sou · GTB342 · 2006-01-01 00:00:00 — Som utredningen pekat på i tidigare avsnitt är informationssäkerhet en frågeställning som har stor bredd och komplexitet och som måste involvera alla aktörer i samhället såväl privata som offentliga. Ett framgångsrikt säkerhetsarbete bygger i hög grad på hur pass väl olika grupper i samhället tar till sig problembilden, vilka åtaganden som respektive aktör är beredd att göra samt hur väl en samverkan inom och mellan dessa grupper av aktörer kan utvecklas. Informa- tionssäkerhet handlar, enligt utredningens mening, i hög grad om hur samhället kan tillgodogöra sig den kapacitet som redan finns gripbar i form av människor, kompetens eller investeringar och är således inte bara en teknisk fråga eller ens enbart en fråga om ny informationsteknik och dess möjligheter. I utredarens uppdrag ingår att utarbeta förslag till hur den svenska informationssäkerheten kan förbättras. I denna uppgift ingår därför att överväga vad den enskilda medborgaren kan göra, vad som bör falla på enskilda företag och som kan lämnas till marknaden respektive vad som faller inom det offentliga åtagandet. I uppgiften har utredningen även tolkat in att överväga vilka admi- nistrativa respektive tekniska åtgärder som kan aktualiseras liksom vilka olika former av administrativa, ekonomiska och informativa styrmedel som bör användas i sammanhanget. Det är med ett visst beklagande som utredningen tvingas konsta- tera att övervägandena i detta delbetänkande, trots motsatta ambi- tioner i sakfrågorna, volymmässigt får en slagsida mot över- väganden som rör det offentliga agerandet, särskilt det statliga, och de tekniska aspekterna av informationssäkerhet. Detta har skapat ett visst dilemma för utredningen. De överväganden och förslag som utredningen redovisar i det följande måste därför läsas i ljuset av utredningens direktiv, som i flera fall är direkta beställningar som rör statens eget agerande och som därför nödvändiggör en fördjupning av resonemangen. Detta bör inte uppfattas som ett Behov av strategi och konkreta åtgärder utryck för var utredningen anser att tyngdpunkten i informations- säkerhetsarbetet bör ligga. Mot denna bakgrund har utredningen övervägt vilka behov som kan finnas för en utveckling av regeringens strategi för informa- tionssäkerhet samt vilka konkreta åtgärder som bör genomföras. En sådan strategi för informationssäkerhet ställer krav på långsik- tighet, beslutskraft i ett kort perspektiv och en operativ förmåga i realtid. En ökad informationssäkerhet måste därför bygga på en nationell strategi som kan omfattas av flertalet aktörer och in- tressenter som alla arbetar efter tydliga, övergripande målsättningar. Utredningen föreslår att den nationella strategin utvecklas enligt följande: 4.1Det långsiktiga perspektivet: Strategi I utredningens andra delbetänkande redovisades att en nationell informationssäkerhetsstrategi bör ha ett långsiktigt framåtblickande perspektiv. Strategin kan ligga till grund för åtgärder , vilka kan förnyas utifrån ändrade omständigheter. Strategin vänder sig till myndigheter, näringsliv och organisationer, men även till enskilda användare, då de flesta är anslutna till olika lokala, nationella eller internationella informationstjänster. I det följande redovisar utredningen några utgångspunkter som bör ligga till grund för det fortsatta arbetet. Utredningen föreslog i sitt andra delbetänkande att en strategi för informationssäkerhet bör inriktas mot att kunna: ligga till grund för politiska beslut och prioriteringar inom infor- mationssäkerhetsområdet och förbättra samordningen av sam- hällets informationssäkerhetsarbete bidra till att reducera sårbarheten och uppnå en acceptabel risk- nivå i samhällets olika informationssystem och kritiska infra- struktur öka och fördjupa tilliten till informationstekniken, ligga till grund för trygg elektronisk kommunikation i privat och offentlig sektor samt säkra pålitliga nättjänster från offentlig sektor. De överordnade målen för