sou · H3B323 · 2015-03-10 00:00:00 — Vidare finns vid MVI även Krigsvetenskapliga avdelningen – KVA, som bedriver utbildning och forskning inom områdena In- formationsoperationer och informationskrigföring på operativ nivå. har som övergripande uppgift enligt 1 § förordningen (2010:1497) med instruktion för i uppgift att stödja och samordna elektronisk identifie- ring och signering i den offentliga förvaltningens e-tjänster. Den samordnande funktionen på området för e-legitimationer innebär t.ex. att hålla register över utfärdare av e-legitimationer, ställa upp standardiserade krav på e-legitimationers tekniska utformning och säkerhet samt när nya utfärdare önskar delat i infrastrukturen pröva och godkänna dessa. Myndigheten har också fattat ett inriktningsbeslut att stödja även privat sektors användning av e-legitimationer bl.a. genom att möjliggöra för registerhållning och upprättande av regler och avtal för privata aktörer. Myndigheten har även i uppgift att delta i internationellt stan- dardiseringsarbete, internationellt samarbete och informations- utbyte inom sitt ansvarsområde (2 §). E-delegationen, en kommitté under , inrät- tades 2009 för att stärka utvecklingen av e-förvaltningen och skapa goda möjligheter för myndighetsövergripande samordning (dir. 2009:19). Genom tilläggsdirektiv (dir. 2010:32) fick delegationen 2010 i uppdrag att främja och samordna myndigheternas arbete med att förbättra förutsättningarna för vidareutnyttjande av hand- Myndigheter med särskilt ansvar för informationssäkerhet lingar från den offentliga förvaltningen samt ta fram riktlinjer för statliga myndigheter användning av sociala medier. Genom till- äggsdirektiv (dir. 2013:40) fick delegationen 2013 i uppdrag att också undersöka behovet av en nationell standard för it-system inom vård och omsorg. Delegationen lämnade i Tredje generationens e-förvaltning (SOU 2009:86) förslag till en strategi för myndigheternas arbete med e- förvaltning. I Organisering av framtidens e-förvaltning (SOU 2013:75) föreslås att samordningen av de gemensamma e-förvalt- ningsfrågorna tas om hand av en medlemsorganisation med en uppbyggnad liknande . För att stärka samverkan med den statliga och kommunala sektorn föreslås vidare att den nya organisationen upprättar ett särskilt samarbetsorgan med den kommunala sektorn. Det föreslås att en särskild utredare utreder de närmare förutsättningarna för en sådan organisation och förvalt- ning. I Så enkelt som möjligt för så många som möjligt – IT- standardisering inom (SOU 2013:77) beskrivs resul- tatet av behovsinventeringen inom i en konsultrap- port med förslag om införande av en nationell tjänsteplattform. E- delegationen bedömer att inga specifika förslag om vilka standardi- seringar som är lämpliga kan lämnas på området. Vidare görs bedömningen att ett fördjupat analysarbete bör genomföras, dels för att värdera de initiativ som föreslås i rapporten, dels för att tyd- ligare belysa informationssäkerheten på området. Utgångspunkten för arbetet ska vara det arbete som skett inom delegationen vad avser digital samverkan och framför allt den vägledning för digital samverkan som utarbetats. Analysarbetet kräver djupare och speci- fik kompetens inom område och bör därför genom- föras av de organisationer som finns etablerade inom e-hälsoområ- det. För övriga delrapporter, se . Delega- tionen ska lämna en slutrapport . På webbplatsen anges följande om vad E-delegationen gör vad avser informationssäkerhet. Informationssäkerhet behöver förbättras i projekt där flera aktörer samverkar. Bland annat krävs en gemensam säkerhetskultur, metoder och regler. När it-lösningar koncentreras och integreras uppstår också nya risker. E-delegationen arbetar för att utveckla den gemensamma informationssäkerheten. Arbetet ska leda till en gemensam säkerhetsinfrastruktur och en större effektivitet i samverkansprojekt. Myndigheter med särskilt ansvar för informationssäkerhet Vidare pågår ett arbete med att ta fram en