sou · GTB342 · 2006-01-01 00:00:00 — För att få chefer på alla nivåer att ta ansvar för informationssäkerheten krävs att de har kunskap om vad de är ansvariga för. När det gäller samhällsviktiga system är det inte bara en fråga om förtroende utan också om trygghet och säkerhet i samhället samt den personliga integriteten. Skulle förtroendet för ett samhällsviktigt system svikta på grund av bristande informationssäkerhet, kan detta direkt få politiska konsekvenser. Det är därför ett ansvar för den offentliga sektorn att medverka till ökat förtroende för dessa system. Ytterst kan detta endast ske genom påvisat hög säkerhet. Behov av strategi och konkreta åtgärder Förtroendefrågan är således av grundläggande betydelse. Ett problem i sammanhanget är att en del organisationer tvekar inför att visa andra aktörer den öppenhet som krävs för att tillsammans lösa känsliga säkerhetsproblem. Det finns exempel på organisationer som tvekar att ge staten ett sådant förtroende. De flesta organisa- tioner har hög sekretess kring sina IT-säkerhetsförhållanden. Orga- nisationen kan dock tvingas välja mellan mindre effektiva åtgärder eller att exponera sina allra känsligaste informationssäkerhetsproblem. Problemet blir särskilt tydligt för de organisationer som själva saknar kompetens på området. Dessa saknar möjlighet att själva bedöma hur seriösa och kompetenta enskilda aktörer är. Statliga aktörer och sannolikt också vissa icke-statliga aktörer med ansvar för IT-system av samhällsviktig eller kritisk natur, måste kunna vända sig till någon som kan garantera sekretessen kring dessa system. Detta gäller i synnerhet system som är av betydelse för rikets säkerhet. Användandet av IT är en viktig tillväxtfaktor. Ur ett demokrati- perspektiv är det viktigt att utvecklingen inom IT-området sker i en för samhället positiv riktning. Genom projekt som 24-timmars- myndigheter kan medborgare snabbt och enkelt erhålla information och få tjänster utförda. Myndigheternas servicenivå har på detta sätt ökat betydligt. Ett par av de mest påtagliga exemplen är att det numera är möjligt att deklarera samt att sköta sina bankaffärer via Internet. Dessa tjänster kommer inte att utnyttjas om kunderna saknar förtroende för säkerheten. Förutsättningen för en gynnsam utveckling är att informationssäkerheten utvecklas i samma takt som olika tjänster blir tillgängliga. Det är också viktigt att den information som delges via till exempel hemsidor är pålitlig. Riktig- heten i de webbsidor som delger information inom ett samhälls- viktigt område måste så långt det är möjligt kunna garanteras. Detta gäller till stor del även inom näringslivet. Om kunder eller andra som har en affärsrelation med ett företag inte har förtroende för hur informationssäkerheten hanteras tappar man också lätt förtroende i övrigt för det företaget. Behov av strategi och konkreta åtgärder Tillgången till kompetent personal inom informationssäkerhets- området påverkar hur väl vi kan hävda oss mot de risker som finns inom IT-området. I kapitel 8 redovisar utredningen mer utförligt viktiga frågor för kompetensförsörjningen. Det kommer att behövas ökad kompetens för att klara det som ligger inom statens ansvars- område. Det är ett statligt åtagande att tillse att utbildnings- insatserna är tillräckliga. Det är däremot ett gemensamt intresse för näringslivet och den offentliga sektorn att sätta upp gemensamma krav på denna utbildning. Då informationssäkerhet är ett problem för hela samhället är det också viktigt att möjliggöra erfarenhets- utbyte mellan olika organisationer. Staten kan inte lösa sina problem på egen hand. Tillsammans kan privat och offentlig sektor dock uppnå bättre resultat än . Vi måste hushålla med resurserna i form av kompetent personal. Faktorer som kan försvåra samverkan bör minimeras. Staten får inte konkurrera med näringslivet på ett otillbörligt sätt. Det finns dock viss verksamhet inom det statliga ansvarsområdet, där endast staten kan agera. Det är därför viktigt att staten