sou · GTB342 · 2006-01-01 00:00:00 — Medan standarden är en metod – den anger vad som behöver beaktas, är BITS och OffLIS verktyg – de anger hur säkerheten skall åtgärdas. BITS är inriktat mot IT-säkerhet och behöver breddas till att omfatta hela begreppet informationssäkerhet, samt kompletteras med krav på process för styrning och underhåll av informationssäkerhetsarbetet. OffLIS tar ett större grepp och omfattar rekommenderade åtgärder för en organisations hela informationssäkerhetsområde i enlighet med . OffLIS hänvisar naturligt till BITS som ett stöd för införande av konkreta systeminriktade åtgärder gällande lagstiftning och före- kommande rekommendationer. Arbete pågår nu för att få en fullständig integration av BITS och Statskontorets OffLIS. Ett resultat som blir mera heltäckande och inte enbart fokuserar på IT-säkerhet skulle kunna bli en föreskrift för alla myndigheter. Att få fram en bra basnivå för informationssäkerhet på alla myndigheter skulle också kunna underlätta Säkerhetspolisens författningsreglerade arbete med rådgivning och kontroll. 7.8.6Datainspektionen – säkerhet för personuppgifter Datainspektionens allmänna råd preciserar personuppgiftslagens (1998:204) krav på säkerhet vid behandling av personuppgifter. Enligt 31 § ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Den som behandlar personuppgifter bör tänka på att kartlägga hot- bilden, sätta mätbara mål för säkerhet och skapa en fungerande organisation för säkerhet. Det innebär bland annat att skaffa adekvat utrustning, upprätta regler och rutiner, informera och utbilda kontinuerligt samt att följa upp att regler och rutiner efterlevs och respekteras. Säkerheten skall testas regelbundet. Ansvaret för säkerheten vid behandling av personuppgifter är enligt personuppgiftslagen en personuppgiftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen och medlen för personuppgifter. Den faktiska behandlingen av personuppgifter kan överlåtas till annan som då blir att betrakta som person- uppgiftsbiträde. Denne får behandla personuppgifter enbart i enlighet med instruktioner från den personuppgiftsansvarige. Ett skriftligt avtal som reglerar förhållandet mellan personuppgifts- biträdet och den ansvarige skall upprättas. I avtalet skall säkerhet- åtgärderna vid behandlig av personuppgifter regleras. Det är angeläget att Datainspektionens allmänna råd relateras och närmas till den internationella standarden SS-ISO/IEC 17799. Enligt vad utredningen erfarit kommer Datainspektionen att genom- föra en översyn av de allmänna råden i bland annat detta syfte . 7.8.7Rikspolisstyrelsens föreskrifter och allmänna råd om säkerhetsskydd I föreskrifter och allmänna råd ges tillämp- ningsföreskrifter till säkerhetsskyddslagen när det gäller informa- tionssäkerhet, tillträdesskydd och säkerhetsprövning. Föreskrif- terna gäller för statliga myndigheter samt för kommuner och landsting. Bestämmelserna om informationssäkerhet gäller för upp- gifter som omfattas av sekretess enligt sekretesslagen (1980:100) och som rör rikets säkerhet (hemliga uppgifter). I den omarbetade föreskrift, som trädde i kraft (RPSFS 2004:11, FAP 244-1) har bestämmelserna om informationssäkerhet delats upp i två delar. Ett kapitel behandlar informationssäkerhet för hemliga handlingar i skrift eller bild och ett kapitel informationssäkerhet för hemliga uppgifter i IT-system. Av föreskrifterna framgår bland annat att myndighetens chef skall fastställa mål och riktlinjer för IT-säkerheten, liksom instruktioner för användning, förvaltning och drift av IT-system som används för hemliga uppgifter eller som särskilt behöver skyddas mot terrorism. För ett sådant IT-system skall finnas en av myndighetens chef utsedd person som ansvarar för säkerheten i systemet. Föreskrifterna innehåller krav att sådana IT-system skall vara försedda med tekniska eller administrativa åtgärder för identifiering av användaren, verifiering av identiteten, styrning av åtkomsträttig- heter samt registrering