sou · H3B323 · 2015-03-10 00:00:00 — Hushåll och företag ska ha tillgång till effektiv, robust och säker infrastruktur och bästa möjliga utbud av kommunikations- tjänster. Därutöver ska alla i samhället ha tillgång till grundläggande betaltjänster till rimliga priser. Politiken omfattar även åtgärder som syftar till att ska vara bäst i världen på att använda digitaliseringens möjligheter och åtgärder som syftar till att ska ha bredband i världsklass. Hushåll och företag ska ha goda möjligheter att använda sig av elektroniska samhällstjänster och service via bredband. EF-enheten ansvarar för övergripande it-frågor i statsförvalt- ningen. Målet är en enklare vardag för medborgare, en öppnare förvaltning som stödjer innovation och delaktighet och en högre kvalitet och effektivitet i verksamheten. Verksamheten omfattar flera delområden. Strategisk styrning och samordning av det myn- dighetsövergripande arbetet med att digitalisera den offentliga verksamheten inklusive strategiska it-investeringar i statsförvalt- ningen. Utveckling, införande och förvaltning av förvaltnings- gemensamma digitala lösningar. Samordning av myndighetsöver- gripande digitala lösningar mellan olika verksamhetsområden. Mjuka infrastrukturella förutsättningar för digitalisering: it-arkitektur, standarder och myndighetsövergripande informationssäkerhet. Uppföljning av myndigheternas it-verksamhet. Myndighetgemen- samma arbetssätt: vägledningar, ramverk och kompetensutveckling. Juridiska förutsättningar för digital samverkan. Styrning och utveckling av e-legitimationsnämnden, E-delegationen och organisa- toriska förutsättningar för det offentliga digitalisering. Nämndens uppgift är att stödja och samordna offentliga sektorns behov av säkra metoder för elektronisk identifiering och signering. Delegationen har bl.a. i uppdrag att driva på e-utvecklingen inom offentlig sektor, att arbeta med e-förvaltning, sociala medier och vidareutnyttjande av offentlig information (PSI-direktivet). ITP-enheten och EF-enheten är involverade i ett stort antal olika internationella samarbeten och EU-samarbeten, till exempel Europeiska Unionens råd (telerådet) och rådsarbetsgrupp H5 telekom/ informationssamhällets tjänster, högnivågrupper för Digital agenda för , (Europeiska byrån för nät- och informa- tionssäkerhet), Nordiska ministerrådets it-forum, () och (). Utöver det så deltar ITP-enheten också i olika internationella sam- arbeten rörande internets förvaltning till exempel for Assigned Names and Numbers (ICANN), Inter- national Telecommunications Union (ITU), Postal Union (UPU) och flera olika grupper inom it-området. EF-enheten deltar även i genomförandearbetet avseende EU:s eIDAS-förordning (om EU-gränsöverskridande e-signaturer, e-ID) och i projekten e- /Stork 2.0 om e-ID. Samtliga dessa organ hanterar från tid till annan nät- eller informationssäkerhetsrelaterade frågor. Regeringen beslutade att tillkalla en särskild utredare med uppdrag att göra en översyn av säkerhetsskyddslag- stiftningen En modern säkerhetsskyddslag (dir. 2013:110). Utred- ningens syfte är främst att bättre anpassa lagstiftningen till det som krävs för att skydda verksamhet som har betydelse för rikets säker- het och till de krav det internationella samarbetet ställer. Utredningens uppdrag har varit att analysera vilka verksamheter som är av betydelse för rikets säkerhet eller som behöver skyddas mot terrorism och därför är i behov av säkerhetsskydd, föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade, analysera vilka förändringar som kan behövas för att bättre anpassa lagstiftningen till de krav på säkerhetsskydd som ställs i det internationella samarbetet, analysera hur ett system med säkerhetsklarering kan utformas för svenska förhållanden, bedöma inom vilka verksamheter registerkontroll till skydd mot terrorism bör få ske, analysera behovet av förändringar av bestämmelserna om säker- hetsskyddad upphandling, ta ställning till om kravet på svenskt medborgarskap i säkerhets- skyddslagen bör förändras, och utarbeta nödvändiga författningsförslag. Utredningen beräknas avsluta sitt arbete . har flera åtgärder initierats för att ska bli bättre på att utnyttja informationsteknologi i syfte att öka effektiviteten och den konkreta nyttan för medborgare, företag och för regeringens och myndigheternas eget arbete. Åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera IT-incidenter 