2. Is electronic information adequa

2. Is electronic information adequately safeguarded?


Key finding The Government is not able to provide assurance that agencies are adequately safeguarding the sensitive private information they hold. The GCIO does not have current and reliable information on how well individual agencies are safeguarding private information. That
information which is available suggests most agencies have not complied
with the Government‟s policy. Government needs to reform the overall
arrangements within which agencies manage information security.

The Government’s current policy

The Government‟s current policy objective is outlined in Ministerial Memorandum 2007-04 Security of Electronic Information issued by the then Premier in 2007:

“The Government has a duty to safeguard its large information holdings and must provide credible assurance that it is doing so.”

M2007-04 also outlines the means by which the policy was to be achieved. It says that all agencies that process, hold or use electronic information or data were to, as soon as possible:

• establish and maintain an agency wide Information Security Management System that complies with the international standard (ISO/IOC 27001) and covers all electronic information; and
• gain and maintain certified compliance to the standard (ISO/IOC
27001) of the main part(s) of their Information Security Management
System by an accredited certifier.

Exhibit 6: The international standard - ISO/IEC 27001

ISO/IEC 27001 is the auditable international standard which defines the requirements for an Information Security Management System (ISMS).
The standard is designed to ensure the selection of adequate and proportionate security controls. It adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining, and improving the ISMS.
This helps organisations protect their information assets and give confidence to interested parties. Certifying against ISO/IEC 27001:
• provides independent assurance of the adequacy of internal controls and that risks are identified, assessed and managed
• helps organisations to continually monitor performance and improve
• demonstrates an organisations commitment to the security of its information.

Source:http://www.bsigroup.com.au/en-au/Assessment-and-Certification- services/Management-systems/Standards-and-schemes/ISOIEC-27001/

Further, the memorandum says:

• certification is to cover information about identifiable members of the public
• the GCIO is to survey security status annually, and report the result to
Cabinet.



The policy is not being implemented properly

We found that the GCIO conducted an online survey in late 2007.


Exhibit 7: Key results of 2007 GCIO survey

Ninety-seven agencies responded to the 2007 GCIO survey. Of these agencies:

• 26 had part of their ISMS certified to the national standard

• 20 planned to get part of their ISMS certified in 2008

• 6 more planned to get part of their ISMS certified by 2010.

In 2007, one more agency was certified (that is, 27 in total) but did not complete the GCIO survey.


Source: GCIO 2009


We also found that GCIO:

• did not report the results to Cabinet

• has not conducted any further surveys, and has no plans to do so.

The certifying bodies publish registers of certified organisations on-line. These show that about one-third of NSW agencies have at least part of their Information Security Management System currently certified to the international standard.

However, GCIO advises that it cannot:

• attest to the accuracy of this information

• say whether all private information held in these agencies is covered

• advise on the progress made in the remaining two-thirds of agencies towards compliance and certification.


This has been a problem for a decade

This is not a new problem. The government has been issuing edicts to agencies about electronic information security for a decade with little impact.


Exhibit 8: Prior edicts on information sharing


Department of Premier and Cabinet Circular 2001-46 directed all NSW agencies to develop and implement information security policies and have their IT systems certified to the existing security standard by 2002.

Ministerial Memorandum 2001-14 directed all NSW agencies to report their progress on the above each quarter to the end of 2002.

Department of Premier and Cabinet Circular 2004-06 reminded agencies of the 2001 directive, and acknowledged that not all agencies had complied. It required agencies to adopt an implementation plan by 31 December
2004, with initial certification to be complete by 30 September 2005, and full certification by 30 June 2006.

Source: Department of Premier and Cabinet, 2010



The 2007 policy told agencies to get certified to the international standard, but there was no deadline, no effective monitoring, and no consequences if they didn‟t. The Department of Premier and Cabinet and the Department of Services, Technology and Administration (DSTA) acknowledge that the Government‟s electronic information security policy could be implemented more consistently, and that benefits will result from:
• a more standardised approach to how agencies understand and manage their information risks
• a clear whole-of-government picture of risk.


DSTA says that the onus for implementation of the Government‟s electronic information security policies rests with agencies and departments as there is no central regulation of compliance with the policy.