av aktiviteter (behörighetskontroll) och loggning av bland annat användaridentitet och aktiviteter av betydelse för säkerheten i systemet (säkerhetsloggning). Bestäm- melserna innehåller vidare bestämmelser om bland annat skydd mot skadlig kod, intrångsskydd, incidenthantering och säkerhets- kopiering. Föreskrifterna är framtagna i samarbete med andra berörda myndigheter, bland annat Försvarsmakten, Statskontoret och Kris- beredskapsmyndigheten. Föreskrifterna skiljer sig delvis från de föreskrifter som Försvarsmakten meddelat, men man har strävat efter att resultatet skall bli likartat. En annan ambition har varit att föreskrifterna inte skall stå i strid med de rekommendationer som lämnas i BITS för att underlätta för de myndigheter som valt att följa dessa. ställer dock, av naturliga skäl, högre krav i flera avseenden. En standard, som inte används i i särskilt stor utsträckning, är ISO/IEC 13335. Den har utvecklats från den äldre ISO/IEC TR 13335 – Guidelines for the Management of (), till den nyare ISO/IEC 13335 – Management of Information and (). GMITS har haft som syfte att ge vägledning och instruktioner för styrning och kontroll av informationssäkerhet inom en orga- nisation. Den utgjorde främst ett planeringsverktyg för IT-säker- hetsarbetet, innehöll och presenterade grundläggande koncept och modeller vilka är väsentliga för en introduktion till styrning och kontroll av IT-säkerhet. Koncepten och modellerna utvecklades ytterligare i kompletterande delar. GMITS användes främst av informationssäkerhetschefer för att uppnå och bibehålla uppsatta säkerhetsnivåer inom sekretess, integritet, tillgänglighet, spårbarhet och tillförlitlighet för informa- tionssäkerhetsarbetet. Den var också relevant för IT-chefer med ansvar speciellt inom områdena inköp, design, implementering och underhåll av IT-tjänster. GMITS bestod av fem delar. MICTS är den nyare standarden, som är under utarbetande och ännu ej slutgiltigt fastställd. När den är klar kommer den att bestå av två delar. Del 1 av MICTS ger en översikt över koncept och modeller som används vid ledning av säkerhet inom informations- och kommunikationsteknik. Denna kommer att ersätta GMITS del 1 och 2. Del 2 av MICTS beskriver tekniker för riskhantering av säkerhet inom informations- och kommunikationsteknik lämpliga för använd- ning vid ledning. Denna kommer att ersätta GMITS del 3 och 4. Dokumenten MICTS syftar till att, i viss utsträckning på över- gripande nivå, informera om ledning och styrning av informations- säkerhet, hur man genomför riskanalyser och väljer skyddssystem. De syftar också till att utveckla och genomföra en övergripande strategisk plan och policy för exempelvis en nation beträffande dess ledning inom informations- och kommunikationsteknik. Den är också till hjälp om man önskar samordna eller planera flera länders olika strategier till en gemensam plan. Användningsområdet är i första hand för informations- och kommunikationsområdet inom industrin. Dokumenten exempli- fierar hur man tar fram strategi för olika databaser. MICTS ska även kunna användas för att samordna flera områden/kommuner/ nationer som redan har strategier och olika policy, till en gemensam strategisk plan och policy. En trolig utveckling av ISO IEC 13335 är att dessa standarder kommer att föras över till samma standardfamilj som i nummerserien 27000. Till informationssäkerhet hör att förebygga störningar eller funktionsbortfall, att förbereda sig för att kunna hantera störningar när de uppträder, samt att kunna agera operativt vid störningar. Till säkerhetsperspektivet hör även att utvärdera och återföra erfaren- heter för en ökad robusthet och förbättrad säkerhet i framtida verksamhet. har formulerat gemensamma principer för mål, med generella kriterier vid formuleringen av mål. De principer som formuleras i en målstruktur bör avse mål som omfattas av budgetprocessen men också ha bäring på mål som formuleras i andra sammanhang. Målstrukturen kan ses som en