yttr · GB05FöU2 · 1987-12-31 00:00:00 — 1987/88:2 y över proposition 1987/88:95 om datapolitik förstatsförvaltningen har berett försvarsutskottet tillfälle attyttra sig över proposition 1987/88:95 om datapolitik för statsförvaltningen ochmotioner i anslutning härtill. yttrande berör främstavsnittet 3.6 om organisation av säkerhetsarbetet och omfattar också ett antaltill utskottet hänvisade motionsyrkanden från den allmänna motionstiden ,nämligen Fö501, FÖ511 samt FÖ526. Dessa överlämnas till finansutskottet - under■ förutsättning av dess medgivande - med detta yttrande. Väckta under allmänna motionstiden , 1987/88:Fö501 av m.fl. (fp) vari yrkasatt som sin mening ger regeringen till känna vad i motionen anförtsom säkerhet och sårbarhet. 1987/88:Fö5ll av m.fl. (c) vari yrkas 1.att riksdagenhos regeringen begär att en parlamentarisk sårbarhetsberedning tillsätts, 2.att riksdagensom sin mening ger regeringen till känna vad i motionen anförts omparlamentarisk medverkan i datautvecklingsarbetet, 3.att riksdagensom sin mening ger regeringen till känna vad i motionen anförts omdecentralisering av dataregistren. 1987/88:Fö526 av m.fl. (m) vari yrkas 1.att riksdagensom sin mening ger regeringen till känna vad i motionen anförts om hanteringenav sårbarhetsfrågorna inom , 2.att riksdagensom sin mening ger regeringen till känna väd i motionen anförts omsårbarhetsanalys i samband med utredningsförslag om jnrättande av nya register. 3.att riksdagenhos regeringen begär förslag till krav på kryptering av sekretessbelagdinformation vid datakommunikation. 4.att riksdagensom sin mening ger regeringen till känna vad i motionen anförts om.sammanställning och försäljning av information som kan vara till skada förrikets säkerhet. 1 1987/88. Rättelse: S. 1 rad 14 nedifrån.Står: decentralisering av dataregistren. Rättat till: parlamentarisk datautvecklingsarbetet. Väckta medanledning av proposition 1987/88:95 FöU 1987/88:2 y 1987/88:Fil5 av m.fl, (m) såvitt gälleryrkande 3 att som sin meningger regeringen till känna vad som imotionen anförs angående sårbarhetsarbetets organisation, l987/88:Fil6 av m.fl, (fp) såvitt gälleryrkande 6 att som sin mening ger regeringen till känna vad i motionenanförs om ansvaret för säkerhetsarbetet. behandlade - med anledning av vissa under denallmänna motionstiden väckta motioner - frågor rörande ADB-sårbarhet ochADB-säkerhet (FöU 1987/88:1. rskr. Det finns i dettasammanhang anledning att återge huvuddragen i vad försvarsutskottet i sittbetänkande därvid anförde som sin - sedermera - mening beträffandedatasäkerhetsarbetets organisation och vidgade uppgifter ,för överstyrelsen förcivil beredskap (ÖCB). Sålundakonstaterade utskottet bl.a, att beredskapsplaneringen inom , ADB-områdetförefaller vara i stort behov av aktivering, att ADB-sårbarheten inomADB-användande myndigheter och organ ofta är oacceptabelt hög, attrollfördelningen mellan de olika centrala myndighetersom har ett partielltansvar för samordningen av åtgärder för att minska ADB-sårbarheten inte är heltutklarad samt att det därför är av stor vikt att ett samlat grepp tas påADB-säkerhetsfrågorna, syftande till ett förtydligande av samordningsansvaretoch ett .undvikande av ineffektivt dubbelarbete. Ibetänkandet anförde utskottet vidare: Den självklara och nödvändiga utgångspunkten är dock attADB-säkerhets arbetet i allt väsentligt utgör systemanvändarens ansvar, ADB-säkerhetsfrå gorna är så mångfacetterade, komplexa och specifika för olika system och användare att det torde vaia omöjligt för ett överordnat organ att skaffa sig kunskap om de svagheter som vidlåder det enskilda systemet. De totala ' '' sammanlagdakostnaderna för de olika åtgärder som erfordras för att väsentligt nedbringaADB-sårbarheten i samhället skulle därtill bli mycket höga. De som avser attutnyttja ADB för sin verksamhet under kriser och i krig torde i allmänhet varade användare som även i fredstid bör eftersträva