sou · H8B358 · 2020-09-30 00:00:00 — EJCN ska samarbeta med Eurojust och Europol för att stärka internationellt rättsligt stöd och etablera ett bättre samarbete med internetleverantörer. EU har dialoger med externa parter såsom G7 och FN samt med länder utanför västvärlden. Detta avsnitt beskriver vilken typ av frågor man samarbetar kring i de mer utvecklade internationella sam- arbetena. EU och Nato har samarbetat kring cybersäkerhetsfrågor , och har NATO Computer Incident Response Capability (NCIRC) samarbetat med CERT-EU i och med den senares grun- dande. 2016 tecknade EU och Nato en teknisk uppgörelse mellan CERT-EU och nämnda NCIRC för att motverka, upptäcka och svara på cyberincidenter. Uppgörelsen var ett led i implementeringen av för cyberförsvar, och utgör i sig ett ramverk för delande av bl.a. teknisk information och utbyte av bästa praxis för incidenthantering och säkra konfigurationer för nätverk. Ijuli 2016 kom , och Nato med ett gemensamt meddelande avseende det strategiska samarbe- tet. Cybersäkerhet och -försvar angavs som ett av sju områden där man behövde utöka koordineringen sinsemellan, inbegripet såväl in- satser som utbildning och övning. EU och Nato ska utbyta koncept om integrering av it-försvarsaspekter i planering och utförande av respektive uppdrag och insatser för att främja interoperabilitet i krav och standarder för it-försvar. Man ska vidare stärka utbildnings- samarbetet genom att harmonisera utbildningskraven, i förekom- mande fall, och öppna respektive utbildningskurser för ömsesidigt deltagande av tjänstemännen. Man ska också främja samarbete inom forskning och teknisk innovationsverksamhet avseende it-försvar genom att utveckla kopplingar mellan EU, Nato och NATO CCD COE (), för att utforska innovation på området för it-försvar. Med hänsyn till att it- området omfattar dubbla användningsområden kommer EU och Nato att öka interoperabiliteten i standarderna för it-försvar genom medverkan av industrin, när så är relevant. En åtgärd är att också stärka samarbetet i it-insatser genom ömsesidigt deltagande av tjänstemän iövningar, inklusive framför allt Cyber Coalition och Cyber Europe. US-EU Cyber Related Work Streams – Cyber Dialogue 2010 grundande EU och en arbetsgrupp för cybersäkerhet och cyberbrottslighet. Gemensamma intressen föranledde att man 2014 fördjupade samarbetet genom en s.k. cyberdialog, som förs av höga representanter från EU och . Dialogen erbjuder ett forum för strategiska diskussioner och samarbete gällande exempelvis inter- nationella utvecklingar inom cyberrymden, främjande och skydd av de mänskliga rättigheterna online samt kapacitetsutveckling inom cyber i tredjeländer. resulterade i bildandet av en offentlig- privat plattform för nätverks- och informationssäkerhet. Syftet var att sammanföra relevanta europeiska parter för att identifiera god cybersäkerhetspraxis över hela värdekedjan och skapa gynnsamma marknadsvillkor för utvecklandet och anammandet av säkra IKT- lösningar. NIS-plattformen kompletterar och bidrar till implemen- teringen av NIS-direktivets åtgärder och harmoniserar dess tillämp- ning i . Plattformen är uppdelad i tre skilda arbetsgrupper: –riskhantering, vilket bl.a. innefattar arbete med medvetandehöj- ning, informationssäkring och riskmätning, –informationsutbyte och samordning av incidenter, vilket bl.a. inne- fattar incidentrapportering och riskmätningar med avseende på informationsutbyte, och –forskning och innovation för säker IKT. Contractual Public Private Partnership on cybersecurity För att kunna leverera i enlighet med strategierna om cybersäkerhet och den digitala inre marknaden (se avsnitt 3.2) initierades ett offent- ligt-privat partnerskap om cybersäkerhet (cPPP) , genom en överenskommelse mellan kommissionen och () som företräder marknadsaktörer inom cybersäkerhet. EU investerar i initiativet inom ramen för forsknings- och innovationsprogrammet Horisont 2020, men marknadsaktörerna förväntas investera betydligt mer. Samarbetet