sou · GTB342 · 2006-01-01 00:00:00 — För samhällsviktig verksamhet och system finns det dock anled- ning för staten att ställa särskilda krav på leveranssäkerhet och kvalitet, vare sig verksamheten drivs av privat eller enskild. Ett pro- blem som utredningen lyfter fram är att det inte har funnits några kriterier för vad som skulle kunna betraktas som samhälls- viktig verksamhet. Det grundläggande synsätt som utredningen redovisat på det privata åtagandet är till största del tillämpligt även på verksamheten hos myndigheter och organ inom offentlig sektor. All verksamhet skulle således innefatta ett samlat ansvar för kompetensförsörjning och säkerhet i de egna informations- och kommunikationssystemen. Enligt utredningens mening är det av stor vikt för samtliga aktörer att statens åtagande preciseras. Även om statens möjligheter att styra andra aktörer är begränsad så tydliggörs i vart fall indirekt vad staten anser bör ingå i andra aktörers ansvar. Statens åtagande, ansvar och intresse har därför av utredningen sammanfattats i följande fyra punkter: 1.Staten har ett övergripande ansvar för att en helhetssyn etable- ras och appliceras på informationssäkerheten och att nationella intressen bevakas inom EU och i internationella sammanhang. 2.Staten har ansvaret för samhällets spelregler inom informations- säkerhetsområdet. 3.Staten har ett särskilt ansvar för informationssäkerheten inom ett antal politikområden. Det gäller statens kärnverksamhet som till exempel rättsväsendet och underrättelse- och säkerhetstjäns- terna. Det gäller även ansvaret för att olika samhällsviktiga verksamheter (el, tele etc.) bedrivs med tillräcklig säkerhet oavsett vem som äger dem. 4.Staten har slutligen ett eget intresse och ansvar för informa- tionssäkerheten inom sitt verksamhets- och ansvarsområde, i sina olika roller som ansvarig för myndighetsutövning, i sin ägarroll etc. Att fokusera på samhällsviktig verksamhet Utredningen menar, liksom regeringen, att det av flera skäl är nöd- vändigt att fokusera ansträngningarna till sådana verksamheter som är av vital betydelse för samhällets funktioner. En verksamhet måste således betraktas som samhällsviktig om ett bortfall eller en stör- ning av denna skulle få allvarliga konsekvenser för en eller flera sam- hällsfunktioner. Det är uppenbart att leveranssäkerheten och kvalite- ten i den tekniska infrastrukturen kommer att vara beroende av hur informationssäkerheten i dessa system utvecklas. Men även många andra samhällstjänster är beroende av säkerheten i informations- och kommunikationssystemen. En helhetssyn på informationssäkerheten i samhällsviktiga verksamheter blir därför allt viktigare. Eftersom samhällets resurser inte är obegränsade kommer därför en priorite- ring mellan samhällsviktiga verksamheter också att vara av strategisk betydelse. finns inga av regeringen fastlagda kriterier eller definitioner som kan ligga till grund för urvalet. Utredningen föreslår därför att regeringen, med stöd av det underlag som har framtagits under ut- redningens arbete, konkretiserar vilka verksamheter som är sam- hällsviktiga och därmed kan bli föremål för särskilda åtgärder. IT-området utvecklas snabbare är säkerhetsmedvetandet. Det ökade IT-användandet har lett till ett ökat beroende av säkerhet och kvalitet i olika tjänster men medvetandet om sårbarheter, hot och risker är mycket lågt hos enskilda användare. Detsamma gäller kun- skapen om vilka skyddsåtgärder som finns och erbjuds på mark- naden. Enligt utredningens mening är medvetandet så dåligt och bristerna så utbredda att särskilda insatser är motiverade . Enligt utredningens mening är det av strategisk betydelse att kunna säkerställa kompetensförsörjningen inom informationssäkerhets- området. Utredningen konstaterar också att staten behöver egen och unik kompetens. Dels har staten krav på sig att ta ansvar för samhället oavsett konjunkturer eller annat som styr efterfrågan på Staten har också det yttersta ansvaret