sou · GTB371 · 2006-01-01 00:00:00 — Huvuddelen av omvärlds- bevakningen tillhör det vardagliga informationssäkerhetsarbetet, som att hålla systemen uppdaterade mot nya risker, underlag för underhåll och investeringar samt att följa utvecklingen inom informationssäkerhet. Inom området finns det dessutom information som inte är allmänt åtkomlig, till exempel den information som underrättelseorganisationerna tar fram samt incidentrapporter. För att omvärldsanalysen skall vara heltäckande och fylla sin funktion som underlag för inriktning av informationssäkerhetsarbetet bör den vara en sammanställning av såväl öppen som hemlig information. Det är, som utredningen har konstaterat i Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), viktigt att den myndighet som för sin uppgift måste få tillgång till vissa underrättelser har erforderlig kompetens och tillräckliga resurser men också bereds möjlighet att påverka inriktningen av underrättelseorganisationernas arbete och att myndigheten delges information. Informationssäkerhetsarbete bedrivs, som huvuduppgift eller som en naturlig följd av verksamheten, av många aktörer. Det finns ett stort behov av ledning på informationssäkerhetsområdet. Utgångspunkter för organisation av informationssäkerhetsarbetet SOU 2005:71 gäller såväl samordning av myndigheter som styrning av informationssäkerhetsarbetet. Staten har rimligen ett övergripande ansvar för informations- säkerhet i samhället som omfattar både statsförvaltningens eget behov av informationssäkerhet och de aspekter av övriga samhällets informationssäkerhet som inte naturligen åvilar kommuner och landsting eller enskilda. Staten har därmed ett ansvar för att ha beredskap för vardagliga informationssäkerhetsproblem, men också en operativ förmåga att hantera allvarligare incidenter med mer omfattande konsekvenser för en eller flera sektorer. Utvärdering av informationssäkerhetsarbetet har visat att vissa delar av uppgiftsfördelningen inom offentlig sektor fungerar relativt friktionsfritt medan det i andra funktioner förekommer överlappande arbete och oklarheter om vem som skall göra vad. De olika uppgifter som åvilar staten, som till exempel statens egen informationssäkerhet, skydd av vitala funktioner, förtroende- höjande åtgärder som grund för tillväxt samt internationellt harmoniseringsarbete, utförs av olika aktörer och måste samordnas. Det samordnande ansvaret bör tillfalla en statlig aktör som har befogenheter som står i paritet med uppgiften. I ett krisläge bör någon aktör dessutom få ett utökat ansvar och därtill utökade befogenheter. Denna myndighet bör i extraordinära situationer ha möjlighet att förelägga andra aktörer uppgifter och därmed ha ett delegerat ansvar att inom givna ramar och under specificerade omständigheter styra informationssäkerhetsarbetet. Utredningen anser att ett samordningsansvar för policy och administrativa funktioner bör ligga på en enskild myndighet. En fördjupad samverkan mellan offentliga och privata aktörer förutsätter att arbetet samordnas inom staten, även om varje sektorsmyndighet måste ta ansvar för samverkan inom sina respektive sektorer. Denna samverkan redovisas under avsnitt 3.3. Informationssäkerhet är ett globalt behov, vilket utredningen och andra har konstaterat vid ett flertal tillfällen. kan inte lösa sin informationssäkerhet i isolering och kan inte heller upprätthålla kontakt med andra länder om informationssäkerheten inte är någorlunda harmoniserad. Dessutom ökar god informations- säkerhet möjligheterna att hävda svenska intressen inom EU och verkar produktivitetshöjande. För att agerande på den Utgångspunkter för organisation av informationssäkerhetsarbetet internationella arenan skall optimeras och för att öka genomslaget i EU måste en gemensam och konsekvent bild av det svenska informationssäkerhetsarbetet, till exempel avseende prioriteringar, föras fram. Den nationella strategin, olika typer av nationellt utbyte och samarbete är instrument för att skapa en