sou · H3B323 · 2015-03-10 00:00:00 — Att arbeta med denna typ av grundskydd innebär dock att det skapas en helt annan basplatta vad avser skydd för rikets säkerhet. Samhällets förmåga till hantering och överföring av information i elektroniska kommunikationsnät och it-system, och förmåga att upprätthålla säkerhet och integritet i samhällsviktig it- infrastruktur är beroende av vår kryptoförmåga. Genom ett myndighetsgemensamt projekt mellan MSB, Försva- rets radioanstalt (FRA), Försvarsmakten (FM) och () har en rapport med förslag till nationell stra- tegi och åtgärdsplan för säkra kryptografiska funktioner tagits fram och överlämnats till utredningen. Rapporten finns som bilaga 4 till betänkandet och innehåller förslag till en nationell strategi för kryptering. Rapporten innehåller även ett förslag till åtgärdsplan för hantering och överföring av information i elektroniska kom- munikationsnät och it-system med hjälp av kryptering. Vidare föreslås övergripande mål för samhällets informationssäkerhets- arbete med avseende på användning av kryptografi. Det beskrivs även hur ska upprätthålla säkerhet och integritet i sam- hällsviktig it-infrastruktur med hjälp av kryptografiska funktioner. Det är utredningens bedömning att den modell och de förslag som beskrivs i rapporten skulle kunna möta behovet av säkra kryptografiska funktioner på ett nytt sätt. Utredningen noterar att den samlade kompetensen på området står bakom förslagen och att rapporten utgör ett mycket gott underlag för regeringen att fatta beslut om ett gemensamt uppdrag till aktuella myndigheter att utveckla processen säkra kryptografiska funktioner. Frågan är mycket angelägen bl.a. eftersom säkra kryptolösningar är en nöd- vändig och fundamental faktor för att kunna etablera säker kom- munikation och säkra it-lösningar i staten. Svensk kryptoindustri och kryptologisk kompetens som dialogområde Behovet av nationellt godkända kryptolösningar är stort, såväl för att skydda konfidentiell eller sekretessbelagd information. För- mågan att ta fram sådana system finns i genom den samlade kunskap som finns hos de svenska kryptotillverkarna och de svenska myndigheter som bidrar med kryptologiska kunskaper vid utveckling och granskning av systemen, främst FRA och FM. För att nå höga assuransnivåer för de nationella system som skyddar rikets säkerhet eller utrikessekretess måste kunskapen om systemlösningarna omges av sträng sekretess, något som endast kan upprätthållas med nationellt framtagna lösningar. Svenska kryptoprodukter håller vid internationell jämförelse en mycket hög nivå, som det tar decennier att nå. Det är enligt utredningen ytterst viktigt att värna om denna förmåga och förstärka förutsättningarna för en nationell marknad för krypto. Av nämnda skäl menar utredningen även svensk kryptoindustri och kryptologisk kompetens bör kunna bli föremål för en dialog av det slag som föreslås i avsnitt 9.3.2 mellan det allmänna och näringslivet. Dialogen bör vara inriktad mot att finna möjligheter att slå vakt om svenska kryptoprodukter och kompetensen på om- rådet. 1)Det inrättas system för obligatorisk it-incidentrapportering för samtliga statliga myndigheter. Detta anpassas till innehållet i EU- direktivet om nät- och informationssäkerhet (NIS-direktivet). 2)I syfte att förbereda införandet av detta system för obligatorisk it-incidentrapportering får MSB i uppdrag att utfärda verkställighetsföreskrifter om dess närmare utformning. 