sou · GTB342 · 2006-01-01 00:00:00 — Genom författ- ningen skulle den bredare definition av informationssäkerhet som utredningen valt att utgå ifrån kunna omsättas i ett mera hel- täckande och sammanhållet regelverk. Tillämpningsområdet för en sådan författning bör enligt utred- ningen begränsas till att avse sådan samhällsviktig verksamhet som beskrivits i tidigare avsnitt. Det är för sådan verksamhet som det finns särskild anledning för staten att skapa en fastare grund för informationssäkerheten än den som skyddslagen utgör. En författning av det slag som det nu talas om skulle råda bot på de begränsningar i tillämpningsområde som nuvarande regelverk och därvid främst säkerhetsskyddslagstiftningen innebär. Bestäm- melserna i en ny författning skulle gälla även på till exempel områden och för verksamheter som inte omfattas av säkerhets- skyddslagen. Bestämmelserna skulle till övervägande del avse säker- heten i själva hanteringen av information. Som tidigare nämnts skulle de därför gälla oavsett vilken typ av skyddsobjekt det är frågan om och oavsett om behandlingen sker elektroniskt eller inte. Sekretesslagen, personuppgiftslagen m.fl. författningar som berör informationssäkerheten skulle naturligtvis gälla i tillämpliga delar såsom när fråga är vad som skall sekretessbeläggas eller när fråga är vad som särskilt gäller för behandling av personuppgifter. Den nya författningen torde inte kunna utesluta, utan snarare förutsätta, särbestämmelser i andra författningar om informations- säkerhet på vissa områden och verksamheter till exempel beträf- fande informationshantering i verksamhet som är av betydelse för rikets säkerhet eller skyddet mot terrorism. Även om en ny författning i huvudsak skulle avse säkerheten beträffande själva hanteringen av uppgifter måste enligt utred- ningen, för att författningen skall kunna utgöra det heltäckande regelverk på informationssäkerhetsområdet som det finns behov av, författningen även rymma regler om begränsningar i tillträde och säkerhetsprövning med registerkontroll. En sådan ny författ- ning som beskrivs kräver enligt utredningen lagform. 7.5Ett sammanhållet och heltäckande regelverk på informationssäkerhetsområdet Framtagandet av författningsförslag med det innehåll som beskri- vits ovan måste föregås av omfattande och djup analys. Detta gäller oavsett om ett sådant författningsförslag skulle avse ändringar i nuvarande säkerhetsskyddslagstiftning eller om det skulle avse en helt ny lag på informationssäkerhetsområdet. Detta gäller inte minst frågan om hur ett kraftigt förändrat eller ett helt nytt regelverk närmare skall förhålla sig till övriga författningar. En mängd följdändringar i andra författningar blir enligt utredningens bedömning också nödvändiga. Därtill kommer att det i arbetet med framtagandet av ett nytt regelverk är nödvändigt med samordning och avstämning med de tidigare nämnda övriga utredningar som pågår på informationssäkerhetsområdet. Frågan om hur ett nytt regelverk lämpligast kan åstadkommas och de närmare förutsätt- ningarna för framtagandet av ett sådant författningsförslag måste enligt utredningen därför utredas i särskild ordning. 7.6Steg på vägen i avvaktan på ett heltäckande och sammanhållet regelverk Som utredningen har kunnat konstatera saknas det samman- hållna och mera heltäckande regelverk om informationssäkerhet som det finns ett så stort behov av. Utredningen har med styrka framhållit att denna avsaknad och de begränsningar som följer med nuvarande regelverk innebär att ett effektivt informationssäker- hetsarbete försvåras. Utredningen har därför föreslagit att de närmare förutsättningarna för tillskapandet av ett heltäckande och sammanhållet regelverk på området samt framtagandet av författ- ningsförslag avseende ett sådant måste utredas i särskild ordning. Mot bakgrund av den tid som en sådan särskild utredning och efterföljande lagstiftningsarbete kan komma att ta och med hänsyn till det stora behov av åtgärder som har beskrivits, anser