sou · H9B363 · 2021-07-02 00:00:00 — Som framgår av den myndighetsgemensamma rapporten som Säker- hetspolisen, Försvarsmakten, () och Myn- digheten för samhällsskydd och beredskap (MSB) offentliggjort 2020 ökar den aktuella hotbilden (se kapitel 5). Ett stort antal stater be- döms ha förmåga att genomföra cyberangrepp och använder cyberangrepp för att uppfylla olika nationella intressen. Vissa statliga aktörer är dessutom mycket kvalificerade och genomför cyberangrepp på ett sätt som är storskaligt, systematiskt, uthålligt och globalt. Cyber- angrepp ger även angriparen möjligheter till anonymitet, förnekbar- het och vilseledning jämfört med mer traditionella metoder, vilket öppnar upp för nya möjligheter att agera utan att hamna i öppna kon- flikter med andra länder. Cyberangrepp från statliga aktörer pågår ständigt mot svenska mål i syfte att inhämta underrättelser. De an- griper bland annat verksamheter som hanterar känslig eller skydds- värd information som rör säkerhet, men även öppen infor- mation kan vara av intresse. I rapporten påpekas också att många länder utvecklar förmåga att genomföra avancerade cyberoperationer, bl.a. i form av offensiva cyberangrepp, t.ex. angrepp som stör eller avbryter försvarsrelate- rade eller samhällsviktiga funktioner i syfte att minska ett lands förmåga att stå emot ett kommande militärt angrepp eller försvaga ett lands motståndskraft mot påtryckningar. Statliga aktörer bedri- ver även underrättelseinhämtning mot svenska myndigheter och för- svarsindustri i form av cyberangrepp i syfte att kartlägga förmåga och sårbarheter med koppling till den nationella försvars- förmågan. Statliga aktörer studerar – som förberedelse för att an- vända cyberangrepp i konflikter – sårbarheter som kan utnyttjas och utvecklar därefter verktyg som behövs för att genomföra cyberope- rationer. Sårbarheterna utnyttjas för att ta sig in i system och infek- tera dessa för att kunna slå ut systemet i det fall en konflikt uppstår. Attackerna förbereds således i fredstid och kan sedan koordineras med konventionella stridsmedel om det gynnar operationen. Takten i den tekniska utvecklingen är hög och det upptäcks kontinuerligt nya sårbarheter och det pågår en ständig kapplöpning mellan medel och motmedel och det krävs därför ett fortlöpande utvecklingsarbete för att upprätthålla en förmåga till och skydd mot avancerade cyber- operationer. Cyberangrepp genomförs även av stater som bedriver omfattande program som syftar till att genom industrispionage stjäla företags- hemligheter från andra länder för att påskynda sin egen teknikut- veckling. Cyberangrepp i syfte att genomföra industrispionage mot svenska mål är vanligt förekommande och innebär att svenska företag som utvecklar ny teknik kan komma att konkurreras ut av sina egna lösningar som stulits av statliga aktörer. Cyberangrepp genomförs även av kriminella aktörer som bedri- ver cyberkriminalitet där det finns möjligheter till ekonomisk . Ransomware, bedrägerier, stölder och liknande kriminella aktiviteter drabbar såväl myndigheter som företag och deras leverantörer, som ofta bedriver verksamheter med höga skyddsvärden. Cyberangrepp genomförs också av ideologiskt motiverade aktörer, som betraktar angrepp mot svenska mål som legitima, även om förmågan inte mot- svarar vilja och ambition att genomföra sådana angrepp. Försök till cyberangrepp med enklare metoder och tekniska medel bedöms dock fortsätta, t.ex. genom distribuerade överbelastningsattacker och kapade hemsidor. Sammanfattningsvis kan utredningen konstatera att hotbilden är sammansatt, komplex och fortlöpande ökar. Cyberangreppen både ökar i omfattning och blir alltmer tekniskt avancerade i takt med den globala teknikutvecklingen på cyberområdet. Den nationella ambi- tionen med den pågående digitaliseringen i samhället och av säker- hetskänsliga och andra samhällsviktiga verksamheter öppnar upp för nya sårbarheter och risker, bl.a. i de nätverks- och informationssystem som används i dessa verksamheter. Som utredningen tidigare beskrivit följs takten i digitaliseringen inte av motsvarande utveckling när det gäller informations- och cyber- säkerhet i stort i samhället och inom många viktiga samhällsverksam- heter kapitel 4). 