sou · GTB371 · 2006-01-01 00:00:00 — Utredningen föreslog att staten bör tydliggöra sin egen uppgift och utpeka en myndighet med sammanhållande ansvar. Denna myndighet skulle då kunna tjäna som ingång för samverkan med privata aktörer, liksom med kommuner och landsting. 3.3.1Utredningens kommentarer och förslag till fortsatt samverkan Genom tidigare betänkanden har utredningen visat att det finns sammanfallande problem och behov inom privat och offentlig sektor. Några av dessa områden kan vara utbildning, FoU och kompetensförsörjning. Detta är områden inom vilka både privat och offentlig sektor är beroende av funktionaliteten. Den privata sektorn kan dessutom bidra med olika tekniska lösningar. Utredningen anser att det finns anledning att samverka kring dessa, inte minst av praktiska skäl. Utredningen har vidare i sitt senaste delbetänkande konstaterat att det inte finns någon definitiv lösning på problemet med informationssäkerhet. En väl förankrad samverkansprocess skulle dock kunna lära oss leva med problemen. Den nu genomförda dialogen visar enligt utredningen att det dessutom finns problemställningar, som är av sådan art, att ingen av aktörerna ensam kan leverera lösningar. Följaktligen finns ett behov av att samverka för att identifiera och komma närmare lösningar på dessa. Det finns dessutom skäl att söka samverkan kring de prioriteringar som måste göras mellan olika problem och sektorer, i syfte att utnyttja tillgänglig kompetens och resurser på ett optimalt sätt. Utredningens slutsats är att det finns en vilja till samverkan mellan aktörer i privat och offentlig sektor. Det är också utredningens uppfattning att näringslivet har ett intresse av att det finns adekvat utbildning, forskning och regelverk på informationssäkerhetsområdet. Den privata sidan kan bidra med tekniska lösningar, och samhällets behov utgör en marknad för näringslivets aktörer. Det finns således en ömsesidig nytta i detta gemensamma intresse. Initiativet att bilda ett självständigt samverkansorgan bör därför tas tillvara av stat, kommuner och landsting. Utgångspunkter för organisation av informationssäkerhetsarbetet Ett sådant organ bör enligt utredningens mening ha till uppgift dels att medverka till att öka medvetenheten i informations- säkerhetsfrågor, dels att ge underlag för en optimal riskhantering hos alla aktörer. De juridiska formerna för detta samverkansorgan bör diskuteras vidare. Enligt utredningens mening är det viktigt att verksamheten bedrivs som ett öppet forum, där delägarskap kan breddas till alla relevanta aktörer. En första uppgift för samverkansorganet bör vara att identifiera de frågor som intressenterna anser är av gemensamt intresse och som inte kan lösas av en enskild aktör på egen hand. Andra frågor som kan behandlas är möjligheter till förbättringar av incidentrapportering med mera, samt implementering av standarder på informationssäkerhetsområdet. Slutligen bör samverkan kunna utvecklas kring frågeställningar som rör rådgivning, FoU samt kompetensförsörjning och erfarenhetsutbyte. Utredningen föreslår att det redovisade samverkansinitiativet tas tillvara och att staten omgående utser en utredare eller förhandlare som, i avvaktan på regeringens ställningstagande till utredningens övriga förslag, kan medverka till att skapa ett bättre underlag för ställningstagande till statens samverkan med andra aktörer inom informationssäkerhetsområdet samt klarlägga intresse och möjligheter för samverkan med kommuner och landsting i dessa frågor. Utredningen har tidigare pekat på att flera olika aktörer i den sektorsuppdelade statliga verksamheten behöver vidta åtgärder för att samhällets informationssäkerhet kontinuerligt skall förbättras. Därtill kommer ansvarsprincipen, likhetsprincipen och närhetsprincipen som ger varje myndighet ansvar för sin egen informationssäkerhet under normala omständigheter likväl som under påfrestningar och kris. På grund av informationssäkerhetens tvärsektoriella karaktär