sou · H3B323 · 2015-03-10 00:00:00 — Det är marknaden som står för utbyggnaden, men i områden där marknaden inte ser det vara lönsamt att bygga ut finns det behov av riktade insatser som sker med hjälp av stöd. Enligt Post- och () bredbandskartläggning hade av alla hushåll och företag tillgång till /s. Fördelningen skiljer sig dock inom och utanför tätort och småort. Enligt samma kartläggning har av alla fasta hushåll och företag tillgång till mobilt bredband via LTE (4G). Bredbandsforum är en viktig del av nämnd strategi. Forumet främjar samverkan kring bredbandsutbyggnad. Företag, myndig- heter och organisationer möts i Bredbandsforum för att tillsam- mans hitta lösningar som ökar tillgången till bredband i hela landet. Bredbandsforum leds av en styrgrupp med ansvarig minister som ordförande. Bredbandsforums löpande verksamhet drivs av ett kansli som är placerat vid PTS och mandatet gäller . 4.3.4Nationell eHälsa – strategin för tillgänglig och säker information inom vård och omsorg E-hälsa är det sammantagna begreppet för digitala tjänster som stödjer utvecklingen inom vården och omsorgen. När informa- tionen är enhetlig och strukturerad på ett bra sätt går det lättare att dela den och att jämföra och följa upp vårdinsatser. finns en nationell strategi för e-hälsa som leds av regeringen i samarbete med , Kommuner och Landsting, Vårdföretagarna, (för vård och omsorg) och . För att e-hälsotjänster ska bli effektiva verktyg i syfte att utveckla och effektivisera vården och omsorgen måste det finnas en samsyn och samordning mellan olika aktörer, och den nationella e-hälsostrategin är ett uttryck för denna samsyn mellan de centrala aktörerna på nationell nivå. För att hålla samman genomförandet av strategin finns en högnivågrupp där stat, huvudmän och utförare av vård och omsorg finns representerade. Högnivågruppen fokuserar på strategiska frågeställningar och vägval med koppling till den nationella e-hälso- strategin och fungerar som ett organ för gemensamt ställnings- tagande för inriktningen av det fortsatta arbetet. I detta sammanhang kan nämnas utred- ningsuppdrag (dir. 2013:125) att se över ändamålsenlighet och ansvarsfördelning när det gäller tillhandahållande och utformning av it-stöd för personal, vård- och omsorgsgivare och andra aktörer inom hälso- och sjukvård och . Uppdraget ska slutredovisas i ett betänkande . 4.4Hot och risker i en digitaliserad värld Utvecklingen inom informations- och kommunikationsteknik området har skapat nya möjligheter för både medborgare, näringsliv och offentlig sektor. Tillgång till information, oavsett var man befinner sig och oavsett tid , har ökat markant och har bidragit till ökad effektivitet och nytta inom många områden. Myntets baksida är dock att den förändrade kom- munikationsinfrastrukturen och sammankopplingen av informa- tionssystem medfört nya och förändrade typer av hot och risker. Genom informationssystemens ömsesidiga beroenden och deras ökade funktionalitet har det även introducerats sårbarheter och öppnats för hot som delvis inte funnits tidigare. Informa- tionssystemens komplexitet innehåller sårbarheter bl.a. genom att de kan vara svåra att underhålla i den takt som krävs och som till- sammans med brister eller sårbarheter i kommunikationsinfra- strukturen kan skapa möjlighet för obehöriga att få åtkomst till informationssystemen. Olika verksamheters beroende av it-system innebär även att de blir sårbara för handhavandefel, tekniska fel och olyckor. Många av samhällets tjänster bygger på och är beroende av in- formations- och kommunikationsteknik vilket bl.a. innebär att det är frivilligt för medborgarna om man vill använda tekniken eller inte. Det är snarare ett krav. För myndigheter och näringsliv är beroendet av tekniken ofta så stort att verksamheten riskerar att allvarligt störas eller stoppas om tillgång till vissa stöd- system saknas. I princip alla, både privatpersoner, näringsliv och offentlig verk- samhet, som är anslutna mot internet tar en