sou · GTB342 · 2006-01-01 00:00:00 — SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen, 2003. – En liten broschyr som underlättar arbetet för den som skall svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Till statsrådet och chefen för Genom beslut (dir. 2002:103) bemyndigade re- geringen chefen för att tillkalla en särskild utredare med uppdrag att bedöma behovet av signalskydd i sam- hällsviktig verksamhet samt att lämna förslag till organisatorisk pla- cering, lokalisering, uppgifter, ledning och samordning av signal- skyddstjänsten. Med stöd av regeringens bemyndigande kallade chefen för f.d. riksdagsledamoten till särskild utredare (regeringsbeslut 2002:1743/, pro- tokoll Fö 2002:1744/EPS). Utredningen antog namnet . En delrapport om signalskydd lämnades till regeringen (SOU 2003:27). Utredningens uppdrag utökades genom tilläggsdirektiv beslutat (dir. 2003:29). Den särskilde utredaren fick utöver det ursprungliga uppdraget i uppgift att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas, hur engagemang i det internationella arbetet inom informationssäkerhetsområdet bör utformas samt hur riktlinjer om nät- och informationssäkerhet kan genomföras i . Utredaren fick dessutom i uppdrag att följa myndigheternas uppbyggnad av de verksamheter som regeringen aviserade i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158), angående informationssäkerheten i samhället. Delrapporten i och internationellt – en översikt, lämnades till regeringen (SOU 2004:32). Enligt tilläggsdirektiv beslutat (dir. 2004:46) skall utredningen genomföra den utvärdering som regeringen anmälde till i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) vad avser de bedömningar när det gäller uppgiftsfördelningen som regeringen gjorde inom infor- Kansliråd och departementssekreterare , ämnessakkunnig och kansliråd har varit sakkunniga. Experter har varit avdelningschef , överstelöjtnant , avdelningschef , säkerhetschef , enhetschef , chefsjurist , överingenjör , avdelnings- direktör (entledigad ), avdelningsdirektör och avdelningsdirektör . Kriminalinspektör och IT-strateg utsågs till experter i utredningen . Avdelningsdirektör utsågs till expert och adjungerades till utredningen . Avdelningsdirektör och doktorand entledigades som experter . entledigades som sekreterare. I det fortsatta arbetet har departementsråd fun- gerat som huvudsekreterare och analytiker som sekreterare. Konsult på , har även i det fortsatta arbetet fungerat som en resursperson för utredningen. , f.d. statssekreterare, har varit anlitad av utred- ningen, bland annat för frågor rörande kompetensförsörjning. Inom ramen för uppdraget genomfördes två scenarioövningar med utred- ningens sakkunniga, experter och myndighetsrepresentanter respek- tive med företrädare för näringslivet. Syftet med övningarna var att belysa ett antal centrala frågor närmare. Genom tilläggsdirektiv beslutat (dir. 2005:53), förlängs utredningens arbete. De organisatoriska aspekterna av utredningens förslag skall lämnas till regeringen . I sitt slutbetänkande återkommer utredningen till eventuella ekonomiska konsekvenser av de förslag som läggs. Utredningen har fört en nära dialog med myndighetsrepresentanter, samt företrädare för närings- livet, i syfte att fördjupa och förankra utredningens resonemang. Frågor som rör hur näringslivet är konstituerat och organiserat är av betydelse för möjligheten att få en bred representation av privat sektor, till exempel för samverkan med offentlig sektor, och viktigt underlag i utredningens arbete med att formulera en na- tionell strategi för informationssäkerhet. Med anledning av detta uppdrog utredningen åt att formulera en beskrivning av relevanta branscher med avseende på marknaden kring infor- mationssäkerhet, vilka företag som ingår, storleken på dessa och andra faktorer som kan vara av betydelse. Ett centralt begrepp i utredningens arbete är samhällsviktig verk- samhet. Utredningen uppdrog åt () att utarbeta kriterier för bedömning av om en verksamhet är samhällsviktig. () fick i uppdrag av utredningen att göra en beskrivning av hur informationssäkerhetsfrågor har organiserats i andra länder. Då utredningen kommer att föreslå organisatoriska förändringar först i sitt slutbetänkande , behandlas inte dessa frågor i föreliggande betänkande. Utredningen har sedan delbetänkandet företagit studieresor till och . Avgränsning och ambition med delbetänkande tre Utredningens ambition med det andra delbetänkandet var att pre- sentera en bland relevanta aktörer förankrad bild av informations- säkerhetsarbetet i . Bilden omfattade såväl påbörjat och planerat arbete, som gällande förutsättningar och begrepp inom området. Denna bild