sou · GTB342 · 2006-01-01 00:00:00 — 5 § Hos myndigheten skall det finnas en informationssäker- hetsansvarig som utövar kontroll över informationssäkerheten. Den informationssäkerhetsansvarige skall i dessa frågor vara direkt underställd myndighetens chef. Det skall finnas ersättare för den informationssäkerhetsansvarige. Myndighetens chef är huvudansvarig för informationssäkerheten vid myndigheten. Den informationssäkerhetsansvarige skall därför i informationssäkerhetsfrågor vara direkt underställd myndighetens chef. Paragrafen reglerar dock inte den informationssäkerhets- ansvariges organisatoriska hemvist. Av stadgandet framgår också att det skall finnas en eller flera ersättare för den informations- säkerhetsansvarige. 6 § Tillgång till viss utrustning eller information som är specifik för systemens säkerhet skall kräva särskild behörighet. I paragrafen anges att det i vissa fall skall krävas särskild behörighet för tillgången till viss utrustning eller information. De närmare kriterierna får utformas i föreskrifter. 7 § Myndigheter skall se till att personal med arbetsuppgifter där hantering av elektroniska system för bearbetning, lagring och överföring av information ingår får utbildning om informa- tionssäkerhet. 8 § Myndigheten svarar för att tekniska åtgärder vidtas så att sådan utrustning m.m. som används för, eller stödjer använ- dandet av, system vid elektronisk bearbetning, lagring och överföring av information uppfyller grundläggande krav på informationssäkerhet. Myndigheten svarar även för att kraven på informationssäkerheten kan upprätthållas då utomstående anlitas för tjänster som rör myndighetens informations- och kommunikationssystem. För vissa myndigheter (i bilaga) kan därutöver gälla särskilda krav på tekniska åtgärder. I paragrafen anges att en myndighet även svarar för att kraven på informationssäkerheten kan upprätthållas även vid anlitandet av utomstående till exempel olika operatörer. 9 § Informationssäkerheten enligt denna förordning skall kontrolleras av den myndighet som regeringen bestämmer. 10 § Om det vid tillsynen över informationssäkerheten enligt denna förordning framkommer brister som trots påpekande inte rättas till, skall tillsynsmyndigheten anmäla förhållandet till regeringen. Bestämmelsen innebär att brister i den informationssäkerhet som förordningen avser skall komma till regeringens kännedom. 11 § Den myndighet som regeringen bestämmer skall meddela närmare föreskrifter om de administrativa och tekniska åtgärder som skall vidtas för att uppfylla grundläggande och särskilda krav på informationssäkerhet vid hantering av elektroniska system för bearbetning, lagring och överföring av information. 11.2Förslaget till lag om ändring i säkerhetsskyddslagen (1996:627) 7 § Säkerhetsskyddet skall förebygga 1.att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (sekretess- säkerhet), 2.att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3.att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet skall även i övrigt förebygga terrorism. 9 § Vid utformningen av sekretessäkerheten skall behovet av skydd vid automatisk informationsbehandling beaktas särskilt. Ändringarna innebär att begreppet informationssäkerhet i säker- hetsskyddslagen (1996:627) ersätts med begreppet sekretess- säkerhet. Ändringarna föranleds av vad som i avsnitt 7.3 sägs om behovet av en utmönstring av begreppet informationssäkerhet ur säkerhetsskyddslagstiftningen. 11.3Förslaget till förordning om ändring i säkerhetsskyddsförordningen (1996:633) 9 § Hemliga handlingar som är av synnerlig betydelse för rikets säkerhet skall inventeras minst en gång . Andra hemliga handlingar skall inventeras i den omfattning som anges i föreskrifter enligt 45 §. 