sou · GPB341d3 · 2002-01-01 00:00:00 — För att kunna uppnå detta föreslogs ett antal kriterier (på olika noggrannhetsnivåer) som definierade de olika granskningsåtgär- derna.27 En liknande utveckling följde i och Kanada.28 Det gemensamma syftet var att främja en utveckling av kommersiella säkerhetsprodukter (inklusive traditionella produkter med ingå- ende säkerhetsfunktioner) som bättre kunde möta säkerhetsmed- vetna köpares krav på säkerhet. En fokusering på försök att påvisa och korrigera existerande svagheter är med andra ord otillräcklig som metod för att komma till rätta med de grundläggande problemen. I stället måste kon- struktion och uppbyggnad av säkerheten genomföras på ett konse- kvent och genomtänkt sätt. Kriterier för granskningsåtgärder har inriktats mot krav på undersökning av konstruktionsprinciper och genomförande. Säkerställande av spårbarhet från identifierade hot och säkerhetsbestämmelser till framtagna säkerhetsfunktioner och mekanismer har blivit en central del av arbetet. Som en del av granskningen genomförs ibland även intrångstester, i första hand för att påvisa att funna brister kan utnyttjas i praktiken. Granskningen innebär således att en part, utvecklaren, skall kunna övertyga någon annan, granskaren (evalueraren) att kon- struktion i fråga om principer och övergripande lösning samt reali- 26Denna inriktning (kallas i Penetrate and Patch) används med fördel för att påvisa existerande svagheter i produkter och konfiguration och är i samband med övningar ett effektivt hjälpmedel för att öka driftpersonalens uppmärksamhet och förståelse. Upptäckta och publicerade svagheter bör alltid åtgärdas eftersom dessa ofta utnyttjas som grund för angrepp. Metoden kan däremot inte användas för att bevisa att ett system är säkert 27Trusted Evaluation Criteria; TCSEC; 1983. US-MIL-STD 5200.28, 1985. 28I , Evaluation Criteria (ITSEC), 1990, 1992. I , Evaluation Criteria (CTCPEC), 1990, 1991 Strategi för ökad IT-säkerhet och skydd mot informationsoperationer sering svarar mot i förhand fastställda granskningskrav. Ambitio- nen har varit att leverantörerna skall lägga ökad vikt vid omsorgs- full design av säkerheten i tidigt skede av utvecklingen som en lön- sam och effektiv väg mot bättre säkerhetsegenskaper. Ur använ- darnas synvinkel handlar evaluering om att skapa ett mått på önsk- värt förtroende och tillit som ett sätt att reducera sannolikheten för kvarstående svagheter som kan utnyttjas, och därmed reducera riskerna. i huvudsak militärt inriktade regler och bedömnings- kriterier har ersatts av kommersiellt orienterade system för evaluering (teknisk säkerhetsgranskning) och certifiering. Arbetet som bedrivits genom internationellt samarbete, syftade till att er- sätta de tidigare nationella eller regionala regelverken med en gemensam standard. fastställdes den nya internatio- nella standarden IS 15408, Evalueringskriterier för IT-säkerhet (Common Criteria). Evaluering innebär att en oberoende part granskar konstruktion och dokumentation enligt fastställda granskningskriterier. Dessa granskningskriterier kan ha olika nivåer. Som exempel kan nämnas att i IS 15408 finns sju fördefinierade nivåer som definierar gransk- ningsåtgärder med successivt ökande krav. Den lägsta nivån inne- bär mycket begränsade åtgärder såväl vad gäller leverantörens underlag som insatsen för evaluering och certifiering. Evalueringar på denna nivå kan genomföras . Höga nivåer kräver större insatser och kan, i synnerhet för komplicerade produkter, ta tämligen . Genom att erbjuda sju olika nivåer kan användare av standarden hos leverantörer respektive upphandlande enheter på kundsidan välja en lämplig nivå med hänsyn till marknadsbehov, kostnader och risker. –1991 formulerade , , och gemensamt nya kriterier för evaluering av IT-säkerhet (Evaluation Criteria; IT- SEC), vilka rekommenderades av i en rekom- mendation . Arbetet fokuserades på specifikation av granskningskraven och skilde sig gentemot de tidigare amerikanska kriterierna främst genom att inte längre vara inriktade mot opera- tivsystem för fleranvändarsystem samt genom att förutsätta att granskningen kunde genomföras effektivare och snabbare . Det senare åstadkoms genom att tydliggöra dokumenta- tions- och granskningsåtgärderna samt genom att lita till obero- ende evalueringsföretag. Däremot lämnades frågan om hur krav på säkerhetsfunktioner (funktionalitet) skulle uttryckas utanför. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer har , , , och (inledningsvis även ) gemensamt tagit fram underlag för en internationell uppsättning kriterier.29 Arbetet har bedrivits i nära samverkan med internationella standardise- ringsorgan (ISO/IEC) och ledde 1999 fram till IS 15408. Ett stort antal länder tillämpar denna standard på nationell nivå. Ett antal ledande länder (, , , , m.fl.) ingår i den aktiva gruppen. Arbetssättet i har inneburit att leverantören själv genom avtal med något godkänt evalueringsföretag arrangerat evaluering av sin produkt. har byggt nu upp ett liknande system (NIAP – National Information Program). För att möta risken för att evalueringsföretaget kommer under ekonomiskt tryck från leverantören att avge en positiv rapport låter man ett certifieringsorgan granska evalueringsresultatet och först därefter ge ut ett certifikat samt utöva tillsyn över evalueringsföretaget så att det arbetar med godkänd metodik och med erforderlig kompe- tens. Evalueringsföretaget måste även kunna upprätthålla en hög sekretessnivå vad gäller företagshemliga konstruktionsdetaljer som granskarna i vissa fall behöver kunna ta del av. Till skillnad mot tidigare nationella och regionala kriterier inne- fattar den nya standarden även ett bibliotek över kravkomponenter för ett stort antal olika funktionsegenskaper (för säkerhetsfunktio- ner) vilket avsevärt underlättar och förstärker specifikations- processen när det gäller att uttrycka verifierbara krav på säkerhets- funktionerna. En utveckling har också inletts där intressenter och organisatio- ner på kundsidan utvecklar generella kravprofiler för olika produkttyper (s.k. skyddsprofiler – Protection Profiles). Härigenom förväntas utvecklingen mot en bättre avpassad säkerhet i olika IT-produkter främjas. Upphandlingar kan där så är lämpligt enkelt referera till önskad skyddsprofil. Leverantörernas arbete med att beskriva egenskaperna hos sina produkter enligt standardens krav (Security Target) underlättas också. 29 Till skillnad mot tidigare förfarande i (med evaluering utförd av myndighet) har man satsat på att speciellt godkända evalueringsföretag (Evaluation Facility; ITSEF) skall utföra evalueringen, normalt på uppdrag av utvecklaren/leverantören. Resultatet granskas sedan av en separat, oberoende certifieringsfunktion som kontrollerar att granskningen skett med fastställd metodik och kompetens. Certifieringsfunktionen ger därefter ut ett certifikat som bevis på detta – till stöd för marknaden. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Området certifiering av IT-säkerhet har analyserats av ett antal ut- redningar och projekt under 1990-talet.30 Arbetet har bedrivits mot bakgrund av den pågående internationella utvecklingen. Inom samtliga länder med egna procedurer för certifiering har man valt att göra denna funktion myndighetsanknuten. Detta har skett bl.a. med hänsyn till områdets koppling till nationell säkerhet men också mot bakgrund av behovet att kunna ha tillgång till avan- cerad kompetens. Samtliga myndigheter har en nära koppling till säkerhetsorgan i de aktuella länderna. Senast efter en offentlig ut- redning har man i valt att lägga denna funktion på Sikkerhetsstaben i . I detta sammanhang har Styrelsen för ackreditering och teknisk kontroll, SWEDAC, med hänvisning till lagen om teknisk kontroll (1992:1119), framhållit vikten av att certifieringsfunktionen inte får göras till ett statligt monopol. För kritiska delar av statsförvalt- ningens verksamhet skulle detta kunna utgöra ett problem, då som ett litet