rfr · GV0WRFR21 · 2008-06-01 00:00:00 — Det är Verva som jobbar med de här frågorna. , : I handlingsplanen är ett förslag att man ska skynda på och ett annat att KBM tillsammans med FoU ska göra en studie och en granskning av vad som är tekniskt genomförbart. Det är alltså omnämnt där. , : Inom IVA har Verva varit den organisation som har arbetat med frågan. som sitter här bakom mig har alltså arbetat med detta, och jag skulle vilja lämna över ordet till honom. , Verva: Jag jobbar alltså med e-legitimationsfrågorna på Verva. E-legitimation har en ganska lång historia i . Vi har haft nuvarande situation i ungefär . Syftet var från allra första början att skapa ett enhetligt sätt för myndigheterna att identifiera medborgare mot offentliga tjänster. Man kan tycka många saker om detta att det har gått för långsamt och så vidare. Det finns många skäl till det, och tiden räcker inte till för att gå in på detta . Men vi kommer att lägga fram ett antal alternativa förslag till hur det här kan fortsätta i en riktning som vi alla kan tycka är acceptabel. Vi vill också skapa en likriktning för området och en friare användning som kan liknas vid att man använder en fysisk legitimation, som vi gör i vardagslivet. Det ska kunna fungera på motsvarande sätt för en elektronisk dito. Det är vår ambition, och det är vad vi jobbar för. Vi ser goda möjligheter att lyckas med det, men vi behöver naturligtvis ert stöd som politiker i de här frågorna för att driva på utvecklingen i rätt riktning. Ordföranden: Du kan känna det massiva stödet här just , och det kommer säkert mer sedan. (): Jag har en fråga i samband med en proposition från Försvarsdepartementet där man föreslår att en ny myndighet ska bildas för att driva samhällets krisberedskap. Hur kommer IT-säkerhetsarbetet att fördelas ? Hur kommer vardagssäkerheten att hanteras, och av vem? Med vardagssäkerhet menar jag den IT-säkerhet som inte rör allvarliga krissituationer eller omfattande IT- attacker. Jag skulle vilja höra kommentarer från från KBM, . Grinneby från Sitic och från IT- råd. , : Propositionen säger att den nya myndigheten har ett informationssäkerhetsansvar att hålla samman arbetet. Det finns också direktiv utgivna för tillkomsten av den nya myndigheten som också adresserar frågan. Där kan man se att vi har ett samordningsansvar för informationssäkerhetsfrågor i kris i den nya myndigheten. Som jag sade i mitt föredrag tidigare är normalbilden den som kan eskalera till en krissituation. Det återstår lite arbete för att se hur rollen ska se ut i vardagstillvaron och när den övergår i en kris, vilket är ett svårdefinierat Just när det gäller den problematiken mellan vardagsverksamheten och krisverksamheten återstår nog lite arbete att göra. . Grinneby, Sitic: Sedan Sitics verksamhet startade har vi sett att det finns en ganska stor villighet hos myndigheter och andra organisationer att ta till sig informationssäkerhetstänkande och informationssäkerhetsarbete. Vi har stött på väldigt positiva reaktioner med den ökade utåtriktade verksamhet som vi har bedrivit . Jag tror att det vi kommer att göra framgent är att öka samarbetet med myndigheterna och lära dem att bli duktigare på att hantera sin egen säkerhet. De måste göra det själva, för det finns ingen annan som har tillräcklig god insyn i hur verksamheten fungerar för att kunna göra det utifrån. Men, som säger, det är naturligtvis bra om någon på ett övergripande plan håller samman det som behöver uppnås, men exakt hur det ska göras måste var och en bestämma själv. Det är då den bästa effekten finns att hämta. Vi kommer att fortsätta att jobba med att utbilda myndigheterna och erbjuda dem den praktiska hjälp de behöver och hjälpa dem att göra det de inte kan göra själva, det vill säga ha internationella kontakter med liknande organisation som Sitic till exempel. Det är någonting som är väldigt bra att vi gör. , : Jag sitter som ledamot i , men jag representerar inte på något sätt. Jag är anställd på . Den första reaktionen är att