3)MSB bör ges i uppdrag att förse de statliga myndigheterna med information om bl.a. trender och utveckling avseende it- incidenter. För att arbetet med informationssäkerhet inom statlig förvaltning ska vara effektivt krävs kunskap om såväl hot och risker som vilka hot som förverkligas och vilka skyddsåtgärder myndigheterna vidtar. Behovet av samlade lägesbeskrivningar sträcker sig över sektorsgränser och ansvarsnivåer, nationellt och i vissa fall även inom EU och internationellt (jfr prop. 2007/08:92). Vilka hot eller risker som realiseras mot de myndigheter som inte omfattas av säkerhetsskyddslagstiftningen eller vilka skyddsåt- gärder dessa myndigheter vidtar finns det ingen myndighet som kontrollerar. har i rapporten i den civila statsförvaltningen (RiR 2014:23) konstaterat att kun- skapsläget för informationssäkerheten i statsförvaltningen är oklart. Varken regeringen eller någon av stöd- och tillsynsmyndig- heterna har en kontinuerlig och systematiskt underbyggd lägesbild över den statliga förvaltningens informationssäkerhet, vilket är en förutsättning för att kunna säkerställa att man vidtar rätt åtgärder. I syfte att få en förbättrad och samlad nationell lägesuppfattning över it-incidenter finns det enligt utredningen skäl att vidta åtgär- der som kan ge sådan information. Lägesbeskrivningar sammanställs av olika uppgifter för att skapa en bild över vad som har hänt, händer eller kommer att kunna hända. Uppgifter kan exempelvis inhämtas från öppna källor och från sektorsmyndigheter samt näringslivet. arbete har det framkommit att det finns ett behov av att utveckla system och metoder som ger underlag för lägesbeskrivningar. Ett system för obligatorisk it-incidentrapportering respektive använd- ning av sensorteknik skulle bidra till att stärka förmågan att före- bygga och hantera it-incidenter. Utredningen berör i följande av- snitt förutsättningarna för att införa obligatorisk it-incidentrap- portering. Upprättandet av en lägesbeskrivning på central nivå förutsätter även att myndigheterna lämnar en redovisning om informations- säkerhet i risk- och sårbarhetsanalyserna. har i nämnd rapport pekat på att bristerna är så omfattande att det inte går att ställa samman en gemensam bild av samlad förmåga att kunna motstå och hantera kriser inom informationssäkerhetsom- rådet. Som konstaterat leder detta i sin tur till att det blir svårt att analysera vilka brister som finns och därmed kunna göra en grundlig riskbedömning. Problemet har uppmärk- sammats av regeringen och MSB har fått i uppdrag att analysera och vidareutveckla sitt arbete med risk- och sårbarhetsanalyser och förmågebedömningar. Utredningen menar att vid sidan av MSB:s insatser skulle förslaget om att samla regleringen kring inform- ationssäkerhet i en förordning kunna tydliggöra kravet på risk- och sårbarhetsanalyser (se avsnitt 9.2.3). Detta skulle i förlängningen bidra till att ge en bra och systematiskt underbyggd lägesbild. Behovet av lägesbeskrivningar skiftar för olika myndigheter och för regeringen. De lägesbeskrivningar som behövs som underlag för operativa insatser kan behöva vara detaljerade. På den nationella nivån behövs i stället en mer övergripande beskrivning för att stra- tegiskt inrikta och samordna övergripande resurser. Regeringen har vid ett flertal tillfällen i propositioner och skrivelser uttalat behovet av en funktion för it-incidentrapportering. Så skedde proposition om samhällets säkerhet och bered- skap (prop. 2001/02:158) då ett nationellt ”rikscentra” för it-inci- dentrapportering inrättades vid PTS under namnet Sitic. Denna funktion är benämnd CERT-SE och överförd till MSB, se tidigare avsnitt 6.1.1. 2003/03:93 s. 78 om it-säkerhet och sekretess fastslogs vikten av att myndigheter och organisationer rapporterade in it- incidenter för att Sitic skulle kunna fullgöra sitt uppdrag. I propo- sitionen Från IT-politik för samhället till politik för IT-samhället 2004/05:175) konstaterade regeringen att Sitics viktigaste uppgift kommit att bli omvärldsbevakning och informationssprid- ning, medan endast ett fåtal sårbarheter blivit upptäckta genom incidentrapportering. Genom att sekretesslagen hade ändrats så att möjligheten att sekretessbelägga incidentrapporter blivit större och det fanns en förhoppning om att frekvensen för inrapporteringen skulle öka. I proposition 2007/08:92 Stärkt krisberedskap – för säkerhets skull skriver regeringen följande: ”En samlad lägesbild utgör grunden för