sou · H9B363 · 2021-07-02 00:00:00 — De olika organen i den amerikanska satsningen på IKT-säkerhet illustrerar den mångfacetterade bilden i ett stort land med en kom- plex organisation. Medan DHS, genom Integration Center (NCCIC), ska hantera digital risk proaktivt och tillhandahålla informationsdelning om digitala sårbar- heter, har National Cyber Investigative Joint Task Force (NCIJTF), som består av 19 underrättelsetjänster och brottsbekämpande myn- digheter, som mål att säkra internet genom att aktivt jaga hotfulla aktörer. Inrikes säkerhet och cybersäkerhet () har i uppdrag att samordna arbetet med att förhindra katastrofer och hot mot nationen samt att agera till skydd för befolkningen vid sådana händelser. I personalen ingår bl.a. cybersäkerhetsanalytiker. Cybersecurity and () är en ledande cybersäkerhetsmyndighet på federal nivå. CISA ger råd om riskhantering och utgör kärnan i det kollektiva försvaret mot cyber- och fysiska hot mot landets kritiska infrastruktur. CISA erbjuder, utöver rådgivning, teknisk hjälp och utbildning på informations- säkerhetsområdet. Myndigheten är underställd DHS tillsyn. Center (NRMC) är inrymt i CISA och arbetar för att identifiera, analysera, prioritera och hantera hot med potentiellt stora konsekvenser för kritisk infrastruktur. NRMC samarbetar med privat sektor och andra viktiga aktörer inom kritisk infrastruktur för att skapa ett informationsutbyte som gynnar säker- het och resiliens i och mellan samhällsviktiga sektorer. Defence Counterintelligence and () är en federal säkerhetsmyndighet med uppdrag att skydda landets säker- hetskänsliga arbetsplatser och dess personal. Vid myndigheten finns () som erbjuder säkerhetsprodukter och -tjänster till civil och militär personal inom såväl försvarsdepartementet (U.S. , DoD) som den federala regeringen i övrigt samt godkända entreprenörer enligt the Program (NISP, se nedan). Centret utbildar, certifierar, validerar och främjar olika personalkategorier inom nationell säkerhetskänslig verksamhet.122 () är en federal myndighet i som lyder under DoD. NSA svarar för landets signalspaning och upprätthåller också säkra (krypterade) kommunikationer för högt uppsatta befattningshavare. NSA driver National Information Partnership (NIAP, se nedan) som är ett amerikanskt regeringsini- tiativ för att möta utmaningar med säkerhetstestning bland it-till- verkare och -konsumenter. Nationellt integrationscenter för cybersäkerhet och kommunikation National Cybersecurity and Communications Integration Center (NCCIC) är en del av cybersäkerhetsdivisionen hos CISA. NCCIC har till uppgift att säkerställa att relevant information rörande risk- bild, incidenter och analyser skyddas och delas. NCCIC delar infor- mation mellan offentliga och privata företag och är också ett dygnet runt-center som utgör en kontaktpunkt för federala myndigheter, underrättelsetjänster och polismyndigheterna. Office of Management and Budget Office of Management and Budget (OMB) är enligt lag ansvarigt för att övervaka federala myndigheters informationssäkerhets- och sekre- tesspraxis och för att utveckla och styra genomförandet av policyer och riktlinjer som stöder och upprätthåller dessa metoder. 122Certifieringen av personal sker på olika nivåer och områden. Merparten av certifierings- programmen ackrediteras av the National Commission for (). OMB delegeras dessa ansvarsområden till Office of the Federal Chief Information Officer () som samarbetar med partners inom regeringen för att utveckla cybersäkerhetspolicyer, genomföra data- driven tillsyn över byråns cybersäkerhetsprogram och samordna det federala svaret på cyberincidenter. OMB arbetar kontinuerligt för att effektivt anpassa befintlig säker- hetspraxis till ett mer modernt teknologilandskap medan standardi- seringen bland federala myndigheter ökar. () ansvarar för att koordinera policy- initiativ med presidentens seniora rådgivare samt befattningshavare inom militären och underrättelsetjänsten. Cybersäkerhetsdirektora- tet