har använts som avstamp för utredningens vidare arbete med delbetänkande tre. Genom lägesbedömningen har olika aktörers arbete med informationssäkerhet och deras behov på området kunnat identifieras, vilket har varit en nödvändighet för utredningens formulerande av en välgrundad och genomförbar strategi för utvecklingen av informationssäkerhetsarbetet. Föreliggande betänkande utgör utredningens förslag till principer för utveckling av informationssäkerheten. Förslagen baseras på identifierade behov på området, till exempel av författningsstöd, kompetensutveckling och samordning. Utredningen överlämnar härmed delbetänkandet Säker information. Förslag till informationssäkerhetspolitik (SOU 2005:42). 1 Utgångspunkter för utredningen................................... 1.1Regeringens strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende Det offentliga åtagandet .......................................................... Underlag för utredningens överväganden ...................... betänkande: Delrapport 1: Signalskydd................... 2.2Tidigare betänkande: Delrapport 2: Informationssäkerhet i och internationellt – en Kontakter i övrigt .................................................................... 2.4.2 kommuner och landsting............................... Utredningens slutsatser av inhämtat underlag 3.1Behov, möjligheter och problem ur 3.2Behov, möjligheter och problem ur säkerhets- och 3.3 Behov av helhetssyn ................................................................. 3.4Behov, möjligheter och problem för Utredningens slutsatser av behovsbilden ............................... Behov av strategi och konkreta åtgärder ........................ Det långsiktiga perspektivet: Strategi ..................................... 4.1.2 Innehåll i en nationell strategi för Det kortsiktiga perspektivet.................................................... 4.2.2 Ett gemensamt kommunikationsnät för E-legitimationer och certifikat................................... Behovet av operativ förmåga ................................................. Kriterier för samhällsviktiga verksamheter och system....... 4.5Utredningens slutsatser av behovet av strategi och 5 Den internationella dimensionen ................................ 5.1Inledande kommentar om säkerhetsproblemets 5.2 Samverkan inom EU .............................................................. Samverkan inom internationella organisationer................... riktlinjer för nät- och informationssäkerhet ........ 5.5Utredningens slutsatser rörande den internationella Gränser för det offentliga åtagandet ........................... Utvecklingen leds av marknaden .......................................... Förutsättningar för privat-offentlig samverkan................... Samverkan inom offentlig sektor.......................................... Det privata åtagandet............................................................. Det offentliga åtagandet ........................................................ Utredningens slutsatser om samverkan och åtaganden....... 7.1Författningar av särskilt intresse på 7.2Utredningens bredare definition av begreppet 7.3Kan tillämpningsområdet för säkerhetsskyddslagen och 7.4 En helt ny lag?........................................................................ 7.5Ett sammanhållet och heltäckande regelverk på Steg på vägen i avvaktan på ett heltäckande och 7.7.1 Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633)................. (2003:389) ................................................................... Standarder för informationssäkerhet .................................... 7.8.1 Metodik för kvalitets- och kompetensutveckling..... 7.8.3 Ledningssystem för informationssäkerhet, ........ Datainspektionen - säkerhet för personuppgifter..... 7.8.7 föreskrifter och allmänna råd Målstruktur för informationssäkerhet .................................. Utredningens slutsatser angående styrmedel ....................... Grund- och gymnasieskolan....................................... Kvalificerad utbildning och forskning .................................. 8.2.7 Sics och andra forskningsinstitut ............................... Kontroll och rådgivning enligt säkerhetsskyddslagen ......... Beställar- och leverantörskompetens .................................... Revision och certifiering........................................................ Fortbildning och erfarenhetsåterföring ................................ Signalspaningskunskap som skydd för IT-system ............... Utredningens slutsatser om kompetensfrågor..................... Förslag till nationell strategi ...................................... Handlingsprogram; förslag till åtgärder ....................... Förslaget till förordning (0000:000) om vissa åtgärder för informationssäkerhet hos staten..................................... Förslaget till lag om ändring i säkerhetsskyddslagen (1996:627) .............................................................................. Förslaget till förordning om ändring i säkerhetsskyddsförordningen (1996:633)............................ Kommittédirektiv (Dir. 2002:103)........................ Tilläggsdirektiv (Dir 2003:29) .............................. Tilläggsdirektiv (Dir. 2004:46) ............................. Tilläggsdirektiv (Dir 2005:53) .............................. Tillgång till korrekt och säker information vid rätt tillfälle är en förutsättning för tillväxt, konkurrens, utveckling, välfärd och trygg- het i samhället. Det gäller alla – medborgare, företag och offentlig verksamhet. Informations- och kommunikationstekniken har möjliggjort en explosionsartad utveckling inom informationsförsörjningen. innehar en framstående ställning internationellt i fråga om använd- ning av ny teknik och redan genomförda investeringar i människor. Kompetens och teknik utgör en stor potential för framtiden. Med ny teknik – där uppgifter och information bearbetas, lagras och förmedlas elektroniskt – följer inte bara ökade möjligheter, utan också problem i form av nya sårbarheter och beroenden. IT-utveck- lingen har visat sig vara snabbare än förmågan att utveckla adekvat säkerhetstänkande. Frågor kring sårbarheten berör ett mycket stort antal aktörer och intressen, och området präglas av stor dynamik. Det är svårare att värna säkerheten i moderna informations- och kommunikations- system, där informationen lagras, bearbetas och förmedlas elektro- niskt än när informationen föreligger i fysisk form. Detta ger även upphov till juridiska problem. Bilden av dagens brister och hot är mycket komplex och därmed även behovsbilden. Därför behövs, enligt utredningen, en samman- hållen politik inom informationssäkerhetsområdet. Det är nödvändigt att etablera vissa principer som kan ligga till grund för beslut om ansvarsfördelning och åtgärder i samhället. Två principer har utkristalliserats: den första handlar om hotets ursprung och den andra om hotets möjliga konsekvenser. Enligt utredningens mening innebär den första principen att ansvaret för hanteringen av administrativa och tekniska säkerhets- brister faller på den som är ansvarig för verksamheten. Detta följer även av ansvarsprincipen. Det utesluter dock inte att staten har ett ansvar, t.ex. för vissa förebyggande åtgärder inom det privata området. Det kan vara svårt för enskilda och företag att skydda sig mot aktörsberoende, antagonistiska hot. Dessa hot kan mycket snabbt komma att kräva statliga insatser, särskilt när det gäller samhällsviktig verksamhet. Var gränsen mellan det privata och det offentliga åtagandet går är mycket svårt att slå fast. Den andra principen innebär att ju svårare konsekvenser ett hot eller en brist kan leda till, desto mer sannolikt är det att staten kommer att involveras i någon form. I det statliga åtagandet bör därför ingå frågor om t.ex. krishantering, brottsbekämpning eller totalförsvar. Med dessa starkt förenklade principer för arbets- och ansvarsför- delning inom informationssäkerhetsområdet som utgångspunkt kan fyra uppgifter eller handlingslinjer urskiljas: att förebygga, förbereda, förhindra respektive att hantera allvarliga störningar. Dessa är upp- gifter som flertalet aktörer måste axla i en eller annan form. Två av dessa mål eller uppgifter ingår redan i regeringens strategi; förhindra och hantera. Det finns ingen definitiv lösning på problemet med informations- säkerhet. Därtill är problemet alldeles för komplext och området dessutom under ständig utveckling. Utredningen anser dock att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med problem som rör informationssäkerhet. En av utredningens huvuduppgifter är därför att se utvecklings- möjligheter i den av regeringen angivna strategin för informations- säkerhet. Övergripande målsättning för informationssäkerheten Regeringens övergripande målsättning är att upprätthålla en hög in- formationssäkerhet i hela samhället, som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. Strategin för att nå detta mål, liksom för övrig krishantering i samhället, måste utgå från ansvarsprincipen, likhetsprincipen och närhetsprincipen. Utredningen delar regeringens bedömning. Ett dilemma för utredningen I utredarens uppdrag ingår att utarbeta förslag till hur den svenska informationssäkerheten kan förbättras och överväga vad den enskilda medborgaren kan göra, vad som bör falla på enskilda