sou · H3B323 · 2015-03-10 00:00:00 — TDV-system bygger på nära koppling mellan signalunderrättelseverksamhet inriktad mot it-hot och tek- nisk informationssäkerhet och har goda möjligheter att förstärka Myndigheter med särskilt ansvar för informationssäkerhet skyddet för de verksamheter som omfattas av ett TDV-system. Kopplat till hotbilden får FRA även kunskap om sårbarheter i it- system hos de statliga myndigheter och bolag där FRA genomför it-säkerhetsanalyser. ombildades Polisen från 21 fristående polis- myndigheter, och till en . ombildas Säkerhetspolisen till en fristående myndighet. är en enrådighetsmyndighet med ett natio- nellt insynsråd samt ett regionpolisråd i varje polisregion. Av 1 § polislagen (1984:387) framgår att arbete syftar till att upprätthålla allmän ordning och säkerhet samt att i övrigt tillförsäkra allmänheten skydd och annan hjälp. Av 2 § polislagen (1984:387) framgår att det till Polismyndig- hetens uppgifter hör att 1.förebygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den allmänna ordningen eller säkerheten, 2.övervaka den allmänna ordningen och säkerheten och ingripa när störningar har inträffat, 3.utreda och beivra brott som hör under allmänt åtal, 4.lämna allmänheten skydd, upplysningar och annan hjälp, när sådant bistånd lämpligen kan ges av polisen, 5.fullgöra den verksamhet som ankommer på enligt särskilda bestämmelser. Av 2 b § polislagen (1984:387) framgår att det vid ska finnas en avdelning som på nationell nivå leder och samordnar viss polisverksamhet (Nationella operativa avdelningen). Den nationella operativa enheten består av flera enheter varav en utredningsenhet. Vid utredningsenheten finns it-brottssektionen. fattades beslut (Ju 2012:16/2013/4) av för nya att dåvarande Riks- Myndigheter med särskilt ansvar för informationssäkerhet kriminalpolisen skulle säkerställa ett inrättande av ett it-brottscentrum vid den nationella operativa enheten i den nya . Av förordningen (2014:1103) med instruktion för Säkerhetspolisen framgår att Säkerhetspolisen i egenskap av säkerhetstjänst bedriver underrättelse- och säkerhetsarbete och att Säkerhetspolisens huvudsakliga uppgifter och ansvar framgår av 3 § polislagen (1984:387). Av denna bestämmelse framgår att det till Säker- hetspolisens uppgifter hör att 1.förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet eller terrorbrott, 2.utreda och beivra sådana brott som anges i 1 eller som följer av 5, 3.fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, 4.fullgöra uppgifter enligt säkerhetsskyddslagen (1996:627), 5.leda annan polisverksamhet om regeringen föreskriver det och i övrigt bedriva sådan verksamhet som framgår av lag eller för- ordning eller som regeringen uppdragit åt Säkerhetspolisen att i särskilda hänseenden ansvara för. Enligt 6 § i instruktionen får Säkerhetspolisen, utöver vad som följer av 47 § säkerhetsskyddsförordningen (1996:633) ge råd om säkerhetsskydd. Säkerhetspolisen får även i övrigt ge råd för att förebygga brott mot rikets säkerhet och andra särskilt viktiga samhällsintressen. Av 7 § framgår att Säkerhetspolisen efter med- givande av regeringen i ett särskilt fall får bedriva uppdragsverk- samhet när det gäller säkerhetsskydd och annat säkerhetsarbete. När det gäller informationssäkerhet arbetar Säkerhetspolisen med att förebygga brottsliga handlingar i form av spionage som sker genom s.k. elektroniska angrepp. Arbetet består i första hand av säkerhetsskyddsåtgärder och utredning av särskilt skyddsvärda verksamheter. Vidare arbetar Säkerhetspolisen med att förebygga allvarliga elektroniska angrepp riktade mot samhällsviktiga it-system. Myndigheter med särskilt ansvar för informationssäkerhet Säkerhetspolisen analyserar och utreder också allvarliga elektroniska angrepp mot samhällsviktiga verksamheter. Vidare utövar Säkerhets- polisen tillsyn enligt säkerhetsskyddslagen (1996:627), varvid till- synen bl.a. kan avse informationssäkerhet. 