sou · H3B325 · 2015-03-18 00:00:00 — Även internationaliseringen har påverkat förutsättningarna för informationssäkerheten. Det gäller exempelvis i samband med utflyttning av verksamhet till utlandet, bl.a. inom energiförsörjningen. Vi har i avsnitt 9.3.1 redogjort för de förändringsfaktorer avseende utvecklingen på informationsområdet som bör påverka utform- ningen av en ny säkerhetsskyddslag. I detta kapitel anger vi i avsnitt 16.1 syftet med informationssäkerheten i en ny säkerhetsskyddslag. I avsnitt 16.2 tar vi upp begrepp och benämningar inom området informationssäkerhet. Som vi har beskrivit i kapitel 10 behöver lagen utvecklas från att nästan uteslutande ha varit inriktad på kon- fidentialiteten för sekretessbelagd information till att ge ett skydd för viss information på ett sådant sätt att brister i antingen kon- fidentialiteten, tillgängligheten eller riktigheten (eller kombina- tioner av dessa) motverkas. I avsnitt 16.3 redogör vi för vad som fortsättningsvis bör gälla för behörighet till och delgivning av säkerhetsskyddsklassificerade uppgifter. Slutligen beskriver vi i av- snitt 16.4 vilka säkerhetsskyddsåtgärder som kan vara aktuella för att skydda information med fokus på de åtgärder som bör regleras i förordningsform. 16.1Vad ska informationssäkerhet syfta till? Förslag: Syftet med säkerhetsskyddsåtgärden informations- säkerhet ska anges vara att förebygga dels att säkerhetsskydds- klassificerade uppgifter obehörigen röjs, ändras, görs otillgäng- liga eller förstörs, dels skadlig inverkan på andra informations- tillgångar som avser säkerhetskänslig verksamhet. I nuvarande säkerhetsskyddslag definieras informationssäkerhet som en säkerhetsskyddsåtgärd för att förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Som vi har beskrivit tidigare är detta alltför snävt med hänsyn till det skyddsbehov som finns för informationstillgångar vars rik- tighet och tillgänglighet är av betydelse för säkerhetskänslig verk- samhet. Det är inte säkert att denna typ av information omfattas av sekretess – tvärtom är fallet snarare det motsatta. Ett exempel på säkerhetskänslig information som normalt inte omfattas av sekre- tess är driftsinformation för energidistribution. Säkerhetskänsliga informationstillgångar bör därför ges ett skydd oavsett om informationen i dessa omfattas av någon form av sekretess eller inte. Vi föreslår därför att säkerhetsskyddsåtgärden informations- säkerhet delas upp i två delmoment. Det första tar sikte på skyddet av säkerhetsskyddsklassificerade uppgifter från det perspektivet att åtgärderna ska förebygga att uppgifterna röjs, ändras, görs otill- gängliga eller förstörs. I informationssäkerhetssammanhang brukar man tala om skydd för konfidentialitet, riktighet och tillgänglighet. I denna del är det konfidentialitetsperspektivet som är det framträ- dande. I det andra momentet anges att åtgärderna ska förebygga skadlig påverkan på informationstillgångar som annars är av betydelse för säkerhetskänslig verksamhet. I detta fall är det därför enbart riktighets- och tillgänglighetshänsyn som gör sig gällande. Med informationstillgångar avses information och informa- tionssystem i vid bemärkelse, dvs. uppgifter, handlingar och tek- niska system som används för att i olika avseenden elektroniskt kommunicera och i övrigt behandla uppgifter. Observera att begreppet har en delvis annan och mer långtgående betydelse i den internationella standarden för ledning av informationssäkerhet () där även människor ingår i begreppet. Sammanfattningsvis syftar informationssäkerheten till att till- godose att informationen finns tillgänglig när den behövs, att informationen är och förblir riktig, att informationen är tillgänglig för endast dem som är behöriga att ta del av den, samt att hanteringen av informationen är spårbar. Den första punkten (tillgänglighet) innebär att informationen ska kunna utnyttjas i förväntad utsträckning och inom önskad tid. Den andra punkten (riktighet) innebär att informationens värde eller innebörd över tiden ska överensstämma med det som informa- tionen är avsedd att avspegla. Den tredje punkten (konfidentia- litet/hemlighållande) innebär att endast de som är behöriga ska få ta del av informationen. Den fjärde punkten (spårbarhet) innebär att det ska vara möjligt att i efterhand härleda hur informationen har hanterats, t.ex. vem som har läst en viss uppgift och när läs- ningen ägde rum. Dessa fyra aspekter på informationssäkerheten beskrivs i det följande. Konfidentialitet för uppgifter av betydelse för rikets säkerhet är den bärande principen i nuvarande säkerhetsskyddslagstiftning. Konfidentialitetsaspekten innebär att uppgifter som, om de röjs för obehöriga, kan medföra en skada behöver ett skydd mot ett sådant röjande. I det allmännas verksamhet är konfidentialietsfrågan nära sammanlänkad med bestämmelserna om sekretess i offentlighets- och sekretesslagen (2009:400), OSL, och en materiell bestämmelse om sekretess är också en förutsättning för att på ett meningsfullt sätt vidta åtgärder för att förhindra ett obehörigt röjande av en uppgift. Konfidentialitetsaspekten har även i vårt förslag till ny säkerhetsskyddslag och säkerhetsskyddsförordning en framträ- dande position, även om skyddsåtgärderna föreslås omfatta även riktighets- och tillgänglighetskrav. Det förhållandet beror främst på att säkerhetsskyddsåtgärderna som tar sikte på konfidentialiteten är mer detaljerade och konkreta än beskrivningen av säkerhetsskydds- åtgärder avseende driftsäkerhet, dvs. för att säkerställa riktighet och tillgänglighet. Det beror i sin tur på att åtgärderna i den delen utgår från bl.a. de fyra informationssäkerhetsklasserna och därmed sammanhängande krav i internationella säkerhetsskyddsåtaganden. Riktighets- och tillgänglighetsaspekter kan förekomma i säkerhets- känslig verksamhet där brister i informationens riktighet eller till- gänglighet kan få allvarliga konsekvenser, även om uppgifterna inte omfattas av sekretess. Exempel på detta finns t.ex. i system för styrning och reglering inom energisektorn samt inom verksamhetsområdet telekommunikation. Vi föreslår att informa- tionssäkerheten ska förebygga skadlig inverkan på sådana uppgif- ter. Riktigheten innebär att informationens värde (t.ex. siffror) eller innebörd (t.ex. ord) över tiden ska överensstämma med det som informationen är avsedd att avspegla. Informationen ska där- med inte obehörigen kunna ändras. Tillgänglighet innebär att informationen ska kunna utnyttjas i förväntad utsträckning och inom önskad tid. Detta kan uttryckas som att informationen ska ha ett skydd mot att den obehörigen görs otillgänglig eller förstörs. I dessa fall handlar det inte om att ge informationen ett skydd mot röjande utan snarare att åstadkomma en robusthet i system utifrån de krav på riktighet och tillgänglighet som finns i en verk- samhet. Riktighets- och tillgänglighetskrav är svårare att indela i nivåer än när det gäller konfidentialitetskrav. Detta på grund av att kraven kan vara mycket varierande i olika verksamheter och system och svårare att uttrycka i generella termer. Spårbarhet innebär att det ska vara möjligt att i efterhand härleda hur informationen har hanterats, t.ex. vem som har tagit del av en viss uppgift eller ändrat denna och när delgivningen eller ändringen Spårbarheten är viktigt för att kunna indikera säkerhets- hot och incidenter i system. Förslag: I avsnitt 15.1 har vi föreslagit att informationssäkerhet kvarstår som begrepp i en ny säkerhetsskyddslag. Det finns anledning att utveckla innebörden av det begreppet. Termen informationssäkerhet infördes lagstiftning som en ersättning till det tidigare begreppet sekretesskydd. är termen informationssäkerhet allmänt spridd och accepterad, och den används inom skilda verksamheter där kraven och behoven av skydd skiljer sig åt. Termen träffar därför skyddet av olika slag av information hos såväl enskilda som