sou · H3B323 · 2015-03-10 00:00:00 — Det är också möjligt att frågan om en ny specialrapportör för rätten till privatliv kommer att avhandlas under vårens sessioner i för mänskliga rättigheter. Debatten kan förväntas beröra ställ- ningstaganden kring bl.a. extraterritoriell tillämpning av mänskliga rättigheter och rapportens kritik mot användandet av hemliga dom- slut i underrättelsedomstolar. Internationella utvecklingslinjer, organisationer och dialoger 8.4.5World Summit on the I FN-kontexten har en viktig konfliktyta funnits kring den så kal- lade WSIS-processen (World Summit on the ) –en i grunden utvecklingsfokuserad process som påbörjades genom två toppmöten i och 2005, där deltog med en 40-mannadelegation. Den ursprungliga bärande idén, att förbättra FN:s arbete för att bättre tillgång till ICT i låg- och medelinkomstländer, hamnade snart i skymundan till förmån för skarpa motsättningar kring huruvida kontrollen över internets centrala tekniska resurser, standarder m.m. skulle styras i en flerpartsmodell eller genom instiftandet av nya FN-organ. En kompromisslösning, som inbegrep skapandet av en öppen, global mötesplats i FN:s regi – – samt ett löfte om att etablera ”enhanced cooperation”, en formulering utan tydlig definition, gjorde att den så kallade Tunisagendan kunde antas. efter toppmötet i har en utvärderingsprocess – där Internationella teleunionen och spelat framträdande roller –precis avslutats. har varit mycket aktiv i båda processerna. Ett högnivåmöte inom ramen för WSIS-processen kommer att hållas . Textförhandlingar kring ett slutsatsdokument kommer inledas . 8.4.6Working Group on Enhanced Cooperation, Commission on Science and Technology for Development (CSTD) inom ECOSOC var ett av ett fåtal EU-länder som –2014 deltog i förhandlingarna i den arbetsgrupp inom Commission on Science and Technology for Development (CSTD), en kommitté under ECOSOC, som uppdrogs av att hitta en väg ur de låsningar i synen på mellanstatligt samarbete på internet- området som var resultatet av i . Motsätt- ningarna i arbetsgruppen var dock alltför stora och förhandlingarna resulterade inte i några gemensamma rekommendationer av sub- stansvärde. Konflikten som gruppen sattes att lösa kvarstår därmed och kommer sannolikt att åter komma i fokus under WSIS-hög- nivåmötet . Internationella utvecklingslinjer, organisationer och dialoger 8.4.7Internationella teleunionen (ITU) FN-organet den Internationella teleunionen (ITU) hanterar vissa frågor relaterade till cybersäkerhet. Den verkställande delen av ITU är IMPACT (International Multilateral Partnership Against Cyber Threats), vilket även är den första internationella alliansen mot digitala hot. IMPACT ger ITU:s 193 medlemsstater tillgång till expertis, utrustning och resurser för att effektivisera hanteringen av cyberhot samt att bistå för att skydda infrastrukturen hos samtliga FN organ. ITU:s senaste fullmaktskonferens hölls mellan och i , . tog ett fristående initiativ genom att bjuda in till det s.k. NETmundial-mötet i . Mötet arrangerades som en direkt konsekvens av de avslöjandena om massövervakning som framkomit , men kom till slut att i mycket begränsad utsträckning hantera övervakningsfrågorna. Deltagandet var brett och förhandlingarna öppna och inkluderande. betonar gärna utfallet från detta initiativ, snarare än den nu alltför politiserade WSIS-processen, som normgivande för det bredare internet governance-området. Den så kallade Londonprocessen har informellt fått beteckna de internationella cyberkonferenser som tog sin början genom ett brittiskt initiativ. I anordnades 2011 en konferens med dåvarande utrikesminister för att diskutera normer inom ramen för cybersäkerhetsfrågor, med för- hoppningen om att öka samstämmigheten inom dessa frågor i den internationella debatten. Diskussionerna fortsatte i och i , där 87 länder deltog. Denna konferenskedja går närmast vidare med ”Global Conference on Cyberspace” i . Samtliga konferenser har berört aspekter angående eko- nomiska möjligheter på internet, kapacitet främjande, cyberbrott SOU 2015:23 Internationella utvecklingslinjer, organisationer och dialoger och internationell säkerhet. kommer därtill behandla frågor rörande internets globala styrning. 