· H11041 · 2013-11-05 13:46:05 — har frågat försvarsministern vad hon avser att göra för att en heltäckande konsekvens- och riskanalys för data- och telekommunikation, som täcker krisberedskap och säkerhet, genomförs i den utredning om den statliga kommunikationsinfrastrukturen som regeringen föreslår i sin budgetproposition.Arbetet inom regeringen är så fördelat att det är jag som ska svara på interpellationen.Den grundläggande principen för att säkra en god krisberedskap i samhället är ansvarsprincipen. Principen innebär att den som har ansvar för en verksamhet under normala förhållanden också har det under allvarliga händelser, som kriser eller krig. I ansvarsprincipen ingår ett tydligt ansvar för att samverka och samordna sin verksamhet med andra aktörer så att allvarliga händelser kan förebyggas och hanteras.Post- och () har som myndighet ett särskilt ansvar för att planera och vidta åtgärder för att på förhand skapa en förmåga att hantera kriser, för att förebygga sårbarheter och för att motstå hot och risker. Inom ramen för det ansvaret gör PTS risk- och sårbarhetsanalyser för sektorn elektronisk kommunikation.Staten är en betydelsefull ägare av bredbandsinfrastruktur och är därigenom en betydande aktör på marknaden för elektronisk kommunikation. Som tar upp i sin interpellation har regeringen för avsikt att tillsätta en utredning för att se över hur statens verksamheter på bredbandsområdet och innehav av bredbandsinfrastruktur kan samordnas till stöd för regeringens bredbandsstrategi. har staten, som ägare till denna infrastruktur och genom ansvarsprincipen, ett ansvar för att samverka och samordna verksamheten med andra aktörer under allvarliga händelser, kriser eller krig. Syftet med risk- och sårbarhetsanalyser är att ha en beredskap som gör att sådant som kan uppstå under allvarliga händelser, som kriser eller krig, effektivt kan förebyggas eller hanteras.Enligt krisberedskapsförordningen är alla myndigheter skyldiga att analysera om det finns sådana sårbarheter eller hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt skulle kunna försämra förmågan att bedriva verksamhet inom området. Inom offentlig sektor görs det således löpande risk- och sårbarhetsanalyser. Alla myndigheter ska hantera resultatet av dessa inom sina respektive ansvarsområden så att man uppnår god säkerhet och robusthet.Samhällets it-infrastruktur ska vara robust. Därför ingår frågor om säkerhet och sårbarhet i it-infrastrukturen tydligt i alla aktörers ordinarie verksamhet. Mot bakgrund av det bedömer regeringen inte att det finns något behov av att göra en särskild risk- och sårbarhetsanalys i den aviserade utredningen om samordning av den statliga infrastrukturen. Detta arbete bedrivs redan och ska fortsätta bedrivas med oförminskad kraft. Först vill jag tacka it-ministern för svaret på interpellationen som jag ställde till försvarsministern.I sitt svar hänvisar till förordning (2006:942) om krisberedskap och höjd beredskap, och i 9 § i förordningen står: "Varje myndighet ska i syfte att stärka sin egen och samhällets krisberedskap analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området." Vidare lyder den första paragrafen i förordningen: "Bestämmelserna i denna förordning syftar till att statliga myndigheter genom sin verksamhet skall minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap. "Här står alltså uttryckligen att statliga myndigheter ska minska sårbarheten i samhället. Varför då inte passa på när tillfälle ges i och med denna utredning? Det är en utredning av samordning av statens verksamheter på bredbandsområdet och innehav av bredbandsstruktur och infrastruktur till stöd för regeringens bredbandsstrategi som regeringen , glädjande nog, har beslutat om. Varför inte också titta på vad samordning kan göra för att minska sårbarheten? Det vore ett bra sätt för staten att ta sitt samordningsansvar. Det behövs nu när cyberhoten ökar. Det handlar