sou · H3B323 · 2015-03-10 00:00:00 — Det finns stora skillnader mellan den statliga och den kommunala sektorn när det gäller regeringens möjligheter att styra. Principen om självstyrelse (1 kap. 1 § RF) gäller för all verksamhet, dvs. såväl verksamhet inom den fria sektorn som den specialreglerade sektorn. När det gäller de statliga verksamheterna är regeringens styrning mer direkt. Näringslivets betydelsefulla roll som den största ägaren och förvaltaren av samhällsviktig informationsinfrastruktur framhålls i direktiven. Genomgången i nämnda kapitel ger också en bild av vilka möjligheter och begränsningar som finns för det offentliga att kunna bidra till skyddet av information i den privata sektorn. Inom såväl den offentliga som privata sektorn kan utkontrak- tering s.k. outsourcing och användandet av molntjänster innebära särskilda utmaningar i arbetet med att skydda information. 3.4Gränssnitt där staten kan påverka I kapitel 5 ges exempel på hur det i regleringen ställs särskilda krav på hanteringen av en viss typ av information, krav på driftsäkerhet och säkerhet när uppgifter behandlas för de som tillhandahåller all- männa kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Det finns i regleringen också krav på åtgärder av betydelse för informationssäkerhetsarbetet som t.ex. att genomföra risk- och sårbarhetsanalyser. Det är krav som följs upp av den myndighet som har tillsynsansvar för det aktuella området. Ett grundläggande sätt som staten har att påverka är genom att höja medvetenheten och kunskapen i hela samhället om informa- tionssäkerhet. Det kan ske genom utbildning samt forskning och utvecklingsarbete. Andra viktiga områden är brottsbekämpning och brottsförebyggande verksamhet. Att it-relaterade brott blir beivrade ökar allmänpreventionen och förtroendet för it-tjänsterna. Det finns även gränssnitt där statens påverkan av informa- tionssäkerheten i samhället är mer indirekt. Det kan handla om statlig finansiering, upphandling, rådgivning och uppdrag till sam- verkan mellan offentliga och privata aktörer. Ett särskilt exempel på situationer där staten har möjlighet att påverka informations- säkerheten för stora delar av samhället är i samband med upphand- lingar, exempelvis vid utveckling av stora myndighetsgemensamma system för e-förvaltning av olika slag. En annan del är att höja beställarkompetensen inom såväl privat som offentlig sektor. Även kunskapsökning i form av forskningsstöd, inriktning av utbild- ningssektorn i form av läroplaner, samt övrigt stöd till skapandet av en säkerhetskultur utgör medel som står till statens förfogande. Andra centrala delar i detta arbete är att skapa förmåga till läges- beskrivningar över it-incidenter och genom riktade insatser kunna minska påverkan på samhället. Därtill kan staten verka för att underlätta internationellt kunskapsutbyte på området. En ökad kunskap om frågorna i samhället innebär i förlängningen även ökade kundkrav på privata aktörer. Teleoperatörer och andra företag bygger in säkerhet i sina system utifrån kommersiella grunder. Det kan betyda att bristande säkerhet kan accepteras så länge förlusterna inte överstiger kostnaderna för förebyggande åtgärder, krishantering, återställning och kundförlust. I de fall där det inte finns ekonomiska incitament för teleoperatörerna att erbjuda god robusthet har () exempelvis bidragit med medel som utgörs av s.k. beredskapsavgifter från större teleoperatörer. PTS är också drivande i arbetet med att skapa och delta i samarbeten mellan privata aktörer i el- och telekomsektorn och offentliga aktörer. MSB lämnar råd och stöd i fråga om det förebyggande arbetet på informationssäkerhetsområdet till statliga myndigheter, kommuner och landsting samt företag och organisationer. Detta beskrivs i kapitlet om MSB. Här kan även nämnas myndighetens stöd i form av medel för att förbättra krisberedskapen och i förlängningen samhällets motståndskraft mot allvarliga händelser, genom det s.k. krisberedskapsanslaget