sou · GTB371d2 · 2006-01-01 00:00:00 — Denna broschyr summerar de viktigaste resonemangen och förslagen från , med särskilt fokus på de två delrapporterna Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42) och Informationssäkerhetspolitik – organisatoriska konsekvenser (SOU 2005:71). Syftet med att ge ut en sammanfattning, såväl på svenska som på engelska, är att uppnå större spridning av utredningens förslag och slutsatser samt att göra dessa tillgängliga i ett behändigare format. Betänkandena kan beställas i sin helhet från (). De finns även tillgängliga I sin helhet på regeringens webbsida (). Tillgång till korrekt och säker information vid rätt tillfälle är en förutsättning för tillväxt, konkurrens, utveckling, välfärd och trygghet i samhället. Det gäller alla - medborgare, företag och offentlig verksamhet. Informations- och kommunikationstekniken har möjliggjort en explosionsartad utveckling inom informationsförsörjningen. innehar en framstående ställning internationellt i fråga om användning av ny teknik och redan genomförda investeringar i människor. Kompetens och teknik utgör en stor potential för framtiden. Med ny teknik - där uppgifter och information bearbetas, lagras och förmedlas elektroniskt - följer inte bara ökade möjligheter, utan också problem i form av nya sårbarheter och beroenden. IT- utvecklingen har visat sig vara snabbare än förmågan att utveckla adekvat säkerhetstänkande. Frågor kring sårbarheten berör ett mycket stort antal aktörer och intressen, och området präglas av stor dynamik. Det är svårare att värna säkerheten i moderna informations- och kommunikationssystem, där informationen lagras, bearbetas och förmedlas elektroniskt än när informationen föreligger i fysisk form. Detta ger även upphov till juridiska problem. Bilden av dagens brister och hot är mycket komplex och därmed även behovsbilden. Därför behövs, enligt utredningen, en sammanhållen politik inom informationssäkerhetsområdet. Det är nödvändigt att etablera vissa principer som kan ligga till grund för beslut om ansvarsfördelning och åtgärder i samhället. Två principer har utkristalliserats: den första handlar om hotets ursprung och den andra om hotets möjliga konsekvenser. Enligt utredningens mening innebär den första principen att ansvaret för hanteringen av administrativa och tekniska säkerhetsbrister faller på den som är ansvarig för verksamheten. Detta följer även av ansvarsprincipen. Det utesluter dock inte att staten har ett ansvar, till exempel för vissa förebyggande åtgärder inom det privata området. Det kan vara svårt för enskilda och företag att skydda sig mot aktörsberoende, antagonistiska hot. Dessa hot kan mycket snabbt komma att kräva statliga insatser, särskilt när det gäller samhällsviktig verksamhet. Var gränsen mellan det privata och det offentliga åtagandet går är mycket svårt att slå fast. Den andra principen innebär att ju svårare konsekvenser ett hot eller en brist kan leda till, desto mer sannolikt är det att staten kommer att involveras i någon form. I det statliga åtagandet bör därför ingå frågor om till exempel krishantering, brottsbekämpning eller totalförsvar. Med dessa starkt förenklade principer för arbets- och ansvarsfördelning inom informationssäkerhetsområdet som utgångspunkt kan fyra uppgifter eller handlingslinjer urskiljas: att förebygga, förbereda inför, förhindra respektive att hantera allvarliga störningar. Dessa är uppgifter som flertalet aktörer måste axla i en eller annan form. Två av dessa mål eller uppgifter ingår redan i regeringens strategi; att förhindra och hantera. Det finns ingen definitiv lösning på problemet med informationssäkerhet. Därtill är problemet alldeles för komplext och området dessutom under ständig utveckling. Utredningen anser dock att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med problem som rör informationssäkerhet. En av utredningens huvuduppgifter är därför att se utvecklingsmöjligheter i den av regeringen angivna