prop · H403213 · 2017-06-29 00:00:00 — Nationell strategi för samhällets informations- och cybersäkerhet Regeringens skrivelse 2016/17:213 Nationell strategi för samhällets informations- Regeringen överlämnar denna skrivelse till . Det finns ett stort behov av att utveckla samhällets informations- och cybersäkerhet. Denna nationella strategi för samhällets informations- och cybersäkerhet är ett uttryck för regeringens övergripande prioriteringar och syftar till att utgöra en plattform för fortsatta utvecklingsarbete inom området. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället. Regeringen vill genom strategin även stödja de insatser och det engagemang som redan finns i samhället för att stärka informations- och cybersäkerheten. Strategin omfattar därmed hela samhället, det vill säga statliga myndigheter, kommuner och landsting, företag, organisationer och privatpersoner. 1 En samlad strategi för samhällets informations- och Behovet av en strategi ........................................................ 1.2Utgångspunkter för informations- och Säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet..................... Öka säkerheten i nätverk, produkter och system .............. 2.3Stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter ............................... 2.4Öka möjligheterna att förebygga och bekämpa it- Öka kunskapen och främja kompetensutvecklingen ........ Stärka det internationella samarbetet................................ 3 Uppföljning av strategin ................................................................. Utdrag ur protokoll vid regeringssammanträde ........... 1En samlad strategi för samhällets informations- och cybersäkerhet 1.1Behovet av en strategi Digitaliseringen är ett globalt fenomen och påverkar i stort sett alla delar av vårt samhälle. Det medför stora möjligheter, men också risker. Hur vi hanterar riskerna som följer av digitaliseringen har stor betydelse för vår förmåga att upprätthålla och stärka både vårt välstånd och vår säkerhet. Informations- och cybersäkerhet är en fråga som angår hela samhället. Alla behöver ta sitt ansvar för informations- och cybersäkerhetsfrågor för att vi ska uppnå en effektiv och säker hantering av information. Ingen kan ensam lösa säkerhetsutmaningarna och när det är många olika aktörer som arbetar på olika sätt och i olika sammanhang är det särskilt viktigt med samverkan och en gemensam riktning. Behovet av samverkan mellan den offentliga sektorn och näringslivet växer särskilt i betydelse. Den tekniska utvecklingen är i allt väsentligt styrd av privata aktörer på marknaden och privata aktörer äger och driver också stora delar av den samhällsviktiga verksamheten. Utmaningarna inom informations- och cybersäkerhetsområdet delas med andra länder. De strategiska lösningarna måste därför även utvecklas genom internationell samverkan och dialog kring förebyggande åtgärder, både inom EU och i andra internationella organ. Kraven på samhällets informations- och cybersäkerhet ökar i allt snabbare takt. Utvecklingen och den förändrade användningen av ny teknik och nya innovationer innebär att hot blir svårare att upptäcka, att riskerna blir mer svårbedömda och att beroenden blir svårare att överskåda. De regelverksförändringar som genomförs både nationellt och inom EU är ett sätt att höja säkerhetskraven samt stärka formerna och strukturerna för det samlade informations- och cybersäkerhetsarbetet. Digitaliseringen är en av vår tids största förändringar och den snabba utvecklingen av informations- och kommunikationsteknologi har stor inverkan på vår framtid. ligger långt framme i teknikutvecklingen. Den pågående utbyggnaden av fibernäten och ökad mobiltäckning uppgraderar de elektroniska kommunikationsnäten. Den digitala utvecklingen kan därmed i allt högre grad bidra till sysselsättning, innovation, effektivitet och tillväxt i . Genom ett strukturerat och riskbaserat arbete med informations- och cybersäkerhet kan vi säkerställa den fortsatta digitaliseringen av samhället, som vi också hävdar säkerhet och nationella intressen såsom mänskliga fri- och rättigheter och samhällets funktionalitet. Ett strukturerat och riskbaserat arbete med informations- och cybersäkerhet är också en viktig förutsättning för svensk tillväxt och konkurrenskraft, och en nödvändighet för att näringslivet ska kunna 2016/17:213 utveckla och tillhandahålla konkurrenskraftiga varor och tjänster. För att höja informations- och cybersäkerheten finns det ett behov av att alla berörda parter i högre grad samverkar mot gemensamma målsättningar. Mot denna bakgrund har regeringen beslutat att ta fram en nationell strategi för samhällets informations- och cybersäkerhet. Strategin är ett uttryck för regeringens övergripande prioriteringar och syftar till att utgöra en plattform för fortsatta utvecklingsarbete inom området. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället. Regeringen vill genom strategin även stödja de insatser och det engagemang som redan finns i samhället för att stärka informations- och cybersäkerheten. Strategin omfattar därmed hela samhället, det vill säga statliga myndigheter, kommuner och landsting, företag, organisationer och privatpersoner. Med informations- och cybersäkerhet avses i denna skrivelse en uppsättning säkerhetsåtgärder för bevarande av konfidentialitet, riktighet och tillgänglighet hos information. Med konfidentialitet avses att obehöriga inte ska kunna ta del av informationen. Med riktighet menas att informationen inte förändras, manipuleras eller förstörs på ett obehörigt sätt. Med tillgänglighet menas att behöriga ska kunna ha tillgång till informationen på det sätt och som tjänsterna erbjuder. För informationssäkerhet som avser digital information används i denna skrivelse även begreppet cybersäkerhet. I denna skrivelse används begreppen beroende av sitt sammanhang, där exempelvis cybersäkerhetsbegreppet är vanligt förekommande i en internationell kontext. 1.2Utgångspunkter för informations- och cybersäkerhet Informations- och cybersäkerhetsarbete är nödvändigt för att samhället ska kunna fungera och utvecklas i linje med de mål som finns inom olika politikområden. Digitaliseringen innebär att en allt större andel av alla aktiviteter i samhället i olika grad är beroende av nätverk och informationssystem och därmed av informations- och cybersäkerhet. Strategin för samhällets informations- och cybersäkerhet har sin utgångspunkt i målen för säkerhet: att värna befolkningens liv och hälsa, liksom samhällets funktionalitet, samt förmågan att upprätthålla grundläggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter (prop. 2008/09:140, bet. 2008/09:FöU10, rskr. 2008/09:292). Strategin har även sin utgångspunkt i det it-politiska målet att ska vara bäst i världen på att använda digitaliseringens möjligheter (prop. 2011/12:1, bet. 2011/12:TU1, rskr. 2011/12:87). Strategin för samhällets informations- och cybersäkerhet bygger på och konkretiserar de inriktningar för informations- och cybersäkerheten som regeringen anger i den nationella säkerhetsstrategin och i digitaliseringsstrategin (N2017/03643/D). anger att aktivt ska värna Skr. våra nationella intressen och försvara dem närhelst de riskerar att undermineras, inklusive mot de hot och risker som finns på det Digitaliseringsstrategin anger att förutsättningarna i ska vara de bästa för alla att på ett säkert sätt ta del av, ta ansvar för samt ha tillit till det digitala samhället. finns bestämmelser om informationssäkerhet i olika regelverk. Informationssäkerhet är en av tre grundläggande säkerhetsskyddsåtgärder enligt säkerhetsskyddslagen (1996:627). Lagstiftningen gäller för de mest skyddsvärda verksamheterna i samhället och innebär långtgående krav på olika skyddsåtgärder. För övriga statliga myndigheter gäller de krav på informationssäkerheten som framgår av förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Bestämmelser om informationssäkerhet finns även i arkivlagen (1990:782), personuppgiftslagen (1998:204) och lagen (2003:389) om elektronisk kommunikation. Utöver dessa författningar finns myndighetsföreskrifter som reglerar informationssäkerhet inom ett flertal sektorer. Flera författningar som reglerar informationssäkerhet kommer att förändras eller tillkomma inom . Det pågår en översyn av säkerhetsskyddslagstiftningen med förslag om att bl.a. utvidga lagens tillämpningsområde för att uppnå ett bättre skydd för säkerhet (SOU 2015:25). och rådets direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS- direktivet), som ska vara genomfört i svensk lagstiftning , anger bl.a. en skyldighet för alla medlemsstater att anta en nationell strategi för säkerhet i nätverk och informationssystem. En annan EU-lagstiftning, och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), kommer att börja tillämpas och innebär högre krav på hanteringen av personuppgifter. Flera utredningar och granskningar inom informations- och cybersäkerhetsområdet har pekat på brister i förhållande till dagens hot och risker. Bl.a. har granskat informationssäkerheten i statsförvaltningen (RIR 2016:8, RIR 2014:23). Även betänkandet Informations- och cybersäkerhet i innehåller ett flertal förslag på informations- och cybersäkerhetsområdet (SOU 2015:23). I den försvarspolitiska inriktningspropositionen bedömde regeringen att samlade förmåga att förebygga, motverka och aktivt hantera konsekvenser av civila och militära hot, händelser, attacker och angrepp i cybermiljön måste utvecklas och förstärkas (prop. 2014/15:109). 