produktions- kedja. Av målet skall framgå vad som skall uppnås. Målen kan avse såväl effekter som prestationer. Den verksamhetsstruktur som gäller för svensk statlig förvalt- ning innebär i regel att mål formuleras på flera nivåer. Strukturen syftar till att tydliggöra hur verksamheter på skilda nivåer bidrar till att uppfylla målen för ett politikområde. Som en följd av detta kommer målen att skilja sig i precision mellan nivåerna. För att målen skall kunna tjäna som ett styrinstrument är det nödvändigt att de är realistiska och möjliga att nå av de som ansvarar för genomförandet. Målen måste också uppfattas som relevanta för att accepteras och godkännas av såväl riksdag som myndigheter. Informationssäkerhet kan definieras som ett verksamhetsområde eller en del av ett politikområde. Det berör i så fall många politikområden och flera utgiftsområden. Här kan man se informa- tionssäkerhet som en förutsättning för övriga verksamheter. Det ställer särskilda krav på strategier för hur en systematisk och sektorsövergripande uppföljning skall gå till. Ansvarsprincipen är en naturlig utgångspunkt i arbetet med informationssäkerhet, det vill säga den som har ansvar under normalt fungerande verksamhet har det i full utsträckning även vid incidenter och andra störningar. Av ansvarsprincipen följer även att den som är ansvarig för verksamheten även ansvarar för plane- ringen av förebyggande och förberedande insatser. Ansvaret för informationssäkerhet i den offentliga verksamheten kan inte läggas på något fristående tillsyns- eller underhållsorgan. Däremot bör det självfallet vara möjligt att upphandla tjänster för att utföra nödvän- diga åtgärder för en god informationssäkerhet. Mål för informationssäkerhet bör enligt utredningen formuleras för den statliga verksamheten som en del i den finansiella styr- ningen av statsförvaltningen. Mål för informationssäkerhet bör även formuleras för samhällsviktig verksamhet som inte drivs i statlig regi. Tre typer av mål bör formuleras för informationssäkerhet: Överordnade mål som avser krav på prestationsförmåga eller säkerhet för samhällskritisk verksamhet Mål som avser krav på tillämpning av standarder, viss lägsta prestationsförmåga – dels normalt, dels under störda förhållanden Mål som avser kompletterande åtgärder för informations- säkerhet Informationssäkerhet har tvärsektoriell karaktär. Ett helhets- perspektiv kan vara svårt att applicera i den sektorsuppdelade struktur som kännetecknar den statliga verksamheten. Helhets- synen kan också försvåras av att steget mellan överordnade mål och regleringsbrevsmål är långt. Möjligheten för enskilda myndigheter att få en konkret bild av sin respektive deluppgift i relation till övergripande gemensamma mål är därför begränsad. Det är angeläget att samordna målformuleringarna inom nära- liggande verksamheter. Man måste ta hänsyn till de beroende- förhållanden som finns mellan olika delar av ett samhällsviktigt område, då man utformar de samlade målen för ett sådant område. En viss nivå för informationssäkerhet inom den tekniska infra- strukturen förutsätter att målen vad gäller säkerhet i elförsörj- ningen och telekommunikationerna balanserar mot varandra. I målstrukturen för informationssäkerhet behöver övergripande och gemensamma effektmål kunna brytas ner i flera steg och konkretiseras innan myndighetsspecifika prestationsmål formuleras. Operativa prestationsmål måste kunna härledas ur överordnade mål och kunna följas upp. En logisk spårbar målstruktur är en förut- sättning för att kunna revidera verksamheten. Högst upp i målhierarkin, på politikområdesnivå, bör finnas övergripande mål för informationssäkerhet. På denna nivå bör mål- formuleringen omfatta de underliggande verksamhetsområdena. Målformuleringen blir här generell till sin karaktär. Under dessa övergripande mål, på verksamhetsområdesnivå, bör däremot finnas mål för olika samhällsviktiga verksamheter. På nästa nivå, det vill säga verksamhetsgren, bör det finnas operativa