sou · H3B323 · 2015-03-10 00:00:00 — För att bereda ärenden, följa upp nationella strategin, effektuera förvaltning och utveckling av tillämpliga krav på standar- der och certifiering av produkter och tjänster, säkerställa ett in- formationsutbyte, ge stöd till myndigheter som har behov av expertkompetens samt samordna lägesbeskrivningar av hot- och risknivåer finns det dock behov av tillskott på två tjänster för MSB vilket enligt angiven schablon motsvarar . Övriga kostnader bedöms kunna finansieras inom befintlig budget för respektive myndighet. 10.2.3Uppgiften att bedriva tillsyn Utredningen föreslår att MSB ges en allmän tillsynsuppgift över statliga myndigheters arbete. Uppgiften att bedriva tillsyn av efterlevnaden av regelverk hos statliga myndigheter, kommer med största sannolikhet innebära uppföljning, utvärdering och samordning av tillsynen samt att ge stöd och råd till myndigheterna. Uppföljning och revision är en nödvändig förutsättning för ett systematiskt informationssäker- hetsarbete. Detta arbete måste av nödvändighet till stor del bedrivas ute hos berörda myndigheter. Vidare innebär tillsynsuppgiften sannolikt att samordna och koordinera tillsynsmyndigheternas arbete i likhet med det förslag som tagit fram. Uppgiften innebär även att sam- verka med olika, för området relevanta aktörer (t.ex. myndig- heterna i myndighetsrådet). Sammantaget är en tillsynsverksamhet av denna karaktär personalintensiv om den ska ha avsedd effekt. Utredningen bedömer resursbehovet till fem till sex tjänster, vilket enligt angiven schablon motsvarar fem till . Övriga kostnader bedöms kunna finansieras inom befintlig budget för respektive myndighet. Huvuddelen av denna uppgift kan finansieras inom befintlig budget. I och med att ett obligatorium för it-incidentrapportering för statliga myndigheter föreslås kan en viss ökning av uppgifter förespås. Utredningen bedömer behovet till cirka två tjänster vid MSB. Den stora förändringsfaktorn är vad för kostnader som NIS- direktivet kommer att innebära. Om NIS-direktivet eller annan kravställning innebär att en dygnet runt verksamhet (s.k. 24/7/365) ska etableras vid MSB/CERT-SE så kommer detta innebära att minst fyra tjänster måste tillföras för att upprätthålla verksamheten över . Resursbehov bedöms därför vara två till sex tjänster vilket enligt angiven schablon motsvarar två till . Redan nu torde det finnas etablerade rutiner hos alla myndigheter i och med de krav som redan nu finns på ett systemetiskt informations- säkerhetsarbete genom MSB:s föreskrift. I detta sammanhang handlar det om att anpassa dessa rutiner till den obligatoriska it-incident- rutinen. När det gäller kostnader för övriga myndigheter bedöms dessa kunna finansieras inom befintlig budget. 10.2.5Säkrare kommunikation i staten Utredningen föreslår att samtliga myndigheter som anges i bilagan till förordningen (2006:942) om krisberedskap och höjd beredskap ansluts till (). Uppgiften att samordna, förvalta och säkerställa funktionalitet och säkerhet i SGSI omfattar ett antal uppgifter i form av ackreditering, uppföljning av efterlevnad och utveckling av nya tjänster. SGSI i sig är avgiftsfinansierad vad avser nya tjänster och funktionalitet. En ökad anslutningstakt och merutnyttjande av SGSI medför dock att det behöver tillföras personella resurser för förvaltning och säkerhetsarbete. För att genomföra de åtgärder som föreslås i utredningen kop- plat till säkrare kommunikation i staten bedöms det att två tjänster måste tillföras MSB, vilket enligt angiven schablon motsvarar . Övriga kostnader bedöms kunna finan- sieras inom ordinarie budget för MSB och de anslutande aktörerna. Utredningen föreslår att lämpliga åtgärder bör vidtas för att utveckla sensorteknik. Härvid uppstår en engångskostnad för tekniken. Kostnaden för sensorer kan till stor del finansieras inom ordinarie budget för berörda myndigheter. En stor osäkerhet ligger i vad säkra kommunikationstjänster kan komma