2016/17:213 Vad ska skyddas? Det öppna demokratiska samhället är beroende av att önskad konfidentialitet, riktighet och tillgänglighet kan upprätthållas när man hanterar information. Det innebär att både informationen i sig och de system som används för att förvara och överföra informationen måste skyddas. Informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten hos samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas tillvara. Sådana möjligheter handlar om allt från utvecklade digitala offentliga tjänster till uppkopplade och automatiserade fordon och fabriker. Ytterst handlar informations- och cybersäkerhet om att slå vakt om grundläggande värden och mål i samhället, som demokrati, mänskliga fri- och rättigheter, frihet, säkerhet och rätt till självbestämmande samt tillväxt och ekonomisk stabilitet. För att individer ska kunna tillvarata och utöva sina fri- och rättigheter behövs tillgång till riktig och lättillgänglig information. Detta är en förutsättning för att man ska kunna fatta välunderbyggda beslut och höjer kvaliteten och effektiviteten för alla typer av verksamheter och kontakter i samhället. Viss informationen i samhället är känslig och behöver därför skyddas. Om känslig information förloras, stjäls, manipuleras eller sprids till obehöriga kan det få allvarliga följder. Det finns stora mängder information som är av avgörande betydelse för samhällets funktionalitet eller som innehåller integritetskänsliga uppgifter. Andra exempel på känslig information har att göra med brottsbekämpning, tekniska produkter, affärsförhållanden, totalförsvaret eller förhållanden som gäller andra stater. bygger systemen för att hantera information huvudsakligen på digital informations- och kommunikationsteknologi. Detta gäller inte minst de system är beroende av för att kunna styra och leda riket under omfattande påfrestningar som kan följa av kris eller krig. Sådana system måste säkras. Vidare bygger många verksamheter i samhället på fungerande digitala informations- och styrsystem vilket innebär att stora mängder känslig information kontinuerligt hanteras i syfte att styra t.ex. eldistribution, vattenförsörjning, transporter och transportinfrastruktur eller sjukhusutrustning. Även industriella verksamheter inom t.ex. verkstadsindustri som processindustri är beroende av fungerande digitala informations- och styrsystem. Incidenter hos och angrepp mot svenskt näringsliv kan få långtgående konsekvenser för enskilda företag såväl som för hela värdekedjor, och därmed hota svenska arbetstillfällen. Beroenden och kopplingar mellan olika tekniska system är en sårbarhetsfaktor i sig genom att störningar kan få konsekvenser som är svåra att förutse och hantera. Detta gäller inte minst då de flesta nätverk och informationssystem är globalt sammankopplade via internet. Internet är en global infrastruktur och det svenska samhällets kritiska infrastruktur är i hög grad integrerat med internet. Internet är så väsentligt att ett angrepp mot eller andra incidenter inom denna infrastruktur kan leda till allvarliga konsekvenser för säkerhet och nationella intressen. Vilka är hoten och riskerna? Hot- och riskskalan inom det informationsteknologiska området spänner från mindre omfattande risker för den enskilde individen till väl planerade och med precision riktade angrepp mot vitala delar av samhällets funktionalitet. Olika former av störningar i mjuk- eller hårdvara eller störningar i driftmiljö är vanligt förekommande. Yttre fysiska händelser som t.ex. bränder, avgrävda kablar, översvämningar eller solstormar utgör också en del av hotbilden. I princip alla, såväl privatpersoner som näringsliv och offentlig verksamhet, som är anslutna mot internet är utsatta för risker eftersom det ständigt pågår intrångsförsök mot internetanslutna system. Den här typen av massangrepp är ofta mer eller mindre slumpartade. Ett exempel på detta är den stora ökningen av bedrägerier och identitetsstölder som sker via internet. Enligt (Brå) visar statistik att brottslighet med it-inslag (datorbedrägeri, bedrägeri med hjälp av internet, dataintrång samt internetrelaterade barnpornografibrott) har ökat (2016:17). Den som ansvarar för ett it-system måste utgå från att intrång och attacker kan lyckas, trots att en