prop · GN0386 · 2000-01-01 00:00:00 — Syftet med direktivet är att säkerställa tillgången till fasta allmänt tillgängliga telefonitjänster av god kvalitet inom hela gemen- skapen och att fastställa det utbud av tjänster till överkomliga priser som alla användare skall ha tillgång till (s.k. samhällsomfattande tjänster). Telelagen har ändrats för att överensstämma med direktivet. Bl.a. har det införts regler om vad abonnemangsavtal skall innehålla och om förfarandet vid avstängning av abonnemang. trädde även vissa regler om nummerportabilitet och förval i kraft. Med nummerportabilitet avses att en abonnent skall kunna behålla sitt telefonnummer när denne byter teleoperatör. Det infördes en skyldighet för teleoperatörer som tillhandahåller teletjänster i det fasta telenätet eller digital mobiltelefoni att införa funktioner i telenäten som medger att telefonnummer kan lämnas över till en annan teleoperatör om abonnenten begär det. Med förval avses att abonnenten skall ha möjlighet att, efter överenskommelse med valfri teleoperatör, få sina utgående samtal för en viss tjänst automatiskt kopplade via denne operatörs telenät. Tillståndshavare som tillhandahåller telefonitjänster i det fasta telenätet eller digital mobiltelefoni skall se till att abonnenterna har möjlighet att genom förval välja de tjänster som erbjuds av sam- trafikerande teleoperatörer. Regeringen har i syfte att öka konkurrensen och mångfalden på mobiltelemarknaden förelagt propositionen Ökad konkurrens på mobiltelemarknaden (prop. 1999/2000:57). I den föreslås att operatörer som innehar klient för mobila teletjänster skall tillgodose en begäran om att på marknadsmässiga villkor upplåta ledig kapacitet i nätet. Lag om radio- och teleterminalsutrustning Regeringen överlämnade en proposition om en ny lag om radio- och teleterminalutrustning m.m. (prop. 1999/2000:51). Genom lagförslaget genomförs och rådets direktiv /5/EG om radioutrustning och teleterminalutrustning och om ömsesidigt erkännande av utrustningens överensstämmelse. Lagen inne- håller regler om bl.a. mobiltelefoner och modem och sådana produkters användning, utsläppande och fria rörlighet på marknaden. Genom den nya lagen minskas omfattningen av de egenskapskrav som ställs på produkterna och procedurerna för bedömningen av överensstämmelse med dessa krav förenklas. Lagen föreslås träda i kraft , då direktivet skall börja tillämpas i medlemsstaterna. Skyddet av personuppgifter och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter antogs . Efter beslut av regeringen tillkallades en parlamentariskt sammansatt kommitté med uppgift att bland annat göra en total revision av datalagen och analysera på vilket sätt EG-direktivet om personuppgifter skulle genomföras i svensk lagstiftning. Kommittén antog namnet . avgav kommittén betänkandet Integritet-Offentlighet-Informationsteknik (SOU 1997:39). föreslog att datalagen skulle ersättas av en ny lag och personuppgiftslagen (1998:204) trädde i kraft . I samband med ikraftträdandet möttes lagens regler om överföring av personuppgifter till tredje land av kritik. Reglerna ansågs medföra en oönskad begränsning av möjligheten att använda sig av modern informationsteknik, som t.ex. elektronisk post eller elektroniska anslagstavlor. Flera exempel nämndes i debatten där en tillämpning av personuppgiftslagens regler ansågs leda till orimliga resultat eftersom uppgifterna bedömdes vara harmlösa i den meningen att en spridning av uppgifterna inte borde kunna leda till någon integritetskränkning. Detta ledde till en lagändring (prop. 1999/2000:11). är överföring är förbjuden till länder som har en adekvat nivå för skyddet av personuppgifter. Vidare har ringa fall av överträdelser av personuppgiftslagen avkriminaliserats. Ändringarna är nu genomförda och har trätt i kraft . Ny bokföringslag Den nya bokföringslagen (prop. 1998/99:130 trädde i kraft reglerar bl.a. kretsen av bokföringsskyldiga, räkenskapsår, löpande bokföring, avslutande av den löpande