prop · GP0310 · 2001-09-27 00:00:00 — I takt med att infrastrukturer automatiserats och integreras i allt större omfattning har nya sårbarheter inför både fysiska angrepp och informationsangrepp skapats. För nationens väl måste varje manipulation av dessa kritiska funktioner eller varje avbrott som kan komma att uppstå vara begränsat, sällan förekommande, hanterbart, isolerat och i så liten utsträckning som möjligt skadligt. Informationssäkerhet bygger på ett stort antal åtgärder för att hantera risker. För att minska beroendet av ett system eller en tjänst och därmed kunna minska sårbarheten har alternativa möjligheter avgörande betydelse. Det är dock kostsamt att ständigt ha alternativa möjligheter i beredskap och därför är det viktigt att vidta åtgärder som omfattar alla delar i den generella säkerhetskedjan enligt den s.k. SUR-modellen (skydda upptäcka reagera). Skydd kan inte byggas upp utifrån en föreställning om att det är absolut säkert, dvs. baseras på ett statiskt skyddstänkande. Istället anser regeringen att ett dynamiskt skyddstänkande bör råda, vilket indirekt innebär att informationssäkerhet inbegriper ett visst mått av medvetet risktagande. skall skyddet vara så bra att det medger upptäckt vid försök till angrepp för att hindra eller begränsa detsamma. Säkerhetsfrågorna bör beaktas som en naturlig och grundläggande komponent vid utveckling inom IT-området. Säkerhetsfunktioner bör så långt möjligt byggas in i system från början. faktorer måste tillföras i efterhand kan detta medföra problem med ökade kostnader som följd. uppdateras i befintliga system. Särskilt viktigt är detta vid utveckling av samhällsviktiga system och funktioner. således ha en tvärsektoriell förankring, då möjliga angreppspunkter finns inom de flesta sektorer och risken för spridning till andra är stor. Förändring av säkerhet förutsätter en ständig vaksamhet, översyn och vidareutveckling i och kring informationssystem. Härigenom kan förtroendet bevaras och ökas. Det hjälper således inte att exempelvis den tekniska säkerheten är hög om något av de andra områdena har förbisetts. Regeringen anser att säkerhetskravet på informationssamhället medför att en övergripande strategi för samhällets hantering av informationssäkerhet och skydd mot informationsoperationer bör utarbetas. Studier, rapporter och utredningar inom området, genomförda på uppdrag av regeringen och senast i Sårbarhets- och säkerhetsutredningen (SOU 2001:41) samt i Försvarsberedningens rapport (Ds 2001:44) pekar alla på behov av åtgärder och att ansvars- och rollfördelningen måste fastställas. Tvärsektoriell samordning på nationell nivå I informationssamhället kan betydelsen av fysiska avstånd sägas ha minskat. I takt med att osäkerheten om var och hur hot och störningar kan komma att uppstå ökar behovet av en samordnande instans som har förmågan till överblick och kunskap om hur incidenter skall hanteras tillsammans med mandat att vidta förebyggande åtgärder. Den nationella ledningen och samordningen bör också ha en gemensam överblick och förmåga att med snabbhet kunna hantera dynamiska skeenden, inte minst med anledning av den hastighet och de spridningseffekter som IT- relaterade hot uppvisar. Samhällsviktiga system förekommer inom stat, kommuner, landsting och näringsliv. De samhällsviktiga system, som riskerar att hotas, ägs och drivs alltså till del av andra än statliga organ. Verksamheten sker ofta i internationellt samarbete. En bred samverkan mellan privat och offentlig sektor är angelägen och regeringen anser att den tvärsektoriella samordningen för informationssäkerhet och skydd mot informationsoperationer måste stärkas. Samverkansuppgifterna kan exempelvis avse bedömning av sårbarhets- och hotbildsförändringar och förslag till förebyggande åtgärder i samhället för att kunna möta hoten. Hotbilderna bör sammansättas av bl.a. underlag från incidentanalyser, omvärldsanalyser och underrättelser. Incidentanalyser kan i sin tur byggas på underlag från central