sou · GTB342 · 2006-01-01 00:00:00 — 4.Staten har slutligen ett eget intresse och ansvar för informa- tionssäkerheten inom sitt verksamhets- och ansvarsområde, i sina olika roller som ansvarig för myndighetsutövning, i sin ägarroll etc. Vissa aspekter av dessa åtaganden är av betydelse för hur staten bör organisera sina verksamheter och resurser. Detta kommer att redo- visas i utredningens slutbetänkande . 6.6Utredningens slutsatser om samverkan och åtaganden Den tekniska utvecklingen skapar nya möjligheter och därmed nya säkerhetsproblem. En rimlig slutsats är därför att de aktörer som skapar de nya möjligheterna också borde vara bäst på att lösa de säkerhetsproblem som uppstår. Eftersom utvecklingen finns huvud- sakligen i marknaden är det också där som säkerhetslösningarna måste utvecklas. Staten bör i första hand utnyttja sina olika roller som kravställare på säkerhet i olika verksamheter istället för att genom olika regulatoriska åtgärder försöka precisera tekniska krav på informations- och kommunikationssystem. Enligt utredningens mening borde det vara möjligt att inom ytterligare sektorer och områden utveckla samverkan i syfte att öka informationssäkerheten, särskilt om uppgiften att förebygga och förbereda tydliggörs för ytterligare myndigheter med sektorsansvar som involverar näringslivet som aktörer. Utredningen har kunnat konstatera att olika representanter för näringslivet välkomnar en bredare samverkan kring informationssäkerhet till ömsesidig nytta men att denna samverkan måste vila på frivillighet. Staten måste hitta former för en dialog med näringslivet som får anpassas till varierande förutsättningar. Det staten kan göra handlar då om att tydliggöra sin egen uppgift och att utdela ansvar till en myndighet med sammanhållande ansvar. Utredningen har tidigare konstaterat att staten har i stort sett samma problembild att hantera som Kommuner och Landsting. Förutsättningarna för samverkan inom staten respektive mellan kommuner företer också många likheter. Gränser för det offentliga åtagandet utredningen finnas skäl att genom en särskild överenskommelse bekräfta en samsyn i informationssäkerhetsfrågor och att tydlig- göra att kommunerna kan disponera tillgängliga medel även för dessa ändamål. Varje enskild verksamhetsansvarig ansvarar själv för säkerheten och funktionaliteten i sin verksamhet. Informations- säkerhet, såväl teknisk som administrativ, måste ses som en integrerad del av verksamhetsansvaret och skiljer sig på så vis inte nämnvärt från andra typer av säkerhetsfrågor. Åtagandet skulle således följa ansvarsprincipen. Enligt utredningens mening måste det ligga inom varje med- borgares eget ansvar att inhämta kunskaper och vara medveten om de säkerhetsrisker som följer med elektronisk hantering. På mot- svarande sätt anser utredningen att det i princip måste ligga inom varje företags åtagande att svara för såväl kompetensförsörjning som säkerheten i de egna informationssystemen. I det privata åtagandet måste även ingå att säkerställa säkerheten i det fall att någon utomstående anlitas för tjänster av olika slag. För samhällsviktig verksamhet och system finns det dock anled- ning för staten att ställa särskilda krav på leveranssäkerhet och kvalitet, även när verksamheten drivs av privat aktör. Det grundläggande synsätt som utredningen redovisat på det privata åtagandet är till största del tillämpligt även på verksamheten hos myndigheter och organ inom offentlig sektor. All verksamhet skulle således innefatta ett samlat ansvar för kompetensförsörj- ning och säkerhet i de egna informations- och kommunikations- systemen. 7.1Författningar av särskilt intresse på informationssäkerhetsområdet Säkerhetsskyddslagen (1996:627) finns lagbestämmelser om informationssäkerhet i säkerhets- skyddslagen (1996:627). Av lagens 7 § följer att säkerhetsskyddet skall förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet röjs, ändras eller förstörs (informations- säkerhet), att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) samt att personer som inte är pålitliga från säkerhetsskyddssynpunkt deltar i verk- samhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet skall i övrigt förebygga terrorism. Av säkerhets- skyddslagens 31 § och säkerhetsskyddsförordningens (1996:633) 39–42 §§ följer att tillsynsansvaret främst åvilar och Försvarsmakten men att även ett stort antal andra myndigheter har att kontrollera säkerhetsskyddet inom sina respektive verk- samhetsområden. Lagen gäller enligt 1 § för verksamhet hos staten, kommunerna och landstingen. Den gäller också för verksamhet hos aktiebolag, handelsbolag, föreningar och stiftelser över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande och enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Vidare gäller enligt 8 § att när staten, kommuner eller landsting skall begära in anbud eller träffa avtal om upphandling, där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, skall ett säkerhetsavtal (s.k. ) träffas med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Lagens tillämpningsområde är alltså begränsat till verksamhet som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Det finns inte någon legaldefinition av begreppet rikets säkerhet. Begreppet måste tolkas utifrån lagför- arbeten och praxis. Allmänt kan begreppet sägas avse såväl den yttre säkerheten för det nationella oberoendet som den inre säkerheten för det demokratiska statsskicket. Angrepp mot rikets inre säkerhet kan förekomma från grupperingar utan förbindelse med främmande makt. Såväl rikets yttre som inre säkerhet kan anses vara hotad, utan att totalförsvaret berörs (prop. 1995/96:129 s. 22 f). Enligt 9 § i lagen skall vid utformningen av informationssäker- heten behovet av skydd för automatisk informationsbehandling beaktas särskilt. Av 11 § framgår att säkerhetsprövning skall göras innan en person genom anställning eller på annat sätt deltar i verksamhet som är av betydelse för rikets säkerhet eller för skyddet mot terrorism. Prövningen skall kartlägga om personen kan antas vara lojal mot de intressen som skyddas i lagen och i övrigt pålitlig från säkerhetssynpunkt. Anställningar och annat sådant deltagande i sådan verksamhet delas in i tre olika säkerhetsklasser beroende på i vilken omfattning den berörde får del av uppgifter som är hemliga med hänsyn till rikets säkerhet. När det gäller anställningar som har placerats i säkerhetsklass skall säkerhetsprövningen även omfatta registerkontroll, det vill säga att uppgifter hämtas från olika polisregister med mera. För placering i klass 1 och 2 skall även särskild personutredning utföras. Registerkontroll kan också göras till skydd mot terrorism. Säkerhetsskyddsförordningen (1996:633) I säkerhetsskyddsförordningen (1996:633) finns närmare bestäm- melser om säkerhetsskydd. Enligt 5 § i förordningen skall myndig- heter och andra som förordningen gäller för, undersöka vilka uppgifter i deras verksamhet som skall hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhets- skydd med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet av denna undersökning (säkerhets- analys) skall dokumenteras. Enligt 6 § skall det, om det inte är uppen- bart obehövligt, hos myndigheter och andra som förordningen gäller för finnas en säkerhetsskyddschef som utövar kontroll över I förordningen finns också bestämmelser bl.a. om inventering och försändelse av handlingar som omfattas av sekretess och som rör rikets säkerhet (hemliga handlingar). Av 12 § i förordningen framgår att innan en myndighet inrättar ett register, som skall föras med hjälp av automatisk databehand- ling och som kan förutses komma att innehålla sådana uppgifter att utlämnandet av dem var för sig eller sammanställda kan skada totalförsvaret, skall myndigheten samråda med Försvarsmakten och, om uppgifternas natur ger anledning till det, Rikspolis- styrelsen. I fråga om uppgifter av betydelse för rikets säkerhet i övrigt skall i motsvarande fall samråd ske med . Ett system, som av flera personer skall användas för automatisk informationsbehandling av hemliga uppgifter, skall vara försett med funktioner för behörighetskontroll och registrering av händelser i systemet som är av betydelse för säkerheten. Systemet får inte tas i drift förrän det från säkerhetssynpunkt har godkänts av den för vars verksamhet systemet inrättas. Enligt 13 § samma förordning skall myndigheter och andra som förordningen gäller för, innan de sänder hemliga uppgifter i ett datanät utanför sin kontroll, förvissa sig om att det för uppgifterna finns en fullgod informationssäkerhet. Hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvars- makten. , i praktiken Säkerhetspolisen, och Försvars- makten har enligt 39 § i förordningen ansvaret för att kontrollera säkerhetsskyddet hos myndigheterna. och Försvarsmakten har vidare, med stöd av 43–44 §§ samma förord- ning meddelat verkställighetsföreskrifter för respektive tillsyns- område. I föreskrifterna finns bestämmelser bland annat om informationssäkerhet. I föreskrifter och allmänna råd ges tillämp- ningsföreskrifter till säkerhetsskyddslagen när det gäller informa- tionssäkerhet, tillträdesskydd och säkerhetsprövning samt förfarandet vid registerkontroll. Föreskrifterna gäller för statliga myndigheter samt för kommuner och landsting. Bestämmelserna om informationssäkerhet gäller för uppgifter som omfattas av sekretess enligt sekretesslagen (1980:100) och som rör rikets säkerhet (hemliga uppgifter). I den omarbetade föreskrift, som trädde i kraft , (RPSFS 2004:11, FAP 244-1) har bestämmelserna om informationssäkerhet delats upp i två delar. informationssäkerhet för hemliga handlingar i skrift eller bild och ett kapitel om informationssäkerhet för hemliga uppgifter i IT- system. Av föreskrifterna framgår bl.a. att myndighetens chef skall fastställa mål och riktlinjer för IT-säkerheten, liksom instruktioner för användning, förvaltning och drift av IT-system som används för hemliga uppgifter eller som särskilt behöver skyddas mot terrorism. För ett sådant IT-system skall finnas en av myndig- hetens chef utsedd person som ansvarar för säkerheten i systemet. Föreskrifterna innehåller vidare krav på att sådana IT-system skall vara försedda med tekniska och/eller administrativa åtgärder för identifiering av användaren, verifiering av identiteten, styrning av åtkomsträttigheter samt registrering av aktiviteter (behörighets- kontroll) och loggning av bland annat användaridentitet och aktivi- teter av betydelse för säkerheten i systemet (säkerhetsloggning). Vidare finns bestämmelser om bland annat skydd mot skadlig kod, intrångsskydd, incidenthantering och säkerhetskopiering. Föreskrifterna är framtagna i samarbete med andra berörda myndigheter, bl.a. Försvarsmakten, Statskontoret och Krisbered- skapsmyndigheten. Föreskrifterna skiljer sig dock delvis från de föreskrifter som Försvarsmakten meddelat. En ambition vid fram- tagandet av föreskrifterna har varit att de inte skall stå i strid med de rekommendationer som lämnas i BITS1 för att underlätta för de myndigheter som valt att följa dessa. ställer dock i flera avseenden högre krav. Förordningen (2002:472) om åtgärder för fredstida krishantering och höjd beredskap I förordningen (2002:472) om åtgärder för fredstida krishantering och höjd beredskap ställs specifika krav på myndigheter med ett särskilt ansvar för fredstida krishantering och för förmågan att fungera under höjd beredskap. Enligt 4 § i förordningen skall myndigheter som har ett särskilt ansvar för fredstida krishantering planera och vidta förberedelser för att förebygga, motverka och begränsa identifierad sårbarhet och risker inom sina respektive samverkansområden. De skall därvid särskilt beakta säkerhets- kraven bland annat för de tekniska system som är nödvändiga för 1 () utfärdade rekommendationer, förslag till basnivå för IT-säkerhet. att de skall kunna utföra sitt arbete. Enligt 11 § samma författning skall myndigheter med s.k. bevakningsansvar ansvara för att dator- och kommunikationssystem uppfyller sådana säkerhetskrav att de kan utföra sina uppgifter på ett tillfredställande sätt även under höjd beredskap. I förordningens 22 § ges Krisberedskapsmyndig- heten rätt att meddela verkställighetsföreskrifter avseende 6–12 §§ utom i fråga om , , , Försvarshögskolan, Totalförsvarets forsknings- institut och . har utfärdat rekommendationer, förslag till basnivå för IT-säkerhet, benämnt BITS. Dessa rekommen- dationer innehåller definitioner som rör de delar av begreppet infor- mationssäkerhet som avser säkerheten i den tekniska hanteringen av information som bearbetas, lagras och kommuniceras elektro- niskt samt administrationen kring detta. Definitionerna följer i huvudsak SIS tekniska rapport 550: Terminologi för informationssäkerhet (2003). De är väl förankrade såväl nationellt som internationellt. En indelning görs i administrativ respektive teknisk informationssäkerhet. Lagen (1990:217) om skydd för samhällsviktiga anläggningar I lagen (1990:217) om skydd för samhällsviktiga anläggningar med mera (skyddslagen) ges bestämmelser om vissa åtgärder till skydd mot sabotage, terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott och spioneri samt mot röjande av hemliga uppgifter som rör totalförsvaret. Lagen ger möjlighet att begränsa tillträdet till en anläggning eller ett område genom att förklara det som skyddsobjekt. Som skyddsobjekt får förklaras bland annat anläggningar eller områden som används eller är avsedda för ledning av befolkningsskyddet och räddningstjänsten eller det civila försvaret i övrigt, för energiförsörjning, vattenförsörjning, rund- radioförsörjning, radio- och telekommunikationer, transporter eller försvarsindustriella ändamål. Att ett objekt förklaras som skydds- objekt innebär bland annat att obehöriga inte får tillträde till objektet och att den som vill ha tillträde måste uppge sin identitet och vara beredd att underkasta sig kroppsvisitation. Den som bevakar ett skyddsobjekt har särskilda befogenheter att ingripa, bland annat mot den som det finns skäl att anhålla för spioneri eller sabotage eller förberedelse till sådant brott. I lagen definieras inte vad som är en samhällsviktig anläggning. Däremot kan det sägas följa av vad som enligt 4 § får förklaras som skyddsobjekt vad som kan anses utgöra en samhällsviktig anlägg- ning. Enligt 3 § i lagen kan en anläggning endast förklaras som ett skyddsobjekt för de ändamål som anges i 1 § i lagen. Det måste alltså finnas ett behov av att begränsa allmänhetens tillträde eller rätt att utnyttja en anläggning, ett område m.m. med hänsyn till skyddet mot sabotage, terroristbrott med mera. Lagen tar inte direkt sikte på säkerheten vid hanteringen av information utan på det fysiska skyddet för anläggningar som behöver skyddas för de i lagen speciellt angivna ändamålen såsom skydd mot sabotage, spioneri med mera. Lagen innehåller därför endast bestämmelser om tillträdesbegränsning och bevakning av skyddsobjekt. Bestämmelser om hur information som behandlas vid och kommuniceras in och ut från dessa skyddsobjekt skall skyddas saknas således. Sekretesslagen (1980:100) I 2 kap. sekretesslagen (1980:100) finns regler om sekretess med hänsyn till rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation. I 2 kap. 1 § regleras den s.k. utrikes- sekretessen och i 2 kap. 2 § regleras den så kallade försvars- sekretessen. Denna omfattar alla de verksamheter som är av betydelse för landets samlade försvarsåtgärder, alltså inte bara rent militära företeelser utan också åtgärder med avseende på total- försvaret i övrigt. Det är inte bara antagna skador på landets försvar i vedertagen mening som medger sekretess, utan också ett sådant röjande av uppgifter som vållar fara för rikets säkerhet på annat sätt än genom skador för de traditionella försvarsintressena. Så kan till exempel ett röjande av uppgifter om den civila säkerhetstjänsten vålla fara för rikets säkerhet trots att någon skada för försvaret inte har inträffat. Försvarssekretessen gäller inom hela det allmännas verksamhet. Denna sekretess har dock sin största betydelse hos Försvarsmakten och andra myndigheter som ägnar sig åt militär verksamhet och frågor som avser totalförsvaret. På försvars- sekretessens område är meddelarfriheten kraftigt inskränkt. Skaderekvisitet för såväl utrikes- som försvarssekretessen är rakt. Detta innebär att offentlighet är huvudregel och att sekretess endast gäller om utlämnande av uppgiften kan antas leda till skada. Kapitel 5 i sekretesslagen reglerar sekretess främst med hänsyn till intresset att förebygga och beivra brott. Av 5 kap. 1 § andra stycket samma lag framgår att sekretess bland annat gäller för uppgift som hänför sig till Säkerhetspolisens verksamhet för att förebygga eller avslöja brott mot rikets säkerhet eller förebygga terrorism, om det inte står klart att uppgiften kan röjas utan att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas. Enligt 5 kap. 2 § i lagen gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på 1.byggnader eller andra anläggningar, lokaler eller inventarier, 2.tillverkning, förvaring, utlämning eller transport av pengar eller andra värdeföremål samt transport eller förvaring av vapen, ammunition, sprängämnen, klyvbart material eller radioaktivt avfall, 3.telekommunikation eller system för automatiserad behandling av information, 4.behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling, 5.den civila luftfarten eller den civila sjöfarten, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. I andra delrapport konstaterades att författ- ningsarbete pågick för att bland annat tillgodose de behov har för att på ett effektivt sätt kunna bedriva den incidenthanteringsfunktion som myndigheten ålagts. Det kan nu konstateras att ändringar har genomförts i sekretesslagen i detta syfte. Därvid har 5 kap. 2 § 3 sekretesslagen utvidgats till att avse inte bara telekommunikation, utan även system för automatiserad behandling av information. Efter ändringen finns nu således en möjlighet att med stöd av sekretesslagen hemlighålla uppgifter om säkerheten avseende till exempel datorprogram i IT-system eller de loggar som datorprogrammen genererar. Enligt 5 kap. 3 § första stycket gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod som har till syfte att: 1.underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller 2.göra det möjligt att kontroller om data i elektronisk form har förvanskats, om det kan antas att syftet med metoden mot- verkas om uppgiften röjs. Denna paragraf möjliggör skyddande av uppgifter i allmän verk- samhet som lämnar, eller kan bidra till, upplysningar om till exempel kryptering som används för att underlätta befordran eller använd- ning av sekretessbelagda uppgifter. Bestämmelsen möjliggör även sekretessbeläggande av hemliga nycklar som används för att skapa en så kallad elektronisk signatur som skall möjliggöra kontroll av om en handling härrör från en angiven undertecknande eller om handlingens innehåll manipulerats. Sekretesslagen innehåller bestämmelser om när sekretess skall råda för uppgift med hänsyn till exempel rikets säkerhet eller intresset av att förebygga och beivra brott. Även om det i lagen också finns en del bestämmelser som kan sägas ta sikte på hur information ur ett administrativt och tekniskt informationssäker- hetsperspektiv skall hanteras så måste lagen i allt väsentligt anses reglera när sekretess skall råda för en uppgift och inte hur informa- tionen administrativt och tekniskt skall hanteras ur ett informa- tionssäkerhetsperspektiv. Lagen kan därför inte sägas vara en författning som reglerar informationssäkerhet i dess bredare bemärkelse. Personuppgiftslagen (1998:204) Personuppgiftslagen grundar sig på och rådets direktiv /46/EG från om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Av 1 § i lagen framgår att lagens syfte är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Säkerhet är en viktig del av skyddet för den personliga integri- teten. Den som behandlar personuppgifter med hjälp av informa- tionsteknik måste därför skydda uppgifterna. I lagen finns bestäm- melser om säkerhet vid behandling av personuppgifter. En tillfreds- ställande säkerhet är ett krav enligt lagen. Enligt 31 § i lagen skall den personuppgiftsansvarige vidta lämpliga tekniska och organisa- toriska åtgärder för att skydda de uppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av uppgifterna, och hur pass känsliga de behandlade uppgifterna är. Datainspektionens allmänna råd om säkerhet preciserar person- uppgiftslagens krav på säkerhet vid behandling av personuppgifter. Ansvarig för säkerheten är enligt lagen den personuppgifts- ansvarige, det vill säga den som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter. Den personuppgiftsansvarige kan överlåta den faktiska behandlingen av personuppgifter till någon annan som då blir att betrakta som personuppgiftsbiträde. Ett sådant biträde får behandla uppgifter enbart i enlighet med instruktioner från den person- uppgiftsansvarige. Ett skriftligt avtal som reglerar förhållandet mellan biträdet och den personuppgiftsansvarige skall upprättas. I avtalet skall säkerhetsåtgärderna vid behandlingen av person- uppgifter regleras. Förutom krav på tillfredsställande säkerhet innehåller person- uppgiftslagen även andra bestämmelser som tar sikte på att skydda människor mot att deras personliga integritet kränks när upp- gifterna behandlas automatiserat. I 9 § i lagen redovisas grundläggande krav på behandlingen av personuppgifter. I paragrafen anges bl.a. att den personuppgifts- ansvarige skall se till att personuppgifter behandlas bara om det är lagligt, personuppgifter alltid behandlas på ett korrekt sätt och i enlig- het med god sed, personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att uppgifterna därefter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Vidare anges det att den personuppgiftsansvarige skall se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen. Av stadgandet framgår vidare att inte heller fler uppgifter än vad som är nödvändigt med hänsyn till ändamålet får behandlas och att alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I 10 § personuppgiftslagen finns regler om när behandling av personuppgifter är tillåten. Om den registrerade inte har lämnat sitt samtycke till behandlingen får personuppgifterna bara behandlas för vissa i lagen angivna syften. I personuppgiftslagen finns särskilda restriktioner när det gäller behandling av känsliga personuppgifter, personuppgifter om lag- överträdelser och uppgift om personnummer.