sou · GTB371 · 2006-01-01 00:00:00 — KBM hanterar också de årliga risk- och sårbarhetsanalyser (RSA) som myndigheter är ålagda att leverera till regeringen. Informationssäkerhetsaspekterna i dessa är ett begränsat men potentiellt viktigt bidrag till helhetsbilden. Användningen av RSA som underlag till helhetsbilden bör utvecklas. Helhetsbilden på informationssäkerheten bör också kunna utgöra ett värdefullt underlag för inriktningen av samhällets hela arbete med säkerhet och krisberedskap och den medelsfördelning som är förknippad med detta. Nära kopplat till helhetsbilden är möjligheten att i ett längre tidsperspektiv initiera och finansiera strategiska forskningsinsatser samt i ett kortare tidsperspektiv studier. Initiering av forskning och studier bör ha sin utgångspunkt i helhetsbilden, som de bidrar till densamma. Möjligheter att bidra till finansieringen av denna typ av verksamhet är därför en viktig del i arbetet med samhällets informationssäkerhet. Motiven och förslagen liksom KBM:s roll har utvecklats i utredningens tidigare betänkande Säker information – förslag till informationssäkerhetspolitik (2005:42). Det bör finnas en särskild budget för detta ändamål. Det finns behov av en formaliserad samverkan med KBM som samordnande myndighet mellan aktörer i samhället som äger, driver eller på annat sätt har ansvar för samhällsviktig verksamhet eller infrastruktur. I denna samverkan skall berörda sektorsmyndigheter medverka. Informationsutbytet kan avse incidenter, bästa metod, hot, risker och sårbarheter. Organisatoriska konsekvenser av utredningens förslag måste fungera både inom, respektive mellan, stat, kommuner, näringsliv och andra organisationer. Samverkan utgör ett viktigt underlag till helhetsbilden liksom den till ömsesidig nytta förmedlar känslig eller förtrolig information, frågeställningar och påverkan. Det kan innefatta: -Att delta i och analysera utvecklingen inom EU och i övriga internationella sammanhang och att delta i relevanta arbetsgrupper eller fora för att strategiskt påverka de processer inom EU och internationellt som berör . Det bidrar också till att stärka position i dessa aktiviteter. -Att utveckla formerna för samverkan med näringsliv och andra icke-statliga organisationer. -Att vidareutveckla relationerna och bygga förtroende gentemot underrättelse- och säkerhetstjänsterna, polisen och andra organisationer. -Att etablera permanenta eller temporära råd i olika syften. Ett sådant kan vara att få en bättre balans mellan tekniska och juridiska aspekter på ett tidigt stadium i nya lagförslag. -Att samordna statens medverkan i standardiseringsarbetet. Huvudansvaret bör dock åvila befintliga aktörer på området. Formerna för samverkan och diskussion bör syfta till att förtrolig och känslig information kan delas. Samverkan bidrar också till helhetsbilden. KBM bör i extraordinära situationer ha ett delegerat ansvar att inom givna ramar samordna informationssäkerhetsarbetet. 4.3.6Stöd och förebyggande arbete Förebyggande arbete syftar till att höja medvetenheten om informationssäkerhet, risker och möjligheter till skydd på bredden i samhället. Det kan innefatta: -Att utveckla metoder för säkerhetsanalyser i informationssystem. -Att ge vägledning för en säkerhetsnivå med tillämpning av standarder för informationssäkerhet. -Att initiera breda utbildningsinsatser och medvetandehöjande åtgärder gentemot samhället och IT- användarna. -Att initiera eller genomföra riktade specialutbildningar i informationssäkerhet. -Att rikta säkerhetsinformation till allmänheten. Organisatoriska konsekvenser av utredningens förslag -Att medverka till att informationssäkerhet integreras i utbildningen på grundskole-, gymnasie- och högskolenivå. -Att initiera eller medverka till att fortbildning i informationssäkerhet genomförs på ledningsnivå. Det är till stor del genom det förebyggande arbetet som samhällets robusthet för informationssäkerhet förbättras och operationaliseras. Ansvaret bör även fortsättningsvis vila på KBM, med