...
Revision av Samordnad identitet och behörighet
Ena är Sveriges digitala infrastruktur – en samling tjänster, standarder och regelverk som gör det möjligt för offentliga och privata aktörer att samverka säkert. För att skydda ekosystemet krävs att alla anslutna organisationer uppfyller Ena Tillitsramverk, som ställer krav inom organisatoriska, personorienterade, fysiska och tekniska områden. Revision inom Samordnad identitet och behörighet omfattar hela den digitala kedjan, från ledningssystem till tjänstespecifika krav. Revision behöver etableras och genomföras på olika nivå, både operatörer och anslutna parter behöver revideras utifrån ett efterlevandeperspektiv.
Tillitskedjan
Tillitskedjan visar hur revision behöver genomföras på olika nivå inom Federationen.
- Ledningsaktören
- är juridiskt ansvarig för federationsinfrastrukturen
- reviderar federationsoperatörer
- godkänner tillitsmärkesägare
- Federationsoperatören
- tillhandahåller ett tillitsankare för sitt federationskontext
- registrerar godkända tillitsmärken inom federationskontexten
- reviderar anslutningsoperatörer och tillitsmärkesutfärdare inom federationskontexten
- Tillitsmärkesägare
- äger och ansvarar för ett eller flera tillitsmärken som kopplar en eller flera egenskaper till en teknisk komponent
- genomför efterlevnadskontroll av federationsmedlemmar tekniska komponenter och relaterad verksamhet gentemot deras uppfyllnad av kraven för tillitsmärken.
Efterlevnaden kan involvera:- uppföljning av internrevision
- uppföljning av externt genomförd revision, via en av tillitsmärkesägaren godkänd revisor
- uppföljning av annan genomförd relevant revision
- tar beslut om att tilldela den tekniska komponenten ett tillitsmärke
- uppdrar till en av federationsoperatören godkänd tillitsmärkesutfärdare att utfärda ett tillitsmärke till den tekniska komponenten
- Anslutningsoperatör
- ansvarar för federationsmedlemmars organisatoriska anslutning (avtalsskrivning) till federationsinfrastrukturen och ett eller flera federationskontext
- ansvarar för anslutning av federationsmedlemmar tekniska komponenters och registrering av metadata
- Tillitsmärkesutfärdare
- stämplar tillitsmärken och tillför dem till metadata för tekniska komponenter
- Ansluten part
- är en aktör som i federationsinfrastrukturen ansvarar för en eller flera tekniska komponenter involverade i hantering av identiteter och behörigheter. Identifierade komponenttyper är klient, identitetsintygstjänst, attributkälla, åtkomstintygstjänst, e-tjänst och resursserver.
- tecknar avtal med en anslutningsoperatör
- anskaffar tillitsmärken från en tillitsmärkesägare
- anlitar extern revisor för de efterlevnadskontroller som kräver det
...
Revision
Att genomföra revision inom Federationen, i nationell skala, har utmaningar. Många kommer att behöva revision men resurserna är få. Erfarenheten har visat att revision på plats hos reviderad part ger den bästa effekten och därmed högre efterlevnad mot regelverket. Antalet anslutna organisationer kommer att öka, och bör öka, över tid. Detta påverkar kapaciteten ytterligare och måste beaktas redan från början. Efterlevandekontroll måste ha fokus på kvalitet, likabehandling och genomförbarhet. Tillitsmodellen driver behov av kunskap på samhällsnivå. Behovet av stöd ute i anslutna organisation behöver mötas för att efterlevnaden skall få så stort genomslag som möjligt. Revision i sig driver lärande men behöver kompletteras med kompetensforum, utbildningar och stöd. Den här knuten behöver analyseras och en revisionsfunktion som kan möta behovet behöver utvecklas. Här kan ett AI-stöd vara det som blir avgörande för vilken nytta revision kan skapa inom Ena. För att lyckas med utmaningen rekommenderas här följande:
- Sätt upp en central revisionsfunktion med helhetsansvar
- Ta fram ett tydligt revisionsprogram omfattande alla parter, kravnivåer och kriterier
- Utveckla ett AI-stöd för att effektivisera processerna (inlåst och säker språkmodell)
- Genomför systematisk skrivbordsrevision med stöd av AI
- Prioritera de organisationer med störst riskbild för revision på plats
- Analysera behovet av utbildning och stöd som kan komplettera revisionerna
Central revisionsfunktion
En central revisionsfunktion bör sättas upp inom Federationen och revisionsarbetet bör styras därifrån. Metoderna för att hantera och genomföra revision inom Ena bör vara enhetliga och uppföljningsbara på alla nivåer. Eventuellt behöver specialistkompetens upphandlas för delar av själva revisionsgenomförandet. Detta hanteras och styrs då från revisionsfunktionen.
