prop · GN0386 · 2000-01-01 00:00:00 — Att på grundval av betänkandet Ds 1999:73 föreslå en lag om elektroniska signaturer med syfte att underlätta användningen av sådana. Insatser för att öka IT-kompetensen Regeringens insatser för att öka IT-kunskaperna beskrivs närmare i avsnitt 5.4 Kompetens. Bland åtgärderna kan nämnas: Fortsätta den särskilda satsningen på IT i skolan (ITiS) 2001. skall medverka till utveckling av IT:s användning i skolan. Satsning för att öka IT-kompetensen i småföretag bör genomföras med start . Kvinnors användning av IT kartläggs. Ökning av antalet högskoleplatser över hela landet med 20 2000 och drygt 10 000 för vart och ett av . Tyngdpunkten skall ligga inom det naturvetenskapliga och tekniska området. KTH gör en satsning på ett IT-universitet i . Behovet av kompetens på IT-området har ökat kraftigt, t.ex. inom området nätutbyggnad och IP-teknik. Högskolorna bör beakta detta i dimensioneringen av utbildningen av IT-specialister av olika slag. Resursförstärkning för utbyggnad av ett kluster med inriktning mot kiselteknik. Etablering av ett för Internetteknik med delvis virtuell struktur inom högskolesektorn. Insatser för ökad kompetensutveckling i arbetslivet. Insatser för att öka tillgängligheten Insatser för att öka tillgängligheten beskrivs närmare i avsnitt 5.5 Tillgänglighet. Bland åtgärderna kan nämnas: Förslag om ändring i ledningsrättslagen så att utbyggnad av infra- struktur för kommunikation med hög överföringskapacitet underlättas. Förslag till nationellt IT-infrastrukturprogram. Ett kommersiellt stomnät som avses nå alla kommun- huvudorter. Ett statligt stöd för de regionala ledningsförbindelser som prioriteras av regional- och näringspolitiska skäl och som inte bedöms komma till stånd på helt kommersiella grunder. Ett statligt stöd till kommuner för att möjliggöra abonnentanslutning med hög överföringskapacitet i glest bebyggda områden. Skattelättnad för att stimulera anslutning till nät med hög överförings- kapacitet. Frågan om tillgång till accessnät genom lagstiftning bereds i . Utredning om åtgärder för att förebygga risker för lokal mono- polisering av fastighetsnät för bredbandsanslutning. Försöksverksamhet för bredband till funktionshindrade inleds med att en förstudie genomförs. En strategi utformas för att effektivisera och underlätta tillhanda- hållandet av den offentliga informationen och utvecklingen av elektroniska informationstjänster. En samlad redovisning av statistik om information- och kommunika- tionsteknik inom ramen för den officiella statistiken. Insatser inom några användningsområden Insatser inom några användningsområden beskrivs närmare i avsnitt 5.6 Användningen av IT. Bland åtgärderna har nämnts: Utveckling av s.k. 24 timmarsmyndigheter, som är elektroniskt till- gängliga för informationsgivning och elektronisk självbetjäning dygnet runt, Åtgärder för att snabbt få till stånd för statsförvaltningen gemensamma säkerhetslösningar som innefattar system för hantering av elektroniska signaturer. Regeringen bedömer att arbetet måste intensifieras och har därför uppdragit åt att i samverkan med , samt Statskontoret föreslå hur ansvaret för utfärdande och administration av certifikat och elektroniska signaturer bör organiseras inom statsförvaltningen, Ett förslag till hur EU-direktivet om elektronisk handel skall införlivas i svensk lagstiftning skall utarbetas. Regeringen avser att återkomma till i dessa frågor, Regeringen skall verka för ökad information och ökat förtroende hos konsumenter och små och medelstora företag för användande av elektronisk handel, En nationell handlingsplan för utveckling och förnyelse av sjukvården, inklusive användning av IT, skall upprättas, En samarbetsgrupp inom och med medverkan från bör etableras för att vidareutveckla de nationella förutsättningarna för en breddad användning av telemedicin, Försök bör göras i olika typer av boendemiljöer för att öka medborgarnas insyn och delaktighet i politiska