sou · GTB371 · 2006-01-01 00:00:00 — Utredningen slog fast att informationssäkerhet är, och kommer att vara, en angelägenhet för var och en som hanterar information i någon form. måste arbetet med denna typ av frågor samordnas. Arbetet måste också bedrivas med såväl långsiktighet som beredskap i det korta perspektivet. Underlag för utredningens överväganden En analys av kriterier för vad som är samhällsviktig infrastruktur är nödvändig för att myndigheternas roller och ansvar skall kunna fastställas. Utredningen argumenterade för att utgångspunkten för fastställande av ansvar, åtgärder, finansiering med mera bör vara funktionsorienterad. har utgångspunkten för informationssäkerhetsarbetet varit situationsberoende i den meningen att ansvar varit beroende av i vilken situation som informationssäkerheten varit viktig. I första hand har uppdelning skett i termer av informationssäkerhet i fred respektive under höjd beredskap och krig. Utredningen menade att upprätthållande av samhällsviktig infrastruktur bör vara utgångspunkten för vilket ansvar staten har för informationssäkerheten. Utredningen fokuserade på legaldefinitioner som skulle kunna koppla samman de övergripande begreppen och definitionerna med de tekniska och administrativa som redan finns etablerade. Utredningen ansåg det viktigt att skapa en grund för tydligare författningar samt att öka spårbarheten inom informationssäkerhetsområdet och därmed möjligheterna att förankra begrepp och definitioner hos alla aktörer och användare. Ett problem som utredningen pekade på var att de begrepp som skapas för att fungera i rättsliga sammanhang inte alltid harmonierar med de begrepp som utvecklas och används av ansvariga för forskning och utveckling, producenter, leverantörer, systemkunniga, tekniker med flera. Nuvarande regelverk på informationssäkerhetsområdet är endast allmänt hållet och speglar knappast det faktum att en mycket stor del av informationshanteringen i samhället inte längre sker i traditionell fysisk form. Utredningen menade att begrepp och definitioner som rör informationssäkerhet måste konkretiseras ytterligare för att kunna tjänstgöra som verktyg och att regelverket i högre grad bör anpassas till hantering av handlingar i IT-system. Enligt utredningen föreföll det som att EU (och ) har bättre anpassade bestämmelser och tydligare visioner för informationssäkerhetsarbetet än . Några undantag från har inte gjorts från svensk sida. Bestämmelserna reglerar hantering av sekretessbelagda EU- uppgifter. Medlemsstaterna skall vidta lämpliga åtgärder så att det Underlag för utredningens överväganden vid hantering av sekretessbelagda EU-uppgifter säkerställs att bestämmelserna respekteras av medlemsstaternas myndigheter. Även om bestämmelserna bara omfattar sekretessbelagda EU- uppgifter skulle de kunna utgöra en utgångspunkt för utredningens fortsatta överväganden. Med den grundläggande definitionen av informationssäkerhet inom EU (uppgifter som lagras, bearbetas eller överförs i elektronisk form) som utgångspunkt skulle bestämmelser kunna konkretiseras utifrån den administrativa och tekniska hierarki som utarbetats inom . Utredningen pekade på regeringens möjligheter att genom den delegerade normgivningskompetensen utfärda förordningar för att styra statlig verksamhet. Det skulle således vara möjligt att samla bestämmelser om informationssäkerhet på motsvarande sätt som redan görs för krig och krigsfara genom BITS (för basnivå för IT-säkerhet). I detta sammanhang skulle begrepp och definitioner utvecklas. Utredningen erfor att flera myndigheter upplevde att begreppet rikets säkerhet i 2 kap. Sekretesslagen (1980:100) har ett för snävt tillämpningsområde. Vidare faller mycket av för samhället viktig verksamhet utanför säkerhetsskyddslagen (1996:627), eftersom den inte rör rikets säkerhet enligt dagens tolkning av begreppet. Till exempel borde begreppet inkludera ekonomisk säkerhet och attraktionskraft samt handelsstatus. bör