Hent beretningen her (pdf) - Rigsrevisionen

38 STATSLIGE VIRKSOMHEDERS STYRING AF IT-SIKKERHEDEN EFTER OVERGANGEN TIL STATENS IT
Den fællesoffentlige
digitaliseringsstrategi
har 3 hovedspor:
slut med papirblanketter
og brevpost
ny digital velfærd
tættere offentligt digitalt
samarbejde.
Retningslinjer beskriver
”hvad gør vi”, og
procedurer fastlægger
”hvem gør hvad
og hvordan”.
Styring af it-sikkerheden
er et ledelsesansvar
og skal tilgodese
de 3 overordnede
sikkerhedskrav:
tilgængelighed
fortrolighed
integritet.
It-sikkerhed handler
bl.a. om at beskytte
kritisk og følsom information
uanset opbevaringsmedie.
a. Formål, afgrænsning og metode
Indledning og formål
97. Formålet med den fællesoffentlige digitaliseringsstrategi er, at stat, kommuner og regioner
i et samarbejde skal modernisere it-systemerne og derigennem effektivisere den offentlige
sektor, jf. den fællesoffentlige digitaliseringsstrategi 2011-2015.
Moderniseringen og effektiviseringen skal ske gennem øget brug af it, fælles løsninger mv.,
bl.a. til kommunikation og digital betjening af borgere og virksomheder.
Den enkelte statslige virksomhed har ansvaret for at tilrettelægge en effektiv styring af it-sikkerheden
i og omkring virksomhedens systemer og data, herunder vedrørende persondata.
Hvis system-, data- og driftssikkerheden ikke er tilstrækkelig, kan det medføre driftsproblemer
og økonomiske tab mv. for staten, samtidig med at borgere og private virksomheder ikke
modtager de ydelser, som de er berettiget til. Hvis ikke persondata beskyttes tilstrækkeligt,
kan det medføre tab af tillid til den offentlige myndighed og krænkelse af private personers
rettigheder.
98. Denne undersøgelse handler om, hvordan statslige virksomheder, der er overgået til Statens
It, har tilrettelagt styringen af it-sikkerheden. Statens It overtog pr. 1. januar 2010 ansvaret
for alle opgaver vedrørende drift af administrative it-systemer, it-platforme og it-infrastruktur
samt drift mv. af fagsystemer for 8 ministerier. Statens It overtog opgaverne, uden at der
på forhånd var defineret og beskrevet et samarbejde og en standardiseret opgavefordeling
mellem virksomhederne og Statens It. Det var planen, at det skulle ske efterfølgende, men
det viste sig at være vanskeligere end forudset. Der var meget stor forskel på, hvilke opgaver
de tidligere driftscentre løste, og hvilken teknologi de anvendte. Desuden havde virksomhedernes
dokumentation for systemerne, som blev overdraget til Statens It, en varierende
kvalitet, ligesom der gik meget viden tabt ved overdragelsen fra virksomhederne og de tidligere
driftscentre til Statens It.
99. Overdragelsen ændrede ansvarsforholdene for it-anvendelsen. Statens It fik ansvaret
for infrastruktur og basissystemer, mens den enkelte virksomhed fortsat har ansvaret for, at
it-sikkerheden er tilstrækkelig for virksomhedens fagsystemer og data.
Overdragelsen af opgaver til Statens It medførte også, at den enkelte virksomhed skulle udarbejde
nye skriftlige retningslinjer og procedurer på it-området og koordinere disse med Statens
It.
100. Statens It indgik ultimo 2010 kundeaftaler med ca. 80 virksomheder. Aftalerne, som
havde virkning fra den 1. januar 2011, var baseret på et servicekatalog og en ny afregningsmodel
samt en aftale om, hvordan it-sikkerheden overordnet skulle tilrettelægges mellem
Statens It og virksomhederne.
101. Formålet med undersøgelsen var at vurdere, om virksomhederne havde tilrettelagt en
tilstrækkelig styring af it-sikkerheden efter overgangen til Statens It, og om Statens It understøtter
virksomhedernes styring af it-sikkerheden.