risk och är utsatta för risker eftersom det ständigt pågår angreppsförsök mot internetanslutna system. Denna typ av massangrepp är ofta mer eller mindre slumpartade. Exempel på detta är den stora ökningen av bedrägerier och identitetsstölder som sker via internet mot i första hand privatpersoner. Andra typer av elektroniska angrepp är riktade mot viss verksamhet eller kategori av användare och kan vara av olika allvarlighetsgrad. En förändring är att system för industriella informations- och styrsystem, så kallade SCADA system (supervisory control and data acquisition), tidigare var leverantörsunika system som var isolerade från omvärlden. Dessa system blir alltmer indirekt eller direkt anslutna mot globala nät- verk vilket innebär att de kan bli utsatta för angrepp, se avsnitt 4.4.3. Här har sektorsansvariga myndigheter en viktig roll att fylla när det gäller statens möjlighet att påverka informationssäkerhets- arbetet inom respektive sektor. Organisatoriska frågor påverkar också utvecklingen inom informationssäkerhetsområdet. tog varje verksamhet själv hand om sina system för exempelvis löner, lagerhållning och faktu- rering. lägger allt fler ut sådana funktioner på externa leve- rantörer. innebär utvecklingen med outsourcing också en koncentration av it-hanteringen som medför att konsekvenserna av såväl attacker som icke-antagonistiska driftavbrott blir svåröver- skådliga. Att skydda sig mot it-incidenter är svårt. Den som ansvarar för ett it-system måste, trots att en stor mängd attacker kan avvärjas, utgå från att angrepp faktiskt lyckas. För att en angripare ska få ett fotfäste i ett nätverk som inte är ordentligt konfigurerat, krävs inte mer än att en användare öppnar en olämplig e-postbilaga eller webblänk. Därefter kan angriparen ta sig vidare i nätverket och etablera sig långvarigt. Försvarsberedningen gör i promemorian Vägval i en globaliaserad värld (Ds 2013:33 s. 36–37) bedömningen att sårbarheterna som uppstår i dagens globala it-system utgör en av våra mest komplexa frågor. I promemorian utvecklas hoten och riskerna enligt följande. Internet används för både civila och militära ändamål. Handel, teknik- överföring, nätsäkerhet, samhällsviktig verksamhet och olika former av it-brottslighet har kopplingar till säkerhets- och försvarspolitiska överväganden. riskerar vissa staters ökade krav på säkerhets- åtgärder i den digitala världen att leda till inskränkningar av mänskliga rättigheter och minskade informationsflöden, med stora politiska, sociala och ekonomiska konsekvenser som följd. Hot- och riskskalan inom dagens informationsteknologi spänner från mindre omfattande risker för den enskilde medborgaren, till väl planerade och med pre- cision riktade s.k. cyberattacker mot vitala delar i samhällets funk- tionalitet. En it-incident är inte nödvändigtvis en antagonistisk vilje- yttring. Mer vanligt är olika former av driftrelaterade problem. En it- incident skulle dock kunna påverka funktionaliteten i ett samhälle utan att en stats suveränitet utmanas. Mer allvarliga intrång i samhällsviktig verksamhet och kritisk infrastruktur är de som syftar till att störa funktionaliteten, förändra, stjäla, eller manipulera information eller helt ta över ett informationssystem. En växande sårbarhet är samman- kopplingen via internet mellan olika typer av industriella styr- och kontrollsystem. Olika typer av störningar eller antagonistiska hot där styr- och kontrollsystem tas över av tredje part kan potentiellt hota både ett lands samhällsviktiga funktioner och ytterst dess suveränitet. Utredningens bild av situationen inom informations- och cybersäker- hetsområdet överensstämmer med Försvarsberedningens beskrivning och vi anser att det är viktigt att ha en sådan helhetssyn när frågor om informationssäkerhet behandlas. Rapporten – trender 2015 utgör tillsammans med den bild som förmedlats av utredningens referensgrupp det huvudsakliga underlaget för vår redogörelse. I nämnd rapport lämnar Myndigheten för samhällsskydd och beredskap (MSB) tillsammans med , Polis- myndigheten och Försvarsmakten en samlad bild av situationen på in- formations- och cybersäkerhetsområdet. De deltagande myndig- heterna har identifierat sju trender dvs. stabila, långsiktiga förändringar på informationssäkerhetsområdet som bedöms påverka samhället i någon form. Inom vart och ett av områdena har tre huvudpunkter tagits upp vilka tillsammans ger en övergripande bild av situationen. Följande trendområden anges: 1.Strategiska beslut om informationssäkerhet tas alltid i en kon- text där säkerhet vägs mot andra värden. 