rfr · GV0WRFR21 · 2008-06-01 00:00:00 — Vi är leverantörer av IT-säkerhetstjänster och sådant. Du frågar vad man kan göra när det gäller ansvar. Det finns två ställen man kan rikta sökarljuset mot, dels orsaken, dels verkan. Man brukar säga att datasäkerhet och IT-säkerhet börjar hos klienterna. Det är faktiskt på slutanvändardatorerna, alltså våra hemdatorer, som mycket av problemen börjar. Man använder hemdatorer som man har kapat genom att lura användaren att klicka på olika saker eller automatiskt installera olika typer av elak kod på deras maskiner. Sedan använder man de maskinerna till exempel i överbelastningsattackerna som vi såg mot eller för att skicka spam. Du har rätt där. Det är ungefär 80 av all e-post som skickas som är spam, alltså elektronisk reklam. Antingen kan vi rikta in oss på att titta på hur vi ska hjälpa slutanvändarna att känna igen varningstecknen och hur de ska surfa lugnare genom till exempel . Det arbetet börjar redan i skolan. Hur uppför man sig på nätet? Vilka varningstecken ska jag se upp med? Vad jag förstår finns det inte en schemalagd timme centralt sett som går ut på det här. Man lär sig hantera datorn men inte de otäcka sidorna på Internet. Det kan handla om cyberbrottslingar eller olika typer av upphovsrättsbrott. Det enda då är att rikta in strålkastarna på dem som orsakar problemen, alltså själva brottslingarna. Som vi har pratat om lite grann tidigare är det oerhört starka ekonomiska intressen som ligger bakom. Vi pratar egentligen om maffialiknande organisationer. tjänar man så mycket pengar på Internetbrottsligheten att man i princip startar bolag. Man har heltidsanställd personal som sitter och skriver virus, maskar och trojaner och som sedan utför själva attacken. Man kan specialbeställa trojaner för att attackera vissa myndigheter, bolag, banker eller vad man nu vill. Då ingår support och uppdateringar. Vi måste se till att de rättsvårdande myndigheterna har de resurser som finns och framför allt verka för att främja ett internationellt samarbete. För när svenska poliser ringer sina ryska kolleger och säger att vi har en kille på Nevski Prospekt 43 som ligger bakom kraftfulla attacker mot svenska banker är ni snälla och plockar honom åt oss svarar den ryska kollegan tillbaka: Är du inte klok? Vi har folk som skjuter på varandra på gatan med maskingevär, och du vill att vi ska plocka upp någon dataputte. Är du vänlig och återkommer? Man följer spåren mellan länderna. Sådant samarbete måste underlättas. kan man sitta och se kapa datorer i och sedan attackera en bokhandlare i eller var som helst. Vilka lagar är det som gäller? Och hur ska vi hjälpa polisen att följa spåren tillbaka? , Sonera: Jag vill bara ge några kommentarer till att operatörerna ska ta allt ansvar eller ett större ansvar. Jag tror att operatörerna redan tar sitt ansvar. Man erbjuder säkerhetstjänster. Det är kunden som måste välja att köpa de tjänsterna. Det kan man inte göra gratis. Vi måste satsa på utbildningen. När vi jämför med bilen har staten kommit in och gjort föreskrifter om hur bilens säkerhet ska se ut. Det finns grundskyddsföreskrifter för att man ska kunna lansera en bil. Det kommer att behövas likadant för datorerna. Varför kan man sälja en dator i som är helt öppen? Det skulle man kunna fundera lite över, inte bara snacka om basskyddet för myndigheter utan att det ska finnas ett basskydd inbyggt i de datorer som säljs. , : Jag tycker att sätter fingret på en väldigt viktig fråga. Man kan fråga sig varför det är på det här sättet. Min uppfattning är att IT-infrastrukturen inte har designats med någon säkerhet i sikte. Den är osäker. Ingen har gjort den så. Den har blivit det på något sätt. Problemet är att den fortsätter att vara det. Det är fortfarande ingen som leder den här utvecklingen. Om man skulle leda utvecklingen och göra en bra design av något skulle man naturligtvis se till att så lite ansvar som möjligt ligger på användaren och så mycket som möjligt ligger inbyggt i