sou · GTB371d2 · 2006-01-01 00:00:00 — Utredningen har dock stannat för att föreslå att KBM förstärks och ges samordningsansvaret för policy och administrativ informationssäkerhet. Samordningsansvaret för den tekniska informationssäkerheten föreslås läggas på en nybildad myndighet med ansvar för signalunderrättelser, signalskydd och hög Denna nya myndighet föreslås huvudsakligen bygga på den kompetens som finns inom FRA men med utökat ansvarsområde och förstärkta resurser. Den föreslagna förändringen motiverar också ett nytt namn som bättre återspeglar dess uppgifter än vad namnet gör. Utredningen föreslår namnet och teknisk informationssäkerhet (IST). Motivet för två myndigheter med samordningsansvar för olika delar av informationssäkerheten är framför allt att det är rationellt och ger utrymme för synergieffekter med dessa myndigheters övriga ansvarsområden. Det bör ge underlag för en bättre sammanhållen informationssäkerhetspolitik. Detta förutsätter dock ett välutvecklat löpande samarbete mellan de båda huvudansvariga myndigheterna, liksom mellan dessa och andra myndigheter, näringslivet och andra aktörer som har uppgifter och behov på informationssäkerhetsområdet. Utredningens förslag kommer att få vissa konsekvenser för berörda myndigheters personal. I flera fall föreslår utredningen en förstärkning av kompetens och bemanning. De medel som anslagits som projektmedel för informationssäkerhet via den så kallade civila ramen föreslås omvandlas till ordinarie anslagsmedel. Det innebär en markering av att myndighetsorganisationen för informationssäkerhet får en permanent karaktär, efter de inledande årens mera projektinriktade uppbyggnadsperiod. Det utökade ansvaret för informationssäkerhet som utredningen föreslår bör också återspeglas på ledningsnivå i de båda myndigheter som föreslås få samordningsansvar. Policyansvar och administrativt samordningsansvar I policyansvaret ligger att förvalta och utveckla den nationella informationssäkerhetsstrategin, att samordna informationssäkerhetsarbetet mellan samhällets aktörer, att under regeringen inrikta samhällets informationssäkerhetsarbete, att utgöra samhällets kontaktpunkt för informationssäkerhet och att under regeringen utgöra internationell kontaktpunkt genom att samordna och där så bedöms lämpligt företräda i internationell samverkan, där inte andra myndigheter är utpekade. Också nationellt har utpekandet av en samordnande myndighet betydelse för allmänhet, näringsliv, kommuner etc. för samtliga aktörer i samhället om de i policyfrågor kan vända sig till en myndighet med frågor som rör informationssäkerhet eller skyddet av samhällsviktig IT-infrastruktur. Detta innebär i sig inget avsteg från ansvarsprincipen eftersom genomförandet av specifika uppgifter även fortsättningsvis bör ligga hos direkt ansvariga myndigheter. KBM bör i sin roll som policymyndighet ges möjlighet att ge ut föreskrifter om en grundläggande säkerhetsnivå med stöd av den av utredningen föreslagna förordningen om informationssäkerhet hos staten.2 Nära samverkan måste härvidlag etableras med sektorsansvariga myndigheter med egen föreskriftsrätt, exempelvis PTS, samt Säkerhetspolisen. Även revision och tillsyn av föreskrifterna måste utvecklas. Detta bör dock genomföras av annan aktör än KBM, exempelvis av Statskontoret i en ny roll. KBM sammanställer en helhetsbild genom sitt utpekade ansvar för omvärldsanalys. Denna kan i en förändrad organisation utvecklas ytterligare, bland annat genom att KBM får en förbättrad tillgång till underrättelserapporter. Det finns behov av en formaliserad samverkan med KBM som samordnande myndighet mellan aktörer i samhället som äger, driver, eller på annat sätt har ansvar för samhällsviktig verksamhet eller infrastruktur. Informationsutbytet kan avse incidenter, bästa metod, hotbilder, risker