att kosta för att säkerställa kontakten med de utplacerade sensorerna. De stora löpande kostnaderna ligger i att hyra in särskild kapacitet och är beroende på hur många kopplingar ut mot myndigheterna som ska utföras, samt hur kommunikationslös- ningen kommer se ut. En möjlighet skulle kunna vara att nyttja den statliga kommunikationsinfrastrukturen. Utredningen bedömer att det snarare blir minskade kostnader än ökade statliga intäkter som följd av utredningens förslag. På informationssäkerhetens område är det sannolikt så att en förbätt- rad organisation, i enlighet med våra förslag i normalfallet dels leder till lägre kostnader, dels förorsakar genomförandekostnad men en kostnadsminskning tack vare bättre säkerhet. En samordning inom statsförvaltningen som bygger på en gemensam styrmodell kan leda till lägre kostnader för statliga myndigheter, om man i stället för att utveckla egna varianter följer gemensamma principer. Standardiseringsinsatser, liksom de flesta it-investeringar, inne- håller i teorin en inledande investeringskostnad och därefter en period av ökande effektivitet, möjligen lägre kostnader förutsatt att organisation, resurser och kompetens anpassas till den nya tek- niken. Det är dock svårt att kvantifiera dessa effekter. Eftersom informationssäkerhet normalt anses ingå i kostnaderna för respektive verksamhet är utgångspunkten att flera förslag bör bäras av respektive verksamheter; kostnaderna kan antas vara ganska marginella i förhållande till de totala verksamhetskostnaderna. Den största kostnaden gäller framför allt den utökade rollen för Myndigheten för samhällsskydd och beredskap, vilket kräver en anslagshöjning. Samverkan kommer i stor utsträckning att behöva utvecklas med myndigheter med stor egen informationssäkerhets- verksamhet och kunskap om strategiskt arbete bl.a. de i det föreslagna myndighetsrådet ingående myndigheterna. En sådan samverkan kan leda till att man delar med sig av utvecklingsarbetets resultat. Behovet av höjt anslag för Myndigheten för samhällsskydd och beredskap, som specificerats ovan i anslutning till de olika för- slagen, kan täckas genom omdisponeringar inom utgiftsområde 06 Försvar och samhällets krisberedskap, varifrån myndighetens ram- anslag finansieras. Det kan också övervägas om en del av kost- naderna är att hänföra till en ny förvaltningspolitisk inriktning av statsförvaltningens arbete och därmed hänförlig till utgiftsområde 02 Samhällsekonomi och förvaltning, liksom det kan övervägas om delar av de kostnadsökningar som beskrivs är att hänföra till de krav på ökad digitalisering som statsförvaltningen varit föremål för, framförallt genom åtgärder hänförliga till utgiftsområde 22 Kom- munikationer. Ett sista förslag till övervägande är huruvida in- formations- och cybersäkerhet kommit att bli en så central del av statsförvaltningen i dess helhet att det förtjänar ett eget och nytt utgiftsområde. En utbredd användning av standarder i statlig verksamhet är till sin karaktär att betrakta som investeringar med förväntan om framtida vinster i form av ökad effektivitet, ökad säkerhet, liksom större konkurrens i näringslivet. Några av de samhällsvinster av en för- bättrad statlig användning av standarder och andra förslag som utredningen identifierat är: En säkrare och därigenom effektivare förvaltning ger större ut- rymme för andra ändamål än hantering av brister och fel. En större dynamik och konkurrenskraft uppnås om företag i sina mellanhavanden med den statliga förvaltningen kan använda öppna standarder och inte behöver anpassa sig till specifika myndighetsstandarder, vilket också kan minska den administrativa bördan för företagen. En ökad nationell konkurrenskraft kan åstadkommas om in- satser görs för ett ökat användande av internationella öppna stan- darder i statlig verksamhet. Förslagen bör om de genomförs ha en brottsförebyggande verkan. Såväl den nationella styrmodellen som tillsynen av regelefterlevnad och i synnerhet