Fundamental change is needed

There is clearly a need to change the means by which the Government‟s policy objective is being implemented. Otherwise, the Government will continue to be unable to assure the people of NSW that its agencies are safeguarding their private information. The Department of Premier and Cabinet and the Department of Services, Technology and Administration (DSTA) support having appropriate information security arrangements.

If anything, IT security is going to get harder not easier. Technological change is speeding up. The level and sophistication of external threats is increasing. And to improve services efficiently, public sector agencies will need to make more use of the personal data they have and share more data with others.


DSTA advises that a significant improvement in IT security will require:

• clearer identification of roles and responsibilities in relation to the management of information security risk

• a clear policy mandate to develop and implement whole-of- government information security policy

• appropriate resourcing to develop and monitor the implementation of consistent information security practices across the sector.

Other initiatives present an opportunity to reform IT security

The Government is re-thinking how ICT generally should be managed and delivered. To date, this has occurred in a fragmented way across the sector, with a high degree of local decision making leading to significant variation across the NSW Government. The Government‟s Corporate and Shared Services Blueprint (May 2010) describes the current situation:

Corporate and Shared Services functions (including ICT) are currently provided in a fragmented way across the sector, with some provided internally and some externally to departments. There is a significant variation across the clusters in the maturity of expectations, understanding, delivery and usage of these types of services.

Several current and recent reform initiatives are designed to aggregate, rationalise and standardise ICT systems and infrastructure, and generate greater consistency in approach across the public sector. These reform initiatives include the:




• amalgamation of 160 agencies into 13 clusters, each with a Principal
Department, effective from 1 July 2009

• Corporate and Shared Services Strategy to develop 13 corporate service providers and six shared service providers so as to achieve industry best practices and better support frontline services

• strategic review of whole-of-government ICT expenditure which is aiming to make sustainable improvements in the efficiency of the Government's ICT expenditure, leading to ongoing cost savings from
2010-11 onwards

• Data Centre program to aggregate data storage.

More detail on these initiatives can be found at appendix 2.

Aggregating electronic information and consolidating ICT systems present an opportunity to reform security, but also increase the risk and consequences of unauthorised access to information. This provides an even stronger imperative to ensure electronic information is adequately protected.

The current whole-of-government ICT Strategy, PeopleFirst (led by DSTA), concluded on 30 June 2010. Recognising this, and the abovementioned reforms, a process to develop a new Government ICT strategy and to review ICT governance arrangements across the NSW Government is underway. The first stage of this project is a high level review to outline the broad definition, scope and key issues to be addressed in the development of the new ICT Strategy. The Review will include an assessment of options for future ICT governance and delivery arrangements to ensure effective implementation of the new Strategy and public sector reform programs.


Exhibit 9: High level review - future ICT strategy and governance

The Review will cover a range of issues including:

• the respective roles, responsibilities, and accountabilities of central agencies, DSTA and departmental CIOs in reviewing, developing and implementing whole-of-government ICT strategies, frameworks, policies, standards, etc
• ICT governance and ICT delivery and implementation arrangements, including policy setting, strategy development, standards setting, resource prior

Kết quả (Việt) 1:

