sou · GTB342 · 2006-01-01 00:00:00 — En av de grundläggande principerna för ansvars- och arbets- fördelningen på informationssäkerhetsområdet innebär att ju svårare konsekvenser ett hot eller en brist kan leda till, desto mer sannolikt att staten kommer att involveras i någon form. I det stat- liga åtagandet bör därför ingå frågor som rör den nationella säkerheten i vid mening, till exempel krishantering, brottsbekämp- ning inklusive kontraterrorism eller totalförsvar. För att möta de mest kvalificerade hoten krävs, enligt utredningens mening, en förstärkt förmåga att upptäcka och analysera störningar liksom en förmåga att kunna ingripa och agera kraftfullt mot antagonistiska aktörer. Utan en helhetssyn på de tekniskt relaterade hoten kommer staten inte att kunna skydda samhället från kvalificerade aktörers angrepp på svenska informationssystem. En sådan helhets- syn förutsätter tillgång till relevant information, kompetens och Förslag till nationell strategi teknisk utrustning, frågor som kräver långsiktighet och uthållighet och därför bör innefattas i en nationell strategi. I dessa första sex punkter har utredningen försökt sammanföra frågeställningar och överväganden som handlar om strategiska målsättningar. Utredningen har även funnit anledning att föreslå inriktning och prioriteringar av det kommande informations- säkerhetsarbetet i syfte att stödja regeringens övergripande mål att upprätthålla hög informationssäkerhet i samhället. Dessa förslag bör också ingå i en långsiktig strategi. Mot denna bakgrund föreslår utredningen att utgångspunkten för informationssäkerhetsarbetet bör vara att bättre utnyttja samhällets samlade kapacitet på området. De investeringar som redan gjorts i människor, kompetens och teknik utgör en värdefull potential för framtiden. Ökad informationssäkerhet handlar därför enligt utredningens synsätt inte i första hand om ytterligare investe- ringar utan snarare om en tydligare ansvars- och arbetsfördelning mellan samhällets olika aktörer. Den tekniska utvecklingen på IT- området är i allt väsentligt styrd av olika privata aktörer på marknaden. Eftersom utvecklingen finns i marknaden är det också där som säkerhetslösningar måste utvecklas. Inom samhällsviktiga områden måste därför aktörerna inom offentlig sektor utveckla sina förutsättningar och sin förmåga som kravställare och beställare. Enligt utredningens mening borde det vara möjligt att inom ytter- ligare sektorer utveckla samverkan i syfte att öka informations- säkerheten, särskilt om uppgiften att förebygga och förbereda tydliggörs för ytterligare myndigheter med sektorsansvar som involverar näringslivet som aktörer. Utredningen har kunnat konstatera att olika representanter för näringslivet välkomnar en bredare samverkan kring informationssäkerhet till ömsesidig nytta men att denna samverkan måste vila på frivillighet. Att utveckla former för samverkan mellan det privata och offent- liga är mot denna bakgrund av strategisk betydelse. Utredningen menar, liksom regeringen, att det av flera skäl är nödvändigt att fokusera ansträngningarna till sådana verksamheter som är av vital betydelse för samhällets funktioner. En verksamhet måste således betraktas som samhällsviktig om ett bortfall eller en störning av denna skulle få allvarliga konsekvenser för en eller flera samhällsfunktioner. Det är uppenbart att leveranssäkerheten och kvaliteten i den tekniska infrastrukturen kommer att vara beroende av hur informationssäkerheten i dessa system utvecklas. Men även många andra samhällstjänster är beroende av säkerheten i informa- Förslag till nationell strategi tions- och kommunikationssystemen. En helhetssyn på informa- tionssäkerheten i samhällsviktiga verksamheter blir därför allt viktigare. Eftersom samhällets resurser inte är obegränsade kommer därför en prioritering mellan samhällsviktiga verksamheter också att vara av strategisk betydelse. IT-området utvecklas snabbare än säkerhetsmedvetandet. Det ökade IT-användandet har lett till