· H010407 · 2013-06-14 10:53:59 — har frågat mig vilka åtgärder jag avser att vidta mot bakgrund av att FRA nu får läsa innehållet i inhemska mejl, vilket inte är förenligt med att FRA endast får spana på utländska hot.Så är alltså fråga formulerad. Jag vill redan nu säga att frågan är felaktigt formulerad. Tekniskt detekterings- och varningssystem, TDV, handlar om hur vi kan stärka vår informationssäkerhet och därigenom skydda samhällsviktig verksamhet. Jag välkomnar en debatt om detta.Maria Ferms fråga ställs mot bakgrund av en artikel som publicerades i tidningen . Artikeln behandlar det tekniska detekterings- och varningssystem som regeringen uppdragit åt , , att utreda och testa en pilotversion av.Inledningsvis vill jag lägga fast i vilket sammanhang som TDV bör ses. är ett utvecklat it-land och genom detta också sårbart. Många funktioner i vårt samhälle är starkt beroende av fungerande it-infrastruktur och god informationssäkerhet. It-angrepp är vanligt förekommande och omfattar en mängd företeelser, som exempelvis underrättelseinhämtning, industrispionage och påverkan/förstörande angrepp.Myndigheterna ansvarar själva för det grundläggande informationssäkerhetsarbetet. En utgångspunkt i krisberedskapsarbetet är ansvarsprincipen, som innebär att den som ansvarar för en verksamhet under normala förhållanden har motsvarande verksamhetsansvar under allvarliga händelser, kris- och krigssituationer. Principen gäller även för myndigheternas informationssäkerhetsarbete.Det finns ett antal verksamheter som har behov av ett förstärkt skydd mot it-angrepp. Av den anledningen gav regeringen i uppdrag att föreslå ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet. Systemet ska utgöra ett komplement till övrigt informationssäkerhetsarbete i syfte att möta kvalificerade hot från resursstarka aktörer.TDV kan liknas vid ett mer avancerat antivirussystem. Systemet syftar till att detektera och varna för allvarliga, kvalificerade dataintrång i de nätverk som tillhör den skyddsvärda verksamheten. beskrivning av TDV som "FRA:s dataintrångssystem" är felaktig.Enligt 4 § förordningen (2007:937) med instruktion för ska FRA ha hög teknisk kompetens inom informationssäkerhetsområdet. Vidare anges att myndigheten efter begäran får stödja sådana statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig ur sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. Enligt samma bestämmelse ska FRA särskilt kunna stödja insatser vid nationella kriser med it-inslag, medverka till identifieringen av inblandade aktörer vid it-relaterade hot mot samhällsviktiga system, genomföra it-säkerhetsanalyser och ge annat tekniskt stöd.Det är på informationssäkerhetsområdet som TDV bedrivs och inom vilket systemet ska ses. Att, som gör, sammanblanda FRA:s signalspaningsuppdrag med dess uppdrag inom informationssäkerhetsområdet leder därför fel. Användning av TDV innebär inte signalspaning i försvarsunderrättelseverksamhet.TDV avses att bedrivas på frivillig väg och på direkta uppdrag av skyddsvärda verksamheter som behöver ytterligare stöd för att förstärka sin informationssäkerhet. FRA hjälper således dessa verksamheter i deras eget arbete med att förhindra it-angrepp. De aktuella åtgärderna har de skyddsvärda verksamheterna själva rätt att vidta för att skydda sin egen verksamhet och dess information. Det är detta som är syftet med TDV. har vi alla förfasats över massövervakning av medborgares kommunikation via spionprogrammet Prism. De har haft tillgång till stora företags servrar, som och Google, och kunnat läsa medborgares privata konversationer. Eftersom även svenskar och svenska myndigheter använder amerikanska företag för att kommunicera riskerar även svensk kommunikation att övervakas av främmande makt.Men vi ska inte glömma bort hur vi i också massövervakas av myndigheter och att även vi avlyssnar utländska medborgares kommunikation om de passerar gränser. Och vi utbyter information med andra länder. FRA-lagen och datalagringsdirektivet är exempel på det storebrorssamhälle som vi byggt upp även i har alltså byggt upp detekteringssystemet TDV, Tekniskt detekterings- och varningssystem. Det ska upptäcka avancerade it-attacker. Jag vill absolut säga att det är oerhört viktigt att arbeta aktivt med att avslöja och stoppa it-attacker, och cyberbrottsligheten är ett allt större problem. Enligt tidningen bereds frågan på vilka myndigheter som ska