bet · H401FöU8 · 2017-02-01 00:00:00 — konstaterade också i rapporten i den civila statsförvaltningen att statens arbete med informationssäkerhet inte är ändamålsenligt, med hänsyn till de hot och risker som finns. Rapporten konstaterar att ”den tekniska utvecklingen har accelererat och de risker en organisation ökar och kan förväntas fortsätta öka framöver”. Informationssäkerheten visar alltså på stora brister, enligt , och få myndigheter kan ge heltäckande svar över hur välutvecklat arbetet med informationssäkerhet faktiskt är hos de olika aktörerna inom ansvarsområdet. Den snabba utvecklingen av informationssamhället gör att nya risker och hot ständigt tillkommer. Det gör det svårt att upprätta en komplett riskbild på området. Jag anser att bör fastställa en tidsplan och överväga sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informationssäkerhet. Detta bör ställa sig bakom och tillkännage för regeringen. Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (KD) av (KD). Jag anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2015/16:2824 av m.fl. (KD) yrkande 18 och 2015/16:28 av m.fl. (V) yrkande 5, 2015/16:424 av (M), 2015/16:2172 av m.fl. (M) yrkande 3, 2016/17:2072 av (M), 2016/17:3205 av m.fl. (M) yrkande 10 och 2016/17:3542 av m.fl. (SD) yrkandena 1–3. Eftersom vårt samhälle, liksom de flesta samhällen i världen, är och blir alltmer beroende av informationsteknik, och eftersom cyberangrepp kan få mycket omfattande följder för människors liv är det en förutsättning för att vidta motåtgärder att det finns en organisation med mycket bred kompetens för att klara av dessa utmaningar. Det innebär bl.a. att alla myndigheter, företag och organisationer måste ha en skyldighet att rapportera alla former av cyberangrepp som riktas mot dem till en central myndighet. Det är dock omöjligt att skapa ett rimligt skydd mot cyberangrepp utan omfattande internationell samverkan om olika aspekter av cyberhotet. Även denna samverkan skulle underlättas om den hanterades av en för ändamålet utpekad organisation, anser jag. En sådan organisation skulle också ha en viktig roll genom att ge råd om hur man skyddar sig mot cyberangrepp till alla de företag, myndigheter och organisationer vars verksamhet är starkt beroende av fungerande it-system. Den mesta militära verksamheten kräver också kvalificerat skydd mot cyberangrepp. Av dessa skäl anser jag att det bör tillsättas en utredning med uppgift att undersöka och ge förslag på hur en central cyberskyddsmyndighet skulle kunna skapas och hur den ska samverka med andra aktörer i samhället vilkas verksamhet är starkt beroende av fungerande informationssystem. Detta bör ställa sig bakom och tillkännage för regeringen. Medborgarnas kunskap om it-säkerhet, punkt 2 (M) av (M), (M), (M) och Dag Klackenberg (M). Vi anser att förslaget till riksdagsbeslut under punkt 2 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2016/17:3205 av m.fl. (M) yrkande 11. Vi anser att det finns ett behov av att höja medvetenheten hos allmänheten för vad man som enskild användare kan göra för att försvåra att ens it-utrustning används i brottsliga syften. Dessutom bör man också kunna sätta nivån för vilket ansvar som är möjligt att kräva av den enskilde. Möjligheten att stärka medborgarnas kunskap om it-säkerhet bör därför ses över. Detta bör ställa sig bakom och tillkännage för regeringen. Ett nordiskt, säkert internet, punkt 3 (SD) av (SD) och (SD). Vi anser att förslaget till riksdagsbeslut under punkt 3 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2015/16:3218 av m.fl. (SD) yrkande 7, 2016/17:2871 av m.fl. (SD) yrkande 14 och 2016/17:2899 av m.fl. (SD) yrkande 77. Vi föreslår att bör undersöka intresset och möjligheterna för ett eget nordiskt, och säkert, internet baserat på svenska mikrosatelliter, eftersom militär underrättelsetjänst, terrorister och organiserad brottslighet kommer att använda sig av informationsteknologi i allt högre utsträckning. Detta gör det allt viktigare att vidta adekvata åtgärder för att skydda och försvara vitala nationella intressen mot cyberhot, menar vi. Detta blir särskilt viktigt när större delen av samhället är helt beroende av en fungerande informationsteknologi. Detta bör ställa sig bakom och tillkännage för regeringen. Förteckning över behandlade förslag Regeringens skrivelse 2016/17:42 om informationssäkerhetsarbete på nio myndigheter. 