beslutsprocesser, Lagstiftningen bör samordnas inom tele-, data- och massmedie- områdena, Frågan om fortsatt utbyggnad av marksänd digital-TV skall avgöras av . Regeringen avser att återkomma till i denna fråga, Lagen om anställningsskydd ändras så att anställningstryggheten blir oberoende av var den distansarbetande arbetstagaren bor i förhållande till huvudarbetsplatsen, En särskild delegation tillsätts för att kartlägga hur IT-tillämpningar i högre grad kan utnyttjas för att minska miljöpåverkan och främja en hållbar utveckling, Staten skall vara ett föredöme i att ställa tillgänglighets- och miljökrav vid IT-upphandling i överensstämmelse med EG-rätten, Börsintroduktion av syftar till att ge företaget ännu större möjligheter att utveckla sitt utbud av nät och tjänster. 5.3 Tillit till IT 5.3.1 Allmän inriktning Regeringens bedömning: Regler och system på IT-området bör vara sådana att de skapar förtroende genom att vara - säkra, förutsägbara och teknikneutrala, - internationella, - skydda individens integritet. Skälen för regeringens bedömning: Samhället är betydligt mer sårbart . De öppna kommunikationsstandardernas snabba utveckling har inneburit att gårdagens system med stordatorer i stor utsträckning ersatts av distribuerade system för persondatorer i nätverk. Detta har medfört en högre grad av informationsutbyte inom och framför allt mellan organisationer. Nya tjänster växer fram genom Internet. Sammankopplingen av kommunikation mellan system ökar exponeringen av den information som hanteras. Detta för med sig att hoten mot systemen ändrar karaktär. Bristande säkerhet kan medföra störningar i informationshantering och informationsutbytet. Företagens IT-användning och IT-sektorns utveckling är viktiga faktorer för en ökad tillväxt i . Användningen och utvecklingen får inte begränsas av brister i lagstiftning som medför minskad vilja att investera i och utveckla IT. Exempelvis patentskydd och säkerhet är två viktiga områden där en tydlig lagstiftning är av vikt. Individens skydd är också viktigt, både för individen som konsument och för individen som samhällsmedborgare. Den osäkerhet som många människor upplever inför IT hindrar en effektiv användning. Osäkerheten rör dels integritetsfrågor, dels den ekonomiska sidan. Om individer exempelvis skall våga göra elektroniska affärer måste konsumentskyddet vara likvärdigt med det som gäller vid traditionell handel. Dessutom måste betalningen vara trygg och smidig. Den personliga integriteten måste också skyddas då myndigheter och företag använder datoriserade system i allt större utsträckning, gällande t.ex. socialförsäkring och sjukjournaler. Därför behövs en tydlig lag- stiftning i dessa frågor. 5.3.2 Informationssäkerhet Begrepp och definitioner Det finns olika begrepp som beskriver säkerhet kring elektronisk informationshantering. Informationssäkerhet, som är det övergripande begreppet, omfattar IT-säkerhet (traditionell datasäkerhet) och admini- strativ säkerhet som är relaterad till hantering av information i olika verksamheter. Begreppet IT-säkerhet används för att beskriva skydd av information i informationsbehandlande tekniska system. IT-säkerhet kan delas upp i ADB-säkerhet (bearbetning och lagring) och kommunikationssäkerhet. Administrativ säkerhet avser regler för personal, säkerhetsklassifice- ring av information m.m. Fortsättningsvis kommer huvudsakligen det vidare begreppet informationssäkerhet att användas. I följande avsnitt behandlas även ämnesområdet informationsoperationer. Informationsoperationer är samlade och samordnade åtgärder i fred, kris och krig till stöd för politiska eller militära mål genom att påverka eller utnyttja motståndares eller annan utländsk aktörs information och informationssystem. Det kan ske genom att utnyttja egen information och egna informationssystem som dessa också måste skyddas. Ett viktigt inslag är att påverka beslutsprocesser och beslutsfattande. Det finns både offensiva och defensiva informationsoperationer. De