har kompetens för att kunna agera om något händer inom ett för samhället viktigt system eller ett system som har koppling till rikets säkerhet. Kompetensen måste höjas vad gäller tekniska principer för IT-säkerhet, både på ett allmänt plan och mer specifikt beträffande produkter på marknaden. De tekniska detaljkunskaperna om produkter, protokoll, kända tekniska säkerhetsbrister och virus m.m., måste också uppdateras. Tillgång till kompetens får inte variera med konjunktu- ren, utan måste alltid säkerställas. För att veta hur samhället skall fördela sina resurser på ett effektivt sätt krävs det att begreppet samhällsviktiga system definieras. Kriterier bör tas fram för identifiering av samhällsviktig verksamhet och system. Bedömningen av vad som är samhällsviktigt måste även omfatta systemets betydelse för andra funktioner. Vid en sådan analys kommer det att utkristalliseras en rad beroendeförhållanden Behov av strategi och konkreta åtgärder till andra system som därmed också kan komma att betraktas som samhällsviktiga. Av resultatet av en sådan analys bör det gå att dra slutsatser, dels om huruvida systemet är samhällsviktigt eller ej, och dels vilka beroenden som systemägaren själv kan ta ansvar för. Vissa beroenden kan man inte rimligen kräva att en enskild system- ägare bör ta ansvar för. Som exempel kan nämnas att det inte ligger inom en systemägares ansvar att i en situation, där det råder brist på drivmedel i en region eller nationellt, se till att ett reservelverk får drivmedel. saknas uttalade politiska mål för vilka krav som skall ställas på den kritiska infrastrukturen. Denna struktur är en del av de samhällsviktiga systemen. Prioriterade infrastrukturer, sett ur ett informationssäkerhetsperspektiv är el, tele samt vattenför- sörjning. Även betalningssystemet som bygger på Internet är ett samhällsviktigt system. Inom dessa områden finns det ett stort öm- sesidigt beroendeförhållande. Ägandebilden är både statlig, kom- munal och privat. Detta gör att det krävs en väl fungerande sam- verkan för att informationssäkerheten skall ligga på en acceptabel nivå. Ett område som inte har betraktats som prioriterat inom informationssäkerheten är etermedier (radio och tv), varken när det gäller produktion eller distribution. Radio och tv digitaliseras i alla led. Denna utveckling går fort och gör att kraven på informa- tionssäkerhet ökar. Det bör övervägas om inte detta område också bör prioriteras. En erfarenhet från stormen i är att radion hade en viktig roll i samhällsinformationen. Utan helhetssyn på de tekniskt relaterade hoten kommer staten aldrig att kunna skydda det allmänna och enskilda från kvalificerade aktörers angrepp. Helhetssyn kräver tillgång till relevant informa- tion, såväl öppen som hemlig. Detta utgör ett problem eftersom den kritiska information som finns inom underrättelse- och säker- hetstjänsterna när det gäller IT-relaterade hot inte utan vidare kan göras offentlig. Källor, metoder och viss information som följer med det inter- nationella samarbete som dessa organisationer bedriver, måste skyddas. I vissa fall kan information erhållas under villkoret att den inte får lämnas vidare. I många fall går problemen att lösa genom att informationen anpassas till mottagarens behov eller genom att en indirekt kunskapsöverföring sker genom att personal från under- Behov av strategi och konkreta åtgärder rättelsetjänsterna använder den kunskap de erhållit vid olika former av stödverksamhet, till exempel den kontrollverksamhet som Säker- hetspolisen () bedriver eller den aktiva IT-kontroll som För- svarets radioanstalt (FRA) genomför. 