statistik över incidenter och på aktuella situationer som behandlas av akuta IT-incidentstödfunktioner 2. I samverkansuppgifterna kan även ingå att se till att förslagen till åtgärder som utformas resulterar i ett för samhället förebyggande verksamhetsstöd i form av råd och rekommendationer inom informationssäkerhets- 2 En vanligt förekommande benämning på organisationer för akut incidentstöd är CERT (Computer Emergency Response Team). Regeringen avser att återkomma om den närmare utformningen Prop. 2001/02:10 . Till följd av en föränderlig hotbildsutveckling är det nödvändigt att planeringen för ett säkrare informationssamhälle tar sin grund i ett övergripande perspektiv. Det bör således finnas en nationell beredskap för att kunna följa upp utvecklingen med hjälp av omvärldsanalyser i syfte att öka IT-säkerheten. Omvärldsanalyserna bör sammansättas med incidentanalyser för att möjliggöra identifikation av aktörer, metoder och motiv för intrång. Hotbilderna bör tillsammans med kunskapen om samhällets sårbarhet avseende IT-angrepp möjliggöra en kvalificerad bedömning av sannolikheten för ett angrepp och bedömda konsekvenser av ett sådant angrepp. Strategier för informationssäkerhet bör mot bakgrund av detta omprövas till nytta både inom det civila och det militära området. Regeringen anser i likhet med Sårbarhets- och säkerhetsutredningen och Försvarsberedningen att den nya planeringsmyndigheten (se avsnitt 7.3) bör ges ett sammanhållande myndighetsansvar för samhällets IT- säkerhet och att övergripande omvärldsanalyser bör genomföras. Regeringen avser att återkomma i frågan om de organisatoriska konsekvenserna . En funktion för IT-incidenthantering Syftet med IT-incidenthantering är att , eller i ett mycket tidigt skede, kunna spåra ursprunget till ett dataintrång, se till att attacker mot datasystem avstyrs och upphör, samt stödja återställande av systemen vid större attacker. Säkerhetsproblem såsom, större avvikelser och akuta incidenter som inte ut av enskilda systemägare bör kunna bearbetas av centrala stödfunktioner för driftövervakning, incidentberedskap och respons. En IT-incidenthanteringsfunktion skall ha översikt och kunskaper om IT-hot och IT-säkerhet i ett helhetsperspektiv. Kvalificerad rådgivning i realtid, s.k. help desk, bör kunna lämnas vid fel eller större avvikelser, återstart av system och vid reaktion på angrepp. Samhället bör ha tillgång till ett centralt stöd för IT-incidenthantering. Av särskild vikt för en sådan funktion är förmågan att kunna skilja löst organiserade intrångsförsök från kvalificerade och systematiska angrepp. En IT-incidenthanteringsfunktion bör ha tillgång till statistik över intrång som skall bidra till att bygga upp en bild över olika typer av intrång samt deras inverkan på kända sårbarheter och av betydelse för säkerheten. En bra nationell kontroll, kartläggning och överblick skapar goda förutsättningar för samarbete med andra stater. Ett sådant samarbete bedöms ha stor betydelse med hänsyn till den globala karaktären på IT- incidenter och dataintrång. Ett internationellt samarbete med utländska motsvarigheter till IT-incidenthanteringsfunktionen skulle aktivt bidra till att kompetensen inom IT-incidenthantering, som sammansätts av teoretiska kunskaper, praktiska erfarenheter och förmåga, snabbare byggs Vidare bör ett samarbete mellan IT-incidenthanteringsfunktionen Prop. 2001/02:10 och motsvarande privata funktioner eftersträvas för att möjliggöra tidig varning och öka hela samhällets kompetens inom informationssäkerhets- området. Angrepp som syftar till att, öppet eller dolt, påverka IT-systemen kan härstamma exempelvis från en kriminell aktör, någon individ eller organisation med politiska motiv eller en statlig eller statligt understödd aktör. Vid en akut situation är källan på förhand inte given och tidsaspekten kan visa sig synnerligen kritisk för att minimera och lindra skadorna i samhället. Det är då nödvändigt för den som blivit utsatt för IT-intrång eller