utredningen att det redan nu bör vidtas åtgärder genom författ- ningsförslag för att underlätta och effektivisera informations- säkerhetsarbetet. Med hänsyn till att regeringen har möjlighet att styra statliga myndigheters verksamhet genom förordning lämnas därför i avvaktan på att ett mera sammanhållet och heltäckande regelverk om informationssäkerhet utretts närmare ett förslag till förordning med grundläggande säkerhetsbestämmelser avseende administrativ och teknisk säkerhet för den statliga verksamheten. Utredningen har pekat särskilt på att har utfärdat rekommendationer, förslag till basnivå för IT-säkerhet, benämnt BITS. Dessa rekommendationer innehåller definitioner som rör de delar av begreppet informationssäkerhet som avser säkerheten i den tekniska hanteringen av information som bearbetas, lagras och kommuniceras elektroniskt samt administrationen kring detta. Definitionerna följer i huvudsak SIS tekniska rapport 550: terminologi för informationssäkerhet (2003). De är väl förankrade såväl nationellt som internationellt. Dessa har, tillsammans med vissa bestämmelser i säkerhets- skyddslagen och säkerhetsskyddsförordningen, utgjort utgångs- punkten för bestämmelserna i den förordning som föreslås. 7.7.1Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633) Utredningen har valt en bred definition av begreppet informa- tionssäkerhet. Utgångspunkten är som enligt utredningen utgör ett modernare och mera ändamåls- enligt regelverk för informationssäkerheten än det som återfinns i . Enligt syftar säkerheten till att främja tillväxt, konkurrens och välfärd. I bestämmelserna talas det om uppgifter som lagras, bearbetas och överförs i elektronisk form och om att säkerheten skall uppfyllas genom krav på konfidentialitet, okränkbarhet och tillgänglighet. Kraven på okränkbarhet och tillgänglighet gäller all informationshantering, oavsett om uppgifterna är hemliga eller inte. Utredningen har tidigare också när den redovisat sin bredare definition av begreppet informationssäkerhet hänvisat till SIS handbok 550: Terminologi för informationssäkerhet. Enligt SIS är begreppet informations- säkerhet mycket brett och omfattar flera underområden som till exempel grundläggande policy, riskhantering samt administrativa och tekniska åtgärder. Enligt såväl SIS som utredningen är informationssäkerhet säkerhet rörande förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt spår- barhet och oavvislighet. Begreppet innefattar såväl IT-säkerhet som säkerhet i administrativa rutiner. Denna bredare definition som utredningen valt och som utredningen anser att ett nytt regelverk på informationssäkerhets- området måste återspeglas i måste ställas mot den legaldefinition av begreppet informationssäkerhet som finns i säkerhetsskydds- lagen. Enligt säkerhetsskyddslagen skall säkerhetsskyddet före- bygga bland annat att uppgifter som omfattas av sekretess och som rör rikets säkerhet, obehörigen röjs, ändras eller förstörs (informa- tionssäkerhet). Enligt säkerhetsskyddslagen omfattar informa- tionssäkerhet således enbart uppgifter som omfattas av sekretess och som rör rikets säkerhet. Denna legaldefinition av begreppet informationssäkerhet är enligt utredningen därför betydligt smalare än den definition som utredningen förespråkar och som har sin grund i såväl som i den gängse upp- fattningen på informationssäkerhetsområdet. Mot bakgrund av vad som har redovisats anser utredningen att det föreligger skäl att utmönstra den nuvarande legaldefini- tionen i säkerhetsskyddslagen av begreppet informationssäkerhet. Begreppet bör ersättas med begreppet sekretessäkerhet som bättre återspeglar vad bestämmelserna i säkerhetsskyddslagen avser. Som en följd av detta bör ändringar i nämnt avseende även göras i säkerhetsskyddsförordningen. 