rfr · GV0WRFR21 · 2008-06-01 00:00:00 — och försvarsutskottets offentliga utfrågning om IT-säkerhet Riksdagstryckeriet, , 2008 IT-säkerhet är en viktig del i den fortsatta IT-utvecklingen där beroendet av IT-system i såväl offentlig som privat sektor alltmer ökar. Enligt vissa studier är av det svenska samhällets kritiska infrastruktur beroende av Internet som den stora bäraren av information. Användningen av IT, som är väl integrerat i vårt samhälle, gör att frågor om tillit och säkerhet i våra IT- system måste beaktas inom alla samhällsområden och sektorer för att människor ska kunna känna förtroende för tekniken, för myndigheter och för e- förvaltningen. Det breda informationssäkerhetsarbetet i samhället och statens roll i detta är en fråga som kräver fortsatt och kontinuerlig analys, inte minst givet den snabba utveckling som kännetecknar IT-området. försvarsutskott och trafikutskott har därför tagit initiativ till en offentlig utfrågning för att inhämta information om de aktuella utmaningarna på IT-säkerhetsområdet samt om vad som görs och behöver göras för att trygga säkerheten i den fortsatta utvecklingen av IT-samhället. Utfrågningen ägde rum . Inbjudna medverkande var: , (.SE) , , () , () . Grinneby, Sitic , PTS , Utskotten bedömer att vad som framfördes under utfrågningen är av allmänt intresse och därför bör göras tillgängligt för en vidare krets. Därför publiceras här en utskrift från utfrågningen. De samhällskritiska systemens sårbarhet ................................................... Hälsoläget på Internet ........................................................................ Nätangrepp trender och åtgärder ........................................................... Handlingsplan om informationssäkerhet.................................................. Säker och robust elektronisk kommunikation .......................................... erfarenheter och utmaningar .......................... Internetframsyn och IT-säkerhet .............................................................. Bilaga Bilder från utfrågningen................................................................... 9.05De samhällskritiska systemens sårbarhet , (.SE) 9.25Nätangrepp trender och åtgärder 9.50Säker och robust elektronisk kommunikation . Grinneby, Sitic, PTS 10.30Internetframsyn* och IT-säkerhet *Internetframsyn ett IVA-projekt om Internets framtidsfrågor , vice ordförande försvarsutskottet Stenografisk utskrift från trafikutskottets och försvarsutskottets offentliga utfrågning om IT-säkerhet Ordförande under utfrågningen var (). Bilder som visades under utfrågningen finns som bilagor. Ordföranden: välkomna till denna hearing om IT-säkerhet. Jag ber om ursäkt för att vi är försenade. Det vore lätt att skylla på trafiken om det inte vore för att jag är ordförande i just trafikutskottet. Men det är som det är. IT-säkerhet är ett område som diskuterats och debatterats , egentligen ända sedan Internet fick ett ordentligt genomslag i vårt samhälle. blir man naturligtvis fundersam över hur långt vi kommit. Jag kan konstatera att Internet är en fantastisk tillgång för oss. Den underlättar och till och med förbättrar våra liv på många sätt. Vi har hittat allt fler användningsområden för Internet. Det gäller både oss som privatpersoner och det offentliga, vårt gemensamma samhälle. Det innebär att vi också blir alltmer sårbara. I och med att vi använder In- ternet till så mycket blir vi, när det inte fungerar eller när någon medvetet går in för att sabotera, mycket mer sårbara i våra vardagsliv och i samhället i stort. Därför är det viktigt för oss riksdagsledamöter, från både trafikutskottet och försvarsutskottet, att lära oss mer om hur det ser ut och även hur framtiden kommer att se ut. Vilka hot och möjligheter finns det? Vilka åtgärder behöver vidtas för att vi ska ha ett bättre och mer hållbart informationssystem? Det är mot den bakgrunden vi anordnat dagens hearing. Det ska bli mycket intressant att lyssna på de experter