sou · GTB371d2 · 2006-01-01 00:00:00 — används med framgång inom flera större svenska företag. Staten bör använda inom den offentliga verksamheten. Den verksamhetsstruktur som finns inom svensk statsförvaltning innebär i regel att mål formuleras på flera nivåer. Strukturen syftar till att tydliggöra hur verksamheter på skilda nivåer bidrar till att uppfylla målen inom ett politikområde. Som en följd av detta skiljer målen sig i precision mellan nivåerna. Informationssäkerhet kan formuleras som ett verksamhetsområde eller en del av ett politikområde. Det berör många politikområden och flera utgiftsområden. Informationssäkerhet kan ses som en förutsättning för övriga verksamheter. Utredningen förordar i första hand att informationssäkerhet ses som ett verksamhetsområde. Redan detta innebär ett visst ställningstagande i finansieringsfrågan. Med utgångspunkt i ansvarsprincipen är det rimligt att finansiering av informationssäkerhet i huvudsak sker genom ordinarie anslag för verksamhetsområdet till respektive myndighet. Detta bör enligt utredningen vara huvudprincipen för finansieringen och den finansiella styrningen av informationssäkerhet. Det är dock enligt utredningen motiverat att även – särskilt för ändamål som kan ses som långsiktiga investeringar i en högre informationssäkerhet – behålla möjligheterna till kompletterande finansiering av informationssäkerhet via den så kallade civila ramen. Säkerhetsmedvetandet har höjts i näringsliv och myndigheter liksom hos enskilda IT-användare. En rad åtgärder måste dock vidtas för att ytterligare förbättra säkerhetsmedvetandet och öka kunskaperna om informationssäkerhet. Det bör ske bland annat inom ramen för utbildningssystemet. Lärarutbildningen måste förbättras. Blivande lärare erhåller för lite utbildning vad gäller IT-användning och teknologi. I såväl grund- som gymnasieskolan bör ett säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar, byggas in i den grundläggande data- och IT-utbildningen. En betydande del av utbildningsbehovet måste tillgodoses inom högskolans ram. Kopplingen mellan utbildning och forskning måste stärkas. Informationssäkerhet bör utgöra en baskunskap för många yrkesgrupper, till exempel jurister, samhällsvetare, lärare, ekonomer och tekniker. har allt fler företag inrättat funktionen informationssäkerhetschef. Motsvarande behov av sådana befattningar finns inom myndighetsvärlden. Utredningen anser att det finns skäl att stimulera till etablering av kvalificerad utbildning i informationssäkerhet på magisternivå för att bland annat tillgodose efterfrågan av tjänster inom området. De växande behoven av säkra informationssystem ställer krav på ökade resurser för forskning inom informationssäkerhet. () har ett särskilt ansvar inom forskningsområdet för att stimulera, initiera och delvis även finansiera forskning inom området informationssäkerhet. Det gäller både för forskning inom det allmänna universitets- och högskoleområdet och inom ramen för Försvarshögskolans (FHS) och Totalförsvarets forskningsinstituts (FOI) verksamhet. Detta ansvar behöver förtydligas ytterligare. Att säkra rikets ledning av och tillgång till samhällsviktig infrastruktur ställer stora krav på säkerhet i informationshanteringen. Staten måste därför vara bidragande till att det byggs upp en forskarkompetens inom området informationssäkerhet. Forskningsbaserad kunskap bygger på långsiktighet och uthållighet i projektsatsningar och i kompetensutveckling bland berörda forskare. KBM bör därför utveckla ett tematiskt område kring informationssäkerhet. Forskargrupper som erhåller anslag skall veta att satsningen är flerårig. FHS samarbete med internationella högskolor och universitet kan bidra till att utveckla utbildningen inom informationssäkerhet. En utbildning i informationssäkerhet skulle kunna ske med en praktisk inriktning för certifiering av nyckelpersonal inom myndigheter och företag. FOI skall verka för samordning mellan militär och civil, respektive mellan nationell och internationell forskning. Vid avdelningen för försvarsanalys bedrivs studier och forskning inom området informationssäkerhet på olika systemnivåer. har kunskapsutveckling skett vad gäller säkring av viktig infrastruktur, där bland annat frågor om informationssäkerhet får en allt mer framträdande roll. Forskning inom informationssäkerhetsområdet bedrivs även inom andra organisationer. , Sics, ägs till tre fjärdedelar av svensk industri och en fjärdedel av staten och är således ett exempel på område där privat och offentlig samverkan har utvecklats. Målet är att bidra till konkurrensförmågan hos svensk industri genom att bedriva avancerad forskning inom strategiskt viktiga områden av datavetenskap samt att