jag helt och hållet håller med . Det är en sak som jag blev förvirrad av här , och det är att folk blandar ihop den vardagliga säkerheten med den säkerhet och robusthet som behövs när det verkligen händer någonting. Det var tillräckligt oklart i föredragen här för att göra mig lite orolig för att de som håller på med säkerhet inte riktigt själva kan skilja på de här olika sakerna. Jag undrar också hur det ligger till här egentligen. Som en extern part som inte jobbar på någon av myndigheterna spelar det ingen roll för mig eller för privat sektor vilken myndighet som har ansvar för de olika funktionerna utan bara att det är välbestämt vem det är som har hand om det och att det delade ansvar som vi har i med ansvarsprincipen hålls kvar. När man ser de här presentationerna verkar det som om det är lite oklart mellan myndigheterna vem som gör vad, till exempel mellan KBM och PTS om man hårddrar det lite grann. Det är inte bra. Det skapar lite oro hos alla oss här som delar på ansvaret att se till att Internet fungerar både i offentlig och i privat sektor. När det gäller själva krishanteringen, när det väl händer någonting, är det otroligt viktigt att veta vad som är viktigt. Den absolut första bilden vi såg här var från FRA som sade att riksdag och regering var ett av de viktigaste områdena. Jag undrar hur mycket av som slutar att fungera om folk inte kommer i kontakt med riksdag och regering eller två. Jag tror att det kommer att funka rätt bra ändå. Vi utanför bryr oss inte om vem som gör saker, men vi vill inte ha något krig mellan de olika myndigheterna. Jag har ytterligare ett exempel från . I hade man bestämt sig för vilka tjänster som var samhällsviktiga, och då menar jag verkligen viktiga. De hade plockat ut två saker. Det första var att medborgarna fortfarande kommer åt pengar av landets valuta, det vill säga att bankomaterna fungerar. Det förhindrar att folk börjar handla med stenar eller trycka egna pengar, och det är rätt viktigt för att behålla ett land som ett land. Den andra saken som var viktig där är att medborgarna kan kommunicera med varandra, inte medborgare till myndigheter, inte myndigheter till medborgare. Den typen av prioritering skulle jag vilja se att vi tillsammans gör i . Bara genom att bestämma sig för två sådana viktiga saker blir det implikationer på att det måste finnas elförsörjning och alla möjliga andra saker. Men vet vi inte vad som är viktigt, och det måste vi enas om. (): Herr ordförande! Jag har frågor som snuddar vid dem som redan har ställts. Flera föredragshållare betonade att samhället är helt beroende av nätet och av att e-kommunikationen fungerar, och så har vi hört exempel på att det finns lägen då det inte fungerar. var ett, och bombning av hemsidor och annat har vi också hört talas om, bland annat i . fanns det också uppgifter om oro för att nätet skulle sprängas på grund av mängden information. Även om vi har fiberoptiska kablar är nätet inte dimensionerat för den oerhört snabbt växande informationsmängden. Hur ser till exempel på detta? Finns det några sådana risker över huvud taget? Det är den ena frågan. Den andra är om vi ändå inte håller på att gå baklänges när det gäller säkerheten. Förut fanns det en rad av varandra oberoende informationssystem i ett hushåll. Vi hade telefon som inte var beroende av elektricitet. Vi hade radio och tv och så vidare. håller vi på att slussa in all information via dator. Vi tittar på tv och lyssnar på radio via dator. Är vi inte mer sårbara? Hur kommer det att funka i ett läge när vi inte har en transistorradio som går på batterier, utan vi är helt beroende av att datorn funkar, om elen havererar eller nätet går ned? Är vi inte i ett lite sämre läge för hushåll och bostäder om vi gör oss så här ensidigt beroende av ett enda system? , : Låt mig börja bakifrån. Visst blir vi sårbarare om man har en typ av kommunikationskanal som bärare för ett stort antal tjänster som är beroende av en löpande elförsörjning. Precis som med allting annat finns