Offentlig versjon av Dokument 3:11
(2023−2024) / Offentliggjort 17.01.2024 Informasjonssikkerhet i forskning innenfor kunnskapssektoren
Vi har gjennomført inntrengingstester mot tre forskningsinstitusjoner under Kunnskapsdepartementet. Testene ga full kontroll over IT-infrastruktur ved to av dem og kontroll over forskeres IT-utstyr og skylagring ved den tredje. Inntrengingstestene er del av vår undersøkelse av informasjonssikkerheten hos 10 av i alt 24 universiteter, høyskoler og andre forskningsinstitusjoner under Kunnskapsdepartementet. Sikkerhetssituasjonen innenfor høyere utdannings- og forskningssektoren har blitt mer utfordrende de siste årene.
Ikke TilfredsstillendeVedlagt Protokoll
8lav journalistisk relevans
Journalistisk relevans
8 av 100. Bygger bare på de synlige, kontrollerte relevanssignalene.
Dokumentasjonsdekning
0 av 4 anbefalinger har kontrollert kildegrunnlag (0 %).
Intern arbeidskø
0 ukontrollerte funn. Disse påvirker ikke relevans eller vurderingen av myndighetene.
JOURNALISTISK RELEVANS
Hvorfor kan saken være viktig å undersøke?
+8
Ingen konkret parlamentarisk instruks
Vedtaket er klassifisert som vedlagt protokollen eller uten konkret instruks.
LØPENDE SAKSRAPPORT
Dette vet vi nå
Rapporten forklarer hovedbildet. Detaljer, avgrensninger og komplett kildegrunnlag ligger i anbefalingsregisteret.
Riksrevisjonens rapport 3:11 gjelder Offentlig versjon av Dokument 3:11
(2023−2024) / Offentliggjort 17.01.2024 Informasjonssikkerhet i forskning innenfor kunnskapssektoren. Rapporten omfatter 4 anbefalinger som må vurderes hver for seg. Riksrevisjonens publiserte sammendrag beskriver utgangspunktet slik: Vi har gjennomført inntrengingstester mot tre forskningsinstitusjoner under Kunnskapsdepartementet. Testene ga full kontroll over IT-infrastruktur ved to av dem og kontroll over forskeres IT-utstyr og skylagring ved den tredje. Inntrengingstestene er del av vår undersøkelse av informasjonssikkerheten hos 10 av i alt 24 universiteter, høyskoler og andre forskningsinstitusjoner under Kunnskapsdepartementet. Sikkerhetssituasjonen innenfor høyere utdannings- og forskningssektoren har blitt mer utfordrende de siste årene. Tingvarden behandler dette som kontrollgrunnlaget for hva myndighetene ble bedt om å rette, ikke som dokumentasjon på at senere tiltak er gjennomført eller har virket. Ansvar er derfor knyttet til virksomheter som ennå ikke er presist identifisert, mens vurderingen av oppfølging holdes adskilt fra den opprinnelige kritikken.
Hva er dokumentert endret?
Det publiserte kontrollgrunnlaget inneholder 0 kontrollerte løfter eller styringssignaler, 0 kontrollerte vurderinger av tiltak eller gjennomføring og 0 kontrollerte resultatvurderinger. Det finnes ennå ingen publiserte, kontrollerte utdrag som dokumenterer et gjennomført tiltak eller et målt resultat. Fraværet er et dokumentasjonshull og ikke bevis for at myndighetene har unnlatt å følge opp. Detaljene og den fulle kildekoblingen ligger i anbefalingsmatrisen. Saksrapporten gjengir bare de overordnede funnene for å unngå at samme belegg blir fremstilt som flere uavhengige hendelser.
Hva er fortsatt usikkert eller utilstrekkelig?
For 4 av 4 anbefalinger er gjennomføringen fortsatt ukjent eller ikke publisert vurdert. For 4 er resultatet ikke undersøkt eller fortsatt ukjent, og 4 har bare kildekandidat, manglende kilde eller ukjent dokumentasjonsstatus. Disse tallene beskriver dekningen i Tingvardens kontrollerte register; de er ikke en negativ konklusjon om myndighetenes arbeid. Selvrapportering kan dokumentere aktivitet, men viser ikke alene at problemet er løst eller at virkningen gjelder hele målgruppen. Det finnes foreløpig ingen godkjente, anbefalingsspesifikke undersøkelsesspørsmål. Det gjør avgrensningen av videre arbeid til et synlig kunnskapshull.
