sou · GTB342 · 2006-01-01 00:00:00 — Informationssäkerhetsfrågor berör hela sam- hällets funktionsförmåga men problemet i analysen är att helhets- bilden ofta är oklar. framför till exempel i sin delrapport (PTS-ER-2004:37) Tänkbara åtgärder för att säkra Internets infrastruktur: Samhället blir allt mer beroende av säker och fungerande kommunika- tion över Internet. Internet är verksamhetskritiskt för närings- livet och en viktig motor för tillväxt. Den offentliga sektorn tar även allt större steg mot Internetberoende bl.a. i och med satsningar på 24-timmarsmyndigheter. ökar incidenter i form av bland annat avbrott samt överbelastnings- och intrångsattacker. Om vitala delar av Internet skulle slås ut kan det få stora konsekvenser för sam- hället. Internet som sådant bedöms till sin natur vara en relativt säker infrastruktur men den generella skyddsnivån ökar inte lika mycket som riskerna. Internets nuvarande säkerhet sätts utifrån operatörernas kommersiella överväganden på en konkurrerande marknad. Utöver denna nivå kan säkerheten kompletteras med t.ex. statligt beslutade och finansierade åtgärder. Ansvaret för säkerheten ligger dock inte enbart på marknaden och staten. Även användarna har ett ansvar för säkerheten i sin miljö och sitt beteende på Internet. Ett av de största hoten mot Internet är bristande säkerhet i användares miljöer vilket leder till att deras datorer kapas och används som plattformar för attacker mot bland annat kritiska delar av Internets infrastruktur. Det huvudsakliga problemet är att ingen instans, på teknisk nivå, har haft möjlighet att se och analysera helheten i de angrepp som sker. Detta förhållande gäller oavsett vilken typ av aktör som ligger bakom det specifika angreppet. Det finns därför, enligt utred- ningens uppfattning, starka skäl för att det inom den statliga sfären skall finnas en fortsatt och utvecklad hög teknisk kompetens för kvalificerat stöd i IT-säkerhetsfrågor. Slutsatserna i dessa frågor (prop. 2001/02:158) byggde på ett resonemang som fördes i Sårbarhets- och säkerhetsutredningen (SOU 2001:41) kring de starka skäl som talar för att staten skall kunna erbjuda en hög teknisk kompetens och ett avancerat tekniskt stöd i IT-säkerhetsfrågor. Sårbarhets- och säkerhetsutredningens motiv för att bygga upp den tekniska informationssäkerheten med ansvar fördelat på funktioner i flera olika myndigheter var att detta bedömdes vara snabbaste vägen att skapa nödvändig kompetens och förmåga inom de olika funktionsområdena. Sårbarhets- och säkerhetsutredningen ansåg att verksamheten efter ett uppbyggnads- skede borde utvärderas också i sin organisatoriska lösning. Behov av strategi och konkreta åtgärder Sedan detta resonemang fördes har det, enligt InfoSäkutred- ningens mening, blivit än mer tydligt att staten måste ha ett antal operativa förmågor inom informationssäkerhetsområdet. Dessa förmågor kan uppnås genom ett starkare och mer sammanhållet statligt engagemang. De förmågor staten måste ha kan beskrivas som: Helhetssyn, vilket förutsätter deltagande från underrättelse- och säkerhetstjänsterna Försvars- och säkerhetspolitiskt behov av skydd för känsliga uppgifter Garanterad resurs mot framförallt aktörsbundna kvalificerade IT-relaterade hot eller andra IT-säkerhetskritiska situationer Förmåga att ingripa mot och hantera kvalificerad IT-relaterad brottslighet Behov av analys på olika nivåer Garantera och tillvarata unik teknisk kompetens Nationellt och internationellt samarbete. Kravet på förtroende är särskilt stort för säkerhetskritisk teknik för totalförsvaret eller andra kunder i samhället med försvars- eller säkerhetspolitiskt känslig verksamhet. Dessa aktörer kan inte i alla lägen förlita sig på marknaden, utan behöver tillgång till teknisk kompetens inom staten. Beställarkompetensen är avgörande för att skydda sig mot avsiktliga eller oavsiktliga säkerhetsbrister. Insynen i uppgifter av betydelse för rikets säkerhet kan inte alltid lämnas till enskilda aktörer på