sou · GTB371 · 2006-01-01 00:00:00 — Referensgruppen menar att ett sätt att klara en samlad incidentrapportering och rådgivning för både privat och offentlig verksamhet - med respekt för offentlighetsprincipen och företagens krav på sekretess för att inte äventyra varumärket – är att bilda en gemensam organisation med uppgift att exempelvis kunna hantera incidentrapporter, ge råd i förebyggande syfte och i metodfrågor, beställa forskning och att lägga förslag till exempel inom utbildningssystemet för att höja kunskapsnivån. Några av gruppens deltagare framförde att det finns ett långsiktigt behov av ett beredningsorgan som kan behandla frågor av karaktären lagar och förordningar, certifiering, riskhantering, kontroll, utbildning och övning. Även andra frågor av komplicerad art skulle kunna beredas för politiska ställningstaganden. Ett exempel på frågeställning som lyfts fram är att gemensamma regler för säkerhetsklassning kan växa fram för såväl civil som militär tillämpning. Detta för att kunna nyttja fördelarna av den viktiga nätverksbasering som pågår i samhället. I en sådan organisation bör såväl myndigheter som organisationer och industrier ingå. Vidare bör en sådan organisation kunna medverka i lämpliga europeiska och internationella fora för att påverka den långsiktiga inriktningen. Kortsiktigt behövs ett organ som kan stödja statsmakterna med att främja svensk industri inom området. I EU sjösätts nu ett omfattande program på informationssäkerhetsområdet, ESP 21 (Projects). Denna organisation under bildande har som syfte att stödja europeisk industri och forskning att bli starka inom säkerhetsområdet. På motsvarande sätt bör en svensk organisation växa fram, SSP 21 (Projects). Här kan politisk nivå, myndigheter, organisationer och industrin verka gemensamt för att ge svenska företag och forskning bästa förutsättningar för internationellt samarbete. Referensgruppen ser gärna att ett samarbete tar hänsyn till standards - och öppna sådana - ett synsätt och område som gruppens deltagare aktivt driver i många sammanhang. Det är angeläget att söka skapa samsyn om och hur uppbyggnaden av ett samverkansforum kan ske. Viktiga frågor är med vilka organ bilaterala överenskommelser skall göras, hur förtroendekapital skall etableras, hur sekretesshantering skall ske etcetera. Inom ramen för denna process kommer också tillfälle ges att gå på djupet i skilda frågeställningar där samverkan mellan det privata och det offentliga innehåller betydande potentialer för skapande av mervärde, men formerna för samverkan har förhindrat eller inte möjliggjort att komma fram till lösningar. Utredningens förslag om att tillsätta en utredare eller förhandlare från statens sida välkomnas av de privata initiativtagarna, då detta på ett smidigt sätt löser kontaktytan mellan det offentliga och uppbyggnaden av ett samverkansforum. Den tydliga behovsbild av samverkan som vuxit fram hos enskilda privata aktörer, föreningar och nätverk möjliggör att arbetet med att bygga ett samverkansforum kan fortskrida utan ett definitivt ställningstagande från vare sig staten, kommuner eller landsting. Öppenhet och lyhördhet är det sätt som säkerställer att den framtida strukturen får en sådan karaktär att hinder för offentlig medverkan undanröjes innan de uppstår. för säkerheten i informationssystem och nät PÅ VÄG MOT EN SÄKERHETSKULTUR ORGANISATIONEN FÖR EKONOMISKT SAMARBETE OCH UTVECKLING ORGANISATIONEN FÖR EKONOMISKT SAMARBETE OCH UTVECKLING Enligt artikel 1 i den konvention som undertecknades i och trädde i kraft skall och utveckling () verka för en politik som går ut på att -åstadkomma högsta hållbara ekonomiska tillväxt och sysselsättning och en ökad levnadsstandard i medlemsländerna med bibehållen finansiell stabilitet, och på så sätt bidra till världsekonomins utveckling, -bidra till en god ekonomisk utveckling i medlemsländerna och i icke-medlemsländer inom ramen för den ekonomiska utvecklingsprocessen, och -bidra till världshandelns utveckling på multilateral