Transportstyrelsen flyttade sekretessbelagda databaser utomlands – sparkad GD bötfälld

Eftersom bloggen var den som släppte att Transportstyrelsens generaldirektör fick sparken tidigare i år, kan en kommentar om varför vara aktuell nu när hon fått ett straffföreläggande om 70 000 kronor för vårdslöshet. Generaldirektören tog ytterst beslutet att flytta all transportstyrelsens data till molnet och sekretessbelagd data hamnade utomlands i strid mot svensk lag. Flera chefer inom myndigheten har också lämnat Transportstyrelsen, men det finns inga uppgifter om dessa också utreds för brott.

Transportstyrelsen hanterar mycket sekretessbelagd information. Fantasilöst nämns körkorts- och fordonsregistret, men det är inte dessa som avses. 

Transportstyrelsen utövar tillsyn av svensk transportinfrastruktur, inklusive järnväg, sjöfart, vägtrafik och flygtrafik. Det inkluderar exempelvis transporter av farligt gods, bärigheter hos rullbanor (flygplatser) och vägar och tillsyn av militär luftfart.

Att t ex flytta en databas med bärighetsklasser för varenda svensk väg och enskild bro utomlands kan ju utgöra men för Sveriges säkerhet. Det samma gäller förstås hur tunga flygplan som kan landa och starta på olika flygplatser. Eller för den delen tillsynen av svensk militär luftfart.

Militär trafik kan som bekant vara rätt tung och alla vägar eller broar är inte lämpade för detta.

Myndighetens IT-chefer och generaldirektören fick för några år sedan feeling och upphandlade en affär med IBM värd 800 miljoner kronor, där alla myndighetens data skulle flyttas till molnet.

“Upphandlingen gäller driften av runt 1 100 fysiska och virtuella servrar, datahallens infrastruktur, applikationsdrift och viss support. Dessutom ingår konsulttjänster för projekt som är relaterade till driften.”

Dåvarande IT-chefen sade vid tillfället till Computer Sweden:

“Det blir en väldigt bra lösning, vi har inget behov av fysiska hårdvara i egna lokaler. En del av den analys som vi gjort är att vi ska köpa det som tjänst i stället.”

IT-chefen avgick på egen begäran en vecka innan generaldirektören fick sparken enligt uppgifter till bloggen. Av enhetscheferna inom IT-avdelningen har tre av fem också lämnat myndigheten. Ansvarig för upphandlingen har bytt jobb till upphandlingskonsultbolaget.

Beslutet att bryta mot lagen och flytta ut all myndighetens data var medvetet, men enligt strafföreläggandet mot generaldirektören har hon inte avsiktligt gett uppgifterna till främmande makt. Hon får 70 000 kronor i dagsböter för:

“grov oaktsamhet, utan syfte att gå främmande makt tillhanda, röjt sekretessbelagda uppgifter vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet”

Huruvida Säpo och Riksenheten för säkerhetsmål även utreder de tidigare cheferna för brott är inte känt idag. I sin senaste årsbok (för 2016) nämner Säpo specifikt outsourcing och offshoring som ett säkerhetshot:

“Hamnar en stor mängd hemlig information hos en enskild leverantör riskerar denne dessutom att bli ett attraktivt mål för bland annat andra länders underrättelseinhämtning.”

samt

“Säkerhetspolisen kontaktas av fler myndig­heter än tidigare med anledning av att de lägger ut särskilt skyddsvärda delar av sin verksamhet till leverantörer i andra länder, så kallad offshoring. Myndigheterna har i dessa fall samma ansvar att ställa krav på säkerhetsskyddsåtgärder som om leverantören vore baserad i Sverige.Myndigheten måste först bedöma om verksamheten som ska läggas ut är särskilt skyddsvärd, vilket en väl genomförd och uppdaterad säkerhetsanalys ska kunna ge svar på. Är verksamheten särskilt skyddsvärd så ska ett säkerhetsskyddsavtal tecknas med krav på säkerhetsskyddsåtgärder. Uppföljning och kontroll ska genomföras.Vid outsourcing av verksamhet till en leverantör i ett annat land ska det i regel alltid finnas ett bilateralt säkerhetsskyddsavtal mellan Sverige och det land där leverantören har sitt säte.
[…]Det är alltid den upphandlande myndigheten som har det yttersta ansvaret för att säkerhetsskyddet är väl anpassat hos de leve- rantörer som hanterar de delar av verksamheten som bedömts som särskilt skyddsvärd. Ansvaret går inte att avtala bort.”

Enligt uppgifter till bloggen frångick man i princip alla krav på säkerhet i sin iver att flytta ut alla servrar från landet. Man får förmoda att tjänstemän på myndigheten kontaktat Säkerhetspolisen, varpå detta uppdagats.

Generaldirektören får alltså en rätt saftig bot från åklagaren. Men generaldirektören ska inte betala för att flytta hem sekretessbelagd information till Sverige igen. Det får vi skattebetalare göra.

Fast det kan förstås redan vara för sent. Enligt SVT har tjänsterna flyttats till länder i Östeuropa. Ukraina är en populär plats för offshoring.

Den som vill fundera lite kring vad för data som myndigheten flyttade utomlands kan titta över vad för blanketter och E-tjänster myndigheten erbjuder. Exempelvis vägtrafik, sjöfart, luftfart och järnväg. Betänk sedan att alla dessa blanketter, även de som bara finns i pappersform, läses in i IT-system och att myndigheten även har egen tillsynsverksamhet utöver detta.