marknaden. Staten bör säkerställa tillgång till kvalificerad teknisk kompetens att använda i olika säkerhetskritiska situationer. Staten har ansvar för skyddet mot IT-attacker från främmande land eller annan aktör med hög kompetens, som drabbar säkerhet. IT-säkerhet är en viktig komponent i detta skydd, varför staten måste ha en garan- terad, kvalificerad teknisk kompetens på detta område, att användas för att förebygga nationella kriser med IT-inslag eller till att snabbt ta fram skydd mot elakartade program och för att testa säkerheten i verksamheter av stor betydelse för samhällets funktionsförmåga. Kunskaper måste finnas både på ett allmänt plan om tekniska principer för IT-säkerhet och mer specifikt om produkter på marknaden. De tekniska detaljkunskaperna om produkter, protokoll, kända tekniska säkerhetsbrister och virus m.m. måste också vara Behov av strategi och konkreta åtgärder Till detta kommer nödvändigheten av att inom en och samma organisation spänna över flera olika IT-verksamhetsområden för att kunna se helheten i olika problem. De metoder som signalspaningen har utvecklat är av avgörande betydelse för att vi nu och ska kunna värja oss mot framför allt olika typer av aktörsrelaterade teknogena hot. Ett bra historiskt exempel på detta är det förhållande som utvecklats mellan den kryptologiska forceringsverksamheten vid () och den traditionella signalskyddsverksamheten vid Totalförsvarets signalskyddssamordning (TSA). Ett liknande förhållande har uppstått vad avser den kun- skap som signalspaningsverksamheten har utvecklat i fråga om brister i IT-system. Denna kunskap har uppstått såväl genom den traditionella signalspaningsverksamheten som ur de IT-kontroller som sker i Försvarets radioanstalts regi. Vad som ytterligare under- stryker signalspaningens unika förmåga att bistå är att allt fler IT- system innehåller inbäddade kryptografiska funktioner, vilket ställer krav på kompetens vad avser såväl kryptologi som hög IT-säkerhets- kompetens. Vikten av god kryptologisk förmåga som nationell resurs kvar- står och har förstärkts i och med att allt fler samhällskritiska funk- tioner blir beroende av kryptologisk funktionalitet. Grundförut- sättningen för detta är stabil och tillräcklig kompetens och goda arbetsredskap i form av beräkningskraft, som utvecklas genom att forcera nya kryptosystem. Den tekniska komplexiteten ökar , parallellt med be- roendet av IT-system. I många IT-system finns kryptologiska funktioner inbyggda. Det gör att behovet av att besitta både hög IT-förmåga och kryptologisk spetskompetens har tillkommit. För att kunna fullgöra uppgiften att vara en resurs av hög kvalitet för samhället avseende teknisk informationssäkerhet krävs att de ansvariga för denna typ av verksamhet kontinuerligt inhämtar relevant information genom eget arbete och genom kontakter, såväl nationellt som internationellt. Detta kräver i sin tur att man har ett stort förtroende och tillgång till ett nätverk av samarbets- partners nationellt och internationellt. Samarbete med andra organisationer på IT-säkerhetsområdet är av yttersta vikt. Samarbete ger högre effektivitet genom att man kan dela på arbetet och dra fördelar av det andra gjort. Nationellt finns det ett stort behov av att sprida kunskap om tekniska brister i olika IT-system. Detta är inte lika självklart när det gäller den Behov av strategi och konkreta åtgärder internationella dimensionen då man på detta sätt riskerar att blott- lägga nationella brister. Det är av avgörande betydelse att det finns ett förtroende från den offentliga sektorn såväl som från andra verksamhetsområden på nationell nivå. Förtroendet skiljer sig mellan olika sektorer. Datakommunikation är en global och gränslös företeelse. Därav följer att IT-säkerhet i högsta grad är en internationell fråga. Problemen är oftast likartade världen över, vilket motiverar ett långtgående internationellt samarbete. måste delta i de internationella nätverk som finns och bildas på området. Endast