Generell metod för informationsutbyte mellan myndigheter – Hinderbanan

En arbetsgrupp inom MUR (Motståndskraft hos utbetalande och rättsvårdande myndigheter) - samarbetet har tagit fram metoden ”Hinderbanan” för att underlätta digitala informationsutbyten.

Om hinderbanan

Att etablera ett informationsutbyte mellan myndigheter är ett komplext arbete som spänner över flera ansvarsområden. För att lyckas krävs det att inblandade aktörer hanterar utmaningar inom styrning, juridik och teknik tre områden som tillsammans formar grunden för ett hållbart och rättssäkert informationsutbyte mellan myndigheter. I det här metodstödet som vi kallar ”Hinderbanan” har vi identifierat sex centrala fokusområden som återkommer i nästan alla utbytesinitiativ, oavsett omfattning eller iblandade parter. Dessa områden är:

  • Syfte, behov och mål
  • Organisation
  • Juridiska förutsättningar
  • Krav och lösning
  • Utveckling och test
  • Införande och förvaltning

Det är viktigt att förstå att dessa fokusområden inte alltid hanteras i en linjär ordning – tvärtom är det en fördel att arbeta iterativt och parallellt med flera av dem. Exempelvis kan juridiska tolkningar påverka kravbilden, och tekniska lösningar kan även ge nya perspektiv på verksamhetsmål eller förvaltning.

Att använda utmaningarna

Varje utmaning är utformad som en checklista i form av en tabell med rubriker, beskrivningar och exempel. Genom att ta ställning till rubrikerna får alla inblandande en övergripande mätning av hur redo initiativet är att ta sig vidare.

Alla rubriker är inte aktuella för alla utvecklingsinitiativ, utan tanken är att de som lyfts fram här kan ligga till grund för att få igång en strukturerad dialog. Sannolikt behöver det för varje initiativ både läggas till och tas bort rubriker.

Tanken är att inblandade aktörer översiktligt ska få hjälp och information om vilka aktiviteter som ingår inom varje område i syfte att utveckling ska gå så fort och smärtfritt som möjligt, samtidigt som man inte heller missar något väsentligt. Rubrikerna ska skapa trygghet i att man gjort det man ska genom att alla inblandade har tagit ställning till grundläggande förutsättningar för gemensam framtagning av ett informationsutbyte.


Tillsammans utgör dessa olika fokusområden en praktisk struktur för att planera, genomföra och förvalta informationsutbyten på ett gemensamt sätt.

Metodstödet är framtaget för att vägleda exempelvis verksamhetsutvecklare eller beslutfattare genom hela processen från behovsanalys till långsiktig samverkan.

Syfte, behov och mål

Ett informationsutbyte måste vila på en tydlig och gemensam förståelse om varför utbytet behövs och vilken nytta det ska skapa för att säkra att utbytet svarar mot verkliga behov.

Att formulera syfte, behov och mål är viktigt för att säkerhetsställa rättssäkerhet, effektivitet, möjliggöra gemensam samordning och måluppfyllelse. Ett tydligt formulerat mål skapar även förutsättningar för att kunna mäta att informationsutbytet faktiskt leder till förväntade effekter, exempelvis minskning av fusk, fel eller brott.

Rubrik

Beskrivning

Exempel

Syfte och mål

Vad är syftet med informationsutbytet? Förändrade lagkrav? Effektivisering?
Vilka problem löser vi?
Vilka mål vill vi uppnå?

Halverad handläggningstid, ökad
rättssäkerhet, färre fel, hantera ny
lagstiftning

Intressenter

Vilka är de primära användarna?
Vilka aktörer är berörda? Finns det sekundära eller påverkade aktörer?
Vem är producent?
Vem är konsument?

Operativa handläggare, analytiker,
myndigheter, verksamhetsområden

Ändamål

Vad är ändamålet med utbytet?

Brottsbekämpning, analys, beskattning,
felaktiga utbetalningar

Avgränsningar

Vad tillhandahåller vi inte? Vad ska inte ingå i utbytet?

Avgränsningar avseende
användningsområde eller
organisatorisk tillgång, tekniska
begränsningar

Frekvens

Hur ofta behövs informationen?

