sou · H3B323 · 2015-03-10 00:00:00 — Så är fallet med allt som avser upp- handling men även vad avser kritisk infrastruktur som är föremål för statens ansträngningar som de beskrivs i betänkandet. Framför- allt gäller det infrastruktur för elektronisk kommunikation som i huvudsak är privat. Utredningen utvecklar dessa frågor och hur vi ser på statens ansvar inom informationssäkerhetsområdet i avsnitt 3.5.2. Utredningen ska enligt direktiven hålla sig informerad om och beakta Utredningen om säkerhetsskyddslagen (Ju 2011:14). Det uppdraget redovisas . I den utredningens direktiv En modern säkerhetsskyddslag (dir. 2011:94) anger regeringen att det inte längre framstår som ändamålsenligt att säkerhetsskyddslagens bestämmelser om informationssäkerhet avgränsas till åtgärder som behövs för att skydda uppgifter som omfattas av sekretess och som rör rikets säkerhet. Utredarens uppdrag har därför varit att föreslå hur reglerna om informationssäkerhet, som en del av säkerhets- skyddet, bör vara utformade och med beaktande av övrig rättslig reglering på informationssäkerhetsområdet, utarbeta nödvändiga författningsförslag. Informationssäkerhet enligt säkerhetsskyddslagen avser åt- gärder för att förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) inte obehörigen röjs, ändras eller förstörs (7 § första stycket 1 säkerhetsskydds- Uppdragets genomförande och begrepp Därutöver finns i 9 § säkerhetsskyddslagen en bestämmelse som uttryckligen anger att behovet av skydd vid automatisk informationsbehandling ska beaktas särskilt vid utformningen av informationssäkerheten. Ändamålen med säkerhetsskyddslagen är att skydda uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet. Det gäller bl.a. bestämmelserna om informationssäkerhet, som uteslutande är inriktade på att skydda uppgifter som omfattas av sekretess och som rör rikets säkerhet (toppen av pyramiden). Lagen ger därför små möjligheter att vidta åtgärder för att skydda statens it-systemen generellt. har utvecklingen på it-området inneburit att vissa informationssystem för bl.a. styrning, reglering och övervakning, t.ex. inom energi- försörjningen, fått en allt större betydelse för rikets säkerhet. Det gäller oavsett om det i systemen hanteras uppgifter som omfattas av sekretess som rör rikets säkerhet. Denna utrednings uppdrag (NISU 2014) har omfattat över- gripande och strategiska åtgärder för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Utredningens förslag ska ses i ljuset av att säkerhetsskyddslagen är under översyn och att åtgärdsförslagen inte avser att träffa säker- hetsskyddslagens tillämpningsområde. Vidare begränsas förslagen till det statliga området och till utformning av författningsreglering på förordnings- och föreskriftsnivå. Våra förslag syftar vidare till att skapa en gemensam syn på en lägsta nivå av informations- säkerhet i staten och höja denna. I diskussioner rörande informationssäkerhet aktualiseras inte sällan integritetsfrågan. På motsvarande sätt berörs informationssäkerhet ofta i integritetsdiskussioner. Flera verksamheter behandlar stora mängder av personuppgifter och annan information som är av känslig karaktär. Förutsättningen för att dessa organisationer ska kunna upprätthålla en hög grad av tillit bland medborgarna är att de kan skydda den känsliga informationen från otillbörlig åtkomst. Vårt uppdrag har varit att föreslå de övergripande målen som ska utformas så att de ger mål, riktlinjer för och prioriteringar som kan ligga till grund för myndigheternas eget informationssäker- hetsarbete. Utredningen föreslår därför inga åtgärder som reglerar det individuella förhållandet till staten. Förslagen handlar om det kollektiva skyddet för information som staten ska kunna erbjuda. Uppdragets genomförande och begrepp de delar utredningens förslag skulle kunna påverka den enskildes personliga integritet föreslår utredningen ytterligare utrednings- åtgärder för att väga in sådana aspekter. I utredningens direktiv anges att det finns ett behov av att definiera begrepp och reda ut hur de förhåller sig till varandra samt vid behov ensa dessa begrepp för att undvika missförstånd. Vårt upp- drag har därför varit att klargöra begrepp. Under utredningens arbete har vi funnit att behovet framförallt gör sig gällande beträf- fande begreppen informationssäkerhet, cybersäkerhet och informa- tions- och cybersäkerhet. I detta avsnitt förtydligas dessa begrepp. En grundläggande definitionsfråga för hela den svenska informa- tionssäkerhetsnomenklaturen handlar just om innebörden av det svenska begreppet ”informationssäkerhet”. På engelska är detta begrepp uppdelat i två betydelser dels ”” som utgår från ett tekniskt perspektiv och