en statlig aktör med hög IT-säkerhetskompetens kan delta i dessa nät- verk och aktivt tillföra kunnande i arbetet. Detta kan gälla utbyte av metodik och erfarenheter, samarbete om analys av elakartade program eller överenskommelser om evalueringskriterier. Skulle sedan en allvarlig kris med IT-inslag inträffa är den sannolikt inte geografiskt begränsad till . Då blir ett internationellt sam- arbete helt nödvändigt. Kontakter skall därmed hållas med IT-säker- hetsorganisationer i andra länder. En numera viktig och central fråga är vad kan bidra med på detta område inom EU, så att säkerheten även där kontinuerligt förbättras. Det är utredningens uppfattning att måste säker- ställa en hög teknisk kompetens också för att vara en aktiv aktör och en attraktiv partner i olika EU sammanhang. Ett exempel på detta är att vid ett flertal tillfällen blivit tillfrågat om att genomföra en andra evaluering av signal- skyddsprodukter från andra stater. Inom den Europeiska Unionen har ett regelverk utarbetats för att bland annat tillförsäkra en opartisk andrahandsevaluering av kryptografiska produkter. Denna evaluering skall utföras av en godkänd myndighet, en s.k. Appropriately Qualified Authority (AQUA). Detta arbete är omfattande vad avser själva evalueringen. I processen ingår bland annat att verifiera även andra delar än de rent kryptografiska, såsom mätning av röjande signaler och viss kodgranskning av säkerhetskritiska funktioner. Regelverk ställer bland annat krav på att ett kryptosystem skall vara godkänt av behörig myndighet i det land som offererar krypto- produkten. Dessutom skall en AQUA i en annan medlemsstat med motsvarande förmåga genomföra en s.k. andrahandsevaluering. har 2004 ansökt om att bli godkänt enligt detta regelverk. För svensk kryptoindustri innebär detta att dess produkter måste vara nationellt godkända för att kunna offereras i vissa samanhang. finns ingen formellt utsedd myndighet för att hantera dessa Behov av strategi och konkreta åtgärder frågor eftersom TSA endast har mandat att godkänna produkter för totalförsvarets behov. En viktig fråga är om staten bör tillhandahålla analysfunktioner för att kunna analysera incidenter. Syftet med sådana funktioner är att kunna dra erfarenheter av händelser som skett och på så sätt kunna anpassa planer och metoder efter detta. De aktiviteter staten bedriver inom området bör syfta till att värna såväl statens egen verksamhet som verksamhet inom kommuner, landsting och närings- liv. En bärande verksamhetsidé bör därför vara att, i möjligaste mån och inom ramen för gällande lagstiftning, sprida resultat. Förmågan att kunna analysera incidenter tillhandahålls av flera delar inom statsförvaltningen beroende på hur man definierar termen analys. En teknisk analys av en incident ställer frågorna vilken sårbarhet har utnyttjats, vilken metod har använts, vilken är den tekniska måltavlan och vilka tekniska konsekvenser medför incidenten. Aktören eller dennes motiv är av underordnat intresse i en teknisk analys. Aktörs- och motivanalyser genomförs av rättsväsendet, under- rättelsetjänsterna och i forskningssammanhang. En polisiär analys av en incident koncentreras närmast kring aktören och dennes motiv och den tekniska analysen kan förenklat beskrivas som bevissäk- ring. Underrättelsetjänsternas och forskningens analyser av aktör och motiv torde i mycket ringa mån koncentreras kring den tekniska analysen annat än som ett av flera spelmoment. PTS/Sitic genomför tekniska analyser vars resultat publiceras brett i syfte att kunna informera samhällets organisationer om nya problem som kan störa IT-system samt att kunna lämna informa- tion och råd om förebyggande åtgärder. Rättsväsendet genomför tekniska analyser i syfte att säkra bevis. FRA genomför teknisk analys i syfte att kunna stödja individuella organisationers arbete med informationssäkerhet. Även när det gäller förmågan att kunna respondera vid incidenter är detta en vital funktion. Om inte själv har denna förmåga