för den natio- nella säkerheten, vilket ställer särskilda krav. Utredningen konsta- terar att inte har tillräckliga resurser för att bygga dubbla strukturer. Därför krävs informationsutbyte och samarbete mellan den offentliga sektorn och näringslivet. Överväganden och förslag redovisas närmare i kapitel 8 om kompetensfrågor. Strategi – samverkan – regelverk I ovanstående tio punkter har utredningen sammanfattat sin syn på vad som bör ingå i en nationell informationssäkerhetsstrategi. Strategin har ett långsiktigt perspektiv och skall kunna ligga till grund för handlingsplaner, prioriteringar och åtgärder , vilka kan förnyas utifrån ändrade omständigheter. Strate- gin vänder sig till alla aktörer – såväl privata som offentliga. Strategin kan ligga till grund för att öka informationssäkerheten i samhället genom en kontinuerlig process. Strategin förutsätter därför att for- merna för samverkan utvecklas. Dessutom krävs ett modernt regel- verk som stödjer, framtvingar eller tydliggör krav på aktörerna och som säkerställer att säkerheten efterlevs. Staten förfogar över en rad administrativa, ekonomiska och infor- mativa styrmedel. I praktiken är dessa relativt svagt utvecklade på informationssäkerhetsområdet och utredningen lämnar därför för- slag till inriktning av fortsatt författningsarbete och tillämpning av standard. Utredningen menar att en målstruktur för informations- säkerhet skulle kunna medverka till en sammanhållen politik på området. Regeringen anmälde i propositionen prop. 2001/02:158 Samhällets säkerhet och beredskap att man hade för avsikt att göra en översyn av de rättsliga aspekterna, inklusive de internationella, på området informationssäkerhet. Utredningen kan konstatera att någon samlad översyn ännu inte har påbörjats, även om vissa författningsändringar har genomförts på enstaka delområden. Detta har verkat åter- hållande på möjligheterna till ett samlat grepp i utredningen. Med tanke på den stora betydelse som informationssäkerheten har för all samhällsviktig verksamhet föreslår utredningen, i avvaktan på en översyn av hela området, att regeringen prövar möjligheten att genom författningar lägga grunden för vissa åtgärder inom området. Behovet av en tillfredställande informationssäkerhet är inte be- gränsat till verksamheter som är av betydelse för rikets säkerhet eller skyddet mot terrorism. Behovet är inte heller begränsat till information som är hemlig enligt sekretesslagen (1980:100) eller som är känslig ur ett integritetsperspektiv osv. Behovet av säkerhet för information kan – som utredningen har pekat på – göra sig lika starkt gällande även på andra områden. Utredningen har därför förordat en bred definition av begreppet informationssäker- het, med utgångspunkt i . Enligt dessa syftar informationssäkerheten till att främja tillväxt, konkurrens och välfärd. För uppgifter som lagras, bearbetas och överförs i elektronisk form skall säkerheten uppfyllas genom krav på konfi- dentialitet, okränkbarhet och tillgänglighet. Bestämmelser om informationssäkerhet finns i flera olika för- fattningar. Det saknas dock ett heltäckande och sammanhållet regel- verk på informationssäkerhetsområdet som motsvarar utredningens bredare definition av begreppet informationssäkerhet. Enligt utred- ningen finns det därför ett behov av ett utvidgat regelverk. Utredningen visar möjliga vägar att gå för att åstadkomma ett sådant regelverk. En väg skulle vara att utöka tillämpningsområdet för nuvarande säkerhetsskyddslagstiftning. En annan väg skulle vara en helt ny lag på informationssäkerhetsområdet. Framtagandet av ett sådant regelverk, som utredningen anser att det finns ett stort behov av, måste dock föregås av en mycket mer omfattande och djupare analys än vad denna utredning har möjlighet att göra. Frågan om ett mera sammanhållet och heltäckande regelverk på informationssäkerhetsområdet måste därför utredas i särskild ord- ning. Utredningen anser dock att den har stöd för att redan