sou · GTB371 · 2006-01-01 00:00:00 — SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen, 2003. – En liten broschyr som underlättar arbetet för den som skall svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Till statsrådet och chefen för Genom beslut (dir. 2002:103) bemyndigade regeringen chefen för att tillkalla en särskild utredare med uppdrag att bedöma behovet av signalskydd i samhällsviktig verksamhet samt att lämna förslag till organisatorisk placering, lokalisering, uppgifter, ledning och samordning av signalskyddstjänsten. Med stöd av regeringens bemyndigande kallade chefen för f.d. riksdagsledamoten till särskild utredare (regeringsbeslut 2002:1743/, protokoll Fö 2002:1744/EPS). Utredningen antog namnet . En delrapport om signalskydd lämnades till regeringen (SOU 2003:27). Utredningens uppdrag utökades genom tilläggsdirektiv beslutade (2003:29). Den särskilde utredaren fick utöver det ursprungliga uppdraget i uppgift att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas, hur engagemang i det internationella arbetet inom informationssäkerhetsområdet bör utformas samt hur riktlinjer om nät- och informationssäkerhet kan genomföras i . Utredaren fick dessutom i uppdrag att följa myndigheternas uppbyggnad av de verksamheter som regeringen aviserade i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158), angående informationssäkerheten i samhället. Delrapporten i och internationellt – en översikt, lämnades till regeringen (SOU 2004:32). Enligt tilläggsdirektiv beslutade (2004:46) skall utredningen genomföra den utvärdering som regeringen anmälde till i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s.105) avseende de bedömningar när det gäller uppgiftsfördelningen som regeringen gjorde inom informationssäkerhetsområdet. Delrapporten information – Förslag till informationssäkerhetspolitik SOU 2005:42, överlämnades till regeringen . Genom tilläggsdirektiv 2005:53, beslutat , förlängs utredningens arbete. De organisatoriska aspekterna av utredningens förslag, skall lämnas till regeringen . I detta slutbetänkande återkommer utredningen även till ekonomiska konsekvenser av de förslag som läggs. Kansliråd , departementssekreterare (entledigad ), ämnessakkunnig (entledigad ) samt kansliråd har varit sakkunniga i utredningen. Experter har varit avdelningschef (entledigad ), överstelöjtnant , verksamhetscontroller (förordnad ), kriminalkommissarie , avdelningschef , säkerhetschef , enhetschef , Brigadgeneral (förordnad ), chefsjurist , avdelningsdirektör (entledigad ), IT-strateg , överingenjör , avdelningsdirektör samt avdelningsdirektör . var adjungerad till utredningen. I det fortsatta arbetet har analytiker , departementsråd (entledigad ) och Jur. kand. (förordnad ) fungerat som sekreterare. Konsult på , har fungerat som resursperson för utredningen. Utredningen har haft fortsatt god kontakt med berörda aktörer genom sin stora expertgrupp. Utredningen har också sammanträffat med representanter för näringslivet . För utredningens organisatoriska överväganden samt olika typer av konsekvenser härav, har f.d. statssekreterare varit utredningen behjälplig. Avgränsning och ambition med slutbetänkandet I utredningens tredje delbetänkande, SOU 2005:42 lades grunden för organisatoriska förslag. Betänkandet utgjordes av utredningens förslag till principer för utveckling av informationssäkerheten. Förslagen baserades på identifierade behov på området, till exempel av författningsstöd, kompetensutveckling och samordning. I slutbetänkandet avger utredningen förslag till organisatoriska förändringar i enlighet med den i SOU 2005:42 formulerade målstrukturen. Utredningens experter har tillsammans avgett ett särskilt yttrande. Underlag för utredningens överväganden ...................... 1.1Regeringens strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende SOU 2003:27 Signalskydd ........................................... 1.4.2 SOU 2004:32 Informationssäkerhet i och internationellt – en översikt......................................... 1.4.3 SOU 2005:42 Säker information - förslag till Nuvarande hantering av informationssäkerhet ............... 2.2.7 Samverkan offentligt – privat....................................... Certifiering och evaluering........................................... Utgångspunkter för organisation av Omvärldsbevakning och omvärldsanalys .................... Sammanhållande ansvar för utbildning och Standarder och revision ................................................ Föreskrifter och tillsyn................................................. Förebyggande arbete och rådgivning........................... Utredningens kommentarer till administrativa Certifiering och evaluering av IT-säkerhet i produkter och system ................................................... Signalskydd för hela samhället ..................................... Utredningens kommentarer till tekniska Samverkan mellan privat och offentlig sektor ........................ 3.3.1 Utredningens kommentarer och förslag till 3.4 Målstruktur för informationssäkerhet.................................... 3.5Utredningens slutsatser om utgångspunkter för organisation av informationssäkerhetsarbetet ....................... Organisatoriska konsekvenser av utredningens förslag .... Utredningens förslag till administrativa funktioner.............. Policy och samordningsansvar..................................... Föreskriftsrätt och tillsyn ............................................ Forskning och studier .................................................. 4.3.6 Stöd och förebyggande arbete ..................................... Scenario- och övningsverksamhet ............................... Utredningens förslag till tekniska funktioner........................ Signalskyddsverksamhet vid KBM .............................. Signalunderrättelsetjänst och teknikkompetens......... 4.4.4 Motiv för samordning av signalskyddet...................... Övriga organisatoriska förslag .............................................. 4.5.1 Sitic – .......................... 4.5.2 Certifieringsorganet för Common Criteria.............. 4.5.3 och Statens kriminaltekniska Ekonomiska konsekvenser av utredningens förslag ....... Resursbehov vid den nya myndigheten, ITS........................ 5.4 CSEC – Certifieringsorgan för IT-säkerhet Särskilt yttrande av experterna och Bilaga 1 Kommittédirektiv Dir. 202:103 .............................. Bilaga 2 Tilläggsdirektiv Dir. 2003:29 ................................. Bilaga 3 Tilläggsdirektiv Dir. 2004:46 ................................. Tilläggsdirektiv Dir. 2005:53 ................................. Dialoger med några privata aktörer ........................ riktlinjer för säkerheten i Säker information vid rätt tillfälle är en förutsättning för tillväxt, konkurrens, utveckling, välfärd och trygghet i samhället. Det gäller alla – medborgare, företag och offentlig verksamhet. innehar en framstående ställning internationellt i fråga om användning av ny teknik och redan genomförda investeringar i människor, kompetens och teknik utgör en stor potential för framtiden. Informations- och kommunikationstekniken har möjliggjort en explosionsartad utveckling inom informationsförsörjningen. Med ny teknik, där uppgifter och information bearbetas, lagras och förmedlas elektroniskt, följer dock inte bara ökade möjligheter, utan också problem i form av nya sårbarheter och beroenden. IT- utvecklingen har visat sig vara snabbare än förmågan att utveckla adekvat säkerhetstänkande. Frågor kring sårbarheten berör ett mycket stort antal aktörer och intressen, och området präglas av stor dynamik. Det är svårare att värna säkerheten i moderna informationssystem, där informationen lagras, bearbetas och förmedlas elektroniskt än när informationen föreligger i fysisk form. Till detta måste läggas att bilden av dagens brister och hot är mycket komplex och därmed även behovsbilden. Enligt utredningen är det viktigt att inse att det inte finns någon definitiv lösning på problemet med informationssäkerhet. Utredningen framhåller i Säker information – förslag till informationssäkerhetspolitik (2005:42) att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med problem som rör informationssäkerhet. Detta förutsätter ett långsiktigt arbete mot övergripande, långsiktiga mål. Med det finns också behov av beslutskraft i ett kort perspektiv och en operativ förmåga för att kunna hantera incidenter i realtid. enligt utredningen, en sammanhållen politik inom informations- säkerhetsområdet och en gemensam målstruktur. I informationssäkerhet i och internationellt – en översikt (2004:32) redovisade utredningen en översikt av informations- säkerhetsarbetet i och internationellt. Utredningen kunde bland annat konstatera att även om problembilden i allt väsentligt sammanfaller, så har länderna valt att organisera informations- säkerhetsarbetet på olika sätt. Det är således svårt att direkt överföra organisationsmodeller från ett land till ett annat. I detta slutbetänkande redovisar utredningen sina slutsatser och förslag till organisation av informationssäkerhetsarbetet i . De viktigaste utgångspunkterna återfinns i utredningens förslag till nationell strategi för ökad informationssäkerhet och i synen på omfattningen av det statliga åtagandet. Den nationella strategin förutsätter organisatoriska