sou · GTB342 · 2006-01-01 00:00:00 — Behov av strategi och konkreta åtgärder För att kunna genomföra intentionen i den nationella strategin bör ytterligare åtgärder föreslås. En springande punkt i de åtgärder som bör vidtas är att öka förtroendet för IT. Detta kan ske genom att öka kunskaperna om de risker och hot som finns samt vilka åtgärder som kan vidtas. Utredningen anser att dessa åtgärder måste ske på en bred front. Det gäller att öka kunnandet i alla delar av samhället. Utredningen konstaterar att staten behöver egen och unik kom- petens. Dels har staten krav på sig att ta ansvar för samhället oavsett konjunkturer och dels har staten det yttersta ansvaret för den nationella säkerheten, vilket ställer särskilda krav. Det krävs ömsesidigt informationsutbyte och samarbete mellan den offentliga sektorn och näringslivet. Utredningen konstaterar att inte har tillräckliga resurser för att bygga dubbla strukturer. Utredningen konstaterar att det behövs bättre rutiner att tillvara den information som finns i underrättelseorganen. Dessa myndigheter har en unik kompetens och använder sig av unika metoder, men det måste säkerställas att den information de in- hämtar inte stannar hos dem. Metoder för delgivning bör utvecklas för att kunna ge en helhetsbild av de risker och hot som finns inom IT-världen. Utredningen anser att det bör finnas en funktion för analys av de incidenter som förekommer, för att vi ska kunna dra slutsatser av dessa. Det bör också finnas en responsfunktion. Hur dessa funk- tioner skall organiseras kommer utredningen att återkomma till i slutbetänkandet. 5 Den internationella dimensionen 5.1Inledande kommentar om säkerhetsproblemets internationella dimension Då enskilda användare i allt högre utsträckning är beroende av sammankopplade lokala och globala informationssystem och kom- munikationsnät, är ansvaret för säkerheten i dessa av central betydelse. Mycket av det arbete som genomförs inom EU syftar därför till att öka nät- och informationssäkerheten och stärker därigenom integriteten och ökar tillgängligheten. Detta är viktigt för tillväxten, konkurrensen och utvecklingen av demokratin. bedriver utvecklingsarbete inom ramen för sina olika kom- mittéer. Länderna har också enats om riktlinjer för nät- och informationssäkerhet, vars syfte är att etablera en säkerhetskultur på området. Att bekämpa hoten mot informationssystemen är inte bara en svensk angelägenhet, utan är av global natur. Därför krävs inter- nationell samverkan, både i fråga om underrättelseinhämtning och brottsbekämpning. I kapitel 4 redovisas vissa utgångspunkter för hur den nationella strategin kan utvecklas. Enligt utredningens mening kan dock nationella problemen inte lösas enbart med nationella medel. Det går heller inte alltid att med nationell reglering komma åt problem- källorna, då dessa ofta har en internationell bakgrund. Det borde således inte vara någon större nyhet att även utredningen ansluter sig till detta synsätt, det vill säga att informationssäkerheten har en internationell dimension. Svenska intressen på informationssäker- hetsområdet måste därför också bevakas så att säga utomlands. En stor del av internationella samarbete inom informa- tionssäkerhetsområdet, sker i olika bilaterala former. Flera myndig- heter har mycket viktiga kontakter med motsvarande myndigheter i andra länder, inom och utom EU. Samarbete finns inom flera områden från de rent tekniska frågorna till mer övergripande policyfrågor. Utredningen kan konstatera att sedan publicerandet av det andra delbetänkandet har arbetet med informationssäkerhet gått framåt inom flera olika områden inom EU. Det internationella utbytet på informationssäkerhetsområdet från svenskt håll har dock varit splittrat och inte i tillräcklig utsträckning samordnat på nationell nivå. För att skall ha fortsatt gott genomslag inom området måste även det internationella utbytet samordnas, precis som svenska ställningstaganden i policyfrågor. Utredningen