rfr · GV0WRFR21 · 2008-06-01 00:00:00 — Det har antingen varit som ett rent offensivt vapen eller så har syftet varit underrättelseinhämtning jag delar in i två kategorier. Men då pratar man om motståndare som har väldigt stora resurser bakom sig. En annan form av hot är hot mot oss alla som medborgare. Medborgarnas beteende för att hitta information och för att kommunicera med myndigheter ändras. är Internet en väldigt stor del av det här. Vi har sett exempel på det. Regeringens webbplats gick ned för att allmänheten ville läsa budgeten. Det är kanske inte den mest uppseendeväckande händelsen, men det räckte tydligen för att sätta en ganska kritisk informationskanal ur spel. vill jag inte på något sätt nedvärdera budgeten, men så var det i alla fall. Det har funnits andra tillfällen då man har kunnat se att medborgarna har vänt sig till Internet som medium för att hitta information, antingen på nyhetsplatser eller på regeringssidor. Jag tänker på tsunamikatastrofen och så vidare. Det finns en annan sak som är väldigt oklar för mig som medborgare. Det finns inget klart och tydligt kommunicerat gränssnitt när det gäller hur jag ska hitta information och under vilka omständigheter jag ska hitta information. Jag gick i skolan . Då fick man lära sig att man skulle stänga dörrar och gå in och lyssna på radio. Någon liknande informationskanal kanske skulle vara intressant . Tyvärr är det så med Internet att även om jag sätter mig framför datorn och tittar på min webbläsare kommer informationen inte till mig automatiskt. Det måste finnas en klar och tydlig informationskanal när det gäller hur jag får information från myndigheterna. För mig som är inblandad i en ganska central drift av Internet i är det ganska oklart om det finns en kanal som skulle kunna hantera den informationsspridningen. Man bör anta att det här är något som ska kunna hantera ungefär 3 ½ miljoner hushåll som vill hämta information. Man kan titta på andra händelser, som stora nyhetshändelser. Beteendemönstret verkar vara att man helt enkelt klickar på reload. Man vill hämta informationen på nytt , vilket gör att det är en bombardering av förfrågningar vad gäller information, vilket är ett ganska stort skalproblem. Vad gäller hot rent allmänt och kanske också hot mot myndigheter är i praktiken all form av hot på Internet någon form av attacker. Väldigt många av dem sker för ekonomisk . Om man ska kalla det för maffiaorganisationer eller terrororganisationer är kanske mindre intressant. Det är organiserad brottslighet där man hyr, köper, driver olika former av attackverktyg som består av hundratusen till miljontals kapade datorer. Det är datorer som är infekterade med olika former av program som kan användas för att fjärrstyra de här datorerna så att de skickar oönskad e-post eller utför överbelastningsattacker, liknande dem vi såg i . Och det är andra liknande attackformer. Ur den här aspekten är myndigheten egentligen bara ytterligare ett mål. Tyvärr är det en högre risk, för myndigheter är ganska benägna att följa upp attacker och att polisanmäla det gäller kanske i mindre utsträckning på andra områden. Utdelningen är kanske lite mindre, det vill säga att det är svårt att utöva utpressning mot en myndighet. Däremot finns det andra former av attacker som man kan tänka sig mot myndigheter. Det kan handla om informationsläckage eller om stulen information som kan säljas eller användas i utpressningssyfte mot myndigheter. Det kan alltså handla om att man då inte ska läcka hemlig information, till exempel. Kostnaden för att skapa en sådan här attack är ganska låg jämfört med de pengar som man normalt får ut av det här, och väldigt lite av detta polisanmäls. Sedan gäller det allmänna hot mot samhället. Ofta sker de här attackerna mot aktörer som har väldigt mycket att förlora på störningar, till exempel online-banker, aktiehandelsplatser, online-spel och handelsplatser. Dessa har på något sätt realtidsinteraktion med sina kunder och tjänar pengar på transaktioner. Om