sou · H3B323 · 2015-03-10 00:00:00 — Informations- och cybersäkerhet i Strategi och åtgärder för säker information i staten Betänkande av NISU 2014 SOU och Ds kan köpas från kundtjänst. Beställningsadress: kundtjänst, 106 47 För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför. Statsrådsberedningen, SB PM 2003:2 (reviderad ) En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remiss. Layout: Kommittéservice, . Tryck: , 2015. Regeringen beslutade (dir. 2013:110) att tillkalla en särskild utredare med uppdrag att föreslå strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Som särskild utredare förordnades generaldirektören . Utredningens uppdrag utökades genom tilläggsdirektiv (dir. 2014:66) beslutat . Den särskilde utredaren fick ut- över det ursprungliga uppdraget i uppgift att undersöka de rättsliga förutsättningarna för att inrätta och driva ett system för viktigt meddelande till allmänheten via mobil och fast telefoni vid allvarliga olyckor och kriser. Som sakkunniga förordnades departementssekreteraren , , ämnessakkunnige , , departements- sekreteraren och kanslirådet , . förordnades utrednings- chefen , Försvarshögskolan, som expert i utredningen. i utredningen förordnades från och med den Som sakkunniga förordnades ämnessakkunnige , Justi- tiedepartementet och ämnessakkunnige , Försvars- departementet. förordnades som experter säkerhets- chefen , struktur, juristen , och säker- hetsansvarige , . Utredningen har till sitt arbete knutit en referensgrupp med företrädare för olika myndigheter. Som sekreterare i utredningen anställdes numera rådmannen . Med verkan entledigades från sitt uppdrag. Som huvudsekreterare anställdes hovrättsassessorn . Som utrednings- sekreterare anställdes hovrättsassessorn . Utredningen har antagit namnet NISU 2014. överlämnade utredningen sitt delbetänkande Viktigt meddelande till allmänheten via mobil telefoni (SOU 2014:92). Utredningen får härmed överlämna sitt betänkande Informations- och cybersäkerhet i . Strategi och åtgärder för säker information i staten (SOU 2015:23). Cyber security in – strategy and measures for secure information in central government ............................. 1.1Förslag till förordning för statliga myndigheters 1.2Förslag till förordning om ändring i säkerhetsskyddsförordningen (1996:633) .............................. Uppdragets genomförande och begrepp ........................ Klargörande av begrepp ........................................................... Begrepp på området...................................................... Terminologiutveckling gällande cyberbegreppet........ Informationssäkerhet och cybersäkerhet.................... Vilken information är värdefull för samhället ........................ Vilken information har samhället möjlighet att skydda ........ Gränssnitt där staten kan påverka .......................................... 3.5.1 Uppgifter för statliga myndigheter ............................. 3.5.2 Ett långtgående statligt ansvar..................................... Ett ändrat synsätt på informationssäkerhet........................... En kontinuerlig teknisk utveckling ........................................ Politiska mål för en digital tidsålder....................................... 4.3.4 Nationell eHälsa – strategin för tillgänglig och säker information inom vård och omsorg .................. Hot och risker i en digitaliserad värld .................................... 4.4.3 Särskilt om hot mot industriella informations- och styrsystem m.m. .................................................... Offentlighets- och sekretesslagen............................... 5.3Reglering av säkerhetsskydd, krishantering och Lagen (1992:1403) om totalförsvar och höjd 5.3.3 Förordningen (2006:942) om krisberedskap och höjd beredskap och MSB:s föreskrifter om statliga myndigheters informationssäkerhet............... 5.3.4 Förordningen om statliga myndigheters riskhantering, m.m........................................................ 5.3.5Lagen (2006:544) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap ......................................... 5.4Specifik reglering av brottsbekämpande och underrättelsemyndigheters arbete på området....................... Lagen om försvarsunderrättelseverksamhet ............... 5.4.3 Lagen om signalspaning i Myndigheter med särskilt ansvar för 6.1Myndigheter i samverkansgruppen för informationssäkerhet (SAMFI) .............................................. Myndigheten för samhällsskydd och beredskap (MSB) ............................................................................ 