompetens har möjligen gjort en annan bedömning men det är just den man skulle vilja ta del av, särskilt som den rimligen redan är färdigställd om breddlanseringen ska ske i dagarna. Med den som underlag skulle kriskommunikationen kunna ske utan att orimliga spekulationer och onödig oro uppstår. Mitt förslag är att, särskilt efter medieuppmärksamheten, MSB omedelbart presenterar den som är av stort intresse särskilt för oss som följt diskussionerna efter eSams uttalande. Har MSB lyckats knäcka den nöten så är det stora nyheter för både offentliga och privata organisationer. Eller så har jag och en hel del andra missuppfattat upplägget (inte alls otroligt)  och då vore det ju  bra om MSB gick ut och beskrev hur det egentligen ser ut.

Är det så att MSB inte har ett vattentätt underlag så kommer man att underminera det mycket mödosamma arbete som bedrivs i många, om inte de flesta, organisationer, idag för att nå fram till ett ansvarsfull sätt att hantera molntjänster. Detta menar jag vore förödande för MSB som den myndighet som ska samordna samhällets informationssäkerhetsarbete slarvar med säkerheten. Det skulle leda till att det svenska samhället skulle få ännu svårare att bemästra de mycket utmanande uppgifter vi redan står inför. MSB:s egen verksamhet är ett show room för hur det är tänkt att andra myndigheter ska agera och förutom legitimitet finns det också mycket reell säkerhet att förlora om inte MSB klarar sin roll att leda genom sitt exempel.

MSB:s skrift Om krisen eller kriget kommer har en aningen märklig titel som om det finns ett krisfritt alternativ. Jag tror både myndigheten och vi andra skulle tjäna på att ”när” snarare än om, i alla fall när det gäller kriser. När krisen verkligen kommer skapas ett skilje där organisationer och individer ofrivilligt visar sitt virke, om man klarar att fungera rationellt även under press. Planering för vad som ska göras när allt står på ända är ett bra sätt att stärka sitt virke. Så än mer att kunna upprätthålla sina principer och sin planering när krisen väl inträffar.

Länge fanns en syn att säkerhet var ett hinder för en fungerande verksamhet. Långsamt har vi tagit oss till en situation där allt fler ser att säkerhet inte är hinder för verksamheten utan en förutsättning, och då alldeles särskilt i svåra situationer. Vi kan inte gå tillbaka till ett antingen det ena eller det andra, vi måste fortsätta kämpa för både effektivitet och säkerhet. Det är bra om MSB befinner sig på rätt sida i det arbetet så att inte nya stora problem har skapats som ger utslag när krisen väl är över.