sou · GRB327 · 2004-01-01 00:00:00 — Ett flertal metoder för kryptering och digitala signaturer används i kommersiella sammanhang. En del av dessa har tagits fram inom universitetsvärlden, vissa av privata företag och andra av, eller i samarbete med, samma myndigheter som bistår totalförsvaret. En del stora företag har särskilda avdelningar inom företaget för framtagning av krypto. Standardisering av kommersiellt framtagna system är en viktig del av arbetet för att de skall få stor spridning. I denna verksamhet deltar ett flertal olika aktörer. Historiskt sett har endast i begränsad omfattning deltagit i olika internationella signalskydds- och informationssäkerhetssamarbeten. Det viktigaste skälet för detta har varit att signalskyddsarbetet i de mest framträdande länderna har varit förbehållet Nato-kretsen. deltar dock mer aktivt i olika internationella samarbeten där signalskydd finns med som en viktig komponent i det övergripande informationssäkerhetsarbetet. Det finns ingen organisation formellt utpekad som Authority (NCSA), det vill säga den organisation i landet som ansvarar för signalskyddsfrågor, eller National Distribution Authority (NDA), den organisation som är behörig att distribuera kryptonycklar. Försvarsmakten har anhållit om att få dessa roller. I avvaktan på beslut anser Försvarsmakten att de i praktiken fingerar som NCSA och NDA. Man menar att det inte finns någon annan organisation som har tillräcklig, adekvat kompetens för att komma i fråga. Funktionerna får allt större relevans i takt med att ökar sitt internationella samarbete och det anses därför viktigt att formellt klargöra den nationella rollfördelningen. 4Behov av signalskydd och Signalskydd och kryptografiska funktioner används i allt större omfattning i samhället. Det finns en stor vilja och ett stort behov av att skydda information från obehörig insyn och påverkan. Det är viktigt att tillse att signalskyddet är organiserat på ett sådant sätt att samhällets behov av stöd inom området tillgodoses i enlighet med olika verksamheters varierade behov av skyddsnivåer. Som framgått av beskrivningen av dagens verksamhet, har signalskyddet i stor utsträckning varit en verksamhet inom ramen för totalförsvaret. Av lagen (1992:1403) om totalförsvar och höjd beredskap framgår att: Totalförsvar är verksamhet som behövs för att förbereda för krig. För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd beredskap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som då skall bedrivas. Behov av signalskydd och Enligt försvarsbeslut utgjordes totalförsvaret av en militär och en civil del. Medan Försvarsmaktens främsta uppgift var att möta väpnat angrepp, varifrån det än kommer var den civila delen av totalförsvarets uppgifter: att värna civilbefolkningen mot verkningarna av krigshandlingar och under kriser och i krig trygga en livsnödvändig försörjning; att under kriser och i krig stödja Försvarsmakten; samt att, för fullföljandet av dessa uppgifter, under kriser och i krig upprätthålla de viktigaste samhällsfunktionerna. försvarsbeslut slogs fast att ett vidgat säkerhetsbegrepp, som rymmer icke-militära hot och risker vid sidan av väpnade anfall, skulle styra totalförsvarets uppgifter och att en helhetssyn måste prägla synen på det militära och civila försvarets uppgifter i krig och fred. Totalförsvaret betraktades som ett uttryck för att försvaret av grundläggande samhällsvärden är en nationell angelägenhet som förutsätter hela samhällets stöd och insatser. Vidare angavs att totalförsvarets resurser också skulle utformas för att kunna användas vid internationella fredsfrämjande och humanitära insatser samt för att kunna stärka samhällets förmåga att förebygga och hantera svåra nationella påfrestningar i fred. Däremot gjordes ingen förändring i själva definitionen av begreppet totalförsvar eller rörande kopplingen av begreppet till yttre hot och krigsförhållanden. Den organisatoriska, administrativa och legala