sou · GTB371 · 2006-01-01 00:00:00 — Den särskilda utredaren kommer också att få i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhets- arbetet bör utvecklas och till hur engagemang i det inter- nationella arbetet inom informationssäkerhetsområdet bör utformas . Utredaren planeras också få uppdraget att genomföra den utvärdering som regeringen aviserat i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158). Regeringen avser att återkomma med tilläggsdirektiv när det gäller dessa uppdrag. I takt med att samhället har blivit allt mer beroende av olika infor- mationssystem har vikten av att förbereda sig för hot av olika slag ökat. Regeringen har närmare beskrivit hotbilden för attacker via informationssystem i propositionen Samhällets säkerhet och bered- skap (prop. 2001/02:158 s. 104 f). Där konstateras att en av svårig- heterna med hanteringen av de IT-relaterade hoten är att urskilja vem aktören är, eftersom ingen absolut åtskillnad mellan olika typer av aktörer kan göras. Detta faktum gör att det är särskilt svårt att skydda sig eftersom säkerhetsåtgärderna måste anpassas till samtliga typer av aktörer. Ytterligare en försvårande faktor är att de IT-relaterade hoten är geografiskt gränslösa. Den som vill göra intrång i eller på annat sätt manipulera ett informationssystem i kan befinna sig var som helst i världen. Att skydda information som utväxlas i form av meddelanden och trafik eller information som lagras elektroniskt får allt större be- tydelse i dagens samhälle. Det gäller inte bara för sådan information som omfattas av bestämmelserna om sekretess i sekretesslagen (1980:100), utan också för andra uppgifter som hanteras i informa- tionssystem av olika slag i samhället. Exempel på sådan skyddsvärd information kan vara uppgifter som gäller känslig infrastruktur, ekonomi och personlig integritet. Utvecklingen av dagens signalskyddssystem sker till största delen inom Försvarsmakten utifrån de krav som behovet av att kunna hantera information som omfattas av sekretess till skydd för rikets säkerhet ställer. Utvecklingen av IT-säkerhetslösningar i samhället i övrigt styrs allt mer av behovet av att skydda information som inte omfattas av sekretess till skydd för rikets säkerhet. En utveckling av signalskyddstjänsten till att även kunna hantera andra krypto- grafiska skyddsbehov än de som utvecklas för totalförsvarsändamål och en bedömning av hela samhällets skyddsförmåga är därför påkallad. Signalskyddstjänsten leds av en funktion inom Försvars- makten (MUST/TSA). Att signalskyddstjänstens ledning organisa- toriskt har denna placering kan innebära en risk för att de civila behoven inte prioriteras tillräckligt. Frågan om var signalskydds- tjänsten på nationell nivå skall organiseras och lokaliseras bör därför övervägas. I propositionen Ett informationssamhälle för alla (prop. 1999/2000:86) angav regeringen att den välkomnar en bred använd- ning av kryptografi. Mot denna bakgrund bör det eventuellt finnas en rådgivande funktion i kryptografifrågor i . Därför finns behov av att undersöka i vad mån signalskyddstjänsten kan utgöra ett sådant rådgivande organ i samhället. Det ökade samarbetet med andra stater och internationella organi- sationer medför vidare ett ökat statligt behov av att kunna hantera signalskyddsutrustning och kryptonycklar även i internationella sammanhang. Det bör övervägas om signalskyddstjänsten kan bistå i den utvecklingen. Arbetet med informationssäkerhet inom offentlig sektor Regeringen har i propositionerna Fortsatt förnyelse av totalförsvaret (prop. 2001/02:10, bet. 2001/02:FöU02, rskr. 2001/02:91) och Samhällets säkerhet och beredskap (prop. 2001/02:158, bet. 2001/02:FöU10, rskr 2001/02:261) redovisat sin strategi och för- slag till åtgärder för att stärka informationssäkerheten i samhället och skyddet av de samhällsviktiga systemen. I propositionen Sam- hällets säkerhet och beredskap vidgades åtgärderna från att endast omfatta IT-säkerhet till att täcka hela informationssäkerhetsområdet. Det tidigare använda mer oprecisa begreppet informationsopera- tioner utmönstrades därmed ur terminologin. Regeringen har angett att målet bör vara att man skall upprätt- hålla en så hög informationssäkerhet i hela samhället att störningar i samhällsviktig verksamhet kan förhindras eller hanteras. Strategin för att uppnå detta mål liksom för övrig krishantering i samhället utgår från ansvarsprincipen, likhetsprincipen och närhetsprincipen. Som ett första steg i en samlad strategi i informationssäkerhets- arbetet har fyra myndigheter fått nya uppgifter. Dessa myndigheter är , , och Försvarets materiel- verk. Detta första steg skall utvärderas som regeringen förutskickat i propositionen