om allt från genomtänkt avlyssning beordrad av stater till obetänksamma tonåriga hackare.Myndigheten för samhällsskydd och beredskap, MSB, konstaterade i ett svar på ett regeringsuppdrag om säker digital informations- och kommunikationsinfrastruktur för myndigheter, kommuner och landsting att det behövs skyddad kommunikation för offentlig sektor och att den bör vara statligt kontrollerbar. Det handlar om en kommunikation som inte är beroende av internet för att fungera - ett internet som utländska myndigheter tydligen lyssnar på när det passar dem. Om vi redan nu hade haft en sådan - hade då NSA, till exempel, haft lika stor påverkan på oss?MSB har även ställt sig bakom utredning i vilken han föreslår att de statliga näten samordnas. Det finns nu ett gyllene tillfälle att lyssna på såväl MSB som och utreda samordning för att främja både bredbandsstrategin och en skyddad kommunikationsinfrastruktur. Samordningen är inte bara en it-fråga utan även i högsta grad en säkerhetspolitisk fråga. Den kan ge fler samhällsvinster än den nog så viktiga bredbandsutbyggnaden. Det var därför jag önskade få förvarsministerns synpunkter på detta.Offentlig sektor söker ständigt efter billigare alternativ till drift och förvaltning av sin verksamhet. Det handlar om allt från outsourcing, det vill säga att något företag anförtros att hantera även känslig information - rent av så kallad offshoring - till molntjänster och bemanningsföretag.I klartext: är samma sak som att placera sina arkivskåp med papper hos någon som man inte har full kontroll över. Internet kan liknas vid en flyttfirma som man inte heller har kontroll över. Vart flyttar den arkivskåpen, och vem tittar i dem under flytten? Allt detta innebär förstås nya utmaningar för verksamhetens riskhantering. Om riskhanteringen inte fungerar äventyras verksamhetens överlevnad på sikt.Mot bakgrund av detta delar jag inte regeringens bedömning, som den uttrycks av , det vill säga att det inte skulle finnas något behov av att göra en särskild risk- och sårbarhetsanalys i den kommande utredningen om samordning av den statliga infrastrukturen. Jag utvecklar detta vidare i mitt nästa inlägg. När läste upp innehållet i några av paragraferna i krisberedskapsförordningen bidrog hon på ett förträffligt sätt till att beskriva varför det inte finns anledning att titta på de här frågorna i den utredning som regeringen har aviserat och som ska handla om någonting helt annat.Alla berörda myndigheter har redan ett tydligt och uttalat ansvar för att arbeta med dessa frågor i sin ordinarie verksamhet. Det är ett ansvar som är tydligt utpekat och som ska bedrivas med oförminskad styrka. Just därför finns det ingen anledning att blanda in denna fråga i en utredning som ska handla om något helt annat. Utredningen ska handla om hur vi kan samordna och bättre utnyttja den it-infrastruktur som staten genom myndigheter som och andra äger och som skulle kunna bidra till att bygga ut bredbandstillgången ännu snabbare över hela landet. Detta är delvis äpplen och päron.Annika Lillemets berör många olika fenomen som finns i samhället . Bland annat berörde du att det finns många offentliga aktörer som försöker hitta nya sätt att minska sina it-kostnader, vilket är prioriterat. Vi vet att det finns stor potential att använda skattebetalarnas pengar. Men det som är viktigt att poängtera är att en myndighet som har ansvar för en samhällskritisk funktion har detta ansvar även i ett krisläge, precis som jag utvecklade i mitt första svar. Det är ett ansvar som inte går att delegera bort. Det är ett ansvar som man inte kan överlåta till något annat och som inte heller överlåts till någon annan på något annat sätt än att driften av verksamheten läggs ut på ett privat företag. Själva ansvaret ligger alltid mycket tydligt kvar på myndigheten.Därför är det viktigt att myndigheten noga ser över vilka tjänster som ska upphandlas och att det finns tillräckliga