mål som kan vara ganska kortsiktiga – ett till . Operativa mål kallas också prestationsmål. På nivån under de operativa målen återfinns mål på myndighets- nivå. Resonemanget kan sammanfattas på följande sätt: Politikområde (effektmål) Verksamhetsområde (effekt- eller prestationsmål) Verksamhetsgren (prestationsmål) Myndighetsnivå (prestationsmål) Utgiftsområde 6 Försvar samt beredskap mot sårbarhet består av två politikområden, Totalförsvar samt Skydd och beredskap mot olyckor och svåra påfrestningar. Informationssäkerhet skulle kunna ingå som en del av politikområdet Skydd och beredskap mot olyckor och svåra påfrestningar, eller ingå som en del i flera politikområden. Teoretiskt skulle det även kunna utgöra ett eget politikområde. Utredningen förordar i första hand att informationssäkerhet ses som ett verksamhetsområde, ingående i flera politikområden. Det finns olika sätt att konkretisera en ny målstruktur. Valet av hierarki blir beroende av vad som skall framhållas, vilka effekter som eftersträvas och hur effektsamband skall tydliggöras. Mål- strukturen behöver anpassas till respektive organisation. Här bör övergripande principer redovisas som skall vara styrande för en helhetssyn på informationssäkerhet. Informationssäkerhet bör enligt utredningen vara ett verksamhets- område. Ett exempel på ett målresonemang skulle kunna vara kravet på robusthet och säkerhet inom samhällsviktiga verksam- heter och övergripande mål som avser krav på prestationsförmåga eller tillgänglighet. Övergripande krav bör formuleras i måltermer, inte som krav på att vissa tekniska lösningar skall användas. Verksamhetsområdet skulle kunna delas in i ett antal verksamhets- grenar. En sådan indelning kan spegla dels de viktigaste bestånds- delarna i informationssäkerhet, dels att informationssäkerhet hör hemma inom ett flertal verksamhetsområden. Säkerhetsmål kan vara generella krav på tillämpning av stan- darder eller krav på en lägsta godtagbara funktionsförmåga, dels normalt, dels under störda förhållanden. Vid koncessioner bör säkerhetskrav arbetas in i koncessionsvillkoren. Under nivån verksamhetsgren formuleras mål på myndighetsnivå för informationssäkerhet. Målen kan formuleras som operativa prestationsmål, krav på tillgänglighet, specifik tillämpning av stan- darder, krav på säkerhetspolicy, samt krav på tester och revision av säkerheten. Det finns flera sätt att finansiera en offentligt bedriven verksamhet eller en offentligt reglerad verksamhet som bedrivs av en annan huvudman än staten. Det kan ske genom skattefinansiering i kombination med anslag eller bidrag till verksamheten. Ett annat alternativ, främst för reglerad verksamhet som bedrivs av annan än staten, genom offentligrättsligt reglerade avgifter som endast får användas för att finansiera en viss verksamhet eller ett visst åläggande. Ett tredje alternativ är att finansiera verksamheten genom försäljning av varor och tjänster på en marknad. Ytterligare ett fjärde alternativ kan vara att anslå medel i ett särskilt samlat anslag för att finansiera riktade insatser för särskilda ändamål inom olika utgifts- eller politikområden. Utredningen förordar att informationssäkerhet för statens del ses som ett verksamhetsområde. Redan detta innebär ett visst ställ- ningstagande. Med utgångspunkt i ansvarsprincipen är det rimligt att finansiering av informationssäkerhet i huvudsak sker genom ordinarie anslag för verksamhetsområdet till respektive myndighet. Det bör enligt utredningen vara huvudprincipen för finansieringen och den finansiella styrningen av informationssäkerhet. Att ta ut avgifter som endast får användas för att finansiera informationssäkerhet kan vara möjligt inom till exempel teknisk infrastruktur. () har en lång och positiv erfarenhet av denna form av finansiell styrning inom teleområdet. Att sälja tjänster för offentlig informationssäkerhet och däri- genom finansiera verksamhet kan endast i starkt begränsad omfatt- ning vara ett alternativ. Om informationssäkerhet