8.4.10Freedom Online Coalition (FOC) Freedom Online Coalition (FOC) är en koalition av 23 länder som grundades . Initiativet till koalitionen togs av och ingick i den första kretsen av 14 medlemmar. Koalitionens ursprungliga mål var att samarbeta mot övergrepp av de mänskliga rättigheterna på internet och i internationella fora samt att stötta bloggare och andra i repressiva miljöer och att stärka dialogen med it-branschen om företagens ansvar för att respektera yttrandefrihet på internet. Vid grundandet antogs en handlingsplan och en gemensam fond för skyndsamma insatser till stöd för ut- satta MR-aktivister och bloggare etablerades. Fonden (Digital Defenders Partnership) har sedan detta blivit operativ och mottar stöd från bl.a. Samarbetet inom FOC har under bara ett fåtal år fördjupats av- sevärt. Koalitionen har ett gemensamt sekretariat som för när- varande finansieras av och och som effektivt driver arbetet framåt. De i alliansen ingående länderna samordnar positioner inför möten i multilaterala forum, bereder gemensamma inlagor till internationella organisationer och gör gemensamma ut- talanden. Tre arbetsgrupper har etablerats inom FOC. Dessa ska i samarbete med näringslivet, akademi och civilsamhälle, upprätthålla och föra diskussionerna framåt mellan ministerkonferenserna. Sve- rige har påbörjat arbetet kring en arbetsgrupp om rule of law- och utvecklingsfrågor. deltar också i en arbetsgrupp om ”Privacy and transparency online” som leds av . Arbetsgrupperna förväntas öka i betydelse allteftersom förvänt- ningarna och intresset från näringsliv och civilsamhället tilltar. Ett stort antal informella samordningsmöten har hållits inom FOC:s ram, inom bland annat , , , ITU m.m. Likaså arrangeras , under den årliga flerpartskonferensen , en öppen diskussionspanel samt sär- skilda möten med företrädare för civilsamhället och MR-försvarare. Ordförandeskapet i koalitionen roterar och tas över av det land som arrangerar påföljande konferens. Således är för när- Internationella utvecklingslinjer, organisationer och dialoger varande ordförande fram till det att tar över . Förutom den grundande konferensen i har tre FOC- konferenser genomförts på ministernivå – i , 2013 samt i . Nästa ministerkonferens kommer att hållas i , . beslutade medlemsstaterna i () att anta en första upp- sättning av förtroendeskapande åtgärder (”measures” – CBMs) inom cybersäkerhetsområdet. Åtgärderna syftar till att främja samarbete, transparens, förutsägbarhet och stabilitet och således minska risken för missförstånd, eskalering eller konflikter i cyberrymden. I beslutet betonas att implemente- ringen av åtgärderna ska vara i linje med internationell rätt (särskilt , den Internationella konventionen om medborgerliga och politiska rättigheter och Helsingforsslutakten). Enligt de överenskomna förtroendeskapande åtgärderna åtar sig de deltagande staterna att frivilligt deklarera aspekter av nationella och transnationella hot angående information- och kommuni- kationsteknologi. Staterna kan även, på en frivillig basis, bistå med konsultationer för att minska riskerna för missförstånd och politisk spänning. För att ytterligare reducera missförstånd i brist på en gemensam syn på terminologifrågor har stater möjlighet att till- kännage nationellt definierade termer relaterade till cybersäkerhet. EU har tillsammans med varit drivande i arbetet som syf- tar till att skapa förtroendebyggande åtgärder för cybersäkerhet inom . har särskilt värnat en tvärdimensionell ansats för att säkerställa att såväl människorätts- som säkerhetsaspekter bejakas. För svenskt vidkommande har det således varit angeläget att åtaganden inom den så kallade mänskliga dimensionen (som en av tre huvudinriktningar av arbete) har en