sou · GPB341d3 · 2002-01-01 00:00:00 — Funktionen måste sträva efter att bli medlem i välrenommerade IT-säkerhetsorganisationer, t.ex. Response and Security Teams (FIRST), som är en inter- nationell paraplyorganisation för IT-incidenthanteringsfunktioner. Funktionen måste se till att ingå i nätverk där man sprider var- ningar och information om risker och sårbarheter. Funktionen måste ha en bred kännedom om aktörer på området i fråga om t.ex. forskning, utbildning, tjänster och produkter. För att inte riskera förtroendet för funktionen skall inte Polisen och Försvarsmakten delta i den, men funktionen måste ha goda relationer med dessa och andra myndigheter som på ett eller annat vis arbetar med IT- säkerhet. Utöver detta skall funktionen naturligtvis ha ett gott för- hållande till alla sina kunder. Både IT-incidenthanteringsfunktionen och teknikkompetens- funktionen skall utföra uppgifter som kräver teknisk kompetens. Det finns dock ett antal skillnader mellan de båda funktionerna, som principiellt kan sammanfattas i att för IT-incidenthanterings- funktionen är tidsaspekten avgörande, medan för teknikkompe- tensfunktionen är den djupa tekniska kompetensen avgörande. När det gäller tidsaspekten måste IT-incidenthanterings- funktionen kunna reagera snabbt med varningar och tidskritisk rådgivning. Teknikkompetensfunktionen har inte detta krav på snabbhet, annat än i sin roll vid akut IT-krishantering eller för att medverka till att ta fram motmedel mot nya elakartade program. IT-incidenthanteringsfunktionens fokus ligger därför på bredd och snabb tillgänglighet, medan de särskilt djupa tekniska kunskaperna utgör teknikkompetensfunktionens särdrag. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Tyngdpunkten i teknikkompetensfunktionens uppgifter kommer att vara kunduppdrag, medan IT-incidenthanteringsfunk- tionen kommer att ha en tyngdpunkt på hantering, rapportering och statistikföring av incidenter. Därmed finns också en skillnad i hur finansieringen skall ordnas. Teknikkompetensfunktionen blir lämpligen till stor del intäktsfinansierad, medan IT-inci- denthanteringsfunktionen till större delen bör vara anslags- finansierad. 7.5.4Sammanfattning av förslagen i PTS rapport PTS föreslår att en funktion för IT-incidenthantering inrättas på försök i PTS egen regi. Funktionen skall i första hand be- tjäna de statliga myndigheterna. Huvuduppgiften skall vara att motverka angrepp på informations- och kommunikationstekniska system och infrastruktur inom den statliga sektorn. Funktionen skall ta emot och analysera incidentrapporter från myndigheterna. Varningar, råd och annan information skall kunna spridas till myn- digheter, företag , organisationer och privatpersoner i . Funktionen skall också kunna samverka med enskilda organisatio- ner inom IT-incidenthanteringsområdet. Funktionens huvuduppgifter skall enligt PTS vara informa- tionsförmedling, analys och samordning. Informationsförmedling skall i första hand ske på kontorstid, men funktionen bör ha möj- lighet att förmedla varningar dygnet runt . PTS föreslår att funktionen bör ha beredskap dygnet runt att medverka med samordning vid pågående IT-inci- denter. Funktionen måste för huvuduppgifterna ta emot incident- rapportering, göra informationsinsamling och statistik samt bedriva nationellt och internationellt samarbete. Funktionen bör kunna förmedla kontakter, utföra servicetjänster och medverka i utbildningar. Om tid medges bör funktionen också, enligt PTS, medverka i utvecklings- och standardiseringsarbete. Funktionen bör enligt PTS bygga upp de bibliotek och databaser som behövs för verksamheten samt effektiva rutiner för arkivering av viktig IT-incidentrelaterad information. PTS föreslår att funktionen skall beakta information om och analysera följande klasser av IT-incidenter: Intrångsförsök och dataintrång Avsiktlig störning av tillgänglighet Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Nya typer av IT-incidenter PTS föreslår att de rapporter