uppdelningen mellan hot i fred och hot i krig, och principerna för finansiering av beredskapsåtgärder, kvarstod i allt väsentligt. Insikten om att samhällets säkerhet och den vidgade hotbilden krävde en än mer genomgripande förändring ledde fram till att Sårbarhets- och säkerhetsutredningen (SOU 2001:41) tillsattes . Uppdraget var att utveckla formerna för att på ett effektivt sätt kunna möta ett bredare spektrum av hot och risker. Behov av signalskydd och De förslag som Sårbarhets- och säkerhetsutredningen presenterade innebar ett nytt nationellt krishanteringssystem där alla typer av hot inom ramen för ett vidgat säkerhetsbegrepp skulle ingå. Begreppet totalförsvar skulle finnas kvar men ingå som en del i det övergripande systemet. Regeringen tog fasta på många av Sårbarhets- och säkerhetsutredningens förslag i den proposition, Samhällets säkerhet och beredskap (2001/02:158), som överlämnades till . Regeringens proposition, och beslut med anledning av propositionen, innebär att totalförsvarskonceptet anses vara för snävt och ett hinder för en effektiv samhällsberedskap mot olika typer av hot och risker. Totalförsvarsbegreppet lever kvar, men som en del i ett större sammanhang. Sammantaget finns därför all anledning att även för signalskyddets del betrakta begreppet totalförsvar som ett kriterium bland flera. I enlighet med statsmakternas beslut bör behoven av signalskydd därmed värderas utifrån ett bredare perspektiv, där såväl totalförsvarsaspekter som så kallade svåra påfrestningar på samhället i fred och de risker som är förknippade med den ordinarie verksamheten måste beaktas. Kraven på en tillräcklig signalskyddsförmåga bör ses som ett ansvar som varje myndighet eller organisation måste beakta i sin ordinarie verksamhet. Dagens organisation för att leda signalskyddsverksamheten inom den statliga sektorn hålls samman i en organisation. Utgångspunkt för denna är totalförsvarets behov vilka framgår av avsnittet ovan. Verksamheten leds av Försvarsmakten, där Krigsförbandsledningen () har det generella ansvaret för Behov av signalskydd och prioritering av utveckling och anskaffning samt medel för detta. TSA deltar i prioriteringen avseende totalförsvarsgemensam utveckling. Vid funktionsspecifik utveckling, till exempel för en specifik myndighets räkning, är det i regel den aktuella myndigheten som leder och ansvarar för arbetet. Rätten att bestämma om användning av de medel som tilldelas för utveckling av totalförsvarsgemensam signalskyddsmateriel tillkommer sålunda inte enbart signalskyddstjänstens ledning utan är ett ansvar för myndigheten . Vid överväganden om Försvarsmaktens budget sker inte något samråd med civila myndigheter när det gäller utvecklingen av totalförsvarsgemensam signalskyddsmateriel. Det kan därmed anses föreligga en risk för att civila behov inte tillgodoses i tillräcklig omfattning. Försvarsmakten är den största kravställaren och kunden av system där signalskydd ingår. Utöver Försvarsmakten kommer även (), (), KBM, med flera, även fortsättningsvis att behöva avancerade signalskyddslösningar. I takt med att myndigheter och företag i allt större utsträckning digitaliserar sina arbetsprocesser och därmed sin information, har behovet av att skydda även sådan information som inte är totalförsvarsanknuten ökat . Behovet av skydd av sådan information ligger dock i regel inte på samma höga nivå som traditionellt har varit fallet för försvarsanknuten verksamhet. Exempel på samhällsviktiga system som främst bedöms ha behov av att utöka skyddet av sin information med hjälp av signalskydd är samhällsviktig infrastruktur, till exempel telekommunikation, el- och vattenförsörjning, sjukvård, rättsväsendet samt offentliga finans- och uppbördssystem. Det ingår inte i nuvarande signalskyddsorganisations uppgifter att utveckla signalskyddssystem för de behov av signalskydd som ligger utanför totalförsvarets behov. Behov av signalskydd och En växande infrastruktur av