kan det vara svårt för den enskilda myndigheten att se sin respektive deluppgift i förhållande till samhällets övergripande informationssäkerhetsarbete. Utredningen resonerade i sitt tredje delbetänkande, Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42) kring möjligheterna att formulera en målstruktur för Utgångspunkter för organisation av informationssäkerhetsarbetet informationssäkerhet för att målsättningarna för olika verksamheters informationssäkerhetsarbete på ett effektivt sätt skall kunna samordnas. Utredningen förordade att informations- säkerhet, på grund av att det är en fråga som berör flera verksamheter, bör ses som ett verksamhetsområde, ingående i flera politikområden. Mål för informationssäkerhet bör även formuleras för samhällsviktig verksamhet, oberoende av om verksamheten drivs i statlig, eller privat regi. En målstruktur för informationssäkerhet ökar myndigheternas möjligheter att se sina respektive uppgifter i ett större sammanhang genom att de myndighetsspecifika prestationsmålen är logiskt spårbara till överordnade mål och operativa prestationsmål. På verksamhetsområdesnivå bör finnas mål för samhällsviktiga verksamheter. Operativa mål, eller prestationsmål, med ett genomförande bör formuleras för nivån verksamhetsgren. En tydlig målstruktur för informationssäkerhet skulle på ett klarare sätt peka ut ansvarig inom . Att lägga det övergripande ansvaret för den nationella informationssäkerheten under ett statsråd skulle av samtliga aktörer uppfattas som en politisk markering av att frågan har hög prioritet. 3.5Utredningens slutsatser om utgångspunkter för organisation av informationssäkerhetsarbetet Flera av de utgångspunkter som utredningen lyfter fram kan var och en ensam läggas till grund för val av organisation, med olika resultat beroende på vilka prioriteringar eller särintressen som styr valet. Den helhetssyn som enligt utredningen bör styra även valet av organisationslösning (och fördelningen av ansvar och befogenheter inom staten) måste med nödvändighet bygga på en sammanjämkning av flera av de grundläggande frågeställningar som utredningen lyfter fram. Tre principer för organisation av informationssäkerhetsarbetet föreslås. Den första följer ansvarsprincipen. Den andra syftar till att tillgodose gemensamma behov inom staten. Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället. Mot denna bakgrund är utredningens första slutsats att det måste ligga inom varje myndighets ansvar att inom sitt område Utgångspunkter för organisation av informationssäkerhetsarbetet svara för informationssäkerheten i den egna verksamheten och i kontakt med de aktörer som berörs av myndighetens verksamhet, vilket följer av ansvarsprincipen. Ansvar, befogenheter och skyldigheter bör förtydligas i berörda myndigheters instruktioner och i regleringsbrev. Föreskrifter bör utarbetas till den av utredningen föreslagna förordningen om vissa åtgärder för informationssäkerhet hos staten. Utredningen föreslår att informationssäkerhetsarbetet bör organiseras så att kraftsamling kan ske på administrativa respektive tekniska frågeställningar. Utredningens andra slutsats är därför att gemensamma behov inom staten och tvärsektoriella frågeställningar i hela samhället bör samlas under en myndighet för administrativa funktioner respektive en myndighet för tekniska funktioner. Utredningens tredje slutsats är att några myndigheter bör, inom ramen för sina nuvarande ansvarsområden, ges utökade uppgifter och resurser för att öka möjligheterna till förebyggande arbete, rådgivning med mera. Utredningen har visat att det finns problemställningar, som är av sådan art, att ingen av samhällets aktörer ensamt kan lösa dem. En fjärde slutsats är därför att en samverkan mellan det privata och det offentliga bör utvecklas på informationssäkerhetsområdet. Slutligen framhåller utredningen regeringens ledande och samordnande roll. Utredningens femte slutsats är att denna roll i informationssäkerhetsarbetet förutsätter en tydlig arbetsfördelning och organisation inom . En sammanhållande målstruktur bör tas fram, som även fångar in frågeställningarna om gemensamma och tvärsektoriella problem. 