prop · GP03158 · 2002-03-19 00:00:00 — Om skall kunna motstå IT-relaterade hot krävs att det finns bred kompetens att tillgå på alla verksamhetsnivåer i samhället. Regeringen är medveten om att kompetensen inte med enkelhet går att bygga upp på kort sikt. Genom att bygga olika former av nätverk mellan organisationer och genom att successivt tillföra funktioner som saknas kan säkerheten och skyddet ändå gradvis förstärkas. De aktörer som genomför och kan tänkas genomföra attacker via infor- mationssystem är av olika slag. Det kan vara olika typer av aktörer ex- empelvis industrispioner eller personer som kan kopplas till stater, orga- niserad brottslighet och terrorister. En av svårigheterna avseende hanter- ingen av IT-relaterade hot är att urskilja vem aktören är, eftersom ingen absolut åtskillnad mellan aktörerna kan göras. Svårigheten med den gli- dande hotskalan är att urskilja när attacken är så allvarlig att staten måste agera i den akuta situationen eller veta vilka förberedelser som erfordras. Vad som skiljer statliga aktörer från andra är att dessa har mycket stora resurser och flexibla tidsramar och kan använda egna, för andra okända metoder. Informationstekniken möjliggör vidare vad som brukar beteck- nas som en asymmetrisk hotbild där en relativt resurssvag angripare un- der vissa förhållanden kan orsaka stor skada. Ett annat problem är tidsaspekten i en akut hotsituation. De åtgärder som kan behöva vidtas för att förhindra skador kan i vissa fall behövas sättas in medan man i andra fall kan avvakta upp till . Erfarenheter från det säkerhetsarbete som bedrivits av myndigheter och företag visar att den största sårbarheten kan härröras till oavsiktliga tekniska fel, bristande planering m.m. som leder till driftstörningar. Vida- re är sårbarheten avseende avsiktliga hot stor då det gäller egna anställda (s.k. insiders). Möjligheterna för någon inom en organisation att obehö- rigt föra med sig hemligheter ut eller att förbereda ett system för en at- tack utifrån är relativt stora. Förmågan att möta allvarliga hot är beroende av ett grundläggande säkerhetsarbete som i första hand skyddar mot de vardagliga säkerhetsproblemen. De allvarliga kända angrepp som utsatts för har riktats mot specifika verksamheter och organisationer. I likhet med många andra länder har blivit utsatt för mycket om- fattande datavirusspridning. Dessa angrepp har dock varit mer slumpar- tade än riktade. Vid angreppen har de uppkomna skadorna i form av av- brott och stillestånd blivit relativt begränsade vad gäller samhällsviktiga infrastrukturer, men har icke desto mindre medfört stora kostnader för de drabbade. Det har även förekommit riktade angrepp, i form av hot, över- belastnings- och tillgänglighetsattacker av olika slag riktade mot perso- ner, organisationer och företag som ådragit sig andra individers eller gruppers missnöje. Verksamheter som i första hand har drabbats är tele- operatörers verksamhet och verksamheter som bedriver djurförsök. Vida- re har angreppsförsök i syfte att ta över hela domäner förekommit som om de lyckats skulle ha kunnat förorsaka stora störningar för ett stort antal organisationer. Angrepp med ekonomisk som motiv har också förekommit. Kända angrepp från utländska aktörer mot och svenska intres- sen har varit relativt begränsade och medfört begränsad skada. De mer omfattande angrepp som ändå förekommit, har utförts av nätverk av angripare och har bemötts genom samarbete inom de angripna struktu- rerna. Ett flertal samhällssektorer har inom respektive verksamhetsområ- de existerande nätverk, vilka kan möta angrepp som riktar sig mot dessa områden. Ett ständigt närvarande hot är det som kommer från underrät- telseverksamhet riktad mot och svenska intressen. Den nya in- formationstekniken har inneburit att ytterligare möjligheter att tillskansa sig information genom både öppen och hemlig (illegal) verksamhet har skapats. IT-relaterade hot mot och svenska intressen skulle kun- na uppstå mycket