Realtid, dagligen, “vid behov”

Aktuell information

Hur aktuell behöver informationen vara? Kan vi hämta vid behov, eller
behöver uppgifterna kontinuerligt tryckas ut till oss i samband med förändring?

Nyaste uppgift och ögonblicksbild,
historiska data, hämta själv eller
automatiskt få skickat till sig

Informationsbehov och flöden

Vilken typ av information behövs (övergripande)?
I vilka verksamhets
processer och arbetsflöden hanteras informationen? När används informationen?

Personuppgifter, beslut, ärenden,
momsinformation, individuppgifter

Organisation

Samverkan mellan flera myndigheter kräver en genomtänkt styr -
och samverkanskultur. Rollfördelning, mandat, beslutsvägar och ansvar behöver vara tydligt definierade för att undvika missförstånd och
flaskhalsar under arbetets gång. Det handlar om att ta hand om både externa såväl som interna beroenden, och att etablera kontaktvägar.
Detta är viktigt eftersom olika myndigheter är organiserade på olika sätt.


En viktig aspekt av samverkan är att ekonomisk styrning och portföljstyrning är i synk mellan parterna. Det krävs inte endast samsyn kring vad som skall göras utan också kring hur det skall finansieras,
prioriteras och följas upp över tid så att alla aktörer har mandat och resurser att fullfölja sina åtaganden i takt med det gemensamma arbetet.

Myndigheter kan ha olika digitala målbilder och digital skuld vilket är en utmaning, vilket gör det viktigt att ambitionsnivåer är lika hos alla samarbetspartners.

 

Rubrik

Beskrivning

Exempel

Planering

Finns gemensam planering för utveckling, drift, förvaltning och
vidareutveckling mellan myndigheterna?

Gemensam roadmap, projektplaner,
kanbans, beslutad ansvarsfördelning

Resurser

Vilken typ av resurser behöver involveras?
Kan de avsätta tid för att göra
arbetet?

Verksamhetsutvecklare, IT utvecklare,
sakkunniga, arkitekter, jurister, slutanvändare, informations säkerhetsexperter, IT säkerhetsexperter

Ekonomi

Finns det beslut om ekonomiska resurser? Är kostnaden i proportion till nyttan?
Ska det låne - eller anslagsfinansieras?

Är aktiviteten upptagen i myndighetens
budgetprocess?

Tid och prioritering

När behöver utbytet vara infört?
Är utbytet gemensamt prioriterat av
involverade aktörer?

Prioriterat i olika typer av planer, beslutat i portföljstyrning, projekt eller agila utvecklingsinitiativ

Beroenden

Vilka interna och externa beroenden finns? Hur synkroniseras dessa?
En liten förändring hos en aktör kan ge upphov till stora förändringar hos en annan.

Utvecklingsstyrning, arkitekturstyrning,
finansiell styrning, operativ styrning,
beroenden till andra initiativ/projekt

Kontaktetablering och
kommunikation

Har vi etablerat kontaktvägar för alla typer av frågeställningar och de tre spåren?
Har vi aktörsansvariga? Har vi behov av centrala kontaktpersoner?
Har informationsutbytet koordinerats internt för att säkerhetsställa att inte snarlika utbyten skapas?

Teknikansvariga, juridikansvariga,
verksamhetsutvecklare, arkitekter, centrala kontaktpersoner

Juridiska förutsättningar

Informationsutbyte mellan myndigheter regleras av en komplex rättslig ram inklusive sekretesslagstiftning, GDPR och speciallagstiftning. Juridisk förankring är en grundförutsättning för att utbytet ska vara tillåtet och rättssäkert.

I samband med arbete inom det här området ska de juridiska förutsättningarna för informationsutbytet utredas, och initiativet ska säkra att rättsligt stöd finns för utbytet av information.

Rubrik

Beskrivning

Exempel

Rättsligt stöd

Har vi rättsligt stöd för att ta emot eller lämna ut informationen och sedan använda den som tänkt?
Hanteras personuppgifter? Andra känsliga uppgifter?

Lagen om offentlighet och sekretess
(OSL) 6:5, vi har beaktat GDPR.
Myndighetsspecifika lagstiftningar

Informations
överenskommelser
och avtal

Är informationsutbytet reglerat i olika avtal? Finns SLA upprättat? Är det tydligt vem som ansvarar för investeringskostnader, löpande drift,
incidenthantering, support, vidareutveckling o.s.v. Vad gäller vid förändrade förutsättningar (ökade volymer, livscykelhanterade tjänster, etc)?