aktivt främja användningen av nya idéer och resultat i industrin och samhället i stort. Sics har inte primärt fokus på informationssäkerhet, men i praktiken berör en stor del av forskningen frågor om funktionalitet och säkerhet. Sics fyller tillsammans med övriga institut en mycket viktig funktion genom att vara en avancerad brygga mellan näringslivets forskningsbehov och statens behov av att främja forskningen och forskarvärlden inom IT-området. Enligt utredningens mening är det angeläget att institutets forskning även omfattar projekt inom informationssäkerhetsområdet. EU initierar och finansierar en omfattande forskning inom informationsteknikens område. Förberedelserna för det sjunde utvidgade ramforskningsprogrammet har påbörjats. Informationssamhällets teknik inom det sjätte ramforskningsprogrammet har haft en budget på . Inom Informationssamhällets teknik finns fyra huvudprioriteringar: för det första informationssamhällets teknik som berör samhälleliga och ekonomiska utmaningar, för det andra teknik för kommunikation, hantering av information och programvara, för det tredje komponenter och mikrosystem och för det fjärde teknik för kunskapshantering och intelligenta gränssnitt. Främst det första området berör informationssäkerhet. Antalet projekt är mycket stort. bör ha en hög ambition att delta i EU:s policyskapande arbete för att inrikta forskningen inom informationssäkerhetsområdet och som genomförare av större forskningsprojekt inom området. Det är en angelägen uppgift både för och myndigheter som KBM och , liksom för svenskt näringsliv och högskole- och universitetsvärlden, att delta i arbetet och få del av de betydande forskningsresurser som EU kommer att satsa inom informationssäkerhetsområdet. Det kräver också ett utvecklat samarbete med partners i andra EU-länder. Kryptering har länge varit en avancerad disciplin, som kräver mycket hög kompetens. Till skillnad från tidigare krävs numera även hög IT-kompetens. Med IT-revolutionen har kryptering blivit en angelägenhet långt utanför det militära området. Näringsliv och myndigheter måste ha hög kompetens i datasäkerhet. Däremot är det inte nödvändigt att alla har tillgång till egna kryptologer. Ur kompetenssynpunkt räcker det dock inte med några få personer i med hög kompetens inom kryptologi. För att stimulera tillväxten av särskild kompetens för samhället och större företag kan exempelvis sponsring eller finansiering av doktorandtjänster vid universiteten komma i fråga. Samhället har enligt utredningens bedömning låg beställarkompetens för informationssäkerhet. Detta utgör ett grundläggande problem. Staten har ett ansvar för att utveckla beställarkompetensen. Tillgång till certifierade produkter enligt Common Criteria eller tjänster enligt Ledningssystem för informationssäkerhet () skulle avsevärt underlätta upphandling av informationssäkerhet. Det krävs också en satsning på fortbildning i upphandlingsteknik inom området informationssäkerhet. Särskild uppmärksamhet bör ägnas kompetens i avtalsfrågor. Revision av informationssäkerhet bör utvecklas i flera former, dels som en del av den årliga revisionen - särskilt vad avser redovisnings- och affärssystem, dels genom sårbarhets- och riskanalyser och tester av informationssäkerheten samt genom tillämpning av standarden (). Informationssäkerhet är en ledningsfråga. Behovet av fortbildning gäller även den verkställande nivån samt styrelsenivån i myndigheter och företag. Varje myndighet, företag, kommun, landsting eller annan organisation har ett eget ansvar för att se till att alla medarbetare som har uppgifter inom området informationssäkerhet erhåller adekvat fortbildning. Signalspaning som skydd för IT-system Signalspaning har betydelse för möjligheten att skydda samhällsviktiga system mot kvalificerade IT-relaterade hot. Utredningen vill peka på att det finns kvalificerade IT-relaterade hot som med den framväxande globala kommunikationsstrukturen och den nya IT-tekniken i förlängningen också kan innebära hot mot rikets säkerhet. Dessa hot utgör också hot mot många andra verksamheter. Gränsen mellan allmänna hot och hot mot rikets säkerhet är inte absolut. Ett av de främsta medlen, förutom det förebyggande arbetet, för att möta kvalificerade IT-relaterade hot är att inrikta vår underrättelsetjänst mot dem. Detta understryks också i regeringens hittillsvarande strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende system. För att förhindra allvarliga informationsattacker mot bör underrättelse- och säkerhetstjänstens arbete förstärkas och delgivningen av Dessa myndigheters möjligheter att spela en avgörande roll för skyddet mot kvalificerade IT-relaterade hot bedöms som stora. har haft en framträdande plats