funktionen tar emot om informa- tionsattacker, efter eventuell sammanställning förmedlas vidare till i första hand SPF för analys. Formerna bör utformas av SPF och funktionen gemensamt. PTS ser ingen möjlighet att ge funktionen operativa befogenhe- ter utan författningsändringar, och ser inte heller något skäl till att ge funktionen några sådana befogenheter. Vidare föreslår PTS att polisen inte skall medverka i funktionen men att en god samverkan skall etableras. PTS föreslår att regeringen låter vidare utreda behovet av och formerna för en polisiär medverkan. PTS har bedömt att nuvarande sekretesslagstiftning inte medger att myndigheter kan åläggas att rapportera incidenter till funktio- nen. PTS föreslår därför en frivillig rapportering under försökspe- rioden och att frågorna om rapporteringsplikt och behov av för- ändringar i sekretesslagstiftningen utreds vidare. PTS föreslår att regeringen utreder och om så behövs utarbetar förslag till de författningsändringar som behövs för att underlätta brottsutredningar vid dataintrång. Sårbarhets- och säkerhetsutredningen föreslår att IT-incidenthan- teringsfunktionen skall betjäna samtliga statliga myndigheter. Dessutom skall kommuner, landsting och företag kunna ansluta sig till funktionen genom avtal. Funktionen bör vara den naturliga instansen för sina kunder att vända sig till i frågor som rör information om IT-säkerhet och in- formationsoperationer, förebyggande arbete, åtgärder vid inciden- ter eller kontaktförmedling. Myndigheter och övriga anslutna organisationer skall till funktionen rapportera inträffade IT-säker- hetsincidenter. I gengäld sprider funktionen varningar, eventuellt tidskritiska,19 och ger återkoppling på det rapporterade materialet. Denna återkoppling kan bestå av statistik, risk- och hotbildsinfor- 19 Med tidskritiska varningar avses här sådana varningar som för att undvika risk för allvarliga skador på IT-system eller motsvarande, måste spridas även utanför ordinarie kontorstid. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer SOU 2001:41 mation eller bedömningar av enskilda inträffade säkerhets- incidenter. Funktionen bör hantera dessa uppgifter: Ta emot incidentrapporter Larma och sprida varningar Ge aktiv tidskritisk rådgivning vid akuta IT-säkerhets- incidenter Föra statistik över IT-säkerhetsincidenter Sprida kunskap om IT-säkerhet och skydd mot informations- operationer Ge råd och information om åtgärder vid IT-säkerhetsincidenter förberedelser för IT-incidenthantering skyddsåtgärder Ge risk-, sårbarhets- och hotbildsinformation Förmedla kontakter Upprätta arkiv, bibliotek och databaser av terminologi Det finns åtminstone tre syften med en rapportering av IT-säker- hetsincidenter: 1.Den som rapporterar incidenterna kan erhålla hjälp med att be- möta dem. 2.Man rapporterar för att kunna varna andra. 3.Rapportering för statistik, som utgör ett väsentligt underlag t.ex. för att identifiera och urskilja samordnade attacker på bred front mot och nationella säkerhetsintressen. Att ge hjälp vid säkerhetsincidenter och att varna är naturliga upp- gifter för en IT-incidenthanteringsfunktion, varav följer att funk- tionen är en naturlig mottagare av incidentrapportering. Det är viktigt att funktionen för statistik på det rapporterade materialet. Statistiken kommer att vara en central informationskälla för att rätt kunna bedöma vilka insatser funktionen behöver göra. Statistiken kommer också att utgöra ett väsentligt underlag för att kunna identifiera samlade och systematiska angrepp mot . Funktionen behöver inte nödvändigtvis vara den enda instans i samhället som tar emot incidentrapporter. Företag eller branscher kan välja att skapa egna CERT-organisationer. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer vara en svaghet så länge alla dessa organisationer inklusive IT-inci- denthanteringsfunktionen ingår i ett gemensamt nätverk där in- formation och varningar kan utbytas utan onödigt dröjsmål. Det kan dessutom finnas fördelar med branschspecifika organisationer. Dels kan sådana organisationer ha bättre möjligheter att hjälpa sina kunder med de speciella problem som kan finnas i respektive bransch, dels kan det skapa bättre förutsättningar att få privata fö- retag att ansluta sig. finns det inte något hinder för att även den offentliga sektorn skall kunna välja mellan flera alternativa IT-incidenthan- teringsfunktioner att ansluta sig till. I någon mening finns det åtminstone två: CERT som driver åt SUNET20 för universitet och högskolor, tidigare vid Sunets driftcentral på KTH i , samt ÖCB:s testverk- samhet med rapportering av IT-incidenter där ett 50-tal myndig- heter deltar. Emellertid, för att kunna fullgöra alla de uppgifter som grundar sig på en rapportering krävs att denna har en tillräcklig volym. Därmed bör i ett inledningsskede alla statliga myndigheter vara obligatoriskt anslutna till en gemensam IT- incidenthanteringsfunktion. Det råder delade meningar om huruvida incidentrapportering skall vara obligatorisk eller frivillig för statliga myndigheter. Det viktigaste argumentet för ett obligatorium är problemet att voly- men annars kan bli otillräcklig för att kunna upptäcka en avan- cerad systematisk informationsattack mot . Utan en till- räcklig överblick kommer alla incidenter att framstå som spora- diska. Statistiken kommer därmed att bli bristfällig. Volymen är också viktig för att funktionen snabbt skall kunna utveckla kom- petens på IT-incidenthanteringsområdet. Skulle funktionen till större delen tvingas öva sig på fiktiva incidenter riskerar man att förmågan blir lägre än önskvärt när en allvarlig verklig incident in- träffar. Erfarenheterna från ÖCB:s frivilliga testverksamhet är att voly- men har varit mycket liten. Även om det är fullt möjligt att det förekommit endast få incidenter torde enligt utredningens uppfatt- ning skälet till den låga volymen vara att alla incidenter inte har rapporterats eller ens upptäckts. ÖCB gör själva denna bedömning, grundad på att frivilligheten har medfört problem, men även att de flesta myndigheter saknar rutiner och organisation för intern IT- incidenthantering och att de därmed även har begränsade möjlig- 20 SUNET () är organisationen som driver de svenska universitetens och högskolornas gemensamma datanätverk Strategi för ökad IT-säkerhet och skydd mot informationsoperationer heter till upptäckt. Vi kan alltså inte med säkerhet veta om det förekommer försök till systematiska attacker mot eller förberedelser till sådana. Man skall visserligen ha klart för sig att ett obligatorium i sig inte utgör någon garanti för att volymen kommer att öka substantiellt. Ett allvarligt problem är ofta att myndigheter själva antingen inte upptäcker incidenter eller saknar fungerande interna rutiner för rapportering. Detta utgör dock inget argument mot ett obligatorium, utan pekar i stället på ett generellt behov av säkerhetshöjande åtgärder i form av ökad medvetenhet, högre kompetens, bättre teknik, tydligare organisation och klarare regler. Ett obligatorium kan medverka till att skapa incitament för myndigheter att etablera en god intern IT-incidenthantering och allmänt höja IT-säkerhetsnivån. Ett argument för frivillig incidentrapportering är att ett obligatorium för statliga myndigheter kan vara juridiskt besvärligt, vilket PTS påtalar i sin rapport. Problemet ligger i sekretesslagen. Uppgifter som är sekretessbelagda inom en myndighet blir inte automatiskt sekretessbelagda inom en myndighet som delgivs dessa uppgifter. PTS förslag till lösning på problemet är att göra rapporteringen frivillig. Det går att lösa detta problem på annat sätt, nämligen genom att den rapporterande myndigheten gör en sekretessgranskning av de uppgifter som rapporteras och därmed ser till att inga hemliga uppgifter rapporteras. Även om rapporteringen därmed får något sämre kvalitet, blir inte kvantiteten mindre, vilket sannolikt i detta fall är av större betydelse. bör man dock via lagstiftning kombinerat med instruktion