sou · H3B323 · 2015-03-10 00:00:00 — b.granska och godkänna evalueringsföretagens rapporter samt utfärda certifikat vid godkända evalueringar av c.samverka internationellt för att utveckla en standard för granskning av it-säkerhet och kryptering som motsvarar svenska behov d.ge stöd till MSB vid utveckling av internationella och nationella PP:ar8 e.utveckla CVP, vilket ska bestå av tilläggsregler för kryptogranskning inom ramen för Common Criteria, i de fall där internationell standard inte motsvarar svenska behov f.i samverkan med MSB, Försvarsmakten och FRA utarbeta ett förslag (med kostnader) för hur kan erhålla förmågan att utvärdera skyddsåtgärder i it-produkter som ska motstå fysiska angrepp g.på MSB:s uppdrag göra tilläggsgranskning av kommersiella kryptoprodukter baserat på CVP. 8 Protection profile. Regeringens uppdrag till () () ska ansvara för att a.analysera kryptotillämpningar på arkitekturnivå i syfte att ge stöd kring att fastställa en rimlig och komplett säkerhetslösning för givna applikationer och miljöer vid kravställning b.ge stöd till Försvarsmakten vid val av kryptografiska algoritmer, protokoll och standarder. Regeringens uppdrag till Försvarsmakten Försvarsmakten ska ansvara för att a.föreskriva vilka kryptografiska algoritmer, protokoll och standarder som får användas av statliga myndigheter b.genomföra kryptogranskning och KSU-godkännande c.ge stöd till FMV/CSEC i deras arbete med utveckling av tilläggsregler för kryptogranskning inom ramen för Common Criteria d.ge stöd till MSB vid utveckling av internationella och nationella PP:ar. Regeringens uppdrag till Kammarkollegiet Kammarkollegiet ska på uppdrag av MSB genomföra ramavtalsupphandlingar av b.systemintegratörer som kan krypto Regeringen bör utnämna utvecklingen av signalskydd till ett nationellt säkerhetsintresse Regeringen bör utpeka och anmäla till att utveckling och anskaffning av signalskydd utgör ett nationellt säkerhetsintresse inom försvars- och säkerhetsområdet. För att genomföra ovanstående åtgärder bedöms inledningsvis ett minimum av elva nya årsarbetskrafter tillföras myndigheterna, varav tre till MSB, tre till FM, två till FMV/CSEC, två till FRA samt en till Kammarkollegiet. Bilaga 1: Nulägesbeskrivning Vad är signalskydd och KSU? Signalskydd är åtgärder som syftar till att förhindra obehörig insyn i och påverkan av tele- och radiokommunikationer. Signalskydd omfattar bl.a. användning av kryptografiska funktioner i informationssystem. Termen signalskydd har sina rötter i den avlyssning genom signalspaning som ständigt pågår mot telekommunikations- och informationssystem som en väsentlig del av främmande makts underrättelsetjänst. Begreppet signalskydd är starkt reglerat och avser obligatoriskt skydd av elektronisk kommunikation av sekretessbelagda uppgifter som rör rikets säkerhet. Signalskyddssystemens skyddsnivå är dimensionerad att möta hotbilden från andra länders underrättelsetjänster och kräver därför omfattande skyddsåtgärder samt att systemen företrädesvis är framtagna av en inhemsk kryptoindustri. Behovet av att skydda elektronisk kommunikation i bredare mening än för rikets säkerhet har kommit att bli allt mer aktuellt. Därför har det tagits fram krypto för skyddsvärda uppgifter (KSU). KSU utgörs av kryptosystem som tillsammans med ett regelverk är nationellt godkända av Försvarsmakten och kan användas vid elektronisk kommunikation av sekretessbelagda uppgifter som inte rör rikets säkerhet. KSU är alltså ingen ersättning utan ett komplement till signalskydd. Termen ”säkra kryptografiska funktioner”9 avser både signalskydd och KSU. Målsättningen med KSU är att kvalitetssäkrade och kommersiellt tillgängliga produkter, tillsammans med ett av Försvarsmakten framtaget regelverk och en för organisationen anpassad hantering, ska kunna höja säkerhetsnivån jämfört med . För att system som använder säkra kryptografiska funktioner ska kunna ge ett effektivt skydd krävs att hela processen, allt