Samhällets säkerhet och beredskap. Med anledning av att det finns många företag som är verksamma inom informationssäkerhetsområdet finns det dock skäl att ytter- ligare överväga vilken verksamhet staten skall bedriva inom detta område. Härvid skall beaktas att konkurrensen på den öppna mark- naden inte får påverkas negativt. Regeringen finner att de bästa förutsättningarna för ett gott beslutsunderlag kan skapas genom att utvecklingen inom informa- tionssäkerhetsområdet följs. Genom att hoten mot informationssystemen inte bara är en svensk angelägenhet, utan är av global natur, krävs internationell sam- verkan. Sådan samverkan bedrivs på flera olika områden, bl.a. inom EU. Olika myndigheter medverkar vidare i internationell samverkan som i regel har informationsutbyte som syfte. få genomslag i sitt agerande på den internationella arenan bör det finnas en övergripande inriktning. Inriktningen bör också knyta an till och vara anpassad till respektive myndighets ansvarsområde. Den särskilda utredaren skall bedöma behovet av signalskydd i samhällsviktig verksamhet och lämna förslag på hur signalskydds- verksamheten i samhället skall utformas. Utredaren skall mot bak- grund av utvecklingen inom informationssäkerhetsområdet föreslå hur signalskyddstjänsten i skall vara organiserad. Utredaren skall också belysa hur signalskyddsutbildningen skall organiseras och var den skall lokaliseras. Följande frågor bör besvaras. Hur bör signalskyddsverksamheten utvecklas så att den kan komma till nytta inom fler samhällssektorer? Vilka samhällssektorer har störst behov av signalskydd och vilka krav ställer de? Vem skall vara ansvarig för signalskyddet och hur skall detta vara organiserat? Vilka uppgifter skall signalskyddstjänsten ha och hur skall led- ning och samordning ske? Hur säkerställs att det framtida behovet av kompetens inom det kryptografiska området kan tillgodoses? Hur säkerställs samordning med andra länders signalskydds- organisationer på ett förtroendefullt och säkerhetsmässigt tro- värdigt sätt? Hur åstadkoms en nationell distributionsfunktion för signal- skyddsmateriel och signalskyddsnycklar för det internationella samarbetet? Utredaren kommer att få i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas och hur engagemang i det internationella arbetet inom informationssäkerhetsområdet skall utformas . I detta arbete skall gränsdragningsfrågor särskilt beaktas gentemot den översyn av de rättsliga aspekterna, inklusive de internationella, på området för informationssäkerhet som avser att genomföra (jfr. 2001/2002:158). Utredaren planeras också få uppdraget att genomföra den ovan nämnda utvärderingen. Direktiv angående dessa två senare uppdrag avser regeringen att återkomma med som tilläggsdirektiv. Utredaren skall bedriva arbetet i nära samarbete med Försvars- makten, , och Krisbered- skapsmyndigheten. finns en informell grupp bestående av representanter från , , och som utbyter in- formation i dessa frågor. Denna grupp bör utredaren använda som referensgrupp i arbetet. Även andra kontakter bör tas. Utredaren skall lämna delrapport om signalskyddstjänsten . Utredaren skall lämna slutrapport . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Utredningen angående vissa frågor om informationssäkerheten i samhället skall lämna förslag till hur den nationella strategin för in- formationssäkerhetsarbetetbör utvecklas samt hur engage- mang i det internationella arbetet inom informationssäkerhets- området skall utformas. I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) anmälde regeringen sin avsikt att göra en utvärdering av de bedömningar som regeringen gjorde inom informationssäkerhetsområdet. Utredaren skall följa myndig- heternas uppbyggnad av den informationssäkerhetsverksamhet som regeringen har givit myndigheterna i uppgift enligt propositionen. Utredaren skall vidare lämna förslag till hur riktlinjer om nät- och informationssäkerhet kan genomföras. Med stöd av regeringens bemyndigande (dir. 2002:103) tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signalskyddsverksamheten i samhället skall utformas. Utredaren skall enligt direktiven lämna en delrapport avseende detta uppdrag . Re- geringen angav i direktiven att den avsåg att återkomma med tilläggs- direktiv angående uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas och till hur engagemang i det internationella arbetet inom infor- mationssäkerhetsområdet bör utformas . (ment) antog en rekommendation om nya riktlinjer för nät- och informationssäkerhet (Guidelines for the Security of : Towards a Culture of Security). Riktlinjerna syftar till att stödja utvecklingen av en säkerhetskultur i samhället genom att främja säkerhetstänkande vid