sou · H9B363 · 2021-07-02 00:00:00 — I många fall behövs ytterligare säkerhetskontroller eller förbätt- rade kontroller för att möta de specifika hoten mot eller sårbarheterna hos ett nationellt säkerhetssystem. Ytterligare tekniska säkerhetsåtgärder för informationssystem Den nationella säkerhetsgemenskapen har policyn att medlemsorga- nisationer ska tillämpa ömsesidighet med avseende på certifiering av system och systemkomponenter i möjligaste mån.142 I CNSS 1253 139Det är chefen för organisationen som avgör vilken metod för val av säkerhetskontroller som ska användas för det egna nationella säkerhetssystemet. Ett nationellt säkerhetssystem – som tillhandahåller unika funktioner, fungerar i olika miljöer och är föremål för avancerade cyberhot – förutsätter att en riskbaserad metod antas på företagsnivå när de slutliga säkerhets- kontrollerna ska implementeras. 140Denna ska vara godkänd av tillämplig standard. 141Testade säkerhetskontroller kan analyseras för att bestämma vilka säkerhetskontroller som ska testas för att säkerställa överensstämmelse med CNSSI 1253:s säkerhetsbaslinjer. 142För att stödja reciprocitet mellan nationella säkerhetsorganisationer kräver många para- metrar i NIST SP 800-53-kontrollkatalogen specifik instansiering. definieras värden143 för tillämpliga kontroller som skapar en standard för att certifiera att en kontroll mildrar ett hot. I olika risktrösklar eller hotscenarier kan vissa ansvariga operatörer kräva att system avviker från denna standard. I dessa situationer kan ytterligare tek- niker läggas till, eller arkitektoniska implementeringar modifieras för att på ett adekvat sätt minska risken. Genom att upprätta en standard för nyckelparametrar har organisationer en känd baslinje när de accepterar certifieringar av teknik eller system från andra orga- nisationer inom den nationella säkerhetsgemenskapen och behöver inte duplicera den nivån av certifiering.144 Organisationstjänstemän, såsom informationssystemets ägare, uppdragsgivare, auktoriserare och informationssäkerhetschefer, bör bestämma de användningsbegränsningar som, med anledning av cyber- hot, krävs för systemet. Exempel på användningsbegränsningar är begränsning av antingen informationen som ett informationssystem kan bearbeta, lagra eller överföra eller sättet på vilket ett uppdrag automatiseras, att förbjuda externa informationssystem åtkomst till kritisk organisationsinformation genom att ta bort utvalda system- komponenter från nätverket (dvs. ”air gapping”), samt att förbjuda information med måttlig eller stor påverkan på ett informations- system som allmänheten kan få tillgång till, såvida inte ett uttryckligt beslut fattas som tillåter sådan åtkomst. Alla företag som ska leverera på uppdrag av DoD måste nå upp till en viss typ av krav och certifieringssystem som utvecklat. Det rör sig om fem nivåer av säkerhet enligt Cybersecurity Maturity Model Certification (CMMC) – ett obligatoriskt regelverk för leve- rantörer145 som DoD tagit fram.146 CMMC granskar och kom- binerar olika cybersäkerhetsstandarder och bästa praxis och kart- ytterligare precisering av hur och i vilken omfattning vissa kontroller ska ske när det gäller nationella säkerhetssystem. 144När ömsesidigt erkännande av certifiering ska utsträckas över auktoriserande tjänstemän, eller när ett system tillhandahåller säkerhet för ett annat system, förhandlas värdena för dessa parametrar mellan relevanta auktoriserare, och resultaten dokumenteras för båda systemen. 145Detta gäller bl.a. för svenska företag som och Combitech. 