10.4Brister i informations- och cybersäkerhet Bedömning: Av offentliga utredningar och myndighetsrapporter framkommer att det finns allvarliga brister i informations- och cybersäkerheten inom en rad olika samhällsverksamheter. Detta gäller såväl statliga myndigheter som regioner och kommuner men även organisationer och näringslivet. Bristerna innebär uppenbara risker för angrepp mot nätverveks- och informationssystem som kan medföra allvarliga konsekvenser för samhället och aktörer inom olika verksamhetsområden. Utredningen har – som framgår ovan – strävat efter att skaffa sig en överblicksbild över nivån på informations- och cybersäkerhet i säkerhetskänslig verksamhet. Utredningen har tagit del av offentliga utredningar och myndighetsrapporter som offentliggjorts , några har offentliggjorts så sent som . Ett fåtal av dessa utredningar har behandlat frågor med anknytning till nivån på informations- och cybersäkerhet i säker- hetskänsliga verksamheter. De övriga utredningar som förekommer i detta avseende omfattas naturligen av sekretess eller i något fall även av kvalificerad sekretess, vilket innebär att utredningen inte haft tillgång till allt underlag som kan belysa om det föreligger anled- ning att föreslå att det införs en nationellt anpassad certifierings- ordning för IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet. Utredningen anser att detta påverkat förutsättningarna för utredningsarbetet. Även om det av offentliggjorda utredningar och myndighets- rapporter som utredningen tagit del av, och som redogjorts för i kapi- tel 8, kan dras slutsatsen att det förekommer allvarliga brister i in- formations- och cybersäkerheten i verksamheten hos många offentliga aktörer och i viss mån även i företag så kan inte dras en tillräckligt säker slutsats om nivån när det gäller den säkerhetskänsliga verksamheten. Utredningen bedömer dessutom att när det gäller aktörer och verksamheter som avser säkerhetskänslig verksamhet finns anled- ning att göra viss åtskillnad vid analyser av verksamhet som bedrivs inom respektive Försvarsmaktens ansvarsområde. Inom den senare myndighetens ansvarsområde återfinns i huvudsak myndigheter under Försvarsdepartementet, dvs. i första hand inom den militära försvarssektorn. Inom tillsynsområde återfinns i praktiken övriga aktörer som bedriver säkerhetskänslig verksamhet. Försvarsmakten har en meddelat föreskrifter om informations- och cybersäkerhet som gäller för de övriga s.k. försvarsmyndigheterna och har dessutom genom den mili- tära säkerhets- och underrättelsetjänstens (MUST) arbete en väl- utvecklad ordning för att bedriva tillsynsverksamhet inom tilldelat ansvarsområde. Utredningen har i samtal med experter med anknyt- ning till Försvarsmaktens tillsynsområde inte erhållit sådan informa- tion att det finns befogad anledning anta att det på det området skulle förekomma motsvarande allvarliga brister i informations- och cyber- säkerheten som kan återfinnas hos övriga civila aktörer som – i större eller mindre omfattning – bedriver verksamhet som omfattas av regler- ingen om säkerhetsskydd. Det innebär också att när utredningen analyserar behov av åtgär- der för att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet blir utgångspunkten i denna del den överblicksbild på brister i informations- och cybersäkerhet som kan observeras i första hand hos statliga myndigheter samt kommuner och regioner inom tillsynsområde. Av några rap- porter och studier kan även dras vissa slutsatser när det gäller brister i informations- och cybersäkerhet hos företag i näringslivet. Av sammanställningen av offentliga utredningar och