sou · GPB341d3 · 2002-01-01 00:00:00 — Alla delar av samhället behöver kunna representeras på hög nivå för en bred samverkan mellan privat och offentlig sektor. Syftet med den tvärsektoriella samordningen och rådgivningen att bedöma sårbarhet och hotbild och förändringar av hotbilden med underlag från incidentanalys och övergripande omvärldsanalys att föreslå hur sårbarheten och hotbilden kan omsättas i plane- ringstermer och optimal resursfördelning för skydd av berörda samhällssektorer att föreslå åtgärder som kan omsättas i förebyggande verksam- hetsstöd i form av råd och rekommendationer om IT-säkerhet att åstadkomma en bred helhetssyn i förebyggande syfte, vid kriser och svåra IT-störningar och vara rådgivande till att utgöra en krishanteringsresurs vid svåra IT-störningar i samhället. Syftet med ett centralt stöd för IT-incidenthantering är att i realtid eller nära realtid tillse att attacker mot datasystem avstyrs och upp- hör, samt stödja återställande av systemen vid större attackföretag. Incidentstödet skall ha översikt och kunskaper om IT-hot och IT- säkerhet i ett helhetsperspektiv. Förmåga krävs att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Säkerhetsproblem som oklara fel, större avvikelser, incidenter och återstart av system som inte ut av enskilda systemägare skall kunna hanteras. Kvalificerad rådgivning från en hjälpcentral skall kunna lämnas. Ansvaret kvarstår dock ytterst alltid hos systemägaren. Samhällsviktiga funktioner skall ha tillgång till centralt stöd för IT-incidenthantering. Både enskild och offentlig verksamhet om- fattas, eftersom viktiga delar av samhällets infrastruktur drivs i privat regi. Nationellt samarbete är väsentligt eftersom många funktioner är sammankopplade. Varning och larm måste kunna ske . Internationellt samarbete med utländska motsvarigheter bidrar till snabbare uppbyggnad av kompetensen inom IT-incidenthantering. För att representera internatio- nellt behöver funktionen ges offentlig status. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Bearbetning av statistik över IT-incidenter skall medverka till kartläggning av bl.a. typer av intrång och deras inverkan på sårbar- het och betydelse för säkerheten. Detta kräver att en statistikfunk- tion gör en samordnad insamling, uppföljning och utvärdering av vad som framkommit vid de statliga myndigheternas IT-säkerhets- arbete. Statistikfunktionen skall vara en integrerad del i funktionen för IT-incidenthantering. Till en sådan statistikfunktion skall statliga verksamheter åläggas att rapportera alla definierade IT-inci- denter. Incidentrapporter skall efter den centrala bearbetningen återremitteras till systemägaren för att kunna utgöra underlag för skyddsåtgärder. Kommuner, landsting och privata företag bör genom avtal kunna ansluta sig till den centrala funktionen. En förutsättning att så sker är att den centrala funktionen bygger upp ett grundmurat förtroende som leder till att partnerskap kan etableras mellan de offentliga och privata sektorerna. Information måste kunna lämnas utan att svagheter blottställs som missgynnar förtroende och affärsverksamhet. Incidentanalyserna baseras på uppgifter från det akuta incident- stödet, från statistik över incidenter och från samverkan med inter- nationella organisationer som producerar varningar. Analyserna utgörs av djupgående tekniska undersökningar. Hot och risker skall kunna identifieras beträffande datorutrustning, program och nätverkssystem. Varningar skall kunna utfärdas till bl.a. de trafikförmedlande operatörerna i händelse av överhängande hot. Den samordnade värderingen av tillgänglig information skall kunna resultera i såväl prognoser som strategiska varningar. I de delar näringslivet med- verkar är det helt avgörande att känslig information om företags- specifika förhållanden inte sprids. Förändringar av hot och sårbarheter på IT-området måste kunna följas nationellt och internationellt med hjälp av strategiska och taktiska