har uppdragit åt KBM att göra jämförelser med hur andra länder har hanterat informationssäkerhetsfrågorna, bland annat olik sätt att organisera säkerhetsarbetet. Utredningen avser därför att återkomma till dessa frågor i slutbetänkandet . Utredningen kunde redan i sitt andra delbetänkande konstatera att det inom EU sker ett arbete där medlemsländerna närmar sig varandra både vad gäller lagstiftning och vad gäller synen på och hanteringen av informationssäkerhetsproblematiken. De olika dimensionerna av detta arbete har även berörts ovan i avsnitt 1.5. Arbetet sker huvudsakligen i medlemsländernas intresse men EU som organisation har också ett eget intresse av att skydda sin sekretessbelagda information. De flesta initiativ med koppling till informationssäkerhet, som tagits inom EU, faller inom det som kallas EU:s första pelare (den Europeiska Gemenskapen) och tredje pelare (rättsliga- och inrikes frågor). Endast i liten utsträck- ning hittar man initiativ inom den andra pelaren (den gemensamma utrikes- och säkerhetspolitiken). Utgångspunkten för de informa- tionssäkerhetsrelaterade projekten synes främst vara främjande av handeln, och i förlängningen att alla i medlemsländerna skall ha tillgång till informationstekniken och ha IT-kompetens. En sådan ambition förutsätter implicit en ökad grad av nät- och informa- tionssäkerhet. Projektet e-Europa presenterades av kommissionen och kan ses som ett ramverk för IT-utvecklingen inom EU. De säkerhetsrelaterade aspekterna som sprungit ur projektet har sin utgångspunkt i bland annat behovet av att bygga förtroende för den elektroniska handeln, inklusive införandet av smarta kort. Bland åtgärderna återfanns bland annat olika former av certifiering och stimulerandet av privat-offentligt samarbete kring pålitliga nät. Även kampen mot högteknologisk brottslighet inom unionens tredje pelare kan anföras som en åtgärd för att stärka förtroendet för nyttjandet av Internet för varor och tjänster. har unionen som ett självständigt mål att skapa ett område med frihet, säkerhet och rättvisa. Åtgärder mot all brottslighet, inklusive IT- relaterad sådan, är en viktig del. Utredningen gjorde i sitt andra delbetänkande en översiktlig redogörelse för det arbete som har bedrivits inom EU på informa- tionssäkerhetsområdet . Utredningen kan konstatera att sedan publicerandet av det delbetänkandet har arbetet med informationssäkerhet gått framåt inom flera olika områden. finns Europeiska nät- och informationssäkerhetsbyrån () som behandlar informationssäkerhetsfrågor. På integritets- området diskuteras bland annat frågan om uppgiftsskyddsombud och deras uppgifter. Kommissionen har vid ett flertal tillfällen åter- kommit till frågan om elektroniska signaturer, bland annat vid halvtidsöversynen av e-Europa 2005 och vid uppdateringen av handlingsplanen för samma projekt. I kampen mot IT-brottslig- heten har rådet antagit ett rambeslut med syftet att tillnärma med- lemsstaternas strafflagstiftning när det gäller angrepp mot informa- tionssystem. förhandlas ett rambeslut som syftar till att tillse att uppgifter om Internet- och teletrafik - vilka uppkopplingar som stått i förbindelse med varandra - bevaras för att finnas tillgängliga för brottsbekämpande myndigheter vid utredningar av brott. Utredningen konstaterade i sitt andra delbetänkande att inter- nationellt utbyte på informationssäkerhetsområdet från svenskt håll har varit splittrat och inte i tillräcklig utsträckning samordnat på nationell nivå. För att skall ha fortsatt gott genomslag inom området måste även det internationella utbytet samordnas, precis som svenska ställningstaganden i policyfrågor. Mycket av vad som pågår inom EU med bäring på informations- säkerheten är av policykaraktär och rör till exempel tillnärmning av medlemsstaternas lagstiftning. att nämnas är dock även de initiativ inom EU som rör mer operativ samverkan. Inom första pelaren finns framför allt som skall främja