vid myndigheter. Åtgärder som är förknippade med informationssäkerheten enligt säkerhetsskyddslagen kan inte särskiljas från informations- säkerhet i en vidare bemärkelse. Exempel på detta är skydd mot skadlig kod och användarautentisering som är relevanta åtgärder även för it-system som inte är av betydelse för säkerhet. Föreskrifter som meddelas med stöd av lagstiftningen, måste kunna avse informationssäkerheten i stort för de verksamheter som omfattas av säkerhetsskyddslagens krav. Detsamma gäller för till- syn. En helhetssyn krävs inom detta område och såväl föreskrifter som tillsyn måste kunna omfatta samtliga de relevanta åtgärder som syftar till att ge ett skydd för information. Informationssäkerhet innebär åtgärder av olika slag för att skydda information som är av betydelse för säkerhetskänslig verksamhet. Sådan information förekommer i olika miljöer och verksamheter och hanteras och används på flera olika sätt. Därför måste säkerhetsskyddsåtgärderna anpassas för att passa för dessa skif- tande förutsättningar. Uppgifternas form saknar i sammanhanget betydelse och åtgärderna måste avse såväl uppgifter på papper som elektroniskt lagrade och kommunicerade uppgifter samt uppgifter som kan läsas ut ur t.ex. bilder eller materiel. Ett angreppssätt är att beskriva informationens livscykel från det att den skapas till det att den upphör eller förstörs och att utifrån denna beskrivning identi- fiera moment som har betydelse för säkerheten. Dessa moment i informationshanteringen kan skyddas genom administrativa, fy- siska eller tekniska säkerhetsskyddsåtgärder eller genom en kombi- nation av dessa. Detta kan illustreras med åtgärden kopiering av säkerhetsskyddsklassificerade handlingar som bör omfattas av såväl administrativa rutiner om hur kopiering får ske som tekniska säkerhetsskyddskrav på lagringsmedia i kopiatorn. Huvuddelen av dessa åtgärder är av sådan karaktär att de även fortsättningsvis bör kunna beskrivas i tillämpningsföreskrifter. Vissa bestämmelser bör dock meddelas i förordning, eftersom de rör bl.a. förhållandet mellan förvaltningsmyndigheter. Dessa åtgär- der beskrivs närmare i avsnitt 16.4. För att beskriva åtgärdernas karaktär kan de indelas i tre katego- rier – administrativ informationssäkerhet, it-säkerhet och kommu- nikationssäkerhet. Indelningen följer i princip Rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter.1 Syftet med denna kategorisering är dels att åtgär- derna riktar sig mot olika målgrupper, dels att genomförandet av åtgärderna kräver olika typer av kompetens. Till de administrativa informationssäkerhetsåtgärderna hör åtgärder som tar sikte på rutiner, arbetsflöden och arbetsledning. Här kan nämnas bestämmelser om registrering, distribution, kopiering, kvittering och inventering av handlingar som innehåller säkerhets- skyddsklassificerade uppgifter. Ett exempel på en sådan bestäm- melse är att handlingar som placerats i informationssäkerhetsklass konfidentiell eller högre ska kvitteras av den som tar del av hand- lingen. En för säkerhetsskyddet central fråga är reglerna om behö- righet till säkerhetsskyddsklassificerade uppgifter. Behörighetskri- teriet i nuvarande säkerhetsskyddsförordning som innebär att en 1 Rådets beslut av om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2013/488/EU). person för att vara behörig till hemliga uppgifter ska vara pålitlig från ett säkerhetsperspektiv, ha relevanta kunskaper om säkerhetsskyddet och ha behov av uppgifterna för sin tjänst eller för sitt uppdrag är också en bestämmelse som hör till denna kategori. It-säkerheten innefattar såväl rutiner och handhavanden i och kring informationssystem som tekniska krav på säkerhetsfunktioner i systemen och dess komponenter. För att framför allt säkerställa att tillgängligheten är i enlighet med verksamhetens krav bör alla it- system som används i säkerhetskänslig verksamhet vara föremål för kontinuitetsplanering. Även säkerhetskopiering är en viktig