bet · GB01FöU1 · 1987-12-31 00:00:00 — om ADB-sårbarhet och ADB-säkerhet Ibetänkandet behandlas tre motioner som, tar upp olika synpunkter och förslagmed anknytning till. frågor om ADB-sårbarhet och ADB-säkerhet. Utskottetföreslår med anledning av motionsyrkanden rörande organisationen förhandläggning av ADB-särbarhetsfrågorna att som sin mening gerregeringen till känna vad utskottet har anfört om vidgade uppgifter påADB-säkerhetsområdet för överstyrelsen för civil beredskap (ÖCB). I övrigtföreslår utskottet att motionerna avslås av . 1986/87:Fö403av m.fl. (fp) vari - med hänvisning till motion 1986/87:K410 -yrkas 1. att hos regeringenbegär ett skyndsamt förslag om en sammanhållen och effektiv organisation försårbarhetsfrågorna, 2. att hos regeringenbegär förslag om undanförsel och förstöring av ADB-uppgifter i kris- ochkrigssituationer. 1986/87:Fö408av m.fl. (m) vari - med hänvisning dll motion 1986/87:K431 -yrkas 1. att hos regeringenbegär förslag till riktlinjer för undanföran-de av dataregister vid krigsfara ienlighet med vad som i motionen anförs, 2. att som sin meningger regeringen till känna vad som i motionen anförs angående kravet päsårbarhetsanalys i samband med statliga utredningar samt i förordningen ominvesteringar i statliga ADB-register (SFS 1981:266), 3. att som sin meningger regeringen till känna vad som i motionen anförs angående behovet avinventering av datorbehov i kris och krig, 4. att som sin meningger regeringen till känna vad som i motionen anförs om inrättandet av ettsårbarhétsorgan. 1986/87:Fö410av m.fl. (c) vari - med hänvisning till motion 1986/87:K437 -yrkas att som sin mening ger regeringen till känna vad som i motionenanförts om tillsättande av en parlamentarisk sårbarhetsutredning. Riksdagen1987/88. Organisationenför handläggning av ADB- föu 1987/88: i I samtliga motioner finns yrkanden som behandlarorganisationen för handläggning av frågor som rör samhällsfunktionernas ochdärmed totalförsvarets sårbarhet främst till följd av ADB-användning. I motion1986/ 87:Fö403 (fp) upprepas en tidigare reservationsvis framförd kritik mot attsårbarhetsberedningen (SÅRB) avvecklats (FöU 1985/86:2 y, FiU 5, FöU 8).Motionärerna anser det vara ett klart misstag att avskaffa SÅRB utan att en nyheltäckande och effektiv organisation för sårbarhetsfrågor inrättas. De anseratt en sådan skyndsamt bör skapas. Också i motion 1986/87:Fö408 (m) hävdas att staten behöverett sårbarhetsorgan. Detta bör enligt modonärerna objektivt, självständigt ochförutsättningslöst svara för en allmän överblick och medverka till effektivaåtgärder inom sårbarhetsområdet. Det föreslås sortera under försvarsdepartementetoch ha rätt att meddela föreskrifter och rekommendationer till ' myndigheteroch näringsliv. Enligt motion 1986/87:Fö410 (c) bör besluta geregeringen i uppdrag att tillsätta en parlamentarisk utredning för beredning avsårbarhetsfrågorna. Denna utredning bör förutom att ta hand om det materialsom finns från SÅRB också formulera mål'för ökad säkerhet och minskad sårbarhetinom såväl offentlig som privat verksamhet. Utskottet berörde frågorna om ADB-sårbarhet ochADB-säkerhet i betänkandet (FöU 1986/87:11) över totalförsvarspropositionen.Sålunda noterade utskottet att försvarsministern uttalat att sårbarhetsfrågornai allt väsentligt kan betraktas som problem som avser enskilda funktioner menatt samhällets beroende av datorer och informationsbehandling kan betraktas somett för de olika funktionerna gemensamt sårbarhetsproblem som det är motiveratatt behandla separat. Vidare noterades att försvarsministern i propositionenuttalat att beredskapsplaneringen inom ADB-området måste aktiveras och attarbetet bör fortsåttas med hög prioritet och inriktas mot att höjaberedskapsnivån för dem