sou · GPB341d3 · 2002-01-01 00:00:00 — 7Strategi för ökad IT-säkerhet och skydd mot informationsoperationer 7.1.1Samhällets beroende av informationsteknik (IT) Utvecklingen inom informationsteknik (IT), dvs. teknik för in- samling, lagring, bearbetning och överföring av information med elektroniska medel, har förändrat samhället. IT har blivit ett bekvämt hjälpmedel i många olika sammanhang och utgör grunden för teknik som var svår att föreställa sig för bara något de- cennium sedan. De positiva effekterna berör de allra flesta i sam- hället från privatpersoner till näringsliv och offentlig verksamhet. Det är viktigt att denna utveckling kan fortsätta för att även bidra till frihet och ökade möjligheter. En annan sida av utvecklingen är att samhället har blivit starkt beroende av IT. IT har blivit den viktigaste komponenten för in- formationsförsörjning, oavsett om det gäller information till pri- vatpersoner, företagsinformation, teknisk information till styrsy- stem för andra teknikområden, eller någon annan typ av informa- tion. Information är en av de mest värdefulla tillgångarna i dagens samhälle. Den behöver skyddas likaväl som de fysiska tillgångarna. Viktiga samhällsfunktioner kan bli svårt störda, med i värsta fall katastrofala följder, om deras IT-stöd skulle störas eller slås ut. IT är i sig beroende av områdena elförsörjning och telekommunika- tioner för sin funktion (telekommunikationer kan med ett visst synsätt även betraktas som en del av IT), men IT utgör ändå något väsentligt mer än dessa båda områden tillsammans. Det är därför motiverat att betrakta IT som ett separat men tvärsekto- riellt område som behöver ägnas särskild uppmärksamhet ur kris- hanteringens alla aspekter. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Mot bakgrund av ovanstående finner utredningen det lämpligt att betrakta många av samhällets IT-komponenter som delar i en IT-infrastruktur. De delar som ingår är sådana som kan kommuni- cera genom något yttre nätverk, t.ex. Internet. Däremot ingår inte fristående datorer eller interna nätverk utan externa förbindelser. Men när en dator genom ett modem ansluts till omvärlden är den att betrakta som en del av det yttre nätverket och därmed en del av samhällets IT-infrastruktur. Se avsnitten 6.1.1 och 6.4. IT är ett globalt område. Med Internet får man kontakt med organisationer och personer på andra sidan jordklotet lika enkelt som om de befann sig i en omedelbar geografisk närhet. Med den gränslöshet som IT-området präglas av, följer ett starkare behov av internationellt samarbete jämfört med andra områden, inte minst vad gäller IT-säkerhet och krishantering. Tempot i utvecklingen på IT-området är mycket högt, vilket i grunden är positivt. Detta medför dock att nya produkter med täta mellanrum kommer ut på marknaden utan att de säkerhetsmässiga följderna på förhand är kända. Ur marknadens perspektiv kan detta te sig som en nödvändighet. Marknaden efterfrågar en ständigt ut- ökad funktionalitet. Efterfrågan på IT-säkerhet är inte alls lika stor. IT-företagen måste tillgodose marknadens behov, och helst även skapa nya, för att inte snabbt slås ut. Så länge inte IT-säkerhet efterfrågas av marknaden i samma omfattning som funktionalitet, kommer denna att förbli sekundär. Ser man till samhällets behov av skydd är detta ett problem. Kopplat till samhällets starka IT-beroende utgör bristande IT- säkerhet en potentiellt mycket stor sårbarhet. I och med att inte bara näringslivet utan hela samhället kan påverkas av de följder som kan uppstå p.g.a. bristande IT-säkerhet, kan samhället inte enbart förlita sig på att marknaden kommer att lösa problemen. Den offentliga sektorn med staten i spetsen måste enligt utredningens uppfattning ta ett stort ansvar och tillsammans med näringslivet agera kraftfullt för ökad IT-säkerhet. Staten måste därmed vidta ett antal åtgärder för att tillgodose samhällets behov av IT-säkerhet på de områden där inte marknaden till alla delar kan hantera proble- men. Avsnitt 7.2 är utredningens förslag till övergripande strategi för samhällets hantering av IT-säkerhet. Strategin bygger på proposi- tionen Ett informationssamhälle för alla.1 Avsnittet innehåller inga egentliga förslag, utan skall ses som en bakgrund till de efterföl- 1999/2000:86, bet. 1999/2000:TU9, rskr. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer För att symboliskt markera avsnittets strategiska prägel och att det därmed skiljer sig från de övriga avsnitten ligger en särskild kantlinje i vänstermarginalen. Utredningen föreslår att följande statliga funktioner inrättas: ett tvärsektoriellt samordningsorgan, en utpekad myndighet med övergripande ansvar för samhällets IT-säkerhet, en teknikkompe- tensfunktion, en IT-incidenthanteringsfunktion och en omvärlds- analysfunktion. Utredningens förslag till hur dessa funktioner skall arbeta återfinns i avsnitten 7.3–7.6. En viktig förebyggande och förtroendeskapande åtgärd är att evaluera och certifiera säkerhet i IT-produkter. Utredningen finner det väsentligt att etablerar ett system för evaluering och certifiering, liksom att ansluter sig till den internationella överenskommelse mellan högt utvecklade länder om att ömsesidigt erkänna varandras utfärdade certifikat. Detta diskuteras närmare i avsnitt 7.7. Det finns många begrepp med snarlik innebörd, där det är oklart vari skillnaden består. IT-säkerhet och informationssäkerhet är två sådana begrepp. Informationssäkerhet är det övergripande begrep- pet, vilket omfattar IT-säkerhet och administrativ säkerhet som är relaterad till hantering av information i olika verksamheter. IT- säkerhet är skydd av information i informationsbehandlande tek- niska system, vilket kan delas upp i datasäkerhet (ADB-säkerhet) och kommunikationssäkerhet. Administrativ säkerhet avser regler för personal, säkerhetsklassning av information, m.m. Begreppen är definierade i Informationstekniska standardiseringens (ITS) rapport för Informationssäkerhet.2 Informationsoperationer och informationskrigföring är två andra begrepp som ligger nära varandra. Informationsoperationer (IO) är det övergripande begreppet, vilket är samlade och samord- nade åtgärder i fred, kris och krig till stöd för ekonomiska, poli- tiska eller militära mål genom att påverka eller utnyttja en mot- ståndares eller annan aktörs information och informationssystem och skydda egen information och egna informations- system. Detta benämndes förr informationskrigföring (Informa- tion Warfare, IW), men p.g.a. de felaktiga associationer som ledet krigföring fört med sig, har informationskrigföring övergått till 2 Rapport 6, Strategi för ökad IT-säkerhet och skydd mot informationsoperationer att beteckna den delmängd av informationsoperationer som bedrivs i kris och krig. Informationsoperationer behöver dock inte alls ha någon koppling till krig eller förberedelser för krig. En aktör kan välja att använda informationsoperationer för att uppnå sina syften utan att ha några som helst avsikter att övergå till väpnat angrepp. Därmed är skydd mot informationsoperationer en uppgift även för det civila samhället. De defensiva aspekterna av informationsoperationer kallas in- formationssäkring (Information , IA), vilket innebär skydd av den egna informationen och de egna informations- systemen mot en angripares offensiva informationsoperationer. En skillnad mellan informationssäkring och informationssäkerhet är i vilket perspektiv man ser problemet. I informationssäkerhet har man valt ett nerifrån och upp-perspektiv med tekniken som kärna och administrativ säkerhet som ett viktigt komplement. I informa- tionssäkring har man i stället valt ett uppifrån och ner-perspektiv med säkerhets- och försvarspolitik för ögonen, där helhetssynen är viktigare än de tekniska detaljerna. Det kan diskuteras på vilket sätt valet av perspektiv påverkar innehållet i begreppen och vilka skill- naderna blir i de praktiska åtgärderna som vidtas. Oavsett hur man ser på detta