land knappast har utrymme för mer än en cer- tifieringsfunktion. Inte minst totalförsvaret behöver låta evaluera produkter som har tagits fram för totalförsvarets egna behov, t.ex. kryptosystem. Att därvid helt kommersialisera certifieringsverk- samheten, med stark potential av utländskt inflytande, är inte lämpligt. Det är troligt att andra länder kommer att se det som märkligt om vitala behov inom den offentliga sektorn inte möts genom att sektorn själv utövar noggrann tillsyn och kontroll. Därför är det väsentligt att det etableras en certifieringsfunktion i statlig regi. Problemet ligger till del i att statens egna behov inte enkelt kan lösas genom samverkan mellan myndigheterna (på eget initiativ).31 Det är tydligt att den offentliga sektorns behov inte kan lösas utan åtgärder från regeringen. Det torde nu krävas en samordning för att klara ut statens roll och behov. I synnerhet totalförsvaret har kontinuerliga behov av evaluering som dock i huvudsak endast berört speciellt framtagna produkter. I andra fall har evaluering måst utföras utomlands. 30Statskontorets utvecklingsråd, (projekt inom Statskontorets Utvecklingsråd), Certifiering av IT-Integritet [CITI] 1992, förslag från SAMS och Statskontoret samt SWEDAC 31Efter DAS-90-arbetets avslutande förbereddes i dåvarande Försvarsstaben ett certifieringsråd med deltagande från Statskontoret, och . Initiativet föll dock på förvaltningsrättsliga problem som beslutanderätt, överklagande, osv. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Frågan gäller emellertid inte bara den offentliga sektorns egna behov. inom IT-sektorn måste kunna kon- kurrera framgångsrikt på den internationella marknaden. Flera företag har efterfrågat möjligheter att låta sina produkter evalueras i . Många företag känner tveksamhet att överlämna detalje- rat konstruktionsunderlag till utländska företag eller tvingas över- sätta underlag och beskrivningar från svenska. Ett antal företag har uttryckt intresse för att etablera sig som evalueringsföretag. I IT-propositionen Åtgärder för att bredda och utveckla använd- ningen av informationsteknik32 talas om behovet av att utveckla system för certifiering av (IT-säkerhets-) produkter. bör stödja de internationella ansträngningarna att tillämpa IS 15408 och därvid bygga upp ett sådant system. Statens roll som kravställare, både för egen del, och omsorg om säkerheten i kritiska infrastrukturer inom IT- och kommunikationsområdet talar för att staten aktivt bör verka för att ett system för certifiering av IT-säkerhet i produkter och system kommer till stånd. 7.7.5Utredningens förslag till certifieringsfunktion för IT- säkerhet i produkter Som redovisats ovan föreligger en brett tillämpad internatio- nell standard, ISO/15048, för värdering av IT-säkerhet. Standarden kan appliceras på såväl produkter som på enskilda IT- system. Produktevalueringarna dominerar och avser normalt kom- mersiellt tillgängliga produkter. I vissa fall förekommer det att produkter som inte finns på den öppna marknaden evalueras – det gäller framför allt speciella kommunikationssäkerhetskomponenter som kryptosystem, envägsnätfilter m.m. speciellt utvecklade för statens räkning. Flera inom försvaret pågående projekt har behov av evaluering av olika produkter, där man i flera fall tvingats söka sig utomlands. Svensk IT-industri har också efterfrågat tillgång till ett svenskt system för evaluering och certifiering. Sårbarhets- och säkerhets utredningen föreslår att inom landet byggs upp ett system med en sådan funktion. Härvid erfordras ett svenskt regel- verk för hur evaluerings- och certifieringsprocesserna skall realise- ras. Det torde vara lämpligt att här bygga på erfarenheter från de länder som har etablerat egna system. 1995/96:125, bet. 1996/96:TU19, rskr. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer krävs en uppbyggnad av evalueringsföretag som kan utföra det egentliga granskningsarbetet. Ett antal svenska företag har uttryckt intresse för att etableras sig för denna typ av uppgift. SWEDAC bör i detta sammanhang medverka vid ackreditering enligt interna- krav av såväl evalueringsföretag (EN 45001; ISO Guide 25) som certifieringsfunktion (EN 45011; ISO Guide 65). Till certifieringsfunktionens uppgifter bör höra: Licensiering av evalueringsföretag efter de principer som tillämpas i andra länder. Stöd och rådgivning vid utnyttjande av evalueringsstandarden för kravspecifikation. Tillsyn av evalueringsföretagen vad gäller kompetens och metodik (i samverkan med SWEDAC). Godkännande av nya evalueringsuppdrag till evalueringsföreta- gen i syfte att säkerställa en rimlig balans mellan ambitionsnivå (vad gäller assuransnivå), produktens komplexitet, bedömd erforderlig tid och resursåtgång. Uppföljning av pågående evalueringsprojekt. Gransknings av evalueringsrapporter. Utgivande av certifikat. Internationell samverkan i syfte att säkerställa och vidmakthålla erkännande av svenska certifikat. Internationell samverkan i syfte att utveckla effektivare meto- dik för evaluering. (1992:1119) tillkom som ett resultat av en strävan från statsmakterna att avreglera området provning och certifiering. Grunden för ömsesidigt erkännande skall vara interna- standarder och ackreditering via det statliga ackrediterings- organet, i fall SWEDAC. SWEDAC anmäler ackredi- terade organ till omvärlden. Ett sådant anmält organ är en av SWEDAC oberoende institution eller motsvarande med uppgift att prova en produkts överensstämmelse med standard och som regeringen har anmält till . Principen att staten inte skall ha ensamrätt inom certifierings- området är både riktig och viktig. Dock torde utrymmet för konkurrens för själva certifieringsfunktionen vara begränsat. Som tidigare påpekats torde det vara mindre lämpligt att helt kommersialisera certifieringsverksamheten. Flera länder har låtit Strategi för ökad IT-säkerhet och skydd mot informationsoperationer internationella överenskommelsen angående erkännande av IT- certifikat ett tecken på en särskild omsorg att säkerställa en jämn och hög nivå på kvaliteten i utfört arbete. Utgångspunkten anges ha varit att endast de aktiva certifieringsorganen har tillräcklig kunskap och kompetens för att utföra den erforderliga kvalificerade granskningen av organen själva (inbördes granskning, peer review). Detta kan möjligen ses som en risk för dubbelarbete, men har motiverats, dels av nämnda kompetensskäl, dels med hänsyn till IT-säkerhetsområdets särskilda betydelse för den nationella säkerheten. Till saken hör även att granskningsarbetet i grunden skiljer sig från sedvanlig testning mot överensstämmelse i så motto att man i säkerhetssammanhang strävar efter att skapa underlag och förtroende för icke-existens (av svagheter), snarare än ett verifiera viss på förhand definierad funktion. utredningar och projekt har diskuterat hur en certifie- ringsfunktion kan etableras inom landet. Bland remissvaren på CITI-rapporten33 föreslog bl.a. att För- svarets () borde få i uppgift att inrätta en sådan funktion. Det är väsentligt att funktionen har erforderlig kunskap om säkerhetstekniska svagheter och om hur evaluering i praktiken går till. Därför har utredningen funnit att FMV, som arbetat med evaluerings- och certifieringsfrågor, är lämpat att bygga upp en statlig certifieringsfunktion. Med den kompetens och erfarenhet på området FMV har torde funktionen kunna byggas upp där snabbare än någon annanstans. FMV bör in- ledningsvis erhålla detta uppdrag med särskilt anslag. Efterhand kan del av certifieringsfunktionen vara självfinansierad via avgifter som tas ut i samband med varje certifiering (t.ex. som en viss andel av evalueringskostnaden). Viss del av funktionens kostnader bör dock även på finansieras i särskild ordning. För uppbyggnadsarbetet kan initialt krävas extra resurser. Ett system för evaluering och certifiering är av vikt också för den allmänna utvecklingen mot bättre IT-säkerhet i samhället. En certifieringsfunktion bör därför i sammanhanget ses som