2.It-tjänster i moderna verksamheter är ofta komplexa och ut- spridda både fysiskt och organisatoriskt. 3.Allt mer information om oss själva och om våra tekniska lös- ningar blir allmänt tillgänglig. 4.Informationssäkerhet har fått en växande säkerhets- politisk dimension. 5.I det moderna samhället har så gott som all brottslighet en it- koppling. 6.Det sker en ständig kapplöpning mellan angripare och för- svarare. 7.När samhället blir allt mer beroende av tekniska system måste dessa vara robusta. Närmast utvecklas beskrivningen av den informationsrelaterade hotbilden. Beskrivningen tar upp hotens karaktär och ursprung samt dess möjliga konsekvenser för informationssäkerheten. Många it-incidenter och störningar i informationssystem har icke- antagonistiska orsaker. En inte ovanlig anledning till sådana it- incidenter är fel i programvara eller hårdvara. Störningar i stöd- system som t.ex. elförsörjning och kommunikation genom väder- förhållanden och avgrävda kablar är också välkända orsaker till it- incidenter. PTS tar fram en risk- och sårbarhetsanalys (RSA) för sektorn elektronisk kommunikation. Analysen innehåller bedöm- ningar av hot som kan påverka elektroniska kommunikationer och de samhälleliga konsekvenserna av sådana hot. I RSA:n behandlas fem kategorier av hot: För det första handlar det om tekniska fel och brister och bland dessa omnämns sex olika situationer: bortfall av tillgångar orsakade av hårdvarufel, kortvarig störning i elförsörjning med efterföljande fel i befintlig reservkraftsförsörjning, fel i programvara som styr tillgångar, oavsiktliga överbelastningar av tillgångar och förbindel- ser, överbelastning av mobila kommunikationsnät och förlust av förmåga att övervaka och styra informationstillgångar och nät- funktioner. För det andra nämns naturligt förekommande hot, såsom klimatologiska fenomen, seismiska fenomen, vulkaniska fenomen, stormar, isstormar, snöstormar, värmeböljor och översvämning. Den tredje hotkategorin utgörs av fysiska skador, med vilket menas vattenskador, damm, korrosion, förfrysning, avgrävning av förbindelser, föroreningar och andra händelser som förhindrar åtkomst till tillgångar. Den fjärde formen av icke-antagonistiska hot handlar om olika former av fel eller brister i kritiska resurser och funktioner. Följande exempel tas upp: avbrott i elförsörjningen längre än befintliga reservkraftsystem, otillgänglighet av personal, frånkoppling i elbristsituationer, förlust av luftkonditionering eller kylning, fel i användning av tillgångar, brister eller fel i funktioner för felavhjälpning, brister i förebyggande arbete, bristfälliga rutiner vid uppgradering av mjukvara och förekomst av brister i lednings- funktioner. Den femte kategorin utgörs av elektromagnetiska och termiska hot i form av åska, rymdväder och termisk strålning. PTS har konstaterat att de hot som 2012 gav upphov till flest antal allvarliga störningar var av icke-antagonistisk art, nämligen fel vid uppgradering av programvara, elavbrott, avgrävning av kabel, hårdvarufel och överbelastning. Av de riskbedömningar som PTS redovisar i risk- och sårbar- hetsanalysen följer att fel vid uppgradering av programvara kan anses vara en betydande risk då sådana fel kan leda till avbrott på nationell nivå. Ytterligare exempel på hot som PTS ser som allvarliga är elavbrott, stormar och andra väderfenomen som leder till omfattande elavbrott samt tillhörande problem i återställningsarbete. Hårdvarufel och överbelastningar av tekniska system är andra exempel på hot som bedöms kunna få negativ samhällelig påverkan. Vårt ökade beroende av fungerande teknik medför att konsekvenserna av driftavbrott blir allt större och mer oöverskådliga. Tieto-haveriet förblir ett exempel på hur centraliserad drift under olyckliga omständigheter plötsligt leder till oväntade och svårförutsägbara problem för stora och till synes orelaterade delar av samhället. Ovan refererad trendrapport från MSB m.fl. myndigheter påpekar att det är lätt att underskatta icke-antagonistiska hot som beror på våra egna tillkortakommanden såsom kortsiktighet eller slarv. Det anges att buggar i program- och hårdvara, kvalitetsbrister i programvaruutveckling och avsaknad av eller slarv i rutiner vid mjukvaruuppdateringar kan skapa stora problem. Vidare påtalas att ett problem med att ägna för lite uppmärksamhet åt vanliga driftavbrott är att det dessutom kan öppna för antagonistiska angrepp. I rapporten ges som exempel att en kvalificerad motståndare som vill angripa ett ledningssystem kan tänkas maskera sina angrepp som oregelbundet återkommande driftavbrott. När det gäller antagonistiska hot och förutsättningarna att verk- ställa dessa så har det skett stora förändringar. , då många verksamheter byggde på hantering och mer eller mindre isolerade it-system, var en antagonist tvungen att exponera sig i något läge av ett angrepp mot en verksamhet och dess information. Angrepp på distans var omöjligt eller mycket ovanligt. är de flesta verksamheter direkt eller indirekt anslutna till internet eller andra globala nätverk vilket kan möjliggöra för en antagonist att angripa en verksamhet utan någon fysisk närvaro eller exponering. En försvårande faktor är att angreppen i princip kan utföras från vilken plats som helst i världen vilket tillsammans med anonymise- ringstjänster och jurisdiktionsfrågor gör det svårt att spåra och lagföra en angripare. Denna ”anonymitet”, verklig eller upplevd, gör sannolikt att vissa aktörer som aldrig skulle utföra ett rent fysiskt angrepp mot en verksamhet inte drar sig för att genomföra ett elektroniskt angrepp. Statsunderstödd olovlig underrättelse- inhämtning har också i och med detta fått en ny arena att operera från. När det handlar om de mest kvalificerade hoten rör det sig huvudsakligen om angrepp från stater och statsunderstödda aktö- rer. Dessa är målinriktade och uthålliga och har stora resurser och hög kompetens. Syften för de statsunderstödda aktörerna är poli- tiska, militära och industrispionage. Andra allvarliga syften kan dock inte uteslutas. Det kan röra sig om förberedelser för att kunna skada svensk kritisk infrastruktur i ett framtida scenario. Det kan handla om politisk utpressning eller ske i samband med militär konflikt. Det politiska spionaget påverkar vår förmåga att bedriva en självständig försvars-, säkerhets- och utrikespolitik. Industri- spionaget leder till att svensk kunskap och innovation stjäls samt att svenska företag inte kan konkurrera på lika villkor vid exem- pelvis upphandlingar. Hotutövare finns på alla nivåer. Det kan vara allt från personer som utan egentligt brottsligt uppsåt testar sina kunskaper genom att olovligen försöka ta sig in i informationssystem, till stats- understödd olovlig underrättelseinhämtning. Det kan även förekomma kombinationer av dessa. Ytterligare en dimension av antagonistiska hot är då angrepp mot informationssystem sker som ett led i en militär operation för att störa ut och påverka lednings- system eller andra system för att vinna militärtaktiska fördelar. Spektrumet av aktörer är således brett och omfattar inte enbart stater och säkerhetstjänster med stora resurser utan även enskilda, fristående hackargrupperingar, religiöst-nationellt-etniskt-ideolo- giskt drivna aktivister till kriminella organisationer. Till detta till- kommer cyberspionage och grupperingar som tar betalt för att utföra skadlig