sou · GTB342 · 2006-01-01 00:00:00 — Utredningen konstaterade i sitt andra delbetänkande att informationssäkerhetsfrågorna kräver ökad eller riktad kompetens på alla nivåer i samhället. Medvetenheten är viktig på en organisations samtliga nivåer - från informationshantering till ledning. För att uppnå så god säkerhet som möjligt, är det viktigt att ledningens övergripande plan efterlevs av dem som hanterar information. På motsvarande sätt är det inte möjligt att uppnå fullgod säkerhet om de behov av säkerhet som de som hanterar informationen har, inte återspeglas av ledningen. Det finns därför ett behov av kompetenshöjande åtgärder som har större räckvidd än enbart till dem som mest frekvent hanterar informationen. Höjd kompetens, och därmed medvetenhet, kan bidra till insikten att informationssäkerhetsriskerna inte är organisationsspecifika. I sitt andra delbetänkande konstaterade utredningen att integrationen av system i olika verksamheter ökar. Leverantörer och beställare är på grund av användningen av IT sammankopplade med distribu- tören. Sammankoppling, via till exempel Internet, skapar risken att även obehöriga når information. Den egna organisationens säker- het påverkas sålunda i stor utsträckning av säkerheten i kommuni- kationen med andra aktörer. De externa säkerhetsrisker som finns, till del på grund av andra aktörers bristande säkerhetsrutiner och osäkra överföringskanaler för information, kan påverka den egna organisationen. Av den anledningen bör säkerhetsstrategier omfatta såväl egen hantering och lagring av information, som överföring och mottagande av information. Den större delen av informationssäkerhetsproblemen faller, som argumenterat ovan, inom respektive verksamhetsansvariges ansvars- område. I de flesta fall är detta inte en uppgift för staten. Staten har dock ett ansvar att tillse att säkerheten håller en viss nivå i de verksamheter som är att betrakta som samhällsviktiga. Det är också ett statligt ansvar att informationssäkerheten är tillräckligt hög inom de verksamheter som stödjer de primärt samhällsviktiga verksam- heterna. Denna typ av verksamhet kan röra de mest intuitiva komponenterna av statens funktion för samhället, såsom att värna om rikets säkerhet, självbestämmanderätt etc. men även handla om fungerande el- och telenät och motsvarande funktioner som samhället har kommit att i hög grad vara beroende av. Om särskild personkontroll skall genomföras vid hantering av samhällsviktig verksamhet måste detta lagregleras. Frågan behöver därför beredas vidare. 3.2Behov, möjligheter och problem ur säkerhets- och hotbildssynvinkel Utredningen anslöt sig i sitt andra delbetänkande till den beskriv- ning av hotbilden som regeringen angav i propositionen prop. 2001/02:158 Samhällets säkerhet och beredskap. I generella ordalag är den hotbilden alltjämt giltig. Utredningen noterar dock att ut- vecklingen av tekniken går snabbare än utvecklingen av säkerhets- lösningar, även om säkerhetsmedvetandet hos både leverantörer och kunder har ökat. Hotbilden är dessutom, på mer detaljerad nivå, föränderlig. Detta utgör i sig en utmaning då säkerheten inte kan lösas permanent utan måste utvecklas i en kontinuerlig process. Den IT-relaterade hotbilden är mycket bred. Den spänner från vardagliga tekniska och handhavanderelaterade fel till potentiella terroristattacker. Det finns i debatten en tydlig fokusering på externa, allvarliga hot. Omfattande datavirusangrepp har drabbat – i likhet med många andra länder – vilket har medfört stora ekonomiska förluster för framförallt företag. Angrepp kan också vara riktade mot en specifik aktör. En strategi för informations- säkerhet måste uppmärksamma de antagonistiska hoten. Hot som kan härledas till tekniska brister eller felaktigt handhavande, vilka utgör den större delen av incidenter, är också synnerligen viktiga att hantera. Det kan vara svårt för en enskild aktör att, utifrån den egna verksamheten, se sin specifika sårbarhet i förhållande till en mer