och icke-diskriminerande basis i enlighet med internationella åtaganden. De ursprungliga medlemsländerna i är , , , , , , , , , , , , , , , , , , och . Följande länder blev medlemmar den dag som anges inom parentes: (), (), (), (), (), Republiken (), (), (), () och Republiken (). Europeiska gemenskapernas kommission deltar i arbete (artikel 13 i ). Originally published by the in English and in French under the titles: Guidelines for the Security of : Towards a Culture of Security Lignes directrices de l'OCDE régissant la sécurité des systèmes et réseaux d'information: Vers une culture de la sécurité © 2002, (), . All rights reserved. For this Swedish edition © 2004, , Employment and Communications. Published by arrangement with the , . The quality of the Swedish translation and its coherence with the original text is the responsibility of the , Employment and Communications. Originalets titel: Guidelines for the Security of : Towards a Culture of Security/Lignes directrices de l'OCDE régissant la sécurité des systèmes et réseaux d'information: Vers une culture de la sécurité Utgiven av efter en överenskommelse med . Version 5, . riktlinjer för säkerheten i informationssystem och nät – på väg mot en säkerhetskultur antogs som en rekommendation från vid dess 1 037:e session . RIKTLINJER FÖR SÄKERHETEN I INFORMATIONSSYSTEM OCH NÄT – PÅ VÄG MOT EN SÄKERHETSKULTUR........................................................................ PÅ VÄG MOT EN SÄKERHETSKULTUR ........................................ ....................... REKOMMENDATION FRÅN RÅDET .............................................. ......................... RIKTLINJER FÖR SÄKERHETEN I INFORMATIONSSYSTEM PÅ VÄG MOT EN SÄKERHETSKULTUR Användningen av informationssystem och nät och hela IT-miljön har förändrats dramatiskt , när först gav ut sina Riktlinjer för säkerheten i informationssystem. Dessa fortgående förändringar innebär betydande fördelar men kräver också ett mycket starkare säkerhetstänkande av alla de myndigheter, företag, organisationer och enskilda användare som utvecklar, äger, tillhandahåller, förvaltar, underhåller och använder informationssystem och nät (deltagare). I stället för de tidigare begränsade, isolerade systemen i till största delen slutna nät har vi fått allt kraftfullare persondatorer, konvergerande teknik och en utbredd användning av Internet. är deltagarna allt oftare uppkopplade mot varandra och uppkopplingarna går över nationsgränserna. Dessutom stöder Internet viktiga infrastrukturer, såsom inom energi-, transport- och finanssektorerna, och spelar en viktig roll för företagens affärstransaktioner, hur stater tillhandahåller tjänster till medborgarna och hur enskilda medborgare kommunicerar och utbyter information. Också tekniken inom kommunikations- och informationsinfrastrukturen har förändrats påtagligt. Antalet varianter av accessutrustningar har mångdubblats och omfattar såväl fasta, trådlösa som mobila utrustningar, och allt fler anslutningar sker genom ständig uppkoppling. Som en följd av detta har den utväxlade informationen förändrats påtagligt i fråga om egenskaper, volym och känslighet. På grund av den ökade möjligheten att koppla samman informationssystem och nät blir dessa nu utsatta för ett ökande antal och en större mångfald av hot och sårbarheter. Detta medför nya säkerhetsproblem. Dessa riktlinjer vänder sig därför till alla deltagare i det nya informationssamhället och pekar på behovet av en större medvetenhet och insikt om säkerhetsfrågorna och nödvändigheten att utveckla en säkerhetskultur. I.PÅ VÄG MOT EN SÄKERHETSKULTUR Dessa riktlinjer har föranletts av att säkerhetsmiljön är i ständig förändring och de syftar till att främja utvecklingen av en säkerhetskultur. Detta betyder att de särskilt fokuserar på säkerhet vid utvecklingen av informationssystem och nät samt införande av nya sätt att tänka och beteenden vid användning av och interagerande inom dessa. Riktlinjerna innebär en tydlig brytning med den