4.2.2Ett gemensamt kommunikationsnät för samhällsviktig verksamhet Enligt ansvarsprincipen ansvarar varje enskild myndighet för sin egen Internetanslutning. Det innebär att det finns varierande lösningar ur både tekniska och administrativa perspektiv. Trots denna stora variation finns det ett antal komponenter och tjänster som återkommer hos det stora flertalet myndigheter. Detta gör att det går att tala om en typisk Internetanslutning. En Internetanslutning är i ständigt behov av drifts- och under- hållsåtgärder för att funktionen skall vara säkerställd. Myndighetens egen är oftast ansvarig för att detta hanteras och att uppdateringar och övervakning sker. Skall detta kunna skötas på ett tillräckligt säkert sätt krävs det att det sker under dygnets alla timmar. En Internetanslutning är ständigt utsatt för försök till olika typer av angrepp i olika avseende. Övervakas anslutningen endast under ordinarie arbetstid, som i de flesta fall sker, kan en IT-incident inträffa utan att myndigheten blir medveten om detta innan det är . Ett mycket effektivt sätt för att förbättra informationssäkerheten när det gäller övervakning och underhåll av Internetanslutningar för samhällsviktig verksamhet skulle kunna var att bygga ett säkert nät för denna typ av verksamhet. Flertalet länder har denna typ av nätverk, det vill säga så kallat GOV NET. Hur detta skulle kunna realiseras utan att därför åsidosätta ansvarsprincipen eller den fria konkurrensen, liksom frågor om vilka som skulle delta och andra relevanta frågor bör utredas ytterligare. Samhället är starkt beroende av Internet som kommunikations- system för bland annat information, transaktioner, logistik, industriella processer, tillhandahållade av offentlig service samt för under- hållning. Internet bygger på nätverkstekniken Internet Protocol (IP). Behov av strategi och konkreta åtgärder I kombination med domännamnssystemet (DNS) och det användar- vänliga gränssnittet World som använder presentations- protokollet Hyper Text Markup Language (HTML) fick Internet sitt genombrott . Allt fler företag baserar sin verksamhet på Internet. Även sam- hällsservice från stat, landsting och kommuner sker alltmer via Internet, vilket ökar möjligheterna till tvåvägskommunikation och dialog mellan samhällets institutioner och medborgarna. Produk- tivitetsvinsterna av ett väl fungerande Internetsystem är mycket höga. Internet fungerar också som en snabb informationskälla vid kriser och allvarliga händelser. Användningsområdet vidgas till exempel genom nytillkommande tjänster som telefoni, radio och TV. Den snabba ökningen av Internetanvändare åtföljs dock av en växande sårbarhet i befintliga system. Antalet IT-incidenter har under en följd av år ökat. Funktionsstörningar eller antagonistiska angrepp kan få allvarliga konsekvenser. Som () redovisat i ett förslag till strategi för att säkra Internets infrastruktur (PTS-ER-2005:7) har sårbarheten utnyttjats och exponerats vid bland annat överbelastnings- och intrångsattacker, fysiska avbrott och spridning av bland annat virus, trojaner och maskar1. Det är mycket angeläget att funktionsförmågan i Internet kan upprätthållas och därigenom också förtroendet för Internet som kommunikationssystem. PTS förslag har remissbehandlats och är föremål för vidare över- väganden. PTS har i rapporten förklarat att myndigheten kommer att gå vidare med ett antal åtgärder för att förstärka infrastrukturen. Virus, trojaner och maskar är exempel på skadlig kod som länge uppmärksammats. De hanteras normalt genom brandväggar och antivirusprogram som finns på marknaden med god kvalitet. De kräver säkerhetsmedvetande hos användaren, men är relativt enkla att installera och uppdatera. Det finns också program och tekniska system som på annat sätt än genom den direkta förstörelsen kan vara ett hot mot integritet eller bas för kapning av hela nätverk av datorer. Dessa så kallade spionprogram och deras funktioner kan ibland vara av relativt trivialt slag, avsedda att samla in information om vilka som besöker en viss webbsida. Men de kan också leda till 1 Virus är skadlig kod som kopierar sig själv till filer på datorn, som på så vis blir allt mer smittad. Trojan är en annan typ av skadlig kod. Trojanen finns i ett program som i sig verkar ofarligt. Mask är ytterligare en typ av skadlig kod. Masken kopierar sig vidare mellan datorer (ofta med hjälp av