it-incidentrapporteringen torde, förutom åtgär- dernas primära effekt, dessutom skapa en större tydlighet kring det icke önskvärda beteendet, som kan tangera det kriminaliserade området, närmare bestämt brottet dataintrång. Sålunda är det också utredningens förväntning att de föreslagna åtgärderna ska verka avskräckande i förhållande till det icke önskvärda beteendet, dvs. att förslagen ska ha en allmänpreventiv effekt på de uppsåtliga formerna av hot mot informationssäkerheten. Utredningen menar också att de föreslagna åtgärderna kan ha en höjande effekt på anmälningsbenägenheten avseende misstänkta fall av dataintrång. För att få varaktig verkan för det brottsförebyggande arbetet måste flera av förslagen fullföljas och förenas med ytterligare åtgärder, se t.ex. härom avsnitt 9.6. Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it- system En särskild utredare ges i uppdrag att föreslå strategi och mål för hantering och överföring av information i elektroniska kom- munikationsnät och it-system. föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och itsystem, föreslå övergripande mål för samhällets informationssäkerhets- arbete, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur, klargöra begrepp som används inom informationssäkerhets- området och vid behov föreslå förtydligande eller alternativa benämningar och definitioner, särskilt av sådana som används i förslaget till nationell strategi, och med utgångspunkt i uppdraget redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informa- tionssäkerhetsområdet som de har . Nuvarande ansvarsförhållanden och åtaganden ska beaktas men inte begränsa utredningen, som ska utgå från ansvarsprincipen och gällande ekonomiska ramar. De begrepp eller benämningar som används i dessa direktiv ska inte föregripa eller begränsa utredarens arbete. Uppdraget ska redovisas . Målen för säkerhet är att värna befolkningens liv och hälsa, samhällets funktionalitet samt vår förmåga att upprätthålla grund- läggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter (propositionen Ett användbart försvar, prop. 2008/09:140, bet. 2008/09:FöU10, rskr. 2008/09:292). Det finns ingen motsättning mellan frihet och säkerhet utan dessa är ömsesidigt förstärkande. Med utgångspunkt i dessa övergripande mål för vår säkerhet är målen för arbetet med samhällets krisberedskap att minska risker för, och konsekvenser av, allvarliga störningar, kriser och olyckor. Skulle en sådan händelse inträffa bör människors liv, personliga säkerhet och hälsa tryggas samt skador på egendom och miljö begränsas (budgetpropositionen , prop. 2012/13:1 utg.omr. 6, bet. 2012/13:FöU1, rskr. 2012/13:93-95). All verksamhet är beroende av fungerande informations- system. Våra nätverk och system behöver vara säkra och stabila . Näringslivet, offentlig förvaltning och medborgarna måste känna tillit till att de digitala tjänsterna i samhället fungerar. Näringslivet har en betydelsefull roll som den största ägaren och förvaltaren av sam- hällsviktig informationsinfrastruktur. Konsekvenserna av en allvarlig it-incident skulle med stor sannolikhet genom bl.a. spridningseffek- ter kunna drabba samhällsviktig verksamhet i flera sektorer. Informa- tionssäkerhet berör således många olika verksamhetsområden bl.a. säkerhets- och utrikespolitiken, försvarspolitiken, näringsfrågor, socialfrågor och brottsbekämpning. För att nå målen för säkerhet är det mot denna bakgrund viktigt att ett systematiskt informationssäkerhetsarbete genomförs på bred front i samhället. Informationssäkerhet bör vara väl integrerat i arbetet med risk-, sårbarhets- och säkerhetsanalyser. Analyserna behandlar bl.a. sam- hällets förmåga att motstå och hantera allvarliga händelser och verksamheters ömsesidiga beroendeförhållanden. Förmåga att hantera it-angrepp är nödvändig främst för att minska risken för, och konsekvenser av, allvarliga it-incidenter som drabbar samhällsviktig verksamhet och kritiska infrastruktur- system. Allvarliga