sou · GTB342 · 2006-01-01 00:00:00 — 10 § Om det vid tillsynen över informationssäkerheten enligt denna förordning framkommer brister som trots påpekande inte rättas till av den ansvariga myndigheten, skall tillsynsmyndigheten anmäla förhållandet till regeringen. 11 § Den myndighet som regeringen bestämmer skall meddela närmare föreskrifter om de administrativa och tekniska åtgärder som skall vidtas för att uppfylla grundläggande och särskilda krav på informationssäkerhet vid hantering av elektroniska system för bearbetning, lagring och överföring av information. Denna förordning träder i kraft den 2.Förslag till lag om ändring i säkerhetsskyddslagen (1996:627) Härigenom föreskrivs att 7 och 9 §§ säkerhetsskyddslagen (1996:627) skall ha följande lydelse. 7 § Säkerhetsskyddet skall förebygga 1.att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (sekretessäkerhet), 2.att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3.att personer som inte är pålitliga från säkerhetssynpunkt deltar iverksamhet som har betydelse för rikets säkerhet (säkerhetspröv- ning). Säkerhetsskyddet skall även i övrigt förebygga terrorism. 9 § Vid utformningen av sekretessäkerheten skall behovet av skydd vid automatisk informationsbehandling beaktas särskilt. Denna lag träder i kraft den ... 3.Förslag till förordning om ändring i säkerhetsskyddsförordningen (1996:633) Härigenom föreskrivs att 9 och 13 §§ säkerhetsskyddsförord- ningen (1996:633) skall ha följande lydelse: 9 § Hemliga handlingar som är av synnerlig betydelse för rikets säkerhet skall inventeras minst en gång . Andra hemliga handlingar skall inventeras i den omfattning som anges i föreskrifter enligt 45 §. 13 § Myndigheter och andra som förordningen gäller för skall, innan de sänder hemliga uppgifter i ett datanät utanför deras kon- troll, förvissa sig om att det för uppgifterna där finns fullgod sekretessäkerhet. Denna förordning träder i kraft den ... 1 Utgångspunkter för utredningen 1.1Regeringens strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT- beroende system Enligt den bedömning regeringen gjorde i proposition 2001/02:158 Samhällets säkerhet och beredskap bör den övergripande målsätt- ningen vara att upprätthålla en hög informationssäkerhet i hela samhället som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. I propositionen anfördes att strategin för att uppnå detta mål, liksom övrig krishantering i samhället, bör utgå från ansvarsprincipen, likhetsprincipen och närhetsprincipen, det vill säga att den som ansvarar för informationsbehandlingssystem även ansvarar för att systemet har den säkerhet som krävs för att systemet skall fungera tillfredsställande. En viktig roll för staten anfördes därför vara att se till hela sam- hällets behov av informationssäkerhet och vidta de åtgärder som rimligen inte kan åvila den enskilde systemägaren. Vidare borde underrättelse- och säkerhetstjänstens arbete för- stärkas för att förhindra allvarliga informationsattacker mot . Sammanfattningsvis anfördes i propositionen att strategin för informationssäkerhet staten bör komplettera med åtgärder inom vissa särskilda områden utgör ingen statisk lösning, syftet är att bygga upp kompetens och resurser kräver lagstiftningsåtgärder som behöver genomföras Beroendet av informationssystem leder till att behovet av kompe- tens ökar liksom behov av kvalificerat stöd. Regeringen ansåg mot denna bakgrund att det är angeläget att samhällsviktiga system har en hög säkerhetsnivå och att insatserna för informationssäkerheten ökas. Angrepp via informationssystem riktade mot samhället (så kallade informationsoperationer) skall förhindras och intressen inom det internationella informa- tionssäkerhetsarbetet skall främjas. Regeringen aviserade sin avsikt att inrätta fyra funktioner i syfte att förbättra informationssäkerheten. Dessa var omvärldsanalys, IT-incidenthantering, teknikkompetens, samt ett system för evaluering och