sou · GVB344 · 2008-01-01 00:00:00 — 2Det sistnämnda har redan berörts i kapitel 2. Investigations Involving the Internet and . January 2007, s. 2 (/nij). 4A.a., s. 12. En återkommande diskussion i samband med forensisk IT, framför allt i länder med formell bevisprövning (som ), hand- lar om tilltron till elektronisk bevisning eller, med en annan vinkling, om bevisningens äkthet. Enkelt uttryckt: vilka försiktighetsmått kräver den sköra elektroniska bevisningen för att kunna tas i beaktande? Grundregeln är här att tilltron till enstaka uppgifter hänger samman med tilltron till det totala informationssystem ur vilket uppgifterna hämtats. I en kanadensisk modellag för elektro- nisk bevisning har förhållandet utryckts så att systemets tillför- litlighet träder i stället för postens (den enstaka upptagningens) tillförlitlighet.5 Man brukar också tala om systembevisningens betydelse vid elektronisk bevisning. Vad det handlar om är att den enstaka upptagningens eller transaktionens äkthet måste bedömas i det helhetsperspektiv som det totala informationssystemet och användningen av detta står för. Bevismaterialet skall kunna visas ha tillkommit i den normala, ostörda driften av informationssystemet. Om det har förekommit störningar och liknande, skall inverkan av dessa kunna förklaras i termer av hur de påverkat eller inte påverkat bevismaterialet. Systembevisningen kan ta hänsyn också till per- sonalens kompetens och hur denna förhåller sig till tilldelat ansvar och arbetsuppgifter. Konceptet systembevisning som sådant är inte okänt i svensk rätt och har förekommit även i andra sammanhang än elektronisk bevisning.6 Man kan se det så att systembevisning är en speciell variant av principen att beakta helheten och se enstaka bevis i deras större sammanhang. Grundprinciper för värderingen av elektroniska bevis, vilka står i god överensstämmelse med svensk rättsuppfattning och med svensk fri bevisprövning, finns uttryckta i till exempel Uncitral:s Model on Electronic Commerce (1996): Information i form av ett datameddelande skall tillmätas det bevisvärde informationen är förtjänt av. Vid värderingen av bevisvärdet hos ett datameddelande skall hänsyn tas till pålitligheten hos sättet att säkerställa informationens integritet, till sättet att identifiera dess ursprung och till varje annan relevant faktor.7 Evidence Act, Sept. 1997, kom- mentar till Sec. 4 (/eueea.htm). 6Se t.ex. rättsavgörandet NJA 1973 s. 8, som gällde bevisbedömning när en försäkringstagare bestred att han mottagit en anmaning att betala. 7Information in the form of a data message shall be given due evidential weight. In assessing the evidential weight of a data message, regard shall be had to the reliability of the in which the integrity of the information was maintained, to the in which its originator was identified, and to any other relevant factor., art. 9(2), Admissibility and Systembevisningen underlättas om den på förhand är förberedd genom bevisvänlig utformning av informationssystemen och inte minst dokumentationen av dessa. Till dokumentationen hör också sådant som beskrivningar av policies och rutiner (till exempel en informationssäkerhetspolicy). Användningen av informationssystem för att generera och analysera elektronisk information aktualiserar varierande rättsliga förutsättningar och möter olika rättsliga hinder. Vilka dessa för- utsättningar och hinder är beror på situationen.8 I gransknings- arbetet, som väl att märka inte är polisiärt, är det framför allt ett möjligt hinder som har krävt analys och påverkat arbetet, nämligen skyddet av IT-användarnas (personalens) personliga integritet. I korthet innebär detta att eftersom viss privat användning av IT-system är medgiven, förekommer det på databanden personuppgifter med anspråk på skydd enligt person- uppgiftslagen (1998:204). Den rättsliga problematiken har be- skrivits närmare i kapitel 2. Sammanfattningsvis har kommissionen övertygat sig om att den praktiska hanteringen