som kan ansökas hos MSB. Alla de myndig- heter som nämns i bilagan till förordningen (2006:942) om kris- beredskap och höjd beredskap kan söka projektmedel från detta anslag, utifrån de förutsättningar som regeringen satt upp. Detta gäller även förbättringar av krisberedskapen på informationssäker- hetsområdet. Anslaget ska användas för särskilda satsningar som ligger utanför det ansvar som varje myndighet, i enlighet med ansvarsprincipen, har för att säkerställa att samhällsviktig verksamhet kan bedrivas även när den utsätts för allvarliga störningar. Som påpekats av i betänkandet Säker informa- tion Förslag till informationssäkerhetspolitik (SOU 2005:42) värnar vi i om en rad principer som ska garantera att beslut fattas så nära den verksamhet som kommer att påverkas av beslutets inne- håll som möjligt. Det gäller ända ner på individnivå, där enskilda aktörer så långt möjligt ges ett avgörande inflytande över beslut som rör deras egen välfärd. Med decentraliserat ansvar och besluts- utrymme följer också ansvar för den egna verksamheten. Det finns dock verksamheter, funktioner och situationer då enskilda företag och individer inte förmår, eller rimligen kan avkrävas, att axla detta ansvar helt på egen hand. I vissa fall är det nödvändigt att fatta kollektiva beslut och att flytta över delar av ansvaret till offentliga organ. En diskrepans föreligger ibland mellan vad som är rationellt handlande för en enskild och vad som är rationellt för samhället. Det finns ett flertal motiv utöver politiska överväganden till offent- liga satsningar inom olika områden. Dessa har i stor utsträckning hämtat inspiration ur ekonomiska teorier om statens roll i samhällsekonomin. Sett ur ekonomisk synvinkel kan marknaden hävdas innehålla en del brister, eller marknadsimperfektioner, till exempel över- eller underkonsumtion, bristande beställarkompe- tens, otillräcklig information vid beslutstillfället och behov som marknaden inte kan eller vill tillgodose på egen hand. Här kan det vara nödvändigt för samhället, genom staten, att intervenera för att skapa balans och ökad samhällsnytta. Försvar, rättsväsende, räddningstjänst och vissa delar av infra- strukturen är klassiska exempel på kollektiva nyttigheter. Dessa funktioner kommer alla till godo. Krishantering på samhällsnivå har i grunden samma karaktär som dessa verksamheter. Om det offentliga inte engagerar sig inom dessa områden kan man befara att satsningar som görs blir otillräckliga eller till och med uteblir. Det beror på att medborgarna har svårt att överblicka och värdera de risker som finns för allvarliga kriser eller brister i säkerheten i till exempel den infrastruktur som är avgörande för samhällets funktionsförmåga. Allmänheten har svårt att förbereda sig för egen del om offentliga organ inte gör riskbedömningar och förmedlar resultatet. Allvarliga kriser, som följer av till exempel brist på säkerhet i infrastruktur, kännetecknas också av att ett stort antal människor och företag drabbas av konsekvenserna. Statens roll är flerfaldig. Det åvilar staten att lösa uppgifterna att förebygga, förhindra och stödja i hanteringen av it-relaterade inci- denter som är av sådan omfattning att det inte är rimligt att begära att drabbade själva ska vidta fullständiga åtgärder. För att det ska vara möjligt måste staten vara den som har det övergripande per- spektivet och ansvar för att korrekt omvärldsbevakning kontinuer- ligt tas fram. Staten har också rollen av att skapa ett organisatoriskt system för informationssäkerhetsarbetet som garanterar konti- nuitet och kvalitet avseende tillgänglighet, riktighet, konfiden- tialitet och spårbarhet. 