för IT-incidenthanteringsfunktionen garantera att rapporterade sekretessbelagda uppgifter även omfattas av sekretess hos funktionen. Med en sådan lösning kan man även erhålla bästa möjliga kvalitet på rapporteringen. Ett annat argument för frivillig incidentrapportering är förtroen- det. Genom att rapporteringen görs frivillig har man en garanti för att de som lämnar uppgifter verkligen gör det med förtroende. Det är onekligen så att ett förtroende för IT-incidenthanteringsfunk- tionen är av avgörande betydelse för att den skall kunna fullgöra sina uppgifter på ett tillfredsställande sätt. Förtroendet uppnås dock endast genom att funktionen visar i praktiken att den är värd ett förtroende. Funktionen får inte lämna ut uppgifter som kan identifieras till enskilda kunder. Funktionen måste kunna ge de rapporterande instanserna någonting värdefullt tillbaka. Funktio- nen får inte heller vara en polis. Skulle funktionen genom de Strategi för ökad IT-säkerhet och skydd mot informationsoperationer inrapporterade uppgifterna upptäcka brottslig eller misstänkt brottslig aktivitet mot en rapporterande organisation skall inte funktionen själv kontakta polisen. Funktionen skall i stället påtala det hela för den organisation som rapporterat och kan rekommen- dera denna att själv kontakta polisen. Detta kan möjligen kräva författningsändringar, men det är nödvändigt för förtroendet att funktionen inte gör polisanmälan av brott den får kännedom om genom rapportering. En obligatorisk incidentrapportering för statliga myndigheter kan visserligen skapa en svårighet för funktio- nen att i ett inledningsskede etablera detta förtroende, men denna svårighet bör inte vara oöverstiglig. Det är svårt att komma runt behovet av en stor volym rapporte- rade incidenter för att upptäcka en avancerad samlad informations- attack mot . Detta argument får anses väga så tungt att det avgör frågan. Statliga myndigheter bör därmed åläggas att rappor- tera samtliga inträffade IT-säkerhetsincidenter till IT-incident- hanteringsfunktionen. Privata företag och organisationer samt kommuner bör kunna ansluta sig och rapportera till funktionen på frivillig basis genom avtal. Ju fler som ansluter sig desto större underlag kommer funk- tionen att få för sina uppgifter. Detta understryker vikten av att funktionen agerar på ett sådant sätt att den inger ett stort förtro- ende. Företag måste kunna lita på att de behandlas med samma re- spekt som myndigheter och att sekretessen garanteras. Om funk- tionen genom lag, instruktion eller avtal är förbunden att inte lämna ut uppgifter om rapporterade incidenter till tredje part på ett sådant sätt att källan kan spåras, kan detta bidra till att stärka före- tagens möjligheter att ha förtroende för funktionen. Larm och spridning av varningar En central uppgift för funktionen är att kunna larma och sprida varningar om företeelser som kan hota IT-säkerheten. Det kan gälla nya virus eller andra elakartade program som kan utgöra hot eller störningsrisker för IT-system. Det kan gälla nya typer av stör- ningar eller risk för störningar som någon råkat ut för. Det kan gälla intrångsförsök eller annan brottslig verksamhet som man kunnat identifiera t.ex. genom analys av incidentstatistik. Uppgiften att larma är tidskritisk, åtminstone vad gäller att varna för nya virus eller andra elakartade program. Funktionens reaktionstid måste sålunda vara kort. Funktionen måste ha en Strategi för ökad IT-säkerhet och skydd mot informationsoperationer förmåga att snabbt kunna upptäcka nya elakartade program. Denna förmåga skapas dels genom att funktionen har en kanal för tidskritisk inrapportering som är öppen och bevakas dygnet runt, dels genom att funktionen prenumererar på varningar från CERT- organisationer och företag. Funktionen måste ha personal i jour. Vidare måste alla myndigheter och övriga organisationer som är anslutna till funktionen ha kanaler för att kunna ta emot de tidskritiska larmen. Funktionen bör ha flera sätt att