sou · GTB342 · 2006-01-01 00:00:00 — Utredningen pekade på behov och intresse av samarbete mellan den verksamhet som bedrivs inom totalförsvaret och den inom privat eller kom- mersiell verksamhet, som motiverar vidare utredning av samverkans- möjligheter. Det har därför också funnits ett behov av att se över gränsdragningar i lagstiftningen, ansvarsförhållanden, organisation etc. Utredningen utgick ifrån att en svensk anpassning till inter- nationella normer (till exempel de gällande inom EU) avseende signalskydd och hantering av skyddsvärd information, är efter- strävansvärd. En möjlighet syntes vara att utvidga säkerhetsskydds- lagens tillämpningsområde till att omfatta även annan skyddsvärd information än den som är hemlig med hänsyn till rikets säkerhet. Med en sådan ordning skulle en större krets av de organ som hante- rar skyddsvärd information kunna omfattas av tillämpningsföre- Underlag för utredningens överväganden skrifter eftersom lagens tillämpningsområde även omfattar kom- muner, landsting och vissa andra enskilda rättssubjekt. Ett mindre långtgående alternativ ansågs kunna vara att regeringen föreskriver att särskilda signalskyddsrutiner med mera, skall tillämpas hos de statliga myndigheterna. Inom ramen för den första del- rapporten var det dock inte möjligt att närmare analysera fråge- ställningen. Utredningen ansåg dock att det är angelägna frågor som det var viktigt att särskilt belysa. De frågor som utredningen beslutade att vidare utreda i det fort- satta arbetet rör organisation, lokalisering och författningsändringar. Då signalskydd av utredningen definieras som en integrerad del av informationssäkerhet i stort, omfattas området i övrigt av de förslag gällande informationssäkerhet som utredningen presenterar. 2.2Tidigare betänkande: Delrapport 2: Informationssäkerhet i och internationellt Utredningen slog i sitt andra delbetänkande fast att det är nöd- vändigt att det offentliga engagerar sig i informationssäkerhets- frågorna, eftersom satsningarna annars kan förväntas bli otillräckliga. Det är också enbart staten som kan ha den överblick som är nöd- vändig för att kunna göra adekvata riskbedömningar. Det är dock viktigt att det offentligas engagemang begränsas till de områden eller åtgärder där dess roll är avgörande eller nyttan är så stor att det motiverar offentligt ingrepp. I vissa fall kan det vara befogat att offentliga organ tar ansvar för finansiering och genomförande av säkerhetsåtgärder. Utredningen redovisade mot denna bakgrund de huvudsakliga funktioner och kontinuerliga arbetsuppgifter för offentliga organ som, utöver det ansvar som följer av ansvarsprincipen och oberoende av dagens organisationsstruktur och funktioner, kunde identifieras inom informationssäkerhetsområdet. Dessa berörde bland annat tydliggörandet av en nationell strategi, att föreslå och förmedla grundläggande regelverk, signalskyddstjänst, att ge råd och information till allmänheten och stöd till myndigheter, särskilda råd och stöd till särskilt viktiga myndigheter eller Underlag för utredningens överväganden avseende särskilt viktiga system och att förebygga, upptäcka, utreda och lagföra IT-relaterad brottslighet. Utredningen ansåg att det finns flera tänkbara målgrupper för informationssäkerhetsarbetet. De som särskilt nämndes var statlig förvaltning, kommuner och landsting, näringsliv och allmänhet. De ansvariga statliga myndigheterna befanns ha olika roller, där- ibland tillsyn, främjande, producent och konsument. Det statliga ansvaret kan utövas på olika sätt. Det kan omfatta till exempel regelstyrning, tillsyn, budgetstyrning eller myndighetsstyrning. Utredningen konstaterade att informationssäkerhetsarbetet i andra länder har organiserats på principiellt skilda sätt och att arbetsuppgifter, målgrupper, roller och styrinstrument har tolkats och hanterats olika. Utredningen följde utvecklingen av informationssäkerhetsfrågorna i och den uppgiftsfördelning som gjordes i propositionen 2001/02:158 