gemensam bild och underlätta att arbeta mot gemensamma mål för organisationer med skilda uppdrag. Utredningen är dock medveten om att informationssäkerhetsfrågor uppkommer inom en mängd olika områden och . Det ställer stora krav på informationsutbyte och samarbete för att uppnå en god samordning. bör ta tillvara möjligheten att bidra till harmonisering av informationssäkerhetsarbetet mellan EU:s medlemmar och spela en aktiv roll i det internationella arbetet. Det ställer höga krav på en helhetsbild av informationssäkerhetsarbetet. Många aktörer, såväl myndigheter som företag, har inom ramen för sin informationssäkerhetsrelaterade verksamhet behov av kontakt med sina motsvarigheter i andra länder. Strategin och de andra verktygen som används för att skapa en gemensam syn på informationssäkerhetsarbetet förstärker ett samfällt svenskt agerande. De organisationer som har den här typen av utbyten bör regelbundet uppdatera varandra genom en sammanhållen funktion genom en utpekad aktör. 3.1.4Sammanhållande ansvar för utbildning och medvetandehöjande åtgärder Utredningen har betonat att medvetandehöjande åtgärder, främst genom kompetensutveckling, är nödvändiga för ett gott informationssäkerhetsarbete. Utredningen lade i sitt tredje delbetänkande, Säker information – förslag till informations- säkerhetspolitik (SOU 2005:42) en rad förslag syftandes till en långsiktig förstärkning av kompetensförsörjningen. Dessa omfattade åtgärder inom , gymnasiet, högskolan samt forskning. I en sådan strävan är kontinuitet och stringens viktigt. Utredningen har konstaterat att det saknas en sammanhållande organisation för kompetensförsörjning. Enligt utredningens mening bör en enskild myndighet ges ett sammanhållande ansvar för att kompetensutvecklingen inom informationssäkerhetsområdet sker medvetet och framåtsyftande. En sådan aktör bör förfoga över medel att fördela bland annat för forskningsinsatser. Dessutom är det av vikt att denna aktör har Utgångspunkter för organisation av informationssäkerhetsarbetet tillräcklig egen kompetens för att leda och inrikta kompetens- utveckling på informationssäkerhetsområdet. Många aktörer bidrar till detta arbete: leverantörer, branschorganisationer, intresse- organisationer, massmedier, innehålls- och tjänsteförmedlare med flera. Till en viss del är detta arbete en naturlig följd av organisationernas uppdrag eller intressen. Till exempel har modemkapning uppmärksammats av och tidningar har skrivit om datavirusspridning. IT-utvecklingen och ökat användande av IT leder till ett stort behov av att höja kompetensen inom säkerhets- och handhavandefrågor. Det blir då viktigt att försöka hitta de områden där informationen inte kan anses tillräcklig för användarna eller där den saknas helt. Behovet finns och informationsutbudet måste anpassas till detta. Möjligen kan man komma långt med en kraftig punktinsats. , om informationssäkerhet blir en självklarhet, kommer inte lika stora insatser att behövas. En viktig del i kompetenshöjning är informationsspridning. Detta bör vara varje sektorsmyndighets ansvar. De allra flesta som använder datorer privat har liten kunskap om hoten och framför allt om vilka möjligheter som finns till skydd. Genom att använda folkrörelser och frivilliga försvars- organisationer skulle kunskapsnivån kunna höjas på bred front. Inom dessa organisationer finns redan etablerade strukturer för utbildning. Det bör dock påpekas att denna folkbildning skall vända sig till allmänheten, och inte bara till organisationernas medlemmar. Det är enligt utredningen viktigt att höja kunskapsnivån inom informationssäkerheten hos allmänheten, både för att på så sätt öka den totala säkerhetsnivån i landet, men även för att allmänheten då blir en mer kvalificerad kravställare gentemot tillverkarna. En omfattande utveckling av standarder pågår inom informationssäkerhetsområdet. Utredningen redogjorde i sitt tredje betänkande, Säker information – förslag till informations- säkerhetspolitik (SOU 