övergripande nationell hotbild. Det faktum att många små – till synes orelaterade – angrepp kan vara delar av en mer omfattande attack, pekar på vikten av en övergripande, ständigt uppdaterad hotbildsbeskrivning. En samlad bild av sårbarheter och hot bör ligga till grund för respektive verksamhetsansvariges planering och säkerhetsåtgärder. Staten kan utifrån en bedömning av hot och sårbarheter dimensionera sina grundkrav för informationssäkerhet. De informationssäker- hetsåtgärder som görs i samhället bör vara en konsekvens av samma bedömning av verkligheten, vilket ställer stora krav på aktualitet då bilden snabbt kan förändras. Hotbilden måste för att vara till- förlitlig grundas på en utvecklad omvärldsbevakning. Genom denna kan svaga länkar identifieras och ansvaret för informationssäker- hetshöjande åtgärder fördelas bland relevanta aktörer. Inom såväl offentlig som privat sektor finns verksamhet som är särskilt angelägen att skydda ur ett nationellt säkerhetsperspektiv. Det kan röra sig om verksamhet direkt kopplad till nationell säker- het, som har säkerhet som sin utgångspunkt. För verksamheter som hanterar mycket känslig information, till exempel underlag för omvärldsanalys och hotbildsbeskrivning, är informationssäkerhe- ten central. Staten har för sådana verksamheter ett ansvar dels att tillse att kompetensförsörjningen är adekvat samt för andra åtgärder i den utsträckning som verksamheten är kopplad till nationell säkerhet eller till andra av statens ansvarsområden. Detta gäller i synnerhet sådan verksamhet som syftar till att förebygga allvarlig störning samt hantering i det fall störning ändå uppstår. Skydd av känslig information av annan karaktär, faller normalt inom företags eller organisations eget verksamhetsansvar. I proposition 2001/02:158 Samhällets säkerhet och beredskap anger regeringen att målet med informationssäkerhet bör vara att upp- rätthålla en hög informationssäkerhet i hela samhället. Ansvars- principen, likhetsprincipen och närhetsprincipen skall gälla, vilket innebär att den som ansvarar för informationsbehandlingssystem också skall ansvara för att systemet fungerar på ett riktigt sätt. För att undvika dubbelarbete och tillse att informationssäkerhetsarbetet blir heltäckande måste ansvaret för helhetsbilden åvila någon enskild aktör. Staten är härvidlag den enda möjliga aktören, dels på grund av kontinuitetsskäl och dels genom de åtaganden som staten har. Staten bör se till hela samhällets behov av informationssäkerhet och vidta de åtgärder som rimligen inte kan åvila den enskilde systemägaren. Utredningen redovisade i sitt andra delbetänkande de huvud- sakliga funktioner och kontinuerliga arbetsuppgifter för offentliga organ som, utöver det ansvar som följer av ansvarsprincipen och oberoende av dagens organisationsstruktur och funktioner, nu kan identifieras inom informationssäkerhetsområdet. För att skapa en struktur för ett långsiktigt informationssäkerhetsarbete finns det ett behov av att överväga och fördela ett antal centrala uppgifter. Här kan till exempel nämnas tydliggörandet av nationell strategi, att föreslå och förmedla grundläggande regelverk, att ge råd och information till allmänheten och stöd till myndigheter, särskilda råd och stöd till samhällsviktiga myndigheter eller avseende viktiga system samt att förebygga, upptäcka, utreda och lagföra brotts- lighet som berör informationssäkerhet. Aktörer som har ett särskilt stort behov av dessa åtgärder är stora användare av IT-system och ansvariga för särskilt viktiga system, till exempel statlig förvaltning, kommuner och landsting, näringsliv och allmänheten. De ansvariga statliga myndigheterna har olika roller, däribland tillsynsansvar, främjande, producent och konsument. Det statliga ansvaret kan utövas på olika sätt. Det kan omfatta regelstyrning, tillsyn, budgetstyrning eller myndighetsstyr- ning. Åtgärderna kan bidra till att öka tilliten till nya, IT-baserade funktioner vilket ligger i linje med regeringens IT-politiska