handlingsplan för att förverkliga de mål som finns i Strategi för informationssäkerhet i e- förvaltning och metodstöd för de projekt som drivs inom dele- gationen. har enligt sin instruktion (3 § förordningen (2007:1179) med instruktion för och landsarkiven) överinseende över den offentliga arkivverksamheten. Myndigheten ska verka för att de statliga myndigheterna fullgör sina skyldigheter enligt arkivlagen att bevara, hålla ordnade och vårda sina arkiv så att arkiven tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipning och förvaltning samt forskningens behov. ska också verka för en utveckling av arkiv- verksamheten och en ändamålsenlig gallring av handlingar, ge kommunerna råd i arkivfrågor samt verka för ökad enhetlighet mellan den statliga och den kommunala arkivhanteringen. Inom ramen för allmänna regelverk för myndig- heterna har föreskrifter om bl.a. informationssäkerhet, upphand- ling och tekniska krav meddelats beträffande elektroniska hand- lingar (RA-FS 2009:1 och 2009:2). Myndigheten har i samverkan med Myndigheten för samhälls- skydd och beredskap utarbetat en vägledning för fysisk informa- tionssäkerhet i it-utrymmen. Vidare har förvaltningsgemensamma specifikationer tagits fram inom projektet e-diarium (eARD) som är knutet till E-delegationen. 7.1Politiska mål för säkerhet och samhällets krisberedskap Målen för säkerhet är att värna befolkningens liv och hälsa, värna samhällets funktionalitet och värna förmågan att upprätthålla grundläggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter (prop. 2008/09:140, bet. 2008/09:FöU10, rskr. 2008/09:292). Den svenska säkerhetspolitiken utgår ifrån en bred syn på begreppet säkerhet som inrymmer såväl hot och risker som allvarliga händelser, kriser och militära hot (prop. 2012/13:1 utgiftsområde 6 s. 72). Med utgångspunkt i dessa övergripande mål för säkerhet är målen för samhällets krisberedskap att minska risken för och konsekvenserna av allvarliga störningar, kriser och olyckor. Skulle en sådan händelse inträffa bör alla människors personliga säkerhet och hälsa tryggas samt skador på egendom eller i miljö Vad gäller politikens inriktning uttalas i budgetpropositionen (prop. 2013/14:1 utgiftsområde 6 s. 96) följande om informations- säkerhet. är i stort sett all verksamhet beroende av fungerande informa- tionssäkerhet. En större it-incident kan få omfattande samhällskonse- kvenser både för den drabbade verksamheten men också för andra verksamheter dels genom ett beroendeförhållande till den verksamhet som påverkats, dels genom spridningsrisk av orsak till incidenten. Flera verksamheter kan därmed påverkas och regeringen vill därför åter betona vikten av informationssäkerhetsarbetet med risk-, sårbar- hets- och säkerhetsanalyser. Detta bör dock inte stanna vid att ana- lyser är genomförda utan ansvariga aktörer bör utifrån dessa upprätta handlingsplaner och genomföra åtgärder så att risken för it-incidenter etc. minimeras. I regeringens skrivelse (skr. 2009/10:124) Samhällets krisberedskap – stärkt samverkan för ökad säkerhet har målen för samhällets informationssäkerhet angetts enligt följande: Säkra samhällets funktionalitet, effektivitet och kvalitet. Bidra till samhällets brottsbekämpning. Stärka samhällets förmåga att förebygga och hantera allvarliga störningar och kriser. Främja näringslivets tillväxt. Värna medborgares fri- och rättigheter och personliga integritet. Öka medborgares och verksamheters kunskap om och förtro- ende för informationshantering och it-system. Myndigheten för samhällsskydd och beredskap (MSB) har haft i uppdrag att tillsammans med övriga myndigheter som ingår i SAMFI att ta fram en strategi för samhällets informationssäkerhet 2010–2015 utifrån dessa mål, se avsnitt 7.3.2. I Försvarsberedningens senaste rapport, Försvaret av Starkare försvar för en osäker tid (Ds 2014:20), tar beredningen upp cybersäkerhet i ett eget kapitel. Där konstaterar beredningen, liksom i tidigare rapporter, att människor och stater är