sprida varningar på. Varningar av allmängiltig karaktär bör publiceras på Internet. Anslutna organi- sationer bör få varningar sig direkt tillsända, särskilt de varningar som endast berör en eller ett fåtal organisationer. Särskilda kanaler bör användas för de tidskritiska larmen för att de säkert skall upp- märksammas. Funktionen behöver inte alltid själv komma fram till vad som skall varnas om eller ta fram förslag till motåtgärder. Exempelvis kan funktionen för omvärldsanalys eller teknikkompetensfunktio- nen bidra i dessa sammanhang. Men det är viktigt att varningar och förslag till åtgärder kanaliseras genom IT-incidenthanteringsfunk- tionen, så att man får kontroll över att de rapporterande organisa- tionerna får all återkoppling de skall ha. Även i tidskritiska situationer måste funktionen beakta att orga- nisationer lämnat uppgifter om sina incidenter till funktionen i förtroende. Innan varningar sprids måste funktionen se till att de uppgifter som lämnas ut inte kan härröras till den organisation som rapporterat uppgifterna. Om ett förtroende skulle brytas riskerar man att rapporteringen upphör, vilket skulle menligt inverka på funktionens möjligheter att fullgöra sina uppgifter. Det är också viktigt att inte sprida falska varningar. Det finns många osanna rykten spridda om virus som påstås kunna orsaka omfattande skador på de system som drabbas. Dessa rykten sprids ofta med en uppmaning att sprida varningen vidare till så många som möjligt. Detta orsakar irritation och i värsta fall att nätverk, e- postservrar och andra datorer blir överlastade. Vidare skapas var- gen kommer- effekten. När en verklig befogad varning kommer riskerar den att tolkas som ännu ett rykte. Skulle funktionen göra bedömningen att skaderisken blir för hög om man skulle vänta på att få en varning bekräftad innan den sprids vidare, måste varningen då kompletteras med information om att varningen ännu inte är bekräftad och uppgifter om hur man senare kan ta reda på aktuell status på varningen (sann, falsk eller obekräftad). Genom information på webbsidor skall funktionen också se till att Strategi för ökad IT-säkerhet och skydd mot informationsoperationer informera om varningar som är bekräftat falska utan att särskild information sprids via kanalerna för varning. Aktiv tidskritisk rådgivning vid akuta IT-incidenter Funktionen skall besitta en sådan kompetens att den vid inträffade IT-incidenter skall kunna ge stöd över telefon med rådgivning om akuta åtgärder. Information som funktionen kan ha genom andra organisationers rapportering om liknande incidenter eller genom kontakter med andra IT-säkerhetsorgan kan bidra till att funktio- nen eventuellt har bättre möjligheter än andra aktörer att över- blicka situationen. Ju högre kompetens en funktion har desto fler typer av inciden- ter kan den hantera. Som tidigare påpekats behöver dock inte funktionen ha kravet att kunna lösa djupare kundspecifika pro- blem. Skulle det inträffa att en incident visar sig vara svårbemästrad p.g.a. t.ex. avsaknad av information eller att incidenten är tekniskt komplicerad, skall dock funktionen kunna hänvisa den rapporte- rande organisationen till aktörer med andra möjligheter att assi- stera. Aktörerna kan vara privata konsulter eller en statlig teknik- kompetensfunktion. Med god kännedom om utbudet av tjänster behöver inte IT-incidenthanteringsfunktionen ha kravet att alltid själv besitta spjutspetskompetens inom alla områden av IT-säker- het. Baskompetensen att kunna ge omedelbara generella råd måste dock vara ett minimikrav. När IT-incidenthanteringsfunktionen väljer att hänvisa vidare måste det göras klart att det är den rapporterande organisationen själv och inte funktionen som fattar beslutet om vilken aktör den skall välja att anlita. Det skulle stå i direkt strid mot ansvarsprinci- pen om IT-incidenthanteringsfunktionen på eget initiativ skulle anlita t.ex. en statlig teknikkompetensfunktion för en rapporte- rande organisations räkning. Genom