från generering av kryptonycklar till slutanvändarnas hantering av systemet, håller en nivå som är anpassad för den information som systemet avser att skydda. Genom nationellt godkännande säkerställs skyddsnivån och kvaliteten på såväl teknik som regelverk, rutiner och behörighetsutbildning. har över 160 organisationer godkända signalskyddssystem. För civilt bruk finns 17 godkända signalskyddssystem inom produktområdena datakommunikation, meddelandekrypton och talkrypton. Dessa system är gemensamma för Försvarsmakten och civila sektorn. Det finns endast ett godkänt KSU-krypto (filkryptot KGAI). Detta är dock det nationellt mest utbredda kryptosystemet. Traditionellt har signalskydd framförallt varit en militär angelägenhet, där det gällt att skydda sin egen kommunikation mot fientlig signalspaning. Historiskt har det militära behovet av signalskydd ensamt motiverat omfattande statliga satsningar på utveckling av signalskyddssystem. Det civila behovet har uppstått genom samordningsbehov mellan militärt och civilt försvar inom ramen för totalförsvaret. skapades därför en totalförsvarsgemensam signalskyddsstruktur när () bildades. Efter det har inriktningen av den civila signalskyddsverksamheten även kopplats till krisberedskap. försvarsbeslut fick den civila delen av totalförsvaret även till uppgift att värna civilbefolkningen under kriser. 9 Termen ”Säkra kryptografiska funktioner” definieras i krisberedskapsförordningen SFS (2006:942) 4§ som ”kryptografiska funktioner godkända av Försvarsmakten”. försvarsbeslut kom det vidgade säkerhetsbegreppet. Definitionen av totalförsvaret ändrades inte utan insikten om samhällets säkerhet och den vidgade hotbilden ledde fram till Sårbarhets- och säkerhetsutredningen . Ansvaret för den civila inriktningen och materielförsörjningen övertogs av () från när KBM inrättades 2002. När KBM lades ned 2008 övergick inriktningsansvaret för den civila signalskyddsverksamheten till den nybildade myndigheten och materielförsörjningen till FRA. Den civila signalskyddsverksamheten regleras i krisberedskapsförordningen. fick Försvarsmakten i myndighetens instruktion uppdraget att, utöver signalskyddstjänsten, även leda och samordna arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information. Detta uppdrag föranledde dock ingen ökad tilldelning av medel. har behovet av kryptografiska funktioner för internationell verksamhet ökat markant, särskilt inom EU och NATO. blev en godkänd andraparts-evaluerare av krypto inom EU. Denna funktion, AQUA (Appropriately Qualified Authority), innehas av Försvarsmakten. Det finns fem svenska kryptosystem som godkänts av Europeiska unionens råd. Försvarsmakten (FM) Försvarsmakten ska leda och samordna signalskyddstjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information (KSU)10. Försvarsmakten ska också biträda i frågor som rör kryptoverksamhet och annan signalskyddsverksamhet11. Detta är en olycklig skrivning eftersom säkra kryptografiska funktioner här definieras som en delmängd av signalskyddet medan säkra kryptografiska funktioner i krisberedskapsförordningen definieras som signalskydd och KSU. Försvarsmakten arbetar därför för att få till ett förtydligande i instruktionen till FM. Försvarsmakten får meddela övriga statliga myndigheter föreskrifter i frågor om signalskyddstjänsten inklusive säkra kryptografiska funktioner inom totalförsvaret, förutom i fråga om verkställigheten av 33 § förordningen (2006:942) om krisberedskap och höjd beredskap12. Försvarsmakten beställer all utveckling och vidmakthållande av signalskyddsmateriel samt leder och samordnar kravställning, utveckling, granskning, godkännande, drift och avveckling av signalskyddssystem. I detta arbete har myndigheten ett tydligt ansvar att ta fram en relevant hotbild och korrekta säkerhetskrav som ska möta denna hotbild. Försvarsmakten anskaffar också löpande färdigutvecklad signalskyddsmateriel för eget och till viss del för andra myndigheters13 behov14. Alla Försvarsmaktens beställningar inom detta område går till FMV. Försvarsmakten producerar och distribuerar totalförsvarets behov av kryptonycklar, aktiva kort och certifikat. FRA stödjer genom att ombesörja beställningar och distribution till de civila myndigheter som själva inte har tillgång till Försvarsmaktens system. 