rfr · H50WRFR18 · 2018-01-01 00:00:00 — Med det som utgångspunkt tänkte jag knyta an till regeringens informations- och cybersäkerhetsstrategi, där det anges att det ska finnas ett utvecklat cyberförsvar för att säkerställa den funktionalitet som behövs för att skydda samhällsviktiga funktioner och det som är mest skyddsvärt mot kvalificerade antagonistiska angrepp. Samma strategi anger också att Försvarsmakten ska stärka den förmåga som vi har att försvara oss mot den typen av angrepp. Det är precis det vi gör –det är detta vi jobbar med dagligdags. Vi gör det genom det cyberförsvarskoncept som vi har för Försvarsmakten. Detta är ett koncept som handlar om Försvarsmaktens förmåga att genomföra defensiva operationer, det vill säga STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN att förvägra en motståndare möjligheten att påverka Försvarsmaktens olika system. Det handlar också om förmågan till ett offensivt agerande, som ytterst syftar till att avbryta ett pågående angrepp, till exempel vid höjd beredskap. Denna förmåga och detta koncept bygger på ett antal olika faktorer på ett antal olika områden. Det handlar om att skapa säkra system och säkra processer genom kvalificerad drift och förvaltning, genom att vi ställer säkerhetsskyddskrav och åstadkommer såväl fysiskt som logiskt skydd för våra system och verksamheter samt genom att vi anpassar regelverk av olika slag – det kan gälla administrativa regelverk och för den delen också juridiska regelverk när så behövs. Det handlar om att vi kan bedriva en utvecklingsverksamhet med forskning och innovation vad gäller såväl materiel som processer. Det handlar inte minst om kompetensförsörjning, vilket jag tror att vi kommer att komma in på under . Det gäller både rekrytering och hur vi utvecklar kompetensen hos de arbetare vi har i våra respektive organisationer. Det handlar även om bred samverkan, såväl mellan myndigheter som ut mot resten av samhället. Alla dessa olika områden och faktorer är grundpelarna i det koncept som vi jobbar med. Vad gör vi då? Jag tänkte berätta lite mer i detalj vad vi arbetar med inom dessa olika områden . Allmänt kan man säga att vi arbetar aktivt med de olika frågorna. Vi tar fram ett ganska stort antal åtgärdsförslag. Vissa rör sådant som vi genomför i Försvarsmakten , medan andra rör sådant som viräknar med att kunna genomföra, bland annat utifrån de ekonomiska tillskott som statsrådet nämnde annonseras i vårändringsbudgeten och utifrån andra åtgärder som vi har kommunicerat till regeringen som önskvärda i vårt senaste budgetunderlag. Generellt när det gäller åtgärder för informations- och cybersäkerhet handlar det om att separera system inom Försvarsmakten. Vi arbetar med att separera system som hanterar öppen information och system som hanterar sekretessklassad information. Syftet med detta är att skapa ett ändamålsenligt skydd för det som är riktigt skyddsvärd information som vi vill förbättra tillgängligheten till, och metoderna att arbeta med, det som är öppen information för att få en bättre fungerande vardag i verksamheten. Detta gäller både tekniska och administrativa åtgärder. Vi arbetar med att modernisera den tekniska infrastrukturen, till exempel transmissionsnät och datanät. Vi ersätter successivt äldre system med mer moderna system som är lättare att både försvara och hantera. Vi har till exempel ett nytt telefonsystem under utveckling. Detta är ett sätt att modernisera de system som vi har. Vi vet att det är viktigt att vara snabba i uppdateringen av såväl hårdvara som mjukvara. Erfarenhetsmässigt vet vi att snabbheten i uppdateringar är avgörande för en god säkerhet. Dessa åtgärder gagnar inte bara säkerheten i Försvarsmakten och i det som vi gör utan får också positiva effekter ut mot resten av totalförsvaret. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Vi förstärker också ledningen och samordningen vad gäller incidentrapportering och incidenthantering – två viktiga områden – samt den interna ledningen och samordningen i Försvarsmakten genom organisatoriska åtgärder. Jag ska nämna något mer specifikt om vad vi gör för att hantera de mest kvalificerade hoten. Vi utvecklar vår förmåga att successivt utarbeta lägesbilder. Dessa lägesbilder behandlar både statusen i Försvarsmaktens system och hoten mot dem. Vi jobbar med åtgärder för att tidigt upptäcka intrång eller försök till intrång och genomför också en förstärkt incidenthantering, vad gäller både snabbhet och adekvata åtgärder, när vi väl konstaterar försök till intrång. Sammantaget handlar det om stärkt förmåga vad gäller både den defensiva och den mer aktiva komponenten i cybermiljön. Utökad samverkan med andra parter är ett viktigt område. Jag ansluter mig gärna till det som chefen för sa om att vi har en god samverkan med de myndigheter som vi jobbar närmast, till exempel FRA, och . Vi har också en utökad samverkan och ett utökat samarbete med den privata sektorn angående hotanalys och ny teknologi. Metoder för uttagning och rekrytering av personal samt för kompetensförsörjning är andra viktiga åtgärder. Här arbetar vi i Försvarsmakten på metoder för att genomföra rekrytering av it-soldater, för att sedan kunna krigsplacera personer som har adekvat kompetens i organisationen. Vi vill också genomföra utveckling av former för gemensam kompetensutveckling mellan myndigheterna. Jag tror att det är viktigt att hitta flöden där våra medarbetare kan utveckla sin kompetens genom att jobba i olika samhällssektorer och på så sätt öka både den personliga kompetensen och den samlade kompetensen för organisationerna. Sist men inte minst behöver vi också stärkta möjligheter att träna och öva vår cyberförsvarsförmåga. Detta var en tämligen översiktlig genomgång av det vi arbetar med just . Vi vidtar ett ganska stort antal åtgärder. Vi har alla typer av förmågor på plats, men vi arbetar med att successivt utveckla dessa förmågor på bred front. Vi vet att det är en utveckling där vi aldrig kommer att bli färdiga, givet den utveckling som sker såväl i samhället som internationellt. , Myndigheten för samhällsskydd och beredskap: God förmiddag, herr ordförande, herr minister, utskottsledamöter och kollegor! Jag vill börja med att ge eko till tidigare talares uppskattande ord om att denna utfrågning om cybersäkerhet nu ordnas. Det är väldigt viktigt och ligger väldigt bra i tiden. Detta är en av de mest prioriterade frågorna för MSB, och jag tror att vi alla är överens om att den inte kommer att minska i betydelse. Detta är en fråga som följer med oss såväl i vardagen som i krisen och vid höjd beredskap, om något sådant skulle ske , vilket vi inte hoppas. Vi arbetar före, under och efter händelser i hela hotskalan. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Jag ska försöka att förmedla några budskap . första budskapet är att vår sårbarhet ökar. Den minskar inte, trots alla åtgärder, och detta är viktigt att konstatera. Jag återkommer till det. Försvarsmakten och talade – apropå min andra punkt – en hel del om det som är mest skyddsvärt. Jag vill understryka att vi inte bör glömma bort att hela samhället behöver höja lägstanivån. Den tredje punkten gäller att man bör vara försiktig och inte ha en övertro på att man kan organisera fram cybersäkerhet. Den sista punkten är inte särskilt gloriös utan rör det faktum att det i grund och botten är ett ganska vardagligt och tröstlöst gnetande som måste till för att skapa ett systematiskt informations- och cybersäkerhetsarbete. försöka att tala mer om. Den första frågan gäller den bild som jag nu visar. Den är viktig. som de flesta andra, bedömningen att det finns stora brister när det gäller in- formations- och cybersäkerheten i samhället. Mängder av åtgärder vidtas på politisk nivå, och resurser skjuts till. Detta är bra, men mer måste göras. geringens strategi på området, i Försvarsberedningens rapport och i Riksrevis- ionens granskningar ser vi att det finns stora brister. Detta kompletteras av det arbete och de granskningar som vi själva gör i olika verksamheter. I det incidentrapporteringssystem