6.2Andra statliga myndigheter och affärsverk Datainspektionen har enligt 1 § förordningen (2007:975) med in- struktion för Datainspektionen i uppgift att verka för att män- niskor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Myndigheten ska särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. Myndigheten ska följa och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik. Datainspektionen är tillsynsmyndighet enligt personuppgifts- lagen (1998:204) och lagen (2007:259) om behandling av person- uppgifter i Försvarets radioanstalts försvarsunderrättelse- och ut- vecklingsverksamhet. Myndigheten är också nationella till- synsmyndighet för behandling av personuppgifter enligt Schengen- konventionen, konventionen om EU:s tullinformationssystem samt rådsbeslutet om inrättandet av Europeiska polisbyrån (Europol). It-säkerhet utgör ett viktigt område för Datainspektionens arbete. Det är myndighetens uppgift att upptäcka och påtala brister och att informera om hur personuppgifter bör skyddas på lämpligt sätt på internet. Myndigheten har bl.a. tagit fram en vägledning om inbyggd integritet i it-system för skydd av den personliga inte- griteten och en vägledning som tydliggör vilka krav som person- uppgiftslagen ställer vid användning av molntjänster. Myndigheten har 2011 inom ramen för ett särskilt projekt granskat användningen av molntjänster och har även i sin tillsynsverksamhet enligt person- uppgiftslagen uppmärksammat brister vid användning av sådana tjänster. Myndigheter med särskilt ansvar för informationssäkerhet 6.2.2Styrelsen för ackreditering och teknisk kontroll (SWEDAC) Styrelsen för ackreditering och teknisk kontroll (SWEDAC) ansvarar bl.a. för frågor om teknisk kontroll, inklusive ackredite- ring och frågor i övrigt om bedömning av överensstämmelse (1 § förordningen [2009:895] med instruktion för Styrelsen för ackredi- tering och teknisk kontroll). Vid SWEDAC finns en rådgivande teknisk kommitté inom ackrediteringsområdet certifiering, informationssäkerhet och it- säkerhet. Ackreditering är ett formellt erkännande av att ett företag eller en organisation har kompetens att utföra vissa specificerade upp- gifter inom provning, kontroll och certifiering. Ackreditering inne- bär att SWEDAC regelbundet och oberoende granskar kompetens och arbetsrutiner hos det organ som är ackrediterat. Granskningen görs mot krav som finns i bestämda standarder och olika myndig- heters föreskrifter. Ackreditering är obligatorisk inom vissa om- råden. Inom andra områden är ackreditering frivillig, men kan då fungera som en kvalitetsstämpel. Certifiering innebär att en organi- sation, produkt eller person bedöms uppfylla särskilda krav som ställs i standarder eller andra normerande dokument. Certifiering utförs beroende på område utan eller under ackreditering. Statistik från den internationella standardiseringsorganisationen visar att certifieringar mot standarder för ledningssystem fortsätter att öka. Certifiering enligt standarden för informations- säkerhet, ISO/IEC 27001, ökade till 19 577 certifi- kat utfärdade i 103 länder. (7 199, 1 701, 1 600 och 32). Störst ökning av antal certifikat finns i , och . Certifieringsorgan som är ackrediterade av SWEDAC utför certifiering enligt följande standarder SS-ISO/IEC 27001 vad avser ledningssystem för informationssäkerhet och ISO/IEC 15408:2005 Information technology – Security techniques – Evaluation criteria for IT security, Common criteria 2.3 och Common criteria 3.1 vad avser produkter och processer. SWEDAC ackrediterar också certi- fieringsorgan för certifiering av Informationssäkerhetsspecialist, certifieringsordning för personcertifiering inom Inform- Myndigheter med särskilt ansvar för informationssäkerhet ationssäkerhet 5.0, Professional (ISMP). SWEDAC har utgett en vägledning för informationssäkerhets- arbete (SWEDAC DOC 