sou · H4B341 · 2016-06-07 00:00:00 — På telekomområdet ställs krav på säkerhetsåtgärder enligt 6 kap. 3 § lagen (2003:389) om elektronisk kommunikation för att säker- ställa att uppgifter som behandlas i samband med tillhandhållande av en allmänt tillgänglig elektronisk kommunikationstjänst. Motsva- rande krav ställs även på den som tillhandahåller ett allmänt kommu- nikationsnät. I den ovannämnda ingår ett kapitel om den rättsliga regleringen på informationssäkerhetsområdet. Utredningen delar upp regleringen i; övergripande lagstiftning med relevans för informationssäkerhetsområdet, reglering av säkerhetsskydd, krisbe- redskap och informationssäkerhetsarbete, specifik reglering av brottsbekämpande och underrättelsemyndigheters arbete på områ- det samt nämner slutligen . I den övergripande lagstiftningen inbegrips tryckfrihetsförord- ningen och offentlighets- och sekretesslagen (2009:400). Hante- ringen av allmänna handlingar ställer krav på informationssäkerhe- tens samtliga aspekter (konfidentialitet, riktighet, tillgänglighet och spårbarhet). Även personuppgiftslagen, registerförfattningar, arkiv- lagen och lagen om elektronisk kommunikation hör till denna kate- gori. Reglering av säkerhetsskydd, krisberedskap och informationssä- kerhet finns i säkerhetsskyddslagen (1996:627), som innehåller be- stämmelser angående skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. Säkerhetsskyddet ska även förebygga terrorism. Säkerhetsskyddet har ett avgränsat syfte och ställer även krav på specifika informationssäkerhetsåtgärder som beskrivs i reg- leringen. Förordningen (2015:1052) om krisberedskap och bevak- ningsansvariga myndigheters åtgärder vid höjd beredskap reglerar statliga myndigheters arbete med krisberedskap och ansluter också till vad som föreskrivs i lagen (1992:1403) om totalförsvar och höjd beredskap i fråga om civil verksamhet. I förordningen (2016:1053) om totalförsvar och höjd beredskap finns bestämmelser om myndig- heters ansvar att i sin verksamhet beakta och planera för totalförsva- rets krav. Enligt 19 § förordningen om krisberedskap och bevak- ningsansvariga myndigheters åtgärder vid höjd beredskap ska varje myndighet omge sin informationshantering med lämpligt skydd så att myndigheten kan utföra sin verksamhet på ett tillfredsställande sätt. Myndigheten för samhällsskydd och beredskap har regeringens uppdrag att stödja och samordna arbetet med samhällets informa- tionssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. Myndigheten har föreskriftsrätt inom informations- Myndigheten har utfärdat föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). Myndigheten har även utfärdat föreskrifter gällande kryptoberedskap (MSBFS 2009:11), obligatorisk it-incidentrapportering (MSBFS 2016:2) och krav på risk- och sårbarhetsanalyser i statliga myndigheter (MSBFS 2015:3) samt landsting (MSBFS 2015:4) och kommuner (MSBFS 2015:5). Ett antal av ovanstående regelverk gäller även för den privata sek- torn där även annan reglering med krav på informationssäkerhet till- kommer som exempelvis i bokföringslagen (1999:1078). Utöver detta finns indirekta krav på informationssäkerhetsåtgär- der i syfte att skydda hanteringen av personuppgifter i annan lagstift- ning som kommer behandlas under andra kapitel i utredningen. Krav kan även finnas i branschregelverk och andra typer av självreglerande överenskommelser i olika branscher. 