som avser utnyttja ADB för sin verksamhet under kriseroch i krig. Utskottet konstaterade att försvarsministern itotalförsvarspropositionen sade sig avse att senare lämna förslag tillregeringen,om att uppdra åt överstyrelsen för civil beredskap (ÖCB) att isamverkan med och statskontoret samtfunktionsansvariga myndigheter konkretisera de åtgärder som bör vidtas för attförbättra ADB-säkerheten. Bl.a. med hänvisning till detta uppsköt utskottet sinberedning av de motionsyrkanden i vilka dessa frågor behandlades. Utskottet har anledning att här inledningsvis i anslutningtill vad som anförs i motionerna i dessa delar konstatera attberedskapsplaneringen inom ADB-området uppenbarligen är i stort behov avaktivering. Bl.a. frän och har påtalats stora, om änstarkt varierande, brister inom ADB-användande myndigheter och organ och attsåledes ADB-sårbarhetenofta är oacceptabelt hög. Bristerna uppges härröra från FöU 1987/88:1 bl.a. otillräcklig kunskap om existerande säkerhetsrisker, otillräcklig perso nalutbildning, lågt intresse från ansvarig lednings sida och ovilja attbestrida kostnader för ökad säkerhet samt oklara eller ofullständiga riktlinjer från statsmakter och centrala myndigheter. Härtill kommer att ADB-systemen ofta införts så snabbt att tiden ej medgivit ett seriöst beaktande av säkerhetsproblemen. ' Ansvaiet för samordning av ADB-säkérhetsfrågorna påcentral nivå är utspritt på flera myndigheter. Rollfördelningenmellan dessa har dock förblivit något oklar och i flera fall uppges resursersaknas för att vederbörande myndighet skall kunna fullt ut axla de tilltänktauppgifterna. Sålunda har statskontoret ett samordningsansvar vad gällersamordning av sårbarhetsfrågorna för den civila statsförvaltningen i fred. ÖCBhar ett motsvarande samordningsansvar vad gäller beredskapsförberedelsernainkl. ADB-säkerhetsfrågor inför kris och krig för hela det civila samhället -ett ansvar som på militär sida motsvaras, av det som innehas av försvaretsrationaliseringsinstitut (FRI): , slutligen, som har ansva-,ret för ADB-säkerhetsfrågorna inom , har till sig knutit ensärskild samrådsgrupp (SAMS) i vilken representanter för olika samhällssektoreravses kunna diskutera ADB-sårbarhetsfrågor. Mot bakgrund av rådande brister i ADB-säkerhet och av deninte helt utklarade rollfördelningen mellan de olika centrala myndigheter somhar ett partiellt ansvar för samordningen av åtgärder för att minskaÄDB-sårbärhe-ten anser sig utskottet, i linje med vad som anförs i härbehandlade motionsyrkanden, böra betona vikten av att det tas ett samlat grepppå ADB-säkerhetsfrågorna, syftande tillett förtydhgande av samordningsansvaretoch ett undvikande av ineffektivt dubbelarbete. Den självklara och nödvändiga utgångspunkten är dock attADB- säkerhetsarbetet i allt väsentligt utgör systemanvändarens ansvar. ADB- säkerhetsfrågorna är så mångfacetterade, komplexa och specifika för olika system och användare att det torde vara omöjligt för ett överordnat organ att skaffa sig kunskap om de svagheter som vidlåder det enskilda systemet. De totala sammanlagda kostnaderna för de olika åtgärder som erfordras för att väsentligt nedbringa ADB-sårbarheten i samhället skulle därtill bli mycket höga. De som avser att utnyttja ADB för sin verksamhet under kriser och i krig torde i allmänhet vara de användare som även i fredstid bör eftersträva särskilt hög systemsäkerhet. Det huvudsakliga ADB-säkerhetsarbetet måste således bedrivas av den ansvarige systeminnehavären i fråga om organisa tion, säkerhetsrutiner, personal, tekniska anordningar, fysiskt skydd, perso nalutbildning, m.m. I Vad som erfordras på central nivå är således enkraftsamling när det gäller samordning och praktiskt främjande avADB-säkerhetsarbetet, i varje fall till