13 § Myndigheter och andra som förordningen gäller för skall, innan de sänder hemliga uppgifter i ett datanät utanför deras kontroll, förvissa sig om att det för uppgifterna där finns fullgod sekretessäkerhet. Ändringen innebär att begreppet informationssäkerhet i säker- hetsskyddsförordningen (1996:633) ersätts med begreppet sekre- tessäkerhet. Ändringen föranleds av vad som i avsnitt 7.3 sägs om behovet av en utmönstring av begreppet informationssäkerhet ur säkerhetsskyddslagstiftningen. Common Criteria Recognition Arrangement Critical Information Infrastructure Protection Europeiska nät- och informationssäkerhetsbyrån Den gemensamma utrikes och säkerhetspolitiken Guidelines for the Management of IT security Den gemensamma utrikes- och säkerhetspolitiken Hyper Text Markup Language Läroplan för det obligatoriska skolväsendet Management of Information and Communications Preparatory Action on Security Resolution Styrelsen för ackreditering och teknisk kontroll Angående vissa frågor om En utredare skall lämna förslag på hur signalskyddsverksamheten i samhället skall utformas. I uppdraget ingår att bedöma behovet av signalskydd i samhällsviktig verksamhet samt att lämna förslag till organisatorisk placering, lokalisering, uppgifter, ledning och samordning av signalskyddstjänsten. Den särskilda utredaren kommer också att få i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhets- arbetet bör utvecklas och till hur engagemang i det inter- nationella arbetet inom informationssäkerhetsområdet bör utformas . Utredaren planeras också få uppdraget att genomföra den utvärdering som regeringen aviserat i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158). Regeringen avser att återkomma med tilläggsdirektiv när det gäller dessa uppdrag. I takt med att samhället har blivit allt mer beroende av olika infor- mationssystem har vikten av att förbereda sig för hot av olika slag ökat. Regeringen har närmare beskrivit hotbilden för attacker via informationssystem i propositionen Samhällets säkerhet och bered- skap (prop. 2001/02:158 s. 104 f). Där konstateras att en av svårig- heterna med hanteringen av de IT-relaterade hoten är att urskilja vem aktören är, eftersom ingen absolut åtskillnad mellan olika typer av aktörer kan göras. Detta faktum gör att det är särskilt svårt att skydda sig eftersom säkerhetsåtgärderna måste anpassas till samtliga typer av aktörer. Ytterligare en försvårande faktor är att de IT-relaterade hoten är geografiskt gränslösa. Den som vill göra intrång i eller på annat sätt manipulera ett informationssystem i kan befinna sig var som helst i världen. Att skydda information som utväxlas i form av meddelanden och trafik eller information som lagras elektroniskt får allt större be- tydelse i dagens samhälle. Det gäller inte bara för sådan information som omfattas av bestämmelserna om sekretess i sekretesslagen (1980:100), utan också för andra uppgifter som hanteras i informa- tionssystem av olika slag i samhället. Exempel på sådan skyddsvärd information kan vara uppgifter som gäller känslig infrastruktur, ekonomi och personlig integritet. Utvecklingen av dagens signalskyddssystem sker till största delen inom Försvarsmakten utifrån de krav som behovet av att kunna hantera information som omfattas av sekretess till skydd för rikets säkerhet ställer. Utvecklingen av IT-säkerhetslösningar i samhället i övrigt styrs allt mer av behovet av att skydda information som inte omfattas av sekretess till skydd för rikets säkerhet. En utveckling av signalskyddstjänsten till att även kunna hantera andra krypto- grafiska skyddsbehov än de som utvecklas för totalförsvarsändamål och en bedömning av hela samhällets skyddsförmåga är därför påkallad. Signalskyddstjänsten leds av en funktion inom Försvars- makten (MUST/TSA). Att signalskyddstjänstens ledning organisa- toriskt har denna placering kan innebära en risk för att de civila behoven inte prioriteras tillräckligt. Frågan om var signalskydds- tjänsten på nationell nivå skall organiseras