grepp Några av de förslag som redovisas i strategin förutsätter att staten utvecklar den egna organisationen och att samverkan mellan privat och offentlig sektor fördjupas. Behovet att förstärka informations- säkerhetsarbetet inom underrättelse- och säkerhetstjänsternas område liksom att förstärka förmågan inom området nationell säkerhet motiverar bland annat organisatoriska åtgärder. Inom båda dessa områden krävs, enligt utredningens mening, både tydligare ansvarsfördelning och säkerställande av kompetens och resurser. Regeringen genomförde med början organisatoriska förändringar för att etablera funktionerna omvärldsanalys, incidenthantering, teknikkompetens samt evaluering och certifiering. Den utvärdering som utredningen nu har gjort leder också till organisatoriska konsekvenser för berörda myndigheter. Slutligen bör den av utredningen föreslagna strategin att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar i några fall leda till justeringar inom vissa myndigheter, utan att dessa behöver omorganiseras. Dessutom kan förutses att uppgifter i några fall bör preciseras och införas i berörda myndigheters instruktioner. Det statliga åtagandet blir styrande Statens åtagande, ansvar och intresse har av utredningen sammanfattats enligt följande: 1.Staten har ett övergripande ansvar för att en helhetssyn etableras och appliceras på informationssäkerheten och att nationella intressen bevakas genom EU och i internationella sammanhang. 2.Staten har ansvaret för samhällets regelverk på informations- säkerhetsområdet. 3.Staten har ett särskilt ansvar för informationssäkerheten inom ett antal politikområden. Det gäller statens kärnverksamhet, som till exempel rättsväsendet. Det gäller även ansvaret för att olika samhällsviktiga verksamheter bedrivs med tillräcklig säkerhet oavsett vem som äger dem (till exempel inom elförsörjning och telekommunikation). 4.Staten har slutligen ett eget intresse för informationssäkerheten inom sitt verksamhets- och ansvarsområde, i sina olika roller som till exempel ansvarig för myndighetsutövning och i sin ägarroll. Det statliga åtagandets omfattning leder till krav på att bygga upp förmåga inom flera viktiga områden och att lösa ett antal uppgifter i den statliga verksamheten. Informationssäkerhets- arbetet måste, som utredningen påpekar, utgöra en integrerad del av alla aktörers verksamheter, så också inom staten. Det följer av ansvarsprincipens tillämpning. Utredningen redovisade även vad som bör falla inom det privata åtagandet och vad som skulle kunna betraktas som det statliga åtagandet, även om gränsdragningen är svår. Enligt utredningens uppfattning bör även dessa åtaganden leda till organisatoriska konsekvenser. Utöver detta återstår att formulera nya uppdrag och uppgifter till myndigheter i den befintliga organisationsstrukturen, i syfte att öka informationssäkerheten. Flera utgångspunkter för val av organisation Utredningen har konstaterat att informationssäkerheten inte bara inrymmer frågeställningar för respektive verksamhetsansvarig, utan att det också finns problem av gemensam natur, där stora krav ställs på samordning. Vidare finns flera problem och frågeställningar av tvärsektoriell karaktär, som ofta kräver tillgång till specialistkompetens. Dessa problemområden förutsätter ett annat angreppssätt på styrning och organisation. Det är också viktigt att gränsdragningen mellan det privata och det offentliga åtagandet tydliggörs. Vidare finns det, som utredningen redovisar under avsnittet om samverkan mellan privat och offentlig sektor, sannolikt frågeställningar som inte kan lösas av en aktör ensam, inte ens av staten. En fördjupad samverkan inom offentlig sektor och mellan privata och offentliga aktörer förutsätter en tydlig ansvars- fördelning inom staten och en organisation som kan hantera frågor av gemensam, tvärsektoriell natur i en vardag präglad av sektorstänkande och sektorsansvar. Till dessa resonemang kan slutligen läggas att informations- säkerheten kräver tillgång till hög kompetens och resurser, såväl administrativt som tekniskt. I egenskap av liten nation är det av synnerlig vikt att regeringen fokuserar de resurser som finns tillgängliga och utnyttjar samhällets samlade kapacitet på ett bättre sätt. I tidigare betänkanden har utredningen pekat på ett antal förhållanden och synsätt som kan vara vägledande för informationssäkerhetsarbetet. Några av dessa är särskilt viktiga för val av organisation inom staten: 1.Informationssäkerhet omfattar hela samhället och frågeställningen är därför vidare än totalförsvarets behov. 2.Det finns ett behov att kraftsamla och att tydligare fokusera den statliga verksamheten nationellt, inom EU och internationellt. 