2016/17:3542 av m.fl. (SD): 1.Riksdagen ställer sig bakom det som anförs i motionen om uppföljning av Myndigheten för samhällsskydd och beredskaps (MSB) utbildningar och tillkännager detta för regeringen. 2.Riksdagen ställer sig bakom det som anförs i motionen om att ta fram en sammanställd bild av kostnaderna för informationssäkerhet och tillkännager detta för regeringen. 3.Riksdagen ställer sig bakom det som anförs i motionen om skapandet av ett it-försvar och tillkännager detta för regeringen. Motioner från allmänna motionstiden /16 2015/16:28 av m.fl. (V): 5.Riksdagen ställer sig bakom det som anförs i motionen om att bör fastställa en tidsplan och överväga sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informationssäkerhet, och tillkännager detta för regeringen. 2015/16:424 av (M): ställer sig bakom det som anförs i motionen om att se över möjligheterna att kartlägga omfattningen av cyberattacker mot svenska företag och organisationer och tillkännager detta för regeringen. 2015/16:2172 av m.fl. (M): 3.Riksdagen ställer sig bakom det som anförs i motionen om att kontinuerligt ta fram och utveckla nationella strategier för cybersäkerhet och tillkännager detta för regeringen. 2015/16:2824 av m.fl. (KD): 18.Riksdagen ställer sig bakom det som anförs i motionen om att tillsätta en utredning för en samlad cybersäkerhetsmyndighet och tillkännager detta för regeringen. 2015/16:3218 av m.fl. (SD): 7.Riksdagen ställer sig bakom det som anförs i motionen om att bör undersöka möjligheterna till ett nordiskt, säkert internet baserat på svenska mikrosatelliter (avsnitt 3.3) och tillkännager detta för regeringen. Motioner från allmänna motionstiden /17 2016/17:2072 av (M): ställer sig bakom det som anförs i motionen om att se över myndigheternas arbete med informationssäkerhet och tillkännager detta för regeringen. 2016/17:2871 av m.fl. (SD): 14.Riksdagen ställer sig bakom det som anförs i motionen om att bör undersöka möjligheterna till ett nordiskt, säkert internet baserat på svenska mikrosatelliter och tillkännager detta för regeringen. 2016/17:2899 av m.fl. (SD): 77.Riksdagen ställer sig bakom det som anförs i motionen om att bör undersöka möjligheterna till ett nordiskt säkert internet baserat på svenska mikrosatelliter (avsnitt 11.7 och bil. 3) och tillkännager detta för regeringen. 2016/17:3205 av m.fl. (M): 10.Riksdagen ställer sig bakom det som anförs i motionen om att se över krav på it-säkerhet hos leverantörer och ägare till större it-system och tillkännager detta för regeringen. 11.Riksdagen ställer sig bakom det som anförs i motionen om att se över möjligheten att stärka medborgarnas kunskap om it-säkerhet och tillkännager detta för regeringen. Vi ska tala om en tunn men skrämmande rapport som heter Informationssäkerhetsarbete på nio myndigheter - En andra granskning av informationssäkerhet i staten. Jag visar den nu för kammarens ledamöter. Den är processad i regering och utskott, och vi ska senare avgöra om den ska läggas till handlingarna. Rapporten känns redan passé. Vi läser nästan i tidningarna om olika incidenter. Vi får rapporter från om att man har trängt sig in i Demokratiska partiets informationssystem, att man har laborerat med elverk i och att man har flyttat räkningar. Det pågår någonting som vi borde skydda oss mot. Det har funnits incidenter även i . Det har varit attacker mot mediehus, mot banker och mot enskilda. Det har också