av databanden präglats av två slags vak- samhet. Den första har att göra med uppgifternas äkthet, alltså att säkerställa att databanden tillkommit som ett led i den normala driften av IT-systemet, att konsekvenserna av förekommande avvikelser från normal drift har klarlagts och att banden inte har manipulerats. Databanden har således bedömts som delar av en helhet (systembevisning enligt ovan), och kända försiktighetsmått inom IT-analys har tillämpats när banden hanterats i under- sökningen. Den andra vaksamheten har gällt integritetsskyddet och inneburit att granskningen skett i små steg med klargöranden av informationsbehov, anspråk på integritetsskydd och aktuella intresseavvägningar i varje enskilt fall. evidential weight of data messages, i den citerade lagen. Uncitral är en förkortning för United Nations Commission on International Trade . 8 Jfr t.ex. skyldighet att lämna ut handlingar i ett tvistemål om upphovsrättsintrång, prövning av medvållande i ett försäkringsärende om förlust av data och undersökning av beslagtagen datorutrustning i ett brottmål om barnpornografi. 3.2.1Hantering och inledande analys När de ursprungligen 118 banden överlämnades till för granskning förvarades de i en kartong i ett säker- hetsskåp i Rosenbad.9 I samband med överföringen till de lokaler i där analysen skulle utföras överlämnades ett 119:e band. Banden förvarades därefter i ett larmat säker- hetsskåp i ett rum dit endast granskaren med biträden med hjälp av passerkort hade tillträde. efter överlämnandet av banden fick granskaren av en företrädare för IT-enhet en översiktlig inne- hållsförteckning som kopplade samman banden med datum för respektive backup. Med hjälp av denna kunde banden grovsorteras. Den detaljerade innehållsförteckningen för respektive band måste dock rekonstrueras. Banden sitter normalt i en så kallad bandrobot, som kan liknas vid en kvalificerad bandspelare. För att garantera full integritet gentemot införskaffades en ny bandrobot som kopplades till nödvändig kringutrustning – server, monitorer och skrivare. Systemet var helt isolerat från både lokala nät och omvärlden. Banden visade sig innehålla backupmaterial härrörande från perioden till och med . Det rör sig om en totalbackup, vilket innebär att även tidigare hos e-postanvändarna arkiverad e-post ingår i materialet. Den totala informationsmängden på banden är omkring 32 , varav omkring 20 000 utgörs av e-posten. Som jämförelse kan nämnas att den 6 500 DVD-skivor eller, utskrivet på 10 miljarder sidor. Intresset fokuserades på de band som bedömdes vara av störst intresse för granskningen, hörande till dagarna kring annandagen 2004. Därutöver undersöktes det sist tillkomna bandet, som dock visade sig höra till och därmed var ointressant för denna analys. Totalt analyserades ett drygt tjugotal band. Flertalet av dessa säkerhetskopierades också i enlighet med de rutiner som beskrivits i avsnitt 3.1. Dessa band och de återstående knappt 100 banden studerades av Säkerhetspolisen inom ramen för den 9 För en närmare beskrivning av hanteringen fram till denna tidpunkt, se kapitel 6. parallellt löpande förundersökningen. Alla band har därmed under- sökts, med den skillnaden att band som undersökts inom ramen för granskningen har undersökts med avseende på innehållet, medan polisundersökningen helt koncentrerades på frågan om banden var intakta och därmed lämnade bandens substantiella innehåll därhän. För att det skulle bli möjligt att få en uppfattning om innehållet på varje band krävdes en körning som tog omkring per band i anspråk. När detta var gjort, kunde en förteckning över filerna på varje band upprättas. Arbetet med att läsa och analysera materialet kunde sedan genomföras. Banden visade sig innehålla e-brevlådor för systemets ordinarie användare. De innehåller därutöver bland annat trafikinformation från brandväggsloggar, accessloggar och Internet-trafik från den aktuella perioden (se avsnitt 3.3 för en utveckling av detta). En närmare granskning av backuperna av e-brevlådorna visade att backuperna från var identiska. Det visade sig att dessa backuper bara innehöll brev från och tidigare. Detta berodde på ett mjukvarufel10, som upptäcktes och rättades först när en medarbetare efter återkomsten från ledighet behövde hjälp med rekonstruktion av e-brev. Den första backup som innehöll korrespondens kom därmed att tas natten mellan den 27 och . Effekten av detta fel är att brev som härrör från den period under vilken systemet var drabbat av felet och som har raderats av mottagaren innan den första backupen togs efter det att felet rättats inte går att rekonstruera hos mottagaren, om papperskorgen aktivt har tömts. De kan dock finnas kvar hos avsändaren; exempel på detta ges i kapitel 5. 10 Felet finns dokumenterat i information från leverantören av mjukvaran: Bug details: Ports on WS-x5225r cards that have Pro 10/100 Management Adapters may stop sending frames, but will receive frames from the port. Workaround: Disable and re-enable the port. och därmed sammankopplade myndigheter har en komplicerad IT-struktur med ett stort antal användare, geografiskt spridd verksamhet och höga samtidiga krav på offent- lighet (reglerna beträffande allmänna handlingar) och IT-säkerhet. Förutom Klara-kvarteren i omfattas verksamhet på andra orter i och vid drygt hundra utlandsmyndigheter. Antalet användare överstiger 5 000. Antalet e-brev uppgår för när- varande till omkring 110 000 per dag i genomsnitt, ungefär lika fördelat på intern och extern post. Till nätet finns omkring 8 000 datorer anslutna. Systemet betjänas av mer än 300 servrar. Normalanvändarna utnyttjar dels e-posttjänster, dels diverse filtjänster knutna till dokumenthantering, hjälpprogram, arkiv etcetera. Vid sidan av servrar för dessa ändamål finns ett antal servrar för övervakning och stödsystem, bland annat backup. En mycket viktig roll för IT-säkerheten spelar loggar över hän- delser som har att göra med passage av brandväggen, gränsytan mellan lokala nätverk och omgivningen. Här loggas exempelvis detaljer kring inkommande och utgående e-post, Internet-sökningar och säkerhetsrelaterade händelser (attacker, försök från anställda att ladda hem otillåtna program etcetera). Antalet loggar är mycket stort, mer än 400 i en normal server. Säkerhetsrelaterade loggar sparas länge, eftersom det bedöms vara nödvändigt att kunna gå tillbaka långt i tiden för att rekonstruera exempelvis attacker mot systemet. I en typisk accesslogg från en brandvägg hörande till ett nätverk visas bland annat tidpunkt, IP-nummer hos den som gjort upp- kopplingen och efterfrågad Internet-adress. Men innehållet kan som nämnts variera beroende på syftet med loggen; det som kallas en brandväggslogg kan alltså innehålla information av ganska varierande natur. En typ av trafik som loggas på detta sätt är när anställda loggar in sig mot nätverket från en bärbar dator utanför . /05 fanns det följande möjligheter: En bärbar dator med uppkoppling via modem. Överförings- hastigheten var ganska låg. Den föregående lösningen är nu ersatt med en modernare. Denna testades i pilotskala vid tiden för av ett be- gränsat antal personer inom . En handdator som kunde dockas mot den fasta datorn i det ordinarie arbetsrummet för överföring av filer men som inte kunde användas självständigt för att skicka eller ta emot e-post via nät. Ytterligare en mobil lösning som utnyttjades vid utlands- myndigheterna. En handdatorlösning som testades i pilotskala av ett litet antal tekniker och dåvarande förvaltningschefen . Vilken av dessa tekniska möjligheter som utnyttjades av dem som hade tillgång till dem är oväsentligt för loggningen. Den som från en punkt utanför önskade läsa sin e-post måste passera brandväggen och kom därmed att lämna spår vad beträffar tidpunkt, uppkopplingstid etcetera. Det bör noteras att det inte fanns (och fortfarande inte finns) någon möjlighet att läsa sin e-post via en ordinär Internet-upp- koppling, så