3.5.1Uppgifter för statliga myndigheter En uppgift för offentliga organ bör vara att upptäcka och identifiera säkerhetsbrister i samhällsviktig verksamhet. Det kan ske genom risk- och sårbarhetsanalyser för att upptäcka och identifiera förhållanden som kan utlösa allvarliga störningar. Informations-, utbildnings- och övningsinsatser som bygger på resultatet av sådana analyser är angelägna. Där så kan ske utan att riskera säkerheten bör stor öppenhet tillämpas beträffande resultatet av risk- och sårbarhets- analyser för att öka medvetenheten om eventuella allvarliga brister och göra det möjligt att vidta säkerhetsförbättrande åtgärder. Underlag för risk- och sårbarhetsanalyser måste även kunna omfattas av sekretess hos de myndigheter som de avser och som de lämnas ut till. Offentliga organ behöver också kunna bedriva en regelbunden säkerhetsinriktad revision i sin egen verksamhet. En framgångsrik säkerhetsrevision, inom myndigheter, förutsätter att ledningsnivån, som är ytterst ansvarig aktivt engagerar sig i arbetet. Att ha en god informationssäkerhet innebär att kunna lösa såväl vardagliga problem som att ha en beredskap för att hantera allvar- liga, omfattande incidenter och kriser som möjligen även drabbar andra verksamheter än den egna. Ett företags egen, grundläggande vardagssäkerhet är ingen statlig eller offentlig angelägenhet. Att skydda de interna informationssystemen, såväl tekniskt som admi- nistrativt, och att ha en beredskap för att hantera incidenter är ett ansvar som åligger var och en som förvaltar ett system. Staten kan dock ha en roll i att stimulera till säkerhetsåtgärder, upprätthålla en lägesbild över it-incidenter och att öka medvetenheten om sårbar- heten i informationstekniken. Ett företag har sålunda ansvar för sina egna system och privatpersoner har ansvar för sina datorer. Det kan dock vara en svårighet för den enskilde att överblicka aktuella sårbarheter och tillgängliga säkerhetsåtgärder. skapa adekvata risk- och sårbarhetsanalyser krävs en noggrann omvärldsanalys och en överblick över hotbilden som sträcker sig längre än enskilda system och användare. Detta är inget statiskt dokument som användare kan ta del av, utan en process som måste bedrivas med kontinuitet. Ansvaret för helhetsbilden över sam- hällets samlade it-relaterade hotbild är en uppgift som bör åvila offentliga organ. Staten står för resurser och en kontinuitet, som inte kan vare sig krävas eller garanteras av någon annan aktör. Det är, som argumenteras ovan, rimligt att ansvaret för den dagliga säkerheten åvilar varje användare, förvaltare eller ägare av informationsteknik. För att hantera allvarligare incidenter, som kan komma att påverka den nationella säkerheten eller nationella intressen, måste givetvis staten ha det övergripande ansvaret. Det handlar om att kunna skydda medborgarna mot brott i form av övergrepp och oegentligheter samt att säkerställa att samhällsviktig verksamhet bedrivs med höga krav på funktionalitet och säkerhet. Det gäller även när nationella intressen bevakas inom EU och i internationella organ. Staten måste också ha ansvar för spelreglerna inom informationssäkerhetsområdet. Mot bakgrund av sin över- blick över samhällets säkerhetssituation och den hotbild som kan kopplas till informationssäkerheten föreslogs i SOU 2005:42 att staten skapar en struktur för att hantera extraordinära händelser. Staten har också ett eget intresse för informationssäkerheten inom sitt verksamhets- och ansvarsområde, i sin roll som ansvarig för myndighetsutövning och som ägare av statliga företag. 3.5.2Ett långtgående statligt ansvar I modern tid har det ofta hävdats att alla har ett ansvar för informa- tionssäkerheten i samhället, vilket inte sällan leder till att ansvaret för konkreta åtgärder höljs i ett dunkel – allas ansvar blir lätt ingens. Utredningen vill därför understryka det som skiljer statens ansvar från övriga samhällsaktörers, och som gör det betydligt tyngre. Det är endast staten – inte individer, näringsliv, kommuner eller landsting – som har iklätt sig folkrättsliga förpliktelser gente- mot resten av världssamfundet. Häri ingår t. ex. åtaganden under för mänskliga rättigheter (EKMR). Det är den svenska staten som har tagit ansvar för att skydda dess med- borgares liv, hälsa, säkerhet, integritet och