försök till IT-intrång att snabbt kunna få stöd om dennes resurser visar sig vara otillräckliga. Ansvaret kvarstår dock ytterst alltid hos systemägaren. Regeringen anser att Sårbarhets- och säkerhetsutredningens förslag rörande en funktion för IT-incidenthantering bör genomföras. Regeringen avser att återkomma till frågan om funktionens organisatoriska inplacering . Central statistik över incidenter en uppgift för IT- incidenthanteringsfunktionen För att skapa underlag till en helhetsbild gällande hot, aktörer, tillvägagångssätt och teknik bör det finnas en central funktion för bearbetning av statistik över incidenter. Insamling, uppföljning och utvärdering av myndigheternas IT-säkerhetsarbete bör således enligt regeringens mening ske på ett samordnat sätt. Incidentrapporter och nyvunnen kunskap bör efter den centrala bearbetningen återremitteras till systemägaren för att kunna utgöra underlag för skyddsåtgärder. Målet är att minska mörkertalet för incidenter och att driva på skyddsåtgärder så att svagheterna inte kvarstår. Redovisningarna från statistikenheten skall kunna bilda underlag till revidering av handlingsplaner, riktlinjer och strategier inom IT- säkerhetsområdet. Statistikenheten bör också kunna fungera som en varningsfunktion, där extraordinära mönster av incidenter kan upptäckas, i syfte att minska mörkertalet för incidenter och att driva på skyddsåtgärder så att svagheter inte kvarstår. Incidentanalys ytterligare en uppgift för IT-incidenthanteringsfunkionen Funktionen incidentanalys hämtar sina uppgifter från det akuta incidentstödet och från statistik över incidenter. Analyserna bör utgöras av djupgående tekniska undersökningar av exempelvis loggar samt bakdörrar och andra svagheter i datasystemen. Hot och risker skall kunna identifieras beträffande datorutrustning, program och nätverkssystem. En angripare kan planera och genomföra angrepp i flera steg och . Angriparen kan försöka skaffa sig information om det system som skall angripas, om det blir reaktioner vid angrepp samt om det går att försöka avleda misstankar och därmed skyddsresurser i händelse av upptäckt. Vid en analys kan det därför vara av intresse att studera flera på varandra följande angrepp i datanäten. Varningar skall kunna utfärdas till bl.a. de trafikförmedlande operatörerna i händelse av överhängande hot. Den samordnade värderingen av tillgänglig information skall kunna resultera i såväl prognoser som i allmänna och tidiga varningar. detta hänseende och särskilt om näringslivet medverkar är det viktigt att känslig information om företagsspecifika förhållanden inte sprids. Analyserna kan beskrivas som en förädling av nationell IT- incidentstatistik men bör också ha som ingångsvärde information från samverkan med internationella organisationer som producerar varningar. Denna förädling skapar ett avsevärt mervärde för myndigheterna i deras arbete med att rapportera inträffade incidenter med påföljande Analyserna bör av flera skäl leda till att bättre rekommendationer kan ges beträffande skyddsåtgärder. Aktiv IT-kontroll syftar till att genom intrångstester finna säkerhetsbrister och svaga punkter i kontrollerade IT-system. förbättra informationssäkerheten är det av stor vikt att de svaga punkter som identifierats under kontrollen analyseras och att analysresultatet ligger till grund för konkreta förslag till skyddsåtgärder. huvudsakliga syftena med genomförandet av en aktiv IT-kontroll är att det kontrollerade informationssystemets systemägare blir medveten om Erfarenhet visar att aktiv IT-kontroll bör användas i en funktion som innehar hög teknisk kompetens och förståelse för möjliga hotbilder för att undvika skador. Teknikkompetensfunktionen bör kunna utföra kontrollverksamhet inom hela statsförvaltningen och mot delar av totalförsvaret i övrigt enligt en övergripande inriktning. kvalificerade IT-säkerhetsexperter understryker behovet av att personalutveckling och utbildning kan hållas samman på ett lämpligt sätt inom