sou · H3B323 · 2015-03-10 00:00:00 — This proposed strategy takes a broad approach to central government administration and would, if implemented, improve general cyber security in central government administration, to the advantage of society’s resources for preventing and combating the most significant threats to the security of the realm. Consequently, these resources can then be targeted in a more undivided fashion against these threats. The Inquiry considers that to be an effective, credible, leading and demanding force in society, central government must devote its energies to creating security within the sphere of central gov- ernment. Therefore, the strategy proposed here is devoted to achieving this exclusively. Only after this has been achieved will central government be in a position to engage society as a whole. Subsequent strategies should cover: skills supply with regard to cyber security in society as a whole; national research and development on cyber security; cyber security within the activities of county councils and municipalities; and the defence of the realm and its independence vis-à-vis antagonistic threats using both defensive and offensive capabilities. Cyber security in … Implementation of the strategy In the Inquiry’s view, a national cyber security strategy should have a medium-term perspective that can lay res for two to three years ahead. The strategy is primarily intended for the Government, the Government Offices and government agencies, and indirectly for the section of the business sector and the organisations that collaborate with or enter into business relations with central government. The strategy is targeted so as to lay decisions and priorities in the area of cyber security, and to improve the coordination of society’s cyber security work. If implemented, the strategy would help to reduce vulnerability and achieve an effective risk level in the various information systems of central government. It would also contribute to secure electronic communications in the public sector and would secure reliable online public sector services. Cyber security is a support activity to improve the quality of central government functions while also being a necessary activity to guarantee that legislation from the Government and the Parliament is actually implemented. Essentially, it is about pro- tecting the fundamental values and goals in our society, such as democracy, personal privacy, economic growth and political stability. The objective is to achieve a high level of cyber security in central government administration that promotes: the rights and freedoms of citizens, and personal privacy; the functionality, efficiency and effectiveness, and quality of central government administration; the ability of central government to prevent and deal with seri- ous disruptions and crises; and business sector growth, through central government being skilled and clear in formulating requirements. The strategy involves a series of initiatives to strengthen cyber security in . The initiatives fall into six areas. Cyber security in … Purpose and content of the strategy The purpose of the proposed strategy is to set out fundamental objectives, directions and working methods for cyber security in Swedish central government. A multitude of different central government actors need a common understanding of cyber secu- rity, what its purpose is and how future security measures can be targeted and designed. Those primarily affected are the Government and the heads of government agencies who have to take the decisions needed to implement the strategy in their activi- ties, but also those who work on cyber security at various levels, decision-makers in public administration and in those sections of the business sector that sell goods and services to it; those who work on IT and general security, but also individual citizens who are reliant on central government handling information about them and for them in a secure way. The strategy sets out six strategic objectives and strategic areas for cyber security. Various proposed measures are given within each strategic area. 1.Governance and oversight of cyber security in central government shall be strengthened. A national governance model for cyber security in society will be established. The Government will establish a government agency council for cyber security comprising representatives of the relevant gov- ernment agencies. A new ordinance on government agencies’ cyber security will be introduced. Cyber security oversight of the central government sector will be coordinated and strengthened. will be given a general oversight mandate for government agencies’ cyber security. Sectoral oversight will be