10:5, , utgåva 1). Syftet är att ge ackrediterade verksamheter och verksamheter som söker ackredi- tering vägledning vid förbättring av informationssäkerhet och om de krav som ställs vid bedömning av informationssäkerhet. Det statliga () har enligt 1 § förordningen (2007:1119) med instruktion för Affärs- verket till uppgift att på ett affärsmässigt sätt förvalta, driva och utveckla ett kostnadseffektivt, driftsäkert och miljöanpassat kraftöverföringssystem, sälja överföringskapacitet samt i övrigt bedriva verksamheter som är anknutna till kraftöver- föringssystemet. Enligt 2 § är systemansvarig myndighet enligt 8 kap. 1 § ellagen (1997:857) och 1 § förord- ningen (1994:1806) om systemansvaret för el samt elberedskaps- myndighet enligt elberedskapslagen (1997:288). Enligt 3 § har bl.a. i uppgift att svara för tillsyn i frågor om driftsäkerhet hos det nationella elsystemet enligt el- lagen (1997:857) och förordningen (1994:1806) om systemansvaret för el, svara för beredskapsplaneringen inom sitt verksamhets- område under kris- eller krigsförhållanden, främja dammsäkerheten i landet, bygga ut, installera och förvalta ledningar för elektronisk kommunikation, genomföra och, efter att ha hört , till Myndigheten för samhällsskydd och beredskap redovisa ett identifieringsarbete av potentiella euro- peiska kritiska infrastrukturer inom undersektorn el enligt rådets direktiv /114/EG av om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedöm- ning av behovet att stärka skyddet av denna. Av 4 § följer att det i krig eller när regeringen annars bestämmer är Svenska kraftnäts uppgift att i samverkan med övriga totalför- svarsmyndigheter tillgodose samhällets behov av elkraft genom att planera, leda och samordna elförsörjningens resurser. Myndigheter med särskilt ansvar för informationssäkerhet Vid finns ett råd som har insyn i verksamheten med elberedskap (insynsråd). Rådet har till uppgift att bevaka det övriga totalförsvarets och elföretagens intressen i frågor om el- beredskap. Vidare finns ett råd som biträder affärsverket i arbetet med dammsäkerhetsfrågor (). Rådet är ett in- formations- och samrådsorgan för frågor relaterade till dammsäker- het. () har enligt 1 § förord- ningen (2007:861) till uppgift att bedriva forskning, metod- och teknikutveckling samt utredningsarbete för totalförsvaret och till stöd för nedrustning, icke-spridning och internationell säkerhet. Myndigheten får även i övrigt bedriva forskning, metod- och tek- nikutveckling samt utredningsarbete. Myndigheten ska verka för att försvarsforskningen nyttiggörs även utanför totalförsvaret. Myndigheten ska särskilt verka för samverkan mellan militär och civil forskning samt mellan nationell och internationell forsk- ning (3 §). FOI bedriver vidare försvarsunderrättelseverksamhet (2 § för- ordningen [2000:131] om försvarsunderrättelseverksamhet). Försvarsmakten och är myndighetens huvudkunder, men myndigheten utför även uppdrag för bl.a. civila myndigheter och näringslivet. Vid FOI bedrivs forskning om bl.a. it-säkerhet, sociala aspekter av informationssäkerhet, riskbedömning och metoder för övning av försvar av it-system och människa-system-interaktion, värdering av informationssäkerhet och utveckling av försvar av it-system. Vid FOI anordnas även kurser i it-säkerhet och säkerhet i industriella styrsystem. Myndigheten koordinerar t.ex. forskningsprogrammet and (), som finansieras av MSB och har som mål att förbättra organisationers informationssäkerhet. FOI och MSB har tillsammans även byggt upp Nationellt centrum för säkerhet i styrsystem för samhällsviktig verksamhet (NCS3). Myndigheter med särskilt ansvar för informationssäkerhet 6.2.5Statens inspektion för försvarsunderrättelseverksamheten Statens inspektion för försvarsunderrättelseverksamheten (Siun) är den myndighet som har till uppgift att kontrollera att den försvars- underrättelseverksamhet som bedrivs