varit ett antal attacker som ingen har vetat om. Man har nämligen gått in i informationssystemen och inte berättat att man är där. Man har sedan gått ut och kanske också ändrat. Rapporten kan sammanfattas i tre punkter. Riksrevisorerna menar att informationssäkerhetsarbetet är otillräckligt, på låg nivå och att inget har hänt. Man behöver egentligen inte säga mer, för det är precis så som det är. pekar på att man har gått igenom de nio myndigheterna, djupgranskat tre och sedan dragit slutsatser om att informationssäkerhetsarbetet även i en mängd andra myndigheter och verksamheter i förmodligen helt enkelt är otillräckligt och på för låg nivå. Inget har hänt . Man kan då fråga sig: Vad är det för skyddsbehov vi pratar om? Det är mycket enkelt. Man kan använda tre kärnord även där. Skyddsbehovet innebär till att börja med att den information som lagras ska vara riktig och förvaras på rätt sätt. Ingen ska kunna ändra i den. Det andra är att den ska vara tillgänglig. Man får inte slå sönder systemet så att man inte kommer åt informationen. Den måste vara tillgänglig för dem som ska ha den. Det gäller också att upprätthålla de sekretessbestämmelser som finns. Det är inte meningen att vem som helst ska kunna komma in i stora informationssystem. Men varför blir det då på det här konstiga viset? Jo, därför att ledningarna för verksamheterna är skäligen ointresserade av informationssäkerhetsarbete - för att inte tala om medarbetarna vid myndigheterna. De är ännu mer ointresserade, för de tycker nämligen att säkerhetsarbete stjäl tid och energi från deras viktiga kärnverksamhet som de egentligen är till för. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Säkerhetsansvariga personer på it-avdelningar och andra blir squeezade mellan ledningarnas ointresse och kanske också okunskap och alla tjänstemäns iver att utföra sin kärnverksamhet och inte ta på sig säkerhetsåtgärder som kan hindra dem i arbetet. Jag har egen erfarenhet av detta. Jag har varit it-säkerhetschef och it-chef, och jag har varit chef för dessa chefer. Jag har varit utsatt för ledningens tryck på att jag inte skulle ställa till några problem i arbetet. Jag har också varit utsatt för medarbetarnas, det vill säga kollegornas, förakt för att jag har hållit på saker som hindrar dem från att syssla med viktigare uppgifter. Det här var på UD, och det var , men det var precis så. Detta är alltså självupplevt, så jag förstår den här rapporten mycket väl. Sedan finns det alltid en känsla av att ansvaret för informationssäkerhetsarbetet ligger någon annanstans. Det är väldigt svårt att få dem som arbetar med viktig information att förstå att de också har ansvar för att hantera informationen. De måste förstå att den måste skyddas. Men de tror att det finns några medarbetare någonstans som skyddar informationen, att det fungerar ungefär som att städningen och vaktmästeriet fungerar. Varför skulle då inte också informationssäkerhetsarbetet fungera? Revisorerna kommer fram till att regeringen måste efterfråga de incidentrapporter som ska produceras från myndigheterna när det har hänt någonting. Men om regeringen inte efterfrågar dessa rapporter kommer ledningarna inte att tro att de är så viktiga, och då kommer man inte att ge det stöd till informationssäkerhetsarbetet som behövs. Det är min uppmaning från talarstolen att regeringen rutinmässigt måste efterfråga rapporterna och inte använda dem som någon sorts nummerlek för att säga att det har varit så och så många incidenter. Man måste också försöka att sätta sig in i vad som gick fel. Vad handlade incidenten om? Vi har ofta uppfattningen att det är någon skum, främmande makt som utsätter myndigheterna för attacker. Det kanske förekommer, men väldigt ofta kan det vara handhavandefel, kunskapsbrist, fel i materialet, fel på servern, felprogrammering och buggar. Det är mycket som kan ha hänt, och då gäller det att analysera detta