certifiering. Avsikten var att uppgifterna skulle läggas på de myndigheter som redan hade näraliggande uppgifter. Den organisatoriska lösningen skulle prövas , varefter den skulle utvärderas och eventuell förändring genomföras. Det internationella engagemanget inom informationssäkerhets- området framhölls i propositionen som viktigt, inte minst på grund av områdets globala natur. Regeringen visade sitt stöd för ambi- tionen att stärka nät- och informationssäkerheten på europeisk nivå. Utredningen angående vissa frågor om informationssäkerheten i samhället () har av regeringen fått i uppdrag att lämna förslag till hur den nationella strategin för informations- säkerhetsarbetet bör utvecklas samt hur engagemang i det internationella arbetet inom informationssäkerhetsområdet skall utformas. I propositionen 2001/02:158 s. 105 Samhällets säkerhet och beredskap anmälde regeringen sin avsikt att göra en utvärdering av de bedömningar som regeringen gjorde inom informationssäker- hetsområdet. Utredaren fick i uppdrag att följa myndigheternas uppbyggnad av den informationssäkerhetsverksamhet som regeringen har givit myndigheterna i uppgift enligt propositionen. I uppdraget ingick även att lämna förslag till hur riktlinjer om säker- heten i nät- och informationssystem kan genomföras i . Det ursprungliga direktivet (dir. 2002:103) samt tilläggsdirektiven (dir. 2003:29 och 2004:46) återges i sin helhet i bilaga 1–3. Utredningens uppgifter enligt direktiv 2002:103 samt tilläggs- direktiv 2003:29 och 2004:46 kan sammanfattas som följer: Utredaren skall bedöma behovet av signalskydd i samhällsviktig verksamhet och lämna förslag på hur signalskyddsverksamheten i samhället skall utformas. Utredaren skall mot bakgrund av utveck- lingen inom informationssäkerhetsområdet föreslå hur signalskydds- tjänsten i skall vara organiserad. Utredaren skall också belysa hur signalskyddsutbildningen skall organiseras och var den skall lokaliseras. Utredaren skall lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas. Den i prop. 2001/02:158 redovisade strategin för informationssäkerhetsarbetet skall utgöra grunden. Utredaren skall utvärdera strategin och om så är befogat, föreslå ändringar. Inom vilka delar av informationssäkerhetsområdet bör staten ha ett särskilt ansvar? Hur skall informationssäkerhets- arbetet finansieras? Utredaren skall göra jämförelser med hur andra länder har hanterat informationssäkerhetsfrågan när det gäller strategi, organisation och andra förhållanden som kan vara relevanta. Utredaren skall över- väga hur det kan säkerställas att den nationella strategin för infor- mationssäkerhet möter de krav som ställs via det multinationella samarbete deltar i, främst inom EU. Utifrån en nationell strategi behöver den nuvarande samordningen av engage- mang i det internationella arbetet inom informationssäkerhets- området förändras. I sitt arbete skall utredaren beakta riktlinjer för säkerheten i nät- och informationssystem och lämna förslag till hur riktlinjerna kan genomföras i utredarens förslag. Om utredaren finner att det finns ett behov av att föreslå författ- ningsändringar skall utredaren lämna lagtekniskt genomarbetade förslag vid varje rapporteringstillfälle. Utredningen skall genomföra den utvärdering som regeringen anmälde till i propositionen prop. 2001/02:158 s. 105 Samhällets säkerhet och beredskap, vad avser de bedömningar som regeringen gjorde inom informationssäkerhetsområdet beträffande uppgiftsfördelningen. Uttolkning av utredningens uppdrag Utredningens uppgift är inte att en gång för alla lösa frågan om informationssäkerhet. Detta eftersom det inte är en fråga som har någon slutlig lösning. Eftersom utvecklingen på tekniksidan ständigt går framåt måste det i uppgiften att skapa en strategi för informa- tionssäkerhet ligga att skapa långsiktiga, flexibla förutsättningar (även för svensk förvaltning) som kan anpassas efter skiftande behov. Utredningens uppgift och