ett stöd inte bara för försvarssektorn utan i väl så hög grad till det civila samhället och dess näringsliv. Detta kan möjligen anses tala mot att ge en försvarsmyndighet som FMV uppgiften. För en sådan lösning talar dock, förutom tidigare nämnda kompetens- och erfarenhetsskäl, även det faktum att FMV har uppdrag 33 IT4-projekt 4112; 1992 Strategi för ökad IT-säkerhet och skydd mot informationsoperationer inte bara mot Försvarsmakten utan även mot andra delar av totalförsvaret (t.ex. ÖCB). kan tänkas att FMV uppdrag efterhand breddas när det gäller kvalificerat upphandlingsstöd också utanför totalförsvarssektorn. Staten har anledning att via berörda myndigheter (exempelvis Statskontoret, , Försvarsmakten) utveckla policy för tillit vad gäller upphandling där krav på säkerhet ingår. Man bör här kunna göra jämförelser med regler som tillämpas i t.ex. och för produkter som avses ingå i för samhället säkerhetskritiska system. Sammanfattningsvis föreslår utredningen att FMV får i uppgift att bygga upp ett svenskt system för evaluering och certifiering baserat på IS 15408/EN45001/EN45011. Utredningen har följande förslag inom IT-säkerhetsområdet: En övergripande strategi för samhällets hantering av IT-säker- het och skydd mot informationsoperationer. Ett tvärsektoriellt samordningsorgan för IT-säkerhet och skydd mot informationsoperationer inrättas i Att den av utredningen föreslagna planeringsmyndigheten får ett sammanhållande ansvar för samhällets IT-säkerhet. En funktion för teknikkompetens inom IT-säkerhet, vilken inrättas i FRA-miljö som en egen myndighet med FRA som chefsmyndighet. En funktion för IT-incidenthantering, vilken inrättas i högskolemiljö som en egen myndighet med PTS som chefs- myndighet. Att den funktion för omvärldsanalys, vilken inrättas som en del i planeringsmyndigheten, även har kapacitet att bedriva omvärldsanalys inom områdena IT-säkerhet och informationsoperationer. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Att regeringen låter utreda och föreslå författningsändringar för att kunna garantera hög sekretess inom teknikkompetens- funktionen och IT-incidenthanteringsfunktionen samt att medge obligatorisk incidentrapportering för statsförvaltningen. Att regeringen låter utreda och föreslå författningsändringar för att klargöra förutsättningarna för aktiv IT-kontroll. Att FMV får i uppgift att bygga upp ett svenskt system för evaluering och certifiering. Att regeringen undertecknar Recognition Arrangement for Certificates. 8 Civil - militär samverkan I proposition Det nya försvaret 1999/2000:30 angavs följande: Beträffande uppgiften att stärka det svenska samhället vid svåra påfrestningar i fred skall Försvarsmakten ha förmåga att samverka med civila myndigheter och ha förmåga att ställa resurser till förfo- gande. Försvarsmakten skall vidare ha förmågan att ställa resurser till förfogande vid räddningstjänst och därutöver kunna lämna stöd till andra myndigheter. Kraven på förmågan att stärka det svenska samhället vid svåra påfrestningar i fred skall inte utgöra en ut- gångspunkt för Försvarsmaktens utformning men skall beaktas i den operativa och territoriella planeringen, vid planeringen av övningsverksamhet samt när det gäller tillgänglighet till materiel- slag och förnödenheter. En av Försvarsmaktens fyra huvuduppgifter är att bidra till att stärka det svenska samhället vid svåra påfrestningar i fred genom att kunna samverka med andra myndigheter och kunna ställa resur- ser till förfogande. Försvarsmakten skall genomföra den planlägg- ning och vidta de förberedelser som behövs för att kunna lösa myndighetens uppgifter. Detta sker nu allt starkare markerat med de senaste försvarsbesluten som grund. Kravet på förmågan för det militära försvaret att samverka med civila myndigheter tillämpas så att Högkvarteret samverkar med centrala myndigheter och Militärdistrikten samverkar med regio- nala och lokala myndigheter. Inom Militärdistrikten samverkar i princip staben regionalt och