rfr · H50WRFR18 · 2018-01-01 00:00:00 — offentliga utfrågning om cybersäkerhet Riksdagstryckeriet, , 2018 Den digitala tekniken har effektiviserat hela det svenska samhället som flera händelser påmint om att den nya tekniken också innebär en ökad sårbarhet. Hoten är många och kan se olika ut och det är en utmaning att i en alltmer transparent miljö skydda samhällsviktig, känslig och hemlig information från intrång, sabotage och läckor. försvarsutskott anordnade en offentlig utfrågning på temat cybersäkerhet. Utfrågningen genomfördes inom ramen för utskottets beredningsansvar för frågor som rör samhällets informations- och cybersäkerhet. Syftet med utfrågningen var att bidra till en fördjupad diskussion i ämnet med företrädare för myndigheter med ansvar för dessa frågor. De inbjudna talarna var justitie- och inrikesminister , chefen för säkerhetspolisen, , generaldirektören för Försvarsmakten, , generaldirektören för Myndigheten för samhällsskydd och beredskap, , samt överdirektören för , . Efter presentationerna följde en diskussion mellan utskottets ledamöter och talarna. I denna rapport publiceras en utskrift av utfrågningen. Program för utfrågningen................................................................................ Stenografisk utskrift från utfrågningen ........................................................... Bildpresentationer från utfrågningen ............................................................ Tid: –12.15 Plats: Förstakammarsalen, försvarsutskottets ordförande (L) 10.05-10.15 Justitie- och inrikesminister (S) 10.15-10.25 Säkerhetspolischef , Säkerhetspolisen () 10.25-10.35 Generaldirektör , Försvarsmakten Myndigheten för samhällsskydd och beredskap (MSB) 10.45-10.55 Överdirektör , () 11.15-12.10 utfrågning av inbjudna talare och gäster försvarsutskottets vice ordförande (S) Stenografisk utskrift från utfrågningen Ordföranden: morgon och varmt välkomna hit till Förstakammarsalen i riksdag! Mitt namn är , och jag är ordförande i försvarsutskottet. På min ena sida sitter utskottets vice ordförande, , och på den andra sidan kanslichefen för försvarsutskottet, . Avsikten är att försvarsutskottet ska hålla en öppen utfrågning om cybersäkerhet. Alla som sitter här är ju väl medvetna om att den digitala tekniken har effektiviserat hela vårt samhälle. Men har vi också påmints om den ökade sårbarhet som tekniken innebär. Främmande makt och enskilda aktörer försöker nu komma över hemlig information hos myndigheter och företag och inom politiken. hade försvarsutskottet en motsvarande tillställning som denna, fast sluten, med flera av de myndigheter som är representerade här . Men för utskottet är det viktigt att vi följer upp denna med en öppen, offentlig utfrågning. Vår beredskap när det gäller cybersäkerhet är beroende av hur väl vi lyckas sprida både kunskaper och medvetenhet hos myndigheter, företag och även bland allmänheten. Det är ett nöje för mig att välkomna hit justitie- och inrikesminister , chefen för , , generaldirektören för Försvarsmakten, , generaldirektören för Myndigheten för samhällsskydd och beredskap, , samt överdirektören för , . , justitie- och inrikesminister: ordförande! Tack för möjligheten att vara här på denna verkligt vältajmade utfrågning kring cybersäkerhet. Det går knappt utan att vi nås av nyheter eller ny information om frågeställningar som på ett eller annat sätt har koppling till det som vi ska tala om under . Precis som ordföranden sa befinner vi oss i en situation där den moderna tekniken griper in i och påverkar oss praktiskt taget alltid, åtminstone under vår vakna tid. Man kan gå tillbaka till hur man levde för några decennier sedan jämfört med hur man lever . Så fort man vaknar sätter man på sin telefon och ser vad som har hänt och vad det är för frågeställningar som rör sig. Vi är aktiva i sociala medier och hämtar en stor del av nyhetsrapporteringen från internet. Praktiskt taget all information har på något sätt koppling till den moderna teknik som vi får till oss på