sou · GPB341d3 · 2002-01-01 00:00:00 — Genom att data krypteras är avsikten att en obehörig som på ett eller annat vis fått tillgång till krypterad data inte skall kunna ta del av informationsinnehållet. Sekretessbelagd information som skall kommuniceras över en kanal som inte är garanterat skyddad för avlyssning, t.ex. Internet, måste vara krypterad. Även sekretessbelagd information som endast ligger lagrad på t.ex. en hårddisk utan att kommuniceras kan behöva krypteras om det finns risk att någon obehörig kommer åt hårddisken, kanske genom stöld. Kryptografiska metoder kan även användas för att skapa elektroniska signaturer. Rätt använda utgör dessa en garanti för riktighet och autenticitet, dvs. att informatio- nen inte har förändrats och att informationen har rätt avsändare. Varje krypto bygger på en eller flera algoritmer, dvs. en följd av matematiska beräkningssteg för att omvandla klartext till krypto- text och vice versa. Det finns outsinliga möjligheter att skapa kryptografiska algoritmer14 för att erhålla sekretess, autenticitet och riktighet. Inom totalförsvaret används oftast eget utvecklade, hemliga algoritmer. Kvaliteten på kryptoalgoritmer kan variera av- sevärt. En alltför svag algoritm gör att någon obehörig kan forcera det skydd man har skapat. Ju svagare algoritm desto mindre beräk- ningskapacitet behöver en obehörig för att forcera den. Evalueringar omfattar normalt sett inte att utföra kryptologiska bedömningar av de ingående algoritmernas styrka. Dessa bedöm- ningar har Totalförsvarets signalsskyddssamordning (TSA)15 ensamrätt på inom totalförsvaret, och bör alltjämt ha så av kompe- tensskäl. För vissa IT-system med höga krav på sekretess, autenti- citet eller riktighet kan det dock vara motiverat att utföra kryptologiska bedömningar i samband med evaluering. Behovet av detta har kraftigt ökat med integreringen av ADB-system och kommunikationssystem. Av detta följer att även teknikkompetensfunktionen måste ha ett nära samarbete med TSA. TSA har f.ö. en nära koppling till och intimt samarbete i metodik- och kompetensfrågor med (), som är den svenska signalspaningsorganisationen med 14Vanliga öppet kända algoritmer är t.ex. DES, RSA och MD5 15TSA organiseras f.n. av FM/MUST Strategi för ökad IT-säkerhet och skydd mot informationsoperationer ansvar att utföra kryptologisk analys på den spanade radiotrafiken. Denna koppling är mycket värdefull då den starkt bidrar till ett gott svenskt signalskydd. TSA kan därmed undvika de slags misstag som FRA söker utnyttja i sin analys av utländsk krypterad kommunikation. Medverkan i utveckling av IT-säkerhetsprodukter och säkerhet i IT- produkter IT-säkerhetsprodukter är sådana vars huvudsyfte är att stärka IT- säkerheten. Det kan gälla brandväggar, antivirusprogram, krypte- ringsutrustning, m.m. Säkra IT-produkter är sådana som i huvud- sak har en annan funktionalitet än IT-säkerhet, men som är kon- struerade med beaktande av IT-säkerhetskrav. Båda slagen av pro- dukter är viktiga för att ge en god IT-säkerhet. Säkra IT-produkter krävs för att inte sårbarheter skall uppkomma vid användande av IT-system. IT-säkerhetsprodukter krävs för att medverka till att skapa ett skydd mot olika hot mot IT-system. Dessa typer av produkter behöver ständigt utvecklas. Dessutom finns det kunder som har särskilda behov och inte kan nöja sig med de standardprodukter som finns på marknaden. För dessa kunder kan en statlig teknikkompetensfunktion ge ett värdefullt stöd med att bevaka de säkerhetsaspekter som finns. En statlig teknikkompetensfunktion skall inte i första hand själv bedriva utveckling av sådana produkter annat än möjligen för labo- rationsändamål eller för att ta fram något mycket enkelt program. Däremot skall funktionen kunna utgöra en resurs för att bl.a. inför upphandlingar se till att kravspecifikationer uttrycker den säker- hetsnivå som en kund bör kräva. I vissa fall kan funktionen även utföra tester och verifiera att kraven uppfyllts. Det militära försvaret är en kund som har behov av icke-kom- mersiella IT-produkter. Därmed skulle Försvarsmakten i princip kunna vara en kund till teknikkompetensfunktionen för att få stöd med säkerhetsaspekterna vid utveckling av IT-produkter. Det finns dock sannolikt starka skäl för Försvarsmakten att själv ha kompe- att kunna definiera krav på IT-produkter, om än inte resur- serna att i detalj utveckla dem. Stödet som teknikkompetensfunk- tionen kan erbjuda Försvarsmakten kan då i stället vara att obero- ende kunna granska föreslagna lösningar. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Utbildning, information och rådgivning om teknik inom IT- säkerhetsområdet Kunskapsförmedling inom IT-säkerhet är generellt sett viktigt. En ökad medvetenhet och en höjd kunskapsnivå i samhället är kanske den enskilt viktigaste åtgärden för att stärka samhällets IT-säker- het. Teknikkompetensfunktionen bör delta i kunskapsförmed- lingen på det tekniska området. Utredningen föreslår att det vid sidan av teknikkompetensfunk- tionen inrättas en IT-incidenthanteringsfunktion, som bl.a. föreslås få en informationsförmedlande roll i bred bemärkelse avseende IT-säkerhet. Arbetsuppdelningen dem emellan är lämpligen att teknikkompetensfunktionen arbetar direkt mot kund med information och råd som kräver en djupare teknisk kompetens, medan IT-incidenthanteringsfunktionen ger råd som är av allmängiltig natur till en kund samt sprider information på bred front till samhället i stort. Teknikkompetensfunktionen bör kunna anordna seminarier, föreläsningar och även vissa kortare utbildningar inom smala tekniska spetsområden med anknytning till IT-säkerhet. Syftet är att komplettera marknaden inom viktiga specialområden som marknaden inte erbjuder utbildning i. IT-incidenthanteringsfunktionen kan vara kund till teknikkom- petensfunktionen i fråga om att ta fram information om teknisk IT-säkerhet till samhället. Det kan t.ex. gälla information om hur man installerar och underhåller brandväggar, virusskydd, loggana- lys, m.m. IT-incidenthanteringsfunktionen har sedan ansvaret för att sprida informationen vidare i lämplig form, t.ex. på webbsidor. För att erhålla en hög säkerhet kan kunder behöva rådgivning inte enbart om teknik, utan även om organisation, regler och människa. Man kan därför överväga att för att erhålla en helhet även låta funktionen ha möjlighet att ge rådgivning om kompetens- och utbildningsbehov inom IT-säkerhet, organisationskrav eller regelverk. Andra möjligheter är att låta den föreslagna planerings- myndigheten eller IT-incidenthanteringsfunktionen svara för denna rådgivning, då den inte är av utpräglad teknisk natur. Utbildning som redan finns på marknaden skall däremot inte teknikkompetensfunktionen erbjuda. Det finns ingen anledning att konkurrera med den privata marknaden om att anordna utbildning. Det är inte heller meningen att funktionen skall erbjuda akademisk utbildning. Sådan utbildning erbjuds av universitet och hög- skolor. I den mån den akademiska utbildningens kvantitet eller Strategi för ökad IT-säkerhet och skydd mot informationsoperationer kvalitet skulle bedömas otillräcklig inom IT-säkerhetsområdet är det en brist som måste åtgärdas inom ramen för högskolesystemet. Insatser mot informationsoperationer eller vid nationella kriser med IT-inslag Skulle bli utsatt för en informationsoperationsattack på bred front kan det krävas ett övergripande samarbete mellan flera instanser med kompetens inom IT för att attacken skall kunna av- värjas och för att genomföra eventuell restauration efter attacken. Ett motsvarande övergripande samarbete kan krävas vid andra typer av nationella kriser med IT-inslag. I sådana lägen utgör teknikkompetensfunktionen en viktig komponent i ett samlat, övergripande arbete med tekniska åtgärder. Funktionen bör då övergå till att sätta huvuddelen av sina resurser på att bemöta kri- sen. Det finns anledning att diskutera befogenheter och