det möjligheter att åtgärda det, men då måste man också fundera på hur det ska gå till att få ut elkraft i bostadsområden. En väldigt enkel sak som vi spekulerade i jag jobbade på var att låta någon dela ut mobiltelefon till alla i huset när elen har gått för att man åtminstone ska kunna upprätthålla kommunikationen mellan varandra. Vilken var den första frågan? Jag tappade tråden. (): Finns det någon risk för att nätet sprängs av den snabbt växande informationen? , : Tack och lov är inte de här nollorna och ettorna så fysiskt påtagliga. Det som händer är att det går trögare. Det går långsamt. Det kan naturligtvis också innebära att den viktiga trafiken blir lidande av en massa skräp när den verkligen behövs. Därför är det också viktigt att vi prioriterar vad det är som är viktigt, så att man vet vad man ska strypa och vad man ska hjälpa till med när det behövs. , : Låt mig bara tillägga något till det här med trafikökning. Vi ser en hel del av den trafik som går mellan operatörerna som vi hanterar. Det finns ett visst beroende i det här. Den trafik man skickar genererar också intäkter som återinvesteras för att se till att kapaciteten ökar. Det är inte så att trafiken bara ökar och mängden peng in inte ökar. Den ramlar inte ned från himlen, utan den kommer faktiskt av användandet. Det säkerställer på något sätt att det här systemet klarar av att skala för och hantera den trafikökning vi ser, och den har varit enorm . pratade om att prioritera det. Det är ofta en fråga för ändsystemen. Operatörernas nät skalar för det här, men frågan är om myndigheternas nät klarar av att hantera stora trafikökningar vid extraordinära händelser eller huruvida man kan få fram trafiken till slutsystemet, till medborgarna. Det är där det finns risk för flaskhalsar och problem med prioritering. Ordföranden: skulle kanske kunna lägga till en sak när det gäller det som frågade om när det gäller att alltmer sker via datorn. Vi har också ett trafiksystem som ska bli alltmer IT-intelligent. Vad innebär detta? , : fråga om beroenden är väldigt viktig. Men jag kan påminna om att även när hade sin telefoni krävde det också elektricitet, men man lade omfattande resurser på att det skulle fungera i alla lägen. när komplexiteten och beroendet är ännu större är elförsörjningen fundamental för väldigt mycket i samhället och för all elektronisk kommunikation. Det finns olika sätt att angripa det här. Företagen som säljer kommunikationstjänster har ett grundläggande kommersiellt intresse av att det ska fungera mot sina kunder, men kan de inte gardera sig mot vilka stora katastrofer som helst. Där finns till exempel de här robusthetsmedlen från staten som PTS hanterar och kan stärka upp. Men det finns mycket större behov än vad det finns medel för att stärka det här. Men det finns ett par andra sätt också att gå, och ett är att kunderna ställer större krav gentemot sin leverantör och till exempel frågar vad som händer vid ett elavbrott. Hur klarar sig det här kommunikationssystemet då? Där finns det mycket mer att göra. Det är en upplysning till företag och andra som till exempel vill ha ip-telefoni så att de förstår att sådana frågor ska ställas. En annan motverkande sak är att det finns många alternativa kommunikationskanaler . Det kan vara så att om den ena kommunikationsformen, till exempel en mobiltelefonioperatör, är utslagen kan det finnas andra som är i gång. Det är någonting som vi var och en kan gardera oss lite mot. Jag har själv till exempel inte bara ett . Jag har också ett extra i min telefon för att klara mig om min vanliga leverantör inte fungerar. Det är en enkel liten vardagsåtgärd. Ordföranden: kan man naturligtvis fråga sig om det är en sådan katastrof att vi inte alltid är tillgängliga och inte alltid kan se på tv och inte alltid kan prata med någon annan just . Det känns ju så ibland, men det kanske inte är det egentligen. (): När jag för sedan läste de förträffliga böckerna av om trodde jag att detta var bara fiction. Sedan började jag inse