kan säljas som en tjänst hör den normalt hemma på en marknad, där motiv ofta saknas för mera omfattande offentliga verksamhet. Möjligheten att anslå medel i ett särskilt samlat anslag för att finansiera riktade insatser för särskilda ändamål inom olika utgifts- och politikområden finns i praktiken redan genom den ekonomiska planeringsramen, den s.k. civila ramen. Den har tidigare motiverats för att kunna finansiera insatser i civilt försvar som en förberedelse inför höjd beredskap. har den i ökad utsträckning fått medverka till finansieringen av åtgärder för en bättre kris- beredskap, också inom området informationssäkerhet. Den finansi- erar således delar av verksamheten hos Sitic – PTS:s incident- hanteringsfunktion, Försvarets radioanstalts teknikkompetens- funktion, samt uppbyggnaden av en certifieringsfunktion enligt Common Criteria vid , särskilda forsknings- medel vid Krisberedskapsmyndighen samt kommunernas plane- ringssystem inför extraordinära händelser. Det är enligt utredningen motiverat att även – särskilt för ändamål som kan ses som långsiktiga investeringar i en högre informationssäkerhet – behålla möjligheterna till komplet- terande finansiering av informationssäkerhet via den så kallade civila ramen. Utredningen avser att återkomma till dessa frågor i sitt organisatoriska betänkande. 7.10Utredningens slutsatser angående styrmedel Enligt utredningen är informationssäkerheten en angelägenhet för hela samhället. Behovet av en tillfredställande informationssäkerhet är till exempel inte begränsat till verksamheter som är av betydelse för rikets säkerhet eller skyddet mot terrorism. Behovet är inte heller begränsat till information som är hemlig enligt sekretesslagen eller som är känslig ur ett integritetsperspektiv och så vidare. Behovet av säkerhet för information kan, som utredningen har pekat på, göra sig lika starkt gällande även på andra områden. Utredningen har därför förordat en bred definition av begreppet informationssäkerhet med utgångspunkt i EU:s säkerhetsbestäm- melser. Enligt dessa syftar informationssäkerheten till att främja tillväxt, konkurrens och välfärd. För uppgifter som lagras, bear- betas och överförs i elektronisk form skall säkerheten uppfyllas genom krav på konfidentialitet, okränkbarhet och tillgänglighet. I detta kapitel har utredningen redogjort för ett flertal författ- ningar av särskilt intresse på informationssäkerhetsområdet. Av redogörelsen framgår att bestämmelser om informationssäkerhet finns i en mängd olika författningar. Ett heltäckande och samman- hållet regelverk på informationssäkerhetsområdet som motsvarar utredningens bredare definition av begreppet informationssäkerhet saknas dock. Enligt utredningen föreligger det därför ett behov av ett utvidgat, mera samanhållet och heltäckande regelverk på informationsområdet. Utredningen har pekat på vad som skulle kunna vara möjliga vägar att gå för att åstadkomma ett sådant regelverk. En väg skulle kunna vara att utöka tillämpningsområdet för nuvarande säkerhets- skyddslagstiftning. En annan väg skulle kunna vara en helt ny lag på informationssäkerhetsområdet. Framtagandet av ett sådant regelverk som utredningen anser att det finns ett stort behov av måste dock föregås av en mycket mer omfattande och djupare analys än vad denna utredning har möjlighet att göra. Frågan om ett mera sammanhållet och heltäckande regelverk på informa- tionssäkerhetsområdet måste därför utredas i särskild ordning. Utredningen anser dock att den har stöd för att redan nu föreslå lagstiftningsåtgärder för att råda bot på vissa brister hos dagens regelverk. Dels föreslår utredningen en ny förordning om vissa åtgärder för informationssäkerhet hos staten. Dels föreslår utred- ningen att begreppet informationssäkerhet utmönstras ur säkerhetsskyddslagstiftningen för att ersättas med begreppet sekretessäkerhet. Enligt utredningen finns starka motiv för att stärka säkerheten i nätsäkerhetsrelaterade frågor. har också tagit vissa