sou · H9B363 · 2021-07-02 00:00:00 — Av bestämmelserna i 3 kap. 4 § säkerhetsskyddsförordningen fram- går att en verksamhetsutövare som ansvarar för ett informationssystem som ska användas i säkerhetskänslig verksamhet ska vidta lämpliga skyddsåtgärder för att kunna upptäcka, försvåra och hantera skadlig inverkan på informationssystemet samt obehörig avlyssning av, åt- komst till och nyttjande av informationssystemet. Verksamhetsut- övaren ska också se till att spårbarhet finns för händelser som är av betydelse för säkerheten i systemet. Loggning kan göras med olika syften. En verksamhetsutövare som är ansvarig för ett informationssystem av betydelse för säkerhets- känslig verksamhet bör primärt logga händelser med syfte att kunna upptäcka och utreda skadlig eller otillåten påverkan, obehörig åtkomst och funktionsstörningar i informationssystemet.52 En logg kan beskrivas som insamlad information om en händelse och om när händelsen inträffat i ett informationssystem. Loggar är ett hjälpmedel för att kunna veta vad som hänt i ett informations- system vid ett givet tillfälle. Loggar är en förutsättning för att en verksamhetsutövare kunna uppnå spårbarhet till olika händelser som inträffar i ett informa- tionssystem. Spårbarhet är i sin tur en förutsättning för att en verk- samhetsutövare ska kunna leda i bevis vem som har gjort vad i ett informationssystem vid ett givet tillfälle, t.ex. vem som haft åtkomst till säkerhetsskyddsklassificerade uppgifter. Detta är viktigt vid miss- tanke om brott. Vid en eventuell misstanke om brott måste en verk- samhetsutövare kunna försäkra sig om vem som gjort vad i informa- tionssystemet och där är loggar en viktig förutsättning. I övrigt är loggar även ett hjälpmedel för att i efterhand kunna identifiera orsaken till incidenter av olika slag. Bestämmelser om loggning återfinns i Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 4 kap. 31 § i PMFS 2019:2 framgår att verksamhetsutövaren ska logga hän- delser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet (säkerhetsloggning). Av 32 § framgår att verksamhetsutövaren ska ha rutiner för logg- ning av händelser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet. Rutinerna ska omfatta hur verksamhetsutövaren ska kunna upptäcka skadlig eller obehörig åtkomst eller påverkan samt funktionsstörningar. Rutinerna ska även omfatta vad som behövs i övrigt samt vilka åtgärder som ska vidtas vid upptäckta händelser. Av 33 § framgår att för informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter ska rutinerna om- 52Se 3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 31–35 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. fatta loggning av användning och ändring av behörigheter med system- administrativ åtkomst och av roller med särskild behörighet i infor- mationssystemet. Av 34 § framgår att verksamhetsutövaren ska bevara säkerhets- loggar . För informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen kvalificerat hemlig ska säkerhetsloggar bevaras . Av 35 § framgår att verksamhetsutövaren ska vidta åtgärder för att skydda säkerhetsloggar mot obehörig åtkomst, ändring eller för- störing. Vad ska loggas? Vad som ska loggas i ett informationssystem är beroende av flera olika faktorer, bl.a. hur och av vilka informationssystemet ska an- vändas och hur det exponeras samt syftet med loggningen. Loggar kan generas från olika typer av loggkällor. Loggning kan t.ex. ske i en programvara, i ett operativsystem eller i olika kompo- nenter i infrastrukturen för ett informationssystem. Vad som ska loggas och vilka loggkällor som ska användas behöver verksamhetsutövaren fastställa innan ett informationssystem tas i drift. Logguppföljning och åtgärder vid upptäckta händelser Logguppföljning är en viktig åtgärd för att kunna upptäcka skadlig eller otillåten påverkan, obehörig åtkomst och funktionsstörningar i ett informationssystem. Logguppföljning kan ske