sou · H3B323 · 2015-03-10 00:00:00 — Genom informationsutbyte och samverkan stödjer SAMFI deltagande myndigheter varandras arbete avseende samhällets informationssäkerhet. SAMFI berör frågeställningar inom huvudsakligen följande aktivitetsområden: Strategi, handlingsplan och regelverk Tekniska frågor och standardiseringsfrågor Nationell och internationell utveckling inom informationssäker- hetsområdet Hantering och förebyggande av it-incidenter MSB avsätter resurser för ett SAMFI-kansli. Övriga SAMFI–myn- digheter bidrar med resurser vid behov och efter förmåga. Representanter för de myndigheter som ingår i SAMFI träffas för att diskutera pågående arbete och aktuella frågor inom samhällets informationssäkerhet. Efter koncensus i SAMFI kan arbetsgrupper tillsättas för att arbeta med aktuella frågor. En SAMFI-myndighet har rätt men inte skyldighet att delta i dessa arbetsgrupper. Som exempel på SAMFI:s arbetsgrupper kan nämnas följande. SAMFI Ag Handlingsplan: Arbetsgruppen etablerades för att stödja MSB i arbetet med att ta fram handlingsplanen för sam- hällets informationssäkerhet 2012. SAMFI Ag Skyddsprofiler: Arbetsgruppen arbetar med utveck- lingen av skyddsprofiler, enligt standarden Common Criteria, för prioriterade produktkategorier. SAMFI Ag : Arbetsgruppen planerar och genomför den årliga informationssäkerhetskonfe- rensen för offentlig sektor. SAMFI Ag Terminologi: Arbetsgruppen har arbetat med att bearbeta underlag för den kommande utgåvan av Terminologi för informationssäkerhet. 7.6.2Nationell samverkan till skydd mot allvarliga it-hot (NSIT) Säkerhetspolisen, Försvarsmakten (Must) och Försvarets radio- anstalt (FRA) har inom området it-hot ett samarbete kallat Nationell samverkan till skydd mot allvarliga it-hot (NSIT). Inom ramen för NSIT-samarbetet analyseras och bedöms hot och sårbarheter när det gäller allvarliga eller kvalificerade it-angrepp mot våra mest skyddsvärda nationella intressen. Syftet är att ut- veckla samverkan för att försvåra för en kvalificerad angripare att komma åt eller skada svenska skyddsvärda civila och militära resur- ser. 7.6.3Nationella telesamverkansgruppen (NTSG) Inom sektorn elektronisk kommunikation arbetar bl.a. de största operatörerna i den nationella telesamverkansgruppen NTSG. NTSG har initierats av PTS och är ett frivilligt samarbetsforum med syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid extraordinära händelser i samhället. I gruppen ingår bl.a. operatörer, , , , Försvarsmakten, Myndigheten för samhällsskydd och beredskap samt . Gruppen verkar i syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid extraordinära händelser i samhället. Vid stora kriser eller extraordinära händelser kan det uppstå situationer som underlättas av att operatörerna bistår varandra. Vid en kris sammanställer gruppen skadeläget, åter- rapporterar läget till berörda parter och ger vid behov förslag till åtgärder. Gruppen kan också om så krävs, koordinera insatser. I NTSG bedrivs arbetet med Gemensam lägesuppfattning (GLU). Syftet med GLU är att reducera störningar och minska effekten av dem för andra sektorer i samhället vars verksamhet är beroende av elektronisk kommunikation. Syftet är också att öka samhällets förmåga att hantera konsekvenser av störningar och avbrott i näten. Målet är att skapa en gemensam lägesuppfattning hos aktörerna inom sektorn elektronisk kommunikation i händelse av stora störningar. En gemensam lägesuppfattning ökar sam- verkansmöjligheterna, då operatörerna på ett snabbt sätt kan erhålla och utbyta detaljerad information om status och prognos för pågående störningar i viktiga tjänster i näten. Hos operatörerna utnyttjas informationen i arbetet för att återställa kapaciteten och minska konsekvenserna av störningarna. Delar av informationen i GLU går att formulera så att den kan göras förståelig och delges andra intressenter. Operatörernas kunder kan exempelvis vara andra teleoperatörer, företag, myndig- heter, kommuner och enskilda personer. I GLU får dessa och andra aktörer i samhället inom exempelvis elsektorn, krisansvariga myndigheter, medierna och allmänheten tillgång till information om läget via internet och respektive operatörs webbplats. Driftinformation mellan operatörer, , är ett system som används mellan operatörer och innebär att driftinformation kan utbytas på ett standardiserat sätt. syftar till att skapa en mer ekonomisk, säkrare och effektivare överföring av information om driftstörningar orsakade av akuta fel eller planerade avbrott. 