ambition är att dess förslag skall utgöra ytterligare ett steg mot säkrare informationshantering. I utredningens uppgift ligger att tydliggöra de samverkansprocesser som är nödvändiga för ett effektivt informationssäkerhetsarbete, liksom att klargöra inom vilka delar av informationssäkerhets- området staten bör ha ett särskilt ansvar. Utredningen skall även besvara frågan hur informationssäkerhetsarbetet skall finansieras. Utredningens skall sammanfattningsvis utveckla regeringens strategi för informationssäkerhet ytterligare ett steg. I detta ingår att förmedla insikten att informationssäkerhetsproblematiken inte kan lösas en gång för alla utan att fokus bör läggas på att skapa processer som lär oss att leva med sårbarheter. Utredningens uppgift är också att föreslå hur förutsättningar för olika aktörer att höja sin informationssäkerhet kan grundläggas samt att föreslå medvetna satsningar på samverkansstimulerande åtgärder. I värnar vi om en rad principer som ska garantera att beslut fattas så nära den verksamhet som kommer att påverkas av beslutets innehåll som möjligt. Det gäller ända ner på individnivå, där enskilda aktörer så långt möjligt ges ett avgörande inflytande över beslut som rör deras egen välfärd. Med decentraliserat ansvar och besluts- utrymme följer också ansvar för den egna verksamheten. Det finns dock verksamheter, funktioner och situationer då enskilda företag och individer inte förmår, eller rimligen kan av- krävas, att axla detta ansvar på egen hand. I vissa fall är det nöd- vändigt att fatta kollektiva beslut och att flytta över ansvaret till offentliga organ. En diskrepans föreligger mellan vad som är rationellt handlande för en enskild och vad som är rationellt för samhället. Det finns ett flertal motiv utöver politiska överväganden till offentliga satsningar inom olika områden. Dessa har i stor utsträck- ning hämtat inspiration ur ekonomiska teorier om statens roll i samhällsekonomin. Sett ur ekonomisk synvinkel kan marknaden hävdas innehålla en del brister, till exempel över- eller underkon- sumtion och behov som marknaden inte kan tillgodose på egen hand. Här kan det vara nödvändigt för samhället, genom staten, att intervenera för att skapa balans. Försvar, rättsväsende, räddningstjänst och vissa delar av infra- strukturen är klassiska exempel på kollektiva nyttigheter. Dessa funktioner kommer alla till godo. Krishantering på samhällsnivå har i grunden samma karaktär som dessa verksamheter. Om det offentliga inte engagerar sig inom dessa områden kan man befara att satsningar som görs blir otillräckliga. Det beror på att med- borgarna har svårt att överblicka och värdera de risker som finns för allvarliga kriser eller brister i säkerheten i till exempel den infrastruktur som är avgörande för samhällets funktionsförmåga. Allmänheten har svårt att förbereda sig för egen del om offentliga organ inte gör riskbedömningar och förmedlar resultatet. Allvarliga kriser, som följer av till exempel brist på säkerhet i infrastruktur, kännetecknas också av att ett stort antal människor och företag drabbas av konsekvenserna. 1 Underlag för resonemanget är delvis hämtat ur Ds 1994:53, Motiv för offentliga åtaganden samt SOU 2001:41, Säkerhet i en ny tid, Slutbetänkande från Sårbarhets- och säkerhets- utredningen. ningar kan därför sällan användas för att fullt ut kompensera de drabbade för de skadeverkningar som uppstår. Informationssäkerhet, inklusive de krav som måste ställas på säker tillgång till el- och teleförsörjning, är ett område som motsvarar de kriterier som kan uppställas för att det offentliga skall engagera sig i verksamheten. Det offentliga engagemanget bör i första hand gälla den typ av situationer i vilka endast statliga organ kan ta över- gripande ansvar för att leda, samordna och prioritera de åtgärder som behövs för en tillfredsställande säkerhet. Det kan gälla situa- tioner som är mycket osannolika, har långtgående konsekvenser för