sou · GTB371 · 2006-01-01 00:00:00 — har deltagit alltmer aktivt i internationella signalskyddssammanhang. För att det internationella arbetet skall vara väl koordinerat behövs en utpekad (), det vill säga en organisation i landet som ansvarar för signalskyddsfrågor, och en (), en organisation som är behörig att distribuera kryptonycklar. Försvarsmakten har ansökt om att få fylla dessa funktioner. Utredningen anser det nödvändigt för att det internationella arbetet på signalskyddsområdet skall fungera att detta förhållande avgörs. Det är inte minst viktigt för att , liksom andra medlemsländer, förväntas bidra till kvalificerad informationssäkerhet för EU. Det är också nödvändigt för att anpassa till de regler som används i internationella insatser. Ett avgörande kan innebära att Försvarsmaktens roll som NCSA och NDA formaliseras eller att annan myndighet utses. Utredningen föreslår att den nybildade myndigheten, IST, ges uppgifterna som NCSA och NDA. , Sitic vid () ansvarar för systemet för informationsutbyte om IT- incidenter mellan samhällets alla aktörer - myndigheter, kommuner, organisationer, näringsliv och enskilda. Uppgiften är bland annat att snabbt sprida information om IT-incidenter, att lämna information och råd om förebyggande åtgärder, att sammanställa och ge ut statistik som underlag för kontinuerliga förbättringar i det förebyggande arbetet. Sitic samverkar med bland annat KBM, FRA, Statskontoret, RPS, Säkerhetspolisen och FMV i uppbyggnaden av centrumet. Organisatoriska konsekvenser av utredningens förslag Inrättandet av Sitic innebär inget avsteg från ansvarsprincipen. Varje myndighet eller annan organisation ansvarar själv för sin informationssäkerhet. Sitic lämnar också förebyggande information, dels som publiceras som förebyggande råd, dels i seminarieform. Statistik förs över IT-incidenter och Sitic har bidragit till det testverktyg för IT-säkerhet som finns på PTS webbplats. Internationella kontakter och samarbete är av avgörande betydelse för ett incidentcentrum för tillgång till omedelbar information och erfarenhetsutbyte. Inom EU deltar Sitic bland annat i EGC-gruppen, , där liknande nationella centra ingår. Sitic är också en av ackrediterade medlemmar i den europeiska organisationen Incident Response Teams (TF- CSIRT). Ackrediteringen innebär att centrat uppfyller kriterierna för fullständig medverkan i organisationens hantering av incident- och sårbarhetsinformation. Sitic är även fullvärdig medlem i Forum of Incident Response and Security Teams, FIRST. Det är en global organisation bestående av incidenthanteringsgrupper som tillsammans hanterar och förebygger incidenter inom området informationssäkerhet. Rapporteringen av incidenter till Sitic har blivit mindre än förväntat från starten. Det beror på flera orsaker. Många känner fortfarande inte till Sitics arbete. Statliga myndigheter och kommuner är inte skyldiga att rapportera incidenter. Sekretessfrågan var initialt oklar, varför många företag tvekade att rapportera av sekretesskäl. Allt fler luckor i säkerhetssystemen rapporteras direkt från programleverantörerna. Marknaden erbjuder också program med allt snabbare uppdatering av bland annat virusskydd och brandväggar, vilket har en god förebyggande effekt. ökar mängden skadlig kod som sprids i näten . Statistikföringen fyller ändå en funktion för att spegla frekvensen och förekomsten av IT-incidenter som kan jämföras med internationell statistik. Den är ett komplement till Sitics arbete med identifiering av risker och uppgifterna att lämna information och råd. Om Sitic skall fungera som avsett krävs ett nära och förtroendefullt samarbete med andra aktörer inom informationssäkerhetsområdet, inte minst med KBM och den nya myndigheten, IST, som föreslås få särskilt samordnande uppgifter för den nationella informationssäkerheten. Det är angeläget att Organisatoriska konsekvenser av utredningens förslag sådana väl fungerande samarbetskanaler finns såväl på ledningsnivå i myndigheterna