sou · GVB347 · 2008-01-01 00:00:00 — WG3 – Security evaluation criteria WG4 – Security controls and services WG5 – Identity management and privacy technologies. Inom SIS är arbetet inom SC27 i organiserat i två tekniska kommittéer – TK 318 med inriktning enligt WG1 och TK 456 med inriktning på WG1-5 vad gäller standarder och annan teknisk inriktning. Kommittéerna drivs som projekt med projektledare från deltagande organisationer med stöd av SIS. Utöver ISO har OASIS vuxit fram som en betydelsefull aktör med inriktning på standardisering inom IT-området, vilket också omfattar teknik för identifiering och signering (PKI – Public , ID-trust, SAML etc.) Detta är teknik som de facto kan vara mycket betydelsefull för utformningen av e-tjänster i hela , och Verva följer i viss omfattning standardutvecklingen inom OASIS. TK 318 – har i sin tur ca tio arbetsgrupper med inriktning på spridning och marknadsföring av aktuella standarder och på olika standarder i ISO 27000-serien, vilken omfattar standarder för ledning och styrning inom informationssäkerhetsområdet. Arbetet inom TK 318, som bedrivs under samlingsnamnet , har lockat relativt många deltagare i form av företrädare för myn- digheter och företag, varav relativt stor andel konsultföretag med inriktning på informationssäkerhet och certifiering mot krav- standarden i ISO/IEC 27001. Skälet till den tydliga medverkan av konsultföretag är naturligtvis att dessa ser en marknad för tjänster på de områden standarderna omfattar. Standarderna ISO/IEC 27001 respektive 27002 (tidigare ISO/IEC 17799) med inriktning på ledningssystem för informa- tionssäkerhet () har nått stor framgång och är väl spridda både internationellt och i . Antalet organisationer som certifierar sig mot kravstandarden 27001 ökar i hela världen. Antalet certifi- eringar i är dock ännu relativt blygsamt. 1995 utvecklade and industry (DTI) en security code of practice som British Standards (BS) antog som stan- darden BS 7799. Efter uppgraderingar gick den in i ett fast-track mot ISO-standard och blev standarden ISO 17799. I Stor- fortsatte standarden att utvecklas och 2002 kom BS 7799-2 som inkluderade ledningssystem för informationshantering. Också denna brittiska standard gick i ett fast-track in som en ISO standard under beteckningen ISO 27001. Oförtrutet har arbetet i fortsatt med ytterligare en uppgradering till BS 7799-3 som inkluderar stödfunktioner för ISO27001. I ISO:s nummerserier har man avsatt 27005 för en eventuell framtida ISO standard baserad på BS 7799-3. Arbetet inom TK 456 har trots sin omfattning lockat färre delta- gare. Deltagarna kommer från myndigheter och företag, varav endast en mindre andel utgörs av företrädare för konsultföretag. Inom ramen för TK 456 har Terminologi för informa- tionssäkerhet tagits fram och blivit normgivande i med stor framgång. Standardiseringsarbetet inom WG2–WG5 spänner över ett mycket stort område och omfattar ett avsevärt antal standarder vad gäller kryptering, nyckelhantering, autenticering, säkerhet i nät- verk, åtkomstkontroll, personidentifiering och skydd av personlig integritet. Standardserien ISO/15408 Evaluation criteria for IT security utgör vad som brukar kallas Common Criteria och omfattar kriterier och metod för evaluering och certifiering av säkerhetsfunktioner i IT-produkter. TK 456 bevakar även och tar del av det arbete som görs i ISO/TC 68/SC 2 och samverkar till viss del med SIS/TK 448 Identifieringskort, särskilt avseende arbetet inom JTC 1/SC 37 Biometrics. SIS/TK 448 Identifieringskort omfattar utveckling av standarder för tekniker och datainnehåll för plastkort och för identifiering av Generellt är målet att medverka till att man i det inter- nationella arbetet tar största möjliga hänsyn till svenska krav och behov av teknik och säkerhet på kortområdet. Projektet omfattar också biometrisk teknik för identifiering, däremot inte identifiering av föremål. Inom IT-området finns också andra standarder som i större eller mindre omfattning har inslag av informationssäkerhet, även om det inte är huvudinriktningen. De mest kända är förmodligen Control Objectives for IT and () som är ett ram- verk för IT-styrning och kontroll samt Infrastructure Library (ITIL) som är ett ramverk för att styra IT- drift och IT-tjänster. ITIL är för övrigt också en ISO-standard med beteckningen ISO 20000. 