sou · H3B323 · 2015-03-10 00:00:00 — Det pågår också viktigt arbete inom exempelvis och EU där särskilt förhandlingarna av NIS-direktivet förtjänar att nämnas. I skrivelsen Samhällets krisberedskap – stärkt samverkan för ökad säkerhet (skr. 2009/10:124 s. 71 f.) angav regeringen att inter- nationell samverkan är en grundförutsättning för att öka in- formationssäkerheten i , både när det gäller förebyggande arbete och när det gäller att hantera inträffade störningar. Vidare slogs det fast att medverkan i internationella samarbeten inom informationssäkerhetsområdet är av strategisk betydelse och bör stödjas och utvecklas. Regeringen konstaterade även att mer- parten av den internationella samverkan kan genomföras av aktörer på eget initiativ, men viss samverkan kräver en nationell samord- ning, exempelvis där det är av vikt att tar en officiell ställ- ning. I det sammanhanget angavs att nationella samord- ning för internationell samverkan inom informationssäkerhets- området bör, där så är lämpligt, göras tydligare. Utredningen åter- kommer till detta nedan. Det internationella perspektivet inom området inrymmer både de globala cyberfrågorna inom utrikes- och säkerhetspolitiken och de internationella samarbeten som förekommer kring policyfrågor och tekniska angelägenheter med nät- och driftsperspektiv. Det inter- nationella samarbetet sker såväl inom de olika politikområdena som inom olika verksamhetsområden. När det gäller de internationella relationerna inom respektive politikområde är det för frågan ansva- rigt departement som företräder vid förhandlingar. På verk- samhetsnivå är det myndigheterna som har mycket viktiga kon- takter med motsvarande myndigheter i andra länder, inom och utom EU. Samarbeten finns inom flera områden från de rent tek- niska frågorna till mer övergripande policyfrågor. Utredningen har i kapitel 8 redogjort för några av de internationella forum och sam- arbeten i vilka deltar. I detta kapitel har utredningen även skildrat svensk global cyberpolitik (avsnitt 8.1) och noterat att det utgör en prioriterad utrikespolitisk fråga och en viktig del av Sveri- ges politik på det freds- och säkerhetsfrämjande och folkrättsliga området. I avsnittet beskrivs också hur den ökande betoningen på cyberfrågor inom utrikes- och säkerhetspolitiken har växt i takt med den tilltagande digitaliseringen och globaliseringen av sam- hället. Det kan konstateras att cyberfrågor är till sin karaktär gränslösa och kräver omfattande internationell samverkan och sam- förstånd, inte minst för att skapa goda förutsättningar för ökad stabilitet och transparens liksom utvecklandet av normer för ett ansvarsfullt beteende i cyberrymden. Utredningens bedömning är att i ett globalt perspektiv är samarbete för normbildande och förtroendebyggande åtgärder inom cyberområdet viktigt för att stärka internationell fred och säkerhet vid användandet av informations- och kommunikationsteknologi, liksom för att minska sårbarheter och risker för it-angrepp och konflikter inom detta område. Som vi kunnat se tidigare finns det flera kanaler och forum där deltar i arbetet med dessa frågor. Målet för detta arbete måste vara att få genomslag för svenska intressen och gehör för politik på det fredsfrämjande och folkrättsliga området. 9.7.3Samordning av det internationella agerandet Den nationella informations- och cybersäkerheten förstärks genom ett aktivt och effektivt deltagande i verksamheten vid inter- nationella organisationer och i samarbetsforum som är viktiga med tanke på informations- och cybersäkerheten. Detta är också något som regeringen har konstaterat i ovan refererad skrivelse. I utred- ningens direktiv påpekas också att det är viktigt att har en tydlig inriktning på området för att kunna påverka den säkerhets- politiska inriktningen. En stor utmaning i arbetet sägs ligga i staters skilda syn på hotbilder, doktriner och definitioner kopplade till cybersäkerhet. För att