sou · H8B358 · 2020-09-30 00:00:00 — FMV/CSEC har att, i samverkan med MSB, medverka i europeiska och internationella arbetsgrupper i syfte att utarbeta detaljerade krav på it-säkerhet och evalueringsmetodik för specifika typer av it-produk- ter av intresse för , t.ex. USB-minnen och databashanterare. 5FMV bedriver också försvarsunderrättelseverksamhet enligt 2 § förordningen (2000:131) om försvarsunderrättelseverksamhet. 6Samlad informations- och cybersäkerhetshandlingsplan –2022, Redovisning , s. 21. FMV och det nationella certifieringsorganet CSEC Enligt myndighetens instruktion (5 §) ska det vid FMV finnas ett nationellt certifieringsorgan för it-säkerhet i produkter och system. FMV/certifieringsorganet ska verka för att uppnå och vidmakthålla internationellt erkännande för utfärdade certifikat. Inom FMV be- drivs arbetet av enheten CSEC (Certifieringsorgan för it- säkerhet) som har en oberoende ställning inom myndigheten.7 CSEC verkar som nationella certifieringsorgan för it- säkerhet i produkter och system enligt den internationella standarden Common Criteria (CC). CSEC ackrediterades som nationellt certi- fieringsorgan 2008. Swedac utövar regelbunden tillsyn över CSEC för att säkerställa att certifieringsorganet håller den standard som ligger till grund för ackrediteringen.8 CSEC:s huvuduppgifter är att utöva tillsyn över evalueringar, granska evalueringsrapporter, skriva certifieringsrapporter, utfärda certifikat och publicera en lista på certifierade produkter. Produkter som certiferats av CSEC används bl.a. av Försvarsmakten. CSEC ska licensiera9 evalueringsföretag och utöva tillsyn över deras verksamhet samt bidra med stöd och råd vid utnyttjandet av CC för kravspecifikation. CSEC deltar vidare i internationellt samarbete för tolkningar av CC och utveckling av standarder samt marknads- för CC.10 CSEC har även haft till uppgift att utveckla en nationell certifieringsordning för it-säkerhet med regler och metoder för obe- roende granskning11 och se till att ordningen följs. CSEC:s verksam- het styrs bl.a. av standarden ISO/IEC 17065 och lagen om ackredi- tering och teknisk kontroll. Chefen för ansvarar för att förvalta och vidareutveckla cer- tifieringsordningen inom given budget och leder certifieringsorganets dagliga verksamhet inom ramen för certifieringsorganets uppgift. 7FMV:s överdirektör har ansvaret för certifieringsorganet i de frågor där oberoende krävs. 8Närmare bestämt är CSEC ackrediterat av Swedac som ett certifieringsorgan för säkerhet i it-produkter. 9Licensieringen sker efter de principer som tillämpas inom CCRA och MRA. 10CSEC ska medverka i svenska och internationella standardiseringsorgan och forum för att utveckla och förbättra standarder för kravställning och evaluering av it-säkerhet och krypto- grafi. 11I den tidigare lydelsen av FMV:s instruktion (SFS 2007:854) föreskrevs att certifieringsorganet skulle upprätta och driva en certifieringsordning för säkerhet i it-produkter och system. Chefen rapporterar till myndighetens överdirektör i frågor som rör certifieringsorganets verksamhet.12 CSEC representerar inom CCRA (Common Criteria Recognition Arrangement) i rollerna som nationellt certifieringsorgan och signatär. CSEC:s arbete bedrivs inom ramen för CCRA där sam- verkan sker mellan 31 länder och deras berörda myn- digheter (varav 17 är ackrediterade att utfärda certifikat).13 CSEC representerar även inom den europeiska organisationen MRA.14 Medlemmarna i CCRA- och MRA-grupperna utövar tillsyn över CSEC och dess certifieringsordning i enlighet med respektive arrangemang. CSEC ingår för övrigt i Samverkansgruppen för informationssäkerhet (SAMFI, se avsnitt 5.10). Mot bakgrund av Försvarsmaktens ansvar för kryptogodkännande verkar CSEC i nära samarbete med MUST (Militära underrättelse- och säkerhetstjänsten).15 Under CSEC:s överinseende har en nationell certifieringsordning enligt CC inrättats för att säkerställa att utvärderingar av IKT-pro- dukter och