åtgärd som ger ett skydd i termer kring tillgänglighet och riktighet. Till it- säkerheten hör även bestämmelser som rör krav på säkerhetsgod- kännande av it-system inför driftsättning.2 Ett exempel på en säkerhetsskyddsbestämmelse inom it-säkerheten är att lagrings- media som innehåller säkerhetsklassificerade uppgifter ska förvaras och hanteras på samma sätt som säkerhetsskyddsklassificerade handlingar. Åtgärder som behörighetskontroll och skydd mot obe- hörig avlyssning är viktiga beståndsdelar av it-säkerheten. används termen signalskydd för att beskriva det i huvudsak kryptografiska skyddet för information i s.k. signalskyddssystem. Termen leder dock tankarna till då analoga signaler kommu- nicerades i sambandssystem i form av tal eller telegrafi. Bestämmel- ser om signalskydd och kryptografiska funktioner förekommer i flera olika författningar. I 3 b § förordningen (2007:1266) med instruktion för Försvarsmakten framgår att Försvarsmakten ska leda och bedriva militär säkerhetstjänst, leda och samordna signalskyddstjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information samt biträda i frågor som rör kryptoverksamhet och 2 12 § tredje stycket säkerhetsskyddsförordningen. I regleringsbrevet till Försvarsmakten3 anges att signalskyddet är en ”säkerhetsskydds- angelägenhet”. Genom lydelsen i instruktionen verkar signalskydds- tjänsten vara skild från militär säkerhetstjänst vilket sannolikt inte är avsett. I regleringsbrevet framgår i stället att den militära säkerhetstjänsten består av säkerhetsunderrättelsetjänst, säkerhets- skyddstjänst och signalskyddstjänst. Begreppens inbördes ordning är därmed inte helt tydlig. Begreppet kommunikationssäkerhet4 är därför bättre och beskriver på ett bättre sätt vad funktionen avser. Kommunikations- säkerhet syftar i huvudsak till att förhindra eller försvåra avlyssning eller obehörig påverkan av information i kommunikationssystem. Det kryptografiska skyddet har en central roll i kommunikations- säkerheten, och det särskilda kompetensområde som kryptografin tillhör är i sig en för skyddsvärd strategisk förmåga. Ett exempel på en bestämmelse som tar sikte på kryptografiska funk- tioner är att enbart kommunikationssäkerhetssystem som är god- kända av Försvarsmakten får användas för kommunikation av säkerhetsskyddsklassificerade uppgifter. Kryptografiska funktioner kan användas för även andra säkerhetshöjande åtgärder som identi- fiering, autentisering, signering och verifiering utan att vara en del av kommunikationssäkerheten. När det gäller regleringen kring signalskydd anser vi att den frå- gan bör utredas vidare och vi lämnar inte några förslag som innebär att begreppet ta bort. Det som ryms inom begreppet sam- manfaller dock med det som en ny säkerhetsskyddslag omfattar. Signalskyddet i sin nuvarande utformning är därmed en del av informationssäkerheten i vårt förslag till säkerhetsskyddslag. Vi tar dock ett första steg genom att föreslå att Försvarsmak- tens rätt att meddela föreskrifter om signalskyddstjänsten flyttas till säkerhetsskyddsförordningen och omformuleras så att den avser en möjlighet för Försvarsmakten att meddela närmare före- skrifter om verkställigheten av säkerhetsskyddslagen i fråga om kryptografiska funktioner. Detta innefattar såväl kryptografiska funktioner i kommunikationssäkerhet som i annan tillämpning. 3Regeringsbeslut 10, bilaga 5, , Fö2012/2150/MFU (delvis), Fö2013/110/MFI, Fö2013/123/ESL (delvis) m.fl. 4Detta motsvarar även den engelska termen eller förkortat Comsec. Behörighet att ta del av säkerhetsskyddsklassificerade uppgifter Kriterierna för behörighet till hemliga uppgifter regleras i 7 § säkerhetsskyddsförordningen. Dessa innebär att en person ska vara pålitlig från säkerhetssynpunkt, ha kunskap om säkerhetsskyddet och ha behov av uppgifterna för sitt arbete för att en delgivning ska vara tillåten. Kravet på pålitlighet från säkerhetssynpunkt korre- sponderar mot bestämmelserna om