bokföringen och arkivering av räkenskapsinformation. Lagen syftar till att tillgodose behovet av skydd för det bokförings- skyldiga företagets borgenärer och det allmänna samt företagets ägare, medlemmar och anställda. Den är utformad som en ramlag och skall kunna tillämpas oberoende av vilken teknik som används vid bokföringen. I lagen används uttrycket räkenskapsinformation som beteckning för vissa i bokföringen förekommande sammanställningar av information. Räkenskapsinformation skall bevaras i vanlig läsbar form, i format som kan läsas med förstoringshjälpmedel eller i annan form som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel. Kravet på att varannan länk i bokföringskedjan skall vara i vanlig läsbar form (den s.k. varannanlänksprincipen) är borttagen. rättsliga observatorium IT-proposition framhölls att ett mål var att finna effektiva former för en kontinuerlig rättslig uppföljning av den snabba utvecklingen på IT-området. Inom har ett IT-rättsligt observatorium bildats. Dess inledande arbete beskrevs i regeringens skrivelse till 1998/99:2, avsnitt 4.1.10. Observatoriet har inom ramen för av IT- kommissionen prioriterade områden att självständigt ta upp de ämnen som Observatoriet finner anledning att belysa. Arbetet sker genom nätverk bestående av experter på olika rättsområden och även på vissa angränsande områden, t.ex. teknikutveckling, samt av jurister och andra inom företag, organisationer och myndigheter. Totalt omfattar nätverket nu närmare 130 personer. Seminarier och hearingar anordnas, ibland i samarbete med andra intressenter t.ex. och Nätverk för Europarättsforskning. Resultaten av Observatoriets projekt redovisas bl.a. i en särskild skriftserie. Projekt som bedrivs eller bedrivits är t.ex. rättspolitik på IT-området, dvs. grundläggande frågor rörande IT och rättsordningen, ny associationsrätt, konsumenträttigheter i informationssamhället, åtgärder mot s.k. spam (massutskick av e-post- meddelanden med reklam till personer som inte har begärt dem), e-post på arbetsplatsen samt digital straffrätt och straffprocessrätt. Informationssäkerhet Ett säkrare och stabilare Internet i IT-proposition framhölls det att det var angeläget att, med bibehållande av Internets öppna karaktär, öka uthålligheten i den organisation av gemensamma, konkurrensneutrala funktioner som krävdes för administrationen och utvecklingen av nätet. Syftet var också att minska nätets sårbarhet för störningar samt att undersöka för- utsättningarna att öka användbarheten genom ett regelverk som är tekniskt sunt avseende bl.a. namn- och adressplan, utveckling av vägvalsregister, administration av säkerhetsnycklar samt utveckling av en nationell sökstruktur. Avsikten var också att i detta arbete bygga vidare på den delvis unika kompetens på området som utvecklats i . Sammanfattningsvis var syftet att minska nätets sårbarhet för störningar samt att undersöka förutsättningarna att öka användbarheten genom ett regelverk som är tekniskt sunt. I det följande redogörs för utvecklingen på säkerhetsområdet. Adresseringssystemet på Internet Adresseringssystemet på Internet är viktigt för säker funktion av Internet. För att en adress på Internet skall kunna användas till att hitta rätt dator på nätet, måste det finnas en översättningsfunktion som omvandlar domännamnet (t.ex. ) till en adress som anger var på nätet datorn finns (t.ex. IP-numret 194.52.220.6). På så vis kan information skickas rätt över Internet. Det distribuerade system som fungerar som översättare mellan domännamn och nätadresser kallas domännamnssystemet (DNS). Många har möjlighet att göra ändringar i DNS, vilket medför risker, eftersom falska uppgifter öppnar möjligheter för obehöriga att styra om trafik, avlyssna eller förvanska information och störa transaktioner. Det har utvecklats en standard för säker hantering av domännamns- information Secure DNS (DNSSEC). Den statliga Domännamns- utredningen (K 1998:09) skall beakta utvecklingen av funktioner för