skyddsprofiler utförs enligt höga och konsekventa stan- darder.16 Detta bidrar till förtroende för säkerheten i produkterna och profilerna. En certifieringsordning består av regler som gäller i certifieringsarbetet, dvs. inte bara tekniska krav utan samtliga regler om hur certifiering går till och vilka förutsättningarna är. CSEC är ägare av certifieringsordning för it-säkerhet och har därmed haft ansvar för att utveckla och upprätthålla den. Vid implementeringen av ordningen verkar CSEC i enlighet med CCRA.17 Certifieringsord- 12Överdirektörens befogenheter innefattar att godkänna CSEC-chefens beslut i ärenden rörande överklaganden. 13Evalueringsnivå (Evaluation Level, EAL) är en numerisk bedömning från 1–7 av hur ingående och rigorös en säkerhetsgranskning enligt Common Criteria är. EAL 1 är den mest grundläggande nivån och den billigaste att såväl implementera som utvärdera, medan EAL 7 därmed är den mest rigorösa och dyraste. I CCRA erkänns upp till EAL 2 generellt och upp till EAL 4 för godkända internationella skyddsprofiler. 14CCRA och MRA tillåter endast statliga certifieringsorgan. 15CSEC har i enlighet med mål i en handlingsplan för informationssäkerhet 2012 tagit fram en särskild kryptopolicy. 16För ett certifieringsorgan är ISO/IEC 17065, Conformity assessment – Requirements for bodies certifying products, processes and services, tillämplig i enlighet med regleringarna av CCRA, MRA och Swedac, för att säkerställa kvalitet på certifieringarna. 17Certifieringsordningen drivs också i enlighet med MRA. ningar tillhandahåller ramar för internationellt erkännande av certi- fikat som utfärdats enligt respektive ordning. Den svenska certifier- ingsordningen ger grunder för utvärderingar och certifieringar genom att beskriva och genomföra nödvändiga rättsliga ramar och processer. Därmed upprätthålls principer om lämplighet, opartiskhet, korrekt- het och effektivitet i alla utvärderingsaktiviteter.18 CSEC har tagit fram ett dokument som beskriver processen för klagomålshanteringen (). CSEC dokumenterar och utreder alla formella klagomål som är riktade mot certifierings- aktiviteter där certifieringsorganet är ansvarigt. CSEC registrerar ändringsförfrågningar och hanterar identifierade avvikelser genom internrevisioner. Ställning tas till om klagomålet avser certifierings- verksamheten och klaganden informeras om att klagomålet tagits emot och att det kommer att behandlas som ett klagomål. Klago- målet ska sedan undersökas, vid behov med hjälp av oberoende tek- niska experter. CSEC ska bestämma om åtgärder vidtagits på felaktiga grunder och upprätta en plan för genomförande av korrigerande åtgärder. Rapportering sker till och chefen för ansvarar för beslutet vid styrelsen om ett klagomål. När klagoärendet avslutats kommer ska kvalitetsansvarig (Quality Man- ager) se till att klaganden informeras om resultatet av klagomålet och informera denne om sin rätt att överklaga. En klagande som inte är nöjd med ett beslut eller resultatet av ett klagomål som gäller certifieringsverksamheten kan lämna in ett över- klagande.19 För att bevara opartiskheten behandlas överklaganden av personal som inte är inblandad i det överklagade beslutet. Över- klagandet hanteras av kvalitetsansvarig.20 Beslutet om resultatet av överklagandet fattas av chefen för . Det beslutade utfallet av överklagandet ska godkännas av ledande befattningshavare. Ömsesidigt erkännande av certifikat Certifikat som utfärdas inom ramen för den svenska certifierings- ordningen kan vara föremål för ömsesidigt erkännande enligt CCRA, EA MLA (cooperation for accreditation multilateral 18CSEC:s dokument SP-001, Certification and Evaluation Scheme – Scheme Overview, ver- sion 28.0, . 19Överklagandet ska göras efter det ursprungliga beslutet. 