7.4Offentliga aktörer i arbetet med standarder för informationssäkerhet Engagemanget från statsförvaltningen vad avser standardisering med inriktning på informationssäkerhet har varit tämligen splittrat. I många fall har medverkan i standardisering skett på initiativ från enskilda tjänstemän och mer begränsat kopplat till uttalade verk- samhetsbehov. Några som ändå uppfattats som tydliga aktörer eller redovisat initiativ inom området anges nedan. Certifieringsorgan för IT-säkerhet (CSEC) är en själv- ständig enhet inom FMV som, enligt ett beslut i , ansvarar för uppbyggnad, drift och förvaltning av ett system för evaluering och certifiering av IT-säkerhet i produkter och system i enlighet med standarden ISO/IEC 15408 (Common Cri- teria). CSEC:s arbete bedrivs inom ramen för Arrangement on the Recognition of Common Criteria Certificates in the field of Informa- tion (), vilket i sin tur är en samverkan mellan 24 nationer som erkänner varandras certi- fikat enligt denna standard. Common Criteria (CC) är en standard för att definiera: krav på IT-säkerhet i produkter deklaration av IT-säkerhet i produkter regler och metoder för oberoende granskning av IT-produkter (s.k. certifieringsordning eller schema) gentemot ovan nämnda krav och deklarationer. Styrelsen för ackreditering och teknisk kontroll (SWEDAC) har bl a i sin roll att ackreditera företag som har till uppgift att certifiera organisationer mot standard för ledning och styrning av informa- tionssäkerhet (ISO/IEC 27001). SWEDAC:s engagemang omfat- tar både TK 318 och TK 456. SWEDAC leder också en teknisk kommitté med inriktning på informationssäkerhet och standardiseringsfrågor med representa- tion från offentlig förvaltning och näringslivet. () har inom ramen för sin roll som Försvarsmaktens partner i materialanskaffning en lång tradition av engagemang i standardiseringsarbete i allmänhet, och även inom området informations- och IT-säkerhet. En av FMV:s represen- tanter är ordförande i under JTC 1/SC 27. Verket för förvaltningsutveckling (Verva) har tagit över rollen från Statskontoret när det gäller standardiseringsfrågor inom IT-områ- det, inklusive informations- och IT-säkerhet. Verva deltar aktivt i både TK 318 och TK 456. Engagemanget är kopplat till utveck- lingen av en elektronisk förvaltning där interoperabilitet och säker- het är grundstenar för effektivisering, kvalitet och förtroende från allmänhet och företag. () är från svensk signatär för CC inom ramen för CCRA (enligt ovan). KBM initierade en arbetsgrupp, som består av represen- tanter från 17 myndigheter. Samverkansgruppen för informations- säkerhet (SAMFI) med inriktning på standardisering inom infor- mations- och IT-säkerhetsområdet. Initiativet härstammar från ett förslag i slutbetänkande (SOU 2005:71). KBM har utformat rekommendationer och tillhandahåller stöd för implementering av en basnivå för system- och IT-säkerhet – BITS och dess analysverktyg BITS Plus. BITS struktur har blivit anpassat till ISO/IEC 27002. () ansvarar för informationssäkerhet inom området elektronisk kommunikation och därmed också för standardfrågor inom området. Någon specifik lagstiftning enbart med inriktning på informations- säkerhet finns inte. Däremot finns lagbestämmelser om informa- tionssäkerhet i ett antal lagar och förordningar samt i registerlagar för socialförsäkringen, skatteområdet, hälso- och sjukvården och den sociala omsorgen, bl.a. Inriktningen på informationssäkerhet har som regel sin utgångspunkt i krav på sekretess eller personlig integritet. Följande författningar av särskilt intresse på informationssäker- hetsområdet: sekretesslagen (1980:100) lagen (1990:217) om skydd för samhällsviktiga anläggningar lagen (1990:409) om skydd för företagshemligheter. säkerhetsskyddslagen (1996:627) säkerhetsskyddsförordningen (1996:633) personuppgiftslagen (1998:204) förordningen (2002:472) om åtgärder för fredstida krishanter- ing och höjd beredskap. lagen (2003:389) om elektronisk kommunikation har genom sitt medlemskap i dessutom en skyldighet att följa rådets säkerhetsskyddsbestämmelser. föreslog i sitt delbetänkande (SOU 2005:42) en särskild förordning om informationssäkerhet. Förslaget togs dock inte upp i efterföljande proposition. Verva får enligt sin instruktion meddela föreskrifter i fråga om standarder eller liknande gemensamma krav för elektroniskt infor- mationsutbyte för myndigheter under regeringen. Verva har, kopplat till sitt regeringsuppdrag, tolkat det som att detta även kan omfatta informationssäkerhet av grundläggande betydelse för utveckling och förvaltning av myndigheternas e-tjänster, dvs. även ledning, styrning och administrativa skyddsåtgärder av betydelse. Den tidigare (e-nämnden) som hade motsvarande föreskriftsrätt som Verva nu har, hade ett förslag framme till beslut om en föreskrift om informationssäker- het för statliga myndigheter. Förslaget bordlades dock på grund av förordningsförslag enligt ovan. 7.6Aktörer i det nationella informationssäkerhetsarbetet har uppgifterna på informationssäkerhetsområdet varit uppdelade på ett antal myndigheter: () har ett sammanhållande myndighetsansvar för samhällets informationssäkerhet och har också uppgiften att utforma en nationell handlingsplan för informationssäkerhet. () tillhandahåller tekniskt stöd med inriktning på informationssäkerhet till organisationer som hanterar information som bedöms som känslig ur sårbarhets- synpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. () med ansvar för infrastruktur inom telekomområdet inrymmer också (Sitic). Sitic fungerar som en internationell s.k. CERT- organisation. () har genom Certifieringsorgan för IT-säkerhet (CSEC) uppgiften att utforma ett system för evaluering och certifiering av IT-säker- het i produkter och system i enlighet med standarden ISO/IEC 15408, (CC). (), med S-BIT som är en samordnings- funktion för brottsrelaterade IT-incidenter, gemensamt ägd av och . Försvarsmakten (FM) är en given aktör vad avser informations- säkerhet med inriktning på rikets säkerhet och relation till främmande makt. FM har föreskrifts- och tillsynsansvar för aktörer inom sitt ansvarsområde och för statliga myndigheter i övrigt vad gäller signalskydd. Verket för förvaltningsutveckling (Verva) har uppdraget att leda och samordna statsförvaltningens utvecklingsarbete med säkert elektroniskt informationsutbyte och säker hantering av elek- troniska handlingar. Verva får utfärda föreskrifter och ge väg- ledning med denna inriktning. Samarbetet mellan ovanstående myndigheter bedrivs i Samverkans- gruppen för informationssäkerhet (SAMFI), som ska stödja de aktu- ella myndigheternas uppdrag genom informationsutbyte och sam- verkan inom informationssäkerhet och defensiva informations- operationer: Med informationssäkerhet menas säkerhet beträffande informa- tionstillgångar vad gäller förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet. Med defensiva informationsoperationer menas samordnade och samlade åtgärder i fred, kris och krig vad gäller policy, opera- tioner, personal och teknik för att skydda och försvara infor- mation, informationssystem och den egna förmågan att fatta rationella beslut. Andra aktörer inom området är: Datainspektionen som är tillsynsmyndighet för personuppgifts- lagen (PUL). Datainspektionen utfärdar allmänna råd och är en viktig remissinstans vid utveckling av standarder om IT- och informationssäkerhet. () som är kon- taktorganisation med EU när det gäller säkerhetsfrågor. Rådets säkerhetsskyddsbestämmelser ska följas vid hantering av EU- relaterad information som är