datanätverk, såsom Internet, () och (), en allt större användning av IT-baserade informationssystem har bidragit till att många länder har anpassat sin signalspaningsförmåga för att även kunna inhämta underrättelser ur dessa. Omfattande satsningar sker också i omvärlden för att kunna öka tillgången till signalspaningsinformation via den nya informationstekniken. Detta ställer följaktligen nya krav på signalskyddet. För att signalskyddsåtgärder i dagens komplexa system skall ge avsedd skyddseffekt måste de oftast kompletteras med övriga IT-säkerhetsåtgärder. Samarbetet inom EU syftar till att uppnå kvalificerad informationssäkerhet för alla medlemsstater. Det ankommer på , liksom på andra länder, att aktivt bidraga till att säkra EU:s informationssystem. Generellt följer utvecklingen inom EU avseende informationssäkerhet. En övergripande målsättning för bör vara att bidraga till att finna praktiska lösningar för hur man kan garantera säkra kommunikationer inom EU:s institutioner samt mellan dessa och medlemsländerna, inklusive säkra datorsystem. Behov av signalskydd och Utredningen har av tidsskäl inte genomfört någon tillräckligt omfattande studie av internationell verksamhet eller initiativ inom signalskyddsområdet i andra länder för att kunna beskriva nuläge och framtida behov på ett heltäckande sätt. Frågan om hur man internationellt har löst frågor kring signalskydd, och i ett bredare perspektiv informationssäkerheten, blir en uppgift för nästa fas i utredningsarbetet. Det kan dock konstateras att den förändrade omvärldssituationen och kanske främst internationaliseringen, innebär för signalskyddstjänsten att de svenska system som utvecklas även skall kunna användas utanför landets gränser. Svenska militära förband tilldelas system för säkert informationsutbyte med militära förband från andra stater. Arbetet med att producera och hantera kryptonycklar kräver säkra rutiner och personal med mycket högt säkerhetstänkande. Inom Nato finns mycket strikta rutiner som blivit normgivande för Nato-ländernas regelverk. För internationella samverkan ställs, bland annat av förtroendeskäl, krav på att hålla en minst lika hög nivå. Informationsägare och ansvariga för de system som används måste känna ett orubbligt förtroende för verksamheten och för dess personal. Det måste i finnas en betrodd part med uppgift att administrera kryptomateriel och -nycklar för våra nationella system samt för de system från andra stater som används inom landet. finns stora, och växande, behov av skyddade förbindelser med utlandet, såväl bi- som multilateralt. Det kan gälla skydd av information om såväl politiska frågor (till exempel EU, Nato, FN), som frågor relaterade till bekämpning av organiserad, gränsöverskridande brottslighet men också behov föranledda av företagens internationalisering. Det ställs krav på internationell kompatibilitet, vilket kräver ett ökat samarbete med utlandet för att utveckla lösningar. Det kräver också ökade insatser för att ta fram system som inte till andra släpper signalskyddshemligheter Behov av signalskydd och av betydelse för vår egen säkerhet. Bedömningar av kryptografiska funktioner och signalskyddssystem blir allt viktigare. Vi måste hålla en hög kompetensnivå för att kunna samarbeta med de mest kvalificerade europeiska länderna. När det gäller internationellt samarbete inom signalskydds- och informationssäkerhetsområdet måste man beakta att de flesta länder inte samarbetar på ett djupare plan då man riskerar att blotta svagheter i de egna systemen. Detta hindrar dock inte att det finns en hel del frågor som det är okontroversiellt att samarbeta kring, till exempel CERT-funktioner, elektroniska signaturer, utbyte av rutiner, med mera. Inom mindre grupperingar och bilaterala samarbeten finns det en mängd olika frågeställningar med vilka nu och kan arbeta gemensamt med andra länder. De signalskyddssystem som används är framtagna för att garantera skydd av uppgifter . En övervägande