genomförs i politiska, ekonomiska och militära sammanhang. Exempel på informationsoperationer är t.ex. informationskrigföring, massmedie- manipulation, psykologisk krigföring och underrättelseverksamhet. Defensiva informationsoperationer är samordnade och samlade åtgär- der i fred, kris och krig avseende policy, operationer, personal och teknik för att skydda och försvara information, informationssystem och förmåga till rationellt beslutsfattande. I följande avsnitt behandlas främst skyddet mot informationsoperationer. Informationssäkerhetsarbetet Regeringens förslag: Ansvaret för informationssäkerheten skall även fortsättningsvis ligga hos de myndigheter, företag och organisationer som har det normala verksamhetsansvaret. Regeringens bedömning: För den närmaste framtiden bör tre områden prioriteras: skydd mot informationsoperationer, ett säkrare Internet samt elektroniska signaturer och annan säkerhetsteknik. En tvärsektoriell samordning för IT-säkerhet och skydd mot informationskrigföring bör utformas. Bakgrund till regeringens förslag: gav med anledning av IT-proposition regeringen tillkänna sin syn på behovet av ett mer samlande och samordnande ansvar för IT-säkerhetsfrågorna än (bet. 1995/96:TU:19, rskr. 1995/96:282). I det sammanhanget skulle behovet av att koordinera medverkan i det internationella IT-säkerhetsarbetet beaktas. ansåg vidare att regeringen skulle återkomma till med en utvecklad strategi på IT-säkerhets- området, där regeringen preciserar statens ansvar och anger hur säkerhetsarbetet inordnas i det nationella handlingsprogrammet för IT samt hur säkerhetsarbetet bör organiseras. Regeringen beslutade att uppdra åt Statskontoret att ta fram en sammanhållen strategi som preciserar statens ansvar och anger hur säkerhetsarbetet kan inordnas i det nationella handlingsprogrammet för IT samt hur arbetet med IT-säkerhetsfrågor bör organiseras och fördelas mellan olika statliga myndigheter. Regeringens syn på arbetet har breddats från IT-säkerhet till informationssäkerhet och informationsoperationer. Utvecklingen redovisas närmare i bilaga 1. har regeringen behandlat informationsoperationer och informationssäkerhet i propositionerna Förändrad-omvärld omdanat försvar (prop. 1998/99:74) och Det nya försvaret (prop. 1999/2000:30). Flera pågående utredningar och uppdrag berör informationssäkerhets- området och överväger om åtgärder behövs. Några av dessa utredningar och uppdrag redovisas nedan. Av regeringen tillsatta utredningar Kommissionen för analys av informationsteknikens påverkan på samhällsutvecklingen (, dir. 1998:38) skall bistå regeringen i dess arbete med IT-frågor genom att ge råd och föreslå konkreta åtgärder samt medverka till att information sprids till allmänheten. har inrättat ett observatorium för informationssäkerhet vars främsta uppgifter är dels att peka ut problemen och föreslå åtgärder till regeringen, dels att sprida information om vikten av informationssäkerhet. beslutade regeringen att tillkalla en särskild utredare med uppdrag att utreda hur domännamn skall behandlas inom den svenska delen av Internet (dir. 1998:71). Utredningen skall granska och utvärdera hur domännamn under huvuddomänen .se behandlas . Utredningen skall bl.a. beakta utvecklingen av funktioner för att säkerställa informationskvaliteten i domännamnssystemet (DNS) samt föreslå åtgärder för att påskynda införandet av Secure DNS, en standard för säker hantering av domännamnsinformation, för toppdomänen .se. Utredningen skall redovisa sina slutsatser . Regeringen har beslutat om direktiv för en särskild utredare med uppgift att lämna förslag till principer för att åstadkomma en förbättrad helhetssyn när det gäller planeringen för civilt försvar och beredskapen mot svåra påfrestningar på samhället i fred (dir. 1999:63). Utredaren skall, efter analys av nuvarande ansvars- och rollfördelning, föreslå hur utformningen av en tvärsektoriell samordning för IT-säkerhet och skydd mot informationskrigföring bör utformas. Utredningen skall redovisa sina slutsatser . Av regeringen beslutade uppdrag Regeringen har överlämnat två lägesrapporter beträffande omställnings- arbetet till , en (skr. 1998/99:40, bet 1998/99:TU4, rskr. 1998/99:149) och en (skr. 1998/99:111, bet. 1999/2000:TU3, rskr. 1999/2000:18). Näringsministern redovisade läget inför skiftet inför . Inga stora felfunktioner i infra- strukturen som kan hänföras till omställningen har rapporterats. 