kommer vi att vara beroende av andras förmåga. Det är då tveksamt om vi kommer att erhålla information för att kunna vidtaga åtgärder. Det finns också ett väl etablerat kontaktnät mellan olika länders responsfunktioner. På detta sätt kan både erhålla samt lämna information. Förmågan att kunna respondera vid incidenter tillhandahålls av flera delar av statsförvaltningen. PTS responderar genom att varna och ge upplysning om skydd till samhällets organisationer. Rättsväsendet responderar genom att avbryta, utreda Behov av strategi och konkreta åtgärder och/eller lagföra incidenter. FRA responderar genom att individuellt stödja organisationer som har drabbats av incidenter och ska också kunna stödja insatser vid nationella kriser med IT-inslag. Certifieringsorganet vid FMV (CSEC) granskar och godkänner utvärdering av IT-säkerhet i produkter i enlighet med Common Criteria. Erfarenheter från rapporterade incidenter kan påverka det svenska regelverket för hur produkterna granskas. Detta kan bidra till att erfarenheterna från incidenter förs vidare till produkt- utvecklarna, vilket i sin tur leder till en ökande tillgång på motståndskraftiga produkter. En synpunkt som från flera håll har framförts till utredningen är att respons- respektive analysfunktioner skulle vara aktiva året runt , . Relevansen i en sådan konstruktion skiljer sig mellan olika aktiviteter såsom incidentrapporthantering, respons, analys och tekniska respektive polisiära ansvar. Det finns inom rättsväsendet en operativ dygnetruntberedskap vid Riks- kriminalpolisens IT-brottsrotel för brottsrelaterade IT-incidenter. Roteln är kontaktpunkt inom ramen för G8-överenskom- melsen och ingår även i kontaktorganisation för så kallat high-tech crime. Inom polisen finns även en samordningsfunktion med inriktning mot brottsrelaterade IT-incidenter (S-BIT). Funktionen är beman- nad med personal från och Säkerhetspolisen. Funktionen utgör en central ingång för den som behöver komma i kontakt med polisen med anledning av en misstänkt brottslig IT- incident. Funktionen skall ha lägesöverblick och bedriva kriminal- underrättelseverksamhet. Den utgör polisens kontaktyta mot andra aktörer i samhället som har uppgifter inom informationssäkerhets- området. Funktionen bedriver också brottsförebyggande verksam- het genom bl.a. föreläsningar och utbildningar, samt sammanställer och sprider information inom ämnesområdet. Utredningen tar i detta betänkande inte ställning till hur de olika förmågor som beskrivits ovan skall organiseras men återkommer i slutbetänkandet till organisatoriska förslag. Behov av strategi och konkreta åtgärder 4.4Kriterier för samhällsviktiga verksamheter och system Ett begrepp som har visat sig grundläggande i utredningsarbetet är samhällsviktig verksamhet. I diskussionen om vad som utgör det offentliga åtagandet är begreppet återkommande. Enligt vad utred- ningen kunnat få fram finns dock inte någon generellt vedertagen definition av begreppet. Sannolikt är det så att det finns en mängd olika verksamheter som vid ett givet tillfälle kan vara mer eller mindre viktiga för staten. Staten kan således ha ett ökat intresse av att säkerheten upprätthålls i sådana verksamheter. Det finns inga av statsmakterna beslutade kriterier för vilka verksamheter, tekniska system och därtill kopplade funktioner som är att betrakta som samhällsviktiga. Det är därför svårt för myndig- heter med föreskrivande/rådgivande uppgifter att utkräva de högre säkerhetskrav som borde åvila de ansvariga för samhällsviktiga system. Det faktum att det inte finns dokumenterat vilka verksamheter och system som är att betrakta som särskilt viktiga för samhället, och att denna centrala fråga därmed omgärdas av ett stort tolkningsutrymme, kan delvis ha sin grund i att det råder osäkerhet om hur begreppet samhällsviktig skall definieras. Det kan också bero på att den viktiga uppgiften att ta fram en förteck- ning aldrig har delegerats till någon enskild, utpekad aktör utöver de