1. Inledning

1.1 Motiv till granskning

Målet med forskningspolitiken är att Sverige ska vara ett av världens främsta forsknings- och innovationsländer och en ledande kunskapsnation.[1] Sverige är ett av de länder i världen som gör störst investeringar i forskning och utveckling (FoU), över 3 procent av BNP 2022.[2] Syftet är bland annat att skapa arbetstillfällen, tillväxt och konkurrenskraft.[3] En stor del av forskningen bedrivs vid universitet och högskolor; 2022 uppgick de totala utgifterna för egen FoU vid universitet och högskolor till drygt 44 miljarder kronor.[4]

Många länder eftersträvar den innovationskraft och kunskapsintensitet som Sverige står för och kontakter med svenska lärosäten ses som en väg till att ta del av det svenska innovationssystemet.[5] Antalet cyberattacker har ökat och underrättelseverksamheten mot universitet och högskolor har intensifierats under senare år.[6] Teknik- och kunskapsanskaffning är prioriterat för främmande makt i syfte att bland annat gynna det egna landets konkurrenskraft och militära förmåga.[7] Mörkertalet är stort men Säkerhetspolisen uppskattar att det stjäls information och kunskap till ett värde av miljardbelopp varje år.[8] Utbildningsutskottet har uttalat att det är viktigt att Sverige har en god förmåga att skydda bland annat forskning från industrispionage och att det är viktigt att följa dessa frågor för att bedöma om ytterligare åtgärder behövs.[9]

En övervägande del av forskningen och forskningsdata[10] kan vara öppen och tillgänglig för alla. Men vissa forskningsdata är skyddsvärda eftersom de rör exempelvis personuppgifter, företagshemligheter eller säkerhetskänslig verksamhet. Sedan 2008 är alla statliga myndigheter, inklusive statliga universitet och högskolor, skyldiga att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete.[11] Syftet är att ge information tillräckligt skydd utifrån dess värde.

Regeringen har på olika sätt sedan 2019 haft frågan om säkerhet på universitet och högskolor på dagordningen, bland annat i myndighetsdialoger, regleringsbrev och utredningsuppdrag.[14] Det finns sedan länge en politisk målsättning om ett öppet vetenskapssamhälle med fri tillgång till vetenskapliga texter, forskningsresultat och forskningsdata.[15] I den senaste forskningspropositionen beskriver regeringen att internationell samverkan och en hög grad av internationalisering är en förutsättning för att Sverige ska vara en ledande forsknings- och kunskapsnation. Men regeringen menar också att internationella forskningssamarbeten kan innebära vissa risker och ser därför behov att säkerställa skydd av forskningsresultat.[16]

Riksrevisionen granskade det interna styrningen och kontrollen av informationssäkerheten vid universitet och högskolor 2009 och 2010. Sammanfattningsvis konstaterades stora brister gällande bland annat roll- och ansvarsfördelning, riskanalys inklusive informationsklassning samt avsaknad av styrdokument.[17] Genom åren har internrevisionen vid många lärosäten genomfört granskningar som visar på fortsatta brister.[18] Mycket tyder på att informationssäkerhetsarbetet vid lärosätena fortsatt är på en generellt låg nivå och att de har bristande kunskap om vad som är skyddsvärt.[19] Myndigheten för samhällsskydd och beredskap (MSB) konstaterar att arbetet med systematisk informationssäkerhet är eftersatt hos majoriteten av de statliga myndigheterna.[20] Men jämfört med andra branscher uppvisar högskolesektorn lägre engagemang för informationssäkerhet.[21]

Det förändrade säkerhetshetspolitiska läget har satt ytterligare fokus på riskerna med lärosätenas bristande informationssäkerhetsarbete. Riksrevisionen har mot bakgrund av detta samt sektorns komplexitet med många uppdrag och mål återigen granskat lärosätenas arbete med informationssäkerhet. Genom att analysera även orsakerna till de brister som konstateras bidrar granskningen med underlag för ett effektivare informationssäkerhetsarbete på universitet och högskolor och ytterst ett bättre skydd för den information som behöver skyddas.