2000- delegationen lämnar en slutlig redovisning av sitt uppdrag. Regeringen beslutade att ge () i uppdrag att granska den statliga förvaltningens insatser för att säkerställa den statliga verksamheten och viktiga samhällsfunktioner i samband med IT-omställningen . Uppdraget skall redovisas . () har genom en ändring i myndighetens instruktion bl.a. till uppgift att följa utvecklingen av säkerheten vid elektronisk informationshantering. PTS har fått flera uppdrag inom informationssäkerhetsområdet. Regeringen beslutade således att uppdra till PTS att utreda förutsättningarna för att inrätta en särskild funktion för IT- incidenthantering. En IT-incidenthanteringsfunktion syftar till att motverka angrepp på informations- och kommunikationstekniska system och infrastrukturer. PTS skall bl.a. föreslå lämplig ansvarsfördelning mellan aktörerna, klarlägga behov av samarbete och kanaler för informationsförmedling m.m. för en sektorsövergripande funktion för IT- incidenthantering. Uppdraget skall redovisas . Regeringen beslutade vidare i regleringsbrevet för PTS att myndigheten skall utreda hur den svenska delen av Internet skall kunna drivas oberoende av funktioner utomlands bl.a. vägvals- register, domännamnssystemet och enhetlig nationell tid och hur oberoendet skall kunna kontrolleras. Behovet av en testmiljö för detta ändamål, testmiljöns innehåll och inriktning skall också prövas. PTS skall särskilt uppmärksamma vilka möjligheter telelagen ger att ställa krav på teleoperatörerna inom detta område. Uppdraget skall redovisas . och Statskontoret har, var för sig, inkommit med förslag om organisation för hantering av certifikat och krypteringsnycklar i . Dessa frågor bereds inom och som en del i detta arbete har regeringen givit Statskontoret i uppdrag att utreda behoven av åtgärder för att tillgodose kraven på säker elektronisk överföring av dokument och meddelanden till, från och inom statsförvaltningen. Statskontoret har lämnat in första redovisning av detta uppdrag i rapporten kommunikation i statsförvaltningen. tillsatte regeringen en arbetsgrupp inom om informationskrigföring (Ag IW, Fö 1997:A) med uppdrag att följa utvecklingen av hot och risker inom området informationskrigföring. I gruppens uppgifter ingår också att sprida kunskap om vad informationskrigföring innebär, komma med förslag till ansvarsfördelning samt föreslå riktlinjer för en strategi på området. Arbetsgruppen har lämnat två rapporter till regeringen. Förslagen från gruppen har behandlats i propositionen Förändrad omvärld omdanat försvar (prop. 1998/99:74). Arbetsgruppen har bl.a. pekat på att ett viktigt inslag i arbetet med att minska sårbarheten i informationssystem är aktiv IT-kontroll. Aktiv IT- kontroll innebär att kvalificerade IT-säkerhetsexperter tillåts undersöka informationssystem i syfte att finna sårbarheter. Arbetssättet har visat sig fungera väl när det gäller att bl.a. identifiera allvarlig sårbarhet i komplexa informationssystem och nätverk. Regeringen överväger att genomföra en sådan övningsverksamhet som redovisats ovan. De närmare formerna skall emellertid prövas ytterligare. Regeringen har i regleringsbrev för avseende Försvarsmakten, uppdragit åt Försvarsmakten att genomföra en förberedande övning för att öka säkerheten i samhällsviktiga informationssystem. Försvarsmakten skall vidare redovisa ett förslag till en metod för hur aktiv IT-kontroll kan bedrivas i informationssystem av samhällsviktig karaktär. I regleringsbrevet fick ÖCB i uppdrag att, i samråd med berörda funktionsansvariga