2005:42) för de standarder som finns och vilka som är under utveckling. Det är enligt utredningen angeläget att informationssäkerhet blir föremål för revision. För att en lägsta nivå för informationssäkerhet skall kunna införas för samhällsviktiga verksamheter måste säkerheten kunna kontrolleras. Utgångspunkter för organisation av informationssäkerhetsarbetet Det är inte minst viktigt att den som ansvarar för sådan verksamhet själv kan testa säkerheten i systemen. Ett sätt att underlätta för revision är att införa krav på eller uppmuntra till användandet av standarder. Standardiseringsarbete bör bedrivas så att revision, som kan visa på eventuella säkerhetsbrister, är möjlig. Inom näringslivet är många positiva till en ökad användning av standarder. Användandet av standarder ger en ökad möjlighet att redovisa vad som säljs och att den kvalitet som utlovas uppfylls, men påverkar inte hur en tillverkare eller leverantör uppnår denna. Några myndigheter har föreskriftsrätt som rör informationssäkerhet. Detta sker med stöd av lag och förordning. Några av dessa har dessutom tillsynsansvar inom sitt respektive föreskriftsområde. Enligt utredningens mening är det i princip en bättre ordning att föreskriftsrätt och tillsyn hålls åtskilda, även om nuvarande ordning för till exempel Säkerhetspolisen är väl motiverad. Utredningen har i det tredje delbetänkandet lämnat förslag till en förordning om vissa åtgärder för informationssäkerhet hos staten. Under denna förordning föreslås att en myndighet skall ges föreskriftsrätt inom området och att tillsyn skall utövas. Enligt utredningens mening bör denna tillsyn utövas av annan myndighet än den som ges föreskriftsrätten, se vidare kapitel 4. En ytterligare fråga som utredningen har pekat på är det särskilda ansvar staten har i fråga om informationssäkerheten i all samhällsviktig verksamhet, oavsett om den bedrivs i privat eller offentlig regi. För de myndigheter som bedriver verksamhet med stöd av sin föreskriftsrätt är det därför, enligt utredningens mening, önskvärt att denna inriktning tydliggörs. Detta förtydligande skulle även kunna utgöra ett stöd i myndigheternas egen verksamhetsplanering. Utredningen har inte djupare analyserat sektorsmyndigheternas ansvar inom informationssäkerhetsområdet. En sådan analys är ett nödvändigt underlag för regeringens löpande översyn av myndigheternas verksamhet. Utgångspunkter för organisation av informationssäkerhetsarbetet 3.1.7Förebyggande arbete och rådgivning Med föreskriftsrätt följer normalt också uppgiften att ge mer praktiskt inriktade råd och anvisningar. Enligt utredningens mening är det viktigt att berörda myndigheter har tydliga mandat och resurser att bedriva uppsökande och rådgivande verksamhet inom informationssäkerhetsområdet, särskilt mot bakgrund av att medvetenheten överlag är låg. Utredningen har i delbetänkande tre, Informationssäkerhet i och internationellt – en översyn (SOU 2004:32) föreslagit att den nationella strategin utvecklas till att omfatta förebyggande och förberedande insatser, liksom åtgärder som förstärker förmågan att upptäcka störningar och ingripa vid misstanke om brott. För några av de myndigheter som har föreskriftsrätt i frågor som berör informationssäkerhet kan det således finnas anledning att ytterligare förtydliga detta uppdrag och att tilldela resurser för uppgiften. Utredningen återkommer därför till dessa frågor i kapitel 4. 