2. là thông tin điện tử đầy đủ trò?Họ giữ phím ra chính phủ sẽ không thể để cung cấp bảo đảm rằng các cơ quan đầy đủ bảo vệ thông tin cá nhân nhạy cảm. GCIO không có thông tin hiện tại và đáng tin cậy trên tốt như thế nào các cơ quan cá nhân bảo vệ thông tin cá nhân. Rằngthông tin đó có sẵn cho thấy hầu hết các cơ quan đã không tuân thủvới chính sách Government‟s. Chính phủ cần phải cải cách tổng thểsắp xếp trong đó các cơ quan quản lý an ninh thông tin. Chính sách của chính phủ hiện tại Mục tiêu chính sách hiện tại Government‟s được vạch ra trong bộ biên bản ghi nhớ 2007-04 bảo mật của thông tin điện tử do thủ tướng sau đó trong năm 2007:"Chính phủ có một nhiệm vụ để bảo vệ các tập đoàn lớn thông tin và phải cung cấp đáng tin cậy bảo đảm rằng nó làm như vậy."M2007-04 cũng vạch ra các phương tiện mà các chính sách đã có thể đạt được. Nó nói rằng tất cả các cơ quan xử lý, Giữ hoặc sử dụng thông tin điện tử hoặc dữ liệu, càng sớm càng tốt:• thiết lập và duy trì một cơ quan rộng thông tin bảo mật hệ thống quản lý phù hợp với tiêu chuẩn quốc tế (ISO/IOC 27001) và bao gồm tất cả các thông tin điện tử; và• đạt được và duy trì được chứng nhận phù hợp tiêu chuẩn (ISO/IOC27001) của part(s) chính của quản lý an ninh thông tin của họHệ thống bởi một certifier được công nhận. Triển lãm 6: Tiêu chuẩn quốc tế - tiêu chuẩn ISO/IEC 27001Tiêu chuẩn ISO/IEC 27001 là tiêu chuẩn quốc tế ngôn đó xác định các yêu cầu cho một bảo mật thông tin quản lý hệ thống (ISMS).Các tiêu chuẩn được thiết kế để đảm bảo việc lựa chọn các kiểm soát an ninh đầy đủ và tương ứng. Nó thông qua một quá trình phương pháp tiếp cận để thiết lập, triển khai, hoạt động, giám sát, xem xét, duy trì, và cải thiện các ISMS.Điều này sẽ giúp các tổ chức bảo vệ tài sản thông tin của họ và cung cấp cho sự tự tin để các bên quan tâm. Xác nhận đối với tiêu chuẩn ISO/IEC 27001:• cung cấp độc lập bảo đảm tính đầy đủ của kiểm soát nội bộ và rằng rủi ro được xác định, đánh giá và quản lý• giúp các tổ chức liên tục theo dõi hiệu suất và cải thiện• chứng tỏ một tổ chức cam kết bảo mật thông tin của nó.Nguồn: http://www.bsigroup.com.au/en-au/Assessment-and-Certification-dịch vụ/quản lý-hệ thống/tiêu chuẩn-và-chương trình/ISOIEC-27001 /Hơn nữa, bản ghi nhớ nói:• chứng nhận là để trang trải các thông tin về nhận dạng thành viên của công chúng• GCIO là để khảo sát tình trạng an ninh hàng năm, và báo cáo kết quả choTủ. Chính sách là không được thực hiện đúng cách Chúng tôi thấy rằng GCIO tiến hành một cuộc khảo sát trực tuyến vào cuối năm 2007.Triển lãm 7: Phím kết quả của năm 2007 GCIO khảo sátCác cơ quan 97 trả lời để khảo sát GCIO năm 2007. Của các cơ quan:• 26 có một phần của của ISMS chứng nhận các tiêu chuẩn quốc gia• 20 lên kế hoạch để có được một phần của của ISMS chứng nhận trong năm 2008• Thêm 6 lên kế hoạch để có được một phần của của ISMS chứng nhận vào năm 2010.Trong năm 2007, một cơ quan thêm được chứng nhận (có nghĩa là, 27 trong tổng số) nhưng đã không hoàn tất các cuộc khảo sát GCIO. Nguồn: GCIO 2009Chúng tôi cũng thấy rằng GCIO:• đã không báo cáo các kết quả để nội• không có tiến hành thêm bất kỳ cuộc điều tra, và có kế hoạch để làm như vậy.Các cơ quan xác nhận xuất bản đăng ký của tổ chức chứng nhận trực tuyến. Các hiển thị đó khoảng một phần ba của các cơ quan NSW có ít nhất là một phần của hệ thống quản lý an ninh thông tin hiện nay được chứng nhận tiêu chuẩn quốc tế.Tuy nhiên, GCIO tư vấn cho rằng nó có thể không:• chứng thực để tính chính xác của thông tin này• nói cho dù tất cả các thông tin cá nhân được tổ chức tại các cơ quan này được bảo hiểm• tư vấn về tiến độ thực hiện tại còn lại hai phần ba của các cơ quan đối với việc tuân thủ và chứng nhận. Điều này đã là một vấn đề cho một thập kỷ Đây không phải là một vấn đề mới. Chính phủ đã phát hành sắc lệnh cho các cơ quan về bảo mật thông tin điện tử cho một thập kỷ với ít tác động đến. Triển lãm 8: Trước khi sắc lệnh ngày chia sẻ thông tinVùng thủ tướng và nội các thông tư 2001-46 hướng tất cả các cơ quan NSW để phát triển và thực hiện các chính sách bảo mật thông tin và có của hệ thống CNTT chứng nhận an ninh sẵn có tiêu chuẩn năm 2002.Bản ghi nhớ 2001-14 bộ đạo diễn tất cả NSW cơ quan báo cáo tiến độ của họ về ở trên mỗi học kỳ để cuối năm 2002.Department of Premier and Cabinet Circular 2004-06 reminded agencies of the 2001 directive, and acknowledged that not all agencies had complied. It required agencies to adopt an implementation plan by 31 December2004, with initial certification to be complete by 30 September 2005, and full certification by 30 June 2006.Source: Department of Premier and Cabinet, 2010 The 2007 policy told agencies to get certified to the international standard, but there was no deadline, no effective monitoring, and no consequences if they didn‟t. The Department of Premier and Cabinet and the Department of Services, Technology and Administration (DSTA) acknowledge that the Government‟s electronic information security policy could be implemented more consistently, and that benefits will result from:• a more standardised approach to how agencies understand and manage their information risks• a clear whole-of-government picture of risk.DSTA says that the onus for implementation of the Government‟s electronic information security policies rests with agencies and departments as there is no central regulation of compliance with the policy. Fundamental change is needed There is clearly a need to change the means by which the Government‟s policy objective is being implemented. Otherwise, the Government will continue to be unable to assure the people of NSW that its agencies are safeguarding their private information. The Department of Premier and Cabinet and the Department of Services, Technology and Administration (DSTA) support having appropriate information security arrangements.
If anything, IT security is going to get harder not easier. Technological change is speeding up. The level and sophistication of external threats is increasing. And to improve services efficiently, public sector agencies will need to make more use of the personal data they have and share more data with others.