svenska aktörer ska få genomslag på den internationella arenan är det viktigt att hänsyn tas till överordnade svenska intres- sen, och att utgångspunkten för vårt internationella agerande ut- görs av en gemensam svensk ståndpunkt. Detta gäller på alla nivåer, regeringen, och myndigheter. Utan en sådan samordning kan svenska representanter komma att framföra olika ståndpunkter som får till följd att målen inte uppnås och att Sveri- ges budskap uppfattas som tvetydigt eller oklart. Det är utredning- ens uppfattning att det budskap som framförts i internationella sammanhang inte i alla lägen har varit samordnat och därmed inte gynnat svenska intressen i den utsträckning som annars hade varit möjlig. Orsaken till detta kan vara den snabba utvecklingen inom området. har cybersäkerhetsfrågorna uppmärksammats inom en rad internationella organisationer och politikområden. Vidare har den strategiska inriktningen på politiken i vissa avseen- den inte varit tillräcklig för att ge tillräcklig vägledning. Frågorna har behandlats inom vitt skilda politikområden, ibland med tydliga målkonflikter, vilket har gjort det svårt att skapa en gemensam värdegrund att utgå ifrån. En annan orsak kan vara upp- delningen av ansvaret inom informations- och cybersäkerhets- området, i meningen att det finns risk att samordningen har försvå- rats eller i vissa fall fallit mellan stolarna. De nationella samord- ningssvårigheterna grundas också i att deltar i ett stort antal forum vilket bidrar till samordningsbehov. Cybersäkerhetsfrågor är vidare komplexa och rör sig inom en lång rad olika sakområden. Som regeringen påpekat i tidigare nämnd skrivelse så finns det ett behov av att tydliggöra nationella samordning för inter- nationell samverkan. har enligt sin instruktion ansvaret för att utse ombud och andra representanter vid förhandlingar med annan stat eller vid förhandlingar med och möten inom inter- nationella organisationer. Med en väl genomarbetad och förankrad nationell strategi och en tydlig arbetsfördelning inom och mellan myndigheterna bör de befintliga verktygen, dvs. gemensam beredning, regleringsbrev och myndighetsinstruk- tioner, vara tillräckliga för att hantera såväl förutsedda som snabbt uppkomna frågor. Det kan däremot finnas skäl att lägga större vikt vid de internationella frågorna när myndigheternas instruktioner och regleringsbrev ses över. Processer och arbetsorganisation inom har stor betydelse för den samlade statliga styrningen. Det gäller inte minst för strategiska ställningstaganden och för utformningen av myndigheternas uppdrag. Hur frågor som berör informations- säkerhet fördelas mellan departementen avgörs tydligast av den ansvarsfördelning som är fastställd i bilagan till förordningen (1996:1515) med instruktion för . Beroende på vad frågan huvudsakligen handlar om hanteras den av det departe- ment som huvudsakligen berörs, se avsnitt 7.2.1 konstaterade i rapporten i den civila statsförvaltningen (RiR 2014:23) att det saknas en samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. rekommenderade regeringen att inrätta en funktion och en process i med syfte att samlat hantera informations- säkerheten. Utredningen har i avsnitt 9.1.5 berört frågan om samordning av det nationella arbetet och konstaterat att det genom departementsombildningen skapats bättre förutsättningar än tidigare för att förmå den centrala statsförvaltningen att agera samfällt när det gäller hanteringen av informations- och cybersäkerhetsfrågor. Ett samordnat svenskt agerande i internationella och regional relationer är på samma sätt avhängigt hur frågorna bereds i . Utredningen konstaterar att ansvaret för de internationella relationerna är spritt över en rad olika myndigheter och departe- ment vilket ställer stora krav på väl fungerande samordning i . Som vi också kunnat konstatera finns motsvarande behov av stärkt samordning när det gäller det nationella inform- ations- och