snabbt t.ex. genom deltagande i internationellt arbete. Nya verksamheter för att förbättra informationssäkerheten I enlighet med vad regeringen redovisade i proposition Fortsatt förnyelse av totalförsvaret (prop. 2001/02:10) avser regeringen att inrätta fyra verksamhetsområden i syfte att förbättra informationssäkerheten. Dessa är omvärldsanalys, IT-incidenthantering, teknikkompetens, samt ett sy- stem för evaluering och certifiering. För att snabbt kunna stärka informationssäkerheten anser regeringen att de nya uppgifterna bör fördelas på de myndigheter som har när- liggande verksamhet. Efter den utvärdering som regeringen avser att göra kan andra organisatoriska lösningar inom informationssäker- hetsområdet bedömas vara lämpliga. Regeringen utesluter inte att det kan finnas andra verksamheter inom informationssäkerhetsområdet som då Prop. 2001/02:158 också kan behövas ses över. Med anledning av de frågor som framkommit i remissyttranden över Sårbarhets- och säkerhetsutredningens betänkande (SOU 2001:41) och under beredningsarbetet avser regeringen låta genomföra en översyn av författningar som berör informationssäkerhetsfrågorna. 17.2Uppföljning och utvärdering av informations- säkerheten Regeringens bedömning: I sammanhål- lande myndighetsansvar för samhällets informationssäkerhet bör ingå att följa upp och utvärdera informationssäkerheten i samhället och lämna en samlad bedömning till regeringen. Det sammanhållande myn- dighetsansvaret innebär inga förändringar i nuvarande ansvarsfördelning mellan olika myndigheter i informationssäkerhetsfrågor. Därutöver bör ges ansvar för att tillse att det utvecklas ett samarbete mellan offentlig sektor och näringsliv inom informationssäkerhetsområdet. Sårbarhets- och säkerhetsutredningens förslag: Överensstämmer i stort med regeringens bedömning. Remissinstanserna: Huvuddelen av remissinstanserna ställer sig i stort bakom utredningens förslag. Några remissinstanser har uttryckt tveksamhet om vissa av de föreslagna åtgärderna. Säkerhetspolisen pekar på sin roll vad avser tillsyn av informationssä- kerhetsfrågor vid civila totalförsvarsmyndigheter. Statskontoret anser att utredningens organisatoriska förslag inte går att ta ställning till. Man pe- kar på att förslagen kan medföra stor splittring och att frågan om det skall var en sammanhållen organisation bör väckas. Försvarsmakten anser det mindre lämpligt att skapa ytterligare en myndighet för omvärldsanalys inom detta område. ifrågasätter utredningens för- slag om samordningsrollen inom informationssäkerhetsområdet och framhåller att Statskontoret borde kunna ha en sådan roll. Ekonomistyr- ningsverket anser att det bör prövas om inte de föreslagna funktionerna skulle kunna samlas i en myndighet. stödjer utred- ningens förslag i stort men vill framföra att förslaget om fördelningen av de olika funktionerna på flera myndigheter kan leda till splittring i sam- hällets informationssäkerhetsarbete. anför att de skäl som i betänkandet framförs för att inrätta en central myndighet för samhällets informationssäkerhet inte framstår som särskilt övertygan- de. anser att förslaget är bristfälligt så länge samord- ningen mellan militära och civila myndigheter samt näringslivet inte kan garanteras. anser att säkerhetsfrågorna borde vara hög- re prioriterade i ett modernt samhälle. Kommissionen anser också att utredningen tenderar att måla upp en alltför centralistisk modell för arbe- tet med informationssäkerhet men är positiv till förslaget om att samord- Prop. 2001/02:158 na resurserna på informationssäkerhetsområdet. Skälen för regeringens bedömning: skall svara för analys av samhällsutvecklingen, omvärldsförhållanden, beroendeförhållanden mellan viktiga samhällsfunktioner och deras sår- barhet, övergripande sektorsanalyser i samverkan med berörda myndig- heter samt övergripande samordning av forsknings- och utvecklingsarbe- te. Regeringen anser att analysen tillsammans med kunskapen om sam- hällets sårbarhet att möjliggöra