4Organisatoriska konsekvenser av utredningens förslag I kapitlet beskrivs de organisatoriska konsekvenserna av den strategi och de förslag som utredningen redovisat i tidigare betänkande Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), och i tidigare kapitel i detta betänkande. Med organisatoriska konsekvenser avses en förändrad myndighetsstruktur eller ansvars- och uppgifts- fördelning mellan olika organ. I tidigare betänkanden har utredningen pekat på ett antal förhållanden och synsätt som kan vara vägledande för informationssäkerhetsarbetet. Några av dessa är särskilt viktiga för val av organisation inom staten: 1.Informationssäkerhet omfattar hela samhället och frågeställningen är därför vidare än totalförsvarets behov. 2.Det finns ett behov att kraftsamla och att tydligare fokusera den statliga verksamheten nationellt, inom EU och internationellt. 3.Alla statliga aktörer måste, inom ramen för sitt respektive sektorsansvar, medverka till förmågan att förebygga, förbereda inför, förhindra, upptäcka, hantera och ingripa vid störningar. 4.Ansvaret för förmågan i den statliga kärnverksamheten, liksom för säkerheten i samhällsviktiga verksamheter, måste tydliggöras. Vissa gemensamma behov förutsätter bättre samordning inom staten och i samverkan med andra, icke-statliga aktörer. 5.Kompetensen och förmågan att hantera tvärsektoriella frågor måste säkerställas inom informationssäkerhetsområdet. Organisatoriska konsekvenser av utredningens förslag Utredningen har identifierat tre organisationsprinciper som grund för sina slutsatser. Den första organisationsprincipen följer av ansvarsprincipen. Detta innebär att varje sektorsmyndighet har ansvaret för utvecklingen av informationssäkerheten inom sitt ansvarsområde och de aktörer som berörs av myndighetens verksamhet. I syfte att tydliggöra omfattningen delbetänkandet Säker information – förslag till informationssäkerhetspolitik av detta ökade ansvar har utredningen i det tredje (2005:42), lämnat ett förslag till förordning om vissa åtgärder för informationssäkerhet i den statliga verksamheten. Inom några områden finns det enligt utredningens mening anledning att ytterligare tydliggöra och förstärka detta ansvar och uppdrag. Post- och () utökade ansvar och befogenheter inom området elektronisk kommunikation är ett sådant exempel. samverkan med aktörer inom finansmarknaden är ett annat. I andra fall kan det handla om att ge ökad prioritet och lyfta upp säkerhetsfrågorna i berörda myndigheters verksamhet och förstärka insatserna, till exempel inom energi- och transportsektorerna. Den andra organisationsprincipen avser att tillgodose sådana behov som är gemensamma i den statliga verksamheten. Detta handlar framför allt om att uppnå en bättre samordning inom staten i administrativa och tekniska sammanhang. Den tredje organisationsprincipen syftar till att säkerställa kompetens och förmåga att hantera tvärsektoriella frågeställningar i hela samhället, vare sig det handlar om att kunna hantera och ingripa vid störningar eller att ge underlag för förebyggande arbete hos alla aktörer. Grundläggande för utredningsförslagen är också avsikten att skapa ett tydligare helhetsansvar för de frågor som rör informationssäkerhet och som kan ge underlag för en mer sammanhållen informationssäkerhetspolitik. Även om informationssäkerhet bör vara en naturligt integrerad del i alla informationssystem, offentliga såväl som enskilda, bör det på grund av informationsteknikens övergripande natur finnas en aktör på policynivå som inriktar, leder och samordnar det nationella informationssäkerhetsarbetet. Eftersom kravet på teknisk kompetens måste ställas mycket högt såväl i det förebyggande och operativa arbetet som i tillsynen av informationssäkerhet, bör det också finnas en aktör på