stor mängd faktiskt avvärjs. Riktade intrång och attacker kan utföras av enskilda individer, grupper av individer, icke-statliga organiserade grupper eller stater och statsunderstödda aktörer. Det möjliga agerandet av stater, statsunderstödda aktörer eller andra aktörer med liknande förmåga utgör det allvarligaste informations- och cybersäkerhetshotet mot . Dessa kvalificerade angripare har förmåga, resurser och uthållighet att utarbeta och använda avancerade metoder. Cyberattacker och olika former av intrång i it-system kan utgöra ett separat antagonistiskt hot såväl som ett av flera politiska och militära maktmedel. Spionage och angrepp från statliga och statsunderstödda aktörer mot skyddsvärd verksamhet i eller mot svenska intressen i utlandet kan exempelvis syfta till att tillskansa sig information om svenska ekonomiska intressen, svenska företag, svensk forskning, svensk försvarsförmåga och planering, våra säkerhetspolitiska avsikter, samhällsviktig verksamhet och kritisk infrastruktur. Dolda intrång och attacker kan användas i syfte att förbereda för sabotage mot kritisk infrastruktur i fredstid. Det kan också användas öppet som ett verktyg under främst inledande skeden vid militära insatser. Cyberattacker kan få stora konsekvenser för samhällsviktiga funktioner och kritiska it-system på samma sätt som ett konventionellt väpnat angrepp och kan därför i vissa fall vara att betrakta som ett väpnat angrepp. Angrepp kan även riktas mot våra grundläggande värden och de demokratiska funktionerna i samhället, t.ex. genom desinformation och påverkanskampanjer. Desinformation kan användas för att avsiktligt sprida osanna eller vilseledande uppgifter i syfte att påverka människors attityder, ställningstaganden och handlande i en viss riktning. En påverkanskampanj är centralt styrd som ett brett spektrum av metoder kan användas, såväl öppna som dolda, varav dataintrång och andra cyberattacker kan utgöra en delmängd. Den kan också inkludera politiska, diplomatiska, ekonomiska och militära maktmedel. 2016/17:213 av oriktig eller vilseledande information riskerar att undergräva förtroendet för våra offentliga institutioner och utmana samhällets säkerhet. Källkritik och tillgång till en mångfald av oberoende medier och nyhetsförmedling stärker medvetenheten och motverkar effekterna av desinformation och påverkanskampanjer. Antalet cyberattacker med syfte att påverka medier förväntas öka. Det handlar exempelvis om att genom överbelastningsattacker hindra tillgång till medierna men även om mer avancerade attacker i syfte att genom dataintrång stjäla information eller kapa webbplatser eller sändningar för att föra in falsk eller vilseledande information. Hur skyddar vi oss? Arbetet med att skydda oss är ett ansvar för hela samhället. Arbetet bedrivs hos såväl regeringen som i den egna verksamheten hos kommuner, landsting, myndigheter, företag och organisationer i . Ett systematiskt informationssäkerhetsarbete är nödvändigt för att samhällets aktörer ska kunna upprätthålla en väl avvägd nivå av informations- och cybersäkerhet – allt i samhället kan inte skyddas mot alla typer av hot och risker. Den tekniska säkerheten behöver fortsatt stärkas som hänsyn tas till att det i många fall är den mänskliga faktorn som ligger bakom incidenter eller utnyttjas vid angrepp. Av den anledningen är det viktigt att öka medvetenheten såväl som förmågan hos alla användare av it-system och att skapa förutsättningar för utvecklingen av en säkerhetskultur i hela samhället. För att sårbarheter ska minska och för att målen för säkerhet och it-politik ska kunna främjas är det regeringens bedömning att arbetet med samhällets informations- och cybersäkerhet framförallt behöver prioritera att –säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet –öka säkerheten i nätverk, produkter och system –stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter –öka möjligheterna att förebygga och bekämpa it-relaterad brottslighet –öka kunskapen och främja kompetensutvecklingen –stärka det internationella samarbetet. För var och en av dessa prioriteringar ställer regeringen i följande avsnitt upp ett antal målsättningar och anger en inriktning för hur målsättningarna ska nås. 2.1Säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet Statliga myndigheter, kommuner, landsting, företag och andra organisationer ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt – Det ska finnas en nationell modell till stöd för ett systematiskt Att ha en god informationssäkerhet är viktigt för de flesta verksamheter för att nå upp till kvalitets- och