systemet. Man kan konstatera att det redan nu finns massor av som är kända när det gäller hur man ska designa de system som inte finns där. Det är inte kommersiellt attraktivt. Det är massa olika anledningar till att de inte finns där. Det är en fundamental fråga som man skulle kunna fundera på hur man ska adressera och hur man ska kunna göra det. , City åklagarkammare i : Till skillnad från vad trodde finns det faktiskt en representant från rättsväsendet här. Jag har sysslat lite med IT-brottslighet och i vart fall kommit i kontakt med en del av de problem som vi drabbas av. Det verkar finnas en allmän uppfattning om att det är någon sorts laglöst land på Internet och att det är okej. Det är en del av funktionen att man ska kunna vara lite hemlig, kunna göra småbrottslighet utan att man drabbas. Jag tror inte att helt kan frånta sig ansvaret för det. Man har faktiskt satt in en integritetsspärr i lagen om elektronisk kommunikation som tillåter i princip alla bötesbrott fritt på Internet. Det ska man vara medveten om. Det är något som man också har i sin hand att reglera om man vill ändra på det. Om inte polis eller åklagare som är ansvarig för ett anmält brott bedömer att brottet ger annat än böter får vi inte leta efter gärningsmannen. Det är alltså fritt fram att begå olaga hot, vissa typer av angrepp, spamattacker och liknande, förtal, förolämpning, den typen av brottslighet. Det är fritt fram att göra det på Internet , för vi får inte fråga operatörerna vem som har gjort attacken. Vi kan hitta en ip-adress, men vi kan inte hitta abonnenten. Min tolkning är att man har bedömt att kommunikationsnät ska ha ett särskilt skydd. Man har inte samma skydd när man begår brott i verkliga livet. Stjäl man en bil har man rätt att söka spår i verkligheten, men om man begår brott på Internet har man begränsat möjligheten för oss att söka spår. Det kan man fundera på. Jag ska också säga någonting om internationaliseringen på det här området. Det är ett jätteproblem för polis och åklagare att brotten på Internet inte begås på en plats. Vi är fortfarande tyvärr organiserade så att det är regionala brottsbekämpningar i huvudsak i landet. Man bekämpar brottsligheten inom sin region. Det må vara en mindre stad eller ett större län, men det är fortfarande inom regionen. Under sådana här IT-utredningar hoppar man fram mellan regionerna när man följer spåren, om man nu kan följa spåren. bollas man också mellan olika polismyndigheter, mellan olika åklagarmyndigheter, mellan olika domstolar, ibland mellan nationer. Där måste man, tycker jag, ta ett motsvarande grepp som man har inlett på materialrättens område med nationella funktioner, i vart fall nationella, på kanske internationella. Samma polis, samma åklagare ska kunna arbeta med samma brott, oavsett var det slutligen har begåtts, var gärningsmannen slutligen finns. Det var några synpunkter. Ordföranden: Det är naturligtvis alltid en avvägning. pratar vi om bekymren, men de här verktygen ger också enorma möjligheter. Det är den avvägning som vi ofta står inför. Ska vi slutligen som svar på denna fråga låta världens största mjukvarutillverkare få ordet. , : Jag jobbar som säkerhetsrådgivare på Microsoft, har gjort det ungefär. Det är en väldigt utmanande uppgift och framför allt väldigt rolig. Jag tror att temat för det här är att det går väldigt fort med Internet och utvecklingen av datorer. Man brukar prata om hundår. Sju hundår är ett människoår. Ett dataår är kanske helt plötsligt. Vi sitter alltså i en utveckling där vi har ett plan som flyger något fantastiskt fort som vi byter alla motorer på och försöker lista ut vad vi ska göra med det. Jag vet inte hur många här inne som är föräldrar och som kan känna att barnen är ganska duktiga på datorer men att man själv inte har riktigt koll på vad som händer. Det är en del av den situation vi sitter i. Jag brukar säga att jag kan gå i en affär , jag kan plocka upp en korg, jag kan handla min mat, jag kan gå ut och betala. Varför