Hva bør undersøkes videre?
Neste undersøkelse bør avgrenses til spørsmål som kan besvares med identifiserbare primærkilder, daterte styringssignaler og sammenlignbare resultatdata. Prioriter disse spørsmålene: 1. Hvilke daterte vedtak, oppdrag eller virksomhetsdokumenter viser at tiltakene faktisk er gjennomført? 2. Hvilke sammenlignbare resultatdata viser utviklingen etter tiltaket, og hvilke grupper eller perioder faller utenfor målingen? 3. Hvilke primærkilder må innhentes eller kvalitetssikres før statusen kan endres? Nye kilder må kobles til en konkret anbefaling, kontrolleres manuelt og publiseres før de kan endre rapporten.
Rapporten har ennå ingen egne kontrollerte tiltak- eller resultatkilder. Originalrapporten er utgangspunktet.
ANBEFALING FOR ANBEFALING
Hva er dokumentert?
En status uten godkjent sitat er et hull, ikke et funn.
Anbefaling 1 · Kollegiets anbefalingIkke vurdert
Riksrevisjonen anbefaler at Kunnskapsdepartementet avklarer samarbeidet mellom departementet, HK-dir og Sikt om informasjonssikkerhet, og avklarer hva NOKUTs rolle skal være.
Sist vurdertIkke vurdert
Formell kontrollUkjent
Riksrevisjonens dokumenterte beslutning om videre kontroll eller avslutning.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
GjennomføringUkjent
Om myndighetenes tiltak er planlagt, påbegynt, oppgitt eller dokumentert gjennomført.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
ResultatIkke undersøkt
Om virkningen av tiltakene er undersøkt og dokumentert.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
DokumentasjonKildegrunnlag ikke kontrollert
Hvor langt kildegrunnlaget er kommet i redaksjonell kontroll.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
Ansvarlig
Ansvarlig virksomhet er ikke identifisert.
Løfte eller frist
Ingen kildebundet løfte eller frist er publisert.
Tiltak og gjennomføring
Ingen redaksjonelt publisert vurdering av tiltak eller gjennomføring.
Resultater
Ingen redaksjonelt publisert resultatvurdering.
Ubesvarte spørsmål
Ingen redaksjonelt godkjente, ubesvarte spørsmål er registrert.
Kildegrunnlag 0
Ingen kontrollerte kilder er knyttet til anbefalingen.
Original anbefaling: PDF-side 22. Bare publiserte vurderinger og godkjente kilder vises.
Anbefaling 2 · Kollegiets anbefalingIkke vurdert
Riksrevisjonen anbefaler at Kunnskapsdepartementet gjennomgår virkemiddelbruken og vurderer tiltak som i større grad treffer forskningsvirksomhetene som har størst behov for støtte.
Sist vurdertIkke vurdert
Formell kontrollUkjent
Riksrevisjonens dokumenterte beslutning om videre kontroll eller avslutning.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
GjennomføringUkjent
Om myndighetenes tiltak er planlagt, påbegynt, oppgitt eller dokumentert gjennomført.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
ResultatIkke undersøkt
Om virkningen av tiltakene er undersøkt og dokumentert.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
DokumentasjonKildegrunnlag ikke kontrollert
Hvor langt kildegrunnlaget er kommet i redaksjonell kontroll.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
Ansvarlig
Ansvarlig virksomhet er ikke identifisert.
Løfte eller frist
Ingen kildebundet løfte eller frist er publisert.
Tiltak og gjennomføring
Ingen redaksjonelt publisert vurdering av tiltak eller gjennomføring.
Resultater
Ingen redaksjonelt publisert resultatvurdering.
Ubesvarte spørsmål
Ingen redaksjonelt godkjente, ubesvarte spørsmål er registrert.
Kildegrunnlag 0
Ingen kontrollerte kilder er knyttet til anbefalingen.