särskilt hög systemsäkerhet.Det huvudsakliga ADB-säkerhetsarbetet måste således bedrivas av den ansvarigesysteminnehavaren i fråga om organisation, säkerhetsrutiner, personal,tekniska anordningar, fysiskt skydd, perso- ,. Vad som erfordras pä central nivå är således enkraftsamling närdet gäller samordning och praktiskt främjande av ADB-säkerhetsarbetet i varje fall till dess ADB-tillvänjningen i samhället hunnit ' därhän atthuvudregeln om \arjeADB-användares primärasäkerhetsansvar fatt fast form. Frågan om vilken a\ de aktuella myndigheterna som i dettakraftsamlande s\'fte i första hand skulle kunna ges sidgade uppgifter börenligt utskottets mening bl,a, ses i sammanhang med frågan om huruvida det ärändamålsenligt att. soni , i fråga om ADB-säkerhet och ADB-sårbarhetsärskilja problemen i fred frän de som gäller för kriser och krig. sin delövervägande skäl tala för att ett organisatoriskt särskiljande är sakligt FöU 1987/88:2 y omotiverat och olämpligt. Problemen är tillräckligt likartadeför att de lämpligen bör behandlas i ett sammanhang, I konsek'ens härmed ochmot , . , bakgrund av existerande kompetens och inriktning inom resp.myndighet anser utskottet att det påtalade behovet av sarriordning.kraftsamling och överblick inom ADB-säkerhetsområdet i första hand börtillgodoses genom att ÖCB ges vidgade uppgifter på detta område. Deresursfrågor som därvid aktualiseras torde hanteras inom ramen för den löpandebudgetprocessen. Utskottet anser att som sin mening bör ge regeringentill känna vad som i det föregående har anförts om vidgade uppgifter på ADB- ,säkerhetsområdet för ÖCB, I proposition 1987/88:95 konstaterar föredragandestatsråden och ' Bodströminledningsvis i vad avser frågor rörande säkerhet och sekretess inomdataområdet (kap, 3) att man utan inbördes skarpa gränser kan urskilja ■ , ■ i ' -dengrundläggande säkerhet i fred som omfattar systemkvalitet, reserv-funktioner,intrångsskydd, fysiska hot som sabotage och terrorism, etc, ' -den ytterligaresäkerhet som avser särskild utformning av vissa system för att kunna stödjafunktioner som skall verka under kris och i krig;' I propositionen konstateras vidare att ett antalmyndigheter har ans\ar för olika delar av säkerhetsarbetet och att det finnsett behov av att precisera deras uppgifter och att skapa en organisatoriskgrund för samordning, krattsamling och överblick över beredskapsplaneringen ochsäkerheten i ... ADB-systemen, Härutöver anförs att alla myndigheter som har ansvar förADB-system, vilka den egna eller andras verksamhet är beroende av. bör ha enklar uppfattning om säkerheten i ADB-verksamheten. Dessa myndigheter skalldärför, enligt vad som föreskrivs i propositionen, senast /90 hagenomfört säkerhetsanalyser för dessa system samt vid behov ha utarbetat enplan för erforderliga säkerhetshöjande åtgärder, I propositionen'anförs attstatskontoret bör ges i uppdrag att sammanställa resultaten av dessasäkerhetsanalyser och till regeringen i samråd med ÖCB redovisa en bedömning avanalyserna samt planerade eller vidtagna åtgärder vid myndigheterna medanledning av analyserna. av ADB-säkerhetsarbetet i' övrigt anförs i propositionen(bil. 3.6. s. 33-36) att överstyrelsen för civil beredskap. ÖCB: ochstatskontoret har ansvaret för främst sämordiiing och sårbarhets- ochsäkerhetsfrågor i fred. under kris och i krig. Med hänvisning till riksdagensställningstaganden i dessa frågor behandlas frågan rörandeansvarsfördelningen mellan dessa häda myndigheter och även rollen för densärskilda samrådsgrupp för samhällets säkerhet inom dataområdet (SAMS) sonitillsatts inom . Härvid anförs beträffande ÖCB bl,a, att överstyrelsen börfå i uppdrag att utreda behoNet av styrniedel for att förverkliga ensamhitllsövergripande beredskiijisplan för landets ADB-beroende vid krigsfaraeller krig. Vidare bör OCB enligt propositionen belysa förutsättningarna föratt ocksatitfärda ' riktlinjerför förberedelser i fred som ger