Denna centrala funktion bör också tillhandahålla det AI-stöd som krävs för revisionen.
Revisionsprogram
Revisionsprogrammet beskriver i vilken omfattning och i vilken frekvens revisioner skall genomföras. Kravnivåer mappade mot revisionskriterier och hur detta täcks under en 3-årsperiod behöver framgå i programmet. Kravnivån ligger till grund för revisionsprogrammets omfattning och aktuella revisionskriterier. Även bedömningen av avvikelser och mognadsgrad är beroende av definierade kravnivåer.
Revisionskriterier
Ena Tillitsramverk, se Kravkatalog, består av krav grupperade under kriterierna organisatoriska krav, personorienterade krav, fysiska krav samt tekniska krav. Regelverket omfattar bland annat följande revisionskriterier:
- Ledningssystem för informationssäkerhet (LIS)
- Riskhantering, internrevision och kontinuitetsplanering
- Behörighetsstyrning och spårbarhet
- Incident- och sårbarhetshantering
- Kryptering, loggning och tekniska skyddsåtgärder
AI-stöd
Vi ser det inte som realistiskt att genomföra manuellt efterlevnadskontroll på nationell skala. Ett AI-stöd eller annan typ av expertsystem torde vara en nödvändighet.
Genom att integrera AI i hela processen kan revisionen effektiviseras och revisorerna användas där riskerna är som störst. En AI-stödd revisionsfunktion frigör tid för mer värdeskapande uppgifter som dialog, uppföljning, strategi och förbättringsarbete. Eftersom betydligt fler organisationer kan granskas med samma resurser medför detta att tilliten ökar i hela ekosystemet. Genom att kombinera mänsklig revisorskompetens med AI:s analyskraft kan fler revisioner genomföras snabbare och totalt ge högre kvalitet, vilket leder till stärkt informationssäkerhet, effektivare resursanvändning och ökad tillit i det digitala ekosystemet.
En modell där AI används som stöd i hela processen ger möjligheter att revidera både helheten och delarna under rimlig tid. AI skulle kunna användas för granskning av en stor mängd dokument, genomföra analyser, prioriteringar och urval. För att säkra upp kvaliteten i resultatet krävs ett samarbete mellan AI och revisorer som kvalitetssäkrar AI:s resultat och fattar beslut. En stor mängd organisationer kan granskas av AI systematiskt. AI kan även selektera de organisationer med störst riskbild. Där riskerna är störst kan revision på plats genomföras för att åstadkomma ett mer effektivt lärande. Effektiviteten och träffbilden kan på detta sätt ökas markant. Systematisk revision med full effekt kan nås först efter en initieringsfas som skall resultera i en tydlig backlogg inför följande revisionsomgångar.
Eftersom revisionerna hanterar känslig information krävs att AI används i en säker och inlåst miljö. Det innebär att ingen data lämnar organisationens skyddade IT-miljö, ingen information används för träning av externa AI-modeller, all åtkomst loggas och styrs med behörigheter och all kommunikation är krypterad. En inlåst språkmodell (privat moln eller on-prem) möjliggör full användning av AI utan att kompromissa med konfidentialitet, integritet eller regelefterlevnad.
Processer med stöd av AI
Nedan beskrivs hur revisionsfunktionens processer kan användas med stöd av AI.