myndig- hetsrapporter framkommer en mycket bekymmersam bild av nivån på och omfattningen av informations- och cybersäkerheten i främst offentlig verksamhet men även till viss del hos enskilda verksamhets- utövare. Sammantaget måste bristerna bedömas som allvarliga och utredningen anser att omfattande och samordnade åtgärder behöver vidtas i syfte att stärka informations- och cybersäkerheten i sam- hället i stort och särskilt inom säkerhetskänsliga och andra samhälls- viktiga verksamheter. Frågor som berör förslag på mer övergripande åtgärder för att öka informations- och cybersäkerheten inom angivna verksamheter, såväl vad avser styrning som organisering och resurs- behov, kräver omfattande utredningsresurser. Även om frågorna be- rör förutsättningarna för de åtgärder som utredningen har att över- väga ligger dessa frågor utanför utredningsuppdraget och utredningen har avgränsat arbetet främst till frågorna om behov av certifiering respektive godkännande av myndighet av IKT-produkter, – tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet. 10.5Behovet av ökad informations- och cybersäkerhet Bedömning: Den digitala utvecklingen i samhället visar att det blir allt mer nödvändigt för alla typer av myndigheter, kommuner och regioner, organisationer och företag att arbeta systematiskt med informationssäkerhet. Det finns en grupp av myndigheter som fokuserar på digitaliseringens möjligheter, t.ex. ur ett effek- tiviseringsperspektiv, och en annan grupp som fokuserar på olika typer av hot, sårbarheter och risker. I takt med ökad digitalisering kommer en ökad samverkan och samordning mellan dessa grup- per att få betydelse för utvecklingen i sin helhet. Vidare krävs att informations- och cybersäkerhet går från att vara en teknikfråga till en strategisk verksamhetsfråga hos verk- samhetsutövare. Ledningsfunktioner i olika former av verksam- heter behöver ta ett större ansvar för det systematiska arbetet med informations- och cybersäkerhet. För det krävs kunskap och kompetens samt att dessa frågor i högre grad integreras i verk- samhetsutövarnas ordinarie styrningsprocesser, t.ex. i system för ledning- och ekonomistyrning. Digitaliseringen är något som ofta drivs genom att visa på nytta, t.ex. genom att förenkla processer och arbetssätt. Digitaliseringen med- för att myndigheter och andra aktörer måste ha tillgång till och kunna behandla digital information. Detta ställer krav på ett struk- turerat arbetssätt för att säkerställa att den information som behand- las hanteras på ett säkert sätt. Med säker hantering avses både att säkra tillgång till öppen information och att information som inte är öppen ska skyddas. Det kräver även att nätverks- och informations- system som används för styrning och kontroll av verksamhet på samhällsviktiga områden är säkra. När det uppstår brister i informa- tions- och cybersäkerheten kan följden bli omfattande konsekvenser både för samhället i stort och för individers integritet. Utredningen kan emellertid konstatera att det är en betydande utmaning att kunna motivera investeringar i informa- tions- och cybersäkerhet eftersom det inte ger synbar eller upplevd nytta direkt vid investeringstillfället. Åtgärder som syftar till en stärkt informations- och cybersäkerhet i verksamheten kan i många fall betraktas som något som endast riskerar att försvåra, försena och fördyra ett projekt eller den löpande verksamheten. Många aktörer ser även utmaningar med att sätta sig in i vilka värden en säker hantering av information och säkra nätverks- och informa- tionssystem har på . Utredningen kan även konstatera att inte sällan betraktas också informations- och cybersäkerhetsfrågor som enbart it-säkerhetsfrå- gor vilket medför att säkerhetsåtgärder av administrativ och organi- satorisk art riskerar att förbises, t.ex. när det gäller utformning och följsamhet av rutiner och arbetssätt. Krav på personella och ekono- miska resurser i syfte att