Original anbefaling: PDF-side 22. Bare publiserte vurderinger og godkjente kilder vises.
Anbefaling 3 · Kollegiets anbefalingIkke vurdert
Riksrevisjonen anbefaler at Kunnskapsdepartementet sikrer et godt informasjonsgrunnlag om sikkerhetstilstanden og verdiene i sektoren, og følger opp at risikoreduserende tiltak på sektornivå blir gjennomført.
Sist vurdertIkke vurdert
Formell kontrollUkjent
Riksrevisjonens dokumenterte beslutning om videre kontroll eller avslutning.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
GjennomføringUkjent
Om myndighetenes tiltak er planlagt, påbegynt, oppgitt eller dokumentert gjennomført.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
ResultatIkke undersøkt
Om virkningen av tiltakene er undersøkt og dokumentert.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
DokumentasjonKildegrunnlag ikke kontrollert
Hvor langt kildegrunnlaget er kommet i redaksjonell kontroll.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
Ansvarlig
Ansvarlig virksomhet er ikke identifisert.
Løfte eller frist
Ingen kildebundet løfte eller frist er publisert.
Tiltak og gjennomføring
Ingen redaksjonelt publisert vurdering av tiltak eller gjennomføring.
Resultater
Ingen redaksjonelt publisert resultatvurdering.
Ubesvarte spørsmål
Ingen redaksjonelt godkjente, ubesvarte spørsmål er registrert.
Kildegrunnlag 0
Ingen kontrollerte kilder er knyttet til anbefalingen.
Original anbefaling: PDF-side 22. Bare publiserte vurderinger og godkjente kilder vises.
Anbefaling 4 · Kollegiets anbefalingIkke vurdert
Riksrevisjonen anbefaler at Kunnskapsdepartementet påser at forskningsvirksomhetene o sørger for at ledelsessystem for informasjonssikkerhet blir implementert fullt ut slik at styret og toppledelse har oversikt over sikkerhetstilstanden, kan sikre at besluttede tiltak gjennomføres og at tiltakene faktisk forbedrer sikkerheten slik som forutsatt. o sørger for bedre oversikt over forskningsdata som skal beskyttes o iverksetter tekniske og organisatoriske sikkerhetstiltak som de anser nødvendige, for å redusere risikoen for at dataangrep lykkes.
Sist vurdertIkke vurdert
Formell kontrollUkjent
Riksrevisjonens dokumenterte beslutning om videre kontroll eller avslutning.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
GjennomføringUkjent
Om myndighetenes tiltak er planlagt, påbegynt, oppgitt eller dokumentert gjennomført.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
ResultatIkke undersøkt
Om virkningen av tiltakene er undersøkt og dokumentert.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
DokumentasjonKildegrunnlag ikke kontrollert
Hvor langt kildegrunnlaget er kommet i redaksjonell kontroll.Vis kontrollgrunnlag: kilde og avgrensning
Ingen publisert, kildebundet vurdering er registrert for denne statusen.
Statusen kan være migrert fra den tidligere analysen og må etterprøves før den brukes som konklusjon.
Ansvarlig
Ansvarlig virksomhet er ikke identifisert.
Løfte eller frist
Ingen kildebundet løfte eller frist er publisert.
Tiltak og gjennomføring
Ingen redaksjonelt publisert vurdering av tiltak eller gjennomføring.
Resultater
Ingen redaksjonelt publisert resultatvurdering.
Ubesvarte spørsmål
Ingen redaksjonelt godkjente, ubesvarte spørsmål er registrert.
Kildegrunnlag 0
Ingen kontrollerte kilder er knyttet til anbefalingen.
Original anbefaling: PDF-side 22. Bare publiserte vurderinger og godkjente kilder vises.
COMMUNITY · SAMARBEID
Undersøk saken sammen
Logg inn for å se arbeidsoppgaver per anbefaling, bli med i saken og bidra uten administratortilgang.
Dokument 3:11 (2023−2024) Informasjonssikkerhet i forskning innenfor kunnskapssektoren ble oversendt statsråden i Kunnskapsdepartementet. Svaret fra statsråden følger i sin helhet i vedlegg 2.