22.4Lägesbild över informationssäkerheten i En väl fungerande informationssäkerhet är en viktig grund för ett väl fungerande integritetsskydd. En bedömning av nivån på informa- tionssäkerheten i svenska offentliga och privata organisationer är därför intressant, eftersom den kan ge en uppfattning om vilka möj- ligheter organisationerna har att skydda de personuppgifter som de hanterar. För att ge en bild av informationssäkerhetsläget behövs tre hu- vudsakliga komponenter; inventering av skyddsvärda informations- tillgångar (till exempel databaser med personuppgifter), bedömning av risker och beskrivning av nivån på vidtagna skyddsåtgärder. För svenska förhållanden finns ingen sammanställd lägesbild av informa- tionssäkerheten. Uppgifter får därför hämtas från flera källor. När det gäller hot och risker gör myndigheter med särskilt ansvar för informationssäkerhet, som Myndigheten för samhällsskydd och beredskap, Polisen och Försvarsmakten, en löpande rapportering till regeringen. I sin roll som samordnande ska Myndigheten för sam- hällsskydd och beredskap rapportera till regeringen om förhållanden på informationssäkerhetsområdet som kan leda till behov av åtgär- der inom olika nivåer och områden i samhället. Myndigheten ska även lämna en rapport till regeringen med en sammanställ- ning av de it-incidenter som rapporterats in enligt 20 § förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Även Post- och årliga risk- och sårbarhetsanalys över sitt ansvarsområde ger viktigt underlag för be- dömningen av hot och risker.3 Flera av dessa myndigheter går också samman och publicerar trendrapporter över den aktuella situationen.4 Ytterligare en rapport har tagits fram av Myndighetens för samhällsskydd och beredskap för att samla erfarenheter från ett antal större it-incidenter.5 Det finns ingen publikation som ger en samlad bild av hoten mot svensk informationsbehandling. Viss information finns att hämta i den eu- ropeiska informationssäkerhetsmyndighetens rapport cape 2015.6 Rapporten är främst inriktad på antagonistiska hot där bedömningen är att hoten har blivit allt allvarligare. Till detta kom- mer sådana risker som inte uppstår ur antagonistiska hot, som t.ex. hård- och mjukvarufel och bristande rutiner för exempelvis åtkomst- och behörighetshantering. Det finns ett antal rapporter som kan ge en uppfattning om hur väl utvecklat det informationssäkerhetsarbete är som syftar till att reducera hot och risker. Framför allt är det offentliga verksamheter som har blivit granskade, medan underlaget för den privata sektorn är betydligt mer begränsat. De statliga myndigheternas informationssäkerhet har granskats i två relativt aktuella rapporter, från respektive Myn- digheten för samhällsskydd och beredskap.7 Rapporterna visar att det finns ett antal brister både i statens styrning av informationssä- kerhetsarbetet och hur de enskilda myndigheterna de facto bedriver detta arbete. Sammanfattande observationer i granskning är att: •Regeringen inte utövar en effektiv styrning av informationssäker- heten i den civila statsförvaltningen 3 2015-års risk- och sårbarhetsanalys för PTS och dess ansvarsområden, PTS dnr 15-4951. 4 Informationssäkerhet – trender 2015, publiceringsnummer MSB 799. 5 It- och informationssäkerhet i Erfarenheter och reflektioner från några större it-in- cidenter –2014, Publikationsnummer MSB721. 7 RiR 2014:23 Informationssäkerheten i den civila statsförvaltningen och En bild av myndig- heternas informationssäkerhetsarbete 2014, Publikationsnummer MSB740. •Regeringens stöd- och tillsynsmyndigheter endast delvis har vid- tagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken om- fattning de realiseras och vilka skyddsåtgärder som vidtas. Avsaknaden av lägesbild är som framgår en av de brister som Riksre- visionen betonar i sin granskningsrapport. Av rapporten från Myndighetens för samhällsskydd och bered- skap framgår att många myndigheter saknar väsentliga förutsätt- ningar för ett systematiskt informationssäkerhetsarbete trots att myndighetens föreskrifter trädde i kraft . genomförde myndigheten en liknande undersökning hos de svenska kommunerna. Resultatet av denna blev sämre än för de statliga myn- digheterna på flera punkter.8 Myndigheten för samhällsskydd och beredskap har också reger- ingens uppdrag att i samverkan med berörda aktörer redovisa en na- tionell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder avseende krisberedskapen. I bedömningen ska även informationssäkerhet beaktas. Myndigheten gjorde