i rapporten. MSB ställer upp och gör ett mycket gott arbete, och det blir bättre och bättre. Men man kan inte begära av MSB att MSB också ska ge det operationella stödet och ta ett operativt ansvar för myndigheterna. Detta måste myndigheterna själva ta till sig, antingen genom att skaffa folk som kan det eller att inhandla konsulttjänster. Det är några som har föreslagit att ett slags informationssäkerhetsmyndighet skulle skapas. Det är ett steg i fel riktning, för det innebär bara att man återigen tror att någon annan ska ta ansvaret. Vi måste sätta tryck på myndigheterna att själva ta det här ansvaret. Från moderat håll har vi gått ännu lite längre. Det finns två reservationer, nr 1 och nr 5, till vilka jag naturligtvis yrkar bifall. Vi har funderat rätt mycket på: Vad är den enskildes ansvar i det här sammanhanget? På andra samhällsområden har man som chaufför, hundägare, om man arbetar inom sjukvården eller i trafiken ett ansvar också som individ. Men på informationssäkerhetsområdet är det lite mer oklart vem som har ansvaret. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Mycket av säkerhetsarbetet skulle kunna göras om man hade ordentliga rutiner för backup och om man var säkerhetsövad. Man borde ha sårbarhetstestat it-systemen. Man bör bara använda godkänd programvara, så kallade vitlistade varor. Min erfarenhet är att man på många ställen tycker att man har ett slags rättighet att ta med egen programvara och använda den i systemet. Det är klart att det då är mycket som kan inträffa, och säkert har inträffat. Man måste ha motåtgärdsträning, precis som vid en brand då alla genom brandövningar ska veta var brandsläckaren finns. Ser man att det är en incident på gång ska man som handläggare eller chef ha en aning om vad man ska göra. Man måste intrångstesta systemen. Det görs väldigt sällan, men det är ganska intressant att göra det. Jag har själv gjort det i det egna systemet, och det visade sig att det var väldigt lätt att ta sig igenom brandväggen. Man måste också brandväggstesta. Det finns alltså väldigt mycket att göra. Man måste kanske begränsa antalet befogenheter som it-administratörer har. Jag är helt övertygad om att kommer att återkomma till detta i många omgångar tills man får en rimlig lagstiftning på det här området. Avslutningsvis yrkar jag återigen bifall till reservationerna 1 och 5. För tids vinnande yrkar jag endast bifall till reservation 2. Det talas till leda om it-försvar. Det är ett modeord. Det verkar som att ju mer vi talar om ett it-försvar, desto mindre måste vi göra åt saken. Det gillar inte vi. Vi tror att det faktiskt behövs ett it-försvar och att vi ska vidta åtgärder så att vi snart har ett på riktigt. Om det aktiva it-försvaret ska vi inte tala om . Det aktiva it-försvaret tillhör det militärt taktiska. Vi ska tala om det passiva it-försvaret, det som ska skydda vår information. Vi kan läsa granskning. har granskat hur nio myndigheter arbetar med sin informationssäkerhet och om regeringen säkerställer att de granskade myndigheterna har en effektiv intern styrning och kontroll av sin informationssäkerhet. Den samlade slutsatsen är att arbetet med informationssäkerhet på de granskade myndigheterna ligger på en för låg nivå. Vi kan också läsa regeringens instämmande. Regeringen instämmer i huvudsak i iakttagelserna och avser därför att ta fram en nationell strategi för samhällets informations- och cybersäkerhet. Varför krävdes det en Riksrevisionsrapport för att förstå dessa svagheter hos myndigheterna? Hur kommer det att ta innan regeringen gör något konkret? Vi behöver ett passivt it-försvar som fungerar. Policy och strategi borde vara klart för länge sedan. Utskottets majoritet oroar sig också över att "de granskade myndigheterna ligger på en för låg nivå och inte heller ser ut att ha utvecklats i tillräcklig grad ". Om inte regeringen gör något måste leverera tillkännagivanden som stöd för regeringens fortsatta arbete. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Naturligtvis är det inte roll att gå in i detaljer. Men det finns iakttagelser som inte kan betraktas som detaljer, till exempel att myndigheter har servrar stående utomlands, att alla svenska myndigheter håller sig med olika teknik och konsulter. Hade informationsteknologin satt fart under förra hade totalförsvaret säkert kunnat hantera säkerheten på ett klokt sätt. har ni avvecklat totalförsvaret. Det finns därför ingen styrning längre. Detta till trots måste vi kunna gå från policy och strategi till handling . Allra senast i nästa försvarsbeslut bör det beslutas om en operativ civilförsvarsmyndighet med avdelningar för bland annat it-försvar. Grundtänket i svensk krishantering med ansvars-, likhets- och närhetsprincipen är helt rätt. Nivåerna för att hantera kriser - kommunerna, länsstyrelserna och regeringen - är också en klok avvägning. Men vad som saknas är alltså en civilförsvarsmyndighet med operativa resurser. Låt mig gissa att förr eller senare kommer känsliga myndigheter att ges tillgång till standardplattformar med såväl hårdvara som mjukvara som är särskilt utformade för att klara av attacker. Vi föreslår alltså att vi redan nu ska börja titta på en sådan utveckling. Förutom sårbarheten hos varje myndighet och inom varje fast infrastruktur finns det en sårbarhet i internet. Vi har okritiskt dragit nytta av internets möjligheter när vi har byggt våra kontroll- och ledningssystem. Problemet är att det internet som vi nu har och delar med resten av världen aldrig kan bli säkert. Det har inte en sådan struktur. Vad vi borde önska oss är ett eget nät för svenska myndigheter och försvarsviktiga företag. Svensk teknik är fortfarande långt framme; exempelvis är vi världsledande vad gäller satelliter med mikroteknik. Vi förslår därför att forskningsresurser avsätts för att bedöma möjligheterna att bygga ett säkert myndighetsnät. Detta kan gärna ske i form av ett nordiskt samarbete. har varit först med många saker. Fortsätter vi att tro på svensk ingenjörskonst kan det fortsätta att vara så. Dag Klackenberg tog upp många intressanta saker i sitt anförande, och det är lätt att hålla med. Det gäller både det att vi nu lever i då vi får nästan dagliga rapporter om intrång, misstänkta intrång, sabotage etcetera och att en del av detta kanske maskerar dålig hantering i största allmänhet och taskiga system. Vad jag förstår finns det dock åtminstone ett riktigt belagt fall av skadligt datasabotage. Det är så gammalt som . Det var när och tillsammans planterade Stuxnet, en datamask eller trojansk häst, i urananrikningsanläggningar. På det sättet kunde de fördröja programmet . Jag vet inte hur pass belagt det är med alla dessa nya rykten, men det lär vi få veta. För självklart försiggår detta . Jag tror att det är bra att komma ihåg att det dessutom försiggår från alla möjliga håll, både privata och statliga. Låt mig nu gå över till att tala om betänkandet, herr talman. Utskottet föreslår att lägger skrivelsen om informationssäkerhetsarbetet på nio myndigheter till handlingarna. Utskottet anser dock att främst regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att det för tillfället därför inte är motiverat att vidta ytterligare åtgärder. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Det kan låta rimligt och resonligt, men jag tycker faktiskt inte det på grund av den långa historien. I första hand är det kanske inte denna regering som ska klandras för vad som skett historiskt, utan det har skett oavsett partifärg. granskade så tidigt som 2005-2007 arbetet med informationssäkerhet i statsförvaltningen. Granskningen visade på minst ett tjugotal brister. Det må vara hänt. Men det värsta är att vid en uppföljning 2014 konstaterades det att i praktiken hade ingenting gjorts för att komma till rätta med dessa brister. Detta skedde som beroendet