omfattar också parter från nationella, regionala och lokala myndigheter, forskningscentrum och universitet. Syftet är att på ett tidigt skede i forsknings- och innovationsprocessen främja samarbete och skapa cybersäkerhets- lösningar för olika sektorer, t.ex. energi, hälsa, transport och finans. Slutmålet med partnerskapet är att stimulera den europeiska konkur- renskraften och bidra till att överbrygga fragmenteringen av cyber- säkerhetsmarknaden. I detta avsnitt redogörs närmare för begreppen cybersäkerhet och standardisering. Det finns ingen standardiserad, allmänt accepterad definition av cyber- säkerhet. I stort handlar det om alla typer av skydd och åtgärder som införs för att försvara informationssystem och deras användare mot obehörig åtkomst, angrepp och skada, för att säkerställa uppgifter- nas konfidentialitet, integritet och tillgänglighet.47 Det finns en något bredare definition av termen cybersäkerhet som omfattar även be- varande av spårbarhet, autenticitet, ansvarsskyldighet, oavvislighet och auktorisation hos information i cyberrymden.48 Cybersäkerhet inbegriper förebyggande, detektering och hanter- ing av samt återställning efter cyberincidenter. Incidenter kan vara planerade eller oplanerade och t.ex. omfatta oavsiktligt röjande av information, angrepp mot företag och kritisk infrastruktur, stöld av personuppgifter och till och med inblandning i demokratiska pro- cesser. Allt detta kan ha omfattande skadliga effekter på individer, organisationer och samhällen. Som en term som används i EU-politiska kretsar är cybersäkerhet inte begränsat till nätverks- och informationssäkerhet. Termen om- fattar all olaglig verksamhet som inbegriper användning av digital teknik i cyberrymden. Cybersäkerhet kan därför innefatta sådan it- brottslighet som att initiera datorvirusangrepp och genomföra kon- tantlösa betalningsbedrägerier, men också brottslighet i gränslandet mellan system och innehåll, t.ex. spridning av material med sexuella 47I EU:s cybersäkerhetsakt definieras cybersäkerhet som ”all verksamhet som är nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra be- rörda personer mot cyberhot” (artikel 2.1). Se Europeiska revisionsrätten, Utmaningar för en ändamålsenlig EU politik för cybersäkerhet, Briefingdokument, , s. 7. 48SIS, Terminologi för informationssäkerhet, teknisk , . övergrepp mot barn online. Termen kan också omfatta desinforma- tionskampanjer för att påverka onlinedebatten och misstänkt in- blandning i val. Dessutom ser Europol ett samband mellan it-brotts- lighet och terrorism.49 Olika aktörer – inbegripet stater, kriminella grupper och ”hack- tivister” – anstiftar cyberincidenter med olika motiv som bakgrund. Konsekvenserna av dessa incidenter är kännbara på nationell, euro- peisk och till och med global nivå. Men internets immateriella och i stor utsträckning gränslösa natur samt de verktyg och den taktik som används gör det ofta svårt att identifiera gärningsmannen bakom ett angrepp (det s.k. tillskrivningsproblemet). De olika typerna av cybersäkerhetshot kan klassificeras enligt hur uppgifterna påverkas – antingen genom röjande, ändring, förstörelse eller nekad åtkomst – eller enligt de grundläggande informations- säkerhetsprinciper som överträds. I takt med att angreppen mot in- formationssystem blir allt mer sofistikerade blir försvarsmekanis- merna mindre effektiva.50 Enligt behöver det inte finnas en definition av cybersäker- het i den konventionella bemärkelsen att vi tenderar att tillämpa definitioner för enkla saker som autentisering av en identitet. Pro- blemet är att cybersäkerhet är en omslutande term, och det är inte möjligt att skapa en definition som täcker omfattningen av de saker som begreppet täcker. Därför bör en kontextuell definition, baserad på en som är relevant, passande och som redan används av en viss standardiseringsorganisation eller annan berörd organisation över- vägas. T.ex. definieras cybersäkerhet vid International Telecommuni- cations Union (ITU) enligt följande. Cybersecurity is the collection of tools, policies, security concepts, security safeguards, guidelines, risk management approaches, actions, training, best practices, and technologies that can be used to protect the cyber environment and organization and user’s assets. Organization and user’s assets include connected computing devices, personnel, infrastructure, applications, services, telecommunications systems, and the totality of transmitted and/or stored information in the cyber environment. Cybersecurity strives to ensure the attainment and maintenance of the security properties of the organization and 49Europol, Internet Organised Crime Threat Assessment 2017. 50Europeiska revisionsrätten, Utmaningar för en ändamålsenlig EU politik för cybersäkerhet Briefingdokument, , s. 7 f. samt (Ecso), Euro- pean Proposal for a contractual Public-Private Partnership, . user’s assets against relevant security risks in the cyber environment. The general security objectives comprise the following: •Integrity, which may include authenticity and non-repudiation På grund av områdets bredd förekommer olika definitioner hos stan- dardiseringsorganisationer och andra organisationer. I fråga om den närmare terminologin har rekommenderat följande. Cybersecurity shall refer to security of cyberspace, where cyberspace itself refers to the set of links and relationships between objects that are accessible through a generalised telecommunications network, and to the set of objects themselves where they present interfaces allowing their remote control, remote access to data, or their participation in control actions within that Cyberspace. Cybersecurity shall therefore encompass the CIA paradigm for relationships and objects within cyberspace and extend that same CIA paradigm to address protection of privacy for legal entities (people and corporations), and to address resilience (recovery from attack).52 har även förklarat att cybersäkerhet innefattar alla aktiviteter som är nödvändiga för att skydda cyberrymden, dess användare och påverkade personer från cyberhot. Cybersäkerhet täcker alla aspek- ter av förebyggande, prognostisering, tolerans, detektering, begräns- ning, borttagning, analys och utredning av cyberincidenter53. Med tanke på de olika typerna av komponenter av cyberrymden anser att cybersäkerhet bör täcka följande attribut: tillgänglighet, tillförlitlighet, säkerhet, konfidentialitet, integritet, underhållbarhet (för fysiska system, information och nätverk), konfidentialitet, överlevnadsförmåga, resiliens (för att stödja dynamiken hos cyber- rymden), tillräknelighet, autenticitet och oavvislighet (för att stödja informationssäkerhet).54 51Definition of cybersecurity, referring to ITU-T X.1205, Overview of cybersecurity. 52ENISA, Definition of Cybersecurity: Gaps and overlaps in standardization, v1.0, Decem- ber 2015, s. 30. 53Med cyberincident förstås varje händelse som påverkar någon av komponenterna i cyber- rymden eller dess funktion, oberoende av om det är naturligt eller mänskligt skapat, illvillig eller icke-illvillig avsikt, avsiktlig, oavsiktlig eller på grund av inkompetens eller operationella inter- aktioner. Också varje incident som genereras av någon av cyberrymdkomponenterna, även om skadan/störningen eller dysfunktionen orsakas utanför cyberrymden, kallas cyberincident (overview of cybersecurity and related terminology, version 1, , s. 6). 