nu föreslå lagstiftningsåtgärder för att råda bot på brister i dagens regelverk. Utredningen föreslår en ny förordning om vissa åtgärder för infor- mationssäkerhet hos staten. Genom detta förslag kan staten ta initiativ och driva på det praktiska säkerhetsarbetet hos myndig- heterna. Detta kan i sin tur utgöra riktvärde för andra aktörers arbete. Vidare föreslår utredningen att begreppet informations- säkerhet utmönstras ur säkerhetsskyddslagstiftningen, och ersätts med begreppet sekretessäkerhet. Enligt utredningen finns starka motiv för att stärka säkerheten i nätsäkerhetsrelaterade frågor. tagit vissa initiativ i dessa frågor och från gäller utvidgade tillämpningsbestämmelser för säkerheten. Enligt utred- ningens mening handlar det därutöver om att förstärka möjlig- heterna att ställa tydligare krav på leveranssäkerhet och kvalitet. Andra aspekter av säkerheten handlar om filtreringsfrågor samt hantering av vissa abonnentuppgifter. Utredningen stödjer Post- och () ambitioner i denna fråga. Standardiseringen på informationssäkerhetsområdet har kommit långt. Informationssäkerhet är ytterst en fråga om kvalitets- tänkande. När det gäller hantering och utbyte av elektronisk infor- mation är det av vikt att det bygger på standarder. Fördelarna är många. Utredningens uppfattning är att staten bör verka för en bred användning av standarder inom statlig verksamhet. () har ett uppdrag att bygga upp en svensk certifieringsordning för Common Criteria. Mot bakgrund av erfarenheter från andra länder är det troligt att Försvarsmakten och andra myndigheter med mycket höga sekretess- krav kommer att vara de viktigaste intressenterna för certifierade produkter och program. Tillgång till certifierade produkter under- lättar för alla myndigheter, företag och andra som önskar upphandla produkter med hög säkerhet. Ledningssystem för Informationssäkerhet () är en anvisning för hur man åstadkommer ett ledningssystem. Standarden är inte ett ledningssystem i sig. omfattar hela informationssäkerhets- begreppet och fokuserar på de risker och hot som kan uppkomma inom en organisation. Tillämpning leder till förbättrade administra- tiva och tekniska rutiner. används med framgång inom flera större svenska företag. Staten bör använda inom den offentliga verksamheten. Den verksamhetsstruktur som finns inom svensk statsförvaltning innebär i regel att mål formuleras på flera nivåer. Strukturen syftar till att tydliggöra hur verksamheter på skilda nivåer bidrar till att uppfylla målen inom ett politikområde. Som en följd av detta skiljer målen sig i precision mellan nivåerna. Informationssäkerhet kan formuleras som ett verksamhetsområde eller en del av ett politikområde. Det berör många politikområden och flera utgiftsområden. Informationssäkerhet kan ses som en förutsättning för övriga verksamheter. Utredningen förordar i första hand att informationssäkerhet ses som ett verksamhetsområde. Redan detta innebär ett visst ställningstagande i finansieringsfrågan. Med utgångspunkt i ansvarsprincipen är det rimligt att finansiering av informationssäkerhet i huvudsak sker genom ordinarie anslag för verksamhetsområdet till respektive myndighet. Detta bör enligt utredningen vara huvudprincipen för finansieringen och den finan- siella styrningen av informationssäkerhet. Det är dock enligt utred- ningen motiverat att även – särskilt för ändamål som kan ses som långsiktiga investeringar i en högre informationssäkerhet – behålla möjligheterna till kompletterande finansiering av informa- tionssäkerhet via den så kallade civila ramen. Utredningen avser att återkomma till dessa frågor i sitt slutbetänkande. Säkerhetsmedvetandet har höjts i näringsliv och myndigheter liksom hos enskilda IT-användare. En rad åtgärder måste dock vidtas för att ytterligare förbättra säkerhetsmedvetandet och öka kunskaperna om informationssäkerhet. Det bör ske bland annat inom ramen för utbildningssystemet. Lärarutbildningen måste förbättras. Blivande lärare