verksamhet på nätet. Programvara särskilt utvecklad för it-angrepp av olika slag blir allt lättare att få tag på. Att genomföra ett angrepp kräver i och med detta inte längre någon stor kompetens och tröskeln för angrepp sänks. Det finns en relativt osofistikerad kategori aktörer, vars ageranden ofta är enkla att spåra på internet. Det är personer som har laddat ned information och programvara från nätet om hur man kan gå till väga för att kompromettera konton och filer eller att initiera attacker mot datorsystem. Deras metoder går ut på att skanna av nätet och försöka finna sårbarheter varhelst de uppstår och därefter utnyttja dessa. Andra angrepp utgår från ett ideologiskt eller politiskt betingat motiv och tar sig uttryck i överbelastningsattacker (DDos), lösen- ordsstöld, intrång i system och manipulering av hemsidor (Web Defacement). Detta kan vara ett störande inslag mot informations- system men kan inte sägas utgöra ett samhällsfarligt hot såtillvida de inte lierar sig med andra aktörer med andra syften. Det förekommer också att en tredje part används som ombud. Det kan vara enskilda hackare eller grupper av sådana med mycket god kompetens. Bakom sådana aktörer kan främmande säkerhets- tjänster stå. Poängen med att använda en tredje part är att såväl anstiftare som motiv och intention bakom en operation kan hållas dolda. Förfarandet är intressant även för enskilda individer och företag som via ombud exempelvis kan stjäla känslig och samhälls- viktig information. Det är också möjligt att misskreditera specifika organisationer och personer genom att plantera illvilliga uppgifter riktat mot dessa. Ett antagonistiskt hot som ofta förbises är det s.k. ”insider- hotet” som innebär att någon som deltar i verksamhetens bedri- vande eller av annan anledning har behörighet till verksamhetens lokaler eller informationstillgångar missbrukar detta. Insiders är således inte bara de som är anställda i verksamheten. har ofta brottslighet en it-koppling. Mest uppenbart är det naturligtvis för brott som till sin natur kräver modern teknik, som datorbedrägeri och dataintrång. Men det moderna samhällets kom- munikationsvägar är sådana att även brott som häleri, bidragsfusk, kreditkortsbedrägerier och bluffakturor nästan per definition har stora elektroniska inslag. Ofta handlar det alltså om gamla brott i ny skepnad. Kriminellas aktiviteter riktas mot individer, organisa- tioner och finansiella institutioner. Internet har skapat en brotts- arena vars gränser inte sätts av vare sig geografi, nationell härkomst eller nationella lagar. Det förekommer bl.a. en kriminell internet- baserad tjänstesektor, ”crime-as-a-service”. Ett exempel är webb- hotell som ger kriminella personer säkerhet, driftsäkerhet och anonymitet. Ett annat exempel på it-brottslighet är användande av skadlig kod som installeras på offrets dator som sedan gör det möjligt för gärningsmannen att kryptera datorn alternativt delar av materialet i datorn. Gärningsmannen kräver sen målsäganden på pengar för att denne ska återfå kontrollen över datorn alternativt det material som har krypterats. Ett annat brott som har vuxit är identitetstölder. När en identitet har kapats kan förövaren snabbt ta lån och handla varor på internet. Utredningen utgår från att i stort sett alla terroriströrelser – oavsett situation, geografisk plats och motiv – använder internet för att söka information, koordinera resurser och genomföra operationer av diverse slag. Denna typ av antagonister drar fördel av samhällets stora beroende av it-system. Olika slag av inbyggda sårbarheter i systemen utgör lockande mål för attacker. Internet utgör dock inte ett mål i sig självt, däremot kan kontroll och led- ningsfunktioner i viktig infrastruktur, de så kallade systemen för industriella informations- och styrsystem, vara målobjekt om de har direkt eller indirekt koppling mot internet. I tider av kris och konflikt mellan länder utgör angrepp mot kritiska informations- infrastrukturer det kanske