vid NSC ger bl.a. presidenter råd i frågor om cybersäkerhet av betydelse för nationell säkerhet. NSC och OMB samarbetar med federala myndigheter för att implementera administrationens cyber- säkerhetsprioriteringar. () är nationella och teknologi. NIST drivs av och dess kärnverksamhet avser utveckling av kritiska mätningslösningar och informationssäkerhetsstandarder. NIST ansvarar för att utveckla riktlinjer, inklusive minimikrav för federala informationssystem. För ackreditering av evalueringsföre- tag ställer NIST vissa krav på och bedömer personalens kompetens samt anger evalueringskrav för ackreditering. NIST tillhandahåller även verktyg och vägledning för att öka användningen av kryptering. Kommitté för nationella säkerhetssystem , , är en organisation som på nationell nivå fastställer cybersäkerhetspolicy, direktiv, in- struktioner och vägledning för amerikanska departement och myn- digheter när det gäller skydd av nationella säkerhetssystem (se nedan). Tillsyn och ansvar på sektornivå I utövas tillsyn på cybersäkerhetsområdet vanligen sektoriellt. Olika federala departement och myndigheter har ansvar att verka sektorsspecifikt i respektive samhällsviktig sektor. Sektorsmyndig- heterna är ansvariga att samarbeta med DHS för att implementera NIPP-regleringen (National Infrastructure Protection Plan), utveckla skyddsprogram, resiliensstrategier och därmed sammanhängande krav, och ge vägledning om skydd av kritisk infrastruktur på sektornivå.123 Allmän reglering på cybersäkerhetsområdet De amerikanska myndigheterna har uppgett att cyberhotet är den största nationella säkerhetsutmaningen. ser ett tydligt behov av att inkludera alla relevanta aktörer i sitt cybersäkerhetsarbete. Detta återspeglas bl.a. i det faktum att myndigheterna i upprättat en s.k. ”whole of government”-strategi för cybersäkerhet (samma strategi som i kampen mot terrorism). I praktiken innebär detta att alla offentliga organ arbetar tillsammans över ansvarslinjer för att uppnå ett gemensamt mål att minska säkerhetsriskerna. Ett sådant tillväga- gångssätt ställer höga krav på inrättandet av funktionella samarbets- strukturer där alla relevanta aktörer deltar.124 Det kan konstateras att lägger särskilt stort fokus på att förbättra cybersäkerheten genom att upprätta informationsdelningsstrukturer och samarbete mellan offentlig och privat sektor. Landet betonar behovet av ökad inno- vation relaterad till säkerhetslösningar till följd av allt strängare krav på effektivitet och mobilitet. 123För övrigt finns inga krav på att ge statliga tjänstemän fysisk tillgång till anläggningar, på att i en nödsituation avstå från kontroll av anläggningar eller på att tillhandahålla källkod eller andra dekrypteringsfunktioner. 124Flera länder erkänner att mandat och befogenheter hos myndigheter ofta överlappar var- andra och att brist på samarbete och samarbete kan leda till framväxten av ”blinda fläckar”. 2018 antog , genom presidenten och försvarsdepartementet, en ny nationella cybersäkerhetsstrategi.125 Strategin fokuserar på stärkt samarbete, skydd av kritisk infrastruktur och säkrande av offentliga och privata system och information som rör försvaret samt främ- jandet av en säker digital ekonomi. Strategins mål är att försvara natio- nen och främja amerikanskt välstånd. Strategin bygger på och utvecklar arbetet som påbörjats under Executive Order 13800, Strengthening the Cybersecurity of Infrastructure. Den verkställande ordern iden- tifierar betydelsen av uppdragsleverans, servicekvalitet och säkerstäl- lande av medborgarnas information även om skadliga cyberaktörer försöker störa dessa tjänster. Verkställande order om cybersäkerhet president undertecknade en verkställande order för att förbättra landets cybersäkerhet och skydda statliga nät- verk mot bakgrund av att den senaste tidens eskalerande cybersäker- hetsincidenter i offentlig och privat sektor talar för att cybersäker- hetsförsvaret är otillräckligt. Den verkställande ordern syftar till att –förbättra delningen av cybersäkerhetsinformation mellan reger- ingen och privat sektor, –stärka den nationella svarsförmågan, –implementera starkare cybersäkerhetsstandarder i den federala regeringen, –förbättra mjukvarusäkerheten i leveranskedjan, –inrätta en styrelse för granskning av cybersäkerhet, –inrätta en på cyberincidenter, –förbättra detekteringen av cybersäkerhetsincidenter mot statliga nätverk, och –förbättra utredande och avhjälpande förmågor. 