står det klart att IT-säkerhet är en grund för såväl in- formationssäkring som informationssäkerhet, och att berörings- ytorna mellan IT-säkerhet, informationssäkerhet, informationssäk- ring, informationsoperationer och informationskrigföring är så stora att en nationell strategi måste beakta dessa frågor i ett sam- manhang. Detta har också regeringen framhållit i propositionen Ett informationssamhälle för alla .3 Dagens hotbild avseende informationsoperationer mot är svårbedömd. Inga allvarliga incidenter har inträffat som skulle tyda på att en angripare med samlade och samordnade medel söker påverka svenska informationssystem på bred front. Detta behöver dock inte betyda att hotbilden inte existerar vare sig nu eller . Aktörer, t.ex. stater, kan bygga upp en kapacitet att ut- föra offensiva informationsoperationer betydligt mer obemärkt och till en betydligt lägre kostnad än de kan bygga upp en mot- svarande offensiv militär kapacitet. Dessutom saknar geografiska avstånd betydelse. Även om sannolikheten för ett informationsoperationsangrepp mot med omfattande, allvarliga konsekvenser är svårbe- dömd, är konsekvensutfallet av en sådan magnitud att samhället 1999/2000:86, bet. 1999/2000:TU9, rskr. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer enligt utredningens uppfattning knappast kan negligera denna typ av risk. Ett osannolikt men inte orealistiskt exempel, utgående från en verklig händelse, kan illustrera denna risk. Den verkliga händel- sen är att utfärdade det amerikanska företaget av misstag två certifikat4 utställda på Microsoft till en okänd person. Med dessa certifikat kan den okända personen sprida program som bevisligen är producerade av Microsoft. Vad dessa program gör vet ingen. I det hypotetiska fallet är en angripare, som kan vara t.ex. en maffiaorganisation eller en illasinnad nation, den okända mottaga- ren, som dessutom utan att det upptäckts lyckats erhålla fler falska certifikat. Angriparen har lyckats placera programmen tillgängliga från en webbsida som ser ut att vara Microsofts. Programmen ser ut som om de reparerar säkerhetsbrister i Windows NT. Sådana program hämtar systemförvaltare regelbundet. Programmen gör visserligen det de lovar, men öppnar dessutom en tillfällig bakdörr och skickar ett meddelande till angriparen var de har installerats. Angriparen går då in genom de tillfälliga bakdörrarna, etablerar permanenta bakdörrar, byter ut de felaktiga programmen mot äkta vara och avslutar med att städa alla övriga spår. Därigenom har an- griparen fått kontroll över samtliga system där de falska program- men installerats. Genom andra metoder än denna har angriparen även lyckats få motsvarande kontroll över ett stort antal andra sy- stem, varav flera är centrala i samhällsviktiga funktioner. Detta upptäcks inte eftersom angriparen inte avser att utnyttja kontrollen förrän samlat och samordnat. Angriparen kan därmed allvarligt störa eller slå ut flera centrala funktioner i sam- hället såsom politisk ledning, teleföretag, banker osv. Genom det samtidiga förloppet är det inte säkert att det går att reparera eller ens upptäcka grundproblemet innan samhället har tvingats till eftergifter för angriparen eller i värsta fall helt kollapsat. Exemplet visar att konsekvenserna av ett litet misstag kan bli så stora att samhället måste ha en möjlighet att hantera denna typ av problem även om sannolikheten att de skall inträffa är liten. 