som på handläggarnivå. Utredningen anser att särskild vikt bör läggas vid att upprätthålla ett väl fungerande samarbete. Sitic har en budgetomslutning på . Personalstyrkan är drygt 10 personer. En mera utåtriktad förebyggande information från Sitic kan kräva ytterligare resurser. Finansieringen sker ur KBM:s så kallade civila ram. Utredningen föreslår att verksamheten, som kan ses som permanent, finansieras med ordinarie anslagsmedel, vilket kan ske genom att den civila ramen reduceras i motsvarande grad. 4.5.2Certifieringsorganet för Common Criteria Det nationella systemet för evaluering och certifiering av IT- säkerhet i produkter och system i enlighet med IS 15408 Evalueringskriterier för IT-säkerhet i produkter och system (Common Criteria) etablerades efter beslut . FMV har fått regeringens uppdrag att bygga upp systemet. FMV har kontakter och samarbeten med de underrättelse- och säkerhetsmyndigheter i andra länder som är aktiva inom området. För beskrivning av informations- säkerhetsstandarden (Common Criteria) hänvisas till utredningens betänkande Säker information – förslag till informations- säkerhetspolitik (2005:42). Certifieringsorganet är nu etablerat som en oberoende funktion inom FMV med namnet Certifieringsorgan för IT- säkerhet, CSEC. Arbetet med att etablera certifieringsordningen är genomfört. Detta arbete omfattar bland annat utarbetande av kvalitetsmanual, ansvarsbeskrivningar, beskrivningar av processer för licensiering av evalueringslaboratorier, regler för genomförande av certifieringar samt utbildning av certifierare och evalueringsföretag. Grundutbildningen av certifierarna avslutas . Utbildningen är ettårig och omfattar bland annat övningar där autentiska IT-produkter granskas under handledning av internationella experter. Ett utbildningsmaterial för evalueringsföretagen har utarbetats och utbildning har genomförts för dessa. Examinerade deltagare kan nu börja verka inom certifieringsförordningen. Utbildningen är regelbundet återkommande. Organisatoriska konsekvenser av utredningens förslag CSEC deltar i den internationella samarbetsorganisationen , som utvecklar standarden för granskning av IT-säkerhet i produkter och system och har där deltagit i olika arbetsgrupper. Certifieringsorganet har deltagit i den slutliga tekniska beredningen av den nya versionen av Common Criteria, liksom i granskningen av certifieringsorgan. Ansökan för ackreditering av CSEC till Styrelsen för ackreditering och teknisk kontroll (Swedac) lämnas . CSEC är därmed redo att genomföra de första certifieringsuppdragen. Uppbyggnaden av verksamheten har tagit . Härnäst genomförs certifieringar, varefter CCRA granskar det svenska systemet. Det internationella erkännandet av certifieringsordningen kan förväntas före utgången av 2006. Utredningen finner att de motiv som anfördes inför riksdagsbeslutet om etableringen av ett svenskt system för evaluering och certifiering alltjämt är giltiga. Utredningen har också i tidigare betänkanden betonat vikten av att tillämpa existerande internationella standarder inom IT-säkerhetsområdet. Common Criteria syftar till att sammankoppla ledningsfunktioner, inklusive riskhantering, och mer detaljerade tekniska specialstandarder med hur krav på säkerhets- och skyddsfunktioner ska kunna härledas, uttryckas och verifieras i de tekniska lösningarna i IT-produkter och program. Utredningen har tagit del av rapporter och synpunkter från FMV och Swedac och funnit att det föreligger skilda uppfattningar om vem som har huvudansvaret för den nationella certifieringsordningen, certifieringsorganet eller signatären. Dessa skillnader har skapat oklarheter varför instruktion bör ges till berörda myndigheter som tydliggör deras roller. Swedac har framfört att signatärskapet bör handhas av en myndighet som har ett övergripande föreskrivande ansvar för informationssäkerhet. Utredningen delar denna uppfattning och anser därför att signatärskapet bör föras över till KBM. Detta bör genomföras . är det angeläget att såväl Swedacs som CSEC:s kompetens i tekniska frågor tas tillvara. Swedacs uppgifter och roll för ackreditering och teknisk kontroll föreslås i övrigt oförändrad. CSEC beräknas ha en budgetomslutning på . Antalet sysselsatta motsvarar 8 heltidstjänster. Finansieringen har skett genom projektmedel från KBM:s så kallade civila ram. När verksamheten med certifiering har kommit igång tillkommer vissa avgiftsintäkter. Organisatoriska konsekvenser av utredningens förslag För kostnader som kan hänföras till enskilda certifieringar, bör kostnadstäckande avgifter tas ut enligt sedvanliga principer för avgiftsfinansiering. Kostnaden för grundverksamheten beräknas dock ligga kvar i stort sett på nuvarande nivå. Utredningen föreslår att CSEC:s grundverksamhet finansieras genom ordinarie anslagsmedel då den fyller en viktig roll i arbetet för säkrare IT-produkter och program och då verksamheten nu kan betraktas som etablerad. Finansiering bör ske genom motsvarande reduktion av den så kallade civila ramen. Utredningen har i tidigare betänkanden framhållit att det statliga åtagandet medför krav på att bygga upp förmåga inom flera viktiga områden och att lösa ett antal uppgifter i den statliga verksamheten. Långt ifrån alla krav eller uppgifter är beroende av hur staten organiserar sin verksamhet. Inom några områden kan det dock enligt utredningens mening finnas anledning att ytterligare tydliggöra vissa myndigheters ansvar och uppdrag. Utredningen har i sitt tredje delbetänkande Säker Information – förslag till informationssäkerhetspolitik (SOU 2005:42) föreslagit att den nationella strategin utvecklas till att omfatta förebyggande och förberedande insatser, liksom åtgärder som förstärker förmågan att upptäcka störningar och ingripa vid misstanke om brott. För några av de myndigheter som har föreskriftsrätt i frågor som berör informationssäkerhet kan det således finnas anledning att ytterligare förtydliga detta uppdrag och att tilldela resurser för uppgiften Polisväsendet har ett brett mandat inom brottsbekämpning, med stöd av flera lagar och förordningar. Säkerhetspolisen har dessutom den föreskriftsrätt som följer av Säkerhetsskyddsförordningen (1996:627). Huvudsyftet enligt säkerhetsskyddslagen är att kunna upptäcka, ingripa och utreda misstankar om brott mot rikets säkerhet.44 Med föreskriftsrätten följer också uppgiften att ge mer praktiskt inriktade råd och anvisningar för myndigheter, kommuner och vissa företag. Allvarliga IT-incidenter utgör i grunden ofta brott. Inom informationssäkerhetsområdet har det visat sig att en rad myndigheter och andra organisationer har behov av polisens 44 (1962:700) kap. 19. Organisatoriska konsekvenser av utredningens förslag medverkan i olika arbets- och samverkansgrupper. Polisen och Säkerhetspolisen kan genom sina operativa uppdrag tillföra erfarenheter inom området. är kontaktpunkt inom ramen för G8:s 24/7 Crime arrangemang och , , vilket understryker att polisen är en viktig aktör i samhällets informationssäkerhetsarbete. För att möta dessa omvärldskrav och ett önskemål om samordning internt inom polisen, har en för och Säkerhetspolisen gemensam funktion S-BIT etablerats. Då verksamheten inte fått öronmärkta medel för området har funktionen endast ett begränsat antal tjänster, mot planerade 12. För att leva upp till de beskrivna målen och de krav och önskemål som ställs på polisen inom området informationssäkerhet är det önskvärt att särskilda medel kan avsättas för ändamålet. S-BIT:s verksamhet bör därför delvis finansieras med medel ur KBM:s så kallade civila ram eller genom anslagstilldelning. Allt större del av den brottsutredande verksamheten kommer i kontakt med IT och kräver kunskaper om bevissäkring och undersökning i IT-miljö, så kallad IT-forensisk verksamhet. Inom det IT-forensiska området och vid vissa tekniska problem, lämnar FRA i vissa fall stöd till polisen. Det är dock viktigt att påpeka att kriminalteknisk verksamhet i huvudsak bedrivs