fungerar det så bra? Jo, för att någon har visat mig det här tidigare. Det finns en fungerande process. Men vet vi inte riktigt hur processen är. Vad ska vi göra med datorerna? Vad håller era barn på med egentligen? Och vad gör de ? Det är något helt nytt med vad de gör . Vi utvecklar nya programvaror som gör nya fantastiska saker med datorerna, och det här går extremt fort. pratade lite tidigare om att det finns krav för att ansluta till In- ternet och vad man ska göra. Det är möjligt, men jag skulle hävda att det är lite som att gå mot röd gubbe. Det må vara olagligt, men det finns ingen påföljd direkt. Jag är ganska anonym. Jag kan göra väldigt mycket saker, och det är väldigt liten risk att jag råkar illa ut. Som sade är det det här som brottsligheten älskar. Det här är verkligen en bra grogrund, för lagens arm har väldigt svårt att nå fram. Om jag hoppar via olika länder till exempel måste det samarbetas, och då blir det ännu mer komplicerat. Vi har pratat om olika banker som har råkat illa ut och säkerhetssystemen där. De exempel som vi har är där vi har använt engångskoder och användarna har blivit duperade att lämna ifrån sig dem. Det har inte varit något problem i de tekniska systemen, utan jag har helt enkelt lämnat ifrån mig koderna frivilligt för jag trodde att det var banken som frågade efter dem. Är det mitt ansvar som kund att jag inte ska lämna ifrån mig de här koderna? Är det leverantören som har gjort ett konstigt IT-system? Eller är det banken som har gjort ett konstigt system där det är för lätt att lämna ifrån sig koderna? Frågan blir komplex där också. sitter många användare med förlegade system anslutna till Internet som inte stöds av leverantören längre. Det finns egentligen ingen påföljd för mig om jag inte håller min dator i fräscht skick. Jag kan bli kapad och datorn går lite segt, men herregud, det är ju Windows, det går ju alltid lite segt. Vad ska jag göra åt det? Det finns de som verkligen vill göra något åt det, och så finns det de som startar om datorn. Ordföranden: Jag kan också säga att det går ned i åldrarna. Min lille son som då var 17 månader lyckades vända uppochned på min skärmbild. Det var ett någorlunda lustigt samtal som jag hade med supporten på , kan man säga. Så kan det gå. (): nämnde att terrorism alltid finns men att det här bara är ett annat verktyg. Jag tycker att bara andas lite aningslöshet. Vi vet ju alla att det är betydligt enklare, billigare och större spridning, och det finns många andra saker som gör att just cyberbrott är så pass framgångsrika, om man nu ska kalla det så för vad det är . Det är det som är ett av de stora problemen här . Var ligger då ansvarsgränserna? Om vi ska fortsätta med trafikjämförelser har vi bilar som går på våra vägar. För att bilarna ska gå på vägarna finns det ackrediteringsinstitut som ska godkänna dem. Vi har , oaktat hur det är organiserat, som ska se till att bilarna håller sig i trim. Det handlar om ett ansvar hos användaren men också hos leverantörerna. Vi ska komma ihåg att de krav som finns vad gäller säkerhet i bilar inte kommer från användarna i regel. Det är prestanda och lullull som användarna som köper bilarna vill ha. Kraven på säkerhet, säkerhetsbälte och Sips och och allt vad det heter kommer faktiskt från myndigheter, försäkringsbolag och andra som har en insikt i vad det här innebär. Det innebär då också att vi måste se till att ställa krav, inte bara på datortillverkare, mjukvarutillverkare och dem som använder det utan även på dem som levererar tjänster av olika slag. Vi fick höra av att vad gäller namnservrar är det stora brister i detta. har så allvarliga fel att de i princip borde stängas av, om jag förstod det rätt, och hade allvarliga brister. Jag tycker att det här ett stort problem. Frågan är om man ska ha någon form av ackreditering för att över huvud taget få minimisäkerhetsnivåer för att kunna få erbjuda tjänster så att vi åtminstone där kan spärra en del av de här besvärliga sakerna. Det