sou · GTB342 · 2006-01-01 00:00:00 — En informationssäkerhets- chef ingår i företagets ledningsgrupp och svarar för såväl administrativ som teknisk informationssäkerhet samt ansvarar normalt också för utarbetandet av ett företags policy inom området och genomförandet av policyn. Ytterst innebär uppgiften ett ansvar för att analysera vilken information som är central för organisationen liksom att avgöra vilken IT-plattform som är lämplig för att hantera organisationens information. Den ansvarige skall också säkra informationen inom policy, regelverk och tekniska lösningar. Det är sannolikt att CIO kommer att bli en allt vanligare yrkesgrupp inom såväl näringsliv som myndigheter. Genom att den blir en vanligare yrkesgrupp i samhället kan medvetenheten för informationssäkerhet och kvaliteten i insatsen stärkas. Det finns därför skäl att stimulera till etablering av CIO-utbild- ningar eller motsvarande inom ramen för högskoleutbildningen av ekonomer och ingenjörer. Utbildningsbehovet kan naturligtvis variera mellan olika företag och olika myndigheter. Generellt kan dock konstateras att det finns behov av CIO-utbildning på magisternivå (mastersnivå) med minst 40 poängs påbyggnad utöver akademisk grundexamen. Omfattningen i antal utbildningsplatser, profilering och place- ring av en sådan utbildning bör bli föremål för ytterligare bedöm- ningar. Initiativ kan tas av enskilda universitet och högskolor, som kan erbjuda en kvalificerad nivå. , som har ett sammanhållande myndighetsansvar inom krishanteringsområdet, bör tillsammans med ansvariga myndigheter inom utbildningsområdet ha ett utpekat ansvar för att tillse att behovet av högre utbildning inom informationssäkerhetsområdet tillgodoses. De växande behoven av säkra informationssystem ställer krav på ökade resurser för forskning om informationssäkerhet. Det gäller såväl grundforskning, och forskning om tillämpade metoder och ledningssystem, programvara och produkter. En betydande del av dagens forskning bedrivs i gränszonen mellan ren forskning och utvecklingsinsatser i IT-företagen. Eftersom det kommersiella värdet av utvecklingen av IT- teknologin är så betydande, är detta ganska naturligt. Samhället i form av internationella organisationer, Europeiska unionen och staten kan och bör dock ställa krav på säkerhet eller säkerhetsnivåer som måste uppnås i utvecklingen av nya systemlösningar. Mark- naden ställer också allt högre krav på säkra system och säkra lösningar. Forskning behövs även för att utveckla kompetens och stimulera kvalitet i utbildningen. har ett särskilt ansvar inom forskningsområdet för att stimulera, initiera och delvis även finansiera forskning inom området informationssäkerhet. Det gäller både för forskning inom det allmänna universitets- och högskoleområdet och inom ramen för Försvarshögskolans och Totalförsvarets forskningsinstituts verksamhet. Detta ansvar behöver förtydligas ytterligare. Att säkra rikets ledning och tillgången till samhällskritisk infrastruktur ställer stora krav på säkerhet i informations- hanteringen. Utan en hög nivå på den nationella informations- säkerheten ökar också riskerna för svåra påfrestningar i det fredstida samhället. Staten måste därför vara beredd att engagera sig i att bygga upp en forskarkompetens inom området informations- säkerhet. För att utveckla kunskap och kompetens inom ett delvis nytt ämnesområde som informationssäkerhet behöver forskning initi- eras, stimuleras och följas upp. Det är viktigt att utifrån en god överblick och bedömningsförmåga inrikta forskningen mot nydanande mångvetenskapliga perspektiv, som kan ge prak- tisk nytta inom det aktuella området. Forskningsbaserad kunskap bygger på långsiktighet och uthållighet i projektsatsningar och i kompetensutveckling bland berörda forskare. För att kunna avtappa för forskningsområdet nödvändig analy- tisk förmåga, bland annat som ett stöd för utbildningar inom området, bör investeringar göras i framväxt av kreativa och internationellt konkurrenskraftiga