sou · H3B323 · 2015-03-10 00:00:00 — lappande betydelse, delvis med olika betydelse utifrån skilda ut- gångspunkter. Informationssäkerhet är enligt terminologi för informations- säkerhet (SIS handbok 550 utgåva 3) säkerhet för informationstill- gångar avseende förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet (även ansvarighet och oavvislighet). Informationssäkerhet är även ett legaldefinierat begrepp i säker- hetsskyddslagen (1996:627) där det finns bestämmelser om in- formationssäkerhet till skydd för rikets säkerhet. Säkerhetsskydds- lagstiftningen är under översyn och utredningen ska redovisa sitt uppdrag (dir. 2011:94). Mot bakgrund av en ökad internationalisering och behov av interoperabilitet är även en jämförelse med andra nationer och organisationers syn på definitioner viktig. En särskild utmaning är staters skilda syn på hotbilder, regleringsbehov m.m. inom området som lett till skillnader i definitioner och begreppsanvändning. Begreppet informationssäkerhet kopplas av vissa länder till censur och statlig kontroll av medborgarna. har även andra begrepp börjat användas i det svenska språket, framför allt cybersäkerhet och cyberförsvar men även benämningar som digital säkerhet och it-säkerhet förekommer utan att den närmare innebörden av dessa förklarats. Det finns således ett behov av att definiera begrepp och reda ut hur de förhåller sig till varandra samt vid behov ensa dessa begrepp för att undvika missförstånd. De begrepp eller benämningar som används i dessa kommittédirektiv ska inte föregripa eller begränsa utredarens arbete i detta avseende. klargöra begrepp som används inom informationssäkerhets- området och vid behov föreslå förtydligande eller alternativa benämningar och definitioner, särskilt sådana som används i för- slaget till nationell strategi. Utredningsuppdraget omfattar inte att föreslå förtydligande defini- tioner av begrepp som används inom ramen för säkerhetsskydds- lagstiftningen. Redovisa roller och ansvar på området Grunden för samhällets krisberedskap är ansvarsprincipen. Det finns flera statliga myndigheter med särskilda uppgifter eller upp- drag på informationssäkerhetsområdet, såväl nationellt som inter- nationellt, och frågorna spänner över en mängd olika områden och nivåer. De statliga myndigheterna bör utveckla sin förmåga att samverka inom informationssäkerhetsområdet. För att underlätta denna förmåga behövs en enhetlig och samlad beskrivning av respek- tive myndighets ansvar och roll utifrån dagens uppgifter och upp- drag på informationssäkerhetsområdet. med utgångspunkt i uppdraget redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informa- tionssäkerhetsområdet som de har . Utredaren ska beskriva eventuella konsekvenser av sina förslag för statliga myndigheter, landsting, kommuner och andra relevanta aktörer som kan beröras. Om förslagen påverkar kostnaderna eller intäkterna för staten, landstingen, kommunerna eller enskilda ska en beräkning av dessa konsekvenser redovisas och utredaren föreslå finansiering för detta. Om förslagen får samhällsekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminsk- ningar för staten, landstingen eller kommunerna ska utredaren föreslå en finansiering. Sådan finansiering ska föreslås ske inom området och gällande ekonomiska ramar. Om något av förslagen påverkar det kommunala självstyret ska utredaren särskilt redovisa dessa konsekvenser och de särskilda avvägningar som lett till förslagen, i enlighet med bestämmelserna i 14 kap. 2 och 3 §§ regeringsformen. Samråd och redovisning av uppdraget Utredaren ska löpande hålla (Försvarsdeparte- mentet) informerat. Vidare ska utredaren hålla sig informerad om och beakta rele- vant arbete om informationssäkerhetsfrågor som pågår inom och i utredningar, som t.ex. Försvarsberedningens arbete. Utredaren ska även hålla sig informerad om och beakta Utredningen om säkerhetsskyddslagen (Ju 2011:14), Utredningen om förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården och (S 2011:13), Kommuner och Landstings insatser inom området eSamhället, den Digitala agendan för , e-förvaltningsstrategin, den europeiska cyber- säkerhetsstrategin, kommissionens förslag till direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informations- säkerhet i hela unionen (COM (2013) 48 final), det arbete som pågår inom ramen för regeringens arbete med EU:s digitala agenda, e-förvaltning och allmän uppgiftsskyddsförordning (COM(2012) 11 final) samt andra relevanta internationella dokument. I det fall EU beslutar om direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen ska det beaktas i arbetet med strategin. Utredaren ska också beakta andra länders samt nationella och internationella organisationers strategier för informationssäkerhet. Utredaren bör även beakta nuvarande politik som bedrivs på området. Uppdraget ska redovisas . NISU 2014 (Fö 2013:04) Regeringen beslutade kommittédirektiv om strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). Utredningen har tagit namnet NISU 2014. Utöver det ursprungliga uppdraget ska utredaren undersöka de rättsliga förutsättningarna för (SOS Alarm) att inrätta och driva ett system för viktigt meddelande till allmän- heten (VMA) via mobil och fast telefoni vid allvarliga olyckor och kriser. Utredaren ska i det sammanhanget undersöka om det finns behov av ny eller ändrad lagstiftning och i så fall lämna fullständiga författningsförslag. Detta tilläggsuppdrag ska redovisas . Det ursprungliga uppdraget ska fortfarande redovisas . Viktigt meddelande till allmänheten Programföretag som sänder radio och tv har om- fattats av krav att sända viktiga meddelanden till allmänheten. Av 4 kap. 9 § 15 radio- och tv-lagen (2010:696) framgår att ett tillstånd att sända tv eller sökbar text-tv får förenas med villkor om skyldig- het att kostnadsfritt sända meddelanden som är av vikt för allmän- heten, om en myndighet begär det. Det finns möjlighet att ställa sådana villkor även för ljudradio, se 11 kap. 3 § 15 samma lag. Enligt sändningstillstånden för och , vilka beslutades av regeringen , ska bolagen kostnadsfritt sända meddelanden som är av vikt för allmänheten om en myndighet begär det (Ku2013/2524/MFI och Ku2013/2525/MFI). Att ett system för varning och information genom mobiltelefoner bör införas stegvis anges i propositionen Samverkan vid kris – för ett säkrare samhälle (prop. 2005/06:133, bet. 2005/06:FöU9, rskr. 2005/06:295-296). Regeringen bemyndigade (Fö2008/3431/SSK) chefen för att under- teckna alarmeringsavtalet (Fö2008/3587/SSK) mellan Svenska staten och SOS Alarm. I regeringsbeslut (Fö2013/468/SSK) anges att parterna efter förhandling enats om tillägg till alarmeringsavtalet som innebär att SOS Alarm ska inrätta ett nytt tekniskt system för VMA via mobil och fast telefoni vid allvarliga olyckor och kriser. SOS Alarm ska där- efter svara för driften och underhållet av systemet. Det nya tek- niska systemet ska komplettera de befintliga systemen för varning. SOS Alarm ska enligt tilläggsavtalet även i samverkan med berörda aktörer undersöka förutsättningarna för att med det nya tekniska systemet nå svenska mobilabonnenter som befinner sig i annat land i händelse av en allvarlig olycka eller kris. SOS Alarm ska vidare säkerställa att ansvariga aktörer bereds möjlighet att leverera samordnad och kvalitetssäkrad VMA vid allvarliga olyckor och kriser. Tjänsten ska vara en del av det totala VMA-systemet. I regeringsbeslut (Fö2014/280/SSK) anges att parterna enats om att ovan nämnda uppdrag ska fortsätta . Under arbetet med att inrätta ett system för VMA via mobil och fast telefoni vid allvarliga olyckor och kriser har SOS Alarm upp- märksammat regeringen på att det kan finnas behov av ändringar i befintlig lagstiftning för att SOS Alarm ska kunna inrätta och driva systemet. SOS Alarm gör bedömningen att föreslagen behandling