att aktörerna i krisberedskapssystemet ska kunna genomföra lämp- liga åtgärder och samverka. Förmågan att skapa samlade lägesbilder bör stärkas. Vid kriser behöver samhällets resurser samordnas och samverka för att utnyttjas på ett effektivt sätt. Det räcker därför inte att inom det egna ansvarsområdet ha en uppfattning om vad som har hänt, vilka konsekvenserna blir och vad det ställer för krav på agerande. Det krävs dessutom en uppfattning om hur andra aktörer har uppfattat krisen och vilka åtgärder de vidtar. Det egna agerandet måste sättas in i ett bredare perspektiv. Därför finns det ett behov av samlade lägesbilder och samlad lägesuppfattning som sträcker sig över sektorsgränser och ansvarsnivåer, nationellt och i vissa fall även inom EU och internationellt”. återkom regeringen i budgetpropositionen till frågan om bristerna i systemet för inrapportering av it-incidenter och det konstaterades att rapporteringen av it-incidenter som utgör hot mot eller medför allvarliga konsekvenser för samhällsviktig verksamhet och kritisk infrastruktur i samhället behöver förbättras. I budgetpropositionen anges betydel- sen av att anpassa skyddsåtgärder till hot och risker. Detta förut- satte dock enligt regeringen kännedom om hur många incidenter som inträffar och omfattningen av dessa. Sådan kunskap skulle förstärka möjligheten till ett samlat agerande vid it-incidenter där konsekvenserna bedöms bli omfattande. En obligatorisk it-inci- dentrapportering utgjorde enligt regeringen en del av det arbetet. I budgetpropositionen upprepade regeringen betydelsen av tillgång till kunskap om hur läget är. angavs vara att information om det aktuella läget vid en allvarlig händelse är en förutsättning för att de inblandade aktörerna skulle få en ömsesidig förståelse för situationen och därmed kunna vidta samordnade åtgärder. Ett system för obligatorisk it-incidentrap- portering skulle enligt regeringen bidra till detta. Det finns således en tydlig politisk vilja i att genom en förstärkt it-funktion för incidentrapportering öka samhällets för- måga att förebygga och hantera incidenter som hotar eller skadar samhällsviktig verksamhet. Detta är också den inriktning som är drivande inom EU. Europeiska kommissionen överlämnade i feb- ruari 2013 direktivförslag om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen, NIS-direktivet (avsnitt 8.2.2). Där föreslås bl.a. ett system med obligatorisk it-incidentrapportering. MSB har i tidigare nämnt underlag till regeringen (se avsnitt 7.5.3) uttryckt att en obligatorisk it-incidentrapportering är nöd- vändig för att bedriva ett effektivt arbete med informationssäkerhet i samhället. MSB har också påtalat att införandet av obligatorisk incidentrapportering skulle ge statsförvaltningen kunskap om såväl hot och risker som vilka hot som förverkligas och vilka skydds- åtgärder som vidtas. Denna information skulle ge en bra och underbyggd lägesbild, vilket är en förutsättning för att kunna säkerställa att rätt åtgärder vidtas. har i nämnd rapport konstaterat att varken regeringen eller stöd- och tillsynsmyndigheterna har den fulla bilden av i vilken omfattning hot realiseras eller vilka skydds- åtgärder som myndigheterna vidtar, och att det därför saknas en nödvändig förutsättning för ett effektivt arbete med informations- säkerhet. påpekande mynnar ut i en rekommen- dation till regeringen om att införa obligatorisk incidentrapporte- ring för samtliga myndigheter. Utredningen instämmer i denna slutsats och föreslår att det inrättas ett system för it-incidentrap- portering som är anpassat till de krav NIS-direktivet kommer att ställa. Utredningen föreslår att obligatoriet regleras i förordningen för statliga myndigheters informationssäkerhet (jfr. utredningens förslag i avsnitt 9.2.3). Av förordningen bör bl.a. framgå vilka it- incidenter som behöver rapporteras. Därvid ska andra krav på rapportering beaktas. Om en hemlig uppgift kan ha röjts ska det enligt 10 § säkerhetsskyddsförordningen skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa. Dessutom framgår av 13 § andra stycket samma förordning att hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvarsmakten. Vidare anges i 39 § säkerhetsskyddsförordningen att Försvars- makten och Säkerhetspolisen har i uppgift att kontrollera säker- hetsskyddet inom respektive myndighets utpekade tillsynsområde. En it-incident kan allvarligt påverka säkerheten i ett it-system och därmed innebära att olika typer av åtgärder behöver vidtas, inte bara för den drabbade organisationen utan även för andra organisationer med motsvarande system. Dessutom finns ett uttalat krav på rapportering inom området. Med hänsyn tagen särskilt till Försvarsmaktens och Säkerhetspolisens utpekade uppgifter inom säkerhetsskyddet, bör enligt utredningens mening rapportering av it-incidenter med huvudsaklig koppling till sådana informationssystem i vilka hemliga uppgifter enligt offentlighets- och sekretesslagen (2009:400) behandlas i mer än ringa omfattning i första hand rapporteras till de myndigheter som utövar ett tillsynsansvar över säkerhetsskyddet i berörd verksamhet. Sådana särskilda informationssystem kan ha anordnats för att möta särskilda krav på säkerhet som ställts med stöd av säkerhetsskydds- lagen (1996:627) eller för att handha uppgifter om totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. MSB är den myndighet som ansvarar för it-inci- denthanteringen. Med hänsyn till det uppdrag som MSB enligt sin instruktion har på informationssäkerhetsområdet, se särskilt 11 a § förordningen (2008:1002) med instruktioner för Myndigheten för samhällsskydd och beredskap, så bör MSB också vara den myndig- het som fortsättningsvis tar emot de it-incidentrapporter som läm- nas från myndigheterna. Systemet bör utformas så att det säker- ställer behovet hos de brottsbekämpande myndigheterna av att kunna informera sig om misstänkta brottsliga angrepp. Med dessa utgångspunkter är det också MSB som på olika sätt arbetar vidare med inrapporterad information. Det handlar bl.a. om att bearbeta uppgifterna för att kunna ge respons till den som rapporterat in uppgifterna och att sammanställa aggregerad informationen till relevanta myndigheter, såsom exempelvis hotbildsuppdateringar. Baserat på ett utvecklat system för it-incidentrapportering kan MSB ge regeringen, och det föreslagna myndig- hetsrådet samt de statliga myndigheterna information om bl.a. trender och utveckling avseende it-incidenter. Lägesinformation om hot- och risknivåer bör utgöra grunden för myndighetsrådets arbete för att förebygga, följa och åtgärda brister i statens inform- ationssäkerhet samt även för att kunna säkerställa att staten vidtar rätt åtgärder. Rapporteringsförfarandet bör konkretiseras genom verkställig- hetsföreskrifter. Utredningen föreslår att MSB ges rätt att utfärda verkställighetsföreskrifter om den närmare utformningen av ett system för obligatorisk incidentrapporteringen. Det kan t.ex. handla om vad som ska rapporteras in och på vilket sätt rapporte- ring ska ske. Förslag: Arbetet med ratificering av konvention om it-relaterad brottslighet, som undertecknades av 2001, bör slutföras. Befogenheten och även skyldigheten att uppdaga, beivra och utreda brott i den digitala miljön åligger de brottsbekämpande myndighet- erna. De polisiära myndigheterna utgör i detta en unik del i samhällets informations- och säkerhet då de i sina roller har ett mandat att aktivt uppspåra och lagföra aktörer som ligger bakom antagonistiska it- angrepp. De polisiära myndigheterna har därför på nationell nivå och i nära samverkan med övriga myndigheter ett särskilt ansvar att sörja för säkerheten kring samhällets kritiska infrastruktur och hantera de brottsliga angrepp som förekommer relaterat till detta. It-brott och brott relaterade till den digitala miljön utgör en ny typ av gränsöverskridande brottslighet som gör att ett väl funge- rande internationellt samarbete