sou · GTB342 · 2006-01-01 00:00:00 — De som behöver kommunikations- säkerhet finner vi överallt i samhället. Rättsväsendet kommer att ha ett växande behov av tillgång till kryptologisk kompetens för den brottsutredande verksamheten. Finansiella transaktioner och anbud vid upphandlingar sker via Internet. IT ger också användaren möjligheter att kryptera kommunikation och hårddiskar utan att egentligen ha någon teknisk kompetens på området. Talar man i en GSM-telefon krypteras ljudet mellan basstationen och telefonen. Det finns program för automatisk kryptering av hårddiskar, vilket förhindrar förlust av information om datorn blir stulen. I trådlösa nätverk kan administratören välja att använda kryptering för att minska risken att någon utomstående i närheten obehörigen tar sig in i nätverket. Trådlösa tangentbord kan kommunicera krypterat med datorn för att minska risken för avlyssning. Inget av detta märker användaren, men krypteringen finns där ändå som säkerhetsåtgärd. Kombinationen IT och krypto ger också möjlighet att signera dokument, så att mottagaren kan vara förvissad om att dokumentet inte är förfalskat eller förvanskat och att det är skrivet av den som utger sig för att vara avsändare. De flesta vanliga e-postprogram stöder denna funktionalitet. Det finns även många andra nya användningsområden. Men om man behöver en hög säkerhetsnivå räcker det inte med att förlita sig på allt för enkla kryptolösningar eller varianter som kan laddas ner från Internet. Framför allt gäller det att välja en säkerhetsnivå som är anpassad efter den egna verksamhetens behov. Behovet av kryptokompetens i samhället är alltså stort och växande. Kompetenskraven har höjts kraftigt . Standardiseringen på informationssäkerhetsområdet har , som tidigare redovisats under avsnittet 7.8 kommit mycket långt. De internationella standardiseringsorganen har till sitt förfogande experter inom varje relevant delområde inom informationssäkerhet, inklusive kryptologiområdet. Bland standarder och utvecklingsprojekt för standarder inom SC 27 ISO/IEC kan nämnas: SIS LIS-projekt (Ledningssystem för informationssäkerhet) Common Criteria för evaluering och certifiering Standarder för kryptologiska algoritmer och protokoll Näringsliv och myndigheter måste ha hög kompetens vad gäller datasäkerhet. Däremot är det inte alltid nödvändigt att man har egna kryptologer. För större företag med forsknings- och utveck- lingsavdelningar med ambitioner att vara världsledande och kunna licensiera ut tekniker är det motiverat, men dessa företag är få till antalet. Förhoppningsvis blir de fler . Ur kompetenssynpunkt räcker det dock inte med några få personer med hög kompetens inom kryptologi. Det krävs så många att man skapar en kritisk massa för kompetensutveckling. Samhällets kritiska infrastruktur behöver dessutom tillgång till kryptologer på samma sätt som i TSA:s (Totalförsvarets signalskyddssamordning) roll för totalförsvaret. För att stimulera tillväxten av särskild kompetens för samhället och de större företagen kan man exempelvis sponsra eller finansiera doktorandtjänster vid universiteten. Ytterligare en aspekt är till- gången till inhemska leverantörer, hur den kan främjas. Det är en fördel att kunna använda inhemska leverantörer som kan tillhanda- hålla källkod för utvärdering. 8.4Kontroll och rådgivning enligt säkerhetsskyddslagen Säkerhetspolisen och Försvarsmakten ansvarar för att kontrollera säkerhetsskyddet inom sina respektive ansvarsområden. Vid alla kontroller ingår informationssäkerhet som en naturlig del. Säker- hetspolisen bedriver också en omfattande rådgivningsverksamhet gentemot statliga myndigheter, landsting, kommuner samt enskilda, som omfattas av säkerhetsskyddslagen. Även i rådgivnings- verksamheten är frågor om informationssäkerhet vanligt före- kommande. Enligt och Försvarsmaktens erfarenheter är de kontroller som genomförs med stöd av säkerhetsskyddslagen ofta av stor betydelse för att uppmärksamma och åtgärda brister i säkerhetsskyddet. De