7.6.4Nationellt arbete med fokus på industriella informations- och styrsystem Inom området industriella informations- och styrsystem är det centralt att upprätthålla en hög nationell kompetens kring säkerhet i industriella informations- och styrsystem (SCADA-system). Se avsnitt 4.4.3 avseende hot och risker inom området. Det är också viktigt att genom internationell samverkan följa och ibland leda arbetet med harmonisering av standarder och branschpraxis och att länder lär av varandra. För att stötta den speciella situation som råder i verksamheter som hanterar industriella informations- och styrsystem driver Myndig- heten för samhällsskydd och beredskap, dessa frågor i en samlad satsning, ett program för ökad säkerhet i industriella informations- och styrsystem. Arbetet riktar sig såväl mot den offentliga som privata sektorn och fokuserar på medvetande- höjning, kunskapshöjning och förmågehöjning av berörda aktörer. De mer precisa målgrupperna är de aktörer som driver industriella informations- och styrsystem, exempelvis elbolag, vattenproducenter, transportföretag och kemiska processindustrier. Även kommuner och myndigheter med ansvar för en ”sektor” är viktiga målgrupper, liksom leverantörer av teknisk utrustning som ingår i industriella informations- och styrsystem. En central del i detta arbete är det som MSB har etablerat i samverkan med Total- (). Arbetet mellan MSB och FOI har bedrivits och etablerade myndig- heterna tillsammans, Nationellt centrum för säkerhet i styrsystem för samhällsviktig verksamhet (NCS3). Inom ramen för NCS3 genomförs bland annat teknisk utbildning av aktörer från samhälls- viktig verksamhet. har bland annat ett nytt koncept för praktisk träning i att motstå it-angrepp tagits fram. I ett så kallat cyberrange får de olika aktörerna öva och se effekterna av hot- och risker mot samhällsviktig verksamhet. Inom centrumbildningen (mellan MSB och FOI samt andra berörda aktörer) genomförs också studier som syftar till att analy- sera säkerhetsproblem kopplade till industriella informations- och styrsystem. Dessa studier kan vara av både teknisk och strategisk karaktär och de färdiga rapporterna används sedan för att öka olika aktörers medvetenhet om hot och risker i denna domän. De utbildningsinsatser som bedrivs inom NCS3 är av med- vetandehöjande, kunskapshöjande och förmågehöjande natur. En av de centrala delarna i MSB:s program för ökad säkerhet i industriella informations- och styrsystem är medvetandehöjande aktiviteter. Dessa består bl. a. i att hålla föredrag på mässor och branschträffar för att belysa vikten av säkerhet i industriella informations- och styrsystem. I detta sammanhang är det viktigt att nå ut till personer på ledningsnivå. MSB har beskrivit för utred- ningen att det är slående ofta som ansvariga chefer inte känner till skillnaden mellan kraven på it-säkerhet ”på kontoret” och kraven som råder i industriprocesserna. Industriella informations- och styrsystem ”faller mellan stolarna” och betraktas inte som it- system utan som produktionssystem. Det kan få till följd att det inte finns någon som tar ansvar för säkerheten i dessa system eller ställer krav på att säkerheten ska utvecklas. Genom NCS3 har programmet också utvecklat ett antal så kallade demonstratorer som på ett pedagogiskt sätt kan gestalta effekten av ett angrepp mot ett industriellt informations- och styrsystem. används främst en modell av ett vattenreningsverk, ett portabelt