Revisionsrapport, Granskning av IT- och informationssäkerhet

§ 162 Diarienummer 00234/20221.2.2. Revisionsrapport, Granskning av IT- och informationssäkerhet Beslut Informationen antecknas till protokollet. Ärendet På uppdrag av Mölndals stads förtroendevalda revisorer har EY genomfört en granskning med syftet att bedöma om det finns brister i det praktiska arbetet med IT- och informations- säkerhet. Granskningen har genomförts genom att simulera en så kallad phishingattack och samla in data på hur anställda agerar i praktiken. Resultatet analyserades sedan för att för att få en bild av kunskapsnivån och medvetenheten hos stadens anställda, och därigenom också en bild av motståndskraften mot phishingattacker. Baserat på genomförd analys bedömde EY att Mölndals stad ligger på en nivå något under det EY anser att man kan förvänta sig utav staden. Slutsatsen baseras på den typ av verksamhet som bedrivs, samt på känslighetsgraden av den information, exempelvis personuppgifter, som staden behandlar i dess dagliga verksamhet. Staden har en god teknisk IT-säkerhet men stadsledningsförvaltningen ser behov av att utbilda stadens personal ytterligare i IT-säkerhet. Stadsledningsförvaltningen påtalar i sitt föreslagna yttrande olika åtgärder för att öka IT-säkerheten. Genomförande av revisionen Granskningen genomfördes under maj 2022 och baserades på en simulerad attack via e-post, där medarbetare riskerar att vilseledas att lämna ut information till en falsk avsändare, en så kallad phishingattack. Granskningen utformades och utfördes av EY tillsammans med representanter från staden. Analys av resultaten innefattade tre huvudområden: 1) Mottagare som klickat på länken i e-postmeddelandet, 2) Mottagare som uppgav användarinformation på landningssidan, samt 3) Mottagare som rapporterade e-postmeddelandet. Dessa områden jämfördes sedan mot på förhand definierade acceptansnivåer, samt med vad EY anser är en godtagbar standard i offentlig sektor. Baserat på genomförd analys bedömde EY att Mölndals stad ligger på en nivå något under det EY anser att man kan förvänta sig utav staden. Slutsatsen baseras på den typ av verksamhet som bedrivs, samt på känslighetsgraden av den information, exempelvis personuppgifter, som staden behandlar i dess dagliga verksamhet. EY har tillsammans med Mölndals stad definierat i förhand vilka acceptansnivåer som skulle vara aktuella i jämförelsen. Resultaten indikerade att Mölndals stad låg en bit över de acceptansnivåer som bestämts vilket innebär att staden löper en hög risk att utsättas för en phishingattack ifall attacken lyckas ta sig igenom existerade tekniska skyddsåtgärder. Staden rekommenderas således att vidta åtgärder för att stärka kunskapen och medvetenheten hos personalen och därigenom åtgärda svagheter i motståndskraften mot phishingattacker. Detta för att undvika förluster av känslig information, negativt rykte eller andra betydande konsekvenser. Granskningen var avgränsad till att ge en bild över hur sårbar staden är för attacker riktade mot personalen via e-post. Det ges alltså inte någon helhetsbild av stadens totala arbete inom IT- och informationssäkerhet utan syftet är ge en mer detaljerad bild av ett begränsat område. Den tekniska IT-säkerheten har inte granskats i detta läge. Kommunstyrelsen översänder sitt yttrande till kommunfullmäktige för information. Ärendets behandling Arbetsutskottet har behandlat ärendet den 5 oktober 2022, § 110. Stadsledningsförvaltningens tjänsteskrivelse daterad 15 september 2022. Yttrande från stadsledningsförvaltningen. Granskningsrapport IT- och informationssäkerhet. Beslutsgång Ordförande Per Malm (M) frågar om informationen kan antecknas till protokollet och finner att så sker.