20Kvalitetsansvarig ska informera klaganden om förfarandets gång. agreement) och MRA. Ett certifikat utfärdat av CSEC kan omfattas av alla dessa avtal. Det är möjligt att delta i en certifiering där endast ett av avtalen refereras till. Vilken överenskommelse om ömsesidigt erkännande som är tillämpligt på en specifik certifiering kommer att dokumenteras i certifieringsavtalet. En kund som ansöker om certifiering kan välja vilka avtal om ömsesidigt erkännande som certifieringen ska omfattas av. begränsas giltigheten av CC-certifikat som är ömsesidigt erkända inom CCRA och MRA . Giltighetstiden är högst för utfärdandet av certifikatet. CCRA och MRA medför bl.a. inom krypto- och säker- hetsskyddsområdet endast ett begränsat ömsesidigt erkännande av certifikat. De nationella reglerna kring vilka kryptografiska funk- tioner som får användas, hur dessa ska kontrolleras och vem som får utföra kontrollerna kan vara mycket känsligt. De nationella reglerna har företräde framför såväl CCRA som MRA. CSEC kan utfärda certifikat med krav på överensstämmelse mot CCpå samtliga assuransnivåer, mot CCRA avseende CC-assurans- komponenter i antingen en gemensam skyddsprofil (collaborative Protection Profile, cPP) eller lägre assuransnivåer (EAL 1 och 2), samt mot MRA gällande assuransnivåerna 1–421. CSEC kan också utfärda nationella certifikat som inte omfattas av något av de ovanstående avtalen om ömsesidigt erkännande och med krav på överensstämmelse mot CC på samtliga assuransnivåer. Ömsesidigt erkännande enligt CCRA22 av certifikat som utfär- dats inom den nationella certifieringsordningen är föremål för vissa krav på själva ordningen, som att genomgå periodiska utvärderingar av andra deltagare i CCRA och uppfylla särskilda restriktioner för hantering av skyddad information som delas mellan deltagarna. 21Deltagarna i MRA accepterar CSEC som certifieringsorgan upp till assuransnivå 4. 22Detta gäller även MRA. 5.4Myndigheten för samhällsskydd och beredskap (MSB) Myndigheten för samhällsskydd och beredskap (MSB) har ansvar för att stödja samhällets beredskap för olyckor, kriser och civilt för- svar, i den utsträckning inte någon annan myndighet har ansvaret. Ansvaret avser åtgärder före, under och efter en allvarlig olycka, kris, krig eller krigsfara. MSB är också kontaktpunkt för skydd av europeisk kri- tisk infrastruktur enligt artikel 10.1 i rådets direktiv /114/EG om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. MSB är även nationell kontaktpunkt avseende NIS-arbetet, tillika nationell Response Team (CSIRT) med tillhörande uppgifter enligt NIS-direktivet. Vidare har MSB enligt sin instruktion till uppgift att stödja och samordna arbetet med samhällets informationssäkerhet och har före- skriftsrätt inom samma område. MSB ska dessutom på informations- och cybersäkerhetsområdet analysera och bedöma omvärldsutveck- lingen samt rapportera till regeringen om förhållanden som kan resultera i behov av åtgärder på olika nivåer och områden i samhället.23 MSB:s uppgifter inom området informations- och cybersäkerhet är bl.a. att ansvara för utveckling och förvaltning av säkra kommuni- kationer24, vara råd- och stödgivande i informationssäkerhetsarbetet samt hantera respektive förebygga it-incidenter. MSB har också till uppgift att tillhandahålla kommunikationstjänster för ledning och samverkan inom och mellan samhällsviktiga verksamheter. Vid myndigheten finns en avdelning för cybersäkerhet och säkra kommunikationer (CS). Avdelningen, som är indelad i enheter, bl.a. för strategi och samordning, operativ cybersäkerhet, incidenthanter- ing, tekniska resurser och säkerhet i cyberfysiska system. Vidare finns en enhet för systematiskt informationssäkerhet som lämnar råd och stöd om det förebyggande arbetet inom informations- och cyber- 2311 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 24Inom området säkra kommunikationer ansvarar MSB för utveckling och förvaltning av , SGSI och WIS (myndighetens externa kommunikationstjänster). säkerhetsområdet till andra statliga myndigheter, kommuner och re- gioner samt företag. Myndigheten bedriver också verksamhet avseende och led- ningssystem, bl.a. strategisk