sou · GTB342 · 2006-01-01 00:00:00 — har tillgång till datorer och förmåga till kommunikation mellan datorer blivit tillgängliga för de allra flesta. låg datoranvänd- ningen i hemmen på en låg nivå. De allra flesta saknade tillgång till Internet. Den enda egentliga risken var att datavirus kunde spridas via smittade disketter – datavirus som var harmlösa med dagens mått mätt. är läget annorlunda. De flesta hushåll är uppkopplade mot Internet , varav många dygnet runt med bredbands- uppkoppling. Riskerna har också förändrats. Datavirus som sprids med disketter förekommer nästan inte alls. är det datamaskar som på sprider sig jorden runt och kan orsaka skador för miljardbelopp. Trojaner är ett reellt hot, där angripare kan skaffa sig kontroll över till synes skyddade datorer. Förutom den skada detta kan förorsaka datorns innehavare, kan förövaren utnyttja den angripna datorn för fortsatta attacker mot andra över Internet. Utredningen utgår ifrån SIS definitioner av begreppet informationssäkerhet. Det innebär att informationssäkerhet definieras som säkerhet beträffande informationstillgångar rörande förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt spårbarhet och oavvislighet. Begreppet innefattar såväl teknisk IT-säkerhet som säkerhet i administrativa rutiner. har det allmänna säkerhets- medvetandet vid IT-användning höjts. , , har ett uppdrag att sammanställa information om Internetsäkerhet och göra den tillgänglig för Internetanvändare. Informationen skall vända sig till hushåll, små och medelstora företag och organisationer samt till små och medelstora myndigheter. Det övergripande målet är att öka medvetenhet och kunskap om säkerhet på Internet för en säkrare användning, där man inte utsätter sig själv eller andra för onödiga risker. En särskild webbplats med interaktiv utbildning samt informationsmaterial finns . har också ett särskilt verktyg tagits fram för enskilda användare för att kunna genomföra säkerhetstest av den egna datorn. Uppmärksammade erfarenheter av sårbarhet och risker i data- och kommunikationssystem har bidragit till att öka säkerhets- medvetandet såväl i näringsliv och myndigheter som hos enskilda IT-användare. Även etiska frågeställningar och frågor om integritet har fått ökad uppmärksamhet. En rad åtgärder måste enligt utred- ningen vidtas för att förbättra säkerhetsmedvetandet och öka kunskaperna om informationssäkerhet. Det bör bland annat ske inom ramen för utbildningssystemet. Det är lätt att lära sig och spännande att använda Internet, vilket gör att många barn och ungdomar använder tekniken i minst lika stor utsträckning som vuxna. Med detta följer flera risker. Barn inser inte på samma sätt som vuxna säkerhetsproblemen, utan öppnar till exempel gärna bifogade filer i e-post utan en tanke på att de kan innehålla skadlig kod. Barn har inte alltid omdöme att undvika olämpliga webbplatser och inte heller alltid förståelse för riskerna att lämna ut för mycket information om sig själv på egna webbsidor eller vid chattande. Det finns också en del ungdomar som har goda kunskaper i informationssäkerhet, men som av ungdomligt oförstånd och bristande uppfattning om etik och integritet använder kunskaperna till hackning och virusskapande. Norska undersökningar visar dessutom att det man i allmänhet föreställer sig vara viktiga problem ur säkerhetssynpunkt för barn och ungdomar, i verkligheten långt ifrån alltid är de allvarligaste. Ett ökat säkerhetsmedvetande bör därför också syfta till en mera realistisk uppfattning av vad som utgör verkliga sårbarheter och problem. Även om IT som sådant är lätt att ta till sig, är säkerhet inte lika lätt att lära sig. Datoranvändning lär man sig ofta på egen hand, och säkerhet följer inte med någon automatik. Med tanke på att IT nu blivit en del av vardagen för de allra flesta, kanske redan från förskoleåldern, både hemma och i skolmiljön, är det naturligt att skolan förmedlar kunskaper i informationssäkerhet som kan