4 Detta slags certifikat skall inte blandas samman med de certifikat för IT-produkter som diskuteras i avsnitten 7.4.5 och 7.7 Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Två statliga uppdrag har tidigare berört IT-säkerhet i ett helhets- perspektiv. Arbetsgruppen för skydd mot informationskrigföring (AgIW) presenterade i sin Rapport 25 en strategi och ansvarsfördelning för skydd mot informationsoperationer (då benämnt informationskrigföring) med tio förslag: En samordningsgrupp på hög nivå inom En ny nationell IO-samordning inom () En s.k. StatsCERT under () med stöd av () Inrättande av en statistikenhet i dialog med Näringslivets säkerhetsdelegation (NSD) Rapporteringsplikt för IT-relaterade incidenter inom statsför- valtningen Försvarsmaktens mandat beträffande signalskyddstjänsten gentemot totalförsvaret – vilket förvaltas av TSA – vidgas till att även omfatta civila informationssystem av betydelse för to- talförsvaret En aktiv IT-kontrollfunktion för statsförvaltningen med För- svarsmakten som bas Författningsändringar i datalagen m.m. initieras Mediebevakning på IT-området Förändrade samverkansformer, delgivning, utbildning m.m. på underrättelseområdet vad avser IO-information Dessa förslag behandlades av regeringen i propositionen Förändrad omvärld – omdanat försvar.6 PTS fick senare, som följd av AgIW:s förslag, i uppdrag att ut- reda förutsättningarna för att inrätta en särskild funktion för IT- incidenthantering. I en rapport daterad presen- terade PTS sina överväganden och förslag. Utredningen kommen- terar denna rapport i avsnitt 7.5. Det andra övergripande uppdraget hade Statskontoret, som presenterade sin rapport strategi för sam- hällets IT-säkerhet.7 Detta uppdrag utfördes som AgIW utförde sitt uppdrag. AgIW och Statskontoret hade mellan sig dragit skiljelinjen så att Statskontoret inriktade sig mot hotbil- 5Öppet utdrag ur hemligstämplad rapport , FO98 1297/MIL Strategi för ökad IT-säkerhet och skydd mot informationsoperationer den från enskilda personer upp till organisationer och företag i fredstid, medan AgIW hade hela hotbilden i kris och krig samt hotbilden stater och pakter i fredstid. Resultaten av de båda upp- dragen företer stora likheter, med förslag som i stora drag stämmer överens med varandra. Även Statskontoret lade förslagen om att ÖCB skall ges en samordnande roll och att lagstiftningen skall ses över. Statskontoret föreslog också en statistikfunktion och en statlig incidenthantering. Statskontoret indikerade därvid att man borde överväga att göra rapporteringen obligatorisk för statliga myndigheter. Vidare föreslog Statskontoret att PTS skulle ges i uppdrag att ta initiativ till att åtgärder vidtas för att erhålla en säkrare infrastruktur för Internet i . PTS fick i regler- ingsbrevet av regeringen i uppdrag att utreda möjligheterna vidare. PTS redovisade sina förslag till åtgärder i rapporten av Internet i oberoende av funktioner utom- lands.8 2001 har PTS fått tre uppdrag som följer på denna rapport. Statskontorets förslag behandlades av regeringen i propositionen Ett informationssamhälle för alla.9 I denna proposition gjorde regeringen bedömningen att en tvärsektoriell samordning för IT- säkerhet och skydd mot informationskrigföring bör utformas. Det ingår i Sårbarhets- och säkerhetsutredningens direktiv att föreslå hur utformningen skall göras. Regeringen gjorde vidare bedöm- ningen att för den närmaste framtiden bör tre områden prioriteras: skydd mot informationsoperationer, ett säkrare Internet samt elektroniska signaturer och annan säkerhetsteknik. Utöver de två nämnda övergripande statliga uppdragen, fick företaget (numera ) 1999 i uppdrag från Försvarsdepartementet att bidra till ökad förståelse för informationsoperationer och strategiskt nationellt IT-skydd. Resultatet blev en rapport Nationella strukturer för skydd mot informationsoperationer.10 fann att ett antal funktioner behöver inrättas: en statistikfunktion, en hjälpfunktion, en analysfunktion, en IT-säkerhetsfunktion och en aktiv IT- kontrollfunktion. 