prot · GW0928 · 2008-11-14 00:00:00 — Det mest kända exemplet på hur informationssäkerheten i ett helt land kan riskeras är incidenterna mot . Banker, medier, regeringskansli och lång rad departement utsattes för organiserade överlastningsattacker som världen inte sett tidigare. 20 000 datorer kapades. under fick vi se ytterligare exempel på modern krigföring. På samma gång som ryska stridsvagnar rullade över georgisk mark var ett annat krig i full gång i cyberspace. Georgiska webbplatser utsattes för gigantiska nätangrepp. Bland annat hackades och flera viktiga myndigheters sajter och ny information lades ut. Landets invånare visste inte vad som var sant eller falskt. Frågan som alla genast ställer sig är förstås: Skulle det här kunna hända i ? Vilken beredskap har egentligen för att ett cyberkrig av den kaliber som drabbade och ? Behöver svenska folket känna sig oroliga? Tyvärr är det nog så. Den ena efter den andra undersökningen som har presenterats visar på stora brister inom svensk IT-säkerhet. Det var bland annat dessa larmrapporter som föranledde den handlingsplan för samhällets informationssäkerhet som vi diskuterar här . togs fram därför att den behövs och för att läget i många stycken är akut. Det var inte tänkt att den skulle läggas på hyllan och sedan tas fram ur gömmorna lagom till att den nya Myndigheten för samhällsskydd och beredskap sjösätts . Det är därför oroande att försvarsministern envisas med att endast tala om denna myndighet som inte ens finns . Det är en del även om det är en nära framtid. Jag är intresserad av att veta vad som händer . Hur står berett om vi skulle utsättas för ett nätangrepp? Vilka av KBM:s högprioriterade åtgärdsförslag har regeringen påbörjat? 33 Försvarsminister (): Det är otroligt kraftfullt av Socialdemokraterna att i regeringsställning utan något resultat på IT-säkerhetsområdet komma tillbaka till sin kammare och verkligen tänka till varefter man presenterar en rapport med förslaget om en ny myndighet. säger att det har gått och planen är inte i alla delar verkställd. Man kan knappast tycka att det är en kraftfull argumentation. Den nya myndigheten ska hålla samman det nationella informationssäkerhetsarbetet. Vi tydliggör också olika aktörers ansvar på området. MSB får ansvar för att inrikta, leda och samordna samhällets krisberedskap. Åtgärdsbehoven har utretts , och den tidigare regeringen gjorde knappast någonting värt att nämna. läggs i stället grunden för samarbete och ansvarstagande. Det är ansvarsprincipen som är grundläggande för säkerhet i informationssamhället. För att den ska fungera krävs det att kunskap, överblick och ett sammanhållet informationssäkerhetsarbete finns. Den som har ansvar för en verksamhet under normala förhållanden ska också ha motsvarande ansvar under krissituationer. Den som bäst känner och kan sin verksamhet i normala tider ska hantera den också när det är kris. Det är därför som Socialdemokraternas tanke om en särskild ny myndighet med ett separerat ansvar är så grundläggande fel. Det vi nu gör innebär att det förebyggande och förberedande arbetet kommer att stärkas. Den nya myndigheten kommer också att arbeta med att samordna de åtgärder som krävs för att hejda attacker och minimera konsekvenser. Den nya myndigheten får ett ansvar för att inrikta och föreskriva vilken säkerhet som respektive annan myndighet ska ha i sina IT-system. Det är sedan upp till respektive myndighet att tillse att man kan leva upp till den säkerhetsnivån. KBM har bedrivit en liknande verksamhet gentemot kommuner, men då genom ett frivilligt åtagande från kommunen. Det har inte varit fullt ut tillräckligt. Som sagt: Ett system med förflyttning av ansvar till en annan myndighet, en krisledande myndighet, en särskild , skulle leda till effektivitets- och tidsförluster i tidskritiska skeenden. Att vid en kris börja flytta ansvar skulle skapa osäkerhet och otydlighet. som den nya myndigheten nu inrättas arbetar tillsammans med andra myndigheter för att genomföra