3.1.8Utredningens kommentarer till administrativa funktioner Utredningen har tidigare pekat på ett stort behov av samordning inom staten i frågor som rör gemensamma behov. Många av de informationssäkerhetsproblem som samhällets aktörer ställs inför förutsätter dessutom att det finns kompetens och förmåga att hantera tvärsektoriella frågeställningar. Vidare finns behov av att samordna och ta tillvara erfarenheter av internationella kontakter som olika myndigheter gör inom sina respektive sektorer. Utredningen är medveten om de svårigheter som kan uppstå när en myndighet skall försöka uppnå samordnade resultat med hjälp av andra sektorsmyndigheter. En sådan samverkan ställer alltid stora krav på inblandade aktörer. Alternativet, om problem uppstår, är då att regeringen själv tvingas ta den samordnande uppgiften, något som ställer stora krav på resurser till . Som en förebild vill utredningen därför peka på den samverkan som har genomförts inom ramen för skydd och beredskap mot svåra påfrestningar (utgiftsområde 7:5). Det faktum att varje myndighet har ett ansvar inom sin sektor motsäger således inte behovet av att någon eller några myndigheter Utgångspunkter för organisation av informationssäkerhetsarbetet dessutom tar ansvar för de gemensamma frågorna eller de tvärsektoriella frågeställningarna. Utredningen ser att en kraftsamling och en bättre samordning och överblick skulle kunna uppnås genom att sammanföra de nu nämnda administrativa funktionerna till en myndighet. Detta skulle sannolikt också öka regeringens möjligheter att bedriva en sammanhållen informationssäkerhetspolitik. De organisatoriska konsekvenserna redovisas i kapitel 4. En utgångspunkt för utredningen har varit att staten måste kunna säkerställa kompetens och förmåga att hantera såväl den egna kärnverksamheten som tvärsektoriella frågor i hela samhället. Staten bör därför ha en egen, kvalificerad teknisk kompetens inom informationssäkerhetsområdet utöver den grundnivå som normalt krävs inom sektorsmyndigheter. Den tekniska kompetensen kan bland annat användas till att testa och utveckla säkerheten i system som är viktiga för samhällets funktionalitet. Denna kompetens bör innehas och hållas uppdaterad av en statlig aktör för att staten till fullo skall kunna inrikta och utveckla den. IT-säkerhetsanalys kräver teknisk kompetens i sådan utsträckning att det förefaller irrationellt att flera aktörer skall ha denna funktion som deluppgift. En aktör bör ha ansvar för denna kompetens samt ha som specificerad uppgift att stödja andra som har behov. Den tekniska kompetensen bör stödja brottsbeivrande myndigheter för att till exempel göra kriminalteknisk analys i samband med brottsutredningar. Den tekniska kompetensen är inte minst viktig för att skall kunna hävda sig i internationella sammanhang där dessa frågor behandlas. Det kan till exempel vara i standardorganisationer, tekniska lösningar och regler för internationellt samarbete (till exempel inom EU:s institutioner och mellan myndigheter i medlemsstaterna) eller som underlag i politiska förhandlingar där tekniska frågor spelar en viktig roll (till exempel tekniska krav som förs in i EG-direktiv). Utgångspunkter för organisation av informationssäkerhetsarbetet 3.2.1Certifiering och evaluering av IT-säkerhet i produkter och system Samhället har ett ökat behov av certifierade produkter. Inom EU pågår en utveckling mot öppna system. Denna utveckling motiverar att det i finns möjligheter att få produkter certifierade och evaluerade, för att svensk industri inte skall vara beroende av utländska certifierings- och evalueringsorgan. Denna funktion bör fyllas av en statlig aktör såsom den gör i många andra länder. Det utesluter inte att det finns privata aktörer som kan utföra liknande uppgifter efter marknadens behov. Försvarsmakten har särskilda behov som bör beaktas, inte minst mot bakgrund av de krav som redan existerar och som utnyttjas i försvarssamarbete mellan vissa länder. För att produkter som certifieras i skall vara gångbara internationellt, vilket är en viktig del i utvecklingen, måste de certifieras av ett erkänt certifieringsorgan (CB, Certification Body). 