reviewed. Cyber security auditing will be developed. Management responsibility at government agencies for maintaining security in their information management shall be enhanced through a reporting requirement, regulated by statute. Cyber security in … 2.Central government shall state clear security requirements as a procurer of IT products and services, and services involving the handling of information. Central government procurement shall contain references to standards and certification requirements that apply to central government in situations where security levels have been estab- for each activity. is mandated to establish minimum requirements for security in commonly used IT products used by government agencies. A requirement will be introduced, whereby a government agency must report which contractor it has chosen when framework agreements for IT solutions have been used. With regard to services and products for use in communication in central government, the procuring agency should consider the possibility of applying the Defence and Security Procurement Act if procurement under the Public Procurement Act permits insufficient security requirements. The Government will deepen the dialogue between private and public actors, as well as education and research institutions in the area. 3.Government agencies shall communicate in a secure way. All government agencies listed in the annex to the Alert Ordinance will be con- nected to the Swedish Government Secure Intranet (SGSI). During the expansion of SGSI, appropriate measures will be taken to develop sensor technology. All agencies are to use the same synchronized time scale for the time they use in their IT systems. The Government will instruct the , the National Defence Radio , the and the Swedish Armed Forces to develop the process for securing cryptographic functions. Cyber security in … 4.All government agencies shall report IT incidents to create a basis for improved knowledge and status reports. Systems will be introduced for obligatory IT incident reporting for all government agencies. These will be adapted to the con- tents of the EU Directive on Network and (). will be instructed to issue implementation provisions to prepare for obligatory IT incident reporting. Government agencies will be provided with status reports regarding IT incidents. 5.The prevention of and fight against cybercrime shall be strength- ened. The ratification of on Cybercrime should be concluded. It should be considered whether a regulation can be introduced in the Public Access to Information and Secrecy Act whereby secrecy can be maintained regarding information that is exchanged between law enforcement agencies and other agencies involved in law enforcement work within the area of cyber security. A review of the provisions on coercive measures in Chapters 27 and 28 of the Swedish Code of Judicial Procedure and other sections of law shall be conducted to ensure that law enforce- ment agencies are able to carry out their activities in the digital environment. 6.Sweden shall be a strong international partner. The Government will ensure that takes resolute and consistent action in all relevant international and regional forums. förordning för statliga myndigheters informationssäkerhet Härigenom föreskrivs följande. 1 § Bestämmelserna i denna förordning syftar till att främja säker informationshantering i samhället genom att säkerställa att statliga myndigheters informationshantering uppfyller sådana krav på infor- mationssäkerhet att myndighetens verksamhet kan utföras på ett till- fredsställande sätt. 2 § Denna förordning innehåller föreskrifter som dels ställer krav på myndigheternas informationssäkerhetsarbete, dels reglerar det natio- nella myndighetsrådets uppgifter. 3 § Bestämmelserna i 11, 19 och 20 §§ gäller för statliga myndigheter under regeringen, med undantag av , kommitté- väsendet och Försvarsmakten. För utlandsmyndigheterna tillämpas bestämmelserna endast i den utsträckning som bestäms i föreskrifter som meddelas av . 4 § I denna förordning avses med gänglighet och spårbarhet i sin det ena eller båda av följande 1. ett bortfall av eller en svår att en allvarlig kris inträffar i dig eller mycket väsentlig för att en redan inträffad allvarlig kris i samhället ska kunna hanteras så små som möjligt. 5 § Varje myndighet ansvarar för att, genom ett risk- och sårbarhetsbaserat, systematiskt och processinriktat arbetssätt, upp- rätthålla en tillräcklig nivå av informationssäkerhet för den in- formation de ansvarar för eller hanterar i tjänster som myndigheten levererar till en annan organisation. Myndigheten ska i sitt informa- tionssäkerhetsarbete särskilt beakta behovet av ledningssystem och etablerade standarder för informationssäkerhet. 