sou · GTB342 · 2006-01-01 00:00:00 — skapa en allmän referensram som hjälper deltagarna (användarna) att förstå säkerhetsfrågorna och ta hänsyn till etiska värderingar vid utformningen och användningen av regler, förfaranden, åtgärder och rutiner för säkerheten i informationssystem och nät, uppmuntra alla deltagare (användare) att samarbeta och utbyta relevant information vid utformningen och användningen av regler, förfaranden, åtgärder och rutiner som rör säkerheten, arbeta för att alla som deltar vid utveckling och införande av standarder skall uppfatta säkerhet som ett viktigt mål. Målsättningarna med riktlinjer är enligt utredningens mening rimliga och kan bidra till en gemensam inriktning av infor- mationssäkerhetsarbetet på nationell nivå och kan underlätta samverkan med andra länder. Tillsammans med utredningsförslagen är riktlinjerna en bra utgångspunkt för en gemensam lägsta nivå för informationssäkerhetsarbetet. De är intuitivt formulerade vilket torde öka möjligheterna till efterlevnad. Å andra sidan kan rikt- linjerna anses väl generella och inte tillräckliga med avseende på konkret innehåll. Flera aktörer torde , utan formella krav att följa riktlinjerna, kunna säga sig ha uppfyllt dem. Det är möjligt att en uppstramning av riktlinjerna skulle öka möjligheterna till att skapa en gemensam grund för att informationssäkerhets- arbetet uppfylls. Mot denna bakgrund lämnar utredningen förslag i frågor som rör medvetenhet, ansvar och förutsättningar för ökad delaktighet och fördjupad demokrati. Genom förslagen till ökade krav på säkerhet vid elektronisk kommunikation och bred samverkan mellan alla aktörer läggs grunden för en dialog som även kan öka medvetenheten om de etiska aspekter, som bör läggas. Utredningen föreslår vidare att såväl det privata som det offentliga åtagandet måste omfatta ett ansvar för informationssäkerheten i den egna verksamheten. Frågor som rör hantering av riskbedömningar, ut- formning och genomförande av säkerhetsåtgärder, säkerhetshan- teringen samt ansvaret för fortlöpande omprövning kommer där- med att följa ansvarsprincipen. Utredningen visar även på möjlig- heter att författningsmässigt upprätthålla grundläggande säkerhet i samhällsviktig verksamhet. Slutligen pekar utredningen på vikten av att staten måste ha en förmåga till omedelbar reaktion för att förhindra, upptäcka och reagera på incidenter. Utredningen anser mot denna bakgrund att de olika utrednings- förslagen innebär ett genomförande av riktlinjer i . Det måste dock än en gång framhållas att riktlinjer endast är allmänt hållna och kan uppfyllas med olika ambitionsnivå. Det är därför, enligt utredningens mening, nödvändigt att ytterligare fördjupa och konkretisera vilka åtgärder som skall prioriteras i det fortsatta arbetet. 5.5Utredningens slutsatser rörande den internationella dimensionen Utredningen har valt att inledningsvis betona de europeiska och de internationella sammanhangen. Informationssäkerhet är ett gemen- samt, internationellt problem och de strategiska lösningarna måste därför utvecklas i samverkan med andra länder, både inom EU och i internationella organ. Utredningen gjorde i sitt andra delbetänkande en översiktlig redogörelse för det arbete som har bedrivits inom EU på informa- tionssäkerhetsområdet . Utredningen kan konstatera att sedan publicerandet av det delbetänkandet har arbetet med informationssäkerhet gått framåt inom flera olika områden. finns Europeiska nät- och informa- tionssäkerhetsbyrån () som behandlar informationssäkerhets- frågor (se avsnitt 5.2). På integritetsområdet diskuteras frågan om uppgiftsskyddsombud och deras uppgifter. Kommissionen har vid ett flertal tillfällen återkommit till frågan om elektroniska signaturer, bland annat vid halvtidsöversynen av e-Europa 2005 och vid upp- dateringen av handlingsplanen för samma projekt. I kampen mot IT-brottsligheten har rådet antagit ett rambeslut med syftet att tillnärma medlemsstaternas strafflagstiftning när det