DSTA advises that a significant improvement in IT security will require:

• clearer identification of roles and responsibilities in relation to the management of information security risk

• a clear policy mandate to develop and implement whole-of- government information security policy

• appropriate resourcing to develop and monitor the implementation of consistent information security practices across the sector.

Other initiatives present an opportunity to reform IT security

The Government is re-thinking how ICT generally should be managed and delivered. To date, this has occurred in a fragmented way across the sector, with a high degree of local decision making leading to significant variation across the NSW Government. The Government‟s Corporate and Shared Services Blueprint (May 2010) describes the current situation:

Corporate and Shared Services functions (including ICT) are currently provided in a fragmented way across the sector, with some provided internally and some externally to departments. There is a significant variation across the clusters in the maturity of expectations, understanding, delivery and usage of these types of services.

Several current and recent reform initiatives are designed to aggregate, rationalise and standardise ICT systems and infrastructure, and generate greater consistency in approach across the public sector. These reform initiatives include the:




• amalgamation of 160 agencies into 13 clusters, each with a Principal
Department, effective from 1 July 2009

• Corporate and Shared Services Strategy to develop 13 corporate service providers and six shared service providers so as to achieve industry best practices and better support frontline services

• strategic review of whole-of-government ICT expenditure which is aiming to make sustainable improvements in the efficiency of the Government's ICT expenditure, leading to ongoing cost savings from
2010-11 onwards

• Data Centre program to aggregate data storage.

More detail on these initiatives can be found at appendix 2.

Aggregating electronic information and consolidating ICT systems present an opportunity to reform security, but also increase the risk and consequences of unauthorised access to information. This provides an even stronger imperative to ensure electronic information is adequately protected.

The current whole-of-government ICT Strategy, PeopleFirst (led by DSTA), concluded on 30 June 2010. Recognising this, and the abovementioned reforms, a process to develop a new Government ICT strategy and to review ICT governance arrangements across the NSW Government is underway. The first stage of this project is a high level review to outline the broad definition, scope and key issues to be addressed in the development of the new ICT Strategy. The Review will include an assessment of options for future ICT governance and delivery arrangements to ensure effective implementation of the new Strategy and public sector reform programs.