av abonnentuppgifter kan ske med stöd av personuppgiftslagen (1998:204). Enligt SOS Alarm krävs det emellertid reglering i lagen (2003:389) om elektronisk kommunikation för att teleoperatörer ska kunna skicka VMA per sms till de mobilabonnenter som befin- ner sig inom ett visst drabbat område, (N2013/5082/ITP). Tilläggsuppdraget om ett system för viktigt meddelande till allmänheten Att varna eller informera allmänheten vid olyckor eller vid över- hängande fara för olyckor, andra allvarliga händelser eller för sprid- ning av allvarlig smittsam sjukdom är viktigt för att hindra och begränsa skador på liv, hälsa, egendom eller miljö. Utnyttjande av informationsteknik och elektroniska kommunikationsnät kan vara ett värdefullt komplement till det befintliga VMA-systemet. Det är angeläget att varnings- och informationsarbetet präglas av snabbhet och tydlighet. Detta ställer stora krav på de tekniska systemens tillgänglighet och säkerhet. Det är också viktigt att det finns rätts- liga förutsättningar för att systemet ska kunna användas på ett lämpligt och effektivt sätt. Utöver det ursprungliga uppdraget ska utredaren undersöka de rättsliga förutsättningarna för SOS Alarm att inrätta och driva ett system för VMA via mobil och fast telefoni vid allvarliga olyckor och kriser, i sitt arbete särskilt uppmärksamma behovet av skydd för den personliga integriteten, och undersöka om det finns behov av ny eller ändrad lagstiftning och i så fall lämna fullständiga författningsförslag. I uppdraget ingår inte att bedöma eller ta ställning till olika tek- niska lösningar som kan användas för att inrätta eller driva VMA. Utredaren ska beskriva eventuella konsekvenser av sina förslag för statliga myndigheter, landsting, kommuner, operatörer och andra relevanta aktörer som kan beröras. Om förslagen påverkar kostnaderna eller intäkterna för staten, landstingen, kommunerna eller enskilda ska en beräkning av dessa konsekvenser redovisas och utredaren ska föreslå finansiering för detta. Om förslagen får konkurrensmässiga eller samhällsekono- miska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, landstingen eller kommunerna ska utredaren föreslå en finansiering. Sådan finansiering ska föreslås ske inom området och gällande ekono- miska ramar. Om något av förslagen påverkar det kommunala självstyret ska utredaren särskilt redovisa dessa konsekvenser och de särskilda av- vägningar som lett till förslagen, i enlighet med bestämmelserna i 14 kap. 2 och 3 §§ regeringsformen. Samråd och redovisning av tilläggsuppdraget Utredaren ska löpande hålla (Försvarsdeparte- mentet) informerat om arbetet. Vid genomförande av tilläggsupp- draget ska utredaren inhämta synpunkter från SOS Alarm, Data- inspektionen, Myndigheten för samhällsskydd och beredskap och . Detta tilläggsuppdrag ska redovisas . Det ursprungliga uppdraget ska fortfarande redovisas . NISU 2014 (Fö 2013:04) Förlängd tid för uppdraget Regeringen beslutade kommittédirektiv om bl.a. en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). Regeringen beslutade tilläggsdirektiv till utreda- ren. Enligt tilläggsdirektivet ska utredaren även undersöka de rätts- liga förutsättningarna för SOS Alarm att inrätta och driva ett system för viktigt meddelande till allmänheten (VMA) via mobil och fast telefoni vid allvarliga olyckor samt undersöka om det finns behov av ny eller ändrad lagstiftning och i så fall lämna fullständiga för- fattningsförslag (dir. 2014:66). Det ursprungliga uppdraget (dir. 2013:110) skulle redovisas . Upp- draget ska istället redovisas . Tilläggsuppdraget enligt dir. 2014:66 ska fortfarande redovisas . MSB Dnr: 2014-105 Förslag till nationell strategi och åtgärdsplan för säkra kryptografiska funktioner Rapporten är ett resultat från ett myndighetsgemensamt projekt mellan Myndigheten för samhällsskydd och beredskap (MSB), (), Försvarsmakten (FM) och () Syftet med denna rapport är att föreslå en