it-incidenter som drabbar dessa system och även förluster av mindre mängder information , kan medföra allvarliga konsekvenser och stora kostnader för samhället oavsett om det sker genom medvetna angrepp, misstag eller av olycka. Informationsteknikens utveckling har medfört nya former av kom- munikation, datahantering och datalagring vilket också innebär nya former för interaktion mellan individer, organisationer och stater. I allt väsentligt är detta en positiv utveckling. medför it- utvecklingen ett större beroende mellan olika sektorer och verk- samheter och därmed också ökade sårbarheter. Detta har utvecklats till en av vår tids mest komplexa frågor. En ökande hantering av personinformation i informations- system medför också behov av funktioner för att tillgodose den personliga integriteten. beslutade regeringen om It i människans tjänst – en digital agenda för , (N II 2, N2011/342/ITP, m.fl.). Av detta beslut framgår regeringens mål att ska vara bäst i världen på att använda digitaliseringens möjligheter. Detta mål har också antagits av (budgetpropositionen , prop. 2011/12:1, bet. 2011/12:TU1, rskr. 2011/12:87). beslutade regeringen om Med medborga- ren i centrum. Regeringens strategi för en digitalt samverkande stats- förvaltning, (N II 10, N2012/6402/ITP m.fl.). Genom att samverka digitalt kan myndigheternas kontakter med medborgarna förenklas, innovation och delaktighet stödjas, som statsförvalt- ningens effektivitet och kvalitet ytterligare kan höjas. En viktig utgångspunkt i all utveckling av statsförvaltningens tjänster är att effektivitet och service alltid måste vägas mot skyddet för den enskildes integritet och behov av sekretesskydd och att med- borgarna har tillit till att systemen är säkra. utgör säkerhet, öppenhet och integritet kopplat till informa- tionssäkerhet en stor utmaning såväl nationellt som internationellt. En allvarlig it-incident, men även långvariga oupptäckta informa- tionsförluster, bedöms kunna få stora konsekvenser för den svenska ekonomin, för samhällsviktig verksamhet, kritisk infra- struktur och för enskilda individer. Internet används för både civila och militära ändamål och såväl staters som individers och organisationers säkerhet måste tillgodo- ses. Handel, immaterialrätt, tekniköverföring, nätsäkerhet, frågor om kritisk infrastruktur, demokrati, mänskliga rättigheter, bistånd och it-brott hänger samman med säkerhetspolitiska och försvars- politiska överväganden och utgör delar av samma problemkomplex. Det medför att en ansats att hantera problem inom området bör koppla samman dessa frågeställningar. Hot mot elektroniska kommunikationsnät och it-system Hoten mot elektroniska kommunikationsnät och it-system är mångfacetterade, komplexa, svårdefinierade och föränderliga. Hot utgörs av allt ifrån tekniska fel till den mänskliga faktorn och medvetna handlingar. Utöver detta är det inte ovanligt att t.ex. väderfenomen, naturkatastrofer och olyckor orsakar incidenter med it-inslag. It-angrepp kan utgöras av intrång som syftar till att störa funktionaliteten, förändra, stjäla eller manipulera information eller helt ta över ett informationssystem. It-angrepp mot samhällsviktig verksamhet och kritisk infrastruktur, såväl statlig som privat, kan också syfta till att begränsa tillgången till information eller funk- tioner. Ett exempel på sådana angrepp är överbelastningsattacker. En aktör kan också via it-angrepp störa, slå ut eller skaffa sig tillgång till styr- och kontrollsystem samt ledningscentraler för samhällsviktig verksamhet och kritiska infrastrukturer, exempelvis telenät, elnät, transportsystem, finanssystem, va-verk, processindustrier eller militära ledningssystem. Sådana it-angrepp kan förekomma såväl i fredstid som under kris eller krig och kan användas för att kom- plettera konventionella militära förmågor. Utvecklingen av militära it-förmågor internationellt innebär att även måste förhålla sig till nya krav på hur