i vad gäller kryptologisk kompetens och förmåga. Den, relativt sett, successivt försvagade beräkningskraften genom brist på resurser för inköp av ny snabb datorkraft riskerar dock att allvarligt försämra samlade kompetens på området. Signalspaning kan först och främst bidraga till underrättelser avseende hot och aktörer som agerar mot svenska informationssystem. En lika viktig del är att kunskap om brister i olika tekniska informationssystem erhålls i den egna underrättelseverksamheten genom signalspaning. Det ger också kunskaper för utveckling och certifiering av IT-program och produkter. Sådan kunskap bör kunna användas till skydd för samhällsviktiga system. Utredningens slutbetänkande Informationssäkerhetspolitik – organisatoriska konsekvenser (SOU 2005:71) Frågor kring sårbarheten berör, som utredningen påpekat, ett mycket stort antal aktörer och intressen, och området präglas av stor dynamik. Det är svårare att värna säkerheten i moderna informations- och kommunikationssystem, där informationen lagras, bearbetas och förmedlas elektroniskt än när informationen föreligger i fysisk form. Till detta måste läggas att bilden av dagens brister och hot är mycket komplex och därmed även behovsbilden. Enligt utredningen är det viktigt att inse att det inte finns någon definitiv lösning på problemet med informationssäkerhet. Utredningen framhåller i Säker information – förslag till informationssäkerhetspolitik (2005:42) att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med problem som rör informationssäkerhet. Detta förutsätter ett långsiktigt arbete mot övergripande, långsiktiga mål. Med det finns också behov av beslutskraft i ett kort perspektiv och en operativ förmåga för att kunna hantera incidenter i realtid. Därför behövs, enligt utredningen, en sammanhållen politik inom informationssäkerhetsområdet och en gemensam målstruktur. I informationssäkerhet i och internationellt – en översikt (2004:32) redovisade utredningen en översikt av informationssäkerhetsarbetet i och internationellt. Utredningen kunde bland annat konstatera att även om problembilden i allt väsentligt sammanfaller, har länderna valt att organisera informationssäkerhetsarbetet på olika sätt. Det är således svårt att direkt överföra organisationsmodeller från ett land till ett annat. I slutbetänkandet redovisar utredningen sina slutsatser och förslag till organisation av informationssäkerhetsarbetet i . De viktigaste utgångspunkterna återfinns i utredningens förslag till nationell strategi för ökad informationssäkerhet och i synen på omfattningen av det statliga åtagandet. Den nationella strategin förutsätter organisatoriska grepp Några av de förslag som redovisas i strategin förutsätter att staten utvecklar den egna organisationen och att samverkan mellan privat och offentlig sektor fördjupas. Behovet att förstärka informationssäkerhetsarbetet inom underrättelse- och säkerhetstjänsternas område, liksom att förstärka förmågan inom området nationell säkerhet, motiverar bland annat organisatoriska åtgärder. Inom båda dessa områden krävs, enligt utredningens mening, både tydligare ansvarsfördelning och säkerställande av kompetens och resurser. Regeringen genomförde med början organisatoriska förändringar för att etablera funktionerna omvärldsanalys, incidenthantering, teknikkompetens samt evaluering och certifiering. Den utvärdering som utredningen nu har gjort leder också till organisatoriska konsekvenser för berörda myndigheter. Slutligen bör den av utredningen föreslagna strategin att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar i några fall leda till justeringar inom vissa myndigheter, utan att dessa behöver omorganiseras. Dessutom kan förutses att uppgifter i några fall bör preciseras och införas i berörda myndigheters instruktioner. Det statliga åtagandet blir styrande Statens åtagande, ansvar och intresse har av utredningen sammanfattats i fyra punkter (se ovan). Det statliga åtagandets omfattning leder till krav på att bygga upp förmåga inom flera viktiga områden och att lösa ett antal uppgifter i den statliga verksamheten. Informationssäkerhetsarbetet måste, som utredningen påpekar, utgöra en integrerad del av alla aktörers verksamheter, så också inom staten. Det följer av ansvarsprincipens tillämpning. Utredningen redovisade även vad som bör falla inom det privata åtagandet och vad som skulle kunna betraktas som det statliga åtagandet, även om gränsdragningen är svår. Enligt utredningens uppfattning bör även dessa åtaganden leda till organisatoriska konsekvenser. Utöver detta återstår att formulera nya uppdrag och uppgifter till myndigheter i den befintliga organisationsstrukturen, i syfte att öka informationssäkerheten. Flera