alltmer beroende av digitala informations- och kommunikationssystem. Detta har medfört nya former av interaktion, datahantering och datalagring, men även nya sårbarheter. Som utredningen beskrivit i avsnitt 4.4 finns det stora säkerhetsutmaningar i det växande it- användandet och it-beroendet. Utredningen återkommer här till Försvarsberedningens bedömning (sid. 31): Hot- och riskskalan inom det informationsteknologiska området spänner från mindre omfattande risker för den enskilde medborgaren, till väl planerade och med precision riktade s.k. cyberattacker mot vitala delar i samhällets funktionalitet. Konsekvenserna innefattar spridningseffekter som drabbar samhällsviktig verksamhet i flera sektorer. Samman- kopplingen mellan olika typer av industriella informations-och styrsystem utgör en växande sårbarhet. Störningar eller antagonistiska hot där dessa system tas över av tredje part kan hota samhällsviktiga funktioner och ytterst ett lands suveränitet. Data-och nätverksoperationer har utvecklats till att utgöra ett separat antagonistiskt hot såväl som ett av flera militära maktmedel. Riktade angrepp såväl inom som mot cyberområdet kan utföras av både statliga och icke-statliga aktörer. Försvarsberedningen konstaterar vidare att samlade för- måga att förebygga, motverka och aktivt hantera konsekvenserna av civila och militära hot, händelser och attacker på cyberområdet måste öka. För att möjliggöra ett koordinerat beslutsfattande framhåller Försvarsberedningen betydelsen av att det mellan civila myndigheter och Försvarsmakten finns en delad lägesinformation vid händelser. Försvarsberedningen betonar fortsatt behovet av att se på möjligheten att fortsatt stärka it-robustheten i samhället och analysera behovet av att utveckla cyberförmågor. är den myndighet under regeringen som förbere- der regeringens ärenden och i övrigt är regeringen behjälplig. I ingår Statsrådsberedningen, Förvaltningsavdel- ningen och tio departement. Statsministern är chef för . Förvaltningsärenden och lagstiftningsärenden fördelas mellan departementen på det sätt som anges i bilagan till förord- ningen (1996:1515) med instruktion för . Av i den civila statsförvaltningen RIR 2014:23 s. 72 f. framgår hur är organiserat för att hantera informationssäkerhet: I har varje fackdepartement på regeringens vägnar ansvar för att följa upp sina respektive myndigheters informations- säkerhetsarbete. I praktiken innebär det att varje myndighetshandläggare hanterar frågor som handlar om myndighetens informationssäkerhet. Detta förutsätter dock att myndighetshandläggaren får signaler om att det finns behov av att uppmärksamma informationssäkerhetsarbetet. Sådana signaler kan vara it-incidenter vid myndigheten, uppmärksamhet i massmedier eller att frågan om informationssäkerhet väcks inom . Hur frågor som berör informationssäkerhet fördelas mellan depar- tementen avgörs tydligast av den ansvarsfördelning som är fastställd i en bilaga till instruktion. Beroende på vad inform- ationssäkerhetsfrågan handlar om styrs den till det departement som huvudsakligen berörs. Ett ärende som rör flera departements verksam- hetsområden ska handläggas inom det departement till vilket det huvudsakligen tillhör och beredas i samråd med övriga berörda statsråd (gemensam beredning). I arbetet med att få en bild av samhällets informationssäkerhet har utredningen kontaktat , Utrikesdepartemen- tet, Försvarsdepartementet och för att få underlag som beskriver respektive departements arbete med in- formations- och cybersäkerhetsrelaterade frågor. Underlaget pre- senteras nedan. har en viktig roll i att säkerställa statens ansvar att skydda sina medborgare från att bli utsatta för brott och säkerställa att alla kan åtnjuta sina mänskliga rättigheter fullt ut även i då allt mer av mänsklig interaktion sker genom inter- net. har ansvar för frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för Regeringskansli- ets egen krisberedskap. Departementet har också ansvar för