ansvarsför- hållanden vid informationsoperationsattacker eller vid nationella kriser med IT-inslag. Men det finns inga starka skäl som talar för att teknikkompetensfunktionen skall ha ett egentligt ledningsan- svar ens i sådana lägen. Möjligen kan den undantagsvis få ett dele- gerat ansvar att leda de tekniska insatserna om särskilda omstän- digheter talar för detta. Vid informationsattacker och nationella kriser med IT-inslag där problemen drabbar flera samhällssektorer, bör det tvärsektoriella samordningsorganet vara beställare av funktionens tjänster. Aktiv hjälp vid svåra IT-säkerhetsincidenter När en organisation drabbas av en IT-incident och rapporterar denna till en funktion för IT-incidenthantering kan organisationen erhålla viss hjälp. Denna hjälp är inte alltid tillräcklig. Problemet kan vara generellt svårlöst eller omöjligt att lösa över telefon, eller också kan problemet vara av en så avancerad natur att det kräver hantering av särskild teknisk kompetens. Teknikkom- petensfunktionen kan bistå med särskilt avancerad rådgivning, och kan även bistå med hjälp på plats. I vissa fall vet inte den anmälande organisationen vad som är or- saken till incidenten. Teknikkompetensfunktionen kan bistå med felsökning. Arbetet kan vara tidskritiskt, t.ex. om ett samhällsvik- Strategi för ökad IT-säkerhet och skydd mot informationsoperationer tigt IT-system inte fungerar och man inte vet orsaken till detta. Dessutom är det viktigt att utröna om incidenten beror på brotts- lighet, t.ex. dataintrång. Eftersom den anmälande organisationen skall göra polisanmälan vid brottsmisstanke kan polisen komma att ställa krav på de åtgärder som vidtas. Teknikkompetensfunktionen skall ha sådan kännedom om polisiärt arbete att åtgärderna funk- tionen rekommenderar inte försvårar utan helst underlättar en senare polisutredning. Man kan överväga om polisen skall kunna avropa tjänster från teknikkompetensfunktionen för att genomföra polisiärt arbete i en annan organisations miljö. Det kan gälla allt från spårning av brottslighet hos en drabbad organisation till tekniskt stöd vid hus- rannsakan. För detta talar att teknikkompetensfunktionen redan kan ha ett försprång i kunskapsnivå genom att en drabbad organi- sation redan anlitat funktionen när de upptäckte incidenten. Funk- tionen kan besitta viss spetskompetens som polisen saknar, eller också kan funktionen utgöra en möjlighet även för polisen att av- ropa vid toppar i belastningen. Mot detta talar förtroendet för funktionen. Organisationer kan komma att tvivla på att det är ett stöd de anlitat och inte en polisutredning. Behovet av förtroende gör att man inte bör låta teknikkompetensfunktionen delta aktivt i polisutredningar utan medgivande av den organisation hos vilken undersökningen skall ske. Ett av de effektivaste sätten att höja en organisations medvetenhet om behovet av IT-säkerhet är att utföra aktiv IT-kontroll. Genom att låta behöriga personer göra kartläggningar av nätverk, in- trångsförsök, m.m., upptäcks säkerhetsbrister, inte minst vad gäller konfiguration och användning, förhoppningsvis innan obehöriga personer upptäcker dem. En av de viktigaste effekter som därige- nom uppnås är att man får en uppmärksamhet inom organisationen och därmed en ökad medvetenhet om IT-säkerhet. Den som utför aktiv IT-kontroll skall inte ha något ansvar för att åtgärda de brister som upptäcks. Det är enbart den kontrolle- rade organisationens uppgift att avgöra på vilket sätt det skall ske. Det är av nationellt strategiskt värde att aktiv IT-kontroll regel- bundet genomförs på totalförsvarsmyndigheter och andra organi- sationer med samhällsviktiga IT-system. Teknikkompetensfunk- tionen bör kunna erbjuda denna tjänst till de organisationer som så Strategi för ökad IT-säkerhet och skydd mot informationsoperationer önskar på direkt uppdrag från dessa. Eftersom funktionen därige- nom potentiellt kan få insyn i några av samhällets mest sekretess- belagda system