utgångspunkter för val av organisation Utredningen har konstaterat att informationssäkerheten inte bara inrymmer frågeställningar för respektive verksamhetsansvarig, utan att det också finns problem av gemensam natur, där stora krav ställs på samordning. Vidare finns flera problem och frågeställningar av tvärsektoriell karaktär, som ofta kräver tillgång till specialistkompetens. Dessa problemområden förutsätter ett annat angreppssätt på styrning och organisation. Det är också viktigt att gränsdragningen mellan det privata och det offentliga åtagandet tydliggörs. Vidare finns det, som utredningen redovisar under avsnittet om samverkan mellan privat och offentlig sektor, sannolikt frågeställningar som inte kan lösas av en aktör ensam, inte ens av staten. En fördjupad samverkan inom offentlig sektor och mellan privata och offentliga aktörer förutsätter en tydlig ansvarsfördelning inom staten och en organisation som kan hantera frågor av gemensam, tvärsektoriell natur i en vardag präglad av sektorstänkande och sektorsansvar. Till dessa resonemang kan slutligen läggas att informationssäkerheten kräver tillgång till hög kompetens och resurser, såväl administrativt som tekniskt. I egenskap av liten nation är det av synnerlig vikt att regeringen fokuserar de resurser som finns tillgängliga och utnyttjar samhällets samlade kapacitet på ett bättre sätt. I tidigare betänkanden har utredningen pekat på ett antal förhållanden och synsätt som kan vara vägledande för informationssäkerhetsarbetet. Några av dessa är särskilt viktiga för val av organisation inom staten: 1.Informationssäkerhet omfattar hela samhället och frågeställningen är därför vidare än totalförsvarets behov. 2.Det finns ett behov att kraftsamla och att tydligare fokusera den statliga verksamheten nationellt, inom EU och internationellt. 3.Alla statliga aktörer måste, inom ramen för sitt respektive sektorsansvar, medverka till förmågan att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar. 4.Ansvaret för förmågan i den statliga kärnverksamheten, liksom för säkerheten i samhällsviktiga verksamheter, måste tydliggöras. Vissa gemensamma behov förutsätter bättre samordning inom staten och i samverkan med andra, icke-statliga aktörer. 5.Kompetensen och förmågan att hantera tvärsektoriella frågor måste säkerställas inom informationssäkerhetsområdet. Med de olika utgångspunkter som utredningen redovisar kan tre principer för organisation inom staten urskiljas. Den första organisationsprincipen följer av ansvarsprincipen. Detta innebär att varje sektorsmyndighet har ansvaret för utvecklingen av informationssäkerheten inom sitt ansvarsområde och för de aktörer som berörs av myndighetens verksamhet. I syfte att tydliggöra omfattningen av detta ökade ansvar har utredningen i det tredje delbetänkandet lämnat ett förslag till förordning om vissa åtgärder för informationssäkerhet i den statliga verksamheten.1 Inom några områden finns det enligt utredningens mening anledning att ytterligare tydliggöra detta ansvar och uppdrag. PTS utökade ansvar och befogenheter inom området elektronisk kommunikation är ett sådant exempel. samverkan med aktörer inom finansmarknaden är ett annat. I andra fall kan det handla om att ge 1 Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42,) s. 31 ff. ökad prioritet och lyfta upp säkerhetsfrågorna i berörda myndigheters verksamhet och förstärka insatserna, som exempelvis inom energi- och transportsektorn. Den andra organisationsprincipen syftar till att tillgodose sådana behov som är gemensamma i den statliga verksamheten. Detta syftar framför allt till att uppnå en bättre samordning inom staten i administrativa och tekniska sammanhang Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället, vare sig det handlar om att kunna hantera och ingripa vid störningar eller att ge underlag för förebyggande arbete hos alla aktörer. Samverkan mellan privat och offentlig sektor Genom tidigare betänkanden har utredningen visat att det finns sammanfallande problem och behov inom privat och offentlig sektor och att det finns anledning att samverka kring dessa, inte minst av praktiska skäl. Utredningen har vidare i sitt senaste delbetänkande Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), konstaterat att det inte finns någon definitiv lösning på problemet med informationssäkerhet. En väl förankrad samverkansprocess skulle dock kunna lära oss leva med problemen. Utredningen har därutöver funnit att det finns problemställningar som är av sådan art att ingen av aktörerna ensam kan klara av problemen. Följaktligen finns ett behov av att samverka för att identifiera och komma närmare lösningar på dessa. Det finns dessutom skäl att söka samverkan kring de