1999/2000:86, bet. 1999/2000:TU9, rskr. 1999/3025/EC/RC Strategi för ökad IT-säkerhet och skydd mot informationsoperationer 7.2.1Vision: skall vara ett föredöme inom IT- säkerhet En strategi för IT-säkerhet kopplad till informationssäkerhet och till den nationella informationsinfrastrukturens säkerhet handlar om hur nationens befintliga, förändrade och nytillkommande resurser skall utnyttjas samordnat för att säkerställa tilliten till hantering av information. Motivet för IT-säkerhetsstrategin är att underlätta att skapa ett säkert informationssamhälle för alla. IT-säkerhetsstrategin utgör en grund för informationssäkerhet och säkerhet i total betydelse. IT-säkerhetsstrategin utgör också en av utgångspunkterna för en nationell strategi för skydd mot infor- mationsoperationer. Lika nödvändigt som det är att i fred bygga upp ett militärt försvar är att i fred förbereda skydd av samhället mot informationsoperationer. Därför måste den grundläggande IT-säkerheten utformas så att en smidig omställning av samhället kan ske för att snabbt skydda mot allvarliga informationsattacker. Samhällets IT-säkerhet har stor betydelse för alla politikområ- den. Ingen säkerhet är hundraprocentig, men de risker man tar skall vara medvetna och kvarvarande brister skall vara kända och motiverade. Övergripande IT-politiska mål är att utveckla som en ledande IT- och Internetnation och att blir ett informa- tionssamhälle för alla. Därför prioriteras tilliten till IT, kompeten- sen att använda IT samt tillgängligheten till informationssamhällets tjänster. För detta krävs att agerar föredömligt på IT-säker- hetsområdet. Varje enskild myndighet, organisation eller företag svarar för att den egna informationsbehandlingen sker med betryggande säker- het. Detta medför att varje organisation i den offentliga förvalt- ningen och i näringslivet på en övergripande nivå skall kunna iden- tifiera, bedöma och hantera sitt beroende av IT och de risker som finns förknippade med användningen av IT. IT-säkerhet är till sin natur tvärsektoriell. För att åstadkomma ett helhetsperspektiv och en avvägd säkerhet mellan olika samhälls- områden krävs en tvärsektoriell samordning genom samverkan och Strategi för ökad IT-säkerhet och skydd mot informationsoperationer samråd kännetecknad av förtroende, kompetens och bästa resurs- utnyttjande. Riksdag och regering har ett övergripande helhetsansvar för samhällets informationsförsörjning och därmed även för informa- tionssäkerhet främst när det gäller samhällsviktiga funktioner. Detta ansvar gäller lagstiftning och andra regelverk, den offentliga verksamhetens struktur, samordningsorgan och stödfunktioner för att skapa ett helhetsperspektiv. Ansvaret innebär också att staten skall främja uppbyggnaden av en grundläggande förmåga hos såväl samhällets myndigheter som och näringsliv att hantera IT-säkerhet. Detta fråntar dock aldrig de enskilda orga- nisationerna ansvaret för sin egen IT-säkerhet. Samhällsviktiga funktioner inom alla samhällssektorer skall så långt möjligt skyddas från störningar och fungera störningsfritt såväl i fred som under svåra påfrestningar i samhället och i krig. Varje av- brott eller manipulation av dessa kritiska funktioner måste vara be- gränsat, sällan förekommande, hanterbart, isolerat och i så liten utsträckning som möjligt skadligt för nationens väl. Risker måste kunna hanteras. Alternativa möjligheter har avgö- rande betydelse för att minska sårbarheten. För att kunna hantera frågor om infrastrukturens sårbarhet behöver viktiga system och nätverk identifieras och värderas. Kontinuerliga sårbarhetsanalyser och samlade bedömningar skall leda fram till prioriterade åtgärds- förslag, genomförande och uppföljning. En mycket viktig del i samhällets IT-säkerhet är en säker infra- struktur för Internet. skall kunna bibehålla funktio- naliteten och användbarheten hos Internet oberoende av funk- tioner och system som är placerade utanför landet eller som av andra skäl är utanför svensk kontroll. Med detta avses att Internet skall kunna användas för i huvudsak normal kommunikation mellan privatpersoner, offentlig verksamhet, företag och organisationer. 