ett ökat beroende av säkerhet och kvalitet i olika tjänster men medvetandet om sårbarheter, hot och risker är mycket lågt hos enskilda användare. Detsamma gäller kunskapen om vilka skyddsåtgärder som finns och erbjuds på marknaden. Enligt utredningens mening är medvetandet så dåligt och bristerna så utbredda att särskilda insatser är motiverade . En rad åtgärder måste, enligt utredningen vidtas för att ytter- ligare förbättra säkerhetsmedvetandet och öka kunskaperna. Det bör bland annat ske inom ramen för utbildningssystemet. Lärar- utbildningen måste förbättras och säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar, måste byggas in i skolans grundläggande data- och IT-utbildning i såväl grund- som gymnasieskolan. En betydande del av utbildningsbehovet måste tillgodoses inom högskolans ram. Kopplingen måste stärkas mellan utbildning och forskning. Informationssäkerhet bör utgöra en baskunskap för många yrkesgrupper, alltifrån jurister, samhälls- vetare, lärare och ekonomer till tekniker. Det finns skäl att stimulera till etablering av kvalificerad utbildning i informations- säkerhet på magisternivå för att bland annat tillgodose efterfrågan av tjänster inom området. De växande behoven av säkra informa- tionssystem ställer också krav på ökade resurser för forskning inom informationssäkerhet. Enligt utredningens mening är det således av strategisk betydelse att kunna säkerställa kompetensförsörjningen inom informationssäkerhetsområdet. I dessa tio punkter har utredningen sammanfattat sin syn på vad som bör ingå i en nationell informationssäkerhetsstrategi. Strategin har ett långsiktigt perspektiv och skall kunna ligga till grund för handlingsplaner, prioriteringar och åtgärder , vilka kan förnyas utifrån ändrade omständigheter. Strategin vänder sig till alla aktörer, såväl privata som offentliga. Strategin kan ligga till grund för att öka informationssäkerheten i samhället genom en kontinuerlig process. 10Handlingsprogram; förslag till åtgärder Med utgångspunkt i förslaget till nationell strategi redovisar utred- ningen ett förslag till handlingsprogram med förslag till åtgärder. Staten förfogar i princip över en rad administrativa, ekonomiska och informativa styrmedel. I praktiken är dessa svagt utvecklade inom området informationssäkerhet. Utredningen lämnar därför bland annat förslag till fortsatt författningsarbete och tillämpning av standard för att uppnå en godtagbar nivå. Utredningen föreslår även en målstruktur för informations- säkerhet som kan medverka till en mera sammanhållen politik för informationssäkerhet. Utredningen har inte sett som sin uppgift att skapa en ny terminologi för informationssäkerhet utan använder det språkbruk som anges i SIS terminologi för informations- säkerhet och de begrepp som EU använder1. Det man vill uppnå är konfidentialitet, okränkbarhet och tillgänglighet. Informationssäkerhet är en angelägenhet för hela samhället. Behovet är inte begränsat till verksamheter av betydelse för rikets säkerhet eller skyddet mot terrorism. Behovet är inte heller begränsat till information som är hemlig enligt sekretesslagen. Informationssäkerhet är inte en åtgärd vid extraordinära händelser, utan ett vardagskrav för god funktion. Olika aktörer, som offentlig sektor, privat sektor och med- borgare, har olika behov av informationssäkerhet, men också skiftande ansvar och skyldigheter. Alla aktörer har inte samma möjligheter att bidra till informationssäkerhet utanför den egna verksamheten. 