prop · H20384 · 2015-03-19 00:00:00 — Dagens IT-angrepp kommer från resursstarka och kunniga aktörer. Dessa har uttalade mål och syften med sina angrepp, till exempel underrättelseinhämtning, ekonomisk brottslighet, industrispionage och olika former av påverkan (sabotage och utslagning av hela samhällsfunktioner). Angreppen blir alltmer sofistikerade och riktade och samhällets sårbarheter utnyttjas på ett systematiskt sätt av antagonistiska aktörer.13 upptäcktes vad som kallats det värsta dataviruset någonsin och det fick namnet Stuxnet. Viruset var en mask, det vill säga att det sprider sig själv utan hjälp av oförsiktiga användare. Viruset utgjorde enligt bedömare en riktad attack mot styrsystemen i en iransk kärnkraftsanläggning.14 Angreppet skedde mot så kallade SCADA-system15 i kärnkraftverket som styrde generatorer i de centrifuger som används för att anrika uran. Liknande system används även för att styra kylningen av reaktorstavar. Viruset och de metoder som användes var enligt experter mycket avancerade och innehöll exempelvis funktioner som förfalskade indata för övervakningssystemet för att undgå upptäckt.16 Angrepp mot industriella informations- och styrsystem underlättas väsentligt genom den ökande uppkopplingen av systemen mot internet. Sådana system används bland annat för att styra eldistribution, vattenförsörjning, trafikljus och sjukhusutrustning, och antagonistiska angrepp mot sådana system kan därför ställa till med mycket stor skada.17 Ett exempel på manipulation av industriella informations- och styrsystem i är attacken mot det kommunala bostadsbolaget fastigheter i . Någon hackade sig in den datacentral som reglerar fjärrvärmen till bolagets fastigheter och stängde av värmen för 700 lägenheter samt ett äldreboende.18 13FRA: Trender och utmaningar och . 14MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 31. 15Supervisory Control and Data Acquisition. 16http://techworld.idg.se/2.2524/1.356435/sasaboterade-stuxnet-irans-karnkraftverk. 17MSB: Trendrapport – samhällets informationssäkerhet 2012, s. 55. 18http:///sida/artikel.aspx?programid=160&artikel=4239787. Ett annat exempel är som utsattes för dataspionage där ryska och kinesiska underrättelsetjänster misstänks för att av ha utövat verksamhet mot utrikesministeriet.19 Ett tredje exempel är cyberattacken mot . genomfördes omfattande angrepp mot den estniska delen av internet. Händelsen hade av allt att döma ett direkt samband med oroligheter i i samband med förflyttningen av ett ryskt krigsminnesmärke. Angreppen följde ett mönster där enkla åtkomstattacker efterhand följdes av underrättelseinhämtning och fokuserade, välkoordinerade attacker som involverade mycket stora botnät20. fungerade inte nätet normalt. Det blev svårt att nå myndigheter och massmedia via internet, nätbankerna fick avbryta sin verksamhet och var det svårt för flera aktörer att kommunicera med omvärlden via internet. Ekonomisk brottslighet, integritetsförluster och industrispionage Ett exempel på ekonomisk brottslighet som nämns i tidningen är en cyberattack där förövarna stal från privatpersoner. Tjuvarna stal kontouppgifter genom att hacka sig in i IT-systemet hos ett indiskt kreditkortsföretag. De höjde uttagsgränserna på krediter och skickade sedan kontoinformation till kriminella gäng som de samarbetade med. Gängmedlemmar tog sedan ut pengarna via automater.21 Ett annat exempel är attacken mot IT-företaget . Förövaren lyckades bryta sig in i servrar där flera myndigheter förvarade mängder med känsliga uppgifter och kunde lägga beslag på känsliga personuppgifter från Kronofogden, och Polisen.22 Ett tredje exempel är uppgifter om kinesiska hackargrupper som slår mot teknikföretag. Tidningen refererar i en artikel till en rapport av ett amerikanskt säkerhetsföretag som hävdar att en kinesisk grupp är ansvarig för en stor mängd attacker mot olika teknikföretag. Gruppen uppges bestå av hundratals, kanske till och med flera tusen personer. De kinesiska hackarnas främsta intresse är enligt tidningen tekniska verksamheter, exempelvis IT, rymd, satellit och telekom. Omfattningen av de attacker säkerhetsföretaget kartlagt uppgår till 141 drabbade verksamheter, varav 20 större industriföretag. I artikeln uppger tidningen också att svenska forskare vid KTH följer de kinesiska angreppen: ”’Vi har ett projekt som 20Se bilaga 1 för förklaring av botnät. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN följer deras organisation, utbildning, träning och de verktyg de använder. Det mest imponerade de gjort var när de hackade sig in på den franska militära underrättelsetjänstens huvuddator i och speglade deras hårddiskar. Sedan ett flertal år hackar de bland annat amerikanska företags- och myndighetsservrar – . Det är en del av deras träning’, säger , lärare på KTH i och föreståndare för IT-forensiska labb.”23 drabbades IT-driftleverantören av ett tekniskt fel, vilket kom att få direkta konsekvenser för cirka 50 av företagets kunder inom såväl privat som offentlig sektor. Konsekvenserna varierade kraftigt. Vissa kunder kom lindrigt undan, med enstaka funktioner utslagna . De värst drabbade saknade i princip möjlighet att använda sina IT-lösningar . Det tekniska felet hos Tieto tog att åtgärda. Kundernas data kunde emellertid inte återställas enbart genom att byta ut en komponent i den tekniska utrustningen. Maskinvarufelet utlöste nämligen en kedja av incidenter som resulterade i en komplex och tidsödande återställningsprocess. Därför dröjde det betydligt längre innan Tieto kunde återställa kundernas lagrade data till samma skick som innan maskinvarufelet inträffade. Åtskilliga av Tietos kunder fick ganska omgående allvarliga problem, eftersom verksamheten hos dem pågår ständigt. Ett exempel var att 350 av apotek över hela landet plötsligt inte fick kontakt med sina IT-system och därför inte kunde lämna ut receptbelagda mediciner enligt normala rutiner. En närliggande verksamhet, , drabbas också av driftstoppet hos Tieto. Företagets externa webbplats låg nere . Webbplatsen är en viktig informationskälla för vård- och omsorgssektorn i . Den innehåller bland annat läkemedelsinformation, kontaktuppgifter och information om driftstörningar. Även det statligt ägda bostadsfinansieringsföretaget drabbades av driftstoppet och händelsen var kritisk , som råkade infalla den 25:e, det datum då många får ut sin lön. Inom bank- och finanssektorn betraktas detta kalenderdatum av tradition som en extra känslig tidpunkt, då störningar kan få stora konsekvenser. Företaget lyckades emellertid begränsa skadan och kundernas tillgång till likvida medel påverkades inte i 24Hela detta avsnitt bygger på MSB:s rapport kring samhällets skydd och beredskap vid allvarliga IT-incidenter. En studie av konsekvenserna i samhället efter driftstörningen hos Tieto . någon mer betydande omfattning. Däremot fick driftstörningen stor effekt på låneverksamhet, som inte var i normal drift förrän . Hos den statliga myndigheten tvärstannade den normala verksamheten då myndigheten drabbades av ett nästan totalt driftstopp för IT-stödet. Ekonomisystemet fungerade inte, e-posten var borta, myndighetens webbtjänster gick inte att nå. Ansökningssystemet, det ärendehanteringssystem som hanterar forskningsansökningar och granskningar, var inte heller tillgängligt. För att överhuvudtaget kunna kommunicera med omvärlden fick inrätta en tillfällig blogg på internet. Stora delar av den kommunala administrationen i berördes när handläggarna inte längre kunde arbeta med sina ärenden. Vid sidan av utbetalningsproblemen kunde inte nå sin journalföring, och alla ansökningar om ekonomiskt bistånd fick därför hanteras manuellt. Dokument och datafiler i administrationen gick inte att nå, vilket skapade förseningar i handläggning av bygglov, ärenden hos överförmyndaren, handläggning av livsmedelsärenden och miljö- och hälsoskyddsärenden. kommunfullmäktige och kommunstyrelse försenades, det gick inte att utfärda parkeringstillstånd till funktionshindrade, månadsbokslut försenades och idrottsföreningar kunde inte boka lokaler. Dessutom innebar driftstoppet att inpasseringen till lokaler som ägs av kommunen fick skötas manuellt. Hos påverkade driftstoppet den rikstäckande verksamheten under hela den påföljande arbetsveckan. En konsekvens var att den automatiska vidarerapportering av godkända kontrollbesiktningar som normalt sker till Transportstyrelsen inte längre fungerade. Trivialt, kan tyckas, men detta fel fick snabbt till följd att många fordon automatiskt blev belagda med körförbud. Först rapporterade att bolagets kontrollstationer åter fått fungerande IT-stöd och att kontrollbesiktningar och bokning fungerade som vanligt igen. För kommun dröjde det innan webbplatsen åter var i drift. kommunicerade kommunen med omvärlden på andra sätt. efter driftstoppet var flera centrala IT-system i fortfarande inte i drift. Handlingar och protokoll var inte tillgängliga, funktioner för felhantering fungerade inte och inloggning med e-legitimation var inte i drift. Först kunde kommun meddela att verksamheten till kunnat återgå till det normala. Först fungerade alla datasystem igen. efter händelsen pågick fortfarande arbete med att hinna ikapp. Kostnaden till följd av haveriet uppskattades till . INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN De här relaterade händelserna har ägt rum. Konsekvenserna har varit allvarliga. Liknande saker kommer att hända igen – var, när och i vilken omfattning Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerheten är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser som kan bli följden. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom exempelvis kompetensbrist, upphandling, tillsyn/uppföljning/ återrapportering samt styrning/omreglering/samordning. 3 Reglering, stöd och tillsyn I detta kapitel beskriver vi den huvudsakliga rättsliga regleringen som rör informationssäkerheten i statsförvaltningen och vad informationssäkerhet innebär.25 Här behandlas regeringens styrning och utgångspunkten för grundläggande förutsättningar i form av kravställning gentemot myndigheterna genom lagar, förordningar och föreskrifter. Kapitlet behandlar också regeringens styrning och utgångspunkten för grundläggande förutsättningar i form av organisering genom en beskrivning av vilka stöd- och tillsynsmyndigheter som finns och vad dessa ska och kan göra. Dessa myndigheter är Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap (MSB) och (). Kapitlet omfattar även reglerna om personuppgiftsbehandling och arkivering samt myndigheterna Datainspektionen, och , eftersom dessa regler och myndigheters uppdrag delvis berör frågan om informationssäkerhet. Med informationssäkerhet avser säkerhet för informationstillgångar. Säkerheten syftar till att upprätthålla förmågan till konfidentialitet, riktighet och tillgänglighet. Informationssäkerhet är ett begrepp som omfattar säkerhet för information oavsett dess form, alltså inte endast IT-säkerhet. Enligt () kan informationssäkerhet illustreras på följande sätt. 25Utöver de lagar, förordningar och föreskrifter som behandlas i kapitlet finns även regler som delvis har bäring på informationssäkerhet. Det rör sig om offentlighets- och sekretesslagen (2009:400), förordningen (2007:603) om intern styrning och kontroll samt ett antal olika registerförfattningar. Offentlighets- och sekretesslagen ställer krav på att vissa uppgifter inte får röjas eller lämnas ut, vilket också innebär att uppgifterna ska skyddas. Lagen ställer dock inte upp några krav för hur detta ska ske. Förordningen om intern styrning och kontroll avser den process som syftar till att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen (2007:515). Det är krav på att verksamheten bedrivs effektivt, enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen samt att verksamheten redovisas på ett tillförlitligt och rättvisande sätt. Förordningen ställer därmed krav på att myndigheterna har en process för styrning och kontroll som säkerställer att kraven på ledningssystem för informationssäkerhet () uppfylls. Förordningen ställer dock inte i sig några krav på informationssäkerhet. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Figur 2.1 Beskrivning av begreppet informationssäkerhet Källa: – Terminologi för informationssäkerhet, utgåva 3. granskning omfattar utifrån definitionen ovan såväl teknisk säkerhet som administrativ säkerhet. Området informationssäkerhet är ett komplext och omfattande område och rapporten innehåller därmed en del begrepp som kanske inte är helt självklara för alla. I bilaga 1 finns därför en lista med förklaringar till vissa centrala begrepp. Figuren nedan visar de regelverk och aktörer som är relevanta för informationssäkerheten i den civila delen av statsförvaltningen. Figur 2.2 Ett urval av centrala regelverk och aktörer som styr informationssäkerhet i den 3.1.1Vilka krav ställs på säkerhetsskydd Säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633) samt föreskrifter (RPSFS 2010:3) är de regelverk som ställer krav på att vissa verksamheter ska ha ett tillfredsställande säkerhetsskydd. Såväl offentliga som privata verksamheter som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism omfattas av lagen. Med säkerhetsskydd avses skydd mot brott som kan hota rikets säkerhet, skydd av hemliga uppgifter som rör rikets säkerhet och skydd mot terrorism. Säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Det ska också förhindra att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som omfattas av sekretess som rör rikets säkerhet eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning). Slutligen ska säkerhetsskyddet även förhindra att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskydd innebär således att myndigheter och andra som säkerhetsskyddslagstiftningen omfattar ska vidta förebyggande åtgärder för att skydda mot brott som kan hota rikets säkerhet, såsom spioneri och sabotage. Hemliga uppgifter som rör rikets säkerhet ska även de skyddas. Säkerhetsskyddet omfattar också skydd mot terrorism. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Verksamhet som omfattas av säkerhetsskyddslagstiftningen ska ha det säkerhetsskydd som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. En säkerhetsanalys utgör grunden för ett väl anpassat säkerhetsskydd och är dels en undersökning som syftar till att kartlägga vad som är skyddsvärt i en verksamhet, dels en handling som dokumenterar de resonemang som leder fram till vad som är skyddsvärt. Undersökningen ska också relatera det skyddsvärda till de hot som verksamheten kan utsättas för och de säkerhetssårbarheter som verksamheten kan vara behäftad med. I förlängningen syftar säkerhetsanalysen till att ta fram ett beslutsunderlag för säkerhetsskyddsåtgärder samt att skapa spårbarhet för detta underlag.26 Av säkerhetsskyddslagen (1996:627) följer att verksamheter som har betydelse för rikets säkerhet eller behöver skyddas mot terrorism ska utforma ett skydd för verksamheten i enlighet med kraven i lagen, det så kallade säkerhetsskyddet. Säkerhetspolisen är enligt 39 § säkerhetsskyddsförordningen (1996:633) den myndighet som har ansvar för att utöva tillsyn av säkerhetsskyddet i de civila delarna av statsförvaltningen. Säkerhetspolisen samverkar också med den militära underrättelse- och säkerhetstjänsten i Försvarsmakten (MUST) och FRA när det gäller att skydda samhället mot allvarliga IT-hot. Säkerhetspolisen har av regeringen fått ansvaret att prioritera sina insatser utifrån en helhetsbedömning av skyddsbehovet, framför allt när det gäller IT-säkerhet och skydd mot elektroniska angrepp. Säkerhetspolisen har därför inriktat sin tillsyn mot den mest skyddsvärda verksamheten i statsförvaltningen. Denna prioritering medför att tillsynen främst inriktas på myndigheter med sådan verksamhet där konsekvenserna av ett angrepp skulle bli så allvarliga att rikets säkerhet hotas. Säkerhetspolisens tillsyn kompletteras med rådgivning till de granskade myndigheterna. Vid en tillsyn kontrollerar Säkerhetspolisen att den granskade myndigheten följer säkerhetsskyddslagstiftningen och vilka säkerhetsskyddsåtgärder som den granskade myndigheten har vidtagit. Säkerhetspolisen granskar alltid den säkerhetsanalys och de styrande dokument som ska finnas. i säkerhetsanalysen ska motivera vidtagna skyddsåtgärder och säkerställa en samverkande helhet. Därefter granskas informationssäkerhet, IT-säkerhet (penetrationstester) och fysiskt skydd kopplat till de skyddsvärden som säkerhetsanalysen pekat ut. Säkerhetspolisen besöker myndigheten och intervjuar verksamhetskunniga och säkerhetsansvariga. Efter avslutad tillsyn lämnar Säkerhetspolisen en tillsynsrapport till den granskade myndigheten med förslag på åtgärder för att förbättra säkerhetsskyddet samt erbjuder stöd 26 Säkerhetspolisen: Säkerhetsskydd – en vägledning, s. 12. i form av rådgivning efter tillsynen. Tillsynsrapporten överlämnas även för kännedom till den granskade myndighetens huvudman i . En tillsyn tar relativt mycket resurser i anspråk och brukar ta att genomföra. Säkerhetspolisen genomför en eller två tillsyner . 3.2Systematiskt informationssäkerhetsarbete och stödfunktioner för samhällets informationssäkerhet 3.2.1Vilka krav ställs på systematiskt informationssäkerhetsarbete? Ledningssystem för informationssäkerhet () är ett sätt att styra en verksamhets informationssäkerhet på ett systematiskt sätt. Dagens har sin bakgrund i en brittisk standard som utkom och som sedermera blev svensk och internationell standard i form av SS-ISO/IEC 17799 Ledningssystem för informationssäkerhet från 1999.27 Verket för förvaltningsutveckling (Verva) utfärdade föreskrifter som trädde i kraft med krav på att myndigheter under regeringen skulle tillämpa ett ledningssystem för informationssäkerhet.28 Av 30 a § krisberedskapsförordningen framgår att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt Även om kravet finns i krisberedskapsförordningen avser det inte endast krisberedskapsarbete, utan gäller generellt för informationssäkerhetsarbete i