transaktionerna hindras från att utföras är det självklart att det är en stor skada för den som driver den här tjänsten. Då kanske man är mer benägen att betala det här snarare än att vänta på en polisutredning. Man använder också väldigt mycket så kallade spam-runs. Man skickar spam. Vi skulle aldrig få spam om det inte var så att folk faktiskt handlade till följd av den här Viagrareklamen. Detta anses vara en miljardindustri. Man tjänar ganska mycket pengar på det här, på phishing och genom det som sker mer och mer, nämligen att man lämnar marknadsdrivande information och investerar i lämpliga aktier. Allt det här är i grund och botten kriminalitet som bör bekämpas av polis och åklagare. Men återigen: Utan resurser och utan polisanmälningar är det svårt att komma vidare med det här. Den stora risken med allt det här är på något sätt, i förlängningen, att allmänhetens tilltro till systemet skadas om detta inte åtgärdas. Om det här inte följs upp och om det inte kommer fällande domar som kan publiceras och som syns i pressen finns det nog väldigt stor risk för att allmänhetens tilltro till systemet tar skada. Ett exempel är de kända Nordeamejlen vad gäller phishing. Även om Nordea till slut faktiskt gjorde någonting åt det här, eller försökte göra någonting åt det, är det ganska uppenbart att allmänhetens tilltro till ett sådant system självklart måste skadas om det är en och samma bank som dyker upp i de här mejlen. vill jag kanske inte hacka på just Nordea, men jag nämner det som exempel. Vad gör man då i ? ligger faktiskt ganska långt framme eller har legat ganska långt framme vad gäller distribuerad säkerhet och fysiskt skydd. De resurser som vi driver ligger skyddade i bergrum som är byggda och drivs av PTS. Det här är någonting som omvärlden tittar på . Vi har haft flera besök där man från omvärlden har tittat på vad vi har gjort i tillsammans med PTS. Jag tror att det är viktigt att vi behåller det här ledarskapet vad gäller de här initiativen, framför allt vad gäller distribuerad kunskap. bedriver vi vår verksamhet på fem platser i , oberoende av varandra. Det är viktigt att säga att det i är ett väldigt bra samarbete mellan alla operatörer vad gäller de här frågorna. Det är även ett bra samarbete med internationella aktörer. Det här samarbetet används då vid olika former av attacker. Vad tror jag att vi måste göra? Om man nu ska använda termen staten det är någon sorts gråluddigt moln så tror jag att staten måste ta ett ansvar gentemot sina medborgare och leverera de tjänster som man levererar rent allmänt även till sina medborgare på Internet. Man måste tala om hur ansvaret för informationsgivning ser ut. Vart ska jag som medborgare vända mig för att få information? Staten måste på något sätt göra det här genom en centralaktör som har en teknisk lösning, en teknisk plattform som gärna är ganska adekvat i fråga om det som jag pekade på tidigare. Det här är något som flera länder tittar på . Här har vi en chans att vara ledande och kanske visa hur det här egentligen skulle göras. Man måste då också jobba med brottsbekämpning, som vi sade innan. Jag vill också att man ska säkerställa att det finns kompetens i . Det kan man bland annat göra genom att staten ställer högre krav i sina upphandlingar och är en kunnig kund. Man bör ha en central kravprofil när det gäller hur myndigheter ska göra det här, så att man, som pekade på, inte är sämst i klassen, som man är . Det är svårt att ställa krav på resten av samhället vad gäller robusthet när man är sämst i klassen. Man kanske ska ägna sig lite åt att äta sin egen hundmat. som alla myndigheter har väktare i receptionen som ser bra ut vore det kanske bra om man hade en närvaro på Internet som var robust och tillgänglig. Man kanske kunde vara lite mer framåt vad gäller ny teknik, rent allmänt. Jag tror också att det är precis som sade. Vi har väldigt mycket kunskap i på det här området. Vi ligger väldigt långt framme. Vi har legat väldigt långt framme. Men omvärlden