strategin för informationssäkerhet. Övergripande målsättning för informationssäkerheten Regeringens övergripande målsättning är att upprätthålla en hög informationssäkerhet i hela samhället, som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. Strategin för att nå detta mål, liksom för övrig krishantering i samhället, måste utgå från ansvarsprincipen, likhetsprincipen och närhetsprincipen. Utredningen delar regeringens bedömning. Ett dilemma för utredningen I utredarens uppdrag ingår att utarbeta förslag till hur den svenska informationssäkerheten kan förbättras och överväga vad den enskilda medborgaren kan göra, vad som bör falla på enskilda företag och vad som kan lämnas till marknaden respektive vad som faller inom det offentliga åtagandet. Utredningen har också sett som sin uppgift att överväga vilka administrativa respektive tekniska åtgärder som kan aktualiseras, liksom vilka olika former av administrativa, ekonomiska och informativa styrmedel som bör användas i sammanhanget. Utredningen beklagar att delbetänkande tre har kommit att domineras av överväganden som rör det offentliga agerandet - särskilt det statliga - och de tekniska aspekterna av informationssäkerhet. Detta är en konsekvens av utredningens direktiv, som i flera fall är direkta beställningar som rör statens eget agerande och som därför nödvändiggör en fördjupning av resonemangen. Detta bör inte uppfattas som ett uttryck för var utredningen anser att tyngdpunkten i informationssäkerhetsarbetet bör ligga. Utredningen menar att den av regeringen tidigare redovisade strategin (prop. 2001/02:158, Samhällets säkerhet och beredskap) i grunden är riktig. Utredningen har dock funnit anledning att konkretisera och fördjupa den. I regeringens strategi ingår även vissa organisatoriska åtgärder. Utredningen har tagit fram underlag för utvärdering och återkommer till dessa frågor i slutbetänkandet. Utredningen framhåller att en strategi för informationssäkerhet måste kunna inrymma många aspekter, tidsperspektiv, mål och medel eftersom den syftar till att sammanfatta en handlingslinje på lång sikt. Strategin skall kunna ligga till grund både för privata och offentliga aktörer. En ökad informationssäkerhet måste därför bygga på att regeringen i en nationell strategi lyckas fånga in frågeställningar som kan omfattas av flertalet aktörer och intressenter. Utredningen föreslår en strategi som innefattar att: 1.utveckla position inom EU och i internationella sammanhang 2.skapa förtroende, trygghet, säkerhet, och öka integritetsskyddet 3.främja ökad användning av IT 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem 5.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen 6.förstärka förmågan inom området nationell säkerhet I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet 8.fokusera på samhällsviktig verksamhet 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd Utredningen har valt att inledningsvis betona att de europeiska och de internationella sammanhangen är av strategisk betydelse. Informationssäkerhet är ett gemensamt, internationellt problem och de strategiska lösningarna måste därför utvecklas i samverkan med andra länder - både inom EU och i internationella organ. En bred tillämpning av riktlinjer är därvid ett viktigt steg. Förmågan att samordna arbetet behöver utvecklas, dels för att fullfölja svenska positioner och åtaganden, men också för att bättre ta tillvara de erfarenheter som andra internationella aktörer gör. Att skapa förtroende och främja ökad användning av IT Den andra punkten är liksom den tredje punkten nationell till sin karaktär i den meningen att ansvar, befogenheter och resurser redan finns. Utredningen vill betona att den ökade informationssäkerheten skall stödja en svensk utveckling av näringsliv och offentlig sektor och skall främja en demokratisk utveckling och ökad trygghet för medborgarna. Detta innebär att förtroendet för informationsförsörjning måste kunna upprätthållas, även när den