som är här och därefter, under hearingens senare del, få möjligheter att ställa lite frågor till dem. Vi börjar med den punkt som handlar om de samhällskritiska systemens sårbarhet. De samhällskritiska systemens sårbarhet , : Det är trevligt att vara här och se så många kolleger och riksdagsledamöter. Jag jobbar alltså på FRA, där jag är nationell incidenthanteringssamordnare. Det innebär att om något går riktigt snett bland myndigheter och statligt ägda bolag ser vi till att samla de resurser som krävs samt hjälper till att åtgärda och kanske även mildra problembilden. Jag finns också med i den svenska delen av ISO, informationssäkerhetsstandarden, där är mycket framgångsrikt. Vi har för övrigt ett möte i eftermiddag om informationssäkerhet. Som av en händelse finns det en liten blänkare om att det kommit ut en bok med titeln som behandlar just det område som jag tänkte ta upp . Jag ska alltså försöka fokusera på det uppdrag FRA har och lite grann visa på de problembilder som vi ser finns. Vi talar om kritiska infrastrukturer, något som för den oinvigde kan vara svårt att veta vad det är. Det är ganska många enheter vi kan tala om i det sammanhanget. Jag har valt den del som kallas Scadasystem, det vill säga processorer som är mycket känsliga och där det finns ett krav att de ska snurra på för att verksamheten inte ska gå ned. Det är vad vi på FRA ser som den största hotbilden framöver; det är alltså målbilden för de illvilliga battingar som ger sig på dem. Vad är det då vi talar om? Jo, vi talar om det som försiggår här , nämligen om regeringens och verksamheter. Om de slutar fungera blir det plötsligt illa för Aktiebolaget . Vi talar om bensin- och oljeleveranser. Vi talar om livsmedeltransporter och vattenrening. Vi talar om bank och finans, och där vill jag ge ett exempel. Även om det inte var nationellt kritiskt hade vi för en bank vars bankomater gick ned , vilket svenska folket inte gillade. Det medförde mycket badwill för den banken. Vi talar också om transportsystemet, och här finns ett antal ledamöter som representerar transportsektorn. Vi talar om energisektorn. Vi talar om informationssystem rent allmänt, samt om telekom. Vi talar även om räddningstjänst, polis och så vidare. finns det många som säger, inte minst är vi medvetna om det bland kolleger, att vi ibland har en tendens att överdriva vissa saker. Jag vill dock påstå att så inte är fallet. I stället vill jag säga så här: Vi har under tittat på detta med terrorhot, framför allt cyberterror. Det finns många som tittar på den traditionella terrorverksamheten och har en god överblick över vad den sysslar med. Cyberterror är ett nytt fenomen, och det är inte många som satt sig in i vad det skulle innebära om den så att säga blommade ut för fullt. Vi har därför tittat lite grann på tendenser och trender, på vad det är som används. Vi gick ut och sade lite kaxigt att kommer tangentbordet på en dator att vara minst lika farligt som ett massförstörelsevapen. Det står vi för. Vi hittar otroliga saker på nätet. Det finns otroliga mötesplatser där man chattar och talar om vad man har för avsikter. Det är bara att gå in och titta på jihadisternas hemsidor. De budskap som finns på dessa hemsidor är mycket breda. Man kan tolka dem hur man vill. Vi tolkar dem naturligtvis på vårt sätt. De lämnar mycket öppet för egna tolkningar. Därmed kommer vi till frågan om det är fakta eller fiction. Den ena delen är alltså faktadelen och den andra fiction-delen. Det finns två läger, och de har naturligtvis olika syn på detta. Vi tillhör definitivt det läger som anser att man ska ta hoten på allvar; jag återkommer till det . Belackarna, fiction-delen, tycker att de eventuella bevis som kommit fram i frågan är ofullständiga. De tycker inte att man ska skrämma upp folk. Det är riktigt, det ska man inte göra. Det som presenteras ska vara underbyggt med fakta. finns ingen sammanställd statistik på vad man eventuellt skulle kunna göra. Detta är ett nytt fenomen, och ingen har