börjar fokusera mer och mer på det här, kanske mer än vad vi gör. Vi hade ett försprång 1997, när det här arbetet började. Inget av det här är speciellt svårt. Det handlar inte om att man inte vet hur man gör. Men pappersutredningar skyddar väldigt dåligt mot attacker på Internet. Här är det då viktigt att man ägnar sig, precis som sade, mer åt konkreta åtgärder än åt fler utredningar och skapande av nya myndigheter. Den svenska staten har en väldigt liten operativ roll i det här. Man driver ingen egen operatör längre. Man har ingen direkt insyn i de verkliga trafikflödena. Däremot kan man underlätta en hel del arbete, och man kan se till att det finns långsiktiga robusthetsåtgärder som kanske är sådant som andra aktörer inte gärna ägnar sig åt. Där tror jag att myndigheterna har en väldigt viktig roll att spela. Men återigen: Det ska göras genom att man snarare samarbetar med varandra än konkurrerar med varandra. Ordföranden: för det! Den oro man känner som ansvarig politiker handlar inte alltid, inte bara i alla fall, om det man hör och läser om utan också om mycket av det som händer som man aldrig får höra talas om. Det är svårt att göra en bedömning, eftersom de aktörer som blir utsatta kanske inte är så intresserade av att sprida detta. Det gör det hela ganska mycket svårare. Ordföranden: går vidare på dagordningen och går då till och , som är chef för informationssäkerhetsenheten. Han ska prata om den handlingsplan som presenterades i går. , : Tack så mycket! Tack för att jag fick komma och prata! Uppgiften att hålla samman det nationella informationssäkerhetsarbetet är en tuff uppgift. Informationssäkerheten i är inte tillräckligt bra, men lämnar en handlingsplan som kan ändra på det förhållandet. Handlingsplanen är ett resultat av ett regeringsuppdrag som gavs . arbete och en omfattande samverkan med myndigheter, näringsliv och landsting lämnas förslag till 47 åtgärder som ska kunna ge ett säkrare och effektivare . Myndigheterna som ingår i Samverkansgruppen för informationssäkerhet, kallad Samfi, har lämnat samråd till den här handlingsplanen. Innan jag går in på handlingsplanen vill jag kort beskriva de hot och risker och sårbarheter som vi med de här förslagen försöker hantera. Vi redovisar en lägesbedömning för regeringen. Det gjorde vi . Den innehåller några dramatiska beskrivningar av vad som hände . Det mest omtalade, som vi redan har hört nämnas, är de IT- attacker som riktade sig mot . Det unika var att de var riktade mot ett land. De som styrde attackerna kom också undan och blev inte identifierade. Attackkapacitet utnyttjades från datorer över hela världen, också från . Det var nära att angriparna lyckades nå in i kritiska samhällsfunktioner, men blev det begränsade störningar. Det beror bland annat på att man i har en fungerande basnivå för informationssäkerhet i samhället och att man fick ett omfattande stöd från omvärlden för att blockera de här attackerna. Vi har studerat de här attackerna närmare och lämnat en rapport över dem. Där försökte vi att konstatera hur de svenska förutsättningarna för att klara en motsvarande attack ser ut. Där pekar vi på att det finns allvarliga brister i myndigheternas förmåga att hantera sin egen informationssäkerhet, att förvaltningstraditioner med självständiga myndigheter gör det svårt att få en gemensam lägesbild, att det bara finns ett fåtal experter i som har operativ erfarenhet och förmåga att hantera så här omfattande attacker och att hushållens bredbandskapacitet, svagt skyddade myndigheter och företag kan vara värdar för mycket stora attacker. Vi hörde beskriva lite grann hur tillståndet såg ut i den studie som vi gjorde tillsammans. I den här lägesbedömningen, som vi lämnade, slog vi också fast att vårt beroende av IT stadigt ökar. Det sker särskilt i tidskritiska verksamheter. Vi har särskilt noterat sjukvården och finanssektorn. Sedan konstaterade vi att IT- kriminaliteten ständigt ökar. Så över till handlingsplanen, som vi lämnade till regeringen i