utveckling och användning av nät och informationssystem. Rikt- linjerna innehåller mål och principer för utvecklingen av nya nät och informationssystem. En utvecklad svensk informationssäkerhetsstrategi Utredaren skall i det fortsatta arbetet, utöver det tidigare lämnade uppdraget, även lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas. Den i prop. 2001/02:158 s. 103 redovisade strategin för informationssäkerhetsarbetet skall utgöra grunden. Utredaren skall göra jämförelser med hur andra länder har hante- rat informationssäkerhetsfrågan när det gäller strategi, organisation och andra förhållanden som kan vara relevanta. I sitt arbete skall utredaren beakta riktlinjer för nät- och informationssäkerhet och lämna förslag till hur riktlinjerna kan genomföras i utredarens förslag. Följande frågor skall besvaras. Hur bör den nationella strategin för informationssäkerhet vidare- utvecklas? Hur säkerställs att den nationella strategin för informations- säkerhet möter de krav som ställs via det multinationella sam- arbete deltar i, främst EU? Utifrån en nationell strategi behöver den nuvarande samord- ningen av engagemang i det internationella arbetet inom informationssäkerhetsområdet förändras? Inom vilka delar av informationssäkerhetsområdet bör staten ha ett särskilt ansvar? Hur skall informationssäkerhetsarbetet finansieras? Utvärdering förutskickad i prop. I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) redovisade regeringen att de nya uppgifterna på informa- tionssäkerhetsområdet skulle fördelas på de myndigheter som redan hade närliggande verksamhet. Regeringen anmälde också att man hade för avsikt att göra en utvärdering av denna fördelning av upp- gifterna inom informationssäkerhetsområdet. Regeringen uteslöt inte att det skulle kunna finnas andra organisatoriska lösningar eller andra verksamheter inom informationssäkerhetsområdet som skulle kunna behövas ses över. Som en förberedelse inför denna utvärdering skall utredaren skapa sig en god uppfattning av det ändamålsenliga i propositionens be- dömningar att dela upp de nya uppgifterna genom att följa uppbyggnaden av verksamheten inom informationssäkerhetsområdet vid , , Förvarets materielverk och , inklusive den sistnämnda myndighetens uppdrag att inrätta en rikscentral för IT-incident- rapportering. Regeringen avser att återkomma till frågan om ut- värderingen. Om utredaren finner att det finns ett behov av att föreslå för- fattningsändringar skall utredaren lämna lagtekniskt genomarbetade förslag vid varje rapporteringstillfälle. I detta arbete skall gränsdragningsfrågor särskilt beaktas gentemot den översyn av de rättsliga aspekterna, inklusive de internationella, på området för informationssäkerhet som avser att låta genomföra (jfr. 2001/02:158 s. 106). I den mån det uppkommer frågor som rör behandling av person- uppgifter skall de bestämmelser om skydd för den personliga inte- griteten vid behandling av sådana uppgifter som bl.a. finns i person- uppgiftslagen (1998:204) och EG-direktivet om personuppgifter (95/46/EG) beaktas. I sitt arbete skall utredningen ta hänsyn till riktlinjer för nät- och informationssäkerhet. Utredningen skall bedriva arbetet i nära samarbete med Riks- polisstyrelsen, Säkerhetspolisen, Datainspektionen, Statskontoret, Försvarsmakten, , , , och . Utredningen skall också ta de kontakter som behövs med viktiga IT-användare och andra intressenter, både inom den offentliga sektorn och i näringslivet, för att få en bild av vilka roller de spelar i informationssäkerhetsarbetet, deras behov och önskemål. Utredningen skall utöver det som angavs i direktiven (2002:103) om att slutrapport skall lämnas också lämna en delrapport angående uppdragen i detta tilläggsdirektiv . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Beslut vid regeringssammanträde . Utredningen angående vissa frågor om informationssäkerheten i samhället skall genomföra den utvärdering som regeringen anmälde till i proposition Samhällets säkerhet och beredskap (prop. 2001/02:158) vad avser de bedömningar som regeringen gjorde inom informationssäkerhetsområdet. Med stöd av regeringens bemyndigande (dir. 2002:103) tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signal- skyddsverksamheten i samhället skall utformas. Utredaren lämnade en delrapport avseende detta uppdrag . Re- geringen beslutade om tilläggsdirektiv för utredningen (dir. 2003:29) angående uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet för utvecklas och hur engagemang i det internationella arbetet inom informationssäkerhetsområdet bör utformas . Ut- redaren fick också i uppdrag att följa myndigheternas uppbyggnad av den informationssäkerhetsverksamhet som regeringen har