trygghet. Det är samma stat som i första tilläggsprotokollet till EKMR har iklätt sig ansvaret för alla svenska fysiska och juridiska personers rätt att okränkt få njuta skydd för sin äganderätt. När staten omsätter dessa åtaganden i lagstiftning – såsom offentlighets- och sekretess- lagstiftningen, säkerhetsskyddslagstiftningen och den straffrättsliga lagstiftningen – har staten inte fullgjort sin skyldighet om den inte gör allt i dess makt för att se till att skyddet den via lagstiftningen utsträcker blir verkningsfullt. Häri ingår att både förebygga, upp- täcka och beivra allt som kan kränka de rättigheter som skapats genom åtagandena. Det är för att på ett tydligt sätt visa hur staten axlar detta ansvar som betänkandet föreslår att regeringen och dess myndigheter vidtar åtgärder för att skapa större säkerhet kring den information och de system för dess överföring som staten har ett inflytande över, och det är också därför utredningen föreslår att regeringen antar en strategi för informations- och cybersäkerhet. 4.1Ett ändrat synsätt på informationssäkerhet skedde en dramatisk förändring av internets utveckling. Ett tidigare mer isolerat system öppnades upp och antalet sammankopplingar, såväl nationellt som globalt, ökade. Den dramatiska förändringen påverkade också synsättet kring hante- ringen av informationssäkerheten då antalet aktörer och användare ökade. Fokus hamnade på säkerheten i nätverk och system där varje aktör skulle vara medveten om och ta ansvar för sina risker och sårbarheter liksom förebyggande åtgärder. Åtgärder som skapar säkerhet för helheten, i allas intresse, främjades. Tanken var att försöka bygga in säkerhet i en öppen och sammankopplad digital värld i stället för att utveckla riskhantering och sårbarhets- analyser, s.k. risk management. Detta senare synsätt utvecklades därefter och råder . Den tekniska utvecklingen har medfört större bandbredd och snabbare överföring av information (kapacitet) i fasta och trådlös uppkoppling under de senaste 15–20 åren. Tillsammans med större nätverk samt ökad lagrings- och processkapacitet har nya produk- ter och tjänster kunnat utvecklas, bl.a. smarta telefoner, surf- och läsplattor, molntjänster m.m. Innovationer inom mjukvaruområdet har lett till nya affärsmöjligheter och modeller, t.ex. inom appar och genom insamling och bearbetning av stora datamängder, s.k. ”big data”. Sociala medier, den ökade digitala mobiliteten, möjlig- heten till geografisk lokalisering och annan digital utveckling har också lett till ekonomiska och sociala förändringar till nytta för alla sektorer inom ekonomin och samhället. Samhället har blivit allt mer beroende av den digitala utvecklingen. Kraven ökar på möjlig- heten att känna tillit till informationssystem och nätverk liksom på de aktörer och mellanhänder som hanterar dessa. Men, kraven ökar också på digitala tjänsters förmåga att motstå risker och sårbarheter och medarbetares förmåga att förstå och hantera dessa. Det handlar numera om säkerheten för ett större komplex, ett ekosystem. Synsättet har vidgats, från säkerhet i nät och system till att bli betydligt bredare. Vi har också gått från ett statiskt synsätt där det gäller att undvika risk (riskaversion) till dynamisk riskhantering. De övergripande målen i nya nationella informationssäkerhets- strategier utgår ifrån att stödja ekonomisk och social utveckling samt att skydda samhällets funktionalitet. Fokus på säkerhet kring informationssystem och nätverk är således en del men inte tillräckligt. Hoten och sårbarheterna i den digitala världen har ökat. Säkerheten i det digitala samhället är inte enbart en teknisk ange- lägenhet utan omfattar många fler aspekter. Vi har alla ett gemen- samt ansvar, utifrån roller, verksamhet och sammanhang, för att skydda den digitala miljön mot hot och angrepp som leder till skada och minskad tillit. Ett dynamiskt riskbaserat synsätt utgår från alla de risker som möter aktörerna i ett föränderligt digitalt samhälle vid realiseringen av ekonomiska och sociala ambitioner. Som utredningen påpekat i kapitel 3 bör staten förbättra arbetet med sin del av ansvaret för dessa frågor. 