sou · H9B363 · 2021-07-02 00:00:00 — För att fastställa vilken kommunikation som ska tillåtas i ett infor- mationssystem och vilka skyddsåtgärder som är lämpliga för att för- hindra otillåten kommunikation kan en verksamhetsutövare genom- föra en hotmodellering. Kommunicering på ett kontrollerat sätt Ett informationssystem innehåller flera olika entiteter (användare, funktioner m.m.), som kommunicerar med varandra för att utbyta information. När en entitet tillåts att kommunicera med en annan öpp- nas möjliga vägar till angrepp som kan nyttjas av en hotaktör. Ett annat sätt att beskriva detta är att entiteterna exponerar en angreppsyta. 29Det bör därför exempelvis inte vara möjligt att upprätta kommunikation direkt från zon 4 till zon 2 eller 1, utan att passera mellanliggande zon(er) där data verifieras innan de skickas vidare. Med begreppet kommunicerar på ett kontrollerat sätt avses att verksamhetsutövaren har gjort ett medvetet ställningstagande kring hur entiteter tillåts kommunicera sinsemellan, samt hur dessa får kom- municera med entiteter i andra informationssystem. Med begreppet avses även att verksamhetsutövaren har infört säkerhetsskyddsåt- gärder som förhindrar kommunikation som inte är tillåten. En viktig princip att beakta för att kunna uppnå kontrollerad kommunikation är att endast nödvändig kommunikation mellan entiteter ska tillåtas, och övrig kommunikation förhindras. För att minska exponering av angreppsytor bör verksamhetsut- övaren tillse att informationssystem som har betydelse för säker- hetskänslig verksamhet endast kommunicerar på ett kontrollerat sätt med komponenter eller delsystem inom samma informationssystem, samt kommunicerar på ett kontrollerat sätt med informationssystem eller nätverk som inte omfattas av krav på säkerhetsskydd. Åtkomst- kontroll avgör vilka funktioner som får kommunicera med varandra, vilket medför att möjliga vägar till angrepp kraftigt reduceras. Endast specifikt utpekade funktioner bör kunna kommunicera med varandra. Kommunikation mellan entiteter kan även begränsas genom exem- pelvis VLAN och brandväggar som endast tillåter godkänd kommu- nikation mellan olika nätsegment. Stödjande eller säkerhetsrelaterade funktioner i ett informationssystem, t.ex. administration (manage- ment), loggning eller säkerhetskopiering bör utföras och hanteras i avskilda nätsegment. Syftet med detta är att minska exponering av angreppsytor och begränsa möjligheter för en hotaktör att få åtkomst till känsliga resurser som kan ge administrativa behörigheter eller påverka spårbarheten. Vidare bör kommunikation till sådana nätseg- ment, när så är möjligt, krypteras för att förhindra obehörig insyn och påverkan. Vid kommunikation av säkerhetsskyddsklassificerade uppgifter över förbindelser utanför verksamhetsutövarens kontroll, krävs krypto- grafiska funktioner som har godkänts av Försvarsmakten. Datakommunikation som inte är krypterad kan med enkla medel avlyssnas av någon som har tillgång till kommunikationen. Det- samma gäller för information på lagringsmedia. Kryptering är därför en viktig åtgärd för att skydda information från obehörig åtkomst när den transporteras i ett nätverk, eller när den lagras. Kryptering kan även användas för att skydda information mot förändring genom så kallad elektronisk signering, vilket också kan användas för att be- visa en identitet (autentisering) med exempelvis smarta kort. Av bestämmelserna i 3 kap. 5 § och 7 kap. 5 § i säkerhetsskyddsför- ordningen (2018:658) framgår att innan säkerhetsskyddsklassificerade uppgifter behandlas i ett informationssystem utanför verksamhets- utövarens kontroll ska denne försäkra sig om att säkerhetsskyddet för uppgifterna i systemet är tillräckligt. Om säkerhetsskyddsklassi- ficerade uppgifter ska kommuniceras till ett informationssystem utan- för verksamhetsutövarens kontroll ska uppgifterna skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten. Bestämmelser om