146CMMC utvecklades av DoD i samarbete med och . Det primära målet med modellen är att skydda information från försvarsindustriella och tekniska basen (). Informationen som omfattas av CMMC är klassificerad som antingen ”Information”, information från eller till regeringen enligt kontrakt som inte är avsett för offentliggörande, eller ”Controlled Unclassified Information”, information som kräver skydd eller spridningskontroll i enlighet med författningar och regeringsövergripande policy. CMMC mäter cybersäkerhetsmognad och tillhandahåller bästa praxis tillsammans med ett certifieringselement för att säkerställa implementeringen av metoder som är associerade med varje mognadsnivå. Den senaste versio- nen släpptes 2020. lägger dessa kontroller och processer över flera mognadsnivåer som sträcker sig från grundläggande cyberhygien till avancerad. CMMC är endast tillämplig på DIB-entreprenörers oklassificerade nätverk som hanterar federal kontraktsinformation eller kontrollerad oklassi- ficerad information. För en given CMMC-nivå kommer tillhörande kontroller och processer, när de implementeras, att minska risken mot en specifik uppsättning cyberhot. Självbedömning är inte tillåtet. Målet är att CMMC ska vara kostnadseffektivt och överkomligt för småföretag att implementera på lägre CMMC-nivåer. Auktoriserade och ackrediterade oberoende bedömningsorganisationer (C3PAO) kommer att genomföra bedömningar och utfärda CMMC-certifikat till () på lämplig nivå. Före denna process uppmuntras DIB-företag att genomföra en självbedömning enligt CMMC:s bedömningsguide.147 CMMC kan sägas bestå av en serie åtgärder inom olika kategorier av områden som företag har att genomföra. CMMC delas in i fem mognadsnivåer där organisationen behöver både införa egna konkreta åtgärder (som till stor del kommer från NIST RMF) inom respektive kategori samt egen förmåga att självständigt hantera säkerhetsarbetet. Ju högre mognadsnivå, desto större fokus sätts på organisationens egen personal, kompetens och förmåga att hänga med i teknikut- vecklingen och täppa till säkerhetsproblem för egen maskin (utan att krav på varje enskild åtgärd ingår i listan av åtgärder från NIST). Varje organisation måste underkastas extern kontroll och bedömning (dvs. DoD ställer sedan krav på vilken nivå organisatio- ner måste ha nått för att få delta i mer eller mindre kritiska upp- handlingar. CMMC på lägsta nivån kräver inte utförligt pappersarbete och omfattande dokumentering utan inför ett antal obligatoriska säker- hetsåtgärder. På nivå 2 behöver man bygga bl.a. ledningssystem. På nivå 3 krävs ett fulländat certifieringssystem, och många krav enligt aktualiseras.148 På övre nivåerna är de krav som ökar att myndigheten eller företaget ska visa att man har tillgång till experter som systematiskt arbetar inom it-säkerhet, har kompetens och följer med i utvecklingen på området – alltså krav på personal 147NSA utvecklar produktnivå-krav i statliga skyddsprofiler och möjliggör för kunder att välja komponenter från CSfC-listan. 148På nivå 3 inkluderar CMMC de 110 säkerhetskrav som specificeras i NIST SP 800-171. Därutöver inkorporerar modellen ytterligare processer från ett antal andra standarder och källor, bl.a. avseende kritiska säkerhetskontroller för effektiv cyberförsvarsförmåga. som säkerhetsanalyseras på ett effektivt sätt. Härigenom tilldelar led- ningen resurser åt cybersäkerhetsarbetet. Cyberskyddsansvariga måste ha viss kompetensnivå och ska även genomgå kurser för att få behöv- ligt certifikat i sin arbetsroll. Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet Av inhämtade uppgifter framgår att det finns departement och cen- trala myndigheter i med ansvar för nationell informations- och cybersäkerhet. Det finns bl.a. krav på att driftsättningen av federala informationssystem ska godkännas av behöriga federala tjänstemän. Nationella säkerhetssystem som behandlar nationell säkerhetsinfor- mation fordrar ytterligare säkerhetskrav som behöver godkännas. Vidare ska sådana system genomgå en oberoende tredjepartsbedöm- ning där systemets överensstämmelse med särskilda instruktioner på området valideras. I kan kommersiella informationssäkerhets- produkter i förhållandevis stor utsträckning användas för att skydda nationella säkerhetssystem och klassificerad information (om lös- ningarna är godkända av NSA och assuransfunktionerna validerade).149 Aktörer inom informations- och cybersäkerhet I har den statliga myndigheten () det främsta ansvaret för it-säkerhet och skyddet av federala institutioners elektroniska information och informationsinfrastruktur150 av betydelse för den kanadensiska sta- ten. CSE är ansvarig för landets signalspaning och utgör den tekniska myndigheten för cybersäkerhet. Myndigheten ska försvara statliga 149Det framstår som att utgångspunkten i är att ansvaret för godkännande av system ytterst ska ligga hos en enskild person/personal, snarare än på organisationen som sådan. 