bedömningen att risker gällande informationssäker- het i otillräcklig utsträckning identifieras och analyseras En slutsats är att hot relaterade till informationssäkerhet kan sä- gas vara i ständig tillväxt medan verksamheternas skydd av den infor- mation de hanterar inte utvecklas i samma takt – i vart fall inte inom den offentliga förvaltningen, som är den sektor som varit föremål för djupare granskning. Rapporterna över svenska förhållanden visar på en bristande nationell styrning och att de myndigheter som har till uppgift att ge stöd till andra organisationer inte löst uppdraget på ett tillfredsställande sätt. 22.5.1Relationen mellan informationssäkerhet och integritet Sambandet mellan informationssäkerhet och integritet är flerdimen- sionellt. Målet med informationssäkerhet är att skapa och upprätt- hålla konfidentialitet, riktighet, tillgänglighet och spårbarhet för in- 8 En bild av kommunernas informationssäkerhetsarbete 2015, Publikationsnummer MSB943. formationen vilket inkluderar att skydda människors personliga integritet. kan vi konstatera att åtgärder som vidtas för att förbättra informationssäkerheten också kan motverka integritetsin- tresset. Ett exempel på detta är tekniska övervakningsfunktioner. Det systematiska informationssäkerhetsarbetet är riskbaserat och bygger, som beskrivits ovan, på analyser av risker som kan iden- tifieras beträffande informationshanteringen i en verksamhet. En hypotetisk situation kan illustrera sambandet mellan informations- säkerhet och integritet. Myndigheten A ska utveckla en tjänst där medborgare via ett webbgränssnitt ska rapportera in uppgifter om sina personliga för- hållanden för att en ersättning ska betalas ut. Vid den riskanalys och informationsklassning som genomförs initialt i utvecklingsprojektet identifieras ett antal risker som kan uppstå och som kan påverka den enskildes integritet, som till exempel: ––Uppgifterna som lämnas är inte aktuella vilket kan leda till att meddelanden skickas till fel adress (riktighet, konfidentialitet) ––Mer information hämtas in än vad som är nödvändigt i förhål- lande till det syfte som är formulerat för tjänsten (riktighet) ––Fler handläggare än vad som är nödvändigt för att lösa specifice- rade arbetsuppgifter har åtkomst till uppgifterna (tillgänglighet) ––Det är inte möjligt att i efterhand kontrollera vilka handläggare som varit inne i tjänsten och tagit del av uppgifterna kring en viss person (spårbarhet). ––Systemet dit uppgifterna ska lämnas är underdimensionerat och blir otillgängligt (tillgänglighet) ––En grupp hackare tar sig in och får åtkomst till informationen för att sälja den vidare (konfidentialitet) De risker som identifierats och värderats kan därefter reduceras med organisatoriska och tekniska åtgärder. Personuppgiftslagen är til - lämplig eller kan vara tillämplig vid samtliga ovan nämnda exempel. Det systematiska informationssäkerhetsarbetet erbjuder alltså både verktyg för att identifiera och analysera risker och för att vidta olika typer av skyddsåtgärder, i syfte att reducera riskerna för den personliga integriteten. Till riskerna hör att personuppgifter används i annat syfte än de inhämtats för, att samtycke inte inhämtas för en viss behandling av personuppgifter eller att behandlingen av person- uppgifter inte görs på ett sådant sätt att den önskade transparensen uppstår. Till de skyddande åtgärderna hör det som brukar betecknas som Privacy enhancing technologies (PET) som syftar till att redu- cera risker för den personliga integriteten i it-miljöer.9 Det kan till exempel handla om åtgärder för att minimera inhämtandet av per- sonuppgifter eller möjligheter för pseudonymisering.10 Insatserna för att utveckla och förvalta en god informationssäker- het respektive skydda den personliga integriteten överlappar varan- dra. I vissa fall kan det ligga en intressekonflikt mellan å ena sidan informationssäkerhetsarbetet och å andra sidan den personliga inte- griteten som exempelvis när det gäller vissa typer av loggning (spår- barhet). I informationssäkerhetsintresset kan då ligga att skapa och bevara tekniska loggar för att kunna gå tillbaka och se när en hän- delse inträffade, en transaktion genomfördes eller motsvarande, medan loggarna sett ur ett integritetsperspektiv kan utgöra ett pro- blem, om de till exempel används för andra ändamål, inte gallras eller inte skyddas tillräckligt. 