ett stort antal människor och där icke-offentliga aktörer kan ha svårt att på egen hand vidta effektiva åtgärder för att minska skade- verkningar. Av detta följer inte att offentliga organ bör ta på sig ett generellt finansieringsansvar för de åtgärder som kan krävas för att möta dessa behov. Ett skäl till detta är att skadeverkningarna också av mycket allvarliga brister eller kriser kan begränsas om grund- läggande säkerhetsåtgärder vidtas av den som är ansvarig för en verksamhet. Det är sannolikt inte rationellt för till exempel ett enskilt företag att finansiera en funktion vilken, som extern effekt, kommer även de som inte bidrar till finansieringen till del. En sådan satsning är helt enkelt inte ekonomiskt lönsam. Ett offentligt engagemang inom dessa områden är därför nödvändigt för att ge tillräckliga satsningar. Att det kan vara svårt för en enskild aktör att skapa sig den helhetsbild och den långsiktighet som krävs för vissa beslut, för att de skall fattas på rationella grunder, är ett annat skäl till offentligt åtagande. Man kan således konstatera att informationssäkerhet på samhälls- nivå till vissa delar är en kollektiv nyttighet och därför delvis bör ingå i det offentliga åtagandet. Alla de åtgärder som vidtas för en betryggande säkerhet kan dock inte betraktas som en offentlig angelägenhet. Det finns tvärtom anledning att betona att såväl allmänheten som företag och organisationer har anledning att ta eget ansvar. I utredningens uppdrag ingår enligt direktiven att beakta hur riktlinjer för säkerheten i nät- och informationssystem kan införlivas i en svensk nationell strategi för informationssäkerhet. riktlinjer för säkerheten i nät- och informationssystem – på väg mot en säkerhetskultur, antogs som en rekommendation från vid dess 1 037:e session . Riktlinjerna har som mål att: främja en säkerhetskultur bland alla deltagare som ett sätt att skydda informationssystem och nät, göra deltagarna medvetna om riskerna för informationssystem och nät, om de regler, förfaranden, åtgärder och rutiner som står till buds för att ta itu med dessa risker och om nödvändig- heten att införa och tillämpa dessa, främja ett ökat förtroende hos alla deltagare för informations- system och nät och för det sätt på vilket de tillhandahålls och används, skapa en allmän referensram som hjälper deltagarna att förstå säkerhetsfrågorna och ta hänsyn till etiska värderingar vid ut- formningen och användningen av regler, förfaranden, åtgärder och rutiner för säkerheten i informationssystem och nät, uppmuntra alla deltagare att samarbeta och utbyta relevant information vid utformningen och användningen av regler, förfaranden, åtgärder och rutiner som rör säkerheten, arbeta för att alla som deltar vid utveckling och införande av standarder skall uppfatta säkerhet som ett viktigt mål. Det är en naturlig utgångspunkt för utredningen, vilket också är inskrivet i utredningens uppdrag, att göra en internationell utblick och se hur informationssäkerhetsfrågan hanteras utanför gränser. Förutom de lärdomar som kan dras av andra länders ställ- ningstaganden i dessa frågor så finns det i olika internationella fora ett pågående samarbete om informationssäkerhetsfrågor. Det arbete som pågår inom EU är härvid av särskilt stor betydelse. Unionen har genom antagande av Lissabonstrategin satt upp ett tydligt mål; att skall bli den mest konkurrenskraftiga och dynamiska kunskapsbaserade ekonomin i världen. därpå följande handlingsplanerna e-Europa 2002 och e-Europa 2005 har ett antal mål med bäring på informationssäkerhet uppställts, vilka har att förhålla sig till. Detta är förvisso något som förekommer även i samarbete inom andra internationella fora, men det formaliserade och utvecklade sätt på vilket EU-samarbetet bedrivs innebär att dessa mål blir en självklar del av den nationella agendan. Utveckling inom EU med bäring på informationssäkerhet har skett även utanför e-Europas ram. Ett övergripande