dessADB-tillvänjningen i samhället hunnit därhän att huvudregeln om varjeADB-användares primära säkerhetsansvar fått fast form.' Frågan om vilken av de aktuella myndigheterna som i dettakraftsamlande syfte i första hand skulle kunna ges vidgade uppgifter bör enligtutskottets mening bl.a. ses isammanhang med frågan om huruvida det är ändamålsen- FöU 1987/88:1 ligt att,som , i fråga om ADB-säkerhet och ADB-sårbarhet särskilja problemen ifred från de som gäller för kriser och krig. Utskottet finner för sin delövervägande skäl tala för att ett organisatoriskt särskiljande år sakligtomotiverat och olämpligt. Problemen är tillräckligt likartade för att delämpligen bör behandlas i ett sammanhang. I konsekvens härmed och mot bakgrundav existerande kompetens och inriktning inom resp. myndighet anser utskottetatt det påtalade behovet av samordning, kraftsamling och överblick inomADB-säkerhetsområdet i första hand bör tillgodoses genom att ÖCB ges vidgadeuppgifter på detta område. De resursfrågor som därvid aktualiseras tordehanteras inom ramen för den löpande budgetprocessen. Utskottet anser attriksdagen som sin mening bör ge regeringen till känna vad som i det föregåendehar anförts om vidgade uppgifter på ADB-säkerhetsområdet för ÖCB. Utskottetanser att detta i allt väsentligt tillgodoser önskemålen i här behandlademotionsyrkanden. Utskottet finner däremot inga vägande skäl för inrättande avett särskilt sårbarhetsorgan/ organisation eller tillsättande av enparlamentarisk sårbarhetsutredning. Undanförsel och förstöring av ADB-uppgifter Undanförseloch förstöring av ADB-uppgifter i kris- och krigssituationer behandlas imotionerna 1986/87:Fö403 (fp) och 1986/87:Fö408 (m). 1motion Fö403 pekar motionärerna på att SÅRB överlämnadeett delbetänkande (Ds Fö 1983:3) om undanförsel och förstöring avADB-uppgifter i vissa kris- och krigssituationer. Ännu - tre och ett halvt årsenare - har, framhåller motionärerna, regeringen inte gjort något åt saken. Deanser att det är ansvarslöst att inte redan i fred göra vad som göras kan föratt förhindra att våra känsligaste personregister faller i en fiendes händer ihändelse av kris och krig. Regeringen bör enligt motionärernas mening ges iuppdrag att skyndsamt utarbeta ett förslag i frågan. Äveni motion 1986/87:Fö408 anser motionärerna det vara djupt otillfredsställandeatt SÅRB:s förslag rörande förstöring eller undanförsel av känsligaADB-register inte lett till några åtgärder från regeringens sida. Det är enligtmotionärerna lämpligt att det av dem föreslagna sårbarhetsorganet ges i uppgiftatt meddela föreskrifter om förstörelse av register som är känsliga för såvälrikets säkerhet som för den enskilde. Regeringen bör, anser de, lämna förslagtill härom. Regeringen bör vidare enligt deras mening lämna förslagom hur andra viktiga ADB-register skall undanföras. Ilikhet med motionärerna anser utskottet det vara angeläget att det finns klara riktlinjer för hur viktiga datasystem skall hanteras inför en krigssitua tion. Utskottetser det dock som angeläget att i första hand understryka att det åvilar resp.myndighet att svara för undanförsel och förstöring av de känsliga ADB-uppgiftersom myndigheten har ansvaret för. I och med att detta ansvarsförhållande gällerfinns enligt utskottets mening inget behov av nya regler för undanförseleller förstöring av ADB-register. Vad utskottet i det FöU 1987/88:1 föregåendeanfört beträffande behovet av kraftsamling för att samordna och stödjaADB-säkerhetsarbetet torde dock gälla även planeringen av undanförsel ochförstöring. Utskottet konstaterar därvid att ett arbete pågår inom regeringskanslietoch ÖCB. Sålunda kommer den slutliga utgåvan av de provisoriska föreskrifteroch allmänna råd för undanförsel som förutvarande överstyrelsen för