3.Alla statliga aktörer måste, inom ramen för sitt respektive sektorsansvar, medverka till förmågan att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar. 4.Ansvaret för förmågan i den statliga kärnverksamheten, liksom för säkerheten i samhällsviktiga verksamheter, måste tydliggöras. Vissa gemensamma behov förutsätter bättre samordning inom staten och i samverkan med andra, icke-statliga aktörer. 5.Kompetensen och förmågan att hantera tvärsektoriella frågor måste säkerställas inom informationssäkerhetsområdet. Med de olika utgångspunkter som utredningen redovisar kan tre principer för organisation inom staten urskiljas. Den första organisationsprincipen följer av ansvarsprincipen. Detta innebär att varje sektorsmyndighet har ansvaret för utvecklingen av informationssäkerheten inom sitt ansvarsområde och för de aktörer som berörs av myndighetens verksamhet. I syfte att tydliggöra omfattningen av detta ökade ansvar har utredningen i det tredje delbetänkandet lämnat ett förslag till förordning om vissa åtgärder för informationssäkerhet i den statliga verksam- heten.1 Inom några områden finns det enligt utredningens mening anledning att ytterligare tydliggöra detta ansvar och uppdrag. PTS utökade ansvar och befogenheter inom området elektronisk kommunikation är ett sådant exempel. samverkan med aktörer inom finansmarknaden är ett annat. I andra fall kan det handla om att ge ökad prioritet och lyfta upp säkerhetsfrågorna i berörda myndigheters verksamhet och förstärka insatserna, som exempelvis inom energi och transportsektorn. Den andra organisationsprincipen syftar till att tillgodose sådana behov som är gemensamma i den statliga verksamheten. Detta syftar framför allt till att uppnå en bättre samordning inom staten i administrativa och tekniska sammanhang Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället, vare sig det handlar om att kunna hantera och ingripa vid störningar eller att ge underlag för förebyggande arbete hos alla aktörer. Samverkan mellan privat och offentlig sektor Genom tidigare betänkanden har utredningen visat att det finns sammanfallande problem och behov inom privat och offentlig sektor och att det finns anledning att samverka kring dessa, inte minst av praktiska skäl. Utredningen har vidare i sitt senaste delbetänkande Säker information – förslag till informations- säkerhetspolitik (SOU 2005:42), konstaterat att det inte finns någon definitiv lösning på problemet med informationssäkerhet. En väl förankrad samverkansprocess skulle dock kunna lära oss leva med problemen. Utredningen har därutöver funnit att det finns problem- ställningar som är av sådan art att ingen av aktörerna ensam kan 1 Förslag till förordning om vissa åtgärder för informationssäkerhet hos staten. Se Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42,) s. 31 ff. klara av problemen. Följaktligen finns ett behov av att samverka för att identifiera och komma närmare lösningar på dessa. Det finns dessutom skäl att söka samverkan kring de prioriteringar som måste göras mellan olika problem och sektorer, i syfte att utnyttja tillgänglig kompetens och resurser på ett optimalt sätt. Utredningens slutsats är att det finns en vilja till samverkan mellan aktörer i privat och offentlig sektor. Det är också utredningens uppfattning att näringslivet har ett intresse av att det finns adekvat utbildning, forskning och regelverk på informationssäkerhetsområdet. Den privata sidan kan bidra med tekniska lösningar och samhällets behov utgör en marknad för näringslivets aktörer. Det finns således en ömsesidig nytta i detta gemensamma intresse. Företrädare för näringslivet har tagit ett initiativ till att bilda ett självständigt samverkansorgan. Detta bör därför tas tillvara av staten, kommuner och landsting. Ett sådant organ bör, enligt utredningens mening, ha till uppgift att dels medverka till att öka medvetenheten i informationssäkerhetsfrågor, dels ge underlag för en lönsam och optimal riskhantering hos alla aktörer. Utredningen föreslår att det redovisade samverkansinitiativet tas tillvara och att staten omgående utser en utredare eller förhandlare. I avvaktan på regeringens ställningstagande till utredningens övriga förslag, kan utredaren eller förhandlaren skapa underlag för ställningstagande till statens samverkan med andra aktörer inom informationssäkerhetsområdet samt klarlägga intresse och möjligheter för samverkan med kommuner och landsting i dessa frågor. Regeringens ledande och samordnande roll Regeringen har en ledande och samordnade roll inom informationssäkerhetspolitiken. Det sätt som regeringen väljer att sätta mål för verksamheter, styra och följa upp resultat