Informationsöverenskommelse, SLA
och liknande finns dokumenterat i
ledningssystem för informationsstyrning

Konsekvensbedömnin
g och riskanalys

Behöver vi genomföra konsekvensbedömning och riskanalys och är den i
så fall genomförd?

Mall för konsekvensbedömning från IMY, incidenthantering, ex. hantering
av läckta personuppgifter, hantering av olika typer av attacker

Ansvar

Vem ansvarar för informationen? Vem äger informationen? Vem förvaltar informationen? Vem är personuppgiftsansvarig? Finns
personuppgiftsbiträde då behövs personuppgiftsbiträdesavtal.

Prioriterat i olika typer av planer, beslutat i portföljstyrning, projekt eller agila utvecklingsinitiativ

Gallring och lagring

När får informationen gallras? Vad gäller avseende lagstöd för lagring?


Sekretessprövning

Föreligger sekretess för uppgifter? Prövning av om uppgifter kan lämnas ut.
Finns uppgiftsskyldighet eller sekretessbrytande bestämmelse som bryter
ev. sekretess? Behöver en proportionalitetsbedömning göras?

Sekretessbrytande generalklausul i
OSL kap. 10 § 27, sekretess för
förföljda personer enligt OSL kap. 21.
§ 3

Krav och lösning

Det behövs en gemensam kravbild och förståelse för vilken information som skall utbytas, i vilket format och på vilket sätt. En robust lösningsarkitektur som tar hänsyn både till verksamhetsbehov och
tekniska förutsättningar för långsiktig hållbarhet.

En viktig del inom detta området är att tydligt definiera säkerhetskrav och behörighetsstyrning. Myndighetsövergripande informationsutbyten innebär ofta hantering av känsliga eller skyddsvärda uppgifter vilket ställer höga krav på autentisering, auktorisering, spårbarhet och dataskydd.

När aktörer utbyter information är det också avgörande att alla parter tolkar data på samma sätt. Om begrepp, modeller och strukturer skiljer sig på mellan organisationer uppstår risk för missförstånd, felaktiga tolkningar och bristande kvalitet i beslutsunderlag. Att enhetligt beskriva information, både semantiskt (vad det betyder) och tekniskt (hur det struktureras) med hjälp av befintliga standarder möjliggör återanvändning och underlättar digitala informationsflöden.

 

Rubrik

Beskrivning

Exempel

Datainnehåll och
struktur

Finns begrepps , informations -och datamodeller? Är datatyper standardiserade?
Är modellerna gemensamma? Använder vi gemensamma begrepp och definitioner? Är det
utrett att vi förstår innehåll i utbytet på samma sätt?

Gemensamma informationsmodeller och semantisk mappning mellan begrepp. ISO standard för t.ex. datum, standarder för metadata

Informationssäkerhet

Hur har vi tagit hänsyn till sekretess, säkerhetsklassning och skyddsnivå? Finns gemensam
syn på informationsklassificering?

Genomfört informationsklassificering, gemensamma
modeller för informationsklassificering

Säkerhet och behörighet

Vad har vi för krav på autentisering och auktorisering? Får endast rätt resurser tillgång till rätt information?
Ska informationen krypteras och i så fall hur? Finns rutiner för att skydda data
under hela livscykeln? Är kanaler tillräckligt säkra för informationens skyddsvärde?

Behörighetsstyrning på organisationsnivå,
behörighetsstyrning på individnivå, eller
teknikval såsom TLS, OAuth2.

Tekniska gränssnitt
och loggning

Är gränssnitten dokumenterade? Har vi versionshantering? Har vi systemstöd för att ta emot och behandla informationen? Vad är rimliga responstider? Ska/kan vi leverera enligt olika standarder och olika format? Vilka krav finns på loggning?

Format såsom REST gränssnitt, icke funktionella krav t.ex. svarstider, felhantering

Kanalstrategi och
tillgänglighet

Har vi beaktat vilken kanal som är lämpligast för aktuellt informationsbehov? Behöver vi agera i realtid? Behöver vi agera på förändringar (händelser)? Har vi stora mängder som inte är tidskänsliga? Stödjer kanalen arbetssättet? Vilka krav finns avseende tillgänglighet och
drift?