att säkerställa informationskvaliteten i DNS samt föreslå åtgärder för att påskynda införandet av Secure DNS för toppdomänen .se. Utredningen skall att redovisa sina slutsatser . Oberoende drift av den svenska delen av Internet () har fått i uppdrag att utreda hur den svenska delen av Internet skall kunna drivas oberoende av funktioner utomlands (bl.a. vägvalsregister, domännamnssystemet och enhetlig nationell tidsangivelse) och hur detta skall kunna kontrolleras. Behovet av en testmiljö för detta ändamål, testmiljöns innehåll och inriktning skall också prövas. PTS skall särskilt uppmärksamma vilka krav som telelagen ger möjlighet att ställa på teleoperatörena inom detta område. Uppdraget skall redovisas . Knutpunkterna för den svenska delen av Internet placeras i skyddade anläggningar som PTS har låtit bygga på olika orter. Olika Internet- operatörers nät kopplas ihop i dessa knutpunkter där även DNS-servrar, tidgivningsservrar och andra gemensamma servrar placeras. De bergskyddade anläggningarna är fullträffskyddade mot precisions- styrda robotar och bomber. De har skydd mot EMP (elektromagnetisk puls från kärnvapen), HPM (högeffekt pulsad mikrovågsstrålning), stridsgas och brand. De har eget kylsystem, egen reservkraft och är anslutna till flera transmissionsnät. PTS för en dialog med i (som ansvarar för knutpunkterna) och teleoperatörerna om deras tekniska utveckling och hur näten bör förbättras av beredskapsskäl. PTS upphandlar åtgärder för att minska sårbarheten mot såväl fysisk bekämpning som IT-angrepp i fred och i krig. Flera knutpunkter kan anordnas när Internet och bredbandsnät utvecklas. Lagstiftning och regler som underlättar informationsutbyte Enligt IT-proposition kunde IT-utvecklingen inte bara vila på teknisk utbyggnad av infrastrukturen. Den tekniska utvecklingen skulle kompletteras med lagstiftning och regler som underlättade informations- utbytet. Utvecklingen måste ske stegvis och styras av användarnas behov. Nedan beskrivs utvecklingen för några säkerhetsfrågor inom området. Den svenska toppdomänen .se Det är ett samhällsintresse att den svenska delen av Internet fungerar väl. Det är därför viktigt att domännamn i handhas på ett sätt som garanterar god tillgänglighet hos Internetsystemet. Den statliga (K 1998:09) skall granska och utvärdera hur domännamn under huvuddomänen .se behandlas . Vid granskningen skall utredaren undersöka hur domännamnsinnehavarnas och andra användares behov av effektivitet, rättssäkerhet, teknisk funktionalitet, driftsäkerhet och kostnadseffektivitet tillgodoses. Den enskilde användarens behov skall särskilt beaktas. Även behovet av skydd för vissa personnamn, firmanamn, varumärken eller andra immateriella rättigheter vid tilldelningen av domännamn skall beaktas. Därvid ingår dock inte att överväga materiella ändringar i gällande bestämmelser. Om analysen ger anledning till det, skall utredaren lämna de författnings- förslag som behövs. Utredaren skall redovisa sina resultat . Elektroniska signaturer Elektronisk handel och annan elektronisk kommunikation kommer, i allt större utsträckning, att bedrivas mellan parter som inte är kända för varandra. Kraven på säker identifiering av motparten liksom kraven på skydd mot insyn i meddelanden kommer därför att växa. För att uppnå säker elektronisk kommunikation används olika former av krypterings- teknik. Det är vanligt att skilja på kryptering som görs för att skydda innehållet i ett meddelande från insyn och kryptering som görs för att skapa en s.k. digital signatur. En digital signatur säkerställer avsändarens identitet och skyddar ett dokument mot förvanskning. För att markera att man inte vill binda sig till den teknik som används för att framställa signaturer används inom EU i stället det mer teknikneutrala begreppet elektronisk signatur. I fortsättningen används genomgående detta begrepp. har arbetet med att utforma regler för att främja användningen av elektroniska signaturer och bidra till dess, rättsliga