inom polisen, Säkerhetspolisen och , . Det är därför av vikt att metodutvecklingen vad gäller IT-forensisk verksamhet sker inom polisen, i första hand vid SKL. Den föreslagna myndigheten, IST, bör dock kunna vara en stödjande resurs, särskilt ifråga om kryptologisk kompetens. Enligt utredningen är det nödvändigt att Säkerhetspolisen har tydliga mandat och resurser att bedriva uppsökande och rådgivande verksamhet inom området informationssäkerhet Utredningen har pekat ut ett särskilt ansvar för staten ifråga om informationssäkerheten i all samhällsviktig verksamhet, oavsett om den är i privat eller offentlig ägo. För Säkerhetspolisen liksom för andra myndigheter som bedriver verksamhet med stöd av sin föreskriftsrätt är det därför enligt utredningen önskvärt att denna inriktning tydliggörs. Det kan utgöra ett stöd i Säkerhetspolisens prioriteringar och inriktning av den egna verksamheten. 5Ekonomiska konsekvenser av utredningens förslag Utredningens förslag innebär en höjd ambitionsnivå för samhällets informationssäkerhet. Vissa av förslagen medför ökade kostnader. Det gäller dels ökade resursbehov vid (), dels vid den föreslagna myndigheten, IST, som föreslås få policyansvar och administrativt samordnande ansvar respektive tekniskt samordnande ansvar för samhällets informationssäkerhet. Finansiering föreslås ske genom avräkning från KBM:s så kallade civila ram, 7:5 Krisberedskap. Efter avräkning av medel ur anslaget 7:5 Krisberedskap kvarstår ett ökat anslagsbehov med för att kunna genomföra utredningens förslag till förbättrad informationssäkerhet. Utredningen föreslår en överflyttning av ansvar och verksamhet för signalskydd från Försvarsmakten, MUST Säkerhetskontor, till den nybildade myndigheten, IST. Även KBM:s ansvar och verksamhet för signalskydd föreslås överflyttat till IST. Det administrativa godkännandet av signalskyddssystem föreslås dock placeras vid KBM. Utredningen föreslår också en överföring av huvudmannaskapet för signalskyddsutbildningen från Försvarsmakten till KBM. Förslagen avses ej få direkta kostnadseffekter för statsbudgeten. Vidare föreslås att finansieringen av Sitic – IT- incidentcentrum vid Post och och – Certifieringsorgan för IT-säkerhet skall finansieras via anslag. De har finansierats via projektmedel ur KBM:s civila ram. Den civila ramen föreslås reducerad i motsvarande grad. Utredningen har också i sitt tidigare betänkande Säker information – förslag till informationssäkerhetspolitik (2005:42) föreslagit att KBM genom sin roll i forskningshänseende bör utveckla ett tematiskt forskningsområde kring Informationssäkerhet. För att en satsning skall uppfattas som meningsfull inom forskarsamhället bör den årliga ramen vara 10-15 Ekonomiska konsekvenser av utredningens förslag , beroende på medfinansiering. Finansieringen av KBM:s insats i en sådan satsning föreslås ske via projektmedel ur den civila ramen. Utredningen har i samma betänkande även understrukit den betydelse som beräkningskraft vid nuvarande FRA, i form av datorer med mycket hög kapacitet, har för signalskyddet och informationssäkerheten. Utredningen konstaterade att beräkningskraften kontinuerligt måste öka men att takten är för låg. Detta leder till att den nationella informationssäkerheten inte kommer att möta framtidens krav. Frågan om en finansiering av en nödvändig uppgradering av beräkningskraften måste därför lösas i samband med att den nya myndigheten etableras. Huvudfinansiering av informationssäkerhetsarbetet bör ske genom myndigheternas sakanslag. Sådan verksamhet som har en direkt koppling till fredstida krishantering bör även fortsättningsvis finansieras ur civila ramen 7:5 Krisberedskap. Utredningens förslag innebär att verksamheten för informationssäkerhet och analys utvecklas och breddas. Det gäller omvärldsbevakning och analys avseende hot, sårbarheter, risker och skydd inom området informationssäkerhet, resurser för samordning inom forskning, EU, internationella frågor och gentemot andra