1 Informationssäkerhet definieras av SIS som säkerhet rörande förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt spårbarhet och oavvislighet. EU definierar informationssäkerhet som förmågan hos ett nät att tåla, vid en viss tillförlit- lighetsnivå, olyckshändelser eller illvilligt uppträdande som äventyrar tillgängligheten, äktheten (autentisering), integriteten och konfidentialiteten hos lagrade eller vidarebeford- rade data och besläktade tjänster som tillhandahålls av eller är tillgängliga via dessa nät. Handlingsprogram; förslag till åtgärder Ansvarsprincipen, närhetsprincipen och likhetsprincipen så som de definieras i krishanteringssystemet bör tillämpas även för informationssäkerhet. Ett begrepp som visat sig grundläggande i utredningens arbete är samhällsviktig verksamhet. Utredningen anser att det finns ett starkt behov av att definiera vilka kriterier som skall upp- fyllas för att en verksamhet eller ett system skall betraktas som samhällsviktig. Nationellt ansvar och internationella åtaganden Inhemska huvudaktörer på informationssäkerhetsområdet är stat, kommuner och landsting samt näringslivet. De har eget ansvar för sina respektive områden, men också möjligheter att tillsammans utveckla informationssäkerheten i hela samhället. Staten skall ta huvudansvar för att utveckla samverkansformer. Uppgiften att förebygga allvarliga incidenter bör bli en del av många myndigheters sektorsansvar och instruktionsmässiga uppgift. Staten bör träffa ett avtal med Kommuner och Landsting inom området informationssäkerhet. Etermedias beroende av funktionalitet och fungerande system för informationssäkerhet bör uppmärksammas såväl i produk- tion som i distribution. Staten har ansvar för skyddet mot IT-attacker från främmande land eller från andra allvarliga antagonistiska aktörer som drabbar . Utredningen anser att staten måste ha en kvalificerad teknisk kompetens för att kunna förebygga och förhindra nationella kriser med IT-inslag, liksom för att kunna testa säkerheten i verksamheter av stor betydelse för rikets säkerhet eller för samhällets funktionsförmåga. Förmågan att kunna respondera vid incidenter i informations- säkerhet måste utvecklas i ett nära internationellt samarbete. Möjligheterna till helhetssyn måste förbättras. Helhetssyn kräver tillgång till relevant information, såväl öppen som Handlingsprogram; förslag till åtgärder Det förutsätter deltagande även från underrättelse- och säkerhetstjänsterna. agerande i det internationella samarbetet kring informationssäkerhet måste samordnas, liksom svenska ställ- ningstaganden i policyfrågor. måste också säkerställa en hög teknisk kompetens för att kunna vara en aktiv aktör och en attraktiv partner i EU och i internationellt samarbete. Det arbete som genomförs inom EU måste syfta till att öka nät- och informationssäkerheten och därigenom stärka integri- teten och tillgängligheten. Utredningens förslag innebär en implementering av riktlinjer till svenska förhållanden. Infrastrukturen för Internet som består av såväl fysiska som logiska element måste skyddas för att möjliggöra ett säkrare Internet. Operatörerna bör både ha möjlighet och skyldighet att vidta förebyggande åtgärder. Hit hör också att skydda mot avbrott och störningar i elförsörjningen. Författningsändringar är nödvändiga. Det behövs ett utvidgat, mera sammanhållet och heltäckande regelverk som motsvarar utredningens bredare definition av begreppet informations- säkerhet. Utredningen förordar en helt ny lag på informations- säkerhetsområdet. Framtagandet av ett sådant regelverk måste dock föregås av en omfattande och djupgående analys, vilket kräver en särskild utredning. Utredningen föreslår ändå lagstiftningsåtgärder för att råda bot på vissa brister i dagens regelverk. En ny förordning föreslås om vissa åtgärder för informationssäkerhet hos staten. Handlingsprogram; förslag till åtgärder Begreppet informationssäkerhet föreslås utmönstras ur säker- hetsskyddslagstiftningen för att ersättas med begreppet sekre- tessäkerhet. Att få fram en bra basnivå för alla myndigheters informations- säkerhet underlättar möjligheterna att revidera säkerheten, liksom för Säkerhetspolisens författningsreglerade arbete med rådgivning och kontroll. För att förbättra informationssäkerheten föreslår utredningen att staten skall gå i bräschen för en bred användning av standarder för informationssäkerhet inom i princip all statlig verksamhet. EU har pekat ut standarderna Common Criteria och Lednings- system för