stärka informations- och cybersäkerheten tenderar dessutom ofta att ingå ordinarie budgetarbete för verksam- heten och riskerar därmed också att inte tas upp eller beaktas som en strategisk lednings- och resursfråga. Ett aktivt arbete med informations- och cybersäkerhet är en för- utsättning för en fortsatt säker digitalisering. Det bör ses som ett grundkrav i alla verksamhetsutövares hantering av information samt nätverks- och informationssystem. Målbilden för styrning inom in- formations- och cybersäkerhetsområdet bör vara att få motsvarande effekt av styrningen som på t.ex. arbetsmiljö och miljöområdet. Det innebär att höja medvetenheten om behovet av strategisk styrning och ett systematiskt informationssäkerhetsarbete och att tydliggöra detta inte bara hos statliga myndigheter utan även hos andra offent- liga och enskilda verksamhetsutövare. Alla statliga myndigheter och andra offentliga aktörer, dvs. regioner och kommuner, måste bedriva ett systematiskt och riskbaserat informations- och cybersäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Vikten av att medvetenheten om informations- och cybersäkerhet ökar och att dessa frågor ingår i alla digitaliseringsprocesser har också tidigare fram- hållits i olika offentliga utredningar och rapporter (kapitel 4 och 8). 10.6Ökat behov av styrning och samordning av informations- och cybersäkerhet Bedömning: Bristen på reglering, styrning och samordning i det samlade arbetet med att stärka informations- och cybersäkerhe- ten i samhället i stort medför betydande utmaningar för både offentliga och enskilda verksamhetsutövare. Åtgärder krävs som ger offentliga och enskilda aktörer förutsättningar att kunna uppnå en tillräcklig grad av informations- och cybersäkerhet i verksam- heten. Det närmare behovet av ytterligare reglering samt tyd- ligare styrning och samordning av arbetet med samhällets infor- mations- och cybersäkerhet bör därför utredas i särskild ordning. Utredningen kan konstatera att arbetet med informations- och cyber- säkerhet är – i enligt med den nationella regleringen och model- len för arbetet med informations- och cybersäkerhet – i allt väsent- ligt varje verksamhetsutövares eget ansvar. I och med att verksam- hetsutövare är blir allt mer beroende av andra aktörer för sin informationshantering, bl.a. i förvaltningsgemensamma digitala system- lösningar och funktioner, är det nödvändigt med samordnade åtgärder för att öka informations- och cybersäkerheten, dvs säkerhetsnivån och reducera sårbarheter och risker i informations- och nätverkssystemen. Utredningen kan även notera att det nationella informations- och cybersäkerhetsarbetet alltjämt är uppdelat i olika, delvis överlappande, ansvarsområden, både på departements- och på myndighetsnivå. Detta medför att det också saknas ett enhetligt regelverk och ett en- hetligt arbetssätt för samhällets informations- och cybersäkerhets- arbete som det är få gemensamma krav på informations- och cybersäkerhet, utom när det gäller tillsynsmyndigheternas krav på säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet och verksamhet som avser samhällsviktiga och digitala tjänster. Expert- och sektorsmyndigheter har, utifrån sitt specifika ansvarsområde eller expertområde, gett ut föreskrifter som i olika grad ställer krav på säkerhet i dessa system. Utredningen bedömer att det finns en stor risk att fragmenter- ingen av bl.a. kravställningen på området ökar när flera aktörer – om inte samordning sker när det är möjligt – utfärdar föreskrifter och allmänna råd om informations- och cybersäkerhet för olika verksam- heter på området Detta riskerar även att få till följd att kunskap och erfarenheter som finns hos olika aktörer inte nyttjas ändamålsenligt och effektivt, dvs. att tillgängliga resurser inte riktas mot och används inom de områden där bristerna i informations- och cybersäkerheten är som störst. Det riskerar även att information om och krav på