och sårbarheter. Informationen måste fungera både inom, respektive mellan, stat, kommuner, näringsliv och andra organisationer. Samverkan ger ett viktigt underlag till helhetsbilden liksom den till ömsesidig nytta förmedlar känslig eller förtrolig information, frågeställningar och påverkan. Det innefattar också till exempel att delta i och analysera utvecklingen inom EU och i övriga internationella sammanhang och att delta i relevanta arbetsgrupper för att strategiskt påverka de processer inom EU och internationellt som berör . Samverkan bidrar också till att stärka position i dessa aktiviteter. KBM bör i extraordinära situationer ha ett delegerat ansvar att inom givna ramar samordna informationssäkerhetsarbetet. Utifrån helhetsbilden och policyansvaret på informationssäkerhetsområdet samt utifrån KBM:s befintliga kompetens på övningar på krishanteringsområdet är det naturligt att KBM har det samordnande myndighetsansvaret för övningar på 2 Förslag till förordning om vissa åtgärder för informationssäkerhet hos staten. Se Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), sid. 31ff. Liksom i det förebyggande arbetet kan övningsverksamheten till stor del hanteras av näringslivet. KBM:s roll bör främst vara att identifiera, uppmärksamma och formulera behov och mål för insatserna. Det förefaller naturligt att samordning av kontakter mellan privat och offentlig sektor faller på KBM inom ramen för myndighetens samordningsansvar. Utredningen förordar en signalskyddstjänst som omfattar hela samhällets behov, inte bara totalförsvarets. För att skapa möjlighet till helhetssyn för den utbildning som erfordras inom informationssäkerhetsområdet samt för att uppnå synergieffekter bör signalskyddsutbildningen utvecklas så att utbildning kan ges inom hela informationssäkerhetsområdet. Utredningen föreslår därför att huvudmannaskapet för signalskyddsutbildningen överförs från Försvarsmakten till KBM. Utredningen föreslår att ansvaret för signalskydd överförs från Försvarsmakten, MUST Säkerhetskontor, till den nybildade myndighet, IST, som övertar FRA:s nuvarande uppgifter. Även KBM:s ansvar för nyckeldistribution föreslås överföras till IST. Det administrativa godkännandet av signalskyddssystem, liksom även föreskriftsrätten för samhällsviktiga system, föreslås dock placeras vid KBM. KBM:s signalskyddsverksamhet bedrivs i huvudsak i . Överföringen bör leda till en utökad bemanning av signalskyddsverksamhet i . Utöver det nuvarande signalspaningsuppdraget har FRA uppgifter inom svensk informationssäkerhet. Det gäller kompetens inom kryptologi, där FRA svarar för att bemanna de kryptologiska funktionerna vid MUST. FRA har också en särskild teknikkompetensfunktion, TKF, till stöd för statliga myndigheter och bolag, som bland annat medverkar i tester av säkerheten i myndigheters IT-system tillsammans med berörda myndigheter. Informationssäkerhetsuppgifterna har tillförts FRA för att nyttiggöra FRA:s unika signalspaningskompetens och allmänt höga tekniska kompetens. FRA har färdiga krisberedskapsprocesser som har testats och används i verkliga fall för att stödja insatser vid myndighetskriser. Dessa kommer att vara värdefulla om det skulle uppstå en nationell kris med IT-inslag. Signalskydd och signalspaning kan ses som två sidor av samma mynt. Det finns fördelar med ett nära samarbete mellan dessa båda områden. Länder med brister i signalskyddet har ofta dålig kontakt mellan signalskydd och signalspaning. Det behövs kompetens i att forcera bristfälligt signalskydd för att kunna skapa ett eget bra signalskydd. Kompetensen härför finns i första hand inom FRA. Svensk kryptoindustri har svårt att konkurrera med utländsk, då det inte finns en inhemsk organisation som kan godkänna kryptosystem utanför totalförsvaret. Det visar på ytterligare ett behov av att