150Myndigheten får använda och avslöja infrastrukturinformation för att testa system eller genomföra cybersäkerhets- och informationssäkringsaktiviteter på den infrastruktur från vilken informationen förvärvades. Information om en kanadensare eller en person i kan anskaffas tillfälligtvis under utförandet av aktiviteter enligt ett lagligen grundat/utfärdat tillstånd. nätverk och system samt skydda mot cybersäkerhetshot. Vidare ska myndigheten leda utvecklingen av betrodda leverantörer för staten och kritisk infrastruktur samt motverka risken för opålitlig utrust- ning. Ansvarsområdet omfattar också upphandling, distribution, kon- troll och användning av kryptografiska enheter och krypteringsnyckel- material för nationella säkerhetssystem. CSE:s verksamhet inbegriper bl.a. testning och evaluering av pro- dukter, mjukvara och system.151 Som certifieringsorgan utfärdar CSE nödvändiga certifikat om godkännande av evaluerare. CSE driver också det nationella cybersäkerhetscentret (se nedan). är landets myndighet för cybersäkerhet. Centret samarbetar med både den offentliga och pri- vata sektorn. Centret bedriver operativ cybersäkerhetsverksamhet och leder regeringens arbete med anledning av cybersäkerhetshändelser. Myndigheten inrymmer även den nationella CSIRT-funktionen (Computer Security Incident Response Team). Centrets verksamhetsområden inbegriper därutöver bl.a. natio- nell expertrådgivning och praktisk support i fråga om cybersäkerhet, utveckling av cybersäkerhetsprodukter samt försvar av nationella cybersystem (inklusive statliga system). Centret är även nationellt certifieringsorgan för Common Criteria- evalueringar som utförs i . Centret driver det kanadensiska Common Criteria-programmet för att certifiera it-produkter som testats av kanadensiska ackrediterade testningslaboratorier. Förutom att tillhandahålla vägledning åt både offentliga och privata organisa- tioner publicerar centret direktiv om cybersäkerhet för projekt inom regeringen. Centret kan vidare föreskriva specifika cybersäkerhets- standarder för statliga myndigheter. Centret har dessutom gett ut ett flertal direktiv om it-säkerhet som är obligatoriska att följa för såväl statliga myndigheter som privata företag.152 151CSE kan få ett cybersäkerhetsbemyndigande som, i cyber- och informationssäkerhetssyfte, tillåter myndigheten att få tillgång till en federal institutions informationsinfrastruktur eller information av betydelse för staten och förvärva all information som härrör från, riktas till, lagras på eller överförs på eller genom den infrastrukturen i syfte att hjälpa till att skydda den från ofog, obehörig användning eller störningar. Myndigheten kan även få ett bemyndigande att utföra angivna aktiviteter för att främja defensiva eller aktiva cyberoperationer samt andra aktiviteter som är rimliga och nödvändiga för verksamheten. 