tillräcklig ADB-säkerhet vid FöU 1987/88:2y krigsfara eller i krig. Det sägs i propositionen kunna vara möjligt att isamma riskanalys och i samma planeringsprocess behandla säkerhetsåtgärder försåväl fred som kris och krig samt formulera de funktionskrav som samhällsviktigaADB-system skall kunna leva upp till., ÖCB:s övergripande ansvar för beredskapsplaneringen avbl.a. säkerhet som följd av ADB-användningen år enligt propositionen emellertidså nytt att det ännu saknas erfarenheter av hela planeringsprocessen,exempelvis beträffande finansieringen av åtgärder som inte är motiverade förenbart fredssamhället. ÖCB bör därför enligt propositionen få i uppdrag attnärmare utveckla frågor rörande beredskapsplaneringens styrmedel, som ettförsta steg i riktning mot att utöka ÖCB:s ansvar till att också omfattariktlinjer för förberedelser i fred för att uppnå tillräcklig ADB-säkerhet ikris och krig. Beträffande statskontoret .sägs i propositionen attkontoret bör ha kvar ■ sina nuvarande uppgifter inomsäkerhetsområdet. Däri ingår enligt propositionen att ha ett samordningsansvarför ADB-säkerheten i fred inom den civila statsförvaltningen inkl.affärsverken. I sitt säkerhetsarbete skall statskontoret bl.a. utgå från dekrav på ADB-säkerhet i kris och krig som kommer fram i ÖCB:s arbete. Utskottet konstaterar att regeringen i föreliggandeproposition sökt ta fasta på och närmare konkretisera bl.a. vad som frånriksdagens sida tillkännagavs i inledningsvis återgivnautskottsbetänkande om ADB-sårbarhet och ADB-säkerhet, Vad utskottet idetsammanhanget anförde utgör den självklara utgångspunkten för utskottets härföreliggande ställningstagande till den inriktning som redovisas ipropositionen och till de motioner som omfattas av detta yttrande. Utskottet biträder således den uppfattning som uttrycks ipropositionen och som även i väsentliga avseenden kommer till uttryck imotionerna i berörda delar, nämligen att det saknas en samlad bild översårbarheten/ säkerheten i ADB-verksamheten och konsekvenserna av störningar ochatt det därför finns ett behov av att skapa en organisatorisk grund församordning, kraftsamling och överblick över beredskapsplaneringen ochsäkerheten i ADB-systemen. Utskottet biträder också vad som anförs ipropositionen om det lämpliga i att stegvis skapa konkreta former förtillämpningen av de av angivna riktlinjerna beträffande ÖCB;s utökadesamordningsansvar och ansvar för att bl.a. tillhandahålla det förADB-säkerhetsarbetet nödvändiga riskanalysunderlaget, I tre motioner från den allmänna motionstiden berörsfrågor rörande ADB-säkerhetsarbetets bedrivande, 1 motion 19S7/88;Fö. '01 (fp) framhålls att dethuvudsakliga ansvaret för en enskild myndighets säkerhetsarbete ochsårbarhetskontroll ligger på myndigheten själv. Vidare anförs att sårbarhetsberedningeni sitt arbete visade att det ocksåär nödvändigt att statsmakterna har ett samlat grepp över dessa FöU 1987/88:2 yfrågor. Det finns, heter det, gemensamma metodproblem för situationer i såvälfred som krig, något som bekräftades av försvarsutskottet somföreslog ÖCB som samordningsmyndighet. I motionen anges därefter ett antalkonkreta uppgifter som i enlighet härmed borde åläggas ÖCB, däribland ansvaretför principer om undanförsel och förstöring av ADB-register och uppgifter ihändelse av krig. I motion 1987/88:Fö511 (c) anförs bl.a. att ett sätt attöka säkerheten och minska sårbarheten i de funktioner som är beroende avADB-teknik vore att begränsa användningen av stora centrala dataregister.Motionärerna anser att ADB-användning inom myndigheter och andra offentligaorganisationer skall baseras på små decentraliserade datasystem. Regeringen börenligt motionärerna ges i uppdrag att utarbeta planer för decentralisering avde centrala dataregistren inom olika centrala förvaltningar. Slutligenframhåller motionärerna att sårbarhetsfrågorna och datafrågornas handläggningmåste ges en förstärkt pariamentarisk förankring. I