125Se /Explore/News/Article/Article/1641969/white-house-releases-first- national-cyber-strategy-in-15-years. The Cybersecurity Enhancement Act of 2014 är en lag på federal nivå som syftar till att tillhandahålla ett offentlig-privat partnerskap för att stärka cybersäkerheten och allmänhetens kunskap på området. NIST har i samarbete med regeringen och privat sektor tagit fram ett ramverk för cybersäkerhet vilket ratificerats av kongressen som ett ansvarsområde inom the Cybersecurity Enhancement Act of 2014. , som är frivilligt och används brett, syftar till att hjälpa organisationer att hantera sina cybersäkerhetsrisker och -incidenter med anpassade åtgärder. Även om det inte är vanligt att ha en allmän lag för cybersäkerhet används allt fler standarder som grund för informationssäkerhets- arbetet. Många av dessa standarder överlappar varandra genom att de reglerar implementeringen av ett kontrollsystem för informations- säkerhet, med målet om ett mer strukturerat och systematiskt arbete för att förbättra kvaliteten på informationssäkerheten i allmänhet och genomförandet av riskreducerande åtgärder i synnerhet. Ett exempel på en sådan standard är Framework for Improving Critical Infra- structure Cybersecurity, publicerad av () i . Program för evaluering av kommersiellt utvecklade it-produkter NIAP tillhandahåller gemensamma kriterier för testning och valider- ing av kommersiellt utvecklade it-produkter. NIAP ansvarar för den nationella, Common Criteria-baserade, certifieringsordningen CCEVS. CCEVS tillämpas för evalueringar av kommersiella it-produkter för användning i nationella säkerhetssystem. I samarbete med NIST god- känner NIAP också testningslaboratorier som ska utföra säkerhets- evalueringar i den privata sektorn enligt Common Criteria. I amerikansk lag föreskrivs att the Director of the Office of Manage- ment, i samråd med the Secretary of , ska bestämma vilka standarder för informationssäkerhet som ska användas för fede- rala system, och bli kontrollerade emot.126 Modenization Act 2014 (FISMA) är en lag som reglerar federal informationssäkerhet. FISMA identifie- rar myndighetens chef som ansvarig för sin respektive organisations förhållningssätt till cybersäkerhet. Myndigheterna är ansvariga för att allokera nödvändig personal, processer och teknologi för att skydda federal data.127 Office of Management and Budget (OMB) publicerar årliga rap- porter i enlighet med FISMA vilka bl.a. innehåller analyser av in- trångsdetekterings- och förebyggande kapacitet samt och uppgifter som rapporterats av federala myndigheter. Rapporten sammanfattar även cybersäkerhetsprestandan hos myndigheterna utifrån självbedöm- ningar som respektive informationschef gjort. Självbedömningen är en skriftlig redogörelse som ger varje myndighet möjlighet att er- bjuda inblick i framgångar eller utmaningar från , och i vissa fall formulera myndighetens framtida prioriteringar. Framework (RMF) är grunden för krav och kontroll av alla federala myndigheters informations- och it-säker- het. I FISMA uppställs krav för myndigheterna avseende skydd av alla it-system som dessa hanterar. RMF behandlar även nationell säkerhet. består av en enhetlig klassningsmodell med krav på åtgärder beroende på informationens och systemens klassifiering. Det innehåller möjlighet till lokala anpassningar, regler för kontroll av efterlevnad (certifiering) samt driftsgodkännande av verksamhets- ansvarig (ackreditering).128 NIST Cybersecurity framework (CSF) är till skillnad från RMF ett frivilligt stöd till privata aktörer att välja ett adekvat skydd. 