är avgörande för myndigheternas arbete. Inom informations- säkerhetsområdet är det av särskilt vikt med hänsyn till frågornas komplexitet, dynamik och internationella dimension. Utredningen återkommer därför till sitt förslag att utarbeta en sammanhållande målstruktur för informationssäkerhetsarbetet. Flera av de utgångspunkter som utredningen lyfter fram kan var och en för sig läggas till grund för val av organisation, med olika resultat beroende på vilka prioriteringar eller särintressen som styr valet. Den helhetssyn som enligt utredningen bör styra även valet av organisationslösning (och fördelningen av ansvar, befogenheter och skyldigheter inom staten) måste med nödvändighet bygga på en sammanjämkning av flera av de grundläggande frågeställningar som utredningen lyfter fram. Tre grundläggande principer för organisation av informations- säkerhetsarbetet redovisas ovan. Den första följer ansvarsprincipen. Den andra syftar till att tillgodose gemensamma behov inom staten. Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället. Mot denna bakgrund är utredningens första slutsats att det måste ligga inom varje myndighets ansvar att svara för informationssäkerheten i den egna verksamheten och i kontakt med de aktörer som berörs av myndighetens verksamhet. Detta följer av ansvarsprincipen. Ansvar, befogenheter och skyldigheter bör förtydligas i berörda myndigheters instruktioner och i regleringsbrev. Föreskrifter samt råd och anvisningar bör utarbetas till den av utredningen föreslagna förordningen om vissa åtgärder för informationssäkerhet hos staten. Utredningen föreslår att informationssäkerhetsarbetet bör organiseras så att kraftsamling kan ske till administrativa respektive tekniska frågeställningar. Utredningens andra slutsats är därför att gemensamma behov inom staten och tvärsektoriella frågeställningar i hela samhället bör samlas under en myndighet för administrativa funktioner respektive en myndighet för tekniska funktioner. Därmed förbättras även förutsättningarna för en sammanhållen informationssäkerhetspolitik. Utredningens tredje slutsats är att några myndigheter, inom ramen för sina nuvarande ansvarsområden, bör ges utökade uppgifter och resurser för förebyggande arbete, rådgivning med mera. Utredningen har visat att det finns problemställningar, som är av sådan art, att ingen av samhällets aktörer ensam kan lösa dem. En fjärde slutsats är därför att samverkan mellan privat och offentlig sektor bör utvecklas på informationssäkerhetsområdet. Slutligen framhåller utredningen regeringens ledande och samordnande roll. Utredningens femte slutsats är att denna roll i informationssäkerhetsarbetet förutsätter en sammanhållande målstruktur som även fångar in frågeställningar som rör gemensamma och tvärsektoriella problem. En ny organisationsstruktur för informationssäkerhetsarbetet Ansvaret för policyfrågor och den administrativa funktionen, liksom ansvaret för den tekniska funktionen skulle kunna samlas i en central myndighet för informationssäkerhet. Utredningen har dock stannat för att föreslå att () förstärks och ges samordningsansvaret för policy och administrativ informationssäkerhet. Samordningsansvaret för den tekniska informationssäkerheten föreslås läggas på en nybildad myndighet med ansvar för signalunderrättelser, signalskydd och hög teknikkompetens. Denna nya myndighet föreslås huvudsakligen bygga på den kompetens som finns inom () men med utökat ansvarsområde och förstärkta resurser. Den föreslagna förändringen motiverar också ett nytt namn som bättre återspeglar dess uppgifter än vad namnet gör. Utredningen föreslår namnet och teknisk informationssäkerhet (IST). Motivet för två myndigheter med samordningsansvar för olika delar av informationssäkerheten är framför allt att det är rationellt och ger utrymme för synergieffekter med dessa myndigheters övriga ansvarsområden. Det bör ge underlag för en bättre sammanhållen informationssäkerhetspolitik. Detta förutsätter dock ett välutvecklat löpande samarbete mellan de båda huvudansvariga myndigheterna, liksom mellan dessa och andra myndigheter, näringslivet och andra aktörer som har uppgifter och behov på informationssäkerhetsområdet. Utredningens förslag kommer att få vissa konsekvenser för berörda myndigheters personal. I flera fall föreslår utredningen en förstärkning av kompetens och bemanning. De medel som anslagits som projektmedel för informationssäkerhet via den så kallade civila ramen föreslås omvandlas till ordinarie anslagsmedel. Det innebär en markering av att myndighets- organisationen för informationssäkerhet får en permanent karaktär, efter de inledande årens mera projektinriktade uppbyggnadsperiod.