2009 fick Myndigheten för samhällsskydd och beredskap (MSB) i uppdrag lämna förslag på åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera it-incidenter. MSB redovisade uppdraget 2010 och förslaget gick i huvudsak ut på att skapa ett nationellt operativt samverkanscenter lokaliserat på MSB. Ytterligare förslag var exempelvis att utreda obligatorisk it-incidenthantering och tekniskt intrångsdetekterings- och varningssystem, att informations- säkerhet beaktas i risk- och sårbarhetsanalyser samt att ta fram en nationell plan för att hantera allvarliga it-incidenter. Nationell hanterandeplan för allvarliga it-incidenter Regeringen beslutade om ett antal uppdrag till MSB på informationssäkerhetsområdet (Fö2010/702/SSK). Upp- dragen syftar till att stärka samhällets informationssäkerhet och förmåga att förebygga och hantera it-incidenter. MSB fick då i uppdrag att ta fram en nationell plan som klargör hur allvarliga it- incidenter ska hanteras. MSB redovisade uppdraget 2011 och har tagit fram en nationell plan för att hantera allvarliga it-relaterade kriser Nationell hanterandeplan för allvarliga IT-incidenter. syftar till att underlätta för varje aktör genom att tillsammans med andra aktörer ta fram en gemensam lägesbild. System för obligatorisk it-incidentrapportering för statliga myndigheter fick MSB även i uppdrag att utreda hur ett system för obligatorisk it-incidentrapportering för statliga myndigheter kan utformas. MSB redovisade 2011 ett förslag där systemet för incidentrapportering föreslogs införas stegvis och föregås av en pilotversion i mindre skala. MSB fick 2012 ett tillkommande upp- drag gällande incidentrapportering vilket redovisades senare Nationellt system för it-incidentrapportering. Se vidare i avsnitt 7.5.3. Utformning av ett sensorsystem benämnt tekniskt detekterings- och varningssystem (TDV) gav regeringen och () två uppdrag rörande ett tekniskt detekterings- och varningssystem (TDV) för samhällsviktig verksamhet och kritisk infrastruktur. FRA fick i uppdrag att lämna förslag på hur ett sådant system kan utformas. MSB fick i sin tur i uppdrag att lämna förslag på vilka aktörer som ska omfattas av ett sådant system. 2011 redovisade MSB sina förslag, och rekommenderade att alla statliga myndig- heter som är särskilt utpekade i bilagan till krisberedskapsförord- ningen skulle erbjudas att delta i systemet. FRA fick 2011 ett kompletterande uppdrag att komma in med en mer detaljerad redovisning samt att utarbeta en pilotversion av systemet. redovisade FRA sitt kompletterande uppdrag och pilotprojektet, vilket innebär att TDV finns i drift hos ett fåtal användare. Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor fick MSB i uppdrag av regeringen att lämna förslag på en säker digital informations- och kommunikationsinfrastruktur för myndigheter, kommuner och landsting. lämnade MSB sitt förslag på hur en tillgänglig och skyddad kommunikationsinfra- struktur för offentlig sektor skulle kunna skapas. Förslaget går i huvudsak ut på att skapa en sammanhållande organisatorisk struk- tur med uppdrag att samordna, inrikta, ansvara för drift och för- valta. Vissa delar av infrastrukturen ska enligt förslaget tillhanda- hållas genom staten och andra genom näringslivet. Se vidare avsnitt 7.5.4. Strategi och handlingsplan för samhällets informationssäkerhet Regeringen gav MSB i uppdrag att tillsammans med övriga myn- digheter som ingår i SAMFI att ta fram en strategi för samhällets informationssäkerhet 2010–2015. Strategin omfattar hela samhället, det vill säga alla statliga myndigheter, kommuner och landsting, företag, organisationer och privatpersoner. Den anger strategiska mål och områden samt principer för informationssäkerhetsarbetet. Strategin förvaltas av MSB. För att förverkliga strategins intentioner har SAMFI-myndig- heterna tagit fram en nationell handlingsplan för samhällets in- formationssäkerhet. Syftet med handlingsplanen är även att skapa en grund för en aktiv dialog om mål och metoder i det nationella informationssäkerhetsarbetet och en möjlighet för den enskilda organisationen att samordna sitt säkerhetsarbete med det nationella säkerhetsarbetet. Planen innehåller ett trettiotal åtgärdsförslag som syftar till att förverkliga den strategi för samhällets informations- säkerhet som SAMFI-myndigheterna gemensamt lade fram i janu- ari 2011. Arbetet med handlingsplanen har omfattat