cybersäkerhetsarbetet mellan och ansvariga myndigheter. Utredningen har i avsnitt 9.2 lämnat förslag som vi menar bidrar till att samordna det nationella arbetet. Det är viktigt att förslagen åtföljs av övergripande strategier och åtgärder som bl.a. innebär att regeringen säkerställer att agerar kraftfullt och konsistent i samtliga internationella och regionala fora av relevans. Nationell samordning för internationell samverkan bedöms här som en av åtgärderna. För att därtill säkerställa konsistens i det internationella agerandet behöver samordning ske antingen under det mandat som inrikes- ministern erhöll i samband med regeringsbildningen eller, om frågorna är av utrikes- och säkerhetspolitisk karaktär, genom försorg. På myndighetsnivå gör sig samma behov av stringens i ansvarsfördelningen och konsistens i uppträdandet gällande, vilket regeringen kontinuerligt behöver säkerställa. Flera av de internationella operativa relationerna har vuxit fram och också ändrat karaktär . Så har exempelvis med kommit att inta rollen som EU:s informations- säkerhetsansvariga myndighet och bedriver ett brett arbete med informations- och cybersäkerhet, i vilket även ingår en nära samverkan med CERT-EU och framtagandet av stöd till CERT- funktioner i medlemsstaterna. Beträffande för cyberförsvar i (, CCD CoE), ryms vid sidan av rena försvars- angelägenheter också numera verksamhet som är av relevans för informations- och cybersäkerhet i allmänhet. I avsnitt 9.1 samt bilaga 5 presenterar utredningen ett förslag till strategi för statens informations- och cybersäkerhet. Som vi där redogjort för syftar strategin till att söka åtgärda de mest angelägna bristerna i statsförvaltningen. Avsikten är dock att i nästa skede gå vidare till mer specifika områden. Kompetenshöjande åtgärder är ett sådant område som kräver särskilda insatser och medverkan från privat och offentlig sektor. Utredningen vill redan nu lyfta fram två åtgärder som rör detta område, nämligen övningsverksamhet och planering för kompetensförsörjning. 9.8.1Framtida övningsutveckling inom informations- och cybersäkerhetsområdet Bedömning: Övningsverksamhet inom informations- och cybersäkerhetsområdet bör fortsätta och förstärkas. Det finns även behov av att utveckla övningar av olika slag för flera sek- torer och nivåer i olika organisationer. Regelbundna nationella övningar är en förutsättning för att utveckla och utvärdera strukturer för hantering av allvarliga it-relaterade kriser. Övningar utgör ett kraftfullt instrument för att öka deltagares kris- hanteringsförmåga och för att identifiera tekniska och administrativa utvecklingsbehov. Regeringen utrycker i Budgetpropositionen (UO 6) att ”MSB bör fortsatt arbeta utifrån myndighetens strategi för tvärsektoriella övningar på nationell nivå. Inriktningen för övningar bör ta sin grund i erfarenheter från inträffade händelser, genomförda övningar samt myndigheters risk- och sårbarhetsanalyser samt förmågebedömningar.” Dessa slutsatser torde även omfatta informations- och cyber- säkerhetsområdet och är i linje med syn att cybersäkerhetsövningar är strategiskt viktigt för att förbättra skyd- det av kritisk informationsinfrastruktur. bör fortsätta att aktivt delta i internationella övningar då de utgör en god katalysator för att bygga förtroende och utveckla processer för internationellt samarabete. Det är ett samarbete som är allt viktigare med tanke på informations- och cybersäkerhets- områdets gränsöverskridande natur och det faktum att tekniska experter inom informations- och cybersäkerhet är en begränsad resurs. Det kostar även förehållandevis lite i form av personalresurser, tid och pengar att delta i internationella övningar. Det stora antalet aktörer som planerar och genomför övningar medför däremot att det är viktigt att prioritera vilka övningar Sve- rige ska delta i. Av särskild vikt är det att här for- mellt ansluter sig till CCD CoE där den mest aktiva