Analys- och planeringsprocessen med stöd av AI
Utifrån tillitsdeklarationen sammanställer AI dokument, genomför riskanalys och prioriterar vilka organisationer som behöver revision på plats och vilka som skall revideras maskinellt. Revisionsprogrammet aktualiseras och omfattningen av aktuell revisionsomgång fastställs. Härefter genereras revisionsplaner för respektive revisionstillfälle. Revisor finns med under hela analys- och planeringsfasen för att säkra kvaliteten och för att ta beslut.
Revisionsprocessen med stöd av AI
Som tidigare beskrivits är revision där revisor och reviderad part kan mötas på plats eller digitalt det bästa sättet att nå lärande och efterlevnad. Då detta inte är möjligt när många organisationer behöver revideras föreslås här en kombination av skrivbordsgranskning med AI-stöd i kombination med att revisorer gör revision på plats hos dom organisationer med störst riskbild. Detta kräver att alla organisationer som ingår i programmet genomför en tillitsdeklaration med relevanta bevis på att regelverket efterlevs. Detta kan till exempel vara rapporter från genomförda internrevisioner, genomförd riskanalys, kontinuitetsplan, översikt över LIS eller rutiner för tekniska säkerhetskontroller. AI-stöd föreslås här även användas för att följa upp rotorsaksanalyser och åtgärdsplaner samt för att sammanställa revisionsrapporter och göra mognadsbedömningen.
Ett antal besöksrevisioner på plats eller digitalt genomförs parallellt med AI-granskningen.
Beroende på antalet organisationer i revisionsprogrammet, antalet revisorer samt komplexiteten i bevisen avgörs hur många organisationer som kan revideras årligen.
Rapporterings- och förbättringsprocessen med stöd av AI
När en revisionsomgång har avslutats analyseras resultatet efter genomförda revisioner. Avvikelser och mognadsmätningar sammanställs och grupperas i en rapport som kommuniceras och återkopplas. Förbättringar av processen genomförs med tyngdpunkt på kvalitet, effektivitet, säkerhet och nytta för reviderade organisationer.
APPENDIX I - Etablering av AI-stödd revisionsfunktion
Initieringsfas År 1
En initieringsfas med 100 anslutna organisationer har estimerats enligt nedan. Estimatet visar endast på själva revisionsgenomförandet med stöd av AI. Utöver detta behövs tid för exempelvis etablering av teknisk miljö, konfiguration, utbildning och erfarenhetsåtervinning. Se vidare handlingsplan.
Handlingsplan
...
Att genomföra revision inom Federationen, i nationell skala, har utmaningar. Många kommer att behöva revision men resurserna är få. Erfarenheten har visat att revision på plats hos reviderad part ger den bästa effekten och därmed högre efterlevnad mot regelverket. Antalet anslutna organisationer kommer att öka, och bör öka, över tid. Detta påverkar kapaciteten ytterligare och måste beaktas redan från början. Efterlevandekontroll måste ha fokus på kvalitet, likabehandling och genomförbarhet. Tillitsmodellen driver behov av kunskap på samhällsnivå. Behovet av stöd ute i anslutna organisation behöver mötas för att efterlevnaden skall få så stort genomslag som möjligt. Revision i sig driver lärande men behöver kompletteras med kompetensforum, utbildningar och stöd. Den här knuten behöver analyseras och en revisionsfunktion som kan möta behovet behöver utvecklas. Här kan ett AI-stöd vara det som blir avgörande för vilken nytta revision kan skapa inom Ena. För att lyckas med utmaningen rekommenderas här följande:
- Sätt upp en central revisionsfunktion med helhetsansvar
- Ta fram ett tydligt revisionsprogram omfattande alla parter, kravnivåer och kriterier
- Utveckla ett AI-stöd för att effektivisera processerna (inlåst och säker språkmodell)
- Genomför systematisk skrivbordsrevision med stöd av AI
- Prioritera de organisationer med störst riskbild för revision på plats
- Analysera behovet av utbildning och stöd som kan komplettera revisionerna
Central revisionsfunktion
En central revisionsfunktion bör sättas upp inom Federationen och revisionsarbetet bör styras därifrån. Metoderna för att hantera och genomföra revision inom Ena bör vara enhetliga och uppföljningsbara på alla nivåer. Eventuellt behöver specialistkompetens upphandlas för delar av själva revisionsgenomförandet. Detta hanteras och styrs då från revisionsfunktionen.