återspeglas i ISO 27001-stan- darden, dels i ”Information ” som utgår från ett natio- nellt säkerhetsperspektiv och där även organisation och policy in- går. I tidigare utredningsarbeten gjordes försök att särskilja det senare begreppet från det förra genom att introducera termen ”informationssäkring”, vilket också infördes i SIS-nomenklatur. Begreppet – liksom den förenklade varianten ”övergripande in- formationssäkerhet” – vann aldrig någon uppslutning i det offentliga då det ansågs för komplicerat att beskriva. Följden har dock blivit olyckliga sammanblandningar i begreppens innebörd – inte minst i internationella sammanhang. Cybersäkerhetsbegreppet är mer strategiskt och fokuserar mer på nationella och internationella nätverk. Därmed har cybersäker- het en större internationell räckvidd med t.ex. folkrättsliga fråge- ställningar och normer på cyberområdet än det mer tekniska in- formationssäkerhetsbegreppet. Det senare har en större tyngd- punkt mot hård- och mjukvara samt standardisering. Uppdragets genomförande och begrepp Motivet för fokus mot cybersäkerhet är att det är på detta område som statsmaktsperspektivet behöver utvecklas då fråge- ställningarna ligger ovanför myndigheternas ansvarsområden, samt att avdömningar mellan olika sektorsstrategier kan behöva göras inom ramen för ett svenskt koherent nationellt förhållningssätt gentemot EU och andra internationella organ. I takt med att internationella systemet i allt större utsträckning påverkas av informations- och kommunikationsteknologifrågor har också nya begrepp och delvis förändrade synsätt utvecklats. I det internationella engelskspråkiga samtalet används en terminologi med förledet cyber, t.ex. cyber space affairs, cyber governance, cybersecurity och cyber defense. I de internationella policydiskussionerna har cybersecurity i allt större omfattning ersatt användandet av begreppet information security, även om de grundläggande tekniska utgångspunkterna i princip är desamma. En mycket viktig skillnad utgörs dock av uppfattningen att vissa av de stater och internationella organisationer som vidhåller bruket av begreppet information security i internationella policysammanhang har en annan syn på frågan om ett fritt och öppet informations- flöde på internet. I vissa fall gäller det även formerna för internets styrning och förvaltning. Vissa av dessa aktörer tenderar till att förbehålla sig rätten att betrakta information per se som en säker- hetsrisk mot vilken säkerhetsåtgärder kan behöva vidtas. och en rad andra länder delar inte denna syn. Ett viktigt sätt att manifestera denna hållning är att inte använda begreppet information security, som i dessa sammanhang alltså närmast har kommit att bli ett diplomatiskt kodord för en mer repressiv inställ- ning till informationsfrihet. Det ska dock noteras att i andra sammanhang kan begreppet information security vara relevant så som när man talar om uppgifter som är av sådan känslig karaktär att de skyddas genom reglering i toppen av pyramiden (figur 1), dvs. motsvarande säkerhetsskyddslagens tillämpningsområde. Exem- pel på sådana sammanhang är internationellt säkerhetssamarbete som bygger på rådets säkerhetsbestämmelser eller på inter- nationella säkerhetsskyddsåtaganden. Uppdragets genomförande och begrepp Även i frånvaro av formella konsensusdefinitioner tycks det finnas en bred – om inte helt samstämmig – anpassning till begrepp med förledet cyber, vilket också färgar av sig inom andra språk- områden än det engelska. I säkerhets- och utrikespolitiska sammanhang används därför i praktiken begrepp som cybersäkerhet, cyberrymden, cyberpolitik och liknande, även om dessa saknar formella definitioner. De två centrala begreppen i denna utredning och den del av verklig- heten den söker beskriva är informationssäkerhet och cybersäker- het. Informationssäkerhet innebär en strävan att skydda informa- tion så: att den alltid finns när den behövs (tillgänglighet) att det går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet) att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när informationen har hanterats och kommunicerats (spårbarhet) Informationssäkerhet omfattar såväl administrativa åtgärder för att skydda information (såsom föreskrifter, behörighetsrutiner, etc.) som tekniska åtgärder (såsom it-säkerhet och fysisk inpasserings- kontroll). Standarder är centrala i ett systematiskt informationssäker- hetsarbete. De anger krav och riktlinjer som är användbara för alla typer av organisationer. Verksamheter får möjligheter att arbeta utifrån beprövade erfarenheter och då enklare skapa förutsättningar för bättre säkerhet. Cybersäkerhet omfattar, enligt den definition EU använt i sin