Fullmäktiges revisionsenhet (REV) Håkan Skyllberg, BDO Direktionens säkerställande av IT- säkerhetsskyd d PROTOKOLLSBILAGA C Fullmäktiges protokoll , § 6 Riksbankens diarienummer STA

Direktionens säkerställande av IT säkerhetsskydd I arbetsordningen framgår att direktionen ska tillse att ett effektivt säkerhetsskydd upprätthålls i banken. REV har översiktligt granskat hur direktionen säkerställer att ett effektivt säkerhetsskydd inom IT upprätthålls; hur efterlevnad till beslutade regelverk avseende informationssäkerhet utvärderas och rapporteras till direktionen samt; hur informationsincidenter rapporteras till direktionen.

Hur direktionen säkerställer att ett effektivt säkerhetsskydd inom IT upprätthålls Direktionen har fastställt en IT-policy och en säkerhetspolicy. De regler som finns idag inom IT-säkerhetsområdet är framtagna av den tidigare säkerhetsenheten och fastställda av chefen för den administrativa avdelningen Efter omorganisationen som genomfördes den 1 januari 2010 har säkerhetschefen inte längre huvudansvaret för informationssäkerhetsfrågor. Ansvaret för Riksbankens övergripande ramverk för informationssäkerhet har flyttats till riskenheten på stabsavdelningen. Regler och policies är under översyn och ska skrivas om, men innehållet kommer i stor utsträckning att påverkas av resultatet i projektet RITS, som avslutas under våren REV slutsats är att arbetssättet inom Riksbanken är under omarbetning, bl.a. som ett led i arbetet med ISK (Intern Styrning och Kontroll). Vi bedömer att en djupare granskning är adekvat först efter införande av det omarbetade arbetssättet.

Hur efterlevnad till beslutade regelverk avseende informationssäkerhet utvärderas och rapporteras till direktionen Direktionen har sedan tidigare fastställt policy för området: Riksbankens säkerhetspolicy (DNR ADM) Vidare har den administrativa avdelningen beslutat om följande regler: Regler för styrning av informationssäkerhet (DNR ADM) Regler för hantering av Riksbankens information (DNR ADM) Regler för användning av Riksbankens IT-resurser (DNR ADM) I samband med översynen av dessa dokument, som genomfördes 2010, kompletterades de med en fotnot där det framgår bl.a. att efter omorganisationen som genomfördes den 1 januari 2010 har säkerhetschefen inte längre huvudansvaret för informationssäkerhetsfrågor. Ansvaret för Riksbankens övergripande ramverk för informationssäkerhet har flyttats till riskenheten på stabsavdelningen. Regler är under översyn och ska skrivas om, men innehållet kommer i stor utsträckning att påverkas av resultatet i projektet RITS, som avslutas under våren 2011.

Hur informationsincidenter rapporteras till direktionen I tertialrapporteringen som genomförts under 2010 återfinns riskenhetens rapportering avseende operativ risk där bl.a. IT-relaterade incidenter, hotbilder och systemrisker återfinns. REV kan konstatera att den nuvarande rapporteringen förefaller att vara ändamålsenlig.

Projekt RITS – Rätt IT-Säkerhet Riskenheten har i beslutsunderlag till projekt RITS (DNR STA) konstaterat att nuvarande arbetssätt har förbättringspotential avseende ansvars- och arbetsfördelning. Det finns även skäl att se över processer och styrmedel för att stödja formuleringen av säkerhetskrav utifrån verksamhetens behov. Projektet RITS syfte är att ta fram, fastställa och förankra ett ramverk (regler, rutiner och övriga hjälpmedel) för hantering av säkerhet i IT-miljöer inom Riksbanken. Genomförs under perioden oktober 2010 till april 2011 med effektmålen: Överenskommen nivå för rätt säkerhet i IT-miljön Effektiv hantering av IT-risker Och produktmålen: Styrdokument för övergripande styrning av IT-säkerhet Styrdokument för reglering av basnivåer för IT-säkerhet Verktyg och hjälpmedel för tillämpning av styrdokumenten