myndigheter och kommuner. Vidare gäller det samverkan med näringslivet samt det förebyggande arbetet, stödet till olika aktörer, utbildnings- och medvetandehöjande aktiviteter riktade till utbildningsväsendet och allmänheten samt scenario- och övningsverksamhet. Tillkommande anslagsbehov härför beräknas till . Övningsverksamhet, uppbyggnad av förmåga att leda verksamhet vid inträffade händelser samt för att utveckla frivilligkompetens bör även fortsättningsvis finansieras ur civila ramen. Överföringen av signalskyddsansvaret från KBM till den nya myndigheten reducerar KBM:s kostnader med . Dock tillkommer vissa tjänster som en följd av KBM:s föreslagna roll som ansvarig för administrativt godkännande av signalskyddssystem. Netto beräknas KBM:s kostnader för uppgifter inom signalskyddet reduceras med ca . Ekonomiska konsekvenser av utredningens förslag Överföringen av huvudmannaskapet för signalskyddsutbildningen har beräknats ske genom överföring av anslag utan kostnadseffekter. Totalt beräknas tillkommande anslagsbehov, exklusive signalskyddsutbildning, därför netto för KBM till . 5.2Resursbehov vid den nya myndigheten, ITS Teknikkompetensfunktionen (TKF) vid () har finansierats genom projektanslag från KBM:s så kallade civila ram med . Härtill kommer intäkter av uppdrag åt statliga myndigheter och statligt ägda bolag för aktiv IT-kontroll och IT-säkerhetsanalyser med ca . Utredningen beräknar det totala resursbehovet för TKF till för att möta behovet av en förbättrad informationssäkerhet med stöd till myndigheter och samhällsviktig verksamhet. Finansieringen via den civila ramen, , förslås ersättas med ordinarie anslag. Den civila ramen reduceras i motsvarande omfattning. Härtill kommer tillkommande anslags- behov med för TKF för att möta en ökad ambitionsnivå och efterfrågan vad gäller informationssäkerhet, om verksamheten bedrivs utan avgiftsfinansiering. Utredningen föreslår att den nybildade myndigheten, ITS, övertar KBM:s ansvar för den signalskyddsverksamhet som främst bedrivs i . Anslag härför, , tillförs ITS. En reduktion genomförs av KBM:s anslag enligt 5.1. KBM:s övriga verksamhet i påverkas ej av förändringen. Ansvaret för signalskydd överförs från Försvarsmakten, MUST Säkerhetskontor, till ITS. Motsvarande överföring sker av anslaget härför. Överföringen har beräknats kunna ske utan tillkommande nettokostnader. vid har en budgetomslutning på som finansierats med projektmedel ur KBM:s civila ram. Ekonomiska konsekvenser av utredningens förslag verksamheten fortsättningsvis finansieras via ordinarie anslag och att den civila ramen reduceras i motsvarande grad. 5.4CSEC – Certifieringsorgan för IT-säkerhet Certifieringsorgan för IT-säkerhet vid beräknas i full funktion ha en budgetomslutning på . Utredningen föreslår att CSEC:s grundverksamhet finansieras via ordinarie anslag och att den civila ramen reduceras i motsvarande grad. För och Säkerhetspolisens gemensamma funktion S-BIT har ett resursbehov motsvarande tolv personer beräknats. Därav har resurser motsvarande tre personer tillförts genom omprioriteringar i verksamheten. Ett belopp om bör därför överföras från KBM:s civila ram, som föreslås reduceras i motsvarande grad. Därutöver förutsätter utredningen att den nya myndigheten, ITS, skall kunna lämna tekniskt stöd utan kostnad för och Säkerhetspolisen. Föreliggande betänkande, Informationssäkerhetspolitik – organisa- toriska konsekvenser, är slutbetänkande. betänkanden är – delrapport 1 om signalskydd (SOU 2003:27), Informationssäkerhet i och internationellt – en översikt (SOU 2004:32) samt Säker informa- tion – förslag till informationssäkerhetspolitik (SOU 2005:42). Utredningen har sedan starten fått tilläggsdirektiv . Det ursprungliga direktivet omfattade organisering av signalskydd och tilläggsdirektiv gav utredningen uppdrag att utvärdera den organisatoriska fördelning av funktioner på informationssäkerhetsområdet som gjordes med anledning av Samhällets säkerhet och beredskap (prop. 