företag och vad som kan lämnas till marknaden respektive vad som faller inom det offentliga åtagandet. Utredningen har också sett som sin upp- gift att överväga vilka administrativa respektive tekniska åtgärder som kan aktualiseras, liksom vilka olika former av administrativa, ekonomiska och informativa styrmedel som bör användas i samman- hanget. Utredningen beklagar att detta delbetänkande har kommit att domineras av överväganden som rör det offentliga agerandet – särskilt det statliga – och de tekniska aspekterna av informationssäkerhet. Detta är en konsekvens av utredningens direktiv, som i flera fall är direkta beställningar som rör statens eget agerande och som därför nödvändiggör en fördjupning av resonemangen. Detta bör inte upp- fattas som ett uttryck för var utredningen anser att tyngdpunkten i informationssäkerhetsarbetet bör ligga. Utredningen menar att den av regeringen tidigare redovisade strate- gin (prop. 2001/02:158) i grunden är riktig. Utredningen har dock funnit anledning att konkretisera och fördjupa den. I regeringens strategi ingår även vissa organisatoriska åtgärder. Utredningen har tagit fram underlag för utvärdering och återkommer till dessa frågor i slutbetänkandet. Utredningen framhåller att en strategi för informationssäkerhet måste kunna inrymma många aspekter, tidsperspektiv, mål och medel eftersom den syftar till att sammanfatta en handlingslinje på lång sikt. Strategin skall kunna ligga till grund både för privata och offentliga aktörer. En ökad informationssäkerhet måste därför bygga på att regeringen i en nationell strategi lyckas fånga in frågeställ- ningar som kan omfattas av flertalet aktörer och intressenter. Mot bakgrund av de resonemang som redovisas i kapitel 3 och 4 föreslår utredningen en strategi som innefattar att: 1.utveckla position inom EU och i internationella samman- hang 2.skapa förtroende, trygghet, säkerhet, och öka integritetsskyddet 3.främja ökad användning av IT 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem 5.förstärka underrättelse- och säkerhetstjänstens arbete samt ut- veckla delgivningen 6.förstärka förmågan inom området nationell säkerhet I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet 8.fokusera på samhällsviktig verksamhet 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd Utredningen har valt att inledningsvis betona att de europeiska och de internationella sammanhangen är av strategisk betydelse. Infor- mationssäkerhet är ett gemensamt, internationellt problem och de strategiska lösningarna måste därför utvecklas i samverkan med andra länder – både inom EU och i internationella organ. En bred tillämpning av riktlinjer är därvid ett viktigt steg. För- mågan att samordna arbetet behöver utvecklas, dels för att fullfölja svenska positioner och åtaganden, men också för att bättre ta till- vara de erfarenheter som andra internationella aktörer gör. Att skapa förtroende och främja ökad användning av IT Den andra punkten är liksom den tredje punkten nationell till sin karaktär i den meningen att ansvar, befogenheter och resurser redan finns. Utredningen vill betona att den ökade informationssäkerheten skall stödja en svensk utveckling av näringsliv och offentlig sektor och skall främja en demokratisk utveckling och ökad trygghet för medborgarna. Detta innebär att förtroendet för informationsförsörj- ning måste kunna upprätthållas, även när den sker elektroniskt. väl fungerande informationsförsörjning bygger på att informations- säkerheten kan utvecklas, vilket i sin tur är en förutsättning för ökad användning av IT. Detta är också en förutsättning för tillväxt, konkurrens och utveckling. Att förebygga, förbereda, förhindra, upptäcka, hantera och ingripa vid störningar I regeringens övergripande strategi ingår formuleringen att kunna förhindra och hantera störningar i samhällsviktig verksamhet. Ut- redningen menar att strategin bör tydliggöra vikten av förebyggande och förberedande åtgärder. Vidare betonar utredningen att begreppet hantera måste inkludera förmågan att i olika former upptäcka, ingripa och agera i samband med störningar – till exempel genom brottsbekämpning. Dessa kompletteringar skall klargöra att informationssäkerhets- arbete måste omfatta alla skeden och flera aktörer. Det innebär att den förebyggande uppgiften och de förberedande åtgärderna måste bli en del av många myndigheters sektorsansvar och instruktions- mässiga uppgift. Utredningen föreslår vidare att regeringens strategi i denna fråga preciseras till att avse störningar i informations- och kommunikationssystem. Frågan om prioriteringar av samhällsviktig verksamhet bör behandlas som en särskild punkt i strategin. Att förstärka underrättelse- och