4.2En kontinuerlig teknisk utveckling När samhället blir allt mer beroende av tekniska system måste dessa vara tillräckligt säkra. I det moderna samhället blir konse- kvenserna av driftavbrott i informationssystem större och mer oöverskådliga. När en aktör med många kunder drabbas av drift- störningar kan konsekvenserna bli kännbara och oväntade på många olika håll . Utveckling av programvara och tjänster ställer höga krav på både beställarkompetens och säkerhetsmedvetande hos beställaren för att uppnå tillräcklig säkerhetsnivå. It-tjänster i moderna verk- samheter är ofta komplexa och utspridda både fysiskt och organisa- toriskt (outsourcing). Det får konsekvenser för säkerheten. Ris- kerna blir mer svårbedömda och svåröverskådliga. Mer och mer information om oss själva och om våra tekniska lösningar blir allmänt tillgänglig. Frågorna om privatlivet aktuali- seras alltmer när större mängd och fler typer av data blir tillgängliga i det moderna samhället. Den ökade delningen av information ger ökad osäkerhet om vem som äger data t.ex. vid lagring i moln- tjänster. Teknikutvecklingen gör teknikberoende författningar och regler kring elektroniskt informationsutbyte mellan myndigheter föråldrade, vilket försvårar både önskvärda systemintegrationer och skyddet för privatlivet. Det pågår en ständig kapplöpning mellan angripare och för- svarare. Förekomsten av programvara som identifierar sårbarheter samt enkla och billiga tekniska hjälpmedel för angrepp har sänkt tröskeln och satt verktyg i händerna på fler angripare. Utöver de tekniska sårbarheterna är människan i systemen en svag länk, som med enkla medel kan luras att ladda ner skadlig kod eller uppge känsliga uppgifter. Det är inte fråga om en verksamhet ska bli hackad, utan när. En väsentlig faktor är att säkerställa att utbildning kan matcha den snabba utveckling som kännetecknar området. 4.3Politiska mål för en digital tidsålder It-politiken handlar om att använda och främja de möjligheter som digitaliseringen för med sig. Området omfattar bland annat regle- ring av it och elektronisk kommunikation, liksom nät- och in- formationssäkerhet, frekvenspolitik och frågor om internets styrning och förvaltning. I området ingår också frågor om tillgång till bredband och infrastruktur för it. Regeringen (och dess myndigheter) har tagit fram ett antal stra- tegier, agendor och handlingsplaner som avser den digitala utveck- lingen och berör informationssäkerhetsområdet. Närmast redogörs för några av dessa som bedöms mest relevanta. beslutade den dåvarande regeringen om en ny strategi för it-politiken, It i människans tjänst – en digital agenda för (dnr N2011/342/ITP), kallad den digitala agendan för . Den digitala agendan för är en bred och sammanhållen strategi för it-politiken där regeringen presenterar ambitioner och insatser som tar till vara de möjligheter som digitaliseringen ger. politiken är att ska vara bäst i världen på att använda digitaliseringens möjligheter. beslutade att tidigare it-politiska mål och delmål om tillväxt och kvalitet skulle upphävas och ersättas med det nya it-politiska målet (prop. 2011/12:1, utg.omr. 22, bet. 2011/12:TU1, rskr. 2011/12:87). När det gäller målen för tillgänglighet ska dessa fortsatt gälla (prop. 2009/10:193, bet. 2009/10:TU18, rskr. 2009/10:297). Den digitala agendan för pekar ut behov av insatser inom följande fyra strategiska områden, där användarens perspektiv är utgångspunkten: Lätt och säkert att använda. Tjänster som skapar nytta. Det behövs infrastruktur. Informationsteknologins roll för samhällsutvecklingen. uppdrag är att verka för att det it- politiska målet i den digitala agendan uppnås och att regeringens ambitioner inom området fullföljs. Detta ska ske med hänsyn till det huvudsakliga ansvar som respektive myndighet och departement inom