individnivå. Också på samhällsnivå har enormt mycket hänt de senaste 15 20 åren. Alla våra bärande system är på ett eller annat sätt beroende av modern informationsteknik. Det gäller sjukvården, elförsörjningen, livsmedelsförsörjningen, vattenförsörjningen och försvaret. Alla våra samhällsbärande system bärs upp av den moderna informationstekniken . STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN På många sätt har denna utveckling haft enormt positiva effekter, inte minst socialt genom de kontakter vi numera kan hålla, och ekonomiskt. Effektiviteten i hur vi producerar och använder våra resurser har ökat enormt till följd av den moderna tekniken – minskad resursanvändning. Människor kommunicerar över hela jordklotet, och marknaderna fungerar med ökad konkurrens på ett helt annat sätt än tidigare till följd av att man får mycket mer information om utbud på marknaden, priser och så vidare. Det har lett till enormt positiva ekonomiska och sociala effekter, också enormt positiva politiska och kulturella effekter – bara detta att vi numera alla kan delta i ett globalt politiskt samtal på ett sätt som vi aldrig kunde tidigare. Vi kan nå ut till fler människor än vad vi har kunnat göra. Det handlar om åsikter men också om kulturaktiviteter som vi kan ge uttryck för på olika sätt. Det är naturligtvis en enorm breddning av vår möjlighet att nå ut i världen. En annan positiv aspekt att tänka på när det gäller den nya tekniken är att hela samhället tenderar att bli alltmer transparent, vilket är både positivt och negativt. Det är positivt därför att det innebär att granskningen av makthavare –politiska, ekonomiska eller i näringslivet – har förbättrats för exempelvis medierna. Det är en dramatiskt ökad transparens, något som på det hela taget är positivt. Men – och det är det som vi ska tala om nu – det ökade beroendet av den moderna tekniken, som griper in överallt i alla våra samhällssektorer, medför också betydande risker för oss. Det gör oss, som ordföranden sa, mer sårbara än vad vi har varit tidigare. Vad det handlar om är att även i det moderna samhället måste vi se till att vissa saker förblir hemliga. Det är det som är den stora utmaningen. Vad är det då för saker som ska vara hemliga? Det kan till exempel röra sig om känsliga personuppgifter som den offentliga sektorn kan ha, till exempel patientjournaler, uppgifter från brottsundersökningar och förundersökningar som polisen gör och mycket annat, men det kan också vara känsliga personuppgifter som den privata sektorn sitter på. Vi har precis kunnat följa den stora diskussionen om Facebook, där det verkar ha läckt uppgifter som inte var tänkta att läckas men som kom företaget till del och sedan kunde användas på olika sätt, till exempel för att påverka opinionsbildning och samtalsklimat i olika länder och för att manipulera oss på olika sätt. Känsliga personuppgifter som måste vara hemliga ska också vara hemliga. De ska inte säljas, de ska inte komma ut och hamna i vidare kretsar än vad som var tänkt. Affärshemligheter måste också förbli hemliga, för om de kommer ut riskerar det att skada näringslivet väldigt allvarligt och därmed företagens konkurrenskraft. Också alla system som styr och bär upp sjukvård, el, livsmedel och andra viktiga samhällsfunktioner måste vara hemliga i den meningen att man inte ska kunna nästla sig in i dem för att kunna slå ut dem. Slutligen och inte minst måste också försvarshemligheterna vara hemliga. Vår utmaning är denna: Vi ska skydda samhällsviktig, känslig och hemlig information från intrång, sabotage och läckor, och vi ska göra det i en miljö som är mer transparent . Det är detta som är den stora utmaning STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN som vi har framför oss, och den blir svårare eftersom vi dessutom vet att det finns de som på olika sätt faktiskt vill skada oss och våra system. inte åt mediers legitima granskningsuppdrag, som ju är en sak, utan de vill på olika sätt destabilisera, förstöra och skaffa sig en förmåga att slå ut