54ENISA overview of cybersecurity and related terminology, version 1, , s. 6. uppmuntrar standardiseringsorganisationer att anamma be- greppet cybersäkerhet som tillhandahållandet av säkerhetsfunktioner att tillämpas på cyberrymden. Skydd mot cyberhot avser mekanis- mer som syftar till att inrätta försvarsåtgärder som gör det möjligt att minska sannolikheten för manifestation av cyberhändelser eller attacker som kan härröra från återstående hot och som kan orsaka någon form av skador eller störningar i system eller deras kompo- nenter. Cyberförsvar är fakulteten för systemen att motstå sådana negativa händelser om och när de inträffar trots förebyggande och skyddsåtgärder. Detta innebär att man känner igen, svarar på och återhämtar sig från cyberhoten. Cyberresiliens innebär i vissa sam- manhang kombinationen av cybersäkerhet och cyberförsvar. Cybersäkerhet kräver samarbete mellan offentlig och privat sek- tor, först och främst genom utbyte av information och bästa praxis. Tillit är avgörande på alla nivåer för att skapa rätt miljö för utbyte av känslig information över gränserna. Dålig samordning leder till frag- mentering, dubbelarbete och utspridd expertis. Ändamålsenlig sam- ordning kan leda till påtaglig framgång. Trots de framsteg som har gjorts är tillitsnivåerna fortfarande otillräckliga på EU-nivå55 och i vissa medlemsstater56. EU:s institutioner och byråer har saknat gemensamma definitio- ner på cybersäkerhetsområdet. har emeller- tid utformat en relevant incident-taxonomi57 i syfte att underlätta effektivt gränsöverskridande samarbete. Vidare har gemensamma forskningscentrum (JRC) tagit fram en omarbetad forskningstaxonomi med utgångs- punkt i olika internationella standarder. Tanken är att den ska bli en referenspunkt som kan användas som ett index av forskningsorgani- sationer i hela Europa.58 55Europeiska kommissionen, Impact assessment, proposal for a regulations of parliament and of the Council establishing Cybersecurity Industrial, Techno- logy and and the Network of , SWD(2018) 403 final, . 56Europeiska unionens råd, Slutrapport om den sjunde omgången av ömsesidiga utvärderingar om det praktiska genomförandet och verkan av europeisk politik för förebyggande och be- kämpning av it-brottslighet, 12711/1/17 REV 1, . 57NIS , Cybersecurity Incident Taxonomy, CG Publication 04/2018, . 58JRC:s tekniska rapporter, karta över europeiska cybersäkerhetsexpertcentrum: Definitioner och taxonomi. Impact Assessment on the proposed and the Network of , SWD(2018) 403 final, . Utredningen kan mot bakgrund av det ovan angivna konstatera att det förekommer olika defintioner av begreppet cybersäkerhet bland stratgi- och policydokument och berörda aktörer. Utredningen har uppdraget att analysera behovet av kompletterande nationella be- stämmelser med anledning av EU:s cybersäkerhetsakt och utgår följaktligen från den definition av cybersäkerhet som anges i cyber- säkerhetsakten, dvs. ”all verksamhet som är nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra berörda personer mot cyberhot”. Utredningen kan notera att denna definition beaktar den antagonistiska faktorn.59 Standardisering syftar till att förenkla för verksamheter i samhället. Bl.a. kan en effektiv marknad skapas när lagstiftningen sätter de över- gripande kraven av allmänt intresse och där standardisering skapar lösningar för en mer detaljerad nivå.60 Dessutom syftar en sådan metod till att undvika nationella särkrav. Standarder erbjuder verk- samheter möjligheter att arbeta utifrån beprövade erfarenheter, vilket också skapar förutsättningar för bättre säkerhet. Digitaliseringen och den snabba teknikutvecklingen leder till behov av nya standarder.61 finns det begränsade EU-omfattande standarder för certifiering.62 Standarder förutsätter ett samarbete och samförstånd mellan före- trädare för olika samhällsintressen. Standardisering avser att till- godose behov och önskemål från många olika parter och att så långt möjligt möta olika intressen. Standarder ökar också transparensen mellan organisationer, vilket underlättar kravställning och bedöm- ning av säkerhetsnivåer i produkter, system och hela verksamheter. 59Begreppet cybersäkerhet kan därmed användas på sådant sätt att det innefattar såväl skydd av nätverk och infrastrukturer som innehåller information, som skyddet av den information dessa innehåller. 60Standarder är frivilliga verktyg som ger hjälp att följa lagstiftningen. 61Jfr Europeiska kommissionen, Prioriteringar för informations- och kommunikationsteknisk standardisering på den digitala inre marknaden, COM(2016) 176 final, . 