7.7.2Lagen om elektronisk kommunikation (2003:389) Utredningen har konstaterat av bestämmelserna i (2003:389) i nuvarande lydelse i allt väsentligt tar sikte på att skydda den enskildes integritet. Krav på säkerhet är svagt uttryckta och omfattar inte informationssäkerhet i den bredare bemärkelse som utredningen lyfter fram. Detta är en svaghet, särskilt som höga krav på informationssäkerhet främjar integriteten. Ett viktigt inslag i den statliga politiken har varit att öka tillgäng- ligheten till informationssamhällets växande utbud av tjänster. I takt med att elektronisk kommunikation, framförallt via Internet, används i allt högre utsträckning för såväl transaktioner av affärsmässig karaktär som allt fler samhällsviktiga tjänster för medborgare, företag och myndigheter, så ökar också exponeringen mot och konsekvenserna av haverier i systemen liksom brottslig- heten. För att bibehålla och stimulera fortsatt tillväxt av olika tekniska lösningar och ett varierat tjänsteutbud krävs att användarna har förtroende för att de allmänt tillgängliga kommunikationtjänsterna är säkra och fungerar effektivt samt att användarnas integritet skyddas. Som utredningen pekar på är den enskilde användaren i allt högre utsträckning beroende av sammankopplade lokala och globala informationssystem och kommunikationsnät. Det är därför viktigt att ansvaret för säkerheten också tydliggörs, det vill säga var gränsen går för det privata åtagandet och när blir det en fråga för staten? Enligt utredningen är det viktigt att lagstiftaren tillhand- håller en reglering som täcker in olika företeelser oberoende av tekniskt medium för kommunikationen. Den som utvecklar och tillhandhåller produkter och tjänster bör rimligen även svara för säkerheten i de levererade systemen eller näten. Slutligen måste den enskilde användaren svara för att utveckla medvetenhet och kompetens så att dennes beteende inte i sig orsakar svåra problem i samband med kommunikation över allmänt tillgängliga nät. Operatörerna av nät och tjänster måste å sin sida ha förmåga att förhindra, upptäcka och reagera på icke acceptabla beteenden, icke avsiktliga avbrott eller störningar i kommunikationen. Mot denna bakgrund har utredningen övervägt att föreslå förändringar av EkomL i några avseenden. För det första bör EkomL:s tillämpningsområde utvidgas till att omfatta alla former av elektronisk kommunikation, således inte bara den fasta tele- fonin. Vidare bör möjligheterna att ställa administrativa och tekniska krav på operatörer enligt EkomL utökas och PTS bör ges en starkare roll att utfärda föreskrifter för verkställighet av sådana krav. Slutligen bör möjligheterna till filtrering liksom förutsätt- ningen för hantering av abonnentuppgifter tydliggöras. I fråga om EkomL:s tillämpningsområde har efter förslag av beslutat att utvidga detta ( hänvisning). Även om utredningen har synpunkter på vissa formuleringar av dessa ändringar, så finns det inte anledning att aktua- lisera ytterligare förslag i detta avseende. När det gäller möjligheterna att tillgodose ökade krav på funktion och teknisk säkerhet m.m. har utredningen haft dialog med PTS. PTS har under utredningsarbetets gång också gjort en framställning till regeringen med förslag till ändringar i EkomL i dessa avseenden. Efter att ha tagit del av dessa förslag väljer utred- ningen att i princip ställa sig bakom PTS framställan. har således valt att inte lägga några ytterligare förslag så länge som beredning pågår inom . Standarder är privaträttsliga dokument för frivillig användning av parterna på en marknad. Avsikten med standarder är att förenkla och förbilliga tillverkning och handel. Standardiseringsarbete kan bedrivas i flera olika former. Den erkända standardiseringen bedrivs internationellt inom ISO, dardization, IEC, International Electrotechnical Commission samt inom ITU, Internationella Teleunionen. I dessa organisationer är de nationella standardiseringsorganen medlemmar. Svenska med- lemmar i dessa organisationer är SIS, , , Svenska Elektriska Kommissionen respektive ITS, Informa- tionstekniska standardiseringen. I olika sammanhang använder sig lagstiftaren av standarder. Man gör till exempel standarderna