dock inte gå längre i sin tolkning av när inskränkningar är tillåtna än vad som accepteras av den Europeiska domstolen för de mänskliga rättigheterna.3 Utredningen konstaterade att det kunde finnas anledning att analysera säkerhetsskyddslagen (1996:627) närmare i det fortsatta arbetet. Med hänsyn till den teknikutveckling som skett och särskilt med hänsyn till den omfattande användningen av Internet och e-post, ansåg utredningen att det fanns anledning att i det fortsatta utredningsarbetet ta ställning till om det behövs en mer genomgripande översyn av lagar och förordningar som har relevans 3 Konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () av . Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller jämte tilläggsprotokoll som svensk lag . Underlag för utredningens överväganden för dessa frågor. I lagen om elektronisk kommunikation (2003:389) regleras frågor om säkerhet vid elektronisk kommunikation. Genom en lagändring som trädde i kraft har säkerhetsfrågorna stärkts. Den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster skall se till att verksamheten uppfyller rimliga krav på god funktion och teknisk säkerhet samt på uthållighet och tillgänglighet vid extraordinära händelser i fredstid. Det internationella perspektivet konstaterades vara av stor betydelse både vad gäller säkerhetsskyddsklassning och brottsförebyggande och lagförande av IT-relaterad brottslighet. Utredningen slog fast att det föreligger ett generellt behov av att öka medvetenheten om sårbarheter och risker på alla nivåer i samhället. Dessutom finns det ett behov av att stärka beställarkompetensen bland annat hos ägare av samhällsviktig infrastruktur. Företeelsen outsourcing – att lägga verksamhet på entreprenad – ökar ytterligare behovet av beställarkompetens. Behov av kryptologisk kompetens i samhället är stort och växande. Kompetenskraven har höjts kraftigt . Utredningen avsåg att återkomma med förslag till åtgärder för hur detta behov skall kunna tillgodoses. För att täcka behov av utbildning och medvetandegörande som ansågs finnas, föreslog utredningen en rad åtgärder redan på grundskolenivå, som ett sätt att på bred front öka medvetandet. Beträffande högskolenivå angav utredningen sin avsikt att vidare belysa tillgången till säkerhetsinriktade ämnen inom bland annat tekniska och ekonomiska utbildningar. Som en del i samhällets säkerhetsförebyggande arbete finns skäl att överväga att bygga in rekommendationer om inslag av utbildning om sårbarhet och säkerhet som en normal del i grundutbildningarna i ett antal akademiska examina. En metod för att ytterligare utveckla beställarkompetens kan vara att använda gemensamma standarder för informationssäkerhet. Utredningen angav att man avsåg att värdera huruvida en mera generell användning av informationssäkerhetsstandard är en bra och resurseffektiv metod för att utveckla beställarkompetens samt en gemensam nivå vad gäller informationssäkerhet. Underlag för utredningens överväganden Den offentliga verksamheten måste på ett aktivt sätt ta tillvara den säkerhetskompetens och den snabba utveckling som finns inom den privata sektorn. Det är inte en uppgift för den offentliga sektorn att tillgodose behovet av leverantörskompetens, utan detta bör främst ske genom det utbud som utvecklas på den privata marknaden. Utredningen konstaterade dock att i den mån marknaden inte är tillräckligt stor, eller om det av någon annan anledning befinnes olämpligt, måste staten kunna träda in. När det gäller infrastruktur och informationssystem som är samhällskritiska, har staten ett särskilt ansvar. Det är därför av nationellt intresse att tillgodose samhällets behov av leverantörskompetens inom området. Utredningen redovisade sin avsikt att särskilt belysa möjligheterna till kompetensutveckling genom en mera generell användning av revisionsinstrumentet inom områdena informationssäkerhet och IT-säkerhet. Integrering av informationssäkerhet och signalskydd Utredningen