sker elektroniskt. En väl fungerande informationsförsörjning bygger på att informationssäkerheten kan utvecklas, vilket i sin tur är en förutsättning för ökad användning av IT. Detta är också en förutsättning för tillväxt, konkurrens och utveckling. Att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar I regeringens övergripande strategi ingår formuleringen att kunna förhindra och hantera störningar i samhällsviktig verksamhet. Utredningen menar att strategin bör tydliggöra vikten av förebyggande och förberedande åtgärder. Vidare betonar utredningen att begreppet hantera måste inkludera förmågan att i olika former upptäcka, ingripa och agera i samband med störningar - till exempel genom brottsbekämpning. Dessa kompletteringar skall klargöra att informationssäkerhetsarbete måste omfatta alla skeden och flera aktörer. Det innebär att den förebyggande uppgiften och de förberedande åtgärderna måste bli en del av många myndigheters sektorsansvar och instruktionsmässiga uppgift. Utredningen föreslår vidare att regeringens strategi i denna fråga preciseras till att avse störningar i informations- och kommunikationssystem. Frågan om prioriteringar av samhällsviktig verksamhet bör behandlas som en särskild punkt i strategin. Att förstärka underrättelse- och säkerhetstjänsterna och att förbättra delgivningen Regeringen har tidigare konstaterat att underrättelse- och säkerhetstjänsternas arbete bör förstärkas för att förhindra allvarliga informationsattacker mot svenska intressen. Utredningen delar denna uppfattning, men framhåller att flera aktörer måste kunna få del av underrättelseinformation för att kunna beakta denna i sitt eget säkerhetsarbete. Utredningen är väl medveten om de restriktioner och svårigheter som ligger i uppgiften men framhåller ändå att bearbetning och delgivning av underrättelseinformation måste utvecklas i syfte att ge underlag för alla aktörer med uppgifter inom informationssäkerhetsområdet. Att förstärka förmågan inom området nationell säkerhet I det statliga åtagandet ingår frågor om nationell säkerhet i vid mening - till exempel krishantering, brottsbekämpning, kontraterrorism eller totalförsvar. För att möta de mest kvalificerade hoten krävs, enligt utredningens mening, en förstärkt förmåga att upptäcka och analysera störningar, liksom en förmåga att kunna ingripa och agera kraftfullt mot antagonistiska och/eller kriminella aktörer. Utan en helhetssyn på de tekniskt relaterade hoten kan staten inte skydda samhället från kvalificerade aktörers angrepp på svenska informationssystem. En sådan helhetssyn förutsätter tillgång till relevant information, kompetens och teknisk utrustning. Detta är frågor som kräver långsiktighet och uthållighet och därför bör innefattas i en nationell strategi. I de första sex punkterna har utredningen försökt sammanföra frågeställningar och överväganden som handlar om strategiska målsättningar. Utredningen har även funnit anledning att föreslå inriktning och prioriteringar av det framtida informationssäkerhetsarbetet. Att utnyttja samhällets samlade kapacitet Utredningen föreslår att utgångspunkten för informationssäkerhetsarbetet bör vara att bättre utnyttja samhällets samlade kapacitet på området. De investeringar som redan gjorts i människor, kompetens och teknik utgör en värdefull potential för framtiden. Ökad informationssäkerhet handlar därför, enligt utredningens synsätt, inte i första hand om ytterligare investeringar utan snarare om en tydligare ansvars- och arbetsfördelning mellan samhällets olika aktörer. Den tekniska utvecklingen på IT-området är i allt väsentligt styrd av olika privata aktörer på marknaden. Eftersom utvecklingen sker på marknaden är det också i första hand där som säkerhetslösningar måste utvecklas. Inom samhällsviktiga områden måste därför aktörerna inom offentlig sektor utveckla sina förutsättningar och sin förmåga som kravställare och beställare. Samverkan mellan privat och offentlig sektor Enligt utredningens