har ökat och antagligen också attackerna, även om det är svårt att säkert veta. konstaterade också i sin rapport att informationssäkerhetsarbetet inte var ändamålsenligt, sett till de hot och risker som finns. I rapporten konstateras att den tekniska utvecklingen har accelererat och att de risker som en organisation ökar och kan förväntas öka framöver. Få myndigheter kan ge heltäckande svar på hur välutvecklat arbetet med informationssäkerhet är. Vi har helt enkelt ingen koll. Den snabba utvecklingen av informationssamhället skapar nya möjligheter och därigenom nya risker och hot. Vi talar om att avskaffa fysiska pengar. Vi ska ha e-hälsa, där allting ligger lagrat på ett teknologiskt sätt som vi inte hade . Detta skapar ökade risker. och jag menar därför att måste ställa distinkta krav på detta område. En tidsplan bör fastställas, och sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informationssäkerhet bör övervägas. Jag yrkar således bifall till reservation 3. En tidsplan är nu valhänthet av största vikt. Men hur är det med sanktioner? Ja, förr sa man att den kroppsdel där det gjorde mest ont nog var höger skinka, det vill säga där plånboken satt. Det tror jag fortfarande gäller, även på myndighetsnivå. lär väl av allt att döma säga nej till tanken på sanktioner - den här gången. Men frågan om sanktioner mot myndigheter som inte upprätthåller it-säkerheten kommer att leva vidare ändå. Anledningen är att ska genomföra ett EU-direktiv om it-säkerhet i nätverks- och informationssystem, NIS-direktivet. Det är ett regelverk som kommer att skärpa kraven. Det är samma NIS-direktiv som minister i lyfte fram som ett instrument för att höja säkerhetsnivån på området, såväl i som i andra medlemsstater. Den utredning som just nu arbetar med att gå igenom hur svensk lag ska leva upp till EU-direktivets krav analyserar bland annat hur sanktioner ska användas och om de också ska kunna riktas mot offentliga aktörer. Enligt , chef för verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet vid MSB, är frågan uppe på bordet. Den är inte helt lätt, men inom ramen för EU-direktivet tittar man på frågeställningen. Det hör väl inte till vanligheten att jag står här och hyllar EU-direktiv, men även en blind höna kan hitta ett och annat korn, som det brukar heta. STYLEREF Kantrubrik \* MERGEFORMAT om informa-tionssäkerhetsarbete på nio myndigheter Det är med andra ord dags att sätta fart efter alla dessa år då nästan ingenting har hänt när riskerna, hoten och användningen har ökat. För har säkerheten inte direkt utvecklats med samma hastighet som de digitala signalerna som rusar fram i fiberkablarna. Det har snarare utvecklats lika långsamt som när man fick varna sin omgivning med hjälp av vårdkasar på klipporna. Vi debatterar om informationssäkerhetsarbete på nio myndigheter. Låt mig innan jag går vidare yrka bifall till reservation i detta betänkande, reservation 4. har stora utmaningar när det gäller försvaret. Det gäller det militära försvaret, vilket vi alltför snabbt lade ned. Det går väldigt lätt att lägga ned, men det är en annan sak att bygga upp. Men det är inte bara det militära svaret som vi ser utmaningar för, utan också det civila försvaret. Detta har vi anledning att diskutera. har viktig information kommit fram till svenska folket. Vi i kammaren har också hört FRA berätta om att utsätts för 10 000 cyberattacker av, märk väl, utländsk makt. Det finns även it-spioner som jobbar heltid med att kunna släcka ned och att göra hundratusentals människor strömlösa. Låt oss, vi som är i kammaren, tänka oss in i vad det skulle få för betydelse i en speciell situation, i ett krisläge, om allt detta hände. Vad skulle hända med vår motståndsförmåga? Det är viktigt att vi ser detta - militära hot är visserligen också jätteviktiga. Vi måste vidta åtgärder. I närtid har vi exemplet från det amerikanska valet, vilket har nämnts här tidigare.