bevak- ning och hantering av it-relaterad brottslighet, vissa informations- säkerhetsfrågor, inklusive säkerhetsskydd, skydd för personupp- gifter samt it-frågor i bredare bemärkelse kopplat till allmän ord- ning och säkerhet. Beröringspunkterna utgår från horisontella frå- gor såsom grundläggande fri- och rättigheter, krisberedskap och mer specifika frågor om dataskydd, brottsbekämpning och skydd för rikets säkerhet. hanterar även frågor kopplade till it, in- formationssäkerhet och brottslighet genom myndighetstyrning och lagstiftningsarbete. Detta görs för att skapa förutsättningar för myndigheter som lyder under departementet såsom Polismyndig- heten, Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap och åklagarväsendet, att utföra sina uppdrag på detta område. Vid departementet ansvarar polisenheten (PO) för förvaltnings- och utvecklingsfrågor som gäller polisen, inklusive Säkerhetspoli- sen och därmed för förutsättningar för dessa myndigheter att ut- reda och beivra it-relaterad brottslighet och förebygga och avslöja brott mot rikets säkerhet. av samhällets krisberedskap (SSK) ansvarar för samordning avseende åtgärder m.m. för att utveckla, följa upp och förstärka samhällets krisbered- skap och civilt försvar, vilket inkluderar samhällets informations- säkerhet. Enheten har beredningsansvar för styrning av bl.a. Myn- digheten för samhällsskydd och beredskap. På lagstiftningssidan ansvarar åklagarenheten (Å) för lagstiftningsfrågor som rör allmänt åtal, förundersökning och tvångsmedel i brottmål, vilket innefattar många av de utredningsverktyg som polis och åklagare har till för- fogande för utredning av it-relaterad brottslighet. och internationellt rättsligt samarbete (BIRS) ansvarar för lagstiftningsfrågor som rör bl.a. internationell rättslig hjälp vilket är särskilt viktigt i gränsöverskridande it-relaterade brottsutredningar. , som är en kontaktpunkt för många in- och utgående ärenden i det internationella straff- rättsliga samarbetet, är vidare placerad på enheten. ordning och säkerhet (L4) har lagstiftningsfrågor som gäller bl.a. polisverksamhet och polisregister, internationellt polissam- arbete och säkerhetsskyddslagen. Straffrättsenheten (L5) ansvarar för lagstiftningsfrågor som rör straffrätt, såsom dataintrång och annan it-relaterad brottslighet. Slutligen ansvarar grundlagsenheten (L6) för lagstiftningsfrågor som bl.a. gäller skydd för den person- liga integriteten, skydd för personuppgifter och tryckfrihets- förordningen och yttrandefrihetsgrundlagen. En stor del av de säkerhetsrelaterade aspekterna på it-området handlar om att förebygga och skydda sig mot olika former av it- incidenter. Hot utgörs av allt ifrån tekniska fel till den mänskliga faktorn och olika typer av uppsåtliga it-attacker av antagonistiska statliga eller icke-statliga aktörer. Utöver detta är det inte ovanligt att t.ex. väderfenomen, naturkatastrofer och olyckor orsakar incidenter med it-inslag. Sådana incidenter tar inte sällan formen av olika typer av uppsåtliga it-attacker av antagonistiska statliga eller icke-statliga aktörer och utgör således även brottslig verksamhet. Av den anledningen berörs även av många frågor för vilket huvudansvaret ligger på andra departement vid . har ett ansvar för in- formationssäkerhetsfrågor enligt instruktionen för . Det är dock även andra departement som arbetar med informationssäkerhetsfrågor utifrån olika aspekter. Detta reflekte- ras även i hur samverkan sker mellan en mängd olika myndigheter med ansvar på området som har olika departement som huvudmän. Ett exempel på detta är samarbetet som finns mellan Säkerhetspoli- sen, Militära underrättelse- och säkerhetstjänsten (MUST) och () för kvalificerade it-brott och mer omfattande angrepp på it-system. Detta samarbete, som kallas Nationell samverkan mot kvalificerade it-brott (NSIT), syftar till att bättre utnyttja de expertresurser som de olika myndigheterna besitter. Utöver dessa nationella frågor finns det frågor kopplade