152Direktiven avser bl.a. it-säkerhet för hantering av kommunikationssäkerhet och kryptografi. Public Safety (PSC) är ett departement som skapades 2003 för att säkerställa samordning mellan alla federala departement och myndigheter som ansvarar för nationell säkerhet. Uppdraget är att skydda landet från olika risker som naturkatastrofer, brott och terror- ism genom ökad nationell säkerhet och motståndskraft. Departe- mentet stödjer och rapporterar till ministern för allmän säkerhet och beredskap i frågor som rör allmän säkerhet och nödhantering som inte tilldelats någon annan federal organisation. Departementet arbetar också med andra statliga organisationer, gemenskaper, privat sektor och internationella partners på säkerhetsområdet, bl.a. i syfte att skydda kritisk infrastruktur och kritisk information. PSC ansvarar också för Framework for (CIMF) som är ett vägledande dokument för guvernö- rer, ägare och operatörer av kritiska infrastrukturer samt andra sek- torpartners (se nedan). Inom PSC finns Canadian Cyber Incident Response Center (CCIRC) som ansvarar för att övervaka och tillhandahålla råd om cyberhot och samordna det nationella svaret på eventuella cyber- säkerhetsincidenter. CCIRC:s fokus är att skydda nationell kritisk infrastruktur mot cyberattacker. Reglering av informations- och cybersäkerhet har antagit en nationell cyberstrategi som bl.a. betonar behovet av samarbete mellan regeringen och privat sektor för att öka cybersäkerheten i landet.153 Skyddet av kritisk infrastruk- tur154 är ett prioriterat område. 153Se cyberhttps:///cnt/rsrcs/pblctns/ntnl-cbr-scrt-strtg/index- en.aspx#s1. 154Att förbättra motståndskraften hos kritisk infrastruktur genom en lämplig kombination av säkerhetsåtgärder för att hantera avsiktliga och oavsiktliga incidenter och störningar är ett verksamhetsområde för Public Safety (se nedan). för hantering av cyberincidenter Framework (CIMF) publicerades av PSC och är utformat för att komplettera och knyta samman be- fintliga ramar och planer för federala, provinsiella och territoriella nödhanteringsramverk och -planer samt nödplaner från ägare och operatörer av kritiska infrastrukturer. Syftet med CIMF är att till- handahålla en strategi för hela nationen för hantering av och sam- ordning vid cyberhot eller -incidenter. anger roller och ansvarsområden för samtliga styrningsnivåer och aktörer i kritisk infrastruktur när det gäller samordnat förebyggande av, svar på och återhämtning från it-incidenter. CIMF är således tänkt att göra det möjligt för varje organisation att fullt ut och effektivt delta i en sam- ordnat nationell cyberincidentrespons. Som ovan nämnts finns det en nationell ordning för certifiering av it-produkter enligt Common Criteria. Bl.a. små och medelstora före- tag kan ansöka om att bli certifierade under grundläggande cyber- säkerhetskriterier uppställda av det kanadensiska cybersäkerhets- centret. CyberSecure Certification är ett annat certifieringspro- gram som hjälper små och mellanstora företag att implementera certifieringskrav för ökat skydd mot cyberattacker. Programmet in- begriper ett antal säkerhetskontroller som utvecklats i samarbete med det nationella cybersäkerhetscentret. Organisationerna måste imple- mentera säkerhetskontrollområdena för att kunna erhålla certifier- ing enligt programmet. The Baseline Cyber Security Controls for Small and är ett dokument ämnat för små och medelstora organisa- tioner som vill ha rekommendationer för att förbättra sin cybersäker- het. Dokumentet presenterar det nationella cybersäkerhetscentrets grundläggande cybersäkerhetskontroller för de nationella företagen. MITS – minimikrav på it-säkerhet för federala myndigheter Standard: Management of Information Tech- nology Security (MITS) definierar grundläggande säkerhetskrav som federala departement och myndigheter måste uppfylla för att säker- ställa säkerheten för informations- och it-tillgångar under deras kon- troll. Standarden tillhandahåller riktlinjer på organisationsnivå och för hanteringen av it-säkerhetsprogram samt ett antal skyddsåtgär- der. Standarden kräver bl.a. att departementen har sina system eller tjänster certifierade och ackrediterade innan de godkänns för drift. Utförandet av certifieringen beror på kvantiteten av och kvaliteten på de certifieringsbevis155 som krävs av ackrediteringsmyndigheten. Departementen och myndigheterna måste regelbundet granska ackrediteringen av systemen eller tjänsterna om dessa förändrats av- sevärt eller om det är motiverat på grund av förändringar i riskmiljön. För vanliga