en kvalificerad bedömning av sår- barheten och riskerna i bl.a. samhällsviktiga IT-beroende system. Rege- ringen anser att bör ha ett sammanhållande myndighetsansvar för samhällets informationssäkerhet. Den bör därför bedriva sådan omvärldsbevakning och omvärldsanalys som beskrivits även på informationssäkerhetsområdet. Myndigheten bör dock inte svara för sådan omvärldsanalys som faller inom andra myndigheters ansvars- områden. Den bör verka för att en helhetsbild på informationssäkerhets- området kan tas fram. I detta arbete kan stöd behövas från de myndighe- ter som har underrättelse- och säkerhetsfunktioner. De närmare formerna för hur helhetsbilden tas fram bör vara en uppgift för myndigheterna att gemensamt utveckla. En god teknisk kompetens inom området kommer att behövas. Den bör i första hand sökas hos som enligt regeringens mening bör ha ett ansvar för teknikkompetens, se av- snitt 17.4, och genom utnyttjande av den kompetens som finns inom , Säkerhetspolisen, Datainspektionen, Statskontoret, Försvarsmakten och . skall successivt och i sin hel- het överta uppgiften att initiera och bedriva samverkan inom informationssäkerhetsområdet mellan berörda myndigheter och närings- liv från den arbetsgrupp inom som arbetar med detta. För att åstadkomma ett så bra skydd som möjligt mot allvarliga attack- er mot samhällsviktiga IT-beroende verksamheter bör Krisberedskaps- myndigheten ges samma rätt som att utfärda föreskrifter inom informationssäkerhetsområdet tills vidare och i avvaktan på författningsöversynen. Regeringens bedömning: bör få i uppgift att ansvara för hantering av uppgifter om IT-incidenter. Sårbarhets- och säkerhetsutredningens förslag: Vid Post- och tele- styrelsen inrättas en funktion för IT-incidenthantering. Utgångspunkten för detta förslag har utredningen tagit i den rapport för att inrätta en särskild funktion för IT-incidenthantering som Post- och tele- styrelsen har lämnat till regeringen. IT-incidentfunktionens uppgifter är enligt utredningens förslag att ta emot incidentrapportering och föra statistik över informationssä- kerhetsincidenter, larma och sprida varningar och ge aktiv tidskritisk rådgivning vid akuta informationssäkerhetsincidenter, sprida kunskap och ge råd och information om hotbilder, risker, sår- barheter, och vilka förberedelser och åtgärder som kan vidtas mot dessa, upprätta arkiv, bibliotek och databaser samt För att kunna hantera tidskritisk inrapportering skall, enligt rapporten funktionen ha kanaler som är öppna och bevakas dygnet runt. Utredning- en föreslår vidare att statliga myndigheter skall få rapporteringsplikt. Remissinstanserna: är positiv till inrättandet av IT- incidenthanteringsfunktionen men anser att det finns en del brister i för- slaget. Försvarsmakten framför att den av utredningen föreslagna upp- delningen av ansvaret för incidenthanteringsfunktionen (Post- och tele- styrelsen) och teknikkompetensfunktionen () bör övervägas ytterligare. ställer sig tveksam till ut- redningens slutsats att polisens och Försvarsmaktens deltagande skulle innebära sämre förtroende från myndigheter och organisationer. Verket för innovationssystem anser att ett alternativ till ansvarig myndighet för incidentrapporteringsfunktionen kan vara Statskontoret. IT-Företagen är tveksam till den roll föreslås få. Näringslivets sä- kerhetsdelegation anser att förslaget att ge ansvar för incidenthanteringsfunktionen är alltför myndighetsorienterat. Skälen för regeringens bedömning: Regeringen finner det angeläget att en verksamhet med en särskild funktion för IT-incidenter påbörjas. har genom att utreda förutsättningarna för denna uppgift hög beredskap för att relativt snabbt kunna bygga upp verksam- heten. Regeringen finner att med sin beredskap inför uppgiften har bäst förutsättningar att vara ansvarig. Regeringen an- ser därför att bör ges i uppdrag att svara för han- tering av uppgifter om IT-incidenter. Uppgiften till Post- och telestyrel- sen skall utformas så att den