diskussioner och samverkan med ett stort antal aktörer. Därigenom har arbetet med handlingsplanen fortlöpande förankrats på olika nivåer i samhället. Arbetet med handlingsplanen utgör även ett verktyg för myn- digheterna i SAMFI att ta fram prioriterade åtgärder för att stärka samhällets informationssäkerhet. ramen för de uppdrag som myndigheterna i har. Planen är dock inte en komplett redovisning av de informationssäkerhets- främjande åtgärder som de olika myndigheterna genomför inom sina respektive verksamheter. Handlingsplanen innehåller ett flertal konkreta åtgärder inom informationssäkerhetsområdet, bl.a. hur allvarliga it-incidenter ska hanteras, samt hur tekniska kompetensnätverk av experter kan skapas för att stödja samhället vid allvarliga it-incidenter och förslag på åtgärder för att skapa en ökad förmåga till respons. Arbetet med handlingsplan kommer att avslutas . har myndigheterna i och andra aktörer genomfört ett stort antal aktiviteter för att öka samhällets informations- och cybersäkerhet. Arbetet med aktiviteterna pre- senteras efter halva tiden i en statusrapport om läget i arbetet. Hur det civila försvaret kan utvecklas och stärkas Regeringen uppdrog åt MSB att redovisa hur det civila försvaret kan utvecklas och stärkas. MSB lämnade en rapport till regeringen kan det civila försvaret utvecklas och stärkas (dnr MSB 2014-3277). Vad avser informations- och cybersäkerhet lade MSB fram ett flertal förslag och slutsatser. Det konstaterades att informations- och kommunikationssystem är en viktig och avgörande resurs inom i stort sett all samhällsverk- samhet. Kris- och krigsviktig verksamhet och kritisk infrastruktur bör kunna skyddas med olika medel och metoder, där krypto- grafiska funktioner är ett sätt. Vidare konstaterade MSB att obligatorisk it-incidentrapportering är mycket väsentlig för att stärka den nationella förmågan att hantera it-incidenter i system som är kritiska för samhällsviktig verksamhet inför och under höjd beredskap. Även aktörer utanför den statliga sfären kommer att behöva omfattas om förmågan ska bli tillfredsställande. MSB drog vidare följande slutsatser. Arbetet med kommunikationssäkerhet i standardprodukter/program bör utvecklas i syfte att säkerställa att en bred krets av samhällsaktörer kan få tillgång till säker kommunikation inför och under höjd beredskap. Förmågan till informationshantering är av stor vikt för samhällets aktörer. Det systematiska informationssäkerhetsarbetet som bedrivs bör väga in de krav som gäller under höjd beredskap. Utan kännedom om olika informationshanteringsprocessers betydelse och beroendeförhållanden kan varken rätt prioriteringar eller rätt skyddsåtgärder vidtas. All planeringsverksamhet avseende höjd beredskap, liksom för övrigt även viktiga områden inom krisbered- skapen, inrymmer betydande delar av information som är av den karaktären att den bör omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400). Informationssäkerhet är därför ett område som i olika avseenden måste åtfölja all den planering för höjd beredskap och krig som genomförs inom olika verksamheter som är av betydelse för det samlade försvaret. MSB konstaterar i rapporten att möjligheten att i förväg träna sin förmåga i praktisk it-incidenthantering är mycket begränsad. För att praktiskt kunna hantera it-angrepp krävs förmågehöjande träning för samhällsviktig verksamhet. MSB har i samverkan med utvecklat ett så kallat ”cyberrange” avsedd för förmågehöjande träning i hantering av it- incidenter. MSB kommer att se över möjligheterna till en utökad samverkan för praktisk träning av operatörer i samhällsviktig verksamhet som en del av förberedelserna för höjd beredskap. MSB anser också att kunskap måste byggas upp hos aktörerna i civila försvaret. Under en följd av år har utbildning avseende för- svarssekretess inte genomförts i den omfattning och med den in- tensitet som kommer att bli nödvändig när planeringen inom om- rådet civilt försvar ska påbörjas. MSB bedömer att det är nödvän- digt att utbildning snabbt kommer igång inom alla berörda myn- digheter, liksom även inom kommuner och landsting, vad avser frågor om informationssäkerhet och försvarssekretess. MSB avser se över behovet av riktlinjer och metodstöd för kommunikation och lägesrapportering i hela hotskalan. I vardagen och vid kris kan rapportering ske via WIS, eller andra motsvarande system. Rapportering