ekonomisktförsvar givit ut att behandla även frågan om undanförsel av ADB-register.Vidare har utskottet inhämtat att ÖCB planerar att ge ut nya anvisningar förADB-säkerhet i kris och i krig varvid frågor om förstöring och undanförsel avADB-uppgifter kommer att behandlas ytterligare. Något uttalande behöver enligtutskottets mening mot denna bakgrund inte göras av . Motionerna Fö403(fp) och Fö408 (m) bör avslås i dessa delar. , I motion Fö408 (m) anför motionärerna att det iallmänhet inte genomförts sårbarhetsanalyser vid några civila myndigheter.Staten har, anser motionärerna, ett oavvisligt ansvar att tillse attmyndigheterna åläggs att svara för en sådan planering att risken fördatorhaverier på grund av olyckshändelser eller medvetna sabotagehandlingarminskar. Detta kan, anser de, ske genom att en sårbarhetsanalys läggs dll grundför beslutsfattandet om varje nytt register. Kravet på en sårbarhetsanalys börenligt motionärerna ingå i det beslutsunderlag som skall föreligga enligtförordningen om investeringar i det statliga (SFS 1981:266). mening måste det betraktas som en självklarhet att det ankommer påsystemansvarig myndighet att göra en sårbarhetsanalys vad gäller sårbarheten ifred, kris och krig och att det även utgör myndighetens ansvar att tavederbörlig hänsyn till erfarenheterna av denna analys innan ett nyttADB-system anskaffas. Huruvida några ändringar i av regeringen utfärdadebestämmelser behövs för att åstadkomma en sådan ordning bör ankomma påregeringen att bedöma. Något uttalande i denna fråga i enlighet med vad somföreslås i motion FÖ408 i denna del bör därför inte göra. Inventering av datorbehov i kris och i krig Imotion Fö408 (m) behandlas också frågan om inventering av datorbehovet i krisoch krig. Motionärerna anser det vara angeläget att underlaget för en säkrarebedömning av utlandsberoendet förbättras genom en utredning om vilkasystemdatorer som måste fungera i kris och krig och om vilka vi kan avvara. Utskottet FöU 1987/88:1 Ett arbete rörande inventering av datorbehovet i kris öchi krig har enligt vad utskottet inhämtat påbörjats av ÖCB. Några åtgärderdärutöver anser utskottet inte påkallade. Motion Fö4Ö8 (m) bör enligtutskottets mening avslås även i denna del. 1. beträffandeorganisationen för handläggning av ADB-sårbarhets frågor attriksdagen med anledning av motionerna 1986/87:Fö403, yrkande 1, 1986/87:Fö408,yrkande 4, och motion 1986/87:Fö410 som sin mening ger regeringen till kännavad utskottet har anfört om vidgade uppgifter på ADB-säkerhetsområdet för ÖCB, 2. beträffandeundanförsel och förstöring avADB-uppgifter attriksdagen avslår motionerna 1986/87:Fö403, yrkande 2, och 1986/87:Fö408,yrkande l', attriksdagen avslår motion 1986/87:Fö408, yrkande 2, 4. beträffande inventering av dalorbehov i krisoch i krig att avslår motion 1986/87:408, yrkande 3. Närvarande: (), (),(), (), (), (),(), (), (), (),(), (), (), iMalmö (m) och (). Särskiltyttrande föu 1987/88: Organisationen för handläggning av ADB-sårbarhetsfrågor och (båda c) anför: Utskottet understryker i sitt betänkande attberedskapsplaneringen inom ADB-säkerhetsområdet är i stort behov av aktiveringoch att ADB-sårbarheten i många fall är oacceptabelt hög. Det är fråncenterpartiets synpunkt värdefullt att dessa markeringar görs och att behovetunderstryks av ett samlat grepp i frågaom samordningen av ADB-säkerhetsarbetet,Det är en för godtagbar lösning som anvisas, attöverstyrelsen för civil beredskap ges vidgade uppgifter i det angivna syftet.Vi vill dock i anslutning till detta betona vikten av att det arbete sombedrivs för att förbättra samordningen av ADB-säkerhetsarbetet sker underformer som medger parlamentarisk insyn. Vi anser från sidadärför att försvarsutskottet bör nära följa detta arbete.