går. I den lämnar vi förslag för att förbättra samhällets informationssäkerhet, från normaltillstånd till kris. Det är alltså inte bara en krisplan. I handlingsplanen föreslår vi också en förvaltningsprocess där de här åtgärderna följs upp och uppdateras. Den startar inte från början, utan den tar sin utgångspunkt i flera centrala utredningar. En av de mest centrala är informationssäkerhetsutredningen information , den som ledde. Regeringen har beskrivit och berört frågan i en proposition från , Stärkt krisberedskap för säkerhets skull, och i kommittédirektivet En ny myndighet med ansvar för frågor om samhällets krisberedskap och Direktivet rörde den nya myndigheten, Myndigheten för samhällsskydd och beredskap, som ska inrättas . I handlingsplanen har vi identifierat fyra områden som är prioriterade. Det behövs en grundläggande säkerhetsnivå för samhällets informationssäkerhet. En sådan basnivå behövs för att säkerställa skyddet av samhällsviktiga informationstillgångar och tillgången till sådan information. Samhället måste kunna hantera omfattande IT-relaterade störningar och kriser. För det behöver det inrättas en operativ nationell samordningsfunktion. Det behövs en bred satsning på kompetenshöjande åtgärder på alla nivåer i samhället, från grundskola till spetsforskning. Det handlar om de experter som jag talade om . Bland annat föreslår vi att ett nationellt för informationssäkerhet ska inrättas. Det behövs ett förbättrat sektorsövergripande arbete inom området. Det kan man uppnå genom heltäckande föreskrifter på området. De bör kunna utformas för att gälla alla myndigheter under regeringen. behöver det sektorsvisa ansvaret förtydligas. Det behöver också ges ändamålsenliga rekommendationer till samhället. Vad finns det då för syfte med att ha en god informationssäkerhet? Jo, vi har pekat på att det handlar om att främja samhällets effektivitet och kvalitet i informationshanteringen, att främja näringslivets lönsamhet och tillväxt, att stödja samhällets brottsbekämpning och beredskap mot allvarliga störningar och kriser, att främja medborgarnas fri- och rättigheter och personliga integritet och att främja medborgarnas förtroende för informationshantering och IT- system. Att man har en god vardagssäkerhet är oftast liktydigt med att man har en bra förberedelse för att kunna hantera det som sedan övergår till att bli en krissituation. De verktyg och metoder och attacker som man blir utsatt för är som regel desamma. Det är bara styrkan i dem som varierar. Våra åtgärdsförslag lämnas inom områdena informationsdelning, samverkan och respons säkerhet i produkter och system. Vissa av de här åtgärderna föreslår vi att regeringen beslutar om. Men i många fall kan man besluta om åtgärderna inom ramen för befintligt myndighetsansvar och den normala budgetprocessen. Vi föreslår att regeringen ska besluta att ge MSB, som den nya myndigheten förkortas, rätt att utfärda föreskrifter och allmänna råd för att myndigheter ska kunna uppnå grundläggande och särskilda tilläggskrav på informationssäkerhet. Vi föreslår en operativ nationell samordning. Där föreslår vi att regeringen ska ge uppdrag som handlar om att underlag ska lämnas om hur man kan skapa en sådan administrativ och teknisk infrastruktur för informationsdelning och respons för hela samhället. Förslaget bör då omfatta en gemensam kunskapsdelning, en gemensam lägesbild och en operativ förmåga vid omfattande IT-incidenter. Vi föreslår att regeringen beslutar om att inrätta ett nationellt för informationssäkerhet. Syftet ska vara att öka och samordna kvalificerad kunskapsutveckling och utgöra ett expertcentrum inom området. Det kan organiseras i form av en stiftelse med en styrgrupp, med intressenter från såväl stat som näringsliv och akademi. Vi föreslår också att det kan delfinansieras genom statliga anslag. Vi föreslår att regeringen ska kräva ett formellt ansvarstagande från myndigheterna för hantering av informationssäkerhetsrisker och ställa krav på att myndigheterna i