sou · H3B325 · 2015-03-18 00:00:00 — Medlemskapet i EU innebär att ingår i en politisk allians, där medlemsländer inte har för- svarsförpliktelser i förhållande till varandra, men tar ett solidariskt ansvar för säkerhet. kommer inte att förhålla sig passivt om en katastrof eller ett angrepp skulle drabba ett annat medlemsland eller nordiskt land. Det förväntas att dessa länder agerar på samma sätt om Sve- rige drabbas. bör därför ha förmågan att kunna ge och ta emot militärt stöd. Målet för det militära försvaret ska vara att enskilt och tillsammans med andra, inom och utom landet, försvara och främja vår säkerhet. säkerhetspolitik utgår från en bred syn på säkerhet. Ett enskilt militärt väpnat angrepp direkt mot är osannolikt . Kriser och incidenter som även inbegriper militära maktmedel kan dock inte uteslutas i vår region och på kan militära angreppshot likväl aldrig uteslutas. Utma- ningar och hot mot säkerhet är föränderliga, gräns- lösa och komplexa. syn på säkerhet utgick från stater och 3 Detta avsnitt härrör från information om säkerhetspolitik på regeringens webb- plats, , . Texten baseras på regeringens utrikes- deklarationer samt prop. 2008/09:140 Ett användbart försvar. Hoten och de huvudsakliga förändringsfaktorerna en militär hotbild. I ett vidgat säkerhetsbegrepp inryms även icke- militära hot och icke-statliga aktörer. Individens, vid sidan av sta- ters, rättigheter och säkerhet ges stor betydelse. Gränsöverskridande samarbete, handel och integration främjar en positiv utveckling i stora delar av världen. Globalisering kan dock också innebära ökad sårbarhet genom att enskilda händelser snabbt kan få regionala eller globala återverkningar. I detta ligger en ökad sårbarhet mot säkerhetshot som terrorism, spridning av massförstörelsevapen, organiserad brottslighet, pandemier och miljökatastrofer. Dagens hot och utmaningar är i hög grad gränsöverskridande. Säkerhet uppnås därför gemensamt och genom nära samarbete med andra länder. är en aktiv och solidarisk partner i arbetet för stabilitet och säkerhet i och omvärlden. bidrag till krishanteringsinsatser under EU:s, FN:s och Nato:s ledning leder till ökad säkerhet. Vidare är även en stark transatlantisk länk av vital betydelse för och hela stabilitet och säkerhet. Nato är en cen- tral aktör för europeisk säkerhet och integration samt för inter- nationell krishantering. samarbete med Nato och är ett uttryck för viljan att vara en del av och stärka den transatlan- tiska säkerhetspolitiska gemenskapen. För är säkerheten och samarbetet i vårt närområde av särskild betydelse. Det nordiska samarbetet inom det säkerhets- politiska området fördjupas och utvidgas. Det ligger i intresse att åstadkomma effektiva samverkanslösningar och ett fördjupat samarbete med de nordiska länderna. har i sam- manhanget också ett utvecklat samarbete med , och . Regeringen ser detta som ett komplement till och en naturlig utveckling av de europeiska och euroatlantiska samarbe- tena. Nordiskt försvarssamarbete är inte ett självständigt säkerhets- politiskt alternativ. är största grannland och en central säkerhets- politisk aktör i vårt närområde, och den större omvärlden. partnerskap med EU och samverkan med Nato, liksom dess integration i den globala ekonomin, är av stor säkerhetspoli- tisk betydelse för och hela . Hoten och de huvudsakliga förändringsfaktorerna 9.2De aktuella hoten mot Som framgår av föregående avsnitt har svensk säkerhets- och för- svarspolitik förändrats . Hur stort hotet är värderas emellertid inte. Vi har därför inhämtat särskild information om bl.a. aktuella hot och tendenser från Säkerhetspolisen och Försvars- makten. Utredningen har också tagit del av annan relevant informa- tion som publicerats på Säkerhetspolisens, Försvarsmaktens och Försvarets radioanstalts webbplatser på internet. Som vi har anfört i inledningen till detta kapitel får hoten inte bli någon allenarådande styrning av hur en säkerhetsskyddslag