med jämna inter- eller i realtid som en del av en funktion för säkerhetsövervakning. För att arbetet med logguppföljning ska ge önskad effekt behöver verksamhetsutövaren ta fram rutiner som beskriver hur verksam- hetsutövarens personal ska arbeta med logguppföljning. Det är även viktigt att rutinerna innehåller en tydligt beskriven eskaleringsord- ning som stöd i beslut om åtgärd vid en upptäckt händelse, t.ex. att incidenthantering ska påbörjas. Att upprätthålla tillförlitligheten till de loggar som genereras är en mycket viktig aspekt som en verksamhetsutövare behöver beakta. En av anledningarna till detta är att loggar ofta används som underlag i internutredningar som kan leda till disciplinära åtgärder eller vid bevisföring i brottsmål. Om riktigheten i loggarna kan ifrågasättas kan det leda till att ansvar inte kan utkrävas av den som gjort sig skyl- dig till brott. En annan aspekt som en verksamhetsutövare behöver beakta är att loggar kan innehålla skyddsvärda uppgifter och att kon- fidentialiteten för loggarna därmed behöver upprätthållas. Loggar kan skyddas på flera olika sätt, där en grundläggande åt- gärd för att skydda både riktigheten i loggarna och upp- rätthålla konfidentialiteten är att begränsa åtkomsten till loggarna genom en strikt behörighetshantering. Tillförlitligheten kan stärkas ytterligare med hjälp av kryptografiska funktioner, t.ex. genom elek- tronisk signering.53 Med säkerhetsövervakning avses en funktion som arbetar med aktiv övervakning av ett informationssystem med syfte att kunna upp- täcka, försvåra och hantera skadlig inverkan på informationssyste- met samt obehörig avlyssning av, åtkomst till och nyttjande av ett informationssystem. Säkerhetsövervakning är en funktion där personal med hjälp av olika tekniska hjälpmedel aktivt söker efter oönskade aktiviteter i ett informationssystem. Vid upptäckt agerar funktionen genom att för- söka förhindra t.ex. ett intrångsförsök. Skulle ett intrångsförsök lyckas utreder funktionen hur, var och varför intrånget skedde samt vad som behövs för att förhindra framtida intrång. 53För att kunna använda loggar vid en utredning är det viktigt att säkerställa att informations- systemen och dess loggar har korrekta tidsangivelser. Ett sätt att hantera detta är att använda standardprotokollet Network Time Protocol (NTP) för synkronisering mot gemensamma tidkällor. Bestämmelser om säkerhetsövervakning återfinns i Säkerhets- polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.54 Av bestämmelserna i 4 kap. 36 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska använda funktion för säkerhetsövervakning av informationssystem som är avsett för att behandla säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen hemlig eller kvalifi- cerat hemlig. Kraven gäller även informationssystem där en incident kan medföra allvarlig eller synnerligen allvarlig skada för säkerhet. Av 37 § framgåratt verksamhetsutövaren ska ha rutiner för säker- hetsövervakning enligt 36 §. Rutinerna ska omfatta vad som ska över- vakas och vem som ansvarar för övervakningen. Rutinerna ska även omfatta vad som behövs i övrigt samt vilka åtgärder som ska vidtas vid upptäckta händelser. En funktion för säkerhetsövervakning är beroende av både en tek- nisk plattform och av kompetent personal. Personal som arbetar med säkerhetsövervakning tillhör ofta en del i en verksamhet som benämns Security Operations Center (SOC). Vid sidan av en SOC finns ofta även en funktion för driftövervakning som benämns Net- work Operations Center (NOC). En NOC fokuserar oftast på över- vakning av informationssystem med syfte att upprätthålla tillgäng- lighet och prestanda. Båda dessa funktioner kompletterar varandra och utgör sammantaget en viktig funktion för att upprätthålla säker- heten i ett informationssystem. Hur arbetet med säkerhetsövervakning ska genomföras behöver verksamhetsutövaren fastställa och därefter reglera i interna styr- dokument. Styrdokumenten bör innehålla en beskriven eskalerings- ordning som stöd i beslut om åtgärd när ett potentiellt intrång eller en annan oönskad händelse upptäcks. 