framskjuten plats i arbetet. Vidare avses att redan beslutade förtroendebyggande åtgärder ska implementeras och utvecklas, samt att nya åtgärder bör främjas. Ett normativt ramverk för statsagerande anses kunna främja global utveckling inom området. Internationella utvecklingslinjer, organisationer och dialoger arbetar med sina 47 medlemsländer, den privata sek- torn, civilsamhället och andra aktörer för att forma ett internet som baseras på mänskliga rättigheter, en pluralistisk demokrati och rättsstatsprincipen. Den övergripande målsättningen är att bidra till en säker och öppen internetmiljö där yttrandefrihet, mötesfrihet, mångfald, kultur, utbildning och kunskap kan blomstra. verksamhet omfattat konventioner inom områden som it-brottslighet, dataskydd och skydd för barn, via utveckling av rekommendationer till medlemsländerna och av riktlinjer för internetaktörer inom den privata sektorn. Organisationen är aktiv i olika internationella internetrelaterade forum, inklusive det FN-ledda forumet (), den europeiska dialogen om Internetstyrningsfrågor (EuroDIG) och är observatör till den mellanstatliga rådgivande kommittén (GAC) till ICANN (för Assig- ned Names och Numbers). antogs konvention om it- relaterad brottslighet, också känd under namnet Budapest- konventionen. Detta är första internationella konvention som berör brott som begås över internet och utgör fortfarande det enda bindande rättsinstrumentet vars övergripande mål är att skydda och främja frihet, säkerhet och mänskliga rättigheter på internet. Kon- ventionens syfte är primärt att skapa en gemensam straffrättslig policy för skyddet av samhället mot cyberbrottslighet. Konventionen trädde i kraft . Majoriteten av EU:s medlemsländer har ratificerat konventionen. Även stater som inte är medlemmar i kan ansluta sig till konventionen, bland annat har den undertecknats av , , och . undertecknade konventionen den öppnades för signering. Frågor om kriminalisering av gärningar av rasistisk och främlings- fientlig natur som begåtts med hjälp av datorsystem behandlas i ett tilläggsprotokoll till konventionen – vilket tillkom . Det trädde i kraft . Beredning för att förbereda en svensk ratificering av konventionen och dess tilläggsprotokoll pågår. antog en ny strategi för internetstyr- ning; (2012–2015 on Internet Gover- Internationella utvecklingslinjer, organisationer och dialoger Strategin avser att identifiera prioriteringar och målsätt- ningar för perioden –2015, med syftet att utveckla och skydda respekten för mänskliga rättigheter, rättsstaten samt demokrati på nätet. lanserade en guide för nätfrihet – ”Recommendation CM/Rec(2014)6 of to member States on a Guide to human rights for Internet users” – avsedd att informera internetanvändare om deras rättigheter på internet samt vad de kan göra om rättigheterna inskränks. Guiden anger att medlemsstaterna i har skyldighet att säkra mänskliga rättigheter i enlighet med även på internet. Dokumentet anger även att andra instrument som reglerar frågor angående yttrandefrihet på nätet, rättighet till information, skydd av privatliv samt skydd från cyberbrott är tillämpliga online. Natos strategiska koncept som antogs vid toppmötet i betonar vikten av att Nato utvecklar sin förmåga på cyber- försvarsområdet. Cyberförsvar ingår som del av Natos kärnuppgift kollektivt försvar, vilket bekräftades av deklarationen från topp- mötet i 2014. Nato beslutar i varje enskilt fall om ett cyber- angrepp mot en medlemsstat ska utlösa de ömsesidiga försvars- förpliktelserna i Artikel 5 i Natofördraget. Ett av initiativen för att öka förståelsen och kunskapen om hotbilder inom cybersäkerhetområdet är det Nato- ackrediterade cyberförsvarscentret (CCD-COE), vilket har upprättats i , . presenterade en expertgrupp knutna till centret olika perspektiv på hur folkrättsliga normer kan appliceras inom cyberområdet. Arbetet har sammanställts i en rapport – ”Manual on the International to Cyber Warfare” – även känt som Tallinnmanualen. Detta dokument