viktiga Hoten kan se olika ut. Vi kan ha att göra med enskilda hackare, som i många fall kanske bara vill testa om det går att ta sig in i syste- men, kanske för att bli hjältar i den egna subkulturen. Dessa individer finns, vilket är illa nog, och det ska vi förstås se allvarligt på. Det blir dock ännu värre när man har ett ont uppsåt för att ta sig in i de här Här kan det röra sig om olika aktörer, till exempel terroristgrupper som ju kan inrikta sig på att slå ut viktiga samhällsfunktioner för att på det sättet sätta skräck i befolkningen och driva fram en egen politisk agenda. är för övrigt bakgrunden till att också dataintrång nu tas in på listan över brott som kan utgöra terrorbrott. Detta är en del i det nya EU-direktivet som defini- Från och med att det implementeras blir också dataintrång klassat som ett möjligt terroristbrott. Vi kan ha att göra med hot som terroristgrupper. också främmande makt utgöra ett hot. Syftet kan vara att försöka komma åt våra hemligheter i fredstid för att kunna använda dem i krigstid eller i tider av De kan kanske till och med använda sig av uppgifterna som ett första angrepp mot ett land, först cyberangrepp för att därefter gå vidare till Det kan mycket väl vara en strategi som främmande makt kan ägna sig åt. Det finns alltså ett stort behov för oss av att höja säkerheten och vår bered- skap generellt sett i det här avseendet, och det vet jag att det råder mycket stor Det kom till uttryck i Försvarsberedningens senaste rapport. har också kommit till uttryck i de blocköverskridande försvarspolitiska upp- görelser som har träffats . innebar en höjning av ambitionsnivån när det gäller det civila försvaret på ett sätt som vi inte har sett de senaste 15 20 åren. går vi in med mer pengar, sammanlagt 1,3 miljarder, över 400 miljoner kronor 2018, 2019 och 2020, för att höja den civila beredskapen gene- Det handlar om en lång rad åtgärder, också på cybersäkerhetsområ- Vi talar till exempel om ökade anslag för MSB, Säkerhetspolisen och FRA för att stärka vår motståndskraft mot it-angrepp. Vi talar om särskilt riktade pengar mot kommuner och landsting, bara till den sek- torn, för att de bland annat ska kunna höja sin beredskap och stärka informat- I vårändringsbudgeten, som vi presenterade i går, finns ytterligare drygt avsatta till Försvarsmakten för att höja sin cyberförsvars- I vårändringsbudgeten finns också ytterligare pengar, 34 miljoner till MSB och de myndigheter som ska bli tillsynsmyndigheter, när vi implemen- STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Jag ska säga några ord om NIS-direktivet. Det är en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. Det medför krav på leverantörer av samhällsviktiga tjänster inom energi-, bank- och transportsektorerna, finansmarknaderna, hälso- och sjukvården, dricksvattenområdet och den digitala infrastrukturen att höja beredskapen och säkerheten. De nya kraven omfattar också, till skillnad från tidigare, en stor mängd privata aktörer. Propositionen om implementeringen av NIS-direktivet har lämnats från regeringen till för behandling. Detta är bara en del av de åtgärder som vi har genomfört. Det allra första vi gjorde den här mandatperioden var att införa en obligatorisk it-incidentrappor- tering. Man funderar över varför det aldrig har gjorts tidigare. har vi ett system där det är obligatoriskt för de statliga myndigheterna att anmäla till Försvarsmakten och MSB om man utsatts för olika former av it-incidenter av mindre eller större karaktär. får vi i alla fall ett grepp om vad det är vi ställs inför och vad det är för typ av hot det handlar om. är detta på plats, och vi har därmed en mycket bättre utgångspunkt. tog vi fram första strategi just för informations- och cybersäkerheten. Allt det som vi gör nu utgår från denna. Vi moderniserar säkerhetsskyddslagen. Det är också en produkt som ligger på bord. Nu- varande säkerhetsskyddslag är , så då förstår man att det finns ett stort reformbehov. Den nya säkerhetsskyddslagen stramar upp och skärper kraven