effektivitetskraven. informationssäkerheten handlar därför inte enbart om att tillmötesgå externa krav, utan är även ett sätt att förbättra verksamheten. kan informationssäkerhet inte betraktas som enbart en verksamhetsintern Flöden av tjänster och produkter sker i flera led, och bristande informationssäkerhet kan därför få följdverkningar långt utanför den egna verksamhetens gränser. Ansvar, riskmedvetenhet och helhetssyn Ett framgångsrikt informationssäkerhetsarbete förutsätter att det är tydligt vem eller vilka som har ansvar för det. Detta gäller på alla nivåer – både inom organisationer och i samhället i stort. Såväl offentliga som privata aktörer behöver vara medvetna om att informationssäkerhetsrelaterade risker har en påverkan på målen för deras verksamhet samt att deras förmåga att hantera information även kan ha en påverkan på andra aktörer i samhället. bygga in och förbättra säkerhet bör alltid jämföras med vad det kan kosta att inte göra detta. Målet är att hitta rätt säkerhetsnivåer och att de ansvariga är medvetna om vilka risker som finns, för att de aktivt ska kunna besluta om att eliminera, reducera eller acceptera dessa risker. sådan riskmedvetenhet utgör grunden för effektiva investeringar i För att informationshantering och it-användning i samhället ska kunna utvecklas på ett tryggt och säkert sätt krävs att alla aktörer har en helhetssyn på informationssäkerhet. Informationssäkerhet är ett komplext och gränsöverskridande område som spänner över bl.a. teknik, administration, ekonomi och juridik. Informationssäkerhet ska vara en självklar och integrerad del i allt arbete på alla nivåer i samhället: inom mellan organisationer samt inom och mellan samhällets olika 2016/17:213 sektorer. Säkerhetsåtgärder bör både syfta till att skapa en mer robust informationshantering vid samhällets normaltillstånd och att hantera mer allvarliga störningar och kriser. Nationell modell för systematiskt informationssäkerhetsarbete bedriver de olika aktörerna i samhället sitt informationssäkerhetsarbete på delvis olika sätt, utifrån olika förutsättningar och behov, baserat på flera olika regelverk och delvis olika uppfattningar om hot och risker. Samma information kan få olika skydd i olika organisationer och kunskapen om vilket skydd som är lämpligt och tillgängligt för en viss typ av information är hos många aktörer ofullständig. När många aktörer är beroende av varandra i sin informationshantering är det också nödvändigt med samordnade åtgärder för att reducera risker och behålla säkerhetsnivån. Aktörer som har en sämre informationssäkerhet kan äventyra säkerheten för övriga. Detta har betydelse för möjligheterna till en digitalt samverkande förvaltning, men även för den återupptagna planeringen för civilt försvar som är beroende av goda förutsättningar att dela känslig information inom statsförvaltningen. Även om den enskilda organisationen ytterst ansvarar för att hantera sin information är det enligt regeringens bedömning viktigt att förbättra förutsättningarna att bedriva ett systematiskt informationssäkerhetsarbete på ett mer samordnat sätt. För att åstadkomma detta behöver aktiviteter såsom att genomföra riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivåer med tillhörande säkerhetsåtgärder genomföras med utgångspunkt i och stöd från en gemensam modell för systematiskt informationssäkerhetsarbete. En sådan modell syftar till att utgöra en gemensam plattform för det systematiska informationssäkerhetsarbetet och kan samordna och samla regelverk, metoder, verktyg, utbildningar med mera på myndighetsnivå på ett lättillgängligt sätt. En nationell modell bedöms bidra till att aktörer gör mer enhetliga bedömningar av hot, risker och säkerhetsåtgärder och att likartade uppgifter och informationssystem hos olika verksamhetsutövare därmed uppnår en likartad och adekvat skyddsnivå. Det finns många fördelar med en nationell modell för systematiskt informationssäkerhetsarbete. Genom att de myndigheter som har ett särskilt ansvar på informationssäkerhetsområdet, och de övriga myndigheter som t.ex. har föreskriftsrätt eller tillsyn på området, aktivt bidrar i arbetet med den nationella modellen kan den motverka fragmentering av styrningen och öka samverkan inom området. Detta gör det enklare för organisationer att omhänderta relevanta krav och styra sitt informationssäkerhetsarbete som expert- och tillsynsmyndigheternas kompetens används mer effektivt. Genom att den nationella modellen kommer att bygga på erkända standarder, vara flexibel och skalbar kan verksamheter med olika förutsättningar dra nytta av modellen.