ett yrkande hemställs attriksdagen hos regeringen begär att en parlamentarisk sårbarhetsberedningtillsätts. I motion 1987/88:FÖ526 (m) anförs att de brister inomADB-säkerhetsområdet som sårbarhetsberedningen pekade på ännu kvarstår och attdet inte finns något organ med ett samlat och övergripande ansvar för dennationella säkerheten, trots det ansvar som lagts på ÖCB. Det är enligtmotionärerna nödvändigt att regeringen till redovisar vilkaåtgärder man avser att vidta för att minska sårbarheten. börregeringen, framhålls det, till redovisa en organisation försårbarhetsfrågornas hantering med klara ansvarsförhållanden inom . Frågorna om ADB-säkerhetsarbetets organisation berörs äveni ett par motioner som väckts med anledning av proposition 1987/88:95. I motion 1987/88:Fil5 (m) noteras att regeringen valt attlåta statskontoret ta ett samordningsansvar för ADB-säkerheten i fred inom dencivila statsförvaltningen inkl. affärsverken. Enligt motionärerna finns det nurisk att sårbarhetsfrågorna splittras mellan ÖCB, statskontoret och SAMS. Deframhåller att en organisation med en gemensam handläggning av sårbarhetsfrågornabåde i fredstid och för kris- och krigslägen hade varit att föredra. Med dennuvarande organisationen åvilar det regeringen ett stort ansvar att tillse attsårbarhetsfrågorna beaktas såväl inom den statliga sektorn som inom övrigasamhällssektorer. Motionärerna anser även att statskontorets samordningsansvarpå detta område bör inskränkas till den civila statsförvaltningen, exkl.affärsverken. I motion 1987/88:Fil6 (fp), slutligen, avvisarmotionärerna den ansvarsuppdelning som redovisas i propositionen mellan ÖCBoch statskontoret. Motionärerna anser att uppdelningen enligt propositionen äroklar och överlappande och därtill ej i överensstämmelse med riksdagenstillkännagivande . ÖCB har enligt motionärernas mening tilldelatsansvaret för säkerhetsarbetet och skall ha det i fortsättningen. Utskottet får med anledning av dessa motioner anföraföljande. Utskottet erinrar om att det var mot bakgrund av ett antalmotionsyrkanden om effektiviserad samordning av och parlamentariskt deltagande i ADB- FöUiy87/88:2 y säkerhetsarbetet,mm, som utskottet enigt uttalade att ÖCB bordekunna ges vidgade uppgifter i syfte att tillgodose det påtalade behovet avsamordning, kraftsamling och överblick inom ADB-säkerhetsomrädet, Utskottetkvarstår vid sin bedömning att det därmed inte finns några vägande skäl förinrättande av ett särskilt sårbarhetsorgan eller tillsättande av en Yrkandena 1 och 2 i motion 1987/ 88:Fö511(c) bör således avslås av . Utskottet har inhämtat att ett samråd upprättats mellanfrämst ÖCB och ■ statskontoret för att diskuterafram en lämplig,och preciserad roll- och ansvarsfördelning. Den inriktning somnu redovisas i propositionen beträffande ansvarsfördelningen utgår i hög gradfrån resultatet av hittillsvarande samråd, ett samråd som för övrigt ävenkommer att fortsätta med sikte pä en ytterligare precisering avansvarsförhållandena. Utskottet konstaterar vidare ånyo attADB-säkerhetsfrågorna och frågorna om samordning m.m. avADB-säkerhetsåtgärderna är mångskiftande och komplexa. Det handlar här om ettområde där den inom totalförsvaret gängse principen om att ett ansvar i fredäven utgör ett ansvar i kris och krig knappast kan iiga full tilliimplighet.Det gäller således att finna'en lämplig balans mellan dels principen omsystemanvändarens eget ansvar, dels nödvändigheten av central samordning ochöverblick över helheten och dels de olika specifika krav som ställs av olikaspecialintressenter inom ADB-området, Det perspektiv som försvarsutskottet har att anlägga pähär behandlade frågor avser hela samhället och hela spännvidden fred - kris - krig. Utifrån detta bredare perspektiv har det varit naturligt att - såsom metod att främja en effektiviserad och aktiver:id samordning av ADB-siikerhetsåtgärder - i första hand förorda att ÖCB ges vidgade uppgifter. Detta