22.5.2Risker för integriteten ur ett informationssäkerhetsperspektiv Personlig integritet förutsätter att individer har en möjlighet att skapa och kontrollera en privat sfär. Den privata sfären är inte bara fysisk utan består också av information om den enskildes levnadsför- hållanden. Att kunna skydda information som går att härleda till en- skilda individer, att säkerställa att den är korrekt samt att ha en spår- barhet som möjliggör transparens är viktigt för att kunna skapa ett 9 Ett förslag på definition är följande: is a system of ICT measures protecting informational privacy by eliminating or minimizing personal data thereby preventing unnecessary or unwanted processing of personal data, without the loss of the func- tionality of the information system. (van Blarkom, Borking & Olk 2003). 10 Mer om tekniska åtgärder finns att läsa i rapporten ”Integritetsskyddande teknik” som togs fram av Kirei på utredningens uppdrag (bilaga 4) och i integritet på nätet (2013). adekvat skydd av individernas personliga integritet. En ökad risk för kränkning av den personliga integriteten är i hög grad relaterad till brister i informationssäkerhetsarbetet.11 Den ökande mängden information som samlas in och hanteras, de många olika möjligheterna att hantera information och snabb heten i hur den överförs har medfört en hastigt förändrad riskbild för den personliga integriteten och ställer krav på informationssä- kerhetsarbetet. Riskerna uppstår vid inhämtningen, vid överfö- ringen, vid hanteringen, vid lagringen och vid presentationen av in- formation som innehåller personuppgifter. Med tanke på det värde som personuppgifter betingar i olika hänseenden finns det många intressenter förutom de aktörer som samlar och hanterar person- uppgifter i ett primärt syfte. Det kan vara myndigheter med uppdrag att genomföra övervakning i brottsbekämpande syfte eller annan uppföljande verksamheter, eller det kan vara försäkringsbolag som samlar uppgifter i syfte att begränsa försäkringsskyddet för en per- son. Personuppgifter är även en allt mer väsentlig komponent i kriminella verksamheter av olika slag. Inhämtning av personuppgifter görs i allt fler former, som exem- pelvis via molntjänster, appar, e-tjänster, sakernas internet (Internet of Things), biometri, Radio Frequency Identification (RFID), posi- tioneringssystem, drönare, övervakningskameror, s.k. kakor och ge- nom olika övervakningsfunktioner inom välfärdsteknologin. In- hämtning av personuppgifter görs såväl öppet, med samtycke från den enskilde och med legitima syften som även i rent kriminell verk- samhet. Det förekommer t.ex. att enskilda luras att fylla i uppgifter som sedan används för att genomföra identitetsstöld. Användningen av s.k. spionprogramvara som samlar in individens digitala spår på nätet, som sedan kan användas för bland annat direkt marknads föring är också vanligt förekommande. En utgångspunkt för att skydda den personliga integriteten är att inta ett minimalistiskt förhållningssätt – det vill säga att ingen aktör eller medarbetare ska ha tillgång till mer information om individer än vad som krävs för att lösa den aktuella arbetsuppgiften. Sett ur ett informationssäkerhetsperspektiv måste en avvägning göras mellan tillgänglighet, riktighet och konfidentialitet då behörighetssystem utformas. 