och lokaliseras bör därför övervägas. I propositionen Ett informationssamhälle för alla (prop. 1999/2000:86) angav regeringen att den välkomnar en bred använd- ning av kryptografi. Mot denna bakgrund bör det eventuellt finnas en rådgivande funktion i kryptografifrågor i . Därför finns behov av att undersöka i vad mån signalskyddstjänsten kan utgöra ett sådant rådgivande organ i samhället. Det ökade samarbetet med andra stater och internationella organi- sationer medför vidare ett ökat statligt behov av att kunna hantera signalskyddsutrustning och kryptonycklar även i internationella sammanhang. Det bör övervägas om signalskyddstjänsten kan bistå i den utvecklingen. Arbetet med informationssäkerhet inom offentlig sektor Regeringen har i propositionerna Fortsatt förnyelse av totalförsvaret (prop. 2001/02:10, bet. 2001/02:FöU02, rskr. 2001/02:91) och Samhällets säkerhet och beredskap (prop. 2001/02:158, bet. 2001/02:FöU10, rskr 2001/02:261) redovisat sin strategi och för- slag till åtgärder för att stärka informationssäkerheten i samhället och skyddet av de samhällsviktiga systemen. I propositionen Sam- hällets säkerhet och beredskap vidgades åtgärderna från att endast omfatta IT-säkerhet till att täcka hela informationssäkerhetsområdet. Det tidigare använda mer oprecisa begreppet informationsopera- tioner utmönstrades därmed ur terminologin. Regeringen har angett att målet bör vara att man skall upprätt- hålla en så hög informationssäkerhet i hela samhället att störningar i samhällsviktig verksamhet kan förhindras eller hanteras. Strategin för att uppnå detta mål liksom för övrig krishantering i samhället utgår från ansvarsprincipen, likhetsprincipen och närhetsprincipen. Som ett första steg i en samlad strategi i informationssäkerhets- arbetet har fyra myndigheter fått nya uppgifter. Dessa myndigheter är , , och Försvarets materiel- verk. Detta första steg skall utvärderas som regeringen förutskickat i propositionen Samhällets säkerhet och beredskap. Med anledning av att det finns många företag som är verksamma inom informationssäkerhetsområdet finns det dock skäl att ytter- ligare överväga vilken verksamhet staten skall bedriva inom detta område. Härvid skall beaktas att konkurrensen på den öppna mark- naden inte får påverkas negativt. Regeringen finner att de bästa förutsättningarna för ett gott beslutsunderlag kan skapas genom att utvecklingen inom informa- tionssäkerhetsområdet följs. Genom att hoten mot informationssystemen inte bara är en svensk angelägenhet, utan är av global natur, krävs internationell sam- verkan. Sådan samverkan bedrivs på flera olika områden, bl.a. inom EU. Olika myndigheter medverkar vidare i internationell samverkan som i regel har informationsutbyte som syfte. få genomslag i sitt agerande på den internationella arenan bör det finnas en övergripande inriktning. Inriktningen bör också knyta an till och vara anpassad till respektive myndighets ansvarsområde. Den särskilda utredaren skall bedöma behovet av signalskydd i samhällsviktig verksamhet och lämna förslag på hur signalskydds- verksamheten i samhället skall utformas. Utredaren skall mot bak- grund av utvecklingen inom informationssäkerhetsområdet föreslå hur signalskyddstjänsten i skall vara organiserad. Utredaren skall också belysa hur signalskyddsutbildningen skall organiseras och var den skall lokaliseras. Följande frågor bör besvaras. Hur bör signalskyddsverksamheten utvecklas så att den kan komma till nytta inom fler samhällssektorer? Vilka samhällssektorer har störst behov av signalskydd och vilka krav ställer de? Vem skall vara ansvarig för signalskyddet och hur skall detta vara organiserat? Vilka uppgifter skall signalskyddstjänsten ha och hur skall led- ning och samordning ske? Hur säkerställs att det framtida behovet av kompetens inom det kryptografiska området kan tillgodoses? Hur säkerställs