vid höjd beredskap bör kunna ske på motsva- rande sätt via SGSI eller andra säkra kryptografiska informations- och kommunikationssystem. MSB kommer verka för ökad anslut- ning till SGSI och leda utvecklingen av andra tekniska system för kommunikation inför och under höjd beredskap och för sam- hällsviktig verksamhet. har granskat om arbetet med informations- säkerhet i den civila statsförvaltningen är ändamålsenlig utifrån ökande hot och risker, Informationssäkerhet i den civila statsförvalt- ningen (RIR 2014:23). Granskningen har inriktats mot den inform- ation som samlats in om vilka hot som realiseras samt de skydds- åtgärder som har vidtagits av övriga myndigheter. Granskningen omfattar regeringen och dess stöd- och tillsyns- myndigheter: Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap, samt i viss mån . Granskningen avser att besvara följande två frågor. Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräck- liga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Granskningen har visat på omfattande brister i statsförvaltningen. Av underlaget till granskningen framgår att av myndig- heterna som själva administrerar sina it-system uppger att de har en informationssäkerhetspolicy. framgår att av myndigheterna bedömer att kompetens, mandat eller resurser är otillräckliga för att utföra informationssäkerhetsarbetet på ett till- fredsställande sätt. Vidare uppger av myndigheterna att det saknas regler för vad en riskanalys, som ska göras i ett systema- tiskt informationssäkerhetsarbete, ska omfatta eller när den ska ske. Slutligen uppger av myndigheterna att de saknar en kontinuitetsplan. bedömning är därför att en stor andel myndigheter inte har centrala delar av ett systematiskt in- formationssäkerhetsarbete på plats. slutsats är att granskningen visar att arbetet med informationssäkerheten inte är ändamålsenligt sett till de hot och risker som finns. Regeringen har inte någon samlad lägesbild över hoten mot den civila statsförvaltningen, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndig- Detsamma gäller för regeringens stöd- och tillsyns- myndigheter. För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsför- valtningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssä- kerheten är ändamålsenligt i sin nuvarande utformning och om ansvar för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. Överväg att låta tillsynsmyndigheten få mandat att utfärda sank- tioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rap- portering. konstaterar att det inte finns någon samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen och att ärenden rörande informationssäkerhet hanteras på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur, etc.). anser att inform- ationssäkerhet är en viktig strategisk fråga för hela statsförvalt- ningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning i informationssäkerhet rekommenderar därför följande. Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion och process ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvän- dig information om läget för informationssäkerheten i statsför- valtningen. Beträffande regeringens stöd- och tillsynsmyndigheter anges att i granskningen kunnat visa att de inom nuvarande mandat skulle kunna göra mera, både genom att öka kunskapen om säkerhetsläget och att lämna stöd till den övriga statsförvaltningen för att öka skyddet. För att förbättra statens informationssäkerhet lämnar följande rekommendationer. MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i stats- förvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att flera myndigheter än lämnar en redovisning av sin risk- och sår- barhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvalt- ningen. Säkerhetspolisen och FRA bör därför var för sig syste- matiskt avge aggregerade rapporter om säkerhetsläget till och . 7.4.2En bild av myndigheternas informationssäkerhetsarbete 2014 har MSB genomfört en kartläggning (enkätundersök- ning) av hur statliga myndigheter tillämpar MSB:s föreskrifter om statliga myndigheters informationssäkerhet (2009:10) och i övrigt arbetar med informationssäkerhet, En bild av myndigheternas in- formationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter. Föreskrifterna ställer krav på att myndigheterna ska bedriva ett systematiskt informationssäkerhetsarbete. Totalt distribuerades enkäten till 351 myndigheter. 