sou · GZB378 · 2011-12-01 00:00:00 — Att i författningsförslaget föra in dessa bestämmelser med tämligen hög detaljeringsgrad har inte bedömts motiverat, även om det finns goda skäl för att tillse att man även fortsättningsvis lever upp till dessa krav. Det författningsförslag som presenteras inom denna utredning innehåller inte några bestämmelser om påföljder för de aktörer som inte rättar sig efter de föreskrifter eller beslut på området som bemyndigas att meddela. Statskontoret påtalade i sitt remissyttrande över att sådana bestämmelser borde övervägas. Behovet av lagreglering av samordningsansvar m.m. Eftersom samtliga aktörer som kan komma att bli aktuella att pekas ut av att omfattas av lagen, med undantag av och , har ett generellt krav på lagenlighet i den befintliga rörelseregleringen har det inte bedömts motiverat att i författningsförslaget ta in uttryckliga bestämmelser rörande sanktioner.15 Ett sådant alternativ skulle vara att ge möjlighet att utfärda t.ex. förelägganden i kombination med vite, som riksbankslagen i och för sig ger utrymme för.16 Eventuella brister i de privata aktörernas efterlevnad av lagens bestämmelser eller de föreskrifter som meddelar med stöd härav kan på ett tillfredsställande sätt omhändertas genom tillsyn och sanktionsmöjligheter. Som tidigare angivits kommer den föreslagna ordningen förutsätta ett nära samarbete mellan och . Ansvaret för de statliga myndigheter som kan förväntas ingå i det centrala betalningssystemet regleras i annan ordning. För att finansiera det samordningsansvar som beskrivits i utredningen föreslås ges möjlighet att avgiftsbelägga aktörerna i det centrala betalningssystemet. har i sitt remissyttrande över angivit att banken normalt finansierar verksamheten genom de vinster den egna verksamheten genererar, men att det bör finnas en möjlighet att avgiftsfinansiera arbetet som nationell samordnare av krisberedskapen. Uttag av avgifter i någon större skala bedöms som mindre sannolikt. För överklagande av beslut av gäller, om inte annat särskilt reglerats, vad som följer av lagen (1989:186) om överklagande av administrativa beslut av och myndigheter. Lagen saknar bestämmelser som skulle ge rätt att överklaga för den som blivit föremål för ett beslut av enligt det författningsförslag som utredningen presenterar. 1525 kap. 1 § lagen (2007:528) om värdepappersmarknaden och 15 kap. 1 § lagen (2004:297) om bank- och finansieringsrörelse. 1611 kap. 2 a § riksbankslagen. Behovet av lagreglering av samordningsansvar m.m. Med hänsyn till att de beslut i enskilda fall som kan komma att bli aktuella inte kan anses obetydligt ingripande talar rättsäkerhetsskäl för att dessa beslut ska kunna bli föremål för överprövning. Författningsförslaget innehåller därför en möjlighet att överklaga beslut om förebyggande och förberedande åtgärder till förvaltningsrätten. Eftersom det kan vara avgörande ur krisberedskapsperspektiv att besluten kan verkställas omgående ska beslut som huvudregel gälla , dvs. oavsett om de överklagas eller ej. Den kan förväntas att aktörerna i det centrala betalningssystemet kan komma att behöva lämna information om sina ekonomiska förhållanden till såväl som med anledning av den föreslagna lagen. För att dessa uppgifter ska kunna omfattas av sekretess i myndigheternas verksamhet krävs att ett tillägg görs i 30 kap. 6 § offentlighets- och sekretesslagen (2009:400). Det nära samarbetet mellan och som kommer att krävas för att det nya ansvaret för ska kunna få effekt i praktiken är till stora delar uppfyllt. Det finns för en uppgiftsskyldighet gentemot för uppgifter i viktigare frågor som har samband med betalningssystemets stabilitet eller berör tillsynsverksamhet.17 Ett förtydligande i denna del med anledning av den ordning som föreslås i utredningen bedöms inte nödvändig. För del regleras motsvarande gentemot i instruktion.18 Ett effektivt utbyte av uppgifter bedöms kunna uppnås med stöd av den befintliga regleringen i detta avseende. Vidare ger författningsförslaget en skyldighet att förse Myndigheten för samhällsskydd och beredskap samt med den information som behövs för att beskriva beredskapsläget och möjliggöra samlade lägesbilder. Dessa uppgifter kan förväntas vara känsliga och som beskrivits ovan möjliggörs genom ändringen i offentlighets- och sekretesslagen att uppgifterna kan omfattas av sekretess i . Uppgifterna måste även kunna ges ett erforderligt skydd hos MSB och . 