Exhibit 9: High level review - future ICT strategy and governance

The Review will cover a range of issues including:

• the respective roles, responsibilities, and accountabilities of central agencies, DSTA and departmental CIOs in reviewing, developing and implementing whole-of-government ICT strategies, frameworks, policies, standards, etc
• ICT governance and ICT delivery and implementation arrangements, including policy setting, strategy development, standards setting, resource prior

Kết quả (Việt) 2:

2. Là thông tin điện tử bảo mật thích đáng? Phát hiện chính Chính phủ là không thể cung cấp sự đảm bảo rằng các cơ quan được bảo vệ đầy đủ các thông tin cá nhân nhạy cảm mà họ nắm giữ. Các GCIO không có thông tin hiện tại và tin cậy vào như thế nào cơ quan cá nhân được bảo vệ thông tin cá nhân. Đó là thông tin mà có sẵn cho hầu hết các cơ quan đã không tuân thủ với các chính sách của Chính phủ "s. Chính phủ cần phải cải cách tổng thể sắp xếp trong đó các cơ quan quản lý an ninh thông tin. Chính sách hiện tại của Chính phủ Chính phủ "Mục tiêu chính sách hiện hành được nêu trong Bản ghi nhớ 2007-04 Bộ trưởng An ninh Thông tin điện tử, do đó Premier vào năm 2007:" Chính phủ có nhiệm vụ để bảo vệ thông tin cổ đông và phải cung cấp sự đảm bảo đáng tin cậy rằng nó được làm như vậy. "M2007-04 cũng phác thảo các phương tiện mà chính sách này phải đạt được. Nó nói rằng tất cả các cơ quan quy trình, tổ chức hoặc sử dụng thông tin điện tử hoặc các dữ liệu đã cho, càng sớm càng tốt: • Thiết lập và duy trì một cơ quan hệ thống quản lý an ninh thông tin toàn tuân thủ với các tiêu chuẩn quốc tế (ISO / IOC 27001) và bao gồm tất cả các điện tử các thông tin; và • đạt được và duy trì sự tuân thủ được chứng nhận theo tiêu chuẩn (ISO / IOC 27001) của phần chính (s) Quản lý an ninh thông tin của họ hệ thống của một chứng nhận được công nhận. Bảng 6: Tiêu chuẩn quốc tế - ISO / IEC 27001 ISO / IEC 27001 là các tiêu chuẩn quốc tế có thể kiểm tra trong đó xác định các yêu cầu cho một hệ thống quản lý an ninh thông tin (ISMS). Tiêu chuẩn này được thiết kế để đảm bảo lựa chọn kiểm soát an ninh đầy đủ và tương xứng. Nó sẽ sử dụng một cách tiếp cận quá trình để xác lập, thực hiện, điều hành, giám sát, rà soát, duy trì và cải tiến ISMS. Điều này sẽ giúp các tổ chức bảo vệ tài sản thông tin của họ và sự tin tưởng cho các bên quan tâm. Chứng nhận ISO / IEC 27001: • cung cấp sự bảo đảm độc lập với đầy đủ của kiểm soát nội bộ và rủi ro được xác định, đánh giá và quản lý • giúp các tổ chức liên tục theo dõi hiệu suất và cải thiện • thể hiện một cam kết tổ chức để bảo mật thông tin của mình. Nguồn: http : //www.bsigroup.com.au/en-au/Assessment-and-Certification- dịch vụ / Quản lý hệ thống / Tiêu chuẩn-và-án / ISOIEC-27001 / Hơn nữa, các bản ghi nhớ nói: • chứng nhận là bao gồm thông tin về các thành viên xác định được của công chúng • các GCIO là để khảo sát tình trạng an ninh hàng năm, báo cáo kết quả vào Nội các. Chính sách này không được thực hiện đúng Chúng tôi thấy rằng các GCIO tiến hành một cuộc khảo sát trực tuyến vào cuối năm 2007. Phụ lục 7: Các kết quả chính của năm 2007 GCIO khảo sát Chín mươi bảy cơ quan trả lời khảo sát GCIO 2007. Của các cơ quan: • 26 có một phần của ISMS của họ được chứng nhận tiêu chuẩn quốc gia • 20 kế hoạch để có được một phần của ISMS của họ được chứng nhận trong năm 2008 • 6 nhiều kế hoạch để có được một phần của ISMS của họ được chứng nhận vào