Denna centrala funktion bör också tillhandahålla det AI-stöd som krävs för revisionen.
Revisionsprogram
Revisionsprogrammet beskriver i vilken omfattning och i vilken frekvens revisioner skall genomföras. Kravnivåer mappade mot revisionskriterier och hur detta täcks under en 3-årsperiod behöver framgå i programmet. Kravnivån ligger till grund för revisionsprogrammets omfattning och aktuella revisionskriterier. Även bedömningen av avvikelser och mognadsgrad är beroende av definierade kravnivåer.
Revisionskriterier
Ena Tillitsramverk, se Kravkatalog, består av krav grupperade under kriterierna organisatoriska krav, personorienterade krav, fysiska krav samt tekniska krav. Regelverket omfattar bland annat följande revisionskriterier:
- Ledningssystem för informationssäkerhet (LIS)
- Riskhantering, internrevision och kontinuitetsplanering
- Behörighetsstyrning och spårbarhet
- Incident- och sårbarhetshantering
- Kryptering, loggning och tekniska skyddsåtgärder
Processer med stöd av AI
Vi ser det inte som realistiskt att genomföra manuellt efterlevnadskontroll på nationell skala. Ett AI-stöd eller annan typ av expertsystem torde vara en nödvändighet.
Genom att integrera AI i hela processen kan revisionen effektiviseras och revisorerna användas där riskerna är som störst. En AI-stödd revisionsfunktion frigör tid för mer värdeskapande uppgifter som dialog, uppföljning, strategi och förbättringsarbete. Eftersom betydligt fler organisationer kan granskas med samma resurser medför detta att tilliten ökar i hela ekosystemet. Genom att kombinera mänsklig revisorskompetens med AI:s analyskraft kan fler revisioner genomföras snabbare och totalt ge högre kvalitet, vilket leder till stärkt informationssäkerhet, effektivare resursanvändning och ökad tillit i det digitala ekosystemet.
En modell där AI används som stöd i hela processen ger möjligheter att revidera både helheten och delarna under rimlig tid. AI skulle kunna användas för granskning av en stor mängd dokument, genomföra analyser, prioriteringar och urval. För att säkra upp kvaliteten i resultatet krävs ett samarbete mellan AI och revisorer som kvalitetssäkrar AI:s resultat och fattar beslut. En stor mängd organisationer kan granskas av AI systematiskt. AI kan även selektera de organisationer med störst riskbild. Där riskerna är störst kan revision på plats genomföras för att åstadkomma ett mer effektivt lärande. Effektiviteten och träffbilden kan på detta sätt ökas markant. Systematisk revision med full effekt kan nås först efter en initieringsfas som skall resultera i en tydlig backlogg inför följande revisionsomgångar.
Eftersom revisionerna hanterar känslig information krävs att AI används i en säker och inlåst miljö. Det innebär att ingen data lämnar organisationens skyddade IT-miljö, all åtkomst loggas och styrs med behörigheter och all kommunikation är krypterad. En inlåst språkmodell (privat moln eller on-prem) möjliggör full användning av AI utan att kompromissa med konfidentialitet, integritet eller regelefterlevnad.
Nedan beskrivs hur revisionsfunktionens processer kan användas med stöd av AI.
Analys- och planeringsprocessen med stöd av AI
Utifrån tillitsdeklarationen sammanställer AI dokument, genomför riskanalys och prioriterar vilka organisationer som behöver revision på plats och vilka som skall revideras maskinellt. Revisionsprogrammet aktualiseras och omfattningen av aktuell revisionsomgång fastställs. Härefter genereras revisionsplaner för respektive revisionstillfälle. Revisor finns med under hela analys- och planeringsfasen för att säkra kvaliteten och för att ta beslut.