tid då säkerheten vid utformning och användning av informationssystem och nät alltför ofta var ett resultat av efterklokhet. Deltagarna blir alltmer beroende av informationssystem, nät och tillhörande tjänster, som måste vara tillförlitliga och säkra. Det är bara genom att ta vederbörlig hänsyn till alla deltagares intresse och systemens, nätens och de berörda tjänsternas natur, som man kan skapa verklig säkerhet. Varje deltagare spelar en viktig roll för säkerheten. Deltagarna måste, alltefter sin roll i sammanhanget, vara medvetna om säkerhetsriskerna och förebyggande åtgärder, ta sitt ansvar och agera för att öka säkerheten i informationssystem och nät. Att bygga upp en säkerhetskultur kommer att kräva både ledarskap och ett brett deltagande och bör leda till att säkerhetsplanering och säkerhetshantering får högre prioritet. Likaså måste förståelse skapas hos alla deltagare för behovet av säkerhet. Säkerhetsfrågorna bör hanteras med omsorg och ansvar på alla nivåer i myndigheter och företag och av alla inblandade deltagare. Dessa riktlinjer lägger grunden för arbetet med att införa en säkerhetskultur i hela samhället. På så sätt kommer deltagarna att kunna verka för att säkerheten skall bli en integrerad del i utformningen och användningen av alla informationssystem och nät. Alla deltagare bör införa och främja en säkerhetskultur som ett sätt att tänka, analysera och agera på vid hantering av informationssystem och nät. Dessa riktlinjer har som mål att –främja en säkerhetskultur bland alla deltagare som ett sätt att skydda informationssystem och nät, –göra deltagarna medvetna om riskerna för informationssystem och nät, om de regler, förfaranden, åtgärder och rutiner som står till buds för att ta itu med dessa risker och om nödvändigheten att införa och tillämpa dessa, –främja ett ökat förtroende hos alla deltagare för informationssystem och nät och för det sätt på vilket de tillhandahålls och används, –skapa en allmän referensram som hjälper deltagarna att förstå säkerhetsfrågorna och ta hänsyn till etiska värderingar vid utformningen och användningen av regler, förfaranden, åtgärder och rutiner för säkerheten i informationssystem och nät, –uppmuntra alla deltagare att samarbeta och utbyta relevant information vid utformningen och användningen av regler, förfaranden, åtgärder och rutiner som rör säkerheten, –arbeta för att alla som deltar vid utveckling och införande av standarder skall uppfatta säkerhet som ett viktigt mål. Följande nio principer kompletterar varandra och skall ses som en helhet. De rör deltagare på alla nivåer, bl.a. beslutsfattare och användare. Deltagarnas ansvar varierar beroende på deras roll. Alla deltagare har nytta av medvetenhet, utbildning, informationsutbyte och praktisk träning som kan leda till ökad förståelse för området och ett bättre säkerhetsarbete. Insatserna för att förbättra säkerheten i informationssystem och nät bör vara förenliga med ett demokratiskt samhälles värderingar, särskilt behovet av ett öppet och fritt informationsflöde och en grundläggande omsorg om personlig integritet1. Deltagarna bör göras medvetna om behovet av säkerhet i informationssystem och nät och om vad de kan göra för att förbättra säkerheten. Medvetenhet om riskerna och tillgängliga skydd är det första steget för att öka säkerheten i informationssystem och nät. Informationssystem och nät kan hotas av både inre och yttre risker. Deltagarna bör förstå att säkerhetsbrister kan vålla allvarlig skada för system och nät som de kontrollerar. De bör också vara medvetna om att de riskerar att skada andra på grund av systemens sammankopplingar och inbördes beroenden. De bör känna till de egna systemens konfiguration och tillgängliga uppdateringar, systemets plats i nätet, vedertagna metoder för att förbättra säkerheten samt andra deltagares behov. Alla deltagare är ansvariga för säkerheten i system och nät. Deltagarna är beroende av sammankopplade lokala och globala informationssystem och nät och bör förstå sitt ansvar