samordning med andra länders signalskydds- organisationer på ett förtroendefullt och säkerhetsmässigt tro- värdigt sätt? Hur åstadkoms en nationell distributionsfunktion för signal- skyddsmateriel och signalskyddsnycklar för det internationella samarbetet? Utredaren kommer att få i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas och hur engagemang i det internationella arbetet inom informationssäkerhetsområdet skall utformas . I detta arbete skall gränsdragningsfrågor särskilt beaktas gentemot den översyn av de rättsliga aspekterna, inklusive de internationella, på området för informationssäkerhet som avser att genomföra (jfr. 2001/2002:158). Utredaren planeras också få uppdraget att genomföra den ovan nämnda utvärderingen. Direktiv angående dessa två senare uppdrag avser regeringen att återkomma med som tilläggsdirektiv. Utredaren skall bedriva arbetet i nära samarbete med Försvars- makten, , och Krisbered- skapsmyndigheten. finns en informell grupp bestående av representanter från , , och som utbyter in- formation i dessa frågor. Denna grupp bör utredaren använda som referensgrupp i arbetet. Även andra kontakter bör tas. Utredaren skall lämna delrapport om signalskyddstjänsten . Utredaren skall lämna slutrapport . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Utredningen angående vissa frågor om informationssäkerheten i samhället skall lämna förslag till hur den nationella strategin för in- formationssäkerhetsarbetetbör utvecklas samt hur engage- mang i det internationella arbetet inom informationssäkerhets- området skall utformas. I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) anmälde regeringen sin avsikt att göra en utvärdering av de bedömningar som regeringen gjorde inom informationssäkerhetsområdet. Utredaren skall följa myndig- heternas uppbyggnad av den informationssäkerhetsverksamhet som regeringen har givit myndigheterna i uppgift enligt propositionen. Utredaren skall vidare lämna förslag till hur riktlinjer om nät- och informationssäkerhet kan genomföras. Med stöd av regeringens bemyndigande (dir. 2002:103) tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signalskyddsverksamheten i samhället skall utformas. Utredaren skall enligt direktiven lämna en delrapport avseende detta uppdrag . Re- geringen angav i direktiven att den avsåg att återkomma med tilläggs- direktiv angående uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas och till hur engagemang i det internationella arbetet inom infor- mationssäkerhetsområdet bör utformas . (ment) antog en rekommendation om nya riktlinjer för nät- och informationssäkerhet (Guidelines for the Security of : Towards a Culture of Security). Riktlinjerna syftar till att stödja utvecklingen av en säkerhetskultur i samhället genom att främja säkerhetstänkande vid utveckling och användning av nät och informationssystem. Rikt- linjerna innehåller mål och principer för utvecklingen av nya nät och informationssystem. En utvecklad svensk informationssäkerhetsstrategi Utredaren skall i det fortsatta arbetet, utöver det tidigare lämnade uppdraget, även lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas. Den i prop. 2001/02:158 s. 103 redovisade strategin för informationssäkerhetsarbetet skall utgöra grunden. Utredaren skall göra jämförelser med hur andra länder har hante- rat informationssäkerhetsfrågan när det gäller strategi, organisation och andra förhållanden som kan vara relevanta. I sitt arbete skall utredaren beakta riktlinjer för nät- och informationssäkerhet och lämna förslag till hur riktlinjerna kan genomföras i utredarens förslag. Följande frågor skall besvaras. Hur bör den nationella strategin för informationssäkerhet vidare- utvecklas? Hur säkerställs att den nationella strategin för informations- säkerhet möter de krav som ställs via det multinationella sam- arbete deltar i, främst EU? Utifrån en nationell