Revisionsprocessen med stöd av AI
Som tidigare beskrivits är revision där revisor och reviderad part kan mötas på plats eller digitalt det bästa sättet att nå lärande och efterlevnad. Då detta inte är möjligt när många organisationer behöver revideras föreslås här en kombination av skrivbordsgranskning med AI-stöd i kombination med att revisorer gör revision på plats hos dom organisationer med störst riskbild. Detta kräver att alla organisationer som ingår i programmet genomför en tillitsdeklaration med relevanta bevis på att regelverket efterlevs. Detta kan till exempel vara rapporter från genomförda internrevisioner, genomförd riskanalys, kontinuitetsplan, översikt över LIS eller rutiner för tekniska säkerhetskontroller. AI-stöd föreslås här även användas för att följa upp rotorsaksanalyser och åtgärdsplaner samt för att sammanställa revisionsrapporter och göra mognadsbedömningen.
Ett antal besöksrevisioner på plats eller digitalt genomförs parallellt med AI-granskningen.
Beroende på antalet organisationer i revisionsprogrammet, antalet revisorer samt komplexiteten i bevisen avgörs hur många organisationer som kan revideras årligen.
Rapporterings- och förbättringsprocessen med stöd av AI
När en revisionsomgång har avslutats analyseras resultatet efter genomförda revisioner. Avvikelser och mognadsmätningar sammanställs och grupperas i en rapport som kommuniceras och återkopplas. Förbättringar av processen genomförs med tyngdpunkt på kvalitet, effektivitet, säkerhet och nytta för reviderade organisationer.
...
APPENDIX I - Ineras erfarenheter från SITHS-revision
SITHS-revision har genomförts under 7+ år med dokumenterat goda resultat gällande mognadsförskjutning inom framför allt säkerhetsarbetet.
Revision av SITHS-anslutna organisationer har genomförts mot SITHS Tillitsramverk och avser ledningssystem, säkerhetsåtgärder samt processer för kortutgivning. Revisioner har genomförts i enlighet med modellen för Lärande revision med påtagliga positiva resultat. Hur väl organisationen efterlever regelverket har bedömts i samband med revisionen. En uppföljande bedömning genomförs även efter att organisationen genomfört åtgärder mot avvikelserna som identifierats.
Sedan starten 2018 har ett 80-tal revisioner genomförts remote eller på plats hos kommuner, regioner, privata aktörer, kommunförbund och myndigheter. Tillitsdeklaration genomförs av alla anslutna organisationer varje år, granskas och sammanställs i tydliga grafer.
Som utfärdare av svensk e-legitimation har Inera krav på att följa upp efterlevnaden av Tillitsramverket hos alla anslutna organisationer. Detta genomförs med hjälp av ett, ur SITHS-perspektiv, oberoende internt revisionsteam. Därutöver genomförs en extern oberoende internrevision mot den egna verksamheten varje år.
Dokumentation och möten följer de krav som ställs på känslig information.
Systematiskt och riskbaserat arbetssätt
En viktig parameter i arbetssättet är att arbeta systematiskt med risk, revision och förbättring. Alla organisationer har ett rådande arbetssätt och genom ständig förbättring utvecklas arbetssättet löpande, och blir det rådande arbetssättet.
Mognadsförskjutning inom säkerhetsområdet
Säkerhetsområdet i SITHS Tillitsramverk omfattar följande delar: LIS (Ledningssystem för informationssäkerhet), riskhantering, incidenthantering, kontinuitetsplanering, internrevision, fysisk-, personrelaterad- och administrativ säkerhet. Mognadsförskjutningen inom säkerhetsområdet visar i stort sett samma mönster; revision bidrar till ökad efterlevnad hos reviderad part.
Statistiskt utfall
Efterlevnaden mot regelverket har bedömts löpande, dokumenterats och presenteras genom cirkeldiagram, se nedan.
Vid revision visar mognadsmätningen att stora delar av säkerhetsområdet endast är initierat eller saknas helt. När organisationen genomfört sina åtgärder visar mätning mot samma kriterier en betydande förbättring inom området.