teknisk nivå som leder och samordnar den tekniska delen av informationssäkerhetsarbetet. Organisatoriska konsekvenser av utredningens förslag Ansvaret för policyfrågor och den administrativa funktionen, liksom ansvaret för den tekniska funktionen skulle kunna samlas i en central myndighet för informationssäkerhet. Utredningen har dock stannat för att föreslå att () förstärks och ges samordningsansvaret för policy och administrativ informationssäkerhet. Samordningsansvaret för den tekniska informationssäkerheten föreslås läggas på en nybildad myndighet med ansvar för signalunderrättelser, signalskydd och hög teknikkompetens. Denna nya myndighet föreslås i huvudsak bygga på den kompetens som finns inom () men med utökat ansvarsområde och förstärkta resurser. och Den föreslagna förändringen motiverar också ett nytt namn som bättre återspeglar dess uppgifter än vad namnet gör. Utredningen föreslår namnet och teknisk informationssäkerhet (IST). Motivet för uppdelning på två myndigheter med samordningsansvar för olika delar av informationssäkerheten är framför allt att det är rationellt och ger utrymme för synergieffekter med dessa myndigheters övriga ansvarsområden. Det bör också ge underlag för en bättre sammanhållen informationssäkerhetspolitik. Detta förutsätter dock ett välutvecklat löpande samarbete mellan de båda samordningsansvariga myndigheterna, liksom mellan dessa och andra myndigheter, näringslivet, och andra aktörer som har uppgifter och behov på informationssäkerhetens område. Utredningens förslag kommer att få vissa konsekvenser för berörda myndigheters personal. I flera fall föreslår utredningen en förstärkning av kompetens och bemanning. De medel som anslagits som projektmedel för informationssäkerhet via den så kallade civila ramen föreslås omvandlas till ordinarie anslagsmedel. Det innebär en markering av att myndighets- organisationen för informationssäkerhet får en permanent karaktär, efter de inledande årens mera projektinriktade uppbyggnadsperiod. Det utökade ansvaret för informationssäkerhet som utredningen föreslår bör också återspeglas i organisation och bemanning på ledningsnivå i de båda myndigheter som föreslås få samordningsansvar. Utredningen har tagit del av FOI:s rapport för utvärdering av uppgiftsfördelning inom informationssäkerhets- området,39 som utarbetats för utredningens räkning Därutöver har 39 , 2004, Underlag för utvärdering av uppgiftsfördelning inom informationssäkerhetsområdet, FOI-R-1369-SE. Organisatoriska konsekvenser av utredningens förslag utredningen haft en rad kontakter med berörda myndigheter och representanter för näringslivet. Det är bland annat mot bakgrund härav som utredningen har formulerat de organisatoriska förslag som redovisas i föreliggande kapitel. Utredningstiden för det organisatoriska betänkandet har varit kort. Även om de organisatoriska slutsatserna utgår ifrån den strategi, de principer och de uppgifter som följer av tidigare betänkanden finns det anledning att påpeka detta. Det innebär att förslaget, vad gäller bemanning och resursinsatser, kan behöva värderas i detalj efter remissbehandlingen av betänkandet. Regering och riksdag har tidigare med anledning av propositionen Fortsatt förnyelse av totalförsvaret (prop. 2001/02:10) och propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158, bet 2001/02:FöU10, rskr 2001/02:261), fattat beslut om en rad åtgärder inom IT-säkerhetsområdet. Syftet med dessa åtgärder var att öka samhällets förmåga att förebygga, upptäcka och motverka dataintrång, datavirusspridning, manipulering av information eller programvaror samt andra händelser som hotade informationssäkerheten. Som en särskilt allvarlig form bedömdes samordnade åtgärder för att nå ekonomiska, politiska eller militära mål genom att påverka eller utnyttja en motståndares IT-system och informationen som lagras i dessa. Informationssäkerhet betraktades som en väsentlig del i arbetet med att minska sårbarheten i samhället. Hoten