sou · GTB342 · 2006-01-01 00:00:00 — Detta förhållande har bland annat framhållits av (SOU 2003:30, sid. 85): Utredningen vill i dessa sammanhang peka på att i omvärlden prioriteras signalspaningsorganens verksamhet till skydd för IT- system mycket högt. Signalspaningsorganens möjligheter att spela en avgörande roll för skyddet mot kvalificerade IT-relaterade hot bedöms i dessa sammanhang som stora. I har signalspaning och signalskydd legat långt framme genom tidigare satsningar på olika informationssäkerhetsrelaterade områden (kryptologisk kompetens, IT-skyddsförmåga m.m.) Svensk signalspaning har traditionellt haft en mycket god kunskap i konsten att forcera kryptoskydd av olika slag. Inom signal- spaningen finns en hög kompetens vad gäller kryptologisk/ matematisk analys och dessutom en organiskt nedärvd metodo- logisk och institutionell förmåga att forcera kryptosystem. Allt detta förutsätter dock att signalspaningen förmår att dra till sig en kritisk massa av kompetenta individer och erbjuda en miljö som främjar det kreativa tänkande som denna hårt specialiserade och avancerade gren av tillämpad matematik kräver. Den största gruppen disputerade matematiker utanför universitets- världen finns vid . En förutsättning för att kunna rekrytera kompetenta matematiker är att de får arbeta med de bästa tänkbara arbetsredskapen. I dessa sammanhang handlar det om beräkningskraft, vilken kontinuerligt uppgraderar genom inköp av nya stordatorer. Detta har tidigare skett med 3–intervall . Den senaste uppgraderingen skedde 2001, vilken endast var en mindre uppgradering, och nästa är planerad först till 2007/08. Konstruktion och test av egna kryptosystem för att skydda landets information och forcering av kryptosystem är två sidor av samma mynt. För att kunna konstruera säkra system som bedöms kunna stå emot forcering av utländska organisationer med stora resurser krävs att ständigt själv söka forcera och analysera nya Dessa två sidor kräver samma kompetens och det är av avgörande betydelse att de genomförs integrerat, inom samma organisation eller på annat sätt under starkt samordnade former. För att hålla jämna steg med den snabba tekniska utvecklingen är det nödvändigt att ha tillgång till största möjliga beräkningskraft i form av mycket snabba datorer. Nya datorers beräkningskraft fördubblas i princip . Det är endast en av flera faktorer som påverkar förmågan. De nya säkerhets- hoten, i form av terrorism och grov avancerad och organiserad brottslighet, utnyttjar det globala nätet samt en alltmera tillgänglig och ständigt mera avancerad kryptoteknik för sin verksamhet. Därmed ökar också förekomsten – volymen – av krypterade meddelanden, eftersom alltfler aktörer söker dölja sin information. Utöver att och säkerhet riskerar att försämras, innebär volymökningen även att den egna forceringsverksamheten, som syftar till att förbättra de egna kryptosystemen, måste ta mindre tid. Det betyder i sin tur att den egna beräknings- kraften kontinuerligt måste öka. Takten är för låg, vilket kan försvaga förmågan. När det gäller kryptologisk kompetens och förmåga har haft en framträdande plats i . Det har betydelse för såväl inflytande på området i som för svensk krypto- och kommunikationsindustri. Den successivt, i förhållande till det ständigt växande behovet, försvagade beräk- ningskraften riskerar att påverka samlade kompetens på området och därigenom ställningen i . Mest allvarligt är emellertid att den svenska informationssäkerheten riskerar att försämras. Den pågående omstruktureringen av Försvarsmakten och de medföljande neddragningarna inom dess stödmyndigheter påverkar även . kommer resursbristen att drabba den nationella informationssäkerheten om inte frågan om finansiering av en nödvändig uppgradering av beräkningskraft kan lösas. För att tillvarata den kryptologiska kompetensen i signal- skyddssammanhang bildades den s.k. kryptologpoolen mellan och dåvarande Totalförsvarets signal- skyddsavdelning (TSA) vid Försvarsmakten. Avsikten var att till- varata den känsliga kunskap om angreppssätt som i sin forceringsverksamhet kunnat utveckla för att skydda svenska kryptosystem mot motsvarande angreppssätt från omvärlden. Det förtroende som etablerats genom en organisatorisk koppling och arbetsrotation har varit en förutsättning för överföringen av känslig signalspaningsinformation till den säkerhetsorienterade verksamheten vid TSA. Inom framför allt den tekniska informationssäkerheten har ett liknande förhållande som inom kryptoforcering och signalskyddet börjat växa fram, det vill säga en tydlig koppling mellan signal- spaningsförmåga och förmågan att skydda egna system. Som framgår av tidigare resonemang har signalspaning en mycket central roll såväl för offensiv förmåga (underrättelse- inhämtning) som för defensiv förmåga (signalskydd och IT- säkerhet) vilket inte alltid framgår av den offentliga debatten då verksamheten omgärdas med mycket hög sekretess. Den offensiva aspekten är avgörande för den defensiva förmågan, på samma sätt som kryptoforceringen är för det traditionella signalskyddet. Utvecklingen av den svenska signalspaningen med relevans för detta område hänger nära samman med de satsningar som har genomförts under för att ta del av den ökade trafiken mellan datorer. Syftet har framförallt varit att skapa ett bättre strategiskt underrättelseunderlag för att stödja till exempel svenska internationella insatser, bekämpningen av terrorism och övriga transnationella hot. En positiv bieffekt av denna kunskap är att den har visat sig kunna ge en unik möjlighet till ett ökat skydd mot de mera teknikspecifika IT-relaterade hoten. Vad det här handlar om är att signalspaningen först och främst kan ge underrättelser avseende hot och aktörer som agerar mot svenska informationssystem. Men en minst lika viktig del är den kunskap om brister i olika tekniska informationssystem, som erhålls i den egna underrättelseverksamheten genom signalspaning. Denna kunskap måste, på samma sätt som forceringskunskapen nyttjas för signalskyddet, kunna användas till skydd för samhällsviktiga system. 8.9Utredningens slutsatser om kompetensfrågor Säkerhetsmedvetandet har höjts i näringsliv och myndigheter liksom hos enskilda IT-användare. En rad åtgärder måste dock, enligt utredningen, vidtas för att ytterligare förbättra säkerhetsmedvetandet och öka kunskaperna om informa- tionssäkerhet. Det bör bland annat ske inom ramen för utbild- ningssystemet. Lärarutbildningarna måste utvecklas så att kunskap om och förståelse för IT- utvecklingen i samhället blir obligatorisk. Särskilt med fokus på de möjligheter och problem som finns kring IT i skolan, både som läromedel men även som administrativt hjälpmedel och redskap för kommunikation. Säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar, måste byggas in i skolans grundläggande data- och IT-utbildning i såväl grund- som gymnasieskolan. En betydande del av utbildningsbehovet måste tillgodoses inom högskolans ram. Kopplingen måste stärkas mellan utbildning och forskning. Informationssäkerhet bör utgöra en baskunskap för många yrkesgrupper, alltifrån jurister, samhällsvetare, lärare och ekonomer till tekniker. Utredningen förordar att frivilliga men rekommenderade kurser i informationssäkerhet på 3–5 poäng införs i bland annat utbildningarna till civilingenjör, civilekonom, jurist och samhällsvetare, samt motsvarande i efterutbildningen av läkare. För systemvetare och dataingenjörer bör en sådan kurs vara obligatorisk med möjlighet till ytterligare fördjupning. har alltfler företag inrättat funktioner som informa- tionssäkerhetschef. Motsvarande behov av ansvariga tjänster finns inom myndighetsvärlden. Utredningen anser att det finns skäl att stimulera till etablering av kvalificerad utbildning i informations- säkerhet på magisternivå för att bland annat tillgodose efterfrågan av tjänster inom området. Sådan magisterutbildning planeras enligt vad utredningen