myndigheter och Försvarsmakten, redovisa i vilken utsträckning sårbarheten hos den civila infrastrukturen kan be- dömas vara gränssättande för totalförsvarsförmågan under vissa antaganden. Denna utredning, har uppmärksammat de inbördes beroenden som finns mellan el, tele- och IT-system. Mot bakgrund av detta betonar ÖCB vikten av att denna konvergens beaktas i en framtida utbyggnad av kommunikationsvägarna, eftersom dessa kommer att bli av största betydelse för den civila beredskapen. ÖCB redovisade uppdraget . Ärendet bereds inom . Statskontorets rapport: överlämnade Statskontoret rapporten strategi för samhällets IT-säkerhet (1998:18). I denna har Statskontoret formulerat övergripande mål, roller och ansvars- fördelning för informationssäkerhetsarbetet. Rapporten överensstämmer till vissa delar med regeringens förslag. Några områden som Statskontoret har lämnat förslag inom är emellertid föremål för andra utredningar. Det övergripande ansvaret för informationsförsörjningen i alla viktiga samhällsfunktioner bör enligt Statskontorets ytterst ligga på regeringen och det statsråd som har ansvaret för IT-frågorna. Det övergripande ansvaret för statens egen informationsförsörjning bör ligga på det statsråd som har ansvaret för den statliga förvaltningsstrukturen. För att möjliggöra en bred samverkan i informationssäkerhetsfrågor på hög nivå föreslår Statskontoret att ett rådgivande organ knyts till regeringen med företrädare för alla delar av samhället. Det verkställande ansvaret inom säkerhetsområdet bör åvila de myndigheter som var och en inom sitt område har ett delansvar. Statskontoret föreslår att () får i uppdrag att koordinera detta arbete. Enligt rapporten skall ÖCB även få ansvar för en samordnad incidentrapportering för statsförvaltningens IT-system. I rapporten skriver Statskontoret att det finns brister i samordningen av deltagande i det internationella arbetet kring informations- säkerhet. Den ökande användningen av Internet föranleder Statskontoret att ta med Internet i strategin och föreslå åtgärder för den svenska delen av Internet. Remissinstanserna: Statskontorets rapport remissbehandlades . Remissinstanserna är överlag positiva till rapporten. Flertalet anser att det är angeläget med en strategi på området. Flera remissinstanser anser att elektroniska signaturer och kryptering borde ha behandlats utförligare i rapporten. Remissyttrandena finns samlade i ärende med dnr N1999/504/ITFoU. Få remissinstanser har kommenterat förslaget till hur arbetet skall bedrivas inom regeringen. Länsrätten i menar att ansvaret bör samlas på så få händer som möjligt, t.ex. en samordningsfunktion inom Statsrådsberedningen. Försvarsmakten vill att en särskild IT- säkerhetsminister utses, utöver det statsråd som har ansvar för IT- frågorna, så att dessa frågor inte skapar intressekonflikter. Några remissinstanser har kommenterat rapportens förslag om ett rådgivande organ knutet till regeringen. Länsrätten i vill placera organet i Statsrådsberedningen. , IT- kommissionen, och är positiva till förslaget. En instans, 2000-delegationen, anser att ett rådgivande organ riskerar att missuppfattas om det inte får en klar och tydlig uppgift. De remissinstanser som har kommenterat principen om myndig- heternas ansvar är positiva till denna. Vad gäller det internationella arbetet framför några remissinstanser att uppdelningen mellan olika myndigheter måste vara tydlig. Skälen för regeringens förslag och bedömning: Regeringen anser med anledning av den snabba utvecklingen inom området att IT- säkerheten måste ses i ett större sammanhang. IT-säkerheten är en viktig del i samhällets skydd mot intrång i fredstid, informationsoperationer och informationskrigföring. IT-säkerhet kan därför inte behandlas som en enskild fråga. I den ekonomi som utvecklas är tilliten till information och informationssystem viktig för tillväxt och konkurrenskraft. I takt med att behovet och värdet av information ökar i både, näringslivet och