62Europeiska revisionsrätten, Utmaningar för en ändamålsenlig EU politik för cybersäkerhet, Briefingdokument, . Standarder är relevanta vid kontrollorgans arbete med cybersäker- hetscertifiering, särskilt då berörda organ för bedömning av överens- stämmelse ska uppfylla kraven i vanliga standarder för behövlig ackreditering. Standardiseringsarbete med avseende på informationssäkerhet kopplat till ISO () har utvecklats till att omfatta flera arbetsgrupper med olika inrikt- ningar, däribland säkerhetsevaluering. Standarder ska ge en lägsta skyddsnivå när det gäller väsentliga krav som fastställs i direktiv. Det ska också finnas möjlighet att be- strida en produkts överensstämmelse eller att kunna påtala fel eller brister hos de standarder som harmoniserats. Nedan redogörs för ett urval av samarbeten inom europeisk cyber- säkerhetsstandardisering. Common Criteria Recognition Arrangement (CCRA) Den huvudsakliga utvecklingen av standarden Common Criteria (se nedan) som används inom cybersäkerhetscertifiering sker inom den internationella organisationen on the Recognition of Common Criteria Certificates in the field of , vanligen benämnd Common Criteria Recognition Arrange- ment (CCRA). CCRA avser både en internationell överenskommelse och en samarbetsorganisation för ömsesidigt erkännande av certifikat. Sam- arbetsorganisationen har formats av de länder som signerat CCRA- överenskommelsen. Ett övergripande mål med samarbetet är att granskning av it-säkerhet i produkter och system ska ske med hög tillförlitlighet och konsistens genom att CC används för kravställ- ning. Därigenom ökar den nationella säkerheten och förtroendet för produkterna. Överenskommelsen förutsätter också att deltagarna har som mål att förbättra tillgängligheten till utvärderade säkerhets- förbättrade it-produkter och skyddsprofiler, undvika duplicering av utvärderingar av dessa samt att kontinuerligt förbättra effektiviteten i evaluerings- och certifieringsprocessen. CCRA verkar således för att öka antalet säkra it-produkter och försöker minska kostnaderna som uppstår i samband med certifiering genom att effektivisera metodiken. en situation där it-produkter och skyddsprofiler som erhållit ett CC-certifikat kan anskaffas eller användas utan behov av ytterligare evaluering. De utfärdade CC-certifikaten erkänns av alla CCRA:s signatärer. CCRA accepterar enbart statliga certifieringsorgan. är 31 nationer medlemmar i . 17 länder (däribland ) utfärdare av certifikat inom CC. Certifieringsorgan för IT-säkerhet (CSEC) vid FMV är signatär för i CCRA. Signatärskapet innebär bl.a. att CSEC avger röst i samband med att nya länder söker medlemskap i . Standarden Common Criteria (CC) Common Criteria (CC) är en internationellt erkänd standard med standardbeteckningen ISO/15408 innehållande evaluerings- kriterier för it-säkerhet. Den beskriver hur man kan specificera krav på säkerhetsfunktioner och assurans.63 CC är sammanläggning av tre olika standarder, varav den äldsta it-säkerhetsstandarden kallas the Book.64 tog fram en liknande men anpassad standard och sedermera tog även fram en europeisk standard (ITSEC).65 CChar utvecklats i nära samarbete mellan flera länders säkerhets- myndigheter och anses vara obligatoriskt för it-pro- dukter i kritiska infrastrukturer. CC fokuserar på det behov av it- och informationssäkerhet som uppstår på grund av avsiktliga eller oavsiktliga hot utgående från krav på sekretess, riktighet och tillgänglighet. Säkerheten hos it-produk- ter och it-system ska utvärderas av ett oberoende organ och certi- fieras sedan av ett certifieringsorgan som bekräftar giltigheten av utvärderingsresultaten. Standarden erkänns internationellt av flera av världens ledande länder inom it-säkerhet. Forskning har emeller- tid visat att certifieringsregler och tekniska skydd inte är tillräckliga 63Evalueringskrav finns fördefinierade enligt sju assuransnivåer (EAL 1 till 7). 