6.2 Andra statliga myndigheter och affärsverk .......................... Styrelsen för ackreditering och teknisk kontroll (SWEDAC)................................................................. 7.1Politiska mål för säkerhet och samhällets Uppdrag från regeringen....................................................... Regeringsuppdrag till myndigheter........................... 7.4.2 En bild av myndigheternas Tekniska funktioner för skyddad kommunikation ............. Krypto och signalsskydd ........................................... (SAMFI) ..................................................................... 7.6.2 Nationell samverkan till skydd mot allvarliga it- hot (NSIT) ................................................................. Nationella telesamverkansgruppen (NTSG)............ 7.6.4 Nationellt arbete med fokus på industriella informations- och styrsystem.................................... 7.7.2 Ytterligare privat-offentliga samverkansforum 7.7.3 Standardisering av informations- och it-säkerhet..... Den privata sektorn ............................................................... 7.8.2 (.SE) .................. 7.8.3 utveckling (TU- stiftelsen) och Netnod ............................................... Internationella utvecklingslinjer, organisationer och 8.2.2 Direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet inom hela unionen ...................................................... 8.2.3 EU:s digitala agenda och allmän 8.3.1 arbete inom områdena informationssäkerhet och integritet .......................... 8.3.2 och riktlinjer – 8.3.4 Recommendation on the Protection of Critical Information Infrastructure (CIIP) ........................... FN:s arbete och internationella initiativ inom 8.4.1 FN:s generalförsamlings första utskott .................... 8.4.2 FN:s generalförsamlings andra utskott .................... 8.4.3 FN:s generalförsamlings tredje utskott .................... för mänskliga rättigheter............................ World Summit on the .............. 8.4.6Working Group on Enhanced Cooperation, Commission on Science and Technology for Development (CSTD) inom ECOSOC Internationella teleunionen (ITU) ............................ 8.4.10 Freedom Online Coalition (FOC)........................... Överväganden ..........................................och förslag 9.1En nationell strategi för statens informations- och 9.1.3 Behovet av en strategi ................................................ Strategigenomförande och handlingsplan................. 9.2 Ansvar, styrning, samordning och tillsyn ............................ En nationell styrmodell.............................................. 9.2.2 Inrättande av ett myndighetsråd ............................... 9.2.3 En ny förordning för statliga myndigheters 9.2.5 Informationssäkerhet som en del av Staten som tydlig kravställare................................................ Kravställning vid upphandling ................................... Fördjupad dialog mellan privat och offentlig Säkrare kommunikation i staten ........................................... Säkra kryptografiska funktioner ................................ Översyn av bestämmelser om tvångsmedels i den Internationella och regionala relationer ............................... som stark internationell spelare .................... Samordning av det internationella agerandet ............ Framtida övningsutveckling inom informations- Fördjupad dialog om kompetensförsörjning ............ Konsekvenser av förslagen......................................... 10.2.1 En nationell styrmodell för informationssäkerhet ... 10.2.2 Upprättandet av ett kansli för myndighetsrådets 10.2.3 Uppgiften att bedriva tillsyn ...................................... 10.2.5 Säkrare kommunikation i staten ................................ Förslagens brottsförebyggande konsekvenser .................... Bilaga 1 Kommittédirektiv 2013:110 ............................................ Bilaga 2 Kommittédirektiv 2014:66 .............................................. Förslag till nationell strategi och åtgärdsplan för säkra kryptografiska funktioner ..................................... Strategi för statens informations- och cybersäkerhet ... Strategi och åtgärder i korthet Utredningen föreslår en strategi för informations- och cybersäker- het i staten. Strategin har sex mål: att stärka styrning och tillsyn inom området, att staten ska ställa tydliga krav vid upphandling på it-området, att statliga myndigheter ska kommunicera säkert, att samtliga statliga myndigheter rapporterar it-incidenter, att arbetet med att förebygga och bekämpa it-relaterad brottslighet stärks och att ska vara en stark internationell partner. Strategin innehåller förslag till