erkännande bedrivits . Detta arbete sker med beaktande av internationellt regleringsarbete, särskilt EG-direktivet om elektroniska signaturer. Frågan om elektroniska signaturer och regler som underlättar dess, användande har behandlats i departements- promemorian Digitala signaturer en teknisk och juridisk översikt (Ds 1998:14). Promemorian har legat till grund för svenska ståndpunkter i arbetet med Europeiska kommissionens förslag till direktiv om elektroniska signaturer. antogs Europaparla- mentets och rådets direktiv om ett gemenskapsramverk för elektroniska signaturer EG/99/93. Direktivet syftar till att främja användandet av elektroniska signaturer och bidra till deras rättsliga erkännande. Det är avsett att fastställa ett rättsligt ramverk för elektroniska signaturer och vissa certifikattjänster för att säkerställa en väl fungerande inre marknad. Inom har det utarbetats ett förslag till hur en svensk reglering om elektroniska signaturer skall se ut (Ds 1999:73). Utgångspunkten för den svenska regleringen är att skapa stabila spelregler för användare av elektroniska signaturer. Regleringen skall vara teknikneutral och öppen för den tekniska utvecklingen på området. Direktivets regel om elektroniska signaturers rättsliga verkan kommer inte att påverka svensk rätt nämnvärt, eftersom svensk rättsskipning bygger på principen om fri bevisprövning. Detta innebär att när en domare skall bedöma och värdera bevisningen är denne obunden av lagregler. Det finns således ingen begränsning i svensk rätt om att åberopa eller beakta elektroniska signaturer eller andra IT-tillämpningar som bevisning i en domstolsprocess. En proposition om elektroniska signaturer planeras att föreläggas och en lag om elektroniska signaturer skulle kunna träda i kraft . Ökad medvetenhet om sårbarhet och ökad säkerhet i IT-tillämpningar Enligt IT-proposition skulle användningen av IT breddas och utvecklas genom att medvetenheten ökades om sårbarhet i olika IT- tillämpningar och att den faktiska säkerheten höjdes. Vidare skulle kunskapen ökas om hur man skyddar sig mot olovlig verksamhet. Nedan kommenteras hur arbetet har bedrivits på några områden. Förberedelsearbetet inför skiftet Regeringen har prioriterat förberedelsearbetet inför skiftet . Regeringen beslutade att tillkalla en särskild delegation för att behandla frågor rörande omställningen av datorer och system vars funktioner måste ses över (dir. 1998:10). En delrapport lämnades till regeringen och en slutrapport kommer att lämnas . Regeringen har överlämnat två lägesrapporter beträffande omställ- ningsarbetet till , en (skr. 1998/99:40, bet 1998/99:TU4, rskr. 1998/99:149) och en (skr. 1998/99:111, bet. 1999/2000:TU3, rskr. 1999/2000:18). Slutligen redovisades läget inför skiftet till muntligen av näringsministern . Sammanfattningsvis konstaterar regeringen att ett omfattande arbete lagts ned av aktörerna samt att passerades utan allvarliga störningar i samhället. Statskontorets arbete Statskontoret skall stödja myndigheterna inom IT- och teleområdet, så att en enhetlig, säker och stabil elektronisk infrastruktur utvecklas inom det statliga området samt att villkoren förbättras och kostnaderna sänks för myndigheterna. Följande aktiviteter har genomförts: Det har skett en vidareutveckling och testverksamhet vad gäller användning av aktiva (smarta) kort inom offentliga sektorn, bl.a. genom Statskontorets upphandling av aktiva kort med tillhörande krypterings- och certifikattjänster. Korten används vid inloggning i den egna organisationens IT-system, för säker kommunikation inom organisa- tionen eller med omvärlden, för elektronisk signering i verksamheten m.m. Vidare pågår arbete vid Statskontoret och andra myndigheter vad gäller utveckling av ett spridnings- och hämtningssystem (SHS) för effektivt och säkert informationsutbyte mellan myndigheter och andra organisationer samt mellan myndigheter och allmänheten. SHS är en generell dokumenttransportör mellan olika verksamhetssystem. Genom