7.2.4 Grundläggande krav för IT-säkerhet All offentlig förvaltning skall bedrivas med betryggande säkerhet i internt arbete, arbete mellan myndigheter, arbete gentemot med- Strategi för ökad IT-säkerhet och skydd mot informationsoperationer borgarna och internationellt. Förvaltningen skall erbjuda en hög servicegrad och kunna nås elektroniskt samt kunna erbjuda tjänster för spridning och hämtning av information via allmänna kommuni- kationsmetoder. Detta skall ske med god tillförlitlighet, tillgänglig- het och säkerhet. Det skall gå att säkert kommunicera inom landet och med omvärlden. Elektroniska affärer skall kunna bedrivas säkert. Ett informationssamhälle för alla förutsätter även att hela den infrastruktur som informationen beror av är säker och har hög tillgänglighet. Krav ställs på förebyggande säkerhetsåtgärder, på säkerhetsåtgärder vid upptäckt av intrång och på reaktiva åtgärder. Säkerhetsåtgärderna skall medge upptäckt vid försök till intrång som de skall ge tillräckligt med tid för att hindra eller begränsa intrånget. Tilltron till ny informationsteknik är i mycket stor grad bero- ende av tilltron till de tekniska systemens säkerhet. Det inkluderar tilltro till att systemen bevarar och garanterar sekretess, äkthet och riktighet avseende den information som hanteras. I förvaltnings- sammanhang är detta viktigt, inte minst för den personliga integri- teten och medborgarnas trygghet. Informationssäkerhet kräver helhetsperspektiv. Informationssäkerhet skall vara tvärsektoriell. I informationsåldern omvandlas samhället från sektorer till nätverk. Detta kräver ett helhetsperspektiv på samhället. Säkerhetsarbetet blir gränslöst när gränserna mellan olika system suddas ut. Nätet har inte ett finare skydd än sin största maska, varför det behövs en gemensam grundläggande säkerhetsnivå i nätverkssamhället. Enskild och offentlig verksamhet måste tillsammans sträva efter att höja denna säkerhetsnivå för att motstå verkan av samordnade angrepp på flera viktiga delar av samhället . Informations- säkerheten skall hanteras tvärsektoriellt eftersom angreppen till sin karaktär kan vara samlade och samordnade. Nätet måste också vara tillräckligt starkt i varje viktig del för att allvarliga spridnings- effekter skall undvikas. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Säkerhetsmedvetenhet skall prägla all utveckling och förändring inom IT-området. En god säkerhetsmedvetenhet är av grundläggande betydelse för informationssamhället. Säkerhetsfrågorna måste beaktas redan från första början vid all utveckling inom IT-området. Säkerhetsfunk- tioner som måste tillföras i efterhand innebär problem och ökade kostnader. Säkerhetskrav grundas på fyra pelare: människor, regler, teknik och organisation. En god helhetssyn förutsätter att säkerheten för vardera männi- skor, regler, teknik och organisation är god och att säkerhets- nivåerna är harmoniserade och avvägda mot varandra. Det hjälper inte att exempelvis den tekniska säkerheten är hög om något av de tre andra områdena är förbisett i väsentligt avseende. Människors säkerhetsmedvetenhet och kompetens har stor betydelse. Regler och organisation är också grundläggande. Tvärsektoriell samordning på nationell nivå Det övergripande arbetet med IT-säkerhet kräver en samordning som också är nödvändig för att skapa ett skydd mot informations- operationer. Angrepp mot svenska IT-system kan vara samordnade och slå mot flera sektorer i samhället. Osäkerheten om var och hur hot och störningar kan uppstå ökar behovet av en sam- ordnande instans med överblick och kunskap om hur incidenter och konsekvenser skall hanteras och som kan vidta förebyggande åtgärder. P.g.a. den hastighet och de spridningseffekter IT-angrepp kan uppvisa, måste den nationella samordningen ha gemensam överblick och förmåga att med stor snabbhet hantera dynamiska skeenden. Ett tvärsektoriellt samordningsorgan skall ansvara för sektors- övergripande frågor såsom behovsanalys och avvägningar mellan sektorer varunder viktiga verksamheter inom samhällets informa- tionsinfrastruktur sorterar. Organet skall därför utgöra ett viktigt stöd till bl.a. för snabbt införande av de förslag och åtgärder som befinns påkallade. Organet kan i vissa lägen även Strategi för ökad IT-säkerhet och skydd mot informationsoperationer