1.2 Övergripande revisionsfråga och avgränsningar

Den övergripande revisionsfrågan är om universitet och högskolor bedriver ett effektivt informationssäkerhetsarbete som möjliggör att skyddsvärda forskningsdata hanteras säkert och enligt gällande regelverk. Med effektivt avses att informationssäkerhetsarbetet bedrivs systematiskt och riskbaserat.[22]

För att besvara den övergripande frågan ställer vi två delfrågor:

1. Arbetar universitet och högskolor effektivt för att identifiera skyddsvärda forskningsdata och analysera informationssäkerhetsrisker?
2. Har universitet och högskolor utformat informationssäkerhetsarbetet på ett effektivt sätt för att hantera skyddsvärda forskningsdata?

Granskningen omfattar regeringen och de 24 statliga universitet och högskolor som bedriver teknisk och naturvetenskaplig forskning, se vidare avsnitt 1.4 och bilaga 1.

Informationssäkerhet täcker in all information som en organisation hanterar. I granskningen fokuserar vi på forskningsdata. Rutiner, riktlinjer och arbetssätt i informationssäkerhetsarbetet kan dock förstås inkludera annan information än forskningsdata. Vi fokuserar på den organisatoriska säkerheten i lärosätenas informationssäkerhetsarbete.[23] Det är framför allt inom denna del som vi har tagit del av problemindikatorer. Frågan om huruvida forskningsdata faktiskt skyddas ligger utanför granskningen.

1.3 Bedömningsgrunder

Bedömningsgrunder är de kriterier som Riksrevisionen tillämpar för att värdera sina iakttagelser. I det här avsnittet går vi igenom de övergripande bedömningsgrunderna och därefter hur vi har operationaliserat dem kopplat till det två delfrågorna.

En övergripande utgångspunkt i granskningen är högskolelagen (1992:1434) där det framgår att lärosätena ska verka för att den kunskap och kompetens som finns vid högskolan kommer samhället till nytta och att den samlade internationella verksamheten vid varje högskola ska stärka kvaliteten i högskolans utbildning och forskning.[24] Av högskoleförordningen (1993:100) framgår att det ska finnas finns en intern styrning och kontroll som fungerar på ett betryggande sätt.[25] Vidare gäller att myndigheter ska verka för att genom samarbete med myndigheter och andra ta till vara fördelar som kan finnas för enskilda och staten som helhet.[26]

I propositionen 2020/21:1 understryker regeringen att styrningen av statsförvaltningen ska vara långsiktig, strategisk, helhetsinriktad, sammanhållen, verksamhetsanpassad och tillitsbaserad. Detaljstyrning och onödig administration ska undvikas. Det förutsätter att regeringen följer upp myndigheternas resultat och verksamhet och ingriper om den bedömer att myndigheterna inte sköter sina uppgifter på ett ändamålsenligt sätt.[27]

I propositionen 2001/02:158, Samhällets säkerhet och beredskap, presenterade regeringen en ansvarsfördelning mellan myndigheter för informationssäkerhetsarbetet i samhället.[28] MSB har i uppdrag att stödja och samordna arbetet med samhällets informationssäkerhet.[29]

Förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (upphörde gälla oktober 2022) och efterföljande förordning (2022:524) om statliga myndigheters beredskap reglerar bland annat informationssäkerhetsarbetet för myndigheter under regeringen. Här framgår att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. I ansvaret ingår att myndigheten särskilt ska beakta behovet av säkra ledningssystem.[30] Förordningen bemyndigar MSB att meddela föreskrifter om informationssäkerhet.[31]

ISO 27000-standarden utgör en internationell standard för ledningssystem för informationssäkerhet (LIS) som ett sätt att styra en verksamhets informationssäkerhet på ett systematiskt sätt.[32] Av MSB:s föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6) framgår att myndigheterna ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av dessa standarder.[33]

I MSB:s föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter (MSBFS 2020:7) preciseras vilka tekniska åtgärder som krävs. I MSB:s föreskrifter om rapportering av it-incidenter för statliga myndigheter (MSBFS 2020:8) preciseras bestämmelser om rapportering av it-incidenter.

På uppdrag av regeringen har MSB utformat ett metodstöd för att stödja arbetet att implementera ett systematiskt informationssäkerhetsarbete i enlighet med föreskrifterna. Metodstödet utgår från ISO-27000 serien.[34] (Se även kapitel 2 om MSB:s metodstöd.) Utifrån ovanstående utgångspunkter har vi operationaliserat bedömningsgrunderna för respektive delfråga.