är det oundgängligt att funktionen själv måste kunna garantera strängaste sekretess. Man kan i och för sig överväga om teknikkompetensfunktionen även skall kunna agera på uppdrag av en tillsyns- eller revisions- myndighet. För detta talar att tillsyns- och revisionsmyndigheter inte nödvändigtvis själva måste bygga upp den tekniska kompeten- sen. Mot detta talar att teknikkompetensfunktionen inte bör agera utan fullt förtroende från den organisation funktionen agerar hos. Behovet av förtroende för teknikkompetensfunktionen får anses väga tyngre än det eventuella behov av extern kompetens en till- syns- eller revisionsmyndighet kan ha. Problemet kan alltid lösas genom att den kontrollerade organisationen ger sitt förtroende till teknikkompetensfunktionen att utföra aktiv IT-kontroll för en till- syns- eller revisionsmyndighets räkning. Det finns ett antal juridiska oklarheter kring aktiv IT-kontroll. Det är inte nödvändigtvis självklart att en statlig myndighet anses ha mandat att låta utföra aktiv IT-kontroll på sina system och nät- verk. Systemen kan innehålla sekretessbelagd information, varför det är oklart om en myndighet kan anses ha följt de lagar och för- ordningar som gäller om sekretess när man låter en extern part ut- föra aktiv IT-kontroll. Aktiv IT-kontroll faller sannolikt inte under sekretesslagens 13 kap., som behandlar överföring av sekretess till annan myndighet. Vidare kan alltid störningar och skador inträffa p.g.a. själva kontrollen, även om den som utför den ålägger sig försiktighet. Ett annat problem är att man vid aktiv IT- kontroll oavsiktligt kan komma att hamna utanför de nätverk man skall kontrollera. Detta kan t.ex. bero på okända eller bortglömda förbindelser. Vad gäller om man kommer till en annan myndighet, kriminalregistret, ett privat företag, eller för den delen utanför landet? Dessa frågor bör utredas ytterligare så att eventuella författningsändringar skyndsamt kan genomföras för att göra aktiv IT-kontroll till ett hjälpmedel som kan användas med fullt legalt stöd. Värt att notera är att paragraf om dataintrång inte utesluter aktiv IT-kontroll. För att dataintrång skall anses föreligga måste denna vara olovlig. I och med att aktiv IT-kontroll alltid ut- förs på begäran av den som äger systemen torde den inte kunna anses vara olovlig i lagens mening. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Analys av elakartade program Elakartade program kan vara t.ex. datavirus, maskar eller trojaner. Med jämna mellanrum drabbas samhället av elakartade program som kan ställa till stor skada på , och därmed hota vitala samhällsfunktioner. Spridningen sker ofta via e-post. Tiden det tar för programvaran att sprida sig över stora delar av världen har kunnat röra sig om enbart timmar. Framtida teknik kan leda till att elakartade program sprider sig ännu snabbare. Att larma och utfärda varningar är en uppgift för en IT-incident- hanteringsfunktion. Om ett larm eller en varning beror på att ny- upptäckta elakartade program eller misstänkta sådana snabbt håller på att sprida sig i stil med 1999 eller letter 2000, bör dock även teknikkompetensfunktionen kopplas in för att ta fram tillfälliga skydd samt åtgärder för att sanera och återställa. Sanno- likt räcker det ofta med att sammanställa, kanalisera och eventuellt göra en svensk anpassning av lösningar som kommer från olika kommersiella antivirusföretag, vars tjänster funktionen bör ut- nyttja i möjligaste mån. Men om så krävs skall teknikkompetens- funktionen själv kunna analysera elakartade program och ta fram de skydd och motåtgärder som krävs. Även om exemplen är få eller inga på elakartade program som är specifikt riktade att slå mot en- bart svenska IT-system är det tekniskt möjligt att framställa sådana. Generella elakartade program kan också ha sitt ursprung i . I dessa fall är det möjligt att en svensk teknikkompetens- funktion har bättre förutsättningar än någon annan att snabbt ta fram skydd och