omvärldsanalyser som får stöd av civila och militära under- rättelse- och säkerhetsfunktioner. Omvärldsanalysen med sikte på Strategi för ökad IT-säkerhet och skydd mot informationsoperationer IT-säkerhet har även anledning att ur ett helhetsperspektiv upp- märksamma besläktad utveckling inom IT-relaterade medier som kan rubriceras som desinformation, psykologiska operationer eller andra former av informationsoperationer i dess vidaste bemärkelse. Omvärldsanalyserna skall sammansättas med incidentanalyser för att utröna aktörer, metodik och motiv för intrång. Hotbilder skall sammansatta med IT-sårbarhet i samhället möjliggöra bedöm- ning av sannolikhet och risk för angrepp och konsekvenser härav. Hotbilder skall identifieras som anger tänkbara angripares identiteter och avsikter tänkbara tekniker, metoder och förmågor för angrepp tänkbara mål, allt ifrån nationell till individuell nivå. Aktiv IT-kontroll syftar till att genom verkliga intrångstester på- visa säkerhetsbrister och svaga punkter i de aktuella IT-systemen. Efter att svaga punkter identifierats är det av stor vikt att dessa analyseras och ligger till grund för konkreta förslag på skyddsåt- gärder. Detta är viktiga led för att förbättra IT-säkerheten, inte minst genom den uppmärksamhet som normalt uppkommer hos systemförvaltare vid aktiv IT-kontroll. Uppmärksamheten höjer medvetenheten och intresset, vilket i sig är säkerhetsbefrämjande. Aktiv IT-kontroll skall utövas i en funktion med hög teknisk kompetens, som skall kunna vara en resurs inom hela statsförvalt- ningen men även kunna stödja samhället i övrigt enligt en övergri- pande inriktning. I förebyggande syfte skall sammanhållna råd och rekommendatio- ner inom IT-säkerhetsområdet snabbt kunna göras tillgängliga för enskild och offentlig verksamhet och utgöra stöd för det distribue- rade ansvaret bland samhällets IT-användare. Det skall medverka till att göra den offentliga förvaltningen till en effektiv och säker användare och föregångare på IT-området med bibehållna krav på insyn, på sekretess och säkerhet samt på skydd av enskildas per- sonliga integritet. Kunskap inom IT-säkerhet ställer krav på program för utbild- ning och ständig vidareutveckling. Det är av stor vikt att ledning- Strategi för ökad IT-säkerhet och skydd mot informationsoperationer arna inom såväl enskild som offentlig verksamhet tar ett särskilt ansvar för att deras anställda ges lämplig utbildning i IT-säkerhet. Alla som är förvaltningsansvariga för system eller information av samhällsviktigt slag skall göra regelbundna risk- och säkerhetsana- lyser med upprättande av handlingsplaner för ett kontinuerligt säkerhetsarbete. Dessa planer skall utgöra en del av revisionen. Därigenom blir frågorna ledningsfrågor för exekutiv led- ning och styrelse utan att något omfattande regelverk behöver till- skapas. Erfarenhet och metodik att upprätta handlingsplaner kan utnyttjas från arbetet med att förbereda system inför skiftet . Samhället i allmänhet och totalförsvaret i synnerhet behöver ha en uppfattning om vilken säkerhetsnivå olika IT-produkter har. Därför behövs ett system för evaluering och certifiering av sådana produkter. Forskning, utveckling och högskoleutbildning IT-säkerhetskunskap skall hålla hög kvalitet och vara aktuell i det snabbt föränderliga informationssamhället. En grundläggande för- utsättning för att nationen skall bli ledande på IT-säkerhet är att universitet och högskolor intar en ledande ställning inom forsk- ning, utveckling och utbildning. Kombination av teoretiska kun- skaper med aktuella praktiska erfarenheter och förmåga att utnyttja teori och praktik har en avgörande betydelse. Detta kräver också att universitet och högskolor får ett nära och fruktbärande samar- bete med näringslivet och med de delar av den offentliga verksam- heten som har dagliga uppgifter inom området. Det gäller inte minst grupper som upptäcker incidenter och grupper som genom- för omvärlds- och incidentanalys med anknytning till IT. Den snabba utvecklingen på IT-området kräver att lagstiftning och andra regelverk utvecklas tillräckligt snabbt. Det bör eftersträvas att skapa ett harmoniserat och sammanhållet regelverk för infor- mationssäkerhet som möjliggör överblick och entydig tillämpning. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Informationssamhället är gränslöst och kräver internationellt sam- ordnade och samverkande organ för att motverka skilda angrepp. Tydliga riktlinjer skall tas fram som kan styra den svenska håll- ningen i strategiskt viktiga frågor avseende det internationella säkerhetsarbetet. skall aktivt stödja internationella avtal och regler för att främja informationssäkerhet. skall, grundat på våra principer för specifika intressen, aktivt medverka i sammanhang där frågor om gemensamma standarder och normer för säkerhet, informationsförsörjning och IT-infrastruktur behandlas. skall aktivt stödja internationella avtal och regler för spårning av obehörig verksamhet inom data- och informations- området. Sådan spårning kan behöva ske över nationsgränser utan tidsfördröjning. Rättssäkerhet och integritet skall beaktas. skall aktivt stödja internationella avtal och regler för att öka skyddet mot informationsoperationer som kan skada demo- kratiska värden. Informationssäkerhet har stor betydelse för han- tering av informationsoperationer. Frågorna har en plats inom Europeiska unionen och . Det är också viktigt att på global nivå kunna skapa en gemensam principiell grund för skydd mot informationsoperationer som kan skada demokratiska värden. IT-säkerhetsfrågorna har stor betydelse för samhället och är tvär- sektoriella till sin natur. berörs flera de- partement av dessa frågor. Detta gäller bl.a. Försvars-, Justitie-, Närings- och Utrikesdepartementen. Så gott som samtliga depar- tement berörs dock indirekt såtillvida att den verksamhet som de är ansvariga för i samhället i större och mindre omfattning är IT- beroende och därför måste säkras mot olika typer av IT-hot. På myndighetsnivå föreslås planeringsmyndigheten få ett över- gripande ansvar för IT-säkerhetsfrågorna. I denna uppgift ligger ett ansvar för samordningen av de åtgärder som vidtas på myndighets- nivå för att avvärja IT-hot. Enligt utredningens uppfattning bör en motsvarande samordningsfunktion finnas inom . Denna bör ha ett särskilt ansvar för frågor som gäller skydd mot informationsoperationer. Utredningen föreslår därför att ett sam- Strategi för ökad IT-säkerhet och skydd mot informationsoperationer ordningsorgan för IT-säkerhetsfrågor inrättas inom . Samordningsorganet bör även ha uppgifter i akuta situationer vid allvarliga händelser som hotar IT-säkerheten. Uppgiften bör då vara att följa utvecklingen med utgångspunkt från underlag som tas fram av planeringsmyndigheten och andra organ. Samordningsor- ganets uppgift i sådana situationer bör också vara att ta fram underlag för brådskande regeringsbeslut om sådana krävs i den situation som har uppstått. I mycket allvarliga situationer bör sam- ordningsorganet samverka med det nationella krishanteringsorgan som utredningen föreslog i kapitel 5. Ett sådant behov torde främst uppstå om hotet utgörs av informationsoperationer som har stor omfattning eller riktar sig mot särskilt känsliga funktioner i sam- hället. Detta bör också gälla för allvarliga kriser som har ett väsent- ligt inslag av IT-relaterade hot. Samordningsorganet för IT-säkerhet bör bestå av företrädare för olika departement och myndigheter. Företrädare för andra sekto- rer, t.ex. näringslivet, bör också ingå i organet. Organet bör vara en del av . I likhet med det nationella krishanter- ingsorganet bör samordningsorganet inte ha några formella be- slutsbefogenheter. Beslut bör normalt tas av berörda myndigheter och andra organ i enlighet med ansvarsprincipen. Samordningsor- ganet har också möjlighet att föreslå att regeringen fattar beslut i vissa frågor. bör fungera som kansli åt samordningsorganet. Starka skäl motiverar att planeringsmyndig- heten i egenskap av har denna uppgift. 