sou · GPB341d3 · 2002-01-01 00:00:00 — Funktionen skall kunna ge generella råd om lämpliga förberedelser för att kunna hantera de IT-incidenter som kan uppstå. Råd skall ges om vilka förberedelser man skall göra för att kunna upptäcka incidenter, t.ex. att alltid ha uppdaterade antivirusprogram och att ha rutiner för logganalys. Råd skall ges om vilka förberedelser man kan göra för att lindra skade- verkningarna av incidenter, t.ex. att ha säkerhetskopior av väsent- liga data och att ha reservsystem till de system som inte får ha långa avbrott i driften. En viktig del i förberedelserna är att ta fram och underhålla or- ganisation och regler för den egna IT-säkerheten, eller i ett vidare perspektiv informationssäkerheten. Man måste ta fram säkerhets- policy, säkerhetsorganisation med ansvarsfördelning, rutiner för val av personal, driftrutiner, rutiner vid inträffade IT-incidenter m.m. En IT-incidenthanteringsfunktion skall kunna ge råd om vad man behöver ta fram för dokument och hur de skall utformas. 21 Tillgänglighetsattacker kallas även DoS-attacker, där DoS är en förkortning för Denial of Service. Begreppet innebär att en angripare förhindrar legitima användare att använda sina datorer, vanligtvis genom att skicka så pass mycket trafik till dem att volymerna överskrider datorernas kapacitet, vilket medför att de kollapsar Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Funktionen skall kunna ge generella råd om skyddsåtgärder genom teknik, organisation eller regler. Exempel på vad funktionen skall kunna ge råd om är vad man bör tänka på när man ansluter sig mot Internet, vilka säkerhetsåtgärder man bör vidta vid installation av olika programvaror eller exempel på olika policyn man kan ha med för- och nackdelar rörande personalens möjlighet att kryptera filer. Risk-, sårbarhets- och hotbildsinformation En viktig uppgift för IT-incidenthanteringsfunktionen är att för- medla tillgänglig information om risker, sårbarheter och hotbilder på IT-området. Funktionen skall se till att aktuell information finns tillgänglig och att den delges dem som berörs av informatio- nen. I den mån informationen inte är sekretessbelagd skall den även publiceras. Informationen om hotbilder, dvs. vilka aktörer som kan utgöra ett hot och varför, skall vara anpassad till flera olika kundkretsar såsom privatpersoner, enskilda företag, branscher, myndigheter eller hela staten. Informationen om sårbarheter kan t.ex. omfatta kända problem med olika IT- produkter eller problem som kan uppstå med bristande organisation, rutiner och regelverk. Kombinationen av information om hotbild, sårbarheter och konsekvenser av ett fullföljt angrepp är en riskbedömning. En sådan kan vara möjlig att göra exempelvis om man vid analys av rapporterade incidenter kan identifiera systematiska försök till angrepp. En IT-incidenthanteringsfunktion skall kunna förmedla information om aktuella riskbedömningar. IT-incidenthanteringsfunktionen behöver inte nödvändigtvis själv utföra den analys som ligger till grund för informationen, utan kan med fördel erhålla informationen från en funktion för omvärldsanalys. Det är dock viktigt att IT-incidenthanterings- funktionen kan förmedla den information som finns. En viktig uppgift för IT-incidenthanteringsfunktionen är att ha en aktuell förteckning över olika aktörer inom IT-säkerhetsområdet. Det kan gälla att veta vilket ansvar eller vilken kompetens olika myndigheter har inom området, vilka företag som kan erbjuda Strategi för ökad IT-säkerhet och skydd mot informationsoperationer olika tjänster, eller vilka svenska och utländska organisationer som agerar i olika sammanhang på området. Funktionen skall kunna förmedla denna information och gärna själv stimulera till att lämpliga kontakter skapas mellan olika aktörer. Funktionen bör naturligtvis själv sträva efter att ha ett så brett kontaktnät som möjligt, såväl inom som utom landet. Arkiv, bibliotek och databaser En naturlig del i