och kommer också att kompletteras med sanktioner. Om man bryter mot säkerhetsskyddslagen måste det finnas sanktioner. En särskild utredare, , tittar på frågan. trädde den nya förordningen om samrådsplikt och vetorätt vid utkontrakteringar i kraft. Det innebär att statliga myndigheter måste samråda med antingen Säkerhetspolisen eller Försvarsmakten när man ska göra utkontrakteringar när det gäller säkerhetskänsliga uppgifter. Om eller Försvarsmakten säger att man inte ska gå vidare med en upphandling eller privatisering, då är det ett nej som gäller. De får helt enkelt vetorätt mot att fortsätta med den typen av processer. och Försvarsmakten får alltså sista ordet. Vi är just nu i färd med att genomföra de mest omfattande satsningarna och lagskärpningarna på mycket länge på området cybersäkerhet. Men vi är naturligtvis fortfarande bara i början, för vi måste under fortsätta att successivt höja säkerhetsnivån. Avslutningsvis ska jag nämna ytterligare några initiativ som ligger framför oss. Det första är en utredning som ser över gränserna för utkontraktering. Det är för övrigt som är utredare också i den delen. Vår utgångspunkt har varit att vissa saker som samhället inte måste ha i egen regi kan läggas ut på entreprenad och utkontrakteras, naturligtvis om det finns ett bra säkerhetsskyddsavtal att utgå från. Men sedan finns det vissa saker vilka inte ska utkontrakteras och som måste hanteras oerhört hemligt och säkert i bergrum, avlyssningsskyddade lokaler och ingenting annat. Då måste man veta vad STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN det är för typ av information. Därför måste vi höja myndigheternas kunskaper om vad det är för typ av uppgifter som de hanterar och sitter på. detta har varit oklara. Det andra jag vill nämna är att vi följer upp Försvarsberedningens förslag om en särskild myndighet för det psykologiska försvaret. Det är nu direktiv på gång till en sådan utredning. Det tredje jag vill nämna är att vi krigsplacerar personal på alla de be- vakningsansvariga myndigheterna, vilket ställer höga krav på att se till att också dessa uppgifter är hemliga. I krig måste vi naturligtvis hålla den typen av uppgifter för oss själva. Slutligen har vi gett MSB två nya uppdrag, dels att stärka allmänhetens och företagens motståndskraft mot it-incidenter, dels att tillsammans med länssty- relserna förbättra kommunernas informationssäkerhet. MSB kommer under de kommande åren att arbeta med detta. Vi är alltså mitt inne i en sådan process och ett sådant arbete. väldigt översiktligt berört några av de frågor som vi jobbar med. över detaljerna till de kommande föredragningarna från Säkerhetspolisen, För- svarsmakten, MSB och FRA. Jag tror att detta blir en väldigt nyttig och lärorik , Säkerhetspolisen: Herr ordförande och ledamöter! Det kan inte nog betonas hur värdefullt och viktigt det är att den fråga som vi talar om adresseras både brett och djupt. Allmänt kan man säga att det säkerhetspolitiska läget i har De senaste årens händelseutveckling i och Sve- rige har gjort att har fått en ökad militärstrategisk betydelse. Säkerhetspolisen, liksom andra av våra samarbetsmyndigheter, kan konsta- tera att det finns ökade militära förmågor i vårt närområde och att ut- sätts för it-angrepp. Detta visar att det finns både reella och allvarliga hot mot Den förändrade hotbilden mot har, som bekant, också inneburit att totalförsvarsplaneringen har återupptagits. Säkerhetspolisen är en av de myndigheter som har en viktig roll i det här Vi har ett uppdrag inom säkerhetsskyddsområdet, där vi framför allt bidrar med rådgivning och tillsynsarbete. Jag vill gärna framhålla att vi i detta och mycket annat arbete har ett mycket gott samarbete med FRA, Must och Det ger både bredd och djup i förmåga att arbeta inom säker- Det mest skyddsvärda i samhället är det som regleras i säkerhetsskyddslag- stiftningen och omfattar mer än 600 verksamheter i . samheter som är av vital betydelse för samhällets funktionalitet, vårt demokra- tiska system och