ambition , att skall vara världsledande i användningen av informationsteknik (IT). Säkerhetsarbete kan vara en primäruppgift, en utpekad funktion eller ett krav. Informationssäkerhet skulle kunna jämföras med till exempel arbetarskydd, tekniska krav på elsäkerhet eller funktionella krav inom säkerhetsskyddet. Vissa av dessa krav med anknytning till informationssäkerhet finns reglerade i författningar med krav på sekretess, säkerhetsskydd och integritet. Det är viktigt att beakta de delvis nya förutsättningarna för tillämpning av befintlig lagstiftning som uppstår vid ökad använd- ning av digitala verktyg för att skapa och hantera information. En ökad användning av IT är påvisbar på alla nivåer i samhället och sannolikt inser inte samtliga berörda aktörer alla aspekter av skillnaden mellan pappersbaserad och elektroniskt lagrad informa- tion. Denna skillnad avspeglas inte heller i befintlig lagstiftning. Lagföring grundas på värdering av information och avgörandet av tvister är beroende av informationens ursprung och riktighet. digital hantering av information följer att vi ofta inte till fullo kan garantera vare sig informationens ursprung eller riktighet. För att man enligt juridiska principer skall kunna hantera digitalt genererad och lagrad information krävs därför åtgärder för att komma till rätta med de brister som finns. Den svaghet det innebär att ett enskilt företag inte har till- räckliga motiv att se till en viss marknad i sin helhet utan enbart sin egen verksamhet, riskerar att påverka alla aktörer inom en given sektor. Gemensamma problem får sålunda individuella, och kanske inte alltid kompatibla, lösningar. En eventuell och allvarlig konsekvens av en sådan obalans mellan enskilda företag och mark- nad, är att samhällets behov av en tjänst eller vara inte tillgodoses. Staten kan vara den som tar ansvar för helhetsperspektivet genom reglering och styrning. Informationssäkerhetsproblemen i samhället har dock visat att det finns ett behov av styrning inom området. Den offentliga sektorn har ett särskilt ansvar för att hantera de nya säkerhets- problem som uppstår vid ökat användande av IT och som enskilda aktörer inte själva kan förväntas lösa. Staten måste upprätthålla till- räcklig förmåga att hantera oförutsedda eller nya typer av allvarliga störningar och kriser. Förmåga kan här anta flera olika skepnader för att utnyttjas i olika skeden av en störning, för att förebygga allvarliga störningar är kompetensuppbyggnad och kompetensför- sörjning centralt. Utöver den proaktiva aspekten är det önskvärt att det finns en operativ förmåga som kan träda in under pågående störning för att övervaka, identifiera, stävja och återhämta. Det är inte möjligt att dra en skarp gräns mellan vad som å ena sidan är problem som verksamhetsansvarig på företag eller myndig- het själv har att lösa och å andra sidan störningar som är av sådan dignitet eller omfattning att det finns anledning för statligt in- gripande. Virusangrepp som för ett företag innebär arbete och ökade omkostnader, kan på aggregerad nivå vara del av en störning som är att betrakta som ett hot mot landet. På grund av osäker- heten i bedömningen av en störnings dignitet är det rationella agerandet för staten att avvakta med avsteg från den verksamhets- ansvariges ansvar. Osäkerheten i bedömningen har även sin grund i att nya typer av störningar kan bidra till situationer, som enskilda verksamhetsansvariga inte kan förväntas hantera på egen hand. Ett exempel är phishing (nätfiske), som av vissa befaras vara ett pro- blem som kommer att öka i omfattning. Ett statligt agerande kan innebära att lyfta fram och informera om nya typer av hot och på så sätt hjälpa företag och organisationer att arbeta förebyggande med säkerheten. Merparten av de angrepp som vi ser är dock just störmoment och det är i enlighet med resonemanget ovan inte heller med nödvändighet så att en definierad åtskillnad på förhand behöver göras. Staten måste dock ha en beredskap för att kunna hantera störningar som kan nå en sådan omfattning att de är att betrakta som ett hot mot den nationella säkerheten. 