totalförsvaret och att samarbete kan ske över sektorsgränser. Eftersom organisationen eller myndigheten exponerar sig i samband med den aktiva IT-kontrollen är det nödvändigt att den som kontrolleras har fullständigt förtroende för tjänsten. Det gäller även kompletterande tjänster såsom installation av IT-säkerhetsprodukter, datavirussanering och rådgivning om skyddsåtgärder. Regeringen anser att Sårbarhets- och säkerhetsutredningens förslag att det skall inrättas en funktion för teknikkompetens inom IT-säkerhet bör Regeringen avser att återkomma till frågan om funktionens För att skapa ett säkert informationssamhälle för alla bör betydelsen av informationssäkerhet och goda kunskaper inom området finnas och tillämpas inom all IT-användning. Detta gäller även utanför de samhällsviktiga funktionerna och de kritiska infrastrukturerna. av kunskap inom informationssäkerhetsområdet ställer krav på program för utbildning och vidareutveckling inom området. Det är därför av vikt att verksamhetsledningarna tar ett särskilt ansvar för att deras anställda ges lämplig utbildning i informationssäkerhet. Råd och Prop. 2001/02:10 rekommendationer om utbildningsvägar och utbildningskrav bör kunna Organisationer som är ansvariga för system eller information av samhällsviktigt slag bör göra risk- och säkerhetsanalyser. Vidare behöver samhället i stort och totalförsvaret i synnerhet ha en god uppfattning om vilken säkerhetsnivå olika IT-produkter medger. Därför behövs ett system för evaluering och certifiering av produkter. Regeringen anser att Sårbarhets- och säkerhetsutredningens förslag att bygga upp ett system för evaluering och certifiering bör genomföras. Regeringen avser att återkomma om de organisatoriska konsekvenserna . Vidare anser regeringen anser att det är angeläget att fortsätter samarbetet som syftar till ett ömsesidigt erkännande av IT-säkerhetscertifikatet, Common Criteria Recognition Arrangement (CCRA). Forskning, utveckling, universitets- och högskoleutbildning Kunskap om informationssäkerhet måste hålla hög kvalitet och vara aktuell i det snabbt föränderliga informationssamhället. En grundläggande förutsättning för att skall bli ledande på området är att universitet och högskolor intar en ledande ställning inom forskning, utveckling och utbildning. Kombination av teoretiska kunskaper och aktuella praktiska erfarenheter och förmåga att utnyttja dem är av avgörande betydelse . Universitet och högskolor bör därför ha ett nära och fruktbart samarbete med näringsliv och med myndigheter, nationellt som internationellt, som har uppgifter inom området. 10.2 Lagar och regler Krav på åtgärder för informationssäkerhet och för att säkerställa informationsförsörjning kan ske genom stöd i lag eller där det är lämpligt i form av samverkan på frivillighetens grund. inom informationstekniken ställer krav på att föreskrifterna hålls Lagstiftningen behöver därför ses över för att denna skall medge införandet av aktiv IT-kontroll och etablering av en IT- En särskild utredare (dir. 2001:32) har tillkallats som skall se över de politiska målen och lagstiftningen inom området för elektronisk kommunikation, vilket innefattar bl.a. telelagen. ramen för sitt uppdrag beakta Säkerhets- och sårbarhetsutredningens betänkande och den vidare beredningen av detsamma. Regler behövs som medger snabba åtgärder som t.ex. spårning av misstänkta angripare i nätverk. För att genomföra spårning behövs uppgifter om väg i nätverk via operatörer. Andra frågor kan gälla avstängning av viss del av nät eller användare via operatör och samarbete Regeringen anser i likhet med Försvarsberedningen (Ds 2001:44) att det är viktigt att ett harmoniserat och samlat regelverk upprättas på I detta sammanhang är det dock viktigt att en eventuell Prop. 2001/02:10 reglering inte strider mot och rådets direktiv 95/46/EG av (EG-direktivet om personuppgifter) eller något av de andra direktiven som ingår i teleöversynen. Regeringen avser att återkomma till frågan. Informationssamhället