garantier från dem som man väljer att upphandla tjänsten från för att tjänsten är säker, tillgänglig och robust.Myndigheten för samhällsskydd och beredskap är en myndighet som studerar saker när de inträffar. Jag förutsätter att alla våra myndigheter tar till sig de slutsatser som MSB drar och de råd och rekommendationer som myndigheten löpande publicerar och presenterar.Annika Lillemets skriver i sin interpellation att det finns ett stort behov av statligt kontrollerbar kommunikationsinfrastruktur. I sammanhanget nämner hon företaget och de kunder som drabbades av haveriet där. Som det inlägg som gjorde alldeles visade är det emellertid viktigt att skilja på olika saker.Det är en sak att tala om teleoperatörer och en annan sak att tala om tjänsteleverantörer. Tieto är ett företag som levererar tjänster. Den fråga som Lillemets ställer i sin interpellation handlar dock om it-infrastruktur. Båda frågorna är jätteviktiga, men det är två ganska olika saker. Jag tror att det är bra om vi försöker hålla isär dem. Datorhaverier hos en tjänsteleverantör bör inte blandas samman med problem som kan uppstå på grund av avbrott eller störningar i den fysiska elektroniska kommunikationsinfrastrukturen. Det var många intressanta saker på en gång. En skyddad infrastruktur som är statligt kontrollerbar kan lösa de problem som uppstod med haveriet hos Tietoenator . Det är ett sätt att undvika sådana.Jag vill belysa några frågor till. Regeringens handlingsplan för e-förvaltning anger att de nya grunderna för it-baserad verksamhetsutveckling i offentlig förvaltning ska utformas enligt målet så enkelt som möjligt för så många som möjligt. För att uppnå regeringens intentioner krävs att myndigheterna upplåter informationstillgångar för kopplingar mot internet. Dessa kopplingar öppnar också upp för dataintrång. När it-systemen blir öppnare och mer mobila och när datadelningen ökar måste företagen byta säkerhetstaktik.Det finns en intressant undersökning - Survey - som är utförd av konsultföretaget och en amerikansk tidning, CSO, som visar på högst relevanta rön även för svenska myndigheter. Undersökningen, som bygger på svar från fler än 9 600 chefer, visar att företagen ökar investeringarna i säkerhet, men att antalet attacker ändå ökar och att kostnaderna för dem stiger kraftigt. Trots detta anser en stor majoritet av vd:ar och it-chefer att deras säkerhet är effektiv. Men var femte tillfrågad vet inte ens hur många incidenter deras företag har drabbats av. Företagen tvingas leka kurragömma med hackare. De installerar ny teknik som inte möter hoten som tekniktrender leder till nya riskbilder och så vidare. Det finns förstås också möjligheter att skydda sig, och det finns all anledning att dra lärdom av detta även för svenska myndigheter.Jag vill påminna om det stora datorhaveriet hos det privata företaget , som levererade tjänster till ett flertal stora företag och myndigheter, till exempel , och . Det var nu.Vad har regeringen gjort för att hindra att vi återigen hamnar i en situation där ett privat företag gör prioriteringen av vilka kunder, däribland samhällskritiska aktörer, som först ska komma i gång igen? Hur tänker it-ministern och försvarsministern - för detta har ni naturligtvis diskuterat - att tillräcklig säkerhet ska kunna uppnås utan en skyddad kommunikationsinfrastruktur som staten har kontroll över? Ger det verkligen bästa möjliga krisberedskap att överlåta ansvaret för prioriteringar i ett krisläge på privata aktörer? Vågar regeringen förlita sig på att privata aktörer tar samhällsansvar och gör de investeringar som krävs? Kan man verkligen säkra viktiga samhällsfunktioner utan en statligt ägd, opererad, styrd och prioriterad infrastruktur för kommunikation?Hur ska regeringen kunna ta sitt ansvar för krishantering om man avhänder sig kontrollen över data- och telekommunikation? Det är ett fundamentalt säkerhetspolitiskt problemkomplex som måste hanteras