för säkerheten i dessa. Deras ansvar bör vara anpassat till deras respektive roller. Deltagarna bör regelbundet se över de regler, förfaranden, åtgärder och rutiner som de själva tillämpar och bedöma om dessa är lämpliga för deras miljö. De som utvecklar, utformar och tillhandahåller produkter och tjänster bör ta hänsyn till säkerheten i system och nät. De bör sprida lämplig information, om bl.a. uppdateringar, i rätt tid, så att användarna bättre kan förstå produkternas och tjänsternas säkerhetsegenskaper och vilket deras eget säkerhetsansvar är. 1 Utöver dessa säkerhetsriktlinjer har utformat kompletterande riktlinjer om andra frågor som är viktiga för det globala informationssamhället. De behandlar skydd för personlig integritet (the Protection of Privacy and Transborder Flows of ) och kryptering (1997 ). Föreliggande säkerhetsriktlinjer bör läsas tillsammans med dessa dokument. Deltagarna bör agera snabbt och samarbeta för att förhindra, upptäcka och reagera på säkerhetsincidenter. På grund av informationssystemens och nätens sammankoppling och risken för snabb och omfattande spridning av skador bör deltagarna agera skyndsamt och i samverkan för att hantera säkerhetsincidenter. De bör på lämpligt sätt utbyta information om hot och sårbarheter och införa rutiner för snabbt och effektivt samarbete för att förhindra, upptäcka och reagera på säkerhetsincidenter. Om det är tillåtet kan detta innefatta informationsutbyte och samarbete över nationsgränserna. 4)Etiska aspekter Deltagarna bör respektera andra deltagares rättmätiga intressen. Eftersom informationssystemen och näten är så spridda i våra samhällen måste deltagarna vara medvetna om att deras agerande eller underlåtenhet att agera kan skada andra. Ett etiskt uppförande är därför absolut nödvändigt, och deltagarna bör försöka utforma och använda goda förfaranden och sträva efter ett uppförande som tar hänsyn till säkerhetsbehoven och respekterar andra deltagares rättmätiga intressen. Säkerhet i informationssystem och nät bör vara förenlig med de grundläggande värderingarna i ett demokratiskt samhälle. Säkerhetsarbetet bör genomföras på ett sätt som ligger i linje med de värden som erkänns av demokratiska samhällen, bl.a. friheten att utbyta tankar och idéer, det fria informationsflödet, konfidentialitet för information och kommunikation, skydd för personuppgifter samt öppenhet och insyn. Deltagarna bör genomföra riskbedömningar. Vid riskbedömning kartläggs hot och sårbarheter. Riskbedömningen bör vara tillräckligt omfattande så att den täcker alla viktiga inre och yttre faktorer, t.ex. teknik, fysiska och mänskliga faktorer, regelverk och tredjepartstjänster som kan påverka säkerheten. Riskbedömningar gör det möjligt att fastställa en godtagbar risknivå. Med utgångspunkt i hur den information som skall skyddas är beskaffad och utformad underlättar riskbedömningen också urvalet av lämpliga åtgärder för att hantera risken för möjliga skador på informationssystem och nät. På grund av den ökande sammankopplingen av informationssystem, bör riskbedömningen innefatta den möjliga skada som andra deltagare kan komma att vålla eller utsättas för. 7)Utformning och genomförande av säkerhetsåtgärder Deltagarna bör införliva säkerheten som ett centralt inslag i informationssystem och nät. System, nät och regler måste utformas, användas och samordnas på ett sätt som optimerar säkerheten. En viktig inriktning, men inte den enda, är utformningen och användningen av lämpliga skydd och lösningar för att undvika eller begränsa potentiella skador från identifierade hot och sårbarheter. Det krävs både tekniska och icke-tekniska skyddsåtgärder och lösningar och de bör stå i proportion till värdet av informationen i organisationens system och nät. Säkerheten bör vara ett grundläggande inslag i alla produkter, tjänster, system och nät och integreras vid utformningen och uppbyggnaden av system. För slutanvändarna består skyddsåtgärderna till stor del i att välja och konfigurera produkter och