11 integritet på nätet (2013), () och privacy in transparency logging (2015). Förhållningssättet ställs dock ofta i motsats till kravet på effekti- vitet eftersom det kan hävdas att det är rationellt att så många medar- betare som möjligt ska kunna utföra olika arbetsuppgifter. Hos en it-leverantör är det exempelvis en fördel att slippa begränsa antalet systemadministratörer som kan gå in och genomföra rutinåtgärder i en applikation som hanterar en kunds information. Intresset av att kunna använda personalen på ett så flexibelt sätt som möjligt är inte begränsat till privata aktörer utan gäller även i offentlig sektor. Det gör att det kan förekomma en alltför generös behörighetstilldelning även hos myndigheter. Ett uppdagat exempel på detta var då det i utredning av fusk med assistansersättning visade sig att större delen av myndighetens personal hade tillgång till personuppgifter om funktionshindrade.12 Förutom att känsliga personuppgifter på ett regelvidrigt sätt lämnats ut till vårdföretagare, hade de assistansberättigades rätt till personlig integritet åsidosatts genom att myndigheten gett de anställda alltför vida behörigheter. Kraven på konfidentialitet hade med andra ord satts för lågt i detta fall. Frågor som hur länge uppgifter lagras, om och hur de samman- ställs med andra uppgifter, om de överförs till andra aktörer och var de lagras kan vara svåra att få svar på. Den mycket spridda användningen av appar kan tjäna som exempel för några osäkerhets- faktorer. En populär form av appar där känsliga personuppgifter registreras av användaren själv är hälsoappar som ska ge stöd för trä- ning, eller behandlingar. Vid en genomförd genomgång av några av de populäraste hälsoapparna genomförd av en norsk kon- sumentorganisation visade det sig att det råder oklara avtalsförhål- landen om hur den insamlade informationen om individer kan delas. Dessutom gallras informationen i många fall inte även om använda- ren säger upp kontot utan ligger kvar hos leverantören.13 Eftersom uppgifter om hälsa och träning är värdefulla ur ett marknadsförings- perspektiv är sannolikheten hög för att de kan säljas vidare i ett sådant syfte. 12 , Personal på misstänks för brott, http://sverigesradio. se/sida/artikel.aspx?programid=83&artikel=6377256, hämtad 13 Pressmeddelande på konsumenters webbplats , stora-integritetsbrister-i-halso-och-traningsappar/ När personuppgifter samlas in i stor skala skapas också attraktiva mål för olika typer av antagonistiska aktiviteter. Det kan handla om att stater försöker skaffa sig uppgifter som kan understödja deras nationella intressen, men även om kriminella grupper som använder uppgifterna själva eller säljer dem vidare. En gråzon mellan krimina- litet och legitima affärsintressen kan uppstå vid försäljningen av personuppgifter. De antagonistiska hoten kan ta olika former. Hack- ning är kanske den mest uppenbara, det vill säga att aktörerna tar sig in i it-system och därefter kan få tillgång till personuppgifter. Detta kan även göras genom användning av skadlig kod med mera. En av de största attackerna internationellt var intrånget i en dej- tingsajt, , som i marknadsföringen framhöll möjlig- heten att hitta någon för en utomäktenskaplig affär. Intrånget inne- barattpersonuppgifterochkontokortsuppgifterföruppskattningsvis 39 miljoner människor stals av en grupp som uppgav att de gjort in- trånget eftersom man ansåg otrohet vara moraliskt förkastligt. Det kan ifrågasättas om detta var det verkliga skälet, men händelsen är intressant eftersom det visar att intrång kan genomföras inom en stor spännvidd av aktörer. Liknande intrång där miljontals användar- namn, e-postadresser, lösenord och kontokortsuppgifter stulits har även genomförts hos t.ex. programvaruleverantören och på spel- och underhållningssiter som , Heroes of Newerth och Gamigo. Hälso- och sjukvården är den bransch där flest känsliga person- uppgifter hanteras vilket också i takt med digitaliseringen innebär ökade risker för integritetsintrång. Fenomenet med ökat antal hacker-attacker mot sjukvården har varit mest uppmärksam- mat i där miljontals patienter fått sina journaler stulna av hack- are.14 I vissa fall har journaluppgifterna