system med trafikljus samt en uppsättning ”fabriker” som kan angripas. Detta ger pedagogiska effekter som gör presentationerna mer levande och verklighetsnära. Behovet av medvetandehöjande aktiviteter är dock stort och åtgärder som dessa skulle behöva öka avsevärt. En annan central komponent i arbetet är kunskapshöjande akti- viteter. Det är viktigt att även den tekniska personal som arbetar med informations och styrsystem har kunskap och förståelse om vikten av att dessa system är skyddade. Därför har NCS3 tagit fram en tvådagars-utbildning kring säkerhet i industriella informations- och styrsystem. Utbildningen varvar teori med praktik och genom- förs fyra till . Varje kurstillfälle, som är öppet för 16 personer, är anpassat till en specifik målgrupp – exempelvis elproducenter eller vattenproducenter. Den här sektorsanpass- ningen innebär att både de teoretiska och de praktiska delarna kan anpassas tydligare mot den verklighet som aktörerna befinner sig i Den innebär också att deltagarna får möjlighet att under förtroliga former diskutera sektorsspecifika frågor och att bygga nätverk. De praktiska delarna anpassas utifrån deltagarnas förkunskaper. Generellt går övningarna ut på att experimentera med olika verktyg för säkerhetsanalys. Deltagarna får också försöka sig på att angripa ett industriellt informations- och styrsystem (där riktiga styrsystem finns bakom). Praktiska övningar genomförs också i form av grupparbeten där en säkerhetsanalys av en fiktiv verksamhet ska genomföras. Om förkunskaperna är väldigt olika mellan deltagarna anpassas arbetet utifrån deltagarnas egna förut- sättningar. En ny aktivitet är också alumni-träffar där deltagare från de senaste tre årens kurstillfällen bjudits in. Denna typ av samman- komster stärker också förmågan över tiden och säkerställer ett vidmakthållande av nätverken mellan tekniker. En effekt som kursen har haft, utöver den individuella kunskapshöjningen, är att deltagarna tar med sig kunskap till sina respektive organisationer vilket leder till att stärka hela verksamheten. Nätverkandet mellan tekniker inom en bransch men också mellan branscher är centralt; det är dessa personer som åtgärdar problemen när de uppstår. Den kunskap som de besitter och de möjligheter de har att hjälpa varandra är i slutänden vad som avgörför hur effektivt vi kan hantera en allvarlig händelse mot samhällsviktig verksamhet. Sista steget i utbildningstrappan består av förmågehöjande akti- viteter. Även om kunskapen finns är det viktigt att praktiskt träna sig i att hantera it-incidenter. Hantering skiljer sig ofta mellan in- dustriella informations- och styrsystem och vanliga administrativa system. I ett industriellt informations- och styrsystem är det vik- tigt att i möjligaste mån upprätthålla produktionen som angreppet analyseras och avstyrs. Hanteringen av angreppet bör också ske på ett sätt som underlättar den efterkommande foren- siska analysen. I den förmågehöjande utbildningen används den ”cyberrange” som nämnts tidigare. Den består av cirka 300 ihop- kopplade datorer som, men hjälp av virtualisering, kan skapa en närmast oändlig mängd olika tekniska nätverkskonfigurationer. Det tekniska nätverk som används för de förmågehöjande insat- serna är t.ex. en replikering av ett produktionssystem, exem- pelvis en läkemedelsprocess, där övningsdeltagarna ska upprätthålla produktionen som systemet angrips. Tekniska och strategiska studier En annan viktig del är de studier som tas fram inom ramen för MSB och FOIs samarbete NCS3. genomförs studier som går ut på att djupanalysera något tematiskt område inom it-säkerhet för industriella informations- och styrsystem. Exempel på studier kan vara hur säkert det är med virtuella nätverk i en processmiljö, eller hur säkert det är att använda vitlistning för att hindra att skadlig kod tar sig vidare ner i styrdatorerna. Studierna har ofta koppling till den omvärldsanalys som bedrivs inom MSB:s program. Inom olika sektorer sker också särskilda