Samhällets säkerhet och beredskap. Det låg vid utgivandet av utredningens andra delbetänkande inte i utredningens uppdrag att närmare utvärdera verksamheten, men man kunde konstatera att verksamheten hade kommit igång. Utredningen konstaterade att det förekommit diskussioner rörande gränsdragningsfrågor, dels om relationen mellan de fyra särskilt utpekade myndigheterna, dels om dessa myndigheters relation till andra myndigheter verksamma inom informationssäkerhetsområdet, till exempel Statskontoret, Styrelsen för ackreditering och teknisk kontroll (SWEDAC), Säkerhets- polisen () och Försvarsmakten. Oklarheterna om gränsdrag- ning gäller i vissa fall instruktioner för myndigheterna, men fram- för allt den praktiska uppdelningen av arbetet. Vidare befanns den operativa ansvarfördelningen och samordningen vid krishantering vara oklar. Det framkom också farhågor att utpekandet av särskilt ansvar för vissa myndigheter riskerar att överskugga det ansvar som varje myndighet har inom sitt område. Vissa lagtekniska hinder för verksamheten har också kunnat konstateras. Utredningen slog fast att informationssäkerhet är, och kommer att vara, en angelägenhet för var och en som hanterar information i någon form. måste arbetet med denna typ av frågor samordnas. Det måste också bedrivas både med långsiktighet och med beredskap i det korta perspektivet. Underlag för utredningens överväganden Analys av kritisk infrastruktur Analysen av vad som är samhällsviktig infrastruktur är nödvändig för att myndigheternas roller och ansvar skall kunna fastställas. Utredningen argumenterade för att utgångspunkten för fast- ställande av ansvar, åtgärder, finansiering, m.m., bör vara funktions- orienterad. har utgångspunkten för informationssäkerhets- arbetet varit situationsberoende i meningen att ansvar varit beroende av för i vilken situation som informationssäkerheten varit viktig. I första hand har uppdelning skett i termer av informationssäkerhet i fred respektive under höjd beredskap och krig. Således har till exempel Statskontoret och likartade eller jämförbara uppgifter rörande informationssäkerhet, men för olika situationer. Utredningen menade att upprätthållande av kritisk infrastruktur bör vara utgångspunkten för vilket ansvar staten har för informa- tionssäkerheten. Utredningen fokuserade på legaldefinitioner som skulle kunna koppla samman de övergripande begreppen och definitionerna med de tekniska och administrativa som redan finns etablerade. Utred- ningen ansåg det viktigt att skapa en grund för tydligare författ- ningar samt att öka spårbarheten inom informationssäkerhets- området och därmed möjligheterna att förankra begrepp och definitioner hos alla aktörer och användare. Ett problem som utredningen pekade på var att de begrepp som skapas för att fungera i rättsliga sammanhang inte alltid harmo- nierar med de begrepp som utvecklas och används av ansvariga för forskning och utveckling, producenter, leverantörer, systemkunniga, tekniker med flera. Nuvarande regelverk om informationssäkerhet är endast allmänt hållna och speglar knappast det faktum att en mycket stor del av informationshanteringen i samhället inte längre föreligger i traditionell fysisk form. Utredningen menade att be- grepp och definitioner som rör informationssäkerhet måste kon- kretiseras ytterligare för att kunna tjänstgöra som verktyg och att regelverket i högre grad bör anpassas till hantering av handlingar i IT-system. Underlag för utredningens överväganden Utredningen hänvisade härvid till att de begrepp som används i SIS 550: Terminologi för informationssäkerhet, som är väl förankrade internationellt och nationellt, liksom BITS (Basnivå för IT-säkerhet), som utgör ett intressant exempel på hur informationssäkerhetsarbetet kan konkretiseras med stöd av precisa författningar. Enligt utredningen föreföll det som att EU (och ) har bättre anpassade bestämmelser och tydligare visioner för informations- säkerhetsarbetet än . Några undantag från EU:s