kryptering finns även i Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd.30 Av bestämmelserna i 4 kap. 22 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska analysera behovet av användning av krypto- grafiska funktioner till skydd för säkerhetsskyddsklassificerade upp- gifter och uppgifter som behöver skyddas från ett riktighetsperspektiv. En verksamhetsutövare behöver analysera behovet av kryptografiska funktioner för data i vila och data under transport och därefter införa de skyddsåtgärder som är motiverade. Med data i vila menas att den lagras på ett lagringsmedium såsom exempelvis en hårddisk eller en mobil enhet. Med data under transport menas att den rör sig mellan olika komponenter i ett datanätverk. För att kryptering av information ska bli robust krävs en kedja av fungerade åtgärder. I detta ingår bl.a. säker hantering av kryptonyck- lar, skydd av kryptografisk utrustning och teknisk implementation av den kryptografiska funktionaliteten i informationssystemet. 303 kap. 21 § och 4 kap. 22 och 28 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd. Chiffersviter används bl.a. vid handskakning i kommunikationsproto- kollet (), som är vanligt förekommande för kryptering av datakommunikation. Vid handskakningen för- handlar parterna om vilka algoritmer som ska användas vid kommu- nikationen. I detta sammanhang är det viktigt att handskakningen endast tillåter algoritmer som verksamhetsutövaren har godkänt för ändamålet. Med jämna mellanrum upptäcks sårbarheter i de algorit- mer som används för kryptografi. Att genomföra omvärldsbevak- ning för att inhämta av information om sådana sårbarheter är därför viktigt för att verksamhetsutövaren ska ha möjlighet att byta ut brist- fälliga algoritmer eller implementationer . Public (PKI) För att användare och komponenter inom ett informationssystem på ett enkelt sätt ska kunna verifiera identiteter och andra entiteter i informationssystemet kan s.k. Public (PKI) an- vändas. PKI innebär att verksamhetsutövaren implementerar en in- frastruktur för certifikat och nyckelhantering, där en eller flera certi- fikatutfärdare31 är utgivare av digitala certifikat. Digitala certifikat knyter en publik nyckel till ett subjekt, t.ex. ett användarnamn, på certifikatet och signeras elektroniskt av certifikatutfärdaren. Förli- tande parter kan sedan verifiera att en motpart har en privat nyckel som står i relation till en publik nyckel och som i sin tur är elek- troniskt signerad av, en av dem, betrodd certifikatutfärdare. PKI-infrastrukturen kan användas för olika tillämpningar, bl.a. krypterade anslutningar mellan klienter och servrar, signerad och/ eller krypterad e-post eller tvåfaktorsinloggning med s.k. smarta kort.32 Hur krypteringsnycklar skyddas är avgörande för hur säker en funk- tion för kryptering kan anses vara. Att säkerställa att ingen obehörig kan få åtkomst till de nycklar som används vid kryptering, och i före- 32Hantering av PKI-miljön och rutiner kring utfärdande av digitala certifikat beskrivs i ett så kallat Certificate Practice Statement (CPS). kommande fall signering, är därför viktigt. En verksamhetsutövare kan behöva reglera nyckelhantering både ur administrativt och tek- niskt perspektiv, t.ex. genom bestämmelser om hur och när krypter- ingsnycklar utfärdas, byts ut och förstörs. Krypteringsnycklar bör säkerhetskopieras centralt så att dekryp- tering är möjlig även om originalnyckeln har försvunnit.33 Signer- ingsnycklar bör dock inte säkerhetskopieras då det påverkar signer- ingens oavvislighet, d.v.s. att innehavaren av signeringsnyckel kan hävda att någon annan har signerat ett objekt i dennes namn. Kryptografiska funktioner som godkänts av Försvarsmakten Om säkerhetsskyddsklassificerade uppgifter ska kommuniceras till ett informationssystem utanför verksamhetsutövarens kontroll, ska upp- gifterna skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten. Med begreppet kontroll menas att