Hent beretningen her (pdf) - Rigsrevisionen

44 STATSLIGE VIRKSOMHEDERS STYRING AF IT-SIKKERHEDEN EFTER OVERGANGEN TIL STATENS IT
d. Et eksempel på god praksis for it-styring
118. Rigsrevisionen vurderer, at Miljøministeriet positivt adskilte sig fra det samlede billede
af virksomhedernes modenhed. Ministeriet havde igangsat et projekt om tilpasning af styringen
af it-sikkerheden efter overgangen til Statens It. Projektet omfattede departementet og
de underliggende virksomheder. Ministeriet havde haft drøftelser med et eksternt konsulentfirma
og Statens It. Ministeriet havde foretaget en dataindsamling og analyse af de hidtidige
it-arbejdsgange og it-roller i ministeriets virksomheder, afholdt workshopper og udarbejdet
nye arbejdsgangs- og rollebeskrivelser, der involverede samarbejdet med Statens It.
På tidspunktet for undersøgelsens gennemførelse forventede Miljøministeriet, at projektet
ville være implementeret inden udgangen af 2012. Rigsrevisionen har derfor ikke efterprøvet,
om de udarbejdede retningslinjer og procedurer blev fulgt. Rigsrevisionen vurderer, at
det foreliggende materiale var et godt grundlag for ministeriets videre arbejde med at tilrettelægge
en styring af it-sikkerheden.
Rigsrevisionen finder følgende elementer positive i Miljøministeriets initiativ:
Ministeriet havde fokus på at ændre den del af samarbejdet med Statens It, som ministeriet
i henhold til kundeaftalen er ansvarlig for.
Hele koncernens styring af it-sikkerheden blev inddraget.
Statens It blev direkte involveret i tilrettelæggelsen af nye it-roller og it-processer.
Ny styring blev tilrettelagt med udgangspunkt i kundeaftalen med Statens It.
Miljøministeriet har i august 2012 oplyst, at projektet var afsluttet og overgået til drift, men
at det ikke betød, at alle udarbejdede retningslinjer og procedurer følges fuldt ud i hele koncernen
endnu.
e. Statens It kan forbedre sin understøttelse af virksomhedernes styring af
it-sikkerheden
119. Når en virksomheds it-drift bliver overdraget til en driftsleverandør, medfører det, at
opgaver vedrørende it-sikkerhed skal løses i et samspil mellem virksomheden og driftsleverandøren.
Det er derfor vigtigt, at retningslinjer og procedurer i både virksomheden og i
Statens It er tilstrækkeligt beskrevet, og at de understøtter opgavefordelingen.
Rigsrevisionen undersøgte, om retningslinjer og procedurer i virksomhederne og i Statens It
var beskrevet og tilrettelagt i overensstemmelse med dette krav.
Statens It har haft interne overvejelser og har udarbejdet et internt oplæg med tilhørende
vejledning, som beskriver opgavefordelingen mere detaljeret.
Rigsrevisionen vurderer, at der fortsat er væsentlig uklarhed om opgavefordelingen mellem
virksomhederne og Statens It. Rigsrevisionen gør opmærksom på, at det er virksomhederne,
der har ansvaret for, at it-sikkerheden i og omkring systemer og data er tilfredsstillende.
Virksomhederne bør derfor indgå i en tæt dialog med Statens It med henblik på at udarbejde
retningslinjer og procedurer, der på sigt kan sikre en tilfredsstillende it-sikkerhed.
Rigsrevisionen finder, at der vil være en væsentlig effektivisering og kvalitetsforbedring ved,
at Statens It udarbejder vejledninger mv., som kan anvendes af de ca. 80 virksomheder, i
stedet for, at hver enkelt virksomhed skal tilrettelægge sin egen styring, uden at have den
nødvendige viden om driftscentrets processer.