del av de uppgifter som behöver ges ett skydd har ett skyddsvärde under betydligt . I många fall rör det sig om dagar, ibland upp till . I den verksamhet som bedrivs i samhället finns det enbart behov av att skydda uppgifter på den högsta säkerhetsnivån i en liten del av verksamheten. Detta bör beaktas vid utveckling av nya system. Det är sannolikt mer kostnadseffektivt att använda lägre skyddsnivåer som komplement till dagens system som är framtagna för att skydda uppgifter som är hemliga med hänsyn till rikets säkerhet. Om signalskyddsbegreppet utökas till att gälla även annan känslig och skyddsvärd information som inte med nödvändighet omfattas av sekretess, vidgas kretsen av användare. Det finns i ett stort behov av att kunna kommunicera skyddsvärd information inom och mellan myndigheter, kommuner, landsting och andra offentliga organ. Landets kommuner, till exempel, hanterar känslig information som berör viktiga frågor för samhället, såsom vattenförsörjning, avloppshantering och lokal elkraftförsörjning. Uppgifter om svagheter i dessa system samt konsekvenser av bortfall av systemen framkommer i sårbarhetsutredningar som kommunen sedan vidarerapporterar. Uppgifter av denna typ bör skyddas från obehörig insyn och påverkan vid lagring och vid kommunikation. Skyddet bör ligga på den nivå som erfordras för den aktuella uppgiften. I takt med att ökar sitt internationella samarbete uppfattas diskrepansen mellan svenska och internationella skyddsnivåer som alltmer problematisk. Erfarenheter av internationella samarbeten har visat på ett behov av fungerande rutiner. När det gäller kommunikation mellan och EU:s institutioner och av EU-information inom , finns det dessutom en rättslig förpliktelse av att kunna överföra och hantera denna på ett trovärdigt och tillförlitligt sätt. Överföringen och hanteringen måste ske i enlighet med ministerrådets säkerhetsbestämmelser (2001/264/EGT, EGT L 101/1 . Rådets säkerhetsbestämmelser, som medlemsstaterna således är skyldiga att följa, kräver av medlemsstaterna att lämpliga åtgärder vidtas för hantering av sekretessbelagda EU-uppgifter. EU graderar sina uppgifter i fyra sekretessgrader: TRÈS SECRET UE, SECRET UE, CONFIDENTIEL UE och RESTREINT UE. Graderna motsvarar det som i andra internationella sammanhang benämns TOP SECRET, SECRET, CONFIDENTIAL och RESTRICTED. 5.1.1Signalskydd – en del av säkerhetsskyddet Signalskyddsverksamheten inriktas nästan uteslutande mot skydd av uppgifter som är hemliga med hänsyn till rikets säkerhet. Detta är bland annat en konsekvens av att de svenska säkerhetsskyddsbestämmelserna i princip endast tar sikte på sådana uppgifter som omfattas av sekretess och som rör rikets säkerhet. Se närmare härom i säkerhetsskyddslagen (1996:627) med tillhörande förordning samt verkställighetsföreskrifter utfärdade av Försvarsmakten respektive . I många samhällsviktiga informations- och ledningsstödssystem hanteras dock uppgifter som är känsliga och skyddsvärda, men som inte kan anses omfattas av bestämmelserna om säkerhetsskydd. För sådana känsliga och skyddsvärda uppgifter finns det inte några krav på hur skyddet skall utformas. Detta kan medföra att uppgifter som i sig måste anses känsliga eller skyddsvärda ges ett bristfälligt skydd, vilket kan få allvarliga konsekvenser för verksamheten och i förlängningen för viktiga funktioner i samhället. 