förstärkta resurser för ändamålet. Det förebyggande arbetet handlar främst om utbildningsinsatser och medvetandehöjande åtgärder, produktion av vägledningar samt fördelning av medel från den så kallade civila ramen. De behov som finns och som uppstår avseende stöd och förebyggande åtgärder bör hanteras löpande genom samordning mellan samhällets aktörer. En grundläggande princip bör vara att staten endast tar ansvar för skyddsåtgärder som marknadens aktörer inte förmår hantera, exempelvis kollektiva nyttigheter eller vid exceptionellt höga krav på sekretess. Erfarenheter från bland annat och visar att näringslivet kan och bör spela en aktiv roll. Den tyska informationssäkerhetsmyndigheten für Sicherheit in der Informationstechnik (BSI) identifierar samhällets behov av informationssäkerhet men anlitar till största delen näringslivets aktörer för att utveckla, producera och leverera efterfrågade produkter och tjänster. Scenario- och övningsverksamhet utgör ett viktigt verktyg för att kritiskt värdera modeller och lösningar. Det gäller också på informationssäkerhetsområdet. bedrivs övningar på informationssäkerhetsområdet inom Försvarsmakten både nationellt och internationellt. Vidare förekommer numera omfattande övningsverksamhet inom den samhällsviktiga verksamheten, till exempel elförsörjning, telekommunikation och finanssektorn. Scenario- och övningsverksamhet med inslag av informationssäkerhet har förekommit, men måste utvecklas och ges större fokus. informationssäkerhetsområdet samt utifrån KBM:s befintliga kompetens på övningsområdet är det naturligt att KBM har det Organisatoriska konsekvenser av utredningens förslag Liksom i det förebyggande arbetet kan övningsverksamheten till stor del hanteras av näringslivet. KBM:s roll bör främst vara att identifiera, uppmärksamma och formulera behov och mål för insatserna. Vid allvarliga informationssäkerhetsrelaterade händelser kan befintlig personal och kompetens inom en eller flera organisationer som ansvarar för samhällsviktig verksamhet vara otillräcklig. Kunskapsbanken på området är naturligt begränsad, och kan svårligen hållas bredare inom den offentliga verksamheten än vad normalförhållandena kräver. Ett sätt att bidra till att kunna hantera en allvarlig eller extraordinär situation vore att kunna mobilisera kompetens dit den behövs, för att begränsa en skada eller att arbeta förebyggande mot nya attacker eller angrepp. Ett sådant nationellt säkerhetsinitiativ skulle vara att upprätta en kompetensbank. En jämförelse som kan göras är med hur deltidsbrandkårer byggs upp och fungerar. Enskilda individer står till förfogande för att kunna rycka ut med kort varsel och deras arbetsgivare har i förväg accepterat den påverkan detta kan innebära i företagets eller myndighetens verksamhet. Den tänkta modellen förutsätter att de personer med spetskompetens inom informationssäkerhet som ingår, regelbundet får öva scenarier under organiserade former. Det samordnande ansvaret för att ta tillvara sådana frivilligresurser bör läggas på KBM som ges uppgiften att hantera kontakterna och upprätta erforderliga avtal med enskilda och berörda företag samt tillse att övningsverksamhet genomförs. Användning av kryptografiska funktioner för att erhålla säkerhet vid kommunikation, lagring av information samt för att garantera autentisering och identifiering ökar i samhället. Svenska myndigheters internationella arbete medför att det ställs krav på säker hantering av information som behandlas elektroniskt vid respektive myndighet samt vid förmedling av informationen. Utbildning är en viktig del i informationssäkerhetsarbetet. Den utbildning som krävs för att erhålla behörighet att hantera och Organisatoriska konsekvenser av utredningens förslag nyttja signalskydd bedrivs vid Totalförsvarets signalskyddsskola (TSS). För att skapa möjlighet till helhetssyn vad avser den utbildning som erfordras inom informations- säkerhetsområdet samt för att uppnå synergieffekter bör signalskyddsutbildningen