är vitalt för att nå framgång i det brottsbekämpande arbetet. Detta förhållande är väl erkänt i många strategier och policyer och inom EU även avhandlat på konventionsnivå. konvention om it-relaterad brottslighet, även benämnd Budapest- konventionen, upprättades . Konventionen kan sägas ha tre huvudsyften. Det första är att åstadkomma en harmonisering av den nationella straffrätten beträffande brott som tas upp i kon- ventionen. Det andra är att få fram nationella processrättsliga bestämmelser som tillgodoser behoven av regler för att på ett effektivt sätt utreda och lagföra it-relaterade brott och andra brott som begår med hjälp av datorer samt för att ta tillvara bevisning i elektronisk form. Det tredje är att lägga grunden för ett effektivt internationellt samarbete. var en av de första staterna att erkänna dess innehåll och skriva på konventionen. har dock ingen ratificering skett. En offentlig utredning, SOU 2013:39, har utrett vilka åtgärder behöver göra inom bland annat författningsområdet för att kunna ratificera konventionen. Vissa författningsändringar har med anledning av detta ägt rum, exem- pelvis införandet av brottet grovt dataintrång. Någon ratificering har dock inte skett och är nu en av få medlemsstater som inte har ratificerat konventionen. Därmed saknar flera av de instrument och verktyg som förväntas av oss som samarbetspart och medlemsstat inom EU. En ratificering med de lagändringar som är nödvändiga skulle dessutom öka möjligheten att framgångs- rikt bekämpa denna typ av brottslighet. Utredningen ser det därför som angeläget att arbetet med att ratificera it-brottskonventionen slutförs. Förslag: Det bör utredas om en tydligare reglering kan införas i offentlighets- och sekretesslagen rörande sekretess för uppgifter som utbyts vid samverkan mellan brottsbekämpande myndig- heter och andra myndigheter inom informations- och cyber- säkerhetsområdet. Även nationellt har behovet av samverkan ökat inom området och flera olika myndigheter från olika sektorer behöver därför ha en god förmåga att samverka och utbyta information i syfte att tillförsäkra samhället godtagbar informationssäkerhet. En satsning på ökad samverkan, anpassade lagstöd och en utvecklad kompetens skapar förutsättningar för de brottsbekämpande myndigheterna att fram- gångsrikt uppdaga, beivra och utreda brott i den digitala miljön. har uppmärksammat utredningen på att det föreligger svårigheter när en brottsbekämpande myndighet ser ett behov av att delge samverkande myndigheter information. Det finns situationer då behöver delge en annan myndighet underrättelseinformation men bedömer att sekretess alltjämt bör råda. En reglering i offentlighets- och sekre- tesslagen (2009:400) avseende överföring av sekretessen skulle då förenkla delgivningen av information. Utredningen bedömer därför att det finns ett behov att denna fråga i syfte att skapa förutsätt- ningar för en mer ändamålsenlig och effektiv samverkan för brotts- bekämpning inom informations- och cybersäkerhetsområdet. 9.6.3Översyn av bestämmelser om tvångsmedels i den digitala miljön Förslag: En översyn av bestämmelserna om tvångsmedel i 27 och 28 kap. och övriga lagrum bör göras för att säkerställa att brottsbekämpande myndigheter kan bedriva sin förebyggande och utredande verksamhet i den digitala miljön. Översyn av befintliga tvångsmedel Den digitala miljön har på ett genomgripande sätt förändrat männi- skors, företags och myndigheters sätt att kommunicera och inte- ragera. Denna utveckling är samhällsgenomgripande till sin karak- tär och skapar enorma möjligheter. För brottsbekämpningens för- måga att uppfylla sina uppgifter i denna digitala miljö uppstår dock en rad mycket stora utmaningar. Bland annat gäller detta använd- ningen och tillämpningen av hemliga tvångsmedel. Då samma befogenheter och skyldigheter gäller i den digitala världen som i den verkliga så gäller även de hemliga tvångsmedlen på samma sätt i båda miljöer. Dessa