lagligen bindande eller man anger att en viss standard är exempel på en tillfredsställande lösning. Ofta hänvisas till standarder vid offentlig upphandling. Standardiseringen på informationssäkerhetsområdet har kommit mycket långt. De internationella standardiseringsorganen har till sitt förfogande experter inom varje relevant delområde inom informationssäkerhet, inklusive kryptologiområdet. Bland standarder och utvecklingsprojekt för standarder inom SC 27 (ISO/IEC) kan nämnas: SIS LIS-projekt (Ledningssystem för informationssäkerhet), Common Criteria för evaluering och certifiering, Standarder för kryptologiska algoritmer och protokoll. Standardiseringsgrupperna arbetar i en öppen process i den meningen att alla kan bli medlemmar. Flera standardiserings- organisationer publicerar sina standarder fritt, andra måste man betala för. Deras arbete utsätts för en omfattande granskning av kryptologer från vetenskap, industri och myndigheter. Att konstruera kryptografiska lösningar är mycket svårt. Det krävs dessutom och en oberoende granskning från flera parter för att en publik kryptoalgoritm eller ett säkerhetsprotokoll skall få nödvändig tillit. Säkerhetsrelaterade faktorer som är viktiga för ett företag som utvecklar en säkerhetslösning är bland andra: Val av plattform (hur skyddas den? IDS, Brandväggar, VPN, antivirus), Val av standarder inklusive optioner (kryptoalgoritmer, hash- funktioner, signaturscheman, nyckellängder och så vidare) Införandet av säker kod, Användarvänlighet; en användare skall inte behöva göra aktiva val för att få hög säkerhet. har till uppgift att stödja utvecklingen av ett säkert och effektivt elektroniskt informations- utbyte mellan myndigheter samt mellan myndigheter och enskilda genom att bland annat besluta om standarder eller liknande krav som skall vara gemensamma för det elektroniska informations- utbytet för myndigheter. Nämnden skall bistå med information och utarbeta riktlinjer, samt verka för att det på marknaden för informationsteknik tillhandahålls tjänster och produkter till stöd för elektroniskt informationsutbyte. Enligt vad utredningen erfarit planerar att utge särskilda föreskrifter för informationssäkerhet. 7.8.1Metodik för kvalitets- och kompetensutveckling Informationssäkerhet är ytterst en fråga om kvalitetstänkande. När det gäller system för hantering och utbyte av elektronisk information så är det grundläggande att dessa bygger på standarder. En praktisk förutsättning är interoperabilitet. En kostnadsmässig fördel är att standarder främjar konkurrens på lika villkor bland leverantörer. Kunden blir inte låst till en leverantör. Det går att blanda produkter från flera leverantörer. Produkterna kan effektivt uppgraderas då standarder vidareutvecklas för att möta nya hot eller dra nytta av de senaste landvinningarna inom forskningen. Det är förklarligt att det finns brister i informationssäkerheten hos många organisationer. Även om ledningen skulle vara med- veten om behovet av hög informationssäkerhet är det inte säkert att man vet hur man skall uppnå detta. Med en kvalitetsstandard att arbeta efter finns det betydligt bättre förutsättningar att nå målet. Det finns flera standarder inom informationssäkerhetsområdet. EU har pekat ut Common Criteria, ISO/IEC 15408, och Ledningssysten för informationssäkerhet, ISO/IEC 17799 och SS 62 77 99-2, som grunder för informationssäkerhet. Utred- ningens uppfattning är att staten bör gå i bräschen för en bred användning av standarder inom i princip all statlig verksamhet. Common Criteria, ISO/IEC 15408, är en internationell standard för att ställa krav på och utvärdera säkerheten hos IT-produkter och IT-system i dess användningsmiljö. Common Criteria är ett ramverk för hur man beskriver de funktionella kraven på IT- säkerhet i en produkt, inte en kravställning i sig. Syftet är att först utveckla en kravbild, för att sedan kunna utvärdera produkten i förhållande till ställda krav. Metoden för att genomföra utvärde- ringen är