bidrar också till att medvetandegöra ledningarna i de berörda kontrollerade organisationerna om behovet av tillfredsställande skydd, bland annat på informations- säkerhetsområdet. Det är vanligt att man vid kontrollerna uppmärksammar brister till exempel i hur man hanterar datorer (både fristående datorer och nätverk), telefonväxlar, mobiltelefoner och mobila datorer. Ofta saknas styrdokument avseende informa- tionssäkerheten och personalen har otillräcklig utbildning om IT- säkerhet. Som exempel kan nämnas kontroller av två olika myndigheter, vilka bedriver samhällsviktig verksamhet. I båda fallen upptäcktes att information som var hemlig med hänsyn till rikets säkerhet hanterades tillsammans med öppen information i myndigheternas interna nätverk. Penetrationstester, som utförde som en del av kontrollen, visade att det fanns ett flertal brister i informationssäkerheten. Bristerna innebar bland annat att myndigheternas interna nätverk var sårbara för obehöriga intrång och attacker via Internet. föreskrifter och allmänna råd om säkerhets- skydd har reformerats. I dessa ingår allmänna bestämmelser om informationssäkerhet, krav på krypto, regler för hantering av kryptonycklar och signalskyddsmaterial mm. Särskilda regler finns för informationssäkerhet för hemliga uppgifter i IT-system med avseende på bland annat intrångsskydd, skadlig kod, intrångs- detektering, säkerhetsloggning och hantering av digitala lagrings- medier. Samhället har låg beställarkompetens för informationssäkerhet, vilket utgör ett grundläggande problem. Ägarna av samhällskritisk infrastruktur måste först inse att den infrastruktur de äger är kritisk, att den behöver skyddas, samt att det inte enbart behövs ett fysiskt skydd, utan även ett informationssäkerhetsskydd. Ökade krav från statens sida vid upphandling kan också förväntas öka förutsättningarna för svensk IT-industri att kunna leverera säkra produkter och system och därvid även stärka sin konkurrensförmåga på den internationella marknaden. Behov av beställarkompetens hos ägare av kritisk infrastruktur kan generaliseras till ägare av information i samhället i största allmänhet, alltså inte enbart kritisk infrastruktur. Varje myndighet måste kontinuerligt göra en risk- och sårbarhetsanalys som inbegriper den för myndigheten kritiska informationen. Det finns behov av att utveckla kompetensen i både risk- och sårbarhets- analys och i själva riskhanteringsprocessen. Motsvarande gäller även för kommuner och landsting och inom näringslivet. Även myndigheter, näringsliv och andra aktörer som inte hanterar samhällskritisk infrastruktur uppvisar ofta brister i beställarkompetens för informationssäkerhet. Det kan bero på bristande medvetenhet, brist på genomtänkt policy, avsaknad av kvalitetssäkring enligt Ledningssystem för informationssäkerhet eller andra skäl. Det förekommer inte sällan att övriga krav på funktionalitet specificeras före och under upphandling medan kraven på funktionalitet för informationssäkerhet specificeras i efterhand. Det är ofta förenat med betydande kostnader att i efterhand korrigera kraven på informationssäkerhet vid upphandling. blir dessutom måluppfyllelsen otillräcklig. När beställaren däremot är medveten om vad som krävs för ett bra informations- säkerhetsskydd, är det också möjligt att definiera skyddet, anpassa det och upphandla. Tillgång till certifierade produkter enligt Evalueringskriterier för IT-säkerhet, Common Criteria, (ISO/15408) eller för tjänster enligt Ledningssystem för informationssäkerhet, , (SS- ISO/IEC 17799, SS 627799-2) skulle avsevärt underlätta upphandling av informationssäkerhet. Utveckling av informations- säkerhet med stöd av internationellt accepterade standarder är en konstruktiv metod för att skapa tillit och förtroende såväl inom en organisation som mellan olika parter. Den möjliggör också en meningsfull revision av säkerheten, eftersom revisionen kan ske gentemot definierade mål och kvalitetsrutiner. Common Criteria behandlar kravspecifikation, granskning