politiska beslutsfattande. Det är verksamheter där konsekven- serna av en informationsförlust kan bli kritiska eller oacceptabla för STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Vi jobbar med att stärka skyddet hos de objekt och mål som är skyddsvärda utifrån säkerhet. Sårbarheter i it-system, bristande skydd av byggnader och illojal personal är exempel på sådant som aktörer kan utnyttja för att komma åt eller förstöra hemlig information hos myndigheter och institutioner. När Säkerhetspolisen för sedan gjorde en inventering på ett antal myndigheter kunde vi konstatera att det finns mycket som fungerar men också det motsatta. Det är framför allt tre saker som behöver uppmärksammas och åtgärdas: bristande säkerhetskultur, otillräckliga säkerhetsanalyser och utkontrakteringar som har gjorts eller görs. Det här är en enkel bild som visar vad vi kallar skyddsvärde, sårbarhet och hot. Den är tänkt som en förklaring till hur vi jobbar men framför allt hur vi vill att andra som jobbar med säkerhetsskyddsfrågor ska jobba. Några av de absolut viktigaste iakttagelser vi har gjort är att de myndigheter som är aktuella har bristande säkerhetsanalyser. De är inte på det klara med vilket skyddsvärde de sitter med och jobbar med. Då är det också svårt att göra en analys av vilket hot som finns mot dessa. Att skydda känslig information handlar lika mycket om att undvika följdeffekter, till exempel av att information som blockeras eller saboteras i ett centralt it-system får återverkningar i andra it-system som står i beroendeförhållande. I många fall ser vi att flera känsliga system hamnar i samma korg, på samma plats och i samma system. Det inträffar bland annat när verksamheter väljer att utkontraktera till exempel driften av it-system. Man ska komma ihåg att målet för angriparna inte alltid är att genomföra ett angrepp för att tillskansa sig information. Det kan även handla om att till exempel skapa förutsättningar att i ett senare skede påverka systemet. Man skapar möjligheten att påverka en vital sektor. Då kanske inte själva intrånget visar sig förrän , till exempel i samband med en krissituation. För att använda ett bildspråk som både försvaret och vi inom polisen ofta använder arbetar angriparna med att ta fram insatsplaner. De är inne i systemen och skaffar sig en bild av hur de ska kunna agera när de vill skada oss. Cyberhotet mot företag och myndigheter i är omfattande och ofta målinriktat. Angriparna som ligger bakom cyberhoten kan vara statliga aktörer eller, som justitieministern nämnde, enskilda aktörer. Målet för de statliga aktörerna är ofta det som är mest skyddsvärt och också det som säkerhetspolisen skyddar, nämligen demokrati. Informationen som angriparna vill komma över är vitala delar för demokratins funktion. Ett exempel är försvarsstrukturer och försvarsindustrin, då dessa verksamheter ytterst garanterar frihet och suveränitet. Andra exempel är finansiella system eller finansiella data. Det svenska samhällets kritiska infrastruktur är i hög grad integrerad med internet. Ett cyberangrepp kan få allvarliga konsekvenser för säkerhet och nationella intressen. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Brister som säkerhetspolisen återkommande upptäcker är exempelvis bris- tande säkerhetsinfrastruktur, såsom brandväggar, skydd mot skadlig kod och loggning av säkerhetsincidenter men också brister i det mest grundläggande skyddet, såsom lösenordshantering och internetåtkomst till nät för dem som inte bör ha det. I takt med digitaliseringen och ett ökat beroende av informationstekniska system har sårbarheterna i samhället blivit allt fler. Den högre graden av digi- talisering leder till större sårbarhet som hotet ökar. och skydd växer, vilket vi bedömer som mycket oroande. De elektroniska angreppen mot svenska myndigheter ökar, och cyberan- greppen blir mer avancerade. Säkerhetspolisen är medveten om underrättelse- hot från andra länder, vilka sker bland annat genom påverkansoperationer och Sannolikt kommer utvecklingen