åtgärder inom de områden utred- ningen bedömt som strategiska för att uppnå en god informations- säkerhet i statsförvaltningen. Åtgärderna ska säkerställa att de statliga myndigheterna har ett gemensamt förhållningssätt till in- formationssäkerhetsfrågor och behovet av skyddad kommunika- tion samt säkra it-lösningar. Andra åtgärdsförslag innebär att det skapas förutsättningar för de brottsbekämpande myndigheterna att garantera samma skydd mot cyberbrottslighet som mot brottslighet i allmänhet. Det föreslås också att regeringen stärker och samordnar insatserna för att främja ställning i internationella samarbeten om informations- och cybersäkerhet. Utredningen har haft regeringens uppdrag att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system samt att föreslå övergripande mål för samhällets informationssäkerhetsarbete, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infra- struktur. Enligt direktiven ska utredningen också klargöra begrepp som används inom informationssäkerhetsområdet och vid behov föreslå förtydligande eller alternativa benämningar och definitioner. I uppdraget har vidare ingått att redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informations- säkerhetsområdet som de har . Uppdraget har omfattat övergripande och strategiska åtgärder. Utredningens förslag ska ses i ljuset av att säkerhetsskyddslagen är under översyn och att åtgärdsförslagen inte avser att träffa säker- hetsskyddslagens tillämpningsområde. Vidare begränsas förslagen till det statliga området och till utformning av författningsreglering på förordnings- och föreskriftsnivå. Våra förslag syftar till att skapa en gemensam syn på en lägsta nivå av informationssäkerhet i staten och höja denna. De två centrala begreppen i denna utredning är informationssäker- het och cybersäkerhet. Informationssäkerhet innebär en strävan att skydda information så att den alltid finns när den behövs (tillgäng- lighet), att det går att lita på att den är korrekt och inte manipule- rad eller förstörd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när in- formationen har hanterats och kommunicerats (spårbarhet). In- formationssäkerhet omfattar såväl administrativa som tekniska åt- gärder för att skydda information. För inrikes angelägenheter täcker begreppet informationssäkerhet flertalet av de i betänkandet före- slagna åtgärderna, medan cybersäkerhetsbegreppet gör sig mer gällande när perspektivet avser svenskt förhållande gentemot andra hot. I de internationella policydiskussionerna har cybersecurity i allt större omfattning ersatt användandet av begreppet information security. bör i sina internationella relationer använda begreppet cybersäkerhet. Det finns flera statliga myndigheter med särskilda uppgifter eller uppdrag på informationssäkerhetsområdet, såväl nationellt som internationellt, och frågorna spänner över en mängd olika områden och nivåer. Utredningen har beskrivit myndigheternas ansvar och roller på informationssäkerhetsområdet. Myndigheten för samhälls- skydd och beredskap, , , , , och Försvarsmakten är myndigheter med särskilda uppgifter och sär- skilt ansvar inom informationssäkerhetsområdet. Myndigheterna ingår i samverkansgruppen för informationssäkerhet (SAMFI). I syfte att ytterligare formalisera, utveckla och fördjupa samord- ningen av informationssäkerhetsarbetet föreslår utredningen inom ramen för strategin att det inrättas ett Myndighetsråd för in- formationssäkerhet. ska ha till uppgift att stödja och utveckla informationssäkerhetsarbetet i samhället. Behovet av en strategi för staten Hoten mot informations- och cybersäkerheten samt som nation kan inte hanteras enbart nationellt och kommer därför att kräva både sektorsövergripande och internationellt samarbete. främsta och strategiska samarbetspartners uppfattar också problemet på samma sätt och manar i sina strategier till ökat sam- arbete. utredningar på området har i full enlighet med sina uppdrag sökt föreslå allomfattande strategier för hela samhället. Det finns anledning att från denna utrednings sida betona att behoven på informations- och cybersäkerhetens område är så omfattande i , att det inte behövs en, utan flera strategier. Vad som föreslås är därför det första steget, en första strategi för statens informations- och cybersäkerhet som söker åtgärda de mest angelägna bristerna i statsförvaltningen. Först när detta är klart finns anledning och förutsättningar att gå vidare till större och mer specifika områden. strategier bör omfatta bl.a. kompetens- försörjningen i samhället, forskning och utveckling, informations- säkerheten inom verksamheten hos landsting och kommuner, lik- som försvaret av riket och dess