klassificerad Restricted och högre. NSA är organiserat inom UD och man har en referensgrupp med representanter från svenska säkerhetsmyndigheter, inklu- sive Rymdstyrelsen. som står till KBM:s förfogande när det gäller nationella informationssäkerhetsfrågor och vän- der sig till myndigheter såväl som näringsliv. En särskild grupp har etablerats för kontakter mellan KBM och svenskt närings- liv, Arbetsgruppen Näringsliv (AgN). som har en lång tradition av engagemang vad gäller säkerhet och informationssäkerhet med visst fokus på legala frågor. ingår i KBM:s informations- säkerhetsråd, enligt ovan. Statligt nätverk för informations- och IT-säkerhet (SNITS) som är ett nätverk av informations- och IT-säkerhetsansvariga inom offentlig sektor. Nätverket koordineras av Verva. 7.7Översikt över styrande dokument Statskontoret har i sin tidigare roll (vilken nu tagits över av Verva) utformat vägledningar och andra råd med inriktning på informa- tions- och IT-säkerhet tillsammans med KBM. i IT-säkerhet, del I–III, gavs ut av Statskontoret 1997. innehöll en allmän introduktion, vägledning för policy, ansvar och organisation samt skyddsåtgärder. Statskontoret har också gett ut ett flertal rapporter och vägledningar med inriktning på olika delområden inom IT-säkerhet, t.ex. hantering av IT-inci- denter, elektronisk identifiering och krav på brandväggar. Statskontorets metodstöd och mallregelverk för myndigheters informationssäkerhet (OffLIS) publicerades . OffLIS var en grundläggande regeldatabas för myndigheter utifrån standarden för ledningssystem för informationssäkerhet (SS ISO/IEC 62 77 99), vilken motsvaras av den internationella standarden SS ISO/IEC 27002. Viktiga delar av OffLIS överfördes till metod- stödet Basnivå för informationssäkerhet (BITS) i ett samarbete mellan Statskontoret och KBM . SIS handbok information rätt säkerhet, handbok i infor- mationssäkerhetsarbetet () som rönt stor uppskattning hos organisationer inom både den privata som offentliga sektorn, ges ut av SIS förlag. Med BITS och analysverktyget BITS Plus ska organisationers arbete med informationssäkerhet stödjas. Inriktningen är att åstadkomma en basnivå för system och IT-sä- kerhetsåtgärder men det är också möjligt att få rekommenderade åtgärder för ytterligare två skyddsnivåer. I samband med sammanslagningen med (se ovan) för- ändrades strukturen för att följa ISO/IEC 27002 till det bättre, och KBM har varit framgångsrikt i sitt arbete att sprida BITS, framför allt till kommuner och länsstyrelser. KBM strävar nu efter att BITS ska etableras som en de facto-standard i offentlig förvaltning när det gäller basnivå för informationssäkerhet. tillhandahåller t.ex. KBM ett paket med interaktiv utbildning i informationssäkerhet – . Därutöver har Försvarsmaktens handböcker med inriktning på säkerhetstjänst och informationsteknik varit viktiga källor till råd- givning på IT- och informationssäkerhetsområdet. 7.8Pågående diskussion i offentlig sektor konstaterade i sina delbe- tänkanden att standarder inom främst styrning och ledning samt för evaluering och certifiering av säkerhetsegenskaper i produkter och system hade stor betydelse för utvecklingen inom informa- tions- och IT-säkerhet. Några omfattande förslag lades dock inte, utöver att KBM skulle överta rollen som signatär för CCRA från SWEDAC – för övrigt ett av de få förslag från utredningen som togs upp i efterföljande proposition (prop. 2005/06:133). pekade också på möjligheten för KBM att också samordna frågor med inriktning på informa- tionssäkerhet. Detta har resulterat i att tidigare nämnda arbets- grupp med just detta syfte etablerades under SAMFI . har reviderat elva större myndigheters arbete med informationssäkerhet. Revisorernas underlag har i huvudsak varit befintliga standarder för lednings- system för informationssäkerhet (ISO/IEC 27001 respektive ISO/IEC 27002). Samtliga rapporter från revisionen redovisar betydande brister hos de granskade myndigheterna. En slående och återkommande anmärkning är myndighetsledningarnas brist på helhetssyn, överblick och kontroll över sin informationssäkerhet. Det saknades ofta spårbara beslut om korrigering av identifierade brister utifrån genomförda riskanalyser, och det påvisades brister vid tilldelning av behörigheter m.m. (e-nämnden) fastslog ett antal vägledningar med inriktning på elektronisk identifiering och elektronisk signatur. Dessa vägledningar utformades av projektet – ett samarbetsprojekt mellan , Försäkrings- kassan, och Statskontoret. Dessa vägledningar har blivit de facto-standarder för tillämpning med e-legitimation och förvaltas –2007 av Verva. föreslog också en föreskrift för myndigheternas arbete för informationssäkerhet. Förslaget pekade på myndigheter- nas och myndighetsledningarnas ansvar för säkerhet och angav att standarderna för ledningssystem för informationssäkerhet (ISO/IEC 27001 respektive ISO/IEC 27002) skulle tillämpas som utgångspunkt. Grunden till förslaget var det inte räcker att säkra enbart kommunikationslänken, att åstadkomma ett säkert infor- mationsutbyte och säkra e-tjänster mot medborgare och företag. Därutöver krävs en organisationsövergripande ordning mot- svarande ett kvalitetsledningssystem. Det är givetvis också nödvän- digt att organisationer som kommunicerar information har samma grundsyn vad gäller informationsskydd. Ovan nämnda standarder beskriver just en sådan ordning och medför en samsyn över orga- nisationsgränser. Nämndens förslag bordlades i avvaktan på resultat. Verva kan, inom ramen för sina uppgifter som stabsmyndighet till regeringen, normera inom de områden som är av betydelse för utvecklingen av en effektiv och säker e-förvaltning. Denna norme- ring kan ske på olika sätt – föreskrifter, vägledningar eller upp- handling. Verva har bland annat gett ut en vägledning för utform- ning av webbplatser, Vägledningen 24-timmarswebben, samt en föreskrift om hantering av elektroniska fakturor (VERVAFS 2007:1). Verva avser också att åter ta upp tidigare förslag från e- nämnden om en föreskrift om informationssäkerhet, bl.a. med anledning av att rapporter så tydligt visade att det behövs tydligare direktiv till myndigheterna. Regeringen meddelade i sin proposition Samhällets säkerhet och beredskap (prop. 2001/02:158) att FMV bör få i uppgift att bygga upp ett system för evaluering och certifiering av IT-säkerhetspro- dukter. FMV har därefter etablerat CSEC som en självständig organisation för ändamålet. Systemet för evaluering och certifiering bygger som tidigare beskrivits på standarden ISO/IEC 15408, Common Criteria, och följer den ordning som lagts fast inom ramen för den internationella överenskommelsen CCRA. Systemet innebär mycket omfattande formella krav och har därför tagit att etablera. Införandet är i sitt slutskede med en dokumen- terad ordning för godkännande och pågående provevaluering. Två svenska evalueringsföretag har ackrediterats. En besvärande faktor under etableringsskedet har varit diskus- sionen mellan SWEDAC och FMV vad gäller signatärskap och roller i övrigt. Tillämpningen av Common Criteria (CC) är komplex och krä- vande, och man kan förmoda att de signaler som spreds genom dis- SOU 2007:47 Informationssäkerhet i e-förvaltningen kussionen mellan SWEDAC och FMV inte gynnade svenska intressenters attityd till standarden. Verva har i ett antal av sina ramavtalsupphandlingar ställt frågor om leverantörernas förmåga att leverera CC-certifierade produkter. Responsen från leverantörer har visserligen varit god, men det är uppenbart att myndigheternas efterfrågan av certifierade produkter är mycket begränsad. En viktig fråga är därför också hur man ska öka efterfrågan från offentlig sektor på produkter som kan bidra till önskvärd säkerhet. Ett allmänt intryck med inriktning på standardisering av infor- mations- och IT-säkerhet är att tillämpningen av standarder i många fall är alltför begränsad. Ett tydligt skäl är en alltför om- fattande brist på kunskap om vilka standarder som finns och om deras innehåll. I alltför liten utsträckning sker aktiv kunskaps- inhämtning och medverkan i standardiseringsarbetet. Ofta råder dessutom oklarhet i vilken mån standarder bör tillämpas och följas och också om huruvida det finns någon statlig hållning till standar- der och standardisering. Standardisering inom informations- och IT-säkerhetsområdet, lik- som IT-området i övrigt, har en tydlig koppling till verksamhets- och produktutveckling. Det finns uppenbart en väl etablerad inställning till att standarder och dess tillämpning kan ge stora nyttoeffekter och bidra till utveckling av säkerhet på ett mycket positivt sätt. kan man konstatera att insatserna för att sprida och öka medvetandet om standarder och deras innehåll är och har varit relativt begränsat. Gemensamma kravspecifikationer och en gemensam IT-arki- tektur kan vara lämpliga områden för att tydligt visa vilka standar- der som är lämpliga att tillämpa när det gäller informations- säkerhet. Inom informationssäkerhetsområdet finns ett otal standarder med varierande inriktning. Det krävs därför ett ganska omfattande arbete för att dels strukturera och informera mottagarsidan om de standarder som finns och i vilka sammanhang de kan vara lämpliga att tillämpa, dels att bidra till att standarder utvecklas och att nya kommer till i en riktning som innebär att de också följer verksamhetsbehoven. Ett problem kopplat till spridning och ökad användning sägs ofta vara kostnaden för inköp av standarddoku- ment. En djupare undersökning om hur kostnadsaspekten påverkar hur standarder inom informationssäkerhetsområdet sprids och används bör därför genomföras inom ramen för en framtida sam- ordningsfunktions arbete. En ökad tillämpning av Common Criteria (CC) som metodstöd vid kravställande kan bidra till säkrare produkter och system, under förutsättning att standardens metodpaket utvecklas på ett sätt som förenklar användningen. Någon form av policymyndighet skulle också kunna peka ut sammanhang där det är rimligt att ställa krav på tillämpning av certifierade produkter, t.ex. inom kritiska områ- den i IT-infrastrukturen med stor betydelse för kommunikations- säkerheten, eller säkerhetsprodukter för användning i verksamheter med höga krav på sekretess. En stegvis upptrappning av kravmeto- derna vid upphandling kan vara en väg mot tillämpning av CC. Det kan vara värdefullt som en inledande ansats att krav ställs på att myndigheter som deltar vid upphandling ska definiera den egna organisationens säkerhetskrav kopplat till det som ska upphandlas. I övrigt är målinriktade informationsinsatser av stort värde. finns ett stort antal CC-evaluerade kravprofiler (protection profile, PP) offentliggjorda. Att öka kunskapen om att och var denna information finns och att den bör tillämpas är en begränsad insats som kan ge stor nytta. Ett slags nationellt bibliotek med informa- tion kopplad till beskrivningar av den offentliga sektorns IT-, och IT-säkerhetsarkitektur kan vara en metod. Informations- och IT-säkerhet ställer krav på att frågorna hante- ras utifrån gemensamma synsätt och modeller, inte minst för att skapa förtroende mellan myndigheter samt mellan myndigheter och medborgare/företag. erfarenheter från dess granskningar visar att det saknas tydlig policy och direktiv från regeringen när det gäller myndigheternas informationssäkerhets- arbete. Vervas uppfattning är att det behövs en föreskrift som pekar ut ISO/IEC 27001 () respektive ISO/IEC 27002 som grund för myndigheternas arbete med informationssäkerhet, för- slagsvis med BITS i en förbättrad form som grund för en basnivå för IT-säkerhet. Det bör även etableras former för att verifiera att myndigheterna hanterar sin informationssäkerhet på ett adekvat sätt – antingen genom en ökad kontroll eller genom den modell för certifiering mot som är etablerad med olika revisionsföretag som i sin tur är ackrediterade av SWEDAC. En certifiering av myndigheter gäl-