åt- gärder för att möta hot och reducera sårbarheter och risker fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden. Utredningen bedömer att det fragmenterade arbetet även leder till att det i allt väsentligt inom den samlade offentliga sektorn saknas gemensamma riktlinjer för vilket skydd olika typer av nätverks- och informationssystem bör ha. Detta riskerar att leda till att samma typ av information och nätverks- och informationssystem kan erhålla olika skyddsåtgärder beroende på vilken verksamhetsutövare som han- terar informationen och var i dennes system som informationen och nätverks- och informationssystemen finns. Detta riskerar att med- föra effektivitetsbrister och ökade kostnader, då systemen kan få olika utformning som medför minskad interoperabilitet. Utredningen behandlar i delbetänkande vissa frågor med anknyt- ning till tillsyn, bl.a. att det är viktigt att regleringens olika delar sam- spelar så att det inte uppstår en obalans mellan dem. Om t.ex. vissa delar av tillsynsverksamheten är reglerad med avseende på vilka pre- stationer en tillsynsmyndighet ska åstadkomma medan andra delar har mer övergripande målformuleringar finns en risk att den detal- jerade regleringen får en styrande inverkan på tillsynen, med den kon- sekvensen att annan mer strategiskt inriktad tillsyn får stå tillbaka. Det finns också en stor risk att verksamhetsutövare som är utsatta för tillsyn fokuserar arbetet på de delar som granskas mer specifikt och att arbetet med det övergripande arbetet med informations- säkerhet får stå tillbaka. Mot bakgrund av detta anser utredningen att bristen på gemen- sam reglering, styrning och samordning av arbetet med informa- tions- och cybersäkerhet medför betydande utmaningar i arbetet för såväl offentliga som enskilda verksamhetsutövare, t.ex. när det gäller arbete uppnå tillräcklig säkerhet i nätverks- och informationssystem i verksamheten. Utredningen bedömer dock att förlag på åtgärder som ger offent- liga och enskilda aktörer bättre förutsättningar med att genomföra och förvalta digitaliseringsarbetet och uppnå en tillräcklig grad av informations- och cybersäkerhet kräver en fördjupad analys som ligger utanför utredningens uppdrag. Utredningen anser dock att frågan om gemensamma regler och tydligare styrning och sam- ordning av arbetet med samhällets informations- och cybersäkerhet bör utredas och analyseras ytterligare i särskild ordning. 10.7Tillgången på personal med kompetens inom informations- och cybersäkerhet måste öka Bedömning: Det finns ett omfattande behov av personal med kompetens i informations- och cybersäkerhet på olika nivåer hos många verksamhetsutövare, såväl inom den offentliga verk- samheten som i näringslivet. Tillgången på personal med kompe- tens inom informations- och cybersäkerhet behöver därför öka. En förutsättning för att kunna hantera frågor om informations- och cybersäkerhet i offentlig och privat sektor är att det finns tillgång till kvalificerad kompetens på området. Det råder emellertid en stor brist på kompetens inom informations- och cybersäkerhetsområdet. Enligt IT & Telekomföretagens rapport – en rapport om den svenska digitala sektorns behov av spetskompetens1 är bristen på kompetens så stor att den fortsatta utvecklingen och till- växtkraften inom hotas. I rapporten bedöms underskottet ligga på ungefär 70 000 personer i . 