gemenskapens, medlemsstaternas, och som en följd av detta, näringslivets förmåga att förhindra och lösa problem som rör nät- och informations- säkerhet. På tredje pelarens område finns Europol, där medlems- staterna samverkat i kampen mot bland annat IT-rela- terad brottslighet. Det under generalsekretariatet placerade gemen- samma situationscentret, SITCEN, har ett mandat att analysera underrättelser och öppen information i syfte att stödja generalsekre- tariatet. förde upp frågan om informationssäkerhet på EU:s dag- ordning under det svenska ordförandeskapet. I Europeiska rådets slutsatser från mötet i den 23–framgick det att rådet tillsammans med kommissionen skulle utarbeta en övergripande strategi för säkerheten när det gäller elektroniska nät- verk tillsammans med praktiska åtgärder för genomförande. Detta bör läggas fram inför Europeiska rådets möte i . Meddelandet Nät- och informationssäkerhet: förslag till en euro- peisk strategi är kommissionens svar på denna uppmaning. Kommissionens meddelande beskriver de hot som finns mot elek- troniska nätverk och informationssystem och föreslår en strategi och en rad åtgärder för hur man på europeisk nivå skall komma tillrätta med dessa problem. Kommissionens meddelande följdes även av två resolutioner om informationssäkerhet: om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet (EUT C43 28.1.2002, s. 2) samt om en europeisk strategi för nät- och informa- tionssäkerhet (EUT C48, , s. 1). I resolutionen välkomnade medlemsstaterna kommissionens förslag att inrätta en specialgrupp om informa- tionssäkerhet. Som en följd av detta presenterade kommissionen förslaget som efter förhandlingar i rådet och ledde till förordningen om . skall ha som mål att förbättra gemenskapens, medlemsstaternas och näringslivets förmåga att förhindra, ta i tu med och lösa problem som rör nät- och informationssäkerhet, att ge stöd och råd till kommissionen och medlemsstaterna i frågor om nät- och informationssäkerhet, att utveckla – på grundval av såväl nationella insatser som gemen- skapsinsatser – en hög nivå av sakkunskap och utnyttja denna till att främja ett brett samarbete mellan offentliga och privata aktörer, att bistå kommissionen i det tekniska förberedelsearbetet för uppdatering och utveckling av gemenskapslagstiftningen på området nät- och informationssäkerhet. För att åstadkomma detta ges byrån bland annat följande uppgifter: Samla in lämplig information för analys av befintliga och nya risker. Ge EU:s institutioner råd inom byråns verksamhetsområde. Förbättra samarbetet mellan olika aktörer inom nät- och infor- mationssäkerhetsområdet (näringsliv, akademi, offentliga etc.). Underlätta samarbetet mellan kommissionen och medlemsstaterna för att utveckla gemensamma metoder för att förebygga, ta itu med och reagera på problem inom nät- och informationssäker- hetsområdet. Bidra till ökad medvetenhet och sprida information om infor- mationssäkerhetsfrågor. Bistå kommissionen och medlemsstater i dialogen med industrin. Följa utvecklingen av standarder för produkter och tjänster. Ge kommissionen råd om forskning inom verksamhetsområdet. Främja åtgärder för riskbedömning, interoperabla lösningar för riskhantering etc. Byrån ges dock inte någon operativ roll utan är rådgivande. Det påpekas särskilt att den inte skall inkräkta på de nationella regleringsmyndigheternas arbetsuppgifter. Förordningen om gäller . Byrån kommer att ha 44 anställda. I styrelsen sitter representanter för medlemsstaterna, kommissionen och representan- ter för industrin, akademin och konsumentgrupper. Näringsdepar- tementet representerar i styrelsen och har bidragit med en nationell expert i startarbetet med . Svenskar finns även i den ständiga intressentgrupp som skall ge råd till byråns verkställande direktör om det årliga arbetsprogrammet. antog och rådet direktiv /46/EG om skyddet av fysiska personers grundläggande rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter samt det fria