säkerhets- bestämmelser har inte gjorts från svensk sida. Bestämmelserna reglerar hantering av sekretessbelagda EU-uppgifter. Enligt artikel 2 i beslutet skall medlemsstaterna vidta lämpliga åtgärder så att det vid hantering av sekretessbelagda EU-uppgifter säkerställs att bestämmelserna respekteras av medlemsstaternas myndigheter och i deras lokaler. Även om bestämmelserna bara omfattar sekretess- belagda EU-uppgifter skulle de kunna utgöra en utgångspunkt för utredningens fortsatta överväganden. Med den grundläggande defi- nitionen av informationssäkerhet inom EU (uppgifter som lagras, bearbetas eller överförs i elektronisk form) som utgångspunkt skulle bestämmelser kunna konkretiseras utifrån den administrativa och tekniska hierarki som utarbetats inom . Utred- ningen pekade på regeringens möjligheter att genom den delegerade normgivningskompetensen utfärda förordningar för att styra all statlig verksamhet. Det skulle således vara möjligt att samla be- stämmelser om informationssäkerhet på motsvarande sätt som redan görs för krig och krigsfara, genom BITS. I detta sammanhang skulle begrepp och definitioner kunna utvecklas. Utredningen erfor att flera myndigheter upplevde att begreppet rikets säkerhet i 2 kap. 2 § sekretesslagen (1980:100) har ett för snävt tillämpningsområde. Mycket av för samhället viktig verk- samhet faller utanför säkerhetsskyddslagen (1996:627) eftersom den inte rör rikets säkerhet enligt dagens tolkning av begreppet. Begreppet bör enligt dessa myndigheter utvidgas till att inkludera Underlag för utredningens överväganden även de vidare aspekter som borde ingå i ett begrepp för nationell säkerhet. Till exempel borde begreppet inkludera ekonomisk säker- het och attraktionskraft och handelsstatus. bör dock inte gå längre i sin tolkning av när inskränkningar är tillåtna än vad som accepteras av den Europeiska domstolen för de mänskliga rättig- heterna. Utredningen konstaterade att det kunde finnas anledning att analysera säkerhetsskyddslagen (1996:627) närmare i det fortsatta arbetet. Med hänsyn till den teknikutveckling som skett och särskilt med hänsyn till den omfattande användningen av Internet och e-post finns det, enligt utredningen, anledning att i det fort- satta utredningsarbetet ta ställning till om det behövs en mer genomgripande översyn av lagar och förordningar som har relevans för dessa frågor. För det fall att utredningen kom fram till att det skall formuleras regler för informationssäkerhet med utgångspunkt i den bredare definition som utredningen har använt sig av, måste utredningen ta ställning till hur detta skall förhålla sig till säker- hetsskyddslagens regler om informationssäkerhet i den mer be- gränsade betydelsen att förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Det internationella perspektivet konstaterades vara av stor betydelse både vad gäller säkerhetsskyddsklassning och brottsföre- byggande och lagförande av IT-relaterad brottslighet. Att rapporter om IT-incidenter som lämnas till en myndighet (till exempel SITIC-funktionen på ) blir allmänna handlingar enligt offentlighetsprincipen i och med att de inkommer till myndigheten var vid tiden för inlämnande av utredningens andra delrapport ett problem. Detta problem uppmärksammades med anledning av inrättandet av funktionen för IT-incident- rapportering. Eftersom offentliggörande av informationen kan vara till förfång för den organisation som lämnat in den, är en förutsätt- ning för exempelvis SITIC:s bedrivande av sin verksamhet att det finns möjlighet att hemlighålla uppgifterna. lämnade ett förslag till regeringen om modifiering av sekretesslagen, vars syfte var att skapa förutsättningar för SITIC att sekretessbelägga incidentrapporter från i princip samtliga rapportörer, Underlag för utredningens överväganden inte enbart från så kallade bevakningsmyndigheter. Utredningen uttryckte sin avsikt att återkomma i frågan. Utredningen slog fast att det föreligger ett generellt behov av att öka medvetenheten om