motåtgärder. För att kunna fullgöra uppgiften att analysera elakartade pro- gram måste teknikkompetensfunktionen ha spetskunskaper på om- rådet. För att skydda samhället mot besvärliga överraskningar i form av elakartade program som bygger på någon ny princip, bör funktionen i möjligaste mån ha kunskaper om principer för elakar- tade program redan innan dessa principer har använts i realiteten. Det kan därför övervägas om funktionen bör bedriva egen forsk- ning och eget utvecklingsarbete i ämnet. Sannolikt är det dock tillräckligt om teknikkompetensfunktio- nen har täta kontakter med forskare och organisationer som sysslar med denna forskning inom och utom landet. Inom de områden där behov av ny forskning finns kan funktionen initiera denna forsk- ning hos någon institution. Lämpliga kontakter inom är därför främst FOI, universitet och tekniska högskolor. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Annat tekniskt stöd inom IT-säkerhetsområdet Teknikkompetensfunktionen skall ses som samhällets resurs och ett komplement till marknaden inom området teknisk IT-säkerhet. Funktionen skall därför kunna stå till tjänst för samhället även med andra uppgifter än de ovan beskrivna om de har med teknisk IT- säkerhet att göra och där man av någon anledning inte kan vända sig till marknaden. I synnerhet gäller detta för ny teknik där sam- hällets behov av säkerhet inte säkert är automatiskt tillgodosett från början. Ett aktuellt exempel på ett sådant behov av säkerhet är de problem som kan uppstå med skydd av den personlig integrite- ten vid användning av IT. Samhället kan ha behov av tekniska bedömningar av produkter och system, där målet inte är att skapa ett certifikat. Det kan t.ex. gälla en myndighet som, utan att ha behov att gå på djupet, vill ha en oberoende teknisk säkerhetsbedömning av ett system de vill köpa eller skapa själva. Ett annat exempel är funktionen för om- världsanalys, som kan behöva tekniskt underlag för att kunna av- göra om man måste ompröva en hot- och sårbarhetsanalys inom någon samhällssektor. I de frågor där samhället behöver en teknisk IT-säkerhetsanalys skall teknikkompetensfunktionen kunna stå till tjänst med denna. Teknikkompetensfunktionen har en viktig roll att spela i att eliminera de tekniska sårbarheter som uppkommer i samhället undan för undan. Teknikkompetensfunktionen kan efter en uppbyggnadsfas åtmin- stone delvis vara intäktsfinansierad. De flesta av funktionens upp- gifter är sådana som utförs på uppdrag av en kund. Det är då en rimlig princip att kunderna står för kostnaderna att hålla de resur- ser som krävs för dessa uppgifter. Funktionen skall dock kunna utgöra en tillgänglig resurs vid kriser, varför den även behöver ha en viss anslagsfinansiering. Teknikkompetensfunktionen bör inrättas i en miljö som är tek- nikorienterad för att ha förutsättningar att attrahera kvalificerad kompetens. Utredningen har funnit att FRA utgör en lämplig så- dan miljö, varför utredningen förordar att teknikkompetensfunk- tionen organiseras i nära anslutning till FRA. Ytterligare fördelar med denna miljö är att FRA har en vana vid sekretess samt att FRA redan har erfarenhet på IT-säkerhetsområdet. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer försvarets myndigheter och andra myndigheter med särskilda säkerhetsbehov kan anlita FRA som teknisk kompetens för att höja IT-säkerheten och förbättra sina skydd mot informations- operationer. Vidare kan närheten till den kryptologiska kompetensen på FRA vara en fördel för funktionen. Teknikkompetensfunktionen bör ges en från FRA organisato- riskt fristående ställning. Det är dock inte lämpligt att ge teknik- kompetensfunktionen ställning som fristående myndighet. Den bör därför anknytas till en större myndighet som bör fungera som chefsmyndighet för teknikkompetensfunktionen. Utredningen har funnit två tänkbara alternativ till chefsmyndighet: FRA eller den av utredningen föreslagna planeringsmyndigheten. FRA har