utveckla ett säkerhetsmedvetande, anpassat till respektive ålders behov och förutsättningar. Detta bör på ett tydligt sätt föras in i skolans läro- eller kursplaner på alla stadier. Det finns starka skäl att öka insatserna för en bred påverkan av attityder till informations- och IT-säkerhet. Främst gäller det att öka medvetenheten om sårbarhet och risker, men också om metoder och åtgärder för en säkrare IT-användning. Utbildningen bör också förmedla att information kan vara en av ett hushålls, företags eller ett samhälles allra viktigaste tillgångar som måste kunna skyddas. Som enskilda individer måste vi också vara beredda att ta personligt ansvar för säkerhet upp till en viss nivå. Utan säkerhetsmedvetande är flertalet åtgärder för att skapa en rimlig säkerhetsnivå av begränsat värde. Säkerhetsmedvetande bör därför byggas in redan i skolans grundläggande data- och IT- utbildning, både på grundskole- och gymnasienivå. Bristande kunskaper såväl i pedagogisk IT-användning som i informationssäkerhet hos lärare är en kritisk faktor för att kunna förmedla etik och medvetande om behovet av säkerhet i IT- användningen. En av och kompetens- utveckling () genomförd enkät visar att en majoritet av lärarstudenterna är missnöjda med utbildningens IT- del, vilket leder till att pedagogiska verktyg används i låg grad. Även om det finns en allmän kompetens när det gäller dator- användning som textbehandling och e-post så är dagens utbildning otillräcklig när det gäller att använda IT-verktyg i inlärnings- processen. Knappt hälften av lärarutbildarna använder IT-baserade läro- medel i undervisningen. Det leder till att inte heller de blivande lärarna gör det. Om inte de blivande lärarna får kunskap i att hantera IT i utbildningen försenas utvecklingen mot att använda IT som ett kraftfullt pedagogiskt verktyg i skolan. Eleverna får då en stor del av sitt IT-kunnande på andra vägar än genom skolans undervisning. Frågor om etik och säkerhet riskerar härigenom få ett alltför begränsat utrymme i elevernas medvetande. En klar majoritet av lärarna anser själva, enligt en enkät från , att deras egen bristande kompetens är ett hinder för att använda IT i utbildningen. anser tre av fyra elever att användningen av IT i skolan ökar motivationen för skolarbetet. satsar nu 100 miljoner på att stärka IT i Tillsammans med lärarutbildningar och sats- ningar inom kommuner och näringsliv beräknas insatsen överstiga . Det är angeläget att satsningen även får en inriktning på säkerhetsmedvetande i IT- användningen. läroplan för det obligatoriska skolväsendet, förskole- klassen och fritidshemmet (Lpo 94), framgår att rektor har ett ansvar för att ämnesövergripande kunskapsområden integreras i undervisningen i olika ämnen. Sådana kunskapsområden är exempelvis miljö, trafik, jämställdhet, konsumentfrågor, sex och samlevnad samt riskerna med tobak, alkohol och andra droger. Säkerhet och etik vid användning av datorer skulle med fördel kunna infogas i listan. I gymnasieskolan ingår datasäkerhet och kunskap om säker- hetsaspekter på bland annat Internet som ett moment i kursen Datorkunskap, som är gemensam i de flesta gymnasieprogram. Det finns också moment av informationssäkerhet i andra datakurser, framförallt inom den valbara kursen IT-samordning. Detta är i och för sig bra, men ser vi grund- och gymnasieskolan som en helhet finns åtminstone tre brister: Kunskap om säkerhetsproblem för att skapa säkerhetsmed- vetande kommer in alltför sent i undervisningen. I gymnasiet har eleverna redan använt datorer och Internet . Kunskap om informationssäkerhet tas i gymnasiet endast upp från ett tekniskt perspektiv. Det leder lätt till uppfattningen att säkerhet är något som tekniker ska leverera utan att andra ska behöva tänka på problemet. Användningen i skolan av IT-baserade läromedel och Internet är otillräcklig, delvis beroende på att många lärare saknar allmänkompetens för att använda IT som pedagogiskt hjälp- medel. Konsekvensen