utvecklas så att utbildning kan ges inom hela informationssäkerhetsområdet. Utredningen föreslår därför att huvudmannaskapet för signalskyddsutbildning överförs från Försvarsmakten till KBM. 4.4Utredningens förslag till tekniska funktioner Totalförsvarets signalskyddstjänst ingår i Försvarsmakten och leds och samordnas av MUST Säkerhetskontor.42 I ledningsfunktionen ingår framtagning av regelverk, handböcker och instruktionen samt genomförande av dialoger och informationsmöten på central respektive regional nivå. Kundkretsen utgörs av ca 90 myndigheter och företag, de senare företrädesvis ur försvars- industrin. är ca 40 totalförsvarsgemensamma signalskyddssystem och ett antal försvarsmaktsspecifika system i drift. I ledningsfunktionen ingår även att inrikta Totalförsvarets signalskyddsskola (TSS). Signalskyddsverksamheten kontrolleras administrativt, i samverkan med KBM vad avser civila myndigheter och FMV vad avser försvarsindustrin, varvid organisation, behörighet, nyckelhantering med mera är föremål för kontroll. Dessutom genomförs teknisk kontroll (signalkontroll) för att säkerställa att kryptosystemen utnyttjas riktigt och att den tekniska funktionen är korrekt. Godkännandet sker genom Försvarsmakten. Vid utveckling av nya signalskyddssystem genomförs ett omfattande arbete att verifiera att systemen fungerar på avsett sätt, innan ett godkännande kan utfärdas. Detta gäller även vid modifiering av befintliga system. Vid utformningen av kryptografiska mekanismer samarbetar MUST Säkerhetskontor med FRA. I utvecklingsarbetet ingår även att ta fram system för generering av kryptonycklar, certifikat och system för 42 Signalskyddstjänsten hanterades tidigare inom Försvarsmakten/TSA (Totalförsvarets signalskyddssamordning) Organisatoriska konsekvenser av utredningens förslag personalisering av totalförsvarets aktiva kort så att kryptografiskt riktiga kryptonycklar kan distribueras till användare. I utvecklings- och verifieringsrollen ingår även att stödja anskaffning. En omfattande verksamhet inom signalskyddsområdet är att i samråd med nyckelansvariga myndigheter fastställa och tilldela kryptonyckelserier samt kontinuerligt producera och distribuera kryptonycklar till totalförsvaret. I arbetet ingår även att distribuera totalförsvarets aktiva kort och certifikat samt att utöva rollen som (Certificate Authority). Dessutom utövas rollen som NDA (National Distribution Authority) vid samverkan med andra nationer. MUST Säkerhetskontor stöder även i krypto- och signalskyddsfrågor. I detta arbete utövas expertrollen som NCSA (Authority) i olika internationella samarbeten där kryptoverksamhet berörs. Exempel är stöd till Europeiska Rådets sekretariat och vid vissa gemensamma EU-projekt som , TESTA etc. Även granskning och verifiering av andra nationers godkända kryptosystem avsedda att skydda EU-information genomförs. Något formellt beslut om denna roll har dock inte fattats. Signalskyddsverksamheten vid KBM har som syfte att åstadkomma en bättre informationssäkerhet genom att hos krishanteringssystemets aktörer skapa förmåga att förhindra obehörig insyn i och påverkan av elektronisk kommunikation. Arbetet avser inriktning, utveckling och samordning av civila myndigheters samt vissa samhällsviktiga företags signalskydds- verksamhet genom samverkan med Försvarsmakten, FMV och företrädare för näringslivet. Verksamheten består av utveckling, underhåll, redovisning och förrådshållning av signalskyddsmaterial och annan teknisk utrustning för det civila försvaret samt att bedriva signalskyddsövningar och ge användarstöd. Myndigheten sprider också signalskyddsinformation och kompetensutvecklar personal inom signalskyddsorganisationen på central och regional nivå. KBM hanterar också de fasta kostnader som uppkommer i samband med förvaltning av utrustning. Det gäller bland annat sekretessutrustning för telefoner och underhållsavtal. KBM distribuerar också kryptonycklar enligt gällande regler. Organisatoriska konsekvenser av utredningens förslag