till it- brottslighet och informationssäkerhet med en tydlig gränsöver- skridande dimension. Därför bevakar departementets enheter de internationella frågor som är kopplade till dess ansvarsområden. Här pågår viktigt arbete inom bl.a. EU (bl.a. den lagstiftande verk- samheten och samarbetet med it-brottscentret EC3 vid Europol, samt förhandlingar av NIS-direktivet), för narkotika och brottslighet UNODC och (i synnerhet kopplat till konventionen om it-relaterad brottslighet – ETS 185). Främjandet av bilateralt samarbete med tredje länder är också en viktig del i detta. () ansvarar för förbindelser med andra länder och de handlingsalternativ som ligger till grund för regeringens ställningstaganden i utrikespolitiska frågor. Globala frågor som rör internationella informations- och kommunika- tionsteknologier (ICT) har snabbt blivit ett växande och angeläget utrikespolitiskt frågekomplex som spänner över hela bredden av internationella relationer – bl.a. säkerhet, folkrätt, handel, ut- veckling och inte minst demokrati och mänskliga rättigheter – och behandlas i en mängd multilaterala, regionala och bilaterala fora. Internationella cyberfrågor utgör i allt högre grad en integrerad del av UD:s verksamhet. Det övergripande ansvaret för cyber- området inom UD främst ligger hos UD-FMR och UD-SP som har ett mycket nära samarbete. Därutöver berörs en rad andra en- heter också av cyber- och internetrelaterade frågor, inklusive UD- IH vad gäller handelsaspekter och allmänt för de olika geografiska enheterna. UD har nära samarbeten med övriga , bl.a. vad gäller internets styrning, Justitiedepar- tementet vad gäller arbetet med informations- och cybersäkerhet och cyberbrottsfrågor och Försvarsdepartementet vad gäller cyber- försvarsfrågor. UD ansvarar även för säkerhetspolitiska doktrinutveckling där cybersäkerhet förväntas spela en tilltagande roll UD ansvarar för en omfattande mängd svenska ställningstagan- den och hanterande av internationella cyberfrågor ur en rad olika aspekter, exempelvis internationell normbildning, deltagande i en stor mängd konferenser och möten, internationella förtroendebyg- gande åtgärder, resolutionsarbete, kapacitetsbyggande åtgärder och samarbeten och övningar liksom EU:s externa samarbeten och politiska dialoger. Cyberfrågor behandlas numera i en rad multila- terala och regionala organisationer för vilka UD har huvud- eller medansvar för, bl.a. FN, EU, Nato, och . Cyberfrågorna med sådant perspektiv utgör därmed en del av samlade utrikes- och säkerhetspolitik. De grundförutsätt- ningar som är allmänt vägledande för utrikes- och säker- hetspolitik återspeglas även i arbetet med cyberfrågorna. Försvarsdepartementet ansvarar bl.a. för militära försvar och dess stödmyndigheter samt samordning mellan det militära försvaret och det civila försvaret inom ramen för totalförsvar. Departementet planerar på strategisk nivå insatser och säkerhetsfrämjande verksamhet i och utanför vårt närområde och ger uppdrag till myndigheterna att genomföra samt följa upp dessa insatser. Försvarsdepartementet handlägger bl.a. förvaltningsärenden som gäller det militära försvaret, bi- och multilateralt försvars- och materielsamarbete och försvarsunderrättelseverksamhet. I dessa ingår bl.a. it-försvars-, signalskydds- och vissa informationssäker- hetsrelaterade frågor. Försvarsdepartementets organisation framgår av Regerings- kansliets föreskrifter med arbetsordning för Försvarsdepartementet (RKF 2014:11) och består av ett antal sekretariat och enheter. Sekretariatet för säkerhetspolitik, internationella relationer och analys (SI) svarar för frågor om säkerhetspolitik och internationell samordning. av försvarsunderrättelsefrågor () har till uppgift att löpande följa, inrikta och utveckla försvars- underrättelseverksamheten. Enheten har beredningsansvar för styrning av bl.a. (), och Försvarsmakten, såvitt avser myndighetens enhet för underrättelse- och säkerhetstjänst (MUST). , forskning och utveckling (MFU) svarar