har för att vidta och följa upp åtgärder kopplade till målet för it-politiken. Hela uppdraget är formulerat i kommitté- direktiven. Kommissionen har i huvuduppdrag att: utforma ett förslag till handlingsplan för genomförande av upp- draget att verka för det it-politiska målet, analysera utvecklingen i förhållande till det it-politiska målet, visa på digitaliseringens möjligheter, kommunicera den digitala agendan och dess innehåll, vara administrativt ansvarig för de s.k. signatärerna till den digitala agendan, och samverka med olika aktörer i samhället för en ökad digitalisering. Uppdraget ska slutredovisas . presenterade regeringen sin e-förvaltningsstrategi Med medborgaren i centrum (dnr N2012/6402/ITP). Strategin för- tydligar och preciserar de mål och strategiska ställningstaganden som uttrycks i den förvaltningspolitiska propositionen (prop. 2009/10:175) och i den digitala agendan för . I e-förvalt- ningsstrategin beskrivs regeringens målsättningar för arbetet med att förstärka myndigheternas förmåga att samverka digitalt i för- valtningsgemensamma it-frågor. Ett delmål i e-förvaltningsstra- tegin är att statsförvaltningens informationssäkerhet ska förbättras. E-delegationen har med anledning av sitt uppdrag från regeringen tagit fram en strategi för informationssäkerhet i e-förvaltning. De strategiska mål som anges är följande. Den enskilde känner tillit till att informationshantering i myn- digheters, landstings och kommuners e-tjänster sker på ett sådant sätt att personlig integritet förenas med hög tillgänglig- het, spårbarhet och riktighet. All informationshantering i e-förvaltning sker med de säkerhets- åtgärder som definieras utifrån risk- och sårbarhetsanalys samt informationsklassning. En god säkerhetskultur och gemensamt regelverk finns så att in- formation behandlas med samma krav på säkerhet oavsett vilken myndighet, vilket landsting eller vilken kommun som tillhanda- håller eller använder en e-tjänst. Tydlig ansvarsmodell för styrning och uppföljning av informa- tionssäkerhet inom e-förvaltning är etablerad på nationell nivå. Samhällsviktiga funktioner som stöds av e-tjänster upprätthålls även i krisläge. Detta förutsätter väl utvecklade metoder för kon- tinuitetsplanering. Processer finns inom e-förvaltningsarbetet för att skapa en nationell informationssäkerhetsrelaterad lägesbild. Informationssäkerhet i enlighet med informationens krav på skyddsnivå upprätthålls även då information kommuniceras till och från enskilda. Delegationen består av 16 generaldirektörer från de mest it-inten- siva myndigheterna och en representant för Kommuner och Landsting, SKL. Ärenden förbereds i en arbetsgrupp med främst it- och verksamhetschefer från myndigheterna och disku- teras sedan i två olika delegationsutskott innan beslut fattas. I varje delegationsutskott ingår flera generaldirektörer. uppgift är att stödja och samordna offentliga sektorns behov av säkra metoder för elektronisk identi- fiering och signering. Inom detta område finns en rad uppgifter som faller inom nämndens ansvar. har den samordnande funktionen på området för e-legitimationer. har också fattat ett inriktningsbeslut att jobba för att stödja även privat sektors användning av e-legitimationer, bl.a. genom att möjliggöra för registerhållning och upprättande av regler och avtal för privata aktörer. Nämnden har som uppgift att fungera som en svensk kontaktpunkt för internationell samverkan kring e- legitimationer och digital identifiering och signering, t.ex. vad gäller nationell teknisk standardisering. Det innebär också att delta i samverkan med på området. Det riksdagsbundna målet för tillgänglighet på it-området är att ska ha bredband i världsklass. Alla hushåll och företag bör ha goda möjligheter att använda sig av elektroniska samhällstjänster och service via bredband (prop. 2009/10:193). Enligt målen i Bredbandsstrategi för (dnr N2009/8317/ITP) bör av alla hushåll och företag ha tillgång till bredband om minst /s 2020.