informationssäkerhet, , som grunder för informationssäkerhet. Statskontorets startpaket OffLIS bör tills vidare utgöra ett rekommenderat stöd vid införandet av i statlig verksamhet. Datainspektionens allmänna råd bör relateras och närmas till . En översyn är aviserad med detta syfte . Målstruktur; finansiell styrning I statens målstruktur bör informationssäkerhet vara ett verk- samhetsområde. Ett exempel på ett målresonemang skulle kunna vara kravet på robusthet och säkerhet inom samhälls- viktiga verksamheter och övergripande mål som avser krav på prestationsförmåga eller tillgänglighet. Övergripande krav bör formuleras i måltermer, inte som krav på vissa tekniska lösningar. På nivån verksamhetsgren kan säkerhetsmål vara generella krav på tillämpning av standarder eller krav på lägsta godtagbara funk- tionsförmåga, dels normalt, dels under störda förhållanden. Vid koncessioner bör säkerhetskrav arbetas in i koncessions- villkoren. Handlingsprogram; förslag till åtgärder På myndighetsnivå kan målen för informationssäkerhet formuleras som operativa prestationsmål, krav på tillgänglighet, specifik tillämpning av standarder, krav på säkerhetspolicy, samt krav på tester och revision av säkerheten. Med utgångspunkt i ansvarsprincipen är det rimligt att finansi- ering av informationssäkerhet i huvudsak sker genom ordinarie anslag. Att ta ut avgifter som i praktiken används för att finansiera informationssäkerhet för de som erlagt avgifterna kan vara möjligt inom till exempel teknisk infrastruktur. Det är enligt utredningen motiverat att även – särskilt för ändamål som kan ses som långsiktiga investeringar i en högre informationssäkerhet – behålla möjligheterna till kompletterande finansiering via den s.k. civila ramen. Det finns starka skäl att öka insatserna för ett brett säkerhets- medvetande. Främst gäller det att öka medvetenheten om sårbarhet och risker, men också om metoder och åtgärder för en säkrare IT-användning. Information kan vara ett hushålls, företags eller ett samhälles allra viktigaste tillgångar som måste kunna skyddas. Som enskilda individer måste vi alla vara beredda ta personligt ansvar för informationssäkerhet upp till en viss nivå. Säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar, måste byggas in i skolans grundläggande data- och IT-utbildning i såväl grund- som gymnasieskolan. I grund- och gymnasieskolan måste kunskap om informations- säkerhet komma in tidigt i undervisningen. I dagens gymna- sium har eleverna redan använt datorer och Internet . Kunskap om informationssäkerhet tas i gymnasiet främst upp från ett tekniskt perspektiv. Det leder lätt till uppfattningen att säkerhet är något som tekniker skall leverera utan att andra behöver tänka på problemet. Handlingsprogram; förslag till åtgärder Lärarutbildningarna måste utvecklas så att kunskap om och förståelse för IT-utvecklingen i samhället blir obligatorisk. Det bör särskilt ske med fokus på de möjligheter och problem som finns kring IT i skolan, både som läromedel men även som administrativt hjälpmedel och som säkert redskap för kommu- nikation. En betydande del av utbildningsbehovet kring informations- säkerhet måste tillgodoses inom högskolans ram. Kopplingen måste stärkas mellan utbildning och forskning. Informationssäkerhet bör utgöra en baskunskap för många yrkes- grupper, alltifrån jurister, samhällsvetare, lärare och ekonomer till tekniker. Utredningen förordar att frivilliga men rekommen- derade kurser i informationssäkerhet på 3–5 poäng införs i bland annat utbildningarna till civilingenjör, civilekonom, jurist och samhällsvetare, samt motsvarande i efterutbildningen av läkare. För systemvetare och dataingenjörer bör en sådan kurs vara obligatorisk med möjlighet till ytterligare fördjupning. Det finns skäl att stimulera till etablering av kvalificerade utbildningar för blivande chefer i informationssäkerhet. Det finns behov av sådan utbildning på magisternivå (mastersnivå) efter akademisk examen. Det finns behov av att förstärka