mening borde det vara möjligt att inom ytterligare sektorer/områden utveckla samverkan i syfte att öka informationssäkerheten. Utredningen har kunnat konstatera att näringslivet välkomnar en bredare samverkan kring informationssäkerhet till ömsesidig nytta, men att denna samverkan måste vara frivillig. Staten måste därför hitta former för en dialog med näringslivet som får anpassas till varierande förutsättningar. Det staten kan göra handlar då om att tydliggöra sin egen uppgift och att peka ut en myndighet med sammanhållande ansvar. Att utveckla former för samverkan mellan det privata och offentliga är av strategisk betydelse. Samverkan inom offentlig sektor Utredningen har konstaterat att staten i stort sett har samma problem att hantera som kommuner och landsting. Förutsättningarna för samverkan inom staten respektive mellan kommunerna företer också många likheter. Det kan enligt utredningen finnas skäl att genom en särskild överenskommelse bekräfta en samsyn i informationssäkerhetsfrågor och att tydliggöra att kommuner och landsting kan disponera tillgängliga statliga medel även för dessa ändamål. Varje enskild verksamhetsansvarig ansvarar själv för leveranssäkerheten och kvaliteten i sin verksamhet. Informationssäkerhet - såväl teknisk som administrativ - måste ses som en integrerad del av verksamhetsansvaret och skiljer sig på så vis inte nämnvärt från andra typer av säkerhetsfrågor. Åtagandet skulle således följa ansvarsprincipen. Enligt utredningens mening måste det ligga inom varje medborgares eget ansvar att inhämta kunskaper och vara medveten om de säkerhetsrisker som följer med elektronisk hantering. På motsvarande sätt anser utredningen att det i princip måste ligga inom varje företags åtagande att svara för såväl kompetensförsörjning som säkerhet i de egna informationssystemen. I det privata åtagandet måste även ingå att säkerställa säkerheten i de fall någon utomstående anlitas för tjänster av olika slag. För samhällsviktig verksamhet och system finns det dock anledning för staten att ställa särskilda krav på leveranssäkerhet och kvalitet, vare sig verksamheten drivs av privat eller enskild. Ett problem som utredningen lyfter fram är att det inte har funnits några kriterier för vad som skulle kunna betraktas som samhällsviktig verksamhet. Det grundläggande synsätt som utredningen redovisat på det privata åtagandet är till största del tillämpligt även på verksamheten hos myndigheter och organ inom offentlig sektor. All verksamhet skulle således innefatta ett samlat ansvar för kompetensförsörjning och säkerhet i de egna informations- och kommunikationssystemen. Enligt utredningens mening är det av stor vikt för samtliga aktörer att statens åtagande preciseras. Även om statens möjligheter att styra andra aktörer är begränsad så tydliggörs i vart fall indirekt vad staten anser bör ingå i andra aktörers ansvar. Statens åtagande, ansvar och intresse har därför av utredningen sammanfattats i följande fyra punkter: 1.Staten har ett övergripande ansvar för att en helhetssyn etableras och appliceras på informationssäkerheten och att nationella intressen bevakas inom EU och i internationella sammanhang. 2.Staten har ansvaret för samhällets spelregler inom informationssäkerhetsområdet. 3.Staten har ett särskilt ansvar för informationssäkerheten inom ett antal politikområden. Det gäller statens kärnverksamhet som till exempel rättsväsendet och underrättelse- och säkerhetstjänsterna. Det gäller även ansvaret för att olika samhällsviktiga verksamheter (elförsörjning, telekommunkationer etc.) bedrivs med tillräcklig säkerhet oavsett vem som äger dem. 4.Staten har slutligen ett eget intresse och ansvar för informationssäkerheten inom sitt verksamhets- och ansvarsområde, i sina olika roller som ansvarig för myndighetsutövning, i sin ägarroll etc. Att fokusera på samhällsviktig verksamhet Utredningen menar, liksom regeringen, att det av flera skäl är nödvändigt att fokusera ansträngningarna