kunde konstatera att centrala förvaltningsmyndigheter med flera i allt större omfattning begär stöd i signalskyddsfrågor även för hantering av skyddsvärd information som inte omfattas av sekretess enligt sekretesslagen (1980:100). Inom det internationella samarbetet har hävdat sig väl inom signalskyddsområdet och ofta uppskattats för sin kompetens. Utredningen konstaterade att en kvalificerad resurs för granskning och i tillämpliga fall kryptogodkännande av svensktillverkade produkter för internationella organisationers behov dock är nödvändig för att upprätthålla goda internationella anseende på området. Försvarsmakten utövar rollen som () genom Totalförsvarets signalskyddssamordning, TSA.4 Något formellt beslut har dock inte tagits i denna fråga. Utredningen ansåg att det finns ett behov av att tydliggöra denna roll på ett bättre sätt. 4 TSA organiseras av Försvarsmakten/MUST Säkerhetskontor. Underlag för utredningens överväganden Samordning av det internationella agerandet Målet för det svenska agerandet på den internationella arenan är att få genomslag för svenska intressen. Detta gäller på alla nivåer – regeringen, och myndigheterna. Utredningen konstaterade att det finns ett stort behov av samordning mellan olika aktörer. Med en väl genomarbetad och förankrad nationell strategi och en tydlig arbetsfördelning, såväl inom som mellan myndigheterna, bör de befintliga verktygen – det vill säga gemensam beredning, regleringsbrev och myndighetsinstruktioner – vara tillräckliga för att hantera såväl förutsedda som snabbt uppkomna frågor. Utredningen menade däremot att det kan finnas skäl att lägga större vikt vid de internationella frågorna när myndigheternas instruktioner och regleringsbrev ses över. Säkerhet måste ses som intäktsskapande eller kostnadsbesparande. Till exempel är visionen 24-timmarsmyndighet5 baserad på flera kvalitativa tjänster till medborgarna till lägre kostnader. Informationssäkerheten berör alla verksamheter och ligger inom varje enskild organisations ansvar. Informationssäkerheten måste lösas i det dagliga arbetet och i den ordinarie organisationen. Därför bör också säkerhetslösningarna finansieras inom de normala finansieringsramarna för verksamheten. Utredningen gjorde bedömningen att kostnaderna, alternativt de negativa effekterna, riskerar att bli avsevärt större om inga åtgärder vidtas. I den offentliga förvaltningen skall kostnaderna med anledning av de föreslagna åtgärderna redovisas i samband med årsredovisningen. Åtgärderna skall genomföras och finansieras inom tilldelade budgetramar inom respektive myndighetsansvar. När så är tillämpligt kan åtgärder samfinansieras mellan offentlig och privat sektor. Inom Utgiftsområde 6 Försvar samt beredskap mot sårbarhet sker en översyn av finansieringsprinciperna för anslaget 6:5 Civilt försvar. Utredningen avsåg att följa översynen av dessa principer. 5 Strategiskt arbete med att utveckla en sammanhållen elektronisk förvaltning. Underlag för utredningens överväganden Utgångspunkter för en nationell informationssäkerhetsstrategi Utredningen konstaterade att en nationell informations- säkerhetsstrategi bör ha ett långsiktigt, framåtblickande perspektiv, som kan ligga till grund för handlingsplan och åtgärder . Strategin bör vända sig till myndigheter, näringsliv och organisationer, men även till enskilda användare, då de flesta är anslutna till olika lokala, nationella eller internationella informationstjänster. 