forskningsmiljöer. Mångfald bland utförare är en grundläggande förutsättning för en dynamisk ämnesutveckling. Ett visst risktagande är dessutom ofrånkomligt i all nydanande forskningsfinansiering, även om man skapar processer i uppbyggnaden som syftar till att begränsa riskerna. () har sedan den etablerades genomfört tematiska utlysningar av fleråriga forskningsmedel kring områdena Hot och hotutveckling samt kring Sårbarhet och krisberedskap på lokal och regional nivå. Totalt har satsningen legat på ca 12 milj. kr. med ett högt söktryck. Samråd har förevarit med statens sex samverkansområden. Projekten har diskuterats i KBM:s vetenskapliga råd. sker en satsning på ett tredje insatsområde, forskning kring Terrorism och terrorist- bekämpning. Insatserna kommer sannolikt att förankras också i en internationell forskarmiljö. På motsvarande sätt borde staten genom den roll som har i forskningshänseende utveckla ett tematiskt område kring Informationssäkerhet. Ett första steg skulle kunna vara att engagera en grupp av forskare för att inom relevanta ämnen ta fram kunskapsöversikter. Det gäller bland annat att sätta svenska ämnesbidrag i ett internationellt sammanhang, då forskningsfronten på detta område till stora delar ligger bortom landets gränser. Den överblick och den förmåga till syntes av flera olika ämnesdelar som krävs för en sådan uppgift innebär att en inledande fas borde anförtros ledande forskare med gedigen vetenskaplig meritering. Syftet är inte att möjliggöra för någon enskild forskare att lyfta fram sin speciella vinkel på ett ämne i vardande. Från ett helhetsperspektiv kan flera forskare täcka in rådande kunskapsläge, samt inte minst peka på viktiga kunskapsluckor. Flera sådana översikter torde kunna ge en balanserad och heltäckande bild av hur ett nytt forskningsområde skulle kunna utvecklas vidare samt vilka embryon till forskningsmiljöer man skulle kunna bygga på i en fortsatt satsning. Sådana översikter kommer sannolikt att visa på att en hel del forskning inom området redan bedrivs inom landet och inter- nationellt, men i isolerade öar i ganska specialiserade ämnesgruppe- ringar. Genom en första kunskapsöversikt kan man kartlägga hur dessa potentiella bidragsgivare till ämnesutvecklingen borde kunna knytas samman och därmed komplettera varandra inom ett nationellt program för informationssäkerhet. En sådan profil- höjning inom kompetenssfären blir även ett slagkraftigt instrument i det internationella erfarenhets- och myndighetsutbytet inom ämnesområdet. Ett nästa steg vore att behandla dessa kunskapsöversikter vid konferenser med tungt internationellt inslag. Svenska forskare engageras för att i det vetenskapliga samtalet med internationella kollegor hävda sina perspektiv och lyfta fram sina speciella nischer inom den internationella ämnesutvecklingen. Även företrädare för det praktiska genomförandet inom området Informationssäkerhet bör medverka aktivt vid sådana inventerande konferenser. Praktiker inom området besitter värdefulla insikter som kompletterar de forskningsbaserade kunskaper som forskarna tar fram. Ett ämnes utveckling främjas av att kunna förena forsknings- baserade kunskaper med erfarenhetsbaserade insikter. Behovs- motiverad forskning syftar ytterst till att lösa olika praktiska, framtida uppgifter, inte minst inom kompetensutveckling och kompetensförsörjning. Därför är också närvaron av personer med praktisk erfarenhet värdefull. Förhoppningsvis stimulerar konferenser, som bygger på utförda kunskapsöversikter, flera svenska forskargrupper att engagera sig inom det nya ämnesområdet. Inte minst värdefullt vore att kunna rekrytera yngre, lovande forskare genom postdoktorala karriär- möjligheter. Om ett antal sådana forskare kunde stimuleras att ägna sin forskarkraft åt detta ämnesområde i vardande, i stället för att inriktas mot mer traditionella, disciplinorienterade frågeställningar vid redan etablerade miljöer, kunde området ges en kreativ, nydanande impuls och generera värdefulla kunskapsbidrag. Så