tjänster till sina system. Deltagarna bör ha ett helhetsgrepp om säkerhetsarbetet. Säkerhetsarbetet bör grundas på riskbedömning och bör vara dynamiskt, gälla alla nivåer av deltagarnas verksamhet och alla aspekter av deras användning. Säkerhetsarbetet bör ske med framförhållning när det gäller hur man skall reagera på nya hot och gå ut på att förebygga, upptäcka och agera vid incidenter, återställning av system, fortlöpande underhåll, översyn och revision. Regler, förfaranden, åtgärder och rutiner som rör säkerheten i informationssystem och nät bör samordnas och integreras för att skapa ett sammanhängande säkerhetssystem. Kraven på säkerhetshantering beror på graden av delaktighet, deltagarens roll, den aktuella risken och systemkrav. Deltagarna bör se över och ompröva säkerheten i informationssystem och nät och vidta nödvändiga förändringar i fråga om regler, förfaranden, åtgärder och rutiner på säkerhetsområdet. Nya och föränderliga hot och sårbarheter upptäcks fortlöpande. Deltagarna bör kontinuerligt se över, ompröva och anpassa alla aspekter av de egna säkerhetssystemen för att hantera denna riskutveckling. REKOMMENDATION FRÅN RÅDET OM RIKTLINJER FÖR SÄKERHETEN I INFORMATIONSSYSTEM PÅ VÄG MOT EN SÄKERHETSKULTUR som beaktar konventionen om och utveckling av , särskilt artiklarna 1 b, 1 c, 3 a och 5 b, som beaktar rådets rekommendation om the Protection of Privacy and Transborder Flows of av [C(80)58(Final)], som beaktar förklaringen om Flows vilken antogs av regeringarna i medlemsländer [Bilaga till C(85)139], som beaktar rådets rekommendation om av [C(97)62/FINAL], som beaktar ministerförklaringen om the Protection of Privacy on av den 7–[Bilaga till C(98)177/FINAL], som beaktar ministerförklaringen om Authentication for Electronic Commerce av den 7–[Bilaga till C(98)177/FINAL], som erkänner att informationssystem och nät får allt större användning och är till allt större nytta för offentlig förvaltning, företag, organisationer och enskilda användare, som erkänner att informationssystemens och nätens allt viktigare roll och det ökande beroendet av dem för stabila och effektiva nationella ekonomier och för den internationella handeln, liksom i det sociala, kulturella och politiska livet, gör att det behövs särskilda skyddsinsatser och förtroendeskapande åtgärder på området, som erkänner att informationssystemen och näten och spridningen av dem över hela världen har gett upphov till nya och ökande risker, som erkänner att data och information som lagras i och sprids via informationssystem och nät hotas av olika typer av obehörig åtkomst, användning, orättmätigt tillägnande, förändring, missbruk, överföring av sabotageprogram, tillgänglighetsattacker eller förstöring och kräver lämpliga skydd, som erkänner att det är viktigt att höja medvetenheten om de risker som hotar informationssystem och nät, att sprida kunskap om de regler, förfaranden, åtgärder och rutiner som står till buds för att hantera dessa risker och att uppmuntra till ett lämpligt uppförande som ett avgörande steg på väg mot en säkerhetskultur, som erkänner att nuvarande regler, förfaranden, åtgärder och rutiner måste ses över så att de kan möta de ökande hoten mot informationssystem och nät, som erkänner att det finns ett gemensamt intresse att främja säkerheten i informationssystem och nät genom en säkerhetskultur som bygger på internationell samordning och samarbete, för att möta de utmaningar som ligger i de potentiella skador som säkerhetsbrister kan vålla nationella ekonomier, internationell handel och deltagandet i det sociala, kulturella och politiska livet, som vidare erkänner att de Riktlinjer för säkerheten i informationssystem och nät – på väg mot en säkerhetskultur som återfinns i bilagan till denna rekommendation är frivilliga och inte inverkar på nationernas suveräna rättigheter, och som erkänner att syftet med dessa riktlinjer inte är att hävda att det finns en enda lösning på säkerhetsfrågan eller att fastställa vilka regler, förfaranden, åtgärder