Antalet årsanställda är ca 10 personer. FRA är central förvaltningsmyndighet med ansvar för signalunderrättelsetjänst (signalspaning) enligt den inriktning som regeringen anger och de uppdrag som lämnas av Försvarsmakten och andra uppdragsgivare. Signalspaning innebär att med mottagarsystem och andra elektroniska hjälpmedel registrera radiosignaler för att hämta in underrättelser. FRA:s signalspaning innefattar två delar: teknisk signalspaning (TES) och kommunikationsspaning (KOS). Inriktningen har successivt förskjutits från de traditionella militära hoten mot nya säkerhetshot. Utöver signalspaningsuppdraget har FRA uppgifter inom svensk informationssäkerhet. Det gäller kryptologisk expertis, där FRA svarar för att bemanna de kryptologiska funktionerna vid MUST. FRA har också en särskild teknikkompetensfunktion (TKF) till stöd för statliga myndigheter och företag med samhällsviktig verksamhet, som bland annat medverkar i tester av säkerheten i myndigheters IT-system tillsammans med berörda myndigheter. Miljön på FRA är teknikorienterad vilket främjar möjligheterna att attrahera teknisk personal med hög kompetens och att behålla en kritisk kunskapsmassa. FRA följer den nationella och internationella utvecklingen och deltar i olika samarbeten med andra aktörer inom informationssäkerhetsområdet. Med ett eget forsknings- och utvecklingsprogram arbetar FRA för att ligga före i utvecklingen med att förutse och bedöma behov och säkerhetsnivåer. Det görs främst genom att utnyttja kompetens och metoder som härrör sig från FRA:s kärnverksamhet – signalunderrättelsetjänst. FRA kan också i virtuell laboratoriemiljö simulera de miljöer som finns hos uppdragsgivarna och på detta sätt fortare hitta brister som kan äventyra informationssäkerheten. Med hjälp av FRA:s metoder och teknikstöd har till exempel tjänsten Aktiv IT-kontroll visat resultat hos uppdragsgivarna och pekat ut brister i system och nätverk. har bristerna varit så allvarliga att det har kunnat påverka tillgängligheten till nationens Organisatoriska konsekvenser av utredningens förslag I vissa fall har den upptäckta bristen kunnat innebära skador för rikets säkerhet om en angripare hade kunnat utnyttja bristen innan den säkrades. FRA har redan nu erfarenhet och färdiga krisberedskapsprocesser som har testats och används i verkliga fall för att stödja insatser vid myndighetskriser. Dessa kommer att vara värdefulla om det skulle uppstå en nationell kris med IT-inslag. av intrångsdetekteringssystem för att spåra onormal trafik i nätverk gör att man snabbt kan sjösätta ett nationellt system om en ny signalunderrättelsetjänstslag träder i kraft. Det gör att inte blir lika beroende av omvärldens välvilja för att upptäcka attacker mot . har FRA med hjälp av signalunderrättelsetjänstens internationella kontaktnät kunnat samverka och bland annat erhållit information om pågående angrepp mot nationella intressen och på detta sätt kunnat påbörja identifiering av inblandad aktör innan skada hunnit inträffa. Ett förslag till en tydligare rättslig reglering av FRA:s signalunderrättelsetjänst är på remiss.43 Förslaget innebär förändrade förutsättningar för signalunderrättelsetjänsten och ökade möjligheter för den nybildade myndigheten att skydda landet mot IT-attacker från utlandet. En stor del av informationssäkerhetsarbetet handlar om den del av informationen som hanteras genom kommunikation mellan datorer. Samverkan mellan FRA:s kryptologer och TKF:s FoU- personal har här varit till fördel. Nyttan har varit dubbelriktad då man allt oftare har behov av både kryptologikompetens och erfarenheter av reverse (återskapande av källkod för analys och bearbetning, då man inte har tillgång till källkoden) för att kunna finna brister. 