kompetensen inom IT- relaterad kriminalteknisk (IT-forensisk) verksamhet. För att utveckla kunskap och kompetens inom ett delvis nytt ämnesområde som informationssäkerhet behöver forskning initieras, stimuleras och följas upp. Det är viktigt att utifrån god överblick och bedömningsförmåga inrikta forskningen mot nydanande mångvetenskapliga perspektiv. Forskningsbaserad kunskap bygger på långsiktighet och uthållighet i projektsats- ningar och i kompetensutveckling bland berörda forskare. bör utveckla ett tematiskt forsk- ningsområde kring informationssäkerhet. Forskargrupper som erhåller stöd bör veta att satsningen är flerårig. Det är en kvalitativ aspekt som också är väsentlig för att inom landet Handlingsprogram; förslag till åtgärder skapa kompetens och personliga förmågor att samverka inter- nationellt inom ämnesområdet. Utbildning i informationssäkerhet bör också ske vid Försvars- högskolan med en praktisk inriktning för certifiering av nyckel- personal inom myndigheter och företag, samt med en teoretisk magisterutbildning för fördjupade kunskaper inom ämnes- området. Utredningen betonar vikten av samarbete mellan offentlig och privat sektor. Sics, , fyller tillsammans med övriga samverkande institut, en mycket viktig funktion för att vara en avancerad brygga mellan närings- livets forskningsbehov, statens behov att främja forskningen och forskarvärlden inom IT-området. Utredningen anser att institutens forskning bör få en tydligare inriktning även på forskning inom området informationssäkerhet. bör ha en hög ambition att delta såväl i EU:s policy- skapande arbete för att inrikta forskningen inom informations- säkerhetsområdet och som avnämare och genomförare av större forskningsprojekt inom området. Det är en angelägen uppgift för bland annat , Krisberedskaps- myndigheten och , liksom för svenskt näringsliv och universitets- och högskolevärlden att delta i arbetet och få del av de betydande forskningsresurser EU satsar på området. Till ambitioner på forskningsområdet måste höra att utveckla samarbete med partners i andra länder eftersom EU- finansierade forskningsprojekt ofta förutsätter samverkan mellan aktörer i flera medlemsländer. Näringsliv och myndigheter måste ha en hög kompetens på kryptoområdet. För att stimulera tillväxten av särskild kompe- tens bör man överväga att sponsra eller finansiera doktorand- tjänster inom kryptologi. Det är också en fördel att kunna Handlingsprogram; förslag till åtgärder använda inhemska leverantörer av utrustning som kan tillhandahålla källkod för utvärdering. Beställarkompetensen inom området informationssäkerhet behöver stärkas. Det kan bland annat ske genom att successivt infoga kravet på certifiering vid upphandling eller outsourcing, men även genom att tillämpa kvalitetskraven i Ledningssystem för informationssäkerhet, . Utredningen föreslår också en satsning på fortbildning i upphandlingsteknik inom området informationssäkerhet, som en del i en integrerad kravspecifikation vid upphandling. Ökade krav från statens sida vid upphandling kan också för- väntas öka förutsättningarna för svensk IT-industri att kunna leverera säkra produkter och system och därvid även stärka sin konkurrensförmåga på den internationella marknaden. Företeelsen outsourcing, det vill säga lägga ut viktiga delar av verksamheten till exempel inom IT-området på entreprenad, ökar kraftigt kravet på långsiktig beställarkompetens. Fråge- ställningen har stor giltighet även för kommuner och landsting. Revision av informationssäkerhet måste utvecklas. Utred- ningen anser det angeläget att projekt om förbättrad säkerhetsrevision behandlas skyndsamt. Underrättelse- och säkerhetstjänsterna behöver förstärkas. I det statliga åtagandet bör därför ingå frågor som rör den nationella säkerheten i vid mening, till exempel krishantering, brottsbekämpning inklusive kontraterrorism eller totalförsvar. För att möta de mest kvalificerade hoten krävs, enligt utred- ningens mening, en förstärkt förmåga att upptäcka