334 myndigheter () besvarade enkäten inom undersökningsperioden och övriga (17 stycken) har inte lämnat något svar. Kartläggningen ger en god bild av hur myndigheterna själva uppfattar sitt arbete med informa- tionssäkerhet och hur de arbetar med föreskrifternas olika krav. Frågorna i kartläggningen hade både direkt koppling till före- skrifternas paragrafer, exempelvis om riskanalys, och frågor av mer generell karaktär beträffande informationssäkerhetsarbete. MSB har inte tagit del av något underlag från myndigheterna, exempelvis policyer eller informationsklassningsmodeller, och någon närmare bedömning av dokumentens och arbetets ändamåls- enlighet ingår inte i kartläggningen. Frågor om hur det praktiska informationssäkerhetsarbetet går till har endast ställts till de 227 myndigheter som själva har hand om sitt informationssäkerhetsarbete. Det är således endast dessa som fått besvara enkäten i sin helhet. Några av resultaten har sammanfattats på följande sätt (s.7–8). Policy och styrande dokument av de myndigheter som besvarat hela enkäten har en informationssäkerhetspolicy. av de myndigheter som besvarat hela enkäten kontrollerar inte efterlevnaden, det vill säga ifall policyer och riktlinjer följs av medarbetarna. av de myndigheter som besvarat hela enkäten har utsett en informationssäkerhetschef eller motsvarande roll för att leda och samordna informationssäkerhetsarbetet. av de som leder och samordnar informations- säkerhetsarbetet hos de myndigheter som besvarat hela enkäten rapporterar direkt till myndighetens ledning. av de som leder och samordnar informations- säkerhetsarbetet hos de myndigheter som besvarat hela enkäten uppges sakna tillräcklig kompetens, resurser eller mandat för att utgöra uppdraget på ett tillfredsställande sätt. av de myndigheter som besvarat hela enkäten har en informationsklassningsmodell för att identifiera informations- tillgångarna och kunna ställa rätt krav på informationssäker- heten. av de myndigheter som besvarat hela enkäten uppger att det inte är tydligt uttalat vem som ansvarar för att inform- ationsklassning genomförs. av de myndigheter som besvarat hela enkäten uppger att det inte är fastslaget när informationsklassning ska ske. av de myndigheter som besvarat hela enkäten har en metod för riskanalys. av de myndigheter som besvarat hela enkäten saknar regler för vad riskanalyser ska omfatta eller när det ska ske. av de myndigheter som besvarat hela enkäten saknar uttalat ansvar för vem som ska initiera riskanalyserna. av de myndigheter som besvarat hela enkäten saknar kontinuitetsplan. av de myndigheter som besvarat hela enkäten använ- der inte riskanalyserna som stöd vid kontinuitetsplanering. av de myndigheter som besvarat hela enkäten uppger att myndighetens ledning åtminstone i stor utsträckning löpande håller sig informerade om arbetet med informations- säkerhet. av de myndigheter som besvarat hela enkäten har ingen eller en mycket begränsad utvärdering av informations- säkerhetsarbetet på myndigheten. Myndigheterna nämnde ett antal områden inom vilka man öns- kade mer stöd, bland annat kravställning, uppföljning, inform- ationsklassning och kontinuitetsplanering. Myndigheterna önskade sig stöd i flera olika former, bland annat nämndes malldokument, utbildningsdokument, vägled- ningar och praktiska exempel. 7.5Tekniska funktioner för skyddad kommunikation Under rubriken krypto ryms en mängd begrepp och metoder som alla bygger på matematisk teoretisk grund. Historiskt sett är ett krypto en metod att förvanska en text eller ett budskap så att avsändaren kan vara säker på att den legitima mottagaren är den ende som kan läsa eller tolka budskapet rätt. Avsikten var också att mottagaren skulle vara övertygad om vem avsändaren var. Nödvän- digt, då som , var att mottagaren kände till meddelandets hem- liga nyckel. En kryptonyckel kan sägas vara den minsta inform- ationsmängd som behövs för att fullständigt återskapa det krypte- rade meddelandets information. Dessa principer gäller fortfarande, men de historiska metoderna har ersatts efter hand, och kryptologi är ett forskningsområde inom flera akademiska discipliner. Även moderna krypteringsmetoder har i vissa fall visat sig olämp- liga eller mindre säkra än vad som först bedömdes. Detta kan bero på nya teoretiska landvinningar, kraftfullare datorer för krypto- analys eller att krypteringsmetoden fått annan användning.