utvecklingen av civila tekniska cybersäkerhetsövningar (t ex Baltic Cyber Shield 2010, Locked ) nu äger rum, och där i princip alla västländer nu deltar. Att genomföra egna nationella övningar är än viktigare och Sve- riges förmåga att planera och genomföra informations- och cyber- säkerhetsövningar står sig väl internationellt. Det beror bland annat på den kunskap som byggts upp under planeringen av sektoröver- gripande övningar som CDX (2008, 2010), NISÖ (2010, 2012), och tekniska informations- och cybersäkerhetsövningar med virtu- ell övningsmiljö (2013). utgör ett annat exempel på en återkommande övning som genomförs inom sektorn för elektro- nisk kommunikation. Därutöver har en virtuell övnings- miljö bekostad av Försvarsmakten och MSB i form av en teknisk övningsmiljö vid (). För- svarshögskolan har varit drivande i både utvecklingen och genom- förandet av övningar. Bland annat har en handbok tagits fram för CDX-övningar på såväl svenska som engelska. Detta medför att kan återanvända och vidareutveckla tekniska moduler till nya övningar. Denna förmåga förenklar arbetet och reducerar kostnaderna för att planera och genomföra nya övningar. Fördelen med att skapa egna övningar är att anpassar övningens ut- formning gentemot egna mål vilket blir allt viktigare ju mer speci- fika behov som finns för att utveckla verksamheters förmåga att hantera händelser och kriser. bör därför fortsätta enligt den aktuella inriktningen och regelbundet genomföra tvärsektoriella informations- och cybersäkerhetsövningar och tekniska inform- ations- och cybersäkerhetsövningar. Tekniska informations- och cybersäkerhetsövningar kan använ- das för att utveckla kunskapen i samhället och utvidga samarbetet mellan offentlig och privat sektor. Exempelvis kan det etablerade Svenskt CERT-forum, med deltagare från privat och offentlig sektor, övas i syfte att stärka förtroendet och samverkan mellan dessa organisationer och därmed utveckla samhällets krishante- ringsförmåga. För att nå fler aktörer och nivåer i samhället bör övningar ut- nyttjas till att bygga upp förmågan hos andra aktörer i samhället som inte har samma resurser för it-incidenthantering. Arbetet inom ramen för MSB och FOI:s gemensamma satsning för att öka förmågan till att hantera it-relaterade risker och hot mot industri- ella informations- och styrsystem (NCS3) utgör också en grund för skapandet av övningsmiljömoduler och för att genomföra enklare tillämpade övningar. På detta sätt uppnås skalfördelar mellan förebyggande och förberedande arbete och ren övnings- verksamhet och på så vis nås fler organisationer. Detta är ett arbete som bör fortsätta och förstärkas. Det är även i linje med slutsat- serna från NISÖ 2012 som pekade på att det finns ett stort behov av övningar inom området – på alla nivåer i samhället men att övningar bör utformas så att varje aktör får möjlighet att delta uti- från sina egna förutsättningar, och på ett sätt som ger nytta i den dagliga verksamheten. 9.8.2Fördjupad dialog om kompetensförsörjning Förslag: Regeringen fördjupar dialogen mellan privata och offentliga aktörer samt utbildnings- och forskningsinstitutioner i fråga om utbildning och forskning inom informationssäker- hetsområdet. Utredningen har i avsnitt 9.3.2 föreslagit att regeringen fördjupar dialogen mellan privata och offentliga aktörer. Gemensamt för dessa är även behovet av att rekrytera personer med kvalificerad utbildning inom informationssäkerhetsområdet och det finns där- för även ett behov av att det allmänna samverkar med näringslivet kring frågeställningar som rör forskning och utbildning samt kom- petensförsörjning. Utredningen har genom olika kontakter inom offentlig och pri- vat verksamhet uppmärksammats på behovet av att vidta åtgärder för att förbättra utbildning och forskning inom informationssäker- hetsområdet. Bland annat har det framförts att svårigheten att hitta kompetent personal går ut över expansionen av