att det här är nog verklighet. Jag tycker att detta är ett väldigt svårt område. När vår IT-chef kom till oss i de olika partierna och berättade om säkerheten här blev vi något rädda när vi såg hur lätt det var att komma in i våra system. Vi hörde detta om oskyddad dator, och allt. När jag lyssnar här tycker jag att det borde vara så att nyckelordet är långsiktighet och framtidsseende. Vi har hört de olika myndigheterna prata om handlingsplaner och så vidare. Jag funderar på vad vi som beslutsfattare konkret kan göra. Vad är det som måste göras? Vad är ert budskap om första prioritet till oss som beslutsfattare? Jag vill rikta frågan till tre personer. Till på Netnord, på IVA och som är här som ledamot i . , : Mycket av det som har sagts, om man tittar på som jag läste igenom snabbt i går, är ju inte helt nya idéer. Det är ingenting som är föreslaget . Det vore trevligt om man kunde se de här förslagen genomförda snarare än föreslagna på nytt. Mycket av det som talade om är också väldigt lågt hängande frukt som man tycker bara borde vara att göra. Jag tror att bör ställa högre krav på myndigheterna att genomföra detta och ställa krav på regeringen att inte bara återkomma och säga att man har en plan och en fin, vacker rapport till. Man borde faktiskt komma tillbaka och presentera utförda åtgärder. Sedan tror jag att det är viktigt att man understryker det som har sagts förut, nämligen att det måste finnas en långsiktighet i det här arbetet. Det måste finnas en säkerhet där vi i det privata näringslivet eller externa aktörer känner att det finns en långsiktighet som kommer att fortgå. Det måste vara samma myndigheter och samma personer hos myndigheterna som har en finansiering över . De här projekten får inte stå och falla med nästa val eller med nästa trendvind på något sätt. Det måste finnas långsiktighet. Det är frågor som det tar väldigt att bygga upp kunskap och kännedom om. , : Jag har ett antal förslag till konkreta åtgärder. Projektet kommer att övergå i en realiseringsfas, byta namn och heta Ambient , alltså. Då skulle vi gärna vilja få kontakter med er som är riksdagsledamöter för att diskutera de förslag som vi har och hur de kan anpassas så att de passar beslutsmekanismen och de organ som ni sedan vill berätta vad som ska göras för. Det här realiseringsprojektet kommer som sagt att ha sin planeringsfas , och vi skulle gärna vilja få den här kontakten. Det är det långsiktiga arbetet. Det mer kortsiktiga, väldigt konkreta arbetet gäller informationssäkerhet. Det finns en statlig myndighet som har gjort ett bra arbete på det här området. Det är universitetsnätet Sunet på KTH som har gjort det arbetet. Det arbetet kan man ta och lämna vidare och låta andra myndigheter implementera. Man kan läsa den här handboken, kopiera det och införa det. Det är ett väldigt bra arbete. Det är uppdaterat och en mycket stor handbok. Det är det långsiktiga förslaget och det väldigt konkreta, kortsiktiga förslaget. , : Jag vill nämna tre saker väldigt kort. För det första: Bestäm vilka tjänster och vilka funktioner i landet som verkligen är viktiga! Det tycker jag är en väldigt bra diskussion. Se till att det bestäms. För det andra: Ställ krav på myndigheter, precis som sade, att de faktiskt gör någonting. De måste också förklara hur det matchar det som ni har bestämt är viktiga tjänster och funktioner i samhället. För det tredje: Se till att myndigheterna direkt, de myndigheter som har ansvar för att de här funktionerna fungerar, får pengar i stället för att det ska bli potentiellt tjafs med att myndigheterna ska ge varandra pengar. , Försvarsmakten: Jag heter och är chef för militära säkerhetstjänsten i Försvarsmakten. Jag skulle vilja ta upp två saker. Den ena är hur vårt sätt att använda begreppet IT-incidenter bär lite grann hur vi tänker. av de IT-incidenter vi har pratat om här är egentligen rena brott som alla återfinns i olika kapitel. Men vi har pratat väldigt lite om brottsbekämpningsförmågan här . Jag tror inte att det är