6 § Det ska i myndighetens ledning finnas en person med ett ut- pekat ansvar för informationssäkerhetsfrågor. Myndigheten ska utse en eller flera personer som leder och sam- ordnar det praktiska arbetet med informationssäkerhet, samt i övrigt tydliggöra roller och ansvar för informationssäkerhetsarbetet i orga- nisationen. Myndigheten ska aktivt, genom utbildning och övning, verka för att en god säkerhetskultur etableras i organisationen. 7 § Myndigheten ska kartlägga sina informationsprocesser och klassi- ficera sin information med utgångspunkt i krav på konfidentialitet, riktighet, tillgänglighet och spårbarhet. Inträffade it-incidenter i organisationen ska kunna identifieras och hanteras. Beroende på klassning samt identifierade hot, risker och sårbar- heter ska lämpliga säkerhetsåtgärder vidtas. För offentlig förvaltning utvecklade krav- och skyddsnivåer ska följas i detta arbete. 8 § Myndigheten ska, med stöd av risk- och sårbarhetsanalyser, välja och använda säkra it-produkter vid hantering av information där bristande informationssäkerhet kan medföra en betydande försämring av myndighetens förmåga att bedriva sin verksamhet. I de fall säkra it- produkter finns utpekade i verkställighetsföreskrifter som meddelats med stöd av denna förordning ska dessa användas. 9 § Myndigheten ska följa upp sitt eget informationssäkerhets- arbete och i en årlig plan dokumentera de bedömningar som görs avseende hot, risker och sårbarheter samt redogöra för arbetet som bedrivs i enlighet med kraven i 7–8 §§. Myndigheten ska med stöd av kontinuitetsplanering upprätt- hålla en sådan nivå av informationssäkerhet att myndigheten har god förmåga att hantera sina uppgifter under fredstida krissitua- tioner och höjd beredskap. I kontinuitetshanteringsarbetet ska sådana hot, risker och sårbarheter som avses i 7 § 3 st beaktas. 10 § Kraven i 5–9 §§ gäller endast i tillämpliga delar sådana myndig- heter vars informationshantering eller vars informationssäkerhets- arbete administreras av en annan myndighet, en så kallad värdmyn- dighet. En sådan värdmyndighet som avses i första stycket ska infor- mera den anlitande myndigheten om inträffade it-incidenter som har eller kan ha påverkat säkerheten hos den anlitande myndighetens information. Särskilda krav på informationssäkerhetsarbete 11 § De myndigheter som har ett särskilt ansvar för krisberedskapen enligt 11 § förordning (2006:942) om krisberedskap och höjd bered- skap och de myndigheter som Myndigheten för samhällsskydd och beredskap beslutar i enskilda fall, är skyldiga att uppfylla särskilda krav på informationssäkerhet rörande –användning av säkra kommunikationsnät, –användning av sensorsystem för it-incidentidentifiering, och –kompetens för informationssäkerhetschef eller motsvarande. 12 § Försvarsmakten, , , , Försvarshögskolan, Totalförsvarets forskningsinsti- tut, , Totalförsvarets rekryteringsmyndighet, Myndigheten för samhällsskydd och beredskap och ska ha säkra kryptografiska funktioner. Myndigheten för samhällsskydd och beredskap beslutar vilka övriga myndigheter som ska ha säkra kryptografiska funktioner. Myndigheten för samhällsskydd och beredskap beslutar även vilka företag som efter överenskommelse ska få tillgång till säkra krypto- grafiska funktioner. Myndigheten för samhällsskydd och beredskap får därutöver ingå avtal om tilldelning med kommuner och orga- nisationer som har behov av säkra kryptografiska funktioner. 13 § Försvarsmakten svarar för att Försvarsmakten, , , , Totalförsvarets rekryteringsmyndighet och tilldelas säkra kryptografiska funktioner. svarar för att övriga som enligt 12 § ska ha säkra kryptografiska funktioner tilldelas sådana. 14 § Myndigheter som tilldelats säkra kryptografiska funktioner ska under normal kontorstid kunna ta emot och sända krypterade med- delanden. När en situation av den omfattning som avses i 9 § andra stycket förordning (2006:942) om krisberedskap och höjd beredskap upp- står och vid höjd beredskap ska myndigheterna kunna ta emot och sända krypterade meddelanden även under icke kontorstid. Myndigheten för samhällsskydd och beredskap, eller annars, efter samråd med Myndigheten för samhällsskydd och beredskap, annan myndighet som har behov av information, ska ingå överenskom- melse med sådant företag, sådan kommun eller organisation som tilldelats system med stöd av 12 § tredje stycket om när krypterade meddelanden ska kunna tas emot och sändas. Upphandling och utveckling av it-system och it-produkter 15 § I samband med upphandling och utveckling av it-system eller it-produkter ska myndigheten i förhållande till leverantören klarlägga ansvar och roller för informationssäkerhetsarbetet. Myndigheten ska även fastställa processer för hur säkerhetskrav ska hanteras och hur uppföljning ska ske. Upphandlingen eller utvecklingen ska föregås av informations- klassning och riskanalys av berörd information. Resultatet av klass- ningen och riskanalysen ska vara styrande för utformningen av säker- hetskrav som ställs vid upphandling eller utveckling. Kraven i första och andra stycket gäller även vid anslutning till myndighetsgemensamma tjänster för e-förvaltning eller liknande syfte. En myndighet ska endast uppdra åt någon annan att hantera myn- dighetens information om hanteringen kan ske med tillräcklig säkerhet och enligt denna författning. I detta ingår att försäkra sig om att it-incidenter som har eller kan ha påverkat säkerheten rap- porteras till myndigheten. 16 § I samband med upphandling av it-produkter som är avsedda att användas i samhällsviktig verksamhet som myndigheten bedri- ver eller ansvarar för ska, då sådana finns tillgängliga, endast säkra och certifierade it-produkter användas. I de fall säkra it-produkter finns utpekade i verkställighetsföreskrifter ska dessa användas. 17 § En myndighet ska till Myndigheten för samhällsskydd och be- redskap skyndsamt rapportera it-incidenter som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten levererar till en annan organisation. För incidenter som ska anmälas till en tillsynsmyndighet enligt bestämmelserna i 10 a § säkerhetsskyddsförordningen (1996:633) gäller rapporteringsplikten enligt första stycket inte förrän tillsyns- myndigheten har meddelat den rapporteringspliktiga myndigheten att incidenten är föremål för behandling hos tillsyns- myndigheten. Tillsyn, föreskrifter och myndighetsrådets uppgifter 18 § I för informationssäkerhet ska representanter för myndigheter med särskilda uppgifter på informationssäkerhets- området ingå. har till uppgift att stödja och ut- veckla informationssäkerhetsarbetet i samhället. I detta ingår bland annat att –utgöra en gemensam berednings- och remissinstans på informa- tionssäkerhetsområdet, –bidra med stöd rörande informationssäkerhetsfrågor vid utfärd- andet av föreskrifter på informationssäkerhetsområdet, –förvalta och utveckla tillämpliga krav och kontrollordningar i bl.a. standarder för produkter och tjänster med bäring på informationssäkerhet i samhällsviktig verksamhet, –bistå med expertkompetens i samband med upphandling av tjänster och produkter på informationssäkerhetsområdet, och –utveckla krav- och skyddsnivåer. Myndigheten för samhällsskydd och beredskap ska tillhanda- hålla en kanslifunktion för rådet. ska vid behov inrätta arbetsgrupper. 19 § Myndigheten för samhällsskydd och beredskap ska utöva tillsyn över statliga myndigheters informationssäkerhetsarbete i enlighet med denna förordning, med undantag för sådant arbete som redan är föremål för tillsyn i enlighet med 39 § säkerhetsskyddsförordningen (1996:633). 20 § Myndigheten för samhällsskydd och beredskap får 1.meddela de föreskrifter som behövs för verkställigheten av de allmänna och särskilda krav på statliga myndigheters informations- säkerhetsarbete som avses i 5–11 och 15 §§, med beaktande av natio- nell och internationell standard, 2.meddela de ytterligare föreskrifter som behövs för verkställig- heten av 14 §, utom i fråga om , , , , och , 3.meddela de föreskrifter som behövs för verkställigheten av 16 § utom i fråga om myndigheter för vilka Försvarsmakten eller Säkerhetspolisen meddelar motsvarande föreskrifter enligt 44 § säkerhetsskyddsförordningen, 4.meddela de ytterligare föreskrifter som behövs för verkställig- heten av sådan it-incidentrapportering som avses i 17 §. Denna förordning träder i kraft . förordning om ändring i säkerhetsskyddsförordningen (1996:633) Härigenom föreslås att det i säkerhetsskyddsförordningen (1996:633) ska införas en ny bestämmelse, 10 a §, av följande lydelse. Om det inträffar en it- incident som allvarligt kan på- verka säkerheten i ett informa- tionssystem där hemliga upp- gifter behandlas i en omfattning som inte är ringa ska den myn- dighet som berörs av incidenten skyndsamt anmäla incidenten till den myndighet som enligt 39 § utövar tillsyn över säker- hetsskyddet. Denna förordning träder i kraft . 2Uppdragets genomförande och begrepp Enligt regeringens direktiv (dir. 2013:110) ska utredningen föreslå en nationell strategi för hantering och överföring av in- formation i elektroniska kommunikationsnät och it-system, föreslå övergripande mål för samhällets informationssäkerhets- arbete, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur, klargöra begrepp som används inom informationssäkerhets- området och vid behov föreslå förtydligande eller alternativa benämningar och definitioner, särskilt av sådana som används i förslaget till nationell strategi, och med utgångspunkt i uppdraget redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informationssäkerhetsområdet som de har . Direktiven finns i sin helhet i bilaga 1. Totalt har utredningen haft fem utredningssammanträden med experter och sakkunniga varav ett internat. Utredningen har varit angelägen om att ha en öppen dialog och samverka med myndigheter och organisationer som på olika sätt kan beröras och ha intresse av vårt arbete samt bidra med kunskap. Vi har därför fortlöpande haft möten och kontakter med olika företrädare. Syftet har varit att både informera om utred- Uppdragets genomförande och begrepp ningens arbete och att inhämta synpunkter. Utredningen har därför som stöd i arbetet också tillsatt en särskild referensgrupp med företrädare för närmast berörda myndigheter, Försvarets materiel- verk, , Försvarsmakten, Myndigheten för samhällsskydd och beredskap, , Post- och tele- styrelsen och Säkerhetspolisen. Möten med referensgruppen har hållits vid fyra tillfällen. Referensgruppens ledamöter har dessutom beretts tillfällen att lämna kommentarer på texter till betänkandet, fram till tidpunkten då betänkandetexten förbereddes för slut- justering, varefter referensgruppen informerats. Utöver detta har utredningen träffat berörda myndigheter för möten och studiebesök. Därtill har vi gjort besök vid Bodens kom- mun och och haft möten och seminarier med och terrorismstudier (CATS) vid , (), , , Säkerhets- och försvarsföretagen (SOFF) och Kommuner och Landsting. Utredningen har också deltagit i den årliga konferensen om informationssäkerhet för offentlig sektor som anordnas av Myndigheten för samhälls- skydd och beredskap i samarbete med övriga SAMFI-myndigheter (se avsnitt 7.5.6). Utredningen har också deltagit i ett arrangemang av AFCEA (and ). Vidare har vi haft ett möte med av Post- och tele- styrelsen inbjudna teleoperatörer. Utredningen har också genom studiebesök och möten studerat hur arbetet med informations- och cybersäkerhetsfrågor bedrivs i , , , , och . Vi har även samrått med Utredningen om säkerhetsskyddslagen (Ju 2011:14)och haft kontakt med Utredningen om effektivare användning av statens bredbandsinfra- struktur (N 2014:05). Ett sätt att beskriva lagstiftarens reglering av samhället, såsom det på olika sätt berörs av och har ansvar för informationssäkerhet, är att likna det vid en pyramid, vars bas är alla individer och företag som bor och verkar i landet. Här är regleringen sparsam. Mellansegmentet utgörs av det allmänna, dvs. stat, landsting och Uppdragets genomförande och begrepp Här är regleringen betydligt tätare. I toppen av pyramiden återfinns de delar av statsapparaten som har ansvar för att i fred såväl som i ofred skydda rikets säkerhet. I denna del är regleringen omfattande. Figuren nedan söker beskriva detta. Toppen av pyramiden är redan högst reglerad och därför mycket säkerhetsmedveten och har vidtagit nödvändiga åtgärder för att skydda sin information och sina kommunikationer. De utmaningar som kvarstår i pyramidens topp söker denna utred- ning inte föreslå lösningar på, utan hänvisar i de delarna till betän- kandet från Utredningen om säkerhetsskyddslagen (Ju 2011:14). Inte heller söker betänkandets åtgärder fånga in behoven hos alla och envar, hos företag, kommunala förvaltningar, skolor, sjukhus och hos andra som återfinns i pyramidens fot eller den del av mellansegmentet som inte är statligt. Betänkandets förslag tar endast sikte på den statliga delen – som återfinns i pyramidens mellansegment. Det är även med dessa begränsningar en tillräckligt stor uppgift – görlig, men på intet sätt lätt. Det är en nödvändig uppgift – staten kan inte bli ett ledande exempel eller ett stöd eller en trovärdig kravställare gentemot resten av samhället förrän den åtgärdat det som inte fungerar optimalt men som staten skulle kunna Uppdragets genomförande och begrepp När staten väl genomfört de föreslagna åtgärderna och nått målen i strategin, då uppstår också positiva effekter i pyramidens övriga delar; när exempelvis staten blivit en bättre kravställare i upphandlingshänseende kommer detta att kunna förenkla också t.ex. upphandling på motsvarande område och om staten konsekvent upphandlat med hänvisning till vissa standarder kommer detta sannolikt att med marknadskraf- ternas hjälp ha pressat priserna på området också till gagn för landsting och kommuner när de hänvisar till samma standarder. Positiva effekter uppstår också i pyramidens topp; till skillnad från dagsläget kommer där strategins mål är uppfyllda kraft och resurser avdelade för rikets säkerhet odelat fokuseras i vet- skapen om att lägsta säkerhetsnivån i staten i stort har höjts till en betryggande nivå. Även med mål som avgränsats på sätt som framgår ovan så kommer de genomförda förslagen att få långtgående konsekvenser utanför den statliga sektorn.