bredda omfattningen av samhällets signalskydd, vilket kan ske genom en flyttning av signalskyddsfunktionen, från Försvarsmakten till den nybildade myndigheten för teknisk informationssäkerhet, IST. Den enda icke-militära myndighet som är aktuell är FRA. Verksamheterna för nyckelproduktion och signalkontroll skulle därmed kunna integreras, eftersom dessa redan finns inom nuvarande FRA. En effekt som uppstår vid samordning av alla teknikdelar hos en myndighet är snabbare beslutsvägar. Det är av stor vikt att snabbt kunna sätta ihop en insatsgrupp för att stödja insatser vid nationella kriser med IT-inslag och för att kunna medverka till identifiering av inblandade aktörer i IT-relaterade hot mot samhällsviktiga system. Med en delad organisationsbild är det svårare att upprätthålla en kritisk kompetensmassa. Om uppgiften att leda och samordna signalskyddstjänsten inom totalförsvaret överförs från Försvarsmakten, erfordras att de medel som finns avsatta i materielplanen för utveckling också förs över. Försvarsmakten kommer oavsett vem som har det samordnande ansvaret för signalskyddstjänsten att vara en av de största avnämarna. har deltagit alltmer aktivt i internationella signalskyddssammanhang. För att det internationella arbetet skall vara väl koordinerat behövs en utpekad (), det vill säga en organisation i landet som ansvarar för signalskyddsfrågor, och en (), en organisation som är behörig att distribuera kryptonycklar. Utredningen föreslår att den nybildade myndigheten för teknisk informationssäkerhet, IST, ges uppgifterna som NCSA och NDA. , Sitic, vid ansvarar för systemet för informationsutbyte om IT-incidenter mellan samhällets alla aktörer. Uppgiften är bland annat att snabbt sprida information om IT-incidenter, att lämna information och råd om förebyggande åtgärder, att sammanställa och ge ut statistik som underlag för kontinuerliga förbättringar i det förebyggande arbetet. Om Sitic skall fungera väl krävs ett nära och förtroendefullt samarbete med andra aktörer inom informationssäkerhetsområdet, inte minst med KBM och den nya myndigheten , som föreslås få särskilt samordnande uppgifter för den nationella informationssäkerheten. Det är angeläget att sådana väl fungerande samarbetskanaler finns såväl på ledningsnivå i myndigheterna, som på handläggarnivå. Det nationella systemet för evaluering och certifiering av IT- säkerhet i produkter och system i enlighet med IS 15408 Evalueringskriterier för IT-säkerhet i produkter och system (Common Criteria) tillkom efter beslut . Certifieringsorganet är nu etablerat som en oberoende funktion inom FMV med namnet Certifieringsorgan för IT- säkerhet, CSEC. Arbetet med att etablera certifieringsordningen är genomfört. Detta arbete omfattar bland annat utarbetande av kvalitetsmanual, ansvarsbeskrivningar, beskrivningar av processer för licensiering av evalueringslaboratorier, regler för genomförande av certifieringar samt utbildning av certifierare och evalueringsföretag. Utredningen finner att de motiv som anfördes inför riksdagsbeslutet om etableringen av ett svenskt system för evaluering och certifiering alltjämt är giltiga. Utredningen har också i tidigare betänkanden betonat vikten av att tillämpa existerande internationella standarder inom IT-säkerhetsområdet. Common Criteria syftar till att sammankoppla ledningsfunktioner, inklusive riskhantering, och mer detaljerade tekniska specialstandarder med hur krav på säkerhets- och skyddsfunktioner ska kunna härledas, uttryckas och verifieras i de tekniska lösningarna i IT-produkter och program. Utredningen föreslår att uppgiften som signatär inom ramen för CCRA överförs från Swedac till KBM. Swedacs uppgifter och roll för ackreditering och teknisk kontroll för andra, öppna system inom till exempel EU föreslås oförändrad. Ett sätt att bidra till att