som har inrättats får vi också uppgifter som inte är särskilt glädjande. Det finns brister. Även i den privata samverkan bekräftas bilden av att gapet ökar snarare än minskar, trots alla våra goda fö- resatser och insatser. Detta länder till eftertanke. Vad är viktigt i samhället? Det är att slå in öppna dörrar när vi talar om att cyberattacker utgör ett allvarligt hot mot befolkningens liv och hälsa, mot sam- hällets funktionalitet och mot vår förmåga att upprätthålla våra grundläggande Vi vet alla – som justitie- och inrikesministern underströk i sin inled- ning och som även ni, herr ordförande, talade om – att samhället är sam- mankopplat för att kunna producera och distribuera de nyttigheter som vi tar Alla viktiga funktioner i samhället är beroende av modern tek- nik för att på ett effektivt sätt bedriva sin verksamhet. Det flöde av pengar, varor och information som krävs för att upprätthålla vår livskvalitet och kon- kurrenskraft är internationellt, och det är – som Säpochefen sa – inte ovanligt att samhällsviktig verksamhet ägs eller drivs av någon som hör hemma utanför gränser. Det är också värt att tänka på. Den bild som jag nu visar tycker jag är spännande. Den visar att digitali- På nästa bild, som jag nu visar, ser ni ett antal saker, varav vissa är väldigt skyddsvärda medan andra är vardagliga, till exempel dagstid- ningar, vattenverk, teleoperatörer och kollektivtrafik. Det är detta som det handlar om: hela samhället. Det finns mängder av verksamheter som vi måste värna för att upprätthålla våra grundläggande värden. Sjukvård, dricksvatten, transporter, elektroniska kommunikationer och me- dier är några viktiga verksamheter i samhället. Det handlar om vår offentliga förvaltning och om centrala delar av näringslivet. För att skapa motståndskraft räcker det inte med att bara fokusera på de mest skyddsvärda verksamheterna STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Jag menar därför att det ”civila cyberförsvaret” inte går att bygga bara utifrån det som är det mest skyddsvärda, utan det måste vara ett försvar av hela samhällets vitala funktioner och informationstillgångar. Detta är viktigt för mig att förmedla. Det går att peka på flera utmaningar i samhället, men jag vill lyfta fram kompetensförsörjning – som Försvarsmakten var inne på – och resurser hos alla de aktörer som ska vidta praktiska åtgärder för att öka säkerheten. Debatten om cybersäkerhet handlar ofta om hur vi ska styra och organisera på en central nivå, och dessa frågor är självklart viktiga. Men det som oroar mig och oss på MSB mest är hur vi som samhälle ska kunna skapa ett ökat arbete och ett ökat engagemang ute i verksamheterna runt om i hela . Det kompetenstillskott och de resurser som krävs är omfattande, herr ordförande. I uppföljning av digitaliseringen av det offentliga anges till exempel att av kommunerna har implementerat en modell för att arbeta systematiskt med informationssäkerhet. Vi vet alla hur stor och viktig verksamheten i de kommunala sektorerna är i förhållande till bland annat statlig verksamhet. Våra egna siffror om kommunernas arbete 2015 ger inte heller anledning till några glädjeskutt, kan jag säga. För att organisationer ska kunna öka sin säkerhet krävs kunskap. Det kostar också pengar att öka säkerheten. Som ni vet kom jag ganska från polisen. Vi pekade ganska kraftfullt på behovet av resursförstärkningar för att kunna möta samhällets utmaningar. Jag kommer in i en ny sektor, som innefattar cybersäkerhet, och jag konstaterar att samtalen påminner om varandra. Det saknas poliser – då gör vi någonting åt det. Vi höjer antagningen på , ökar anslagen och anställer fler. Vi konstaterar nu att det finns brist på kompetens även på detta område. Då måste vi vidta åtgärder även här – det är centralt för tryggheten . Jag vill säga några ord om vad vi behöver göra och om vad som görs. Det är fortfarande så att vi kan komma långt med det som är grundläggande. An- griparnas förmåga har ökat, men fortfarande skulle många angrepp