oberoende mot antagonistiska hot med såväl defensiva som offensiva förmågor. Den föreslagna strategin träffar statsförvaltningen på bredden och höjer, om den genomförs, den generella informations- och cyber- säkerheten i statsförvaltningen, vilket främjar samhällets förutsätt- ningar att förebygga och bekämpa de yttersta hoten mot rikets säkerhet. Strategin vänder sig först och främst till regeringen, och till de statliga myndigheterna, och indirekt till den del av näringslivet och de organisationer som samverkar eller ingår affärsrelationer med staten. Den ska bidra till att reducera sårbar- heten och uppnå en effektiv risknivå i statens olika informations- system. Vidare ska strategin bidra till trygg elektronisk kommunikation i offentlig sektor och pålitliga nättjänster från offentlig sektor. Syftet med strategin är att ange grundläggande målsättningar, färdriktningar och arbetssätt för informationssäkerhet i svenska staten. Förslag till strategi och åtgärder Strategin anger sex strategiska mål och områden för informations- säkerhetsarbetet. Inom de strategiska områdena anges olika förslag till åtgärder. Styrning och tillsyn av informationssäkerheten i staten stärks. En nationell styrmodell för informationssäkerhet etableras för att skapa ett systematiskt informationssäkerhetsarbete i statlig verk- samhet. Förslaget avser i första hand de statliga myndigheterna och ska vara normerande för dessa men styrmodellen kan ut- sträckas till att omfatta hela den offentliga sektorn. Det bör inrättas ett statligt myndighetsråd för informations- säkerhet bestående av företrädare för de relevanta myndigheterna på området. En ny förordning för statliga myndigheters informationssäkerhet bör införas för att tydliggöra ett ökat ansvar för det praktiska säkerhetsarbetet inom myndigheterna. Tillsynen över den statliga sektorns informationssäkerhet bör sam- ordnas och förstärkas. Myndigheten för samhällsskydd och bered- skap ska utöva tillsyn över myndigheternas informationssäker- hetsarbete i enlighet med föreslagen förordning. Myndigheternas internrevision behöver utvecklas till att inkludera uppföljning och kontroll av myndigheternas informationssäkerhet. Myndighetsledningens ansvar för att upprätthålla säkerhet i sin informationshantering bör förtydligas genom ett författnings- reglerat rapporteringskrav. Staten ställer tydliga krav som upphandlare av tjänster som innehåller informationshantering eller av it-tjänster. Statlig upphandling på it-området bör innehålla hänvisning till för staten gällande standarder och krav på certifiering i de situationer där säkerhetsnivåer har fastställts för respektive verksamhet. Myndigheten för samhällsskydd och beredskap bör ges i uppdrag att ta fram minimikrav på säkerhet i vanligt förekommande it- produkter som används av statliga myndigheter. Det bör införas ett krav på att rapportera vilken leverantör som en statlig myndighet har valt då ramavtal rörande it-lösningar används. När det gäller tjänster och produkter som ska användas för kom- munikation inom staten bör upphandlande myndighet överväga möjligheten att tillämpa lagen om upphandling på försvars- och säkerhetsområdet, om upphandling enligt lagen om offentlig upphandling inte medger att nödvändiga krav ställs. Regeringen bör fördjupa dialogen mellan privata och offentliga aktörer samt utbildnings- och forskningsinstitutioner på informa- tionssäkerhetsområdet. Statliga myndigheter kommunicerar säkert. För att skapa en myndighetsgemensam infrastruktur för elektronisk kommunikation bör kommunikationssystemet Swedish Government Secure Intranet (SGSI) utvecklas. I ett första steg ansluts samtliga myndigheter som anges i bilagan till förordningen om kris- beredskap och höjd beredskap till SGSI. Under utbyggnaden av SGSI bör det vidtas åtgärder för att utveckla system för att upptäcka intrång och angrepp. Synkronisering av tid och frekvens är viktig för att vissa funktioner i samhället ska fungera. Statliga myndigheter ska därför använda samma synkroniserade tidsskala för de tidsangivelser de använder i sina it-system. Myndigheten för samhällsskydd och beredskap, Försvarets radio- anstalt, och Försvarsmakten bör ges i upp- drag att utveckla processen för säkra kryptografiska funktioner på basis av den av myndigheterna föreslagna nationella strategin med åtgärdsplan. Samtliga statliga myndigheter rapporterar it-incidenter. Det bör inrättas ett system för obligatorisk it-incidentrapportering för samtliga statliga myndigheter. Detta ska anpassas till de krav som EU-direktivet om nät- och informationssäkerhet (NIS- direktivet) kommer att ställa. Ett system för obligatorisk it- incidentrapportering skulle