Cybersäkerhetsstrategi de mekanismer och åtgärder som används för att skydda cyberdomänen, både civilt och militärt, mot de hot som är förknippade med eller som kan skada dess ömse- sidigt beroende nätverk och informationsinfrastruktur. Uppdragets genomförande och begrepp säkerhet strävar efter att bevara nätverkens och infrastrukturens tillgänglighet och integritet samt konfidentialiteten hos informa- tionen däri. Cyber-security commonly refers to the safeguards and actions that can be used to protect the cyber domain, both in the civilian and military fields, from those threats that are associated with or that may harm its interdependent networks and information infrastructure. Cyber- security strives to preserve the availability and integrity of the net- works and infrastructure and the confidentiality of the information contained therein. Cybersäkerhet definieras vid () enligt följande. Cybersecurity is the collection of tools, policies, security concepts, security safeguards, guidelines, risk management approaches, actions, training, best practices, and technologies that can be used to protect the cyber environment and organization and user’s assets. Organization and user’s assets include connected computing devices, personnel, infrastructure, applications, services, telecommunications systems, and the totality of transmitted and/or stored information in the cyber environment. Cybersecurity strives to ensure the attainment and maintenance of the security properties of the organization and user’s assets against relevant security risks in the cyber environment. The general security objectives comprise the following: •Availability • Integrity, which may include authenticity and non-repudiation Begreppen används ofta utan särskillnad och i daglig hantering leder detta sällan till missförstånd. För svensk myndighetsintern verksamhet och med den sammanhängande normgivning går det utan tvekan bra att även använda begreppet informa- tionssäkerhet, medan större kontextuell precision är tillrådlig så fort en internationell dimension gör sig gällande; när ett större per- spektiv ska anläggas som räknar in samarbete med andra länder och skyddsåtgärder mot kända eller okända antagonistiska aktörer är cyberförstavelsen inte bara politiskt utan också tekniskt att föredra. Utredningen är därför av uppfattningen att i sina internationella relationer bör använda begreppet cybersäkerhet, 1Cybersecurity Strategy of Union: , Safe and Secure Cyberspace, dokument (2013) 1 final, , , sid. 3, fotnot 4. 2Definition of cybersecurity, referring to ITU-T X.1205, Overview of cybersecurity. Uppdragets genomförande och begrepp såvitt det inte i viss diskussion krävs t.ex. en till viss standard relaterad teknisk precision. För inrikes angelägenheter – dvs. där det är informationen snarare än landet, staten eller rättsordningen som är skyddsobjekt – täcker begreppet informationssäkerhet flertalet av de i betänkandet föreslagna åtgärderna, medan cybersäkerhetsbegreppet gör sig mer gällande när perspektivet avser svenskt förhållande gentemot andra hot. Begreppet ”informations- och cybersäkerhet” bör användas när båda delarna åsyftas, såsom skett t.ex. vid Myndigheten för samhällsskydd och beredskap där ett verksamhetsområde för informations- och cybersäkerhet bildats. Utredningen behandlar samtliga de ovan beskrivna situationerna och följaktligen används också båda begreppen i betänkandet. Utredningens bedömning är dock att behovet av exakthet i begreppsanvändningen gör sig mer eller mindre tydligt gällande i olika sammanhang. Detta innebär att i de fall utredningen lämnar förslag till åtgärder som innebär olika former av krav behöver begreppen användas med noggrannhet. I de fall det inte föreligger risk för missförstånd ställs lägre krav på begreppsanvändningen. Det betyder att i de delar av betänkandet där vi redogör för andra aktörers erfarenheter har vi endast återgett begreppen så som det beskrivits för oss. I dagens samhälle hanteras information i elektroniska kommunika- tionsnät och it-system i större omfattning . Det är av största vikt att alla aktörer i samhället kan känna tillit till denna information och hanteringen av den på alla nivåer i samhället. Digi- taliseringen innebär utöver fantastiska möjligheter för utveckling och tillväxt i samhället, även en ökad sårbarhet. Arbetet med in- formationssäkerhet är en angelägenhet för alla. I detta arbete behövs en bättre helhetssyn i vårt samhälle på vad som ska skyddas, vilka hoten är och vilka medel vi ska ha för att förstärka vårt skydd. En gemensam lägesuppfattning behövs som ger tillräcklig överblick och förutsättningar att prioritera insatser, särskilt vid allvarligare