e-post). Behov av strategi och konkreta åtgärder integritetskränkningar och vara ett hot mot allmänhetens förtroende för Internet. En del av dessa program kan även möjliggöra för anta- gonistiska hot att via fjärrstyrda datorer skapa plattformar för vidare angrepp som användaren är helt omedveten om. Spam2 används allt oftare för att sända så kallade spionprogram eller virus och utnyttjas även för bedrägerier. Ett relativt nytt hot är nätfiske (eng. phishing). Det är en metod som syftar till att samla in känslig information. De utges ofta komma från en seriös avsändare, men med falsk avsändaradress eller falsk webbsida som ger ett autentiskt intryck. Avsikten är att få mottagare att lämna ifrån sig personlig eller ekonomisk information, lösenord, personnummer, kontonummer etc. som sedan kan utnyttjas för bedrägerier. Organisationers och företags domännamn är mycket viktiga. Det är därför angeläget att förtroendet för toppdomänen .se bibehålls och stärks då samhället strävar mot en mer digitaliserad offentlig sektor, e-handeln växer och internationell kommunikation ökar inom allt fler sektorer. Med en elektroniskt sammanhållen förvalt- ning i sikte får inte förtroendet för toppdomänen skadas. I och med att ett nytt regelverk för toppdomänen infördes, ökade antalet domänansökningar kraftigt. Då ingen förprövning skett för anskaffandet av domäner, vilket i sig har gynnat företag, organisationer och privatpersoner, har det visat sig finnas en risk för att oseriösa användare kan använda ortsnamn och namn som kan associera till kända företeelser, företag och organisationer för egna syften. Därmed kan förtroendet för toppdomänen komma att skadas och många känna osäkerhet inför att göra till exempel eko- nomiska transaktioner eller ta del av patientjournaler från sjukvården över Internet. Det är angeläget att dessa frågor också beaktas vid etableringen av eu-toppdomänen. Infrastrukturen för Internet, som består av såväl fysiska som logiska element måste skyddas för att möjliggöra ett säkrare Internet. Den utgör en samhällsviktig verksamhet, även om Internet utgör en infrastruktur med viss tolerans mot störningar genom mångfalden av förbindelser och utformningen av IP-proto- kollet. Sårbarhet och brister i säkerheten kan följas och åtgärdas på flera sätt, bland annat vad gäller störningar i domännamnssystemet och skydd mot manipulerad information. De leverantörer som svarar för driften av infrastrukturen och de operatörer som tillhandahåller tjänster på nätet har det främsta ansvaret 2 Spam är e-postmeddelande, ofta reklam, som mottagaren inte bett om att få. Behov av strategi och konkreta åtgärder för att skydda mot störande angrepp. PTS har i sitt förslag till strategi pekat på ett antal frågeställningar om säkerheten i Internets infrastruktur som aktörer inom Internets infrastruktur måste kunna besvara för att leverera efterfrågade tjänster med tillfredsställande tillgänglighet och kvalitet: Vilka är kraven på överföringen (volym, snabbhet, säkerhet, ekonomi)? Vilken reservkapacitet för bandbredd och processorkraft krävs? Vilka alternativa förbindelser eller transmissionsmetoder finns? Vad kostar ett kortare respektive längre avbrott i nätet? Vilka andra konsekvenser får ett avbrott? Hur långa avbrott kan accepteras? Hur uppfyller olika alternativ de ställda kraven? Vilka standarder ska följas? Vilka är riskerna i det valda alternativet? Vilka typer av proaktiva eller reaktiva åtgärder ska man vidta för att förhindra eller möta störningar? Hur ska katastrof- och kontinuitetsplaneringen utformas och övas? För att kunna bedöma behovet av åtgärder måste enligt PTS först preciserade krav ställas på driftssäkerhet, framkomlighet, tillgänglig- het, äkthet, förändringsskydd och i förekommande fall sekretess. Ansvaret för säkerheten är delat mellan flera olika aktörer. Inte minst användarna har ett ansvar för säkerheten i sin miljö och sitt beteende på Internet. Dagens allt snabbare anslutningar till Internet kan medföra att användare