inte inskränker på det nuvarande ansvar som andra myndigheter har. har i sitt remissvar uttryckt farhågor bland annat när det gäller gränsdragningen gentemot regleringen i säkerhetsskyddslagen och säkerhetsskyddsförordningen och har vidare betonat att förslaget inte får innebära begränsningar av polisens ansvar för brottsbekämpningen. har också pekat på betydelsen av sekretesslagen och personuppgiftslagen för IT-incidentfunktionens uppgifter. Regering- en delar dessa synpunkter men bedömer dock inte att de problem som kan uppkomma i förhållande till gällande lagstiftning är av sådan art att de innebär ett hinder mot att påbörja arbetet med en särskild funktion för IT-incidenter. Enligt regeringens uppfattning bör verksamheten byggas upp successivt och inte i snabbare takt än att ansvarsförhållanden, sam- verkansformer och författningsfrågor klarats ut. skall inrätta en samverkansgrupp med uppgift att under verksamhetsåren 2002 och 2003 bistå under dess uppbyggnad av funktionen för IT-incidenter. Samverkans- gruppen bör inledningsvis bestå av företrädare för , , , och . skriva samverkansgruppens uppgifter och utifrån denna beskrivning in- Prop. 2001/02:158 bjuda ytterligare företrädare att ingå i gruppen om så bedöms nödvändigt. Uppdragets fortskridande skall löpande redovisas till regeringen. Regeringen har för avsikt att låta utreda behovet av författningsänd- ringar bland annat för att klargöra gränsdragningen mellan berörda aktö- rer och sekretessfrågor kring funktionen. Regeringen bedömer också att det är viktigt att i ett inledningsskede slå fast vilken typ av incidenter som skall rapporteras till , vilken typ av informa- tion som skall lämnas avseende incidenterna och vilka former som skall gälla för rapporteringen. Så som tidigare påpekat medger inte nuvarande sekretesslagstiftning en rapporteringsplikt. Enligt regeringens bedömning bör därför rapporteringen vara frivillig. Varje myndighet har i samband med inrapportering att sekretesspröva det material som lämnas in. Inrättandet av den nu föreslagna uppgiften innebär stora möjligheter att koncentrera resurser till informationssäkerhetsområdet och kan på så sätt komplettera det säkerhetsarbete som bedrivs hos övriga myndigheter. bör stödja myndigheterna genom information och rådgivning. Ett system för att fånga information om inträffade incidenter samt system för informationsutbyte mellan myndigheterna och bör utvecklas. Systemet bör utformas så att det blir möjligt att snabbt kunna sprida information om nya problem som kan störa IT- system. För att kontinuerligt förbättra det förebyggande arbetet skall även sammanställa statistik. Fortsatt utredning och förslag är nödvändiga för att även skall kunna hantera anslutningen av andra intressenter. Regeringens bedömning: bör ges ansvar att till- handahålla teknikkompetens inom informationssäkerhetsområdet. Sårbarhets- och säkerhetsutredningens förslag: Överensstämmer i stort med regeringens bedömning. Remissinstanserna: Huvuddelen av remissinstanserna ställer sig i stort bakom utredningens förslag. ens syn att myndigheter med behov av teknisk kompetens på informa- tionssäkerhetsområdet rekommenderas att använda externa konsulter. Kunskap om den tekniska infrastrukturen bör enligt styrelsen behållas inom den enskilda myndigheten. Verket för innovationssystem anser inte att skall vara ansvarig för teknikkompetensfunk- Skälen för regeringens bedömning:. Det finns starka skäl som talar för att det inom den statliga sfären skall finnas en hög teknisk kompetens för avancerat stöd i informationssäkerhetsfrågor. central i dessa sammanhang. Inom finns ett högt utvecklat säkerhetstänkande varför denna myndighet är väl lämpad att Staten har också ett behov av att garantera att tek- niska resurser finns som kan tas i anspråk vid eventuella kvalificerade attacker riktade mot landet eller mot svenska intressen. 