säkerhetsprövning. Kriterierna motsvarar de som gäller i många andra länder och i mellanfolkliga organisationers säkerhetsbestämmelser och vi ser inte något behov av att ändra dessa kriterier. Behörigheten till säkerhetsskyddsklassificerade uppgifter styrs av den verksamhet som uppgifterna förekommer i, vilket samman- hänger med att det enbart är i verksamheten som det kan avgöras om en person behöver uppgifterna för sitt arbete. Ett system där en verksamhet styr över behörigheten hos personer i en annan verk- samhet torde vara främmande när det gäller relationen mellan fri- stående myndigheter. I förhållandet mellan myndigheter och leve- rantörer finns det dock ett stort utrymme för en myndighet att inom ramen för ett uppdrag styra vilka personer hos leverantören som ska ha behörighet till uppgifterna. I avsnitt 20.4 behandlar vi frågan om s.k. säkerhetsintyg för per- son som upprättas av en svensk myndighet och innebörden av dessa intyg när det gäller möjligheter för bosatta i att under vissa förutsättningar kunna delta i det som närmast motsvaras av säkerhetskänslig verksamhet i andra länder eller vid mellanfolkliga organisationer. När det gäller det omvända förhållandet, att utländska medborgare ska delta i säkerhetskänslig verksamhet i , ska behörighetskriterierna även i dessa fall vara uppfyllda. När det gäller pålitlighetskravet kan detta vara uppfyllt på två sätt – dels genom att en säkerhetsprövning enligt säkerhetsskyddslagen är genomförd, dels genom att en utländsk myndighet eller en mellan- folklig organisation har upprättat ett säkerhetsintyg för den aktuella personen och intyget gäller för den informationssäkerhets- klass som är nödvändig i det specifika fallet. I det sistnämnda alter- nativet bör en säkerhetsskyddsöverenskommelse med det aktuella landet eller den mellanfolkliga organisationen vara en förutsättning för att ett säkerhetsintyg ska godtas. Skälet till detta är att landets eller organisationens rutiner för prövning av personer från säkerhetssynpunkt bör vara kända och motsvara det som gäller i . I kapitel 20 återkommer vi till frågan om internationella samver- kansformer avseende bl.a. säkerhetsintyg. I avsnitt 15.3 har vi redogjort för hur sekretessen förhåller sig till säkerhetsskyddsklassificerade uppgifter och att det senare begrep- pet bygger på att antingen sekretess gäller för uppgifterna eller att dessa skulle ha omfattats av sekretess om uppgifterna i stället före- kommit i en verksamhet där bestämmelser om sekretess i offent- lighets- och sekretesslagen gäller. Syftet med den föreslagna definitionen är att en uppgift ska vara en säkerhetsskydds- klassificerad uppgift om kriterierna är uppfyllda oberoende av i vilken verksamhet uppgifterna hanteras (se avsnitt 12.2). I avsnitt 22.1 behandlar vi frågan om tystnadsplikt för sådana uppgifter. Den som tillåts ta del av säkerhetsskyddsklassificerade uppgifter ska upplysas om räckvidden och innebörden av sekretessen eller av tystnadsplikten. Räckvidden av meddelarfriheten och begräns- ningar i denna, samt en erinran om att ett straffrättsligt ansvar under vissa omständigheter kan uppkomma om uppgifterna röjs för obehöriga, bör ingå i en sådan upplysning. Sekretessens och tystnadspliktens giltighet är emellertid inte beroende av ett sekretessbevis eller en tystnadspliktsförbindelse. Förbindelsen eller beviset kan nämligen aldrig få någon annan bety- delse än att utgöra en bekräftelse på att en person har erinrats om tystnadsplikt och aktuella säkerhetsbestämmelser. Handlingarnas huvudsakliga rättsliga funktion är att i en rättegång eller i ett disciplinärt förfarande tjäna som bevis för att personen har förstått eller bort förstå att han eller hon bröt mot sin tystnadsplikt. Skyddet när säkerhetsskyddsklassificerade uppgifter lämnas ut till en utländsk myndighet eller mellanfolklig organisation Säkerhetsskyddsklassificerade uppgifter från kan lämnas ut till andra länders myndigheter och mellanfolkliga