andra som jag ville fråga om som är väldigt viktigt, och där får jag väl hålla med , är hur mycket man ska ställa krav på våra användare. Att lära dem från barnsben och att pö om pö få större kunskap är naturligtvis jättebra. Men vi har också bekymmer. Jag ska återge vad sade i samband med lösenord och annat apropå att svära i kyrkan: Vi har väldigt många nycklar, och vi förstår inte alltid hur allvarligt det är att släppa in obehöriga. Vad gäller fysiska nycklar har vi ett fåtal, men vi har ett otal lösenord, pinkoder och annat. Nycklarna byter vi sällan ut, men många lösenord måste bytas . Det är klart att man ska ställa krav på användare, men vi blir äldre. Jag vet inte hur många kort och koder jag har. Till slut håller man inte ordning på det. Det innebär att man slarvar. Man skriver upp, och ni vet allt det där. Det är också ett bekymmer. Jag vet att branschen arbetar med att se till att man får någon form av sign-on och så vidare. Men hur ska man göra för att få det här bra? Hur går det arbetet? Jag tycker också att det är en viktig fråga. Jag hade de två frågorna. , : Vi ska vara medvetna om att det här är en kommersiell marknad och att kravställningen är viktig. Där har staten en roll, inte som lagstiftare och tillsynsansvarig utan framför allt som stor kund och användare. Om jag går in på Onoff och säger åt dem att jag tycker att de ska ge mig en bättre dator så kastar de ut mig antagligen. Men om jag har ett behov av hundratusentals datorer och ställer krav på dem på ett relevant sätt har jag mycket större konsumentkraft som kommer oss andra till godo i förlängningen. Jag tycker, precis som du, att användar-ID och lösenord är en gammal teknik. Vi ska försöka komma bort från den. Det finns flera olika alternativ. Jag tror inte att vi ska sikta in oss på ett enda. Det är samma sak där. Låt marknaden ta fram bra lösningar! Kravställ och anpassa efter de behov som finns! Så kommer vi att få jättebra lösningar på den marknaden också. Per Hellqvist, : Det var flera bottnar i din fråga. Jag spårade in lite grann på cyberterrorism och sådant. Visst finns det spår på cyberterrorism, och visst finns det intressenter som är sugna på att göra både det ena och det andra. Visst går det. Dock är min personliga uppfattning att terroristers mål är att få maximal uppmärksamhet. Det får man faktiskt fortfarande genom att spränga bussar och tåg. Det är blod och saker som gör sig bra i tv. Slocknade webbplatser och sådana saker gör sig inte lika bra i tv. Däremot måste vi förstå vilka system som är viktiga. Jag föreslår att ni lyssnar på råd . Det handlar om att ni ska bestämma er för vad som verkligen är viktigt att skydda och sedan fokusera uppfattningen om hur de ska skyddas och lägga medel och metoder för att skydda dem. , : Jag vill inte på något sätt försöka spela ned hotet från cyberterrorismen, men det blir som Per säger och som jag också sade. Det här är attacker som är väldigt billiga att producera, men det är också väldigt liten utväxling. Det kanske är dyrare att producera brinnande byggnader, men utväxlingen är väldigt mycket högre i tv-tid. (): Det är flera som har varit inne på hur viktigt det är att myndigheterna samverkar i de här frågorna. Om vi skulle råka ut för en sådan attack som den i , vilken myndighet är det då som har huvudansvaret för att samverkan kommer i gång och att rätt åtgärder vidtas? , : Jag var lite grann inne på det när jag hade min redovisning om den rapport vi skrev om incidenterna i . Jag pekade på att om samma sak, inte på samma sätt utan kanske med en större kapacitet, hade inriktat sig mot hade vi inte haft de möjligheterna att ha en gemensam lägesbild. Vi hade därmed också haft svårt att utnyttja vår responskapacitet som Sitic representerar. Man måste ju veta var man ska sätta in åtgärderna. Har man inte en sådan lägesbild blir det svårt. Det internationella samarbete som kan komma att behövas på en nivå över det teleoperatörerna gör, där andra saker är inblandade hade