1.3.1 Operationaliserade bedömningsgrunder för delfråga 1

Informationssäkerhetsarbetet ska omfatta all behandling av information som myndigheten ansvarar för.[35] Informationsklassning och riskbedömning är centrala delar i ett systematiskt informationssäkerhetsarbete. Informationsklassning innebär att identifiera information och värdera dess värde och känslighet.[36]

Enligt Riksrevisionen är genomförd informationsklassning och riskbedömning viktiga förutsättningar för att en organisation ska kunna identifiera behov av och vidta ändamålsenliga säkerhetsåtgärder. En för låg klassning riskerar att leda till otillräckliga åtgärder och därmed verksamhetsrisker, medan en för hög klassning kan leda till överflödiga åtgärder med onödig administration och högre kostnader som följd. En systematisk informationsklassning och riskbedömning är alltså en förutsättning för att kunna vidta proportionella och ändamålsenliga säkerhetsåtgärder.

Riksrevisionen har formulerat följande villkor som behöver vara uppfyllda för att vi ska bedöma att universitet och högskolor arbetar effektivt för att identifiera skyddsvärda forskningsdata.

• Forskningsdata ska inventeras och klassificeras utifrån skyddsvärde och skyddsbehov. Det ska göras systematiskt utifrån vilka konsekvenser ett bristande skydd kan få. Genom att använda en gemensam klassningsmodell kan organisationens information skyddas på ett enhetligt sätt utifrån interna och externa krav på informationens konfidentialitet, riktighet och tillgänglighet. Klassningsmodellen ska vara enkel att använda. Ledningen behöver se till att implementera ett arbetssätt som är ändamålsenligt och fungerar i praktiken.
• Lärosätena ska identifiera, analysera och värdera riskerna för sina forskningsdata. Det ska finnas processer som fångar upp identifierade risker på olika relevanta nivåer och en systematik som möjliggör återkommande uppföljning. För att upprätta en bra riskanalys krävs underlag i form av bland annat informationsklassning, rapporterade it-incidenter och uppföljning. Medarbetare ska veta vad en informationssäkerhetsincident är och hur den ska rapporteras. Arbetet med riskanalyser ska involvera funktioner från relevanta delar av verksamheten.

1.3.2 Operationaliserade bedömningsgrunder för delfråga 2

För att kunna bedriva ett effektivt informationssäkerhetsarbete behöver det finnas processer och strukturer som styr arbetet och möjliggör en säker hantering av information. Riksrevisionen har formulerat följande villkor som behöver vara uppfyllda för att vi ska bedöma att universitet och högskolor har utformat informationssäkerhetsarbetet på ett effektivt sätt för att hantera skyddsvärda forskningsdata:

• Det ska finnas en policy för informationssäkerhetsarbetet där ledningens mål och inriktning för informationssäkerhetsarbetet tydligt framgår. Ledningen har det yttersta ansvaret för att styra och organisera verksamheten så att den fungerar effektivt i enlighet med uppställda mål. Det inkluderar att avsätta tillräckliga resurser för informationssäkerhetsarbetet. Det innebär att lärosätena behöver budgetera utifrån den omfattning som krävs för att bedriva ett effektivt informationssäkerhetsarbete. Ledningen ska också hålla sig informerad om informationssäkerhetsläget, både löpande och vid särskilda genomgångar med den eller de som leder och samordnar informationssäkerhetsarbetet.
• Roll- och ansvarsfördelning för informationssäkerhetsarbetet ska tydligt framgå av styrdokument och riktlinjer. Det ska vara tydligt för dem med utpekat ansvar vad ansvaret innebär och vilket mandat som följer med. Den eller de som utses att leda och samordna informationssäkerhetsarbetet ska ha mandat att ställa krav och granska samt rapportera direkt till ledningen.
• För att säkerställa att information hanteras på ett säkert sätt behöver lärosätets medarbetare och inhyrd personal ha kompetens inom informationssäkerhet som är relevant och anpassad till funktion. Kompetensen ska utvecklas och upprätthållas genom utbildning, informationsinsatser och övning. Alla i organisationen ska känna till relevanta styrdokument, regelverk och arbetssätt och därigenom förstå sin roll och sitt ansvar. Beroende på vilken information medarbetare ska få åtkomst till, behöver lärosätet anpassa sin bakgrundskontroll.
• Det ska finnas lätt tillgängligt och verksamhetsanpassat stöd för att hantera forskningsdata. Stödet ska vara samordnat efter behov och möjliggöra en säker hantering av forskningsdata i enlighet med gällande rättsliga krav.