sårbarheter och risker på alla nivåer i sam- hället. Dessutom finns det ett behov av att stärka beställar- kompetensen hos ägare av samhällsviktig infrastruktur. Företeelsen outsourcing, att lägga verksamhet på entreprenad, ökar ytterligare behovet av beställarkompetens. Behovet av kryptokompetens i samhället är stort och växande. Kompetenskraven har höjts kraftigt . Utredningen avsåg att återkomma med förslag till åtgärder för hur detta behov skall kunna tillgodoses. För att täcka de behov av utbildning och medvetandegörande som ansågs finnas, föreslog utredningen en rad åtgärder. Säkerhets- inslag i utbildningen redan på grundskolenivå är ett sätt att på bred front öka medvetandet. Beträffande högskolenivå angav utred- ningen sin avsikt att vidare belysa tillgången till säkerhetsinriktade ämnen inom bland annat tekniska och ekonomiska utbildningar. Som en del i samhällets säkerhetsförebyggande arbete finns skäl att överväga att bygga in rekommendationer om inslag av utbildning om sårbarhet och säkerhet som en normal del i grundutbildningarna för till exempel civilingenjörer, civilekonomer och i vissa andra akademiska examina. En metod för att ytterligare utveckla beställarkompetens kan vara att använda gemensamma standarder för informationssäkerhet. En standard innehåller en uppsättning styrmedel och baseras på god praxis. Den kan vara avsedd för de flesta situationer där infor- mationssystem utnyttjas, såväl inom myndigheter som inom närings- liv. Utredninges angav att man avsåg att värdera huruvida en mera generell användning av informationssäkerhetsstandard är en bra och resurseffektiv metod för att utveckla beställarkompetens samt en gemensam nivå vad gäller informationssäkerhet. Den offentliga verksamheten måste på ett aktivt sätt ta tillvara den säkerhetskompetens och den snabba utveckling som finns inom den privata sektorn. Det är inte en uppgift för den offentliga sektorn att tillgodose behovet av leverantörskompetens utan detta bör främst ske genom det utbud som utvecklas på den privata marknaden. Underlag för utredningens överväganden Utredningen konstaterade dock att i den mån marknaden inte är tillräckligt stor eller av någon annan anledning befinnes olämplig, måste staten kunna gå in. När det gäller infrastruktur och informa- tionssystem som är nationellt samhällskritiska, har staten ett särskilt ansvar. Det är därför av nationellt intresse att tillgodose samhällets behov av leverantörskompetens inom området. Utredningen redovisade sin avsikt att särskilt belysa möjlighe- terna till kompetensutveckling genom en mera generell användning av revisionsinstrumentet inom områdena informationssäkerhet och IT-säkerhet. Integrering av informationssäkerhet och signalskydd Signalskyddet i har historiskt haft en stark koppling till totalförsvaret (se delbetänkande 1 om signalskydd). Behoven av att skydda information har varit helt knutna till sekretesslagstiftningen. är behoven delvis annorlunda. Det finns ett behov av att skydda information även om den inte är hemlig i enlighet med sekretesslagen (1980:100). Signalskydd bör därför ses som ett medel för att åstadkomma en bättre informationssäkerhet och bör vara en naturlig del i informationssäkerhetsarbetet även utanför totalför- varsverksamheten. Utredningen kunde konstatera att civila myndigheter med flera i allt större omfattning begär stöd i signalskyddsfrågor även för hantering av skyddsvärd information som inte omfattas av sekretess. Inom det internationella samarbetet har hävdat sig väl inom signalskyddsområdet och ofta uppskattats för sin kompetens. Utredningen konstaterade att en kvalificerad resurs för granskning och i tillämpliga fall kryptogodkännande av svensktillverkade pro- dukter för internationella organisationers behov dock är nödvändig för att upprätthålla goda internationella anseende. Försvarsmakten utövar rollen som () genom Totalförsvarets signalskyddssam- ordning (TSA). Något formellt beslut har dock inte tagits i denna fråga. Utredningen