initiativ i dessa frågor och från , 2005 gäller utvidgade tillämpningsbestämmelser för säkerheten. Enligt utred- ningen mening handlar det därutöver om att förstärka möjlig- heterna att ställa tydligare krav på leveranssäkerhet och kvalitet. Andra aspekter av säkerheten handlar om filtreringsfrågor samt hantering av vissa abonnentuppgifter. Utredningen stödjer Post- och ambitioner i denna fråga. Standardiseringen på informationssäkerhetsområdet har kommit långt. Informationssäkerhet är ytterst en fråga om kvalitets- tänkande. När det gäller hantering och utbyte av elektronisk information är det grundläggande att dessa bygger på standarder. Fördelarna är många. Utredningens uppfattning är att staten bör gå i bräschen för en bred användning av standarder inom i princip all statlig verksamhet. har ett uppdrag att bygga upp en svensk certifieringsordning för Common Criteria. Mot bakgrund av erfarenheter från andra länder är det troligt att Försvars- makten och andra myndigheter med mycket höga sekretesskrav, kommer att vara de viktigaste intressenterna för certifierade produkter och program. Tillgång till certifierade produkter underlättar för alla myndigheter, företag och andra som önskar upphandla produkter med hög säkerhet. Ledningssystem för Informationssäkerhet () är en anvisning för hur man åstadkommer ett ledningssystem, inte lednings- systemet i sig. Den omfattar hela informationssäkerhetsbegreppet och fokuserar på de risker och hot som kan uppkomma inom en organisation. Tillämpning leder till förbättrade administrativa och tekniska rutiner. används med framgång inom flera större svenska företag. Detta tillsammans med erfarenheten att fram- stående länder använder standarden nationellt, motiverar enligt utredningen att myndigheterna bör tillämpa för att uppnå en god nivå på informationssäkerheten i statens verksamhet. OffLIS är Statskontorets mallregelverk, ett startpaket för att utforma vid 24-timmarsmyndigheter. Utredningen anser att OffLIS bör utgöra ett rekommenderat stöd från staten vid införande av i myndigheters verksamhet. Det är också ange- läget att datainspektionens allmänna råd relateras och närmas till . Enligt vad utredningen erfarit kommer Datainspektionen att genomföra en översyn av de allmänna råden i bland annat detta syfte . BITS är , , nuvarande rekommen- derade basnivå för IT-säkerhet. Medan är en metod – den anger vad som behöver beaktas, är BITS och OFFLIS verktyg – de anger hur säkerheten skall åtgärdas. BITS är inriktat mot IT-säkerhet och måste breddas till att omfatta hela begreppet informationssäkerhet, samt kompletteras med krav på process för styrning och underhåll av informationssäkerhetsarbetet. Utredningen konstaterar att ett arbete numera pågår för att påskynda en fullständig integration av BITS och Statskontorets OffLIS. Viktigt är att resultatet blir mera heltäckande och inte enbart fokuserar på IT-säkerhet. Det skulle därmed kunna utgöra underlag för en föreskrift för alla myndigheter. Till informationssäkerhet hör att förebygga störningar eller funk- tionsbortfall, att förbereda sig för att kunna hantera störningar, samt att kunna agera operativt vid störningar. begreppet hör också att utvärdera och återföra erfarenheter för en ökad robusthet och förbättrad säkerhet i framtida verksamhet. Den verksamhetsstruktur som finns inom svensk statsförvalt- ning innebär i regel att mål formuleras på flera nivåer. Strukturen syftar till att tydliggöra hur verksamheter på skilda nivåer bidrar till att uppfylla målen i ett politikområde. Som en följd av detta skiljer målen sig i precision mellan nivåerna. Informationssäkerhet kan formuleras som ett verksamhets- område eller en del av ett politikområde. Det berör i så fall många politikområden och flera utgiftsområden. Här kan man se informa- tionssäkerhet som en förutsättning för övriga verksamheter. Utredningen förordar i första hand att informationssäkerhet ses som ett verksamhetsområde. Informationstekniken reformerar världen.