inte heller etablerats. Vi hade inte klarat den lika bra. Däremot är kapaciteten i och det svenska Internet avsevärt mycket större än i . Så man ska inte dra den slutsatsen att den estländska attacken hade påverkat oss, för det hade vi kanske inte ens märkt. Och teleoperatörer och andra är skickliga på det här. Men vi saknar en övergripande lägesbild och en möjlighet att samordna som det ser ut just , och det finns inget utpekat sådant ansvar. Förvaltningsmodellen där var och en gör så gott den kan inom sitt område är alltså inte rätt medicin för den här typen av attacker. , : De svenska teleoperatörerna har ju ett väldigt väl fungerande samarbete med internationella aktörer för att bekämpa den här typen av attacker. Skulle en liknande men som säger en i sådana fall väldigt mycket större attack ske i , mot myndigheter framför allt kanske, är det myndigheternas operatörer som i första rummet skulle tvingas att arbeta med attacken. Det är sådant man gör . Det var även många svenska operatörer som var med och hjälpte . Eftersom mycket av trafiken till passerar var de med och bekämpade attacken. Det här är inget som är unikt eller på något sätt svårt att hantera. Det här ingår i daglig drift . Däremot är det kanske ur någon sorts myndighetsövergripande aspekt oklart vem som har ansvar för det här. Det finns ingen myndighet som vill gripa in och bekämpa det. Det måste teleoperatörerna göra, och det gör de . (): Det är en mycket intressant diskussion. Jag vill anknyta till den fråga som ställde, som är central i sammanhanget här, och till inlägg från . Man sade att samhället är helt beroende av att e-kommunikationen fungerar. Minskad robusthet skapar mer kriser, och robuståtgärderna minskar ty konkurrensen ökar. Det är beroende på att utvecklingen går så fort, som Microsoft sade här. Men det är det vi måste hantera. Användaren har ett ansvar. Det är självklart om vi tar bilexemplet. Men branschen har ett starkt ansvar för hur datorerna ska vara utrustade och se ut så att de säljer. Vilken praxis, vilka standarder jobbar man fram i detta snabba tempo? Sedan är frågan vad staten ska kunna hinna med att göra i form av hur det ska se ut de här kraven ställer vi på datorer som säljs så att de inte står nakna och kan utnyttjas för attacker. Det är egentligen min fråga. Det bästa är att konkurrensen fungerar, att branschen tar sitt ansvar och att den hänger med. Hänger branschen med? Vad behöver staten möjligen tillföra? Hur ser ni på ansvaret där? , : Operatörerna har ju ett kommersiellt intresse av att det fungerar för kunderna. Ju större tryck från kunderna, till exempel i avtal från stora kunder att det ska fungera, desto större intresse också från operatör att leverera enligt det. Men vi ser tydligt att det är en tuff och hård konkurrens och att många operatörer inte sköter det här bra. Från PTS kan vi om vi i vår tillsyn kommer fram till att man inte uppfyller lagens grundläggande krav utdöma ett vite eller ytterst avstänga dem från verksamhet. Det sista är rätt så hypotetiskt. Men det är väldigt olika incitament. Läget är väldigt olika. Just nu håller vi på med en tillsyn över 55 operatörer som ska vara klar . Då ska vi se dagsläget. Utöver detta har vi, som har nämnts här, riktigt samhällskritiska och samhällsviktiga verksamheter där man inte rimligen kan begära att operatörerna ska kunna gardera mot till exempel rejäl terrorism eller svåra oväder, stormar eller värre. Då har det funnits ända sedan televerkstiden och finns robusthetspengar från stat och via avgifter från operatörerna. De minskar , vilket oroar oss. Vi ser att investeringar i robusthet minskar totalt sett, relativt utveckling och sådant. , Microsoft: Den dator som vi pratade om innan är ett fantastiskt verktyg. Man kan göra så otroligt många olika saker med den. Vi skulle kunna låsa ned den maskinen så att man inte kunde råka illa ut, men det finns ingen som skulle köpa den datorn, kan jag säga. Alla vill kunna göra vad de vill med sin dator, och