erhåller för lite utbildning vad gäller IT- användning och -teknologi. I såväl grund- som gymnasieskolan bör ett säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar, byggas in i den grundläggande data- och IT-utbildningen. En betydande del av utbildningsbehovet måste tillgodoses inom högskolans ram. Kopplingen mellan utbildning och forskning måste stärkas. Informationssäkerhet bör utgöra en baskunskap för många yrkesgrupper, t.ex. jurister, samhällsvetare, lärare, ekonomer och tekniker. har allt fler företag inrättat funktionen informations- säkerhetschef. Motsvarande behov av sådana befattningar finns inom myndighetsvärlden. Utredningen anser att det finns skäl att stimulera till etablering av kvalificerad utbildning i informationssäkerhet på magisternivå för att bland annat tillgodose efterfrågan av tjänster inom området. De växande behoven av säkra informationssystem ställer krav på ökade resurser för forskning inom informationssäkerhet. Kris- beredskapsmyndigheten (KBM) har ett särskilt ansvar inom forsk- ningsområdet för att stimulera, initiera och delvis även finansiera forskning inom området informationssäkerhet. Det gäller både för forskning inom det allmänna universitets- och högskoleområdet och inom ramen för Försvarshögskolans (FHS) och Totalförsvarets forskningsinstituts (FOI) verksamhet. Detta ansvar behöver för- tydligas ytterligare. Att säkra rikets ledning av och tillgång till samhällsviktig infra- struktur ställer stora krav på säkerhet i informationshanteringen. Staten måste därför vara bidragande till att det byggs upp en forskar- kompetens inom området informationssäkerhet. Forskningsbaserad kunskap bygger på långsiktighet och uthållighet i projektsatsningar och i kompetensutveckling bland berörda forskare. () bör därför utveckla ett tematiskt område kring informationssäkerhet. Forskargrupper som erhåller anslag skall veta att satsningen är flerårig. Försvarshögskolans samarbete med internationella högskolor och universitet kan bidra till att utveckla utbildningen inom informa- tionssäkerhet. En utbildning i informationssäkerhet skulle kunna ske med en praktisk inriktning för certifiering av nyckelpersonal inom myndigheter och företag. () skall verka för samord- ning mellan militär och civil, respektive mellan nationell och internationell forskning. Vid avdelningen för försvarsanalys bedrivs studier och forskning inom området informationssäkerhet på olika systemnivåer. har kunskapsutveckling skett vad gäller säkring av viktig infrastruktur, där bland annat frågor om informationssäkerhet får en allt mer framträdande roll. Forskning inom informationssäkerhetsområdet bedrivs även inom andra organisationer. , Sics, ägs till tre fjärdedelar av svensk industri och en fjärdedel av staten och är således ett exempel på område där privat och offentlig samverkan har utvecklats. Målet är att bidra till konkurrensförmågan hos svensk industri genom att bedriva avancerad forskning inom strategiskt viktiga områden av datavetenskap samt att aktivt främja användningen av nya idéer och resultat i industrin och samhället i stort. Sics har inte primärt fokus på informationssäkerhet, men i praktiken berör en stor del av forskningen frågor om funktionalitet och säkerhet. Sics fyller tillsammans med övriga institut en mycket viktig funktion genom att vara en avancerad brygga mellan närings- livets forskningsbehov och statens behov av att främja forskningen och forskarvärlden inom IT-området. är det angeläget att institutets forskning även omfattar projekt inom informationssäkerhetsområdet. EU initierar och finansierar en omfattande forskning inom infor- mationsteknikens område. Förberedelserna för det sjunde utvidgade ramforskningsprogrammet har påbörjats. Informationssamhällets teknik (IST) inom det sjätte ramforskningsprogrammet har haft en budget på . Inom IST finns fyra huvudprioriteringar: för det första informationssamhällets teknik som berör samhälleliga och ekonomiska