IT-incidenthanteringsfunktionens informations- förmedlande roll är att skapa och upprätthålla arkiv, bibliotek och databaser med all slags information om IT-säkerhet och informa- tionsoperationer. Det kan gälla information om sårbarheter och inträffade incidenter, artiklar i ämnet eller länkbibliotek till olika aktörer. Funktionen kommer att behöva informationen för sitt in- terna arbete. Den information som inte är sekretessbelagd bör även vara tillgänglig för allmän sökning i så stor omfattning som möjligt. PTS föreslår i sin rapport att IT-incidenthanteringsfunktionen skall kunna delta i framför allt internationellt arbete med att stan- dardisera terminologi vad avser IT-incidenter, sårbarheter, m.m. Sårbarhets- och säkerhetsutredningen tillstyrker detta. Fördelen med att ge en IT-incidenthanteringsfunktion denna uppgift är att funktionen ändå måste etablera lämpliga kontakter i de internatio- nella forum där terminologin standardiseras. Dock måste det röra sig om att delta i arbetet och inte att leda det. Andra instanser i samhället kan vara mer lämpade för detta, såsom Informations- tekniska standardiseringen (ITS) eller möjligen Terminologicent- rum (TNC). 7.5.6Förändringar jämfört med PTS rapport Till största delen sammanfaller de av Sårbarhets- och säkerhetsut- redningen föreslagna uppgifterna med de uppgifter som PTS före- slår. Vissa skillnader finns dock. Dessa kommenteras i det följande. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Det är å ena sidan bra om IT-incidenthanteringsfunktionen kan klara av många typer av frågor om IT-säkerhet. Å andra sidan skall dubbelarbete undvikas. I och med att en teknikkompetensfunktion inrättas behöver inte IT-incidenthanteringsfunktionen ha kravet att kunna åta sig att ge djup kundspecifik rådgivning avseende vare sig preventiva eller akuta åtgärder vid IT-incidenter. Sådan rådgivning kommer att kräva ingående analys och särskild kompe- tens för att kunna lösas på bästa sätt, varför teknikkompetens- funktionen är bättre lämpad att hantera denna rådgivning. Oaktat detta måste IT-incidenthanteringsfunktionen ha en sådan bred kompetens att den snabbt kan ge generella råd om åtgärder vid inträffade incidenter eller förslag på lämpliga skyddsåtgärder. Forskning och utveckling bör företrädesvis bedrivas av andra in- stanser, såsom FOI och högskolor. En annan sak är att en IT-inci- denthanteringsfunktion lämpligen har goda kontakter med forskare och institutioner där forskning och utveckling bedrivs. IT-incidenthanteringsfunktionen har en viktig uppgift att analysera inträffade incidenter för att kunna urskilja systematiska och kvalificerade angrepp. Funktionen behöver också analysera inci- denter för att på bästa sätt kunna fullgöra sina uppgifter att varna och ge omedelbar hjälp. För att fullständigt kunna identifiera systematiska och kvalifice- rade angrepp och för att kunna komplettera till en hotbildsanalys, krävs dock ytterligare information från bl.a. underrättelsetjänst. Funktionen kommer att sakna sådan information, varför den analys funktionen utför med ett bearbetat underlag måste ges vidare till funktionen för omvärldsanalys och till det tvärsektoriella samordningsorganet. Endast i dessa instanser kan man ha tillräckligt underlag för att kunna utföra djupare analys och bearbetning och därmed säkert kunna uppfatta förändringar i hotbilden. I och med att dessa instanser får utföra den djupare analysen löser man också ett problem som någon remissinstans påpekat, att man inte bör blanda analys med operativ verksamhet. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Samordning vid pågående IT-incidenter Att samordna vid pågående IT-incidenter faller naturligt på ett tvärsektoriellt samordningsorgan, varför uppgiften formellt sett inte skall åläggas IT-incidenthanteringsfunktionen såsom PTS föreslår. Men samordningsorganet bör å andra sidan utnyttja det kontaktnät som IT-incidenthanteringsfunktionen faktiskt kommer att ha. IT-incidenthanteringsfunktionen kommer därför sannolikt i praktiken, om än inte formellt, att bidra till samordningen på det sätt PTS föreslår. PTS föreslår att IT-incidenthanteringsfunktionen inrättas på för- sök . De flesta remissinstanser har samtyckt till detta. Några har dock anfört farhågor att detta dels kan leda till att funktionen inte kommer att kunna rekrytera kompetent personal, dels att funktionen kommer att bli omöjlig att utvärdera. Sårbarhets- och säkerhetsutredningen finner att dessa farhågor väger tungt. Samti- digt kan man konstatera att en överväldigande majoritet av remiss- instanserna tillstyrker att en IT-incidenthanteringsfunktion inrät- tas. Det är därför osannolikt att en försöksperiod skulle följas av att funktionen läggs ner. Internationella jämförelser tyder inte heller på detta. Därför föreslår utredningen att funktionen inrättas permanent, med en utvecklingsperiod , efter vilken en ut- värdering av funktionen genomförs. Några remissinstanser har föreslagit att en referensgrupp in- rättas, sammansatt av representanter från myndigheter med kompetens på IT-säkerhetsområdet. Gruppens uppgift skall vara att följa funktionen och att efter utvecklingsperioden utvärdera den efter på förhand angivna kriterier. Sårbarhets- och säkerhets- utredningen samtycker till detta förslag. Frivillig eller obligatorisk incidentrapportering PTS finner att nuvarande sekretesslagstiftning inte medger en rapporteringsplikt, och föreslår i stället att myndigheter rapporte- rar frivilligt . Under den tiden kan behovet av en plikt och möjligheterna till författningsändringar utredas. En majoritet av de remissinstanser som tar upp frågan anser att en rapporteringsplikt vore önskvärd. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer ningen instämmer med dessa remissinstanser, och föreslår därför att en rapporteringsplikt för samtliga statliga myndigheter införs redan från början. För att inte en sådan plikt skall strida mot sek- retesslagen medan den ses över och eventuellt revideras, komplet- teras plikten med att respektive myndighet sekretessgranskar de detaljer som lämnas ut om inträffade incidenter. Detta kan medföra att kvaliteten på rapporteringen inledningsvis blir något sämre, men inte kvantiteten. Typ av IT-incidenter som skall hanteras PTS föreslår att IT-incidenthanteringsfunktionen skall beakta IT- incidenter som innebär angrepp, dvs. intrångsförsök och datain- trång, avsiktlig störning av tillgänglighet, datavirus och trojaner, civila informationsoperationer, informationsattacker samt nya ty- per av IT-incidenter. Flera remissinstanser har haft synpunkter på detta. En del har befarat att detta kommer att innebära att alltför många incidenter skall behöva rapporteras. Man har önskat en begränsning som gör att t.ex. enkla virus som stoppas av antivirusprogram inte skall be- höva rapporteras. Några har även funnit terminologin främmande. Sårbarhets- och säkerhetsutredningen föreslår att man inför be- greppet IT-säkerhetsincident. Denna term är hämtad från en ma- gisteruppsats av ,22 i vilken bl.a. föreslås en enhet- lig terminologi inom området IT-incidenthantering. Begreppet IT- säkerhetsincident definieras där som en händelse som är säkerhets- kritisk för IT-verksamheten. Med denna begränsning av de incidenter som skall rapporteras kommer inte mindre allvarliga händelser att omfattas, såsom virus som stoppas av antivirusprogram. Därigenom uppnås att funktio- nen slipper en onödig arbetsbelastning och att man eliminerar in- formation som kan vara störande vid en analys. Man kommer där- emot att inkludera IT-incidenter som kan vara säkerhetskritiska utan att man för den skull har kunnat avgöra om de beror på brottslig verksamhet eller ej. Sådana händelser kan vara nog så vik- tiga att få med i en nationell statistik. 22 : och incidenthantering. /KTH 1999–2000. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer PTS föreslog i sin rapport att IT-incidenthanteringsfunktionen skulle organiseras av PTS. För att kunna ge funktionen bästa förut- sättningar att garantera sekretessen på de inrapporterade inciden- terna har dock utredningen funnit att funktionen bör ges en fristå- ende ställning. Utredningen anser vidare att funktionen bör organiseras i högskolemiljö med teknisk kompetens. Därigenom skapas goda förutsättningar för funktionens kompetensförsörj- ning. Funktionen kommer inte att bli tillräckligt stor för att motivera att den blir en fristående myndighet under något departement, varför den bör ha en chefsmyndighet. Det finns flera tänkbara myndigheter som skulle kunna vara chefsmyndighet. PTS har genom att utreda förutsättningarna för funktionen även en hög beredskap för att relativt snabbt bygga upp funktionen. Plane- ringsmyndigheten kommer att ta med sig erfarenheterna av ÖCB:s försök med incidentrapportering. Utredningen anser dessa vara de två främsta alternativen. Utredningen anser att det är viktigt att funktionen byggs upp möjligt, och finner att PTS med sin beredskap inför uppgiften därför har bäst förutsättningar att vara chefsmyndighet. Det bör påpekas att flera remissinstanser har förordat andra lös- ningar än att låta PTS organisera funktionen. Även om funktionen blir en egen myndighet, finns ändå en koppling till PTS, om än svag, med PTS som chefsmyndighet. Därför föreslår utredningen att IT-incidenthanteringsfunktionen utvärderas ut- veckling, och att i denna utvärdering ingår en förutsättningslös prövning av huvudmannaskapet. Ett effektivt IT-säkerhetsarbete förutsätter att man noga följer ut- vecklingen i omvärlden och analyserar dess konsekvenser för IT- säkerheten. Bevakning bör inte endast inriktas på IT-relaterade frågor utan också avse samhällsutvecklingen i stort samt områden som är beroende av en fungerande IT-verksamhet. Det är också väsentligt att den tekniska utvecklingen inom IT-området bevakas noga i syfte att skapa beredskap att möta inslag i utvecklingen som kan ge upphov till nya typer av IT-hot. Den tekniska utvecklingen bör därför fortlöpande analyseras från säkerhetssynpunkt. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer ningen bör särskilt uppmärksamma allvarliga händelser såsom in- formationsoperationer. Det bör vara en naturlig del av omvärldsanalysfunktionens verk- samhet att följa utvecklingen på Internet. Detta bör ske i syfte att identifiera och bedöma företeelser, trender och aktiviteter som kan bidra till att fördjupa omvärldsanalysen i stort. Detta är motiverat med hänsyn till att Internet har framträtt som ett nytt väsentligt informationsmedium vid sidan av andra medier som tid- ningar, radio, TV och litteratur. En kvalificerad omvärldsbevakning är resurskrävande. Det är nödvändigt att följa utvecklingen inom en rad specialområden genom egna analyser eller genom att ta del av analyser som görs av andra. Den snabba tekniska utvecklingen medför dessutom att genomgångar av utvecklingen inom ett delområde måste upprepas relativt ofta för att inte bli inaktuella. Det är också angeläget att ha ett omfattande samarbete med analysfunktioner hos organ inom och utom landet som arbetar med liknande frågor. Detta är ett sätt att stämma av och kvalitetssäkra de bedömningar som görs. Av dessa skäl är det inte lämpligt att bygga upp en fristående omvärldsanalysfunktion inom IT-säkerhetsområdet. Omvärlds- analysfunktionen inom detta område bör därför integreras i den omvärldsanalysfunktion som föreslås i kapitel 5. Man kan då ta till- vara de synergieffekter som uppstår, t.ex. vid den generella bevak- ningen av samhällsutvecklingen och den tekniska utvecklingen inom infrastrukturområdet. Synergieffekter bör också finnas i den internationella kontaktverksamheten. Med dessa förutsättningar kan omvärldsanalysfunktionen inom IT-säkerhetsområdet ha en relativt liten fast personalstyrka. Det torde också vara värdefullt för planeringsmyndighetens övriga om- världsbevakning att ha nära kontakt med omvärldsbevakningen inom IT-säkerhetsområdet. Enligt utredningens förslag skall plane- ringsmyndigheten också vara och fungera som sekretariat till det IT-säkerhetssamordningsorgan som utred- ningen föreslår inom . Detta är ytterligare ett motiv till varför omvärldsanalysfunktionen inom IT-säkerhetsom- rådet bör kopplas till planeringsmyndigheten. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer 7.7Ett system för certifiering av IT-produkter Problemen med sårbarheten i samhällets informationssystem upp- märksammas i nyhetsmedier i sort sett . Rapporterna kan röra sig om intrång i kommersiella system för Internet-tjänster, avancerat spionage i industrins utvecklingsmiljöer eller omfattande hackerangrepp via manipulerade hemdatorer. Hotet från informa- tionsoperationer belyser ytterligare sårbarhetsfrågorna för särskilt kritiska system i infrastrukturen, men också den horisontella störning som kan uppstå vid attacker riktade mot ett stort antal mål inom en eller flera samhällssektorer. Certifiering av IT-säkerhet med stöd av internationellt accepte- rade standarder är ett viktigt område för att skapa tillit och förtro- ende såväl inom en organisation som mellan olika parter. Certifie- ring berör i huvudsak två ISO/IEC-standarder. Den första, ISO/15408, Evalueringskriterier för IT-säkerhet, också kallad Common Criteria, behandlar grunden för certifiering vad gäller granskning och evaluering av teknisk IT-säkerhet (produkt- och systemcertifiering). Den andra rör certifiering av ledning av informationssäkerheten i en organisation. finns en svensk standard, SS 62 77 99, Ledningssystem för informationssäker- het, som är en svensk bearbetning av den internationella standarden IS 17799, Code of practice for information security management. När det gäller åtgärder för att höja säkerheten i vid bemärkelse i sam- hällets användning av IT är viktigt att satsa resurser på såväl grundläggande teknisk IT-säkerhet som säkerhet i organisationers användning av informationssystem. I detta avsnitt behandlas inte närmare certifiering av ledningssystem för informationssäkerhet. För att kunna granska säkerheten i en produkt eller i ett system krävs en beskriven metodik. Alltför många fall i verkligheten visar på hur man annars i en informell teknisk granskning i efterhand lätt råkar ut för stora svårigheter att påvisa vad som granskningen omfattat och vilken metodik som egentligen tillämpats. Ofta uppstår också brister i dokumentationen av den informella processen. Säkerhetsfunktioner i olika systemkomponenter måste fungera väl och ha motståndskraft mot direkta attacker. Den totala upp- sättningen säkerhetsfunktioner måste också vara tillräcklig för att kunna avbilda verksamhetens regler för åtkomstkontroll, identifie- ring, loggning, larm etc. Helheten i säkerhetslösningarna är här Strategi för ökad IT-säkerhet och skydd mot informationsoperationer väsentlig; säkerhetsfunktionerna i systemet måste tillsammans (också i inbördes samverkan) kunna etablera ett fungerande skydd. En fortlöpande höjning av säkerheten i informationssystem och nätverk är en grundförutsättning för det framtida informations- samhället. Användarna är beroende av säkerhetsegenskaperna hos de produkter som används för att bygga upp olika system. Dessa egenskaper rör dels förekomsten av de säkerhetsfunktioner som behövs för att uppfylla önskade regler och policy, dels tillit till eller förtroende för att dessa funktioner verkligen fungerar och har en tillräcklig motståndskraft mot attacker. Fackbegreppet för måttet på detta förtroende är assurans. Åt- gärder för att skapa detta kan normalt inte hanteras inom den egna organisationen. Få organisationer har resurser och kompetens för att kunna bedöma säkerheten i de produkter man avser att använda. Man är här beroende av generella, gemensamma åtgärder. Detta gäller i första hand åtgärder som syftar till att reducera sannolikheten för förekomsten av svagheter som någon kan utnyttja i de tekniska