infrastrukturen på ett sätt som ger allvarliga konsekvenser bl.a. för kvaliteten på den service som tillhandahålls av operatörerna av både nät och tjänster. Brist på spetskompetens drabbar data- och telekommunikations- företagen särskilt hårt. Dessa företag har ett stort rekryterings- behov eftersom verksamheten expanderar snabbt. Myndigheter nämner att det finns behov av att rekrytera personer som har såväl sektorsspecifik som informationssäkerhetsinriktad kompetens. Den offentliga sektorn upplever konkurrens om arbetskraften med det privata näringslivet som erbjuder högre löner. Behovet av kvalificerad utbildning i informationssäkerhet om- fattar olika yrkesgrupper såsom jurister, samhällsvetare, tekniker, och ekonomer. En betydande del av utbildningsbehovet måste till- godoses inom högskolans ram. Försvarshögskolan anordnar som beskrivs i 6.2.11 en högre informationssäkerhetskurs där eleverna efter kursen diplomeras som "Chief Information Assu- rance Officers" (CIAO), vilken utvecklats med stöd av MSB, FRA och PTS. Deltagarna kommer både från offentlig sektor och från kritisk infrastruktur inom privat sektor. Genomgången kurs kan utgöra ett sådant krav på kompetens som föreslås i 9.2.3 för informationssäkerhetschefer. Det finns dessutom ett mycket begränsat antal personer i som besitter de kunskaper som krävs för att kunna genomföra sådan utbildning. Det kan också finnas behov av att stärka sambandet mellan utbildning och forskning. Vidare behövs det särskild kompetens på för utredning av brott med anknytning till informationsteknik. I många andra länder har behovet lett till att man inrättar specialiserade funktioner inom polisorganisationerna, där man samlar personer med nödvändiga kunskaper för utredning av it-relaterad brottslighet. I har vi sett en tillväxt på både efterfrågan och utbud när det gäller utbildning i forensisk analys. Den som ska kunna ge råd i förebyggande informationssäker- hetsarbete och vid incidenter måste själv ha hög kompetens och god kännedom om flera områden som berör informationssäkerhet som till exempel om hur systemen är uppbyggda (operativsystem, DNS, IP och nätteknik), om säker applikationsutveckling och om skydd mot intrång samt skydd mot avlyssning. Utredningen föreslår således att även frågan om kompetensför- sörjningen inom informations- och cybersäkerhet görs till föremål Representanter från utbildningssystemet bör delta i dialogen. Målsättning med dialogen är att komma fram till hur man bör inrikta och stödja kompetensutvecklingen på informations- säkerhetsområdet både på bredden och på djupet. Det handlar bl.a. om att diskutera tvärvetenskapligt forskningsbehov, resursbehov och kompetensuppbyggnaden inom de högre utbildningarna. Dagens forskning inom informations- och cybersäkerhetsområdet uppvisar luckor och har i många fall ett snävt tekniskt fokus. Här finns ett behov av att vidga kunskapsbasen, inte minst vad gäller frågor med koppling till säkerhetskultur. 10 Konsekvenser av förslagen Enligt 14–15 a §§ kommittéförordningen (1998:1474) ska utred- ningen beräkna och redovisa de ekonomiska konsekvenserna av sitt förslag. Det gäller förslag som påverkar kostnaderna eller intäkt- erna för staten, kommuner, landsting, företag eller andra enskilda och förslag som innebär samhällsekonomiska konsekvenser i övrigt. När det gäller kostnadsökningar eller intäktsminskningar för staten, kommuner eller landsting ska utredningen föreslå en finansiering. Vidare följer av 15 § att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, ska konsekvenserna i det avseen- det anges i betänkandet. Detsamma gäller när ett förslag har betyd- else för brottsligheten och det brottsförebyggande arbetet, för syssel- sättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i för- hållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Utredningens förslag innebär en höjd ambitionsnivå för statens informationssäkerhet. Åtskilliga av