för materielförsörjning, forskning och utveckling samt annan stöd- verksamhet avseende departementets myndigheter. Enheten har beredningsansvar för styrning av bl.a. () och (). förmåga och insatser (MFI) svarar för frå- gor om det militära försvaret. Enheten har beredningsansvar för styrning av Försvarsmakten med undantag för de delar av myndig- heten som ansvarar för. Vissa av Försvarsdepartementets myndigheter löser uppgifter inom informationssäkerhetsområdet, som en del av sina huvud- uppgifter. Inom Försvarsmakten finns den Militära underrättelse- och säkerhetstjänsten (MUST). MUST:s säkerhetskontor ansvarar för kravställning, granskning, godkännande och vidmakthållande av signalskyddsystem för totalförsvaret samt kravställning och god- kännande av säkerhetsfunktioner för IT-system i Försvarsmakten. Signalskyddstjänsten syftar till att förhindra obehörig insyn och påverkan av telekommunikations- och it-system. MUST:s under- rättelse- och säkerhetsunderrättelseverksamhet bidrar även till att kartlägga yttre it-hot mot och svenska intressen. Inom Försvarsmakten finns även ett antal ledningsförband som har till uppgift att skydda Försvarsmaktens it-system mot angrepp. Inom it-försvarsförbandet (ITF) finns funktionen FM CERT (Computer Emergency Response Team) som hanterar IT-säkerhetsincidenter i Försvarsmakten samt analyserar och föreslår förbättringar i myndig- hetens verksamhet utifrån ett informationssäkerhetsperspektiv. FRA har uppgiften att upprätthålla hög kompetens inom tek- nisk informationssäkerhet och stödjer andra myndigheter och stat- liga företag med informationssäkerhetsanalyser. FRA biträder även Försvarsmaktens signalskyddsverksamhet med expertkompetens inom kryptografi. Inom myndighetens försvarsunderrättelseverk- samhet bedrivs signalspaning för att bl.a. kartlägga allvarliga yttre hot mot samhällets infrastrukturer. Det omfattar t.ex. att upptäcka it-angrepp från utlandet mot känsliga informationssystem i . Hos FMV finns certifieringsorgan för it-säkerhet (CSEC). CSEC är en oberoende enhet inom FMV, och verkar som nationella evaluerings- och certifieringsorgan för it-säker- het i produkter och system enligt standarden Common Criteria. CSEC licensierar företag som utför granskningar enligt dessa reg- ler. Produkter som certifierats av CSEC används av bl.a. Försvars- makten. FOI bedriver forskning, metod- och teknikutveckling för totalförsvaret, bl.a. inom informationssäkerhetsområdet, t.ex. ut- veckling av försvar av it-system. Till sin hjälp har man bl.a. avance- rade simuleringssystem. Inom finns två enheter som arbetar med digitaliseringen, it-politiska enheten (ITP) och en- heten för elektronisk förvaltning (EF). Verksamheten vid enhet- erna styrs av de mål som beslutats av regering och riksdag samt av de övergripande målen för och it-politiken. Arbetet vid ITP-enheten handlar om egna sektorsområden (t.ex. myndighetsstyrning av PTS, reglering av elektronisk kommunikation etc.), men också om horisontella frågor och samordning (t.ex. den digitala agendan). Då infrastrukturen och aktörer som utbjuder elektroniska tjänster arbetar på en konkurrensutsatt marknad påverkar det statens möjligheter till påverkan och styrning. Staten och det offentliga (inklusive kommuner och landsting) är å andra sidan en stor it-användare och har i dessa avseenden stora möjligheter att som kund kunna påverka utvecklingen (t.ex. e-förvaltning). Systemet med gemensam beredning innebär att enheterna också blir berörd av it- aspekter inom många politikområden. ITP-enheten ansvarar för över- gripande frågor, reglering, främjande och utveckling inom områdena it och elektronisk kommunikation samt post- och betaltjänster. Enheten arbetar bl.a. med bredbandsmarknaden, nätsäkerhet, radiospektrum- frågor och internets förvaltning. Ansvarsområdet omfattar även styrning och uppföljning av , samt . De åtgärder som vidtas syftar till att skapa goda förutsättningar för väl fungerande marknader och effektiv konkurrens.