givit myndigheterna i uppgift enligt propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158). En delrapport skulle lämnas . I propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) redovisade regeringen att de nya uppgifterna på informationssäkerhetsområdet skulle fördelas på de myndigheter som redan hade närliggande verksamhet. att man hade för avsikt att göra en utvärdering av denna fördelning av uppgifterna inom informationssäkerhetsområdet. Regeringen uteslöt inte att det skulle kunna finnas andra organisa- toriska lösningar eller andra verksamheter inom informationssäker- hetsområdet som skulle kunna behövas ses över. Utredningen skall genomföra den utvärdering som regeringen an- mälde till i propositionen Samhällets säkerhet och be- redskap (prop. 2001/02:158 s. 105) vad avser de bedömningar när det gäller uppgiftsfördelningen som regeringen gjorde inom informa- tionssäkerhetsområdet. Utvärderingen skall redovisas i utredningens slutrapport . Tilläggsdirektiv till utredningen angående vissa frågor om informationssäkerheten i samhället (Fö 2002:06) Beslut vid regeringssammanträde . Förlängd tid för uppdraget Med stöd av regeringens bemyndigande tillkallade chefen för en särskild utredare med uppdrag att föreslå hur signalskyddsverksamheten i samhället skall utformas (dir. 2002:103). Utredaren lämnade en delrapport avseende detta uppdrag . Regeringen beslutade om tilläggsdirektiv för utredningen (dir. 2003:29) med vilken utredningen gavs i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhets- arbetet bör utvecklas och hur engagemang i det inter- nationella arbetet inom informationssäkerhetsområdet bör utformas . Utredaren lämnade en delrapport . Regeringen beslutade om ytterligare tilläggs- direktiv till utredningen (dir. 2004:46) med uppdrag att genomföra den utvärdering som regeringen anmälde till i proposi- tionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 105) om den i propositionen redovisade uppgiftsfördelningen mellan myndigheterna inom informationssäkerhetsområdet. Utredningen skulle enligt direktiven redovisa sitt slutbetänkande . Utredningstiden förlängs, vilket innebär att utredaren skall redo- visa sitt uppdrag . En delrapport skall lämnas . Dialoger med några privata aktörer Utredningen har under arbetet med slutbetänkandet tagit initiativ till fortsatt dialog med ett urval aktörer från näringslivet, med erfarenheter från informationssäkerhetsarbete. Dessa har utgjort en informell referensgrupp till stöd för utredningens arbete. Dialogen har syftat till att finna förslag till avgränsning och konkretisering av såväl inriktning som former för en fördjupad samverkan mellan det privata och det offentliga. Under arbetets gång har incidenthantering, säkrare Internet, kompetensförsörjning och - utbyte samt beredning av vissa gemensamma frågor diskuterats. Vissa underhandskontakter har även tagits med kommuner och landsting. Flera av referensgruppens deltagare har under dialogerna betonat att de ser bristande säkerhet och tilltro till densamma som ett potentiellt hinder för framtida tillväxt., Därför arbetar flera i många sammanhang med kunder och partners i uppdrag och initiativ som syftar till att stärka säkerheten. När det gäller informationssäkerhet framför referensgruppen ett starkt behov av att se helheten. Som en särskild utmaning ses statens arbete med informationssäkerhetsfrågor, där en stor del av både den samhällsviktiga infrastrukturen och kompetensen på IT- säkerhetsområdet finns hos näringslivet. Vetskapen om att privata och offentliga system strålar samman och påverkar varandra gör helhetssynen mer nödvändig än på många andra områden. Som utredningen framhöll i sitt delbetänkande är dessutom många privata system, som exempelvis bankernas betalningssystem, minst lika kritiska för samhällelig verksamhet som många offentliga system. Det finns således ett behov av samlad kunskap och rådgivning, även om den formella ansvarsfördelningen måste vara tydlig. Enligt referensgruppen är det därför nödvändigt att de strukturer som etableras för samverkan bidrar till att skapa engagemang och ett förtroendefullt samarbete mellan offentliga och privata intressen. I det tredje delbetänkandet framhöll utredningen vidare att det kan vara svårt att dra gränsen mellan vad som faller under det privata, enskilda åtagandet och vad som kan betraktas som offentligt åtagande. På motsvarande sätt är det svårt att dra gränsen mellan frågor lämpade för samverkan respektive vad som faller inom varje aktörs ansvarsområde. Enligt referensgruppen bör ansvarsprincipen, likhetsprincipen och närhetsprincipen oförändrat ligga som utgångspunkt för planeringen av samverkan mellan privat och offentligt, och