1.4.3SOU 2005:42 Säker information - förslag till informationssäkerhetspolitik I det tredje och senaste delbetänkandet presenterade utredningen sitt förslag till ramverk för organisering av informationssäkerhet. Utredningen redogjorde för de behov som har identifierats på informationssäkerhetsområdet och lade ett antal förslag. Principer för ansvarsfördelning och åtgärder Två principer har utkristalliserats: den första handlar om hotets ursprung och den andra om hotets möjliga konsekvenser. Enligt utredningens mening innebär den första principen att ansvaret för hantering av administrativa och tekniska säkerhetsbrister faller på den som är ansvarig för verksamheten. Detta följer även av ansvarsprincipen. Det utesluter dock inte att staten har ett ansvar, till exempel för vissa förebyggande åtgärder inom det privata området. Det kan vara svårt för enskilda och företag att skydda sig mot aktörsberoende, antagonistiska hot. Dessa hot kan mycket snabbt komma att kräva statliga insatser, särskilt när det gäller samhällsviktig verksamhet. Den andra principen innebär att ju svårare konsekvenser ett hot eller en brist kan leda till, desto mer sannolikt är det att staten kommer att involveras i någon form. I det statliga åtagandet bör därför ingå frågor om till exempel krishantering, brottsbekämpning eller totalförsvar. Med dessa starkt förenklade principer för arbets- och ansvarsfördelning inom informationssäkerhetsområdet som utgångspunkt kan fyra uppgifter eller handlingslinjer urskiljas: att förebygga, förbereda inför, förhindra respektive hantera allvarliga störningar. Dessa är uppgifter som flertalet aktörer måste axla i en Underlag för utredningens överväganden eller annan form. Två av dessa mål eller uppgifter ingår redan i regeringens strategi; förhindra och hantera. Det finns ingen definitiv lösning på problemet med informationssäkerhet. Därtill är problemet alldeles för komplext och området dessutom under ständig utveckling. Däremot finns det ett stort behov av att samordna informationssäkerhetsarbetet. En av utredningens huvuduppgifter är därför att se utvecklingsmöjligheter i den av regeringen angivna strategin för informationssäkerhet. En samlad bedömning av hotbild, risker och sårbarheter bör ligga till grund för verksamhetsansvarigas planering och arbete. Utredningen anser att en gemensam, nationell strategi och en samverkansprocess skulle kunna lära oss att leva med de problem som rör informationssäkerhet som inte går att undvika. Gränsen för vad som är den verksamhetsansvariges ansvar och sådana situationer som motiverar ingripande från staten kan inte dras med säkerhet. Utredningen menar att utgångspunkten här bör vara att staten är den aktör som har det övergripande ansvaret för helhetsbilden. Staten bör dessutom upprätthålla tillräcklig förmåga att hantera oförutsedda eller nya typer av allvarliga störningar och kriser. Det finns enligt utredningen skäl att införa informationssäkerhetspolitik som begrepp för att sammanföra de horisontella aspekterna (gemensamma eller liknande informationssäkerhetsproblem) av informationssäkerhet med de vertikala (informationssäkerhet i verksamheten). Att öka förtroendet för IT är en förutsättning för att utfallet av andra åtgärder på informationssäkerhetsområdet skall falla väl ut. Detta kan ske genom att öka kunskaperna om de risker och hot som finns, samt vilka åtgärder som kan vidtas. Utredningen anser att dessa åtgärder måste ske på en bred front. Det gäller att öka kompetensen i alla delar av samhället. Utredningen konstaterar att staten dessutom behöver egen och unik kompetens. Dels har staten krav på sig att ta ansvar för samhället, oavsett konjunkturer, och dels har staten det yttersta ansvaret för den nationella säkerheten – vilket ställer särskilda krav. Det krävs även ömsesidigt informationsutbyte och samarbete mellan den offentliga sektorn och näringslivet. Utredningen konstaterar att inte har tillräckliga resurser för att bygga dubbla strukturer. Utredningen konstaterar vidare att det behövs bättre rutiner för att tillvarata den information som finns i underrättelse- organen. Dessa myndigheter har en unik kompetens och använder Underlag för utredningens överväganden sig av unika metoder, men det måste säkerställas att den information de inhämtar inte stannar hos dem. Metoder för delgivning bör utvecklas för att kunna ge en helhetsbild av de risker och hot som finns inom IT-världen. Utredningen anser att det bör finnas