kunna förhindras om organisationerna bara uppgraderade sina system och utbildade sina användare i grundläggande cyberhygien. Jag tror att det var Säpochefen som talade om att man inte ska klicka på konstiga länkar och att man ska använda starka lösenord. Det här är ganska enkla som skulle göra en stor skillnad. Ett systematiskt och riskbaserat arbete med informationssäkerhet lägger grunden för en cyberhygien och för att skydda organisationens information. I detta arbete kan MSB bidra på flera sätt och gör också det, bland annat genom det metodstöd för systematiskt och riskbaserat informationssäkerhetsarbete som finns på webbsidan . Vi har även en datorstödd informationssäkerhetsutbildning för användare som vi kallar . För oss är det viktigt att öka säkerheten i de industriella styrsystemen, som ibland kallas Scadasystemen. Dessa är system som till exempel styr och övervakar vår vattenförsörjning och vår elförsörjning. Här kan cyberangrepp inte STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN bara leda till informationsförluster utan också till fysiska konsekvenser och i värsta fall förlust av människoliv. Man kan angripa oss bakvägen, helt enkelt. När det gäller förmågor på samhällsnivå är det mycket svårt för en enskild organisation att ha all den kompetens som krävs för att klara av att bedriva ett Det kan handla om kravställning, metodstöd eller risk- och finns många viktiga förmågor utspridda i samhället. För att arbetet ska bedrivas resurseffektivt krävs att statliga myndigheter sam- ordnar sitt stöd samt att vi skapar samlade förmågor i samhället. Det första som jag skulle vilja trycka på är behovet av ett samordnat in- formationsutbyte och samverkan mellan privata och offentliga aktörer. avgörande att de privata aktörerna integreras mer i det nationella arbetet med informations- och cybersäkerhet. Vi på MSB har arbetat aktivt med denna fråga sedan starten och driver ett antal forum där vi utbyter inform- ation om risker, sårbarheter och lösningar. Detta samarbete är otroligt viktigt också när det händer någonting. Då kan vi snabbt komplettera den offentliga kunskapen med kunskap från den privata marknaden för att få en så bra läges- bild som möjligt och för att kunna ge en adekvat respons. Detta är ett arbete som naturligtvis måste fortsätta att utvecklas. Nästa punkt handlar om en samordnad kravställning och tillsyn. Här ingår en mer samordnad kravställning, tillsyn och in- Det kommer att ställas krav på leverantörer av sam- hällsviktiga tjänster i flera sektorer, exempelvis energisektorn och transport- I detta ingår även tillsyn. Vi kan nu hamna i ett läge där privata företag utövar tillsyn utifrån föreskrifter som liknar dem som statliga myndigheter ska följa när det gäller informationssäkerhet. Detta är bra. Jag konstaterar dock att till exempel vi själva inte har något mandat eller någon tillsyn från de statliga Man kan alltså säga att kontrollen av de privata aktörerna kan bli tuffare än kontrollen av de statliga. Det kanske ska vara så – jag vet inte – men det länder i alla fall till eftertanke. Så till den tredje punkten. För att öka cybersäkerheten behöver vi bygga en ännu mer samlad nationell förmåga att upptäcka och hantera cyberangrepp och Vi på MSB ansvarar för funktionen , som förebygger och hanterar it-incidenter på nationell nivå och som även är en del i det internat- ionella samarbetet med så kallade CERT-funktioner. CERT står för computer emergency response team. Detta är ett sätt att bygga en samlad nationell och, faktiskt, internationell förmåga att detektera vad som händer och ge adekvat respons. I mitten av feb- ruari övade 200 personer i cybersäkerhetsövningen Nisö 2018. ioner från områden som energi, transporter, elektroniska kommunikationer och sjukvård var med. av deltagarna kom från den privata sidan, vilket är otroligt viktigt. Detta var den tredje nationella övningen, och vi ser framför oss att göra det igen snart. Den sista punkten som jag vill nämna är en samordnad kunskapsutveckling Detta är helt