studier för att identifi- era hot och risker, många av dessa är på grund av sakens natur dock sekretessbelagda. Inom ramen för Säkerhetspolisens arbete sker också mycket kvalificerade analyser mot de mest skyddsvärda objekten i samhället. Det finns dock ett stort behov av ytterligare studier i och med att utvecklingen som beskrivits ovan sker i en oerhört hög takt. Nationell och internationell samverkan Inom ramen för MSB:s arbete med industriella informations- och styrsystem drivs ett samverkansforum för informationsdelning mellan olika aktörer från det offentliga och privata. Forumet heter FIDI-SC och har 10–12 medlemmar från olika verksamheter som hanterar industriella informations- och styrsystem. Forumet träffas och diskuterar under förtroliga former faktiska hot, risker och sårbarheter. Varje möte innehåller också en omvärldsanalys och en gästföreläsare inom relevant område. Utöver den information som utbyts inom forumet skapas viktiga förtroliga kontakter mellan aktörerna som för en ökad medvetenhet om säkerheten i industriella informations- och styrsystem. En central del i det arbetet som bedrivits av MSB är skriften Vägledning till ökad säkerhet i industriella informations- och styr- system. 2014 gavs den tredje utgåvan av vägledningen ut. Vägled- ningen har blivit ”de-facto” standard i . De tidigare utgåvorna har varit översatta till så väl engelska som japanska. Den nya utgåvan kommer också att ges ut på engelska vilket har varit efterfrågat från internationella organ som bland annat och . Inom ramen för MSB:s breda arbete inom krishanterings- området så är olika typer av forskning centralt. MSB finansierar här olika typer av forskning där ett område är en generell utlysning av medel för ett akademiskt forskningsprogram kring säkerhet i industriella informations- och styrsystem. Tanken är att, utöver NCS3, också bilda ett forskningscentrum där mer långsiktig forskning kan bedrivas. Forskningscentrumet ska ha ett nära samarbete med NCS3. En annan viktigt komponent där MSB är drivande är forskning tillsammans med Departement of (). Inom ramen för detta arbetar också FOI med sina motsvarigheter i . I samhället är allt fler verksamheter och tjänster sammanlänkande med varandra på någon nivå. Detta beroende medför att en hän- delse kan få organisationsöverskridande, samhälleliga konsekven- ser, som inte initialt förutsetts. För att stärka verksamheters för- måga att hantera uppkomna händelser eller kriser vidtas en mängd åtgärder från medvetandehöjande insatser till åtgärder för att stärka redundansen i system. En central komponent i detta är övningar. Med övningar ges förmåga att hantera kriser både genom att förbereda individer och organisationer i sin helhet men även för hur organisationer ska samverka med andra aktörer i samhället. I har händelser som influensan A(H1N1) 2009 belyst beho- vet av åtgärder för att hantera uppkomna kriser. I har MSB uppdraget att samordna, genomföra och stödja regionala, nationella och internationella övningar inom området samhällsskydd och beredskap. Arbetet har sin utgångspunkt i ett uppdrag från regeringen. I budgetpropositionen 2014 gör regeringen bedömning att ”utbildningarna vid MSB, samt myndigheternas övningsverksamhet, internationell utbildnings- och övningsverk- samhet, samt det övningsstöd som lämnats av MSB har bidragit till en ökad förmåga att hantera olyckor och kriser nationellt och internationellt”(prop. 2013/14:1 utgiftsområde 6 s. 86). Behovet av att förbereda sig för att hantera incidenter och kriser återfinns även inom informations- och cybersäkerhetsområdet. Den globala marknaden för informations och kommunikations teknologi (IKT) uppskattas till och upphand- lingar av IKT-produkt- och tjänster inom EU uppskattas till att motsvara av all BNP i EU. i Sve- rige har driftproblem hos leverantörer (Tieto- och Evry-händel- serna) visat hur incidenter i informationssystem fått stora konse- kvenser för organisationer vilket bl.a. kan påverka