nationell strategi och åtgärdsplan för hantering och överföring av information i elektroniska kommunikationsnät och it-system med hjälp av kryptering även för den information som inte faller in under signalskyddstjänstens mandat övergripande mål för samhällets informationssäkerhetsarbete relaterat till kryptografi, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur med hjälp av kryptografiska funktioner. Rapporten är avsedd att utgöra underlag till NISU 2014-utredningen, som ska föreslå en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Rapporten är ett resultat från ett myndighetsgemensamt projekt mellan Myndigheten för samhällsskydd och beredskap (MSB), (), Försvarsmakten (FM) och (). MSB är initiativtagare till projektet. Rapporten har tagits fram genom dokumentstudier och intervjuer av ett antal nationella experter inom området, både från den offentliga sektorn och från kryptoindustrin. Kryptologi är grunden för säker informations- och kommunikationsteknologi Innan moderna, så kallade asymmetriska, algoritmer uppfanns (för nyckelutbyte och RSA-algoritmen för kryptering, autentisering och signering) var myndigheter och försvarssektorn de centrala användarna av krypto. Men introduktionen av och ledde till att krypto började användas även i kommersiella produkter och konsumtionsprodukter. Exempelvis för att skydda data både medan den skickas över ett nätverk (data i transit) och när den lagras, till exempel på en hårddisk, smarta telefoner eller ett flashminne (data i vila). Produkter som modem, digitalboxar, smarta kort och använder alla kryptering. Moderna kommunikationsprotokoll som SSH, S/MIME och SSL/TLS som används för att skydda data som överförs på internet baseras på kryptering. Kryptering används för att skydda data i transit som skickas från alla typer av enheter i alla sorters nätverk, inte bara på internet. Varje gång någon använder en bankomat eller köper något på nätet med en smart telefon, gör ett mobilsamtal eller trycker på en nyckelbricka för att låsa upp en bil, är det kryptering som används för att autentisera användaren och skydda den information som förmedlas. Skydd som förhindrar obehörig användning eller reproduktion av upphovsrättsskyddat material är ännu ett exempel på kryptering för att skydda data. Engångslösenordsgeneratorer, säkra betalningar, inpasseringssystem, säker inloggning till datatjänster lokalt eller via nätverk är några av väldigt många applikationer där säkerheten baseras på kryptering. Samhällets förmåga till hantering och överföring av information i elektroniska kommunikationsnät och it-system och förmåga att upprätthålla säkerhet och integritet i samhällsviktig it- infrastruktur står och faller med vår förmåga att försäkra oss om att kryptolösningen är väl vald för ändamålet, att den är korrekt implementerad och att den används på rätt sätt. Säker kryptering är ett fundamentalt behov i it-samhället Samhället har blivit allt mer it-beroende – ett beroende som omfattar alla samhällssektorer. It-incidenter kan hota kritisk infrastruktur, samhällsviktiga verksamheter och ytterst säkerhet. Samhället behöver därför lägga resurser på att förebygga och hantera it- relaterade risker på ett helt annat sätt . Den snabba it-utvecklingen medför även en ökad hotbild och de angrepp som svenska myndigheter utsätts för gör behovet av skydd än mer angeläget. Samhället har därför ett mycket stort och ökande behov av att skydda sin information i olika nivåer. Många organisationer har behov av att skydda information som omfattas av sekretess med hänsyn till rikets säkerhet och behöver signalskydd, men den allra största andelen uppgifter som behöver skyddas ligger på en lägre nivå. Sådana uppgifter kan vara hälso- och sjukvårdsuppgifter, risk- och sårbarhetsanalyser, förundersökningar eller asylärenden. Informationssäkerhet handlar om att information ska skyddas utifrån krav på dess konfidentialitet, riktighet