händelser som berör flera sektorer. Utredningen har som uppdrag att föreslå en nationell strategi för hantering och överföring av information i elektroniska kom- munikationsnät och it-system samt föreslå övergripande mål för samhällets informationssäkerhetsarbete, och hur ska upp- rätthålla säkerhet och integritet i samhällsviktig it-infrastruktur. Enligt direktiven krävs för att stärka samhällets säkerhet att skyddsvärden, hot och skyddsmedel ses i ett sammanhang. Informationssäkerhet kan sägas fokusera på den information som data representerar och dess skyddsbehov. I följande avsnitt resoneras kring vilken information som är värdefull för samhället, vilken information samhället har möjlighet att skydda och gräns- snitt där staten har möjlighet att påverka. Den nationella strategin ska enligt direktiven avse hantering och överföring av information i elektroniska kommunikationsnät och it-system. nationella strategin hantera risker på alla nivåer i samhället och bör även inkludera alla relevanta aspekter och aktörer. Vad som behöver skyddas kan naturligtvis i förlängningen sägas vara andra värden än den information som data representerar. Informationssäkerhet anses i de flesta sammanhang omfatta informationens konfidentialitet, tillgänglighet, riktighet och spår- barhet. Det rör sig således inte endast om den information som data representerar utan även om hur information används. Med ett vidare perspektiv är andra värden som ska skyddas samhällets funktionalitet och effektivitet, rättssäkerhet, befolkningens liv och hälsa, men också ytterst rikets säkerhet, demokrati och mänskliga fri- och rättigheter. 3.2Vilken information är värdefull för samhället Information från den offentliga sektorn spelar en viktig roll för hur marknaden fungerar och hur individer kan tillvara och utöva sina fri- och rättigheter. Utan användarvänlig och lättillgänglig admini- strativ, rättslig, ekonomisk eller annan offentlig information kan de samhälleliga aktörerna och ekonomiska aktörerna inte fatta väl- underbyggda beslut. Det finns även stora mängder information som är av avgörande betydelse för samhällets funktionalitet. Här kan exempelvis nämnas informationshanteringen i betalningssyste- men, styrsystem för samhällsviktig eller kritisk it-infrastruktur. Genom lagen (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen har och rådets direktiv /98/EG om vidareutnyttjande av information från den offentliga sektorn (PSI-direktivet) genomförts. Lagen gäller inte för handlingar eller uppgifter i handlingar som inte får tillhandahållas eller för begränsningar i vidareutnyttjandet av dessa som en myndighet är skyldig att besluta om eller som annars följer av någon författning. Som huvudregel omfattas inte heller myndigheters informations- utbyte av lagen. Ur förarbetena till lagen är följande hämtat (prop. 2009/10:175 s. 32, 67 och 131). En del av den information som finns hos kommunala och statliga myn- digheter utgör en samhällsgemensam resurs av stort värde för med- borgare, företagen och det civila samhället. Det ska vara så enkelt som möjligt för så många som möjligt att tillgodogöra sig värdet av denna informationssamling. Genom att till stor del betrakta offentlig information och e-tjänster som gemensamma resurser som kan användas av andra aktörer kan förvaltningen bidra till samhällets utvecklingsförmåga och innova- tionskraft. Möjligheterna att få tillgång till, att bearbeta och att sprida förvalt- ningens information är centralt för förvaltningens legitimitet och dess demokratiska förankring. Utöver insyn och kontroll över offentlig verksamhet, kan medborgare och organisationer använda informa- tionen för sin egen kunskapsuppbyggnad, som underlag för deltagande i det offentliga samtalet och i formella politiska processer. Information från myndigheter kan också användas som underlag för att fatta välavvägda beslut när det gäller individuella val som rör det allmännas tjänster, t.ex. välfärdsval. Sådan information kan därför bidra till att stärka människors självstyre och förbättra förutsättningarna för ut- övandet av medborgerliga rättigheter. I detta sammanhang behandlas således värdet för samhället av den information i förvaltningen som är offentlig och vikten av att den görs tillgänglig. En förutsättning för att detta värde ska föreligga är att informationens riktighet kan säkerställas. I säkerhetsskyddslagen (1996:627) tar informationssäkerhet sikte på uppgifter som omfattas av sekretess och som rör rikets säkerhet (7 § 1). Offentlighetsprincipen, reglerna om allmänna handlingars offent- lighet, innebär bl.a. en rätt att ta del av allmänna handlingar. Rätten till insyn i allmänna handlingar förutsätter att