anslutas till FRA:s TDV.Detta nya detekteringssystem innebär också att analytiker på kan och får läsa det digitala innehållet när systemet larmar eller om det finns något misstänkt i trafiken som tyder på angrepp. Det innebär att personuppgifter flödar mellan FRA och TDV i båda riktningar. Att innehållet i medborgares kommunikation skulle komma att läsas var precis det som kritiker mot FRA-lagen varnade för liksom att meddelarfriheten och brevhemligheten skulle sättas ur spel. Från regeringens håll försäkrade man då att det inte skulle komma att ske.Detta nya sätt att övervaka innebär en tydlig ändamålsglidning från det som FRA-lagen från början var tänkt att användas för. Uppdraget handlar tydligt om att spana på utländska hot och inte inhemsk kommunikation. Det rimmar illa med TDV. Ministern menar att jag blandar ihop FRA:s signalspaningsuppdrag med dess uppdrag inom informationssäkerhetsområdet, men eftersom personuppgifterna strömmar fritt mellan TDV och FRA är kopplingen tydlig.Det är oroande att FRA, efter överenskommelse med de så kallade TDV-uppdragsgivarna, har för avsikt att använda och behandla personuppgifter som hanteras i TDV-verksamhetens informationssäkerhetsdel i signalspaningsverksamheten och att FRA har för avsikt att använda uppgifter som inhämtas i it-hotsverksamheten i signalspaningsverksamheten i TDV-verksamheten. Det handlar således om ett flöde åt två håll av känsliga personuppgifter och helt utan lagstöd.Datainspektionen menar för övrigt att utgångspunkten i förarbetena har "varit att de aktuella uppgifterna inte används vidare i FRA:s försvarsunderrättelse- eller utvecklingsverksamhet inom ramen för myndighetens signalspaning, utan återsänds till uppdragsgivarna alternativt förstörs".Hur ser egentligen ministern på detta? Anser ministern att det handlar om en ändamålsglidning, att FRA:s verksamhet , precis som människor varnade för, utvidgas till att omfatta områden och myndigheter som inte fanns med från början? Vad tycker ministern om att FRA genom detekteringssystemet får tillgång till TDV:s personuppgifter, och hur är det förenligt med att FRA endast får spana på utländska hot? Som jag redogjorde för i mitt interpellationssvar handlar interpellationen inte om signalspaning i försvarsunderrättelseverksamhet. Det här systemet är någonting annat. Det handlar nämligen om att stärka vår informationsverksamhet. Införandet av ett sådant system innebär inte på något sätt att det sker en ändamålsglidning när det gäller vilka förhållanden signalspaning kan riktas mot. Där håller jag inte alls med . Hela syftet med systemet är att stärka vår informationssäkerhet och därmed skydda samhällsviktig verksamhet och infrastruktur.Bakgrunden till att det här har prövats - det är fortfarande en pilotverksamhet - är att de avancerade it-angreppen blir allt vanligare. De riktar sig mot kommersiella intressen men också mot rent samhällsviktig verksamhet. Mot bakgrund av denna utveckling gav regeringen två olika uppdrag, ett och ett . De handlade om hur informationssäkerheten i samhällsviktig verksamhet skulle kunna stärkas genom TDV.Uppdragen har redovisats i två omgångar. Den första redovisningen, , handlade om hur detta skulle kunna fungera rent tekniskt, och vid den andra redovisningen, , belystes ytterligare aspekter av systemet. Vid redovisningarna föreslog FRA att uppgiften att ta fram och placera ut varningssystemet inledningsvis skulle genomföras i begränsad skala och att rutiner, teknikstöd och samarbetsformer skulle utvecklas efter hand.I budgetpropositionen beskrev och framhöll regeringen att utifrån detta finns det behov av att rutiner, teknikstöd och samverkansformer vidareutvecklas och att förebyggande arbete i kombination med andra skyddsåtgärder, såsom TDV, ökar möjligheterna till skydd. Regeringen anförde också att TDV bör genomföras successivt inom ramen för FRA:s verksamhet i syfte att stärka skyddet för samhällsviktig verksamhet.Vi ska dock komma ihåg att ett fullständigt skydd mot it-angrepp troligtvis aldrig kommer att kunna uppnås, men förebyggande arbete i kombination med andra skyddsåtgärder, såsom ett sådant här varningssystem, ökar möjligheterna. Ändå måste man ha en grund av god informationssäkerhet i sitt arbete. Sedan kan TVD läggas ovanpå detta.Redan i dag hjälper FRA:s informationssäkerhetsavdelning andra myndigheter att analysera deras nätverk och datasystem. Det här skulle kunna göra att man blir ännu bättre på att reagera på intrången, vilket är syftet med hela systemet.Här har regeringen och staten en viktig uppgift att stödja myndigheters verksamhet. Om vi inte gör någonting finns risken att medborgare drabbas av att denna samhällsviktiga verksamhet inte kan fungera.Jag ser alltså inte någon risk för ändamålsglidning, och jag ser fram emot att få utveckla detta i nästa inlägg. Jag skulle ändå vilja säga att det finns en tydlig koppling och sammanblandning. Eftersom de personuppgifter som samlas in via TDV sedan används i FRA:s signalspaningsuppdrag blir det en väldigt tydlig koppling. Personuppgifter som man har fått tillgång till på ett sätt används i en helt annan verksamhet. kom ett yttrande från Datainspektionen angående just detekteringssystemet TDV och användningen av personuppgifter.Datainspektionen ifrågasätter i sitt yttrande till FRA "lämpligheten av att utan uttryckligt stöd i lag eller annan författning bedriva en verksamhet som består i att överföra personuppgifter mellan en verksamhet som FRA bedriver med stöd av 4 § instruktionen för FRA och sådan signalspaning i försvarsunderrättelseverksamhet som myndigheten bedriver med stöd av 1 § i sin instruktion och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Det gäller även om de personuppgifter som utgörs av s.k. Det kan vara e-postadresser, IP-adresser, kodsnuttar och uppgifter om servrar som sparas i så kallade signaturer.Detta är mycket uppseendeväckande. FRA har utbytt personuppgifter med TDV utan laglig grund. Det är en verksamhet, där möjligheten till utomstående insyn är starkt begränsad, som har byggt upp system och skickat personuppgifter mellan verksamheter utan att det finns ett lagstöd för det. Datainspektionen skriver att det är viktigt att det styrande regelverket för FRA är klart och tydligt. Jag håller med om detta. Men tyvärr är det inte så , vilket uppenbarligen utnyttjas. Detta är inte första gången som Datainspektionen kritiserar FRA:s personuppgiftshantering.Något som också oroar mig är hur regeringen ständigt hänvisar till att området är oreglerat och därför måste regleras ytterligare för att motivera massövervakning och stora inskränkningar av den personliga integriteten. Det lät likadant när FRA-lagen debatterades 2008. Då påstods det att var bättre om verksamheten reglerades än att den fortsatte oreglerat. Det som det i praktiken betyder är att FRA bedrev signalspaning även trots att det inte fanns någon laglig grund för det. Man massövervakade även trots att det inte fanns någon laglig grund för det.Det är alltså inte första gången som regeringen sätter i gång en verksamhet utan laglig grund för att sedan driva igenom det i i efterhand. Den utvecklingen oroar mig starkt. Jag skulle vilja ha ett tydligt besked från försvarsministern på hur hon ser på detta agerande. Är det inte mycket allvarligt att verksamheten sker utan stöd i lagen? Vad är TDV och vad innebär det? Det är det man måste veta innan man ska gå in på vilken typ av lagar som ska reglera detta. Självklart ska det finnas ett stöd i lag för allting som görs. Hela den FRA-debatt som vi hade handlade just om en avvägning mellan behovet av att kunna bedriva försvarsunderrättelseverksamhet och det viktiga i att ha så liten inskränkning i den personliga integriteten som möjligt. Vi fick en lagstiftning på plats, och vi har kontroller och kontrollmyndigheter som följer detta.Det här handlar om en annan sak, nämligen om informationssäkerhet och om att för att skydda sig ha ett system för att upptäcka intrång. Det finns en okunskap, och det är inte så konstigt eftersom systemet är en försöksverksamhet.Herr talman! TDV består, förenklat, av en sensor, en kommunikationslösning och en central funktion för analys. TDV placeras så att uppdragsgivarens nätverkstrafik passerar en sensor. Detta system reagerar enbart på intrångsförsök. Skulle ett sådant upptäckas finns det givetvis ett behov av att analysera hur angreppet har gått till och göra en teknisk analys av vad det är som har utlöst larmet.Systemet identifierar enbart skadlig kod och inget annat. När den skadliga koden identifieras skickas larm till systemägaren och till FRA. Sedan kan FRA analysera den skadliga koden. I det fall skadlig kod finns inuti till exempel en fil kan det finnas behov för FRA att ta del av innehållet i hela filen för att komma åt den skadliga koden och analysera den.Hela detta arbete sker på uppdrag av kunden, det vill säga myndigheten eller det statliga bolag som har systemet, och skiljer sig egentligen inte från befintliga antivirussystem som också larmar för inkommande virus. Den stora skillnaden är att det här systemet är mer kapabelt.Det ska föras och förs redan en diskussion om hur denna informationsdelning ska se ut. Det är den delen som Datainspektionen har tagit upp.De legala aspekterna på TDV har belysts i de uppdrag som FRA har redovisat till regeringen. Precis som all annan statlig verksamhet ska denna också utföras i enlighet med det som riksdag och regering har beslutat. Det är av vikt att påtala det tillsynsansvar för personuppgiftshantering som kan förekomma i samband med att skadlig kod upptäcks. Det ligger på Datainspektionen, och här finns en dialog där jag förutsätter att alla dessa frågeställningar diskuteras.Man ska komma ihåg att det kan röra sig om inkommande meddelanden till en myndighet. Vi kan jämföra med hur man skulle göra om det kommer in ett fysiskt brev som man misstänker innehåller något skadligt till en myndighet. Vi måste ha en lagstiftning och lösningar som är teknikneutrala. Det var bland annat därför som hela FRA-lagen antogs.Jag förutsätter att dialogen fortsätter. Vi kommer att ytterligare bereda TDV för att se om det är på det sättet som vi ska fortsätta. Det som är viktigt för mig är att all samhällsviktig verksamhet kan skyddas. Då är TDV ett viktigt redskap. behöver, som ett militärt alliansfritt land, en effektiv underrättelseverksamhet. Signalspaning kan möjligtvis vara ett verktyg i detta, men som FRA-lagen är utformad innebär den oproportionerligt långtgående ingrepp i medborgerliga fri- och rättigheter. utökades dessutom FRA:s signalspaningsuppdrag. kan även Säkerhetspolisen och inrikta signalspaningen.Såväl Datainspektionen som Statens inspektion för försvarsunderrättelseverksamheten, Siun, har gjort uppföljningar av FRA-lagen och påpekat brister i den, bland annat när det gäller hur känsliga personuppgifter hanteras. har ingen riktigt lyckats förklara skälen till att all datatrafik in och ut ur vårt land ska kunna avlyssnas av Försvarets radioanstalt.Jag tackar ministern för debatten. Det är viktigt att vi diskuterar dessa frågor. Det är fullständigt avgörande för hur vi hanterar arbetet mot cyberbrottslighet och terrorism. Jag noterar dock att ministern inte har kommenterat det faktum att personuppgifter flödar fritt i TDV-verksamheten för att förhindra it-brottslighet och används därefter i FRA:s signalspaningsuppdrag. Det innebär definitivt en ändamålsglidning då personuppgifter som från början inte var tänkta att användas i FRA:s signalspaning nu kan användas.Ministern har inte heller kommenterat att Datainspektionen konstaterar att det är en verksamhet som bedrivs utan stöd i lag eller annan författning. Det finns helt enkelt inget lagstöd för en sådan hantering av personuppgifter.Jag hoppas att ministern tar med sig detta och att vi i fortsättningen inte kommer att ha en verksamhet som saknar lagstöd. Balansen mellan å ena sidan vikten av att ha en så god bild som möjligt av dels försvarsunderrättelser, dels hur man ska kunna skydda sin verksamhet så att man kan genomföra sitt uppdrag och å andra sidan eventuella integritetskränkande aspekter på detta är självklart viktig. Vi har på olika sätt i lagstiftningen kommit långt i . Det finns väl fungerande kontrollsystem.Det gäller att inte blanda ihop den kritik som Datainspektionen och Siun riktat mot FRA när det gäller personuppgiftshantering i samband med signalspaningsuppdraget - en kritik som det givetvis är viktigt att vi diskuterar - med det som handlar om TDV-systemet och FRA:s informationssäkerhetsuppdrag. Det vore olyckligt.Här finns ett uppdrag att ständigt utvärdera vad vi gör. Det ska vi också göra, och det är därför vi har kontrollorganen. Siuns uppgift är att kontrollera att försvarsunderrättelseverksamheten bedrivs i enlighet med de lagar som vi har på det här området. Då handlar det om försvarsunderrättelseverksamhet.TDV är inte ett system för signalspaning utan för informationssäkerhet och går in under FRA:s informationssäkerhetsuppdrag.Med detta sagt ser jag ändå positivt på att det finns en dialog mellan FRA och Siun också på detta område, inte minst för att undvika att göra sammanblandningen av en redan svårhanterbar och svårdiskuterad materia ännu större.