myndigheter som ingår i sam- verkansområden. Det kan och bör ställas krav på kriterier för vad som är att betrakta som samhällsviktiga verksamheter och system. Då den tekniska utvecklingen snabbt går framåt kan inte tekniken i sig vara styrande vid upprättandet av kriterier. Snarare bör kriterierna tas fram genom beaktandet av vilken typ av verksamhet som är särskilt viktig för samhället samt med kännedom om tekniska och system- relaterade ömsesidiga beroendeförhållanden. finns det motiv för ett pragmatiskt angreppssätt i syfte att underlätta för myndigheter att successivt förbättra samordning och samverkan inom säkerhetsarbetet. Det primära torde vara att bättre precisera inom vilka verksamhetsområden och hos vilka aktörer som det kan finnas skäl för statsmakterna att ställa särskilda krav när det gäller exempelvis informationssäkerhet. Utredningens överväganden om gränsdragningen mellan det privata och det offentliga åtagandet visar att det finns områden där en sådan gräns är svår att dra. Ett tydligt sådant område är infra- Behov av strategi och konkreta åtgärder strukturen, till exempel el- och teleinfrastruktursystemen för el- överföring och –distribution samt telekommunikation, som båda är mycket viktiga för samhällets funktion och där det finns starka motiv för att ställa särskilda krav på leveranssäkerhet och kvalitet. Begreppet samhällsviktig är således relevant i dessa sammanhang. Staten har inom ramen för samhällets beredskap också möjligheter att bidra ekonomiskt till säkerhetshöjande åtgärder. Den för sam- hället viktiga infrastrukturen är ofta i privat eller ägo. Detta begränsar statens möjligheter att i formell, administrativ mening ställa krav utöver vad som motiveras av beredskapsskäl. Sådana extra krav på säkerhet kan således bara ske med stöd av en ny lag. Underlag för någon form av legal definition av begreppet samhällsviktig vore mot denna bakgrund önskvärd för det fortsatta författningsarbetet. I lagen (1990:217) om skydd av samhällsviktiga anläggningar används begreppet samhällsviktig. I lagen definieras dock inte vad som är en samhällsviktig anläggning. Däremot följer det av bestäm- melsen om vad som får förklaras som skyddsobjekt vad som kan anses vara en sådan anläggning, i praktiken sådana anläggningar, militära och civila, som är av särskild betydelse för totalförsvaret. I lagen finns vissa bestämmelser för tillträdesbegränsning och bevak- ning. Enligt utredningens mening lämnar denna lag inte tillräckligt stöd för en utvidgad användning av begreppet samhällsviktig. Mot denna bakgrund har utredningen uppdragit åt () att utarbeta kriterier för bedömning om en verksamhet är samhällsviktig eller inte. Sådana kriterier skulle kunna underlätta för enskilda verksamhets- och systemägare att själva avgöra om eller i vilken grad som deras verksamheter eller system är att betrakta som samhällsviktiga. Kriterierna skulle också kunna tjäna som underlag för staten att lämna stöd till förebyggande och förberedande insatser, att prioritera resurser för ökad informa- tionssäkerhet och för kravställande . FOI har presenterat en modell, ett processverktyg, som ger vissa riktlinjer för berörda aktörer. Den är tänkt att kunna användas på flera olika nivåer, från delar av enskilda företag till hela branscher och myndigheter. Modellen är också avsedd att kunna användas av både offentliga och privata aktörer med centrala, regionala eller lokala perspektiv. Den presenterade modellen bör även, i utvecklad form, kunna användas vid styrning, uppföljning och tillsyn. Kriteriemodellen tar sin utgångspunkt i ett resonemang om sam- hällets grundläggande värden så som dessa uttalats i olika politiska Behov av strategi och konkreta åtgärder Utredningen har noterat att de begrepp som FOI använder också har använts i förarbeten till delar av den grund- läggande lagstiftning som gränsar till utredningens område. I FOI:s dokument redovisas och tolkas dessa värden som omfattar bland annat respekt för människans