gäller angrepp mot informationssystem. förhandlas ett rambeslut som syftar till att tillse att uppgifter om Internet- och teletrafik – vilka uppkopplingar som stått i förbindelse med varandra vid en viss tidpunkt – bevaras för att finnas tillgängliga för brottsbekämpande myndigheter vid utredningar av brott. Utredningen konstaterade redan i sitt andra delbetänkande att internationellt utbyte på informationssäkerhetsområdet från svenskt håll har varit splittrat och inte i tillräcklig utsträckning samordnat på nationell nivå. Det gäller inte bara bevakning av positioner och åtaganden utan även genom bristande bearbetning och delgivning av inhämtad information i olika sammanhang. För att skall ha fortsatt gott genomslag inom området måste även det inter- nationella utbytet samordnas, precis som svenska ställningstaganden i policyfrågor. Utredningen avser att återkomma till dessa frågor i slutbetänkandet. antog 2002 riktlinjer för säkerheten i nät- och informa- tionssystem. Målsättningarna med riktlinjerna är enligt utredningens mening rimliga och kan bidra till en gemensam inriktning av infor- mationssäkerhetsarbetet på nationell nivå och kan underlätta samverkan med andra länder. Utredningen anser att de förslag som utredningen presenterar innebär ett genomförande av riktlinjer i . Det måste dock framhållas att rikt- linjer endast är allmänt hållna och kan uppfyllas med olika ambi- tionsnivå. Det är därför, enligt utredningens mening, nödvändigt att ytterligare fördjupa och konkretisera vilka åtgärder som skall prioriteras i det fortsatta arbetet. 6Gränser för det offentliga åtagandet Informations- och kommunikationstekniken har möjliggjort en explosionsartad utveckling inom informationsförsörjningen. innehar en framstående ställning internationellt i fråga om använd- ning av ny teknik. De investeringar i människor, kompetens och teknik som redan är genomförda utgör en värdefull potential för framtiden och måste kunna vara en utgångspunkt för kommande informationssäkerhetsarbete. En för utredningen central tanke har varit att söka finna metoder och modeller att ta tillvara den samlade kapaciteten genom en bättre utvecklad samverkan och en tydligare arbetsfördelning mellan olika aktörer i samhället. Ökad informa- tionssäkerhet handlar därför enligt utredningens synsätt inte i första hand om ytterligare investeringar utan snarare om en tydli- gare ansvars- och arbetsfördelning mellan olika aktörer – vad skall ligga inom respektive verksamhetsansvariges åtagande respektive var skall gränsen gå för det offentliga åtagandet på informations- säkerhetsområdet? Den gemensamma strategin, som utredningen redovisar, är därvid en viktig förutsättning för att kunna utveckla formerna för sam- verkan och arbetsformer. Vidare krävs ett regelverk som stödjer, tydliggör eller framtvingar krav på aktörer och som säkerställer att informationssäkerheten efterlevs. Informationssäkerhetsproblematiken skär genom samhällets alla delar och nivåer, från statlig nivå till den enskilde individen med dator i hemmet. Privat och offentlig sektor är del av, och drabbade av, samma informationssäkerhetsproblematik och båda sektorerna kan också bidra till att förbättra situationen på olika sätt. Förut- sättningarna och behoven skiftar och samverkan mellan de båda sektorerna är nödvändig. Det är viktigt att notera att flera olika samarbetskonstellationer, såväl nätverk som samverkansgrupper, redan finns inom både privat Gränser för det offentliga åtagandet och offentlig sektor. Det kan dock ligga ett värde i att se över behoven av samverkan och effektivisera de fora som finns. Problemet är att få så många olika aktörer och aspekter på informationssäkerhet som möjligt att samverka i en given rikt- ning. handlar inledningsvis om säkerheten på samhällsnivå och omfattar alla aktörer. Problemställningarna ser emellertid olika ut beroende på om man betraktar relationer mellan medborgare och företag, mellan medborgare och den offentliga sektorn eller mellan företag och staten. En annan sida av samma frågeställning handlar om samverkan inom respektive grupper av aktörer. Vad faller inom medborgarens eget ansvar respektive under företagens ansvar? Vilka problemställningar inryms i sam- verkan mellan stat och kommun eller mellan grupper av myndig- heter? 