API, batch, e
post, Säker Digital
Kommunikation (SDK), SGSI, m.m.

Återanvändning och
standardisering

Finns sektors
gemensamma lösningar redan som vi kan återanvända? Finns stöd för versionshantering och framtida utveckling? Följer vi etablerade standarder för format?
Har informationsutbytet koordinerats internt för att säkerhetsställa att inte parallella snarlika utbyten skapas om återanvändning är möjlig?

Navet (folkbokföringsuppgifter), SSBTEK,
LEFI (leverans av förmånsinformations (FK))
Skatteverkets API, Säker Digital
Kommunikation (SDK)

Källa och format

Var finns informationen idag? Hur tillgänglig är den? Vilket format har informationen i
källan? Hämtar vi från grundkällan eller tvingas vi skapa en kopia?

Verksamhetssystem, vilken myndighet,
informationsägare, stukturerat format,
ostrukturerat format, fritext

Utveckling och test

Utvecklingsarbete kopplat till framtagningen av ett informationsutbyte måste ske samordnat, iterativt och med fokus på kvalitetssäkring. Testning av både teknik och information är avgörande för att säkerhetsställa att utbytet fungerar som avsett i alla parters arbetssätt och system.

 

Rubrik

Beskrivning

Exempel

Teknisk samordning

Är tekniska plattformar, protokoll och standarder samordnade? Har vi arkitekter som ansvarar för helhetssynen?


Releasehantering

Är releasecyklerna koordinerade mellan myndigheterna? Har vi plan för rollback och incidenthantering om vi påverkar varandra?


Gemensamma
strategier

Finns gemensam strategi för utveckling och test?
Har vi gemensam syn på vad som skall anses vara godkänt resultat?


Miljöer, test och
testdata

Har vi miljöer som täcker behoven inkl. test mellan aktörer? Har vi produktionslika testdata? Hur verifierar vi att utbytet fungerar i praktiken, och är integrerat i tänkt arbetssätt? Finns det behov av pilot? Behöver vi test tjänster i produktionsmiljöer?

Testpersonnummer (dataportalen.se) Länk till annan webbplats.

Dokumentation och
insyn

Är det tydligt dokumenterat hur utbytet fungerar och används? Har vi beslutsunderlag för varför specifika lösningar valdes?

Spårbarhet till beskrivningar av
verksamhetsflöden, spårbarhet till
arkitekturbeslut, spårbarhet till
riskbedömningar och avgränsningar

Införande, drift, förvaltning och vidareutveckling

Ett informationsutbyte är inte färdigt vid driftsättning. Förvaltning, support, uppföljningar och förbättringar måste organiseras och finansieras gemensamt. Här avgörs om informationsutbytet blir ett levande verktyg eller en engångsinsats.

 

Rubrik

Beskrivning

Exempel

Utbildning

Utbildning avseende rättsliga förutsättningar för utbytet, rutiner kring hantering av känslig information. Informationstillfällen om att nya utbyten är tillgängliga. Utbildning för att minska risker för att felaktiga/gamla kanaler används i samband med införande av nya kanaler. Skapa handledningsstöd/metodstöd för operativa användare av
informationsutbytet.

Utbildningsinsatser, handledningsstöd,
kommunikationsmaterial,
informationstillfällen, workshops

Uppföljning

Vad skapar informationsutbytet för värde? Vad har vi för mätvärden och hur skapas statistik? Får vi även feedback från användare? Finns gemensamma KPI:er eller andra nyckeltal? Hur mäter vi faktiskt användning i relation till kostnader? Kan vi följa upp gemensamt över eko systemet?

Handläggare får automatiskt rätt uppgift i ärenden, beslutsfattare får uppdaterad
statistik, antal signaler som leder till beslut, m.m. Mätning av nyttorealisation.

Långsiktig förvaltning

Har vi budget för långsiktig förvaltning? Har vi rutiner för långsiktigt förvaltning? Har vi rutiner för uppdatering av avtal; kontaktpersoner och liknande?


Loggning och
spårbarhet

Utreda behov av och utveckla loggning av alla känsliga system och integrationer, automatisk loggning av åtkomst till personuppgifter och annan känslig information,
tidsstämpling, regelbunden granskning och analys av loggar, bevarande och gallring av loggar, automatisk larmhantering i driftmiljöer baserat på innehåll i loggar.