7.13.2Åtgärder vid upptäckta händelser När funktionen för säkerhetsövervakning upptäcker ett potentiellt intrång eller en annan oönskad händelse i ett informationssystem bör det även finnas en tydlig beskriven eskaleringsordning att ta stöd 543 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 36 och 37 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Utifrån denna kan de som arbetar med säkerhetsövervakning fatta beslut om vidare åtgärd. Fortsatta åtgärder kan exempelvis vara: –att inleda fördjupad analys av händelsen, eller En fördjupad analys kan bestå av granskning av loggar i en loggkälla, t.ex. ett operativsystem, en programvara eller i infrastrukturkompo- nenter.55 Även analys av minnesavbilder, nätverkstrafik och eventuell skadlig kod kan vara en del av den fördjupade analysen. Som ett stöd för arbetet med säkerhetsövervakning finns olika pro- gramvaror anpassade för ändamålet. Security Information and () är en vanlig benämning på en sådan program- vara som kan vara ett stöd vid säkerhetsövervakning av skyddsvärda system. SIEM sköter insamling och aggregering av loggar som genererats av olika loggkällor i ett informationssystem. Baserat på innehållet i loggarna identifierar och kategoriserar SIEM möjliga incidenter och händelser som skett i informationssystemet och gör sedan en auto- matisk analys av dem. SIEM har därefter två syften: –Tillhandahålla rapporter gällande säkerhetsrelaterade incidenter och händelser såsom förekomst av skadlig kod, misslyckade in- loggningsförsök, avaktiverade användarkonton som återaktiveras och andra potentiellt skadliga aktiviteter i informationssystemet. –Generera larm, om det under den automatiska analysen visar att sig att det förekommer potentiellt skadliga aktiviteter i informa- tionssystemet (den automatiska analysen utgår från ett fördefi- nierat regelverk där det framgår vilka parametrar och tröskelvär- den som ska generera ett larm). Att bygga upp en funktion för säkerhetsövervakning, t.ex. SOC, är ett tidskrävande arbete. För att minska risken för inlåsningseffekter 55Fördjupad analys kan även göras i switchar, routrar, brandväggar, VPN-koncentratorer och i de inbyggda skyddsfunktionerna i samma komponenter, t.ex. intrångsdetektering eller inne- hållsfiltrering. kan verksamhetsutövaren, innan tekniska hjälpmedel införskaffas, definiera hur säkerhetsövervakningen ska bedrivas både under en upp- byggnadsfas och . Ett sätt att testa och utvärdera styrdokument, personella resurser och tekniska hjälpmedel som används i en funktion för säkerhets- övervakning är att genomföra övningar. Genom samarbete med pene- trationstestare kan funktionen för säkerhetsövervakning öva olika angreppsscenarion i informationssystemet, vilket gör att t.ex. tröskel- värden för generering av larm kan testas och finjusteras. Genom ett oannonserat angrepp med hjälp av penetrationstestare kan även verk- samhetsutövarens incidenthantering sättas på prov och utvärderas. 7.14.1Allmänt om uppföljning och kontroll Uppföljning och kontroll är viktiga verktyg för att kunna säkerhets- ställa att säkerhetsskyddet för ett informationssystem upprätthålls och ger avsedd effekt. Ett viktigt förhållningssätt som verk- samhetsutövaren bör tillämpa i fråga om uppföljning och kontroll är att det sker med ett organisatoriskt oberoende mot den som utför drift, förändringar och underhåll i informationssystemet. Detta för att uppföljning och kontroll ska kunna ske med ett oberoende. Bestäm- melser relaterade uppföljning och kontroll finns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.56 Av bestämmelserna i 2 kap. 26 § PMFS 2019:2 framgår att verk- samhetsutövaren ska regelbundet –utvärdera om säkerhetsskyddsåtgärderna ger avsedd effekt, –identifiera