att föra statistik över rapporterade incidenter och över sådana incidenter man eventuellt fått kännedom om från andra källor, kan en IT-incidenthanteringsfunktion skapa underlag för analys av olika slag. Ett av de viktigaste syftena med en sådan stati- stik är att kunna avgöra om och nationella säkerhetsintres- Strategi för ökad IT-säkerhet och skydd mot informationsoperationer sen är utsatta för en bred och systematisk attack av informations- operationer, eller för att finna indikationer på att en sådan attack håller på att förberedas. Detta är naturligtvis av säkerhetspolitiskt avgörande intresse. Funktionen kan möjligen utföra någon egen analys av materialet och statistiken, men lär huvudsakligen rapportera statistiken vidare för analys hos andra instanser, t.ex. en funktion för omvärlds- analys. IT-incidenthanteringsfunktionen måste ha en dialog med avnämarna av statistiken för att dessa skall få ett underlag av hög kvalitet i rätt tid och med uppgifter av relevans för den analys som skall göras. Observera att funktionen inte kan lämna ifrån sig uppgiften att föra statistik eftersom uppgiften kräver tillgång till sekretessmässigt känsliga incidentrapporter som funktionen er- hållit i förtroende. Statistiken får sålunda av en avnämare inte kunna kopplas till någon enskild rapporterande organisation. Funktionen bör dock själv kunna göra den kopplingen för att kunna återföra ett eventuellt resultat av analysen till de organisa- tioner som berörs av resultatet. Kunskapsspridning om IT-säkerhet och skydd mot informations- operationer Medvetenheten och kunskaperna om IT-säkerhet är inte alltid till- fredsställande överallt i samhället. Uppgiften att höja medvetenhe- ten och kunskapsnivån är en av de allra viktigaste på kort sikt för att samhället skall kunna bli robustare och få en ökad IT-säkerhet. Ett robust IT-samhälle är också den viktigaste komponenten i ett gott skydd mot informationsoperationer. Det är naturligt att IT-incidenthanteringsfunktionen är den centrala aktören i denna uppgift att höja medvetenheten och kun- skapsnivån. Detta blir den logiska fortsättningen på funktionens uppgift att sprida varningar och ge allehanda rådgivning om IT- säkerhet. Det betyder dock inte att funktionen själv måste ta fram och sprida all information eller anordna alla slags utbildningar och seminarier om IT-säkerhet. Men funktionen bör ha en överblick över vad som finns och ha en uppgift att kanalisera informationen. Likaledes bör funktionen genom sin överblick uppmärksamma områden där utbudet av utbildning och information är bristfälligt. Genom sitt kontaktnät kan funktionen initiera förbättringar. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer IT-incidenthanteringsfunktionen bör ha i uppgift att informera och ge generella råd om IT-säkerhet till hela samhället. Funktionen bör ha skriftligt material om IT-säkerhet både i pappersform och publicerat på webbsidor. Funktionen skall även kunna ge enklare råd över telefon utöver den mer avancerade hjälp vid akuta IT- säkerhetsincidenter som funktionen kan ge eller förmedla till myn- digheter och de företag och organisationer som man har avtal med. Funktionen behöver inte nödvändigtvis själv ta fram de råd man förmedlar, utan kan med fördel ta hjälp av expertis från andra in- stanser. T.ex. kan teknikkompetensfunktionen bistå med att ta fram råd om teknisk IT-säkerhet. IT-incidenthanteringsfunktionen skall dock kunna förmedla alla typer av råd och se till att de finns lättillgängliga. Funktionen skall kunna ge generella råd om lämpliga åtgärder vid olika slag av IT-incidenter. Exempel kan vara åtgärder vid virusangrepp, åtgärder vid misstänkta intrångsförsök eller åtgärder vid tillgänglighetsattacker.21 Råden skall gälla både hur man kan avbryta en pågående incident samt hur man kan lindra effekterna av den och restaurera efter den. Råden skall vara utformade så att åtgärderna inte försvårar för en eventuell polisutredning om incidenten beror på brottslig verksamhet.