strategi behöver den nuvarande samord- ningen av engagemang i det internationella arbetet inom informationssäkerhetsområdet förändras? Inom vilka delar av informationssäkerhetsområdet bör staten ha ett särskilt ansvar? Hur skall informationssäkerhetsarbetet finansieras? Utvärdering förutskickad i prop. I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) redovisade regeringen att de nya uppgifterna på informa- tionssäkerhetsområdet skulle fördelas på de myndigheter som redan hade närliggande verksamhet. Regeringen anmälde också att man hade för avsikt att göra en utvärdering av denna fördelning av upp- gifterna inom informationssäkerhetsområdet. Regeringen uteslöt inte att det skulle kunna finnas andra organisatoriska lösningar eller andra verksamheter inom informationssäkerhetsområdet som skulle kunna behövas ses över. Som en förberedelse inför denna utvärdering skall utredaren skapa sig en god uppfattning av det ändamålsenliga i propositionens be- dömningar att dela upp de nya uppgifterna genom att följa uppbyggnaden av verksamheten inom informationssäkerhetsområdet vid , , Förvarets materielverk och , inklusive den sistnämnda myndighetens uppdrag att inrätta en rikscentral för IT-incident- rapportering. Regeringen avser att återkomma till frågan om ut- värderingen. Om utredaren finner att det finns ett behov av att föreslå för- fattningsändringar skall utredaren lämna lagtekniskt genomarbetade förslag vid varje rapporteringstillfälle. I detta arbete skall gränsdragningsfrågor särskilt beaktas gentemot den översyn av de rättsliga aspekterna, inklusive de internationella, på området för informationssäkerhet som avser att låta genomföra (jfr. 2001/02:158 s. 106). I den mån det uppkommer frågor som rör behandling av person- uppgifter skall de bestämmelser om skydd för den personliga inte- griteten vid behandling av sådana uppgifter som bl.a. finns i person- uppgiftslagen (1998:204) och EG-direktivet om personuppgifter (95/46/EG) beaktas. I sitt arbete skall utredningen ta hänsyn till riktlinjer för nät- och informationssäkerhet. Utredningen skall bedriva arbetet i nära samarbete med Riks- polisstyrelsen, Säkerhetspolisen, Datainspektionen, Statskontoret, Försvarsmakten, , , , och . Utredningen skall också ta de kontakter som behövs med viktiga IT-användare och andra intressenter, både inom den offentliga sektorn och i näringslivet, för att få en bild av vilka roller de spelar i informationssäkerhetsarbetet, deras behov och önskemål. Utredningen skall utöver det som angavs i direktiven (2002:103) om att slutrapport skall lämnas också lämna en delrapport angående uppdragen i detta tilläggsdirektiv . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Beslut vid regeringssammanträde . Utredningen angående vissa frågor om informationssäkerheten i samhället skall genomföra den utvärdering som regeringen anmälde till i proposition Samhällets säkerhet och beredskap (prop. 2001/02:158) vad avser de bedömningar som regeringen gjorde inom informationssäkerhetsområdet. Med stöd av regeringens bemyndigande (dir. 2002:103) tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signal- skyddsverksamheten i samhället skall utformas. Utredaren lämnade en delrapport avseende detta uppdrag . Re- geringen beslutade om tilläggsdirektiv för utredningen (dir. 2003:29) angående uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet för utvecklas och hur engagemang i det internationella arbetet inom informationssäkerhetsområdet bör utformas . Ut- redaren fick också i uppdrag att följa myndigheternas uppbyggnad av den informationssäkerhetsverksamhet som regeringen har givit myndigheterna i uppgift enligt propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158). En delrapport skulle lämnas . I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) redovisade regeringen att de nya uppgifterna på