rfr · H50WRFR18 · 2018-01-01 00:00:00 — Det är grunden för att åstadkomma ett bättre skydd, tror vi. Vad vi också behöver göra för att stärka cybersäkerheten i är att utveckla våra resurser på FRA så att vi kan hålla samma takt som de utländska statsaktörerna gör när de utvecklar sina förmågor. Därmed vill jag tacka. Jag har gått igenom de viktigaste delarna av FRA:s verksamhet och ser fram emot att svara på era frågor. Ordföranden: för detta anförande! är det för paus. Det finns kaffe i korridoren utanför. Vi återsamlas här inne , och då vidtar en frågestund med dem som har hållit anföranden. Ordföranden: har kommit till frågestunden. Det är ledamöterna i försvarsutskottet som kommer att ställa frågor. Det skulle uppskattas om man kunde rikta frågan till den det berör, det vill säga den aktuella myndighetsrepresentanten eller för den delen ministern. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN (S): Herr ordförande! Jag vill tacka alla som har talat och tagit upp detta viktiga ämne. Jag kommer att ställa mina frågor till både FRA och MSB, och sedan får vi se hur mycket det går att svara på mina frågor och Jag har till att börja med en direkt fråga, och det är: Kan vi se ökade aktivi- teter och attacker mot nu när vi börjar närma oss valet? någon tydlig del där detta har ökat och vad det skulle kunna innebära? När det gäller sårbarheten har jag en tanke. I den militära delen är man ju van att hantera information om system och har huvud- och reservalternativ. Men i det civila är allting kanske på ett annat sätt. rullar – jag läste nå- gonstans att en vara byter ägare kanske hundra gånger innan den kommer till sin slutdestination, med allt vad det innebär av säkerhet kring detta. se hur mycket som behöver göras egentligen? Vi är ju väldigt digitaliserade men också internationaliserade. Frågan är alltså: Kommer vi att ta ett helhets- grepp, och kommer våra internationella delar av det här att kunna finnas med i det arbete vi kan göra, både inom och inom EU? , Myndigheten för samhällsskydd och beredskap: Tack för frå- Om vi börjar med det här med ökade attacker inför valet handlar det i grund och botten om påverkansprocesser. Detta ligger kanske lite utanför ämnesområdet men ändå i anslutning till det. Vi har fortfarande inte, från våra utgångspunkter, sett några tydliga tecken på att främmande makt försöker påverka valet. Det är vårt ställningstagande Vi följer dock detta löpande, , för att se om det finns någon asymmetri i flödet av information som kommer till utifrån. När det gäller sårbarheter tror jag att den frågan är väldigt viktig. som behöver fundera på – och regeringen med, för den delen – är hur man ska ta sig an frågeställningen om cybersäkerhet och informationssä- kerhet när så många aktörer är inblandade. Jag försökte i mitt inledningstal understryka vikten av att inte tro att man kan organisera fram cybersäkerhet. Cybersäkerhet måste för mitt vidkommande finnas i alla aktörers tänkande. Jag tror att det var som sa ungefär: The incoming tide lifts Systemet måste alltså höjas sammantaget, och det är det förhållnings- sättet som är viktigt. Där FRA, Must och har spetskompetenser kring det allra mest skyddsvärda är MSB mer inne på bogen på det övriga samhället och ger stöd och support för att de aktörerna ska kunna bli duktigare på det syste- matiska och riskbaserade informations- och cybersäkerhetsarbetet. , : Jag kan bara understryka det Vi ser också ökade attacker, men vi kan inte härleda dem till just valet. Vad gäller den andra frågan är den samverkan vi har mellan alla de myn- digheter som jobbar med cybersäkerhet viktig. Det är också viktigt att titta på STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN vilka processer vi har för att hantera cybersäkerhetsfrågorna och ensa dem och våra åtgärder i hela samhället. (M): Mycket intressant har sagts inledningsvis. Jag delar ministerns synpunkt att hemliga uppgifter ska hållas just hemliga. Det är nog en slutsats vi kan dra efter säkerhetshaveriet i Transportstyrelsen . Nog om det. Myndigheterna är inne på att vi måste förbereda bättre och höja vår beredskap. Generaldirektör säger att det också handlar om resursförstärkningar. Jag tror att det i MSB:s budgetunderlag finns ett äskande om mer. Jag vänder mig nu till Försvarsmakten. Försvarsmaktens budgetunderlag för är allt som allt ungefär 18 miljarder. Om man inte skulle komma upp i dessa nivåer –2021, vilka blir då konsekvenserna för just cybersäkerheten? En del av de saker som görs och är planerade att göras i Försvarsmakten handlar om den aktiva cyberförmågan, om övningar och om investeringar i infrastruktur som ledning och samband. Alltså: Vad blir konsekvenserna för cybersäkerheten om man skulle ligga väsentligen under det äskande Försvarsmakten har i sitt budgetunderlag för åren 2019–2021? , Försvarsmakten: Frågan handlar om Försvarsmaktens budgetunderlag och den hemställan om ökad ekonomi vi har där och om konsekvenserna om denna hemställan inte materialiseras. Så som vi har lagt upp vårt underlag har vi redovisat för regeringen i en särskild bilaga just behoven inom cyberförsvarsdelarna. Det är en del av det senaste budgetunderlaget. Om det blir väsentligt lägre ekonomiska nivåer än de vi hemställer om kommer det att ge en fortsatt ökad förmåga i cyberförsvarsoperationer men i en lägre takt. Hur mycket lägre takten i så fall blir är givetvis en fråga om hur de ekonomiska resurserna fördelas och prioriteringar inom myndighetens verksamhet. Men att det blir en lägre tillväxt i den förmågeutveckling som vi bedömer är viktig är givet. (S): Herr ordförande! Jag tackar talarna. Flera av er har varit inne på vikten av att i vardagen jobba systematiskt med dessa frågor. Ni har också pekat på vikten av att höja lägstanivån och att jobba med kulturfrågorna i myndigheterna. Detta är påpekanden som ligger väl i linje med de rekommendationer som har i sina återkommande granskningsrapporter. Med risk för en ledande fråga: Utifrån den obligatoriska it-incidentrappor- teringen, hur många av dessa intrång och attacker hade kunnat undvikas med relativt enkla medel, alltså att vi tar frågor om lösenord på allvar och inte slarvar med usb-stickor och så vidare? STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN , Myndigheten för samhällsskydd och beredskap: Herr ordfö- Frågan handlar om vad det går att föregripa med hyfsat enkla medel. Låt mig börja med att reflektera något över hur vi på MSB har utformat Vi har fått ge närmare förskrifter, och vi har sorte- rat på att det är allvarligare incidenter som ska rapporteras. När vi ser hur rap- porteringen ser ut finns det anledning att fundera på om vi behöver justera och nyansera detta något för att få ett bättre underlag, för det är inte tillräckligt många som rapporterar . Vi måste utöka rapporteringsgraden från myn- digheter och berörda aktörer och få alla att inse att man är en del av ett gemen- Det låter kanske lite schablonaktigt, men det är tillsammans som vi blir starka. Jag kommer inte ihåg alla detaljer, men när vi ser vad som rapporteras in är det dels angrepp, dels brister i hård- och mjukvara och dels trojaner och sådant som skickas in mot oss. Jag talade med chefen för avdelningen för cybersäker- het hos oss, och mycket handlar om att cyberhygien skulle förbättra läget. Som Säpochefen sa har de högsta cheferna i organisationerna nog lärt sig den hårda vägen att detta är allvarlig materia och frågor som kanske underskattades tidigare. De har fått detta skarpt inpräntat i sig, inte bara genom mediernas hantering utan också via sina uppdragsgivare, omgivning, verksamhetens logik med mera. Det är dock inte säkert att hela organisation- erna inser allvaret på samma sätt, och därför behöver vi jobba systematiskt och riskbaserat i dessa frågor för att komma framåt. (M): Tack för spännande dragningar! Jag har en fråga till justitie- Det är bra att regeringen har satt igång direktivarbetet vad gäller ett nytt Det är också en fråga som har lyfts upp i Försvarsbered- Det är dessutom en gammal moderat käpphäst, så