10Förordning (2007:1266) med instruktion till Försvarsmakten, 3 b § punkt 3. 11Förordning (2007:1266) med instruktion till Försvarsmakten, 3 b § punkt 4. 12Förordning (2007:1266) med instruktion till Försvarsmakten, 33 §. , , , och Totalförsvarets rekryteringsmyndighet. 14Förordning (2006:942) om krisberedskap och höjd beredskap, 32 §. I rollen att leda och samordna ingår förutom att utarbeta föreskrifter15 att fastställa krav på utbildningsnivåer och annat erforderligt regelverk. Försvarsmakten utbildar personal vid , statliga myndigheter och Försvarsmaktens organisationsenheter i syfte att uppnå de behörigheter som behövs för att få verka inom signalskyddstjänsten. Man följer också upp signalskyddstjänstens verksamhet genom återkommande kontroller. Försvarsmakten16 stödjer UD/NSA (Authority), NCSA/CAA (Authority/Crypto Approval Authority), NDA (National Distribution Authority) samt TA (Tempest Authority) och tecknar med bemyndigande från () med andra länder. Av råds beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter framgår bland annat att kryptoprodukter för skydd av sådana uppgifter ska vara godkända av en medlemsstats nationella kryptogodkännande organisation (CAA) samt ha genomgått en andra granskning, en s.k. andrapartsevaluering, av en AQUA (Appropriately Qualified Authority) innan produkten godkänns av rådet. En AQUA utnämns av rådet på grundval av kriterier som rådet fastställt och innebär att organisationen har teknisk kompetens och goda processer inom kryptoområdet som gör den lämplig att genomföra kryptoevalueringar. I är Försvarsmakten CAA och även utnämnd till AQUA såsom ett av sex länder. Nationellt får dock medlemsstaterna godkänna signalskyddssystem för skydd av EU-sekretess upp till och med nivån EU Confidential. Försvarsmakten har även godkänts av NATO för att godkänna system för skydd av NATO-sekretess upp till och med nivån NATO Confidential. Försvarsmakten har också uppgiften att på uppdrag av stödja den svenska kryptoindustrin med export av svenska kryptosystem. Myndigheten för samhällsskydd och beredskap (MSB) MSB har uppgiften att inrikta civila myndigheters signalskyddsverksamhet och arbete med de säkra kryptografiska funktioner som är nationellt godkända. Genom att nyttja nationellt godkända kryptografiska funktioner ges , myndigheter och andra samhällsviktiga verksamheter förmåga till säkert tvärsektoriellt informationsutbyte. MSB är bemyndigat av regeringen17 att besluta om vilka myndigheter som ska kunna kommunicera med kryptografiska funktioner, utöver de som regeringen pekat ut i krisberedskapsförordningen. Dessutom kan MSB besluta om och ingå avtal med de kommuner, organisationer och företag som ska tilldelas säkra kryptografiska funktioner. I krisberedskapsförordningen har regeringen pekat ut följande myndigheter: Försvarsmakten, , , , , , , , Myndigheten för samhällsskydd och beredskap samt . 15FFS 2005:2 Förvarsmaktens föreskrifter om signalskyddstjänsten inom totalförsvaret. 16Egentligen Avdelningen för Krypto och IT-säkerhet vid MUST. 17I enlighet med 31§ förordningen 2006:942 om krisberedskap och höjd beredskap med ändringen SFS 2008:1003. MSB:s beslut effektueras av . MSB föreskriver18 om den signalskydds- beredskap som gäller för de myndigheter och organisationer som tilldelats signalskydd. MSB har det övergripande ansvaret att leda och samordna arbetet med säkra kryptografiska funktioner för civila aktörer. I detta ingår att vara kravställare gentemot Förvarsmakten vid utveckling av nya system samt anskaffa och besluta om tilldelning. FRA stödjer statliga myndigheter, statligt ägda bolag samt samhällsviktiga