till sådana verksamheter som är av vital betydelse för samhällets funktioner. En verksamhet måste således betraktas som samhällsviktig om ett bortfall eller en störning av denna skulle få allvarliga konsekvenser för en eller flera samhällsfunktioner. Det är uppenbart att leveranssäkerheten och kvaliteten i den tekniska infrastrukturen kommer att vara beroende av hur informationssäkerheten i dessa system utvecklas. Men även många andra samhällstjänster är beroende av säkerheten i informations- och kommunikationssystemen. En helhetssyn på informationssäkerheten i samhällsviktiga verksamheter blir därför allt viktigare. Eftersom samhällets resurser inte är obegränsade kommer därför en prioritering mellan samhällsviktiga verksamheter också att vara av strategisk betydelse. finns inga av regeringen fastlagda kriterier eller definitioner som kan ligga till grund för urvalet. Utredningen föreslår därför att regeringen, med stöd av det underlag som har framtagits under utredningens arbete, konkretiserar vilka verksamheter som är samhällsviktiga och därmed kan bli föremål för särskilda åtgärder. IT-området utvecklas snabbare är säkerhetsmedvetandet. Det ökade IT-användandet har lett till ett ökat beroende av säkerhet och kvalitet i olika tjänster men medvetandet om sårbarheter, hot och risker är mycket lågt hos enskilda användare. Detsamma gäller kunskapen om vilka skyddsåtgärder som finns och erbjuds på marknaden. Enligt utredningens mening är medvetandet så dåligt och bristerna så utbredda att särskilda insatser är motiverade . Enligt utredningens mening är det av strategisk betydelse att kunna säkerställa kompetensförsörjningen inom informationssäkerhetsområdet. Utredningen konstaterar också att staten behöver egen och unik kompetens. Dels har staten krav på sig att ta ansvar för samhället oavsett konjunkturer eller annat som styr efterfrågan på kompetens. Staten har också det yttersta ansvaret för den nationella säkerheten, vilket ställer särskilda krav. Utredningen konstaterar att inte har tillräckliga resurser för att bygga dubbla strukturer. Därför krävs informationsutbyte och samarbete mellan näringslivet och den offentliga sektorn. Strategi – samverkan - regelverk I ovanstående tio punkter har utredningen sammanfattat sin syn på vad som bör ingå i en nationell informationssäkerhetsstrategi. Strategin har ett långsiktigt perspektiv och skall kunna ligga till grund för handlingsplaner, prioriteringar och åtgärder , vilka kan förnyas utifrån ändrade omständigheter. Strategin vänder sig till alla aktörer - såväl privata som offentliga. Strategin kan ligga till grund för att öka informationssäkerheten i samhället genom en kontinuerlig process. Strategin förutsätter därför att formerna för samverkan utvecklas. Dessutom krävs ett modernt regelverk som stödjer, framtvingar eller tydliggör krav på aktörerna och som säkerställer att säkerheten efterlevs. Staten förfogar över en rad administrativa, ekonomiska och informativa styrmedel. I praktiken är dessa relativt svagt utvecklade på informationssäkerhetsområdet och utredningen lämnar därför förslag till inriktning av fortsatt författningsarbete och tillämpning av standard. Utredningen menar att en målstruktur för informationssäkerhet skulle kunna medverka till en sammanhållen politik på området. Regeringen anmälde i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158) att man hade för avsikt att göra en översyn av de rättsliga aspekterna, inklusive de internationella, på området informationssäkerhet. Utredningen kan konstatera att någon samlad översyn ännu inte har påbörjats, även om vissa författningsändringar har genomförts på enstaka delområden. Detta har verkat återhållande på möjligheterna till ett samlat grepp i utredningen. Med tanke på den stora betydelse som informationssäkerheten har för all samhällsviktig verksamhet föreslår utredningen, i avvaktan på en översyn av hela området, att regeringen prövar möjligheten att genom författningar