mot IT-systemen bedömdes som ett globalt problem. Riksdagsbesluten innebar att nya IT-säkerhetsfunktioner inrättades inom vissa områden. En omvärldsanalysfunktion inrättades vid KBM med inriktning på kvalificerade IT-hot, en teknikkompetensfunktion inrättades vid FRA och en IT-incidentrapporteringsfunktion vid PTS. Dessutom beslöts att ett system för säkerhetsinriktad evaluering och certifiering av IT-produkter skulle inrättas vid (). Propositionerna innebar en väsentlig ambitionshöjning inom IT- säkerhetsområdet. Ökade resurser för verksamheten har tillförts i första hand genom årliga projektmedel ur KBM:s så kallade civila ram. Organisatoriska konsekvenser av utredningens förslag 4.3Utredningens förslag till administrativa funktioner Informationstekniken är tvärsektoriell och berör i princip alla aktörer i samhället. utgör den ett eget område eller en dimension i vilken det är möjligt att agera – till exempel att informera, bedriva handel, kommunicera, roa sig, begå brott eller skada samhällsviktig verksamhet. Ett förutseende, tydligt och kommunicerat nationellt informationssäkerhetsarbete skapar förtroende för IT, vilket främjar en ökad användning av IT och bidrar till att behålla och utveckla roll som en ledande IT- nation. Av hänsyn till informationsteknikens övergripande natur behövs en utpekad aktör på policynivå som inriktar, leder och samordnar det nationella informationssäkerhetsarbetet. Utredningen föreslår att KBM ges denna roll. I policyansvaret ligger att förvalta och utveckla den nationella informationssäkerhetsstrategin, att samordna informationssäkerhetsarbetet mellan samhällets aktörer, att under regeringen inrikta samhällets informationssäkerhetsarbete, att utgöra samhällets kontaktpunkt för informationssäkerhet och att under regeringen utgöra internationell kontaktpunkt genom att samordna och företräda i internationell samverkan där det bedöms lämpligt och där inte andra myndigheter är utpekade. En dialog med liknande utländska myndigheter eller organisationer bidrar till helhetsbilden och ett kritiskt förhållningssätt till det sätt som informationssäkerhetsarbetet och skyddet av samhällsviktig infrastruktur i bedrivs. Att en statlig aktör på policyområdet utgör kontaktpunkt, när det inte finns etablerade samarbeten, underlättar och förbättrar internationell samverkan kring dessa frågor. En utpekad kontaktpunkt underlättar för utländska aktörer och ökar möjligheten att relevanta frågeställningar eller information fångas upp, respektive slussas vidare till rätt aktör i samhället. En uppgift bör också vara att säkerställa att alla myndigheters internationella erfarenheter inom området informationssäkerhet tas till vara. Också nationellt har utpekandet av en samordnande myndighet betydelse för allmänhet, näringsliv, kommuner etc. Det underlättar för samtliga aktörer i samhället om de i policyfrågor kan vända sig till en myndighet med frågor som rör informationssäkerhet eller Organisatoriska konsekvenser av utredningens förslag skyddet av samhällsviktig infrastruktur. Syftet med en utpekad myndighet är att underlätta för utomstående och att uppmärksamma och samordna nya frågeställningar. Detta innebär i sig inget avsteg från ansvarsprincipen eftersom genomförandet av specifika uppgifter även fortsättningsvis ligger hos direkt ansvariga sektorsmyndigheter. KBM:s nuvarande mandat att ha ett sammanhållande myndighetsansvar har inom området informationssäkerhet visat sig vara otillräckligt. Erfarenheterna har visat att övriga myndigheter i flera fall endast försett KBM med den information de själva ansett lämplig och endast i begränsad utsträckning medverkat i en samordning mellan myndigheterna. Mandatet bör därför stärkas till att bli samordnande och att ansvaret för förebyggande åtgärder på bredden i samhället förtydligas. KBM kan utgöra en neutral part genom att myndigheten inte har direkt kontroll- och tillsynsansvar och inte är en del av underrättelse-, säkerhets- eller