och evaluering av teknisk IT-säkerhet för produkter och system. rymmer för verksamheter och tjänsteproduktion liknande funk- tioner i ett bredare perspektiv, som innefattar såväl administrativa som tekniska kvalitetskrav på informationssäkerheten. Staten har ett ansvar för att utveckla beställarkompetensen. Det kan bland annat ske genom att successivt infoga kravet på certi- fiering vid upphandling men också genom tillämpning av kvalitets- kraven i Ledningssystem för informationssäkerhet, eller varianten OffLIS. Statskontoret bör ha ett särskilt ansvar för att stimulera en sådan ambitionshöjning i statens krav på säkra produkter och kvalitativa tjänster vid upphandling. Det krävs också en satsning på fortbildning i upphandlingsteknik inom området informationssäkerhet, som en del i en integrerad kravspecifikation vid upphandling. Expertmedverkan i form av konsultinsatser vid upphandling av komplexa informationssystem kan vara motiverad. Sannolikt kommer en ökad beställarkompetens att generera en större efterfrågan som marknaden snabbt kommer att reagera på och söka tillfredsställa. De värden som finns investerade i närings- livets nät, och som måste skyddas, innebär dessutom att det finns ytterligare starka drivkrafter för att utveckla kompetensen. Näringslivets behov av kompetensförsörjning har därför också betydelse för utformningen av den nationella strategin. Företeelsen outsourcing, det vill säga att lägga ut viktiga delar av verksamheten på lång entrepenadförvaltning ökar kraftigt behovet av beställarkompetens. Här kommer också tidsaspekten in som en viktig faktor. Vid första tillfället kan finnas en hög kompetens för att upphandla och sluta ett avtal om outsourcing av till exempel IT- funktioner. eller utan medarbetare med adekvat kompetens riskerar man hamna i ett underläge vid förnyad eller förlängd upphandling. Här bör för statens del Statskontoret ha ett särskilt ansvar för att kunna bistå med erfarenheter, kompe- tens och stöd. Även i sådana fall kan finnas skäl för expertmed- verkan genom konsultinsatser. har stor giltighet även för kommuner och landsting. För många aktörer, till exempel mindre och medelstora företag eller enskilda kommuner, kan outsourcing vara ett effektivt medel för att etablera funktionalitet med en kompetens och kvalitet som man saknar möjlighet att utveckla i egen regi. Outsourcing ställer dock alltid stora krav på beställarkompetensen. definierar i sina rekommendationer en basnivå för IT-säkerhet, BITS, som minst måste uppnås för IT- system, det vill säga som bedöms nödvändiga för att upprätthålla en organisations normala verksamhet även under fredstida kriser. Om denna basnivå är tillräcklig skall avgöras genom risk- och sårbarhetsanalys i varje enskilt fall. BITS har fyllt en funktion, dels genom sin existens, dels genom att etablera principen om en lägsta godtagbara nivå. Arbetet pågår nu för att få BITS att konvergera mot informationssäkerhets- standard eller OffLIS i de delar där parallellitet finns. Denna utveckling kommer att höja ambitionsnivån i statens krav på informationssäkerhet i offentliga system, på liknande sätt som sker i ett antal med för jämförbara länder. Informa- tionssäkerhet måste omfatta såväl tekniska system som admi- nistrativa rutiner. En ökad användning av internationellt accepte- rade standarder kommer att påskynda utvecklingen mot säkra informationssystem i hela samhället. Särskild uppmärksamhet bör dessutom ägnas kompetensen i avtalsfrågor. Mötet mellan teknik och juridik, särskilt när det gäller informationssäkerhet är komplicerat. Även här bör Statskontoret ha ett utvecklingsansvar. Den offentliga verksamheten måste ta tillvara den säkerhets- kompetens och den snabba utveckling som sker inom det privata näringslivet. Det är inte en uppgift för den offentliga sektorn att tillgodose behovet av leverantörskompetens utan det bör främst ske genom det utbud som utvecklas på den privata marknaden. Först i den mån marknaden inte är tillräckligt stor