företag som hanterar information vilken bedöms vara känslig ur krishanteringssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. FRA ger tekniskt stöd avseende signalskyddsverksamheten och säkra kryptografiska funktioner. FRA har uppgiften19 att tilldela , , och säkra kryptografiska funktioner. FRA tilldelar också säkra kryptografiska funktioner till de myndigheter som MSB beslutar om ska ha det samt företag, kommuner och organisationer som efter överenskommelse ska få tillgång till eller ingå avtal om tilldelning. Tilldelning innefattar materiel och användarstöd, nycklar och certifikat samt samordning och utbildning. Användare som tilldelats kryptosystem ska ges särskild utbildning i handhavande av materiel och kryptonycklar. FRA ansvarar för att civila användare kan ges den signalskyddsutbildning som föreläggs. FRA har en av tre nationellt godkända kryptoverkstäder samt civilt användarstöd för signalskydd och KSU. Civila myndigheter och samhällsviktiga verksamheter som inte själva kan beställa kryptonycklar, aktiva kort och servercertifikat av Försvarsmakten beställer dessa via FRA. FRA distribuerar aktiva kort och servercertifikat till civila myndigheter och företag. FRA upphandlar utbildning för civila myndigheter av Totalförsvarets signalskyddsskola (TSS). FRA har behöriga lärare som genomför utbildning vid akuta eller särskilda behov. FRA deltar även vid inriktning av TSS. FRA:s kryptologer stödjer Försvarsmakten med matematiska bedömningar av nya kryptoalgoritmer genom den så kallade kryptopoolen som har funnits . FMV:s uppgift är att utveckla och anskaffa signalskyddsmateriel för textskydd, trafikskydd, intrångsskydd, behörighetskontroll m.m. i enlighet med uppdrag från Försvarsmakten. Signalskyddsmaterielen nyttjas inom hela totalförsvaret. Huvuduppdragsgivare för utveckling samt anskaffning inom området är Försvarsmakten samt MSB/FRA. Dessutom genomförs anskaffning av aktuellt materiel på uppdrag av FMV, FRA, FOI, PTS, UD m.fl. FMV har även uppdraget att samordna signalskyddsverksamheten inom försvarsindustrin. 18MSBFS 2009:11 Myndigheten för samhällsskydd och beredskaps föreskrifter om civila myndigheters kryptoberedskap. 19I enlighet med 32§ förordningen 2006:942 om krisberedskap och höjd beredskap med ändringen 2008:1003. Certifieringsorgan för IT-säkerhet vid FMV (CSEC) Certifieringsorgan för IT-säkerhet (CSEC) är en självständig enhet vid som verkar som nationellt certifieringsorgan för granskning av it-säkerhet i produkter och system enligt den internationella standarden Common Criteria (ISO/IEC 15408). Syftet är att säkerställa att säkerhetsfunktioner i certifierade it-produkter verkligen ger det skydd som utlovats. CSEC utfärdar regler för hur kommersiella evalueringsföretag under myndighetens tillsyn granskar säkerhet i it-produkter. Reglerna omfattar bl.a. metoder för sårbarhetsanalyser, penetrationstester, kryptoverifiering, kontroll av produktleverantörens metodik, analys av design- och användar- dokumentation, funktionstester samt användning av automatiska analysverktyg. Exempel på pågående certifieringsuppdrag: säker kortläsare, dataslussar, brandväggar, säkra skrivare och VPN- system. FMV/CSEC fick 2009 Försvarsmaktens uppdrag att utveckla kompletterande regler för hur krypto kan granskas inom ramen för CSEC:s certifieringsordning. Ett förslag levererades till Försvarsmakten . Inom ramen för den nationella handlingsplanen för informationssäkerhet har FMV/CSEC i samverkan med Försvarsmakten och MSB vidareutvecklat förslaget. Det vidareutvecklade kryptogransknings- regelverket kallas Cryptographic Validation Program (CVP) och kan utgöra grunden för hur kommersiella produkter genom certifiering vid CSEC enligt dessa kryptoregler kan ligga till grund för ett KSU-godkännande från Försvarsmakten. Inom ramen för den nationella handlingsplanen för informationssäkerhet har även FMV/CSEC i samverkan med Försvarsmakten och FRA påbörjat en studie för att analysera