bör utformas. Tvärtom bör en sådan lag för att kunna vara ändamåls- enlig och relevant vara tämligen okänslig för förändringar i hotbilden. Hotbeskrivningen tjänar dock som en viktig redogörelse av vilka slag av hot det kan vara fråga om och således mot vad en säkerhetsskyddslag ska ge ett skydd. Nya hot mot säkerheten Den nuvarande säkerhetsskyddslagstiftningen kom till i en brytnings- tid. Det bedömdes att det nya säkerhetspolitiska läget inte hade inneburit några radikala förändringar av förutsättningarna för en ny säkerhetsskyddsreglering, och det nya regelverket utarbetades mot den bakgrunden. Utredningen4 som föregick den nuvarande säker- hetsskyddslagstiftningen var primärt inriktad på regleringstekniska frågor rörande personalkontroll. Genom tilläggsdirektiv5 kom utredningens uppdrag att omfatta även en översyn av förordningen (1981:421) om säkerhetsskyddet vid statliga myndigheter. Någon mer ingående analys av vilka behov i övrigt som fanns av en säker- hetsskyddsreglering gjordes inte (se vidare avsnitt 3.2). Säkerhetsskyddslagen är i första hand inriktad på att skydda rikets säkerhet. Även om begreppet rikets säkerhet inte är reser- verat för förhållanden som har betydelse för totalförsvaret, har det i hög grad kommit att förknippas med det och framför allt då med 4Säkerhetsskyddsutredningen (SOU 1994:149). Hoten och de huvudsakliga förändringsfaktorerna har utvecklingen gått mot att även andra samhällsviktiga verksamheter fått en allt större betydelse från säkerhetsskyddssynpunkt. Även om ett militärt angreppshot inte kan uteslutas på , görs numera en annan bedömning av hoten mot säkerheten i . De hot som bedöms kunna få konsekvenser för säkerhet är alltså av delvis annan karaktär . utgörs hoten av t.ex. internationell terrorism, andra typer av grov internationell brottslighet, spridning av massförstörelsevapen samt framställning och transport av vapen, komponenter och teknologi. Civila verksamheter har på ett helt annat sätt än tidigare kommit att stå i fokus. Främmande staters underrättelseverksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Utvecklingen med utflyttning av väsentliga funktioner i samhällsviktig verksamhet till utlandet, t.ex. inom energiförsörj- ningen, har också inneburit att sårbarheten har förändrats. Elektroniska angrepp i olika former har kommit att bli ett av de allvarligaste hoten. Informationsteknikens utveckling ger ökade möjligheter till att subversivt påverka den dagliga informationsbilden för samhällets invånare. Det finns exempel på att främmande makts underrättelse- tjänster har förmåga att automatiserat och i stor omfattning påverka innehållet i sociala media. Enligt pågår politisk, ekonomisk, militär och teknisk-vetenskaplig under- rättelseverksamhet samt flyktingspionage. Målen som främmande makts underrättelsetjänster visat intresse för är bl.a. statsledningen, myndigheter, försvar, forskning och industri samt oppositionella och utländska intressen. Underrättelseinhämtningen sker med hjälp av mänskliga källor, elektroniska angrepp, signalspaning, flyg- och satellitspaning, öppna källor m.fl. metoder. Säkerhetspolisen anser att ett av de allvarligaste tekniska inhämtningshoten utgörs av elektroniska angrepp. Det är framför allt de tre miljöfak- torerna digitalisering, globalisering och outsourcing som påverkar riskbilden och som underlättar eller skapar nya förutsättningar för Hoten och de huvudsakliga förändringsfaktorerna När det gäller terrorism konstaterar , utifrån andra länders erfarenheter att det finns exempel på såväl attentats- planering och genomförda attentat som hot mot transporter, rätts- väsende och annan myndighetsutövning. Hoten emanerar framför allt från våldsfrämjande islamister. Enligt Försvarsmakten utgörs de potentiella hoten mot och Försvarsmakten numera i allt större utsträckning av annan säkerhetshotande verksamhet än konventionella stridskrafter. För- svarsmakten har noterat ett ökat