2001/02:158 radioanstalt finns redan sådan högt kvalificerad teknisk kompetens att bygga vidare på. Regeringen anser därför att är den myndighet som bör ges i uppdrag att tillhandahålla teknikkompetens inom den offentliga sektorn. stödja insatser vid nationella kriser med IT-inslag, medverka till identifieringen av inblandande aktörer vid hot mot samhällsviktiga system, genomföra aktiv IT-kontroll och ge annat tekniskt stöd inom informationssäkerhetsområdet. En viktig uppgift för myndigheten är att samverka med andra organisa- tioner på informationssäkerhetsområdet såväl inom som utom landet. En av de frågor som Sårbarhets- och säkerhetsutredningen lyfter fram är att teknikfunktionen inte bör uppträda som aktör på konkurrensutsatta marknader. I likhet med ett antal remissinstanser delar regeringen denna uppfattning. När det gäller samhällsviktiga funktioner gör sig dock sä- kerhetsskyddskraven starkt gällande vilket innebär att staten har ett an- svar för att säkerställa att en kompetens som denna finns att tillgå på na- tionell nivå. I sammanhanget vill regeringen särskilt poängtera att uppdraget för inte fråntar de enskilda systemägarna ansvaret för IT-säkerheten i den egna verksamheten. Regeringens bedömning: bör få i uppgift att bygga upp ett system för evaluering och certifiering av IT- Sårbarhets- och säkerhetsutredningens förslag: Överensstämmer i stort med regeringens bedömning. Remissinstanserna: Huvuddelen av remissinstanserna ställer sig i stort bakom utredningens förslag. Några remissinstanser har dock ut- tryckt tveksamhet om inrättande av systemet anser att det behöver utredas ytterligare om skall ansluta sig till ISO/15408 (Common Criteria). sionsverket avstyrker förslaget om att skulle få till uppgift att bygga upp ett system för evaluering och certifiering. Företagen är tveksamma till om det behövs en myndighetsfunktion för evaluering och certifiering. Styrelsen för ackreditering och teknisk kon- troll (SWEDAC) anser att certifieringsverksamheten skall ligga inom det öppna området som har tagit ställning för (prop. 1991/1992:170 bilaga 11, bet. 1992/1993:EU1, rskr. 1992/1993:18). SWEDAC anser inte det är förenligt med beslutet om det öppna systemet att låta i monopolställning och mot avgift utföra delar SWEDAC:s uppfattning. Skälen för regeringens bedömning: finns en internatio- nell överenskommelse Arrangement on the Recognition of Common Certificates in the field of (CCRA). Common Criteria är en internationell standard med beteckning- Prop. 2001/02:158 en ISO/IEC IS-15408 som har blivit ett erkänt system för att definiera säkerhetskrav för dator- och nätprodukter och för att bedöma om en pro- dukt uppfyller ställda krav. Resultatet av evalueringen granskas av en certifierare som utfärdar säkerhetscertifikat. Varje certifieringsorgan om- ger sig med granskade och betrodda evalueringsföretag. Regeringen framhåller i prop. 2001/02:10 att Sårbarhets- och säker- hetsutredningens förslag att bygga upp ett system för evaluering och cer- tifiering bör genomföras. Vidare anser regeringen att det är angeläget att fortsätter det internationella samarbetet som syftar till ett ömse- sidigt erkännande av IT-säkerhetscertifikatet. Regeringen anser att inom den offentliga förvaltningen är med sin erfaren- het inom detta område den mest lämpliga myndigheten att bygga upp ett system för evaluering och certifiering. Inom ramen för certifieringssystemet bör kun- na licensiera evalueringsföretag efter de principer som tillämpas i CCRA, ge stöd och råd vid utnyttjande av standarden Common Criteria för kravspecifikation, utöva tillsyn av de evalueringsföretag som man har knutit till sig vad gäller kompetens och metodik i samverkan med SWEDAC, godkänna nya evalueringsuppdrag till evalueringsföretagen i syfte att säkerställa en rimlig balans mellan ambitionsnivå, produktens kom- plexitet, bedömd erforderlig tid och resursåtgång, följa upp pågående evalueringsuppdrag, medverka i internationell samverkan i syfte att säkerställa och vid- makthålla erkännande av svenska certifikat och att effektivisera metodi- ken för