7.4Funktionen för teknikkompetens inom IT-säkerhet Samhället har behov av teknisk expertis för en mängd olika IT- säkerhetsfrågor. Det finns ett övergripande samhällsbehov av ut- veckling, analysförmåga och teknisk rådgivning inom IT-säkerhet. Det finns också hos enskilda myndigheter och företag ett behov av teknisk kompetens inom IT-säkerhet. Den privata konsultmarkna- den har ett brett utbud av tjänster av hög kvalitet på IT- säkerhetsområdet. Myndigheter och företag med behov av tillskott av kompetens på området har all anledning att utnyttja denna resurs. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Behovet av ökade satsningar på IT-säkerhet understryks av det faktum att flertalet IT-produkter traditionellt inte har utvecklats med beaktande av säkerhet. var säkerheten ett marginellt problem. Kostnad och funktionalitet var de två enda parametrarna av väsentligt intresse. är situationen annorlunda när datorerna har kopplats samman i nätverk, med Internet som det riktigt stora globala nätverket. Verkningsfull säkerhet kräver att säkerhets- aspekterna vägs in från början i all utveckling. Men även före- kommer det att IT-produkter utvecklas med bristfällig säkerhet. Det finns också ett stort antal gamla produkter i omlopp. Männi- skan får inte heller glömmas bort i sammanhanget. Även om säker- heten i princip finns och är god i en produkt, kan den kräva en aktiv medverkan av användaren för att kunna utnyttjas. Därför återstår ännu många steg innan alla IT-produkter har en god säker- het som är lätt att utnyttja och som inte är ett allvarligt hinder för funktionaliteten. 7.4.2Motiv för ett statligt engagemang Det finns enligt utredningens uppfattning starka skäl som talar för att staten skall kunna erbjuda en hög teknisk kompetens och ett avancerat tekniskt stöd i IT-säkerhetsfrågor: Försvars- och säkerhetspolitiskt behov av skydd för känsliga uppgifter Garanterad resurs mot informationsoperationer eller andra säkerhetskritiska situationer Officiell samverkan i internationella sammanhang De flesta organisationer har hög sekretess kring sina IT-säker- hetsförhållanden. En del organisationer tvekar inför att ge enskilda aktörer det förtroende som krävs för att lösa känsliga säkerhets- problem (liksom det även finns exempel på organisationer som tvekar att ge staten ett sådant förtroende). Organisationen tvingas ta riskerna med att exponera sina allra känsligaste informationssä- kerhetsproblem. Detta problem blir särskilt tydligt för de organi- sationer som själva saknar kompetens på området. Dessa saknar normalt möjlighet att själva bedöma hur seriösa och kompetenta enskilda aktörer är. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Försvars- och säkerhetspolitiskt behov av skydd för känsliga uppgifter Problemet med förtroende uppkommer också när det gäller säker- hetskritisk teknik för totalförsvaret eller andra kunder i samhället med försvars- eller säkerhetspolitiskt känslig verksamhet. Dessa kunder kan inte i alla lägen förlita sig helt till utbudet av varor och tjänster på marknaden, utan behöver tillgång till teknisk kompetens inom staten för att med en god beställarkompetens så långt det överhuvudtaget är möjligt skydda sig mot avsiktliga eller oavsiktliga säkerhetsbrister. Att utföra uppgifter av betydelse för rikets säkerhet kan inte enbart lämnas till enskilda aktörer på marknaden. Garanterad resurs mot informationsoperationer eller andra säkerhetskritiska situationer Staten behöver säkerställa tillgång till en viss teknisk kompetens att användas bl.a. i säkerhetskritiska situationer. Skulle t.ex. plötsligt vara utsatt för en informationsoperationsattack kan det vara förödande om det inte finns någon instans med teknisk expertis garanterat tillgänglig. Staten har ett ansvar att hantera skyddet mot informationsope- rationer. IT-säkerhet är en viktig komponent i detta skydd, varför staten måste ha en