tålamodet när det gäller att klicka på något är väl nere på eller en sekund. När blir ni själva frustrerade när ni inte får svar? Det klickas vilt, måste jag säga. Jag lutade mig tillbaka till och frågade: Hur många användare råkar illa ut på grund av att man bara råkar slå på sin dator och ansluta den till Internet ? Tar du en modern dator har den väldigt robusta och gedigna säkerhetsfunktioner inbyggda. Vi tog en siffra som vi inte kan backa upp med några fakta men en känsla. Det är att av de användare som råkar illa ut gör det på grund av att de själva har valt att ta emot en fil eller klicka på något på en webbsida som verkar intressant eller är något de vill ha. Det går inte att hindra en användare att vara nyfiken, och det vill vi definitivt inte göra. , Eon : Vi har snuddat vid det här men det har inte riktigt kommit fram, det ömsesidiga beroendet som finns och den stora sårbarheten i samhället. Vi har hamnat, tycker jag, på en ganska detaljerad nivå om vem som bär ansvar när det gäller enskilda datorer. Visst, det kan man hålla på och prata om . Men vi kanske har missat en av de större problemställningarna som vi har åtminstone i min bransch, energibranschen. Det är att våra system är sårbara. Våra leverantörer erkänner att de system som de levererar till oss är sårbara. Vi är beroende av Internet för att vi ska kunna leverera el till den här salen. Där har vi ett väldigt stort samhällsproblem. Det vi egentligen efterlyser från er som sitter som beslutsfattare och kravställare är: Vad är det för minimikrav som olika samhällsviktiga funktioner ska leva upp till? Det gäller leveranssäkerheten som många politiker pratar om men också informationssäkerhet. Jag har jättestora problem när jag ska prata med min ledning. De förstår inte varför jag vill att vi ska lägga flera miljoner på att säkra upp vår miljö när inte grannenergibolaget gör det. Det behövs mer helhetsgrepp och att olika myndigheter inom olika sektorer tar med informations- och IT-säkerhetskrav när de ställer sin kravbild. Det är inte en fråga för en enskild separat myndighet. Det är en verksamhetsfråga. (): Det är oerhört mycket intressant som redan har berörts. Jag känner att det sista inlägget också tangerar det som från början var min fråga. Men det finns en punkt som flera av er har tangerat och sagt är viktig. Då kan man få en följdfråga utifrån att hastigheten går med . Det gäller utbildningsfrågan, kompetensfrågan. Vi har berört att vi som gick ut naturvetenskaplig linje drygt, som jag själv gjorde, utan att ha sett en dator lever i en datavärld. Det är den allmänna kunskapen hos oss vardagsanvändare. Men hur ser kunskapsnivån ut? Vad är det som behövs på utbildningsområdet för att klara av att möta hoten? Har vi tillräckligt på utbildningsområdet i de här frågorna? Eller behöver vi göra mer där? Jag vet inte om är den som är mest lämpad att svara. Ordföranden: Jag skulle kunna svara på den frågan. Svaret är nej förstås. , : Precis vad jag tänkte säga. Det är ett mycket kort svar: Nej. Ordföranden: Det här är en väldigt stor fråga. Jag kan som före detta skolminister säga att jag mötte den väldigt ofta. Jag ser att det finns vissa skolor som har kommit längre och andra kortare. Jag tror att det finns väldigt mycket mer att göra här. Jag tror att vi får nöja oss med det som svar. Jag får tacka er. (): Först av allt vill jag tacka alla medverkande i dagens öppna utfrågning om IT-säkerhet. Hur kan man då sammanfatta en sådan här förmiddag? Det har varit en bra och lärorik utfrågning. Den har gjort mig trygg till viss del men, för att citera en domare i Lets dance, ju mer man gräver i detta ämne, ju mer man lär sig om dessa frågor och ju mer man försöker förstå frågorna, desto mer rädd blir man, rädd för hur lite vi egentligen vet och hur sårbara vi är på detta område. Man skulle efter dagens utfrågning lätt kunna klappa sig för bröstet och låtsas att vi nu klarat av problemen med IT-säkerhet och att vi inte behöver lägga mer krut på det.