system eller tjänster är the Government of Chief Information Officer ackrediteringsmyndighet. För system eller tjänster som är specifika för ett departement ansvarar program- eller tjänsteleverantören för ackreditering. För system eller tjänster som delas av två eller flera organisationer är chefen för programmet eller tjänsten ackrediteringsmyndighet. Departementet ska genomföra en årlig självbedömning av sina it-säkerhetsprogram för att se om de överensstämmer med statliga säkerhetspolicys och standarder. Åtkomstkontroll genom krav på säker- hetsgodkännande av personal, användning av krypto samt nätverks- segregering är exempel på förebyggande åtgärder. Den statliga säkerhetspolicyn kräver att departementen tillämpar sanktioner i förhållande till it-säkerhetsincidenter när det förekom- mit försumlighet. 155Sådana bevis kan innehålla resultaten av alla tillämpliga hot- och riskbedömningar, en be- dömning av affärseffekter, en integritetsbedömning, en sårbarhetsbedömning, säkerhetstester och produktevaluering, självbedömningar, revisioner och säkerhetsgranskningar och relaterade juridiska eller politiska bedömningar som visar överensstämmelse med relevant lagstiftning eller policy. It-säkerhetskrav vid hantering av säkerhetsklassificerad statlig information När aktörer ingår kontrakt med den kanadensiska regeringen blir vissa krav på it-säkerhet tillämpliga när organisationen ska hantera skyd- dad eller säkerhetsklassificerad information elektroniskt. Säkerhets- kraven är dock specifika för varje kontrakt och säkerhetsnivån beror på hur känslig den berörda informationen är. För att få behörighet att processa känslig information elektroniskt måste den berörda organisationen först ha genomgått en säkerhets- prövning eller ha ett säkerhetsgodkännande för anläggningen. Dessa åtgärder ska säkerställa att endast betrodda individer och organisa- tioner med ett giltigt behov av kunskap får tillgång till känslig myn- dighetsinformation (om t.ex. militära planer). Vidare krävs en förmåga att skydda dokument. Dessutom kan det behövas s.k. organisations- godkännanden när det gäller informationssäkerheten. Organisatio- nerna måste även underkasta sig it-säkerhetsinspektioner156 och rappor- tera it-säkerhetsincidenter. Organisationen behöver också säkerställa att dess säkerhetschef förstår it-kraven. Dessutom kan krävas att organisationen erhåller ett skriftligt godkännande från (PSPC) innan skyddad eller sekretessbelagd statlig information nås elektroniskt. I federala kontrakt mellan regeringen och privata organisationer ingår klausuler med säkerhetskrav157. När organisationer tilldelas kon- trakt med regeringen som kräver att de använder sina egna it-system för att lagra, bearbeta och/eller skapa skyddad eller säkerhetsklassi- ficerad information måste de ha tillstånd enligt Program (CSP) före det att arbetet kan påbörjas. Organisa- tionen får inte använda sitt it-system för att hantera informationen förrän it-säkerhetsinspektionsprocessen är klar och formaliserad i ett skriftligt it-godkännandebrev från PSPC:s CSP. Att börja använda ett sådant it-system utan tillstånd utgör ett brott mot villkoren i avtalet. It-godkännanden är kontraktsspecifika och gäller under hela kontraktets löptid.158 156Efter it-säkerhetsinspektionen ger it-inspektören rekommendationer som ska valideras. 157Säkerhetskrav anger de säkerhetsnivåer som krävs för att skydda känslig information, till- gångar och arbetsplatser. 