năm 2010. Trong năm 2007, một trong nhiều cơ quan đã được chứng nhận (có nghĩa là, 27 trong tổng số) nhưng đã không hoàn thành khảo sát GCIO. Nguồn: GCIO 2009 Chúng tôi cũng thấy rằng GCIO: • đã không báo cáo kết quả với nội • đã không thực hiện bất kỳ cuộc điều tra sâu hơn, và không có kế hoạch để làm như vậy. Các cơ quan xác nhận đăng ký xuất bản của các tổ chức chứng nhận trên mạng. Những chỉ ra rằng khoảng một phần ba của các cơ quan NSW có ít nhất một phần của hệ thống quản lý an ninh thông tin của họ hiện chứng nhận theo tiêu chuẩn quốc tế. Tuy nhiên, GCIO khuyên rằng nó không thể: • chứng cho tính chính xác của thông tin này • nói cho dù tất cả các thông tin cá nhân tổ chức trong các cơ quan này được bao phủ • tư vấn về các tiến bộ đạt được trong còn lại hai phần ba của các cơ quan đối với việc tuân thủ và chứng nhận. Điều này đã được một vấn đề đối với một thập kỷ này không phải là một vấn đề mới. Chính phủ đã ban hành sắc lệnh cho các cơ quan về an ninh thông tin điện tử cho một thập kỷ với ít tác động. Exhibit 8: Trước khi sắc lệnh về chia sẻ thông tin Sở Premier và Nội Thông tư 2001-46 chỉ đạo tất cả các cơ quan NSW để phát triển và thực hiện các chính sách bảo mật thông tin và có họ hệ thống CNTT được chứng nhận theo tiêu chuẩn bảo mật hiện tại của năm 2002. Bộ trưởng ghi nhớ 2001-14 chỉ đạo tất cả các cơ quan NSW để báo cáo tiến độ của họ trên trên mỗi quý đến cuối năm 2002. Sở Premier và Nội Thông tư giai đoạn 2004-06 cơ quan của chỉ thị 2001 nhắc nhở , và thừa nhận rằng không phải tất cả các cơ quan đã tuân thủ. Nó yêu cầu các cơ quan phải áp dụng một kế hoạch thực hiện của tháng Mười Hai 31 năm 2004, có xác nhận ban đầu sẽ hoàn thành 30 tháng 9 năm 2005, và chứng nhận đầy đủ bởi 30 tháng 6 năm 2006. Nguồn: Sở Premier và Nội 2010 Các chính sách năm 2007 đã nói với cơ quan để được chứng nhận để các tiêu chuẩn quốc tế, nhưng đã có thời hạn không, không giám sát hiệu quả, và không có hậu quả nếu họ didn "t. Sở Premier và Nội các và Bộ Dịch vụ, Công nghệ và Quản trị (DSTA) thừa nhận rằng Chính phủ "s chính sách bảo mật thông tin điện tử có thể được thực hiện một cách nhất quán hơn, và lợi ích sẽ là kết quả: • một phương pháp tiêu chuẩn hóa hơn để cách các cơ quan hiểu và quản lý thông tin của họ có nguy cơ • toàn bộ chính phủ bức tranh rõ ràng về rủi ro. DSTA nói rằng trách nhiệm thực hiện của Chính phủ "s chính sách bảo mật thông tin điện tử thuộc về các cơ quan, ban ngành như chưa có quy định trung tâm của việc tuân thủ chính sách. thay đổi cơ bản là cần thiết Rõ ràng là có một nhu cầu để thay đổi các phương tiện mà Chính phủ "Mục tiêu chính sách đang được thực hiện. Nếu không, Chính phủ sẽ tiếp tục là không thể đảm bảo với người dân NSW rằng cơ quan của nó được bảo vệ thông tin cá nhân của họ. Sở Premier và Nội các và Bộ Dịch vụ, Công nghệ và Quản trị (DSTA) hỗ trợ có thỏa thuận an ninh thông tin thích hợp. Nếu bất cứ điều gì, an ninh CNTT là sẽ nhận được khó khăn hơn không dễ dàng hơn. Thay đổi công nghệ đang tăng tốc. Mức độ và sự tinh tế của các mối đe dọa bên ngoài ngày càng tăng. Và để cải thiện các dịch vụ hiệu quả, các cơ quan khu vực công sẽ cần phải sử dụng nhiều hơn các dữ liệu cá nhân của họ và chia sẻ dữ liệu với những người khác. DSTA khuyên rằng một cải tiến đáng kể về bảo mật CNTT sẽ yêu cầu: • Xác định rõ ràng hơn về vai trò và trách nhiệm liên quan đến quản lý rủi ro an ninh thông tin • một nhiệm vụ chính sách rõ ràng