Processer
Tillitsdeklaration
Årligen bedömer och deklarerar anslutna organisationer sin efterlevnad mot regelverket i en tillitsdeklaration. Deklarationen innehåller endast en skattning på en skala mellan 1-5 för respektive revisionskriterium. Resultatet sammanställs i ett spindeldiagram. (Manuell hantering)
Revisionsprogram
Revisionsprogram sätts upp, och underhålls löpande, för alla revisionsobjekt (100 organisationer, 10-årigt program, total revision mot regelverket). Programmet har både ett systematiskt och ett riskbaserat perspektiv. (Manuell hantering)
Prioritering och urval
Utifrån i förväg definierade riskparametrar genomförs ett urval av organisationer där nyttan med revision bedöms som störst. Varje år revideras högst 14 organisationer. (Manuell hantering)
Revisionsomgång
Revisionsomgången planeras och fastställs. För att bidra till kvalitet i resultatet, friktionsfri framfart samt ständig förbättring av arbetssättet styr revisionsteamet sitt arbete genom att löpande ta PULS på progressen. (Manuell hantering)
Genomförande av en revision
Revisionsprocessen genomförs genom 7 strukturerade steg med stöd av tydliga mallar. (Manuell hantering)
- Revisionstillfället planeras i god tid innan revisionens genomförande. En revisionsplan med agenda tas fram och kommuniceras med reviderad part där frågor kan redas ut och kontakt etableras.
- Vid genomförandet av revisionen identifieras och förankras avvikelser och förbättringsförslag. Mognadsbedömning genomförs och dokumenteras i revisionsrapporten.
- Efter revisionsgenomförandet gör reviderad part orsaksanalyser och tar fram åtgärdsplaner för att åtgärda avvikelserna som identifierats under revisionen.
- Åtgärdsplanerna följs upp vid ett kort möte (efter 3 veckor) där sambandet mellan rotorsak och åtgärdsplan belyses och diskuteras med revisorn.
- När åtgärdsplanen accepterats genomför reviderad part planerade åtgärder för att släcka avvikelserna.
- Genomförda åtgärder följs upp vid ett kort möte (efter 3 månader) varvid effekten dokumenteras tillsammans med en ny mognadsmätning som visar effekten av genomförda åtgärder.
- Härefter stängs revisionen, dokumentation gallras och arkiveras. Om större avvikelser eller larm identifierats under revisionen hanteras detta vidare genom riskindikation, som senare ligger till grund för bedömning av återbesök.
...
APPENDIX II - Internetstiftelsens process för Sambis tillitsgranskning
Nedan ges en översikt över Sambis process för tillitsgranskning som exempel på hur en granskningsprocess kan utformas. Beskrivningen är kraftigt förenklad och kan innehålla felaktigheter på detaljnivå.
Övergripande
Beskrivningen avser direktanslutning till Sambi (inte anslutning via ombud).
För att säkerställa opartiska bedömningar använder Sambi externa revisorer. För varje granskning utses en huvudgranskare för att utföra granskningen samt en kvalitetsgranskare för att säkerställa kvalitet och likabedömning mellan ärenden. Samtliga granskare har regelbundna (eller vid behov) avstämningsmöten för att säkerställa kvalitet och likabedömning. Granskningen genomförs utifrån en checklista som arbetats fram av granskningsgruppen.
Handläggning av granskningsärenden hanteras av Sambis leveransteam. Kommunikation i granskningsprocessen går inte direkt mellan sökanden och granskare utan både sökanden och granskare kommunicerar med handläggare i leveransteamet.
Utbyte av granskningsdokumentation med såväl sökanden som granskare sker via ett säkert fildelningssystem (Deaddrop) och lagras på en krypterad yta med begränsad åtkomst för användare. Även om dokumenthanteringen håller hög säkerhet så uppmanas sökanden att inte skicka säkerhetskritisk information i underlagen.
Sambi kommunicerar inte externt vilka som ansökt om granskning, befinner sig under granskning eller som inte blivit godkända utan endast godkända tillitsgranskningar publiceras. Det finns undantag då sökanden vill berätta för extern part om pågående granskning.
Processen i korthet
- Sökanden anmäler att man vill bli granskad genom att fylla i ett webbformulär där olika uppgifter efterfrågat baserat på vilken roll sökanden vill granskas för.
- Sambi kontrollerar att uppgifterna är fullständiga och verkar korrekta samt att organisationen uppfyller villkoren för vilka organisationer som kan ansluta till federationen.