1.4 Metod och genomförande

Vi har använt oss av en kombination av intervjuer, dokumentstudier och en enkät. Granskningen omfattar 24 lärosäten, varav 3 är valda som exempel på hur olika typer av lärosäten kan arbeta med informationssäkerhet. Syftet är inte bara att uttala oss om exempellärosätena, utan att genom iakttagelser från dem kunna dra slutsatser som kan vara relevanta för hela sektorn. En utförlig beskrivning av metod finns i bilaga 1.

En vägledande princip i urvalet har varit att fånga så mycket variation som möjligt bland annat i organisationsstruktur, storlek, finansieringsformer och forskningsämnen. Det gäller för såväl lärosäten som institutioner och funktioner inom dessa lärosäten. En översiktlig beskrivning av exempellärosätena finns i bilaga 3.

Vi har genomfört 65 intervjuer vid de 3 exempellärosätena Blekinge tekniska högskola, Kungl. Tekniska högskolan och Lunds universitet, se bilaga 2. Vid respektive lärosäte har vi intervjuat forskare, prefekter, dekaner eller motsvarande, förvaltningschef och informationssäkerhetschef eller informations­säkerhetsansvarig. Vi har också intervjuat roller och funktioner inom bland annat it och it-säkerhet, säkerhet och säkerhetsskydd, juridik, forskningsdatahantering, exportkontroll och dataskydd. Därutöver har vi gjort intervjuer bland annat vid Malmö universitet, Sveriges lantbruksuniversitet och RISE Research Institutes of Sweden AB som del av inledande informationsinhämtning.

Vi har även intervjuat företrädare för Säkerhetspolisen, MSB, Vetenskapsrådet samt länsstyrelserna Norrbotten, Skåne, Stockholm och Västra Götaland. Utöver det har vi intervjuat andra aktörer med relevant kunskap för granskningen, se vidare bilaga 1.

Vi har tagit del av och analyserat styrdokument och annan dokumentation från de tre exempellärosätena såsom informationssäkerhetspolicyer, delegationsordningar, interna beslut och riskanalyser. Utöver det har vi tagit del av en rad olika dokument, exempelvis utredningar, propositioner och rapporter.

Enkäten bestod av två delar där den första handlade brett om informationssäkerhet och den andra begränsades till frågor om säkerhetsskydd. Enkätens båda delar omfattar 24 lärosäten och genomfördes för att få en bredare bild av hur universitets- och högskolesektorn arbetar med informationssäkerhet gällande forskningsdata. Den inkluderade frågor om bland annat styrning, roll- och ansvarsfördelning, inventering och klassning av information, riskarbete, utbildning, resurser och säkerhetsskydd. Svarsfrekvensen var 100 procent. Enkätens båda delar återfinns i bilaga 4.

Granskningen har genomförts av en projektgrupp bestående av Sara Monaco (projektledare), Ludvig Stendahl och Klara Folkesson. Jens Pettersson deltog i granskningen till februari 2023 och Josefine Olsson till augusti 2023. Stina Lindgren (praktikant) och Lars Henning (revisor) har också bidragit i arbetet. En referensperson har lämnat synpunkter på granskningsupplägg och på ett utkast till granskningsrapport: Jonas Hallberg, tekn. dr, enhetschef Cyberförsvar, Totalförsvarets forskningsinstitut (FOI). Företrädare för Regeringskansliet (Försvarsdepartementet, Justitiedepartementet, Landsbygds- och infrastrukturdepartementet och Utbildningsdepartementet), Blekinge tekniska högskola, Kungl. Tekniska högskolan, Lunds universitet, Myndigheten för samhällsskydd och beredskap, Säkerhetspolisen och länsstyrelserna i Norrbotten, Skåne, Stockholm och Västra Götaland har fått tillfälle att faktagranska och i övrigt lämna synpunkter på ett utkast till granskningsrapport.