5.1.2Närmare om säkerhetsskyddslagen m.m. Bestämmelser om skydd för hemlig information finns således i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Lagens och förordningens tillämpningsområden är verksamhet hos staten, kommunerna och landstingen samt för aktiebolag, handelsbolag, föreningar och stiftelser över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande. Därutöver gäller lagen också för enskilda om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Med säkerhetsskydd avses skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt sekretesslagen och som rör rikets säkerhet samt skydd mot terrorism (6 §). Säkerhetsskyddet skall bland annat förebygga att uppgifter som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet). I förordningen och tillämpningsföreskrifterna avses med hemlig uppgift följaktligen bara sådana uppgifter som omfattas av sekretesslagen och som rör rikets säkerhet. Säkerhetsskyddslagen gäller således bara en mindre del av alla uppgifter som omfattas av sekretess (är hemliga) enligt sekretesslagen och den gäller inte heller för uppgifter som är skyddsvärda av andra skäl än till följd av sekretess enligt sekretesslagen. Av 39–47 §§ säkerhetsskyddsförordningen framgår vilka myndigheter som har ett tillsynsansvar enligt lagen respektive rätt att meddela föreskrifter om verkställigheten av densamma. Säkerhetsskyddet skall kontrolleras av Försvarsmakten när det gäller samt de myndigheter som hör till Försvarsdepartementet utom , , och Styrelsen för Psykologiskt försvar, samt när det gäller , , , Styrelsen för Psykologiskt försvar och övriga myndigheter utom Justitiekanslern. Sammantaget kan man förledas att tro att säkerhetsskyddssystemet tillförsäkrar samhället ett fullgott skydd. Den praktiska erfarenheten sägs visa att så inte är fallet. Många av de brister och fel som identifieras i samhällsviktiga system kan utnyttjas inte bara för att hota sådana intressen som säkerhetsskyddsbestämmelserna tar sikte på. Bristerna kan till exempel också utnyttjas för att begå brottsliga gärningar av olika slag. Som ett praktiskt exempel kan nämnas bristen på skydd för elektroniska transfereringssystem. Samtliga större myndigheter sköter till exempel sina in- och utbetalningar helt på elektronisk väg. Ett centralt konstaterande baserat på ovanstående resonemang är att säkerhetsskyddslagen och säkerhetsskyddsförordningen endast reglerar det som är hemligt med hänsyn till rikets säkerhet. Ett växande behov finns dock avseende skydd av annan information, det vill säga sådan som inte omfattas av de nuvarande bestämmelserna och rutinerna för informationssäkerhetsskydd. Det är utredningens uppfattning att den kompetens och de rutiner som utvecklats inom signalskyddsverksamheten bör kunna komma samhället till godo i större utsträckning än vad dagens bestämmelser ger utrymme för. En tänkbar lösning är att utvidga säkerhetsskyddslagens tillämpningsområde till att inte bara omfatta det som är hemligt med hänsyn till rikets säkerhet. En annan modell kan vara att regeringen föreskriver hanteringsrutiner för skyddsvärd information hos statliga myndigheter I båda fallen måste dock noggrant övervägas vad som skall inrymmas i begreppet skyddsvärd information. Traditionellt har IT-säkerhet och signalskyddsverksamhet konceptuellt hanterats som två parallella verksamheter. utgjordes kryptofunktionen av en separat kryptoapparat som krypterade informationen innan den nådde mottagaren. är kryptofunktionen ofta integrerad i en komplett systemlösning som hanterar informationen och denna överförs krypterad utan mellansteg. De kryptografiska funktionerna blir genom teknisk utveckling en allt mer integrerad del av systemutveckling och därmed av säkerheten i informationssystem. Krypto utgör inte längre enbart en garant för kommunikationssäkerhet utan är en del av den sammantagna informationssäkerheten. Det anses därför att kryptologisk kompetens måste finnas med vid utvecklandet av IT-säkerhetslösningar. Det är av vikt att utvecklingen av kryptografiska funktioner sker så nära utvecklingen av övrigt informationsskydd som möjligt. I takt med att informationssäkerhet och signalskydd på detta sätt integreras i allt större utsträckning, bör möjligheterna att sammanföra dessa i en gemensam funktion eller att på annat sätt samordna verksamheten, övervägas. En tanke som har förts fram är att föreskriftsrätt för samtliga myndigheter, samt i vissa fall även för samhällsviktiga företag, i sammanhanget bör övervägas. De tekniska aspekterna är i sammanhanget viktiga att