någon här i salen som kommer från någon brottsbekämpande myndighet, från eller liknande. De flesta av de här brotten är gränsöverskridande, och i många fall är det grovt organiserade kriminella som ligger bakom. De bör också mötas av bättre förmåga hos polisen och rättsvårdande myndigheter att hantera de här brotten. Om ni kommer hem eller och har haft inbrott i bostaden ringer ni självklart till polisen, men jag tror inte att ni ringer om ni har haft intrång i er dator och blivit av med pengar eller liknande, och ringer ni kommer ni sannolikt inte att få speciellt mycket hjälp när det gäller intrånget i datorn. Har ni däremot haft inbrott i bostaden lär ni få hjälp av polisen. Det andra som jag också vill ta upp är mer explicit min hemmaarena. Un- derrättelseverksamheten jobbar naturligtvis också på det här området. Man brukar säga att underrättelsetjänst är The trade of all tricks, och det här är ett av de trick som man nu lägger till sin arsenal. Alla de stora underrättelsetjänsterna jobbar med IT-intrång. Det är helt självklart. Jag vill trycka på att det är ett hot som är väldigt konkret, och de är väldigt duktiga i många fall. Det drabbar myndigheter, regering, riksdag och liknande. (): Om man är född och uppväxt med skrivmaskin och blyertspenna känner man sig som en immigrant i den digitala världen. När vi diskuterar olika saker: säkerhetsfrågor, brott på Internet, pornografi och så vidare, är det precis som om Internet skulle vara en egen värld. Fildelning är ett annat exempel. Jag tycker att det var befriande att representanten från Must säger att vi ska betrakta det som all annan verksamhet och bekämpa det. Vi skulle till exempel aldrig acceptera att någon lånade vår bil då och då eller att man flyttade in i vårt hus, kapar vårt hus, och bor där . Det har vidtagits åtgärder. är det i princip omöjligt att stjäla en bil om man inte stjäl nyckeln. Det går inte att bryta upp dörren och ta en ny bil i besittning. Men när det gäller datasäkerhet känns det som om tonvikten väldigt mycket ligger på att jag som användare ska se till att det fungerar. Om jag skaffar antispionprogram, brandväggar och virusprogram ska jag ändå tänka mig för hur jag agerar på nätet, får man höra. Vad innebär det konkret? Hur mycket ansvar ligger egentligen på användaren? Kan man förvänta sig att Internetoperatörerna ska ha ett högre säkerhetskrav och kunna säga att man, när man levererar en tjänst, ska ha mycket större säkerhet och att om du använder just deras tjänst minimerar man risken för dataintrång, att någon kapar din dator och så vidare? Hur ser ni på relationen mellan användare och den som tilldelar en tjänst, till exempel teleoperatören och bredbandsbolagen, när det gäller ansvaret? Hur ser ansvarsfördelningen ut? Är det fiftyfifty eller ligger huvudansvaret på användarna? Man kan nästan få intrycket att det är det senare, vilket jag tycker är mycket märkligt i så fall. Vi skulle heller aldrig acceptera att av all trafik gick ut på att någon åker omkring med en bil med lite reklam på taket för att djäklas med de andra trafikanterna och göra reklam för olika varor. Så ser det i princip ut på nätet. Om jag har förstått er rätt är en majoritet av informationen på nätet spam. Det kan vara felaktigt, men väldigt mycket är åtminstone spam. Varför accepterar vi det på nätet men inte i den vanliga trafiken? , : Detta är ett spännande område. Jag delar din uppfattning till när det gäller detta att varför är det alltid användaren som sitter med just . Sedan blev det lite fel på slutet. Jag tror personligen att det är mycket svårt att ställa det kravet på Internetoperatörerna. De är bara taxichauffören i det här sammanhanget. Det är på biltillverkaren, alltså programvarutillverkarna, de som har innehållstjänster, de som vill förmedla någonting till användarna på nätet och de som har en utrustning som används för det, som kraven behöver ställas. Det är de som måste se till att det fungerar från början så att användarna kan andas ut lite och inte