man försvarar sig mot en motståndare som har tillgång till sådana förmågor. Det sker en ansenlig mängd brottsliga angrepp inriktade på att kompromettera informationssystem för att otillbörligen komma åt information. Spionage sker i ökad omfattning och utförs såväl av stater som av organisationer och enskilda. Det är tydligt att verksamhetskritisk och känslig information inom både det offentliga och det privata är potentiella mål för olika typer av angrepp. Ett annat hot är att ökande krav på säkerhets- åtgärder i elektroniska kommunikationsnät, it-system och på inter- net riskerar att leda till inskränkningar av mänskliga rättigheter med stora politiska, sociala och ekonomiska konsekvenser som följd. Särskilt på det internationella planet är detta en oroväckande trend som ofta grundar sig i olika definitioner av begreppet säker- het och där vissa regimer använder säkerhet som skäl för att kon- trollera den egna befolkningen. Ansvar och samverkan mellan samhällsaktörer Att öka förmågan att förebygga och hantera allvarliga it-incidenter som drabbar samhällsviktig verksamhet är inte en uppgift för en enskild aktör eller myndighet utan något som privata och offentliga aktörer tillsammans bör bidra till. Nationell och internationell samverkan mellan militära och civila statliga myndigheter, inklusive försvarsunderrättelseverksamheten, och med kommuner och lands- ting är en förutsättning för att kunna förebygga, förhindra och hantera dessa risker. Övningar är ett viktigt instrument för att för- bättra förutsättningarna för samverkan samt att identifiera, åtgärda och förebygga brister. Grunden för samhällets krisberedskap är ansvarsprincipen (pro- positionen Stärkt krisberedskap – för säkerhets skull, prop. 2007/08:92, bet. 2007/08:FöU12, rskr. 2007/08:193-194). Det innebär att den som har ansvar för en verksamhet under normala förhållanden också har det under allvarliga händelser, kriser eller krig. I ansvarsprincipen ingår även att samverka och samordna sig med andra aktörer i den omfattning som krävs för att effektivt förebygga och hantera en allvarlig händelse. It-utvecklingen utmanar många traditionella föreställningar om säkerhetspolitikens omfattning, aktörer och logik. Ökat beroende av elektroniska kommunikationsnät och it-system förutsätter inter- nationell samverkan. Internationellt är det viktigt att har en tydlig inriktning på området för att kunna påverka den säkerhets- politiska utvecklingen. En stor utmaning i arbetet är staters skilda syn på hotbilder, doktriner och definitioner kopplade till informa- tionssäkerhet. En tydlig skiljelinje är staters olika syn på hur grund- läggande mänskliga rättigheter som yttrandefrihet förhåller sig till nationellt definierade säkerhets- och suveränitetsaspekter. För att alla på bästa sätt ska kunna nyttja de möjligheter som informa- tionstekniken ger behöver frihet, öppenhet och säkerhet för använ- darna baserat på rättsstatsprincipen utgöra en självklar grund för informationssäkerhetsarbetet. Att kunna upprätthålla en öppen, säker, motståndskraftig och tillförlitlig elektronisk kommunikationsmiljö är betydelsefullt för alla länder, och säkerheten för är beroende av den globala utvecklingen. I strategin för Europeiska unionens inre säkerhet (ISS) konsta- teras att it-brottslighet är ett hot särskilt mot medlemsstaternas informationssystem. och utrikestjänsten (EEAS) har presenterat en övergripande europeisk cybersäkerhetsstrategi som berör både EU-interna som EU-externa aspekter av it-frågor ((2013) 1 final). Den digitala agendan för ägnar ett avsnitt åt it-brottslighet och it-attacker mot informationssystem samt ett avsnitt om tillit och säkerhet. har antagit flera rekommendationer som berör informationssäkerhet och inter- netpolicy. Organisationen genomför också analyser av området, bl.a. av nationella informationssäkerhetsstrategier som antagits i ett flertal länder. Föreslå en strategi och mål för samhällets informationssäkerhet