polisorganisationerna. Detta är enligt internationella erfarenheter en fördel, inte minst i dialogen med näringslivet och andra icke- statliga aktörer. Informationssäkerhet måste på grund av sin komplexa natur hanteras som ett eget kompetensområde som det måste integreras med andra säkerhetsaspekter. Det finns, inte minst på grund av införandet av allt fler myndighetsövergripande IT-system, behov av att etablera en gemensam grundläggande säkerhetsnivå för system som stöder samhällsviktig verksamhet, kopplat till den förordning utredningen föreslagit.40 KBM bör i sin roll som policymyndighet ges möjlighet att ge ut föreskrifter om en grundläggande säkerhetsnivå med stöd av en sådan förordning. Nära samverkan måste härvidlag etableras med sektorsansvariga myndigheter med egen föreskriftsrätt, exempelvis PTS, samt Säkerhetspolisen. Den av utredningen föreslagna förordningen är avfattad så att den är subsidiär, det vill säga andra förordningar har företräde när konflikt uppstår.41 Även revision och tillsyn av föreskrifterna måste utvecklas. Detta bör dock genomföras av andra aktörer än KBM, exempelvis av 40Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), s. 31 ff. 41Förslag till förordning om vissa åtgärder för informationssäkerheten hos staten, 1 § 2st. Organisatoriska konsekvenser av utredningens förslag Statskontoret i en ny roll. Statskontorets verksamhet är föremål för omorganisation och det råder osäkerhet om myndighetens framtida konstitution. Utredningen avstår därför från att lägga förslag som berör myndigheten. Det är också viktigt att tillsyn och kontroll utformas så att den sker utifrån ett helhetsperspektiv och inte begränsas till att endast avse hanteringen av information av betydelse för rikets säkerhet, vilket är Säkerhetspolisens ansvar. Det är dock angeläget att ansvarsfördelningen mellan KBM och den myndighet som efterträder Statskontoret tydliggörs, vad avser övriga uppgifter inom informationssäkerhetsområdet. KBM bör också tillsammans med den föreslagna nya myndigheten, IST, inrikta och leda den verksamhet som skall stödja samhället när det gäller behovet av kryptografiska funktioner. En viktig del i detta är att möjliggöra för regeringen och myndigheter att samverka på ett säkert sätt med gemensamma metoder som säkerhetsgranskats och godkänts. KBM bör svara för policynivån och bemyndigas att ge ut erforderliga föreskrifter och rekommendationer för signalskyddsverksamheten. KBM bör även bemyndigas att ha ansvaret för administrativt godkännande av signalskyddssystem. Uppgiften som signatär inom ramen för CCRA (Common Criteria Recognition Arrangement) föreslås överföras från Swedac till KBM (se avsnitt 4.5.2). KBM:s föreslagna ansvar för föreskrifter inom området informationssäkerhet sammanfaller i vissa delar med föreskriftsrätten för . Nämnden upphör och dess föreskriftsrätt vad avser informationssäkerhet bör överföras till KBM. Helhetsbilden utgör en gemensam kartbild av verkligheten. Utifrån denna bör de ingående delarna i ett nationellt informationssäkerhetssamarbete inriktas, ledas och samordnas. kan de ingående delarna löpande bidra till att utveckla helhetsbilden. Det är utifrån en samlad helhetsbild som det går att göra rätt prioritering av insatser och säkerhetskrav samt att rätt identifiera nya problemområden. KBM sammanställer en helhetsbild genom sitt utpekade ansvar för omvärldsanalys från öppna källor och underlag från Organisatoriska konsekvenser av utredningens förslag sektorsansvariga myndigheter samt genom samverkan med olika samhällsaktörer, inklusive underrättelse- och säkerhetsmyndigheter samt näringsliv. Denna kan i en förändrad organisation utvecklas ytterligare, bland annat genom att KBM får en förbättrad tillgång till underrättelserapporter. avrapporteras helhetsbilden avseende samhällets informationssäkerhet bland annat genom den årliga lägesbedömningen samt utifrån perspektivet samhällsviktig infrastruktur genom den årliga hot- och riskrapporten.