- Ett avtal om tillitsgranskning genereras för digital signering och länk till avtalet skickas till avtalstecknaren.
- När avtalet signerats och kontrollerats skickas en bekräftelse till den sökande med information om att tillitsdeklarationen nu kan skickas in.
- Sökanden fyller i relevanta avsnitt (beroende på roll) i Sambis tillitsgranskningsmall och notifierar Sambi om att de är redo att skicka in tillitsdeklarationen.
- Sambi öppnar en säker filöverföring och meddelar den sökande hur den gör för att ladda upp tillitsdeklarationen och eventuella bilagor.
- Sökanden skickar in tillitsdeklarationen och eventuella bilagor.
- Sambis leveransteam kontrollerar att deklarationen verkar vara korrekt och utser huvudgranskare och kvalitetsgranskare.
- Utsedda granskare undersöker eventuellt jäv eller annat förhinder och accepterar/nekar uppdraget. Vid nekat uppdrag utses nya granskare.
- Granskningsunderlag, checklista för granskning och rekommendationsmall skickas till granskarna via säker filöverföring.
- Sökanden meddelas att granskning påbörjats och vilket datum den förväntas vara klar (30 arbetsdagar fram).
- I många fall kommer granskarna att begära kompletterande underlag från sökanden. Begäran skickas till Sambi via säker filöverföring. Sökanden meddelas om vad som behöver kompletteras och hur lång tid den sökande har på sig att komplettera. Kompletteringsbegäran skickas via säker filöverföring. I vissa fall begär granskarna ett digitalt möte med den sökande och i vissa fall begär den sökande ett digitalt möte för att reda ut eventuella frågeställningar.
- Sökanden meddelar Sambi när kompletteringen är klar och Sambi öppnar en säker filöverföring. Mottagandet bekräftas till den sökande och en säker filöverföring upprättas till granskarna varefter granskningen kan fortgå.
- Vid slutförd granskning skickar granskarna in en rekommendation till Sambi via säker filöverföring.
- Sambi tar ställning till granskningen och fattar beslut om godkännande eller avslag. I vissa fall kan godkännanden innehålla begränsningar (exempelvis kortare tid än standardtiden 3 år, eller att en komplettering ska skickas in inom en viss tid). Begränsningar kan exempelvis vara aktuella då den sökande upprättat ett LIS i samband med tillitsdeklarationen. Även om ledningssystemet bedöms uppfylla Sambis tillitsramverk så kommer det vara svårt att skicka med relevanta bevis på att ledningssystemet verkligen tillämpas och fungerar eftersom det är helt nytt.
- Beslutet dokumenteras, sökanden informeras och beslutet skickas till den sökande via säker filöverföring.
Referenser
Webbformulär för anmälan om tillitsgranskning:
https://service.federationer.internetstiftelsen.se/servicedesk/customer/portal/1/create/15
Tillitsgranskningsavtal:
https://sambi.se/app/uploads/2020/09/Tillitsgranskningsavtal-2.1.pdf
Tillitsdeklarationsmall:
https://sambi.se/app/uploads/2024/06/tillitsdeklaration-v-2-2.pdf
APPENDIX II - Sammanfattning SITHS-revision
SITHS-revision har genomförts under 7+ år med dokumenterat goda resultat gällande mognadsförskjutning inom framför allt säkerhetsarbetet.
Revision av SITHS-anslutna organisationer har genomförts mot SITHS Tillitsramverk och avser ledningssystem, säkerhetsåtgärder samt processer för kortutgivning. Revisioner har genomförts i enlighet med modellen för Lärande revision med påtagliga positiva resultat. Hur väl organisationen efterlever regelverket har bedömts i samband med revisionen. En uppföljande bedömning genomförs även efter att organisationen genomfört åtgärder mot avvikelserna som identifierats.
Sedan starten 2018 har ett 80-tal revisioner genomförts remote eller på plats hos kommuner, regioner, privata aktörer, kommunförbund och myndigheter. Tillitsdeklaration genomförs av alla anslutna organisationer varje år, granskas och sammanställs i tydliga grafer.