prioriteringar som måste göras mellan olika problem och sektorer, i syfte att utnyttja tillgänglig kompetens och resurser på ett optimalt sätt. Utredningens slutsats är att det finns en vilja till samverkan mellan aktörer i privat och offentlig sektor. Det är också utredningens uppfattning att näringslivet har ett intresse av att det finns adekvat utbildning, forskning och regelverk på informationssäkerhetsområdet. Den privata sidan kan bidra med tekniska lösningar och samhällets behov utgör en marknad för näringslivets aktörer. Det finns således en ömsesidig nytta i detta gemensamma intresse. Företrädare för näringslivet har tagit ett initiativ till att bilda ett självständigt samverkansorgan. Detta bör därför tas tillvara av staten, kommuner och landsting. Ett sådant organ bör, enligt utredningens mening, ha till uppgift att dels medverka till att öka medvetenheten i informationssäkerhetsfrågor, dels ge underlag för en lönsam och optimal riskhantering hos alla aktörer. Utredningen föreslår att det redovisade samverkansinitiativet tas tillvara och att staten omgående utser en utredare eller förhandlare. I avvaktan på regeringens ställningstagande till utredningens övriga förslag, kan utredaren eller förhandlaren skapa underlag för ställningstagande till statens samverkan med andra aktörer inom informationssäkerhetsområdet samt klarlägga intresse och möjligheter för samverkan med kommuner och landsting i dessa frågor. Regeringens ledande och samordnande roll Regeringen har en ledande och samordnade roll inom informationssäkerhetspolitiken. Det sätt som regeringen väljer att sätta mål för verksamheter, styra och följa upp resultat är avgörande för myndigheternas arbete. Inom informationssäkerhetsområdet är det av särskild vikt med hänsyn till frågornas komplexitet, dynamik och internationella dimension. Utredningen återkommer därför till sitt förslag att utarbeta en sammanhållande målstruktur för informationssäkerhetsarbetet. Utredningens utgångspunkter och slutsatser Flera av de utgångspunkter som utredningen lyfter fram kan var och en för sig läggas till grund för val av organisation, med olika resultat beroende på vilka prioriteringar eller särintressen som styr valet. Den helhetssyn som enligt utredningen bör styra även valet av organisationslösning (och fördelningen av ansvar, befogenheter och skyldigheter inom staten) måste med nödvändighet bygga på en sammanjämkning av flera av de grundläggande frågeställningar som utredningen lyfter fram. Tre grundläggande principer för organisation av informationssäkerhetsarbetet redovisas ovan. Den första följer ansvarsprincipen. Den andra syftar till att tillgodose gemensamma behov inom staten. Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället. Mot denna bakgrund är utredningens första slutsats att det måste ligga inom varje myndighets ansvar att svara för informationssäkerheten i den egna verksamheten och i kontakt med de aktörer som berörs av myndighetens verksamhet. Detta följer av ansvarsprincipen. Ansvar, befogenheter och skyldigheter bör förtydligas i berörda myndigheters instruktioner och i regleringsbrev. Föreskrifter samt råd och anvisningar bör utarbetas till den av utredningen föreslagna förordningen om vissa åtgärder för informationssäkerhet hos staten. Utredningen föreslår att informationssäkerhetsarbetet bör organiseras så att kraftsamling kan ske till administrativa respektive tekniska frågeställningar. Utredningens andra slutsats är därför att gemensamma behov inom staten och tvärsektoriella frågeställningar i hela samhället bör samlas under en myndighet för administrativa funktioner respektive en myndighet för tekniska funktioner. Därmed förbättras även förutsättningarna för en sammanhållen informationssäkerhetspolitik. Utredningens tredje slutsats är att några myndigheter, inom ramen för sina nuvarande ansvarsområden, bör ges utökade uppgifter och resurser för förebyggande arbete, rådgivning med mera. Utredningen har visat att det finns problemställningar, som är av sådan art, att ingen av samhällets aktörer ensam kan lösa dem. En fjärde slutsats är därför att samverkan mellan privat och offentlig sektor bör utvecklas på informationssäkerhetsområdet. Slutligen framhåller utredningen regeringens ledande och samordnande roll. Utredningens femte slutsats är att denna roll i informationssäkerhetsarbetet förutsätter en sammanhållande målstruktur som även fångar in frågeställningar som rör gemensamma och tvärsektoriella problem. En ny organisationsstruktur för informationssäkerhetsarbetet Ansvaret för policyfrågor och den administrativa funktionen, liksom ansvaret för den tekniska funktionen skulle kunna samlas i en central myndighet för informationssäkerhet.