erfarit bland annat starta vid i . Magisterutbildning med inriktning mot det kriminaltekniska området bedrivs vid . De växande behoven av säkra informationssystem ställer krav på ökade resurser för forskning inom informationssäkerhet. Kris- beredskapsmyndigheten har ett särskilt ansvar inom forsknings- området för att stimulera, initiera och delvis även finansiera forskning inom området informationssäkerhet. Det gäller både för forskning inom det allmänna universitets- och högskoleområdet och inom ramen för Försvarshögskolans och Totalförsvarets Detta ansvar behöver förtydligas ytterligare. Att säkra rikets ledning och tillgången till samhällsviktig infra- struktur ställer stora krav på säkerhet i informationshanteringen. Staten måste därför vara beredd att engagera sig i att bygga upp en forskarkompetens inom området informationssäkerhet. Forsk- ningsbaserad kunskap bygger på långsiktighet och uthållighet i projektsatsningar och i kompetensutveckling bland berörda forskare. Mångfald bland utförare är en grundläggande förutsätt- ning för en dynamisk kunskapsutveckling. bör utveckla ett tematiskt område kring informationssäkerhet. Forskargrupper som erhåller anslag skall veta att satsningen är flerårig. Försvarshögskolans samarbete med nationella högskolor och universitet kan bidra till att utveckla utbildningen inom informa- tionssäkerhet. En utbildning i informationssäkerhet skulle kunna ske med en praktisk inriktning för certifiering av nyckelpersonal inom myndigheter och företag. skall verka för samordning mellan militär och civil, respektive mellan nationell och inter- nationell forskning. Vid avdelningen för försvarsanalys bedrivs studier och forskning inom området informationssäkerhet på olika systemnivåer. har kunskapsutveckling skett inom området säkring av viktig infrastruktur, där bland annat frågor om informationssäkerhet får en alltmer framträdande roll. Forskningen inom IT-säkerhet har tre huvudinriktningar: offensiv inriktning, defensiv inriktning och design av säkerhetsarkitektur. Utredningen har betonat vikten av samarbete mellan offentlig och privat sektor. Sics fyller tillsammans med övriga institut en mycket viktig funktion för att vara en avancerad brygga mellan näringslivets forskningsbehov, statens behov av att främja forsk- ningen och forskarvärlden inom IT-området. Utredningen anser att institutens forskning borde få en inriktning på projekt inom området informationssäkerhet EU initierar och finansierar en omfattande forskning inom informationsteknikens område. Förberedelserna för det sjunde utvidgade ramforskningsprogrammet har påbörjats. tionssamhällets teknik (IST) inom det sjätte ramforsknings- programmet har haft en budget på . Inom IST finns fyra huvudprioriteringar: för det första informationssamhällets teknik som berör samhälleliga och ekono- miska utmaningar, för det andra teknik för kommunikation, hantering av information och programvara, för det tredje kompo- nenter och mikrosystem och för det fjärde teknik för kunskaps- hantering och intelligenta gränssnitt. Främst det första området berör informationssäkerhet. Antalet projekt är mycket stort. Förebyggande insatser i säkerhetsforskning (Preparatory Action on , PASR) är ett förberedande forsknings- program . Det har i sin slutliga utformning fått en bred ansats på säkerhet. I projekten som bedrivs ingår bland annat Optimerad säkerhet i och skydd av nätverkssystem samt Kompa- tibla och integrerade informations- och kommunikationssystem. Joint research Centre (JRC) är ett generaldirektorat inom Kommissionen som bedriver uppdragsforskning m.m. JRC består av sju olika institut. Inom ramen för dessa bedrivs bland annat program på temat . Forskningen om programmet berör bland annat Digitala identiteter och Interdependens och risk i informationsinfrastrukturen. bör ha en hög ambition att delta såväl i EU:s policy- skapande arbete för att inrikta forskningen inom informations- säkerhetsområdet och som genomförare av