Offentlighets- och Sekretesslagen (2009:400) 2018-04-17 Ledningens genomgång av verksamhetsskyddet period 140000 -- 140000 SEKRETESS enligt 18 Kap 8 § Offentlighets- och Sekretesslagen (2009:400) 2014-04-09 RIKSPOLISSTYRELSEN   Datum, Organisationsenhet

Agenda Inledning Sammanfattning Risksammanställning Riskbeskrivning Identifierade sårbarheter som inte behandlats Incidenter Förslag till beslut Frågor

Inledning Syfte med ledningens genomgång Resultat April 2014 2018-04-17 Inledning Syfte med ledningens genomgång Ledningens genomgång ska komplettera den riskanalys som genomförs inom ramen för intern styrning och kontroll. Rapporten beskriver ytterligare risker inom verksamheten som kan inverka på Polisens förmåga att utföra sitt uppdrag och nå uppsatta mål. Ge rekommendationer som rör förbättring av verksamhetsskyddet och den interna styrningen och kontrollen av it -säkerheten. Resultat Beslut om åtgärder eller stöd i frågor som rör förbättring av verksamhetsskyddet. Ökad kunskap om vilka risker som finns i verksamheten. April 2014 Tyngdpunkten i ledningens genomgång i april 2014 är xxxxxxx. 3

Känna, veta och göra Känna Risknivån i vår verksamhet Trygghet Veta 2018-04-17 Känna, veta och göra Känna Risknivån i vår verksamhet Trygghet Veta Vår risknivå Vad VSE har hanterat sedan senaste rapporten Vad vi gör åt risknivån Göra Fatta beslut om hantering av riskerna Stöd till VSE i dess arbete Stöd till ansvariga för riskerna

Utveckling av ledningens genomgång Rapporten inför genomgången som är ett relativt omfattande dokument har utvecklats och fått en tydligare struktur. I december 2013 påbörjades arbetet med att ta fram riktlinjer och instruktioner som beskriver arbetsprocessen för ledningens genomgång. En redaktionsgrupp finns nu på enheten och gruppens deltagare har olika roller och ansvar. Det nya sättet att arbeta har resulterat i en ökad kvalitetssäkring och mer samverkan med PVS som äger de flesta riskerna. Ytterligare samarbete med EIS om hur och vilka risker i ledningens genomgång som kompletterar RPS plan för kontrollåtgärder enligt FISK.

Sammanfattning

Sammanfattning – sårbarheter och risker Totalt x antal sårbarheter Fördelade på x antal nya, x antal under hantering, x antal under bevakning xxxx

LIS uppfyllnad av MSBFS 2009:10 § Krav MSBFS 2009:10 Status Läget Kommentar 4 § 1p. Policy för Polisens verksamhets-skydd och styrande dokument Delvis 4 § 2p. Roller och ansvar för verksamhets-skydd ska definieras och tilldelas. 4 § 3p. Klassificera information – konfiden-tialitet, riktighet och tillgänglighet 4 § 4p. Riskbaserat verksamhetsskydd Incidenthantering 4 § 5p. Granskningar Dokumentera granskningar och säkerhetsåtgärder Helt 5 § Ledningens genomgång

Sårbarheter - Polisen 2018-04-17 Avsnitt Sårbarhet Sanno-likhet Konse-kvens Risk-nivå Huvud-ansvar 5.1 4 16 5.2 5.3 3 12 5.4 5.5 5.6 5.7 5.8 5.9 5.10 5.11 5.12 5.13 5.14 5.15 5.16 5.17

Sårbarheter under bevakning - Polisen Avsnitt Sårbarhet Sanno-likhet Konse-kvens Risk-nivå Huvud-ansvar 6.1 3 9 6.2 4 2 8 6.3

Risker placerade i riskfönstret

Risker med påverkan på Polisen

1. XXXX Passande bilder Sårbarhet: Risknivå: 16 Status: Huvudansvarig: 2018-04-17 1. XXXX Sårbarhet: Risknivå: 16 Status: Huvudansvarig: Rekommendation: Omfattning av problemet bör utredas. Åtgärdsplan behöver tas fram. Passande bilder Sårbarhet 5.1 och 5.2, sidan 13 i Rapport Ledningens genomgång.