brister och sårbarheter i säkerhetsskyddet och genom- föra förbättringar, –kontrollera och följa upp det säkerhetsskyddsarbete som bedrivs på uppdrag av verksamhetsutövaren hos externa aktörer, och 56Se 2 kap. 13 och 26 §§ och 4 kap. 2, 11 och 13 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. –i övrigt kontrollera och följa upp att verksamheten följer regel- verket för säkerhetsskydd. Verksamhetsutövaren ska dokumentera åtgärderna i en plan som ska uppdateras löpande. I planen ska det anges vilken funktion som är ansvarig för åtgärderna. Av bestämmelserna i 4 kap. 11 § PMFS 2019:2 framgår att verk- samhetsutövaren ska granska säkerheten i informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgif- ter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig eller i informationssystem där en incident kan medföra allvarlig eller syn- nerligen allvarlig skada för säkerhet. Uppföljning och granskning av säkerheten i ett informationssystem bör vara av såväl administrativ som teknisk karaktär. Administrativ säkerhetsgranskning kan exempelvis ta sikte på: –att identifiera brister i verksamhetens efterlevnad av den styrning som reglerar drift, förändring och underhåll av informations- systemet, eller –att identifiera brister i användarnas efterlevnad av de regler och rutiner som reglerar hur informationssystemet får användas. En teknisk säkerhetsgranskning kan exempelvis ta sikte på: –att identifiera generella brister och sårbarheter i funktioner i och kring informationssystemet, –att granska om informationssystemet är skyddat mot publikt kända sårbarheter som borde vara omhändertagna inom ramen för verk- samhetsutövarens omvärldsbevakning, eller –att identifiera brister i efterlevnad av den styrning som reglerar drift och underhåll av informationssystemet, exempelvis gällande hantering av tjänstekonton och användarkonton med systemad- ministrativ åtkomst. De säkerhetskrav som identifierats i den särskilda säkerhetsskydds- bedömningen bör följas upp med regelbundna kontroller. Dessa kon- troller kan t.ex. vara i form av säkerhetsgranskningar, sårbarhets- skanningar och penetrationstester. Syftet med dessa kontroller är att verifiera att de säkerhetsfunktioner och den säkerhetskonfiguration som initialt applicerades vid driftsättning upprätthålls . Säker- hetsarbetet måste kontinuerligt revideras och skyddet blir oftast mest effektivt om det iterativt anpassas och uppdateras. Nya attackvägar och sårbarheter kräver att skyddet anpassas och det är inte ovanligt att säkerhetsåtgärder avaktiveras eller av andra orsaker blir ineffektiva . Ny funktionalitet förs in, vilket både kan introducera nya sår- barheter och ändra hur verksamheten använder systemet. Därför är det en fördel om granskningar genomförs systematiskt och är årligt återkommande, men också att det rutinmässigt genomförs vid större förändringar. 7.14.3Kontroll av åtkomst och behörigheter Uppföljning av åtkomst och behörigheter är nödvändigt då: –förändringar kan ske i användarens anställning (t.ex. kan använ- daren byta enhet eller arbetsuppgifter, vara tjänstledig eller lämna projektdeltagande ), –insiders kan ha tilldelat sig otillbörliga behörigheter, –externa hotaktörer eller insiders kan ha skapat helt nya behörig- heter, eller –gamla användarkonton felaktigt kan ha återaktiverats (av misstag eller av en insider). Lika viktigt som att upprätta dokumentation vid driftsättning av ett nytt informationssystem, system eller applikation är arbetet med att se till att dokumentationen uppdateras . Vid ny eller föränd- rad funktionalitet i it- miljö, system eller applikation ska befintlig dokumentation ses över.57 En it-incident kan bero på såväl ett avsiktligt som ett oavsiktligt agerande av egen personal eller av en hotaktör. De konsekvenser som kan uppstå vid en sådan incident är exempelvis att informations- systemet blir otillgängligt eller att information i systemet har