teknisk kompetens på detta område, att använ- das i förebyggande arbete, vid nationella kriser med IT-inslag eller till att snabbt ta fram skydd mot elakartade program. Officiell samverkan i internationella sammanhang Datakommunikation är i sig en internationell och gränslös förete- else. Därav följer att IT-säkerhet i högsta grad är en internationell fråga. måste delta i de internationella nätverk som finns och bildas på området. Därför behöver också staten ha en resurs med hög teknisk kompetens för att kunna delta i dessa nätverk och aktivt kunna tillföra kunnande i arbetet. Det finns sålunda skäl att inrätta en statlig eller statligt understödd funktion med hög teknisk kompetens inom IT- säkerhet. Detta får dock inte innebära att staten skall bedriva någon konkurrens på konsultmarknaden. Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Teknikkompetensfunktionen bör arbeta kundorienterat. Uppdra- gen som utförs skall alltid vara beställda direkt av kunden och inte av funktionen själv eller av en tredje part. I princip hela samhället skall kunna vara kunder till funktionen. Den viktigaste målgruppen är dock statliga myndigheter, främst totalförsvarsmyndigheter och myndigheter med särskilda säker- hetsbehov. Kommuner och landsting samt privata företag och organisationer som utgör väsentliga samhällsintressen kan vara en annan målgrupp. Funktionen kommer dock att ha begränsade resurser och blir därför tvungen att starkt prioritera sina uppdrag. Om andra företag, organisationer eller enskilda personer vill an- lita teknikkompetensfunktionen bör funktionen efter avtal kunna hjälpa dessa så länge det inte går ut över mer prioriterade uppgifter. Kundkretsen kan dock inskränkas något i och med att tekniska säkerhetslösningar kan användas för att dölja brottslig verksamhet. Teknikkompetensfunktionen måste säkerställa att den inte under- stöder oseriös verksamhet, bidrar till oegentligheter eller skapar grund för brottslighet. För att kunna fullgöra uppgiften att vara en resurs av hög kvalitet för samhället i teknisk IT-säkerhet, krävs att teknikkom- petensfunktionen kontinuerligt inhämtar kunskaper och informa- tion samt upprätthåller kontakter såväl nationellt som internatio- nellt. Funktionen måste besitta mycket hög teknisk kom- petens. Kunskaper måste finnas både på ett allmänt plan om tek- niska principer för IT-säkerhet och mer specifikt om produkter på marknaden, i synnerhet om dem som används i större omfattning av offentliga sektorn, framför allt totalförsvaret. De tekniska detaljkunskaperna om produkter, protokoll, kända tekniska säker- hetsbrister och virus m.m. måste vara sökbara i informationsdata- baser. 7.4.4Samverkan med andra organ Samarbete måste utvecklas med andra organisationer på IT-säker- hetsområdet både inom och utom landet. Inom bör alla se IT-säkerhet som ett mål av gemensamt samhälleligt intresse där samarbete är en viktig faktor för att lyckas. IT-säkerhet är dess- utom en gränslös fråga där problemen oftast är likartade världen Strategi för ökad IT-säkerhet och skydd mot informationsoperationer över, vilket motiverar ett långtgående internationellt samarbete. Detta kan exempelvis gälla utbyte av metodik och erfarenheter, samarbete om analys av elakartade program eller överens- kommelser om evalueringskriterier. Skulle dessutom en allvarlig kris med IT-inslag inträffa är den sannolikt inte geografiskt begränsad till . Då blir ett internationellt samarbete helt nödvändigt. Kontakter skall därmed hållas med IT-säkerhets- organisationer i andra länder, såsom t.ex. BSI11 i och CESG12 i . Funktionen bör vara drivande i arbetet att bilda internationella nätverk, främst globala men även på europeisk nivå, bl.a. med syfte att harmonisera tekniska IT-säkerhetslösningar och att ha en be- redskap inför internationella kriser med IT-inslag. Det krävs också kontakter med IT-leverantörer, t.ex. för att effektivt kunna utföra evalueringar, för att kunna påverka säker- hetslösningar eller