är gränslöst och fordrar internationellt samordnade och samverkande organ för att motverka skilda angrepp. Svenska internationella åtaganden och multilaterala överenskommelser har därför stor betydelse och bör utvecklas. bör verka för att internationella skyddssystem kan etableras och drivas. bör aktivt stödja internationella avtal och regler för spårning av obehörig verksamhet inom data- och informationsområdet. Spårning bör kunna ske över nationsgränser utan tidsfördröjning. Tydliga riktlinjer bör tas fram som kan styra den svenska hållningen i strategiskt viktiga frågor avseende det internationella säkerhetsarbetet. bör aktivt stödja internationella avtal och regler för att främja informationssäkerhet. bör, grundat på våra principer inom specifika områden, aktivt medverka i sammanhang där frågor om gemensamma normer för säkerhet, informationsförsörjning och IT- system behandlas. Vidare bör aktivt stödja internationella avtal och regler för att öka skyddet mot informationsoperationer. Frågorna som har en plats inom FN, , och arbete kan leda till konventioner. Det är också viktigt för , i samarbetet inom och med andra länder, att kunna skapa en gemensam principiell grundsyn för skydd mot informationsoperationer. Informationsoperationer påverkar många politikområden och ställer därför krav på att studera, följa och informera om den internationella och nationella utvecklingen inom området utgående från ett nationellt säkerhetsperspektiv och ett tvärsektoriellt synsätt. Området har således en betydande säkerhetspolitisk dimension. Den svenska inriktningen inom ramen för det internationella samarbetet bör enligt regeringens mening vara att resurser i första hand riktas mot följande områden: utveckling av ett gemensamt förhållningssätt mot IT-incidenter och dataintrång, som medger effektiv brottsbekämpning, särskilt spårning i nära realtid, utveckling av ett gemensamt förhållningssätt mot terroristbekämpning. I sammanhanget är det angeläget att påpeka svårigheten att utröna om ett angrepp härrör från IT-relaterad brottslighet eller terrorism, arbeta för att det skapas en internationell konsensus om förhållandet mellan informationsoperationer och våldsförbud och interventionsförbud samt arbeta för att det skapas en internationell konsensus om hur informationsoperationer förhåller sig till humanitär rätt och mänskliga rättigheter. För dessa åtgärder, och kanske särskilt för de två sistnämnda, krävs en noggrann nationell analys av svenska intressen och juridiska förutsättningar för att målen skall kunna uppnås. Det slut och de efterföljande årens internationella utveckling har resulterat i en omfattande reformering av den svenska försvarspolitiken. Utgångspunkten för reformprocessen är beslut i den säkerhetspolitiska kontrollstationen 1999 och beslutet om ändrad inriktning för totalförsvaret . Processen med omställning av totalförsvarets resurser i enlighet med den beslutade inriktningen pågår. För det första ersätts den tidigare fokuseringen på invasionsförsvar av en inriktning mot ett modernt, flexibelt och rörligt insatsförsvar. I insatsförsvaret skall verksamheten bedrivas och resurserna utformas med en större bredd av hot som utgångspunkt. För det andra har en omfattande internationalisering inletts med syfte att skapa ökad förmåga för internationell krishantering och säkerhetsfrämjande samarbete. De förband och system som behövs skall kunna användas såväl för att försvara landet som i internationella insatser. En tredje grundpelare i reformen är ett anpassningstänkande som skall göra det möjligt att, utifrån en grundläggande försvarsförmåga och en bred kompetensbas, vid behov förstärka, utöka, reducera eller på annat sätt förändra totalförsvaret för att möta förändrade behov, såväl kvantitativt som kvalitativt. För det fjärde handlar det om att förbättra möjligheterna att utnyttja resurserna inom totalförsvaret vid fredstida kriser. Reformen består både av en avvecklings- och en utvecklingsfas. Avvecklingen möjliggör utveckling och det är i detta sammanhang viktigt att avvecklingen sker skyndsamt och rationellt för att säkerställa ett högt tempo i reformarbetet. Detta kapitel behandlar försvarspolitikens inriktning och redovisar de överväganden som legat till grund för regeringens styrning av myndigheterna inom totalförsvaret. 