sammanställt någonting. Framför allt har det inte hänt någonting. Vi möter ganska ofta uttalandet att det är lite tråkigt att ingenting har hänt. När vi diskuterar med managementfolk, och med beslutsfattare över huvud taget, lutar de sig ofta just mot argumentet att allt gått bra . Om vi då tittar på faktadelen, och har jag baserat den på att FRA kanske är den enda myndighet, förutom , som är ute och ser det verkliga livet. Hur ser det ut bland våra myndigheter? Vad är riskbilden? På hur stort allvar ska man ta det här? Det vi ser är vilken information verksamheterna har i sina maskiner, burkar och allt vad det kan tänkas vara; ibland tycker vi att det är lite tråkigt att vi inte kan dela med oss av allt vi ser. Vi kan också snabbt se vilken skada det skulle göra för Aktiebolaget det kom ut. Det handlar naturligtvis om utbildningsnivån. Att det ser ut som det gör grundar sig självklart på stor okunskap bland de beslutsfattare vi träffar. Där får vi vara lite självkritiska. Vi är kanske dåliga på att sprida budskapet, dåliga på att tala om vad som är hotbilden. När vi tittat på webben har vi kunnat se att sättet att rekrytera förändrats starkt . Man går alltså ut på olika chattforum och låtsas vara någon helt annan än man i själva verket är. På det sättet får man information från dem som vi kallar småhackare, de som finns runt cyberterroristerna och inget hellre vill än att dela med sig av sina findings och sina kunskaper. Där hämtar cyberterrorcellerna sin information. En sista punkt jag vill nämna gäller självkritiken. Vi inser att vi borde vara mycket tydligare mot beslutsfattarna och tala om för dem vilka riskbilder som verkligen existerar där ute. Ordföranden: återkommer naturligtvis med frågor under den frågestund vi har efter pausen. Ordföranden: går vidare i programmet och tar pulsen på Internet. Det råder fortfarande feber där, antar jag, eller vad säger du, , kvalitets- och säkerhetschef på , , : Absolut! Inte heller jag tänker måla fan på väggen eller försöka skrämma någon. Hälsoläget på Internet skulle dock kunna vara mycket bättre, visst är det så, och då talar jag om normalläget, som det är när solen skiner, det är vindstilla och allt går som det ska. Om vi tittar på patienten ser vi att den behöver lite friskvård både i form av vitaminer och vaccin och kanske också ett och annat operativt ingrepp. Jag skulle vilja påstå att det finns många verksamheter som hänger i en ganska skör tråd, och så fort det börjar blåsa kommer den att gå av. Jag fick frågan om Internet är sårbart. Javisst, det finns väl egentligen ingenting som inte är sårbart. Just nu är det på modet med någonting som kallas för botnet. Man läser om det, man hör talas om det, och det sägs att av alla datorer som är anslutna till Internet förmodas vara kapade och ingå i någon typ av sådana nätverk. Det är alltså stora mängder datorer som är infekterade, styrs av någon och kan samordnas i en attack mot något, oklart vad. Det finns inte någon självklar aktör bakom de olika attackerna, utan varje angrepp är resultatet av någon sorts mänskligt agerande mot någonting som man vill uppnå, antingen det är ekonomisk eller att man bara vill jäklas med någon eller skada en nation. Jag har fått i uppdrag att tala om hela Internet. Det är naturligtvis svårt att göra det från ett litet land i norra . Det är emellertid viktigt att förstå att samma teknik finns på hela Internet. Det som är ett problem för oss är alltså ett problem överallt. Om man zoomar in på det som jag känner till bäst i vår verksamhet, domännamnssystemet som kan liknas vid patientens centrala nervsystem, finns det en hel del hot. Vi har alltså gjort en hotanalys där vi tittat på vilka hoten är. Den säger ingenting om hur stor risken för att drabbas av sådana hot är, men de finns där och de behöver hanteras på olika sätt. Varje gång någon ansluter någonting till Internet blir man en del av helheten, en del av det stora nätet. Då har man också ansvar för att göra det på ett korrekt och