med bristande kunskaper om riskerna har tillgång till allt kraftfullare plattformer som en angripare kan utgå ifrån när det gäller attacker, spridning av spam med mera. Konsekvensen blir att inte enbart användarens integritet och säkerhet påverkas, utan hela nätverket. Utvecklingen mot att tillhandahålla allt snabbare Internet- uppkopplingar, och helt och fullt överlåta ansvaret på användaren för säkerheten, är från denna utgångspunkt otillfreds- ställande. Operatörerna bör därför ges både en större möjlighet och en större skyldighet att vidta förebyggande åtgärder för att begränsa riskerna för Internets säkerhet. Åtgärderna bör främst syfta till att skydda Internets infrastruktur. Hit hör också att skydda mot avbrott och störningar i elförsörjningen. Beroende på hur känslig utrustningen Behov av strategi och konkreta åtgärder är kan ett kort strömavbrott ge upphov till långvariga funktions- störningar i Internet om inte reservkapacitet finns. De fysiska skyddsåtgärderna för ett säkrare Internet sammanfaller i stor ut- sträckning med åtgärderna för säkrare telesystem. Domännamnssystemet (DNS) har en stor betydelse för det logiska skyddet av Internet. Utan tillgång till DNS försvåras eller omöjliggörs användningen av Internet. Utan DNS kan inte en angiven webbadress översättas till de IP-adresser som Internet använder för att styra trafiken till rätt ställe. Falsk DNS-informa- tion kan orsaka att trafik styrs fel, vilket kan medföra att e-post eller transaktioner inte fungerar. Det är därför viktigt att säkerställa att informationen i DNS kommer från rätt källa. Hittillsvarande tekniska lösningar har inte kunnat garantera korrekthet eller äkthet. Det finns nu en standardiserad teknik för en säkrare hantering av DNS-information som ger användaren möjlighet att kryptografiskt verifiera korrektheten. Härigenom kan även vissa attacker upptäckas och avvisas. För att öka säkerheten kan den standardiserade tekniken (DNSSEC) användas för att distribuera kryptografiska nycklar för olika tillämpningar. Belastningsattacker på DNS kan orsakas av att någon ställer upprepade frågor i stor mängd i illvilligt syfte. Överbelastnings- attacker förväntas enligt PTS bli vanligare och mer sofistikerade varför även skyddet mot dessa måste vidareutvecklas. Det beror bland annat på användarnas ökade bandbredd och på att mängden exponerade användare har ökat. Även attacker mot programvara med säkerhetshål sker i ökande takt. Med nästa generation av Internet Protocol (IPv6) blir utbudet av IP-adresser mycket stort och IP-paket som sänds kan förses med inbyggd säkerhet. Genom att en färdig standard för säker IP-kom- munikation integreras i protokollet, kommer det att finnas möjlig- heter att kryptera informationen och säkerställa att den inte kan förvanskas utan att det kan upptäckas. finns dock inget större behov av fler IP-adresser eftersom det i nu- varande version finns drygt en tredjedel kvar av de fyra miljarderna teoretiska IP-adresserna. Även robust tid är, som framhålls i , en förutsätt- ning för att informationshantering i olika former ska kunna upp- rätthållas och utvecklas. Behovet av spårbarhet i informationstran- saktioner kommer att öka . Att tid (Time Coordinated, UTC) är tillgänglig och sprids på ett stabilt sätt i är därför ytterst viktigt. Funktionaliteten i Internet är Behov av strategi och konkreta åtgärder beroende av tillgång till korrekt tid. Ofta krävs att olika delar av kommunikationsnäten och IT-systemen är inbördes synkronisera- de. I annat fall kan informationsutbyte gå fel, avbrytas eller inte tas om hand på ett korrekt sätt. I propositionen prop. 1999/2000:86 Ett informationssamhälle för alla uttalade regeringen att den svenska delen av Internet skall kunna drivas oberoende av funktioner utomlands. Tillgång till en säker och internationellt spårbar tidhållning i med mycket hög och väl dokumenterad kvalitet är därvid en viktig gemensam resurs som staten bör tillhandahålla. Flera åtgärder har vidtagits för att öka