av Försvarsmakten, , och Totalförsvarets forsk- ningsinstitut sker i enlighet med det av och regeringen fastställda regelverket (1 § förordningen [2009:969] med instruk- tion för Statens inspektion för försvarsunderrättelseverksamheten). är förvaltningsmyndighet för verksamhet som rör hälso- och sjukvård och annan medicinsk verksamhet, tandvård, smittskydd, socialtjänst, stöd och service till vissa funktions- hindrade samt frågor om alkohol och missbruksmedel (1 § förord- ningen [2009:1243] med instruktion för ). Myndig- heten ansvarar för föreskrifter och allmänna råd inom sitt verk- samhetsområde (4 §). får efter samråd med Datainspektionen meddela föreskrifter som behövs för verkställigheten av patientdatalagen (2008:360) i fråga om säkerhetsåtgärder vid helt eller delvis auto- matiserad behandling av personuppgifter (3 § patientdataförord- ningen [2008:360]). Föreskrifter om informationshantering och journalföring i hälso- och sjukvården (SOSFS 2008:14) innehåller bl.a. bestämmelser om ansvar för informationssäkerhet och krav på informationssäkerhetspolicy. Myndigheten har utarbetat en hand- bok – ett stöd för vårdgivare, verksamhetschefer, medicinskt ansva- riga sjuksköterskor och hälso- och sjukvårdspersonal som ska tillämpa nämnda föreskrifter. har också efter särskilt regeringsuppdrag i projektet publicerat delrapporten , Vägledning för hantering av information inom vård och omsorg. Myndigheten har ett nationellt ansvar för att samordna arbetet för en ändamålsenlig och strukturerad dokumentation i svensk hälso- och sjukvård och socialtjänst. Detta arbete är en del av Nationell eHälsa – strategin för tillgänglig och säker information inom vård och omsorg. Myndigheter med särskilt ansvar för informationssäkerhet svarar för den statliga förvaltningen i länet i den ut- sträckning inte någon annan myndighet har ansvaret för särskilda förvaltningsuppgifter (1 § förordningen [2007:825] med länssty- relseinstruktion). ska utifrån ett statligt helhetspers- pektiv arbeta sektorövergripande och inom myndighetens ansvars- område samordna olika samhällsintressen och statliga myndig- heters insatser (2 §). har bl.a. uppgifter i fråga om skydd mot olyckor, krisberedskap och civilt försvar (3 § 8). Genom sin verksamhet ska minska sårbarheten i samhället, bevaka att risk- och beredskapshänsyn tas i samhällsplaneringen samt utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap (52 §). ska ha en tjänsteman i beredskap med uppgift att initiera och sam- ordna det inledande arbetet för att upptäcka, verifiera, larma och informera vid allvarliga kriser som berör länet (53 §). ska ha förmåga att vid en allvarlig kris, som berör länet eller medför behov av samverkan med kommuner eller andra aktörer, omgående kunna upprätta en ledningsfunktion för bl.a. samordning och in- formation. ska avseende krisberedskap vara samman- hållande inom sitt geografiska område och före, under och efter en kris verka för samordning och gemensam inriktning av de åtgärder som behöver vidtas (54 §). ansvara för att en samlad regional lägesbild sammanställs vid krissituationer, stödja de aktörer som är ansvariga för krisberedskapen i länet avseende planering, risk- och sårbarhetsanalyser samt utbildning och övning, ha ett regionalt råd för skydd mot olyckor och krisberedskap, i vilket representanter för och berörda aktörer i krishanteringssystemet bör ingå, för att skapa nödvändig samordning, upprätta regionala risk- och sårbarhetsanalyser som ska kunna användas som underlag för egna och andra berörda aktörers krisberedskapsåtgärder, Myndigheter med särskilt ansvar för informationssäkerhet följa upp kommunernas tillämpning av lagen (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap, årligen rapportera till MSB vilka beredskapsförberedelser som kommuner och landsting vidtagit och redovisa en bedömning av effekten av de vidtagna förberedelserna, och