158Ytterligare it-säkerhetsåtgärder för organisationer kan avse auktorisering av organisationer att sända och ta emot känslig information med s.k. COMSEC-material, dvs. objekt som är utformade för att säkra eller verifiera telekommunikationsinformation, t.ex. en kryptografisk nyckel. En precisering av säkerhetskraven för ett kontrakt kan återfinnas i en begäran om förslag respektive checklistan för säkerhetskrav, Security Requirements Check List (TBS/SCT 350-103), ifylld av det avtalsslutande departementet. I checklistan kan kryssas i huruvida leverantören kommer att behöva använda sina it-system för att elektroniskt bearbeta, producera eller lagra skyddad (protected)159 och/eller klassificerad information och/eller data. Den senare typen gäller information eller tillgångar som, om de äventyras, kan för- väntas skada det nationella intresset, försvaret och upprätthållandet av sociala, politiska och ekonomiska stabilitet. Klassificerad information finns på nivåerna konfidentiell, hemlig och kvalificerat hemlig.160 Om svaret är ja behöver it-säkerhetskraven för upphand- lingen specificeras i ett tekniskt dokument. Leverantören måste också beakta dokumentet – Opera- tional Security Standard: Management of – Standard: Management of (MITS, se ovan). Om det kom- mer att finnas en elektronisk länk mellan leverantörens it-system och den statliga myndigheten måste leverantören få sina it-system godkända.161 Berört departement måste också tillhandahålla anslut- ningskriterier som beskriver villkoren och åtkomstnivån för den elek- troniska länken.162 (CSM) beskriver de krav som orga- nisationer inom den privata sektorn måste följa för att skydda statlig information och tillgångar som tillhandahålls eller produceras av organisationer som tilldelats ett statligt kontrakt med säkerhetskrav. Det gäller organisationer som är registrerade i PSPC:s CSP och alla kontrakt – kanadensiska eller utländska – som PSPC ansvarar för. Denna handbok avhandlar bl.a. ovan nämnda checklista för säkerhets- krav, säkerhetskontroller och elektronisk informationssäkerhet. 159Gäller information eller tillgångar som, om de äventyras, kan förväntas orsaka skada på ett icke-nationellt intresse – dvs. ett enskilt intresse som en person eller en organisation. 160Vidare krävs behörighet för tillgång till Nato-klassificerad information för ett specifikt kontrakt. Vissa internationella avtal kräver Nato-godkännanden krävs för personal och orga- nisationer. 161Den avtalsslutande säkerhetsmyndigheten är ansvarig för att säkerställa att leverantörerna uppfyller säkerhetskraven i checklistan. 162Ingen information som rör ett skyddat eller klassificerat statligt kontrakt får släppas av leverantörer utan föregående skriftligt godkännande. Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet Av inhämtade uppgifter framgår att det finns centrala myndigheter i med ansvar för nationell informations- och cybersäkerhet och certifiering av IKT. Vidare måste federala departement och myn- digheter ha sina it-system och tjänster certifierade och ackrediterade innan de godkänns för drift. Organisationer som ingår kontrakt med regeringen och har it- system som ska behandla säkerhetsklassificerad information (mellan leverantören och en statlig myndighet) måste få sitt system godkänt av en myndighet (PSPC) före det att arbetet kan påbörjas och syste- met används. Säkerhetskraven är emellertid specifika för varje kon- trakt och beror på hur känslig den berörda informationen är. Aktörer inom informations- och cybersäkerhet () är ett departe- ment med uppdrag att bidra till nationella säkerhet genom att tillhandahålla informations- och cybersäkerhet till landets regering och kritiska infrastrukturorganisationer.163 GCSB samlar in och analyserar underrättelser samt samarbetar med och ger stöd åt andra nationella myndigheter. Myndigheten har två kommunika- tionsavlyssningsstationer samt kommunikations- och kryptografi- specialister i sin personal. Inom GCSB finns () som har i uppdrag att samordna landets cybersäkerhetsaktiviteter. Centret tillhandahåller avancerade funktioner och tjänster för detektering av cyberhot och störningar till statliga myndigheter och organisationer av nationell betydelse (såsom tillhandahållare av kritisk infrastruk- 163På ett mer övergripande plan ansvarar premiärministerns och kabinettets departement för rådgivning om nationell säkerhet till regeringen. Centret svarar vidare på kraftfulla cyberincidenter på nationell nivå och genomför cyberhotsanalyser.