det är positivt. svarsberedningen har tittat ganska ingående på dessa frågor, och en slutsats som vi drog gemensamt är att vi tycker att regeringen ska se över hur tillsyn och övervakning ska samordnas. Det är ganska många myndigheter inblan- dade, och fler blir det med NIS-direktivet. Min fråga till statsrådet är: När tar regeringen ett initiativ vad gäller att När många kockar har samma uppdrag är risken stor att saker hamnar mellan stolarna. Justitie- och inrikesminister : Vi jobbar givetvis på det. jobbar med direktiven för Utredningen om psykologiskt försvar, och vi kom- mer att kunna presentera direktiven . Därefter ska vi utse en utre- dare och få igång själva processen. Uppdraget pågår till 2021 då den nya myn- digheten ska vara på plats. Jag tror att vi behöver göra två saker: först se över upplägget av en ny myndighet och sedan ha ett särskilt uppdrag för att sjösätta Det blir alltså två steg i denna uppbyggnad. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Vad gäller tillsyns- och övervakningsfrågorna är det givetvis också ett arbete som vi kommer att inleda. Det finns flera olika spår. Vi har samordningen av det civila försvaret. Här jobbar vi med direktiven till denna utredning, som också kommer från Försvarsberedningen. Vi har också den övergripande tillsynsfrågan. Vi återkommer givetvis i den delen när vi är färdiga med det arbetet. (SD): Till Försvarsmakten: Jag ser cybersäkerhet som ett vapensystem som ingår i en vapenarsenal. Det kan användas på många olika sätt. Hur ser ni själva på att betrakta detta som ett vapensystem? Jag undrar också om det behövs ytterligare forskningsresurser för denna verksamhet eller om det räcker som det är. Till FRA och : Kan man peka ut vilka länder som sysslar med denna typ av främmande påverkan? Har ni ett underlag som gör att ni med säkerhet kan säga vilka länder som sysslar med detta? Till MSB: I texterna står det mycket om samordning, vilket är glädjande. Det krävs samordning om det ska få någon riktig verkan. Jag vill gärna ha en kommentar från MSB om länsstyrelserna och kommunerna. En del kommuner har inga handlingsplaner för att kunna fortsätta sin verksamhet i händelse av en beredskapshöjning, medan andra har det. Har MSB ansvar för att följa upp hur det ser ut? , Försvarsmakten: Hur ska man se på cyberförsvar? Generellt sett arbetar Försvarsmakten alltid med att kunna anpassa de förmågor vi har till en hotmiljö, framför allt en hotmiljö i höga konfliktnivåer. Man kan dra en parallell till telekrigsförmåga. Det är en känd förmåga som Försvarsmakten har sedan ett stort antal år tillbaka. Det handlar om att upptäcka vad motståndaren gör på telekrigsarenan och att själv ha förmåga att kunna verka på telekrigsarenan. Man kan dra paralleller till cyberoperationer utifrån samma tänkande, så i någon mån kvitterar jag att det är ett system som går att likställa med andra system som Försvarsmakten har när det gäller hantering på höga konfliktnivåer. När det gäller behovet av forskning tror jag att vi alla svarade på det under förmiddagens sejour, och svaret på frågan är: Ja, vi behöver forska och hitta nya innovativa metoder för hårdvara, processer och mjukvara. , Säkerhetspolisen: Jag tar mig friheten att också kommentera den första frågan om vapen. Jag är väl medveten om att vi talar om cybersäkerhet, men några av oss har också nämnt påverkan och påverkansoperationer. Det är bra att hålla i minnet att det är ett brett spektrum av åtgärder som kan vidtas, allt från inlägg på Facebook till avancerade, kraftiga cyberangrepp. Allt detta finns inom spannet, och det är viktigt att ha i minnet. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Vilka länder handlar det om? Det finns ett antal länder, men det land som har såväl avsikt som förmåga och uthållighet är . matiskt inom hela det spann av påverkansoperationer som jag nämnde inled- , : Av säkerhetsskäl berättar vi inte vem som ligger bakom angreppen, men vi vet ju. , Myndigheten för samhällsskydd och beredskap: Herr ordfö- Som vi vet är det ansvarsprincipen som är den bärande i den svenska samhällsstrukturen, vilket innebär att var och en har ansvar för sin egen in- formation och för att skydda det som ska skyddas. Det gäller också kommu- MSB:s allmänna uppdrag är att stötta och samordna offentliga aktörer och organisationer som har informationssäkerhetsansvar, inte att ansvara för in- Det hindrar dock inte att vi bör ta ytterligare ett steg framåt, inte minst enligt regeringen, som har skjutit till mer pengar till inform- ationssäkerhetsarbetet både till oss och till andra aktörer och gett oss ett upp- drag att jobba mer med kommunerna. För oss är det en spännande utmaning, för vi har ganska stora problem att jobba direkt med alla kommuner. De är många, så vi måste hitta plattformar för att jobba med kommunerna. Då är länsstyrelserna viktiga för oss, men vi har också andra plattformar för att ge stöd och inriktning till kommuner. gefär så ser situationen ut. (V): Händelserna i samband med Transportstyrelsen visar på risken med utkontraktering av viktig och känslig it-verksamhet. är uppenbart att det är ett stort riskmoment att lägga ut säkerhetskänslig in- Min uppfattning är att utkontraktering av it-verksamhet inom den offentliga förvaltningen ska undvikas så långt det är möjligt. Mot bakgrund av det vi har hört från justitieministern och chefen för Säkerhetspolisen är min fråga till främst ministern: de åtgärder som vidtagits tillräckliga, eller behöver vi utveckla ännu tydligare riktlinjer för ut- kontraktering av it-verksamhet i den offentliga verksamheten? Justitie- och inrikesminister : Det korta svaret är: Nej, de är inte tillräckliga. Det var därför jag nämnde den särskilda utredning som jag har bett att göra för att se över just gränsdragningarna. kan man egentligen utkontraktera med ett säkerhetsskyddsavtal? man inte ska utkontraktera, och vad måste vi se till att hantera under ännu Det finns ju ärenden vi bara hanterar i avlyssningssäkra rum där mobilerna får stanna utanför. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN Det handlar om hur gränsdragningarna ska göras och hur myndigheternas kompetens ser ut för bedömningen av de olika uppgifter som de sitter på. Jag tror nämligen att en del av de problem vi har stött på har att göra med att myndigheterna inte alltid förstår vilken känslig information de sitter på. Säpochefen var också inne på att det finns en stor brist här vad gäller beredskap och kompetens, och det måste vi jobba med. Men det behövs även ett utökat regelverk, och därför har vi gett detta uppdrag. Det har nog varit en kultur ibland av att lägga ut saker på entreprenad för att det ska vara så. Men den principen är nu bruten, och det är säkerheten först som gäller. (MP): Min fråga går i första hand till statsrådet. Vi har diskuterat det nationella samarbetet mycket och hur vi ser till att cybersäkerheten funkar mellan myndigheter och så. Men frågan är också, åtminstone delvis, internationell till sin karaktär vad gäller desinformationsproblemet, som är något som många europeiska länder känner igen sig i, och intrång och olika sårbarheter, som kan finnas i många olika länder. Kan statsrådet utveckla hur de internationella samarbetena ser ut inom EU och inom andra forum för att motverka detta? Justitie- och inrikesminister : Herr ordförande! NIS- direktivet, som ligger på bord, är ett exempel på nödvändigheten av att lyfta upp säkerhetstänkandet i hela EU-sfären så att det blir en generell uppstramning på EU-nivå. Det är ganska ingripande, för det gäller inte bara offentliga aktörer. I och med implementeringen kommer vi att ställa mycket högre krav även på privata aktörer och leverantörer av olika tjänster. I för vi inrikesministrar givetvis en diskussion om de påverkansoperationer som kan pågå mot oss. På EU-nivå finns en hög medvetenhet om detta, och det vidtas åtgärder i hela organisationen för att säkra upp den. , Säkerhetspolisen: Låt mig bara kort kommentera den tidigare frågan om lagstiftningen är tillräcklig när det gäller utkontraktering. Inom Sä- kerhetspolisen använder vi oss av ett sätt att försöka förklara detta: En del av det är säkert lagligt, men de som vill göra det borde fundera på lämpligheten. Som ministern var inne på tidigare och som jag försökte förklara är det viktigt att man dels gör ordentliga riskanalyser av vilket skyddsvärde man sitter på, dels tänker i två eller tre led på om den information man vill utkontraktera medför risker för den egna verksamheten eller för andras. Alltså: laglighet, ja, men också lämplighet. Jag anser att aktörerna själva måste ta ansvar för detta. Trots min korta tid på denna position upplever jag att det finns ett mycket bra samarbete i dessa frågor med säkerhetstjänsterna i såväl som övriga . Det är högst aktuella frågor för oss där vi diskuterar STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN och tittar på modus och på vilka skyddsåtgärder och sårbarhetsreducerande åtgärder vi kan vidta. (S): Min fråga går främst till Säkerhetspolisen och MSB och utgår från det som Säpochefen sa om sårbarheten på grund av otillräckliga säkerhetsanalyser och okunskap om vad som behöver skyddas. Jag undrar hur det ser ut i kommuner och landsting i denna del och vad som kommer att krävas för att öka medvetenheten och kunskapen i dessa frågor i just kommuner och landsting. , Myndigheten för samhällsskydd och beredskap: Herr ordfö- Jag tror att jag nämnde i min inledning, måhända alltför snabbt uppläst för att uppfattas i alla delar, att det enligt är endast 15 procent av kommunerna som genomför regelrätta, systematiska och riskbase- Denna siffra måste upp betydligt, och det är ett av skälen till att regeringen har agerat, skjutit till pengar och gett oss i uppdrag att stötta ytterligare. Det är som jag sa i min inledning om det fjärde budskapet: Det är vardags- Den nya dimensionen av offentlig förvaltning är att ha en god cyber- hygien och att kunna identifiera vilken skyddsvärd information man har. är det allra mest skyddsvärda, och vad måste man till varje pris ha bra system Vilka system har man, och hur är de sammanbundna med varandra? har vi kanske bra säkerhet i vissa system, men de är samman- bundna med andra som inte har så bra system. Jag minns att inom polisen fanns det väldigt många system, och alla hade inte samma säkerhetsnivå. Det är ett gediget hantverksarbete som ska till på detta område, och vi har en modell som vi erbjuder som stöd för detta. Givet det uppdrag vi har fått får vi se hur vi kan flytta fram positionerna ytterligare. Så till landstingen. Vi har ett särskilt uppdrag att titta på hälso- och sjukvårdens förmåga. Vi är inte färdiga med det arbetet, men jag blir förvånad om vi hittar system som är helt säkra och trygga, med tanke på att det inte finns i resten av samhället. Jag misstänker att vi kommer att hitta brister, som vi ska påtala och arbeta med tillsammans. , Kommuner och Landsting: Frågan om plattformar för att nå ned till kommunerna var uppe förut. I det nya regeringsuppdraget till MSB står det om samverkan med SKL och samarbete med länsstyrelserna. Sedan rapporten har mycket skett. högkvalificerat arbete, och SKL tillhandahåller ett nationellt metodstöd som går hand i hand med MSB:s metodstöd. De aktuella siffrorna visar att vi har 245 organisationer som arbetar med detta i över 200 kommuner och, till dags STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN dato, 2 700 handlingsplaner. Man går alltså från klassning ned till upphandlingskrav och ISO-säkerhetsskydd. Det är ganska unikt. Jag vill lyfta fram att detta är en viktig del i samverkan att nå ned. (KD): Tack för intressant information! Cyberattacker ökar , och flera av er har varit inne på att detta ökar hoten. står det i tidningarna om den varning som gick ut från och i går om en pågående global cyberattack riktad mot myndigheter och företag. Man påstår att det är som har tagit kontroll över miljontals routrar och kan läsa all information. Det var kollega i som hade kommenterat detta. Har ministern eller någon annan här någon information om detta? Man påstår att man har varnat för att också kan drabbas. Min andra frågar riktar jag till Säpochefen. Hur skyddas valsystemet konkret? Det sägs på SVT att man har problem att ta bort gamla konton på kontoret. Hur är det egentligen, kan vi försäkra dem som är oroliga att ni har kontroll över it-riskerna kopplade till valet ? , Säkerhetspolisen: När det gäller den första frågan har vi känt till denna varning och detta modus . Vi vet att det finns och att det har använts tidigare. Jag har ingen kunskap om att vi just i går fick en underrättelse genom våra kanaler, men vi är inte överraskade av detta. Den specifika frågan om kontona kan jag inte svara på, för det har jag ingen kunskap om. När det gäller valet och ansvar och uppdrag, där vi har varit med och gjort analyser och stöttat med rådgivning, är vår bild att vi har ett robust valsystem i , bland annat för att vi inte är helt beroende av cyber, internet eller data eftersom det till stora delar är manuellt. Även om skulle utsättas för påverkansoperationer i detta avseende känner vi oss trygga med att det kan genomföras ett val som blir rätt och riktigt. Men någon försäkran vill jag inte ge. Justitie- och inrikesminister : När det gäller valsystemet vill jag påminna om att vi hade en rätt stor diskussion om att gå över till digitala val också i . Det fanns konkreta förslag på detta. Vi valde att säga nej till det av just det skäl som togs upp, nämligen en väsentligt ökad sårbarhet. Att ha valsedlar i papper som vi låser in, räknar och sedan kan kontrollräkna om det behövs ger ett mycket säkrare system. var vi alltså på väg in i ett digitalt system, men på bland andra vårt initiativ avstod vi från det. Det system vi har känns både säkert och stabilt. Det kan förstås utsättas för olika risker, men riskerna hade ökat betydligt om vi hade gått över till ett digitalt system. STENOGRAFISK UTSKRIFT FRÅN UTFRÅGNINGEN , Myndigheten för samhällsskydd och beredskap: Herr ordfö- Vi har ett särskilt uppdrag att titta på påverkansoperationer i cybermiljö inför valet och följer naturligtvis detta nogsamt. Min uppfattning och den kun- skap vi har är att den företeelse som nämnde och som nämns i medierna har funnits . Vi har fått kunskap och information om detta via den funktion som vi har. Detta har diskuterats. För någon dag sedan kom mer formell information om analys, konsekvenser och respons, och vi håller på att titta på den för att se om det finns någon anledning att göra någon typ av reflektion från vår sida. Detta har en längre historia, och det är internationellt snarare än kopplat till det svenska valet. Det är vår uppfattning. (M): Jag har en fråga till justitieministern om it-kompetensen hos politiker i våra politiska beslut. Vi ser att vi måste ta hänsyn till ekonomi, tänka på frågor jämställdhets- mässigt och ha många olika perspektiv, men it-säkerheten har aldrig varit på agendan på det sättet när vi fattar beslut. Utifrån sommarens händelser kan vi se att det var lägre kompetens inom politiken som gjorde att det blev problem. Har justitieministern några planer för hur vi som politiker ska bli bättre på Justitie- och inrikesminister (S): Just den frågan är föremål för granskning av KU, så vi ska inte springa före där när det gäller att fördela skuld och vem som egentligen bär ansvaret för den delen. Allmänt kan jag dock säga att jag tror att vi alla måste ha it-säkerhetsa- spekterna i åtanke när vi fattar nya beslut. Det som jag precis nämnde om vårt valsystem var precis en sådan situation. När jag gick ut och sa att vi inte ska gå över till ett digitalt röstningssystem reagerade oppositionen i KU – era kol- De sa: Vad är nu detta? Tänker regeringen lägga om politiken? klart att vi ska ha ett digitalt valsystem. Vi hade ett samtal på med oppositionspartierna i KU om detta, och vi kom gemensamt fram till att det nog inte var någon bra idé och att vi skulle ha kvar det röstningssystem som vi har. Det är ett exempel på där man ser vilka risker man löper och därmed lägger om politiken.