årsredovisningarna talar om på vilket sätt gällande krav inom informationssäkerhet uppfylls. Vi föreslår en översyn av lagstiftningen på informationssäkerhetsområdet. Regeringen bör tillsätta en utredning för att göra en heltäckande analys av författningar som berör informationssäkerhetsområdet. Det är en rasande snabb utveckling. Det är en lagstiftning som inte riktigt hinner hänga med. Det är väldigt många olika områden som påverkas, och det får effekter som man inte riktigt kan förutse. Detta ställer då krav på att man trots att det går saktare ändå gör en rejäl utredning om detta. Vi föreslår en obligatorisk incidentrapporteringsplikt för myndigheter när det gäller allvarliga incidenter. Den ska vara omedelbar, för att man ska ha en möjlighet att få en gemensam lägesbild och genomföra de här responserna. Det finns vissa typer av incidenter som är undantagna på grund av annan lagstiftning. Det handlar om förundersökningssekretess och annat. Vi föreslår att man ska utveckla förmågan att förebygga och bekämpa IT- relaterad brottslighet. Det gör vi genom att vi föreslår att regeringen ska tilldela särskilda medel för att utveckla förmågan att bekämpa IT-brottslighet. Vi föreslår att regeringen ska etablera ett forum för samverkan inom ramen för Epcip European Programme for Critical Infrastructure Protection och den nära koppling som finns till informationssäkerhet, CIIP. Vi föreslår att det uppdraget ges till den nya myndigheten och PTS som en förberedelse inför ordförandeåret. Som har nämnts här tidigare föreslår vi en statlig samordnad satsning på säkerheten i digitala kontrollsystem, en Scadasatsning. Det är egentligen självklart att det beror på den viktiga funktion som de har för samhällskritisk verksamhet. Utöver de här nio förslagen finns det ytterligare 38 förslag. Det är svårt att gå in på allihop här. Jag vill lyfta fram några med betoning på näringslivet, eftersom det kanske har den största betydelsen för samhället i de här frågorna. Målsättningen med de förslagen är att staten ska ha en kontinuerlig samverkan med existerande nätverk för informationssäkerhet, att det ska finnas en god privatoffentlig samverkan i de sektorer och tvärsektoriella områden där samhällets kritiska infrastruktur befinns i privat ägo och att man ska ha ett fördjupat samarbete med finanssektorn i informationssäkerhetsfrågor och att man ska kunna tillämpa branschgemensamma säkerhetskrav som är framtagna i samverkan med staten. Jag anser att det är en stor skillnad i förutsättningarna den här gången för att förslagen ska kunna realiseras. Det är en nyvunnen medvetenhet hos alla samhällsaktörer, och det finns samförstånd mellan de myndigheter som har varit med och tagit fram den här handlingsplanen. förväntar vi oss att regeringen fattar de nödvändiga besluten. Ordföranden: så mycket! En rasande snabb utveckling ja, det kan man verkligen säga. Det känns som att vi är två steg efter. Vi kanske kommer ifatt , men än är vi inte där. Säker och robust elektronisk kommunikation Ordföranden: går vidare på dagordningen. Det är två företrädare för , och . Grinneby, som ska prata om säker och robust elektronisk kommunikation. , : Tack! PTS, kommunikationsmyndigheten alltså, jobbar för att alla i ska ha tillgång till effektiva, prisvärda och säkra elektroniska kommunikationer. Jag är då ansvarig, inom PTS, för den här delen som handlar om säkra elektroniska kommunikationer. Det finns ungefär 450 företag som levererar elektroniska kommunikationstjänster. Vår målbild är ungefär att alla ska ha tillgång till säker elektronisk kommunikation. Med det menar vi då telefoni, Internet, bredband och annan kommunikation baserad på Internetprotokollet. Det är säkert många här i salen som har bredband hemma med till exempel tjänster som tv, telefoni och Internetåtkomst. Det är blandat i denna bredbandsöverföring. Det är en påtagligt snabb utveckling och en hård konkurrens bland de företag som finns på marknaden, dessa 450 plus tusentals tjänsteföretag. Det är