förde- larna att funktionen ändå enligt utredningens förslag kommer att placeras i dess närhet, och att FRA med sin erfarenhet på området kommer att ha goda förutsättningar att relativt snabbt etablera funktionen. Ett alternativ kan vara att låta den föreslagna plane- ringsmyndigheten bli chefsmyndighet. I så fall skulle man även få fördelen att planeringsmyndigheten lättare kan upprätthålla sitt övergripande ansvar över samhällets IT-säkerhet. Enligt utredning- ens uppfattning är dock fördelarna med FRA som chefsmyndighet övervägande. Utredningen förordar därför denna lösning. PTS fick i uppdrag av regeringen att utreda för- utsättningarna för att inrätta en särskild funktion för IT-incident- hantering.16 Resultatet presenterades i rapporten Förutsättningar för att inrätta en särskild funktion för IT-incident- hantering.17 remitterade rapporten till 76 instanser. I missivet framgick att PTS rapport med remissvar skulle överlämnas till Sårbarhets- och säkerhetsutredningen för fortsatt beredning. Den IT-incident- hanteringsfunktion18 som utredningen föreslår har PTS rapport 16Regeringsbeslut N1999/11654/ITFoU 18En IT-incidenthanteringsfunktion kan ses som en CERT, vilket står för Computer Emergency Response Team. En svensk översättning saknas. Ordet CERT har använts så ofta att det blivit oklart exakt vad man förväntar sig av en CERT. Det är oklart vad som menas med emergency, i fråga om hur pass allvarlig en incident skall vara innan den anses vara uppgift för en CERT. Det är också oklart vad som menas med response, vilket kan tolkas som hela skalan från att avbryta den egna verksamheten och att reparera eventuella Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Utredningen har gjort endast ett mindre antal justeringar av PTS förslag för att passa in det i det helhetsförslag som utredningen föreslår, och för att ta hänsyn till vissa av synpunkterna i remissvaren. 7.5.2Motiv för ett statligt engagemang Staten behöver ha en fungerande IT-incidenthantering. Funk- tionen för detta skulle i princip kunna upphandlas på den öppna marknaden. Det finns dock ett antal skäl som talar för att staten bör organisera denna funktion: Skydd mot informationsoperationer samhällsintresse Officiell samverkan i internationella sammanhang Funktionen kommer att hantera information som är sekretessmäs- sigt känslig eller t.o.m. mycket känslig, varför förtroendet för funktionen måste vara orubbligt. Funktionen skall fullgöra upp- giften att föra statistik på de inkommande rapporterna. Statistiken skall analyseras för att kunna identifiera eventuella informations- operationsattacker på bred front mot . Denna uppgift är säkerhetspolitiskt både så viktig och känslig att den inte utan vidare kan lämnas till privata aktörer. Målet är att funktionen skall kunna hantera IT-incidenter inte bara inom staten utan även inom kommuner, landsting och privata företag genom avtal. Det är rimligt att ett så brett åtagande över hela samhället organiseras av staten. skador till att utföra motattacker. Noteras bör att man internationellt har tonat ned response-aspekterna. Det är också, vilket inte är minst viktigt, oklart om en CERT skall anses ha operativa befogenheter eller ha endast varnande och rådgivande uppgifter. Eftersom dessa oklarheter finns används i denna text begreppet IT-incident- hanteringsfunktion, vilket även är termen i PTS rapport. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Officiell samverkan i internationella sammanhang måste ha internationella kontakter med motsvarande in- stanser för IT-incidenthantering i andra länder. För att kunna upp- rätthålla den kompetens som krävs i sådana sammanhang och för att tillföra kunnande i arbetet måste staten aktivt arbeta med IT- incidenthantering. Om IT-incidenthanteringsfunktionen skall kunna fullgöra sina uppgifter är det av avgörande betydelse att den skapar och upprätt- håller ett stort antal kontakter på många områden såväl nationellt som internationellt.