Utvecklande text xx. xx

Vad har hänt sedan förra ledningens genomgång med riskerna från förra analysen # Sårbarhet Risk-nivå Huvud-ansvar Okt -13 -- April -14 Status 5.5 16 5.6 12 5.8 5.9 5.10 5.12 5.13 5.14 5.15 5.16 5.17

Rekommendationer 1. xxxx 2. xxxx Omfattningen bör utredas och analyseras Åtgärdsplan behöver tas fram Ansvarig: 2. xxxx Ansvarsfördelning, resursbehov och hantering behöver ses över och beslutas Resurser för att utreda behöver tillsättas

Identifierade sårbarheter som inte har analyserats

Nya sårbarheter xx

Incidenter

2018-04-17 Incidentstatistik -Totalt under perioden september 2013 till mars 2014 anmäldes cirka 65 incidenter. Cirka 50 av dessa var relaterade till information.

It-säkerhetsincidenter 2018-04-17 It-säkerhetsincidenter Polisens it-system har angripits av en extern aktör (överbelastningsattack) Dataintrång i danska installationen av N.SIS.

2018-04-17 Övriga incidenter Användandet av mobiltelefonapplikationer under spaning Användandet av sociala medier för intern samverkan i yrkesutövning

Verksamhetsskyddsenheten 2013 Uppdragsprocessen – avgränsade, löpande och ärende Arbete med styrande och stödjande dokument GK projekt – Nulägesanalys verksamhetsskyddet för Polisen Införa riskstyrning Medarbetarundersökningen Personalläget Utbildning – 364 medarbetare - bild Risk Kontinuitet Medarbetare Information PoLiVS Egendom

FÖRSLAG TILL BESLUTSTEXT Del 1. De uppdrag som beslutas nedan ska redovisas till verksledningskansliet, verksamhetsskyddsenheten senast den 29 augusti. Säkerhetsmässiga brister hos polisanställda och polisstuderande. Avdelningen för interna utredningar får i uppdrag att utreda omfattningen och allvaret avseende de säkerhetsmässiga brister som identifierats hos polisanställda och polisstuderande. I utredningen ska samverkan ske med HR-avdelningen och verksamhetsskyddsenheten vid verksledningskansliet. Polisens hantering av personuppgifter. Verksamhetsskyddsenheten får i uppdrag att göra en probleminventering avseende vad som behöver åtgärdas för att Polisens hantering av personuppgifter ska ske i enlighet med Personuppgiftslagen och Polisdatalagen. Probleminventeringen ska utgöra grund för en fortsatt uppdragsbeskrivning. Resultatet från probleminventeringen ska visa vilka resurser som behövs för att utföra uppdraget, och därmed utgöra grund för beslut om hur uppdraget ska genomföras. Uppdraget ska resultera i förslag på åtgärder för att Polismyndigheten ska hantera personuppgifter i enlighet med Personuppgiftslagen och Polisdatalagen.(Gula tas bort?)   Avsaknad av support för Windows XP. PVS får i uppdrag att utreda möjligheterna att säkra de av Polisens datorer som använder operativsystemet Windows XP. Bland de åtgärder som övervägs ska förlängt supportavtal finnas. Avsaknad av support för Windows XP. PVS får i uppdrag att lösa problematiken kring anslutningen av LKC-miljöerna till Polar. Incident-, kontinuitets- och krishantering. Verksledningskansliet ansvarar för RPS incident- kontinuitets – och krishantering. Arbete inom området pågår i ett antal genomförandekommitté projekt. VLK får i uppdrag att följa upp att projektens resultat uppfyller det ansvar som VLK har. FÖRSLAG TILL BESLUTSTEXT

Utkast Del 1. De uppdrag som beslutas nedan ska redovisas till verksledningskansliet, verksamhetsskyddsenheten senast den 29 augusti. xx.

2018-04-17 FRÅGOR