distriktsgrupperna lokalt. Även distriktsgrupperna kan dock samverka regionalt med t.ex. länssty- relse, länspolis och landsting om samverkan inte kräver omfattande stabsstöd. Inom Militärdistriktens uppgifter ligger att utforma planer för stöd till samhället, även avseende personal- och materiel- resurser Civil - militär samverkan Även civila myndigheter och organisationer måste enligt utredningen i planering av förberedelser inför allvarliga kriser utveckla organisation och system för att när så är motiverat rekvirera militär insats och att samverka med militära resurser i krishantering. Vid snabba eller osäkra förlopp måste denna förmåga finnas dygnet runt, ibland med kort varsel. Väl inövade system måste finnas för vart civila myndigheter skall vända sig för att få svar på frågor, när kompetensen finns inom Försvarsmakten. Behovet gäller självfallet också hur och var man snabbt kan rekvirera militär medverkan. Samverkansförmågan måste utvecklas mellan civila och militära myndigheter. Förmågan till samverkan vid svåra kriser eller oklara situationer måste finnas dygnet runt på minst en områdesnivå. 8.2Erfarenheter av civil-militär samverkan Erfarenheter av civil-militär samverkan i sen tid finns bl.a. från in- satserna med anledning av översvämningarna i i under nov–. Militärt stöd begärdes med räddningstjänstlagen som utgångspunkt. Omfattande insatser genomfördes med sammanlagt 14 medver- kande militära förband, sex hemvärnsförband samt medverkan av . Sammanlagt deltog drygt 100 befäl, ca 1 100 värnplik- tiga och 900 hemvärnsmän och lottor. I genomsnitt bestod insatsen av 130 kvinnor och män , varav 6–8 befäl. Det är angeläget att alla insatser dokumenteras och blir föremål för utvärdering. Så sker också i Arvika-fallet. Insatsen förefaller enligt gjorda iakttagelser och utvärderingar att ha fungerat väl. Det speglar Försvarsmaktens möjligheter och förmåga att medverka under händelser som innebär påfrestningar i det civila samhället. Vissa initiala problem i insatsen redovisas visserligen i den utvär- dering som genomförts av chefen för militärdistriktet.1 Organisationen stämde initialt inte överens med den civila sektor- indelningen. En ibland kaotisk situation med behov av snabb omfördelning av resurser och sektorchefer och andra befattnings- havare som var ovana vid att samarbeta med militära enheter bidrog till den röriga situationen (sid. 36). De militära reservelverk som skulle tillföras insatsen visade sig förrådsställda 1 C : Utredning om Försvarsmaktens insatser i , delrapport 2001- 04-25. Civil - militär samverkan på olika håll och vid driftkontroll fungerade de ej. Vid provstarter av kompletta elverk fungerade dessa ej på grund av eftersatt underhåll. Onödigt mycket tid åtgick till att transportera delar från olika håll i distriktet och att reparera elverken innan leverans till (sid. 49). Dessa exempel gäller dock initiala problem. Som helhet bör de militära insatserna under översvämningarna i bedömas ha medverkat till ett gott resultat. Insatsen i hade ett relativt utdraget förlopp. steg vattennivån successivt med . Det ut- dragna förloppet gav möjligheter till viss planering, intrimning och korrigering av insatserna. I de europeiska översvämningsfall som utredningen låtit en fors- kargrupp vid FOI studera (bil. 5), redovisas erfarenheter från , och av mycket kraftigt stigande vattennivåer med höga flöden . Ett tänkbart sådant händelseförlopp skulle, liksom ett större damm- brott, ställa större krav på en mycket snabb insatsförmåga, ledning och samband. Såväl ledningsövningar som praktiska övningar mellan civila och militära myndigheter bör regelmässigt genom- föras för svåra, komplexa scenarier. Det är därför angeläget att dra slutsatser av händelseförloppet och insatserna i anpassade till andra tänkbara förlopp vid framtida översvämningar. åtgärd att utse rädd- ningsledare underlättade i detta fall samverkan med det militära försvaret. Militärdistriktsstaben kunde gruppera en samverkans- officer vid .