Hent beretningen her (pdf) - Rigsrevisionen

64 § 7. FINANSMINISTERIET
Utilstrækkelig prioritering af forbedring af it-sikkerheden i Statens It
164. Rigsrevisionen har fulgt implementeringen af Statens It siden etableringen i 2010. Ved
revisionerne i 2010 og 2011 konstaterede Rigsrevisionen, at mange af de daglige arbejdsprocesser
ikke var beskrevet, og at udførelsen af it-kontroller på de undersøgte områder ofte
ikke blev tilstrækkeligt dokumenteret. Sagen er senest omtalt i notat til Statsrevisorerne af
6. marts 2012 om beretning om revisionen af statsregnskabet for 2010, pkt. 10.
Rigsrevisionen har i 2012 undersøgt, om Statens It havde implementeret en tilfredsstillende
styring af it-sikkerheden. Det var Rigsrevisionens samlede vurdering, at it-sikkerheden på de
undersøgte områder ikke var tilfredsstillende. Rigsrevisionen har ved vurderingen lagt vægt
på, at Statens It ikke efterlevede sin egen sikkerhedspolitik, og at den nødvendige forbedring
af it-sikkerheden i forhold til tidligere år har været for langsom og således ikke har været
tilstrækkeligt prioriteret.
Revisionen viste, at sikkerhedspolitikken blev opdateret årligt som planlagt, men at Statens
It ikke fulgte sikkerhedspolitikken på væsentlige punkter. Det fremgår fx af sikkerhedspolitikken,
at Statens It vil udarbejde årlige risikoanalyser, men den seneste risikoanalyse var udarbejdet
i 2008, dvs. før etableringen af Statens It i 2010. Det fremgår endvidere af sikkerhedspolitikken,
at Statens It vil implementere et informationssikkerhedsniveau svarende til
den gældende sikkerhedsstandard, dvs. DS484. Det var imidlertid Rigsrevisionens vurdering,
at Statens It ikke efterlevede sikkerhedsstandarden, fordi relevante områder i standarden ikke
var beskrevet, og fordi de beskrevne områder kun delvist var implementeret.
Statens It har oplyst, at man igennem etableringsfasen har prioriteret opnåelse af en tilfredsstillende
leverancesikkerhed højt, bl.a. ved at erstatte forældede og risikable driftsplatforme
med moderne og tidssvarende systemer, hvilket har løftet det generelle it-sikkerhedsniveau
for kunderne betragteligt. Statens It har således udfaset store mængder af udstyr, der grundet
alder ikke kan erstattes eller serviceres, og lukket serverrum, der er uegnede til it-drift
og fortrolige data.
Rigsrevisionen vurderer også, at de gennemførte projekter er en forudsætning for at forbedre
sikkerheden, men finder ikke, at projekterne i sig selv er tilstrækkelige til at opnå en styret
informationssikkerhed. Rigsrevisionen vurderer, at Statens It har opnået et højere modenhedsniveau
siden etableringen, men anbefaler, at arbejdet med at bringe sikkerheden op på
et tilfredsstillende niveau færdiggøres hurtigst muligt.
Statens It har taget Rigsrevisionens bemærkninger og anbefalinger til efterretning og vil følge
dem.
Statens It har efterfølgende udarbejdet en plan, der skal bringe it-sikkerheden op på et tilfredsstillende
niveau inden udgangen af 1. kvartal 2013.
Rigsrevisionen finder det væsentligt, at Finansministeriet prioriterer forbedringerne af it-sikkerheden
højt med de nødvendige resurser, og vil følge det videre arbejde med forbedring
af it-sikkerheden i Statens It.