verka för att den verksamhet som berörda aktörer bedriver inom länet avseende krisberedskap bidrar till att en grundläggande förmåga till civilt försvar uppnås. ska enligt 7 § förordningen (2006:942) om krisbered- skap och höjd beredskap inom sitt geografiska område i fråga om situationer som uppstår hastigt, oväntat och utan förvarning, eller en situation där det finns ett hot eller en risk att ett sådant läge kan uppstå, och situationer som kräver brådskande beslut och samverkan med andra aktörer vara en sammanhållande funktion mellan lokala aktörer, som exem- pelvis kommuner, landsting och näringsliv, och den nationella nivån, samt verka för att: regionala risk-, och sårbarhetsanalyser sammanställs, nödvändig samverkan inom länet och med närliggande län kon- tinuerligt, under en kris samordna verksamhet mellan kommuner, lands- ting och myndigheter, information till allmänheten och företrädare för massmedia under sådana förhållanden samordnas, och efter beslut av rege- ringen prioritera och inrikta statliga och internationella resurser som ställs till förfogande. Informationssäkerhet och är en av flera indikatorer enligt föreskrif- ter meddelade av MSB (MSBFS 2010:6) på krishanteringsförmåga. Informationssäkerhet och säkerhet och robusthet i samhällsviktig infrastruktur är två av flera indikatorer på förmåga i samhällsviktig verksamhet att motstå allvarliga störningar. Myndigheter med särskilt ansvar för informationssäkerhet har enligt 1 § förordningen (2013:1031) med instruktion för ) i uppgift att ansvara för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Myndigheten ska vidare samordna regeringen satsningar på e-hälsa samt övergripande följa utvecklingen på e- hälsoområdet. fortsätter det utvecklingsarbete som påbörjades av det statliga bolaget . Arbetet vid myndigheten ska garantera en tillgänglig och säker nationell teknisk infrastruktur som kan fungera för hela hälso-, vård- och omsorgssektorn. deltar i ett arbete med en federativ infrastrukturlösning för hela den aktuella sektorn, Samverkan för behörighet och identitet inom hälsa, vård och omsorg (Sambi). ansvarar bl.a. för tillsynen, regelgivningen och tillståndsprövningen som rör finansiella marknader och finansiella företag (1 § 1 förordningen [2009:93] med instruktion för Finans- inspektionen). Myndigheten har särskilt ansvar för samverkans- området ekonomisk säkerhet enligt förordningen (2006:942) om krisberedskap och höjd beredskap och ska samverka med Riks- banken och MSB i frågor som rör krisberedskap (6 §). Finans- inspektionen har med stöd av 5 kap. 2 § 4 förordningen (2004:329) om bank- och finansieringsrörelse samt 6 kap. 1 § 9−12 och 29 för- ordningen (2007:572) om värdepappersmarknaden meddelat före- skrifter om informationssäkerhet, it-verksamhet och insättnings- system (FFFS 2014:5). Kammarkollegiet har till uppgift att tillhandahålla service inom det statliga området, främst avseende ekonomi, juridik, kapitalförvalt- ning, riskhantering och administration (1 § förordningen [2007:824] med instruktion för Kammarkollegiet). Myndigheter med särskilt ansvar för informationssäkerhet kommelse kan myndigheten för statliga myndigheter och stiftelser med statlig anknytning bl.a. tillhandahålla metoder för riskhante- ring och övrigt biträde i myndigheternas riskhantering (7 § första stycket 4). Myndigheten ska ansvara för att upphandla samordnade ramavtal som är avsedda för andra statliga myndigheter (8 a §). Inom området informationsteknik gäller ansvaret den offentliga förvaltningen. Myndigheten ska verka för att bästa möjliga villkor skapas för myndigheternas anskaffning av varor och tjänster. Inom området informationsteknik ska myndigheten särskilt beakta förvaltningsgemensamma standarder samt intresset av innovationer och teknikneutrala lösningar. Vid Statens inköpscentral finns enheten för it-upphandling. Det finns ramavtal gällande E-förvaltningsstödjande tjänster, olika it- drifts- och konsulttjänster samt it-utbildning. Bland tjänsterna i ramavtal finns Säkerhetsarbete e-förvaltning. Bland ramavtal gällande programvaror och licenser finns t.ex. kontorsstöd som molntjänst. Försäkringsavdelningen erbjuder försäkringsskydd för staten och lämnar biträde åt statliga myndigheter i riskhanteringsfrågor. Det erbjuds stöd och utbildning för att underlätta myndigheternas riskhanteringsarbete. Metodstöd utformas utifrån ett verksamhets- perspektiv och anpassas till varje myndighets behov. Avdelningen har tagit fram mallar för olika typer av checklistor. I checklistorna finns frågor om bl.a. informationshantering och informations- säkerhet. Vid () bedrivs utbildning och forskning som rör informationssäkerhet vid flera enheter. I förordningen (2007:1164) för Försvarshögskolan anges vilken högskoleutbild- ning som bedrivs. Högskolan får även på uppdrag av MSB eller annan uppdragsgivare anordna annan utbildning. Bland upp- dragsutbildningar finns utbildningar som rör informationssäkerhet. Vid för säkerhet, strategi och ledarskap (ISSL) finns CATS – och terrorism- studier. Vid centret bedrivs bl.a. utbildning och forskning/studier kring policys rörande informations- och cybersäkerhet samt inom området informationsoperationer. Myndigheter med särskilt ansvar för informationssäkerhet Vidare har centret bedrivit utveckling samt deltagit i tekniska cyberförsvarsövningar, s.k. Cyber Defence Exercises (CDX). Centret har bedrivit studier i övningsmetodik för CDX. Detta har bl.a. resulterat i produktion av den första övningshand- boken inom området, vilken även har översatts till engelska för att kunna möta efterfrågan från internationella samarbetspartners. CATS har haft ett samarbete med och (CCD CoE) i . avtalssamarbete med två technical agreements (TA) har reglerat verksamhet avseende deltagande i och utveckling av den återkommande övningen Locked Shields (tidigare Baltic Cyber Shield) samt utveckling av Chief Information Assu- rance Officer-utbilningen (CIAO). CATS genomför CIAO-utbildning som utvecklats i samverkan med MSB, PTS och FRA. Syftet med kursen är att öka förmågan på informationssäkerhetsområdet inom myndigheter, organisationer och privata aktörer knutna till samhällsviktiga system och funk- tioner. Syftet med utbildningen är att möta samhällsviktiga företags och myndigheters behov av en funktion som kan hantera de möjligheter och risker som följer av att informationsflödet ökar i omfattning och komplexitet, som exempelvis frågan om hur de operativa kraven kan balanseras mot de alltmer omfattande säker- hetskraven. Kursen riktar sig till dem som ska leda informationshanteringen inom en central, regional eller lokal myndighet eller inom närings- livet, men även till chefspersoner inom organisationen. Kursen innehåller utbildning avseende internationella aktörer och regel- verk, nationella krisledningssystemet, ledning och riskhantering, planering och arkitektur, efterlevnad av regelverk och övning. I ISSL ingår även IHT – ning. Utbildning ges här i att hantera många av de svåraste kriserna som kan drabba ett samhälle. Rekryteringen till kurserna på IHT sker bland högre militära chefer och tjänstemän inom offentlig för- valtning, organisationer, media och näringsliv. Utveckling av ut- bildning avseende cyber- och informationssäkerhet i IHT kurs- utbud pågår inom FHS. Vid () finns MTA – Militärtekniska avdelningen. Avdelningen ansvarar för utbildning i militärteknik vid främst de militära programmen, men anordnar Myndigheter med särskilt ansvar för informationssäkerhet även en grundläggande och orienterande kurs för chefer om in- formationssäkerhet. Vidare finns vid MTA ett Operations-lab (CNO-lab), som drivs i samarbete med CATS för ändamålet att kunna genomföra och leda övningsverksamhet/ut- bildningar. CDX Baltic Cyber Shield 2010 leddes delvis från CNO- labbet.