126Sektorsmyndigheter är skyldiga att arbeta med för att implementera det sektoriella NIPP-partnerskapsmodellen och ramverk för riskhantering, utveckla skyddande program, resiliensstrategier m.m. och på sektornivå tillhandahålla väg- ledning om skydd för kritisk infrastruktur. 127Varje myndighetschef är ansvarig för att delegera denna behörighet till informationssäker- hetschefen. 128Krav som ingår i RMF är ”mappade” mot ISO 27001 (och tvärtom, men noteras bör att vilka åtgärder som ska göras inte styrs av ISO 27000 eftersom i den senare överlåts risk- bedömningen och val av åtgärder till verksamhetsutövaren, vilket är mycket mer centralt styrt i RMF). cip delar CSF upp åtgärder i olika kategorier. Inom respektive kate- gori kan man välja en nivå. Man kan därmed skapa profiler för olika typer av verksamheter som anger vilka nivåer man bör sträva efter i varje nivå. Sådana profiler finns utarbetade inom flera sektorer. CSF är standardsoberoende, dvs. man kan använda CSF och dess metodik tillsammans med andra standarder, beroende på vad respektive orga- nisation redan valt att använda. CSF kan därmed sägas vara ett slags ”metaspråk” för säkerhetsåtgärder.129 CSF kan även användas av orga- nisationers ledningar för att förstå nuläget samt besluta om vilken profil den egna organisationen ska ha och utgör ett verktyg för ledningarna att mäta och styra arbetet. NIST SP 800-171 är en särskild publikation som anger krav för skydd av konfidentialitet i s.k. kontrollerad oklassificerad informa- tion (CUI).130 Dokumentet innehåller rekommendationer som riktar sig till federala myndigheter och behandlar säkerhetskontroller av komponenter tillverkade av kommersiella aktörer. Kraven används av federala myndigheter som ingått avtal med icke-federala organi- sationer. Riktlinjerna är tillämpliga på alla federala informationssystem med undantag för nationella säkerhetssystem (se nedan). Syftet är att de krav som ställs på organisationer och informationssystem ska överensstämma med och komplettera andra etablerade informations- säkerhetsstandarder. NIST SP 800-53 tillhandahåller en katalog av säkerhetskontroller för federala informationssystem och organisationer samt en process för att välja anpassbara kontroller som ska skydda tillgångar, individer och nationen från en serie olika hot, däribland antagonistiska cyber- attacker, som uppkommer i samband med driften av informations- system. Säkerhetskontrollerna är utformade för att främja överens- stämmelse med tillämplig författning och gällande standarder och 129Genom att organisationer som i sig valt olika standarder (t.ex. NIST RMF, ISO 27000, CMMC etc.) alla ganska lätt kan karaktärisera sig via CSF, så är CSF ett sätt att lätt skapa jämförelser mellan olika organisationers införda säkerhetsåtgärder. 130Publikationen utvecklades till följd av NIST:s ansvar enligt Modenization Act 2014 (FISMA). Vid framtagandet av standarder och riktlinjer med anledning av FISMA efterhör NIST med andra federala myndigheter och privat sektor för att förbättra informationssäkerhet och effektivitet samt tillse att publikationerna kompletterar standar- derna och riktlinjerna som antagits för att skydda nationella säkerhetssystem. NIST arbetar också med diverse aktörer för att upprätta kartläggningar av och relationer till säkerhetsstan- darder och riktlinjer som utvecklats av Electrotechnical Commission (ISO/IEC). NIST innehåller ett flertal delmoment för anpassning till den egna verksamheten. adresserar krav tvärs över den federala regeringen och kritisk infra- struktur. NIST SP 800-53, 800-53A respektive 800-37 beskriver en riskhan- teringsprocess som inbegriper kategorisering av informationssystem, val och bedömning131 av säkerhetskontroller samt godkännande av informationssystemens drift. FIPS Publication 200 är en obligatorisk federal standard utveck- lad av NIST som uppställer minimikrav på säkerhet i federala in- formationssystem och kan