en funktion för analys av de incidenter som inträffar, för att vi skall kunna dra slutsatser av dessa. Staten förfogar över en rad administrativa, ekonomiska och informativa styrmedel. I praktiken är dessa relativt svagt utvecklade på informationssäkerhetsområdet och utredningen lämnade därför förslag till inriktning av fortsatt författningsarbete och tillämpning av standard. Utredningen menar att en målstruktur för informationssäkerhet skulle kunna medverka till en sammanhållen politik på området. Utredningen framhåller att en strategi för informationssäkerhet måste kunna inrymma många aspekter, tidsperspektiv, mål och medel eftersom den syftar till att sammanfatta en handlingslinje på lång sikt. Strategin skall kunna ligga till grund både för privata och offentliga aktörer. En ökad informationssäkerhet måste därför bygga på att regeringen i en nationell strategi lyckas fånga in frågeställningar som kan omfattas av flertalet aktörer och intressenter. Strategin förutsätter därför att formerna för samverkan utvecklas. Dessutom krävs ett modernt regelverk som stödjer, framtvingar eller tydliggör krav på aktörerna och som säkerställer att säkerheten efterlevs. Strategin innefattar att: 1.utveckla position inom EU och i internationella sammanhang 2.skapa förtroende, trygghet, säkerhet och öka integritetsskyddet 3.främja ökad användning av IT 4.förebygga och kunna hantera störningar i informations- och kommunikationssystem 5.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen Underlag för utredningens överväganden 6.förstärka förmågan inom området nationell säkerhet I strategin bör även ingå att: 7.utnyttja samhällets samlade kapacitet 8.fokusera på samhällsviktig verksamhet 9.öka medvetenheten om säkerhetsrisker och möjligheter till skydd 2Nuvarande hantering av informationssäkerhet I Säkerhet i en ny tid (SOU 2001:41), från Sårbarhets- och säkerhetsutredningen betonades vikten av att säkerställa att viktiga IT-system skyddas från angrepp. Teknisk infrastruktur omfattar under fredstid bland annat elförsörjning, telekommunikationer samt informationsteknik som system. Staten har ett ansvar för den kritiska infrastrukturen. För att förbättra den svenska informationssäkerheten genomfördes en del förändringar i enlighet med propositionen Samhällets säkerhet och beredskap (2001/02:158). Fyra myndigheter fick särskilda uppgifter inom verksamhetsområdena teknikkompetens, omvärldsanalys, IT- incidenthantering samt evaluerings- och certifieringsfunktion: (), (), () samt (). Även Försvarsmakten med MUST (Militära underrättelse- och säkerhetstjänsten), () med () och Säkerhetspolisen samt Statskontoret är viktiga aktörer på informationssäkerhetsområdet. Så är även Datainspektionen, och , som kommer i kontakt med allmänheten i anledning av informationssäkerhetsfrågor. I detta kapitel kommer det att redogöras för resultaten efter förändringarna efter proposition 2001/02:158, en presentation av hur det ser ut på informationssäkerhetsområdet. Utredningen har funnit att en indelning med fördel kan göras av funktionerna som har att göra med informationssäkerhet; i administrativa respektive tekniska funktioner. Nedan följer därför en beskrivning av funktionerna utifrån denna indelning. Nuvarande hantering av informationssäkerhet Därefter vidtar en beskrivning av myndigheternas arbete på informationssäkerhetsområdet. Detta sker med utgångspunkt i varje enskild myndighet och dess verksamhetsområde. På den administrativa sidan har utredningen identifierat följande funktioner: samordning, kompetensförsörjning, tillsyn, informationsspridning, brottsförebyggande verksamhet samt internationell samverkan. En annan viktig funktion är samverkan mellan stat, kommuner, landsting och näringsliv – som utredningen framhållit i det tredje delbetänkandet, Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42). Funktionerna har ofta någon form av underfunktioner, vilka kan falla inom skilda myndigheters ansvarsområden. Inom