har skett inom andra ämnesområden. Efter genomförda konferenser kan arbetsmöten eller seminarier ordnas med intresserade forskare och utvalda praktiker för att värdera hur ett vetenskapligt förankrat ämnesområde skulle kunna stimuleras och utvecklas i . I sammanhanget måste också värderas hur denna forskning kan kopplas till existerande och framtida internationellt ledande forskning inom området. Vilka speciella svenska nischområden som kan profileras behöver också värderas. Hur denna forskning kan kopplas till existerande eller framtida utbildningar och fortbildning behöver klarläggas. Hur forskningen kan och bör leverera användbar kunskap till avnämare behöver diskuteras ingående. Likaväl som forskare måste inse praktikens dagliga villkor, behövs också en bättre förståelse för forskningens villkor och för den forskningsbaserade kunskapens möjligheter och begränsningar. Finns det ett intresse bland forskare och relevanta myndighets- företrädare att gemensamt utveckla det nya ämnesområdet bör man initiera projekt med enskilda forskare och forskargrupper att i konkurrens söka forskningsmedel. För att en satsning skall uppfattas som meningsfull inom vetenskapssamhället bör den årliga ramen vara 10–15 miljoner SEK. En budgetram i den storleks- ordningen skulle ge utrymme för två till tre fleråriga program- satsningar. Kriterier för prioriteringar bland de sökande måste fastställas inför en utlysning av forskningsmedlen. Vetenskaplig kvalitet samt relevans för ämnesområdet bör vara grundläggande, då man vill främja utvecklingen av forskning inom ett nytt mång- vetenskapligt ämnesområde med en tydlig praktikerorientering. Forskargrupper som erhåller bidrag måste kunna förlita sig på att satsningen är flerårig. Uthållighet är en nödvändig förutsättning för långsiktigt verkande kunskapstillskott. Det är en kvalitativ aspekt som också är väsentlig för att inom landet skapa kompetens och personliga förmågor att slagkraftigt samverka internationellt inom ämnesområdet. Dels behöver svenska forskare i konkurrens ta hem forskningsanslag från till exempel EU:s forskningsprogram, dels behöver man kunna erbjuda utländska kollegor specialkunskaper i utbyte mot deras nischkompetens. En viktig del i den initiala finansieringen av de svenska forskargrupperna blir således att de är medel också för medverkan i olika internationella sammanhang. Avtappning av resultat från forskargrupperna till den dagliga praktiken kan endast förväntas . Däremot kan utbildnings- program, kurser och seminarier som bygger på den finansierade forskningen komma igång relativt snart. Genom referensgrupper, dialoger och liknande bör kunskapsförmedlingen kunna främjas . Forskare är även pedagoger och bör förväntas delge sina kunskapsrön i olika former. Förnyelsen av kompetens och generationsskiften inom forskarkåren kan också säkras genom koppling till utbildande institutioner. Inom informationssäkerhetsområdet finns stora utbildnings- behov. Dessa nya program för kompetensförsörjning och utveck- ling bör vila på vetenskaplig grund och inte enbart baseras på insikter, som erfarna praktiker kan förmedla genom sina personliga upplevelser. Försvarshögskolan (FHS), är en civil myndighet, vars uppgift är att bidra till nationell och internationell säkerhet genom forskning och utbildning. Forskningen bedrivs inom delvis unika kunskaps- områden och sprids därefter vidare till övriga samhället och även utanför gränser. Försvarshögskolan utbildar militära och civila ledare, nationellt och internationellt, vilka skall bidra till att hantera dagens och morgondagens krissituationer och säkerhetsproblem. Högskolan kan inom området informationssäkerhet bidra med stöd vid studieverksamhet samt ge analysstöd i nära samverkan med andra berörda statliga aktörer – exempelvis och Informationssäkerhetsråd. Försvarshögskolan bedriver på uppdrag av såväl militära som civila myndigheter och bland annat forskning och studier genom sitt och Terrorismstudier (CATS). Vid försvarshögskolan utvecklas