kombineras med NIST SP 800-53. NIST SP 800-53 avser vidare att ge stöd åt federala myndigheter att möta kraven i FIPS 200. Sådana standarder och riktlinjer som NIST tar fram får dock inte tillämpas på nationella säkerhetssystem utan ut- tryckligt godkännande av behöriga federala tjänstemän som utövar politisk auktoritet över sådana system, om än riktlinjerna i NIST SP 800-53 utvecklats för att komplettera liknande vägledning för natio- nella säkerhetssystem (se nedan). Kommersiella lösningar för hantering av klassificerad information NSA:s program for Classified (CSfC) gör det möjligt för kommersiella produkter att användas i lagerlösningar som skyddar klassificerad NSS-information. för att skydda klassificerad information inbegriper både kommersiellt baserade och traditionella ”Government-off-the-Shelf Information ” -lösningar. Informationsassuransdirektoratet (IAD) letar emellertid först efter kommersiell teknik för att formulera lösningar som hjäl- per kunder att skydda klassificerad information. En anledning är att detta tillvägagångssätt kan ge snabbare lösningar. Lösningarna enligt CSfC är designade eller godkända av NSA. Berörda komponenter ska vidare vara validerade enligt NIAP och uppfylla skyddsprofil- kraven samt valideras mot Common Criteria. Slutligen ska de inbyggda assuransfunktionerna vara baserade på standarder, såsom NIST 800-30. 131Ansvaret för utförandet av säkerhetskontrollbedömningar ligger ofta hos informations- systemets ägare. Kontrollbedömningarna visar att de kontroller som organisationen valt imple- menteras korrekt och uppfyller kraven på säkerhet i författningar och standarder. har haft regler som krävt att vissa myndigheter ska begära god- kännande av tillsynsmyndigheter vid upphandling av informations- säkerhetssystem.132 Federal Acquisition Regulation är en uppsättning regler om offentlig upphandling som omfattar alla upphandlingar och avtalsprocedurer associerade med den amerikanska regeringen. DoD är det administrativa organet bakom regelverket. Enligt Defence Federal Acquisition Regulation Supplement (DFARS, paragraf 252.204-7012) måste leverantörer eller tillverkare på för- svarsområdet implementera de av NIST rekommenderade kraven för att påvisa tillräcklig informationssäkerhet. För tillverkare som är del av en federal eller statlig myndighets leverantörskedja är säkerhets- kraven obligatoriska. vid NIST tillhandahåller en handbok om självbedömning, NIST Handbook 162, som är avsedd att hjälpa tillverkare som leve- rerar produkter åt DoD att bedöma sin cybersäkerhet i förhållande till säkerhetskraven i NIST SP 800-171 och DFARS.133 Även privata organisationer och andra aktörer uppmuntras att använda sig av väg- ledningen. IKT i säkerhetskänslig verksamhet Federala informationssystem och nationella säkerhetssystem Nationella säkerhetssystem (NSS)134, och även många andra infor- mationssystem, är föremål för avancerade cyberhot. NIAP (se ovan) samarbetar med användare av nationella säker- hetssystem för att säkerställa att skyddsprofiler tillhandahåller en strömlinjeformad certifieringsväg för kommersiella informationssäker- hetsprodukter som används i deras system. Som ovan nämnts kan CSfC möjliggöra användning av kommersiella produkter i lösningar som skyddar klassificerad NSS-information. 132I Cybersecurity law overview – a report by , , s. 4 (fotnot 10), anges att regleringen verkar kräva en självbedömning. 