verktyg är dock inte i sin utformning skapade för eller anpassade för den digitala miljön. Även stöd i tillämpning kopplat till den nya digitala miljön saknas i stort sätt helt. som samhället i ökande omfattning flyttar ut i det digitala rummet så har brottsbekämpningen i stora delar redskap, verktyg och lagstöd kopplade till den analoga världen. Att kunna fullgöra sin skyldighet att uppdaga, beivra och utreda brott i den digitala miljön ställer krav på verktyg som kan verka i denna miljö. De nuvarande verktygen är inte i sin utformning skapade för eller anpassade till den digitala miljön och de styrkor och förmågor som de befintliga hemliga tvångsmedlen har är i stort överspelade i denna miljö. Ett av de stora problemen är att stöd och tillämpning avseende de redan befintliga tvångsmedlen kopplat till den nya digitala miljön i stort saknas. Det finns således stora kunskaps- luckor och svarta fält avseende hur de existerande tvångsmedlen kan, får och ska användas i den digitala miljön. Bara ett sådant, i den fysiska världen, relativt enkelt hanterat tvångsmedel som husrannsakan och beslag utgör ett stort problem inom den digitala miljön för dagens brottsbekämpande organi- sationer och antalet tolkningar och tillämpningar är otaliga. Detta gör i förlängningen att rättssäkerheten riskerar att urholkas, dels genom att lagstiftningen tillämpas på olika sätt i liknande förhål- landen, dels genom att lagstiftningen inte används trots att den kanske skulle vara tillämpbar. Ett annat problem är att många av de befintliga tvångsmedlen inte är teknikneutrala och därmed med tiden kommer att bli obso- leta i den moderna digitala miljön. Ett beslut avseende hemlig av- lyssning av kommunikation utfärdat av domstol är inte särskilt mycket värt om kommunikationen som beslutet omfattar är kryp- terad eller saknar teknisk lösning för att vidarebefordras till de brottsbekämpande myndigheterna. Listan med exempel kring denna typ av problem kan göras omfattande. Om dessa olika typer av tekniska begränsningar, tillämpnings- svårigheter och direkta avsaknad av specificerat lagstöd skulle sammanställas befaras att mängden tillämpbara verktyg inom detta område skulle bli relativt begränsat och troligen avsevärt mer begränsat än lagstiftaren både avsett och känt till. Utifrån detta sagda är det därför av vikt att just med den digitala miljön och dess särskilda förutsättningar som utgångspunkt göra en genomgripande och detaljerad genomgång och analys över de befintliga tvångsmedlen och bestämmelserna inom området, och sedan utifrån denna analys utröna vilka nya tillämpningar, föränd- ringar eller nyordningar som är påkallat. Utredningen föreslår därför en förnyad utredning, Tvångsmedel i den digitala miljön, med uppgift att se över bestämmelserna i 27 och 28 kapitlet samt övriga befintliga tvångsmedel avseende dess tillämpning i den digitala miljön samt vid behov före- slår förändringar eller nya lagstöd. Utredningen bör särskilt beakta förslag som framförts i SOU 2005:38 och 2012:44 rörande behovet av ett nytt tvångsmedel, hemlig dataavläsning (HDA). 9.7Internationella och regionala relationer Förslag: Regeringen säkerställer att agerar kraftfullt och konsistent i samtliga internationella och regionala fora av rele- vans. 9.7.1Sverige som stark internationell spelare Den internationella dimensionen är mycket påtaglig när det gäller informations- och cybersäkerhet. Dels därför att informations- infrastrukturen är sammanflätad och korsar nationsgränser, dels därför att många privata företag som driver och äger infra- strukturen är verksamma i flera länder. Störningar i informations- system kan snabbt röra sig mellan nationell och internationell nivå, vilket innebär att förebyggande och hantering av sådana störningar måste ske såväl på nationell som på internationell nivå. För att hantera dessa typer av angrepp finns omfattande internationella samarbetsnätverk, vilka i stor utsträckning bygger på förtroende.