och tillgänglighet där en vanligt förekommande skyddsåtgärd är användningen av krypto och kryptering av information. Kryptolösningar används inte bara vid kommunikation i traditionell mening för att skydda information som är skyddsvärd eller hemlig (konfidentialitet). används även till skydd för t.ex. signering av information (riktighet), automatiserade processer i samhällsviktiga funktioner som t.ex. kritiska infrastrukturer (tillgänglighet) och för att kunna följa hur och när information har hanterats och kommunicerats. Den pågående reformen av det nationella försvaret kan komma att innebära omfattande behov av kryptografiska funktioner i och med återuppbyggnaden av det civila försvaret. Det finns en stark politisk inriktning att planering inför höjd beredskap ska genomföras för civila aktörer, inte minst för de ansvariga myndigheterna. Behovet av såväl signalskydd som andra tillförlitliga kommer att öka för de aktörer i samhället som berörs av planläggningsarbetet för det civila försvaret. Det finns även ett ökat behov av kryptolösningar genom ökad samverkan med andra stater och internationella organisationer, inte minst inom EU och NATO. Hur kan säker kryptering uppnås? Kryptologi används för att implementera säkerhetsfunktioner som skyddar informations konfidentialitet, riktighet och tillgänglighet. Dock krävs det en komplicerad kedja av teknik, processer och kunskap hos användarna för att sådana säkerhetsfunktioner verkligen ska ge det skydd som avsetts. Nedan listas de viktigaste faktorerna för att kryptolösningar ska vara tillräckligt säkra: Säkra kryptografiska algoritmer, dvs. att de matematiska algoritmer som ligger till grund för skyddet inte innehåller svagheter som kan utnyttjas av en angripare. Säkra standarder, dvs. att de matematiska algoritmerna översatts till säkra standarder för datalagring och kommunikation. Säkra it-produkter, dvs. att produktutvecklarna implementerat valda standarder korrekt och att produkterna i övrigt är fria från sårbarheter som skulle kunna utnyttjas av en angripare. Säkra systemarkitekturer, dvs. att it-produkterna kombinerats på ett sådant sätt att det önskade skyddet uppnås. Säkra systemimplementationer, dvs. att systemintegratörer skapar system där krypteringsfunktionerna används korrekt, upplevs tillräckligt användaranpassade och inte innehåller konfigurationsmisstag eller andra sårbarheter som kan användas av en angripare. Säker nyckelhantering, dvs. att de krypteringsnycklar som används i förekommande fall har genererats, distribueras, används och destrueras på ett säkert sätt, dvs. så att nycklarna inte i något led i kedjan kan användas av någon obehörig. Utbildade användare, som förstår hur de använder systemen korrekt, som är medvetna om riskerna med felaktig användning samt anmäler förlorade nycklar och andra relevanta incidenter. Vart och ett av ovan områden är en nödvändig och fundamental faktor för att kunna etablera säker kommunikation och säkra it-lösningar. Kryptoincidenter kan vara utomordentligt samhällsfarliga Om någon av faktorerna som redovisats i föregående avsnitt inte är korrekt omhändertagna kan det få oerhörda effekter på individer, grupper, företag eller t.o.m. hela samhället. Brister i kryptografiska algoritmer: Om en krypteringsalgoritms styrka innehåller svagheter kan (i värsta fall) samtliga säkerhetsfunktioner som baseras på denna algoritm slås ut detta blir allmänt känt. Det skulle inte gå att skilja en korrekt transaktion från en förfalskad. Det skulle t.ex. innebära att (för de tjänster som baseras på algoritmen) samtliga e-legitimationer skulle gå att förfalska och all datatrafik gå att avlyssna eller förfalska. Inloggningar är inte längre säkra. All information som någonsin krypterats med en komprometterad algoritm måste betraktas som röjd. Detta kan leda till ohyggligt omfattande informationsförluster. En sådant incident vore direkt samhällsfarlig. har