förutsättningarna för ett nationellt evalueringslaboratorium med nödvändig kompetens och utrustning för att analysera fysiska attacker mot information i datorutrustning. Förmågan att ta fram kryptosystem för att skydda hemlig information som rör rikets säkerhet finns i inte minst hos de svenska kryptoleverantörerna. Den samlade kryptokunskapen ger ett informationsövertag. För att nå höga assuransnivåer för de nationella system som skyddar rikets säkerhet eller utrikessekretess måste kunskapen om systemlösningarna omges av sträng sekretess, något som endast kan upprätthållas med nationellt framtagna lösningar. En egen svensk kryptoindustri är fundamental för att kunna ha möjligheten att utveckla signalskyddssystem. Utan en livskraftig svensk kryptoindustri riskerar nationella säkerhetsintressen att i allt högre grad bli beroende av utländska leverantörer. Detta skulle utgöra ett allvarligt hot mot den svenska säkerheten eftersom inte kan få samma tilltro till en produkt från en utländsk industri som en från en svensk leverantör. Svenska kryptoprodukter håller vid internationell jämförelse en mycket hög nivå som det tar decennier att utveckla och svenska kryptoprodukter har en växande marknad framför sig, främst inom . Även det faktum att är en godkänd andraparts-evaluerare av krypto inom EU (AQUA) kräver att vi har en inhemsk kryptoindustri. Det är därför av stor vikt att värna om denna förmåga. En svensk kryptoindustri är således av nationellt intresse. De svenska kryptoföretagen, nuvarande som framtida, som vill leverera kryptolösningar för nationella behov måste ges förutsättningar att långsiktigt bedriva sin verksamhet så att detta gagnar såväl dem som nationen. Att upprätthålla denna typ av kompetens är dyrt och för att industrin ska känna sig tillräckligt trygg för att fortsätta satsa på att utveckla och vidmakthålla signalskyddssystem på en hög nivå så måste det finnas en uttalad vilja hos nationen att efterfråga denna kompetens. Detta skulle exempelvis kunna åstadkommas med att göra signalskydd till ett nationellt säkerhetsintresse. Försvarsmakten svarar för utvecklingen av nationellt godkända kryptosystem genom att fastställa de målsättningar och kravspecifikationer som gäller för de system som ska utvecklas. All utveckling och vidmakthållande av signalskydd för hela totalförsvaret finansieras av Försvarsmaktens materielanslag. De system som utvecklas säkerhetsgranskas av Försvarsmakten som sedan godkänner systemen för skydd av information upp till en viss klassningsnivå, nationellt och internationellt. Systemen följs sedan upp under hela sin livstid för att dessa ska behålla sin skyddsnivå. Försvarsmakten leder utvecklingsarbetet och MSB deltar i kravställningsarbetet som representant för det civila samhället. Behov av utveckling av nya system ställs av Försvarsmakten, MSB eller FRA till Försvarsmakten. Försvarsmakten beställer nya system av FMV som i sin tur upphandlar av industrin. Under utvecklingsarbetet deltar Försvarsmakten aktivt med löpande avdömningar för att i slutändan kunna granska och godkänna leveransen. Försvarsmakten följer teknikutvecklingen av framtida metoder och system för kommunikation samt kommande kryptolösningar. MSB deltar i Försvarsmaktens process för utveckling av nya system genom att föra in kraven från civila myndigheter i Försvarsmaktens arbete med målsättningar och kravspecifikationer. MSB har en referensgrupp med representanter från civila myndigheter för att få en tydligare bild av behoven på kort och lång () sikt. När systemen är utvecklade, godkända och tillgängliga att beställa uppdaterar MSB sin materielplan för anskaffning av säkra kryptografiska funktioner och detta utgör sedan ett inriktningsbeslut till FRA över vilka system som ska köpas in. FRA lämnar uppdrag till FMV att anskaffa det fastställda behovet av säkra kryptografiska funktioner. Då leverans sker fördelar FRA systemen till de aktörer som MSB har beslutat. MSB beslutar vilka