intresse från främmande makts underrättelsetjänst riktat mot svensk för- svarsförmåga, försvarspolitik, forskning och teknikutveckling samt förhållanden till andra nationer och organisationer. Den tekniska utvecklingen i form av bl.a. dator- och nätverksattacker för att utnyttja samhällets beroende av informationsteknologi för att åstadkomma skada på såväl civila som militära kritiska funktio- ner gör Försvarsmakten sårbar för t.ex. sabotage. Privatiseringen av traditionellt sett statliga verksamheter i kombination med Försvars- maktens ökade nyttjande av civil teknik och privatägd infrastruktur ger främmande makt nya möjligheter att inhämta information om och påverka nationella skyddsvärden av strategisk betydelse. Främ- mande underrättelseaktörers möjlighet att inhämta information som i betraktas som öppen kan också utgöra underlag i militär planering mot svenska mål. Hotet avseende terrorism riktad mot Försvarsmakten har ökat . Enligt Försvarsmakten påverkas terrorhotbilden av Försvarsmaktens verksamhet, t.ex. i samband med internationella insatser, och våldsfrämjande islamis- tiska aktörer har sannolikt avsikten att angripa mål i eller att attackera svenska intressen utomlands. På informationssäkerhetsområdet konstaterar radio- anstalt att det finns ett reellt hot mot och svenska intressen. Enligt utförs it-angrepp ständigt, och de kommer från resursstarka och kunniga aktörer som har uttalade mål och syften med sina angrepp. Det kan vara underrättelse- inhämtning, ekonomisk brottslighet, industrispionage och olika former av påverkan. anser att det finns kun- skap om hur informationsteknik kan användas för att orsaka skada och att denna kunskap är ett växande hot. Hotet riktar sig främst mot samhällsviktig verksamhet och kritisk infrastruktur. Många terrorgrupper har etablerat sin närvaro på internet. Hoten och de huvudsakliga förändringsfaktorerna blir alltmer sofistikerade och riktade. Antagonistiska aktörer utnyttjar samhällets sårbarheter på ett systematiskt sätt. Enligt beror dock hotbilden också på omvärlds- händelser och på hur och svenska medborgare agerar i olika sammanhang. Sedan säkerhetsskyddslagen trädde i kraft har informationstek- niken och användningen av den genomgått en betydande utveck- ling. Bland annat internet har radikalt förändrat förutsättningarna för informationssäkerhetsarbetet. Informationstekniken genom- syrar i stort sett alla aspekter av samhällsviktiga verksamheter, och fungerande it-system är nödvändiga för att t.ex. styrning av el- och vattenförsörjning samt kommunikationssystem ska fungera. När säkerhetsskyddslagen infördes förekom sekretessbelagda uppgifter som rörde rikets säkerhet främst i pappersdokument. hanteras mycket stora informationsmängder, såväl öppna som hemliga, i it-system. En rad verksamheter, både hos det all- männa och inom näringslivet, är helt beroende av digitala system för bl.a. styrning, reglering och övervakning. Eftersom bestämmel- serna om informationssäkerhet i säkerhetsskyddslagen är inriktade uteslutande på att skydda uppgifter som omfattas av sekretess och som rör rikets säkerhet ger lagen små möjligheter att vidta åtgärder för att skydda it-systemen som sådana. Ett behov av att skydda systemen är påtagligt inom vissa för samhället kritiska sek- torer bl.a. elförsörjningen. Teknikutvecklingen och it-samhället innebär också i andra avse- enden ändrade förutsättningar för säkerhetsskyddet. Som exempel kan nämnas möjligheter till ett flexibelt arbetssätt med mobila kontorslösningar i form av bärbara datorer, smarta mobiltelefoner och s.k. molntjänster vilket försvårar arbetet med säkerhetsskydds- åtgärder. Tillgången till och öppenheten kring stora mängder av information på t.ex. myndigheters webbplatser kan ge användaren Hoten och de huvudsakliga förändringsfaktorerna nya möjligheter att söka och sammanställa denna information på ett sätt som skulle kunna få konsekvenser för säkerhetsskyddet. Även