174 kap. 3 § riksbankslagen. 187 § förordningen (2009:93) med instruktion för . Behovet av lagreglering av samordningsansvar m.m. Enligt 18 kap. 13 § offentlighets- och sekretesslagen gäller sekretess för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjlighet att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Sekretess gäller således endast om det allmänna intresset av krishantering kan antas påverkas. Något skydd för enskildas intressen uppnås inte genom denna bestämmelse. Mot bakgrund av att endast kan förutses lämna information av tämligen övergripande karaktär bedöms den aktuella bestämmelsen dock ge ett tillräckligt skydd. Med begreppet informationssäkerhet avses vanligen säkerhet beträffande informationstillgångar med avseende på förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet samt spårbarhet. Informationssäkerhet handlar om att säkra informationstillgångar, nätverk och dess information, i syfte att skydda olika värden såsom nationell och internationell säkerhet, ekonomisk tillväxt och personlig integritet. Begreppet innefattar både organisatorisk styrning med stöd av bl.a. riskanalyser och informationsklassning samt de tekniska skyddsåtgärder som vidtas utifrån de behov som identifierats. De risker i informationssäkerhet som finns i det centrala betalningssystemet beror dels på förekomsten av sårbarhet i systemen, dels på förekomsten av antagonistiska eller andra hot mot systemen. Hoten kan vara av såväl intern som extern karaktär. Enligt MSB och () har det skett en markant ökning av antalet IT-angrepp gentemot alla nivåer och funktioner i samhället.1 Exempel på tillvägagångssätt är dataintrång, bedrägerier och spridning av skadlig kod. Alltfler IT-angrepp kommer från resursstarka och kunniga aktörer som har uttalade mål och syften med sina angrepp. Dessa blir alltmer sofistikerade och riktade och samhällets sårbarheter utnyttjas på ett systematiskt sätt av antagonistiska aktörer. Bakomliggande aktörer kan utgöras av enskilda individer, men också av organiserad brottslighet, terrorister och statsmakter. Den finansiella sektorn är ett naturligt mål för olika typer av angrepp då verksamheten hanterar stora värden. De delsystem som utgör det centrala betalningssystemet är komplexa och i stor utsträckning integrerade med varandra. Det ömsesidiga beroendet är stort. Det medför att det är svårt att vara 1 Se t.ex. Utformning av ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infrastruktur, FRA 03200:3419/10:11, s. 3. helt oberoende i arbetet med informationssäkerhet. Alla är beroende av leverantörer, program, kommunikationer och av övriga aktörer i respektive system, till följd av verksamhetens karaktär. Vissa funktioner utförs i andra länder. Det påverkar i hög grad förutsättningarna för arbetet med informationssäkerhet. Olika aktörer måste samverka för att uppnå en tillfredsställande säkerhetsnivå. Ofta framhålls också att informationssäkerhet inte enbart handlar om att hantera risker och hot. En god informationssäkerhet skapar också bättre förutsättningar för förtroende och möjliggör ett bättre utnyttjande av informationsteknikens potential. Det bidrar till god etik genom att förhindra otillbörlig åtkomst av information och värden. () har publicerat en vägledning för användare vid anskaffning av robust elektronisk kommunikation.2 Med robusthet menas i detta sammanhang förmågan att motstå störningar och avbrott samt förmågan att minimera konsekvenserna om de ändå inträffar. Syftet är att ge stöd till myndigheter, företag och andra som anskaffar elektroniska kommunikationstjänster. Vägledningen ger råd för att vid upphandling kunna ställa relevanta krav på tillgänglighet i avtal med berörda leverantörer. Förutom avtal om krav på tillgänglighet och åtgärdstid, bör enligt PTS avtalen även omfatta krav på information från operatörer vid bl.a. störningar. PTS betonar också att vid användning av molntjänster är det viktigt att klargöra såväl prestanda och tillgänglighet som hur konfidentiell och hemlig information skyddas. Rapporten är med kontinuerlig uppdatering ett värdefullt verktyg vid anskaffning av tjänster för elektronisk kommunikation. Det har inte varit en uppgift för utredningen att utföra en djupare värdering av informationssäkerheten. Den redovisning av nuläget som ges i rapporten 2010/1619 gör det inte möjligt att bedöma på vilken nivå som informationssäkerhetsarbetet befinner sig på hos aktörerna i det centrala betalningssystemet. Mot bakgrund av sårbarheten och de hot som finns mot säkerheten i centrala betalningssystemet vill utredningen lyfta fram två typer av åtgärder som bedöms angelägna för att såväl internt som externt möjliggöra en kontinuerligt hög säkerhetsnivå och en ökad förmåga att snabbt reagera på incidenter och störningar av olika slag som kan utgöra hot mot verksamheten. 2 Robust elektronisk kommunikation – vägledning för användare vid anskaffning, PTS-ER-2011:16. 9.2Systematiskt säkerhetsarbete med stöd av ISO 27000 som ansvarig nationell samordnare bör föreskriva att aktörerna i det centrala betalningssystemet ska bedriva ett systematiskt informationssäkerhetsarbete utformat efter de senast gällande nationella och internationella standarderna ISO/IEC 27001 och 27002. Den enskilt mest vitala faktorn för att upprätthålla funktionerna i det centrala betalningssystemet är det utbyte av information som sker inom och mellan de deltagande aktörerna. Skyddet av informationen och de tekniska lösningar som används för att hantera informationen måste därför utformas så att det både förebygger att allvarliga störningar uppstår och att väsentliga funktioner kan upprätthållas även då en krissituation uppstått. Informationssäkerheten måste också utformas så att den är tilllämplig i förhållande till olika typer av risker och hotbilder. Uppenbara hot kan vara avbrott i tillgängligheten, orsakad av exempelvis större avbrott i den nationella kraftförsörjningen, avbrott i det elektroniska kommunikationsnätet eller i andra infrastrukturella faktorer. En lika relevant hotbild kan vara en tillitskris, t.ex. om det centrala betalningssystemet och dess avnämare förlorar förtroendet hos kunder och andra aktörer. En sådan situation kan uppstå om informationen i det centrala betalningssystemet kan förutsättas vara korrekt eller om den blivit tillgänglig för obehöriga. För att få ett ändamålsenligt skydd krävs alltså inte bara robusthet definierat som tillgänglighet utan även skyddsåtgärder för konfidentialitet, riktighet och spårbarhet. Krisberedskap förutsätter ett långsiktigt och systematiskt arbete med informationssäkerhet under normala förhållanden. Systematik ger möjlighet att hantera den dynamiska hotbilden och vidta rätt åtgärder vid olika typer av allvarliga störningar eller kriser. Stödet för att genomföra ett systematiskt informationssäkerhetsarbete har för allt fler organisationer i världen blivit den internationella standardfamiljen för informationssäkerhet ISO 27000. I har MSB utfärdat en föreskrift stadgas att statliga myndigheter ska tillämpa ett ledningssystem för informationssäkerhet vilket bl.a. innebär att varje myndighet ska upprätta en policy och andra styrande dokument för informationssäkerhet.3 Dessutom innebär föreskriften att myndigheternas arbete med informationssäkerhet ska bedrivas i former som följer ISO/IEC 27001 och 27002. som ansvarig nationell samordnare bör enligt utredningen föreskriva att aktörerna i det centrala betalningssystemet ska bedriva ett systematiskt informationssäkerhetsarbete utformat efter de senast gällande nationella och internationella standarderna ISO/27001 och 27002. Utredningen förutsätter att föreskriftsarbetet i denna del sker efter samråd med MSB. ISO 27000-serien ger ett välstrukturerat arbetssätt vad gäller den interna kontrollen över informationssäkerheten. Standarderna är utvecklade på internationell nivå. De bedöms som kostnadseffektiva. Effekten av föreskriften har ännu ej utvärderats på ett mer genomgripande sätt. Intrycket är dock att föreskriften inneburit ett stöd för en förbättrad informationssäkerhet inom myndighetssfären. Även om föreskriften enbart gäller statliga myndigheter har synsättet en motsvarighet inom andra samhällsområden. Inom exempelvis vård och omsorg har utfärdat föreskrifter med liknande innehåll.4 Inom den finansiella sektorn har gett ut ett allmänt råd om intern kontroll i finansiella institut.5 I en kritisk situation för det centrala betalningssystemet krävs ett friktionsfritt samarbete mellan flera, ibland ett stort antal aktörer. Ur denna aspekt skulle gemensamma begrepp och metoder underlätta samordning om allvarliga störningar skulle uppstå. Utredningen bedömer det lämpligt att i föreskrift ange att ett systematiskt informationssäkerhetsarbete ska bedrivas av det centrala betalningssystemets aktörer enligt de nationella och internationella standarderna ISO/IEC 27001 och 27002. Det innebär bl.a. ledningssystem hos varje aktör, i enlighet med ansvarsprincipen, med klart definierade ansvar och roller för informationssäkerhet, systematiskt arbete med riskanalyser och informationsklassning. Eftersom grundtanken i ISO/IEC 27001 och 27002 är att ledningssystemet ska anpassas efter organisationens interna och externa krav på informationssäkerhet bedöms inte konsekvenser i form av 4SOSFS 2008:14, föreskrifter om informationshantering och journalföring i hälso- och sjukvården. 5FFFS 2005:1, Allmänna råd om styrning och kontroll av finansiella företag. krav på resurser bli stora för de berörda aktörerna. Denna bedömning stärks av att ett flertal av de krav som ställs ur ett informationssäkerhetsperspektiv redan formulerats i andra externa kravställningar inom bank- och finanssektorn, som exempelvis BIS- och IOSCO-rekommendationerna och förslaget till CPSS/IOSCO- rekommendation.6 Andra krav eller rekommendationer kan komma att utfärdas inom ramen för EU-medlemskapet. Det ankommer på att följa utvecklingen inom dessa organisationer. Utredningen föreslår en förstärkning av CERT-SE vid Myndigheten för samhällsskydd och beredskap med kompetens för incidenthantering rörande det centrala betalningssystemet. I ett inledningsskede av ett säkerhetsintrång kan det generellt vara svårt att bedöma karaktären, syftet, omfattningen och ursprunget till det som sker. Det kan röra sig om virus eller trojaner av mera trivialt slag men också utgöra inslag i mera omfattande och allvarlig kriminell aktivitet, t.ex. ekonomisk brottslighet. Erfarenheter från andra länder visar också att terrorism eller säkerhetspolitisk antagonism kan syfta till att lamslå ett samhälles funktionsförmåga genom IT-relaterade störningar eller angrepp. Inga incidenter har inträffat som tyder på att en angripare med samordnade medel söker påverka svenska samhällskritiska system på bred front. Det behöver dock inte betyda att hotbilden inte existerar vare sig nu eller . Centrala betalningssystemet kan inte uteslutas som mål för sådana angrepp. Samhällsviktiga funktioner som centrala betalningssystemet ska så långt möjligt skyddas från störningar. Varje avbrott bör vara begränsat, sällan förekommande, hanterbart, isolerat och i så liten utsträckning som möjligt skadligt. Kraven på administrativ och teknisk informationssäkerhet måste därför ställas högt. Syftet med IT-incidenthantering är att i realtid eller nära realtid medverka till att attacker mot datasystem avstyrs och upphör. 6 for , , , High-level principles for business continuity, , samt Principles for Financial Market Infrastructures, Final draft of the Consultative Report, of the for Financial Market Infrastructures, . dentstödet ska ha överblick och kunskaper om IT-hot och informationssäkerhet i ett helhetsperspektiv samt förmåga att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Kvalificerad rådgivning ska kunna lämnas. Det förutsätter att incidenthanteringsfunktionen skapar och upprätthåller kontakter på många områden, såväl nationellt som transnationellt. Medlemskap bör eftersträvas i de internationella nätverk som finns för incidenthantering och som sprider information och varningar om risker och sårbarheter, såsom FIRST (Forum of Incident Response and Security Teams) och TF-CSIRT (Task Force – Collaboration of Security Incident Response Teams). Incidenthantering måste bygga på snabb reaktion och tidskritisk rådgivning. Incidenthanteringsfunktionen CERT-SE vid MSB var fram placerad vid med namnet Sitic (). Den har det övergripande ansvaret för att hantera och mildra effekter av IT-incidenter av alla slag i . CERT-SE är nationella CSIRT (Computer Security Incident Response Team) med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Verksamheten är konkurrensneutral och riktar sig till såväl näringsliv som offentlig sektor. Bland de uppgifter incidenthanteringen bidrar med kan nämnas insamling och analys av data, rekommendationer kring återställande av system, rådgivning vid genomgång av rutiner och policyer, metodikstöd samt länkar till mer information. CERT-SE är som stats-CSIRT medlem i FIRST och TF-CSIRT. Härav följer ett mandat att vara nationella kontaktpunkt för CSIRT-ärenden. Många incidenter är transnationella till sin natur. Enligt instruktionen för Myndigheten för samhällsskydd och beredskap framgår att myndigheten ska stödja och samordna arbetet med samhällets informationssäkerhet och svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter.7 I detta arbete ska MSB: 1.agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder 7 11 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade, 2.samverka med myndigheter med särskilda uppgifter inom informationssäkerhetsområdet, och 3.vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. MSB har tagit fram en nationell hanterandeplan för allvarliga incidenter. Av denna framgår att med allvarlig IT-incident avses en IT- relaterad händelse som avviker från det normala och 1.innebär en allvarlig störning i samhällsviktig verksamhet samt 2.kräver skyndsamma och samordnande insatser på nationell nivå. Den nationella hanterandeplanen är interimistisk och ska utvecklas innan den fastställs. Två av de centrala processerna i planen är att skapa en lägesbild över allvarliga IT-incidenter samt att arbeta med en nationell operativ samverkansfunktion (NOS) för att öka samarbetet mellan olika aktörer i händelse av en allvarlig IT-incident i samhället. NOS bygger på ansvarsprincipen, vilket innebär att ingen aktör som är involverad i NOS tar över en annan aktörs ansvar för att hantera en IT-incident. En viktig bas i den nationella operativa samverkansfunktionen är CERT-SE. CERT-SE har utvecklat sin kompetens under snart och har förmåga inom metod och de tekniker som finns i kärnan av en IT-incident. Det finns beredskap dygnet runt, , 24/7/365. Bland de anställda finns tekniker med kompetens för rådgivning och för att lösa problem i samband med IT-incidenter. Antalet anställda är ett drygt tiotal. Funktionen har inte djupkunskaper inom alla de verksamhetsområden som kan drabbas, utan fokuserar på de tekniker som orsakar problem eller används för att skapa hot. Under en pågående IT-incident arbetar CERT-SE:s experter med den drabbade organisationens personal för att hantera situationen. De drabbade bistår själva med expertkunskap inom sitt verksamhetsområde. Vid behov tas kontakt med andra nationers CSIRT med djupare kunskaper inom ett givet verksamhetsområde. I (Fi 2010/1619) föreslogs att som en följd av det föreslagna nationella samordningsansvaret även skulle få ansvar för att samordna IT-incidentrapporteringen inom det centrala betalningssystemet. Förslaget har i denna del avstyrkts av i stort sett alla remissinstanser, även av . Flera har påpekat att CERT-SE vore den mest naturliga basen för en förstärkt och samordnad incidenthantering för det centrala betalningssystemets aktörer. I perspektivet av att det behövs ytterligare kapacitet för IT-inci- denthantering inom ett område, finns det flera olika sätt att gå tillväga. En är att bredda en central CSIRT:s kunskaper inom området, en annan att inrätta en speciell CSIRT för området. Båda metoderna har för- och nackdelar, som kan exemplifieras med CERT-SE som den centrala CSIRT:en. Att utöka CERT-SE:s kapacitet inom ett område som den finansiella sektorn innebär att utöka personalen med individer som har expertkunskaper om sektorn. Personerna bör ha goda kontaktnätverk inom området och helst ha arbetat inom flera olika verksamheter inom sektorn. CERT-SE:s kunskaper och kontakter kan förväntas öka direkt och effekterna är sannolikt omedelbara. blir dock personerna en del av CERT-SE och den kontinuerliga uppdateringen av kontakter och kunskaper om det centrala betalningssystemet kan rimligen komma att mattas en del. Alla CSIRT med nationellt ansvar är vana vid att arbeta både som experter och som koordinatorer. CERT-SE skulle med förstärkta resurser kunna arbeta i båda rollerna även mot den finansiella sektorn. Att inrätta en speciell CSIRT inom finansområdet kan vara ett sätt att bibehålla den mycket nära kontakten med sektorn. En sådan CSIRT kommer av naturliga skäl att vara mera specialiserad på de specifika system och problem som kan finnas inom det centrala betalningssystemet. Den kan dessutom få ett anpassat mandat för att bättre kunna följa övriga bestämmelser inom området. Det är faktorer som kan främja en öppen och förtroendeskapande kommunikation på ett positivt sätt. På den negativa sidan av en sådan konstruktion kan räknas in det betydande arbetet och kostnaderna för att etablera en ny CSIRT. En nackdel kan också bli att vissa incidenter kanske inte längre kommer till CERT-SE:s kännedom, dvs. bidrar inte till den övergripande lägesbilden. Vilket av alternativen som föredras beror på behovet av en särskild funktion för det centrala betalningssystemet och vilka resurser man är beredd att avsätta för ändamålet. En tänkbar utvecklingslinje för en CSIRT för det centrala betalningssystemet och möjligen också en större del av den finansiella sektorn skulle enligt utredningen kunna vara att initialt utöka CERT-SE med personal och kunskaper från det centrala betalningssystemet och kunna utnyttja den tekniska kompetens som finns inom CERT-SE. I ett senare skede, om behov finns, bör det vara möjligt att inrätta en separat CSIRT för det centrala betalningssystemet eller en större del av den finansiella sektorn. Eftersom MSB är en samordnande myndighet utan sektorsansvar för krisberedskap, är det logiskt om en sektors-CSIRT för den finansiella sektorn senare upprättas utanför MSB, exempelvis inom . En lösning med resursförstärkning inom ramen för CERT-SE skulle ge denna funktion möjligheter att öka sina kunskaper och kompetens inom det finansiella området och bidra med värdefullt stöd till det centrala betalningssystemets aktörer. CERT- SE bör i så fall ha uppdraget att översiktligt rapportera till , och övriga aktörer inom det centrala betalningssystemet.