standardiserad och kan ske med varierande noggrannhet (assuransnivåer) och kan därmed genomföras med varierande kostnad och resultera i olika grad av tillit till produkten. Syftet är att kunna utvärdera i förhållande till ställda krav. Kraven ställs utifrån risker och hot för produkten och dess användning. En köpare skall kunna lita på att certifierade produkter och program fyller högt ställda och allmänt accepterade krav. En utvecklare eller leverantör beskriver hur detta skall uppnås genom att fastställa nödvändiga säkerhetsmål. En tredje part, en utvärderingsorganisation, testar och utför säkerhetsvärderingen. Validering utförs av ett certifieringsorgan och om uppställda krav är uppfyllda kan produkten certifieras. Common Criteria har sju assuransnivåer. I huvudsak används Common Criteria för att säkerhetsklassa en produkt (IT-system) i sin miljö med avseende på berörda lagar, risk och sårbarheter rörande produkten, implementeringsplan och utvärdering av förverkligandet utifrån ställda krav. Varje kompo- nent i produkten granskas och dess beroende kartläggs och klassas. I granskningen görs bedömning och tester av funktioner, design och konsekvens. Common Criteria Recognition Arrangement (CCRA) är en samverkan mellan nationer där det övergripande målet är att höja den nationella säkerheten genom att använda Common Criteria som ett verktyg för kravställning och granskning och verka för att antalet säkra IT-produkter ökar. är medlemsnation i Common Criteria Recognition Arrangement, som är ett avtal för ömsesidigt erkännande av certifikat utgivna av medlemsnationerna. Avtalet innebär att då certifiering anges som ett krav på en IT-säkerhetsprodukt vid offentlig upphandling i ett nation, måste denna nation acceptera certifikat utställda av de övriga nationerna, utan ytterligare krav på granskning av den upphandlande nationen. Det ömsesidiga erkännandet inom CCRA omfattar dock enbart de lägre assurans- nivåerna (1–4). Begränsningar medges även för produkter som ska hantera t ex information som är av nationellt säkerhetsintresse. Regeringen konstaterade i propositionen Fortsatt förnyelse av totalförsvaret (prop. 2001/02:10) att samhället i stort och total- försvaret i synnerhet behöver ha en god uppfattning om vilken säkerhetsnivå olika IT-produkter medger. Därför ansåg regeringen att det behövs ett system för utvärdering och certifiering av produkter. blev Styrelsen för ackreditering och teknisk kontroll, Swedac, svensk signatär. , , har fått regeringens uppdrag att bygga upp en svensk certifieringsordning för CCRA. Mot bakgrund av erfarenheter från andra länder inom CCRA, är det troligt att Försvarsmakten och andra myndigheter med mycket höga sekretesskrav, kommer att vara de viktigaste intressenterna för certifierade produkter. Tillgång till certifierade produkter underlättar för alla myndigheter, företag och andra som önskar upphandla produkter med hög säkerhet. 7.8.3Ledningssystem för informationssäkerhet, Ledningssystem för Informationssäkerhet () är en anvisning för hur man åstadkommer ett ledningssystem, inte ledningssystemet i sig. Den omfattar hela informationssäkerhetsbegreppet, och foku- serar på de risker och hot som kan uppkomma inom en organisa- tion. bygger på den ursprungliga brittiska standarden BS 7799, och består av två delar. Den första delen, riktlinjerna, är både svensk och internationell ISO-standard, SS-ISO/IEC 17799. Denna del kan sägas vara bör-krav för hur man skapar en säker informationshantering. Den innehåller råd om säkerhetspolicy, organisatorisk säkerhet, klassificering och styrning av tillgångar, personal och säkerhet, fysisk och miljörelaterad säkerhet, styrning av kommunikation och drift, styrning av åtkomst, system- utveckling och systemunderhåll, kontinuitetsplanering samt efterlevnad. Den andra delen, specifikationen, finns som svensk standard SS 62 77 99-2, vilken också företag kan låta sig certifieras mot. Andra länder, förutom , som infört denna som nationell standard är , , , och Neder- länderna. Den tillämpas också i bland annat , , , , , , och . Denna del kan sägas utgöra skall-kraven på ett ledningssystem för informations- säkerhet. beskriver ledningssystemet med följande innehåll: Dokumenterad informationssäkerhetspolicy på en över- gripande nivå, med verksamhetskraven som utgångspunkt. Den beskriver även ledningens viljeinriktning. Utpekande av ansvariga (roller). Den visar på vilka säkerhets- processer som skall/bör göras och målen för dessa. Struktur för anvisningar och regler för säkerhetsåtgärder som är anpassade efter verksamhetens behovsbild. Definition av en modell för riskanalys och riskhantering. Definition av en modell för uppföljning och ständiga förbätt- ringar av säkerhetsarbetet. Rutiner för kontinuerliga revisioner av redan införda säkerhets- och riskhanteringsrutiner. Ett strukturerat sätt att sprida kunskapshöjande insatser till medarbetarna i den egna verksamheten. Viktiga utgångspunkter är att utgår ifrån den egna verksahetens behov av skydd. Kärnan i baseras på regelbundet åter- kommande riskanalyser. Hänsyn tas till intressenters behov. Verksamhetens ledning ges ett tydligt ansvar för informations- säkerheten. En förutsättning för är att det inte ses som ett utanförskap i förhållande till övriga verksamhetsprocesser. Den ger grunden för tillämpning av angelägna säkerhetskrav och rutiner används med framgång inom flera större svenska företag. Detta tillsammans med erfarenheten att framstående nationer använder standarden nationellt, motiverar enligt utredningen att staten bör använda inom den statliga verksamheten. OffLIS är Statskontorets mallregelverk, ett startpaket för att utforma vid 24-timmarsmyndigheter. OffLIS innehåller en rekommenderad mall för en organisations ledningssystem för informationssäkerhet, baserat på . OffLIS ingår i ett databasverktyg i , som stöd för hela säkerhetsprocessen från upprättande av en organisations regelverk till stöd för uppföljning av säkerheten. Den primära målgruppen är alla som arbetar aktivt med informationssäkerhet i en organisation, det vill säga primärt informationssäkerhetschefer, , eller motsvarande. Även om OffLIS är utformat med 24-timmarsmyndigheter som målgrupp, kan det oftast utan större besvär även anpassas till andra organisationers verksamhet. Anvisningar för utformning av policy för informationssäkerhet. till riktlinjer för informationssäkerhet. kan enkelt anpassas för att utforma ett eget regelverk med önskad grundskyddsnivå för organisationen. Klassificeringsmodell för att definiera önskad grundskyddsnivå genom styrning av skyddsåtgärder beroende på nivå av sekre- tess, riktighet och tillgänglighet. Åtgärdskrav för valt informationsobjekt, system eller dylikt enligt genomförd klassificering. Stöd för informationsspridning av policy och övriga regler genom många möjligheter att skikta regelverket, till exempel: indelning på riktlinjer och anvisningar, rollstyrning av databasens innehåll av regler, utformning av ledningssammanfattning och annat presentationsmaterial från regelverket. Utredningen anser att OffLIS bör utgöra ett rekommenderat stöd från staten vid införande av i myndigheters verksamhet. BITS är , , nuvarande rekommen- derade basnivå för IT-säkerhet. Den anger en rekommenderad lägsta säkerhetsnivå för IT-system som bedöms nödvändig för att upprätthålla en organisations normala verksamhet även under fredstida kriser. BITS är en rekommendation ifråga om den basförmåga för informationssäkerhet som skall finnas hos myndigheter, men som definieras av varje enskild myndighet efter risk- och sårbarhets- analys för den egna verksamheten. rekommendationer har som utgångs- punkt haft olika standarder och standardiseringssträvanden som förekommit på olika håll, men anpassats och begränsats för att ge ett konkret stöd i arbetet med att uppnå basnivån. Ambitionen är att få BITS att konvergera mot eller OffLIS där parallellitet finns. Grundtanken att definiera en lägsta nivå för IT-säkerhet kvarstår.