även Informationsoperationer som ett akademiskt ämne i internationell samverkan med bland annat i och i . Aktuella delområden är informationsterrorism, policy och skydd av nationell infrastruktur på informationsområdet, varseblivningsanalys och psykologiska operationer samt metodik för omvärldsanalys. , , som ingår i FHS, utbildar ledande befattningshavare i frågor av stor betydelse för informationssäkerhet, bland annat vid den årliga Solbacka- kursen för högre chefer inom förvaltning, näringsliv och medier samt för regering och riksdag. Försvarshögskolans arbete präglas av säkerhetspolitiskt fokus med tvärsektoriellt arbetssätt och är kopplat till såväl militär som civil, statsvetenskaplig, teknisk, polisiär och folkrättslig kompetens. Forskning och studier rör olika aspekter av informationsopera- tioner i fred, kris och krig med allt från informationsattacker till nätverksattacker. Även informationsoperationer som drabbar näringslivet studeras i ett särskilt projekt. Asymmetriska hot från icke-statliga aktörer studeras i nära samverkan med internationella forskningscentra om terrorism. Försvarshögskolan anordnar även kvalificerade seminarier rörande såväl tekniska, folkrättsliga som underrättelseorienterade fråge- Försvarshögskolan har dock inget operativt ansvar inom området informationsoperationer. Försvarshögskolan, med sina flervetenskapliga utbildningar och forskningsprogram, har förutsättningar att genomföra utbildning inom området informationssäkerhet. Flera av högskolans samarbets- partners har väl utvecklade program inom informationssäkerhet. FHS administrerar studerande från Försvarsmakten som deltar vid nationella och internationella högskolor och universitet. Nationellt sker detta främst inom ramen för Försvarsmaktens doktorandprogram och internationellt som studerande i kvalifi- cerade utbildningsprogram. De utländska skolornas utbildnings- program kan till viss del användas som förebild för svenska liknande utbildningar. FHS samarbete med nationella högskolor och universitet kan därför bidra till att utveckla en svensk informationssäkerhetsutbildning. En utbildning i informationssäkerhet skulle kunna ske med en praktisk inriktning för certifiering av nyckelpersonal inom myndig- heter och företag, samt med en teoretisk magisterutbildning för fördjupade kunskaper inom området. Utbildningen bör kunna genomföras både under en koncentrerad utbildningstid och för- delad under . Försvarshögskolans redan befintliga kompetens för utbildning och forskning inom ledarskap, manage- ment, krishantering och teknik gör att högskolan har flera av de förutsättningar som krävs för att genomföra en magisterutbildning inom informationssäkerhet. () har till uppgift att bedriva forskning, metod- och teknikutveckling samt utredningsarbete för totalförsvaret och som stöd för nedrustning och internationell säkerhet. Av förordningen (2003:131) om försvarsunderrättelseverk- samhet framgår att forskningsinstitutet skall bedriva försvars- underrättelseverksamhet. Uppgiften skall fullgöras genom analyser av information som inhämtats från offentliga informationskällor eller som lämnats av uppdragsgivare. skall följa utvecklingen inom sitt ansvarsområde och bygga upp kunskaper och kompetens för att tillgodose framtida behov och verka för att försvarsforskningen nyttiggörs även utanför totalförsvaret. Myndigheten skall särskilt verka för samverkan mellan militär och civil, respektive mellan nationell och internationell forskning. Myndigheten är till uppdragsfinansierad, vilket innebär att den forskning som bedrivs till betydande del styrs av kundernas behov. Uppdragsgivare är bland annat Försvarsdeparte- mentet, , Försvarsmakten, Krisberedskaps- myndigheten och . Vid avdelningen för försvarsanalys genomförs studier och forsk- ning inom området informationssäkerhet på olika systemnivåer. Uppdragen har bland annat varit orienterade mot säkerhetspoli- tiska bedömningar, hotbildsanalyser, framtidsstudier och samhälls- orienterade sårbarhetsanalyser. Verksamheten