3.2.2Signalskydd för hela samhället Det är viktigt att den organisatoriska placeringen av signalskydd inte exkluderar någon av de verksamheter som har behov av signalskydd utan att hela samhällets behov av stöd inom området tillgodoses med beaktande av olika verksamheters varierade behov av skyddsnivåer. Det är enligt utredningens mening viktigt att inom informationssäkerhetsområdet säkerställa kunskap och förmåga att kunna utföra dylika uppgifter. ansökte på EU- nivå om att Totalförsvarets signalskyddsavdelning (TSA) skall bli vad som på engelska kallas Appropriately Qualified Authority (AQUA, en instans som godkänner lösningar för nationellt bruk). För att kunna leva upp till de krav som ställs är det viktigt att har tillräcklig kompetens för uppgiften. Genom det ökade internationella samarbetet inom försvarssektorn ställs ökade krav från samarbetsparter på olika nationella funktioner, så som en (), det vill säga en organisation i landet som ansvarar för signalskyddsfrågor och en (), den organisation som är behörig att distribuera kryptonycklar. Utgångspunkter för organisation av informationssäkerhetsarbetet Försvarsmakten har ansvaret för signalskyddet och resurstilldelningen inom totalförsvarsområdet. Det har därför varit svårt för aktörer utanför totalförsvarsområdet att få gehör för sina krav. Ingen enskild aktör har det övergripande ansvaret för samhällets signalskydd. De medel som skall finansiera verksamheten är en del av utgiftsområde 6:2, materielplanen, vilken styr all materielanskaffning, drift och underhåll av all materiel inom Försvarsmakten. Det är med nuvarande ordning således fråga om en prioritering mellan olika materielprojekt inom totalförsvaret och inte en fråga om samhällets samlade behov av signalskydd. Detta förhållande bör enligt utredningens mening omprövas. Det är därvid viktigt att ha en helhetssyn på hur samhällets signalskyddstjänst regleras och organiseras. Frågor om föreskriftsrätt, kunskapsöverföring, kryptologisk kompetens, hantering av signalskyddsnycklar, utbildning med mera bör belysas mot bakgrund av hela samhällets behov av signalskyddstjänster, se vidare kapitel 4. Säkerheten i kritisk infrastruktur måste kunna kontrolleras utifrån de hot som framkommer i omvärldsanalyser och risk- och sårbarhetsanalyser. Detta motiverar att staten har kompetens för att kunna genomföra aktiv IT-kontroll. Kontrollen kan även omfatta administrativa aspekter då det visar sig att de tekniska bristerna är orsakade av bristande rutiner. Avgörande för om aktiv IT-kontroll skall kunna få genomföras av ett statligt organ när det gäller samhällsviktig verksamhet bör inte vara ägarförhållanden. Både statligt och privat ägda företag bör kunna kontrolleras när det handlar om samhällsviktig verksamhet. Myndigheten med ansvar för aktiv IT-kontroll skall inte bygga upp egna resurser för att åtgärda de brister eller fel som upptäcks. Den myndighet eller organisation som är systemägare, för de system som kontrolleras, skall ansvara för att detta upphandlas på marknaden. Det bör finnas en process för att godkänna företag för uppgiften att genomföra aktiv IT-kontroll. Detta godkännande skall innebära att samma metoder och kvalitet på kontrollen kan erhållas oberoende av vem som genomför den. Kriterierna för detta godkännande bör utarbetas av den myndighet som har ansvaret för Utgångspunkter för organisation av informationssäkerhetsarbetet att genomföra aktiv IT-kontroll. Detta gäller primärt kontroll av IT-säkerhet i samhällsviktiga system. 3.2.4Utredningens kommentarer till tekniska funktioner Utredningen förespråkar att de tekniska funktionerna aktiv IT- kontroll, teknisk analys38 och signalskydd sammanförs under en myndighet. Funktionerna är viktiga var för sig men bildar gemensamt dessutom en helhet med stora möjligheter till korsbefruktning. Genom att placera funktionerna på en och samma myndighet blir beslutsvägarna korta och kompetensen ökar genom samverkan mellan funktionerna. Funktionerna är dessutom i vissa fall beroende av varandra för optimal prestanda. Hög, specialiserad teknikkompetens motiverar samlokalisering. Om funktionerna placeras på olika myndigheter riskeras kraftsplittring och svårigheter med överföring av information mellan aktörer. Om dessa funktioner byggs upp på flera ställen riskerar kompetensen att bli urvattnad. Många kommer då att genomföra uppgifter som inte faller inom