värdighet, frihet, demokrati, jämlikhet, rättstatsprincipen och respekt för de mänskliga rättigheterna. Dessa grundläggande värden tolkas och konkretiseras därefter i vad FOI benämner samhällets vitala intressen. Dessa intressen utgör sedan basen för att kunna bedöma samhällsviktigheten i en verk- samhet. Verksamheten skall således betraktas som samhällsviktig om ett bortfall eller en störning av denna skulle medföra allvarliga konsekvenser för möjligheterna att tillgodose samhällets vitala intressen. FOI visar vidare ett resonemang om en kriteriemodell för bedömning av verksamheters vikt för samhället. De kriterier som lyfts fram är olika aspekter av konsekvenser som intensitet, omfattning och utbredning samt, aspekter av tids- och orsaks- kriterierer. Modellen tar även hänsyn till bedömningar av hur unik en enskild verksamhet är samt dess beroenden av andra verk- samheter. Beroendeaspekten är av intresse eftersom en verksamhet som inte anses vara viktig i sig, kan bli det om andra verksamheter visar sig vara beroende av den. Utredningen konstaterar att behovet av att definiera samhällsviktig verksamhet även gäller den del av den tekniska infra- strukturen, till exempel inom elsystemet, telefunktionerna och infra- strukturen för Internet som är avgörande för samhällets funktions- förmåga. Om bortfall av kapacitet och förmåga sker i en omfatt- ning som utgör hot mot liv och hälsa eller allvarligt kan skada vitala ekonomiska eller andra angelägna samhällsintressen, kan en verk- samhet beskrivas som samhällsviktig. Särskilt måste ömsesidiga be- roendeförhållanden tillmätas betydelse i sådana fall. FOI har betonat att modellen har tagits fram och att mycket arbete återstår. Det har till exempel inte funnits tid att pröva modellen i en vidare krets av aktörer och det har därför inte varit möjligt att förankra resonemangen. Enligt utred- ningens mening är dock FOI:s arbete, trots angivna reservationer, av så grundläggande karaktär att det bör kunna ligga till grund för fortsatt arbete med att finna användbara kriterier för identifiering av samhällsviktiga verksamheter och system. Utredningen har erfarit att regeringen beslutat, utifrån den redovisning som Kris- beredskapsmyndigheten (KBM) har lämnat , inom vilka samhällsområden det bör finnas en förstärkt fredstida förmåga och Behov av strategi och konkreta åtgärder att () i samverkan med de myndig- heter som anges i förordning (2002:472) om åtgärder för fredstida krishantering och höjd beredskap skall påbörja ett arbete med att närmare definiera vad som avses som samhällsviktig verksamhet. Redovisning skall ske . FOI:s arbete bör därför drivas vidare och förslagsvis samordnas med KBM:s arbete inom ramen för regeringsuppdraget. Utredningen har för avsikt att överlämna FOI:s rapport till regeringen i samband med slutbetänkandet. 4.5Utredningens slutsatser av behovet av strategi och konkreta åtgärder Enligt regeringens översiktliga strategi enligt proposition 2001/02:158 Samhället säkerhet och beredskap, skall störningar i samhällsviktig verksamhet kunna förhindras eller hanteras. Under- rättelse- och säkerhetstjänstens arbete bör förstärkas. Utredningen anser att detta är en riktig utgångspunkt men att det finns motiv för en fördjupning och tillägg till det skrivna. Störningar i samhälls- viktig verksamhet bör kunna förebyggas och förberedelse för att minimera konsekvenserna bör bedrivas. Mot bakgrund av de resonemang som redovisas i kapitel 3 och 4, föreslår utredningen en strategi som innefattar att: 1.utveckla position inom EU och i internationella sam- manhang 2.skapa förtroende, trygghet, säkerhet, och öka integritetsskyddet 3.främja ökad användning av IT 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem 5.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen 6.förstärka förmågan inom området nationell säkerhet I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet 8.fokusera på samhällsviktig verksamhet 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd