sou · GZB378 · 2011-12-01 00:00:00 — Det är därför viktigt att identifiera de kritiska beroenden som måste vara tillgodosedda för att det centrala betalningssystemet ska fungera. De viktigaste av dessa beroenden hänför sig till infrastruktur- tjänster som el, tele- och datakommunikation samt reservsystem av den typ som nämndes ovan. Det är nödvändigt att man preciserar kraven på dessa system. I det följande ges några exempel på hur detta kan ske. Ett nästan självklart krav är att alla aktörer i det centrala betalningssystemet ska ha tillgång till reservkraft och dubbla ingångar för strömmatning. Det är dock väsentligt att kapaciteten hos reservkraftsystemen är tillräcklig för att hålla igång alla de funktioner hos den berörda aktören som är nödvändiga för att det centrala betalningssystemet ska fungera på den nivå som är fastställd. Det är också nödvändigt att reservkraften har tillräcklig uthållighet. En uthållighet om 3–är inte tillräcklig, såvida inte aktörerna har avtal om säker tillförsel av drivmedel. Uthålligheten bör anges i veckor snarare än med innebörden att även drivmedelsavtal med prioritet är nödvändiga för att uppnå en tillräcklig uthållighet. Dessutom är det nödvändigt att reservkraften prövas ofta och att personalen har tillräcklig utbildning för att få systemet att fungera. Det finns många exempel på reservkraftsystem från olika samhällsområden som inte har gått igång som planerat vid ett strömavbrott. Störningståliga tele- och datakommunikationer med andra viktiga aktörer i det centrala betalningssystemet har också en avgörande betydelse för att betalningssystemet ska fungera i en krissituation. De möjligheter som står till buds för en enskild aktör i systemet är att ha tillgång till alternativa kommunikationsvägar. Detta krav verkar vara tillgodosett i stor utsträckning hos aktörerna i det centrala betalningssystemet. Det finns dock anledning att följa de råd som lämnas i den vägledning för användare vid anskaffning av robust elektronisk kommunikation som har utarbetats av Post- och telestyrelsen.7 Ytterligare ett krav i detta sammanhang är att varje aktör bör ha en tydlig policy för vilken typ av information som kan förmedlas via Internet och vilken information som måste förmedlas via slutna nätverk. I detta ligger också att känsliga system måste vara så skyddade att de inte kan nås via Internet ens vid kvalificerade intrångsförsök. Vad gäller de interna IT-systemen finns det anledning att ha en hög ambitionsnivå beträffande informationssäkerheten. Den betydelse som det centrala betalningssystemet har för samhället ökar i sig risken för att de deltagande aktörernas IT-system ska utsättas för cyberattacker och andra typer av intrångsförsök. 7 Robust elektronisk kommunikation – vägledning för användare vid anskaffning. av nuläget som ges i rapporten 2010/1619 gör det inte möjligt att bedöma på vilken nivå som informationssäkerhetsarbetet befinner sig hos de aktörer som bär upp det centrala betalningssystemet. MSB har i sitt remissvar på rapporten 2010/1619 framhållit att det informationssäkerhetsarbete som bedrivs vad gäller det centrala betalningssystemet bör kopplas till det generella arbete som bedrivs på nationell nivå beträffande informationssäkerhetsfrågor och till den nationella hanterandeplan för allvarliga IT- incidenter som MSB har tagit fram. MSB riktar också kritik mot rapporten för att den inte har analyserat konsekvenserna av tillräckligt allvarliga kriser inom informationssäkerhetsområdet. Myndigheten föreslår också att informationssäkerhetsarbetet inom det centrala betalningssystemet ska bedrivas enligt de nationella och internationella standarderna ISO/IEC 27001 och 27002. Dessa krav bör beaktas i det informationssäkerhetsarbete som bedrivs vad gäller det centrala betalningssystemet. Dessutom bör de krav som ställs i de s.k. CPSS/IOSCO-rekommendationerna om att reservsystem ska kunna startas iakttas. Utredningen finner detta mål rimligt och konstaterar att det tillämpas av flera aktörer som kan förväntas komma att ingå i det centrala betalningssystemet. Utredningen återkommer till informationssäkerhetsfrågorna i kapitel 9. I utredningens direktiv framhålls att utredningen ska beakta de krav som ställs i säkerhetsskyddslagstiftningen. En striktare tillämpning av dessa krav kan t.ex. medföra att personalkontroll genom Säkerhetspolisens försorg genomförs för alla nyckelbefattningar inom det centrala betalningssystemet (också hos privata aktörer). Ytterligare ett exempel på säkerhetsåtgärder som bör övervägas är nivån på skalskyddet för lokaler som används för verksamhet som är väsentlig för det centrala betalningssystemet. För viktiga delar av det centrala betalningssystemet bör dessutom en eller två alternativa driftsplatser finnas. Också personalförsörjningen i krissituationer bör beaktas. En pandemi kan under olyckliga omständigheter slå hårt mot nyckelpersoner i det centrala betalningssystemet. Genomgången visar att det finns ett antal åtgärder som bör vidtas för att skydda de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Den redovisning som har gjorts i rapporten 2010/1619 visar att en del har gjorts. Det är väsentligt att de åtgärder som ytterligare behöver vidtas samordnas mellan de olika aktörerna i det centrala betalningssystemet. Utan en gemensam syn på vilka skyddsåtgärder som behöver vidtas är risken stor att det uppstår svaga punkter i systemet som under olyckliga omständigheter kan ge upphov till störningar och haverier alternativt utnyttjas av sabotörer eller terrorister. 5.8Förslag till grundläggande säkerhetskrav på det centrala betalningssystemet i en krissituation Utredningen konstaterar att risk- och sårbarhetsanalyser och kontinuitetsplanering båda bör användas av aktörerna i det centrala betalningssystemet. Dessa metoder kompletterar varandra på ett värdefullt sätt. Av avsnitten 5.6 och 5.7 har framgått att de säkerhetskrav som bör ställas på det centrala betalningssystemet bör utformas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Av avsnitt 5.5 har dessutom framgått att det centrala betalningssystemet bör ha förmåga att hantera alla de kriser som identifieras i den risk- och sårbarhetsanalys som bör utarbetas för systemet. Risk- och sårbarhetsanalysen bör utföras i enlighet med de föreskrifter som finns för sådana analyser inom krisberedskapen. Mot denna bakgrund kan de grundläggande säkerhetskraven på det centrala betalningssystemet i en krissituation formuleras som följer: 1.Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas som gör det möjligt att i ett krisläge prioritera de viktigaste transaktionerna. 4.Principer och metoder för att identifiera och i ett krisläge prioritera de viktigaste transaktionerna ska utvecklas. Ovanstående funktionskrav bör kombineras med krav på de tekniska system och de skyddsanordningar som det centrala betalningssystemet är beroende av för att fungera. I avsnitt 5.7 redovisades ett antal exempel på hur sådana krav kan utformas. I lagstiftningen finns det anledning att uttrycka sig mer generellt vid utformningen av dessa krav. Man bör begränsa sig till att ange att det bör finnas reservförfaranden för viktiga system som gör det möjligt att uthålligt upprätthålla funktionen hos det centrala betalningssystemet. bör man i lagstiftningen peka ut en myndighet som ges befogenhet att utfärda föreskrifter om vilka krav som bör ställas på de reservförfaranden som bör tillämpas av det centrala betalningssystemets aktörer. Som framgår av kapitel 7 anser utredningen att bör tilldelas detta ansvar. I dessa föreskrifter finns det anledning att vara konkret och så långt som möjligt kvantifiera de krav som ställs på de reservförfaranden som ska användas. Vid genomförandet av de säkerhetskrav som ställs på det centrala betalningssystemet bör ansvarsprincipen tillämpas. Det innebär att varje aktör i systemet ska svara för att den egna verksamheten bedrivs i enlighet med de övergripande krav som ställs. Berörda aktörer behöver därför ha en kvalificerad och väl utbyggd kontinuitetsplanering. har utgett en vägledning för kontinuitetsplanering inom den finansiella sektorn, som fortlöpande bör revideras.8 vägledning ger en god bild av vilka åtgärder som bör genomföras i kontinuitetsplaneringen. är det väsentligt att den myndighet som utfärdar föreskrifterna bedriver sitt arbete i nära samverkan med de viktigaste aktörerna inom det centrala betalningssystemet och med berörda myndigheter. Detta kan bl.a. ske inom ramen för FSPOS och i de samverkansområden som finns inom krisberedskapen. De grundläggande säkerhetskrav som bör ställas på det centrala betalningssystemet i en krissituation kan sammanfattas som följer: 1.Det centrala betalningssystemet ska i alla de krissituationer som identifieras i en risk- och sårbarhetsanalys som genomförs enligt de 8 Vägledning vid kontinuitetsplanering – processen och planen. 2005 (dnr 05-1250-040). metoder som tillämpas inom krisberedskapen ha förmåga att avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas förberedd som gör det möjligt att i ett krisläge prioritera de viktigaste transaktionerna. Principer och metoder för att identifiera och prioritera dessa transaktioner ska finnas tillgängliga. 4.En myndighet – – ska ges befogenhet att utfärda föreskrifter för de reservförfaranden och säkerhetsanordningar som ska tillämpas av det centrala betalningssystemets aktörer i syfte att tillse att de krav som anges i punkterna 1-3 kan tillgodoses också vid omfattande och långvariga störningar i den tekniska infrastruktur som det centrala betalningssystemet är beroende av. Den privat-offentliga samverkan som behöver ske vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet bör även i fortsättningen hanteras inom ramen för samarbetet inom FSPOS. Utan de privata aktörerna i det centrala betalningssystemet skulle detta system inte fungera. En väl utvecklad privat-offentlig samverkan är därför angelägen och nödvändig för det centrala betalningssystemets funktion både under normala förhållanden och under kriser. Ansvarsprincipen bör vara utgångspunkten för den privatoffentliga samverkan som sker inom det centrala betalningssystemet. Detta innebär att varje aktör ska behålla ansvaret för den egna verksamheten i en krissituation och genomföra de krisberedskapsåtgärder som är nödvändiga för att upprätthålla verksamheten i en sådan situation. Privat-offentlig samverkan med inriktning på krisberedskapsåtgärder inom den finansiella sektorn sker inom ramen för den finansiella sektorns privat-offentliga samverkansorgan, FSPOS. Det gäller också den samverkan som avser det centrala betalningssystemet. Samarbetet inom FSPOS anses generellt fungera väl. FSPOS framhålls ofta som ett gott exempel på en väl fungerande privat-offentlig samverkan inom krisberedskapen. finns det också en etablerad ansvarsfördelning mellan FSPOS och samverkansområdet SOES. I SOES ingår myndigheter som har krisberedskapsuppgifter med inriktning på ekonomisk säkerhet. Dessa verksamheter kompletterar därför varandra på ett bra sätt. Av dessa skäl bör man undvika att skapa nya former för privatoffentlig samverkan vid sidan av FSPOS vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet. Den privat-offentliga samverkan som behöver ske vad gäller krisberedskapsåtgärder beträffande detta system bör även i fortsättningen hanteras inom ramen Att koncentrera det privat-offentliga samarbetet till ett samverkansorgan gör det dessutom lättare att hantera de beroendeförhållanden som finns mellan det centrala betalningssystemet och övriga delar av den finansiella verksamheten. FSPOS leds av en styrelse. bestod styrelsen av representanter för , Bankgirocentralen, Euroclear , , , , , , , , , och Svensk Försäkring. Styrelsens ordförande har hämtats från . Det praktiska arbetet inom FSPOS bedrivs i ett antal arbetsgrupper. fanns arbetsgrupper för betalningsförmedling, information (i kriser), kritisk infrastruktur, grundläggande säkerhetsnivåer samt övning. MSB tillhandahåller en kanslifunktion för FSPOS. MSB bidrar också till verksamheten i arbetsgrupperna med medel från krisberedskapsanslaget. FSPOS bedrevs från början i projektform men permanentades . Parallellt med utredningens arbete har FSPOS utarbetat en strategi för forumets långsiktiga krisberedskapsarbete som sträcker sig till och med . Arbetet kommer att drivas inom de befintliga arbetsgrupperna. Dessutom avser FSPOS att ha ett mer uttalat fokus på omvärldsbevakning och internationella erfarenheter, risk- och sårbarhetsanalyser, informationssäkerhet samt utarbetande av en särskild övningsstrategi. Denna utökning kan komma att innebära att nya arbetsgrupper utses inom FSPOS. Sammanfattningsvis finns en väl utbyggd privat-offentlig samverkan i krisberedskapsfrågor inom den finansiella sektorn. Denna samverkan omfattar de viktigaste aktörerna inom sektorn och utövas framförallt via FSPOS. Det finns därför anledning att slå vakt om samarbetet inom FSPOS och att inte skapa konkurrerande samverkansstrukturer vid sidan av FSPOS. Den privat-offentliga samverkan som krävs vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet bör därför även i fortsättningen bedrivas inom ramen för FSPOS. I rapporten 2010/1619 föreslås att statsmakterna beslutar att införa ett nationellt samordningsansvar för krisberedskapsåtgärder inom det centrala betalningssystemet och att detta ansvar läggs på . Det nationella samordningsansvaret föreslås omfatta följande uppgifter vad gäller det förebyggande arbetet: leda privat-offentlig samverkan, leda och genomföra övningar, ansvara för teknisk granskning av gränssnitt, ansvara för att IT-incidentrapporteringen samordnas, ansvara för att det löpande upprättas en aggregerad risk- och sårbarhetsanalys, ansvara för att det upprättas en årlig lägesrapport till regering/riksdag om krisberedskapen i de centrala delarna av betalningssystemet, planera för informations- och kommunikationssamordning vid kriser samt övervaka den föreslagna regleringen. Dessutom föreslås den samordningsansvariga myndigheten få vissa övergripande uppgifter vid en akut kris. Dessa uppgifter definieras dock inte närmare. I rapporten uttalas endast att utgångspunkten bör vara att ansvarsprincipen gäller. Detta anses innebära att den samordningsansvariga myndigheten vid en akut kris ska övervaka situationen, ge stöd och vara rådgivande, samla in uppgifter samt rapportera till MSB och regeringen. I detta kapitel behandlas behovet av samordning vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet, nuvarande system för samordning av sådana åtgärder samt olika sätt att organisera en förstärkt samordning av de krisberedskapsåtgärder som avser det centrala betalningssystemet. 7.2Behov av samordning av krisberedskapsåtgärder Behovet av att samordna de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet har ytterst att göra med att olika aktörer inom detta system är beroende av varandra och att de krisberedskapsåtgärder som vidtas av dessa aktörer måste ligga på en sådan nivå att de mål som sätts för systemets samlade prestationsförmåga i ett krisläge kan uppnås. Brister i samordningen kan medföra att åtgärder som är nödvändiga för att det centrala betalningssystemet ska fungera i ett krisläge inte vidtas eller att nivån på genomförda åtgärder är ojämn. I det senare fallet skapas svagheter i beredskapssatsningarna som kan påverka betalningssystemets samlade prestationsförmåga i ett krisläge. Behov av samordning finns också beträffande de operativa åtgärder som vidtas under en pågående kris. I detta fall är dock tidsperspektiven betydligt kortare och möjligheterna att kompensera för eventuella brister i vidtagna beredskapsåtgärder begränsade eller obefintliga. Behovet av att samordna såväl beredskapsåtgärder som operativa åtgärder under en kris är större inom det centrala betalningssystemet än inom många andra verksamheter. Anledningen är att systemet omfattar ett antal aktörer vars verksamheter är nödvändiga för att systemet ska fungera och där ett bortfall av en aktör kan få långtgående konsekvenser för systemet som helhet. Betydelsen av detta förstärks av att hela det finansiella systemet är beroende av att det centrala betalningssystemet fungerar. Brister i beredskapen hos en aktör kan därför få omfattande spridningseffekter inom hela den finansiella sektorn. Av dessa skäl måste höga krav ställas på samordningen av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. 7.3Nuvarande system för samordning av krisberedskapsåtgärder saknas ett system som är direkt inriktat mot samordning av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. Myndigheter som har krisberedskapsuppgifter med inriktning mot den finansiella sektorn och som omfattas av krisberedskapsförordningen samordnar dock sitt arbete inom ramen för SOES.1 ingår dock inte i SOES. Flera av de privata aktörer som har uppgifter inom det centrala betalningssystemet är direkt eller indirekt företrädda i FSPOS.2 Arbetet inom FSPOS avser privat-offentlig samverkan vad gäller krisberedskapsfrågor som omfattar hela den finansiella sektorn. FSPOS har inga operativa ledningsuppgifter vare sig i ett normalläge eller i en krissituation. deltar i arbetet inom FSPOS. genomförde () en samverkansövning som avsåg en kris i det finansiella systemet (SAMÖ-08). Det scenario som låg till grund för SAMÖ-08 omfattade en organiserad IT-attack mot de finansiella systemen i samhället. I övningen deltog flertalet myndigheter inom SOES och ett antal privata aktörer från den finansiella sektorn. SAMÖ-08 visade att det fanns ett antal brister i samverkan mellan de deltagande aktörerna.3 Bl.a. prioriterade dessa inte samverkan utanför befintliga nätverk. De hade inte heller tillräckliga kunskaper om varandras mandat. Dessutom kunde man inte skapa en gemensam lägesuppfattning och oklarhet rådde om KBM:s roll och ansvar vid en finansiell kris. I rapporten 2010/1619 redovisas vissa störningar som har inträffat i det centrala betalningssystemet . Dessa har dock tack vare väl fungerande reservförfaranden kunnat begränsas till systemet som sådant och har därför inte fått några samhällseffekter. 1SamverkansOmrådet Ekonomisk Säkerhet. 2Den Finansiella Sektorns Privat-Offentliga Samverkansgrupp. 3Utvärdering av Samverkansövning 2008. KBM dnr 1470/2007. 7.4Innehållet i ett förstärkt samordningsansvar för krisberedskapsåtgärder Inledningsvis kan konstateras att det finns många typer av samordningsansvar inom statsförvaltningen och att dessa ansvar i många fall också får konsekvenser för en myndighets krisberedskapsansvar. Ett exempel är det s.k. sektorsansvaret. Det finns ingen enhetlig definition av vad som avses med ett sektorsansvar och de sektorsansvar som förekommer inom statsförvaltningen har också ett mycket varierande innehåll. Däremot utarbetar de myndigheter som uppfattas ha någon typ av sektorsansvar i regel en risk- och sårbarhetsanalys som både omfattar den egna myndighetens och den berörda sektorns verksamhet. Ett exempel på detta är vars risk- och sårbarhetsanalys är uppdelad i en del som avser myndighetens egen verksamhet och en del som avser verksamheten inom energisektorn. Så kallat nationellt samordningsansvar för krisberedskapsåtgärder har införts för som har ett sådant ansvar för livsmedels- och dricksvattensförsörjningen. I detta ansvar ingår bl.a. att identifiera centrala aktörer inom området, bilda nätverk för samråd, analys och planering, övervaka arbetet med risk- och sårbarhetsanalyser avseende livsmedel och dricksvatten samt att bedöma behovet av en formaliserad samverkan med privata aktörer. Fram hade ett antal myndigheter s.k. funktionsansvar för de funktioner som fanns inom det civila försvaret. Bl.a. hade funktionsansvar för funktionen Betalningsväsende. Detta ansvar övertogs därefter av . skulle ha kvar beredskapsansvaret för sin egen verksamhet. I funktionsansvaret ingick bl.a. att samordna planeringen av beredskapsförberedelserna inom funktionen, svara för utbildnings- och övningsverksamhet inom funktionen samt att redovisa beredskapsläget inom funktionen. De samverkansområden som ersatte det civila försvarets funktioner har inte någon fast ansvarig myndighet även om MSB stödjer verksamheten genom att tillhandahålla en kanslifunktion. Samverkansområdet är inte heller någon organisation i sig utan bygger på det samarbete som sker mellan fristående myndigheter med eget ansvar. Det nationella samordningsansvar som föreslogs i rapporten 2010/1619 beträffande det centrala betalningssystemet har till stor del utgått från det nationella samordningsansvar som gäller för livsmedel och dricksvatten. Innehållet i det samordningsansvar som föreslogs beträffande det centrala betalningssystemet beskrevs inledningsvis i detta kapitel. Beträffande det förebyggande arbetet kan konstateras att det i detta arbete också bör ingå att formulera och följa upp grundläggande säkerhetskrav på det centrala betalningssystemet. Utan en sådan uppföljning kan det vara svårt att upprätta den årliga lägesrapport till och regeringen som nämns bland de uppgifter som avses ingå i det nationella samordningsansvaret. Det kan också vara rimligt att utarbeta en särskild risk- och sårbarhetsanalys för det centrala betalningssystemet. Det är dock väsentligt att detta arbete samordnas med motsvarande arbete på . Den risk- och sårbarhetsanalys som har utarbetats av omfattar hela den finansiella sektorn. En uppdelning av ansvaret måste därför ske om det nationella samordningsansvaret för det centrala betalningssystemet läggs på . Beträffande IT-incidentrapporteringen är det väsentligt att man följer de principer som har lagts fast av MSB. Detta motsäger inte att det är väsentligt att samordna detta arbete inom det centrala betalningssystemet i syfte att skapa en god överblick över de IT- incidenter som förekommer. Detta gäller inte minst med hänsyn till att det centrala betalningssystemet kan uppfattas som ett kvalificerat mål också för mycket allvarliga och långtgående cyberattacker. Vid allvarliga kriser i det centrala betalningssystemet är det väsentligt att det finns en krisledningsfunktion med befogenhet att samordna de åtgärder som behöver vidtas för att minska skadeverkningarna och att återupprätta systemets funktion så snabbt som möjligt. I detta sammanhang kan konstateras att det även bör vara en uppgift i det nationella samordningsansvaret att utbilda och öva personal som ska ha uppgifter i krisledningsorganisationen. Sammanfattningsvis bör följande uppgifter ingå i det nationella samordningsansvaret för krisberedskapsåtgärder inom det centrala betalningssystemet: 1.Utforma och följa upp föreskrifter avseende grundläggande säkerhetskrav på det centrala betalningssystemet i en krissituation. 2.Ta fram en risk- och sårbarhetsanalys för det centrala betalningssystemet i enlighet med de anvisningar för risk- och sårbarhetsanalyser som gäller inom krisberedskapen. 3.Leda och samordna beredskapsplaneringen inom det centrala betalningssystemet med inriktning mot de krissituationer som identifieras i risk- och sårbarhetsanalysen.