förslagen i handlingsplanen. Genom åtgärdsförslagen i handlingsplanen har i samarbete med andra myndigheter med särskilda uppgifter inom informationssäkerhetsområdet fått nödvändiga förutsättningar för att skapa grunderna för att kunna hantera hot, risker, sårbarhet och allvarliga samhällskonsekvenser inom informationssäkerhetsområdet. Jag tillhör dem, , som löpande samråder med min estniska kollega för att tillsammans med esterna dra slutsatser om vad som hände i , resonera om hur man kan undvika det och också följa utvecklingen av det kompetenscenter inom Natos ram som just nu arbetar med att etablera. är inte medlem i Nato, men vi kan samverka med Nato, inte minst vad gäller kunskap för att lära oss bättre framöver. Det skulle vara väldigt intressant att höra inställning till nya center, kompetenscentret inom Nato, och hur hon anser att ska förhålla sig till den kunskap och de projekt som där bedrivs. 34 (): Jag är självfallet mycket positiv till att tittar över vad som har hänt och lär sig några läxor så att man vet hur man ska hantera framtiden. Men när ministern fortsätter att tala om den nya myndigheten vill jag tala om fakta. kunde KBM tillsammans med .SE, , påvisa att sex av tio samhällsviktiga organisationer brister i sin IT-säkerhet och inte skulle klara en attack utifrån. Det konstaterades att tre av fyra undersökta webbservrar skulle kunna användas för spridning av falsk information. En fjärdedel hade så allvarliga brister att KBM och .SE bedömde att de måste åtgärdas akut. Att det går att kapa svenska myndigheters hemsidor var det få som kände till. Det säger sig självt att den insikten gav anledning för regeringen att agera med omedelbar verkan. har det gått KBM och .SE lade fram sin rapport om svenska myndigheters och organisationers stora IT-säkerhetsbrister. Regeringen har alltså haft på sig att se till att svenska myndigheter och organisationer är bättre rustade och har skaffat de viktiga rutiner som behövs. Men den rapport jag har med mig här, .SE:s uppföljning av förra årets undersökning, visar på motsatsen, även om .SE tillstår att det har blivit lite bättre. Resultatet talar dock sitt tydliga språk. Av de 621 samhällsviktiga domäner som testats har allvarliga fel som måste åtgärdas , och , mer än hälften, har brister av en karaktär som genererar varning. Sämst ser det ut för de svenska landstingen. av alla namnservrar har någon typ av fel som kan betraktas som allvarligt. Sätter jag det i relation till det faktum att landstingen är ansvariga för svenska folkets sjukjournaler, som ligger lagrade i sjukvårdens datorer, reser sig håren på mina armar. Vad händer om någon går in och läser journalerna, eller ännu värre, ändrar i journalerna? har förstås rannsakat sig självt, och det har man gjort bra. En av de läxor man har lärt sig är att aktören bakom en attack kan vara grannbarnen lika gärna som ett fientligt grannland. Det är viktigt att ha en god beredskap på IT-området, både under normaltillstånd och under kris. Att svenska myndigheter har stora brister är oroväckande. Organisationsledningarna måste vara medvetna om att ansvaret för informationssäkerhet är en del i verksamhetsansvaret. Det är bekymmersamt att många fortfarande verkar tro att informationssäkerhetsfrågorna ligger på IT-avdelningen, och endast där. Jag vill veta när regeringen kommer att sätta handlingsplanens sjätte åtgärdsförslag i verket. Kommer regeringen i fortsättningen att kräva att svenska myndigheter i sin årsredovisning redovisar hur informationssäkerheten uppfylls? 35 HANS (): När man lyssnar på ministern i den här frågan framgår det klart och tydligt att det här kanske inte är regeringens högst prioriterade fråga. Jag har också tittat i den här rapporten från .SE, och jag skulle vilja ta upp en aspekt som på sitt sätt tangerar FRA-debatten. Man konstaterar i rapporten att det är så att många svenska myndigheter har sina servrar för tvätt av skräppost och liknande placerade utomlands. Man konstaterar dessutom i den här rapporten att det är på väldigt få av de här servrarna som det används kryptering. Det är faktiskt så att om man försöker skicka krypterade mejl till myndigheterna via de här servrarna studsar mejlen tillbaka. De accepteras inte. Att ha servrarna utomlands innebär att det blir omöjligt att avgöra vad som är inhemsk, svensk trafik och vad som går utomlands. De flesta av de här servrarna finns i EU-länder, men det förekommer även att de placeras på andra sidan . Då får vi komplikationen med FRA-debatten det går inte att särskilja svensk och utländsk trafik. Dessutom blir det här, vilket också påpekas i rapporten, vidöppet för utländska säkerhetstjänster som kan ta vara på information som skickas mellan svenska myndigheter. Min fråga till ministern är helt enkelt: Vad kommer regeringen att göra för att rätta till de här uppenbara bristerna i säkerheten? 36 Försvarsminister (): Den här regeringen har förmodligen gjort mer än Socialdemokraterna gjorde . tvingades interpellanten medge att det visst hade skett förbättringar. Jag ställde en fråga till interpellanten som handlade om, inte hur hon såg på vad lärt sig av IT-attacken, utan om ska vara med och lära sig av vad har lärt sig av IT-attacken och hur hon ser på att vi skulle vara delaktiga i arbetet med det kompetenscenter som byggs nu inom ramen för Nato i . Det fick vi absolut inget svar på. Vi fick höra att det var väldigt bra för esterna att de lär sig av den IT-attack som där skedde. Jag vill gärna höra det svaret. Det är viktigt för . Hur ser Socialdemokraterna på det? Det är inte fråga om medlemskap utan om samverkan på detta utpekade område, det kompetenscenter som byggs. Sedan tyckte jag att det var intressant och bra att den andra deltagaren i debatten, , tog upp FRA-frågan, därför att där har också i hög grad en hel del att svara för. hjälper FRA till med att skapa säkra för myndigheter. Det gäller alltså inte signalspaningsdelen av FRA utan IT-säkerhetsdelen. Man är bra på att knäcka det har man lärt sig och därför är man också bra på att hjälpa andra svenska myndigheter med att få säkra . Man är vidare duktig på att hjälpa till vid en enskild IT-attack. Vem har hackat sig in i en svensk myndighet? Vad har hänt under IT-attacken? Vilka virus till exempel har använts? Hur ser Socialdemokraterna på detta FRA:s andra ben? Det enda vi känner till nu är den destruktiva linje som partiet har i frågan om . Den lag som finns ska rivas upp, och man har ägnat till att bara kritisera och inte lämnat något besked över huvud taget vad gäller den del som också är central och som går rakt in i svensk IT-säkerhet. Jag vill passa på att lägga till, herr talman, att den nya myndigheten kommer att få mandat att hantera informationssäkerhet för samhällsviktiga system. Det innebär att IT-system som finns i privat sektor och är samhällsviktiga också kommer att omfattas av de åtgärder som myndigheten kommer att föreslå. Det är inte meningen att den nya myndigheten ska vidta konkreta åtgärder utan det är en sak för berörda företag och myndigheter samt de privata IT-företag som tillhandahåller olika IT-lösningar. Jag kan även påpeka att FMV har rätt att utfärda certifikat enligt Common Criteria-standarden för IT. Det säkerhetsarbete som vidtas och som stärks kraftfullt med den nya myndigheten går alltså även in vad gäller samhällsviktig verksamhet i den privata sektorn. Vad är Socialdemokraternas svar på det? Om jag minns rätt vill de riva upp beslutet. De var emot den nya myndigheten. I stället skulle de ha en lösning både på IT-området och generellt på krisområdet där ansvaret i en krissituation flyttades. De var emot samordningen och vår utveckling av ansvarsprincipen. Sedan ville de flytta ansvaret i en krissituation så att den som ansvarar för en verksamhet i vardagen inte skulle ansvara för samma verksamhet i kris, med allt vad det innebär av otydlighet, osäkerhet och tidsmässig fördröjning. förväntar jag mig svar, herr talman, i interpellanten nästa inlägg. Hur ser man på Natocentret i , och hur ser man på FRA:s IT-säkerhetsarbete? 