större forsknings- projekt inom området. Det är en angelägen uppgift både för och myndigheter som Krisberedskapsmyndig- heten och liksom för svenskt näringsliv och högskole- och universitetsvärlden att delta i arbetet och få del av de betydande forskningsresurser som EU kommer att satsa inom området informationssäkerhet. Det kräver också ett utvecklat samarbete med partners i andra EU-länder. Kryptering har länge varit en avancerad disciplin, som kräver mycket hög kompetens. Till skillnad från tidigare krävs även hög kompetens inom data. Med IT-revolutionen har kryptering blivit en angelägenhet långt utanför det militära området. Näringsliv och myndigheter måste ha hög kompetens vad gäller datasäkerhet. Däremot är det inte nödvändigt att man har egna Ur kompetenssynpunkt räcker det dock inte med några få personer med hög kompetens inom kryptologi. För att stimulera tillväxten av särskild kompetens för samhället och de större företagen kan man exempelvis sponsra eller finansiera doktorandtjänster vid universiteten. Samhället har, enligt utredningens mening, låg beställarkompetens för informationssäkerhet, vilket utgör ett grundläggande problem. Staten har ett ansvar för att utveckla beställarkompetensen. Tillgång till certifierade produkter enligt Common Criteria eller för tjänster enligt Ledningssystem för informationssäkerhet skulle avsevärt underlätta upphandling av informationssäkerhet. Det krävs också en satsning på fortbildning i upphandlingsteknik inom området informationssäkerhet, som en del i en integrerad krav- specifikation vid upphandling. Särskild uppmärksamhet bör ägnas kompetensen i avtalsfrågor. Revision av informationssäkerhet bör utvecklas i flera former, dels som en del av den årliga revisionen, särskilt vad avser redo- visnings- och affärssystem, dels genom sårbarhets- och riskanalyser och tester av informationssäkerheten samt genom tillämpning av standarden Ledningssystem för informationssäkerhet, . Informationssäkerhet är alltid en ledningsfråga. Behovet av fortbildning gäller även den verkställande nivån och styrelsenivån i myndigheter och företag. Varje myndighet, företag, kommun, landsting eller annan organisation har ett eget ansvar för att tillse att adekvat fortbildning genomförs för alla medarbetare, som har uppgifter inom området informationssäkerhet. Signalspaningskunskap som skydd för IT-system Signalspaningen har betydelse för möjligheten att skydda samhälls- viktiga system mot kvalificerade IT-relaterade hot. Utredningen vill peka på att det finns kvalificerade IT-relaterade hot som med den framväxande globala kommunikationsstrukturen och den nya IT-tekniken i en förlängning också skulle innebära ett hot mot rikets säkerhet. Dessa hot utgör självfallet också ett hot mot många Var gränsen går mellan allmänna hot och hot mot rikets säkerhet är inte absolut. Ett av de främsta medlen, förutom det förebyggande arbetet, för att möta de kvalificerade IT-relaterade hoten är att fokusera vår underrättelsetjänst emot dem. Detta understryks också i reger- ingens hittillsvarande strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende system. För att för- hindra allvarliga informationsattacker mot bör under- rättelse- och säkerhetstjänstens arbete förstärkas och delgivningen av erfarenheter underlättas. Signalspaningens möjligheter att spela en avgörande roll för skyddet mot kvalificerade IT-relaterade hot bedöms som stora. När det gäller kryptologisk kompetens och förmåga har haft en framträdande plats i . Den relativt sett successivt försvagade beräkningskraften genom brist på resurser för inköp av ny snabb datorkraft riskerar dock att påverka samlade kompetens på området. Signalspaningen kan först och främst ge underrättelser avseende hot och aktörer som agerar mot svenska informationssystem. En lika viktig del är att kunskap om brister i olika tekniska informa- tionssystem erhålls i den egna underrättelseverksamheten genom signalspaning. Denna kunskap bör kunna användas till skydd för samhällsviktiga system. 