lägga grunden för vissa åtgärder inom området. Behovet av en tillfredställande informationssäkerhet är inte begränsat till verksamheter som är av betydelse för rikets säkerhet eller skyddet mot terrorism. Behovet är inte heller begränsat till information som är hemlig enligt sekretesslagen (1980:100) eller som är känslig ur ett integritetsperspektiv och så vidare. Behovet av säkerhet för information kan - som utredningen har pekat på - göra sig lika starkt gällande även på andra områden. Utredningen har därför förordat en bred definition av begreppet informationssäkerhet, med utgångspunkt i . Enligt dessa syftar informationssäkerheten till att främja tillväxt, konkurrens och välfärd. För uppgifter som lagras, bearbetas och överförs i elektronisk form skall säkerheten uppfyllas genom krav på konfidentialitet, okränkbarhet och tillgänglighet. Bestämmelser om informationssäkerhet finns i flera olika författningar. Det saknas dock ett heltäckande och sammanhållet regelverk på informationssäkerhetsområdet som motsvarar utredningens bredare definition av begreppet informationssäkerhet. Enligt utredningen finns det därför ett behov av ett utvidgat regelverk. Utredningen visar möjliga vägar att gå för att åstadkomma ett sådant regelverk. En väg skulle vara att utöka tillämpningsområdet för nuvarande säkerhetsskyddslagstiftning. En annan väg skulle vara en helt ny lag på informationssäkerhetsområdet. Framtagandet av ett sådant regelverk, som utredningen anser att det finns ett stort behov av, måste dock föregås av en mycket mer omfattande och djupare analys än vad denna utredning har möjlighet att göra. Frågan om ett mera sammanhållet och heltäckande regelverk på informationssäkerhetsområdet måste därför utredas i särskild ordning. Utredningen anser dock att den har stöd för att föreslå lagstiftningsåtgärder för att råda bot på brister i dagens regelverk. Utredningen föreslår en ny förordning om vissa åtgärder för informationssäkerhet hos staten. Genom detta förslag kan staten ta initiativ och driva på det praktiska säkerhetsarbetet hos myndigheterna. Detta kan i sin tur utgöra riktvärde för andra aktörers arbete. Vidare föreslår utredningen att begreppet informationssäkerhet utmönstras ur säkerhetsskyddslagstiftningen, och ersätts med begreppet sekretessäkerhet. Enligt utredningen finns starka motiv för att stärka säkerheten i nätsäkerhetsrelaterade frågor. har också tagit vissa initiativ i dessa frågor och från gäller utvidgade tillämpningsbestämmelser för säkerheten. Enligt utredningens mening handlar det därutöver om att förstärka möjligheterna att ställa tydligare krav på leveranssäkerhet och kvalitet. Andra aspekter av säkerheten handlar om filtreringsfrågor samt hantering av vissa abonnentuppgifter. Utredningen stödjer Post- och () ambitioner i denna fråga. Standardiseringen på informationssäkerhetsområdet har kommit långt. Informationssäkerhet är ytterst en fråga om kvalitetstänkande. När det gäller hantering och utbyte av elektronisk information är det av vikt att det bygger på standarder. Fördelarna är många. Utredningens uppfattning är att staten bör verka för en bred användning av standarder inom statlig verksamhet. () har ett uppdrag att bygga upp en svensk certifieringsordning för Common Criteria. Mot bakgrund av erfarenheter från andra länder är det troligt att Försvarsmakten och andra myndigheter med mycket höga sekretesskrav kommer att vara de viktigaste intressenterna för certifierade produkter och program. Tillgång till certifierade produkter underlättar för alla myndigheter, företag och andra som önskar upphandla produkter med hög säkerhet. Ledningssystem för Informationssäkerhet () är en anvisning för hur man åstadkommer ett ledningssystem. Standarden är inte ett ledningssystem i sig. omfattar hela informationssäkerhetsbegreppet och fokuserar på de risker och hot som kan uppkomma inom en organisation. Tillämpning leder till förbättrade administrativa och tekniska rutiner.