để phát triển và thực hiện toàn bộ-of- chính sách bảo mật thông tin của chính phủ • nguồn lực thích hợp để phát triển và giám sát việc thực hiện các thực hành bảo mật thông tin nhất quán trong toàn ngành. Những sáng kiến khác trình bày một cơ hội để cải cách an ninh IT Chính phủ đang tái suy nghĩ như thế nào ICT nói chung cần được quản lý và chuyển giao. Cho đến nay, điều này đã xảy ra một cách phân tán trong toàn ngành, với một mức độ cao của việc ra quyết định của địa phương dẫn đến sự thay đổi đáng kể qua các Chính phủ NSW. Chính phủ "s doanh nghiệp và dịch vụ Shared Blueprint (May 2010) mô tả tình hình hiện nay: chức năng doanh nghiệp và dịch vụ chia sẻ (bao gồm ICT) hiện đang được cung cấp một cách phân tán trong toàn ngành, với một số cung cấp trong nội bộ và bên ngoài để một số phòng ban. Có sự khác biệt lớn giữa các cụm trong sự trưởng thành của những kỳ vọng, sự hiểu biết, giao hàng và cách sử dụng của các loại hình dịch vụ. Một vài sáng kiến cải cách hiện nay và gần đây được thiết kế để tổng hợp, hợp lý hóa và chuẩn hóa hệ thống công nghệ thông tin và cơ sở hạ tầng, và tạo ra sự nhất quán hơn trong cách tiếp cận qua khu vực công cộng. Những sáng kiến cải cách bao gồm: • hợp nhất của 160 cơ quan thành 13 cụm, mỗi với một Hiệu trưởng cục, có hiệu lực từ ngày 1 tháng 7 năm 2009 • Công ty và Shared Dịch vụ Chiến lược phát triển 13 nhà cung cấp dịch vụ của công ty và sáu nhà cung cấp dịch vụ chia sẻ để đạt được ngành công nghiệp thực hành tốt nhất và hỗ trợ tốt hơn các dịch vụ tiền tuyến • xem xét chiến lược của bộ chính phủ toàn bộ chi tiêu CNTT mà là nhằm cải thiện bền vững trong hiệu quả của chi tiêu công nghệ thông tin của Chính phủ, dẫn đến tiết kiệm chi phí liên tục từ 2010-11 trở đi chương trình • Trung tâm dữ liệu để tổng hợp dữ liệu lưu trữ . Chi tiết về các sáng kiến này có thể được tìm thấy tại Phụ lục 2. Tập hợp thông tin điện tử và củng cố hệ thống công nghệ thông tin trình bày một cơ hội để cải cách an ninh, mà còn làm tăng nguy cơ và hậu quả của truy cập trái phép thông tin. Điều này cung cấp một. Thậm chí mạnh hơn bắt buộc để đảm bảo thông tin điện tử được bảo vệ đầy đủ Chiến lược hiện tại của toàn bộ chính phủ ICT, PeopleFirst (do DSTA), kết thúc vào ngày 30 tháng 6 năm 2010. Nhận thức được điều này, và những cải cách nêu trên, một quá trình phát triển một mới chiến lược công nghệ thông tin của Chính phủ và xem xét cơ chế quản trị công nghệ thông tin trên toàn Chính phủ NSW đang được tiến hành. Giai đoạn đầu tiên của dự án này là một đánh giá mức độ cao để vạch ra những định nghĩa rộng, phạm vi và các vấn đề quan trọng cần được giải quyết trong sự phát triển của Chiến lược công nghệ thông tin mới. Việc đánh giá sẽ bao gồm đánh giá các lựa chọn cho việc quản lý công nghệ thông tin trong tương lai và thu xếp giao hàng để đảm bảo thực hiện hiệu quả Chiến lược mới và các chương trình cải cách khu vực công cộng. Phụ lục 9: xem xét mức độ cao - chiến lược công nghệ thông tin trong tương lai và quản trị các đánh giá sẽ bao gồm một loạt các vấn đề bao gồm cả : • tương ứng vai trò, trách nhiệm và trách nhiệm giải trình của các cơ quan trung ương, DSTA và CIO phòng ban trong việc rà soát, phát triển và thực hiện chiến lược của toàn bộ chính phủ ICT, các khuôn khổ, chính sách, tiêu chuẩn, vv • ICT quản và giao hàng và thực hiện ICT thỏa thuận, bao gồm cả thiết lập chính sách, chiến lược phát triển, thiết lập các tiêu chuẩn, tài nguyên trước