flödet av sådana uppgifter. Direktivet tog även upp behovet av säkerhet och sekretess avseende sådana uppgifters be- handling samt den registeransvariges ansvar för ett lämpligt tekniskt och organisatoriskt skydd för uppgifterna mot förstörelse, förlust, manipulering, spridning etc. Genom direktivet inrättades en arbets- grupp, den så kallade artikel 29-arbetsgruppen, som skall följa upp dataskyddsområdet och avge en rapport. Från svensk sida är Datainspektionens generaldirektör ledamot i arbetsgruppen. Direktivet har genomförts i genom antagande av den svenska person- uppgiftslagen (1998:204) som också inkluderar säkerhetsfrågorna. Efter direktiv /46/EG har ett flertal direktiv hanterat frågor såsom till exempel harmonisering av medlemsstaternas bestäm- melser för att säkra en likvärdig nivå på skyddet för de mest grund- läggande fri- och rättigheterna, i synnerhet rätten till privatliv, med avseende på behandling av personuppgifter inom telekommunika- tionsområdet (direktiv /58/EG). antog och rådet en förord- ning rörande hanterandet av personuppgifter i EU:s gemenskaps- organ (45/2001). Förordningen reglerar säkerhetsfrågor som berör såväl sekretess som säkerhet vid behandling av personuppgifter. Till exempel skall registeransvarig vidta lämpliga säkerhetsåtgärder, inte minst för att hindra obehöriga att få tillgång till datasystemen och förhindra att obehöriga läser eller manipulerar information i lagringsmedier samt för att kunna följa upp vilka som arbetat i systemet etc. Förordningen stadgar också att varje gemenskaps- institution skall ha ett uppgiftsskyddsombud samt att det på EU- nivå skall finnas en datatillsynsombudsman. Uppgiftsskyddsom- budens ansvar, uppgifter och befogenheter har, i ett ännu ej antaget utkast till rådsbeslut, specificerats närmare. Elektronisk handel och förtroendefrågor Den gemensamma marknaden är en central fråga för EU. De initiativ som berör konkurrensfrågor inom området elektroniska tjänster och elektronisk handel har ofta också en koppling till olika aspekter av nät- och informationssäkerhet. Inte minst påpekas att säkerheten på nätet har en stor betydelse för konsumenters och andra brukares förtroende för den nya tekniken. Även frågorna kring skydd av personuppgifter och utbredningen av databrottslig- het betonas. kom och rådet med ett ramdirektiv (2002/21/EG) syftande till ett harmoniserat regelverk för elektro- niska kommunikationstjänster och kommunikationsnät, tillhörande faciliteter och tjänster. Direktivet handlade framförallt om att skapa ett regelverk för ett ordnat – ur såväl ekonomisk som teknisk synvinkel – system. I ramdirektivet angavs också tillskapandet av som skall främja informationsutbytet mellan medlemsstaterna och mellan kommissionen och medlems- staterna vad avser regleringar inom det aktuella området. I kom- mittén företräds av tjänstemän från . Ramdirektivet angav också uppgifter för de nationella reglerings- myndigheterna, bland annat att de skall bidra till gott skydd för personuppgifter men också säkerställa de allmänna kommunika- tionsnätens integritet och säkerhet. Dessa regleringsmyndigheter bildade senare Europeiska gruppen för regleringsmyndigheter med uppgift att fungera som rådgivare till kommissionen och som en förmedlande länk mellan nationella regleringsmyndigheter. Svensk nationell regleringsmyndighet är . Frågor om kryptering, certifiering och smarta kort har åter- kommit i EU:s initiativ. I ett meddelande noterade kom- missionen att kryptografi är det verktyg som krävs för att garantera säkerhet och förtroende för elektronisk kommunikation, men att det inte finns någon fungerande inre marknad för detta område. Kommissionen föreslog vidare att man skulle inrätta ett ramverk på gemenskapsnivå för digitala signaturer, närmare bestämt genom att ställa upp gemensamma kriterier för certifiering, och stimulera en europeisk industri för kryptografiska tjänster och produkter. Rådets slutsatser med anledning av detta