4.4.4Motiv för samordning av signalskyddet Utredningen föreslår att ansvaret för signalskydd överförs från Försvarsmakten, MUST säkerhetskontor, till den nybildade myndigheten, ITS. Även KBM:s ansvar för signalskydd föreslås överföras. Det administrativa godkännandet av signalskyddssystem föreslås dock placeras vid KBM. Föreskriftsrätt för samhällsviktiga system, inklusive signalskyddstjänsten, föreslås ges till KBM. 43 En anpassad försvarsunderrättelseverksamhet (Ds 2005:30). Organisatoriska konsekvenser av utredningens förslag nya myndigheten, IST, bör ges föreskriftsrätt för tekniskt godkännande av kryptoprodukter. KBM:s signalskyddsverksamhet bedrivs i huvudsak i . Överföringen bör leda till en utökad bemanning av verksamheten i . Signalskydd och signalunderrättelsetjänst kan ses som två sidor av samma mynt. Det finns fördelar med ett nära samarbete mellan dessa båda områden. Länder med brister i signalskyddet har ofta dålig kontakt mellan signalskydd och signalunderrättelsetjänst. Det behövs kompetens i att forcera bristfälligt signalskydd för att kunna skapa ett eget bra signalskydd. Kompetensen härför finns inom nuvarande FRA. Samhället har ett växande behov av signalskydd. Eftersom staten har ett ansvar för samhällsviktig verksamhet, även icke-militär sådan, finns behov av en organisation med hög kompetens också utanför totalförsvaret. Svensk kryptoindustri har svårt att konkurrera med utländsk, då det inte finns en inhemsk organisation som kan godkänna kryptosystem utanför totalförsvaret. Vid offertförfarande från EU:s institutioner och organ krävs allt oftare att systemen är godkända nationellt. Det visar på ytterligare ett behov av att bredda omfattningen av samhällets signalskydd, vilket kan ske genom en flyttning av signalskyddsfunktionen från Försvarsmakten till den nybildade myndigheten för teknisk informationssäkerhet. Verksamheterna för nyckelproduktion och signalkontroll finns dessutom redan placerade i . Det finns dessutom positiva synergieffekter av en förändrad placering av signalskyddsfunktionen. Ansvarsområdet för FRA:s Teknikkompetensfunktion, TKF, gäller IT-säkerhet med signalskyddet exkluderat. FRA har kompetenser som främjar signalskyddsverksamheten och ger synergivinster, viktiga kunskapsvinster och arbetsrotation. Det gäller kommunikationsspaning, trafikbearbetning, forceringsverksamhet, signalanalys, teknisk signalunderrättelsetjänst, signalhantering, hantering av stora dataflöden med mera. Det växande behovet av kvalificerade resurser för informationssäkerhet utanför det militära området innefattar också ett ökande behov av signalskydd för myndigheter och samhällsviktig verksamhet. Flera länder med hög nivå inom området, har signalskydd och signalunderrättelsetjänst kopplade till varandra. FRA har omfattande internationella partnerkontakter avseende Organisatoriska konsekvenser av utredningens förslag Genom att det i tongivande länder är samma eller närstående organisationer som svarar för verksamheten kan dessa upparbetade kontakter utnyttjas även för signalskydd. Det blir också lättare i det internationella samarbetet för andra länder att kontakta , då det finns en naturlig samarbetspartner istället för flera med oklara gränsdragningar. Förtroendet för en organisation inom informationssäkerhetsområdet är centralt. FRA:s signalunderrättelsetjänst (som utnyttjar brister i signalskydd och informationssäkerhet) påverkar förtroendet för arbetet med att förebygga informationssäkerhetsbrister. Detta måste beaktas i och arbete. För att vara en tillgång vid nya behov och för nya samarbetspartners är det angeläget att den nybildade myndighetens civila karaktär tydliggörs. måste Försvarsmaktens behov av signalskydd alltid tillgodoses, även i en förändrad organisation. Försvarsmakten är den organisation som kanske tidigast av alla konfronterats med informationssäkerhetsproblem och därför tvingats agera för att skydda vitala samhällsintressen. Dessutom hanteras stora mängder sekretessbelagt material på totalförsvarets område. Följaktligen har Försvarsmakten också tvingats säkerställa både administrativ och teknisk kompetens inom det egna ansvarsområdet i syfte att åstadkomma kvalificerade informationssäkerhetslösningar. Utvecklingen med att ta fram kvalificerade