beakta, eftersom de utgör själva grunden till problematiken, men andra komponenter, såsom utbildning, information och regelverk får inte glömmas bort. Exempelvis är kunskap att korrekt implementera en kryptografisk funktion i mjukvaran i en systemlösning avgörande för skyddet. En kryptografisk funktion som till exempel är godkänd för Windows NT kan inte utan vidare användas i Windows XP utan att ny granskning måste genomföras och nytt godkännande ges. Utredningen har i sitt arbete konstaterat att signalskydd är en integrerad del av informationssäkerheten. Den tekniska utvecklingen inom detta område bidrar också till att integrera kryptografiska funktioner i informationssäkerhetsprodukter. Som konstateras i rapporten var signalskyddstjänst tidigare en egen disciplin som hanterades i stor utsträckning skilt från kommunikationen av informationen. är signalskyddet integrerat i IT- och kommunikationsutrustningen. Utredningen anser av detta skäl att det inte är lämpligt att lägga några förslag inom signalskyddsområdet innan övriga delar av informationssäkerhetsområdet har belysts. I det fortsatta arbetet kommer utredningen att väga in signalskyddsfrågorna som en del av informationssäkerhetsområdet. Utredningen har i sitt arbete konstaterat att det finns ett behov av signalskydd även utanför det som lagstiftningsmässigt definieras som totalförsvaret. De resurser och den kompetens som genom anslag finansieras inom ramen för totalförsvaret skulle kunna användas även i andra samhällsverksamheter. Så görs i vissa fall . Detta skall vägas mot möjligheterna att tillgodose behoven med kommersiellt tillgängliga system (COTS). Aktuella områden skulle kunna vara såväl statlig verksamhet utanför totalförsvaret som privat sektor med kommersiella behov. Utredningen utgår fortsättningsvis från att det finns ett behov och intresse av samarbete mellan den verksamhet som bedrivs inom totalförsvaret och den inom privat eller kommersiell verksamhet, som motiverar vidare utredning av Det finns därmed också ett behov av att se över gränsdragningar i lagstiftningen, ansvarsförhållanden, organisation, etc. Utredningen utgår ifrån att en svensk anpassning till internationella normer, vad avser signalskydd och hantering av skyddsvärd information, är eftersträvansvärd. Utredningen har identifierat några handlingsalternativ under avsnitt 4. Genom dessa skulle man även kunna omhänderta frågan om anpassning till internationella normer. En framkomlig väg synes t.ex. vara att utvidga säkerhetsskyddslagens tillämpningsområde till att omfatta även annan skyddsvärd information än den som är hemlig med hänsyn till rikets säkerhet. I det sammanhanget skulle skyddsvärd information t.ex. kunna definieras såsom av EU eller annan internationell organisation angiven skyddsvärd information. Därutöver skulle till exempel annan skyddsvärd information i samhällsviktig verksamhet kunna omfattas. Med en sådan ordning skulle en större krets av de organ som hanterar skyddsvärd information kunna omfattas av tillämpningsföreskrifter eftersom lagens tillämpningsområde även omfattar kommuner, landsting och vissa andra enskilda rättssubjekt. Ett mindre långtgående alternativ kan vara att regeringen föreskriver att särskilda signalskyddsrutiner med mera, skall tillämpas hos de statliga myndigheterna. Inom ramen för denna första delrapport har det dock inte varit möjligt att närmare analysera frågeställningen. Utredningen är också medveten om att frågan bereds inom . Eftersom det är angelägna frågor har dock utredningen känt sig förpliktad att särskilt belysa dem och lyfta fram dem, till det gagn det må ha för den fortsatta beredningen. Computer Emergency Response Team civila försvaret (Fö) , personal och samordning Militära underrättelse- och säkerhetstjänsten Angående vissa frågor om informationssäkerheten i samhället Beslut vid regeringssammanträde . En utredare skall lämna förslag på hur signalskyddsverksamheten i samhället skall utformas.