Bevarar och gallrar vi loggar i driftmiljöer
enl. rättsliga krav? Är det säkerhetsställt
att loggar inte kan ändras eller förstöras i
efterhand? Har vi förväntade tidsstämplar?

Kontinuerlig
säkerhetsuppföljning

Hur ofta ska det ske? Vem initierar? Finns det riktlinjer vi måste följa?

 

Verktyg och begreppsmodell

Att ta fram en gemensam begreppsmodell är ett effektivt sätt att säkerställa att alla parter i ett informationsutbyte menar samma sak med samma ord! När flera myndigheter samarbetar finns ofta skillnader i hur begrepp definieras, används och tolkas även om de ”verkar lika på ytan”.

Att ta fram en gemensam begreppsmodell skapar en gemensam förståelse för informationens innehåll och struktur vilket minskar risken för missförstånd, felaktiga tolkningar och kvalitetsbrister.

En begreppsmodell är även ett bra stöd vid t.ex. kravställning, testning och juridisk analys och kanske framför allt i samband med utformning av lösning.

Följande modell är endast ett exempel, tanken är att inblandade parter behöver ta fram en egen begreppsmodell.

 

Begreppsmodellen är en grafisk representation till hur olika begrepp relaterar till varandra. Bilden visar exempel kring hur informationsutbyte mellan myndigheter kan se ut.

Begreppsmodellen är en grafisk representation till hur olika begrepp relaterar till varandra. Bilden visar exempel kring hur informationsutbyte mellan myndigheter kan se ut.

Klicka här för att förstora bilden. jpg, 477.4 kB.

Ansvarsmatris

För att konkretisera vem som gör vad, när och på vilket mandat i samband med utveckling av ett informationsutbyte är ansvarsmatriser ett bra stöd. En ansvarsmatris minskar risker för dubbelarbete, missförstånd och otydligheter särskilt i komplexa samarbeten där flera myndigheter är involverade med olika roller, resurser och styrmodeller.

En väl förankrad ansvarsmatris bidrar till effektiv styrning, bättre samordning och tryggare beslutsfattande genom hela utvecklingsprocessen.

Följande HUKI matris är endast ett exempel, och tanken är att involverade aktörer kan överväga att ta fram en egen HUKI matris gemensamt.

Bilden visar ett exempel på hur ansvar och mandat i ett informationsutbyte kan tydliggöras med hjälp av en ansvarsmatris. I bilden visas en HUKI-matris där aktiviteter listas i y-led och involverade roller i x-led. För varje aktivitet markeras vem som är huvudansvarig (H), vem som utför (U), vem som ska konsulteras (K) och vem som behöver hållas informerad (I). Matrisen ger en tydlig överblick över vilka roller som behöver involveras och på vilket sätt i varje aktivitet

Bilden ovan visar ett exempel på hur ansvar och mandat i ett informationsutbyte kan tydliggöras med hjälp av en ansvarsmatris. I bilden visas en HUKI-matris där aktiviteter listas i y-led och involverade roller i x-led. För varje aktivitet markeras vem som är huvudansvarig (H), vem som utför (U), vem som ska konsulteras (K) och vem som behöver hållas informerad (I). Matrisen ger en tydlig överblick över vilka roller som behöver involveras och på vilket sätt i varje aktivitet.
Klicka här för att förstora bilden. png, 76.9 kB.

Samlingsplatser för befintliga utbyten

Genom att använda myndigheters dataportaler och samlingsplatser för informationsutbyten får organisationer en tydligare överblick över befintliga datadelningar, API:er och informations specifikationer. Det underlättar planering och samverkan mellan aktörer, minskar risken för utveckling av parallella lösningar och bidrar till ökad återanvändning av befintliga standarder och gränssnitt.

Samlingsplatserna främjar transparens och interoperabilitet i det offentliga ekosystemet och stärker förmågan att dela information på ett kostnadseffektivt och säkert sätt.

Ett antal exempel på samlingsplatser hittas på följande länkar:

Hjälpte denna information dig?

Ditt svar hjälper oss att förbättra sidan

Senast uppdaterad:

Digg - Myndigheten för digital förvaltning