internationaliseringen har påverkat förutsättningarna för informationssäkerheten. Det gäller t.ex. i samband med utflyttning av verksamhet till utlandet, bl.a. inom energiförsörjningen. Behovet av en god informationssäkerhet Lite förenklat kan sägas att digitaliseringen tog fart som säkerhetsskyddslagen trädde i kraft. Det var först som internet slog igenom på allvar i och antalet internetuppkopplingar började öka. Härefter har det skett en enorm utveckling på it-området och är en ledande it- nation. Förutom att it har stor betydelse för svensk ekonomi bidrar den till att förbättra och förenkla tillvaron för alla; medborgare, företag, organisationer och offentlig sektor. Utvecklingen går snabbt, och digitaliseringen förändrar och påverkar alla delar av samhället. Informationstekniken gör det möjligt att bl.a. lagra stora mängder information och kunskap som snabbt, även globalt, kan göras tillgänglig för alla. Den utbredda digitaliseringen, främst av viktiga samhällsfunktioner, medför effektivitetsvinster och en ökad öppenhet, tillgänglighet och insyn. medför digitali- seringen en påtagligt ökad sårbarhet för störningar och avbrott. Den ökade öppenheten medför t.ex. större risk för att aktörer med antagonistiska avsikter utnyttjar de möjligheter som den brett åtkomliga informationen ger för hot och angrepp. Öppenheten kräver också att den information som görs tillgänglig inte kan för- vanskas. Skyddet av de egna informationstillgångarna blir därför en grundläggande fråga för snart sagt varje privatperson och för större aktörer i många fall en ren överlevnadsfråga. Det är därför av grundläggande betydelse att infrastrukturen med väl fungerande elektroniska kommunikationer är tillgänglig, robust och säker. Informationssäkerhetsområdet blir allt viktigare i takt med den tekniska utvecklingen och de sårbarheter som härmed skapas. En av informationssäkerhetsområdets stora utmaningar är att tekniken ofta utvecklas betydligt snabbare än säkerhetsarbetet. Den snabba utvecklingen på it-området i kombination med myndigheternas ökande nyttjande av civil teknik och privatägd infrastruktur medför Hoten och de huvudsakliga förändringsfaktorerna att myndigheternas egna tekniska kompetens minskar. Bristande kontroll över vilka it-produkter som tas in i svensk infrastruktur kan ge nya möjligheter för olika aktörer att inhämta information om och påverka nationella skyddsintressen och tillgångar av stra- tegisk betydelse. betraktar de flesta länder informationssäkerhet som en stor nationell utmaning, och informationssäkerhet inklusive cyber- säkerhet anses vara av såväl strategisk som utrikespolitisk och säkerhetspolitisk betydelse. En storskalig it-incident bedöms kunna få allvarliga konse- kvenser såväl för ekonomisk som för samhällsviktig verksamhet och kritisk infrastruktur. På grund av samhällets ökade it-beroende är sannolikheten stor att samhällsviktiga system som finansiella system, ledningscentraler för trafiksystem, administrativa och medicinska system inom sjukvården, digitala kontrollsystem för el och vatten samt elektroniska kommunikationer drabbas. Informationssäkerhet kräver en helhetssyn eftersom det är ett komplext och gränsöverskridande område, såväl geografiskt som vad avser bl.a. teknik, administration, ekonomi och juridik. Den internationella dimensionen är också påtaglig. Dels för att informationsinfrastrukturen är sammanflätad och korsar nationsgränser, dels därför att många privata företag som driver och äger infrastrukturen är verksamma i flera länder. Störningar i informationssystem kan snabbt röra sig mellan nationell och inter- nationell nivå. Lagring av stora mängder uppgifter i digitala system har ökat kraftigt och fortsätter öka närmast lavinartat i takt med ökade tek- niska möjligheter och ökade ambitioner i samhället. Sammanställ- ningar över t.ex. känsliga anläggningar och objekt kan snabbt och enkelt tas fram genom effektiva sökmotorer. Effekten av detta