3.4Behov, möjligheter och problem för informationssäkerhetspolitiken Mot bakgrund av utredningens resonemang om det offentliga åtagandet och informationssäkerhetsarbetets förutsättningar finns det enligt utredningen skäl att införa begreppet informationssäker- hetspolitik. Syftet är att föra samman informationssäkerhetsfrågorna som finns horisontellt, det vill säga gemensamma eller liknande informationssäkerhetsproblem, och vertikalt, det vill säga informa- tionssäkerhet i verksamheten. är många av dessa före- mål för regeringens politik, och enligt utredningen kommer det att bli nödvändigt med ytterligare samlande åtgärder. Målet med den svenska IT-politiken är att skall bli ett informationssamhälle för alla (prop. 1999/2000:86). En förutsätt- ning för att detta skall lyckas är att informationssäkerheten håller en sådan nivå att utvecklingen inte hämmas utan snarare stödjer en ökad användning av IT i fler verksamheter. Inom ramen för en informationssäkerhetspolitik finns det ett behov av att samordna agerandet mellan och ansvariga myndigheter. Till utredningen har detta lyfts fram särskilt ur ett internationellt, men också ur ett nationellt perspektiv. Det finns även ett behov av att det offentliga håller sig informerat om utvecklingen inom den privata sektorn som kan komma att påverka informationssäkerhetspolitiken. bör ett av syftena med en informationssäkerhetspolitik vara att tydliggöra politikens inne- håll. En del frågor som betecknas som informationssäkerhets- frågor är kanske inte det vid en närmare granskning. Det finns redan system för hur frågor och konflikter skall lösas. Det finns en risk att begreppet informationssäkerhetspolitik blir för stort och döljer verksamheter som faktiskt går att skilja åt och på så sätt är lättare att hantera. Många av frågorna inom informationssäkerhet är internationella. Det är ett relativt nytt område vilket gör att det finns möjligheter att vara med och påverka utvecklingen. För att lyckas med detta ställs det stora krav på god samordning och förmåga till samverkan, inklusive kontaktytor mellan myndigheter och den privata sektorn. Den ökade användningen och det ökade beroendet av IT har lett till nya sårbarheter som måste hanteras, dels för att möjliggöra en gynnsam utveckling och dels för att förhindra allvarliga störningar – i vissa fall hot mot . Det är därför nödvändigt att finna åtgärder som kan leda till ökad säkerhet i informationssystem och därmed samhällets ökade säkerhet. Frågan om informationssäkerhet har ingen objektiv lösning. Det finns olika typer av aktörer som har skiftande säkerhetsproblem och säkerhetsbehov. Dessutom är hotbilden och framför allt aktuella sårbarheter föränderliga. De sårbarheter som kopplas till IT är av olika slag och bör följaktligen hanteras på olika sätt. Därför är det viktigt att föra ett resonemang om den utgångspunkt hotbilden har. Det är inte utred- ningens avsikt att här beskriva kända sårbarheter och eventuella hot. Syftet är istället att föra ett resonemang om de bakomliggande frågeställningarna. En grov indelning kan vara funktions- eller verksamhetsberoende sårbarheter respektive aktörsberoende eller antagonistiska hot. Den förstnämnda kategorin omfattar tekniska fel och administrativa brister och den andra fysiska eller tekniska hot samt intrång och spionage. För regeringens politik inom informationssäkerhetsområdet finns behov av principer som kan ligga till grund för överenskommelser och beslut om ansvarsfördelning och åtgärder. Den första principen skulle kunna handla om hotets ursprung och den andra om hotets möjliga konsekvenser. Sett ur statens synvinkel kan många administra- tiva och tekniska brister falla inom respektive verksamhetsansvarigs ansvar medan aktörsberoende och antagonistiska hot mycket snabbt kan bli statens ansvar att hantera särskilt när det gäller samhällsviktig verksamhet. Den