ansåg att det finns ett behov av att tydliggöra denna roll på ett bättre sätt. Underlag för utredningens överväganden Samordning av det internationella agerandet Målet för det svenska agerandet på den internationella arenan är att få genomslag för svenska intressen. För att uppnå detta är det viktigt att hänsyn tas till överordnade svenska intressen, och att utgångspunkten för vårt internationella agerande utgörs av en gemensam svensk ståndpunkt. Detta gäller på alla nivåer – regeringen, och myndigheter, samt i förekommande fall också för berörda privata aktörer. Utredningen konstaterade att det finns ett stort behov av sam- ordning mellan olika aktörer. Med en väl genomarbetad och för- ankrad nationell strategi och en tydlig arbetsfördelning såväl inom som mellan myndigheterna bör de befintliga verktygen, det vill säga gemensam beredning, regleringsbrev och myndighetsinstruktioner, vara tillräckliga för att hantera såväl för- utsedda som snabbt uppkomna frågor. Utredningen menade där- emot att det kan finnas skäl att lägga större vikt vid de inter- nationella frågorna när myndigheternas instruktioner och reglerings- brev ses över. Säkerhet måste ses som intäktsskapande eller kostnadsbesparande. Till exempel är konceptet 24-timmarsmyndighet1 baserat på flera kvalitativa tjänster till medborgarna till lägre kostnader. Informa- tionssäkerheten berör alla verksamheter och ligger inom varje enskild organisations ansvar. Informationssäkerheten måste lösas i det dagliga arbetet och i den ordinarie organisationen. Därför bör också säkerhetslösningarna finansieras inom de normala finansie- ringsramarna för verksamheten. Utredningen gjorde bedömningen att kostnaderna, alternativt de negativa effekterna, riskerar att bli avsevärt större om inga åtgärder vidtas. I den offentliga förvaltningen skall kostnaderna med anledning av de föreslagna åtgärderna redovisas i samband med årsredovis- ningen. Åtgärderna skall genomföras och finansieras inom till- delade budgetramar inom respektive myndighetsansvar. När så är tillämpligt kan åtgärder samfinansieras mellan offentlig och privat sektor. 1 Strategiskt arbete med att utveckla en sammanhållen elektronisk förvaltning drivs av Stats- kontoret. Underlag för utredningens överväganden Inom Utgiftsområde 6 Försvar samt beredskap mot sårbarhet sker en översyn av finansieringsprinciperna för anslaget 6:5 Civilt försvar. Utredningen avsåg följa översynen av dessa principer. Utgångspunkter för en nationell informationssäkerhetsstrategi Utredningen konstaterade att en nationell informationssäkerhets- strategi bör ha ett långsiktigt, framåtblickande perspektiv, som kan ligga till grund för handlingsplaner och åtgärder . Strategin bör vända sig till myndigheter, näringsliv och organisationer, men även till enskilda användare, då de flesta är anslutna till olika lokala, nationella eller internationella informa- tionstjänster. Utredningen redovisade några utgångspunkter som den ansåg borde kunna ligga till grund för det fortsatta arbetet. Strategin bör inriktas mot att kunna: ligga till grund för politiska beslut och prioriteringar inom informationssäkerhetsområdet, och förbättra samordningen av samhällets informationssäkerhets- arbete bidra till att reducera sårbarheten och uppnå en effektiv risk- nivå i samhällets olika informationssystem och kritiska infra- struktur öka och fördjupa tilliten till informationstekniken, ligga till grund för trygg elektronisk kommunikation i privat och offentlig sektor samt säkra pålitliga nättjänster från offentlig sektor. De överordnade målen för informationssäkerheten sammanfattades av utredningen i några punkter, utifrån ett verksamhetsorienterat perspektiv: Infrastruktur: Samhällets infrastruktur för informationstjänster skall vara robust och säker i förhållande till de funktioner den utför. Kritiska informationssystem skall vara så säkra att en skada inte får större verkningar än som kan anses acceptabla. Underlag för utredningens överväganden