37 (): Jag stod här och debatterade IT-säkerhet med försvarsministerns kollega i regeringen, . Hon bedyrade då att regeringen hade läget under kontroll och sade: Det vidtas åtgärder . står jag och försvarsministern här och debatterar samma fråga. Det har gått , men några åtgärder och handlingsplan har jag inte sett röken av. Jag förstår att ministern därför vill tala om annat, sådant som inte har med handlingsplanen att göra, men jag vill tala om informationssäkerhet och det debatten handlar om, det vill säga handlingsplanen. Att det brister i informationssäkerhet är inte bra. Åtgärder ur handlingsplanen måste tas om hand . Men det kanske allra viktigaste är att se över hela paketet, det vill säga ha ett ovanifrånperspektiv och se vad som verkligen behöver göras. I stället för att stifta en lag i taget är det bättre att ta ett övergripande ansvar och uppnå en informationssäkerhetsnivå i som är heltäckande och sammanhållen. Med detta sagt, herr talman, vill jag fråga försvarsministern när regeringen kommer att ta tag i KBM:s fjärde åtgärdsförslag. Med andra ord: När tar regeringen initiativ till en ordentlig författningsöversyn på informationssäkerhetsområdet? 38 HANS (): Jag vill börja med att upplysa ministern om att de haft regeringsmakten , inte , som ministern tycks tro. Dessutom är det ni, försvarsministern, som har regeringsmakten och därmed också ansvaret för att nu hantera dessa frågor. Det blir lite märkligt när ministern, i stället för att svara på frågor, ägnar sin tid åt att ställa frågor till oppositionen. Det är faktiskt regeringen som sitter på hela makten och myndigheterna . Jag fick inget som helst svar på mina frågor. I stället kom en utläggning om att FRA hjälper myndigheterna att utforma för deras meddelanden för att på det viset stärka säkerheten. Om det nu är så, försvarsministern, att av myndigheternas servrar över huvud taget accepterar eller annat transportskydd av e-post blir frågan vart säkerheten då tar vägen. Jag frågar igen: Vad kommer regeringen att göra för att åtgärda bristerna med att många svenska myndigheter fortfarande har sina servrar utomlands och att det är omöjligt att avgöra vad som är svensk och utländsk post sett ur FRA-frågans synvinkel? Dessutom skickas denna information internationellt helt oskyddat. Den är alltså vidöppen, vilket betyder att utländska säkerhetstjänster kan ta del av den information som skickas mellan svenska myndigheter. Svara på frågan, ministern: Vad kommer regeringen att göra för att åtgärda detta? 39 Försvarsminister (): Den ena socialdemokraten är arg och vill smala av debatten, den andra är arg och vill bredda den. vill ingen av dem prata om det som vi faktiskt kan göra. De saknar svar om IT-säkerhetscentret i , de saknar svar om synen på FRA konkreta saker som också påverkar . Svaret på deras frågor är att regeringen har gett i uppdrag att förvalta och verkställa planen. Den nya myndigheten , som inrättas , får föreskriftsrätt om bland annat myndigheternas hantering av informationssäkerheten. Vad är då svaret från Socialdemokraterna? Jo, nu ska det utredas igen. Det hjälper inte att ständigt och återkommande utreda hur informationssamhället ska göras tillräckligt säkert. Det handlar om att bygga starka grundvalar för informationssäkerhet som fungerar inom alla samhällsområden. Jag har förstått så mycket som att Socialdemokraterna vill lösa ett potentiellt hot mot samhället genom inrättandet av en ny myndighet. Ja, det är ju kraftfullt. Ska det gälla för alla potentiella hot och kriser som samhället kan utsättas för? Ska det vara en ny sektorsmyndighet för varje hot? Genom att göra så skulle vi återupprätta ett stuprörstänkande. Vi skulle frångå ansvarsprincipen som styr hela statsförvaltningen. Det är knappast något som denna regering kommer att förorda. Det andra kraftfulla förslaget som jag hörde i var att vi behövde en IT-säkerhetsminister. Man hade på sig att införa så många IT-säkerhetsministrar man ville, men man valde att avstå, precis som den här regeringen gör. En god informationssäkerhet bygger på ett kontinuerligt arbete inom alla samhällssektorer och alla ansvarsnivåer. Med inrättandet av den nya myndigheten och det arbete som sker inom ramen för handlingsplanen, som ska verkställas, ger regeringen nödvändiga förutsättningar för ett sammanhållet informationssäkerhetsarbete, ett stärkt samhällsskydd och en god beredskap där alla aktörer kan och kommer att ta ansvar. Överläggningen var härmed avslutad. 7 § Svar på interpellationerna 2008/09:88 om Marinens musikkår och 89 om 40 Försvarsminister (): har frågat mig om jag är beredd att tillsätta en oberoende utredning om framtiden för försvarsmusiken, med syfte att se över det totala behovet, och att göra konsekvensanalyser av det behov som vårt svenska försvar och övriga har av musikkårer. har frågat mig om jag ser möjligheter till omfördelning av ekonomiska medel för att ska kunna fortsätta att verka som Flygvapnets musikkår samt kunna fortsätta musikutbildningen av soldater genom samarbete mellan Försvarsmusikcentrum och . Jag besvarar interpellationerna i ett sammanhang. besvarade jag en interpellation av om nedläggning av Marinens musikkår (2007/08:679). Utöver detta har jag besvarat en fråga om blåsarsymfoniska orkestrar inom försvaret (2007/08:1358) och en om (2007/08:1384). Försvarsmaktens musikverksamhet är organiserad i Försvarsmusikcentrum, som är lokaliserat till /. Denna organisationsenhet ska tillgodose behovet av musik för Försvarsmakten och statsledningen. En annan uppgift är att ge konserter och framträdanden för allmänheten. Försvarsmusikcentrum har fyra musikkårer: , Arméns trumkår, Livgardets dragonmusikkår och Marinens musikkår. Dessutom tjänstgör Göteborgsmusiken, alltså , som Flygvapnets musikkår under en tredjedel av sin tid. Försvarsmusikcentrum har också kvalitetsansvar för omkring 30 musikkårer inom hemvärnet och frivilligrörelsen. Man nyttjar även hemvärnets och frivilligrörelsens musikkårer i olika sammanhang. Vid Försvarsmusikcentrum utbildas omkring 100 värnpliktiga musiksoldater. Utbildningen omfattar grundläggande soldatutbildning, musikutbildning och framträdanden. Försvarsmusikcentrum ansvarar för att bevara och utveckla den militärmusikaliska traditionen i . Försvarsmaktens grundorganisation regleras i förordningen (2007:1266) med instruktion för Försvarsmakten. Regeringen redovisar där vilka organisationsenheter som ska finnas. En av dessa är Försvarsmusikcentrum. Regeringen reglerar däremot inte den inre organisationen i dessa organisationsenheter, förutom vissa delar av Högkvarteret. Det är Försvarsmakten själv som, i likhet med övriga myndigheter i statsförvaltningen, bestämmer hur verksamheten ska organiseras, med vilken personal och på vilka orter. Försvarsmusikcentrum har redovisat en utredning om militärmusiken till Försvarsmaktens högkvarter. Försvarsmaktens ledning har inte tagit ställning till utredningen. Detta är ett internt försvarsmaktsarbete i en fråga som Försvarsmakten ska avgöra. Jag kommenterar inte denna utredning. Statsceremonielen och militärmusiken är angelägna verksamheter. Försvarsmaktens ledning ansvarar inför regeringen för att verksamheten kan genomföras. 41 (): Jag får tacka försvarsministern för svaret. Marinens musikkår i är tillsammans med Flygvapnets musikkår i de enda professionella orkestrar som finns inom Försvarsmakten. Marinens musikkår har ett mycket högt anseende i den internationella blåsmusiksfären och är också förebild för såväl professionella musiker som fritidsmusiker. Musikkåren har 30 heltidsanställda musiker. Den pågående omstruktureringen av försvaret hotar de två sista heltidsanställda blåsarsymfoniska orkestrarna i . Jag anser att framtiden för den militära blåsorkestermusiken inte endast är en intern angelägenhet för Försvarsmakten utan en fråga i ett större perspektiv. Med anledning av detta har jag ställt frågan till försvarsministern om ministern är beredd att tillsätta en oberoende utredning om framtiden för försvarsmusiken med syfte att se över det totala behovet och att göra konsekvensanalyser av det behov som vårt svenska försvar och övriga intressenter har av musikkårer. Jag anser det märkligt att ministern inte är beredd att vidta några åtgärder för att säkerställa en fortsatt verksamhet vid Marinens musikkår i . Musikkårens verksamhetsområde sträcker sig från till . Musikverksamheten består av statsceremoniell musik, högvakt, musik vid våra militära förband samt offentliga konserter. Försvarsmakten vill nu flytta verksamheten från till Försvarsmusikcentrum i , , vilket kommer att innebära stora kostnader. Det visar inte allra minst Försvarsmaktens egen utredning. En flytt av verksamheten från till får med stor sannolikhet till följd att endast ett fåtal av musikerna inom Marinens musikkår kommer att flytta med, om ens några. Det innebär att verksamheten förlorar kompetens som tar att åter bygga upp. Musikverksamheten blir endast ett tomt skal. Den så kallade utredningen, partsinlagan, är så pass ofullständig och snäv att det inte går att dra relevanta slutsatser utifrån denna. Den beskriver varken hur det praktiskt ska gå till att centralisera resurserna i eller den ekonomi detta innebär. Avsikten enligt utredningen är att ersätta de anställda som väljer att inte följa med till som kontraktsanställda. Man avser enligt mitt förmenande att splittra den enda kvarvarande professionella orkestern. Vilken är då försvarsmusikens huvuduppgift? Det är att stödja de svenska förbanden i landet men även att vara delaktig när svenska förband deltar i utlandsmission i krigszon. Marinens musikkår har också varit föregångare i den nya inriktning som vårt försvar nu har. Jag vill därför upprepa frågan till försvarsministern om ministern nu inte är beredd att tillsätta en oberoende utredning om framtiden för försvarsmusiken med syfte att se över det totala behovet och att göra konsekvensanalyser av det behov som vårt svenska försvar och övriga har av musikkårer. Det har klart kunnat påvisas att verksamheten i bedrivs till en betydligt lägre kostnad än motsvarande verksamhet i . Anställda på Marinens musikkår väljer att bosätta sig i en del av där marknaden inte konkurrerar om deras färdigheter. Det innebär en mycket låg personalomsättning, vilket ger god personalekonomi som har givit en högkvalitativ orkester. 42 i (s): Jag vill börja med att tacka försvarsministern för svaret även om det gör mig besviken. ingicks en trepartsöverenskommelse avseende dåvarande Göteborgsmusiken, numera , mellan , och Försvarsmusikcentrum. Denna överenskommelse är nu bruten genom att Försvarsmusikcentrum ensidigt, utan samråd och utan någon konsekvensanalys, har sagt upp avtalet med . Uppdraget att verka som Flygvapnets musikkår har utgjort cirka en tredjedel av orkesterns finansiering. När nu försvaret tar bort en tredjedel av orkesterns finansiering innebär det stora ekonomiska svårigheter för den fortsatta verksamheten. Redan nu har 27 heltidsanställda musiker blivit varslade om uppsägning. Ministern säger i sitt svar till mig att Försvarsmaktens grundorganisation regleras i förordningen 2007:1266 med instruktion för Försvarsmakten och att regeringen där redovisar vilka organisationsenheter som ska finnas. En av dessa är Försvarsmusikcentrum. Men man säger också att regeringen inte reglerar den inre organisationen, för det gör Försvarsmakten själv. Ministern hänvisar till den utredning som Försvarsmusikcentrum har redovisat till Försvarsmaktens högkvarter men säger att ledningen inte har tagit ställning till utredningen . Det stämmer faktiskt inte. Man har ju redan sagt upp avtalet med , vilket innebär att om cirka en månad har de inte längre uppdraget att verka som Flygvapnets musikkår. Beslutet är, som jag ser det, redan fattat. Eller har försvarsministern någon annan uppfattning? I så fall hade det varit bra om ministern hade kunnat klargöra det här i kammaren.