verksamhetsutövaren ska ha sådan kontroll över den förbindelse som används för att överföra (kommunicera) de säkerhetsskyddsklassificerade uppgifterna, att obe- hörig avlyssning kan sägas vara utesluten. Om verksamhetsutövaren saknar sådan kontroll ska i stället krypto- grafiska funktioner som har godkänts av Försvarsmakten användas för att skydda de säkerhetsskyddsklassificerade uppgifterna vid över- föring. I praktiken innebär begreppet kontroll att verksamhetsutöva- ren ska besitta både administrativ kontroll över informationssyste- met/datanätet och fysisk kontroll över förbindelsen så att obehörig åtkomst för avlyssning kan förhindras. Försvarsmakten är den myndighet som får utfärda föreskrifter om kryptografiska funktioner som är avsedda för skydd av säkerhets- känslig verksamhet. Vid behov av kryptografiska funktioner som god- känts av Försvarsmakten kan en verksamhetsutövare i första hand kontakta Myndigheten för samhällsskydd och beredskap (MSB) som har i uppdrag att samordna beställningar av signalskydd. För att säkerställa att endast behöriga får åtkomst till ett informa- tionssystem och spårbarhet till olika händelser är en verksamhets- utövares identitets- och behörighetshantering ett viktigt arbete. Detta arbete innefattar många delar, allt från ID-kontroll för att verifiera identiteten på en person som ska tilldelas ett användarkonto i ett informationssystem, till att följa upp och säkerställa att en användare har rätt behörigheter . Bestämmelser om identitets och behörighetshantering återfinns bland annat i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd. Åtkomst inom ett informationssystem baseras som regel på en an- vändare (eller ett användarkonto) till vilket det tilldelas behörigheter som styr vad användaren kommer åt. Med behörighetsstyrning avses främst administrativa åtgärder för att styra och hantera åtkomst till och inom ett informationssystem. De administrativa åtgärderna handlar främst om processer, rutiner och regler som beskriver hur verksamhetsutövarens ska hantera användare och deras behörigheter i ett informationssystem. Viktiga perspektiv att beakta vid behörig- hetsstyrning är tilldelning, förändring och uppföljning av användare och behörigheter. Huvudprincipen vid behörighetsstyrning för ett informations- system av betydelse för säkerhetskänslig verksamhet är att en använ- dare av ett sådant informationssystem endast tilldelas de behörig- heter som denne behöver för att kunna utföra sina arbetsuppgifter.34 En annan viktig princip att beakta vid behörighetsstyrning är att till- delade behörigheter bör tidsbegränsas. 34Denna princip beskrivs bl.a. i internationella standarder och facklitteratur. I engelsk fack- litteratur används begreppet ”least privileged access” som benämning för denna princip. Identitetshantering och spårbarhet över tid En digital identitet kan beskrivas som en representation av en fysisk individ i ett informationssystem. För att en individ ska kunna an- vända ett informationssystem skapas en digital identitet, i de flesta fall i form av ett användarkonto. Ett användarkonto tilldelas i sin tur behörigheter som ger åtkomst till olika resurser i informationssystemet. Alla utställda identiteter i ett informationssystem som har bety- delse för säkerhetskänslig verksamhet ska vara unika , det vill säga över hela informationssystemets livstid. Anledningen till detta är att identiteten ska kunna knytas till en unik fysisk person under hela informationssystemets livstid, samt att spårbarheten för vad olika individer gjort i informationssystemet ska vara tillförlitlig. Åtkomst inom ett informationssystem ska vara spårbar till an- tingen individ, system eller resurs. Spårbarheten till individ är viktigt vid brottsutredningar samt för att kunna upptäcka och utreda inci- denter. Det finns dock ofta konton i informationssystem som inte kan kopplas till en fysisk individ, t.ex. tjänstekonton som används främst för att