blivit stulna hos försäkrings- bolag som fått dessa som underlag för försäkringar. I uppmärksammas oftare interna hot mot patientuppgifter än externa, t.ex. när sjukvårdspersonal har skaffat sig obehörig åtkomst till jour- 14 Se exempelvis Cyberattack Surge: 100M records hacked in 2015, officials say, publice- rat på , och , Facit 2015: 100 miljoner intrång i digitala journaler i , debattartikel publicerad på , , 4.5 million patient records were accessed in hack, publicerad på , , Nearly four million records hacked, publicerad på nalinformation.15 Bakgrunden till detta kan sannolikt vara att det i svensk sjukvård är vanligt med omfattande behörigheter för perso- nalen där den tekniska och logiska begränsningen av åtkomst till patienters journaler är svag liksom uppföljningen.16 En form av hot som blivit allt vanligare är att aktören ”kidnappar” informationen med hjälp av skadlig kod, t.ex. genom att kryptera den och därefter begär en lösensumma för att informationsägaren ska tillbaka sina uppgifter. Ransomware, som den här typen av pro- gramvara kallas, har mer storskaligt använts bland annat riktad mot amerikansk sjukvård men även svenska kommuner17 och andra orga- nisationer har blivit drabbade. Huvudsyftet vid användningen av ransomware är inte att ta del av informationen, men genomförandet innebär ändå att den kriminella aktören har tillgång till den. drabbades av en av de större nationella it-attackerna då folkbokföringsregistret hackades . Genom angreppet ko- pierades tusentals skyddade personuppgifter. Registret, som hante- rades av it-företaget , omgavs av en undermålig säkerhet vilket möjliggjorde intrånget. En orsak till att den personliga integriteten allvarligt påverkades för ett mycket stort antal människor var de oklara ansvarsförhållandena mellan och de underleve- rantörer som hanterade registret. Vid den polisutredningen som följde intrånget framkom att inga konkreta säkerhetskrav ställts av . Oklara ansvarsförhållanden i samband med att flera parter sam- verkar kring informationshantering är ett stort riskområde. Det kan handla om att relevanta säkerhetskrav inte ställs eller inte följs upp, att informationsmängder sammanställs från olika källor och bildar nya register eller att distinkta kvalitetskrav inte formuleras vilket kan leda till inkorrekta personuppgifter. Vid användning av outsourcing och molntjänster kan det vara svårt för den personuppgiftsansvarige att följa företagsstrukturerna på den internationella marknaden och ha kontroll över den faktiska lagringen av personuppgifterna. Det kan vara en svår uppgift för många organisationer att utöva en effek- 15 Se exempelvis , Dataintrång kan leda till att legitimationen återkallas, . 2015;112:DDPR och , 177 integritetsbrott är 177 för många, publicerad på 16 MSB rapport. Uppföljning av informationssäkerhet i vården. Vårdgivarnas rapportering av kontroller, risker och incidenter. 17 , Kommunen utpressas efter dataintrång, vast/kommunen-utpressad-efter-dataintrang, hämtad . tiv kontroll över att kraven i personuppgiftslagen och de egna säker- hetskraven följs i varje led. Upphandling av och samverkan om it- relaterade lösningar har därför blivit en allt viktigare informationssäkerhetsfråga.18 Större it-incidenter kan utgöra stora risker även om de inte har ett antagonistiskt ursprung. I vissa fall kan själva återställningsarbetet efter en tillgänglighetsincident innebära att organisationer genomför extraordinära åtgärder som innebär att personuppgifter hanteras på ett annat sätt än det normala. Exempel på detta uppmärksammades vid den så kallade Tieto-incidenten år 2011.19 22.5.3Ett europeiskt perspektiv på informationssäkerhet och integritet Det starka sambandet mellan informationssäkerhet och integritet har uppmärksammats även på europeisk nivå. Kraven i dataskyddsdi- rektivet bygger på att det finns en tydlig styrning av informations- hanteringen så att personuppgifter omges med ett tillräckligt skydd.