är inte bindande utan ger endast uttryck för ett antal experters syn. Manualen upp- märksammar internationell lag som reglerar genomförandet av väp- nade konflikter. Försvarsmakten samverkar med Nato inom ramen för plane- rings- och utvärderingsprocessen PARP i syfte att utveckla sam- Internationella utvecklingslinjer, organisationer och dialoger arbetet på cyberförsvarsområdet vad avser internationell militär krishantering. I Försvarsdepartementets rapport ”Raminstruktion för det civila krisberedskapsarbetet inom NATO (EAPR/PFF)” framgår att ska vara ett drivande partnerland samt att cyberförsvar är ett prioriterat område. ska utnyttja möjligheterna till erfa- renhetsutbyte och deltar således också i övningar på området. invigdes Global Complex for Innovation (IGCI) i som kan beskrivas som ett forsk- nings- och utvecklingscentrum. Inom IGCI inryms som har till uppdrag att öka informations- säkerhet och motverka it-relaterade brott. I centret inryms ett kri- minaltekniskt laboratorium för att stödja utredningar rörande digitala brott. Det bedrivs forskning- och utvecklingsverksamhet som syftar till att testa protokoll, verktyg och tjänster samt till att utveckla praktiska lösningar i samarbete med polisen, forsknings- laboratorier, universitet, offentlig och privat sektor. Centret anlyserar också trender rörande it-attacker. IGCI:s tre viktigaste initiativ i förhållande till medlemsstaterna fokuserar på harmonisering, kapacitetsuppbyggnad samt operativt och kriminaltekniskt stöd. Harmonisering: jämförande granskningar av nationell lagstift- ning, strategiutveckling rörande informationssäkerhet och råd- givning till enskilda medlemsstater rörande nationella strategier. Kapacitetsuppbyggnad: brett utbud av utbildningar rörande nya trender inom it-brottslighet, utredningsteknik, digital krimi- nalteknik, m.m. Särskilt fokus på training-the-trainers. Operativt och kriminaltekniskt stöd: Stöd till nationella utred- ningar och samordning av internationella insatser. Regional samordning i arbetsgrupper för , , och samt och . Arbetsgrupper har skapats för att underlätta utvecklingen av regionala strategier, teknik och delning av information om de senaste brottstrenderna. 9 Överväganden och förslag 9.1En nationell strategi för statens informations- och cybersäkerhet Förslag: Regeringen antar en strategi som tar sikte på att stärka informations- och cybersäkerheten i staten. Utredningen har i avsnitt 4.4 pekat på att sårbarheterna som upp- står i dagens globala it-system är, och kommer inom överskådlig framtid att vara en av våra mest komplexa frågor att hantera. De hot som finns mot informations- och cybersäkerheten och som nation kräver både sektorsövergripande och internationellt samarbete. strategiska samarbetspartners uppfattar pro- blemet på liknande sätt och satsar på att öka sitt internationella samarbete. måste i ljuset av detta perspektiv fortsätta att bygga sin nationella kapacitet och stärka skyddet av såväl kritisk infrastruktur som hela den statliga förvaltningen för att därmed kunna hantera och avvärja hot mot statliga informationstillgångar. Endast med detta tillvägagångssätt kommer att kunna säkra de många fördelar det digitala samhället erbjuder indi- viden, staten och näringslivet i form av ekonomisk tillväxt, inno- vation och nationell säkerhet 2001/02:158 s. 103 gjorde regeringen följande bedömning i fråga om en strategi för informationssäkerhet i sam- hället och skydd av samhällsviktiga it-beroende system. Målet bör vara att upprätthålla en hög informationssäkerhet i hela samhället som innebär att man skall kunna förhindra eller hantera störningar i samhällsviktig verksamhet. Strategin för att uppnå detta mål bör liksom övrig krishantering i samhället utgå från ansvarsprinci- pen, likhetsprincipen och närhetsprincipen. Principiellt gäller att den som ansvarar för informationsbehandlingssystem även ansvarar för att systemet har den säkerhet som krävs för att systemet skall fungera till- fredsställande. En viktig roll för staten är därför att se till hela sam- hällets behov av informationssäkerhet och vidta de åtgärder som rimli- gen inte kan åvila den enskilda systemägaren. För att förhindra allvar- liga informationsattacker mot bör underrättelse- och säker- hetstjänsternas arbete förstärkas. I betänkandet Säker information Förslag till informationssäkerhets- politik (SOU 2005:42 s. 56 f.) sammanfattade de överordnade målen för informationssäkerheten, utifrån ett verk- samhetsorienterat perspektiv: –Infrastruktur: Samhällets infrastruktur för informationstjänster ska vara robust och säker i förhållande till de funktioner den utför. Kritiska informationssystem ska vara så säkra att en skada inte får större verkningar än som kan anses acceptabla. –Verksamhet: Det ska byggas en säkerhetskultur runt användan- det och utvecklingen av IT i . Informationssäkerhet ska vara en central faktor vid användandet av IT i . –Medborgare: ska ha en allmänt tillgänglig samhällsinfra- struktur för elektroniska signaturer, autentisering av avsändare av elektronisk information samt säker överföring av känslig in- formation. –Styrning: Regelverk som berör informationssäkerhet ska tillhan- dahållas och vidareutvecklas på ett samordnat och för använ- darna enkelt och översiktligt sätt. –Utbildning: Det ska finnas möjligheter till utbildning inom in- formationssäkerhetsområdet för alla målgrupper. –Agerande: Den informationssäkerhet som byggs upp ska stödjas av möjligheter till ingripande vid hot, incidenter, angrepp eller IT-relaterad brottslighet. föreslog en strategi som innefattade att: 11.utveckla position inom EU och i internationella sam- manhang 12.skapa förtroende, trygghet, säkerhet, och öka integritetsskyddet 13.främja ökad användning av IT 14.förebygga och kunna hantera störningar i informations- och kommunikationssystem 15.förstärka underrättelse- och säkerhetstjänstens arbete samt utveckla delgivningen 16.förstärka förmågan inom området nationell säkerhet 17.utnyttja samhällets samlade kapacitet 18.fokusera på samhällsviktig verksamhet 19.öka medvetenheten om säkerhetsrisker och möjligheter till skydd I dåvarande regleringsbrev för bud- gav regeringen myndigheten i uppdrag att ta fram en nationell handlingsplan för samhällets informationssäkerhet (Fö2009/2566/SSK). Handlingsplanen redovisades till regeringen . Enligt handlingsplanens tredje åtgärdsförslag skulle den nationella strategin som hade redovisats av delbetänkande uppdateras. I regeringens skrivelse Samhällets krisberedskap – stärkt samver- kan för ökad säkerhet (skr. 2009/10:124 s. 65 ff.) behandlades in- formationssäkerhet särskilt och sex olika områden togs upp nämli- gen en nationell strategi för samhällets informationssäkerhet, sam- hällets samlade förmåga att förebygga och hantera it-incidenter, it- incidentrapportering och it-säkerhetsanalyser, rapportering avse- ende hot, sårbarheter och risker samt internationell samverkan kring informationssäkerhet. När det gällde den första punkten om en nationell strategi angavs att det behövdes en tydlig strategi med bred förankring i samhället för att kunna bedriva ett strategiskt och sammanhållet informationssäkerhetsarbete på nationell nivå i Sve- rige. Regeringen tillade följande. Strategin bör ange långsiktiga målsättningar och arbetssätt för inform- ationssäkerhet i och omfatta informationssäkerhet i verksam- heter, kompetensförsörjning, informationsdelning, samverkan och respons, kommunikationssäkerhet, samt säkerhet i produkter och system där nyckelorden är helhetssyn, ansvar och samverkan. Strategin bör omfatta hela samhället, dvs. alla statliga myndigheter, kommuner, landsting, företag, organisationer och privatpersoner. Målen för sam- hällets informationssäkerhet, som förväntas uppnås genom strategin, är följande: -Säkra samhällets funktionalitet, effektivitet och kvalitet. -Bidra till samhällets brottsbekämpning. -Stärka samhällets förmåga att förebygga och hantera allvarliga stör- ningar och kriser. -Främja näringslivets tillväxt. -medborgares fri- och rättigheter och personliga integritet. -Öka medborgares och verksamheters kunskap om och förtroende för informationshantering och IT-system. Utredningen menar att den av regeringen tidigare redovisade stra- tegin (prop. 2001/02:158) liksom den i betänkandet SOU 2005:42 föreslagna i grunden var riktiga. Utredningen anser dock att de båda har sökt åtgärda samtliga problem och utmaningar i hela sam- hället i ett sammanhang, något som ställer genomföranden inför överväldigande utmaningar. 9.1.3Behovet av en strategi I utredningens uppdrag ingår att föreslå en strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system, en nationell strategi som utredningen bedömer bör antas av regeringen. Det finns anledning att från utredningens sida betona att behoven på informations- och cybersäkerhetsområdet är så omfattande i , att det ter sig mest förnuftigt att redan från början acceptera att inte behöver en, utan flera strategier. utredningar på området har i full enlighet med sina uppdrag sökt föreslå allomfattande strategier för hela samhället, vilket har fördelen att inte utelämna någon del av samhället; nack- delen är att de inte beaktar de svårigheter och utmaningar som kan föreligga med att inom ett begränsat område av samhället åstad- komma normering och styrning utan kännedom om ekonomiska och andra förutsättningar som kan föreligga. Vad som föreslås nedan är endast det första steget, en första strategi som endast söker åtgärda de mest angelägna bristerna i statsförvaltningen. Den här föreslagna strategin träffar statsförvaltningen på bredden och höjer, om den genomförs, den generella informations- och cyber- säkerheten i statsförvaltningen, till gagn för samhällets resurser för att förebygga och bekämpa de yttersta hoten mot rikets säkerhet, vilka följaktligen mer odelat kan inriktas mot dessa hot. Utredningen anser i stället att staten, för att kunna bli en effek- tiv och trovärdig ledande och kravställande kraft i samhället, måste ägna sin kraft åt att skapa säkerhet inom den statliga sfären. Den strategi som här föreslås ägnas därför uteslutande åt att åstad- komma det. Först därefter är staten i en position där den kan enga- gera hela samhället. En höjd informations- och cybersäkerhet måste bygga på att regeringen i en första strategi lyckas skapa en grundstruktur för att sedan kunna fånga in frågeställningar som kan omfattas av flertalet aktörer och intressenter. Mot bakgrund av detta resonemang föreslår utredningen en strategi som uppställer sex mål för staten under regeringens led- ning: 1.Staten förstärker styrning och tillsyn av informationssäkerheten i staten. 2.Staten blir en tydlig kravställare. 3.Staten kommunicerar säkert. 4.De statliga myndigheterna ska rapportera it-incidenter. 5.Statens förebyggande och bekämpande av it-relaterad brottslighet stärks. 6.Sverige ska vara och uppfattas som en stark internationell partner. Enligt utredningen bör en strategi för statens informations- och cybersäkerhet ha ett medellångt perspektiv som kan ligga till grund för åtgärder . Strategin vänder sig först och främst till regeringen, och till de statliga myn- digheterna. Indirekt kan strategin även påverka den del av närings- livet och de organisationer som samverkar eller ingår affärsrelat- ioner med staten. I det följande redovisar utredningen några ut- gångspunkter som bör kunna ligga till grund för det fortsatta arbetet. Strategin inriktas för att kunna ligga till grund för politiska beslut och prioriteringar inom informationssäkerhetsområdet, och förbättra samordningen av samhällets informationssäkerhetsarbete. Om den genomförs bidrar strategin till att reducera sårbarheten och uppnå en effektiv risknivå i statens olika informationssystem och till trygg elektronisk kommunikation i offentlig sektor, samt säkrar pålitliga nättjänster från offentlig sektor. Strategin innehåller sex målsättningar, till vilka de olika försla- gen i kapitlets senare delar bidrar.