kallad webmail-lösning. Vidare var automatisk vidare- koppling till extern e-postadress av säkerhetsskäl förbjuden. Med hjälp av loggdata kan man avgöra om en användare har utnyttjat sin fasta eller sin bärbara dator, liksom om uppkopplingen skett internt eller externt. Om någon utnyttjar sin bärbara dator från sin ordinarie arbetsplats direkt i nätverket, kan även det avläsas. Orden internt och externt skall i detta sammanhang tolkas i telekommunikationsmening. Det finns tjänstemän inom som på sina arbetsrum har fasta telefonförbindel- ser som ligger utanför växel, och om någon använder en sådan förbindelse för uppkoppling via modem, kommer detta att registreras som en extern uppkoppling, trots att användaren fysiskt befinner sig inom väggar. Detta är en mindre sannolik möjlighet, eftersom överförings- hastigheten blir väsentligt lägre än om användaren skulle koppla upp sig direkt via den stationära datorn på arbetsplatsen med bredbandskapacitet,11 men den är tekniskt möjlig och kan inte uteslutas. Det går generellt inte att från brandväggsdata avgöra var an- vändaren geografiskt befinner sig, om uppkopplingen sker externt i förhållande till . För detta krävs information från Internet-operatören som kommissionen inte har ansett sig ha laglig rätt att efterfråga.12 Backupfunktionen stöds av en server som kan liknas vid ett hotell. Administratörer av olika delsystem definierar sina backupbehov och beställer utrymme i backupservern. I specifikationen ingår då förutom minnesutrymme exempelvis minsta lagringstid. Kopiering sker därefter från backupservern till lagringsmediet, i detta fall band i en bandrobot. När kopian av ett viss material inte längre behövs, frigörs minnesutrymmet, och nya data kan skrivas in på detta utrymme. När nya data skall skrivas in, söker roboten ledigt minnesutrymme utan hänsyn till innehåll. Denna lagringsteknik leder till fragmentering och innebär att det på ett och samma band kommer att lagras data med mycket olika ursprung. Om man vill säkra exempelvis e-post från ett visst dygn genom att det aktuella bandet skyddas mot överskrivning, kommer alltså andra typer av filer att finnas kvar tillsammans med e-posten. Syftet med backup är dels att vid ett eventuellt haveri kunna återskapa användarnas data, dels att ge underlag för analys av olika slag av driftincidenter. 1156 kbit/sek jämfört med /sek. 12Se vad som skrivs i kapitel 4 om förutsättningarna för tillåtlighet av inhämtning av sådana uppgifter i lagen (2003:389) om elektronisk kommunikation. 3.4Översiktlig beskrivning av bandens tekniska innehåll Avsikten med e-postbackup är att förlorad e-post skall kunna rekonstrueras. Kopior på e-postlådor tas en gång . Den kopia som då tas ger en ögonblicksbild in extenso av lådans inne- håll – inkorg, sända brev, i arkivmappar sparade brev, papperskorg och diverse andra stödfiler som den enskilde användaren kan ha, bland annat en planeringskalender. När ett brev har legat i inkorgen , får användaren information om att det flyttats till papperskorgen. Användaren har då möjlighet att lagra brevet i ett eget arkiv. Papperskorgen töms automatiskt en gång . En användare kan emellertid välja att få papperskorgen tömd varje gång brevlådan stängs och kan också när som helst aktivt tömma papperskorgen. Vad som finns i brevlådans inkorg, arkiv eller papperskorg när en backup tas beror alltså på den enskilde användarens vanor och förvalda inställningar. E-postloggar ger en detaljerad bild av e-posttrafiken för inkom- mande och utgående post, om avsändare eller mottagare finns utanför . E-postloggarna är kompletta i den meningen att all trafik under det gångna dygnet finns registrerad i den backup som tas . För exempelvis ett e-brev som har avsänts från en punkt utanför kan man följa brevets väg från den avsändande servern, se uppdelningen på mot- tagare på olika departement och den vidare transporten inom samt fastställa om brevet i fråga har nått mot- tagarens brevlåda eller om brevet av någon anledning inte har nått fram. Att brevet inte når den avsedda mottagaren kan bero på fel i adressen eller att mottagaren inte har ett aktivt konto på det angivna departementet. I sådana fall underrättas avsändaren (user unknown). disponerar ett antal IP-adresser för sin trafik. är adresserna uppdelade i grupper som motsvarar de olika kvarter där departementen är belägna, kom- mittélokaler i eller på andra orter etcetera. En särskild grupp IP-adresser hänför sig till extern uppkoppling via bärbara datorer. Varje medarbetare i har ett personligt konto. När vederbörande öppnar sitt konto, sker en registrering i ett antal accessloggar. Loggarna visar viktiga data om uppkopplingen, bland annat den aktuella IP-adressen och datorns identitet. För externa uppkopplingar finns också en mer detaljerad logg. Internet-loggarna ger en detaljerad bild av medarbetarnas Internet- trafik. Varje enskild operation – en sökning, överföring av en enskild bild etcetera – genererar data om operationen, bland annat tidpunkten, den besökta Internet-adressen, den tid operationen tagit och i många fall information om innehållet i överförda data. 3.5Urval och genomförande av granskningen Det samlade bandmaterialet innehåller som framgått en mycket stor informationsmängd. Merparten av denna har naturligtvis inte haft något intresse för denna undersökning. Ett antal avgränsningar har därför gjorts: Undersökningen har gällt tjänsteförhållanden, vilket innebär att eventuell post som är av privat natur inte ingår i under- sökningen. Det kan undantagsvis vara svårt att avgöra korrespondensens natur på basis av själva brevhuvudet; i sådana fall har en mycket ytlig läsning av de första raderna gjorts för att brev av privat natur skulle lämnas därhän. I tid har undersökningen som redan nämnts avgränsats till dagarna efter , i huvudsak den 26 till och med , med någon komplettering med filer från . De personer som stått i fokus för intresset har varit statsråd och tjänstemän på chefsnivå eller i särskilda funktioner i vilka spelade viktiga roller under krisen och vilkas agerande analyserades redan i kommissionens huvud- rapport . Till dessa kommer ett antal personer som via e-post haft kontakt med dem. Totalt rör det sig om ett fyrtiotal personer. Det är alltså e-brev av tjänstenatur till eller från ett begränsat antal personer med anknytning till dagarna efter som har granskats. Dessa e-brev är mycket få. Utöver dessa e-brev har i några fall trafikinformation studerats i den mån den har haft anknytning till de frågor som ställts i tidigare granskningar av kommissionen, i konstitutions- utskottet eller av JO. Granskaren har även i övrigt ålagt sig restriktioner för att berörda personers integritet inte onödigtvis skall hotas. Således har inga försök gjorts att rekonstruera innehållet i papperskorgar, även om detta med forensiska metoder eventuellt skulle ha varit möjligt. Bakgrunden till denna restriktivitet har redovisats i kapitel 2. 4Utgångspunkter för kommissionens arbete I kapitel 2 presenterades rättsliga överväganden och slutsatser som drogs inför uppdraget att granska databanden. Kapitel 3 innehöll en tekniskt inriktad genomgång om dels överväganden och slutsatser inför granskningen, dels en översiktlig presentation av bandens innehåll. Dessa två kapitel utgör med andra ord en beskrivning över vad som förevarit i granskningsuppdraget och tjänar som nöd- vändig bakgrund för förståelsen av kommissionens arbete. I detta kapitel redovisas ytterligare rättsliga överväganden och bedömningar som granskaren har gjort inför överlämnandet av sakuppgifter från granskningen av banden till kommissionen som myndighet. Vidare presenteras ett antal av kommissionens egna rättsliga överväganden och slutsatser i frågor som uppkommit i kommissionens utredning och inför presentationen av utrednings- resultaten. Rätten till insyn i förvaltningen, särskilt i fråga om dataregister, presenteras översiktligt. En kortfattad redogörelse för informationssäkerhetsbestämmelser följer därpå. Kapitlet börjar med en kort redogörelse för Säkerhetspolisens för- undersökning och slutsatser rörande banden. Parallellt med den särskilt utsedde granskarens arbete bedrev Säkerhetspolisen en förundersökning för att söka svar på frågan om något brott med anknytning till banden hade begåtts. Mot bakgrund av att det förekommit olika uppgifter om vilket antal databand som hade säkrats i , och då bland annat förvaltningschefen funnit att han inte kunde bortse från möjligheten att ett antal band på något sätt hade Utgångspunkter för kommissionens arbete försvunnit, gjorde en brottsanmälan till Säker- hetspolisen för att få saken utredd.1 Under förundersökningen gjorde Säkerhetspolisen en teknisk undersökning av banden. Undersökningen inriktades på att ta reda på om bandserien var intakt och om bandmaterialet hade mani- pulerats. Däremot tog Säkerhetspolisen inte del av bandens innehåll i form av e-post etcetera. Utöver en teknisk undersökning förhördes under förundersökningen ett femtontal anställda i . Säkerhetspolisen drog slutsatserna att inget band saknades och att det var ytterst osannolikt att någon hade kunnat manipulera banden utan att detta skulle ha efterlämnat spår. E-posttrafiken mellan och fanns säkrad på 115 band. Övriga fyra band som granskats av Säkerhetspolisen visade sig innehålla trafik utanför relevant tids- period. Enligt kommer uppgifter om att det förekommit ett annat antal band troligen från en uppskattning av hur många nya band man måste införskaffa för att ersätta tsunamibanden, och denna siffra har förmodligen tolkats felaktigt som gällande antal säkrade band. Säkerhetspolisen konstaterade också att någon hundraprocentig klarhet om exakt vilken e-post- trafik som förevarit till aldrig kommer att kunna nås på grund av det tidigare nämnda mjukvarufelet.2 Säkerhetspolisens förundersökning lades ner, eftersom det inte gick att styrka att brott hade begåtts.3 Kommissionen har utifrån sitt arbete med banden inte haft anledning att ifrågasätta denna slutsats. 4.3Sekretessfrågor rörande uppgifter ur banden I detta avsnitt presenteras de rättsliga förutsättningarna och över- vägandena inför dels överlämnande av uppgifter från bandgransk- ningen till kommissionen, dels offentliggörande av dessa uppgifter i kommissionens betänkande. Som tidigare poängterats har uppdraget att granska databanden bedrivits av en granskare inom . 2Säkerhetspolisens pressmeddelande , se även avsnitt 3.1. Utgångspunkter för kommissionens arbete ning valdes berodde på att bandmaterialet var oerhört omfattande och berörde ett stort antal anställda inom . Eftersom materialet omfattade bland annat e-postmeddelanden kunde det antas att det, förutom tjänsterelaterade uppgifter, även innehöll privata och interna politiska uppgifter. Om banden i sin helhet hade överförts till en utredning utanför , hade uppgifterna på banden passerat en myndighetsgräns i och med en expediering från . Alla uppgifter på banden hade därmed blivit allmänna handlingar. Det bedömdes vara troligt att de politiska och privata delarna i materialet efter ett sådant överlämnande inte skulle kunna skyddas fullt ut av gällande sekretesslagstiftning. En annan överprövningsordning vid över- klagande av sekretessbeslut skulle också komma att inträda, om uppgifterna överfördes till en annan myndighet än . När katastrofkommission efter granskarens framställan återinkallades kvarstod ovanstående dilemma. Att överlämna band- materialet i sin helhet till kommissionen, med de konsekvenser detta skulle innebära, var inte motiverat av kommissionens infor- mationsbehov. Kommissionen hade endast behov av överlämnande av uppgifter av betydelse för dess slutsatser. Konstruktionen med en bandgranskning inom myndigheten för- anledde inga praktiska problem med att säkerställa att alla uppgifter i granskningsresultatet av betydelse för kommissionens slutsatser också lämnades över till kommissionen.