och rutiner som är bäst i en given situation, utan att de bara syftar till att ge ett ramverk för att åstadkomma en bättre förståelse för hur deltagarna både kan dra nytta av och bidra till utvecklingen av en säkerhetskultur, ÖVERLÄMNAR dessa Riktlinjer för säkerheten i informationssystem och nät – på väg mot en säkerhetskultur till de myndigheter, företag, organisationer och enskilda användare som utvecklar, äger, tillhandahåller, förvaltar, underhåller och använder informationssystem och nät, införa och arbeta för en säkerhetskultur enligt beskrivningen i riktlinjer för säkerheten i informationssystem och nät – på väg mot en säkerhetskultur och se till att regler, förfaranden, åtgärder och rutiner på säkerhetsområdet utformas i enlighet med dessa riktlinjer, samråda, samordna och samarbeta på nationell och internationell nivå för att främja användningen av riktlinjerna, sprida riktlinjerna inom den offentliga och privata sektorn, bl.a. myndigheter, företag, organisationer och enskilda användare, för att främja en säkerhetskultur och uppmuntra alla berörda parter att ta sitt ansvar och vidta nödvändiga åtgärder för att använda riktlinjerna på ett sätt som är avpassat för deras individuella roll, ställa riktlinjerna till förfogande för icke-medlemsländer utan dröjsmål och på lämpligt sätt, se över riktlinjerna för att främja internationellt samarbete om frågor kring säkerheten i informationssystem och nät, ANMODAR , Computer and Communication Policy att arbeta för att riktlinjerna skall användas. Denna rekommendation ersätter rådets rekommendation om Riktlinjer för säkerheten i informationssystem av [C(92)188/FINAL]. Säkerhetsriktlinjerna sammanställdes första gången och reviderades år Den aktuella översynen företogs av the Working Party on (), enligt ett uppdrag från , Computer and Communications Policy (ICCP), och påskyndades efter händelserna . Den slutliga versionen sammanställdes av en expertgrupp från WPISP som sammanträdde i , DC, den 10–, i den 12–och i . WPISP sammanträdde i den 5–, 22–och 25–. riktlinjer för säkerheten i informationssystem och nät – på väg mot en säkerhetskultur antogs som en rekommendation från vid dess 1037:e session . Originalets titel: Guidelines for the Security of : Towards a Culture of Security. ISBN 9264059172, © 2002, (), . Översättningen utgiven efter en överenskommelse med , det är inte en officiell OECD-översättning. The original version of this book was published under the title Guidelines for the Security of : Towards a Culture of Security. ISBN 9264059172, © 2002, (), . This translation is published by arrangement with the . It is not an official translation. /publishing/translations – Translated versions of publications – online bookshop – e-library /oecddirect – title alerting service 1.Radio och TV i allmänhetens tjänst. Riktlinjer för en ny tillståndsperiod. 2.Radio och TV i allmänhetens tjänst. Finansiering och skatter. 3.Sveriges tillträde till Unidroit- konvention om stulna eller olagligt utförda kulturföremål. 4.Liberalisering, regler och marknader. 5.Postmarknad i förändring. En granskning av rymningarna från Kumla, , och 2004. 7.Försvarsfastigheter – information till och effektiv lokalförsörjning. 8.Behov av rörlig ledningsstödsresurs. Reformerat regelverk för handel med försvarsmateriel. 10.Handla för bättre klimat. Från införande till utförande. 11.Välfärdsverksamhet för sjömän. Det skall vara billigt att köpa böcker och tidskrifter. 13.Lördagsdistribution av dagstidningar. 14.Effektivare handläggning av anknyt- ningsärenden. 15.Familjeåterförening och fri rörlighet för tredjelandsmedborgare. 16.Reformerat system för insättnings- garantin. 17.Vem får jaga och fiska? Rätt till jakt och fiske i lappmarkerna och på renbetesfjällen. 19.Beskattningen vid omstruktureringar enligt fusionsdirektivet. 20.Konsumentskydd vid modemkapning. – beskattning av avfall som förbränns. Framtida organisation för Arbetslivs- tjänster och . 25.Gränslös utmaning – alkoholpolitik i ny tid.