utföra automatiserat bakgrundsarbete i ett informations- system. Även om tjänstekonton inte går att koppla till en fysisk indi- vid är det lika viktigt att dessa identiteter är och förblir unika . Identiteter kan ställas ut på många sätt och i olika former. När verksamhetsutövare tar fram processer, rutiner och regler inom ramen för sin behörighetsstyrning är det viktigt att säkerställa att: –användarkonton inte återanvänds under informationssystemets livstid, –användarkonton aldrig tas bort från ett informationssystem, utan i stället avaktiveras om de inte används, –det sker kontinuerlig uppföljning av tilldelade användarkonton och deras behörighet. Det är även viktigt att verksamhetsutövaren har processer som säker- hetsställer att alla identiteter i ett informationssystem har utgivits på ett tillförlitligt sätt. En teknisk funktion som styr användarnas åtkomst i ett informa- tionssystem, eller mellan informationssystem, benämns behörighets- kontrollsystem. Ett behörighetskontrollsystem baseras ofta på olika roller som kan tilldelas till användarna. Dessa roller styr användarnas skriv- och läsrättigheter till den information som finns i informa- tionssystemet. För att förenkla hantering samt uppföljning av be- hörigheter hanteras detta i en central funktion, ofta benämnd centralt behörighetskontrollsystem. Ett centralt behörighetskontrollsystem kan utgöra ett intressant angreppsmål. Det är därför viktigt att verksamhetsutövaren vidtar adekvata säkerhetsskyddsåtgärder för att förhindra att systemet ut- gör den svagaste kedjan i länken, i fråga om kontrollen av åtkomst till information. Ett centralt behörighetskontrollsystem ska ges ett säkerhetsskydd som motsvarar det högsta säkerhetsskydd som de anslutna infor- mationssystemen omges av. Vid val av skyddsåtgärder för ett centralt behörighetskontrollsystem blir därför säkerhetsskyddsklassificeringen av informationen i de anslutna informationssystemen ett viktigt in- gångsvärde. Skyddsåtgärderna bör omfatta såväl tekniska som admi- nistrativa säkerhetsåtgärder. Intrångsskydd beskrivs som administrativa eller tekniska åtgärder som vidtas för att skydda informationssystem mot obehörig åtkomst.35 Bestämmelser om intrångsskydd och intrångsdetektering finns i Säker- hetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. I före- skrifterna beskrivs intrångsdetektering som administrativa eller tek- niska åtgärder som vidtas för att detektera intrång eller försök eller förberedelse till intrång i informationssystem. Av bestämmelserna i 4 kap. 29 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska förse ett informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- 353 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 29–30 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. klassen konfidentiell eller högre och som kommunicerar med andra informationssystem, med funktioner för intrångsskydd och intrångs- detektering. Av 30 § framgår att verksamhetsutövaren även ska förse ett in- formationssystem som kommunicerar med andra informationssystem och där en incident kan medföra mer än ringa skada för säker- het med funktioner för intrångsdetektering och intrångsskydd. Intrångsskydd (Intrusion Prevention) har som funktion att stoppa eller blockera oönskade aktiviteter som pågår i ett nätverk eller i ett informationssystem. Syftet med intrångsdetektering (Intrusion Detection) är att iden- tifiera och göra verksamhetsutövaren uppmärksam på oönskade akti- viteter som pågår i ett nätverk eller i ett informationssystem. Funktioner för och intrångsskydd och intrångsdetektering kan i praktiken se ut på olika sätt, från nätverksbaserade produkter36 till programvara som installeras i någon del av informationssystemet37. Det är viktigt att de system som avses användas kan analysera de pro- tokoll som används inom systemet samt identifiera angrepp på dessa protokoll eller tjänster. En verksamhetsutövare måste således analy- sera