samhällsviktig verksamhet. betonar betydelsen av cybersäkerhetsövningar och ser det som strategiskt viktigt för att förbättra skyddet av kritisk informationsinfrastruktur. I Strategy uppmanas medlemsländerna att delta i övningar på nationell och pan- europeisk nivå. Internationellt finns det flera stora aktörer, såväl länder som mellanstatliga organisationer, som identifierat behovet av cybersäkerhetsövningar och anordnas det en mängd sådana. Flertalet strävar efter att utveckla samarbetet mellan incident- hanteringsfunktioner från olika länder, företrädelsevis nationella och militära CERT-liknade organisationer. var tidigt med att planera och genomföra cybersäker- hetsövningar. genomförde svenska myndigheter till- sammans med Nato CCD CoE i en teknisk cyberövning (CDX). genomfördes också SAMÖ2008 vilket utgick från en finansiell kris. Ett viktigt moment i denna övning var stör- ningar i betalningssystemet. För att utveckla samhällets förmåga att hantera incidenter är det viktigt att öva organisationers eller funktioners förmåga som en helhet och inte endast tekniska experters förmåga att lösa tekniska problem. I betonas därför vikten av simuleringsövningar och då särskilt tvärsektoriella nationella cybersäkerhetsövningar och tekniska cybersäkerhetsövningar med virtuell övningsmiljö. Med simuleringsövning avses en övningsform där deltagarna övas i sina ordinarie roller, där miljön och uppgiften efterliknar verklig- heten i så stor utsträckning som möjligt, och där händelseutveck- lingen är baserad på ett övergripande scenario. Nationella tvärsektoriella övningarna, som övningsserien Nationell informationssäkerhetsövning (NISÖ) syftar till att utveckla samordning och samverkan i samhället och är särskilt viktiga för att nå ut till en bredare krets av kritiska aktörer inom privat och offentlig sektor. De möjliggör att öva koordination, beslutsprocesser och policysamverkan mellan berörda aktörer. NISÖ har genomförts 2010 och 2012. Övningen 2010 genomfördes med centrala myndigheter och de stora energibolagen. Övningen 2012 genomfördes också med centrala myndigheter, energibolagen men också transportsektorn samt ett stort telekombolag. Med på övningen fanns också de nordiska nationella CERT-funktionerna. Denna typ av sektorsövergripande övning kommer att genomföras med regelbundenhet. För att nå alla nivåer vid hantering av händelser kompletteras tvärsektoriella övningar med tekniska cybersäkerhetsövningar i virtuell övningsmiljö. I dessa hanterar de övade funktionerna tek- niska problem i en virtuell miljö som återspeglar verkligheten i form av tekniska infrastrukturer och system. På så vis kan funk- tionerna öva samverkan med andra aktörer, sina processer och tekniska förmåga för att hantera incidenter . Exempel på genomförda övningar nationellt och internationellt där deltagit i någon form är: Cyber Defence Exercise – Locked Shields (2008, 2010): Övnings- serie som anordnas av Nato CCD CoE och där Försvarshögskolan (FHS) deltar i planering och genomförande i övningsledningen. Syftet med övningen är att öva hantering av it- incidenter och skydd av civil kritisk infrastruktur. Cyber Storm (2010, 2013): Övningsserie som anordnats av U.S. med deltagande av 15-tal länder där syftet bland annat har varit att öva processer för inci- denthantering mellan deltagande länder. Cyber Europe (2010, 2012, 2014): Paneuropeisk övningsserie som anordnas av med syfte att utveckla samarbetet och processer för informationsdelningen mellan utpekade nationella funktioner. Nationell informationssäkerhetsövning, NISÖ (2010, 2012): Nationell övningsserie med syfte att stärka samhällets förmåga att hantera it-relaterade kriser. Nato Exercise, CMX (2012): Övningsserie som övar den politiska beslutsstrukturen i Nato och deltagande länder. var cybersäkerhet ett av två huvudteman. Nato Cyber Coalition Exercise (2011–2014): Övningsserie som anordnas av Nato i syfte att utveckla samarbetet och teknisk in- cidenthantering. Nationell teknisk