sou · GZB378 · 2011-12-01 00:00:00 — Enligt 18 kap. 13 § offentlighets- och sekretesslagen gäller sekretess för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjlighet att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Sekretess gäller således endast om det allmänna intresset av krishantering kan antas påverkas. Något skydd för enskildas intressen uppnås inte genom denna bestämmelse. Mot bakgrund av att endast kan förutses lämna information av tämligen övergripande karaktär bedöms den aktuella bestämmelsen dock ge ett tillräckligt skydd. Med begreppet informationssäkerhet avses vanligen säkerhet beträffande informationstillgångar med avseende på förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt spårbarhet. Informationssäkerhet handlar om att säkra informationstillgångar, nätverk och dess information, i syfte att skydda olika värden såsom nationell och internationell säkerhet, ekonomisk tillväxt och personlig integritet. Begreppet innefattar både organisatorisk styrning med stöd av bl.a. riskanalyser och informationsklassning samt de tekniska skyddsåtgärder som vidtas utifrån de behov som identifierats. De risker i informationssäkerhet som finns i det centrala betalningssystemet beror dels på förekomsten av sårbarhet i systemen, dels på förekomsten av antagonistiska eller andra hot mot systemen. Hoten kan vara av såväl intern som extern karaktär. Enligt MSB och () har det skett en markant ökning av antalet IT-angrepp gentemot alla nivåer och funktioner i samhället.1 Exempel på tillvägagångssätt är dataintrång, bedrägerier och spridning av skadlig kod. Alltfler IT-angrepp kommer från resursstarka och kunniga aktörer som har uttalade mål och syften med sina angrepp. Dessa blir alltmer sofistikerade och riktade och samhällets sårbarheter utnyttjas på ett systematiskt sätt av antagonistiska aktörer. Bakomliggande aktörer kan utgöras av enskilda individer, men också av organiserad brottslighet, terrorister och statsmakter. Den finansiella sektorn är ett naturligt mål för olika typer av angrepp då verksamheten hanterar stora värden. De delsystem som utgör det centrala betalningssystemet är komplexa och i stor utsträckning integrerade med varandra. Det ömsesidiga beroendet är stort. Det medför att det är svårt att vara 1 Se t.ex. Utformning av ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infrastruktur, FRA 03200:3419/10:11, s. 3. helt oberoende i arbetet med informationssäkerhet. Alla är beroende av leverantörer, program, kommunikationer och av övriga aktörer i respektive system, till följd av verksamhetens karaktär. Vissa funktioner utförs i andra länder. Det påverkar i hög grad förutsättningarna för arbetet med informationssäkerhet. Olika aktörer måste samverka för att uppnå en tillfredsställande säkerhetsnivå. Ofta framhålls också att informationssäkerhet inte enbart handlar om att hantera risker och hot. En god informationssäkerhet skapar också bättre förutsättningar för förtroende och möjliggör ett bättre utnyttjande av informationsteknikens potential. Det bidrar till god etik genom att förhindra otillbörlig åtkomst av information och värden. () har publicerat en vägledning för användare vid anskaffning av robust elektronisk kommunikation.2 Med robusthet menas i detta sammanhang förmågan att motstå störningar och avbrott samt förmågan att minimera konsekvenserna om de ändå inträffar. Syftet är att ge stöd till myndigheter, företag och andra som anskaffar elektroniska kommunikationstjänster. Vägledningen ger råd för att vid upphandling kunna ställa relevanta krav på tillgänglighet i avtal med berörda leverantörer. Förutom avtal om krav på tillgänglighet och åtgärdstid, bör enligt PTS avtalen även omfatta krav på information från operatörer vid bl.a. störningar. PTS betonar också att vid användning av molntjänster är det viktigt att klargöra såväl prestanda och tillgänglighet som hur konfidentiell och hemlig information skyddas. Rapporten är med kontinuerlig uppdatering ett värdefullt verktyg vid anskaffning av tjänster för elektronisk kommunikation. Det har inte varit en uppgift för utredningen att utföra en djupare värdering av informationssäkerheten. Den redovisning av nuläget som ges i rapporten 2010/1619 gör det inte möjligt att bedöma på vilken nivå som informationssäkerhetsarbetet befinner sig på hos aktörerna i det centrala betalningssystemet. Mot bakgrund av sårbarheten och de hot som finns mot säkerheten i centrala betalningssystemet vill utredningen lyfta fram två typer av åtgärder som bedöms angelägna för att såväl internt som externt möjliggöra en kontinuerligt hög säkerhetsnivå och en ökad förmåga att snabbt reagera på incidenter och störningar av olika slag som kan utgöra hot mot verksamheten. 2 Robust elektronisk kommunikation – vägledning för användare vid anskaffning, PTS-ER-2011:16. 9.2Systematiskt säkerhetsarbete med stöd av ISO 27000 som ansvarig nationell samordnare bör föreskriva att aktörerna i det centrala betalningssystemet ska bedriva ett systematiskt informationssäkerhetsarbete utformat efter de senast gällande nationella och internationella standarderna ISO/IEC 27001 och 27002. Den enskilt mest vitala faktorn för att upprätthålla funktionerna i det centrala betalningssystemet är det utbyte av information som sker inom och mellan de deltagande aktörerna. Skyddet av informationen och de tekniska lösningar som används för att hantera informationen måste därför utformas så att det både förebygger att allvarliga störningar uppstår och att väsentliga funktioner kan upprätthållas även då en krissituation uppstått. Informationssäkerheten måste också utformas så att den är tilllämplig i förhållande till olika typer av risker och hotbilder. Uppenbara hot kan vara avbrott i tillgängligheten, orsakad av exempelvis större avbrott i den nationella kraftförsörjningen, avbrott i det elektroniska kommunikationsnätet eller i andra infrastrukturella faktorer. En lika relevant hotbild kan vara en tillitskris, t.ex. om det centrala betalningssystemet och dess avnämare förlorar förtroendet hos kunder och andra aktörer. En sådan situation kan uppstå om informationen i det centrala betalningssystemet kan förutsättas vara korrekt eller om den blivit tillgänglig för obehöriga. För att få ett ändamålsenligt skydd krävs alltså inte bara robusthet definierat som tillgänglighet utan även skyddsåtgärder för konfidentialitet, riktighet och spårbarhet. Krisberedskap förutsätter ett långsiktigt och systematiskt arbete med informationssäkerhet under normala förhållanden. Systematik ger möjlighet att hantera den dynamiska hotbilden och vidta rätt åtgärder vid olika typer av allvarliga störningar eller kriser. Stödet för att genomföra ett systematiskt informationssäkerhetsarbete har för allt fler organisationer i världen blivit den internationella standardfamiljen för informationssäkerhet ISO 27000. I har MSB utfärdat en föreskrift stadgas att statliga myndigheter ska tillämpa ett ledningssystem för informationssäkerhet vilket bl.a. innebär att varje myndighet ska upprätta en policy och andra styrande dokument för informationssäkerhet.3 Dessutom innebär föreskriften att myndigheternas arbete med informationssäkerhet ska bedrivas i former som följer ISO/IEC 27001 och 27002. som ansvarig nationell samordnare bör enligt utredningen föreskriva att aktörerna i det centrala betalningssystemet ska bedriva ett systematiskt informationssäkerhetsarbete utformat efter de senast gällande nationella och internationella standarderna ISO/27001 och 27002. Utredningen förutsätter att föreskriftsarbetet i denna del sker efter samråd med MSB. ISO 27000-serien ger ett välstrukturerat arbetssätt vad gäller den interna kontrollen över informationssäkerheten. Standarderna är utvecklade på internationell nivå. De bedöms som kostnadseffektiva. Effekten av föreskriften har ännu ej utvärderats på ett mer genomgripande sätt. Intrycket är dock att föreskriften inneburit ett stöd för en förbättrad informationssäkerhet inom myndighetssfären. Även om föreskriften enbart gäller statliga myndigheter har synsättet en motsvarighet inom andra samhällsområden. Inom exempelvis vård och omsorg har utfärdat föreskrifter med liknande innehåll.4 Inom den finansiella sektorn har gett ut ett allmänt råd om intern kontroll i finansiella institut.5 I en kritisk situation för det centrala betalningssystemet krävs ett friktionsfritt samarbete mellan flera, ibland ett stort antal aktörer. Ur denna aspekt skulle gemensamma begrepp och metoder underlätta samordning om allvarliga störningar skulle uppstå. Utredningen bedömer det lämpligt att i föreskrift ange att ett systematiskt informationssäkerhetsarbete ska bedrivas av det centrala betalningssystemets aktörer enligt de nationella och internationella standarderna ISO/IEC 27001 och 27002. Det innebär bl.a. ledningssystem hos varje aktör, i enlighet med ansvarsprincipen, med klart definierade ansvar och roller för informationssäkerhet, systematiskt arbete med riskanalyser och informationsklassning. Eftersom grundtanken i ISO/IEC 27001 och 27002 är att ledningssystemet ska anpassas efter organisationens interna och externa krav på informationssäkerhet bedöms inte konsekvenser i form av 4SOSFS 2008:14, föreskrifter om informationshantering och journalföring i hälso- och sjukvården. 5FFFS 2005:1, Allmänna råd om styrning och kontroll av finansiella företag. krav på resurser bli stora för de berörda aktörerna. Denna bedömning stärks av att ett flertal av de krav som ställs ur ett informationssäkerhetsperspektiv redan formulerats i andra externa kravställningar inom bank- och finanssektorn, som exempelvis BIS- och IOSCO-rekommendationerna och förslaget till CPSS/IOSCO- rekommendation.6 Andra krav eller rekommendationer kan komma att utfärdas inom ramen för EU-medlemskapet. Det ankommer på att följa utvecklingen inom dessa organisationer. Utredningen föreslår en förstärkning av CERT-SE vid Myndigheten för samhällsskydd och beredskap med kompetens för incidenthantering rörande det centrala betalningssystemet. I ett inledningsskede av ett säkerhetsintrång kan det generellt vara svårt att bedöma karaktären, syftet, omfattningen och ursprunget till det som sker. Det kan röra sig om virus eller trojaner av mera trivialt slag men också utgöra inslag i mera omfattande och allvarlig kriminell aktivitet, t.ex. ekonomisk brottslighet. Erfarenheter från andra länder visar också att terrorism eller säkerhetspolitisk antagonism kan syfta till att lamslå ett samhälles funktionsförmåga genom IT-relaterade störningar eller angrepp. Inga incidenter har inträffat som tyder på att en angripare med samordnade medel söker påverka svenska samhällskritiska system på bred front. Det behöver dock inte betyda att hotbilden inte existerar vare sig nu eller . Centrala betalningssystemet kan inte uteslutas som mål för sådana angrepp. Samhällsviktiga funktioner som centrala betalningssystemet ska så långt möjligt skyddas från störningar. Varje avbrott bör vara begränsat, sällan förekommande, hanterbart, isolerat och i så liten utsträckning som möjligt skadligt. Kraven på administrativ och teknisk informationssäkerhet måste därför ställas högt. 6 for , , , High-level principles for business continuity, , samt Principles for Financial Market Infrastructures, Final draft of the Consultative Report, of the for Financial Market Infrastructures, . Syftet med IT-incidenthantering är att i realtid eller nära realtid medverka till att attacker mot datasystem avstyrs och upphör. Incidentstödet ska ha överblick och kunskaper om IT-hot och informationssäkerhet i ett helhetsperspektiv samt förmåga att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Kvalificerad rådgivning ska kunna lämnas. Det förutsätter att incidenthanteringsfunktionen skapar och upprätthåller kontakter på många områden, såväl nationellt som transnationellt. Medlemskap bör eftersträvas i de internationella nätverk som finns för incidenthantering och som sprider information och varningar om risker och sårbarheter, såsom FIRST (Forum of Incident Response and Security Teams) och TF-CSIRT (Task Force – Collaboration of Security Incident Response Teams). Incidenthantering måste bygga på snabb reaktion och tidskritisk rådgivning. Incidenthanteringsfunktionen CERT-SE vid MSB var fram placerad vid med namnet Sitic (). Den har det övergripande ansvaret för att hantera och mildra effekter av IT-incidenter av alla slag i . CERT-SE är nationella CSIRT (Computer Security Incident Response Team) med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Verksamheten är konkurrensneutral och riktar sig till såväl näringsliv som offentlig sektor. Bland de uppgifter incidenthanteringen bidrar med kan nämnas insamling och analys av data, rekommendationer kring återställande av system, rådgivning vid genomgång av rutiner och policyer, metodikstöd samt länkar till mer information. CERT-SE är som stats-CSIRT medlem i FIRST och TF-CSIRT. Härav följer ett mandat att vara nationella kontaktpunkt för CSIRT-ärenden. Många incidenter är transnationella till sin natur. Enligt instruktionen för Myndigheten för samhällsskydd och beredskap framgår att myndigheten ska stödja och samordna arbetet med samhällets informationssäkerhet och svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter.7 I detta arbete ska MSB: 7 11 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 1.agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade, 2.samverka med myndigheter med särskilda uppgifter inom informationssäkerhetsområdet, och 3.vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. MSB har tagit fram en nationell hanterandeplan för allvarliga incidenter. Av denna framgår att med allvarlig IT-incident avses en IT- relaterad händelse som avviker från det normala och 1.innebär en allvarlig störning i samhällsviktig verksamhet samt 2.kräver skyndsamma och samordnande insatser på nationell nivå. Den nationella hanterandeplanen är interimistisk och ska utvecklas innan den fastställs. Två av de centrala processerna i planen är att skapa en lägesbild över allvarliga IT-incidenter samt att arbeta med en nationell operativ samverkansfunktion (NOS) för att öka samarbetet mellan olika aktörer i händelse av en allvarlig IT-incident i samhället. NOS bygger på ansvarsprincipen, vilket innebär att ingen aktör som är involverad i NOS tar över en annan aktörs ansvar för att hantera en IT-incident. En viktig bas i den nationella operativa samverkansfunktionen är CERT-SE. CERT-SE har utvecklat sin kompetens under snart och har förmåga inom metod och de tekniker som finns i kärnan av en IT-incident. Det finns beredskap dygnet runt, , 24/7/365. Bland de anställda finns tekniker med kompetens för rådgivning och för att lösa problem i samband med IT-incidenter. Antalet anställda är ett drygt tiotal. Funktionen har inte djupkunskaper inom alla de verksamhetsområden som kan drabbas, utan fokuserar på de tekniker som orsakar problem eller används för att skapa hot. Under en pågående IT-incident arbetar CERT-SE:s experter med den drabbade organisationens personal för att hantera situationen. De drabbade bistår själva med expertkunskap inom sitt Vid behov tas kontakt med andra nationers CSIRT med djupare kunskaper inom ett givet verksamhetsområde. I (Fi 2010/1619) föreslogs att som en följd av det föreslagna nationella samordningsansvaret även skulle få ansvar för att samordna IT-incidentrapporteringen inom det centrala betalningssystemet. Förslaget har i denna del avstyrkts av i stort sett alla remissinstanser, även av . Flera har påpekat att CERT-SE vore den mest naturliga basen för en förstärkt och samordnad incidenthantering för det centrala betalningssystemets aktörer. I perspektivet av att det behövs ytterligare kapacitet för IT-inci- denthantering inom ett område, finns det flera olika sätt att gå tillväga. En är att bredda en central CSIRT:s kunskaper inom området, en annan att inrätta en speciell CSIRT för området. Båda metoderna har för- och nackdelar, som kan exemplifieras med CERT-SE som den centrala CSIRT:en. Att utöka CERT-SE:s kapacitet inom ett område som den finansiella sektorn innebär att utöka personalen med individer som har expertkunskaper om sektorn. Personerna bör ha goda kontaktnätverk inom området och helst ha arbetat inom flera olika verksamheter inom sektorn. CERT-SE:s kunskaper och kontakter kan förväntas öka direkt och effekterna är sannolikt omedelbara. blir dock personerna en del av CERT-SE och den kontinuerliga uppdateringen av kontakter och kunskaper om det centrala betalningssystemet kan rimligen komma att mattas en del. Alla CSIRT med nationellt ansvar är vana vid att arbeta både som experter och som koordinatorer. CERT-SE skulle med förstärkta resurser kunna arbeta i båda rollerna även mot den finansiella sektorn. Att inrätta en speciell CSIRT inom finansområdet kan vara ett sätt att bibehålla den mycket nära kontakten med sektorn. En sådan CSIRT kommer av naturliga skäl att vara mera specialiserad på de specifika system och problem som kan finnas inom det centrala betalningssystemet. Den kan dessutom få ett anpassat mandat för att bättre kunna följa övriga bestämmelser inom området. Det är faktorer som kan främja en öppen och förtroendeskapande kommunikation på ett positivt sätt. På den negativa sidan av en sådan konstruktion kan räknas in det betydande arbetet och kostnaderna för att etablera en ny CSIRT. En nackdel kan också bli att vissa incidenter kanske inte längre kommer till CERT-SE:s kännedom, dvs. bidrar inte till den övergripande lägesbilden. Vilket av alternativen som föredras beror på behovet av en särskild funktion för det centrala betalningssystemet och vilka resurser man är beredd att avsätta för ändamålet. En tänkbar utvecklingslinje för en CSIRT för det centrala betalningssystemet och möjligen också en större del av den finansiella sektorn skulle enligt utredningen kunna vara att initialt utöka CERT-SE med personal och kunskaper från det centrala betalningssystemet och kunna utnyttja den tekniska kompetens som finns inom CERT-SE. I ett senare skede, om behov finns, bör det vara möjligt att inrätta en separat CSIRT för det centrala betalningssystemet eller en större del av den finansiella sektorn. Eftersom MSB är en samordnande myndighet utan sektorsansvar för krisberedskap, är det logiskt om en sektors-CSIRT för den finansiella sektorn senare upprättas utanför MSB, exempelvis inom . En lösning med resursförstärkning inom ramen för CERT-SE skulle ge denna funktion möjligheter att öka sina kunskaper och kompetens inom det finansiella området och bidra med värdefullt stöd till det centrala betalningssystemets aktörer. CERT- SE bör i så fall ha uppdraget att översiktligt rapportera till , och övriga aktörer inom det centrala betalningssystemet. I ett senare skede får bedömas behovet av att inrätta en särskild CSIRT för det centrala betalningssystemet eller en större del av den finansiella sektorn. En sådan bedömning kan exempelvis ske inom ramen för samarbetet i FSPOS. Utredningen föreslår därför att den befintliga CERT-SE vid MSB initialt förstärks med tjänster som främst avdelas och rekryteras för att möjliggöra ett fördjupat engagemang i incidenthanteringen och rapporteringen inom det finansiella området. Omfattningen av och kostnaderna för en förstärkning bör värderas inom ramen för det ordinarie budgetarbetet. förslag vad gäller IT-incidenthantering berörs i direktiven till denna utredning. Det konstateras att remissvaren ger vid handen att formerna för IT-incidenthanteringen bör övervägas. Mot bakgrund av att ett syfte med uppdraget till denna utredning är att ta fram ett utvecklat förslag avseende beredskap för och hantering av allvarliga avbrott och störningar i det centrala betalningssystemet, som kan ligga till grund för beslut av regering och riksdag har utredningen valt att redovisa förslag i frågan. 10.1Ekonomiska konsekvenser för staten I rapporten 2010/1619 bedömdes att de initiala kostnaderna för att bygga upp en funktion för det nationella samordningsansvaret skulle uppgå till , samt att de löpande årliga kostnaderna skulle uppgå till cirka 5–. Utredningen gör ingen annan bedömning av dessa förväntade kostnader. Kostnaderna bedöms kunna finansieras inom ramen för de vinster som verksamhet genererar. ges dock en möjlighet att ta ut avgifter från de berörda aktörerna för att finansiera verksamheten med samordningsansvaret enligt utredningens förslag. Med den föreslagna regleringen följer vidare en marginellt utökad omfattning av tillsynsarbete, som bedöms kunna hanteras inom befintliga anslag. Möjligheten att överklaga vissa av beslut skulle kunna leda till ökade kostnader för domstolarna. Antalet överklagade beslut kan dock förväntas bli mycket begränsat med hänsyn till antalet aktörer som kommer att omfattas av regleringen. Mot de ovan redovisade kostnaderna ska ställas effekten av ett stärkt ansvar för krisberedskapen inom det centrala betalningssystemet. I händelse av en allvarlig kris i detta system skulle mycket stora samhällsekonomiska kostnader riskera att uppstå. 10.2Närmare om konsekvenserna av utredningens förslag Betänkandet innehåller, i linje med kommittédirektiven, förslag till nya regler. Mot bakgrund av detta ska, enligt 15 a § kommittéförordningen (1998:1474), förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Som framgår av redovisningen i kapitel 3 utgör i betalningssystemet en viktig utgångspunkt för denna utredning. I rapporten konstaterades att statens förmåga att hantera en allvarlig kris i betalningssystemet är bristfällig samt att regeringen inte har skaffat sig en samlad bild av hot och störningar inom området. Vidare konstaterades i rapporten att ett utpekat övergripande ansvar för krisberedskapsansvaret inom området saknades. bedrevs inom ett arbete som resulterade i en rapport (Fi 2010/1619) som har remitterats. Utredningens uppdrag är att vidareutveckla och ytterligare konkretisera de förslag som lämnas i rapporten avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. I uppdraget ingår att ta fram nödvändiga författningsförslag. Den i utredningen föreslagna ordningen innebär i första hand att ansvarsfördelningen på området tydliggörs samt att förutsättningar för styrning och uppföljning skapas genom att funktionskrav för de berörda aktörerna föreslås införas. Dessa krav redogörs för i kapitel 5. De brister i den nuvarande ordningen som beskrivits i kan åtgärdas på olika sätt. Ett tänkbart alternativ är att genom informationsinsatser förtydliga samtliga berörda aktörers ansvar för krisberedskapen på området. Härigenom skulle en ökad medvetenhet uppnås till en mycket begränsad kostnad. Ett annat tänkbart alternativ är att genom ett frivilligt samarbete grundat på civilrättsliga avtal mellan samtliga berörda aktörer förtydliga ansvarsfördelningen. Gemensamt för båda dessa alternativ är att staten inte får någon tydlig möjlighet att styra aktörernas arbete med krisberedskapen på området. Ett tredje alternativ är att författningsreglera vilken myndighet som ska ha det övergripande krisberedskapsansvaret och ange inriktningen för hur krisberedskapen bland de berörda aktörerna bör vara utformad.