9 Förslag till nationell strategi Utredningen har i kap 3 och 4 pekat på behov, möjligheter och problem inom informationssäkerhetsområdet och konstaterar att bilden av dagens brister och hot är mycket komplex och därmed även behovsbilden. För att möta denna komplexa behovsbild behövs enligt utredningen en sammanhållen politik inom informations- säkerhetsområdet, baserad på en strategi som kan omfattas av alla aktörer, privata som offentliga. Det är nödvändigt att etablera vissa principer som kan ligga till grund för beslut om ansvarsfördelning och åtgärder i samhället. Den första principen handlar om hotets ursprung och den andra principen om hotets möjliga konsekvenser. Enligt utredningens mening innebär den första principen att ansvaret för hanteringen av de flesta fall av administrativa och tekniska brister måste inrymmas i respektive verksamhetsansvarigs eget åtagande, vilket också följer av ansvarsprincipen. Därmed inte sagt att det offentliga åtagandet skulle utesluta hantering av konsekvenserna av dylika brister. Vissa förebyggande åtgärder, som avser det privata området, omfattas också. Helt klart är dock att det kan vara svårt för enskilda och företag att skydda sig mot aktörsberoende, antagonistiska hot. Dessa kan mycket snabbt komma att involvera staten, som måste utveckla en förmåga att hantera, och därmed förebygga, störningar, särskilt när det gäller samhällsviktig verksamhet. Var gränsen mellan det privata och det enskilda går är dock mycket svårt att slå fast. Den andra principen innebär att ju svårare konsekvenser ett hot eller en brist kan leda till, desto mer sannolikt att staten kommer att involveras i någon form. I det statliga åtagandet bör därför ingå frågor som rör den nationella säkerheten i vid mening, till exempel krishantering, brottsbekämpning, antiterrorism eller totalförsvar. Med dessa starkt förenklade principer för arbets- och ansvars- fördelning inom informationssäkerhetsområdet som utgångspunkt Förslag till nationell strategi kan fyra uppgifter eller handlingslinjer urskiljas, uppgifter som flertalet aktörer måste axla i en eller annan form, nämligen uppgiften att förebygga, förbereda, förhindra respektive att hantera allvarliga störningar. Två av dessa mål eller uppgifter – förhindra och hantera – ingår redan i regeringens strategi (prop. 2001/02:158). Utredningen kan inte lösa problemet med informationssäkerhet helt enkelt för att det inte finns någon slutlig lösning. Därtill är problemet alldeles för brett och dessutom under ständig föränd- ring. Utredningen ser dock att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med problem som rör informationssäkerhet. En av utredningens huvuduppgifter är därför att se utvecklingsmöjligheter i den av regeringen angivna strategin för informationssäkerhet. Regeringen har lagt fast den övergripande målsättningen att upprätthålla en hög informationssäkerhet i hela samhället, som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. Strategin för att nå detta mål, liksom för övrig krishantering i samhället, måste utgå från ansvars- principen, likhetsprincipen och närhetsprincipen. Utredningen instämmer i regeringens bedömning och har därför inte funnit skäl att föreslå ändring i dessa grundläggande förhållningssätt. Utredningen menar att den av regeringen tidigare redovisade strategin (prop. 2001/02:158) i grunden är riktig. Utredningen har dock funnit anledning att konkretisera och fördjupa den över- gripande strategin i flera avseenden. I regeringens strategi ingår även vissa organisatoriska åtgärder. Utredningen har tagit fram underlag för utvärdering och återkommer till dessa frågor i slutbetänkandet. Utredningen framhåller att en strategi för informationssäkerhet måste kunna inrymma många aspekter, tidsperspektiv, mål och medel eftersom den syftar till att sammanfatta en handlingslinje på lång sikt, en strategi som ska kunna ligga till grund både för privata och offentliga aktörer. En ökad informationssäkerhet måste därför bygga på att regeringen i en nationell strategi lyckas fånga in fråge- ställningar som kan omfattas av flertalet aktörer och intressenter. Mot bakgrund av de resonemang som redovisas i kapitel 3 och 4 föreslår utredningen en strategi som innefattar att: Förslag till nationell strategi 1.utveckla position inom EU och i internationella sammanhang, 2.skapa förtroende, trygghet, säkerhet, och öka integritets- skyddet, 3.främja ökad användning av IT, 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem, 5.