informationssäkerhetsområdet skulle fördelas på de myndigheter som redan hade närliggande verksamhet. att man hade för avsikt att göra en utvärdering av denna fördelning av uppgifterna inom informationssäkerhetsområdet. Regeringen uteslöt inte att det skulle kunna finnas andra organisa- toriska lösningar eller andra verksamheter inom informationssäker- hetsområdet som skulle kunna behövas ses över. Utredningen skall genomföra den utvärdering som regeringen an- mälde till i propositionen Samhällets säkerhet och be- redskap (prop. 2001/02:158 s. 105) vad avser de bedömningar när det gäller uppgiftsfördelningen som regeringen gjorde inom informa- tionssäkerhetsområdet. Utvärderingen skall redovisas i utredningens slutrapport . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Beslut vid regeringssammanträde . Förlängd tid för uppdraget Med stöd av regeringens bemyndigande tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signalskyddsverksamheten i samhället skall utformas (dir. 2002:103). Utredaren lämnade en delrapport avseende detta uppdrag . Regeringen beslutade om tilläggsdirektiv för utredningen (dir. 2003:29) med vilken utredningen gavs i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhets- arbetet bör utvecklas och hur engagemang i det inter- nationella arbetet inom informationssäkerhetsområdet bör utformas . Utredaren lämnade en delrapport . Regeringen beslutade om ytterligare tilläggs- direktiv till utredningen (dir. 2004:46) med uppdrag att genomföra den utvärdering som regeringen anmälde till i proposi- tionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) om den i propositionen redovisade uppgiftsfördelningen mellan myndigheterna inom informationssäkerhetsområdet. Utredningen skulle enligt direktiven redovisa sitt slutbetänkande . Utredningstiden förlängs, vilket innebär att utredaren skall redo- visa sitt uppdrag . En delrapport skall lämnas . 1.Radio och TV i allmänhetens tjänst. Riktlinjer för en ny tillståndsperiod. 2.Radio och TV i allmänhetens tjänst. Finansiering och skatter. 3.Sveriges tillträde till Unidroit- konvention om stulna eller olagligt utförda kulturföremål. 4.Liberalisering, regler och marknader. 5.Postmarknad i förändring. En granskning av rymningarna från Kumla, , och 2004. 7.Försvarsfastigheter – information till och effektiv lokalförsörjning. 8.Behov av rörlig ledningsstödsresurs. Reformerat regelverk för handel med försvarsmateriel. 10.Handla för bättre klimat. Från införande till utförande. 11.Välfärdsverksamhet för sjömän. Det skall vara billigt att köpa böcker och tidskrifter. 13.Lördagsdistribution av dagstidningar. 14.Effektivare handläggning av anknyt- ningsärenden. 15.Familjeåterförening och fri rörlighet för tredjelandsmedborgare. 16.Reformerat system för insättnings- garantin. 17.Vem får jaga och fiska? Rätt till jakt och fiske i lappmarkerna och på renbetesfjällen. 19.Beskattningen vid omstruktureringar enligt fusionsdirektivet. 20.Konsumentskydd vid modemkapning. – beskattning av avfall som förbränns. Framtida organisation för Arbetslivs- tjänster och . 25.Gränslös utmaning – alkoholpolitik i ny tid. 26.Mobil med bil. Ett nytt synsätt på bilstöd och färdtjänst. + Bilaga, lättläst och . 27.Den svenska fiskerikontrollen – en ut- värdering. 28.Dubbel bosättning för ökad rörlighet. 29.Storstad i rörelse. Kunskapsöversikt över utvärderingar av storstadspolitikens lokala utvecklings- avtal. 30.Lagen om byggfelsförsäkring. 31.Stödet till utbildningsvetenskaplig forskning. 33.Fjärrvärme och kraftvärme . 34.Socialtjänsten och den fria rörligheten. 35.Krav på kassaregister Effektivare utredning av ekobrott. 36.På väg mot ... En hållbar landsbygds- utveckling. 37.Tolkutbildning – nya former för nya krav. 38.Tillgång till elektronisk kommunika- tion i brottsutredningar m.m. Ju. 39.Skog till nytta för alla? 40.Rätten till mitt språk Förstärkt minoritetsskydd.