allvarligaste hotet då effekter för samhället av kvalificerade angrepp blir avsevärda. Risken finns att stora delar av samhället skulle kunna lamslås. För att skydda eller angripa såväl samhällsviktiga system som militära och säkerhetsmässiga strukturer inrättar många högtekno- logiska nationer särskilda informationskrigsförband. heter hanterar hela spektrumet av operationer på internet och i de globala nätverken för verkan och skydd. Verksamheten omfattar aktiva skyddsåtgärder såsom hantering av incidenter i egna system, avlyssning av information respektive störning och förstöring av motståndares informations- och kommunikationssystem liksom vilseledning och psykologisk påverkan. 4.4.3Särskilt om hot mot industriella informations- och styrsystem m.m. Samhällsviktig verksamhet som t.ex. att producera och distribuera elektricitet, att leverera rent dricksvatten till kranen, att framställa for- donsbränsle och att styra kollektivtrafiken är några exempel på verksamheter som blivit beroende av att datorer fungerar. nämnda industriella informations- och styrsystem används inom dessa verksamheter. Regeringen angav i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 104) att det är angeläget att samhällsviktiga system har en hög säkerhetsnivå och att insatserna för informationssäkerheten ökas. I den digitala agendan It i människans tjänst – en digital agenda för (s. 40) nämnder regeringen också behovet av att arbeta vidare med säkerheten i informations- och styrsystem i samhällsviktig verksamhet. När det gäller industriella informations- och styrsystem så kan information bestå av styrsignaler som reglerar spänningsnivåer i stora transformatorstationer, eller datorer som skickar instruktioner till dammluckor. Felaktiga eller uteblivna signaler kan i värsta fall leda till dödsfall eller fysisk förstörelse. Till skillnad från information som hanteras på kontor och som bearbetas av människor så arbetar de industriella informations- och styrsystemen ofta autonomt. En operatör talar om för systemet vad det ska uppnå, men systemet får sedan, med hjälp av avancerad matematik, räkna ut exakt hur detta ska realiseras. Styrsystemen förväntas ofta vara i drift dygnet runt utan avbrott. Myndigheten för samhällsskydd och beredskap tog 2013 fram dokumentet Handlingsplan för samhällsviktig verksamhet. I handlingsplanen pekas elva sektorer ut som särskilt viktiga. Fyra av dessa elva sektorer är mycket beroende av industriella informa- tions- och styrsystem. Dessa sektorer är energiförsörjning (exem- pelvis produktion och distribution av elektricitet, fjärrvärme och bränslen samt hantering av avfall), handel och industri (exempelvis produktion av farliga ämnen), kommunalteknisk försörjning (exempelvis vatten- och avloppsproduktion) samt transporter (exempelvis spårbunden trafik, vägtrafik, sjöfart och hamnar, flygtrafik och flygledning, kollektivtrafik). Även handlingsplanen för samhällets informationssäkerhet lyfter fram industriella in- formations- och styrsystem som ett centralt område att höja in- formationssäkerheten inom (se avsnitt 7.3.2) Störningar i någon av nämnda verksamheter kan leda till stora påfrestningar i samhället. I och med att dessa verksamheter har ett starkt inbyggt beroende av industriella informations- och styr- system som ofta saknar tillräckligt it-skydd är detta allvarligt. Det är också viktigt att tänka på att störningar i en samhällssektor ofta påverkar andra delar av samhället. Om en region till exempel blir utan elektricitet leder det i förlängningen till att dricksvattenför- sörjning och transporter påverkas. Industriella informations- och styrsystem återfinns också i system utanför nämnda fyra samhällssektorer. Fastighetsautoma- tion är ett exempel på tillämpningar som har utsatts för angrepp. Exempelvis har angripare kunnat stänga av värmen i fastigheter som haft sina system åtkomliga från internet. Även om den typen av attacker kan tyckas harmlösa är det allvarligt att styr- system är så lättåtkomliga.