statsförvaltningen. MSB har även enligt 34 § krisberedskapsförordningen rätt att utfärda verkställighetsföreskrifter för det som föreskrivs i 30 a §. MSB:S verkställighetsföreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10) trädde i kraft , och utformades i stor utsträckning med Vervas föreskrifter som förlaga. MSB:s föreskrifter ska tillämpas av i stort sett alla myndigheter under regeringen. Föreskrifterna är kortfattade och omfattar endast sex paragrafer, men kompletteras med allmänna råd. Av föreskrifterna följer att myndigheternas arbete ska bedrivas enligt svensk standard i form av ISO 27001 och 27002, vilket innebär mer detaljerade krav att förhålla sig till. Av 4 § framgår att myndigheterna ska 27Statskontoret 2003:23: Ledningssystem för informationssäkerhet vid 24-timmarsmyndigheter, Vägledning och mallregelverk, s. 11 f. 28Vervas föreskrift om statliga myndigheters arbete med säkert elektroniskt informationsutbyte (VERVAFS 2007:2). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN upprätta en informationssäkerhetspolicy och andra styrande dokument som behövs för myndighetens informationssäkerhet utse en eller flera personer som leder och samordnar arbetet med informationssäkerhet klassificera sin information med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur risker ska hanteras, samt besluta om åtgärder för myndighetens informationssäkerhet dokumentera granskningar och säkerhetsåtgärder av större betydelse som vidtagits. Av 5 § följer att myndighetens ledning löpande ska informera sig om arbetet med informationssäkerhet samt minst en gång följa upp och utvärdera informationssäkerhetsarbetet på myndigheten.29 Utöver ansvaret inom området samhällets krisberedskap har MSB även ett särskilt uppdrag inom området samhällets informationssäkerhet. Uppdraget innebär att MSB ska göra följande: Stödja och samordna arbetet med samhällets informationssäkerhet. Analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Rapportera till regeringen om förhållanden på informationssäkerhetsområdet som kan leda till behov av åtgärder inom olika nivåer och områden i samhället.30 Utöver ovan nämnda ska MSB även svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter. MSB ska i detta arbete sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. Funktionen ska även vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. Den funktion inom MSB som i huvudsak hanterar frågan har namnet CERT-SE (Computer Emergency Response Team). Det finns ingen skyldighet för myndigheter 29Som stöd för myndigheternas arbete med informationssäkerhet i enlighet med föreskrifterna har MSB distribuerat standarder för informationssäkerhet till berörda myndigheter. MSB har även upprättat en särskild webbplats – – med råd och stöd för att införa . 3011 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. att rapportera IT-incidenter, och MSB är därför beroende av att myndigheter, privata aktörer, med flera lämnar uppgifterna frivilligt. MSB bedriver sitt stödjande arbete med samhällets informationssäkerhet inom en rad områden. En del utgörs av strategi- och utredningsarbete som innefattar regeringsuppdrag, nationell strategi och handlingsplan, nationell plan för hantering av allvarliga IT-relaterade kriser, m.m. MSB:s roll kopplad till det systematiska informationssäkerhetsarbetet innefattar bland annat utfärdandet av föreskrifter och metodutveckling (risk- och sårbarhetsanalyser, kontinuitetshantering, informationsklassning, m.m.). MSB arbetar också mycket med forskning, utveckling och informations- och cybersäkerhetsövningar. MSB har fått i uppdrag av regeringenatt kontinuerligt redovisa en lägesbedömning på informationssäkerhetsområdet avseende hot, sårbarheter och risker på samhällsnivå.31 Detta görs på flera sätt, till exempel genom den rapportering om samhällets informationssäkerhet som sker i MSB:s risk- och sårbarhetsanalys, MSB:s årsredovisning samt den nationella risk- och förmågebedömningen (NRFB). MSB tar också fram händelserelaterade rapporter, till exempel om Tietoincidenten. Eftersom MSB inte har något mandat att bedriva tillsyn32 över myndigheternas informationssäkerhet bygger informationsinsamling på deltagandet i ett antal olika nätverk och samverkansgrupper.33 Den samverkan som sker i olika fora, internationell samverkan och frivillig incidentrapportering ger MSB möjlighet att inhämta kunskap om vad som sker ute i samhället, och informationen ger en grund för den avrapportering som MSB gör på olika sätt.34 Deltagandet