eller av någon annan anledning olämplig, måste staten kunna gå in. När det gäller infrastruktur och informationssystem som är nationellt samhälls- kritiska, kan det hävdas att staten har ett ansvar. I allmänhet har dock staten möjlighet att stimulera leverantörskompetens genom teknikupphandling på marknaden, som inrymmer också utveck- lingsinsatser. Men staten kommer varken ha anledning eller möjlighet att själv i någon större omfattning stå för denna kompetens. Staten kan därför anses ha ett ansvar att skapa förutsättningar för en hög kompetensnivå inom de företag som medverkar till att tillgodose samhällets behov av informationssäkerhet. Vid 2000-säkringen i samband med visades att revision är en konstruktiv metod för säkerhetsgranskning och säkerhetsutveckling också inom området IT-säkerhet. Revisions- området för näringslivet med Föreningen revisorer () och för statliga myndigheter, liksom internrevisionen inom många myndigheter ägnar frågor om informationssäkerhet en större uppmärksamhet i såväl effekti- vitetsrevision som i den årliga revisionen. För FAR gäller bland annat en ny redovisningsstandard RS 401, Revision i en datoriserad informationssystemmiljö, . RS 401 överensstämmer med den internationella redovisnings- standarden 401. Syftet med denna revisionsstandard är att lägga fast standarder och ge vägledning när revision utförs i en datoriserad informationssystemmiljö. Revisorn skall skaffa sig förståelse för systemfunktionerna, deras innebörd och komplexitet samt vilken tillgång de ger till uppgifter som skall användas i revisionen. Revisorn skall också skaffa sig förståelse för hur klientens verksamheter inom den datoriserade informationssystemmiljön är organiserade och i vilken utsträckning databehandlingen sker centralt eller utspritt i företaget samt hur tillgänglig informationen är. Reglerna är utarbetade bland annat efter erfarenheter från de uppmärksammade stora redovisningsskandalerna i amerikanska företag. Reglerna fokuserar mera på IT-säkerheten i redovisnings- systemen än på informationssäkerhet i dess bredare betydelse och kan behöva kompletteras. Inom pågår ett projekt som omfattar såväl effektivitetsrevisionen som den årliga revisionen som syftar till att utveckla och fördjupa revision av informationssäkerhet. Nya regler beräknas kunna tillämpas . Projektarbetet bedrivs utifrån en bredare syn på informationssäkerhet. Utred- ningen anser det angeläget att projektarbetet kan bedrivas skynd- samt så att nya regler för revision av tillfredsställande informations- säkerhet inte onödigtvis försenas. Tillämpning av standarder, till exempel , Ledningssystem för informationssäkerhet, i ett företags eller myndighets verksamhet underlättar för såväl intern som extern revision. Då finns klara förutsättningar från de krav som standarden ställer, såväl administrativt som tekniskt, att revidera mot. Saknas tillämpning av standarder försvåras en effektiv revision. Att underlätta för en effektiv revision av informationssäkerhet är ett centralt motiv för utredningens starka förord för att tillämpa standarder i myndigheter och i annan verksamhet i kommuner och landsting liksom i näringslivet. Revision av informationssäkerhet kräver ofta medverkan av specialister inom området informationssäkerhet. Tester av informationssäkerhet i myndigheter, till exempel penetrations- och funktionstester som genomför genom sin teknikkompetensfunktion bidrar till att ge underlag för förbätt- ringar i myndigheternas tillämpning av informationssäkerhet. Utredningen understryker dock att sådana tester bör ske i samråd med myndigheternas ledningar för att ge bästa resultat i uppfölj- ningen av resultaten. Certifiering av informationssäkerhet är möjlig. Utredningen har dock valt att inte föreslå ett generellt krav på certifiering. Det är omfattande, kan vara tidsödande och kostnadskrävande även om resultatet, en certifiering enligt standard, i sig kan vara angelägen. Att samhället erbjuder möjligheten att certifiera sig på frivillig