organisationer. I säkerhetsskyddslagen finns det inte några bestämmelser som direkt tar sikte på ett sådant informationsutbyte, även om vissa bestäm- melser antyder att detta kan vara möjligt. Ett exempel är bestäm- melsen i 11 § säkerhetsskyddsförordningen som handlar om anli- tande av kurirförbindelser för försändelser till utlandet. Det finns författningsbestämmelser som reglerar när uppgifter som omfattas av sekretess får delges utländska myndigheter och mellanfolkliga organisationer. Två sådana bestämmelser är av bety- delse i sammanhanget. Den första är 8 kap. 3 § OSL som ger två alternativa möjligheter till sådant utlämnande. Det första fallet är när en föreskrift i lag eller förordning tillåter att uppgifter som omfattas av sekretess lämnas ut. I det andra fallet är ett utlämnande tillåtet när ett sådant hade varit tillåtet till en motsvarande svensk myndighet och det dessutom enligt den utlämnande myndigheten står klart att det ligger i svenskt intresse att uppgiften delges. Den andra bestämmelsen finns i förordningen (2010:649) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet. Förordningen gäller för tre myndigheter – Försvarsmakten, och . Enligt bestämmelsen får en uppgift för vilken sekretess gäller enligt 15 kap. 2 § OSL (försvarssekretessen) lämnas ut till en utländsk myndighet som deltar i ett samarbete inom För- svarsdepartementets verksamhetsområde. I bestämmelsen finns en begränsning som ställer krav på att utlämnandet enligt den utläm- nande myndighetens prövning är nödvändigt för att kunna genomföra samarbetet. Vidare får uppgifter som är av synnerlig betydelse för rikets säkerhet eller som kan ge underlag för utveckling av motmedel mot försvarssystem inte lämnas ut. I författningstexten används skrivningen lämnas ut men det är inte frågan om ett sådant utlämnande som avses i tryckfrihets- förordningen, dvs. att uppgifterna blir offentliga. Det finns inte några bestämmelser som tar sikte på vilka krav som kan ställas på mottagaren när det gäller skyddet av uppgifterna som delges. En viktig princip är att skyddet ska vara detsamma oavsett i vilken verksamhet den säkerhetsskyddsklassificerade upp- giften hanteras. Avsaknaden av krav på säkerhetsskydd för uppgif- ter som delges till bl.a. utländska myndigheter är därför otillfreds- ställande. I avsnitt 6.1 har vi beskrivit möjligheten för två länder att ömse- sidigt överenskomma om säkerhetsskydd för varandras säkerhets- Ett sådant internationellt säkerhets- skyddsåtagande binder inte enbart att ge ett säkerhetsskydd för den andra partens klassificerade uppgifter utan även det mot- satta förhållandet. Av det följer att i de fall där det finns sådana överenskommelser har de säkerhetsskyddsklassificerade uppgifter som delges ett betydligt bättre skydd än i de fall där en sådan säkerhetsskyddsöverenskommelse saknas. Vi föreslår därför en bestämmelse i säkerhetsskyddsförordningen som anger att säkerhetsskyddsklassificerade uppgifter som lämnas ut till en utländsk myndighet eller mellanfolklig organisation ska omfattas av ett internationellt säkerhetsskyddsåtagande hos den mottagande myndigheten eller organisationen. En sådan bestämmelse finns även i många andra länder. Det är den utlämnande myndigheten som ska säkerställa att det finns en giltig överenskommelse. Det förutsätts därvid att överenskommelsen är av sådan karaktär att den är folkrättsligt bindande för parterna, dvs. utgör ett traktat i mening.5 Andra typer av överenskommelser som s.k. Memorandum of Understanding (MoU) eller projekt- säkerhetsavtal är inte tillräckliga. De binder i bästa fall enbart vissa myndigheter hos parterna. Det skydd som följer av sådana överenskommelser är dessutom ofta svagt och underordnat nationell lagstiftning. har internationella säkerhetsskydds- överenskommelser med ett 30-tal länder och mellanfolkliga organi- sationer, vilket omfattar den absoluta huvuddelen av de länder som vi utbyter skyddsvärda uppgifter med.