64Till en början handlande skapandet av en standard för granskning av it-säkerhet nästan en- bart om operativsystemet. 65ITSEC-standarden kompletterades dessutom med en överenskommelse kallad – – Mutual Recognition Agreement, SOGIS – MRA, där myndig- heterna i länderna som skapade ITSEC kom överens om att lita på varandras granskningar genomförda enligt standarden. När européerna utvecklade ITSEC blev dock amerikanska leverantörer tvungna att först granska mot book i och sedan mot ITSEC i något av de anslutna europeiska länderna och vice versa. för att uppnå fullgod it-säkerhet, bl.a. då certifierade produkter för- hållandevis enkelt kan användas på fel sätt.66 CCär således ett ramverk som används vid kravställning och ut- värdering av produkters it-säkerhet. Kraven definieras på ett stan- dardiserat format i en produktsäkerhetsdeklaration, även kallad evalueringsmål (Security Target, ST), eller i en skyddsprofil (, PP). Ett evalueringsmål beskriver säkerhetsbehoven för en specifik produkt, t.ex. en brandvägg från en specifik leverantör. Skyddsprofilen anger säkerhetsbehoven för en viss typ av produkt, t.ex. en viss typ av brandvägg.67 Kraven på säkerhet ställs utifrån två aspekter:68 –Säkerhetsegenskaper – vilka säkerhetsegenskaper behövs för att möta de potentiella hoten? –Assuranskrav – hur noggrant bör säkerhetsegenskaperna evalueras? CC för evaluering av it-säkerhet består av tre delar: –en introduktion till metoden och allmän modell (del 1), –funktionella säkerhetskomponenter (del 2), och –assuranskrav (del 3). Säkerheten verifieras i de ovan nämnda skyddsprofilerna, PP, och i ST beskrivs närmare vilka tillgångar som ska skyddas, vilka hot som man ska kunna stå emot och vilken förmåga en tänkbar angripare har att göra ett angrepp.69 Nästa del i CC är ett stöd i arbetet att välja bra säkerhetsfunk- tioner. Den delen är en katalog av väldefinierade funktioner. Det är små delkrav som leverantören lägger in i sin ST. När listningen är färdig är det för produkten att verifieras. Del 3 av CC är ett brett utbud av granskningsåtgärder som man kan genomföra för att verifiera säkerheten. 66Synpunkt från FOI . 67Standarden reglerar inte vem som sätter kraven. 68CC ställer inte några egna krav på it-säkerhet utan är snarare ett slags formulär som hjälper beställaren att själv effektivt formulera kraven. 69Om det är en avancerad angripare som man vill skydda sig mot ställer CC mycket höga krav på designen. Produkten utsätts då också för fler och mer omfattande penetrationstester. Stan- darden anpassar sig alltså till det anspråk på säkerhetsnivå som leverantörer gör. Ett evalueringsföretag (Evaluation Facility, ITSEF) testar och verifierar produkten mot de krav som ställts. är licensierat av certifieringsorganet och oberoende av leve- rantören.70 Evalueringsföretaget rapporterar till certifieringsorganet som därefter lämnar en certifieringsrapport.71 Europeisk samverkan – MRA (SOG-IS) är en grupp av nationella it-säkerhetsexperter som utsågs av EU:s minister- råd . anmodade rådet att de medlems- stater som arbetade aktivt med evaluering och certifiering av it-säker- het skulle skapa ett avtal om ömsesidigt erkännande av certifieringar av it-säkerhetsprodukter inom . Med denna anmodan som grund ingick dessa medlemsstater Mutual Recognition Agreement of Evalution Certificates. Överenskom- melsen benämns MRA (– Mutual Recognition Agreement) och liknar CCRA, men är endast öppet för EU och EEA-länder.72 Deltagare i MRA är statliga organisationer eller myndig- heter från länder i EU som representerar deras land eller länder. Över- enskommelsen föreskriver att länderna kan delta antingen som certi- fikatutgivare eller certifikatkonsumenter. Överenskommelsen har 17 länder som medlemmar (däribland ).73 Medlemmarna arbetar tillsammans för: –att koordinera standardiseringen av CC-skyddsprofiler och certi- fieringspolicyer mellan europeiska certifieringsorgan för att ha en gemensam position i den snabbt växande internationella CCRA- gruppen, och