meddelande noterade betydelsen av tjänster inom området kryptering och certifiering men pekade också på känsligheten med krypterad kommunikation, inte minst då den kan utnyttjas av brottsligheten. kom kommissionen med ett förslag till direktiv där framför allt marknadsperspektivet på elektroniska signaturer berörs. Medlemsstaterna uppmanades att säkerställa integritet och data- skydd samt se till att de som tillhandahåller säkerhetscertifikat har relevanta kunskaper om säkerhetsarbetet. I bilagor angavs kriterier för krav på s.k. kvalificerade certifikat och krav på tillhandahållare av certifikattjänster. antog och rådet direktivet med vissa förändringar. Bland annat hade man lagt till att medlemsstaterna bör garantera lämplig övervakning av till- handahållare av certifikat samt utse lämpliga organ för att övervaka att anordningar för skapande av signaturer överensstämmer med fastlagda kriterier. Utöver detta hade man lagt till två bilagor: Krav på säkra anordningar för skapande av signaturer samt Rekommen- dationer för säker signaturverifiering. fastställde kom- missionen tre tekniska kravdokument enligt Common Criteria som anger IT-säkerhetskriterier för anordningar som utställer certifikat, samt på anordningar som skapar kvalificerade elektroniska signa- turer. Kommissionen har sedan återkommit till frågan om signaturer åtminstone två gånger – dels vid halvtidsöversynen av e-Europa 2005, dels vid uppdateringen av handlingsplanen för e-Europa 2005. Smarta kort nämndes i e-Europa 2002 som ett instrument för att uppnå en ökad säkerhet. publicerades också en Charter, inklusive vad som kallades Action Plan inom ramen för e-Europa 2002. Dessa ingick i ett initiativ kallat e- (eECC) som drevs gemensamt av producenter och utgivare av smarta kort, men där också kommissionen var en finansiär och intressent. Inom ramen för initiativet producerades ett dokument kallat Common Requirements och genomfördes så kallade vägbrytande verksamheter. Initiativet synes ha avslutats och möjligen kan intresset för smarta kort ha minskat. Någon referens till smarta kort har inte gått att finna i till exempel halvtidsöversik- ten av e-Europa 2005. I utredningens andra delbetänkande redogjordes för det rambeslut om angrepp mot informationssystem, som då ännu inte formellt antagits av rådet. Rambeslutet, som antogs av rådet , 2005, syftar till att tillnärma medlemsstaternas straffrättsliga lag- stiftning när det gäller angrepp mot informationssystem och där- igenom förbättra samarbetet mellan rättsliga och andra myndighe- ter. Rambeslutet innehåller bestämmelser om definitioner, olagligt intrång i informationssystem, olaglig systemstörning, olaglig data- störning, anstiftan, medhjälp och försök, påföljder och försvårande omständigheter, ansvar och påföljder för juridiska personer, behörig- het samt utbyte av personuppgifter. En promemoria som behandlar de lagändringar som krävs i med anledning av rambeslutet remissbehandlas (Ds 2005:5 EU:s rambeslut om angrepp mot informationssystem). I promemorian konstateras att straffansvaret måste utvidgas för att skall leva upp till de krav som ställs i rambeslutet. Det gäller att kriminalisera fall där en upptagning för databehandling görs obrukbar, undanskaffas eller förstörs, eller där användningen av en sådan upptagning hindras eller uppgifterna görs oåtkomliga. Kriminaliseringen innebär till exempel att så kallade tillgänglighetsattacker blir straffbara. Promemorian har remissbehandlats. Ytterligare ett rambeslut som har särskild bäring på IT-brotts- lighet är föremål för förhandling inom EU. Ram- beslutet rör lagring av Internet- och teletrafikuppgifter för brotts- bekämpningsändamål och initiativet kommer ursprungligen från fyra medlemsstater, bland dem . Bakgrunden till förslaget är terroristattentaten i , vilka föranledde EU:s stats- och regeringschefer att anta en deklaration i kampen mot terrorism i vilken man bland annat uppmanade medlemsstaterna att med