blir bristande medvetenhet. Det finns även anled- ning att låta informationssäkerhet ur ett icke-tekniskt perspektiv vara en del av utbildningen i andra gymnasieämnen, till exempel inom företagsekonomi, handel, mediekommunikation och samhälls- kunskap. IT som pedagogiskt verktyg bör också få en mera framträdande plats i lärarutbildning och fortbildning av lärare. En nationell kampanj för säkerhet på Internet – Surfa lugnt – genomförs med start i samverkan mellan ett femtontal statliga myndigheter, , Kommuner och Landsting och andra organisationer. Kampanjen syftar till att öka medvetenheten om hur man kan skydda sig på nätet och hur man genom ett personligt ansvarstagande kan undvika att bli utnyttjad. Kampanjen vänder sig bland annat till ungdomar och småföretagare och uppmärksamheten kommer förhoppningsvis att bidra till ett ökat säkerhetsmedvetande. 8.2Kvalificerad utbildning och forskning Dagens samhälle är beroende av IT och information. Den ökande förmågan att snabbt kommunicera stora och små datamängder med hjälp av elektroniska kommunikationer är en central funktion i globaliseringen. Informationstekniken krymper avstånd, höjer effektivitet och produktivitet i näringslivet och bidrar till en ökad förståelse mellan olika kulturer och världsdelar. Allt under förutsättningen att vi kan lita på att systemen är robusta och informationen korrekt. Utan tillgång till datorer och Internet kan företag och myndig- heter inte bedriva stora delar av sin verksamhet. Medborgare kan inte få den information och utföra de många datorbaserade tjänster som man är beroende av. Information är en av näringslivets och samhällets allra viktigaste tillgångar. Medan det finns lång erfarenhet av att säkra fysiska tillgångar genom exempelvis byggnormer och trafiksäkerhet, har vi inte kommit särskilt långt i att säkra informationsflöden och IT-system. Även om informationen ofta är tillgänglig, korrekt och skyddad för obehörig insyn, behövs ett strukturerat sätt att arbeta med infor- mationssäkerhet. Eftersom många system har nationell betydelse och är kritiska för samhällets funktionsförmåga, krävs också statlig kompetens inom området informationssäkerhet. Dessvärre finns många exempel på när myndigheter inte har gjort rätt, vilket () kunnat meddela respektive myndighet när man i samråd testat informations- säkerheten. Många samhällskritiska funktioner har allvarliga brister i policy, regler, teknik och uppföljning. Till stor del beror det på att organisationer har tvingats skapa sin egen policy, rutiner och skyddsåtgärder på egen hand, ofta utan stöd av en välkänd och etablerad standard på området. Den dag skydd av information och IT blir lika naturlig som dagens skydd av fysiska tillgångar kommer samhällets risker på området att minska. Några exempel på vad som har framkommit i testerna: En grupp inom en myndighet arbetade med ett känsligt projekt – så känsligt att gruppen såg sig nödgade att administrera sin Internetanslutning själva, helt utanför myndighetens ordinarie administration. Under tester i projektet ansåg gruppen att det var för krångligt att jobba med brandväggen, varför de ställde datorer utanför denna. En amerikansk organisation kontaktade senare myndigheten och meddelade att de utsattes för ett hackningsförsök som var spårat till denna. Efter kontroll av FRA visade det sig att hackare i flera omgångar hade tagit kontroll över datorer på myndigheten. Hackarna hade bland annat använt dessa för att ta kontroll över andra på Internet och för att installera s.k. underground chat-servrar. En av datorerna hade tidigare blivit infekterad av en mask. Den hade varit utan tillräckligt skydd mot Internet . Hela den lösning projektet använde har under senare tester visat sig klart undermålig. Med bättre teknik, rutiner, regelverk och framförallt medvetenhet hade detta inte inträffat. Kostnaderna för att städa upp efter misstagen var inte obetydliga. Myndighetens och anseende inför den amerikanska