bidra till förmågan att förebygga och hantera it-incidenter. I syfte att förbereda införandet av ett system för obligatorisk it- incidentrapportering bör Myndigheten för samhällsskydd och beredskap få i uppdrag att utfärda verkställighetsföreskrifter om dess närmare utformning. Myndigheten för samhällsskydd och beredskap bör ges i uppdrag att förse de statliga myndigheterna med information om bl.a. trender och utveckling avseende it-incidenter. Förebyggande och bekämpande av it-relaterad brottslighet stärks. Arbetet med ratificering av konvention om it-relate- rad brottslighet, som undertecknade 2001, bör slutföras. Det bör utredas om en tydligare reglering kan införas i offent- lighets- och sekretesslagen rörande sekretess för uppgifter som utbyts vid samverkan mellan brottsbekämpande myndigheter och andra myndigheter inom informationssäkerhetsområdet. Det bör göras en översyn av bestämmelserna om tvångsmedel i 27 och 28 kap. och övriga lagrum för att säkerställa att brottsbekämpande myndigheter kan bedriva sin förebyggande och utredande verksamhet i den digitala miljön. ska vara en stark internationell partner. Regeringen bör säkerställa att agerar kraftfullt och konsi- stent i samtliga internationella och regionala fora av relevans genom att stärka samordningen av både och myndig- heternas internationella kontakter. Utredningens förslag innebär en höjd ambitionsnivå för samhällets informationssäkerhet och vissa av förslagen medför ökade kostna- der. Eftersom informationssäkerhet normalt anses ingå i kostna- derna för respektive verksamhet är utgångspunkten att flera förslag bör bäras av respektive verksamheter. Den största kostnaden gäller framför allt den utökade rollen för Myndigheten för samhällsskydd och beredskap, vilket kräver en anslagshöjning. Detta behov kan täckas genom omdisponeringar inom utgiftsområde 06 Försvar och samhällets krisberedskap eller hänföras till en ny förvaltnings- politisk inriktning av statsförvaltningens arbete och därmed hän- förlig till utgiftsområde 02 Samhällsekonomi och förvaltning. Lika- så kan övervägas om delar av de kostnadsökningar som beskrivs är att hänföra till de krav på ökad digitalisering som hanteras inom utgiftsområde 22 Kommunikationer. Ett sista förslag är om in- formations- och cybersäkerhet har kommit att bli en så central del av statsförvaltningen att det förtjänar ett eget och nytt utgifts- område. Cyber security in – strategy and measures for secure information in central government The Inquiry was instructed to propose a national strategy for the handling and transfer of information in electronic communications networks and IT systems, and to propose overall objectives for society’s information security work and how is to maintain the security and integrity of vital public IT infrastructure. The threats against cyber security, and as a nation, cannot be dealt with nationally and will therefore require both cross-secto- ral and international cooperation. ’s foremost and strategic cooperation partners also view the problem in the same way, calling in their strategies for greater cooperation. In light of this perspective, must continue to build its national capacity and strengthen the protection not only of vital infrastructure, but also of the entire central government admin- istration so as to be able to tackle and avert all threats against cen- tral government information assets. Only with this approach will , over time, be able to secure the many advantages offered by the digital society to indi- viduals, central government and businesses in the form of eco- nomic growth, innovation and national security. Cyber security in … A strategy for central government Previous proposed strategies have tried to remedy all problems and challenges in the whole of society in one context, which creates an overwhelming challenge. The Inquiry’s remit includes proposing a strategy for the han- dling and transfer of information in electronic communications networks and IT systems, a national strategy that the Inquiry con- siders should be adopted by the Government. There is reason for the Inquiry to stress that the needs in the area of cyber security in are extensive and it seems rational to accept that needs not one but several strategies. The proposals below are therefore merely the first step – an initial strategy that seeks to remedy the most urgent shortcomings in central government administration. Only when this is finished will there be reason – and necessary conditions – to move on to larger and more specific areas. One such consecutive area is covered by the national security protection legislation, which is currently under reform.