aktörens kompetensområde. Den myndighet som skall ha ansvar för de tekniska funktionerna bör enligt utredningen kunna hantera såväl gemensamma behov inom staten som tvärsektoriella frågeställningar i hela samhället och således inte enbart spegla totalförsvarets behov. Detta motiveras bland annat av den förskjutning som skett och pågår, från militära hot till frågor som rör den nationella säkerheten i vid mening, där brister i informationssäkerhet kan leda till omedelbara och omfattande konsekvenser för samhället. Det finns således anledning att öka insatserna och ändra prioriteringarna när det gäller informationssäkerhetsfrågor. Myndigheten bör tilldelas anslagsmedel för samtliga sina uppgifter. Tekniska frågor är en delmängd av informationssäkerhet och för att hantera helheten måste dessa kompletteras med en omfattande omvärldsanalys. Den myndighet som får ansvar för de tekniska funktionerna bör nära samverka med den myndighet som har ansvar för omvärldsbevakning inom informationssäkerhetsområdet. 38 Teknisk analys omfattar, utöver aktiv IT-kontroll, även bland annat tekniskt stöd vid kriminalteknisk analys, kodgranskning, teknisk rådgivning, evalueringsarbete, tekniskt arbete med standarder, internationellt tekniksamarbete med mera, samt den administrativa analys som krävs för fullgörandet av andra delar av teknisk analys. Utgångspunkter för organisation av informationssäkerhetsarbetet 3.3Samverkan mellan privat och offentlig sektor Utredningen har i tidigare betänkande redovisat de önskemål och möjligheter som finns till en fördjupad samverkan mellan privata och offentliga aktörer. Detta bygger på den gemensamma bild som vuxit fram under arbetets gång och som kan härledas till identifierade problem respektive behov inom informations- säkerhetsområdet, såväl nationellt som internationellt. Det finns således anledning att samverka kring gemensamma problem och att lära av varandras erfarenheter, som jämbördiga parter till ömsesidig nytta. Det kan handla om administrativa och tekniska lösningar eller att samverka för att öka medvetenheten i säkerhetsarbetet. I flera avseenden är också behoven och lösningarna sammanfallande för flertalet aktörer. Utredningen har mot denna bakgrund, i det tredje delbetänkandet, Säker Information – förslag till informationssäkerhetspolitik (SOU 2005:42), redovisat flera förslag till åtgärder som bland annat rör samverkan och kompetensförsörjning. Den tekniska utvecklingen har skapat nya möjligheter och därmed nya säkerhetsproblem. En rimlig slutsats är därför att de aktörer som skapar de nya möjligheterna också borde vara bäst på att lösa de säkerhetsproblem som uppstår. Eftersom utvecklingen huvudsakligen sker på marknaden är det också där som säkerhetslösningarna måste utvecklas. Staten bör i första hand utnyttja sina olika roller som kravställare på säkerhet i olika verksamheter, i stället för att genom olika regulatoriska åtgärder försöka precisera tekniska krav på informationssystem. Dessutom har såväl privata som statliga aktörer likartade problem och behov i den dagliga verksamheten, vilket också kan ligga till grund för utbyte av praktiska erfarenheter. Utredningen konstaterar dock att intresset för informationssäkerhet inte är jämnt spritt inom näringslivet eller inom den offentliga sektorn. Vidare framhölls i delbetänkandet att det borde vara möjligt att inom ytterligare sektorer eller områden utveckla samverkan i syfte att öka informationssäkerheten, särskilt om uppgiften att förebygga och förbereda inför tydliggörs för ytterligare myndigheter med sektorsansvar som involverar näringslivet som aktör. Utredningen har kunnat konstatera att olika representanter för näringslivet välkomnar en bredare samverkan kring informationssäkerhet till ömsesidig nytta men att denna samverkan måste vila på frivillighet. Staten måste hitta former för Utgångspunkter för organisation av informationssäkerhetsarbetet en dialog med näringslivet som får anpassas till varierande förutsättningar.