prioritet behandla ett förslag om lagring av Internet- och tele- trafikuppgifter. Rambeslutet är i dess nuvarande formulering inte begränsat till att gälla enbart kampen mot terrorism. Syftet är att uppgifter om Internet- och teletrafik, i korthet uppgifter om vilka datorer eller telefoner som stått i förbindelse med varandra , skall bevaras för att de brottsbekämpande myndig- heterna skall kunna få tillgång till uppgifterna i utredningen av brott. För bekämpningen av den IT-relaterade brottsligheten, till exempel de brott som harmoniseras genom rambeslutet om angrepp mot informationssystem, skulle en sådan ordning underlätta spårande av ursprunget till exempelvis ett intrång eller ett intrångs- försök. 5.3Samverkan inom internationella organisationer IT-brottskonvention kommenterades kort i utred- ningens andra betänkande. Konventionen, som förhandlades fram och antogs 2001, företer likheter med det inom EU antagna rambeslutet om angrepp mot informationssystem, och var också en föregångare till det . Konventionen och ram- beslutet har definitioner som i allt väsentligt motsvarar varandra. Vidare föreskrivs om kriminalisering av vissa gärningar i båda instrumenten. Reglerna om ansvar och påföljder för juridiska per- soner och om jurisdiktion är också i stort sett lika i konventionen och rambeslutet. Några huvudsakliga skillnader finns dock. I ram- beslutet har man i viss mån gått längre än konventionen genom att föreskriva om påföljder och reglera försvårande omständigheter, medan konventionen å andra sidan kriminaliserar fler gärningar än rambeslutet, till exempel dataförfalskning och databedrägeri. Kon- ventionen innehåller även processrättsliga regler för säkrande av bevisning. Ett exempel är åtagandet att införa regler om skyndsamt säkrande av bevisning i elektronisk form. Till konventionen har utarbetats ett tilläggsprotokoll som behandlar frågan om ansvar för och utredning av gärningar av rasistisk och främlingsfientlig natur som begås med hjälp av datorsystem. För utredningens del är konventionen främst av intresse för de hjälpmedel den skapar för utredningen av IT-brott så som angrepp mot informationssystem. Dylika brott har inte sällan en inter- nationell koppling, som medför att det internationella samarbetet blir avgörande för en framgångsrik brottsutredning. En styrka hos konventionen i förhållande till rambeslutet är att den omfattar fler länder. Såväl som och deltog i utarbetandet av konventionen och har möjlighet att ansluta sig densamma. För utredningen av IT-brott med internationella förgreningar är det förstås av stor betydelse med ett instrument som en så stor del av världens IT-nationer kunnat enas om. Konventionen trädde i kraft och hade undertecknats av 42 stater. Ratificering hade skett i tio stater, men i flertalet medlemsstater inom som undertecknat kon- ventionen pågår arbete med att genomföra denna. I har promemorian Ds 2005:6 Brott och brottsutredning i IT-miljö ut- arbetats och är föremål för remissbehandling. I pro- memorian föreslås de lagändringar som krävs för att skall kunna ratificera konventionen och dess tilläggsprotokoll. 5.4OECD:s riktlinjer för nät- och informationssäkerhet I utredningens uppdrag ingår att beakta riktlinjer och lämna förslag till hur riktlinjerna kan implementeras i . Rikt- linjerna har därför utgjort en av utgångspunkterna för utrednings- arbetet, vilket också redovisats i avsnitt 2. riktlinjer för nät- och informationssäkerhet har som mål att främja en säkerhetskultur bland alla deltagare (användare) som ett sätt att skydda informationssystem och nät, göra deltagarna (användarna) medvetna om riskerna för infor- mationssystem och nät, om de regler, förfaranden, åtgärder och rutiner som står till buds för att ta itu med dessa risker och om nödvändigheten att införa och tillämpa dessa, främja ett ökat förtroende hos alla deltagare (användare) för informationssystem och nät och för det sätt på vilket de till- handahålls och används,