väg bör däremot uppmuntras. är det i genom en svensk ordning, möjligt att certifiera ett ledningssystem för informationssäkerhet mot standarden SS 62 77 99 – 2. I har utvecklats en modell med tre olika former av certifiering i stigande grad, två självcertifieringsnivåer och en formell certi- fiering. Varje certifieringsnivå innebär att flera av skyddsåtgärderna i en standard måste implementeras och tillämpas. Syftet är att organisationen skall vinna en högre grad av tillit vid varje nivå. Självcertifiering innebär att organisationen själv förklarar sig uppfylla kraven i de två inledande nivåerna. Den som anser sig uppfylla basnivåerna respektive tilläggskraven kan låta sig listas på BSI:s (Bundesamt fur Sicherheit in der Informationstechnik; den tyska myndigheten för informationssäkerhet) webbplats. Den högsta nivån är en formell certifiering, som utförs av oberoende IT-revisor och certifikatet utfärdas av BSI, som därmed utfäster att organisationen uppfyllt de för nivån nödvändiga kraven. Utredningen anser att den modellen med en stegvis höjning av ambitionsnivån i riktning mot certifiering har fördelar. Den medverkar till att underhålla ett högt säkerhetsmedvetande och stimulerar till aktiva egna insatser för berörda att höja ambitionerna vid en tillämpning av informationssäkerhetsstandard. Utredningen avser återkomma till frågan i sitt organisatoriska betänkande. Området informationssäkerhet, liksom IT-säkerhet, befinner sig i mycket snabb förändring. Den teknik och de metoder som används, liksom de risker och hot mot säkerheten som uppstår förändras oupphörligt, när varje teknikgeneration i princip byts ut under en tre- till femårsperiod. Även möjligheterna att komma tillrätta med sårbarheter och risker förändras snabbt. Det gör att behovet av fortbildning i frågor som rör informationssäkerhet är mycket omfattande. Varje myndighet, företag, kommun, landsting eller annan organisation har ett ansvar för att se till att adekvat fortbildning genomförs för alla medarbetare, som har uppgifter inom området informationssäkerhet. I många fall handlar det om kvalificerade fortlöpande utbildningsbehov. Det kan gälla bland annat utbildning i risk- och sårbarhetsanalys liksom utbildning i själva risk- hanteringsprocessen. Tillämpning av informationssäkerhetsstandard som och ger en god grund för de utbildningsinsatser som är nöd- vändiga på informationssäkerhetsområdet. SIS, , ger ut handböcker och genomför utbildning i tillämp- ningen av informationssäkerhetsstandard. SIS är en medlems- baserad förening, ett centrum för arbetet med standarder och samarbetspartner med de europeiska och globala nätverken, , , och , . Beställarkompetensen måste utvecklas genom fortbildning i frågor om kravspecifikation, upphandling och avtalsrätt. I andra fall kan det röra sig om bredare fortbildning med tonvikt på säkerhetsmedvetande. Inte minst då informationsfunktioner och IT-funktioner läggs på entreprenad kan behovet av fortbildning för den egna personalen vara betydande. Erfarenheter från säkerhetsarbete, sårbarhetsanalys och kris- hantering måste återföras i en kompetenshöjande fortbildning inom främst myndigheter och företag med ansvar för samhälls- kritisk infrastruktur. Informationssäkerhet är alltid en ledningsfråga. Fortbildnings- behovet gäller därför även den verkställande nivån och styrelse- nivån i myndigheter och företag. 8.8Signalspaningskunskap som skydd för IT-system På liknande sätt som har kunnat ta tillvara signalspaningens unika kompetens för att skydda svenska kryptosystem bör man kunna ta tillvara även den kunskap om brister i IT-säkerhet som utvecklats inom signalspaningen. Det har betydelse för möjligheten att skydda samhällsviktiga system mot kvalificerade IT-relaterade hot. Före IT-revolutionen var huvudfrågan för staten att skydda samhällets kritiska kommunikationer (regeringen, försvarsmakten etc.) från andra länders signalspaning. Efterhand breddades verksamheten till att även omfatta andra samhällsviktiga sektorer som