i den offentliga sektorn, ökar behovet av att skydda informationen. Det är nödvändigt med ett fortsatt och fördjupat arbete kring frågor som rör skyddet mot informationsoperationer, informationssäkerhet och IT-säkerhet. Regeringen har tidigare konstaterat att frågan om samhällets sårbarhet i detta hänseende är av stor säkerhetspolitisk betydelse. Regeringens insatser på informationssäkerhetsområdet skall inriktas på att skapa förtroende för den nya tekniken genom att bidra till bättre generella förutsättningar för informationssäkerhetsarbetet. Vidare skall spela en aktiv roll i det internationella arbetet inom området. Arbetet med att organisera ett mer samlande och samordnande ansvar för informationssäkerhetsfrågor. Regeringen har i propositionen Det nya försvaret (prop. 1999/2000:30) konstaterat att informationssäkerhetsarbetet måste ske hos de myndigheter, företag och organisationer som har det normala verksamhetsansvaret. Att respektive myndighet vidtar åtgärder för att säkerställa detta faller därmed inom ramen för det departements ansvars- område till vilket myndigheten etc. lyder. Sedan begärde att regeringen ytterligare skulle samla och samordna arbetet inom IT-säkerhetsområdet (prop. 1995/96:125, bet.1995/96:TU19, rskr. 1995/96:282) har frågan breddats och flera utredningar har belyst området. Såväl arbetsgruppen om informations- krigföring och Statskontoret har i sina rapporter understrukit vikten av en bättre samordning av IT-säkerhetsarbetet och skyddet mot informations- krigföring. Regeringen delar utredningarnas bedömningar att samordningen behöver förbättras. Frågan om vad samordningsansvaret bör omfatta, och hur det skall organiseras, behandlas inom ramen för en utredning om det civila försvaret och beredskapen mot svåra påfrestningar på samhället i fred. Som har redovisats har regeringen beslutat om direktiv (dir. 1999:63) för en särskild utredare med uppgift att lämna förslag till principer för att åstadkomma en förbättrad helhetssyn när det gäller planeringen för civilt försvar och beredskapen mot svåra påfrestningar på samhället i fred. Utredaren skall bl.a., efter analys av nuvarande ansvars- och roll- fördelning, föreslå hur utformningen av en tvärsektoriell samordning för IT-säkerhet och skydd mot informationskrigföring bör utformas. Det är naturligt att i detta samarbete beakta frågan om medverkan i det internationella arbetet inom området. Vad gäller frågan om incidentrapportering behandlade regeringen den i Förändrad omvärld omdanat försvar (prop. 1998/99:74) och i Det nya försvaret (prop.1999/2000:34). Som tidigare nämnts beslutade regeringen att ge i uppdrag att utreda förutsättningarna för att inrätta en särskild funktion för IT- incidenthantering, inklusive incidentrapportering. Regeringen fäster stor vikt vid de internationella frågorna i informationssäkerhetsarbetet. skall även ha en aktiv roll i det internationella arbetet med dessa frågor. Ett omfattande arbete pågår inom näringslivet, hos vissa myndigheter och inom sjukvården när det gäller införande och användning av den internationella informationssäkerhetsstandarden (SS 62 77 99) för att trygga en säker informationshantering. Detta frivilliga arbete bedöms få stor betydelse . Inom området informationsoperationer finns det anledning att delta i den internationella utvecklingen och samarbetet. Ansvarsfördelning ingår IT-system eller ett beroende av IT-system i nästan all verksamhet i samhället. Arbetet med IT-omställningen har tydligt visat detta. I dagens samhälle är det i princip omöjligt att urskilja informationssystem och därmed informationssäkerheten ur den dagliga verksamheten. Vad gäller verksamhetsansvar, att varje myndighet ansvarar för den egna verksamhetens informationssäkerhet, finner regeringen att Statskontorets förslag är vad som gäller och ser ingen anledning att ändra detta. Varje myndighet har ett självständigt förvaltningsansvar. Detta ansvar framgår av myndighetens instruktion och verksförordningen.