evaluering. SWEDAC är medlem i CCRA-gruppen. Utveckling av säkerhetspro- dukter är naturligen förknippad med hemligheter och sekretess. En leve- rantör kan se fördelar i att kunna välja en svensk evaluerings- och certifi- eringsfunktion, eller en utländsk, beroende på produkten och den tilltänk- ta marknaden. Regeringen anser att det skulle vara en fördel för svenska leverantörer av säkerhetsfunktioner och säkerhetsprodukter eller köpare av sådana om de har möjlighet att välja att få evaluering och certifiering utförd i . Regeringen anser vidare att det är fördelaktigt för den svenska mark- naden om en svensk evaluerings- och certifieringsfunktion kan samverka med andra länders motsvarigheter i fråga om att åtgärda de allvarliga brister som finns vad gäller tilliten i säkerhetsprodukter. Detta gäller spe- ciellt massmarknadsprodukter, där vanligtvis ett litet antal företag domi- nerar marknaden, och där knappast någon möjlighet ges till insyn i pro- dukternas uppbyggnad. Detta är en av de viktigare frågorna i EU:s arbete för att stärka informationssäkerheten, och här finns även behov av dis- kussioner på global nivå. Att certifiera säkerhetsprodukter som är evaluerade kräver resurser och kompetens. bör ha goda förutsättningar att skapa Även andra organisationer skall ha möjlighet att skapa . 2001/02:158 luerings- och certifieringssystem och dessa skall verka i konkurrens. CCRA-gruppens regler medger flera evaluerings- och certifieringorgani- sationer per land. Detta är i linje med lagen (1992:1119) om teknisk kon- troll. bör få i uppgift att bygga upp ett system som kan bli godkänt i av SWEDAC. Det är sedan en uppgift för CCRA-gruppen att godkänna organisation. Om och när SWEDAC godkänner ytterligare någon evaluerings- och certifie- ringsorganisation i kommer även den att få delta tillsammans med SWEDAC i CCRA-gruppen på samma villkor som Försvarets mate- rielverk. 17.6Vidtagna och planerade åtgärder med anledning av EU-arbetet Mot bakgrund av informationssäkerhetsfrågornas globala natur är det som regeringen anfört bl.a. i prop. 2001/02:10 av stor vikt att delta i det internationella samarbetet kring dessa frågor. Inom EU har medlemsstaterna i ministerrådet antagit två resolutioner om informationssäkerhet. I den första resolutionen (resolu- tion 9799/01, e-Europe Action Plan: Information and ) konstaterar rådet att samordningen av informationssäkerheten inom de tre olika pelarna måste ses över. Den andra resolutionen (15440/01) om en gemensam inställning och särskilda åtgärder inom området för nät- och informationssäkerhet innehåller vissa uppgifter för medlemsstaterna och vilka syftar till att förbättra nät- och informa- tionssäkerheten på gemenskapsnivå. Regeringen har aktivt medverkat till att föra upp informationssäker- hetsfrågorna på EU:s agenda och stödjer till fullo ambitionen att stärka nät- och informationssäkerheten på en europeisk nivå. Medlemsstaterna åtar sig i resolutionen att vidta följande åtgärder: inleda eller stärka informations- och utbildningskampanjer, främja goda rutiner för hantering av informationssäkerhet, särskilt i små och medelstora företag, främja betydelsen av säkerhetsfrågor som en del av datautbildning- se över effektiviteten hos nationella arrangemang för hantering av IT-incidenter, främja användningen av standarden Common Criteria och ömsesi- digt godkännande av säkerhetscertifikat, vidta åtgärder för effektiva och kompatibla säkerhetslösningar i e- förvaltningen, samarbeta med andra medlemsstater vid införande av elektroniska och biometriska identifikationssystem och utbyta information om vilka organ som ansvarar för nät- och infor- mationssäkerhet. Punkterna om främjande av Common Criteria, IT-incidenthantering och nationella organ ansvariga för nät- och informationssäkerhet berörs När det gäller övriga punkter i resolutionen har regeringen vidtagit Prop. 2001/02:158 och avser att vidta åtgärder enligt följande. Inleda eller stärka informations- och utbildningskampanjer