för- vanskats, förstörts eller röjts till obehörig. Oavsett orsak är det vik- tigt att incidenter hanteras på ett strukturerat sätt för att den säker- hetskänsliga verksamheten ska kunna återgå till normalläge. Begreppet it-incident återfinns i 2 kap. 10 § säkerhetsskyddsför- ordningen (2018:658) där det av rubriksättningen framgår att en it- incident är en typ av säkerhetshotande händelse. Bestämmelser rela- terade till hantering av säkerhetshotande händelser finns därutöver i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 2 kap. 20 § PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för hantering av säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd. Av 21 § framgår att verksamhetsutövaren ska vid säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd vidta åtgärder så att skadlig inverkan på den säkerhetskänsliga verksam- heten minimeras och så att den säkerhetskänsliga verksamheten kan återgå till normalläge. Av 22 § framgår att verksamhetsutövaren ska utvärdera inträffade säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd. Utifrån utvärderingen ska verksamhetsutövaren in- föra de förbättringar som krävs för att minimera skadeeffekten av liknande händelser . I nästa avsnitt redogörs för åtgärder som en verksamhetsutövare ska och bör beakta i fråga om incidenthantering för ett informations- system som har betydelse för säkerhetskänslig verksamhet. 57Det kan beröra policydokument, systemdokumentation, rutiner, driftsdokumentation, för- valtningsdokumentation, utvecklardokumentation, nätverkskartor, inventarielistor, m.m. För att en verksamhetsutövare ska kunna hantera it-incidenter på ett tillfredställande sätt krävs att två grundläggande komponenter finns på plats redan på förhand. Den viktigaste komponenten är att verk- samhetsutövaren format en arbetsgrupp som är redo att ta sig an de utmaningar en it-incident medför. I en sådan grupp är god teknisk it- och säkerhetskompetens viktigt, likväl som insikt i och förståelse för it-miljön. En incidenthanteringsgrupp bör även bestå av personal som kan hantera rättsliga frågor, personal- och arbetsgivarfrågor samt kommunikationsfrågor. Den andra viktiga komponenten är att verksamhetsutövaren tagit fram en incidenthanteringsplan. Syftet med planen är att den ska vara ett stöd i den praktiska incidenthanteringen. En incidenthanterings- plan bör vara konkret och kärnfull för att vara praktiskt användbar. En incidenthanteringsplan bör även innehålla beskrivningar av roller och ansvarsområden, mandat, prioriteringsordning, utredning, mini- mering av skador, återställning, dokumentering och rapportering. Att hantera en it-incident kan vara komplicerat och tidskrävande och syftar till att: –minimera skadeverkan i informationssystemet, –utreda omfattning och orsak, –återställa informationssysteminformationssystemet till normal- läge, –dokumentera och rapportera incidenten till berörda intressenter, och –utvärdera och dra lärdom av incidenten för att kunna införa de förbättringar som krävs för att minska sannolikheten för, eller mini- mera skadeeffekten av, liknande händelser . En vanligt förekommande orsak till avveckling är att ett befintligt informationssystem ska ersättas av ett annat. Att övergången från det befintliga till det nya kan ske utan oplanerade avbrott i den säker- hetskänsliga verksamheten, är ofta en viktig fråga att beakta i sådana sammanhang. Andra viktiga frågor som kan bli aktuella vid avveck- ling är migrering och arkivering av data. Att avveckla ett informa- tionssystem är därför ett arbete som ofta kräver noggrann planering. Utbyte och avveckling av komponenter i ett informationssystem är något som normalt sett sker mer frekvent än utbyte av hela infor- mationssystem. Av bestämmelserna i 4 kap. 10 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska fastställa rutiner för hanteringen av informa- tionssystem som har betydelse för säkerhetskänslig verksamhet under