andra principen innebär att sannolikheten för statligt agerande ökar i takt med den potentiella allvarlighetsgraden. Ju svårare kon- sekvenser ett hot eller en brist kan få, desto sannolikare blir det att hanteringen måste involvera staten i någon form, till exempel brotts- bekämpning, kontraterrorism eller totalförsvar. Ansvar för förebyggande och hantering av funktions- eller verk- samhetsberoende sårbarheter ligger huvudsakligen hos den verksam- hetsansvarige och de som den ansvarige anlitar. kvenser drabbar i första hand den egna verksamheten. Tekniska och ekonomiska effekter ligger också primärt inom respektive ansvars- område, även om effekter för tredje part kan uppstå. Ofta kan det vara svårt att urskilja informationssäkerhetspro- blemen ur verksamheten, vilket gör det svårt att bedöma insatserna som behövs på politisk nivå. Flera områden är reglerade (eller föremål för statliga åtgärder) ur en annan aspekt, men har explicita eller implicita krav på informationssäkerhet Frågan om aktörsberoende eller antagonistiska hot är mer kom- plex. Föremål för aktioner kan visserligen vara en enskild verksam- hetsansvarig, medan händelseförlopp och följder också kan involvera statens ansvarsområde i form av till exempel brottsbekämpning, olika brottsförebyggande åtgärder etc. Ytterst handlar det om ett led i försvaret av rikets säkerhet, vilket i synnerhet gäller samhälls- viktig verksamhet. Det ligger i statens ansvar för rikets säkerhet att förhindra och hantera IT-relaterade hot mot nationen. En möjlig väg att hantera detta är att skapa förutsättningar för att förebygga allvarliga incidenter och att förbereda för det fall att de ändå inträffar. Därför kan det vara motiverat för staten att inom ramen för en informa- tionssäkerhetspolitik skapa möjligheter att förebygga och hantera sådana incidenter. För att staten skall kunna skapa förutsättningar för att förebygga allvarliga incidenter är det viktigt att öka med- vetenheten om sårbarheter och hot i hela samhället. Medvetenhet, och i förlängningen en bredare säkerhetskompetens hos individer som i olika befattningar eller som privatpersoner hanterar IT, är nödvändigt för att staten skall kunna uppfylla sitt åtagande i det här avseendet. Ökad medvetenhet och större kompetens kan uppnås genom utbildningssatsningar på olika nivåer, till exempel att säker- hetsfrågor ingår i utbildningen och användningen av IT på grund- skolenivå och mer specialiserade utbildningar som komplement till befintliga yrkesutbildningar. Staten har ansvar för helhetsbilden och med det följer ansvaret för att löpande ta fram korrekta analyser av säkerhetsläget i och i vår omvärld. För att kunna förebygga och förbereda för informationssäkerhets- problem i samhället krävs ett långsiktigt arbete. Det långa perspek- tivet måste bland annat ta hänsyn till teknisk utveckling, nya mönster i användningen av IT eller politiska förutsättningar i vår omvärld. En svensk strategi för informationssäkerhet måste formu- leras med långsiktiga värden och måste vara flexibel för att kunna möta förändringar. En strategi för informationssäkerhet och lagstiftning på samma område måste med nödvändighet vara tekniskt kopplad, men vad som här avses är att en strategi inte kan tillåtas bli obsolet vid utvecklandet av ny teknik. Det innebär att strategin riktar in sig på tekniska företeelser men att den inte är beroende av att en specifik teknik används. De övergripande, långsiktiga målen är nödvändiga riktmärken men det finns även ett behov av beslutskraft i kort perspektiv. De steg som skall tas mot informationssäkerhet måste specificeras med tidsangivelser. Detta blir än viktigare av det faktum att många olika aktörer, även i fortsättningen, kommer att ansvara för olika delar av informationssäkerhetsproblematiken. För att kunna hantera incidenter som ändå inträffar är det nöd- vändigt med en förmåga i realtid. Det måste finnas ett väl fungerande system för krishantering inom detta område, som enligt tydliga rikt- linjer snabbt träder i kraft vid en allvarlig incident. Det gäller även att kunna hantera de praktiska problem som följer på problem i IT-system. Med dessa tre tidshorisonter bör det vara möjligt att skapa mål, styra och följa upp en informationssäkerhetspolitik. 3.5Utredningens slutsatser av behovsbilden Den IT-relaterade utvecklingen, som innebär ett ökat beroende av tekniken för hantering av information och en ökad interdependens mellan olika system och verksamheter, leder till en rad nya behov. Detta gäller såväl statliga och privata aktörer som medborgarna. Ett sätt att analysera behoven är att betrakta dem ur verksamhets- eller/och säkerhetssynpunkt. En på alla samhällsnivåer ökad med- vetenhet om de säkerhetsrisker som kan förknippas med IT och generellt ökad kompetens är av synnerlig vikt. Författningar som rör området informationssäkerhet måste kunna hantera att information finns i annan form än fysisk. Författnings- ändringar kan därför vara nödvändiga för att befintlig lagstiftning skall kunna tillämpas utan särskild specificering. Utredningen ser därför positivt på utredningen om 14 och 15 kap. vars direktiv bereds på . Det finns dessutom ett behov av att utöka IT-relaterad kriminalteknisk verksamhet inom rättsväsendet. En viktig utgångspunkt för utredningen är att säkerhetsproble- men inte kan lösas definitivt utan måste hanteras i en kontinuerlig process. Däremot finns det ett stort behov av att samordna infor- En samlad bedömning av hotbild, risker och sårbarheter bör ligga till grund för verksamhetsansvarigas plane- ring och arbete. Den verksamhetsansvarige har genom ansvarsprincipen ansvar för informationssäkerheten på samma sätt som för säkerheten i övrigt. De nya behoven är inte att betrakta som statliga per auto- matik. När det gäller samhällsviktig verksamhet är det dock rimligt att anta att staten har ett ansvar för att verksamheten skall uppfylla vissa krav. Detta gäller oavsett om denna drivs i privat eller offentlig sektor. Inom såväl privat som offentlig sektor finns det verksamheter som det är särskilt angeläget att skydda ur ett nationellt säkerhets- perspektiv. Det kan gälla sådana som har direkt koppling till nationell säkerhet eller verksamheter som hanterar stora mängder information som underlag till omvärldsbevakning eller hotbildsanalys. Gränsen för vad som är verksamhetsansvariges ansvar och sådana situationer som motiverar ingripande från staten kan inte dras med säkerhet. Staten är den aktör som bör ha det övergripande ansvaret för helhetsbilden. Staten bör dessutom upprätthålla tillräcklig för- måga att hantera oförutsedda eller nya typer av allvarliga störningar och kriser. Det finns enligt utredningen skäl att införa informations- säkerhetspolitik som begrepp för att sammanföra de horisontella aspekterna (gemensamma eller liknande informationssäkerhetspro- blem) av informationssäkerhet med de vertikala (informationssäker- het i verksamheten). Det finns ett behov av att samordna informationssäkerhetsarbetet mellan och ansvariga myndigheter och att fördela viktiga arbetsuppgifter. Samordningsbehov behövs såväl för det nationella arbetet som det internationella där har förutsätt- ningar att vara med och påverka. Ett krav för att genom- slagskraft fortsatt skall vara stor i internationella fora är god sam- ordning inom såväl offentlig sektor som mellan offentlig och privat sektor. Ett annat syfte med informationssäkerhetspolitik bör vara att staka ut de övergripande målsättningarna för politiken. Detta torde bidra till en bättre förståelse för vad informationssäkerhet innebär. Det finns ett stort behov av principer för ansvarsfördelning och åtgärder. En viktig fråga är vad som motiverar statligt agerande. En sådan princip skulle kunna ta sin utgångspunkt i hotets ursprung. Sannolikheten för att det skall finnas skäl för staten att agera ökar i takt med hotets allvarlighetsgrad. Motsvarande förhållande gäller för storleken på konsekvenserna. 4Behov av strategi och konkreta åtgärder