organisationen har också lidit skada. Ett företag hade fått mycket känslig information stulen över Internet. Systemen hade hackats vid olika tillfällen och på olika sätt av en ytterst kompetent hackare. Denne har sannolikt försökt auktionera ut informationen till olika intressenter. Det som möjliggjorde för hackaren att stjäla informationen kan direkt härledas till den mänskliga faktorn. Trots att företaget kontinuerligt ser över sin policy och sitt regelverk räckte det att implementeringen på ett par ställen inte hade utförts i enlighet med dessa. Förlusten av den aktuella informationen skulle allvarligt ha äventyrat företagets verksamhet och renommé om det visat sig att hackaren agerat på någon illa- sinnad aktörs uppdrag eller på annat sätt spridit vidare den olovligt åtkomna informationen. framkom inte i detta fall. Företaget som upptäckte intrånget i systemen, tog i ett tidigt utredningsskede kontakt med polisen. Frånvaron av internationella och effektiva spårningsmeka- nismer runt Internet – legala såväl som praktiska – medförde att utredningstiden blev mycket lång, , och resurs- krävande för både polis och målsägande. En myndighet hade utsatts för åtminstone två kvalificerade trojan-attacker. Man kunde konstatera att förövaren hade kommit över mycket sekretess- känsliga dokument. Även i detta fall kan de utnyttjade tekniska bristerna direkt härledas till bristfälliga policyn och rutiner som, i den mån de existerade, inte var kända av dem som berördes. Medvetenheten har varit låg, vilket till del beror på att nyckelpersoner i ledande position haft en ovilja att se behovet av informationssäkerhet. Den konstaterade förlusten av information har orsakat mycket stor skada för myndigheten och för . På en myndighets webbserver upptäcktes en mask med en installerad bakdörr. Denna kunde konstateras ha varit aktiv utan upptäckt, trots att masken var av ett primitivt slag. Antalet personer som obehörigen har varit inne på denna server är troligtvis mycket stort, kanske tusentals. Detta kunde hända därför att myndigheten saknade virusvarningssystem och inte heller hade rutiner och regler för till exempel hur man ska sätta upp en webbserver. Skadan för myndigheten och är omöjlig att uppskatta då det inte går att veta vilka som varit inne på servern och inte heller vad dessa gjort eller vilka dokument de kommit över. De redovisade exemplen är endast ett urval av brister som fram- kommit i den kvalitetshöjande testverksamheten. De visar både på behov av en höjd utbildningsnivå inom området informa- tionssäkerhet, och behov av att använda kvalitetsmetoder vid säkringen av informationssystem. En stor del av utbildningen i informationssäkerhet och IT- säkerhet sker genom enskilda företag som utbildningsanordnare och via konsultinsatser i anslutning till utvecklingen av nya system och produkter inom IT-området. Det sker främst i form av fort- bildning, men till betydande del även som grundläggande utbild- Utbudet av dessa utbildningar är omfattande. De uppdateras kontinuerligt och är i praktiken en del av IT-utvecklingen. En betydande del av utbildningsbehovet måste tillgodoses inom högskolans ram. Liksom inom högskolan i övrigt, måste inom området informationssäkerhet kopplingen stärkas mellan utbild- ning och forskning. Utbildningen skall vila på vetenskaplig grund, liksom på beprövad erfarenhet. Ett viktigt tillämpningsområde för forskningen inom informationssäkerhetsområdet måste vara som utgångspunkt för den utbildning som bedrivs i kompetenshöjande syfte. Det gäller både för kortare eller mera grundläggande utbild- ningar och för mera specialinriktade utbildningar som förbereder för fortsatt forskning eller kvalificerad verksamhet inom området informationssäkerhet. Informationssäkerhet måste i dagens samhälle utgöra en bas- kunskap för många yrkesgrupper – alltifrån jurister, samhällsvetare och ekonomer till tekniker. En nödvändig förutsättning för ett bra innehåll och kvalitet i utbildningen