aktörer inom krisberedskapen som ska ha signalskydd och KSU för tvärsektoriell samverkan. MSB ska också ingå avtal med kommuner och organisationer som har behov av säkra kryptografiska funktioner, vilket innebär att dessa aktörer förbinder sig att följa gällande regelverk för signalskydd. Krisberedskapsanslaget (2:4-anslaget) täcker kostnader av engångskaraktär såsom genomförande av olika projekt inom området samt anskaffning av kryptomateriel som är beslutade av MSB. Varje myndighet är ansvarig för att finansiera skydd av information och intern kommunikation. Kryptosystem för samverkan mellan myndigheter kan finansieras med anslag 2:4 Krisberedskap. FRA förser myndigheter med nationellt godkända i båda fallen. Processen och finansieringen av KSU är desamma som för signalskydd. Anledningen till detta är snarare avsaknad av en anpassad process för KSU än en uttalad ambition att följa signalskydds- processen. Arbete med den nya processen för KSU pågår i ett samarbete mellan Försvarsmakten, MSB och FRA. Signalskyddsmateriel för den civila sidan finansieras till genom 2:4-anslag, vilket innebär att de är avsedda för krisberedskap och samverkan mellan myndigheter. För KSU är behovet det omvända eftersom det huvudsakliga behovet inte täcks av principerna för 2:4-anslaget. Detta innebär att organisationerna själva måste finansiera KSU-anskaffning. finns ett filkrypto godkänt som KSU. Detta är emellertid ett av de mest utbredda godkända kryptosystemen i det civila samhället. Ett 80-tal myndigheter, organisationer och företag har KSU. Enligt den nationella handlingsplanen20 för informationssäkerhet bör det utvecklas ytterligare kryptosystem för nivån KSU avsedda för till exempel mobil tal- och datakommunikation, förbindelsekryptering över Virtuella Privata Nät (VPN) samt för kryptering av USB-minnen. Målet är att KSU ska byggas ut och få sådan spridning att skyddsvärd information som hanteras i myndigheter, landsting, kommuner och andra organisationer skyddas med krypto för skyddsvärda uppgifter. Alternativet till KSU är allmänt tillgängliga kommersiella produkter. Fördelarna med dessa är att det finns ett stort utbud och anskaffningen är enkel. Nackdelarna med kommersiellt tillgängliga produkter i jämförelse med KSU är att de inte är nationellt granskade eller godkända och därför tyvärr alltför ofta inte levererar den säkerhetsfunktionalitet de utlovar. Eftersom anskaffning av dessa produkter inte heller kräver nationell samordning mellan organisationer skapas heller inga gemensamma system för säker kommunikation mellan organisationer. 20 Samhällets informationssäkerhet. Myndigheten för samhällsskydd och beredskap (MSB). Bilaga 2: Författningssamling Nedan sammanfattas de uppdrag som FMV, FRA, FM och MSB har gällande signalskydd och kryptografiska funktioner. Informationen kommer från instruktioner, regleringsbrev och andra författningar. Förordning (2007:854) med instruktion för 5 § Vid finns ett certifieringsorgan som ska upprätta och driva en certifieringsordning för säkerhet i IT-produkter och system. ska verka för att uppnå och vidmakthålla internationellt erkännande för utfärdade certifikat. Förordning (2007:937) med instruktion för 2 § ska särskilt 3. utföra matematiska bedömningar av kryptosystem för totalförsvaret. 4 § ska ha hög teknisk kompetens inom informationssäkerhetsområdet. får efter begäran stödja sådana statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. 1.stödja insatser vid nationella kriser med IT-inslag, 2.medverka till identifieringen av inblandade aktörer vid IT-relaterade hot mot samhällsviktiga system, 3.genomföra IT-säkerhetsanalyser, och 4.ge annat tekniskt stöd. ska samverka med andra organisationer inom informationssäkerhetsområdet såväl inom som utom landet. Förordning (2006:942) om krisberedskap och höjd beredskap 32 § Försvarsmakten svarar för att Försvarsmakten, , , , Totalförsvarets rekryteringsmyndighet och tilldelas säkra kryptografiska funktioner.