2001/02:158). (), skrev på utredningens uppdrag rapporten för utvärdering av uppgiftsfördelning inom informationssäkerhetsområdet (FOI-R1369SE). Detta material, i kombination med utredningens egna kontakter, har varit underlag för utredningens analys av rådande uppgiftsfördelning. Ett av uppdragen inom ramen för direktivet var internationell jämförelse och med anledning av det företog utredningen ett antal studieresor (, , , , och ). För att komplettera det internationella materialet uppdrog utredningen åt KBM att göra en länderanalys med betoning på organisering av informationssäkerhetsarbetet. För att belysa de frågor som direktiv och tilläggsdirektiv stipulerade har utredningen haft en expertgrupp med representanter för de myndigheter som är närmast berörda av frågorna. Utredningen har också sammanträffat med representanter för näringslivet. Flertalet sakkunniga och experter har medverkat med värdefullt underlag i utredningens arbete. De ekonomiska konsekvenserna av utredningens förslag redovisas i detta slutbetänkande. Vad gäller andra viktiga områden, såsom självstyrelse, brottslighet, sysselsättning och offentlig service i olika delar av landet, småföretag, jämställdheten mellan kvinnor och män, integrationspolitiska mål samt personlig integritet, så har utredningen gjort bedömningen att dessa inte påverkas i nämnvärd utsträckning av utredningens förslag. Särskilt yttrande av experterna Med anledning av den inriktning som utredningen har tagit under dess absoluta slutskede, har vi som Försvarsmaktens experter funnit oss föranledda att lämna ett särskilt yttrande dels över hur utredningen har genomförts, dels utredarens förslag. Inledningsvis vill vi dock bejaka stora delar av utredningens innehåll bl.a. behovet av en övergripande nationell informationssäkerhetsstrategi. Vi kan däremot inte ställa oss bakom utredarens förslag i kapitel 4 Organisatoriska konsekvenser av utredningens förslag samt kapitel 5 Ekonomiska konsekvenser av utredningens förslag. Fram till veckan före slutjustering av texten beskrevs inte Försvarsmaktens särskilda behov, kompetens och förmåga på ett korrekt sätt. Först efter det att förslaget till organisatorisk lösning presenterats för utredningens experter och i slutjusteringsskedet av texten, har utredaren valt att införa en mer rättvisande beskrivning. Vi menar därför att förslaget till organisatorisk lösning grundats på ett bristfälligt underlag. Vi anser att det är förvånande att utredaren i kretsen av utredningens experter inte har diskuterat den föreslagna organisationslösningen eller alternativ till densamma. Därmed torde inte heller utredarens förslag vara tillräckligt belyst. Vi kan inte ställa oss bakom utredarens förslag till organisatorisk lösning eftersom detta inte ger Försvarsmakten nödvändiga förutsättningar att utvecklas till ett modernt insatsförsvar med snabbinsatskapacitet, vilket beslutats av statsmakterna. Det är inte rimligt att resurser, som är vitala för Försvarsmaktens utveckling inom informationssäkerhetsområdet, överförs till andra myndigheter. Bundesamt für Sicherheit in der Informationsteknik Common Criteria Recognition Arrangement Computer Emergency Response Team Computer Incident Response Team Forum of Incident Response and Security Teams kommunikationsspaning (i signalspaning) Lag (2003:389) om elektronisk kommunikation Militära underrättelse- och säkerhetstjänsten Personuppgiftslagen (1998:204) Svenska statens säkra Intranät Styrelsen för psykologiskt försvar Styrelsen för ackreditering och teknisk kontroll Administrations (EU:s IP-baserade nätverk) Task Force Collaboration of Security Incident Union Européenne (Europeiska Unionen) Angående vissa frågor om En utredare skall lämna förslag på hur signalskyddsverksamheten i samhället skall utformas. I uppdraget ingår att bedöma behovet av signalskydd i samhällsviktig verksamhet samt att lämna förslag till organisatorisk placering, lokalisering, uppgifter, ledning och samordning av signalskyddstjänsten.