Myndigheternas arbete med informationssäkerhet ska bedrivas ut- ifrån en nationell strategi som tar sin utgångspunkt i att värna befolkningens liv och hälsa, samhällets funktionalitet samt för- mågan att upprätthålla grundläggande värden som demokrati, rätt- säkerhet och mänskliga fri- och rättigheter. Att stärka samhällets säkerhet kräver att skyddsvärden, hot och skyddsmedel ses i ett sammanhang. Denna helhetssyn bör genomsyra verksamhet över hela kedjan från orsaksförebyggande och sårbarhetsreducerade till hanterande och återuppbyggande verksamhet. Informationssäkerhet är en betydelsefull del i arbetet med att nå målen för säkerhet och samhällets krisberedskap. Därför bör arbetet med att stärka informationssäkerheten vara en del av det allmänna säkerhets- och krisberedskapsarbetet. För att hålla samman såväl det nationella som det internationella arbetet inom informationssäkerhetsområdet och för att nå politiska mål är det viktigt med en nationell strategi som bl.a. tar sin utgångs- punkt i en bred säkerhetspolitisk kontext. Strategin ska ta sin ut- gångspunkt i målen för säkerhet och målen för samhällets krisberedskap. Strategin ska utgå från, och även kunna bidra till, fortsatt ut- veckling av politiska prioriteringar på området. Strategin ska inne- hålla övergripande mål samt utgångspunkter för hur aktörer i sam- hället ska samverka i arbetet med att förebygga, upptäcka, ingripa mot och agera i samband med allvarliga it-incidenter som drabbar samhällsviktig verksamhet. De övergripande målen ska utformas så att de ger mål, riktlinjer för och prioriteringar som kan ligga till grund för myndigheternas eget informationssäkerhetsarbete. Utredaren ska ta hänsyn till den internationella samverkan som existerar på området, åtaganden som ålagts till följd av internationella konventioner samt förpliktelser som EU-medlem. Den nationella strategin för hantering och överföring av information i elektroniska kom- munikationsnät och it-system ska ses som ett övergripande sam- manhållet ramverk för hur arbetet med informationssäkerhet ska bedrivas i . Det förutsätts att mer nedbrutna detaljerade riktlinjer och handlingsplaner skapas för delområden och sektorer i samhället inklusive det militära försvaret och försvarsunderrättelse- verksamheten. Den nationella strategin för hantering och överföring av informa- tion i elektroniska kommunikationsnät och it-system ska hantera risker på alla nivåer i samhället. Informationssäkerhetsområdet är tvärsektoriellt och omfattar många aktörer i samhället på lokal, regional och central nivå. Även näringslivet har en stor roll i detta arbete. Till detta kommer också den internationella dimensionen där olika aspekter måste beaktas. Den nationella strategin bör inkludera alla relevanta aspekter och aktörer. Syftet med strategin ska vara att uppnå ett effektivare och mer samordnat arbete med informationssäkerhet i samhället. Strategin ska vara ett stöd för myndigheternas arbete och kopplas till styr- medel och åtgärder för att åstadkomma ett operativt och verksamt arbete med informationssäkerhet i hela samhället. Nuvarande ansvarsförhållanden och åtaganden ska beaktas men inte begränsa utredningen, som ska utgå från ansvarsprincipen och gällande eko- nomiska ramar. föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system och föreslå övergripande mål för samhällets informationssäkerhets- arbete, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur. Inför arbetet med strategin ska utredaren ta del av de nationella strategier som redan tagits fram av ett flertal länder. Utredaren ska också beakta det arbete som sker på informationssäkerhetsområdet inom bl.a. EU, Nato och . Definiera begrepp inom området Uttrycket informationssäkerhet används bl.a. i regeringens pro- positioner, skrivelser och i vissa författningar, t.ex. myndighets- instruktioner. Internationellt förekommer ”information security” och ”cyber security”. Dessa uttryck används delvis med över-