systemets förväntade livstid. Av bestämmelserna i 3 kap. 3 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för behandling av säkerhetsskydds- klassificerade uppgifter och handlingar. Rutinerna ska reglera vad som gäller för spårbarhet, upprättande, kopiering, utskrift, utdrag, kvit- tering, förvaring, distribution, medförande, inventering och destruk- tion samt vad som behövs i övrigt för att upprätthålla ett fullgott säkerhetsskydd. Verksamhetsutövaren ska ha rutiner för behandling av uppgifter som behöver skyddas från ett tillgänglighets- eller riktig- hetsperspektiv. Av bestämmelserna i 3 kap. 27 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för avveckling eller återanvändning av lagringsmedium som används i säkerhetskänslig verksamhet. Ruti- nerna ska säkerställa att information på lagringsmediet inte kan åter- skapas.58 58Rutiner för avveckling av informationssystem bör omfatta hur: –avveckling av lagringsmedier ska hanteras, –avveckling av komponenter ska hanteras, –migrering av säkerhetsskyddsklassificerade uppgifter och övrig data ska hanteras, –arkivering av data ska hanteras samt hur länge data ska bevaras, och –avvecklingen ska dokumenteras. Vissa komponenter som används inom ett informationssystem inne- håller systemrelaterad information som beskriver hur säkerhetsåt- gärder i informationssystemet, helt eller i vissa delar, är konfigurerade eller uppbyggda. Om en hotaktör får åtkomst till sådan information kan den i vissa fall användas för att underlätta ett angrepp på infor- mationssystemet. Det är därför viktigt att verksamhetsutövaren gör en bedömning av om den typen av information är skyddsvärd och hur den i så fall ska hanteras vid avveckling av de komponenter där den förekommer. Även om systemrelaterad information raderas, t.ex. genom en systemåterställning, är det inte alltid en heltäckande åtgärd då infor- mationen kan finnas kvar i en minneskrets inom komponenten. Före- komst av minneskretsar bör därför beaktas särskilt vid avveckling av komponenter som innehåller säkerhetsskyddsklassificerad eller på annat sätt skyddsvärd information. 7.16.3Avveckling och återanvändning av lagringsmedia En verksamhetsutövare är skyldig att ta fram rutiner för avveckling eller återanvändning av lagringsmedia som använts i säkerhetskänslig verksamhet. Dessa rutiner ska säkerställa att information på lagrings- mediet inte kan återskapas och bör beskriva vilket tillvägagångssätt som ska tillämpas för respektive säkerhetskyddsklass. En vanlig metod för att förhindra möjligheten att återskapa infor- mation på lagringsmedia är överskrivning av data. Detta innebär att befintligt data vid upprepade tillfällen skrivs över och ersätts av annan data. En annan metod är att förstöra nyckeln till krypterade lagrings- media. Båda dessa metoder har vid tillfällen visat sig innehålla sår- barheter som inneburit att den som har tillgång till lagringsmediet kunnat återskapa delar av informationen. Med anledning av detta bör återanvändning av lagringsmedia ske restriktivt och endast i de fall då lagringsmediet kommer att återanvändas i ett informationssystem som omfattas av säkerhetsskydd. För lagringsmedia som inte ska återanvändas av verksamhets- utövaren bör avveckling ske genom fysisk destruktion. Av bestämmelserna i 3 kap. 2 § säkerhetsskyddsförordningen (2018:658) framgår att innan ett informationssystem som kan förutses komma att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen konfidentiell eller högre tas i drift, eller i väsentliga avse- enden förändras, ska verksamhetsutövaren skriftligen samråda med Säkerhetspolisen.60 Om verksamhetsutövaren hör till Försvarsmak- tens tillsynsområde enligt 7 kap. 1 § första stycket 1, ska denne i stället samråda med Försvarsmakten. Samrådsskyldigheten gäller även i fråga om andra informations- system än sådana som anges i första stycket, om obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig.