sou · GTB371 · 2006-01-01 00:00:00 — Det utökade ansvaret för informationssäkerhet som utredningen föreslår bör också återspeglas på ledningsnivå i de båda myndigheter som föreslås få samordningsansvar. Policyansvar och administrativt samordningsansvar I policyansvaret ligger att förvalta och utveckla den nationella informationssäkerhetsstrategin, att samordna informations- säkerhetsarbetet mellan samhällets aktörer, att under regeringen inrikta samhällets informationssäkerhetsarbete, att utgöra samhällets kontaktpunkt för informationssäkerhet och att under regeringen utgöra internationell kontaktpunkt genom att samordna och, där så bedöms lämpligt, företräda i internationell samverkan, där inte andra myndigheter är utpekade. Också nationellt har utpekandet av en samordnande myndighet betydelse för allmänhet, näringsliv, kommuner etc. Det underlättar för samtliga aktörer i samhället om de i policyfrågor kan vända sig till en myndighet med frågor som rör informationssäkerhet eller skyddet av samhällsviktig IT-infrastruktur. Detta innebär i sig inget avsteg från ansvarsprincipen eftersom genomförandet av specifika uppgifter även fortsättningsvis bör ligga hos direkt ansvariga myndigheter. KBM bör i sin roll som policymyndighet ges möjlighet att ge ut föreskrifter om en grundläggande säkerhetsnivå med stöd av den av utredningen föreslagna förordningen om informationssäkerhets- säkerhet hos staten.2 Nära samverkan måste härvidlag etableras med sektorsansvariga myndigheter med egen föreskriftsrätt, exempelvis , samt Säkerhetspolisen. Även revision och tillsyn av föreskrifterna måste utvecklas. Detta bör dock genomföras av annan aktör än KBM, exempelvis av Statskontoret i en ny roll. KBM sammanställer en helhetsbild genom sitt utpekade ansvar för omvärldsanalys. Denna kan i en förändrad organisation utvecklas ytterligare, bland annat genom att KBM får en förbättrad tillgång till underrättelserapporter. Det finns behov av en formaliserad samverkan med KBM som samordnande myndighet mellan aktörer i samhället som äger, driver, eller på annat sätt har ansvar för samhällsviktig verksamhet 2 Förslag till förordning om vissa åtgärder för informationssäkerhet hos staten. Se Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42), sid. 31ff. Informationsutbytet kan avse incidenter, bästa metod, hotbilder, risker och sårbarheter. Informationen måste fungera både inom, respektive mellan, stat, kommuner, näringsliv och andra organisationer. Samverkan ger ett viktigt underlag till helhetsbilden liksom den till ömsesidig nytta förmedlar känslig eller förtrolig information, frågeställningar och påverkan. Det innefattar också till exempel att delta i och analysera utvecklingen inom EU och i övriga internationella sammanhang och att delta i relevanta arbetsgrupper för att strategiskt påverka de processer inom EU och internationellt som berör . Samverkan bidrar också till att stärka position i dessa aktiviteter. KBM bör i extraordinära situationer ha ett delegerat ansvar att inom givna ramar samordna informationssäkerhetsarbetet. Utifrån helhetsbilden och policyansvaret på informations- säkerhetsområdet samt utifrån KBM:s befintliga kompetens på övningar på krishanteringsområdet är det naturligt att KBM har det samordnande myndighetsansvaret för övningar på informations- säkerhetsområdet. Liksom i det förebyggande arbetet kan övningsverksamheten till stor del hanteras av näringslivet. KBM:s roll bör främst vara att identifiera, uppmärksamma och formulera behov och mål för insatserna. Det förefaller naturligt att samordning av kontakter mellan privat och offentlig sektor faller på KBM inom ramen för myndighetens samordningsansvar. Utredningen förordar en signalskyddstjänst som omfattar hela samhällets behov, inte bara totalförsvarets. För att skapa möjlighet till helhetssyn för den utbildning som erfordras inom informationssäkerhetsområdet samt för att uppnå synergieffekter bör signalskyddsutbildningen utvecklas så att utbildning kan ges inom hela informationssäkerhetsområdet. Utredningen föreslår därför att huvudmannaskapet för signalskyddsutbildningen överförs från Försvarsmakten till KBM. Utredningen föreslår att ansvaret för signalskydd överförs från Försvarsmakten, MUST Säkerhetskontor, till den nybildade myndighet, IST, som övertar Försvarets radioanstalts nuvarande uppgifter. Även KBM:s ansvar för nyckeldistribution föreslås överföras till IST. Det administrativa godkännandet av signalskyddssystem liksom även föreskriftsrätten för samhällsviktiga system föreslås dock placeras vid KBM. KBM:s signalskyddsverksamhet bedrivs i huvudsak i . Överföringen bör leda till en utökad verksamhet i . Utöver det nuvarande signalspaningsuppdraget har FRA uppgifter inom svensk informationssäkerhet. Det gäller kompetens inom kryptologi, där FRA svarar för att bemanna de kryptologiska funktionerna vid MUST. FRA har också en särskild teknikkompetens- funktion, TKF, till stöd för statliga myndigheter och bolag, som bland annat medverkar i tester av säkerheten i myndigheters IT- system tillsammans med berörda myndigheter. Informations- säkerhetsuppgifterna har tillförts FRA för att nyttiggöra FRA:s unika signalspaningskompetens och allmänt höga tekniska kompetens. FRA har färdiga krisberedskapsprocesser som har testats och används i verkliga fall för att stödja insatser vid myndighetskriser. Dessa kommer att vara värdefulla om det skulle uppstå en nationell kris med IT-inslag. Signalskydd och signalspaning kan ses som två sidor av samma mynt. Det finns fördelar med ett nära samarbete mellan dessa båda områden. Länder med brister i signalskyddet har ofta dålig kontakt mellan signalskydd och signalspaning. Det behövs kompetens i att forcera bristfälligt signalskydd för att kunna skapa ett eget bra signalskydd. Kompetensen härför finns i första hand inom FRA. Svensk kryptoindustri har svårt att konkurrera med utländsk, då det inte finns en inhemsk organisation som kan godkänna kryptosystem utanför totalförsvaret. Det visar på ytterligare ett behov av att bredda omfattningen av samhällets signalskydd, vilket kan ske genom en flyttning av signal- skyddsfunktionen, från Försvarsmakten till den nybildade myndigheten för teknisk informationssäkerhet, IST. Verksam- heterna för nyckelproduktion och signalkontroll skulle därmed kunna integreras, eftersom dessa redan finns inom nuvarande FRA. En effekt som uppstår vid samordning av alla teknikdelar hos en myndighet är snabbare beslutsvägar. Det är av stor vikt att snabbt kunna sätta ihop en insatsgrupp för att stödja insatser vid nationella kriser med IT-inslag och för att kunna medverka till identifiering av inblandade aktörer i IT-relaterade hot mot samhällsviktiga system. Med en delad organisationsbild är det svårare att upprätthålla en kritisk kompetensmassa. Om uppgiften att leda och samordna signalskyddstjänsten inom totalförsvaret överförs från Försvarsmakten, erfordras att de medel som finns avsatta i materialplanen för utveckling också förs över. Försvarsmakten kommer oavsett vem som har det samordnande ansvaret för signalskyddstjänsten att vara en av de största avnämarna. har deltagit alltmer aktivt i internationella signalskyddssammanhang. För att det internationella arbetet skall vara väl koordinerat behövs en utpekad (), det vill säga en organisation i landet som ansvarar för signalskyddsfrågor, och en (), en organisation som är behörig att distribuera kryptonycklar. Utredningen föreslår att den nybildade myndig- heten för teknisk informationssäkerhet, IST, ges uppgifterna som NCSA och NDA. , Sitic vid ansvarar för systemet för informationsutbyte om IT-incidenter mellan samhällets alla aktörer. Uppgiften är bland annat att snabbt sprida information om IT-incidenter, att lämna information och råd om förebyggande åtgärder, att sammanställa och ge ut statistik som underlag för kontinuerliga förbättringar i det förebyggande arbetet. Om Sitic skall fungera väl krävs ett nära och förtroendefullt samarbete med andra aktörer inom informationssäkerhetsområdet, inte minst med KBM och FRA som föreslås få särskilt samordnande uppgifter för den nationella informationssäkerheten. Det är angeläget att sådana väl fungerande samarbetskanaler finns såväl på ledningsnivå i myndigheterna, som på handläggarnivå. Det nationella systemet för evaluering och certifiering av IT- säkerhet i produkter och system i enlighet med IS 15408 Evalueringskriterier för IT-säkerhet i produkter och system (Common Criteria) tillkom efter beslut . Certifieringsorganet är nu etablerat som en oberoende funktion inom FMV med namnet Certifieringsorgan för IT- säkerhet, CSEC. Arbetet med att etablera certifieringsordningen är genomfört. Detta arbete omfattar bland annat utarbetande av kvalitetsmanual, ansvarsbeskrivningar, beskrivningar av processer för licensiering av evalueringslaboratorier, regler för genomförande av certifieringar samt utbildning av certifierare och evalueringsföretag. Utredningen finner att de motiv som anfördes inför riksdags- beslutet om etableringen av ett svenskt system för evaluering och certifiering alltjämt är giltiga. Utredningen har också i tidigare betänkanden betonat vikten av att tillämpa existerande internationella standarder inom IT-säkerhetsområdet. Common Criteria syftar till att sammankoppla ledningsfunktioner, inklusive riskhantering, och mer detaljerade tekniska specialstandarder med hur krav på säkerhets- och skyddsfunktioner ska kunna härledas, uttryckas och verifieras i de tekniska lösningarna i IT-produkter och program. Utredningen föreslår att uppgiften som signatär inom ramen för CCRA överförs från Swedac till KBM. Swedacs uppgifter och roll för ackreditering och teknisk kontroll för andra, öppna system inom till exempel EU föreslås oförändrad. Ett sätt att bidra till att kunna hantera en allvarlig eller extraordinär situation vore att mobilisera kompetens dit den behövs, för att begränsa en skada eller att arbeta förebyggande mot nya attacker eller angrepp. Ett sådant nationellt säkerhetsinitiativ skulle vara att upprätta en kompetensbank. Det samordnande ansvaret för att ta tillvara sådana frivilligresurser bör läggas på KBM som ges uppgiften att hantera kontakterna och upprätta erforderliga avtal med enskilda och berörda företag samt tillse att övningsverksamhet genomförs. Allvarliga IT-incidenter utgör i grunden ofta brott. Inom informationssäkerhetsområdet har det visat sig att en rad myndigheter och andra organisationer har behov av polisens medverkan i olika arbets- och samverkansgrupper. Säkerhetspolisen kan genom sina operativa uppdrag tillföra erfarenheter inom området. är kontaktpunkt inom ramen för G8:s 24/7 Crime arrangemang och , , vilket understryker att polisen är en viktig aktör i samhällets informationssäkerhetsarbete. För att möta dessa omvärldskrav och ett önskemål om samordning internt inom polisen, har en för och gemensam funktion S-BIT etablerats. Då verksamheten inte fått öronmärkta medel för området har funktionen endast ett begränsat antal tjänster, mot planerade 12. För att leva upp till de beskrivna målen och de krav och önskemål som ställs på polisen inom området informationssäkerhet är det önskvärt att särskilda medel kan avsättas för ändamålet. S-BIT:s verksamhet bör därför delvis finansieras med medel ur KBM:s så kallade civila ram eller genom anslagstilldelning. Allt större del av den brottsutredande verksamheten kommer i kontakt med IT och kräver kunskaper om bevissäkring och undersökning i IT-miljö, så kallad IT-forensisk verksamhet. Inom det IT-forensiska området och vid vissa tekniska problem, lämnar FRA i vissa fall stöd till polisen. Det är av vikt att metodutvecklingen vad gäller IT-forensisk verksamhet sker inom polisen, i första hand vid . FRA bör dock kunna vara en stödjande resurs, särskilt ifråga om kryptologisk kompetens. Utredningens förslag innebär en höjd ambitionsnivå för samhällets informationssäkerhet. Vissa av förslagen medför ökade kostnader. Det gäller dels ökade resursbehov vid , dels vid den nybildade myndigheten, IST, som föreslås få policyansvar och administrativt samordnande ansvar respektive tekniskt samordnande ansvar för samhällets informationssäkerhet. Vidare föreslås att finansieringen av Sitic – vid Post och och – Certifieringsorgan för IT-säkerhet skall ske via ordinarie anslag. Finansiering föreslås ske genom avräkning från KBM:s så kallade civila ram, 7:5 Krisberedskap. Efter avräkning kvarstår ett ökat anslagsbehov med för att kunna Utredningen föreslår vidare överflyttning av ansvar och verksamhet för signalskydd från Försvarsmakten, MUST Säkerhetskontor, till den nybildade myndigheten för teknisk informationssäkerhet, IST. Även KBM:s ansvar och verksamhet för signalskydd föreslås överflyttat till IST. Det administrativa godkännandet av signalskyddssystem föreslås dock placeras vid KBM. Utredningen föreslår också en överföring av huvud- mannaskapet för signalskyddsutbildningen från Försvarsmakten till KBM. Förslagen avses ej få kostnadseffekter för statsbudgeten. Utredningen har också i sitt tidigare betänkande Säker information – förslag till informationssäkerhetspolitik (SOU 2005:42) föreslagit att KBM genom sin roll i forskningshänseende bör utveckla ett tematiskt forskningsområde kring Informationssäkerhet. För att en satsning skall uppfattas som meningsfull inom forskarsamhället bör den årliga ramen vara , beroende på medfinansiering. Finansieringen av KBM:s insats i en sådan satsning föreslås ske via projektmedel ur den civila ramen. 1Underlag för utredningens överväganden 1.1Regeringens strategi för informationssäkerhet i samhället och skydd av samhällsviktiga IT- beroende system Enligt den bedömning regeringen gjorde i propositionen Samhällets säkerhet och beredskap (2001/02:158), bör den över- gripande målsättningen vara att upprätthålla en hög informations- säkerhet i hela samhället som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. I proposi- tionen anfördes att strategin för att uppnå detta mål, liksom övrig krishantering i samhället, bör utgå från ansvarsprincipen, likhets- principen och närhetsprincipen – det vill säga att den som ansvarar för informationsbehandlingssystem även ansvarar för att systemet har den säkerhet som krävs för att systemet skall fungera tillfredsställande. Ansvarsprincipen innebär att den som har ansvar för en verksamhet under normala omständigheter även skall ha ansvaret under extraordinära situationer eller vid svåra på- frestningar på samhället. Likhetsprincipen innebär att en verksam- hets organisation och lokalisering i så stor utsträckning som möjligt skall vara likadan i fred, kris och vid höjd beredskap. Närhetsprincipen, slutligen, innebär att kriser skall hanteras på lägsta möjliga nivå i samhället. Regeringen aviserade vidare sin avsikt att inrätta fyra funktioner i syfte att förbättra informationssäkerheten. Dessa var omvärlds- analys, IT-incidenthantering, teknikkompetens samt ett system för evaluering och certifiering. Avsikten var att uppgifterna skulle läggas på de myndigheter som redan hade näraliggande uppgifter. Den organisatoriska lösningen skulle prövas , varefter den skulle utvärderas och eventuell förändring genomföras. Vidare framhölls det internationella engagemanget inom informationssäkerhetsområdet som viktigt, inte minst på grund av områdets globala natur. Regeringen visade sitt stöd för ambitionen att stärka nät- och informationssäkerheten på europeisk nivå. Utredningen delar regeringens bedömning, men har funnit anledning att konkretisera och fördjupa den. underlag för utvärdering av de organisatoriska åtgärderna, Underlag för utredningens överväganden Utredningen angående vissa frågor om informationssäkerheten i samhället (, Fö 2002:6) har av regeringen fått i uppdrag att lämna förslag till hur den nationella strategin för informationssäkerhetsarbetet bör utvecklas samt hur engagemang i det internationella arbetet inom informations- säkerhetsområdet skall utformas. Utredaren fick även på sin lott att följa myndigheternas uppbyggnad av den informationssäkerhets- verksamhet som regeringen gav myndigheterna i uppgift enligt propositionen 2001/02:158. I uppdraget ingick även att lämna förslag till hur riktlinjer om säkerheten i nät- och informationssystem kan genomföras i . Det ursprungliga direktivet (dir. 2002:103) samt tilläggsdirektiven (dir. 2003:29 och 2004:46) tillsammans med direktivet om förlängd tid för uppdraget (dir. 2005:53) återges i sin helhet i bilaga 1-4. Utredningen ser det inte som sin uppgift att skapa en ny terminologi för informationssäkerhetsområdet. Däremot är det befogat att slå fast vilka begrepp utredningen utgår ifrån i sitt arbete, och motiven till detta. Ett övergripande skäl till att vissa begrepp används är att de i stor utsträckning är vedertagna bland aktörer i såväl privat som offentlig sektor. Det tidigare förhållandet att språkbruket skilde sig åt mellan privat och offentlig sektor har med tiden blivit mindre påtagligt. Det divergerande språkbruket utgjorde ett problem såväl ur samverkans- som författnings- hänseende. Det är nu snarare så, som utredningen redogjorde för i sitt andra delbetänkande, Informationssäkerhet i och internationellt – en översikt (SOU 2004:32), att de begrepp som formulerats av inblandade aktörer efter deras specifika behov inte överensstämmer med de av statsmakterna formulerade definitioner som återfinns i rättsliga, administrativa eller finansiella regler. Utredningen använder det språkbruk som anges i SIS () 550: Terminologi för informationssäkerhet (utgåva 2, 2004). Underlag för utredningens överväganden Terminologin inom EU på informationssäkerhetsområdet ger stöd för den bredare definition av informationssäkerhet som utredningen använder sig av. Kommissionen definierar i sitt meddelande Nät- och informationssäkerhet: förslag till en europeisk strategi (KOM[2001]298) informationssäkerhet som förmågan hos ett nät att tåla, vid en viss tillförlitlighetsnivå, olyckshändelser eller illvilligt uppträdande som äventyrar tillgängligheten, äktheten, integriteten och konfidentialiteten hos lagrade eller vidarebefordrade data och besläktade tjänster som tillhandahålls av, eller är tillgängliga, via dessa nät. I rådets säkerhetsbestämmelser slås fast att informationssäkerhet rör skyddandet av uppgifter mot oavsiktligt eller avsiktligt sekretessbrott, förlust av okränkbarheten eller tillgängligheten (det vill säga att förebygga förvanskning, obehörig ändring eller radering samt att åtkomst inte skall hindras den som är behörig). Båda dessa skrivningar överensstämmer i hög grad med utredningens definition. Ett annat begrepp som har visat sig ha grundläggande betydelse för utredningsarbetet är samhällsviktig verksamhet. I diskussionen om vad som utgör det offentliga åtagandet är begreppet återkommande. Enligt utredningens erfarenhet finns dock inte någon generellt vedertagen definition av begreppet. Sannolikt är det så att det finns en mängd olika verksamheter som vid ett givet tillfälle kan vara mer eller mindre viktiga för samhället. Staten kan således ha ett ökat intresse av att säkerheten upprätthålls i sådana verksamheter. Det finns därmed ett behov av att vidare definiera vilka kriterier som skall uppfyllas för att en verksamhet eller ett system skall definieras som samhällsviktigt. Nedan följer korta beskrivningar av utredningens tre tidigare delbetänkanden. Utredningens första delbetänkande behandlade signalskydd. Utredningen konstaterade i betänkandet att det finns ett behov av signalskydd även utanför det som lagstiftningsmässigt definieras som totalförsvaret. Möjligheterna att finansiera resurser och Underlag för utredningens överväganden kompetens inom totalförsvaret måste vägas mot möjligheterna att tillgodose behoven med kommersiellt tillgängliga system. Utredningen pekade på behov och intresse av samarbete mellan den verksamhet som bedrivs inom totalförsvaret och den inom privat eller kommersiell verksamhet, som motiverar vidare utredning av samverkansmöjligheter. Det har därför också funnits ett behov av att se över gränsdragningar i lagstiftningen, ansvarsförhållanden, organisation etcetera. Utredningen utgick från att en svensk anpassning till internationella normer (till exempel de gällande inom EU) avseende signalskydd och hantering av skyddsvärd information, är eftersträvansvärd. En möjlighet syntes vara att utvidga säkerhetsskyddslagens tillämpningsområde till att omfatta även annan skyddsvärd information än den som är hemlig med hänsyn till rikets säkerhet. Med en sådan ordning skulle en större krets av de organ som hanterar skyddsvärd information kunna omfattas av tillämpningsföreskrifter eftersom lagens tillämpningsområde även omfattar kommuner, landsting och vissa andra enskilda rättsubjekt. Ett mindre långtgående alternativ ansågs kunna vara att regeringen föreskriver att särskilda signalskyddsrutiner med mera skall tillämpas hos de statliga myndigheterna. De frågor som utredningen beslutade att vidare utreda i det fortsatta arbetet rör organisation, lokalisering och författnings- ändringar. Då signalskydd av utredningen definieras som en integrerad del av informationssäkerhet i stort, omfattas området i övrigt av de förslag gällande informationssäkerhet som utredningen presenterar. 1.4.2SOU 2004:32 Informationssäkerhet i och internationellt – en översikt Utredningens andra delbetänkande gjorde en översikt av informationssäkerhetsläget nationellt och internationellt. Utredningen slog i sitt andra delbetänkande fast att det är nödvändigt att det offentliga engagerar sig i informations- säkerhetsfrågorna, eftersom satsningarna annars kan förväntas bli otillräckliga. Det är också enbart staten som kan ha den överblick Underlag för utredningens överväganden som är nödvändig för att kunna göra adekvata riskbedömningar. Det är dock viktigt att det offentligas engagemang begränsas till de områden eller åtgärder där dess roll är avgörande eller nyttan är så stor att det motiverar ingrepp. I vissa fall kan det vara befogat att offentliga organ tar ansvar för finansiering och genomförande av säkerhetsåtgärder. Utredningen redovisade mot denna bakgrund de huvudsakliga funktioner och kontinuerliga arbetsuppgifter för offentliga organ som, utöver det ansvar som följer av ansvarsprincipen och oberoende av dagens organisationsstruktur och funktioner, kunde identifieras inom informationssäkerhetsområdet. Dessa berörde bland annat tydliggörandet av en nationell strategi, att föreslå och förmedla grundläggande regelverk, signalskyddstjänst, att ge råd och information till allmänheten och stöd till myndigheter, särskilda råd och stöd till särskilt viktiga myndigheter eller avseende särskilt viktiga system samt att förebygga, upptäcka, utreda och lagföra IT-relaterad brottslighet. Utredningen ansåg att det finns flera tänkbara målgrupper för informationssäkerhetsarbetet. De som särskilt nämndes var statlig förvaltning, kommuner och landsting, näringsliv och allmänhet. Utredningen konstaterade att det förekommit diskussioner rörande gränsdragningsfrågor, dels om relationen mellan de fyra på informationssäkerhetsområdet särskilt utpekade myndigheterna (), (), () och (), dels om dessa myndigheters relation till andra myndigheter verksamma inom informationssäkerhets- området – till exempel Statskontoret, Styrelsen för ackreditering och teknisk kontroll (Swedac), Säkerhetspolisen och Försvarsmakten. Oklarheterna om gränsdragning gäller i vissa fall instruktioner för myndigheterna, men framför allt den praktiska uppdelningen av arbetet. Vidare befanns den operativa ansvarsfördelningen och samordningen vid krishantering vara oklar. Det framkom också farhågor om att utpekandet av särskilt ansvar för vissa myndigheter riskerar att överskugga det ansvar som varje myndighet redan har inom sitt område. Vissa lagtekniska hinder för verksamheten konstaterades också.