133Råden kan lämna utrymme för alternativa metoder att bibehålla säkerhet så länge tillverka- ren meddelar behörig myndighet om ändringarna och får dem godkända. I slutändan kan öve- rensstämmelse med DFARS endast uppnås genom godkännande av DoD. 134Ett nationellt säkerhetssystem är ett informationssystem (inklusive alla telekommunika- tionssystem) som används eller drivs av en myndighet och har betydelse för nationell säkerhet. Den riskhanteringsprocess som beskrivs i NIST SP 800-53, 800-53A respektive 800-37 har redogjorts för. CNSS Instruction 1253 tillhandahåller motsvarande vägledning i fråga om nationella säker- hetssystem.135 Tillstånd att driftsätta eller använda ett informations- system ges av behöriga tjänstemän och baseras på att säkerhetsrisken för organisationen, individer och nationen är acceptabel. Den slutgil- tiga åtgärden innan ett system tas i drift är alltså att den godkännande tjänstemannen uttryckligen accepterar risken. Varje steg i riskhan- teringsramverket kan utföras av icke-federala externa leverantörer med undantag för auktoriseringssteget – dvs. acceptansen av risker är ett inneboende federalt ansvar för vilket ledande befattningshavare hålls ansvariga.136 CNSS Instruction 1253 tillhandahåller, med stöd av det nationella säkerhetsdirektivet (Directive 42), federala organi- sationer en process för säkerhetskategorisering av nationella säkerhets- system som hanterar nationell säkerhetsinformation.137 Instruktionen hänvisar också till en omfattande uppsättning säkerhetskontroller och förbättringar förknippade med valet av den bestämda nivån av potentiell påverkan (eller förlust) på konfidentialitet, integritet och tillgänglighet som kan tillämpas på alla nationella säkerhetssystem som utvecklats och används av den nationella säkerhetsgemenskapen138. Följaktligen tillhandahåller instruktionen även skräddarsydda väg- ledningar, så att organisationer kan välja en robust uppsättning säker- hetskontroller för att säkra sina nationella säkerhetssystem, baserat på bedömd risk. Instruktionen är avsedd att användas som ett verk- tyg av ingenjörer för informationssäkerhetssystem, auktoriserade tjänstemän och informationssäkerhetsansvariga på myndigheter för att kunna välja och komma överens om lämpligt skydd för ett natio- nellt säkerhetssystem. Alla federala organisationer som driver, använder eller förvaltar nationella säkerhetssystem måste etablera och implementera ett risk- hanteringsprogram för informationsassurans (IARMP). 135Den innehåller även riktlinjer om grundläggande säkerhetskontroller. 136Auktoriseringsbeslutet är direkt kopplat till hanteringen av risker relaterade till upphand- ling och användning av komponentprodukter, system och tjänster från externa leverantörer. 137Kunder med nationella säkerhetssystem (NSS) måste följa CNSSI 1253:s krav och kontroller. Dessas system testas mot instruktionens säkerhetskontroller. 138Dessa federala organisationer är ansvariga för att processa klassificerad säkerhetsinforma- tion och har ett behov av att säkert kunna överföra sekretessbelagd information mellan säkerhets- domäner utan att kompromissa säkerheten hos informationen eller respektive domän. ett riskhanteringsramverk (RMF) som syftar till att underlätta organisationernas riskhantering. CNSSI 1253 bygger på NIST SP 800-53 och är ämnad att fungera som ett kompletterande dokument till denna publikation. En skill- nad är emellertid att CNSSI 1253-metoden uttryckligen definierar associeringar av konfidentialitet, integritet och tillgänglighet med säkerhetskontroller och förfinar användningen av säkerhetskontroller för den nationella säkerhetsgemenskapen. CNSS använder vidare flera separata kategoriseringar för respektive säkerhetsmål. Instruktionen tillhandahåller sedan lämpliga säkerhetsbaslinjer för varje möjlig systemkategorisering med hjälp av kontroller från NIST SP 800-53.139 För nationella säkerhetssystem, där skillnad förekommer mellan CNSSI 1253 och NIST-dokumentation, äger instruktionen företräde. Därefter görs en tredjepartsbedömning140 genom att en organisa- tion oberoende validerar en aktörs systems överensstämmelse med CNSSI 1253. Undersökande organisation intygar att en säkerhets- bedömningsrapport () enligt CNSSI 1253 från berörd aktör ger en fullständig bedömning av de tillämpliga säkerhetskontroller som anges i säkerhetsbedömningsplanen (SAP). dokumenterar test- ningen för att validera systemet mot ett urval av CNSSI 1253-säker- hetskontroller för system som exempelvis kan kräva hög konfiden- tialitet, hög integritet och hög tillgänglighet.141