är att det finns en tillräcklig kår av högstadielärare som även är aktiva forskare inom området. Jurister behöver definiera vilken information som är nödvändig för att en organisation skall kunna uppfylla sina legala skyldigheter. En särskild svårighet finns i mötet mellan juridiken och tekniken. I den privata sektorn blir detta tydligt vid upprättandet av avtal. Inom den offentliga sektorn visar sig svårigheterna också vid utredning och lagföring av brott. Inom rättsväsendet finns ett stort behov av kompetens på informationssäkerhetsområdet, inte minst när det gäller polis och åklagare. I domstolarna är det åklagarens uppgift att åskådliggöra brottet och de element som ingått i den brottsliga handlingen. De bevis som åberopas är ofta tekniskt komplicerade och den koppling mellan den åtalade och brottet som beviset skall styrka är inte alltid uppenbar för den som saknar särskilda kunskaper på området. ) är en forskningsavdelning vid universitets juridiska fakultet. Viktiga delar av verk- samheten omfattar informationssäkerhetsfrågor. I den juridiska grundutbildningen tas dessa frågor upp redan under första studie- året och återfinns senare såväl på magisternivå som på doktorand- nivå. För dataingenjörer och systemvetare borde det vara självklart att IT-säkerhet ingår i utbildningen. Men det är viktigt att inte begränsa sig till IT-säkerhet, utan även ha en förmåga att sätta in det i det större sammanhanget, informationssäkerhet. utbildningar, till exempel inom ekonomi, juridik och samhälls- vetenskap borde som en del i utbildningen kunna ingå att analysera ett fiktivt företag eller en myndighet och göra en informa- tionssäkerhetsanalys med avseende på vilka de kritiska informa- tionstillgångarna är. Hur skyddas tillgångarna? Vilken policy och vilka rutiner bör skapas? IT-säkerhet är en del av skyddet, men endast en del. Samhällsvetare behöver analysera vilken information som oundgängligen måste kunna flöda inom ett samhälle. Ekonomer kan beräkna vad tillgång till information kan betyda i produktivitet och i ekonomiskt hänseende. De kan också omsätta vad förlust av information kan betyda i ekonomiska termer och utifrån detta beräkna skyddsbehovet. Tekniker kan sedan utifrån de analyser som andra yrkeskategorier presenterar, ta fram teknik som gör det möjligt att hantera information på det önskade sättet. hanterar tekniker ofta informationssäkerhet utan tillräcklig förankring i sin organisations aktuella behov. Tekniker får ofta på egen hand lösa balansen mellan å ena sidan tillräckligt god informationssäkerhet och å andra sidan effektivitet och smidighet i de valda lösningarna. I den mån de har förankrat denna balans i sin organisation, vilar dessvärre ofta förankringen inte på någon genomtänkt policy baserad på organisationens faktiska behov. Generellt kan sägas att de utbildningar som är vanliga hos personer i högre ledande befattningar i såväl offentlig som privat verksamhet, bör innehålla en del av grundläggande informations- säkerhet. Som framgår av exemplen på funna brister, hade dessa kunnat undvikas om ledningen hade haft högre medvetenhet och kunskap i informationssäkerhet. Om vill fortsätta sin strävan att vara en ledande IT-nation, måste det anses vara en prioriterad åtgärd att höja medvetenheten och kunskapen i myndigheters och företags ledningar. Det finns mot denna bakgrund skäl att etablera en frivillig men rekommenderad grundläggande kurs i informationssäkerhet på 3–5 poäng inom utbildningarna till civilingenjör, civilekonom, jurist och samhällsvetare. Man bör också överväga att ha en motsvarande kurs i efterutbildningen av läkare. För systemvetare och data- ingenjörer bör en sådan kurs vara obligatorisk med möjlighet till ytterligare fördjupning på ca 5 poäng. finns utbildningsprogram och fristående kurser på hög- skolenivå inom området. En kartläggning av utbildning inriktad mot samhällets krisberedskap på högskolor och universitet i har genomförts av . Resultatet anger att inom området Informationssäkerhet finns fem utbildningsprogram och ett tjugofemtal fristående kurser med inriktning mot krisberedskap. De har ett intag på totalt drygt 650 platser . Det finns ytterligare program och fristående kurser inom området, huvudsakligen med mera teknisk inriktning. Som ett exempel kan nämnas i , vars institu- tion för Data och IT har ca 200 anställda, inklusive doktorander. Institutionens två grundutbildningar är D- respektive IT-linjerna. D-linjen är djupare och mera teknisk, medan IT-linjen har större bredd. De valfria kurserna gör att skillnaden mellan utbildningarna i praktiken inte blir så stor. En av de valfria kurserna som institutionen ger är 3 poäng Data- säkerhet. Denna kurs kan läsas även av studenter på andra program, som elektroteknik, eller av studenter på . Kursen har en tyngdpunkt på IT-säkerhet, men berör även standarder i viss mån. De mjuka (programorienterade) delarna i kursen är problematiska. Dels är det svårt att finna aktuell och relevant kurslitteratur, dels kan det vara svårt att motivera teknologer att intressera sig för icke-tekniska aspekter. Från institutionen är man positiv till att föra in fler element om standarder, bland annat Ledningssystem för informationssäkerhet (). samlas alla IT-säkerhetskurser till en fördjupningsinrikt- ning – Security. Bland programmen kan nämnas Datateknik, nätverk och säkerhet, 120 poäng vid KTH, IT-säkerhet 120 poäng vid , Nätverk och datasäkerhet 120 poäng vid och Tillförlitliga datorsystem 60 poäng påbyggnad vid . Vid finns även en vidareutbildning för yrkesverksamma. Utbildningen är en kompetenshöjande vidare- utbildning inom IT-säkerhet och går på halvfart . Personal från , och Polis- högskolan har deltagit vid planeringen av utbildningen. Det finns också ett magisterprogram i Security på 60 poäng vid . Den har inriktning på IT-säkerhet och delvis på IT-forensisk (kriminalteknisk) verk- samhet. grundutbildningar kan byggas på med en ettårig mastersutbildning. erbjuder kursen Tillförlitliga datorsystem (, DCS). I denna ingår obligatoriskt 4 poäng datasäkerhet. är det tänkt att utbildningssystem ska ha anpassat sig enligt Bolognadeklarationen, som syftar till att likforma de europeiska utbildningssystemen för att främja rörlighet, öka anställningsbarhet och öka attraktivitet som utbild- ningskontinent. Modellen innebär i stora drag grundutbildning, masterutbildning och doktorandutbildning. Konsekvensen för blir att av grundutbildningen flyttar till masters- utbildningen. DCS-programmet blir alltså tvåårigt och kommer att ingå i det normala utbildningsprogrammet. Förslaget till nytt mastersprogram kommer att behandlas . Enligt vad utredningen erfarit kommer den nya mastersutbildningen att få tydligare inslag av informationssäkerhet. Bilden från andra universitet och högskolor varierar en del från Chalmersexemplet. Den kommer sannolikt att bli mera likartad, i takt med att Bolognamodellen får genomslag i utbildnings- organisationen. Gemensamt är dock att helhetssynen på informa- tionssäkerhet, och utbildningen om standarder, till exempel Ledningssystem för informationssäkerhet behöver förstärkas, även i utbildningar som fördjupar delar av informationssäkerhets- området, tekniskt eller i annat avseende. Problemet med relevant kurslitteratur är också generellt för informationssäkerhet. Det beror delvis på den snabba utvecklingen inom området, delvis på att informationssäkerhetsfrågornas betydelse behöver öka även inom universitets- och högskoleområdet. Behovet av kvalificerad utbildning i informationssäkerhet ökar bland annat i takt med det växande behovet att kunna rekrytera personer till ledande befattningar inom näringsliv och förvalt- ningar. har alltfler företag, efter internationell förebild, börjat använda uttrycken CIO eller CISO, Chief Information Officer respektive Officer (närmast Informationssäkerhetschef eller -direktör), som titel på den högste ansvarige inom informationssäkerhet.