var informationssystemet är exponerat och var sådana säker- hetsfunktioner ska implementeras. Nätverksbaserade produkter för intrångsdetektering och intrångs- skydd kan dock bli mindre effektiva till följd av den tekniska utveck- lingen, där en stor del av all nätverkstrafik är krypterad och därmed svårare att inspektera. I vissa fall är det möjligt att t.ex. placera server- tjänster bakom en lastbalanserare som handhar kryptering gentemot klienter. Dekryptering av nätverkstrafiken sker då innan denna skickas vidare till servern, vilket möjliggör inspektion av nätverkstrafiken. Systemnära intrångsskydd och intrångsdetektering kan ge bättre skydds- och detekteringsförmåga än nätverksbaserade motsvarigheter, 36Nätverksbaserade produkter tar oftast sikte på att upptäcka skadliga aktiviteter i nätverks- trafik benämns (). Produkter som även förhindrar skadliga aktiviteter i nätverkstrafik benämns vanligen (). 37Operativsystemnära mekanismer för detektion eller prevention benämns () respektive (). Utöver dessa finns även applikationsnära skydd som är specialiserade på vissa nätverksprotokoll, t.ex. Web Application Firewalls (WAF) för webbaserad kommunikation. eftersom de ligger närmare systemet där händelsen sker. Det är dock av vikt att även implementera säkerhetsövervakning som kan agera på larm då en hotaktör i de flesta fall kan ta sig runt dessa skydd om tid ges. 7.7.13Granskning vid anskaffning och utveckling Under arbetet med anskaffning eller utveckling av ett informations- system av betydelse för säkerhetskänslig verksamhet är den särskilda säkerhetsskyddsbedömningen central. Genom denna fastställer verk- samhetsutövaren vilka säkerhetsskyddsåtgärder (säkerhetskrav) i in- formationssystemet som är motiverade utifrån hur informations- systemet ska användas. Den särskilda säkerhetsskyddsbedömningen blir därefter ett stöd för verksamhetsutövaren när säkerhetsskyddet ska utformas och granskas så att dessa krav tillgodoses. I 4 kap 4 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd anges att verksamhetsutövaren ska se till att egenutvecklad programvara i informationssystem som har betydelse för säkerhets- känslig verksamhet granskas för att upptäcka och åtgärda säkerhets- brister och sårbarheter. I 5 § anges att verksamhetsutövaren ska se till att tredjepartspro- gramvara i informationssystem som har betydelse för säkerhetskäns- lig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter, eller att programvaran på annat sätt bedöms vara tillförlitlig från säkerhetsskyddssynpunkt. Om ett informationssystem ska implementeras i en befintlig it-miljö (driftmiljö) bör testning av informationssystemet utföras i åtskild it- miljö (testmiljö), som på ett realistiskt sätt efterliknar den it-miljö där informationssystemet ska implementeras. Syftet med testmiljön är att säkerställa att sårbarheter inte införs i driftmiljön, att undvika störningar i driftmiljön, samt att testerna i övrigt blir tillförlitliga. Förutom att driftmiljön bör vara separerad från testmiljön, bör även testmiljön vara separerad från den it-miljö där utveckling sker. Verksamhetsutövaren bör således även upprätta en så kallad utveck- lingsmiljö. Säkerhetskonfigurering, s.k. härdning, innebär att operativsystem, nät- verkskomponenter, andra komponenter, inbyggda programvaror, data- baser och andra applikationer som ingår i ett informationssystem konfigureras på ett så säkert sätt som möjligt.38 Exempelvis kan åt- komsträttigheterna i systemet och de delar som ingår begränsas, möjliga vägar till angrepp via sårbara funktioner i infrastrukturkom- ponenter och applikationer skäras av och exponering mot andra in- formationssystem eller externa enheter förhindras. Bestämmelser om säkerhetskonfigurering återfinns i Säkerhets- polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestäm- melserna i 4 kap. 23 § i PMFS 2019:2 framgår att verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet tillämpa