Verksamhet: Det skall byggas en säkerhetskultur runt använ- dandet och utvecklingen av IT i . Informationssäkerhet skall vara en central faktor vid användandet av IT i . Medborgare: skall ha en allmänt tillgänglig samhälls- infrastruktur för elektroniska signaturer, autentisering av avsändare av elektronisk information samt säker överföring av känslig information. Styrning: Regelverk som berör informationssäkerhet skall till- handahållas och vidareutvecklas på ett samordnat och för användarna enkelt och översiktligt sätt. Utbildning: Det skall finnas möjligheter till utbildning inom informationssäkerhetsområdet för alla målgrupper. Agerande: Den informationssäkerhet som byggs upp skall stödjas av möjligheter till ingripande vid hot, incidenter, angrepp eller IT-relaterad brottslighet. I utredningens andra delbetänkande Informationssäkerhet i och internationellt – en översikt, identifierade utredningen ett antal frågeområden som man aviserade sin avsikt att återkomma till i slutbetänkandet. Detta är områden där tiden inte har varit mogen för slutligt avgörande. Frågeområdena har tjänat som avstamp och ledning i utredningens vidare arbete. Utredningen konstaterade utifrån det underlag den fick del av att informationssäkerhetsfrågorna var olika väl förankrade inom olika verksamhetsområden. Av den anledningen ansåg utredningen att det var nödvändigt att sträva efter en ytterligare kompletterad bild av informationssäkerhetsarbetet på den nationella nivån. Utred- ningen avsåg fortsätta följa arbetet vid de fyra myndigheter som genom proposition 2001/02:158 fått särskilda uppgifter på infor- mationssäkerhetsområdet. Utredningen angav i delbetänkande två sin avsikt att vidare studera den samverkan som finns mellan privat och offentlig sektor, vilka ytterligare behov samt vilka effekter samverkan kan ha. Underlag för utredningens överväganden Utredningen angav i sitt andra delbetänkande att man avsåg behandla de internationella aspekterna utförligare i slutbetänkandet. Det internationella underlaget skulle på ett tydligare vis användas som jämförelseunderlag i den övergripande analysen. Detsamma gällde informationssäkerhetsfrågorna inom EU, som också skulle få en mer framträdande placering i slutbetänkandet. Utredningen konstaterade att ett flertal myndigheter pekade på problem med hanteringen av uppgifter som omfattas av sekretess men som inte rör rikets säkerhet och som därmed faller utanför säkerhetsskyddslagens tillämpningsområde. Detta gäller till exempel skydd av kritisk infrastruktur. Sekretess vid IT-säkerhetsanalyser och incidentrapportering är ett annat problem. Myndigheterna pekade på att detta kan få till konsekvens att rapporter inte upp- rättas eller inte lämnas vidare i tillräcklig utsträckning. Med hänsyn till denna problematik och den omfattande använd- ningen av Internet och e-post konstaterade utredningen att det fanns ett behov av att ytterligare se över lagar och förordningar med relevans för dessa frågor. Utredningen avsåg att skaffa sig en uppfattning om utbudet av utbildningar inom informationssäkerhet och värdera kvaliteten på dessa. En belysning av tillgången på säkerhetsinriktade ämnen inom en rad utbildningar ansågs befogad, liksom att överväga om det finns anledning att bygga in rekommendationer om inslag av utbildning om sårbarhet och säkerhet som del i grundutbildningen för vissa akademiska examina. Särskild uppmärksamhet avsåg man lägga på mötet mellan teknik och juridik. Utredningen angav också som ambition att skaffa sig en uppfattning om inriktning och omfattning av dagens forskning inom informationssäkerhet samt att värdera behovet av ytterligare stimulans. Områden som kräver ökad kompetens är bland andra avtals- och upphandlingsfrågor, något som blir ytterligare aktuellt då fenomenet outsourcing ökar. Inom kryptoområdet har kompetenskraven höjts och utredningen Underlag för utredningens överväganden avsåg därför redovisa förslag till åtgärder för att tillgodose detta behov.