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen, 6.förstärka förmågan inom området nationell säkerhet. I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet, 8.fokusera på samhällsviktig verksamhet, 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd, Utredningen har valt att inledningsvis betona att de europeiska och de internationella sammanhangen är av strategisk betydelse. Informationssäkerhet är ett gemensamt, internationellt problem och de strategiska lösningarna måste därför utvecklas i samverkan med andra länder, både inom EU och i internationella organ. En bred tillämpning av riktlinjer är därvid ett viktigt steg. Förmågan att samordna arbetet behöver utvecklas, dels för att fullfölja svenska positioner och åtaganden, men också för att bättre ta tillvara de erfarenheter som alla andra internationella aktörer gör. Den andra och tredje punkten är nationell till sin karaktär i den meningen att ansvar, befogenheter och resurser redan finns att förfoga över. Utredningen vill betona att den ökade informations- säkerheten skall stödja en svensk utveckling av näringsliv och offentlig sektor och skall främja en demokratisk utveckling och ökad trygghet för medborgarna. Detta innebär att förtroendet för informationsförsörjning måste kunna upprätthållas, även när den sker elektroniskt. En väl fungerande informationsförsörjning bygger på att informationssäkerheten kan utvecklas, vilket i sin tur är en förutsättning för ökad användning av IT. Detta är också en förutsättning för tillväxt, konkurrens och utveckling. I regeringens övergripande strategi ingår formuleringen att kunna förhindra och hantera störningar i samhällsviktig verk- Förslag till nationell strategi Utredningen menar att i strategin bör tydliggöras vikten av förebyggande och förberedande åtgärder, eftersom detta stärker förmågan att förhindra och effektivt kunna hantera störningar och konsekvenserna som kan följa därav. Vidare betonar utredningen att begreppet hantera måste inkludera förmågan att i olika former ingripa och agera i samband med störningar, till exempel genom brottsbekämpning. Till säkerhetsbegreppet hör att utvärdera och återföra erfarenheter för en ökad robusthet och säkerhet i framtida verksamhet. Dessa kompletteringar skall klargöra att informations- säkerhetsarbete måste omfatta alla skeden och flera aktörer. Det innebär att den förebyggande uppgiften och de förberedande åtgärderna måste bli en del av många myndigheters sektorsansvar och instruktionsmässiga uppgift. Utredningen föreslår vidare att regeringens strategi i denna fråga preciseras till att avse störningar i informations- och kommunikationssystem. Frågan om priorite- ringar av samhällsviktig verksamhet föreslås behandlas som en särkilt punkt i strategin. Regeringen har tidigare konstaterat att för att förhindra allvarliga informationsattacker mot svenska intressen bör underrättelse- och säkerhetstjänsternas arbete förstärkas. Utredningen delar denna uppfattning men framhåller att flera aktörer måste kunna få del av underrättelseinformationen för att kunna beakta denna i sin eget säkerhetsarbete. Utredningen är väl medveten om de restriktioner och svårigheter som ligger i uppgiften men framhåller ändå att bearbetning inriktning och delgivning av underrättelse- information måste utvecklas i syfte att ge underlag för alla aktörer med uppgifter inom informationssäkerhetsområdet.