mål för Unionen är att skapa, utveckla och upprätthålla den fria marknaden. Den elektroniska handeln har då en roll att spela. Kommissionen presenterade ett med- delande med förslag på åtgärder för att utnyttja e-handelstekniken. En rad initiativ för att främja e-handeln har därefter tagits, vilka i högre eller lägre grad även innehåller regler om informationssäker- het. Ett exempel är ett direktiv som uppställer ett regelverk för att inom gemenskapen säkerställa samtrafik mellan telenät och samverkan mellan tjänster. Bland så kallade väsentliga krav i direktivet kan nämnas att medlemsstaterna skall kunna garantera upprätthållande av nätens integritet, dataskydd etc. För en utförligare beskrivning av den EU-rättsliga utvecklingen samt pågående initiativ på informationssäkerhetsområdet hänvisas till utredningens andra delbetänkande samt till avsnitt 5.2. Sammanfattningsvis kan konstateras att det EU-rättsliga regel- verket innehåller både övergripande initiativ om informationssäker- het och sektoriella initiativ, där informationssäkerhet utgör en del. Dessa initiativ har att förhålla sig till i det egna infor- mationssäkerhetsarbetet. En nationell strategi för informations- säkerhet måste därför vara formulerad på ett sådant sätt att den utveckling som sker inom EU kommer in som en naturlig del. En annan aspekt av EU-samarbetet är det faktum att EU har utvecklats till en organisation med väletablerade institutioner som, i just detta sammanhang, kan jämföras med federala institutioner. Det har därför varit nödvändigt för EU som organisation att ut- veckla regler för sin egen informationssäkerhet, på samma sätt som sker nationellt. Dessa regler har formaliserats bland annat genom rådets beslut om antagande av säkerhetsbestämmelser 2001. Bestämmelserna är inte bindande för medlemsstaterna utan gäller hos . Emellertid följer av beslutet att också medlems- staterna skall vidta lämpliga åtgärder, så att det säkerställs att bestämmelserna respekteras av myndigheter och tjänstemän i medlemsstaterna. Man skulle kunna uttrycka det så att , för att kunna delta i EU-samarbetet, har att leva upp till de säkerhets- bestämmelser som EU:s institutioner har antagit. EU-samarbetet har även format terminologin på informations- säkerhetsområdet, vilket utredningen återkommer till nedan. Sammantaget leder det ovan beskrivna till att det arbete som pågår inom EU på informationssäkerhetens område utgör en grund för det nationella arbetet och är därmed en viktig utgångspunkt för utredningen. Utredningen ser det inte som sin uppgift att skapa en ny termino- logi för informationssäkerhetsområdet. Däremot är det befogat att slå fast vilka begrepp utredningen utgår ifrån i sitt arbete och motiven till detta. Ett övergripande skäl till att vissa begrepp används är att de i stor utsträckning är vedertagna bland aktörer i såväl privat som offentlig sektor. Det tidigare förhållandet att språkbruket skilde sig åt mellan privat och offentlig sektor, vilket var ett problem såväl ur samverkans- som författningshänseende, har med tiden blivit mindre påtagligt. Det är snarare så, vilket utredningen redogjorde för i sitt andra delbetänkande, att de begrepp som formulerats av inblandade aktörer efter deras specifika behov inte överensstämmer med de av statsmakterna formulerade definitioner som återfinns i rättsliga, administrativa eller finansiella regler. Utredningen använder det språkbruk som anges i SIS 550:Terminologi för informationssäkerhet (utgåva 2, 2004). Vad beträffar begreppet informationssäkerhet är begreppet enligt SIS mycket brett och omfattar en mängd underområden som till exempel grundläggande policy, riskhantering samt administrativa och tekniska åtgärder. Informationssäkerhet är enligt SIS definition, vilken alltså har anammats av utredningen, säkerhet beträffande informationstillgångar rörande förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet (även spårbarhet och