då på ett tydligt sätt involvera de människor, företag och offentliga institutioner som gemensamt ansvarar för respektive problemställning. Den gemensamma ansträngningen ses som nödvändig för att effektivt förebygga, förekomma och avvärja störningar i infrastrukturen och är således inte ett sätt att lasta över de egna problemen på någon annan aktör. Utredning framförde i sitt delbetänkande att det finns samhällsviktig verksamhet både i offentliga och privata aktiviteter. Även här måste ansvarprincipen gälla i grunden, men kommuner, landsting, riksdag och regering måste när det gäller den sortens verksamhet känna – och ta - ett ökat ansvar. Detta gäller framför allt avseende normer, regler, samordning och men även finansiering. Det är svårt att entydigt precisera var dessa gränser går. Gränser måste troligtvis ständigt prövas i samråd och diskussion mellan representanter för berörda parter. Det finns enligt referensgruppen inget fixt och färdigt svar. En metod att långsiktigt få till stånd ett sådant samarbete är att etablera något slag av formell organisation. Enligt referensgruppen kan detta möjligen ske i stiftelseform, som ägs, drivs och styrs gemensamt av offentliga och privata intressen. Med ett tydligt och långsiktigt engagemang från staten bör en sådan organisation kunna delfinansieras av näringslivet. Enligt referensgruppen bör organisationen inom ramen för sin verksamhet kunna hantera frågor som rör incidenter, kunskapsutbyte och kompetensutveckling samt att stötta och utveckla svensk forskning på området. Det viktiga, enligt referensgruppens mening, är att finna en form för samverkan mellan privat och offentligt utan att rucka på ansvarsprincipen i de enskilda verksamheterna och utan att den information som är nödvändig att ta in i systemet blir offentlig i den mening att den pekar ut enskilda personer eller verksamheter. Enligt gruppen kan ingen privat verksamhet eller enskild statlig eller verksamhet ensam ta på sig den roll som beskrivs ovan. Genom denna organisation skulle också gemensam kunskap kunna växa som är till nytta för svenskt företagande. Organisationen skulle kunna lägga ut uppgifter – inte bara till universitet och institutioner – utan också till företag. Organisationen skall också bygga upp egen kunskap, men framför allt nyttja den kunskap som redan finns i företag och institutioner. Även detta skall enligt referensgruppen ses i ett tillväxtperspektiv. Flera företag borde vara intresserade av att hitta former för att ställa sin kompetens till förfogande för en utvecklad informationssäkerhet, under förutsättning av att man kan finna en fungerande konstruktion - möjligen i någon form av partnerskap. Frågor om säker Internet togs upp av referensgruppen. Nyttan med Internet överväger flerfaldigt riskerna, men måste risker hållas under kontroll. På nationell nivå diskuterades tre typer av åtgärder: ·olika typer av säkerhetsbarriärer skapas, såväl vad gäller utrustning, operativt nyttjande som människan i systemet ·särskilda team måste finnas i systemet för att upptäcka attacker, finna motmedel som begränsar skadorna samt avslöjar den som angriper ·dessutom måste riskhantering vara en metod som används för att välja säkerhetstillämpningar. Helt säkra system kan inte byggas. Därför behöver vi utvärdera vilka risker vi tar. Sådana värderingar kommer att kunna göras tillgängliga på nätet som tjänster. Nationellt behöver vi komma överens om gemensamma standarder och tillämpningar för hur riskhanteringen skall tillämpas. Eftersom Internet påverkar såväl kollektiv som personlig säkerhet har staten, enligt referensgruppen, särskilt ansvar för att leda utvecklingen av säkerheten. kan åtgärderna inte stanna på nationell nivå, utan det måste växa fram ett internationellt – i första hand europeiskt - sätt att gemensamt tackla dessa problem Det är då viktigt att arbeta i standardiseringsorgan och andra fora. För svenskt vidkommande innebär detta att två slags samarbete bör beslutas – ett långsiktigt och ett mer kortsiktigt. Erfarenheten visar att informationssystemen utsätts för attacker, men också att säkerhetsnivån understundom är låg beroende på okunskap och slarv. har det diskuterats hur dessa erfarenheter - från både privat och offentlig verksamhet - skulle kunna tas till vara genom någon form av incidentrapportering och återkoppling med råd och stöd för att förebygga incidenter. är generellt ett svårt arbete, bland annat då det inte är bra för den egna konkurrenskraften att avslöja svagheter som det går att härleda till det egna varumärket. Dessutom framfördes meningen att samverkan mellan privat och offentligt försvåras genom den offentlighetsprincip som råder i statlig och verksamhet.