kunna hantera en allvarlig eller extraordinär situation vore att mobilisera kompetens dit den behövs, för att begränsa en skada eller att arbeta förebyggande mot nya attacker eller angrepp. Ett sådant nationellt säkerhetsinitiativ skulle vara att upprätta en kompetensbank. Det samordnande ansvaret för att ta tillvara sådana frivilligresurser bör läggas på KBM som ges uppgiften att hantera kontakterna och upprätta erforderliga avtal med enskilda och berörda företag samt tillse att övningsverksamhet genomförs. Allvarliga IT-incidenter utgör i grunden ofta brott. Inom informationssäkerhetsområdet har det visat sig att en rad myndigheter och andra organisationer har behov av polisens medverkan i olika arbets- och samverkansgrupper. Polisen och Säkerhetspolisen kan genom sina operativa uppdrag tillföra erfarenheter inom området. är kontaktpunkt inom ramen för G8:s 24/7 Crime arrangemang och , , vilket understryker att polisen är en viktig aktör i samhällets informationssäkerhetsarbete. För att möta dessa omvärldskrav och ett önskemål om samordning internt inom polisen, har en för och Säkerhetspolisen gemensam funktion, S-BIT, etablerats. Då verksamheten inte fått öronmärkta medel för området har funktionen endast ett begränsat antal tjänster, mot planerade 12. För att leva upp till de beskrivna målen och de krav och önskemål som ställs på polisen inom området informationssäkerhet är det önskvärt att särskilda medel kan avsättas för ändamålet. S-BIT:s verksamhet bör därför delvis finansieras med medel ur KBM:s så kallade civila ram eller genom anslagstilldelning. Allt större del av den brottsutredande verksamheten kommer i kontakt med IT och kräver kunskaper om bevissäkring och undersökning i IT-miljö, så kallad IT-forensisk verksamhet. Inom det IT-forensiska området och vid vissa tekniska problem, lämnar FRA i vissa fall stöd till polisen. Det är av vikt att metodutvecklingen vad gäller IT-forensisk verksamhet sker inom polisen, i första hand vid (). Den nybildade myndigheten bör dock kunna vara en stödjande resurs, särskilt ifråga om kryptologisk kompetens. Utredningens förslag innebär en höjd ambitionsnivå för samhällets informationssäkerhet. Vissa av förslagen medför ökade kostnader. Det gäller dels ökade resursbehov vid KBM, dels vid den nybildade myndigheten, IST, som föreslås få policyansvar och administrativt samordnande ansvar respektive tekniskt samordnande ansvar för samhällets informationssäkerhet. Vidare föreslås att finansieringen av Sitic, , vid Post och och , Certifieringsorgan för IT-säkerhet, skall ske via ordinarie anslag. Finansiering föreslås ske genom avräkning från KBM:s så kallade civila ram, 7:5 Krisberedskap. Efter avräkning kvarstår ett ökat anslagsbehov med för att kunna genomföra utredningens förslag till förbättrad informationssäkerhet. Utredningen föreslår vidare överflyttning av ansvar och verksamhet för signalskydd från Försvarsmakten, MUST Säkerhetskontor, till den nybildade myndigheten för teknisk informationssäkerhet, IST. Även KBM:s ansvar och verksamhet för signalskydd föreslås överflyttat till IST. Det administrativa godkännandet av signalskyddssystem föreslås dock placeras vid KBM. Utredningen föreslår också en överföring av huvudmannaskapet för signalskyddsutbildningen från Försvarsmakten till KBM. Förslagen avses ej få kostnadseffekter för statsbudgeten. Utredningen har också i sitt tidigare betänkande Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42) föreslagit att KBM genom sin roll i forskningshänseende bör utveckla ett tematiskt forskningsområde kring informationssäkerhet. För att en satsning skall uppfattas som meningsfull inom forskarsamhället bör den årliga ramen vara , beroende på medfinansiering. Finansieringen av KBM:s insats i en sådan satsning föreslås ske via projektmedel ur den civila ramen.