informationssäkerhetsövning (2013): Svensk teknisk övning i syfte att utveckla deltagande organisationers förmåga såväl som de övade individernas färdigheter att hantera it-incidenter samt att utveckla teknisk operativt samarbete vid it-incidenthantering mellan deltagarna. Nordisk nationell CERT-övning (2015): Planerad övning med syfte att utveckla den gemensamma incidenthante- ringen, inklusive lägesbilder och informationsdelning mellan de nordiska CERT-funktionerna. Telö-serien är en övning som hålls för aktörer inom sektorn för elektronisk kommunikation. Syftet är att vara en lärande övning avseende samverkan inom sektorn och med andra sektorer och myndigheter under en extraordinär händelse. Myndigheten för samhällsskydd och beredskap (MSB) har, för att utnyttja samhällets samlade kompentens på informationssäkerhets- området, knutit till sig ett informationssäkerhetsråd med bred representation från både offentlig förvaltning och näringslivet. består av representanter från Polis- myndigheten, , , , , .SE (), , Försvarsmakten, , Riksbank, , Försvarshögskolan, Riksgälden, och . har i uppgift att bistå MSB med: information om utvecklingstrender inom området informations- säkerhet, det vill säga skydd av information och säkring av in- formationssystem. synpunkter på inriktning, prioritering och genomförande av MSB:s arbete inom området. kvalitetssäkring och trovärdighet till MSB:s arbete genom att vara rätt sammansatt och ha koppling till vitala samhällsfunktioner. att bidra till spridning av information om MSB:s arbete med informationssäkerhet i omvärlden. 7.7.2Ytterligare privat-offentliga samverkansforum inom området Utöver informationssäkerhetrådet ovan finns ett antal privat- offentliga samverkansforum på nationell nivå och till detta kommer även ett stort antal mer eller mindre formella nätverk. När det gäl- ler privat-offentliga samverkansforum av den typ som nämnts ovan om industriella styrsystem, FIDI-SC, så kan även nämnas MSB:s forum FIDI-Finans som engagerar ett 15 tal aktörer i sam- hällssektorn finansiella tjänster samt FIDI-Vård och omsorg som både engagerar privata och offentliga aktörer inom sektorn. Här bör även nämnas samverkansforumet NTSG (se avsnitt 7.6.3) som omfattar aktörer inom sektorn elektroniska kommunikationer och som leds av PTS. När det gäller arbetet med att förebygga och hantera it-incidenter är även den startade nationella samverkan mellan olika CSIRT-funktioner av stor vikt. Gruppen benämns informellt Svenskt CERT-forum och samordnas av MSB. 7.7.3Standardisering av informations- och it-säkerhet Standarder kan beskrivas som frivilligt och i samförstånd framtagna gemensamma lösningar på ofta återkommande problem. Standarder formaliserar och överför kunskap avseende säkerhet, prestanda, begrepp och processer. På detta sätt ger standarder ofta en värde- full möjlighet att överföra resultat från forskning och utveckling till praktiskt arbete och vidare till specialisering. Inom offentlig upphandling möjliggör lagarna för den upphandlande myndigheten och enheten att hänvisa till standarder men hänvisningarna ska följas av ordet ”likvärdiga” för att säkerställa konkurrens på lika villkor. Standardisering är en privaträttslig verksamhet och är i huvud- sak en fråga för näringslivet. Det finns emellertid ett antal formella regler som påverkar förhållandet mellan myndigheterna och stan- dardiseringsverksamheten. För näringslivet är standardisering och kontroll av att produkter tillverkade enligt harmoniserade standarder på marknaden uppfyller föreskrivna krav (marknadskontroll) nog så angeläget som reduce- ring av antalet regler. Standarder är instrument för samarbete mellan näringsliv och förvaltning samt för förenklad lagstiftning. En modern standard måste ta hänsyn till en lång rad av ibland mot- stridande aspekter och krav som alla ska vägas in i arbetet. Teknik- skiftet är tydligast inom it-området då det sammankopplade och uppkopplade samhället berör snart sagt allting.