lösningarna. Åtgärderna höjer därmed säkerheten i dessa tekniska lösningar. Granskning av de tekniska säkerhetsegenskaperna kallas normalt evaluering. Denna typ av granskning sker i många länder av oberoende tredje part; särskilt godkända och ackrediterade företag.23 Resultaten fastställs av certifieringsorgan som även har till uppgift att, ofta tillsammans med det nationella ackrediteringsorganet, övervaka evaluerings- företagen vad gäller deras rutiner, metoder och kompetens. I många länder är även certifieringsorganen själva ackrediterade av den nationella ackrediteringsmyndigheten. I regeringens proposition Ett informationssamhälle för alla24 framhålls vikten av ett fördjupat arbete kring frågor som rör skydd mot informationsoperationer, säkrare Internet, elektroniska sig- naturer och annan säkerhetsteknik. Insatserna skall inriktas mot att skapa förtroende för den nya tekniken genom att bidra till bättre generella förutsättningar för informationssäkerhetsarbetet. Vidare fäster regeringen stor vikt vid de internationella frågorna i infor- mationssäkerhetsarbetet. skall även ha en aktiv roll i det internationella arbetet med dessa frågor. 23På engelska Evaluation Facilities; ITSEF Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Ett viktigt exempel på internationell samverkan är i detta sam- manhang den tillskapade internationella överenskom- melsen för erkännande av IT-säkerhetscertfikat (Recognition Ar- rangement for Certificates) baserade på IS 15408. Syftet med denna överenskommelse är att tillse att evalueringar utförs enligt en väldefinierad, internationellt accepterad standard att evalueringsresultat allmänt upplevs som att kraftfullt bidrag till förtroende för säkerheten i granskade produkter en förbättring av tillgången till evaluerade, säkerhetsförstärkta produkter att man eliminerar dubblering av kostnader för upprepade evalueringar i olika länder att man kontinuerligt förbättra effektivitet och kostnadsbild för evaluerings- och certifieringsprocesserna. Bland undertecknarna finns representanter från fjorton av de ledande industriländerna. Bland dessa finns dels länder som har egna procedurer för evaluering och certifiering,25 dels sådana som f.n. saknar sådana men som likväl har ett berättigat in- tresse av insyn i hur certifiering går till och de inom gruppen tillämpade metoderna för inbördes inspektion av certifieringsorga- nen i respektive land. har ännu inte undertecknat denna överenskommelse. Sårbarhets- och säkerhetsutredningen anser att utan dröjsmål skall underteckna överenskommelsen. Delta- gandet torde ligga väl i linje med regeringens uttalanden om vikten av internationell samverkan inom IT-säkerhetsområdet. Idealt borde säkerheten i ett IT-system testas genom att utsätta det för varje tänkbar kombination av indata eller insignaler och samti- digt observera om säkerheten åsidosatts. Detta kallas uttömmande testning, vilket i praktiken är omöjligt att ut- föra p.g.a. de ofantligt många kombinationer av indata eller insig- naler som normalt finns. Andra vägar måste därför prövas. och genomförde det amerikanska försvaret ett 25 Beskrivning av ett stort antal länders system för evaluering och certifiering redovisades vid den första internationella konferensen för IS 15408 (Common Criteria) i , . Strategi för ökad IT-säkerhet och skydd mot informationsoperationer större antal framgångsrika intrångsförsök (aktiv IT-kontroll eller s.k. Red Team-operationer) mot egna system. Det framgick snart att inriktningen att (enbart) försöka rätta till efterhand upptäckta svagheter inte var en framgångsrik väg.26 I stället initierades ett forskningsprogram som ledde fram till följande slutsatser. Den säkerhetskritiska delen av systemet: måste vara väl isolerad och modulariserad dvs. finnas i en väl definierad, isolerad och separat fungerande enhet så att den går att granska, måste ha en del som har ansvar för alla åtkomstbeslut, måste alltid vara aktiv, får inte kunna kringgås.