har även omfattat systemnära säkerhetsanalyser och scenarion av IT-system inom till exempel vattenförsörjning, telekommunikation, elproduktion och drivmedelsförsörjning. har kunskapsutveckling skett inom området säkring av viktig infrastruktur, där bland annat frågor om informationssäkerhet får en alltmer framträdande roll. Denna forskning har finansierats av . Vid avdelningen för ledningssystem har och byggt upp verksamhet och kompe- tens inom framförallt den tekniska delen av IT-säkerhetsområdet. Forskningen inom IT-säkerhet har tre huvudinriktningar: offensiv inriktning, defensiv inriktning samt design av säkerhets- arkitektur. Den största finansiären av forskningen har varit Försvarsmakten men civila uppdragsgivare har även förekommit. Utöver forskning bedrivs utbildning rörande IT-säkerhet inom Försvarsmakten. En viktig resurs vid avdelningen för ledningssystem är IT- säkerhetslaboratoriet. Laboratoriet är uppbyggt med hög flexi- bilitet för att lätt kunna konfigureras om för att simulera nya system och egenskaper. 8.2.7Sics och andra forskningsinstitut Forskning inom informationssäkerhetsområdet bedrivs även inom andra organisationer. , Sics, är ett icke vinstdrivande forskningsinstitut med ett hundratal forskare från hela IT-området, med projekt bland annat inom framtida Internet-teknologi och interaktionen mellan människa Forskningen bedrivs i nära samverkan med industrin och det internationella forskarsamhället. Sics har i internationella bedömningar rankats bland de främsta forskningsinstituten i världen. Sics ägs till tre fjärdedelar av svensk industri och en fjärdedel av staten, genom och , . Målet är att bidra till konkurrensförmågan hos svensk industri genom att bedriva avancerad forskning inom strategiskt viktiga områden av datavetenskap och aktivt främja användningen av nya idéer och resultat i industrin och samhället i stort. Sics har inte primärt fokus mot informationssäkerhet, men en stor del av forskningen berör i praktiken frågor om funktiona- litet och säkerhet. Sics finansiering sker förutom med medel från industrin också från och . Institutet deltar i en rad EU-finansierade forskningsprojekt. Vid sidan av Sics finns även andra forskningsorgan inom IT- området som i , i och som bedriver verksamhet på flera platser i . De bildar tillsammans SITI, . Utredningen har betonat vikten av samarbete mellan offentlig och privat sektor. Sics fyller tillsammans med övriga institut en mycket viktig funktion för att vara en avancerad brygga mellan näringslivets forskningsbehov, statens behov av att främja forsk- ningen och forskarvärlden inom IT-området. Utredningen anser att institutens forskning borde få en förstärkt inriktning på projekt inom området informationssäkerhet. EU initierar och finansierar en omfattande forskning inom informa- tionsteknikens område. Informationssamhällets teknik (IST) är ett delområde inom EU:s sjätte ramforskningsprogram med en budget på . Det finns fyra huvud- prioriteringar inom IST. De gäller för det första tillämpad forsk- ning avseende informationssamhällets teknik som berör samhälle- liga och ekonomiska utmaningar. För det andra gäller det teknik för kommunikation, hantering av information och programvara. För det tredje gäller det komponenter och mikrosystem. området gäller teknik för kunskapshantering och intelligenta gräns- snitt. Främst det första området berör informationssäkerhetsfrågor. Antalet projekt är mycket stort. Den förändrade synen på säkerhet efter de uppmärksammade terrordåden och Unionens allt högre säkerhets- och försvarspolitiska profil ledde till ett kommissionsbeslut om en Preparatory Action on (). I praktiken är detta ett förberedande forskningsprogram om ca som syftar till forskning till stöd för fredsfrämjande insatser, Petersbergsinsatser, det vill säga insatser under andra pelaren. Programmet i sin slutliga utformning har en bredare ansats på säkerhet. I de projekt som skall bedrivas ingår bland annat Optimerad säkerhet i och skydd av