säkert sätt så att andra inte utsätts för risker. är ingen ensam ansvarig, utan här måste man samarbeta i olika former. Jag ska rätta trafikutskottets ordförande en smula och säga att jag började plugga på 1981, och 1984 höll jag min första föreläsning i ADB- säkerhet. Det var före Internets tid skulle man kunna säga, i alla fall före det Internet som vi känner. Vi har alltså jobbat med detta en hel del. Vi gjorde med stöd av en undersökning av domännamnssystemet i . Vi tittade på sådant som hur verksamheten hanterar sin DNS, alltså sitt domännamnssystem, hur man hanterar sin elektroniska post, hur man ansluter sin webb till Internet. Undersökningen bygger på information som är öppen och tillgänglig. Vi behövde alltså inte ha tillgång till något speciellt för att göra en sådan undersökning, utan den bygger på sådant som finns i nätet. Vi tittade bara på domäner som tillhör verksamheter som vi med visst fog kan bedöma vara kritiska i någon mening bank och finans, statliga myndigheter, landstingen och så vidare. Vi tittade på totalt 828 domäner. har vi 715 000 se-domäner, och många av dem kanske inte är så kritiska, även om de förstås blir det sett ur attacksynpunkt. Hur såg det då ut? Av de 828 testade domänerna hade en fjärdedel så allvarliga brister att det påverkar tillgängligheten och nåbarheten för de tjänster och resurser som man ansluter till nätet. Mer än hälften av dem hade brister av en karaktär som kanske inte påverkar tillgängligheten men ändå är av sådan art att de behöver åtgärdas. Med menar jag då inte i ett tioårsperspektiv utan kanske . sentativt för Internet som helhet. Det är inte exceptionellt för just .se eller . Så ser det ut. Problemen innebär att det finns för få maskiner som svarar på frågor om var resurserna finns. Programvaran är för gammal och innehåller därför sårbarheter och otydligheter. Datakvaliteten är dålig, och det finns brister i sättet att ansluta sina system till Internet. Diagrammet som visas på skärmen är i vissa avseenden naturligtvis ganska alarmerande. De röda staplarna skulle inte alls behöva vara så långa, och utan att behöva anstränga oss nämnvärt skulle vi kunna minska felprocenten till kanske 15, och det utan att göra något som behöver kosta speciellt mycket eller kräva särskilt mycket av oss. Det är helt enkelt fråga om lite ordning och reda, att städa upp lite på hemmaplan, följa den bästa common practice, den erfarenhet som finns, och göra som man ska gör om, gör rätt, som det brukar heta. Tar vi i kanske vi till och med kan minska felprocenten till 10; under det torde det inte vara meningsfullt att gå, för någonstans kommer det alltid att finnas problem. Någonting svarar inte, men då har man någonting annat som tar vid i stället. Jag ska gå in lite närmare på några av de specifika saker vi tittade på. Jag förstår om det här är gallimatias för de allra flesta av er, men ett mycket vanligt problem som länge varit känt är det som heter öppnade kursiva namnservrar. Det gör det möjligt för utomstående att utföra tillgänglighetsattacker utan att anstränga sig speciellt mycket. Vem som helst kan göra en sådan attack. Det är emellertid enkelt att åtgärda, och dessutom är åtgärderna billiga. Det är alltså en lågt hängande frukt, men vi plockar den inte. Vi tittade på viktiga parametrar för e-post, bland annat hur man skyddar e- posten när man transporterar den mellan användare i nätet. I av fallen sker det inte alls, och för de återstående går det inte att avgöra hur skyddet är infört, om det är på ett bra sätt. Något som slog oss med häpnad är det faktum att många, framför allt myndigheter, skickar sin elektroniska post utanför landet för att tvätta den från virus och spam och de gör det oskyddat! Och även om det görs skyddat vet man ingenting om hur det ser ut hos leverantören. Man vet inte om de skickar tillbaka den skyddat. Det är naturligtvis mycket allvarligt ur avlyssningsperspektiv. Samma sak gäller webbtrafiken. saknar skydd för webbtrafik, och där skydd finns är det i många fall undermåligt. Det innebär till exempel att på många av de webbplatser som kräver att användaren lämnar ifrån sig någon typ av känslig information är den inte tillräckligt skyddad. Skyddet borde således vara långt vanligare, framför allt sett i ljuset av e- förvaltning, e-handel och sådant som vi verkligen vill använda nätet till, det som är den roliga delen, skulle jag vilja säga. Vi planerar för en uppföljning av undersökningen, och förmodligen har vi en ny rapport . En annan fråga gäller dominerande programvaror. I det här fallet handlar det om Microsoft, som ju är dominerande på webbsidan. Det finns områden med andra dominerande programvaror. Det i sig behöver dock inte vara ett problem, men det blir ett problem den dagen just det programmet innehåller ett allvarligt fel. Då får man en stor träffyta för attack. Behöver vi förbereda oss för attacker? Ja, självklart. Som jag sade inledningsvis behöver patienten en rejäl dos friskvård. Allmänna kommunikationsnät är och förblir en viktig del av samhällets informationshantering och också i vår hantering av allvarliga händelser, svåra påfrestningar och beredskapssituationer. Det som inte är infört den dagen solen skiner och det inte blåser kommer inte att fungera den dagen det börjar storma. Vi måste redan från början veta vad vi ska göra. Vi måste bygga upp ett fungerande försvar mot alltmer sofistikerade attacker. Som berättade är det just nu på modet att försöka komma åt Scadasystem. I ljuset av arbete finns det några saker som jag vill poängtera. Vi behöver ha koordinering men kanske inte så mycket ansvarsfördelning. får man intrycket, och det intrycket har jag haft , att myndigheterna konkurrerar med varandra. Så får det inte vara. Myndigheterna ska samverka och samarbeta. Det behöver vidtas praktiska åtgärder. Vi behöver inte fler utredningar där man häller ned alla myndigheter i en burk, skakar om och häller ut dem igen och ser om det blir bättre. Vi behöver fler konkreta åtgärder. Det robusthetsarbete som bedrivs av till exempel PTS är ett mycket bra exempel på konkretion där man faktiskt kommer framåt. IT-säkerhet är inte . Det är viktigt att komma ihåg och något som vi alla behöver fundera över om vi ska fortsätta att använda informationssystem i den omfattning som vi vill. Det tror jag är bra för från både tillväxtsynpunkt och ur andra aspekter. Det innehåller många delar. Skyddsnätet består inte av endast en maska utan av en väldig massa maskor som ska hänga ihop och filtrera på en lagom nivå så att vi lägger ned lagom med insatser. Den kommersiella och tekniska utveckling som vi ser skapar oerhört många möjligheter, och jag vill inte att vi enbart ska se det som ett problem. Det är inte en obotlig patient. Det är en patient som går att fixa. Vi tar i vår rapport också upp några råd och rekommendationer om hur man får just den delen av infrastrukturen, alltså de saker vi tittade på, att bli mer robust. Någon behöver naturligtvis peka med hela handen och kanske inte helt och fullt låta alla göra som de vill och se om det blir bra i slutändan. Det är viktigt att vi ansluter kritiska resurser till fler namnserveroperatörer så att de alltid fungerar, alltså även om det blåser. Vi kan behöva ha en central namnserverdrift som svarar på frågor om dessa resurser ifall verksamhetens egna system skulle vara onåbara. Det kan vara nödvändigt att bygga upp och upphandla en virustvätt och skräppostrensning inom landet för att slippa skicka så mycket information över landets gränser. Jag tycker att vi även ska utfärda riktlinjer för vad som är acceptabelt i hanteringen av elektronisk post. Dessutom finns det behov av att inrätta någon sorts central funktion. Om den sedan är upphandlad eller inte låter jag vara osagt, men det är inte okej att alla myndigheter själva ska lära sig det ganska komplicerade arbete det innebär att ha ett bra transportskydd i form av certifikat och andra kryptografiska metoder. Det är nämligen det vi talar om. Alla säkerhetsfunktioner