avgörande för att vi ska kunna öka informations- och cybersäkerheten i samhället. Jag var inne på parallellerna STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN till polisen – här behöver vi göra mycket mer. Jag tyckte att det som Försvarsmakten nämnde om kompetensutvecklingsinsatser var spännande. Vi funderar mycket på hur vi ska kunna vara relevanta och rekrytera rätt personal inom MSB. Vi behöver jobba tillsammans och inte konkurrera om kompetensen. Jag tycker att det initiativ som tog var spännande. Man delade ut till tio projekt om cyber- och informationssäkerhet. Detta kommer att bygga både förmåga och kompetens. Denna typ av insatser kommer att behövas, herr ordförande. Slutligen har jag en sammanfattning. Vi har ökat tempot i arbetet med cybersäkerhet, men gapet sluts inte – det ökar. Vi på MSB har en roll när det gäller informations- och cybersäkerhet. Vi tar den rollen – vi kommer att stiga fram tydligare – men vi behöver också regeringens och hjälp att ställa högre krav på det offentliga. Ett systematiskt och riskbaserat arbete med informations- och cybersäkerhet är en grundförutsättning; alla organisationer måste få detta på plats. För att skapa motståndskraft och ett civilt cyberförsvar i samhället räcker det inte med att fokusera på de mest skyddsvärda verksamheterna, utan vi måste höja nivån i hela samhället. Glöm inte bort detta område när ni talar om resurser – detta är en investering för framtiden! , : Jag vill börja med att tacka för möjligheten att få beskriva vad FRA gör på detta område. Under mina har jag tänkt att beskriva FRA:s roll inom cybersäkerhetsområdet, och sedan kommer jag att berätta om vår verksamhet inom detta område. Redan inledningsvis skulle jag vilja ringa in vilket område vi arbetar inom: fientliga aktiviteter som kommer från utländska statliga aktörer eller statsunderstödda aktörer. Det är framför allt detta som utgör hotet mot och mot våra viktigaste samhällsfunktioner. FRA bidrar till att skydda de viktigaste funktionerna i vårt samhälle. Vi hanterar bara de hot som kommer från statsaktörer, men ändå har vi tillräckligt mycket att göra. Vi ser ett mycket stort antal angrepp från utländska statsaktörer. De visar en utomordentlig målmedvetenhet när det gäller att systematiskt hacka sig in i våra viktigaste system. Ändå ser vi på FRA inte allt. Vilka syften ligger då bakom detta? Syftena varierar, men de domineras av en vilja att komma åt information. Man kan ha rent kommersiella syften. Man vill ha information om kvalificerad teknik och om sådant utvecklingsarbete som har kostat mycket tid och pengar. Men vissa utländska statsaktörer är också intresserade av vapensystem och vill genom kunskap om svensk försvarsförmåga utveckla sitt eget militära uppträdande. Det handlar om klassiskt spionage som genom internet har blivit väsentligt mycket enklare, billigare och riskfriare än med tidigare metoder. En annan fullt tänkbar strävan är att genom skadlig kod sabotera vårt samhälle så STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN att vi inför en militärt skärpt situation ska mista de funktioner som vi behöver för att kommunicera, handla mat eller värma upp våra bostäder. Vi har redan hört beskrivas vikten av ett gott och systematiskt informat- Man ska ha genomtänkta system där skyddet dimension- eras efter de risker man ser. Att förbättra informationssäkerheten är såklart väldigt viktigt, men för de utländska statsaktörer som jag har beskrivit finns det inga inbrottssäkra miljöer. Enheter som är uppkopplade mot internet går att hacka sig in i; det är bara en fråga om tid, kompetens och resurser. ländska statsaktörer har alla tre sakerna: De har tid, kompetens och resurser. Bara genom att själv ha samma typ av kompetens och resurser kan man bygga upp ett skydd som kan upptäcka de mest kvalificerade angreppen. har vi byggt upp på FRA . Vår förmåga inom cybersäkerhet är i dag väl utvecklad, och den utvecklas också löpande. En fördel vi har på FRA är vår traditionella verksamhet, signalunderrättel- En stor del av den verksamheten sker numera på det globala nätet. Vi har stor kunskap om en del statsaktörers sätt att agera – vi vet hur skadlig kod används, och vi ser hur den används i praktiken. Det är kunskap vi får är arbetet med signalspaning mot omvärlden och med att skydda Sve- rige mot angrepp verksamheter som är ömsesidigt beroende av varandra. nalspaningsförmågan ger nämligen en unik bild av utländska angripare och Förmågan gör att vi har kvalificerad kunskap som också kan användas i arbetet med att stärka informationssäkerhet. Signalunderrättelseverksamheten och arbetet mot statsunderstödda it-angrepp vinner båda mycket på att finnas i samma organisation. Cybersäkerheten ger inte full effekt om den bara utförs åt andra. skilda arbete på FRA är självklart viktigt, men det får bäst utväxling om det sker tillsammans med andra. Genom de fyra myndigheter som finns represen- terade här ser vi hur staten har fördelat sina kompetenser och uppgifter. Vi gör det inte som isolerade öar utan genom ett gott samarbete, såväl syste- matiserat som mer informellt. Tillsammans bygger vi cyberförsvar. Vad gör vi då konkret på FRA för att hantera den cybermiljö vi har beskri- Från FRA:s sida bistår vi myndigheter och statliga bolag i deras inform- En rad myndigheter har fått sin it-säkerhet analyserad I det uppdrag vi får från myndigheterna ingår ofta att testa och försöka skaffa oss kontroll över deras it-system. När vi har avslutat granskningen bru- kar vi ha en diskussion tillsammans om hur deras it-säkerhet bäst ska utveck- Utländska statsaktörer har också resurser att utveckla skräddarsydda pro- gram för att tränga sig in i utvalda it-system. Då finns det i förväg ingen kun- skap eller kännedom om vilka program som används – inga antivirusprogram kommer att varna, hur uppdaterade de än är. Därför har FRA utvecklat ett tek- niskt detekterings- och varningssystem som larmar när det känner av vad som kan vara ny eller tidigare okänd kod. Information om angreppet skickas till- baka till FRA för analys. Vi kallar det TDV, och det är i drift hos ett antal STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Detta ersätter inte befintliga skydd, men det är ett viktigt komplement. FRA lämnar stöd till samhällsviktiga funktioner när det gäller att använda säkra kommunikationer. Försvarsmakten har ansvaret för att utvecklas och håller nödvändig kvalitet. FRA har kontakterna med de civila myndigheter som använder . Vi utbildar personalen och uppdaterar system. Ingen i det här rummet har missat debatten om outsourcing av it-tjänster och hur detta ska kunna göras mer eller mindre smart. Från FRA:s sida har vi publicerat en öppen rekommendationsskrift till dem som överväger att låta underleverantörer hantera it-driften. Om man följer våra rekommendationer kommer man att göra viktiga överväganden som avgör om outsourcing är en bra idé eller om det bara är att bjuda in till intrång från obehöriga. Regeringen gav FRA och Säkerhetspolisen ett uppdrag som motiverades av it-angrepp som till exempel Cloud Hopper. Vi skulle inleda ett fördjupat samarbete kring de mest skyddsvärda verksamheterna i vårt samhälle och hur de bör skyddas mot de allvarligaste hoten. Vi tycker att det är bra att ytterligare fördjupa samarbetet mellan oss på FRA, som ju har signalspaning och cybersäkerhet som uppdrag, och Säkerhetspolisen, som är säkerhetstjänst. har regeringen också sett till att Försvarsmakten är med i detta arbete. Till slut: Regeringen har gett Försvarsmakten uppdraget att utveckla och förstärka cyberförsvaret, och det ska enligt direktivet göras i nära samverkan med FRA. En väsentlig del i detta arbete är frågan om svensk kapacitet i aktiva förmågor i cybermiljön. En sådan kapacitet vore väldigt viktig och en mycket naturlig del av ett framtida svenskt cyberförsvar. Som ni hör genomförs det mesta av FRA:s verksamhet inom cybersäkerhet i nära samverkan med andra. Vi vet att cybersäkerhetsarbetet ger full effekt och får bäst utväxling om det utförs tillsammans med andra.