och analy- sera störningar liksom en förmåga att kunna ingripa och agera kraftfullt mot antagonistiska aktörer. Bättre rutiner bör skapas för att ta tillvara den information som finns i underrättelseorganen. Metoder för inriktning, bearbet- Handlingsprogram; förslag till åtgärder ning och delgivning bör utvecklas för att ge underlag för en bättre helhetsbild av de risker och hot som finns inom informationssäkerheten. På liknande sätt som kunnat ta tillvara signalspaningens unika kompetens för att skydda kryptosystem, bör man även kunna ta tillvara den kunskap om brister i IT-säkerhet som utvecklats inom signalspaningen. Det har betydelse för möjlig- heten att skydda samhällsviktiga system mot kvalificerade IT- relaterade hot. Signalspaning har en central roll såväl för offensiv förmåga (underrättelseinhämtning) som för defensiv förmåga (signal- skydd och IT-säkerhet), vilket inte alltid framgår av den offent- liga debatten då verksamheten omgärdas av hög sekretess. Den offensiva aspekten är avgörande även för den defensiva förmågan, på samma sätt som kryptoskyddet är avgörande för det traditionella signalskyddet. Utredningen återkommer i slutbetänkandet till frågor med organisationspåverkan. 11.1Förslaget till förordning (0000:000) om vissa åtgärder för informationssäkerhet hos staten 1 § I denna förordning ges bestämmelser om vissa åtgärder för att säkerställa administrativ och teknisk informationssäkerhet hos statliga myndigheter under regeringen. Bestämmelserna i denna förordning skall tillämpas bara om något annat inte följer av lag eller annan förordning. Av paragrafen följer att bestämmelserna i förordningen inte avser själva informationen som behandlas utan de åtgärder som skall vidtas för att säkerställa säkerheten för denna. Bestämmelserna avser således säkerheten vid hanteringen av elektroniska system för bearbetning, lagring och överföring av information. I säkerhetsskyddslagen (1996:627), säkerhetsskyddsförord- ningen (1996:633), personuppgiftslagen (1998:204) m.m. finns regler om informationssäkerhet som alltid skall gälla oavsett vad som i denna förordning föreskrivs om administrativa och tekniska åtgärder. 2 § Med administrativ och teknisk informationssäkerhet avses i denna förordning säkerhet vid hantering av elektroniska system för bearbetning, lagring och överföring av information, för att i den elektroniska hanteringen säkerställa informationens konfi- dentialitet, okränkbarhet och tillgänglighet. I paragrafen definieras vad som i förordningen avses med admi- nistrativ och teknisk säkerhet. Av definitionen följer att förordningen reglerar IT-säkerhet och inte informationssäkerhet i hela dess vidd. 3 § En myndighet skall säkerställa den administrativa och tekniska informationssäkerheten genom att vidta de admi- nistrativa och tekniska åtgärder som anges i 4–8 §§. Regeringen kan besluta att de myndigheter som anges i bilagan till denna förordning skall tillämpa särskilda säkerhets- krav utöver de grundkrav som anges i denna förordning. De myndigheter för vilka särskilda säkerhetskrav kan gälla finns upptagna i bilaga till förordningen. 4 § Myndigheten skall upprätta riktlinjer för informations- säkerheten och en årlig plan för administrativa och tekniska åtgärder inom myndigheten för att säkerställa att ställda krav på informationssäkerhet uppnås. Planen skall utformas med hänsyn till övriga krav som ställs i verksamheten. Planen skall innehålla en redovisning av de systemspecifika säkerhetskrav som utarbetas av myndigheten för driften av IT-system. Redovisningen av systemspecifika säkerhetskrav skall vara fullständig och tydlig samt ange de säkerhetsprinciper som skall följas och vilka detaljerade säker- hetskrav som skall uppfyllas. Planen skall även innehålla en översikt över de åtgärder som genomförts enligt 5–8 §§. Med riktlinjer för informationssäkerheten avses en informations- säkerhetspolicy som beslutas av myndighetschefen. Informations- säkerhetsplanen tar sikte på det operativa arbetet.