11.2Försvar av mot väpnat angrepp och hävdande av vår territoriella integritet som det ömsesidiga beroendet mellan stater ökar och det internationella samarbetet blir tätare, finns det fortfarande stater och intressegrupper som inte accepterar internationella normer och Grunden för dessa aktörers agerande kan vara religiös eller etnisk, ibland en kombination av dessa, men den kan också vara politisk Det finns många exempel på insatser som har präglats av kompromisslöshet och hänsynslöshet inte minst vad gäller Det kan röra sig om rena terrorhandlingar där olika former av konventionella metoder eller massförstörelsevapen används. Men det kan också handla om sofistikerade intrång i datasystem för att slå ut ledningssystem, elförsörjning eller finansiella transaktionssystem. Det senaste exemplet på terrorhandling är de fruktansvärda attackerna i och . Ett sådant agerande är främmande för varje demokratiskt samhälle. Militära konflikter kännetecknas av lokala stridigheter inom stater. Metoder och vapen i dessa konflikter är oftast enkla men effekterna kan ändå bli stora, inte minst i form av mänskligt lidande. Detta på grund av den brutalitet och brist på respekt för folkrätten som präglar stridsförloppen. Dessa konflikter är ofta utdragna över tiden och trots att de utkämpas inom ett begränsat geografiskt område kan de påverka även andra områden än själva närområdet. Konflikterna på och i är exempel på sådana konflikter som både politiskt och ekonomiskt får effekter även långt ifrån själva konfliktområdet. Det internationella samfundets förmåga att agera konfliktförebyggande och, om en konflikt uppstått, fredsfrämjande, kan ha en avgörande inverkan på arten och omfattningen av dessa konflikter. I västvärlden är det militära försvaret till övervägande del uppbyggt för att skydda territoriet mot angrepp från en annan stat som använder sig av militära metoder. Skyddsåtgärder för andra typer av hot är däremot mindre utvecklade. Den militära utvecklingen i denna del av världen präglas framför allt av två trender. Dels handlar det om att öka användbarheten av olika stridskrafter i första hand för att möta de ökade kraven på förband till internationella krishanteringsoperationer. Den andra trenden är att stridskrafterna tar ytterligare ett steg mot högteknologiska förband. Kostnaderna för att utveckla denna typ av stridskrafter är mycket hög, varför volymen förband minskar. Inriktningen är att förbättra ledningsförmågan och att olika typer av armé-, marin- och flygstridskrafter skall agera i integrerade stridsgrupper. Lednings- och informationsöverlägsenhet samt rörlighet och strid på långa avstånd är några av de viktigaste inslagen i denna utveckling. har bl.a. teknikutvecklingen möjliggjort att vapeninsatserna kan göras med långa skjutavstånd och med hög precision. Därmed minskar förlustrisken för angriparen. Det måste dock fortfarande konstateras att luftrummet fortsatt kommer att ha en stor betydelse i alla typer av militära konflikter. Ytterligare en trend är att framtida konflikter i stor utsträckning kommer att beröra stadsmiljö. Stadsbebyggelsen med sin komplicerade infrastruktur rymmer många svårigheter som ytterligare kompliceras av den stora ansamlingen av människor det är svårt att utkämpa strid utan att befolkningen drabbas. Det är viktigt att både det militära och civila försvaret förbereds för dessa situationer, inte minst när det gäller s.k. strid i bebyggelse och dess konsekvenser. Även våldsangrepp från icke- statliga aktörer i denna miljö kan leda till stora konsekvenser i form av döda, skadade och förstörd egendom, något som vi upplevt allt för tydligt genom terrordåden i .