informationssäkerheten sammanfattades i några punkter, utifrån ett verksamhetsorienterat perspektiv: Behov av strategi och konkreta åtgärder Infrastruktur: Samhällets infrastruktur för informationstjänster skall vara robust och säker i förhållande till de funktioner den utför. Kritiska informationssystem skall vara så säkra att en skada inte får större verkningar än som kan anses acceptabelt. Verksamhet: Det skall byggas en säkerhetskultur runt an- vändandet och utvecklingen av IT i och informations- säkerhet skall vara en central faktor vid användandet av IT. Medborgare: skall ha en allmänt tillgänglig samhällsinfra- struktur för elektroniska signaturer, autentisering av avsändare av elektronisk information samt säker överföring av känslig information. Styrning: Regelverk som berör informationssäkerhet skall till- handahållas och vidareutvecklas på ett samordnat och för an- vändarna enkelt och översiktligt sätt. Utbildning: Det skall finnas möjligheter till utbildning inom informationssäkerhetsområdet för alla målgrupper. Agerande: Den informationssäkerhet som byggs upp skall stödjas av möjligheter till ingripande vid hot, incidenter, angrepp eller brottslighet som rör IT (till exempel dataintrång). Informationssäkerhetsproblematiken omfattar ett stort antal aktörer och intressen, bland annat de som har informationssäkerheten som affärsidé och de som har den som utpekat ansvar. Informations- säkerheten är inte ett problem som kan lösas en gång för alla. Den tekniska utvecklingen bidrar till detta på åtminstone två sätt. Det finns en stor potential i den tekniska utvecklingen. Ökad till- gänglighet till tekniken förändrar i grunden sättet att hantera uppgifter och bedriva verksamhet. Detta är till stor del en positiv aspekt av utvecklingen och kan innebära ökad kostnadseffektivitet och tidsbesparing men leder till ständigt ändrade om- ständigheter för informationssäkerheten. Det är ett känt faktum att ökat beroende av IT leder till nya sårbarheter. Den tekniska ut- vecklingen fortskrider även på den antagonistiska sidan och nya datavirus och angreppssätt utvecklas i snabbare takt än skyddet mot dem. Av dessa anledningar måste arbetet med att öka infor- mationssäkerheten i samhället ske i en kontinuerlig process enligt långsiktiga målsättningar. Arbetet måste med nödvändighet vara tekniskt kopplat. Dock bör ett oberoende i förhållande till specifik teknik eftersträvas, eftersom åtgärder annars riskerar att snabbt bli föråldrade. Behov av strategi och konkreta åtgärder Elektronisk kommunikation medför alltså både sårbarheter och ömsesidiga beroenden. Den egna säkerheten inom en organisation eller ett företag är avhängig av att man har hög säkerhet i den elektroniska kommunikationen med externa aktörer. Med elektronisk kommunikation ökar beroendet av att motparten har tillbörlig säkerhet i sina interna system. Ökad informationssäkerhet kan oftast uppnås endast om säkerhetsmedvetandet höjs hos aktörer på samtliga nivåer i samhället och att insikten att inget system är starkare än sin svagaste länk sprids. Det finns ett behov av att stärka intresset för informationssäkerheten i samhället hos alla inblandade parter. Staten kan genom en strategi stödja de drivkrafter som redan finns i samhället för att stärka informationssäkerheten. Endast staten kan ha ansvar för helhetsbilden och i det ansvaret ligger även att för- medla helhetsbilden samt att fastställa grundläggande krav och regler för informationssäkerhetsarbetet i samhället, såväl inom offentlig som privat sektor. Enligt regeringens översiktliga strategi enligt proposition 2001/02:158 Samhällets säkerhet och beredskap skall störningar i samhällsviktig verksamhet kunna förhindras eller hanteras. Vidare bör underrättelse- och säkerhetstjänstens arbete förstärkas. Utredningen anser att detta är en riktig utgångspunkt men att det finns motiv för en fördjupning och tillägg till det skrivna: störningar i samhällsviktig verksamhet bör kunna förebyggas och förberedelse för att minimera konsekvenserna bör bedrivas. Ett sådant tillägg lägger ytterligare fokus på det förebyggande arbetet. Att förebygga innebär ett proaktivt arbete för att, genom till exempel goda säkerhetsrutiner, såväl tekniska som administrativa, undvika allvarliga incidenter. I begreppet förbereda ligger beredskapen att hantera incidenter när de ändå inträffar. Förberedelserna bör vara av såväl teknisk som administrativ karaktär. Det är en i samman- hanget viktig insikt att någon absolut säkerhet, i bemärkelsen att incidenter garanterat helt kan undvikas, inte är möjlig att uppnå. Ett effektivt proaktivt arbete kan dock bidra till att avsevärt minska risken för och konsekvenserna av allvarliga incidenter. Det är nödvändigt att kunna hantera effekterna av en incident, likväl som att ha en god beredskap. För att förhindra allvarliga informations- attacker mot svenska intressen bör underrättelse- och säkerhets- tjänsternas arbete förstärkas och informationen bearbetas, så att relevant information kan delges berörda. Möjligheten att delge informationen är här central. Detta innebär att även myndigheter Behov av strategi och konkreta åtgärder som inte får del av underrättelser bör kunna delges relevant information för att på ett mer effektivt sätt kunna förebygga och förhindra incidenter. Det är dock viktigt att påpeka att denna typ av information kan vara känslig. Det är därför nöd- vändigt att det utarbetas ett system för att avidentifiera informa- tion så att inte eventuella källor riskerar att röjas samt att tillse att information inte hamnar hos obehöriga. Slutligen måste begreppet hantera omfatta den förmåga att agera och ingripa som skall finnas när brott begås. Det är därför viktigt för allmänhetens förtroende att Polisen har tillräckliga resurser och kompetens att ingripa och utreda brott inom informationssäkerhets- området. Även det författningsmässiga stödet behöver utvecklas. Inom EU pågår ett arbete som syftar till att bland annat krimi- nalisera vissa intrång i informationssystem, systemstörningar etc. Utredningen återkommer till den internationella dimensionen i kapitel 5. 4.1.2Innehåll i en nationell strategi för informationssäkerhet Utredningen anser att följande moment bör ingå i en nationell strategi för informationssäkerhet: En grundläggande utgångspunkt i strategin bör vara att förhålla sig till position i olika internationella sammanhang. Informa- tionssäkerhet är en förutsättning för att skall kunna leva upp till målsättningen att vara ett informationssamhälle för alla. position skall upprätthållas genom ett starkt internationellt engagemang och deltagande i tongivande forum inom EU, och sektorsamarbeten. Bristande säkerhet i samhällsviktiga system kan få till följd att förtroendet för som ledande IT-nation minskar. Ett minskat förtroende kan i förlängningen bidra till att genomslag i internationella fora försämras. har inom EU ett gott rykte beträffande informationssäkerhet. Det medför att vi också kan agera inom andra områden och få ett större genomslag för våra idéer och förslag. goda rykte inom informationssäkerhet har bland annat kommit till uttryck genom att blivit tillfrågat om att evaluera Behov av strategi och konkreta åtgärder olika säkerhetsprodukter för EU. En förutsättning för att ska bibehålla sitt goda anseende är att vi har en långsiktig strategi för vårt arbete. Det är också viktigt att har ett regelverk som förhåller sig till på ett sådant sätt att det är lätt att tillämpa och följa. Nationellt är det viktigt att det skapas ett förtroende för den nya tekniken så att medborgarna känner att de kan använda den med bibehållen trygghet, säkerhet och integritet. Detta kan ske genom utbildning och informationsspridning. Syftet är att öka medvetandet om de risker, men också om de möjligheter till skydd, som finns. Skulle förtroende saknas eller vara bristfälligt kommer inte med- borgare, näringsliv eller offentlig sektor att använda sig av informa- tionssystem varvid tillväxten och utvecklingen riskerar att hämmas. En grundläggande förutsättning för förtroende är att det författ- ningsmässiga skydd som finns kan upprätthållas även när infor- mation hanteras i digital form. Den trygghet, säkerhet och integritet som lagstiftaren haft som utgångspunkt måste kunna garanteras. Främjande av användning av IT har som IT-politisk målsättning att vara ett informations- samhälle för alla. Under en rad av år har staten varit initiativtagare till en bred utbyggnad av infrastrukturen för att främja användandet av nya tekniska tjänster. Regionalpolitiska motiv och strävan efter tillväxt har drivit denna utveckling framåt. har haft ett framgångsrikt näringsliv inom IT-branschen vilket har bidragit till att vi är en ledande IT-nation. Det är nu viktigt att främja använd- ningen av IT på bredden, vilket ökar förutsättningarna för tryggad sysselsättning och bibehållen välfärd. Dessa åtgärder är ett ansvar som den offentliga sektorn delar med näringslivet. är inom informationssäkerhetsområdet en liten nation med begränsade resurser. Vi har inte råd att bygga parallella strukturer för att lösa gemensamma problem, då det skulle kunna leda till Behov av strategi och konkreta åtgärder resursbrist inom ett antal viktiga områden. Det är nödvändigt att näringsliv och offentlig sektor samverkar för att bäst utnyttja resurser. Den offentliga sektorn kommer att ha behov av att kunna utöva tillsyn, upprätthålla rättsstaten och att tillgodose sina egna behov som konsument av informationssäkerhet. Det kommer också att finnas åtskilliga områden där ett samutnyttjande av vissa kom- petenser mellan näringslivet och offentliga sektorn är den mest rationella lösningen. En orsak till att informationssäkerheten generellt sett inte ligger på en acceptabel nivå är att tillräcklig kunskap saknas om de risker och hot som förekommer. Detta är också ett problem när det gäller medborgarnas användning av olika IT-tjänster. Informationssäker- het är inget som automatiskt ingår när ett IT-system upp- handlas eller när man köper en persondator. Ofta måste beställaren själv precisera vad som skall tillföras för att erhålla en acceptabel säkerhetsnivå. Här har hela samhället en uppgift att, genom att medvetandegöra och stimulera kompetensutveckling, visa på riskerna men också påvisa vilka möjligheter som finns att åtgärda proble- men. Detta är av stor vikt inom verksamhet som kan betraktas som samhällsviktig. Även för den enskilda medborgaren är det viktigt att åtgärder vidtas. En vanlig hemdator utsätts för de risker som förekommer inom dagens IT-värld. När samma dator sedan används för att till exempel besöka en 24-timmarsmyndighet, kan den utgöra ett hot mot de större systemen. En del av den samhällsviktiga verksamheten är den kritiska infra- strukturen. Trots att begreppet samhällsviktig verksamhet inte är klart definierat kan utredningen konstatera att just den kritiska infrastrukturen inom bland annat el, tele, betalningssystem och vattenförsörjning är samhällsviktiga verksamheter. Dessa system är så vitala för att samhället skall kunna fungera att det inte är acceptabelt att de skulle kunna slås ut av en IT-relaterad incident. Verksamhet som syftar till att skydda infrastrukturen benämns skydd av kritisk infrastruktur, CIP (Critical Infrastructure Protection). Behov av strategi och konkreta åtgärder Skyddet av de fysiska delarna av informationssystemen inom dessa infrastrukturer benämns skydd av kritisk informationsinfrastruktur, CIIP (Critical Information Infrastructure Protection). Med ett bredare uttryck kan detta kallas skydd av samhällsviktig verksam- het. Exempel på sådant är informationssystemen i elförsörjningen som styr hur elen distribueras i landet. Statens roll är flerfaldig. Det åvilar staten att lösa uppgifterna att förebygga, förhindra och hantera IT-relaterade incidenter som är av sådan omfattning att det inte är rimligt att begära att drabbade själva skall vidta fullständiga åtgärder. För att det skall vara möjligt måste staten vara den som har det övergripande perspektivet och ansvar för att korrekt omvärldsbevakning kontinuerligt tas fram. Staten måste också skapa ett organisatoriskt system för informa- tionssäkerhetsarbetet som garanterar kontinuitet och kvalitet. Utred- ningen återkommer till detta i sitt slutbetänkande. Uppgiftsområden för offentliga organ inom informationssäkerhet En uppgift för offentliga organ bör vara att upptäcka och identifiera säkerhetsbrister i samhällsviktig verksamhet. Det kan ske genom sårbarhets- och riskanalyser för att upptäcka och identifiera för- hållanden som kan utlösa allvarliga störningar. Informations-, utbild- nings- och övningsinsatser som bygger på resultatet av sådana analyser är angelägna. Stor öppenhet bör tillämpas beträffande resultatet av sårbarhets- och riskanalyser för att öka medvetenheten om eventuella allvarliga brister och göra det möjligt att vidta säkerhetsförbättrande åtgärder. Underlag för sårbarhets- och riskanalyser måste dock kunna lämnas under sekretess. Offentliga organ bör också kunna bedriva en säkerhetsinriktad revision i sin egen verksamhet. De bör dessutom verka för att en sådan revision i större utsträckning bedrivs inom den privata sektorns revision. De metoder som användes för att säkra informations- systemen inför bör kunna användas i denna typ av revision. En framgångsrik säkerhetsrevision förutsätter att lednings- nivån, som är ytterst ansvarig, inom myndigheter, kommuner, lands- ting, näringsliv och organisationer aktivt engagerar sig i arbetet. Behov av strategi och konkreta åtgärder Att ha en god informationssäkerhet innebär att kunna lösa såväl vardagliga problem som att ha en beredskap för att hantera allvarliga, omfattande incidenter som möjligen även drabbar andra verksam- heter än den egna. Ett företags egen, grundläggande vardagssäker- het är ingen statlig eller offentlig angelägenhet. Att skydda de interna informationssystemen, såväl tekniskt som administrativt, och att ha en beredskap för att hantera incidenter är ett ansvar som åligger var och en som förvaltar ett system. Staten kan dock ha en roll i att stimulera till säkerhetsåtgärder och att öka medvetenheten om sårbarheten i informationstekniken. Ett företag har sålunda ansvar för sina egna system och privat- personer har ansvar för sina datorer. Det kan dock vara en svårighet för den enskilde att överblicka aktuella sårbarheter. För att skapa adekvata risk- och sårbarhetsanalyser krävs en noggrann omvärlds- analys och en överblick över hotbilden som sträcker sig längre än enskilda system och användare. Detta är inget statiskt dokument som användare kan ta del av utan en process som måste bedrivas med kontinuitet. Ansvaret för helhetsbilden över samhällets samlade IT-relaterade hotbild är en uppgift som bör åvila offentliga organ. Staten står för resurser och en kontinuitet, som inte kan vare sig krävas eller garanteras av någon annan aktör. Signalskydd är ett viktigt medel för att åstadkomma bättre infor- mationssäkerhet och bör vara en naturlig del av det offentliga åtagandet inom informationssäkerhetsarbetet. Signalskydd i har historiskt sett haft en stark koppling till totalförsvaret och be- hovet att skydda information har varit knutet till sekretesslagen (1980:100). Civila myndigheter med flera begär i allt större omfatt- ning stöd med uppgifter rörande signalskydd även för hantering av skyddsvärd information som inte omfattas av sekretess. Det är, som argumenteras ovan, rimligt att ansvaret för den dagliga säkerheten åvilar varje användare, förvaltare eller ägare av informa- tionsteknik. För att hantera allvarligare incidenter, som kan komma att påverka den nationella säkerheten eller nationella intressen, måste dock staten ha ansvaret. Det handlar om att kunna skydda medborgarna mot övergrepp och oegentligheter samt att säkerställa att samhällsviktig verksamhet bedrivs med höga krav på funktiona- litet och säkerhet. Det gäller även när nationella intressen bevakas inom EU och i internationella organ. Staten måste också ha ansvar för spelreglerna inom informations- säkerhetsområdet. Mot bakgrund av sin överblick över samhällets säkerhetssituation och den hotbild som kan kopplas till informa- Behov av strategi och konkreta åtgärder tionssäkerheten bör staten skapa en struktur för att hantera extra- ordinära händelser. Staten har också ett eget intresse för informationssäkerheten inom sitt verksamhets- och ansvarsområde, i sin roll som ansvarig för myndighetsutövning och som ägare. För att uppnå de mål som stipuleras i den nationella strategin för informationssäkerhet behöver strategin kompletteras med förslag på åtgärder. De föreslagna åtgärderna är tänkta att dels uppmärk- samma det kortsiktiga perspektivet och dels att rikta in arbetet mot strategins mer övergripande målsättningar. Områden som bör bli föremål för åtgärder är bland annat organisa- tion, ansvarsfördelning och befogenheter inom informationssäker- hetsområdet. Utredningen avser inte att föreslå några avsteg från ansvarsprincipen, närhetsprincipen och likhetsprincipen. Dessa är fundamentala och skall utgöra grunden för utformningen av åtgärdsförslag. Utredningen konstaterar att det inte går att lösa informations- säkerhetsfrågan slutgiltigt utan att åtgärder även framöver kommer att vara nödvändiga inom detta område. Däremot finns det ett behov av en inriktning för de åtgärder som behöver vidtas. Utredningen har i avsnitt 6.2 och 6.3 föreslagit vilka åtgärder som behövs för att underlätta samverkan mellan offentlig och privat sektor, men också inom den offentliga sektorn. Det är önskvärt att staten fastställer en uttalad politisk inriktning inom informationssäkerhetsområdet. En sådan åtgärd får till följd att på ett bättre sätt kan hävda sin position i internationella sammanhang. Ett sätt att uppnå en tydlig inriktning för arbetet är att göra informationssäkerhet till ett eget verksamhetsområde. På så vis skapas bättre förutsättningar för en god samordning mellan myndigheter och ett bättre resursutnyttjande. Med tydliga mål och utpekat ansvar minskar risken för dubbelarbete och kraftsplittring. , tillsammans med resten av den del av världen som har stort beroende av IT-tjänster, står inför ett vägskäl när det gäller förtroendet för dessa IT-tjänster. Det är naturligt att riskerna med IT ökar med ökat beroende. kan stora värden stå på spel. Behov av strategi och konkreta åtgärder är viktigt att bygga upp förtroendet för dagens teknik genom att visa på möjligheterna och satsa på säkerhetshöjande åtgärder. Informationstekniken är inte geografiskt bunden och är på så sätt en global fråga. De åtgärder som erfordras för att skapa för- troende för den nya tekniken nationellt behöver samordnas med den internationella utvecklingen. Ett ökat samarbete mellan nationer kan också vara ett sätt att öka förtroendet för utvecklingen. Det är vikigt att utnyttjar sitt goda rykte inom området för att påverka andra nationer och att tillsammans med dem medverka till förändringar. Dessa förändringar kan röra multilaterala överens- kommelser, harmonisering av lagstiftning mot IT-brott, åtgärder för att begränsa spridning av spam eller andra risker som den nya tekniken har medfört. En viktig fråga är möjligheten att identifiera och lagföra personer som utan att finnas i landet åstadkommer skada. är det svårt att lagföra de som genomför attacker eller sprider skadlig programkod. Detta är ett problem som kan leda till bristande förtroende. Nationellt behöver kunskapen om vad som kan göras för att skapa en högre informationssäkerhet öka. Sätt att bidra till en sådan utveckling är utbildning och målinriktade informationskampanjer mot olika intressegrupper. Det bör vara en målsättning att alla som använder en dator på något sätt också är medvetna om vilka risker som finns och vad som kan göras för att minska dessa risker. Denna uppgift delas av offentlig och privat sektor. Det är viktigt att medvetande- och kompetenshöjande åtgärder kommer upp på dagordningen på alla ledningsnivåer.