behöver känna sig osäkra på om bilen har tre eller fyra hjul, om det finns någon ratt eller om bromsarna funkar som de ska. , : Jag tycker att du har helt rätt. Komplexiteten i det här och gällande lagstiftning gör att det är svårt att veta vad det får för konsekvenser. Om vi tar en dator hos en enskild användare som utgör grunden för en attack, finns det då ett oaktsamhetsbrott hos den som låter sitt verktyg åstadkomma stor skada för någon annan? Nej, det finns det inte. Egentligen är den enskilda användaren helt oskyldig. I ett längre perspektiv kanske det är just därifrån de största förlusterna och attackerna kommer att komma. Kan man alltså fortsätta att ha en sådan här oskyldighetsaspekt från dem som är verktyget i attackerna? Och hur ska i sådana fall en lagstiftning kunna hantera en sådan fråga? Den är inte lättlöst. Just nu tycker jag att föremålet som utför attacken har en väldigt liten skuld i det här ärendet de borde kanske ha mera tack vare sin okunskap. Då måste man komma till rätta med okunskapen, och den kommer man kanske inte till rätta med bara genom lagstiftning. Det är en samhällsangelägenhet att ha en kompetensutveckling i hela kedjan, som jag sade förut. , : Det är farligt att fortsätta på analogier, men det är inte så att du förväntar dig att på något sätt ska bekämpa brottslingar som ska stjäla din bil. Orsaken till att du har ett så bra låssystem på din bil är att du har märkt att bilen blev stulen. Det är ganska uppenbart. Biltillverkarna har utvecklat väldigt effektiva låssystem därför att de som köpte bilar ställde krav på det och började köpa bilar som hade bättre lås. Jag håller helt med både dig och att användare förväntas ta ett väldigt stort, kanske lite väl stort, ansvar. Men det är nästan ingen av de här användarna som ställer krav på sin biltillverkare att göra låsen bättre . De är nästan obefintliga, och till viss del är det så att den stackars användaren inte vet om att han har sin bil stulen. Han sitter glatt där och tror att bilen står på parkeringsplatsen eller att datorn fortsätter att fungera eftersom han inte har märkt det. Den kanske går lite långsamt, så att det är dags att köpa en ny. Jag förstod inte riktigt om det var det som menade, att man skulle lagstifta till brottslighet. Det finns väldigt många andra dumheter man kunde lagstifta mot också, men det är väldigt svårt att lagstifta mot okunskap och dumhet. Nyckeln till det här är att ställa mer krav på att de som levererar systemen till en användare levererar säkra system, och de kraven måste komma från slutanvändaren, inte från någon annan. , : Många undersökningar visar precis det som säger, att det är svårt för användare och småföretagare att använda Internet på ett bra sätt och utveckla sin verksamhet. Man litar inte riktigt på det, och man vet inte riktigt hur man gör. Varför är det så? Det är en väldigt snabb utveckling i branschen. Det är en i många stycken omogen bransch. Men jag tycker ändå att man ser positiva tecken, till exempel tillhandahåller den största Internetleverantören, Sonera, men också andra, flera tjänster, och i de tjänsterna ingår det skyddsfunktioner som antivirusprogram och brandvägg, så att man inte lika mycket som förr själv måste tänka på att köpa detta och installera. Det är ett steg i rätt riktning. Jag tror att det framöver kommer att bli mer så att man kommer att sälja inte bara enkel användning utan också en säker användning. Men det återstår att se, för det är en snabb teknikutveckling. Men hur mycket till exempel leverantörssidan än tillhandahåller det här är det precis som med bilarna. Även om det finns säkerhetsbälten, och till och med lagstiftning om att det ska finnas, ankommer det på den som sitter i bilen att använda säkerhetsbältet. Det är vi alla vana vid och vet hur man gör, men i den här världen är det inte riktigt lika enkelt för användaren. Jag tror att kunskapsbehovet kommer att finnas, också , även om skyddsmekanismerna är mycket bättre. Per Hellqvist, : Jag heter och arbetar på .