robustheten i tidssystemet. Övriga faktorer som lyfts fram i är bristen på säkerhetsmedvetande hos beställare och användare, bristen på sam- ordning utifrån en helhetssyn på forskningsinsatser och bristande samverkan nationellt och internationellt. Dessa behandlas av utred- ningen i senare kapitel. Målet bör vara att säkerställa de viktiga funktionerna i Internets infrastruktur, som vid bortfall kan medföra omfattande störningar eller avbrott som försvårar eller förhindrar användning av Internet för stora grupper av enskilda användare eller för viktiga företag, myndigheter och organisationer. Användningen av olika tekniker och metoder för säker och skyddad dialog och kommunikation via IKT (informations- och kommuni- kationsteknik), främst Internet, har ökat kraftigt i . En av de främsta drivkrafterna bakom detta är bankernas satsningar på Bank över Internet. Denna utveckling har bland annat möjliggjort framväxten av nya affärsformer inom bank och finans med så kallade nischbanker som helt bygger på kund- kontakter via Internet. har mer än hälften av den svenska befolkningen skaffat någon form av tillgång till sin bank via Internet. Detta innebär att en stor del av den svenska befolkningen kan visa upp ett certifikat och legitimera sig i en dialog över Internet. De lösningar som mest används för Bank över Internet ger en relativt säker metod för identifikation och skyddad kommunikation. Metoderna är emeller- tid oftast av en symmetrisk natur och därmed knutna till kontak- Behov av strategi och konkreta åtgärder ter med den som certifierat och kan inte användas för att åstad- komma strikt personliga generella underskrifter. Den metod som används och där bankerna utfärdar asymme- triska elektroniska legitimationer, baserade på den identifikation som utförts för Bank över Internet, har visat sig vara bättre an- passad för de stora, centrala myndigheterna än för regionala och lokala myndigheter (se avsnitt 2.4.2). Dessa har svårt att få kontroll över, och lönsamhet i, en användning av elektroniska legitima- tioner. Utredningen anser att bättre information och marknads- föring kring denna typ av tjänster är nödvändig. Inom ramen för utvecklingen av 24-timmarsmyndigheten pågår aktivitet för att skapa acceptabla ekonomiska förutsättningar för e-legitimationer. 4.3Behovet av operativ förmåga De resonemang som utredningen för i de tidigare avsnitten väcker frågan om vilka olika förmågor som bör finnas. Skall en system- ägare kunna reagera om systemet utsätts för en IT- attack eller annat IT-relaterat hot? Skall staten kunna bistå med resurser i en sådan situation? Vilken roll och vilket ansvar har näringslivet för att kunna bistå? Om skall vara en ledande IT-nation erfordras god informationssäkerhet. Kompetent personal är en grundförutsättning för att kunna reagera på angrepp. Regeringen har tidigare understrukit behovet av en förstärkning av under- rättelse- och säkerhetstjänsterna. Det är ett grundläggande samhällsintresse att skydda nationella elektroniska kommunikationsnät och samhällsviktiga informations- system. Det är inte rimligt att detta ansvar och de krav på nationell kompetens detta ställer endast skall åvila kommersiella företag. Kompetenta myndigheter med ansvar för denna typ av frågor måste på olika sätt bidra till att höja den allmänna förmågan till skydd. Exempel på detta är den tillsyn som bedrivs av Post- och tele- styrelsen på teleområdet och den tillsynsverksamhet som bedrivs av Säkerhetspolisen och Försvarsmakten. Men hur effektiv denna verksamhet än är, kan den endast i begränsad utsträckning identifiera och upptäcka om och när kvalificerade aktörer utnyttjar IT för att penetrera svenska informationssystem. har under ett stort antal år arbetat med informationssäker- hetsfrågor – både på bredden genom allmän förebyggande verksam- het och på djupet genom utvecklandet av särskilda kompetenser, Behov av strategi och konkreta åtgärder till exempel kryptologi – men bristen på systemtänkande och hel- hetssyn är påtaglig.