nätverkssystem samt Kompa- tibla och integrerade informations- och kommunikationssystem. PASR har genomfört en första ansökningsomgång. Kommis- sionen har också givit ut ett meddelande om fortsättningen för PASR där bland annat kommissionen säger sig vilja tillskapa en rådgivande styrelse för säkerhetsforskningsprogrammet med representanter för såväl industri, forskningsorganisationer och användare. Denna skall ha en rådgivande roll avseende PASR innehåll och genomförande. Dessutom avser kommissionen att inleda en interinstitutionell diskussion om ett framtida säkerhets- forskningsprogram. Kommissionen betonade i meddelandet också att behoven emanerade från säkerhetsstrategin, den gemensamma utrikes- och säkerhetspolitiken (GUSP), den gemensamma säkerhets- och försvarspolitiken (ESFP) och kommissionsinitiativ relaterade till Europeiska unionens interna säkerhet, skall beaktas i utvecklingen av PASR. () är ett generaldirektorat inom kommissionen som bedriver uppdragsforskning, tillhandahåller vetenskapliga råd och teknisk kunskap samt genomför annan verksamhet till stöd för Kommissionens policyskapande generaldirektorat. JRC som består av sju olika institut, arbetar med ett vitt spektrum av frågor. Ett institut inom JRC är of the Citizen, beläget i Ispra, , vid vilket det bedrivs ett program för . Forskningen inom detta område berör bland annat Digitala identiteter och Interdependens och risk i informationsinfrastrukturen. forskning är finansierad genom ett så kallat specifikt program inom sjätte ramforskningsprogrammet. bör ha har en hög ambition i att delta såväl i EU:s policyskapande arbete för att inrikta forskningen inom informa- tionssäkerhetsområdet och som avnämare och genomförare av större forskningsprojekt inom området. Det är en angelägen uppgift både för och myndigheter som Kris- beredskapsmyndigheten och , liksom för svenskt närings- liv, att delta i arbetet och få del av de betydande forskningsresurser som EU kommer att satsa inom informations- säkerhetsområdet. Till ambitionerna bör också höra att utveckla samarbete med partners i andra länder eftersom EU-finansierade forskningsprojekt ofta förutsätter samverkan mellan aktörer i flera medlemsländer. En väsentlig delmängd av informationssäkerhet är kommunika- tionssäkerhet och det närbesläktade begreppet signalskydd. Traditionellt har signalskydd varit en militär angelägenhet, där det gällt att skydda sin egen kommunikation mot fientlig signal- spaning. Två komponenter i signalskyddet är trafikskydd och textskydd. Trafikskydd går ut på att förhindra eller försvåra för utomstående att uppfatta kommunikationen. Det kan man göra till exempel genom att välja andra sambandsmedel än radio eller genom att ofta byta radiofrekvens, om möjligt . Textskydd går ut på att se till att utomstående inte kan förstå innehållet i kommunikationen även om de lyckas uppfatta den. Detta sker genom att man krypterar innehållet. Kryptering har länge varit en avancerad disciplin, som kräver mycket hög kompetens, främst inom matematik. Denna kompe- tens har behövts inom såväl signalskydd som signalspaning. Även om vissa komponenter som språklig kompetens har haft viss betydelse, så har traditionellt sett matematik ändå varit den helt dominerande komponenten inom kryptokompetens. ser bilden annorlunda ut, men inte beroende på att matematiken minskar i betydelse. Tvärtom används alltmer avancerad matematik inom modern kryptering. Men till skillnad mot tidigare krävs även hög kompetens inom data. Skälet härtill är naturligtvis att kryptering oftast utförs på datorer. Med detta följer en ny sårbarhet. Hur vet man att det är rätt program som exekveras? Lägger krypteringsprogrammet någon kopia av klartexten på olämpligt ställe? Är den underliggande slumptalsgeneratorn korrekt skriven? Att ta reda på svaret på dessa och många andra frågor utifrån kanske enbart ett komplicerat dataprogram kräver hög kompetens. Med IT-revolutionen har kryptering blivit en angelägenhet långt utanför det militära området.