Som utfärdare av svensk e-legitimation har Inera krav på att följa upp efterlevnaden av Tillitsramverket hos alla anslutna organisationer. Detta genomförs med hjälp av ett, ur SITHS-perspektiv, oberoende internt revisionsteam. Därutöver genomförs en extern oberoende internrevision mot den egna verksamheten varje år.
Dokumentation och möten följer de krav som ställs på känslig information.
Systematiskt och riskbaserat arbetssätt
En viktig parameter i arbetssättet är att arbeta systematiskt med risk, revision och förbättring. Alla organisationer har ett rådande arbetssätt och genom ständig förbättring utvecklas arbetssättet löpande, och blir det rådande arbetssättet.
Mognadsförskjutning inom säkerhetsområdet
Säkerhetsområdet i SITHS Tillitsramverk omfattar följande delar: LIS (Ledningssystem för informationssäkerhet), riskhantering, incidenthantering, kontinuitetsplanering, internrevision, fysisk-, personrelaterad- och administrativ säkerhet. Mognadsförskjutningen inom säkerhetsområdet visar i stort sett samma mönster; revision bidrar till ökad efterlevnad hos reviderad part.
Statistiskt utfall
Efterlevnaden mot regelverket har bedömts löpande, dokumenterats och presenteras genom cirkeldiagram, se nedan.
Vid revision visar mognadsmätningen att stora delar av säkerhetsområdet endast är initierat eller saknas helt. När organisationen genomfört sina åtgärder visar mätning mot samma kriterier en betydande förbättring inom området.
Processer
Tillitsdeklaration
Årligen bedömer och deklarerar anslutna organisationer sin efterlevnad mot regelverket i en tillitsdeklaration. Deklarationen innehåller endast en skattning på en skala mellan 1-5 för respektive revisionskriterium. Resultatet sammanställs i ett spindeldiagram. (Manuell hantering)
Revisionsprogram
Revisionsprogram sätts upp, och underhålls löpande, för alla revisionsobjekt (100 organisationer, 10-årigt program, total revision mot regelverket). Programmet har både ett systematiskt och ett riskbaserat perspektiv. (Manuell hantering)
Prioritering och urval
Utifrån i förväg definierade riskparametrar genomförs ett urval av organisationer där nyttan med revision bedöms som störst. Varje år revideras högst 14 organisationer. (Manuell hantering)
Revisionsomgång
Revisionsomgången planeras och fastställs. För att bidra till kvalitet i resultatet, friktionsfri framfart samt ständig förbättring av arbetssättet styr revisionsteamet sitt arbete genom att löpande ta PULS på progressen. (Manuell hantering)
Genomförande av en revision
Revisionsprocessen genomförs genom 7 strukturerade steg med stöd av tydliga mallar. (Manuell hantering)
- Revisionstillfället planeras i god tid innan revisionens genomförande. En revisionsplan med agenda tas fram och kommuniceras med reviderad part där frågor kan redas ut och kontakt etableras.
- Vid genomförandet av revisionen identifieras och förankras avvikelser och förbättringsförslag. Mognadsbedömning genomförs och dokumenteras i revisionsrapporten.
- Efter revisionsgenomförandet gör reviderad part orsaksanalyser och tar fram åtgärdsplaner för att åtgärda avvikelserna som identifierats under revisionen.
- Åtgärdsplanerna följs upp vid ett kort möte (efter 3 veckor) där sambandet mellan rotorsak och åtgärdsplan belyses och diskuteras med revisorn.
- När åtgärdsplanen accepterats genomför reviderad part planerade åtgärder för att släcka avvikelserna.
- Genomförda åtgärder följs upp vid ett kort möte (efter 3 månader) varvid effekten dokumenteras tillsammans med en ny mognadsmätning som visar effekten av genomförda åtgärder.
- Härefter stängs revisionen, dokumentation gallras och arkiveras. Om större avvikelser eller larm identifierats under revisionen hanteras detta vidare genom riskindikation, som senare ligger till grund för bedömning av återbesök.
APPENDIX III - Sammanfattning granskning Sambi
<Roberts dokument om processen Sambi>