utmaningar, för det andra teknik för kommunikation, hantering av information och program- vara, för det tredje komponenter och mikrosystem och för det fjärde teknik för kunskapshantering och intelligenta gränssnitt. Främst det första området berör informationssäkerhet. Antalet projekt är mycket stort. bör ha en hög ambition att delta i EU:s policyskapande arbete för att inrikta forskningen inom informationssäkerhets- området och som genomförare av större forskningsprojekt inom området. Det är en angelägen uppgift både för och myndigheter som och , liksom för svenskt näringsliv och högskole- och universitetsvärlden, att delta i arbetet och få del av de betydande forskningsresurser som EU kommer att satsa inom informations- säkerhetsområdet. Det kräver också ett utvecklat samarbete med partners i andra EU-länder. Kryptering har länge varit en avancerad disciplin, som kräver mycket hög kompetens. Till skillnad från tidigare krävs numera även hög IT-kompetens. Med IT-revolutionen har kryptering blivit en angelägenhet långt utanför det militära området. Näringsliv och myndigheter måste ha hög kompetens i data- säkerhet. Däremot är det inte nödvändigt att alla har tillgång till egna kryptologer. Ur kompetenssynpunkt räcker det dock inte med några få personer i med hög kompetens inom kryptologi. För att stimulera tillväxten av särskild kompetens för samhället och större företag kan exempelvis sponsring eller finansiering av doktorandtjänster vid universiteten komma i fråga. Samhället har enligt utredningens bedömning låg beställarkompe- tens för informationssäkerhet. Detta utgör ett grundläggande pro- blem. Staten har ett ansvar för att utveckla beställarkompetensen. Tillgång till certifierade produkter enligt Common Criteria eller tjänster enligt Ledningssystem för informationssäkerhet () skulle avsevärt underlätta upphandling av informationssäkerhet. Det krävs också en satsning på fortbildning i upphandlingsteknik inom området informationssäkerhet. Särskild uppmärksamhet bör ägnas kompetens i avtalsfrågor. Revision av informationssäkerhet bör utvecklas i flera former, dels som en del av den årliga revisionen – särskilt vad avser redovis- nings- och affärssystem, dels genom sårbarhets- och riskanalyser och tester av informationssäkerheten samt genom tillämpning av standarden Ledningssystem för informationssäkerhet (). Informationssäkerhet är en ledningsfråga. Behovet av fortbildning gäller även den verkställande nivån samt styrelsenivån i myndigheter och företag. Varje myndighet, företag, kommun, landsting eller annan organisation har ett eget ansvar för att se till att alla medarbetare som har uppgifter inom området informationssäkerhet erhåller adekvat fortbildning. Signalspaning som skydd för IT-system Signalspaning har betydelse för möjligheten att skydda samhälls- viktiga system mot kvalificerade IT-relaterade hot. Utredningen vill peka på att det finns kvalificerade IT-relaterade hot som med den framväxande globala kommunikationsstrukturen och den nya IT-tekniken i förlängningen också kan innebära hot mot rikets säkerhet. Dessa hot utgör också hot mot många andra verksam- heter. Gränsen mellan allmänna hot och hot mot rikets säkerhet är inte absolut. Ett av de främsta medlen, förutom det förebyggande arbetet, för att möta kvalificerade IT-relaterade hot är att inrikta vår under- rättelsetjänst mot dem. Detta understryks också i regeringens hit- tillsvarande strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT-beroende system. För att förhindra allvarliga informationsattacker mot bör underrättelse- och säkerhets- tjänstens arbete förstärkas och delgivningen av erfarenheter utvecklas. Dessa myndigheters möjligheter att spela en avgörande roll för skyddet mot kvalificerade IT-relaterade hot bedöms som stora. har haft en framträdande plats i vad gäller kryptologisk kompetens och förmåga. Den, relativt sett, successivt försvagade beräkningskraften genom brist på resurser för inköp av ny snabb