mot en alltmer lät- tillgänglig angreppsteknik att fortsätta, och fler länder kommer att bygga upp förmågan att utföra cyberangrepp. Det finns inte några avgörande skillnader i de verktyg som används av stats- aktörer och olika kriminella grupperingar. Dock skiljer sig målvalen. understödd aktör har förutsättningar att och med uthållighet ge- nomföra cyberangrepp jämfört med kriminella aktörer som har kortare uthål- Omfattande elektroniska angrepp är en stor utmaning. För att lyckas behö- ver vi titta på olika delar av hotet och sårbarheterna. Vi behöver också ha rätt kompetenser, framför allt inom it-säkerhetsområ- Vi ser framför oss ett utökat samarbete mellan myndigheter och med den Bland förändringarna i vår omvärld märker vi ett påtag- ligt underrättelsehot från främmande makt. Vi ser ett bredare hot, vilket har blivit alltmer påtagligt i och med att påverkansoperationer och underrättelse- verksamheten har fått mer uppmärksamhet i medierna. Sammantaget visar detta på vikten av att arbeta för att minska sårbarheten och öka skyddet för skyddsvärda verksamheter. Ett bra skydd handlar om fy- siska skydd, som lås eller larm. Det handlar om ett fungerande skydd för in- formationssäkerheten – hur vi förvarar och skyddar hemligheter. dare handla om personalsäkerhet och om säkerhetsprövning av personer som Det kan även handla om att göra säkerhetsskyddade upphandlingar. Utan detta finns risken att inte kan skydda sig mot angrepp mot vår Jag vill säga några framåtblickande ord. mellan hot och skydd och växer ser vi flera viktiga förändringar i arbetet med Den ökade mediala uppmärksamheten vad gäller sä- kerhetsfrågor och säkerhetsskyddsfrågor är positiv därför att allt fler aktörer påminns om vikten av ett proaktivt säkerhetsskyddsarbete. Som justitieministern nämnde har vi från en ny lagstiftning som gör att statliga myndigheter före utkontraktering av den egna verksam- STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN heten som innebär krav på säkerhetsskyddsavtal ska samråda med Säkerhetspolisen eller i vissa fall med Försvarsmakten. Det är bra. En del av satsningen inom säkerhetsskydd handlar om att proaktivt möta cyberangrepp, vilket Sä- kerhetspolisen gör tillsammans med andra myndigheter. Vi är även positiva till att regeringen har tillsatt en utredning om att ge Sä- kerhetspolisen och tillgång till FRA:s signalspaning parallellt med pågående förundersökningar. Detta skulle ge oss bättre möjligheter att utreda aktören bakom ett pågående cyberangrepp. Jag anser att vi framför allt behöver fortsätta att arbeta för att utveckla vår nationella förmåga att skydda samhällets mest skyddsvärda verksamheter mot allvarliga cyberangrepp. Vi behöver ständigt förbättra vår förmåga att upptäcka och respondera mot pågående cyberangrepp. Vi behöver vidareutveckla ett nära samarbete mellan myndigheter och andra samhällsaktörer för att bygga upp kompetens. Alla som bedriver säkerhetskänslig verksamhet har en nationell skyldighet att prioritera säkerhetsfrågor högt. Jag är personligen övertygad om att medvetenheten och kunskapen om säkerhetsfrågorna hos de berörda verksamheternas chefer och ledningar har ökat , av väl kända skäl. Däremot är jag mer tveksam till om allvaret har nått chefer längre ned i organisationerna och myndigheterna och medarbetarna längre ned i organisationerna och myndigheterna i deras vardagliga arbete, där de har att prioritera effektivitet, budget och andra frågor. För att detta ska fungera krävs ett långsiktigt och uthålligt arbete med att öka förståelsen för säkerhetsskydd. Eventuellt kan ett sådant arbete adresseras under paraplyet totalförsvarsplanering. Arbetet med att skydda oss är ett ansvar för hela samhället. Säkerhetspolisen och försvarsunderrättelsemyndigheterna gör en viktig del av detta arbete, men vi behöver stöd av fler aktörer för att lyckas med vårt mål: ett säkert . , Försvarsmakten: Herr ordförande och ärade ledamöter! Tack för inbjudan! Statsrådet tog upp möjligheten när det gäller hot från främmande makt.