det är fråga om en offentlig handling, dvs. en allmän handling som inte är hemlig till följd av en bestämmelse om sekretess. Rätten att ta del av hand- lingar får begränsas endast när det är påkallat med hänsyn till rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation, rikets centrala finanspolitik, penningpolitik eller valutapolitik, myndighets verksamhet för inspektion, kontroll eller annan tillsyn, intresset att förebygga eller beivra brott, det allmän- nas ekonomiska intresse, skyddet för enskilds personliga eller ekonomiska förhållanden och intresset att bevara djur- eller växtart (2 kap. 2 § TF). Begränsningar ska anges i offentlighets- och sekretesslagen eller i andra lagar, till vilka hänvisningar görs i offentlighets- och sekretesslagen. Sekretessens styrka och räckvidd varierar och är ett uttryck för den avvägning som gjorts mellan insynsintresset och skyddet av det allmänna eller enskilda intresset. Personuppgifter är en typ av information som ges ett sådant särskilt skydd. Enligt personuppgiftslagen gäller särskilda begräns- ningar i behandlingen av vissa kategorier av personuppgifter. I lagen betecknas dessa som ”känsliga” personuppgifter. Känsliga uppgifter är personuppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och personuppgifter som rör hälsa eller sexualliv. Skyddsbehovet styrs inte bara av den information som data representerar, utan också av i vilken verksamhet informationen används. I 6 kap. 3 § lagen (2003:389) om elektronisk kommunikation finns bestämmelser om att den som tillhandahåller en allmänt till- gänglig elektronisk kommunikationstjänst ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att upp- gifter som behandlas i samband med tillhandahållande av tjänsten skyddas. Den som tillhandahåller ett allmänt kommunikationsnät ska vidta de åtgärder som är nödvändiga för att upprätthålla detta skydd i nätet. I en nationell strategi för att förebygga uppkomsten av terrorism, förhindra terroristattentat och förbereda för det fall ett terrorist- attentat ändå inträffar (skr. 2011/12:73) inkluderar viktiga åtgärder att stärka it-säkerhet. I skrivelsen berörs arbetet med att förebygga allvarliga elektroniska angrepp riktade mot samhällsviktiga it-system. har utvecklat ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infra- struktur. Uttrycket samhällsviktig verksamhet används även i förord- ningen (2006:942) om krisberedskap och höjd beredskap. I den risk- och sårbarhetsanalys som varje myndighet ska göra ska myndigheten särskilt beakta att de mest nödvändiga funktionerna kan upprätthållas i samhällsviktig verksamhet (9 § andra stycket 3). Enligt föreskrifter utfärdade av Myndigheten för samhällsskydd och beredskap, MSB, (MSBFS 2010:7) om statliga myndigheters risk- och sårbarhetsanalyser ska med samhällsviktig verksamhet i föreskrifterna avses en verksamhet som uppfyller minst ett av följande villkor. Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksamheter leda till att en allvarlig kris inträffar i samhället. Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt. I Handlingsplan för skydd av samhällsviktig verksamhet (MSB, ) anges samhällssektorer inom vilka merparten av viktiga samhällsfunktioner och samhällsviktiga verksamheter finns. Bland de samhällssektorer som nämns finns energiförsörjning, finansiella tjänster, handel och industri, hälso- och sjukvård samt omsorg, information och kommunikation, kommunalteknisk försörj- ning, livsmedel, offentlig förvaltning, lednings- och stödfunktioner, skydd och säkerhet, socialförsäkringar och transporter. Uttrycket samhällsviktig används även beträffande infrastruktur och uttrycket samhällsviktig it-infrastruktur används i beskrivningen av utred- ningens uppdrag, se bilaga 1. 3.3Vilken information har samhället möjlighet att skydda Frågan om vilken information samhället har möjlighet att skydda är kopplad till frågorna om vilka informationsrelaterade hot respektive vilka skyddsmedel som finns. I avsnitt 4.4 redogörs övergripande för den aktuella informationsrelaterade hotbilden. De följande kapitlen om myndigheter med särskilt ansvar för informationssäkerhet (kap. 6), samhällets informationssäkerhet (kap. 7) i och den internationella utvecklingen på informationssäkerhetsområdet (kap. 8) ger ett underlag om hur information kan skyddas. Om man ser på frågan mera övergripande kan den också avse vilka styrmedel som finns och i vilka sammanhang samhället har möjlighet att skydda information. Redogörelsen för informations- säkerhetsarbetet i kan visa på de möjligheter, men också de begränsningar som finns att skydda information i den offentliga sektorn, dvs. i både den statliga och den kommunala förvaltningen.