datorkraft riskerar dock att allvarligt försämra samlade kompetens på området. Signalspaning kan först och främst bidraga till underrättelser avseende hot och aktörer som agerar mot svenska informations- system. En lika viktig del är att kunskap om brister i olika tekniska informationssystem erhålls i den egna underrättelseverksamheten genom signalspaning. Det ger också kunskaper för utveckling och certifiering av IT-program och produkter. Sådan kunskap bör kunna användas till skydd för samhällsviktiga system. Utredningens redovisning och förslag i detta delbetänkande är avsett att kunna ligga till grund för fortsatt informationssäkerhetsarbete och för en sammanhållen politik på området. Flera av de övervägan- den och förslag som redovisas har även konsekvenser för hur staten fördelar sina resurser och organiserar den egna verksamheten. Utredningen återkommer till dessa frågor i sitt slutbetänkande . 1.Förslag till förordning (0000:000) om vissa åtgärder för informationssäkerhet hos staten Härigenom föreskrivs följande: 1 § I denna förordning ges bestämmelser om vissa åtgärder för att säkerställa administrativ och teknisk informationssäkerhet hos statliga myndigheter under regeringen. Bestämmelserna i denna förordning skall tillämpas bara om något annat inte följer av lag eller annan förordning. 2 § Med administrativ och teknisk informationssäkerhet avses i denna förordning säkerhet vid hantering av elektroniska system för bearbetning, lagring och överföring av information, för att i den elektroniska hanteringen säkerställa informationens konfidentialitet, okränkbarhet och tillgänglighet. 3 § En myndighet skall säkerställa den administrativa och tekniska informationssäkerheten genom att vidta de administrativa och tekniska åtgärder som anges i 4–8 §§. Regeringen kan besluta att de myndigheter som anges i bilagan till denna förordning skall tillämpa särskilda säkerhetskrav utöver de grundkrav som anges i förordningen. 4 § Myndigheten skall upprätta riktlinjer för informationssäker- heten och en årlig plan för administrativa och tekniska åtgärder inom myndigheten för att säkerställa att ställda krav på informations- säkerhet uppnås. Planen skall utformas med hänsyn till övriga krav som ställs i verksamheten. Planen skall innehålla en redovisning av de system- specifika säkerhetskrav som utarbetas av myndigheten för driften av IT-system. Redovisningen av systemspecifika säkerhetskrav skall vara fullständig och tydlig samt ange de säkerhetsprinciper som skall följas och vilka detaljerade säkerhetskrav som skall uppfyllas. Planen skall även innehålla en översikt över de åtgärder som genomförts enligt 5–8 §§. 5 § Hos myndigheten skall det finnas en informationssäkerhets- ansvarig som utövar kontroll över informationssäkerheten. Den informationssäkerhetsansvarige skall i dessa frågor vara direkt underställd myndighetens chef. Det skall finnas ersättare för den informationssäkerhetsansvarige. 6 § Tillgång till viss utrustning eller information som är specifik för systemens säkerhet skall kräva särskild behörighet. 7 § Myndigheten skall se till att personal med arbetsuppgifter där hantering av elektroniska system för bearbetning, lagring och över- föring av information ingår får utbildning om informationssäkerhet. 8 § Myndigheten svarar för att tekniska åtgärder vidtas så att sådan utrustning m.m. som används för, eller stödjer användandet av, system vid elektronisk bearbetning, lagring och överföring av information uppfyller grundläggande krav på informationssäkerhet. Myndigheten svarar även för att kraven på informationssäkerheten kan upprätthållas då utomstående anlitas för tjänster som rör myn- dighetens informations- och kommunikationssystem. För myndigheter som anges i bilagan till denna förordning kan enligt 3 § andra stycket därutöver gälla särskilda krav på tekniska åtgärder. 9 § Informationssäkerheten enligt denna förordning skall kon- trolleras av den myndighet som regeringen bestämmer.