säkerhetstjänsterna och att förbättra delgivningen Regeringen har tidigare konstaterat att underrättelse- och säkerhets- tjänsternas arbete bör förstärkas för att förhindra allvarliga infor- mationsattacker mot svenska intressen. Utredningen delar denna uppfattning, men framhåller att flera aktörer måste kunna få del av underrättelseinformation för att kunna beakta denna i sitt eget säkerhetsarbete. Utredningen är väl medveten om de restrik- tioner och svårigheter som ligger i uppgiften men framhåller ändå att bearbetning och delgivning av underrättelseinformation måste utvecklas i syfte att ge underlag för alla aktörer med uppgifter inom informationssäkerhetsområdet. Att förstärka förmågan inom området nationell säkerhet I det statliga åtagandet ingår frågor om nationell säkerhet i vid mening – till exempel krishantering, brottsbekämpning, kontra- terrorism eller totalförsvar. För att möta de mest kvalificerade hoten krävs, enligt utredningens mening, en förstärkt förmåga att upp- täcka och analysera störningar liksom en förmåga att kunna ingripa och agera kraftfullt mot antagonistiska och/eller kriminella aktörer. Utan en helhetssyn på de tekniskt relaterade hoten kan staten inte skydda samhället från kvalificerade aktörers angrepp på svenska informationssystem. En sådan helhetssyn förutsätter tillgång till relevant information, kompetens och teknisk utrustning. Detta är frågor som kräver långsiktighet och uthållighet och därför bör inne- fattas i en nationell strategi. I de första sex punkterna har utredningen försökt sammanföra frågeställningar och överväganden som handlar om strategiska mål- sättningar. Utredningen har även funnit anledning att föreslå inrikt- ning och prioriteringar av det framtida informationssäkerhetsarbetet. Att utnyttja samhällets samlade kapacitet Utredningen föreslår att utgångspunkten för informationssäkerhets- arbetet bör vara att bättre utnyttja samhällets samlade kapacitet på området. De investeringar som redan gjorts i människor, kompetens och teknik utgör en värdefull potential för framtiden. Ökad infor- mationssäkerhet handlar därför, enligt utredningens synsätt, inte i första hand om ytterligare investeringar utan snarare om en tydligare ansvars- och arbetsfördelning mellan samhällets olika aktörer. Den tekniska utvecklingen på IT-området är i allt väsentligt styrd av olika privata aktörer på marknaden. Eftersom utvecklingen sker på marknaden är det också i första hand där som säkerhetslösningar måste utvecklas. Inom samhällsviktiga områden måste därför aktö- rerna inom offentlig sektor utveckla sina förutsättningar och sin förmåga som kravställare och beställare. Samverkan privat – offentligt Enligt utredningens mening borde det vara möjligt att inom ytter- ligare sektorer/områden utveckla samverkan i syfte att öka informa- tionssäkerheten. Utredningen har kunnat konsta- tera att näringslivet välkomnar en bredare samverkan kring informa- tionssäkerhet till ömsesidig nytta, men att denna samverkan måste vara frivillig. Staten måste därför hitta former för en dialog med näringslivet som får anpassas till varierande förutsättningar. Det staten kan göra handlar då om att tydliggöra sin egen uppgift och att peka ut en myndighet med sammanhållande ansvar. Att utveckla former för samverkan mellan det privata och offentliga är av strate- gisk betydelse. Samverkan inom offentlig sektor Utredningen har konstaterat att staten i stort sett har samma pro- blem att hantera som kommuner och landsting. Förutsätt- ningarna för samverkan inom staten respektive mellan kommunerna företer också många likheter. Det kan enligt utredningen finnas skäl att genom en särskild överenskommelse bekräfta en samsyn i infor- mationssäkerhetsfrågor och att tydliggöra att kommuner och lands- ting kan disponera tillgängliga statliga medel även för dessa ändamål. Varje enskild verksamhetsansvarig ansvarar själv för leveranssäker- heten och kvaliteten i sin verksamhet. Informationssäkerhet – såväl teknisk som administrativ – måste ses som en integrerad del av verk- samhetsansvaret och skiljer sig på så vis inte nämnvärt från andra typer av säkerhetsfrågor. Åtagandet skulle således följa ansvarsprin- cipen. Enligt utredningens mening måste det ligga inom varje med- borgares eget ansvar att inhämta kunskaper och vara medveten om de säkerhetsrisker som följer med elektronisk hantering. På mot- svarande sätt anser utredningen att det i princip måste ligga inom varje företags åtagande att svara för såväl kompetensförsörjning som säkerhet i de egna informationssystemen. I det privata åtagandet måste även ingå att säkerställa säkerheten i de fall någon utom- stående anlitas för tjänster av olika slag.