konfiguration som använder lämpliga säker- hetsfunktioner, stänger av funktioner som inte används och även i övrigt reducerar sårbarheter. S.k. härdning utgår från principen att det som inte behövs för in- formationssystemets definierade funktion ska vara begränsat avse- ende åtkomst, avstängt eller borttaget ur informationssystemet. I arbe- tet med härdning behövs dock en avvägning av vilka åtgärder som ska vidtas, där man särskilt bör beakta hur informationssystemet ex- poneras samt vilken hotbild verksamhetsutövaren har att förhålla sig till. Härdning bör ske utan att informationssystemets stabilitet på- verkas och därutöver kan användarvänligheten vara en aspekt att beakta. Härdning bör vara en del av en standardkonfiguration och automa- tiseras så långt det är möjligt för att minimera risken för felkon- figurationer. För att härda ett informationssystem finns det olika rekommen- dationer från både tillverkare och andra aktörer på marknaden. Till- verkarspecifika rekommendationer eller andra allmänt kända och verifierade inställningar bör i första hand användas om sådana finns. Kvaliteten på rekommendationerna kan dock vara svår att bedöma, och varierar från tillverkare till tillverkare. 383 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 23 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd. Som alternativ till dessa finns olika standarder utgivna av olika oberoende organisationer. Dessa är oftast mer konceptuella och om- fattar de vanligaste delarna i ett informationssystem. För att säkerställa att en hotaktör inte ska kunna påverka ett in- formationssystem behöver säkerhetsskyddsåtgärderna utformas så att de kompletterar och överlappar varandra. Ett sätt att åstadkomma detta är att säkerhetsskyddsåtgärderna byggs i flera lager.39 7.8.2Skydd mot skadlig kod Allmänt om skydd mot skadlig kod Skadlig kod är ett samlingsnamn för olika typer av programvaror som orsakar avsiktlig störning eller skada.40 I begreppet skadlig kod ingår bl.a. virus, maskar, trojaner, exploits och rootkits. Skydd mot skadlig kod syftar till att skydda informationssystemet mot programkod som är tänkt att användas för att otillbörligt ändra, röja, exfiltrera, förstöra eller avlyssna uppgifter, filer eller program- vara som lagras eller kommuniceras till eller från ett informations- system. Bestämmelser om skydd mot skadlig kod finns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.41 Av bestämmelserna i 4 kap. 27 § i PMFS 2019:2 framgår att verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksam- het analysera behovet av och i förekommande fall besluta att använda de funktioner för skydd mot skadlig kod som är nödvändiga från säkerhetsskyddssynpunkt. 39Säkerhetsskyddåtgärder att implementera kan t.ex. vara: –fysisk plombering för att upptäcka eventuell manipulation av hårdvara, –Secure Boot för verifiering av uppstartsprocess, –skydd av systemfiler (åtkomstkontroll), –vitlistning av godkända hårdvaruenheter, –vitlistning och signering av godkända applikationer, –användning av lokal brandvägg, –skydd mot skadlig kod, –detektering och skydd mot skadliga aktiviteter (intrångsdetektering/intrångsskydd). 40I engelsk facklitteratur används begreppet malicious code eller kortformen malware. 413 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 27 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd. En verksamhetsutövare som har ett informationssystem som är av be- tydelse för säkerhetskänslig verksamhet behöver i första hand göra en analys av vilka funktioner för skydd mot skadlig kod som är lämp- liga utifrån hur informationssystemet ska användas. Därefter behö- ver verksamhetsutövaren besluta vilka funktioner som ska användas, och slutligen införa dessa funktioner till skydd av informations- systemet.42 Det vanligaste skyddet mot skadlig kod är antivirusprogramvara, som med hjälp av signaturer söker efter hela eller delar av filer som kan ha ett skadligt beteende.