skyndsamt. Som jag ser det vore den utredning som ska göras ett lämpligt forum att slå två flugor i en smäll, eller vill regeringen ha en egen, separat utredning om hur man ska skapa den skyddade infrastruktur för kommunikation som faktiskt behövs? Det är därför jag tar upp . Det handlar inte om att jämföra äpplen och päron, utan det är bara äpplen eller möjligen bara päron.Ska vi bara lämna frågan obesvarad? Hur ska vi kunna säkra statens digitala tillgångar? Det är ett stort och växande problem när det gäller övervakning av globala nätverk. Det har framkommit med all önskvärd tydlighet att detta sker i mycket stor omfattning. De flesta länder i världen gör det eller bygger upp möjligheten att göra det . Eftersom det är underrättelseorganisationer som bedriver den här spaningen är även myndigheter och deras information ett eftertraktat byte. Här krävs samordning och en strategi för skyddad kommunikation. Hur tänker ni göra? Just nu blandas äpplen, päron och nästan clementiner i den här debatten. Det är inte alldeles enkelt att ge svar på alla de frågor som ställer, för hon ställer frågor om allt ifrån it-infrastruktur till it-säkerhet och försvarstänkande. Det är väldigt många olika frågeställningar på en och samma gång.Tietohaveriet, som du nämner både i interpellationen och i ditt debattinlägg, var en allvarlig händelse som inträffade . Den innebar att it-företaget drabbades av ett tekniskt fel, vilket fick konsekvenser för ett femtiotal kunder, däribland , och några kommuner i . Då ställer du, , frågan om det är rimligt att anlita privata företag till sådana samhällskritiska tjänster.Mitt svar är: Ja, det kan det vara under vissa förutsättningar. Det man ska komma ihåg när det gäller Tietohaveriet är att det som hände var att två olika minneskretsar i ett datalagringssystem upphörde att fungera, vilket ledde till driftstopp för ett stort antal servrar. Det som låg bakom felet var alltså bristande hårdvara. Minneskretsarna kunde lika gärna ha suttit i en server någonstans i offentlig sektor. När Lillemets säger att en statligt ägd infrastruktur skulle ha garanterat att ett problem som det som inträffade i aldrig skulle kunna hända undrar jag vad hon baserar det på. Mig veterligen finns det inget som säger att offentlig it-utrustning krånglar mindre än privat.Tietohaveriet fick stora konsekvenser, men inte för att det var ett privat företag som drabbades. Det som gjorde just detta haveri speciellt allvarligt var att det var så många olika funktioner som drabbades. Det är mer en följd av ökad koncentration av it-drift och andra it-relaterade tjänster, exempelvis molntjänster. Då kan man ställa sig frågan: Är detta något negativt? Själva haveriet är förstås negativt, men är det något negativt att koncentrera it-tjänster i allmänhet? Som så många andra gånger måste man väga fördelar mot nackdelar.En uppenbar nackdel är att konsekvenserna kan bli stora om en samlad it-drift drabbas av störningar, men fördelarna får man inte glömma bort. var det inte ovanligt att en enda fysisk dataserver hade en enda uppgift. För att tillgodose en myndighets eller ett företags alla behov kunde det alltså behöva finnas en lång rad datorer som alla körde dygnet runt med endast en eller ett fåtal tjänster. , med så kallade virtualiserade servrar, kan en enda kraftfull fysisk server ersätta en lång rad fysiska datorer, vilket leder till stora vinster för miljön som it-driften blir mycket billigare. När offentliga myndigheter upphandlar it-drift är det väldigt viktigt att man också väljer den servicenivå som man vill ha. Om man upphandlar en samhällskritisk tjänst har man också ansvar för att det i det avtal man ingår också finns en garanti för att man blir prioriterad om något händer. Exakt hur de affärsmässiga avtalen såg ut mellan Tieto och deras kunder kan varken du eller veta, men vi kan båda veta att myndigheterna har ett stort ansvar för att se till att upphandla den it-drift och den servicenivå som man behöver, så att man inom en viss, bestämd tid kan veta att ett problem börjar åtgärdas och att en viss tjänst inte får ligga nere onödigt . Det här är många och stora frågor. Det är också min poäng. Vi kan inte reda ut detta , hur gärna vi än skulle vilja det. Det krävs en ordentlig utredning om det. Poängen med att ta upp är egentligen frågan vem som ska prioritera - datorhaverier är vi naturligtvis aldrig skyddade mot oavsett om det är privat eller offentlig drift - vilka kunder, av samhällsavgörande betydelse eller inte, som ska komma upp först och få tillgång till kommunikation igen. Det är ett stort problem om detta överlåts i privata händer.Allt detta behöver utredas ordentligt, så att vi så långt som möjligt säkrar vår samhällsviktiga data- och telekommunikation. Bevisligen har inte myndigheterna klarat att ta sitt ansvar efter exempelvis de senaste händelserna då en 16-åring lyckades sänka bland andra , SJ och en kommun. Säkerhetsansvariga på myndigheter och företag får allt större problem att hålla jämna steg med hackarna. Svenska FRA, som ska skydda statliga myndigheter och statligt ägda bolag mot i första hand statsunderstödda angripare, ser att det finns säkerhetsluckor på många håll inom samhällsviktig verksamhet med nationellt viktiga värden. har alltså attackerna ökat kraftigt , och metoderna har blivit mer kvalificerade och målen mer riktade. Hur ska konflikten mellan öppenhet och säkerhet hanteras? Varje enskild myndighet har alltså i uppdrag att beakta säkerheten och minska sårbarheten. MSB säger vad som ska skyddas men inte hur. Ska då varje myndighet uppfinna hjulet på egen hand och klara sig så gott man kan? Det är inte något effektivt sätt att arbeta. Det krävs en högre ambitionsnivå. Därför måste berörda myndigheter och departement samarbeta om dessa frågor. Det är en förutsättning för att lösa uppgiften att minska sårbarheten. Jag vill därför avsluta med att uppmana it-ministern och regeringen att ändå ge den kommande utredningen om samordningen av statens bredbandinfrastruktur direktiv att även ta itu med säkerhets- och sårbarhetsfrågorna och hur de kan hanteras bättre genom samordning. Den digitala utvecklingen har fört med sig väldigt många möjligheter. Människor kan vara uppkopplade nästan varifrån som helst och nästan vilken tid som helst och ha tillgång till nästan vilken information eller vilka tjänster som helst. Det är fantastiskt!Med detta följer dock nya utmaningar. En sådan utmaning är it-säkerhet. Det finns människor som kan ha illvilliga syften med att ta sig in i system olovligen eller som gör rena rackartyg och försöker överbelasta hemsidor så att de ska släckas ned. Detta är en del av vår vardag. Varenda myndighet, företag eller organisation och varenda medborgare måste vara medveten om dessa förändrade förutsättningar.Som enskild medborgare måste man, precis lika självklart som det är att teckna en brandförsäkring för att se till att man får ersättning om huset brinner ned därhemma, se till att ta hand om sig på nätet. Företag måste se till att skydda sin information på nätet, täppa igen luckor som kan finnas och hålla jämna steg med den utveckling som finns där olika aktörer av skilda skäl kan vilja ta sig in i företagets skyddade system. Att låtsas som om en nationell utredning skulle kunna överta ansvaret och lösa detta åt alla parter är faktiskt att vilseleda människor. I själva verket måste varenda medborgare, vartenda företag och varenda myndighet i sin verksamhet alltid ha med dessa frågor som är strategiskt viktiga. Det är just därför som det tydligt uttalas i den krisberedskapsförordning som inledningsvis läste högt ur att den myndighet som har ansvar för en verksamhet i fredliga tider har det också i kris. Man har ett ansvar att förebygga så att denna typ av incidenter inte behöver inträffa. Det arbetet behöver alldeles uppenbart fortsätta med oförminskad kraft.