funktionen samordning finner vi ledning, sårbarhetsanalys, planering, inriktning, analys av omvärldsutvecklingen och omvärldsbevakning. KBM är den myndighet som har samordningsuppgifter. Samverkan sker genom formaliserade samverkansorgan i KBM:s regi, till exempel informationssäkerhetsrådet och Samverkansgruppen för informationssäkerhet (Samfi) – där FMV, FRA, KBM, PTS, FM, Statskontoret samt RKP:s och Säkerhetspolisens S-BIT (samordningsfunktionen för brottsrelaterade IT-incidenter) ingår. S-BIT drivs av RKP och Säkerhetspolisen gemensamt och vid Samfis möten representeras S- BIT av en representant från RKP och en från Säkerhetspolisen. RKP är även svensk kontaktpunkt i internationell samverkan inom området IT-relaterad brottslighet. finns ingen som har ett utpekat ansvar för ledning av samordningen av informationssäkerhetsfrågorna. Det framgår emellertid av instruktionen för KBM att myndigheten skall ha ett Nuvarande hantering av informationssäkerhet informationssäkerhet genom att sammanställa en helhetsbild av informationssäkerheten.6 Sårbarhetsanalys sker inom KBM:s verksamhet. I instruktionen för KBM framgår att KBM inom sitt område skall sammanställa risk- och sårbarhetsanalyser.7 Även planering inryms i KBM:s verksamhet. KBM skall samordna planeringen av åtgärder som stärker beredskapen när det gäller krishantering och civilt försvar.8 Även om KBM:s uppgifter inom informationssäkerhetsområdet framgår av 5 § i instruktionen för KBM, så har många av de uppgifter som beskrivs i övriga paragrafer en direkt eller indirekt relevans för informationssäkerhetsområdet. sker ingen övergripande inriktning av informationssäkerhetsarbetet, även om varje myndighet enligt ansvarsprincipen har ett ansvar för sitt utnyttjande av informationstekniken – varje generaldirektör har ansvar för sin myndighet, varje chef har ansvar för sin verksamhet. KBM bedriver strukturerad och kontinuerlig omvärldsbevakning genom inhämtning och bearbetning av material från öppna källor, teknisk inhämtning, nationella kontakter med samhällets aktörer genom formella och informella nätverk samt internationella kontakter. Beträffande de nationella kontakterna finns en önskan om att i högre utsträckning få del av information från underrättelse- och säkerhetsorganisationer, dock inte på annat sätt än vad uppgiftslämnaren avsett, eftersom det utgör 6Förordning (2002:518) med instruktion för , 5 §. 7Förordning (2002:518) med instruktion för , 2 § p. 8Förordning (2002:518) med instruktion för , 3 §. Nuvarande hantering av informationssäkerhet grundförutsättningarna för att informationsdelning skall fungera. KBM skall i sitt arbete med informationssäkerhetsfrågor analysera omvärldsutvecklingen inom området mot bakgrund av erhållet underrättelseunderlag och lämna en samlad bedömning till regeringen.9 PTS utför omvärldsanalys vad gäller elektroniska kommunika- tioner och redovisar till regeringen läget i sektorn. Utöver denna årliga rapport resulterar arbetet i rapporter om angelägna säkerhetsproblem inom sektorn, till exempel avseende skräppost, spionprogram, phishing, och säkerhetsproblem i samband med IP- telefoni. Under kompetensförsörjning kan insorteras utbildning, forskning, beställarkompetens samt folkbildning. Det är viktigt att kompetens bibehålls och utvecklas även inom kryptologi och signalskydd, vilket behandlas längre fram under teknikkompetens och signalskydd. Internet är lätt att använda, och dessutom lättillgängligt för många i dagens samhälle. Men användandet medför risker. Därför är det av synnerlig vikt att kunskapen om informationssäkerhetsfrågor höjs på alla nivåer och i alla åldrar. Det gäller från över gymnasieskolan och vidare till universitetsnivå och framför allt i lärarutbildningen. är det ingen som har ett övergripande ansvar för utbildning inom informationssäkerhetsområdet. Forskning är en grundförutsättning för att vara förberedd och ligga långt fram inom informationssäkerhetsområdet.