en mycket hård konkurrens. Lönsamheten är dålig det ser vi på börsen, till exempel. Och säkerheten kommer i många fall på undantag. ska ha en robust infrastruktur. Det är någonting som har slagit fast . Redan på tid satsades det mycket på det, och det satsas fortfarande en del på det. Integritetsskyddet ska, till exempel, vara högt, så att det inte läcker uppgifter ur den elektroniska kommunikationen på ett otillbörligt sätt, och vi ska ha ett skydd mot IT-incidenter i näten. En grundläggande lagstiftning för oss när det gäller detta är lagen om elektronisk kommunikation. skärpte för övrigt den rejält, vad gäller säkerhet, i efterdyningarna av stormen , som framför allt drabbade hårt. Jag ska gå igenom de tre områden som vi arbetar med inom myndigheten. Det första området handlar om att åstadkomma robusta elektroniska kommunikationer. Här är då ett antal exempel på åtgärder som görs. De här åtgärderna det är ungefär 90 samverkansprojekt sker i privat offentlig samverkan. Vår myndighet, andra myndigheter och framför allt de operatörer som agerar på marknaden är involverade. När det gäller finansieringen är det så att operatörerna delvis själva finansierar för att de har nytta i sina affärer av att systemen fungerar, men det är också samhället som finansierar, genom skatter och genom att operatörerna måste betala avgifter till staten, som PTS administrerar och tar in. De robusthetsåtgärder som PTS finansierar finansieras alltså både av skatter och genom avgifter från operatörerna. Sedan finns det ett antal punkter som visar exempel på sådant som har gjorts och som pågår . Det gäller till exempel de sista punkterna här. Alla viktiga knutpunkter i elektronisk kommunikation finns i skyddade utrymmen, i skyddade bergrum, så att vi har ett högt fysiskt skydd för dem. Det gäller till exempel Netnode som presenterades här och alla stora operatörer. har det lagts ned ett omfattande arbete på att genomföra gemensamma krisövningar i branschen och också på att utforma gemensamma informationssystem för att få lägesbilder av krisläget och kunna agera tillsammans. Det är en väldigt positiv och spännande utveckling att de stenhårt konkurrerande företagen i en kris i form av att det är avbrott eller stopp i kommunikationerna sätter sig tillsammans, arbetar gemensamt och lägger konkurrensen åt sidan för att åtgärda så att det hela kommer i gång igen. Sedan kan man börja konkurrera igen om kunderna. Bland annat har vi ett europeiskt finansiellt stöd för att utforma de gemensamma lägesuppfattningssystemen från det europeiska program, Europeiska finansieringsprogrammet, som nämnde. Det andra området är tillförlitlighet och exempel på vad som görs där. Re- geringen beslöt om en strategi för säkrare Internet. Där jobbar vi nu enligt en handlingsplan ihop med många aktörer för att förverkliga den. PTS har också mandatet att ge ut föreskrifter, allmänna råd och rekommendationer och utövar tillsyn över operatörernas säkerhetsarbete. Det tillsynsarbetet har kunnat stärkas avsevärt efter komplettering av lagen . Det är väldigt viktigt med internationell samverkan och information till In- ternetanvändare eftersom de är en del av hela säkerhetsproblemet. Det är svårt för oss alla som privatpersoner att veta hur man ska hantera det tekniska skyddet. Därför görs det en hel del arbete på det. Det kommer vi att höra mer om efter pausen till exempel när det gäller . Det tredje området är skydd mot IT-incidenter i form av enheten Sitic som finns i PTS. Den fångar upp sårbarheter och incidenter som sker på nätet och informerar om det. Vi ska strax få några minuters presentation om hur det går till. Slutligen vill jag från min sida ta upp några orosmoln. Vi har tidigare hört att samhället är helt beroende av att elektronisk kommunikation fungerar. Komplexiteten ökar kraftigt i elektronisk kommunikation. Det är väldigt påtagligt. Alltmer komplexa system växer samman, telefoni, medier, bredband och alltihop. Sårbarheterna ökar, och det uppstår nya sårbarheter.