inriktning, utveckling och förvaltning av kommunikationstjänster som används för ledning och samverkan inom och mellan samhällsviktiga verksamheter. MSB har lämnat förslag till föreskrifter och allmänna råd om informationssäkerhet för statliga myndigheter som skickats på remiss.25 Föreskrifterna innehåller bestämmelser om säkerhetskrav och stipulerar bl.a. att myndigheter ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av vissa standarder. MSB har fått ett uppdrag av regeringen som avser att utforska hur ett utvecklat skulle kunna etableras för tillhandahållande av tjänster för mobil datakommunikatoin, varvid 5G-nät kan ingå som en komponent. MSB har påbörjat arbetet med att utveckla och eta- blera 2 (). MSB har en uttalad samordningsroll, och när det gäller övriga myn- digheter med uppgifter inom området informationssäkerhet sker dessutom ett formaliserat samarbete. MSB har bl.a. till uppgift att inrikta och samordna civila myndigheters signalskyddsverksamhet och arbete med säkra kryptografiska funktioner26. Detta innebär att MSB beslutar om vilka civila myndigheter och andra samhällsviktiga verksamheter som kan tilldelas signalskyddssystem och säkra kryp- tografiska funktioner för möjlighet till säkrare samverkan.27 MSB kan även ge ut kompletterande föreskrifter inom området, t.ex. om civila myndigheters kryptoberedskap.28 MSB deltar i internationella samarbeten som rör informations- och cybersäkerhet, t.ex. informationsdelning och samarbete mellan nordiska nationella CERT-funktioner och samarbete inom nätverket 25Förslag till revidering av föreskrifter (MSB 2016:1) om informationssäkerhet. 26Säkra kryptografiska funktioner används för att förhindra förlust av riktighet, tillgänglighet och konfidentialitet hos organisationens informationstillgångar. 27MSB använder inte föreskrifter för att ålägga aktörer krav på signalskydd utan bedömningen är individuell och behovsdriven. Man skriver sedan avtal med berörda om regleringen och fattar beslut om tilldelning av signalskydd (med stöd från FRA). 28Försvarsmakten leder signalskyddsverksamheten och arbetet med säkra kryptografiska funk- tioner. Försvarsmakten har också till uppgift att granska och att nationellt godkänna krypto- system (se vidare avsnitt 5.7). European Governmental CERTs (EGC), samt internationell samver- kan kring säkerhet i it-produkter, säkerhet i industriella informations- och styrsystem och cybersäkerhet i finansiella tjänster. MSB deltar i expertgrupp European forum for member states (EFMS) och den privat-offentliga plattformen för nät- och informa- tionssäkerhet (NIS-plattformen) samt representerar i Natos planeringsgrupp för industriella resurser och kommunikation (IRCSG). MSB deltar också aktivt i standardiseringsarbetet inom området informationssäkerhet.29 I sitt arbete med Common Criteria ger MSB ut rekommendationer för användning av en skyddsprofil eller certifierad produkt.30 MSB bedriver omvärldsbevakning kring CC-standarden både på nationell och internationell nivå för att i första hand kunna inventera och representera det civila samhällets behov av produktkategorier som är lämpliga att ta fram skyddsprofiler emot. MSB har, i samråd med övriga myndigheter som ingår i SAMFI31, tagit fram en nationell handlingsplan för samhällets informations- säkerhet. MSB har rollen som ordförande i arbetsgrupperna som SAMFI bildat och förvaltar en nationella handlingsplan för samhällets informationssäkerhet. Handlingsplanen publicerades och inne- håller ett 30-tal åtgärder för att öka informationssäkerheten i sam- hället. Handlingsplanen har uppdaterats för att kunna delredo- visa och slutföra åtgärderna.32 MSB har även knutit till sig ett informationssäkerhetsråd med bred representation från både offentlig förvaltning och näringslivet: . ska i huvudsak bistå MSB med information om utvecklingstrender inom området informations- säkerhet. administrerar MSB fem forum för informationsdelning om informationssäkerhet (FIDI, se nedan): FIDI-SCADA, FIDI- Vård och omsorg, FIDI-Drift, FIDI-Telekom och FIDI-Finans. MSB:s medverkan i samarbetsgruppen och nätverket för nationella Computer Security Incident Response Teams (CSIRT) inom ramen 29Standardiseringen med avseende på informationssäkerhet bedrivs i huvudsak inom ramen för för standarders (SIS) arbete kopplat till ISO:s (International Organi- zation for Standardization) grupp ISO/IEC JTC 1/SC 27 IT Security Techniques. 