åtgärdsförslagen kan rymmas inom myndigheters befintliga budget. Nedanstående beräkningar avser främst de kostnader som uppstår hos Myndigheten för sam- hällsskydd och beredskap, som är den myndighet som enligt den föreslagna förordningen får ett utökat förvaltningsansvar. Kost- nader av mindre omfattning kan också komma att uppstå i andra delar av statsförvaltningen. Dessa är dock svårare att överblicka. De förslag i föregående kapitel som varit möjliga att kostnadsberäkna anges nedan. I nedanstående beräkningar ligger en schablon på per person och år. Av beloppet utgör ordi- narie personalkostader (lön och lönekostnadspåslag) och 300 000 kronor kostnader för kompetensutveckling, förvaltningskostnader (overhead), reseersättningar, m.m. 10.2.1En nationell styrmodell för informationssäkerhet En nationell styrmodell för informationssäkerhet består av ett antal komponenter som måste utvecklas och förvaltas . En del är ett sammanhållande regelverk som innehåller olika nivåer av reglering under föreskriftsnivån, det vill säga en regelhierarki som motsvarar ett ledningssystem inom en organisation. Förutom de resurser som krävs för att utveckla och förvalta styrmodellen krävs en lösning för anslutning och efterlevnadskontroll som löpande samordnas med andra intressenter. I detta ligger också omfattande utbildningsinsatser. I styrmodellen är informationsklassning den mest omfattande aktiviteten som går från processorienterad informationskartlägg- ning via själva klassningsmomentet till utvecklade gemensamma skyddsnivåer. För att skyddsnivåerna ska kunna fylla sin funktion krävs omfattande insatser av både egen och extern kompetens inom områdena administrativ, fysisk och it-inriktad säkerhet. Slutligen förutsätter en nationell styrmodell en väl utvecklad kunskapsstyrning. Kunskap kan i detta sammanhang röra sig om kunskap om metoder men i ännu högre grad om att kunna ge ett vederhäftigt underlag för en styrning utifrån risk. Det innebär att kunna förmedla en uppdaterad riskbild och att kunna förmedla stöd för riskreducerande åtgärder. Sammantaget estimat för att lösa ovanstående uppdrag är fem tjänster. Men med en viss samordning med befintlig verksamhet vid MSB så torde tre till fyra tjänster vara tillräckligt, vilket enligt angiven schablon motsvarar tre till . Övriga kostnader bedöms kunna finansieras inom MSB:s befintliga budget för ordinarie verksamhet. 10.2.2Upprättandet av ett kansli för myndighetsrådets arbete Utredningen föreslår ett myndighetsråd med ett antal uppgifter. Rådet förslås fungera som en gemensam remiss- och berednings- instans i informationssäkerhetsfrågor. Rådet ska även säkerställa verkställandet av den nationella informations- och cybersäkerhets- strategin. Vidare föreslås att rådet ska förvalta och utveckla tillämpliga krav på standarder och certifiering och för produkter och tjänster med bäring på informationssäkerhet i samhällsviktig verksamhet. bör även med stöd bl.a. av den natio- nella styrmodellen och tillsammans med den nya upphandlings- myndigheten ge stöd till myndigheter som har behov av expert- kompetens vad gäller it- och informationssäkerhet. Slutligen ska rådet även identifiera andra frågor än de ovan nämnda som kan göras till föremål för rådets behandling. Till ovan tillkommer att rådet ska förses med lägesbeskrivningar av hot- och risknivåer i den statliga verksamheten baserat på ett system för incidentrapportering. För att kunna driva arbetet med att förebygga, följa och åtgärda brister i statens informationssäkerhet behöver myndighetsrådet ett kansli. Förutom att tillgodose kansliet med underlag enligt ovan, så är kansliets uppgift även att säkerställa ett informationsutbyte och en samordning av de samverkande myndigheterna. Enligt utred- ningen bör myndighetsrådets kansli vara placerat hos MSB. Huvuddelen av uppgifterna kopplade till myndighetsrådet kan finansieras inom befintlig budget för respektive deltagande myndighet.