flera väl etablerade kryptoalgoritmer fasats ut då brister i dessa har blivit kända. Brister i kryptografiska standarder: Om en standard skulle innehålla brister kan det få liknande konsekvenser som ovan, till dess att standarden åtgärdats och samtliga system uppdaterats. Även denna typ av incident kan bli direkt samhällsfarlig, eftersom den kan komma att omfatta många produkter och system och det kan ta innan nödvändiga uppdateringar genomförts. Historiskt har flera sådana brister upptäckts. Brister i it-produkter: Om kryptostandarden är felaktigt implementerad i en produkt på ett sådant sätt att det finns brister, kan samtliga system där en sådan produkt finns installerad drabbas hårt. Beroende på den enskilda produktens spridning och användningsområde kan sådana incidenter drabba berörda användare hårt och även bli samhällsfarliga. Bristfälliga systemarkitekturer: Att etablera säkra system utgående från komponenter (it-produkter) är en komplicerad uppgift som kräver särskild kompetens. Om ett system inte har rätt arkitektur kan det leda till brister vilka kan leda till mer eller mindre allvarliga incidenter för det berörda systemet. På nationell nivå är det rimligt att anta att det finns många system med bristfällig arkitektur (eller implementation, se nästa exempel). Om det finns många sådana system leder det till en aggregering av risk och att viktiga samhällsfunktioner inte har it-system som är robusta nog. Fel i systemimplementationer: Om en systemintegratör gör misstag då ett visst system etableras kan den berörda verksamheten drabbas av mer eller mindre allvarliga incidenter. En sådan incident kan vara allvarlig för det berörda systemet. Osäker nyckelhantering: Om nyckelhanteringen inte är säker, kan samtlig information som skyddats med den/de berörda nycklarna vara komprometterad. Om en nyckel röjts är all information som krypterats med denna nyckel att betrakta som komprometterad. Eftersom nycklar i många tillämpningar inte byts ut regelbundet kan detta innebära mycket stora informationsförluster. Beroende på den information som skyddats kan nyckelincidenter vara mycket allvarliga. Outbildade användare: Om användarna inte är utbildade kan det leda till nyckelincidenter och/eller att obehöriga får tillgång till systemen, vilket kan få följdverkningar. Som framgår av ovan finns det olika former av brister som kan omfatta olika stora delar av kritisk infrastruktur och få olika långtgående konsekvenser för samhället. I samtliga fall där ovan faktorer kan leda till allvarliga it-incidenter eller vara samhällsfarliga finns det därmed anledning för staten att ha en strategi för hur dessa frågor omhändertas. Bristen på styrning ger falsk trygghet Som beskrivits i föregående avsnitt är det flera faktorer som måste vara korrekt hanterade för att önskat skydd ska erhållas. Det är en komplicerad kedja av aspekter som var och en är vital, och som var och en måste hanteras och därmed styras. Bristen på styrning har visat sig ge en falsk trygghet, för även om moderna kryptokomponenter har en oerhört stor potential att ge det skydd vi behöver så är tekniken i sin grund avancerad och därför är fallgroparna många för den som inte har tillräcklig kompetens inom området. Varje länk som innehåller svagheter i denna kedja är en attackvektor för att kringgå den skyddsnivå man vill upprätthålla. Beroende på hur lätt det är att utnyttja svagheten och var i kedjan svagheten finns blir konsekvenserna olika allvarliga. Lite kort kan man säga att ju tidigare i kedjan som bristerna finns, ju större omfattning får konsekvenserna. Att tro att en verksamhet är säker för att man använder kryptering leder i många fall till en falsk trygghet, där riskerna kan vara mycket större än man tror. Enbart när samtliga faktorer som angivits i föregående avsnitt är väl hanterade kan man anse att skyddet är adekvat. Signalskyddstjänsten och Krypto för Skyddsvärda Uppgifter (KSU)