1IT-kompetensbristen – en rapport om den svenska digitala sektorns behov av spetskompetens, IT & Telekomföretagens, 2020. Brister som kan ha sin orsak i kompetensbrist på området är: •En betydande andel myndigheter arbetar inte systematiskt med att identifiera sina skyddsvärden eller att säkerhetsskyddsklassi- ficera sina uppgifter. •Säkerhetsincidenter med misstänkt eller konstaterad informations- förlust av hemliga uppgifter till följd av bristfälligt implementerad och underhållen it-säkerhetsarkitektur. •It-system som hanterar skyddsvärd information är uppkopplat mot ett öppet nätverk. •Bristfälliga kravställningar på cybersäkerhet vid upphandlingar. I lägesbild för digital kompetens beskrivs be- hovet av digital kompetensförsörjning där informationssäkerhet är en del. En av rekommendationerna i lägesbilden är att utöka antalet utbildningsplatser för digitala specialister hos lärosätena genom rik- tade insatser. För informationssäkerhet är det dock inte bara antalet utbildningsplatser som är ett problem utan avsaknaden av utbild- ningar hos universitet och högskolor. I ett digitalt samhälle behöver alla grundläggande digital kompe- tens för att kunna vara delaktiga. Kompetensen handlar om att förstå såväl möjligheter som risker. anger att den gene- rella internetkunskapen behöver öka i för att fler ska förstå riskerna med användandet av digitala tjänster och vad man själv kan göra för att förebygga riskerna. framhåller be- hovet att växla upp arbetet med att nå alla invånare för att öka kun- skapen om bland annat informationssäkerhetsfrågor. Digitaliserings- rådet föreslår att även att t.ex. Myndigheten för samhällsskydd och beredskap (MSB) kartlägger vilken typ av ytterligare stöd som efter- frågas hos myndigheter och kommuner och regioner och i vilken om- fattning det befintliga metodstödet används och är känt. Utredningen kan konstatera att bristen på informations- och cyber- säkerhetskompetens i olika verksamheter är något som utmanar säker- heten hos många verksamhetsutövare. Även om tekniska risker kan hanteras riskerar ett mer strukturerat arbete med infor- mations- och cybersäkerhet och som ser till olika aspekter och risker i verksamheten att falla bort eller bli underutvecklat. är också en förutsättning för att kunna driva systematiskt arbetet med informations- och cybersäkerhet. Av vad som framkommer av offentliga utredningar och myndighets- rapporter kan slutsatsen dras att det pågår en omfattande digitalisering av det svenska samhället och av verksamheter inom flera viktiga samhällsområden. Digitaliser- ingen medför stora utvecklingsmöjligheter men medför också ökade hot, sårbarheter och risker. Informations- och cybersäkerheten har inte utvecklats på motsvarande sätt vilket medför att gapet mellan digitaliseringen och informations- och cybersäkerheten ökat och fort- sätter att öka om inte kraftfulla åtgärder vidtas på området. Orsaken till att gapet ökar har sin förklaring bl.a. i form av brister i reglering, styrning och samordning av arbetet med informations- och cyber- säkerhet samt brist på kompetent personal. Åtgärder som behöver vidtas innefattar bl.a. bättre styrning och samordning av arbetet med att stärka informations- och cybersäkerheten mer allmänt i samhället och särskilt inom säkerhetskänsliga och samhällsviktiga verksam- heter. Vidare behöver utbildning och tillgång till personal med kom- petens inom informations- och cybersäkerhet öka. Många verksam- hetsutövare behöver också förbättra arbetet med ett systematiskt informationssäkerhetsarbete. Utredningen har genom kartläggningen och sammanställningen av offentliga utredningar och myndighetsrapporter i ett tidigt skede av utredningsarbetet dragit slutsatsen att det föreligger flera olika mer eller mindre allvarliga brister i informations- och cybersäkerheten mer allmänt inom många samhällssektorer och viktiga samhällsverksam- heter, bl.a. i säkerhetskänsliga verksamheter på främst Säkerhetspolisens tillsynsområde. Utredningen bedömer att flera åtgärder krävs för att stärka säkerheten i dessa verksamheter. Arbetet med att överväga sådana mer generella åtgärder för att stärka informations- och cyber- säkerheten i viktiga samhällsverksamheter kräver en fördjupad och omfattande analys och ligger dessutom utanför utredningens uppdrag som är avgränsad till den säkerhetskänsliga verksamheten. Utredningen vill framhålla att frågan med att stärka informations- och cybersäkerheten i samhället i stort och inom olika säkerhetskänsliga