IT-säkerhets och kryptolösningar har bland annat skett med stöd av FRA och FMV. Försvarsmakten utvärderar också IT-säkerhets och kryptolösningar för att kunna använda resultatet såväl internt som hos tillsynsmyndigheterna. Utredningen har också föreslagit att den nationella strategin för informationssäkerhet måste innefatta en förstärkt förmåga inom området nationell säkerhet. Detta har redovisats i det tredje delbetänkandet. Utredningen har betraktat informationssäkerhet i ett bredare perspektiv än enbart ur totalförsvarets synvinkel. Informationssäkerheten berör alla samhällets aktörer och arbetet måste därför organiseras utifrån hela samhällets behov. Detta motsäger inte det faktum att Försvarsmakten även kommer att ställas inför kvalificerade problemställningar som motiverar egen hög kompetens och resurser. Men dessa problemställningar är principiellt ett sektorsproblem enligt utredningens synsätt. I vissa avseenden skiljer sig dessa till inriktning och omfattning från andra myndigheters problem. Organisatoriska konsekvenser av utredningens förslag Utredningen har avfärdat tanken att organisera informationssäkerhetsarbetet genom att utvidga Försvarsmaktens ansvarsområde. Detta skulle kunna ställa Försvarsmakten inför den omöjliga uppgiften att prioritera mellan egna intressen och samhällets behov. Mot denna bakgrund har utredningens utgångspunkt utvecklats till att söka organisera informations- säkerhetsarbetet utifrån hela samhällets behov, vilka är större än totalförsvarets. Enligt utredningens mening bör utvecklingen av Försvarsmaktens egen förmåga på informationssäkerhetsområdet fortsättningsvis hanteras tillsammans med synen på den nationella säkerheten och Försvarsberedningens pågående arbete. Staten måste av nationella säkerhetsskäl och för att kunna vara en pådrivande aktör i det europeiska och internationella samarbetet om teknisk informationssäkerhet ha en hög kompetens. Det är en krävande uppgift som är beroende av specialister med enstaka starkt begränsade kompetensprofiler. Om dessa är utspridda på flera olika aktörer innebär det överlappande arbetsuppgifter och en icke optimal användning av ekonomiska och andra resurser. En effekt som uppstår vid samordning av alla tekniska delfunktioner hos en myndighet är snabbare beslutsvägar. Det är av stor vikt att snabbt kunna sätta ihop en insatsgrupp för att stödja insatser vid nationella kriser med IT-inslag och för att kunna medverka till identifiering av inblandade aktörer i IT-relaterade hot mot samhällsviktiga system. Med en delad organisationsbild är det svårare att upprätthålla en kritisk kompetensmassa. Om uppgiften att leda och samordna signalskyddstjänsten inom totalförsvaret överförs från Försvarsmakten, erfordras att de medel som finns avsatta i materielplanen för utveckling också förs över. Försvarsmakten kommer oavsett vem som har det samordnande ansvaret för signalskyddstjänsten att vara en av de största avnämarna. I 39 § förordningen (2000:555) med instruktion för Försvarsmakten föreskrivs att Försvarsmakten får meddela övriga statliga myndigheter föreskrifter i fråga om signalskyddstjänsten inom totalförsvaret. Försvarsmakten har därför tagit fram Försvarsmaktens föreskrifter (FFS 2005:2) om signalskydds- tjänsten inom totalförsvaret. Skälet är att åstadkomma enhetlighet i verksamheten. De som har tillgång till signalskyddssystem men som inte omfattas av föreskrifterna, till exempel företag, förbinder sig genom avtal att följa dem. Enligt utredningen finns det skäl att utvidga tillämpnings- området för föreskrifterna i syfte att bättre täcka in de behov som Organisatoriska konsekvenser av utredningens förslag finns i hela samhället. Föreskriftsrätten bör då, i konsekvens med det vidare syftet, överföras till den myndighet som skall ha policyansvaret och det samordnande administrativa ansvaret för signalskyddet. Utredningen föreslår därför att Försvarsmaktens föreskriftsrätt övertas av KBM när en ny, utvidgad förordning om signalskyddet träder i kraft.