gör inte det arbete som kan bedrivas av bl,a, statskontoret inom dess verksamhetsområde mindre angeläget, ' ' , ' Utskottet har mot ovanstående bakgrund inga invändningarmot de första steg i riktning mot förnyade organisationsformer för ADB-säkerhetsarbetets samordning och bedrivande som redovisas i propositionen, 1 avvaktan på den vidare utvecklingen av samarbetet och ansvarsfördelningen mellan berörda ' myndigheteri den angivna färdriktningen - och i avvaktan pä att ÖCB i enlighet med regeringens programplaneanvisningar skäll ange " vilka resursbehov som följer av de nya uppgifterna - anser utskottet att inte bör uttala sig i enlighet med här behandlade motionsyrkan den. Utskottet avstyrker säledes bifall till motionerna 1987/88:Fö501 (fp); 1987/88:Fö526 (m). 1987/88:Fil5 (m). yrkande 3 samt 1987/ ■ ■ 88:Fil6(fp), yrkande 6, ' , ' : . 1 motion 1987/88:Fö511 (c) betonas som framgått ovan'atten decentralisering av datarcuistrcn \'orc en s;n'h:irhetsniinskaiidc åtgärd.Enligt liiotionä-rerna borilc riksd;igcii ge icgciiiigcii till k;lnna vad som imoticinen i deti;i ämne anförs. Utskottet ;\nser cmellonid inte att riksdagenbör tillkännage någon mening i denna fräga. Det ;ir visserligen liippenbärt attstora centrala datasystemär sårbara för störningar, men den tekniska utvecklingen i sig FöU 1987/88:2 ytenderar att verka i decentraliserande riktning. Dessutom har utskottetinhämtat att uppmärksamheten inom ADB-användande myndigheter och organ i ökandegrad kommit att riktas mot säkerhetsfrågor även i centrala system. Utskottetavstyrker nied hänvisning härtill bifall till detta motionsyrkande (yrk, 3). Imotion 1987/88:Fö526 (m), slutligen, tar motionärerna uppvissa frågor rörande sårbarhetsanalys, kryptering av sekretessbelagdinformation samt sammanställning och försäljning av information som kan varatill skada för rikets säkerhet. Motionärerna anser att alla myndigheter med ADB-registerbör göra en sårbarhetsanalys och bedöma eventuella störningar och att ensårbarhetsanalys bör läggas till grund för beslutsfattande om varje nyttregister, ett krav som bör ställas på statliga myndigheter genom tillägg ikommittékungörelsen. Beträffande datakommunikationernas sårbarhet anförmotionärerna bl,a. att skyddet mot avlyssning snabbt måste vidareutvecklasgenom förbättrade krypteringsmöjligheter. Motionärerna anser att regeringen börlämna förslagsom innebär krav på kryptering vid datakommunikation avsekretessbelagd information. Härutöver anförs att dagens moderna ADB-teknik ochdess oanade möjligheter till selektering och sammanställningar gör atthanteringen av en mängd i och för sig oskyldiga uppgifter kan skada riketssäkerhet. Med exempel från postens transportplaneringssystem understryks detangelägna i att pröva om vissa informationssammanställningar är godtagbara medavseende på rikets säkerhet. Med hänsyn till vad som i propositionen föreskrivsbeträffande genomförande av säkerhetsanalyser senast /90 finnerutskottet att motionsyrkandet om sårbarhetsanalys i så hög grad får ansestillgodosett att något ytterligare uttalande från sida inte ärbefogat. Beträffande övriga yrkanden utgår utskottet ifrån att de aspekter somdär behandlas noga beaktas inom ramen för det säkerhetsfrämjande ochsäkerhetssamordnande arbete som bedrivs. Härutöver torde dessa frågor kunnauppmärksammas i de förnyade direktiv till samrådsgruppen för samhälletssäkerhet inom dataområdet, SAMS, som aviseras! Utskottet anserdock inte att har anledning uttala någon mening om dessa frågor. Avdet anförda framgår att utskottet avstyrker bifall till här behandlade yrkandeni motion 1987/88:Fö526 (yrk, 2-4), Närvarande: i (). (), (). (), (). (), (), ().IréneVestlund (s). i (c). BarbroEvermo Palmerlund (s). () och (). Avvikandemening föu 1987/88:2 y i , och (alla m) anser att i den del avyttrandet - under - som på s. 6börjar med "Det perspektiv" och slutar med "mindreangeläget" sista meningen borde ha utgått.