30Förvaltningen av en referenslista över rekommenderade skyddsprofiler kommer att ingå i MSB:s löpande arbete för vidareutveckling av stöd inom it-säkerhet. (FMV)/certifieringsorgan för it-säkerhet (CSEC), (), Försvarsmakten, (), Säkerhetspolisen och Polis- myndigheten. 32MSB, Nationell handlingsplan för samhällets informationssäkerhet, Slutrapport, . för NIS-direktivet har skapat ett strategiskt samarbete och infor- mationsutbyte mellan medlemsländerna på cybersäkerhetsområdet. Samarbetet skapar även mervärde inom områden såsom bevakning av framväxande teknologier. CERT-SE är nationella Computer Emergency Response Team med uppgift att stödja samhället i arbetet med att hantera och förebygga it-incidenter. Verksamheten bedrivs vid MSB. CERT-SE:s tjänster riktar sig till såväl offentlig sektor som närings- livet och till uppgifterna hör bl.a. att vid it-incidenter sprida infor- mation, att samarbeta med andra aktörer på informationssäkerhets- området och att vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla informationsutbytet med dessa.33 CERT-SE strävar efter att öka it-säkerhetsmedvetandet i genom att förmedla kunskap och fakta. CERT-SE utfärdar kon- tinuerligt varningar och råd om sårbarheter i it-system. CERT-SE är medlem i flera internationella nätverk som TF- CSIRT (Task Force – Collaboration of Security Incident Response Teams), FiRST (Forum of Incident Response and Security Teams), IWWN (International Watch and ), EGC (Euro- pean Government CERT), CNW (CSIRT’s Network for EU- members) och NCC (Nordic CERT Cooperation). Forum för informationsdelning om informationssäkerhet (FIDI) FIDI (forum för informationsdelning om informationssäkerhet) är privat-offentliga samverkansfora som syftar till att genom informa- tionsutbyte, omvärldsanalys och produktion av gemensamt informa- tionsmaterial öka informationssäkerheten hos alla deltagande aktörer. Som tidigare anförts finns inom olika sektorer. Det övergripande målet med FIDI-nätverken är att skapa förut- sättningar för att förbättra säkerheten i de sektorer där FIDI-nät- verk finns och därigenom bidra till förbättrad nationell säkerhet. 33CERT-SE stöttar för övrigt polismyndigheten i vissa utredningar avseende it-relaterad brotts- lighet. Den information som delas inom FIDI-nätverken ska avse hot, sårbarheter eller incidenter inom informations- och cybersäkerhets- området. Man eftersträvar lösningar för att hantera identifierade risker, och informationen ska kunna ligga till grund för säkerhets- höjande åtgärder som initieras av enskilda deltagande organisationer eller av flera organisationer tillsammans. FIDI-nätverken är sektorsspecifika och består förutom en eller flera representanter, tillika administratörer, från MSB, av utvalda medlemmar verksamma inom sektorn. Medlemmarna ska vara stora aktörer inom den sektor som nätverket täcker. De representanter som företagen skickar ska ha mandat att diskutera informations- och cybersäkerhetsfrågor och kunna se till att erhållen information in- korporeras i det dagliga säkerhetsarbetet. Det finns flera exempel där kompletteras av andra nätverk inom samma eller närliggande områden, som PTS samverkans- forum inom telekom, exempelvis Nationella telesamverkansgruppen (NTSG). 5.5Post- och () () är tillsynsmyndighet enligt lagen (2003:389) om elektronisk kommunikation. Av 1 § förordningen (2007:951) med instruktion för framgår att PTS är en förvaltningsmyndighet med ett samlat ansvar inom post- området och området för elektronisk kommunikation. Myndigheten ska verka för att målen inom politiken för informationssamhället upp- nås. Myndigheten ska även, inom ramen för sina uppgifter enligt lagen (2003:389) om elektronisk kommunikation, verka för att de mål som anges i denna lag uppnås. Myndigheten ska beskriva och analysera utveckling och resultat inom sitt ansvarsområde och rapportera detta till regeringen. Myn- digheten ska särskilt uppmärksamma och analysera eventuella pro- blem inom området och, när det är påkallat, vidta eller lämna förslag till lämpliga åtgärder. Myndigheten ska vidare regelbundet göra stra- tegiska analyser inom området för elektronisk kommunikation och redovisa den långsiktiga inriktningen av myndighetens tillämpning av regleringen på området. Det anges också i 4 § i förordningen (2007:951) med instruktion för att PTS inom området för elektronisk kommunikation bl.a. har till uppgift att –främja tillgången till säkra och effektiva elektroniska kommunika- tioner, inbegripet att tillse att samhällsomfattande tjänster finns tillgängliga, –följa utvecklingen när det gäller säkerhet vid elektronisk kommu- nikation, –pröva frågor om tillstånd och skyldigheter och utöva tillsyn enligt lagen (2003:389) om elektronisk kommunikation, –meddela föreskrifter enligt förordningen (2003:396) om elektronisk kommunikation, –utöva tillsyn enligt lagen (2016:561) med kompletterande bestäm- melser till EU:s förordning om elektronisk identifiering och ge stöd och information till myndigheter och enskilda när det gäller betrodda tjänster, –utöva tillsyn enligt lagen (2006:24) om nationella toppdomäner för på internet samt meddela föreskrifter enligt för- ordningen (2006:25) om nationella toppdomäner för på internet, –verka för robusta elektroniska kommunikationer och minska risken för störningar, inbegripet att upphandla förstärknings- åtgärder, samt verka för ökad krishanteringsförmåga, –verka för ökad nät- och informationssäkerhet i fråga om elektro- nisk kommunikation, genom samverkan med myndigheter som har särskilda uppgifter inom informationssäkerhets-, säkerhets- skydds- och integritetsskyddsområdet samt med andra berörda aktörer, –lämna råd och stöd till myndigheter, kommuner och landsting samt företag, organisationer och andra enskilda i frågor om nät- säkerhet, och –vara tillsynsmyndighet enligt lagen (2018:1174) om informations- säkerhet för samhällsviktiga och digitala tjänster. I7 § samma förordning anges att PTS beträffande EU-arbetet och annat internationellt samarbete bl.a. ska utreda behovet av och med- verka vid tillkomsten av överenskommelser mellan och andra länder, handlägga frågor som rör deltagande i verksamheten inom internationellt samarbete och delta i nationellt och internatio- nellt standardiseringsarbete. var PTS det behöriga organ som fick begära råd och stöd enligt och rådets förordning (EU) nr 526/2013 om Europeiska unionens byrå för nät- och informationssäkerhet ().34 PTS arbetar med informationssäkerhet i enlighet med sin instruk- tion och lagen om elektronisk kommunikation. PTS har tagit fram en vägledning för användare om hur man kan anskaffa robust kom- munikation. Råd lämnas bl.a. om hur man ställer adekvata krav vid anskaffningen och hur man identifierar kritiska funktioner genom en risk- och sårbarhetsanalys. PTS har alltså ansvar för tillsyn eller andra uppgifter inom om- rådena elektronisk kommunikation, post, kontanthantering, betrodda tjänster och digitala tjänster (bl.a. molntjänster och internetbaserade marknadsplatser). När det gäller betrodda tjänster innefattar PTS till- syn verksamheter som granskats och certifierats av oberoende organ för bedömning av överensstämmelse. PTS har analyserat möjligheter till att öka spårbarheten i betrodda tjänster, exempelvis elektroniska underskrifter och stämp- lar. Analysen har diskuterats med europeiska tillsynsmyndigheter. Frågan kommer att lyftas av flera tillsynsmyndigheter i samband med den pågående översynen av eIDAS-förordningen.