för att kunna identifiera potentiella tekniska sårbarheter som kan uppkomma antingen direkt i produkterna eller i kombination med någon annan produkt eller inom något slags system. Teknikkompetensfunktionen bör kunna verka inom nedanstående områden. Utredningen vill dock betona att verksamheten bör ha begränsad omfattning, vilket medför att uppdragen måste priorite- ras hårt. Teknikkompetensfunktionen bör inte heller uppträda som aktör på konkurrensutsatta marknader. Medverkan i utveckling av IT-säkerhetsprodukter och säkerhet i IT-produkter Utbildning, information och rådgivning om teknik inom IT- säkerhetsområdet Insatser mot informationsoperationer eller vid nationella kriser med IT-inslag Aktiv hjälp vid svåra IT-säkerhetsincidenter Aktiv IT-kontroll Analys av elakartade program Annat tekniskt stöd inom IT-säkerhetsområdet 11BSI = Bundesamt für Sicherheit in der Informationstechnik Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Samhället i allmänhet och totalförsvaret i synnerhet behöver tilltro till att de säkerhetsfunktioner som finns i olika IT-system verkli- gen utgör det skydd man förväntar sig. Detta gäller för såväl egen- utvecklade produkter som kommersiella produkter. En sådan tilltro kan skapas med ett system för att evaluera och certifiera IT- produkter och IT-system. Med evaluering avses här en formell säkerhetsgranskning av en produkt eller ett system i syfte att skapa en tilltro till att säkerhetsfunktionerna i produkten eller systemet har en adekvat skyddsförmåga. Med certifiering avses här ett utfär- dande av certifikat, dvs. ett fastställande av resultat av evaluering och ett bevis att denna gjorts enligt fastställd metodik och med rätt kompetens. Målet med en evaluering är att erhålla ett certifikat. Certifikatet ger användaren en tilltro till produktens säkerhet. Beställaren av en evaluering är normalt en produktutvecklare, men kan för speciella produkter ibland vara kunden. För en säljare ger ett certifikat ett mervärde till produkten och kan vara ett viktigt försäljningsargument. För en kund ger ett certifikat ett bevis på att produkten på en given granskningsnivå uppfyller de säkerhetskrav man har ställt. har , till skillnad från många andra tekniskt utveck- lade länder, inget system för evaluering och certifiering. För tilltron till säkerhetsfunktionerna i IT-system bör följa omvärldens exempel och inrätta ett system för evaluering och certifiering. Det är viktigt att hålla isär dessa båda moment. Evaluering är en teknisk granskningsprocess, medan certifiering är en process som syftar till att säkerställa kvalitet och objektivitet i den utförda evalueringen. Det finns alltid en risk att evalueringen blir bristfälligt utförd om samma instans också gör certifieringen, genom att instansen därmed får lättare att tillfredsställa kundens dvs. systemkonstruktörens vilja att erhålla ett certifikat. I andra länder görs normalt evalueringen av särskilt godkända evaluerings- företag, utom i fråga om försvars- eller säkerhetspolitiskt särskilt känsliga system, medan certifieringen görs av respektive lands IT- säkerhetsmyndighet. Som exempel kan nämnas att i gör myndigheten certifieringar. Certifiering och evaluering diskuteras mer ingående i avsnitt 7.7. I och med att f.n. saknar ett system för evaluering och certifiering har inga evalueringsföretag etablerat sig. Innan sådana hinner etablera sig kan teknikkompetensfunktionen utföra evalue- 13 BSI = Bundesamt für Sicherheit in der Informationstechnik Strategi för ökad IT-säkerhet och skydd mot informationsoperationer Men även efter det att evalueringsföretag etablerat sig bör funktionen ha möjlighet att evaluera vissa typer av IT-produkter. Staten behöver upprätthålla kompetensen, som vissa kunder, t.ex. totalförsvaret, har så höga sekretesskrav att de inte alltid kan vända sig till den privata marknaden för evalueringar. IT-system kan innehålla kryptografiska delar. Kryptografi är en viktig metod för att erhålla sekretess.