en gemensam standard för informationsutbytet kan effektiviteten ökas som kostnaderna minskas. Dessutom förenklas informations- utbytet mellan medborgare, företag och offentlig sektor. Statskontoret har publicerat i IT-säkerhet. ger en allmän introduktion till området IT-säkerhet och informationssäkerhet samt råd avseende policy, ansvar och organisation av säkerhetsarbetet samt anvisningar för genomförande av skyddsåtgärder. Den är avsedd att användas av såväl större som mindre organisationer inom den offentliga sektorn och näringslivet. Det pågår också ett annat handboksprojekt, , mellan , och Statskontoret. CIRT står för Computer Incident Response Team och handboken inne- håller råd för hantering av IT-relaterade incidenter (tillbud och olyckor). Målgruppen utgörs av organisationer inom den offentliga sektorn samt näringslivet och handbokens syfte är att öka dessa organisationers förmåga att agera effektivt vid incidenter. Ledningsystem för informationssäkerhetet Ett projekt med deltagare från såväl industriföretag, säkerhetskonsulter och IT-revisorer som Statskontoret och SAF/Näringslivets säkerhets- delegation har resulterat i den nya svenska standarden SS 62 77 99, Ledningssystem för informationssäkerhet. Det är en direkt översättning en brittisk standard. Standarden är inriktad på alla former av informationshantering, oavsett om den är IT-stödd eller inte. Standarden berör tre olika områden, tillgänglighet (att behöriga användare har tillgång till informationen), riktighet (att informationen är korrekt) och sekretess (att obehöriga inte kommer åt informationen). Standarden kan användas som grund för tredjepartscertifiering av företags ledningssystem för informations- säkerhet, men den kan också användas som grund för självutvärdering. Styrelsen för ackreditering och teknisk kontroll (SWEDAC) har utarbetat en ordning för ackreditering (kontroll av kontrollörer) av certifieringsorgan inom område. kommer den första ackrediteringen att ske. I arbetet med att inleda pilotcertifieringar deltar ett 30-tal intressenter som representerar företag, myndigheter och organisationer. och en myndighet arbetar med målsättningen att bli certifierade under första hälften av . Certifiering mot standarden för informationssäkerhet bedöms av SWEDAC få mycket stor betydelse , t.o.m. lika stor som för ISO 9000 (kvalitetsledningssystem), både inom svenskt näringsliv och offentlig förvaltning. Det är ett frivilligt sätt att visa att man arbetar medvetet med dessa säkerhetsfrågor. Certifieringen beräknas också att få en central roll inom området elektroniska signaturer då certifikatutfärdare kommer att behöva visa sin kompetens och oberoende. Detta sker genom att de ackrediterade certifieringsorganen gör löpande bedömningar av deras organisation och verksamhet mot kraven i SS 62 77 99 medverkar i det internationella samarbetet kring ISO/IEC standarden IS 15408 Evaluation Criteria for genom och Försvarsmakten. Det är en standard för säkerhetscertifiering av IT-system och IT-produkter. Till skillnad från SS 62 77 99 är detta en produktcertifiering, dvs. avser IT-säkerheten hos enstaka produkter och tekniska system. Detta är av speciellt intresse för samhällskritiska tillämpningar och för inbyggd datorutrustning och program i sådana system. Kryptografi och Statskontoret har, var för sig, inkommit med ett förslag om organisation för hantering av certifikat och krypteringsnycklar i . Dessa frågor bereds inom . Som en del i detta arbete har regeringen givit Statskontoret i uppdrag att utreda behoven av åtgärder för att tillgodose kraven på säker elektronisk överföring av dokument och meddelanden till, från och inom statsförvaltningen. Statskontoret skall utreda vilka olika typer av certifikat och övriga tjänster rörande kryptonycklar för olika ändamål som behövs i myndigheternas verksamhet. Statskontoret skall redovisa vilka krav som bör ställas på de olika certifikaten och tjänsterna och därvid beakta det arbete som pågår inom