kan bli att uppgifter, som var för sig inte är skyddsvärda, i aggregerad form kan komma att utgöra en stor sårbarhet. Vissa verksamheter tillhandahåller så väsentliga tjänster att, om deras funktionalitet kraftigt reduceras eller upphör, såväl den enskildes hälsa och liv som möjligheten att värna samhällets grund- läggande värden riskeras. Som exempel på verksamheter som leve- rerar tjänster som krävs för ett fungerande samhälle kan nämnas energiförsörjningen, elektronisk kommunikation, vattenförsörj- ning, hälso- och sjukvård samt betalningsväsendet. Hoten och de huvudsakliga förändringsfaktorerna viktiga funktioner styrs och övervakas numera med hjälp av avance- rade it-system. Beroendeförhållanden är en viktig orsak till att samhällsviktiga verksamheter är sårbara. Kritiska beroendeför- hållanden uppstår i de fall då funktionen i en samhällsviktig verk- samhet kräver att en annan verksamhet fungerar där denna saknar alternativ. Ett exempel på ett sådant förhållande är beroendet mellan el och elektroniska kommunikationer. Ett annat problem som kan liknas vid ett beroendeförhållande är att det finns en pågående koncentration av it-drift till ett litet antal stora leverantörer som skapar nya sårbarheter i samhället. En incident , då en operatör hade ett stort nätverksfel som bl.a. drabbade ett kommunikationsnät inom vård och omsorg med- förde även konsekvenser för medieföretag, kommuner och andra myndigheter. En incident vid ett it-driftleverantör i november 2011,6 då företaget drabbades av ett tekniskt fel kom att få konse- kvenser för cirka 50 av företagets kunder inom såväl privat som offentlig sektor. Dessa exempel visar tydligt på problemet med koncentration och ömsesidiga beroenden. När ett tekniskt fel inträffar kan det påverka flera delar av samhället och konsekvenserna kan därför bli svåra att överblicka. Ett ytterligare exempel som illustrerar problematiken med bero- endeförhållanden och koncentration är att Försvarsmakten i högre utsträckning än har kommit att förlita sig på samma kriti- ska infrastruktur och samhällsfunktioner som landet i övrigt. Detta gör Försvarsmakten till vissa delar lika sårbar för sabotage som övriga samhället. Myndigheternas arbete på informationssäkerhetsområdet Det bedrivs ett brett nationellt, men också internationellt, arbete med informationssäkerhet där många aktörer samverkar.7 Bland annat analyserar och utreder Säkerhetspolisen de allvarliga elektroniska angrepp som drabbat och drabbar de samhällsviktiga verksamheterna. Även den militära underrättelse- och säkerhets- 6Myndigheten för samhällsskydd och beredskaps rapport kring samhällets skydd och beredskap vid allvarliga it-incidenter – En studie av konsekvenserna i samhället efter driftstörningen hos Tieto . 7Se även avsnitt 7.4. Hoten och de huvudsakliga förändringsfaktorerna tjänsten (MUST) har särskilda kunskaper om och tillgång till unik information på informationssäkerhetsområdet. Flera myndigheter är verksamma inom informationssäkerhets- området med stöd av även andra författningar än säkerhetsskydds- lagen. Särskilt kan nämnas Myndigheten för samhällsskydd och beredskap som har i uppdrag att stödja och samordna arbetet med samhällets informationssäkerhet. Myndigheten ska svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera it-incidenter. Myndigheten beslutar också om vissa andra myndigheters och företags tillgång till säkra kryptografiska funktioner. 9.3.2Avreglering och konkurrensutsättning av samhällsviktig verksamhet Avregleringarna , då bl.a. el- och telekommunikations- marknaderna avreglerades, ledde till förändrade ansvarsförhållan- den för flera samhällsviktiga verksamheter. Avregleringen hade inte hunnit få något större genomslag när säkerhetsskyddslagstift- ningen utformades. finns en övervägande del av de verksam- heter som är viktiga för det svenska samhällets funktionalitet inte under direkt statligt inflytande. Verksamheten drivs och förvaltas i stället av privata företag. Även utländskt ägande eller inflytande är en realitet inom samhällsviktiga verksamheter. För de före- tag som driver och förvaltar verksamheter som är viktiga för samhällets funktionalitet finns prioriteringar som t.ex. ägarstyr- ning, vinstintressen och kostnadsbesparingar som kan komma att stå i motsats till säkerhetsarbete. Sådana prioriteringar kan hämma eller rent av motverka det interna säkerhetsskyddsarbetet. Av effektivitetsskäl och ekonomiska skäl väljer eller åtminstone överväger många verksamheter åtgärder som outsourcing och offshoring när det gäller utveckling eller hantering av säkerhets- känsliga it-system. Outsourcing, eller utkontraktering av tjänster, är när en extern aktör utför utvecklings-, underhålls- eller driftsarbete av system. Outsourcing kan ofta innebära att flera kunders system och infor- mation blandas samman i fysiska datasystem vilket innebär att olika kunders data kan hamna i samma lagringsmiljöer, routrar och brandväggar. Av kostnadsskäl väljer leverantören inte sällan lös- Hoten och de huvudsakliga förändringsfaktorerna ningar som leder till att system förs samman och virtualiseras. Det innebär att en kunds externa webbserver kan placeras på samma server som en annan kunds interna databasserver vilket kan med- föra en ökad risk då en störning i ett kundsystem kan orsaka störningar även i andra kunders system. Vilka rättigheter persona- len har att komma åt kunders information, hur stor omsättning leverantören har på sin personal och i vilken utsträckning man använder sig av konsulter är frågor som kunden, dvs. myndigheten eller företaget inte har någon insyn i eller kontroll över när det gäller outsourcing. Som nämnts inledningsvis i detta kapitel kan outsourcing, när en stor mängd information från olika myndigheter och företag hamnar hos en enda leverantör, riskera att bli en central punkt för t.ex. andra länders underrättelseinhämtning. Offshoring är när outsourcing sker till en aktör i ett annat land. För svenska myndigheter innebär offshoring att svenska staten riskerar en sämre kontroll över samhällsviktiga system eftersom möjligheterna att säkerhetspröva personal och utnyttja svenska kontrollinstrument är mycket begränsade när verksamheten bedrivs i utlandet. Det är dessutom svårare för svenska myndig- heter att bedöma hoten i de länder till vilka man har utkontrakterat verksamhet. Om det internationella säkerhetsläget förändras, vilket kan gå snabbt, saknas i värsta fall såväl kompetens som kapacitet och tid för att kunna flytta hem verksamheten till . I takt med avregleringar och konkurrensutsättningar av offentlig verksamhet har det område inom vilket säkerhetsskyddsregelverket inte är tillämpbart kommit att öka alltmer. Globaliseringen och det ökade internationella samarbetet har med- fört att gränserna för vad som är att hänföra till rikets inre respek- tive rikets yttre säkerhet har ändrats, liksom att begreppet nationell säkerhet har utvidgats. Vidare deltar i stor omfattning i internationella samarbeten för fred och säkerhet där känsliga upp- gifter utbyts mellan länder och mellanfolkliga organisationer. Hoten och de huvudsakliga förändringsfaktorerna Effekten av globaliseringen avspeglas också på hotsidan. Dagens hot är gränsöverskridande och uppvisar en stor komplexitet genom att angreppen utförs genom medverkan från aktörer i olika länder. En annan effekt av internationaliseringen är den reglering som utarbetas inom främst EU och som aktivt medverkar till att utforma och som syftar till att motverka allvarliga hot och risker inom olika sektorer. En ökad internationell samverkan Sambandet mellan skyddet av säkerhet och skyddet av säkerhetsintressen hänförliga till andra stater och mellanfolkliga organisationer har förstärkts sedan säkerhetsskyddslagen infördes. Det är i förhållande till säkerhetsintressen i omvärlden svårare att dra en gräns för vad som utgör svenska säkerhetsintressen.