behöver någon form av krypteringsteknik. Endast så kan vi skydda information. Det gäller det som transporteras i nätet, nätets egna styrfunktioner och all den information som transporteras och lagras i databaser och informationssystem. Ordföranden: man tro på är det främsta IT- säkerhetsexpert vi just lyssnat till. Då har man rätt att dra . Kanske är det så inom IT-sektorn att det som gällde inte gäller längre, eller? Nätangrepp trender och åtgärder Ordföranden: Då går vi vidare i programmet, till den punkt som handlar om nätangrepp, trender och åtgärder. , : Tack! Om de två föregående talarna inte skulle måla fan på vägen kanske det är mitt jobb. Jag jobbar alltså på ett företag som heter . Vi handhar driften av gemensamma kritiska Internetresurser i , bland annat. Vi arbetar nära en del svenska och utländska myndigheter och driver en hel del tjänster som krävs för att Internet ska fungera så som vi tror att det ska fungera. Vi har sysslat lite med att säkra den här infrastrukturen och att titta på hotbilder. Om man ser på hot kan man dela in dem på många sätt, och jag tänker dela in dem på några sätt. Det första är hot mot nationen . Då tänker jag mig former av hot som riktar sig mot rent allmänt, mot myndigheter eller mot vad som kan uppfattas som svenskt. Sådana hot som sker sker nästan . De sker ganska ofta. De kan närmast betraktas som delar i större skeenden. Detta är verktyg som används för att förstärka existerande hotbilder. Ett känt exempel som ofta används är attackerna på . Jag hade förmånen att vara på plats och jobba med de estländska myndigheterna. Det här var självklart bara ett komplement till de kravaller som faktiskt skedde på gatorna, även om attackerna säkert tjänade flera syften. De var en del i ett större skeende; de var inte isolerade till att bara ske på Internet. De var inte heller speciellt uppseendeväckande som attacker på Internet. Det sker större och mer omfattande attacker, men de kanske inte riktar sig mot nationalstater eller mot sådant som är estländskt. Däremot var det inte första gången som det här skedde. Jag jobbade tidigare hos en stor teleoperatör som hade Nato som kund. Där hade man under kampanjen i Kosovo faktiskt ganska omfattande attacker som riktade sig mot Nato, som ett komplement, återigen, till de demonstrationer som skedde mot Natos handlingar runt omkring i världen. Här är det viktigt att komma ihåg att Internet speglar samhället i övrigt vad gäller kriminalitet och terrorism och så vidare. Det här är bara en förlängning av andra skeenden. Om vi förstår existerande hotbilder och om vi förstår vad de här hotbilderna syftar till kan vi säkert också ana oss till vad man kan tänkas försöka uppnå med de här cyberattackerna. Det är kanske viktigt att man i den här hotbildsbedömningen också tar med IT-aspekter. Det finns också hot mellan nationalstater. Det finns säkert andra myndigheter här som är betydligt bättre på att prata om det än vad jag är. Men det finns något som kanske är viktigt att komma ihåg ur någon sorts nationellt perspektiv och någon sorts hotbildsperspektiv. För att man ska skydda sig mot det här och skydda sig mot alla IT-attacker gäller det att allmänna system, såsom vi hörde här innan, är så robusta som möjligt och så skyddade som möjligt. Om de system som vi använder det gäller myndigheter, länsstyrelser och så vidare är tillförlitliga, är robust byggda och fungerar väl i ett normalfall är sannolikheten för att de ska fungera väl också i en krissituation betydligt bättre. Det är ofta väldigt svårt att börja laga läckande båtar när de redan är sjösatta. Här är det viktigt, återigen, att understryka att man försöker säkra kända problem, som mycket av det som pratade om faktiskt är. Det är också så att angripare tenderar att välja mjuka mål, lätta mål och inte mål som på förhand är kända som ganska hårda eller robusta. Det är också viktigt att säga, när nationalstater är inblandade, att det finns exempel på att nationer har angripit andra nationer.