oavvislighet). Begreppet innefattar såväl IT-säkerhet som säkerhet i administrativa rutiner. Denna definition av informationssäkerhet skall ställas mot den legaldefinition av begreppet som återfinns i säkerhetsskyddslagen. Enligt säkerhetsskyddslagen skall säkerhets- skyddet förebygga bland annat att uppgifter som omfattas av sekretess och som rör rikets säkerhet, obehörigen röjs, ändras eller förstörs (informationssäkerhet). Informationssäkerhet i säkerhets- skyddslagens mening omfattar alltså enbart uppgifter som omfattas av sekretess och som rör rikets säkerhet, men oavsett i vilken form uppgifterna finns (på papper, i IT-system etc.). Utredningen konstaterade i sitt andra delbetänkande att det föreligger ett glapp i förståelsen av begreppet informationssäkerhet mellan denna legal- definition och dess betydelse i vardagligt tal. Terminologin inom EU på informationssäkerhetsområdet ger stöd för den bredare definition av informationssäkerhet som utred- ningen använder sig av. Kommissionen definierar i sitt meddelande Nät- och informationssäkerhet: förslag till en europeisk strategi (KOM[2001]298) informationssäkerhet som förmågan hos ett nät att tåla, vid en viss tillförlitlighetsnivå, olyckshändelser eller illvilligt uppträdande som äventyrar tillgängligheten, äktheten (autentisering), integriteten och konfidentialiteten hos lagrade eller vidarebefordrade data och besläktade tjänster som tillhandahålls av eller är tillgängliga via dessa nät. I rådets säkerhetsbestämmelser slås fast att informationssäkerhet rör skyddandet av uppgifter mot oavsiktligt eller avsiktligt sekretessbrott, förlust av okränkbarheten eller tillgängligheten (det vill säga att förebygga förvanskning, obe- hörig ändring eller radering samt att åtkomst inte skall nekas den som är behörig). Båda dessa skrivningar överensstämmer i hög grad med utredningens definition. Det man vill uppnå är konfidentialitet, okränkbarhet och tillgänglighet. En viktig likhet är det faktum att begreppet informationssäkerhet inte är kopplat till skyddet av handlingar som omfattas av sekretess. Att kunna garantera till- gänglighet och okränkbarhet (integritet) är viktigt även i fråga om öppna handlingar. Ett annat begrepp som har visat sig ha grundläggande betydelse för utredningsarbetet är samhällsviktig verksamhet. I diskussionen av vad som utgör det offentliga åtagandet är begreppet återkom- mande. Enligt utredningens erfarenhet finns dock inte någon generellt vedertagen definition av begreppet. Sannolikt är det så att det finns en mängd olika verksamheter som vid ett givet tillfälle kan vara mer eller mindre viktig för samhället. Staten kan således ha ett ökat intresse av att säkerheten upprätthålls i sådana verksamhe- ter. Det finns därmed ett behov av att vidare definiera vilka kriterier som skall uppfyllas för att en verksamhet eller ett system skall definieras som samhällsviktigt. Utredningen återkommer till detta i avsnitt 4.4. 2Underlag för utredningens överväganden 2.1Tidigare betänkande: Delrapport 1: Signalskydd Signalskyddstjänst var tidigare en egen disciplin, som i stor utsträck- ning hanterades skilt från kommunikation av information. Den tekniska utvecklingen inom detta område bidrar till att integrera kryptografiska funktioner i informationssäkerhetsprodukter och är signalskyddet integrerat i IT- och kommunikationsutrust- ningen. Utredningens första delbetänkande innehöll därför inte några förslag inom signalskyddsområdet. Dessa bör formuleras först när övriga delar av informationssäkerhetsområdet har belysts och då vägas in som en del av informationssäkerhetsområdet i det fortsatta arbetet. Utredningen konstaterade i betänkandet att det finns ett behov av signalskydd även utanför det som lagstiftningsmässigt definieras som totalförsvaret. Möjligheterna att finansiera resurser och kom- petens inom totalförsvaret måste vägas mot möjligheterna att till- godose behoven med kommersiellt tillgängliga system.