EU med ett direktiv om elektroniska signaturer. Arbetet bedrivs, i enlighet med uppdraget, tillsammans med sex myndigheter som har stora behov av att utveckla elektroniska tjänster, nämligen , , , Centrala studiestöds- nämnden, och . Rapporten (Infrastruktur för säker elektronisk överföring till, från och inom statsförvaltningen), rapport 2000:7, har överlämnats till regeringen . Inom näringslivet pågår en omfattande utveckling av kryptoprogram för civil användning. Telekommunikationer Inom telekommunikationsområdet har () initierat två projekt för att förbättra skyddet mot IT-angrepp. Det första handlar om intrångsanalyser och det andra är ett tvåårigt projekt med rapporter om intrångsincidenter från teleoperatörerna. PTS har initierat intrångsanalyser med hjälp av s.k. aktiv IT-kontroll hos teleoperatörerna. En grupp med kvalificerade IT-säkerhetsexperter har fått i uppdrag att pröva om det går att utifrån, via telenät, ta sig in i teleoperatörens styr- och övervakningsnät. Efterföljande analyser skall leda till att åtgärder vidtas för att försvåra intrång. PTS delfinansierar analyserna av beredskapsskäl. PTS får del av resultaten av intrångsanalyserna och de motåtgärder som teleoperatören vidtar av kommersiella skäl. Skyddsåtgärder mot fientliga angrepp i större skala analyseras. Preliminärt kan sägas att analyserna har givit underlag för åtgärder som vidtagits av berörda operatörer. PTS avser att starta ett projekt som försöksvis under skall ta emot rapporter om intrångsincidenter från teleoperatörerna, för att analysera dem och informera andra operatörer om hur angreppsmetoder förändras och på vilket sätt skydd och motåtgärder kan åstadkommas. Vad gäller telekommunikationssäkerhet inom totalförsvaret har Försvarsmakten uppgiften att leda och samordna totalförsvarets signal- skyddstjänst. Denna verksamhet har varit mycket framgångsrik. Det finns kryptosystem, godkända för att skydda text-, fax-, tal- och datameddelanden med försvarssekretess, inom mer än fyrtio centrala totalförsvarsmyndigheter och många av deras regionala och lokala enheter. System används även av försvarsindustrin och i internationellt arbete. Hos varje användare leds och utförs signalskyddsverksamheten av utbildad personal. Ett lätthanterligt system för starkt skydd av elektronisk post saknas dock fortfarande, huvudsakligen beroende på brister i datasäkerheten. Inte heller har system för kryptering av mobiltelefon- samtal på ett för totalförsvarets behov säkert sätt anskaffats i tillräcklig mängd. För kryptering av information som inte omfattas av försvarssekretess finns produkter på marknaden. Försvarsmakten kan biträda myndig- heterna i bedömningen av systemens kryptologiska styrka. Funktion för IT-incidenthantering Incidentrapportering är ett strategiskt verktyg när det gäller informationssäkerhet. Regeringen har i Förändrad omvärld omdanat försvar (prop. 1998/99:74) behandlat inrättandet av en IT-incident- hanteringsfunktion. för att övervaka i första hand statsförvaltningens informationssystem. Syftet med en sådan funktion är att kunna skilja mellan osystematiska och okvalificerade angrepp å ena sidan, och kvalificerade, systematiska angrepp å den andra. Funktionen för hantering av IT-incidenter skulle fungera både som driftövervaknings- central och kvalificerad rådgivare vid fel eller större störningar i nätet samt innehålla s.k. responsfunktioner, vilket bl.a. innebär att i realtid kunna spåra ursprunget till ett dataangrepp. bör även privata organisationer för hantering av IT-incidenter (teleoperatörer, Internet- operatörer, intressorganisationer m.fl.) via avtal kunna ansluta sig. Regeringen uppdrog åt att utreda förutsättningarna för att inrätta en särskild funktion för hantering av IT-incidenter. I uppdraget ingår att utarbeta ett förslag på hur funktionen skall organiseras (huvudman, bemanning, rapportering m.m.) för ett system med rapportering av IT-incidenter, sammanställning av statistik och analyser av incidenter.