6.1Utvecklingen leds av marknaden Den tekniska utvecklingen på IT-området är i allt väsentligt styrd av olika privata aktörer på marknaden. Tekniska framsteg omsätts mycket snabbt i olika applikationer. På motsvarande sätt expan- derar marknaden för informationssäkerhet och omfattar allt mer av såväl offentlig som privat verksamhet. Det betyder att allt fler verksamhetsprocesser stöds av system för elektronisk hantering av data och tillverkarnas produkter och system styrs av programvaror och blir i allt högre grad uppkopplingsbara över kommunika- tionsnät för styrning, övervakning, service och så vidare. Därmed kommer allt större krav att ställas på den gemensamma infra- strukturen vad gäller leveranssäkerhet och kvalitet. Den tekniska utvecklingen skapar nya möjligheter och därmed nya säkerhetsproblem. En rimlig slutsats är därför att de aktörer som skapar de nya möjligheterna också borde vara bäst på att lösa de säkerhetsproblem som uppstår. Eftersom utvecklingen huvud- sakligen finns i marknaden är det också i första hand där som säkerhetslösningarna måste utvecklas. Ett av problemen är dock att det inte alltid finns en efterfrågan på säkerhetslösningar som genererar en fungerade marknad. Detta är särskilt bekymmersamt inom vissa samhällsviktiga verksamheter, där verksamhetsutbudet/den potentiella marknaden är starkt begränsad eller obefintlig. Den drivande kraften bakom utveckling av infor- mationssäkerhet måste därför i dessa fall sökas på den offentliga Gränser för det offentliga åtagandet sidan, hos respektive sektorsansvariga myndigheter. Dessa svarar för tillämpning av regler och bestämmelser, för tillsyn och har ofta rollen av kravställare gentemot de privata aktörer som verkar inom sektorn. Ett exempel på detta är det finansiella området, där Finans- inspektionen i samverkan med branschen utvecklar informations- säkerheten som en integrerad del av säkerheten i den samlade verksamheten. Ett annat exempel är FDA (Food and ) i , där av FDA utfärdade detaljkrav på uppföljning av varje steg i tillverkningsprocessen och i utveckling av nya läkemedel har kommit att styra stora delar av läke- medelssektorns sätt att utveckla, bygga och driva administrativa IT-tillämpningar. IT-branschen ställs då inför utmaningen att kunna leverera lösningar som svarar mot FDA:s krav, vilket tvingar fram lösningar och stimulerar utvecklingen. Ett exempel på betydelsen av statens roll som kravställare och aktör för ökad tillgänglighet av certifierade IT-säkerhetsprodukter är USAs beslut NSTISSC No. Beslutet innebär att samtliga produkter som ska upphandlas till statliga myndig- heter, som innehåller IT-säkerhetsfunktioner och som hanterar information som rör nationell säkerhet, måste vara evaluerade och certifierade i enlighet med Common Criteria, av NIST eller av NSA. ökade antalet pågående certifieringar av IT- säkerhetsprodukter i den amerikanska certifieringsordningen för Common Criteria med , från 30 (2003) till 130 (2004). Beslutet har lett till att är den överlägset ledande nationen när det gäller att utveckla IT-säkerhetsprodukter certi- fierade enligt Common Criteria. kan detta komma att både gynna amerikansk export av IT-säkerhetsprodukter och bidra till ökat skydd av den egna infrastrukturen. Enligt utredningens mening bör dessa synsätt ligga till grund för samverkan mellan privat och offentlig verksamhet. Det innebär att staten i första hand bör utnyttja sin olika roll som kravställare på säkerhet i olika verksamheter i stället för att genom olika regula- toriska åtgärder försöka precisera tekniska krav på informations- och kommunikationssystem. 6.2Förutsättningar för privat-offentlig samverkan Som utredningen tidigare redovisat är skillnaderna mellan privat och offentlig sektor stora med avseende på struktur, organisation Gränser för det offentliga åtagandet Staten kan därför inte överföra de modeller och metoder som tillämpas för samverkan inom offentlig sektor. Staten kan heller inte förvänta sig att marknadens aktörer skall ta till sig och utveckla samverkansformer som liknar statens interna modeller. Företrädare för näringslivet har framhållit flera exempel på en väl fungerande samverkan inom områden där staten har ett avgörande inflytande. Inom bankväsendet pågår ett konstruktivt samarbete i informationssäkerhetsfrågor som en del av säkerheten och förtroendet för den finansiella sektorn. Det behöver således inte råda någon motsättning mellan statens respektive näringslivets intressen, inte ens på starkt reglerade områden. Med denna förebild har utredningen kunnat konstatera att olika representanter för näringslivet väl- komnar en bredare samverkan kring informationssäkerhet till ömsesidig nytta men att samverkan måste vila på frivillighet. Enligt utredningens mening borde det vara möjligt att inom ytterligare sektorer utveckla samverkan i syfte att öka informations- säkerheten, särskilt om uppgiften att förebygga och förbereda tydliggörs för ytterligare myndigheter med sektorsansvar som involverar näringslivet som aktörer. Av dessa aktuella myndigheter ingår sannolikt flera i och några disponerar dessutom vissa medel inom den så kallade civila ramen för åtgärder som rör den fredstida krishanteringsförmågan. Om dessa myndigheter skulle kunna disponera dessa medel även för sådana informationssäkerhetsåtgärder som stärker samhällets samlade säkerhet skulle det sannolikt bidra till en mer utvecklad samverkan. Ovanstående resonemang är exempel på hur informations- säkerhet, som en integrerad del i respektive verksamhet, skulle kunna hanteras i samverkan. Den tvärsektoriella aspekten av informationssäkerhet kan däremot inte hanteras på samma sätt då det bland annat handlar om behov av att lösa vissa gemensamma frågor eller att formulera grundläggande krav eller att författ- ningsreglera. Det finns också behov av att fortlöpande belysa vilka faktiska hot och risker som finns på informationssäkerhets- området, så att dessa kan beaktas och anpassas till respektive verksamhets förutsättningar. På dessa områden har staten inter- nationella kontaktytor, överblick och möjligheter till underrättelse- inhämtning som de flesta företag saknar. I dessa tvärsektoriella frågor finns dock inget entydigt gränssnitt eller kontaktpunkt Gränser för det offentliga åtagandet mellan stat och näringsliv. Staten måste således hitta former för en dialog med näringslivet som får anpassas till varierande förut- sättningar. Det staten kan göra handlar då om att tydliggöra sin egen uppgift och att utdela ansvar till en myndighet med samman- hållande ansvar. 6.3Samverkan inom offentlig sektor Utredningen har tidigare konstaterat att staten har i stort sett samma problembild att hantera som Kommuner och Landsting. Det handlar om gränssnittet mellan myndigheter och medborgare, om tillit och förtroende och möjligheter till ökad delaktighet i den offentliga verksamheten och om ökad tillgäng- lighet till information med bevarad integritet och trygghet. En utveckling av informationsförsörjning i alla dessa avseenden förutsätter att ett antal säkerhetsproblem löses. Vidare har staten och kommunerna en i allt väsentligt likartad struktur, både politiskt och organisatoriskt. Förutsättningarna för samverkan inom staten respektive mellan kommuner företer således många likheter. Kommunerna uppvisar dock stora inbördes skillnader i fråga om storlek, förutsättningar, behov och system. Detta hindrar dock inte att samverkan skulle kunna utvecklas i fråga om vilka grund- läggande krav på informationssäkerhet som bör eftersträvas i relation till medborgare och företag, vilka krav på integritet och trygghet som bör eftersträvas samt vilka krav på tillgänglighet som bör upprätthållas – allt i syfte att skapa så likartade och rättvisande förutsättningar som möjligt över hela landet. Det kan även finnas anledning att samverka i frågor som rör medvetandegörande, kompetensförsörjning etc. I en sådan samverkan är det enligt utredningens mening viktigt att staten, liksom i relation till näringslivet, i möjligaste mån, begränsar sin roll till beställarens/ kravställarens och överlämnar genomförandet/tillämpning till den det berör, det vill säga den enskilda kommunen. Som goda exempel på denna typ av samverkan har framförts den modell som tillämpats vid bredbandsutbyggnaden. Inom området civilt försvar har funnits en överenskommelse mellan regeringen och som skulle kunna tjäna som förebild. Kommunerna erhåller en årlig ersättning från den civila ramen för sina uppgifter på området. Gränser för det offentliga åtagandet kan enligt utredningen finnas skäl att genom en särskild överenskommelse bekräfta en samsyn i informationssäkerhets- frågor och att tydliggöra att kommunerna kan disponera till- gängliga statliga medel även för dessa ändamål. I detta sammanhang kan ett gemensamt kommunikationsnät diskuteras, såsom har beskrivits i kapitel 4. Varje enskild verksamhetsansvarig ansvarar själv för säkerheten och funktionaliteten i sin verksamhet. Informationssäkerhet, såväl teknisk som administrativ, måste ses som en integrerad del av verksamhets- ansvaret och skiljer sig på så vis inte nämnvärt från andra typer av säkerhetsrisker. Åtagandet skulle således följa ansvarsprincipen. Enligt utredningens mening måste det ligga inom varje med- borgares eget ansvar att inhämta kunskaper och vara medveten om de säkerhetsrisker som följer med elektronisk hantering. Det är vidare rimligt att begära att varje datoranvändare utnyttjar något av de programmässiga och tekniska hjälpmedel som finns att tillgå på marknaden. Utredningen konstaterar att utbudet av nyckelfärdiga lösningar för en vardagsanvändare är begränsat, men vill inte utesluta att marknaden kommer att svara upp mot en efterfrågan på säkra datorer. Enligt utredningens mening finns det ännu inte anledning att aktualisera frågor om någon form av produktkrav eller grundsäkerhetskrav av den typ som finns på el- området. I det privata åtagandet bör således ansvaret för den egna datorsäkerheten inkluderas. Kravet på säker kommunikation är dock en helt annan fråga, där staten har anledning att agera för den enskilde medborgarens säkerhet. På motsvarande sätt anser utredningen att det i princip måste ligga inom varje företags åtagande att svara för såväl kompetens- försörjning som säkerheten i de egna informationssystemen. I det privata åtagandet måste även ingå att säkerställa säkerheten i det fall att någon utomstående anlitas för tjänster av olika slag, till exempel vid outsourcing. Det torde även finnas starka ekonomiska incita- ment för detta. Varje verksamhetsansvarig är skyldig att bedriva sin verksamhet inom ramen för lagar och förordningar. Informations- säkerheten är en integrerad del av verksamheten. Någon anledning att från staten sida att rikta särskilda, generella krav i dessa avseenden torde därför inte föreligga. Gränser för det offentliga åtagandet För samhällsviktiga verksamheter och system finns det anled- ning för staten att ställa särskilda krav på leveranssäkerhet, funktionalitet och kvalitet, även när verksamheten är privat eller enskild. Exempel på ett sådant utvidgat åtagande finns bland annat reglerat i lagen (2003:389) om elektronisk kommunikation (EkomL.). I det privata åtagandet kan således ingå vissa tilläggskrav som uppställs av staten. Någonstans går dock en gräns för vad som kan inrymmas i den enskildes åtagande och vad som övergår till att involvera även staten i olika roller. Att fastställa exakt var denna gräns går är naturligtvis inte möjligt. Det grundläggande förhållningssättet bör enligt utredningen ändå vara att i det enskilda åtagandet ingår att anpassa säkerheten till den egna verksamhetens förutsättningar, funktionellt och ekonomiskt. Det finns dock hot och risker som den enskilde medborgaren eller företagen inte kan skydda sig mot. Det kan gälla konsekvenser av mer kvalificerade hot, intrång eller antagonistiska angrepp. Men detta bör enligt utredningen inte rubba den grundläggande prin- cipen om det enskilda åtagandet. Däremot bör det i samhället finnas en förmåga att upptäcka och förhindra skadlig verksamhet, en fråga som normalt inryms i det statliga åtagandet – se vidare detta avsnitt. Det grundläggande synsätt som utredningen redovisat på det privata åtagandet är till största del tillämpligt även på verksamheten hos myndigheter och organ inom offentlig sektor. All verksamhet skulle således innefatta ett samlat ansvar för kompetensförsörjning och säkerhet i de egna informations- och kommunikations- systemen. Även den offentliga verksamheten skall genomföras inom de ramar som ges av lagar och förordningar och informa- tionssäkerheten bör betraktas som en integrerad del av verksam- heten. Att dessa lagar och förordningar inte alltid är desamma som för enskilda verksamheter förändrar inte enligt utredningen det grundläggande förhållningssättet för det offentliga åtagandet – åtminstone inte med avseende på den egna, myndighetsspecifika verksamheten. En helt annan fråga är att det i det offentliga åtagandet kan ingå att säkerställa vissa grundläggande samhällsfunktioner, som Gränser för det offentliga åtagandet rättsväsende, hälso- och sjukvård etc. I genomförandet av denna kärnverksamhet ingår i flera fall ett utvidgat åtagande för skydd av liv, egendom, miljö etc. samt att säkerställa en förmåga att hantera konsekvenser av allvarligare kriser. I dessa åtaganden kan det behövas vissa tilläggskrav på informationssäkerhet i syfte att exempelvis skydda den enskildes integritet som krav på tillgänglighet upprätthålls eller för att kunna upprätthålla sekretess. Till statens åtagande måste också räknas vissa specialintressen och uppgifter som sammanhänger med rikets säkerhet, totalförsvaret samt underrättelse- och säkerhetstjänsterna. Med dessa åtaganden följer höga krav på förmåga att bland annat upptäcka, förhindra och hantera kvalificerade störningar eller angrepp i informations- och kommunikationssystem. På liknande sätt bör det ingå i det offentliga åtagandet att säker- ställa att samhällsviktig verksamhet och samhällsviktiga system uppfyller särskilda krav på leveranssäkerhet och kvalitet, oavsett om verksamhet bedrivs i privat eller offentlig regi. Staten har två unika roller och åtaganden som inte kan överlåtas till någon annan aktör. Endast staten kan besluta om spelregler på marknaden i form av författningar och endast staten kan represen- tera svenska intressen inom EU och i internationella sammanhang på statlig nivå. Staten har slutligen en unik position genom sin överblick, kontaktyta och sina grundlagsreglerade maktmedel. Till statens åtagande bör därför räknas uppgiften att lägga en helhetssyn på informationssäkerheten, internationellt och nationellt. I detta åtagande ingår att medvetandegöra, ta initiativ och samordna insatser från flera aktörer och att svara för grundläggande kompetensförsörj- ning. Statens åtagande, ansvar och intresse skulle mot denna bakgrund kunna sammanfattas enligt följande: 1.Staten har ett extra stort ansvar för att en helhetssyn etableras och appliceras på informationssäkerheten och att nationella intressen bevakas inom EU och i internationella sammanhang. 2.Staten har ansvaret för samhällets spelregler inom informa- tionssäkerhetsområdet. 3.Staten har ett övergripande ansvar för informationssäkerheten inom ett antal politikområden. Det gäller statens kärnverk- samhet som till exempel rättsväsendet eller underrättelse- och Gränser för det offentliga åtagandet Det gäller även ansvaret för att olika samhällsviktiga verksamheter (el, tele etc.) bedrivs med till- räcklig säkerhet oavsett vem som äger dem.