till exempel bankväsendet. När vi talar om informa- tionssäkerhet som det övergripande begreppet, omfattar det såväl IT-säkerhet som signalspaning och administrativ säkerhet. Det är en konsekvens av att samhällsviktiga IT-system finns inom alltfler områden. Hotet mot informationssystemen har fått allt större offentlig uppmärksamhet. Det som främst diskuteras är de nya sårbarheter som uppstått i och med informations- teknologins införande i till exempel el- och telesystemen och de ömsesidiga beroendeförhållanden som följt av detta. Vad som är mindre känt är de hot som uppstår genom att allt fler stater lägger alltmer resurser på underrättelseinhämtning (offensiv förmåga) via det globala nätet. rapporteras nya virus eller olika typer av gräns- överskridande kriminell verksamhet via de globala informations- näten. Mörkertalet är stort och långt ifrån allt blir känt och publikt. Säkerhetspolisen anger i sin öppna verksamhetsrapport att man har uppmärksammat att ett stort antal aktörer fortsätter visa ökat intresse och förmåga att genomföra olika typer av IT- relaterade angrepp. Andra studier visar tydligt på sårbarheten inför angrepp från främmande länders underrättelsetjänster och liknande kvalificerade aktörer. Mot dessa har enskilda, företag och organisationer mycket svårt att värja sig. Även teleoperatörer och andra aktörer med hög teknisk kompetens har svårt att värja sig mot denna typ av aktivi- teter, trots att det är deras system som utnyttjas. En rad rapporter från svenska myndigheter1 och samhällssektorer förstärker intrycket av att staten måste ta ett större ansvar för att möta de kvalificerade IT-relaterade hoten. Detta konstaterade också utredningen i sin andra delrapport (sid. 27): Utredningen vill peka på att det finns kvalificerade IT-relaterade hot som med den framväxande globala kommunikationsstrukturen och den nya IT-tekniken i en förlängning också skulle kunna innebära ett hot mot rikets säkerhet. Dessa hot utgör självfallet också ett hot mot många andra verksamhetsområden. Var gränsen går mellan allmänna hot och hot mot rikets säkerhet är inte absolut. Ett av de främsta medlen, förutom det förebyggande arbetet, för att möta de kvalificerade IT-relaterade hoten är att i högre grad inrikta vår underrättelsetjänst emot dem. Detta understryks också i regeringens hittillsvarande strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende system (prop. 2001/02:1 sid. 103): För att förhindra allvarliga informationsattacker mot bör underrättelse- och säkerhetstjänstens arbete förstärkas. Signalspaningen har stor betydelse för möjligheterna till skydd emot kvalificerade aktörsbundna IT-relaterade hot. vid- tagna åtgärder för att öka säkerheten i IT-systemen kommer inte att vara tillräckliga för att skydda oss från aktörsstyrda kvalifi- cerade IT-relaterade hot av säkerhetspolitisk dignitet. Signal- underrättelsetjänsten har en unik möjlighet att med sin kompetens kartlägga och identifiera illasinnade aktörer, och därmed bidra till att avvärja denna typ av hot. En av orsakerna till detta är att de flesta åtgärder för att öka säkerheten och robustheten i samhällsviktiga IT-system utgår ifrån olika typer av icke-aktörsbundna störningar, till exempel elavbrott, eller skydd emot relativt sett mindre kvalificerade aktörer, som till exempel hackers eller spridare av datavirus. Denna typ av åtgärder är långt ifrån tillräckliga när det handlar om nationella under- rättelsetjänster, terrornätverk eller annan grov och organiserad internationell kriminalitet, som använder det globala nätet för sina syften. 1 Se till exempel årliga hot och riskrapport, Totalförsvarets forskningsinstituts användarrapport, En studie om det kvalificerade IT-hotet (FOI-R-1182- SE) I sådana fall krävs att underrättelse- och säkerhetstjänsten, i första hand signalspaningen, har direktiv och mandat att agera mot hoten. Härigenom kan ett trovärdigt nationellt cyberförsvar upprätthållas, som även kan hantera kvalificerade attacker från olika aktörer.