sou · H9B363 · 2021-07-02 00:00:00 — Man främjar en säkerhets- kultur baserad på standarder som anges i regeringens skyddskrav, Requirements (PSR) och Informa- tion (NZISM). () är en statlig myn- dighet som har till uppdrag att skydda genom att utreda hot mot den nationella säkerheten och analysera underrättelser för att kunna ge nationella beslutsfattare god säkerhetsrådgivning. NZSIS tillhandahåller också ett antal tjänster till andra myndigheter, bl.a. råd om personal- och fysisk säkerhet. Man ansvarar även för att under- hålla landets statliga säkerhetsklassificeringssystem (). DIA – departementet för inrikes frågor Office of the Government Chief Information Officer () vid () tillhandahåller rådgivning och förvaltning åt sektor- och statliga system och IKT-processer, in- klusive IKT-assurans och -säkerhet. DIA har ansvar för ett assurans- ramverk för statlig IKT-drift, All-of-Government ICT Operations Framework. Systemet syftar till att ge hög nivå av tillför- litlighet i digitala offentliga tjänster. and Panel är en grupp branschexperter som är har i uppdrag av regeringen att förse myndigheter med IKT- säkerhetstjänster och råd om säkerhets- och sekretessfrågor. NCPO – nationellt cyberpolicykontor National Cyber Policy Office (NCPO) leder utvecklingen av landets cybersäkerhetspolicy och ger politiska råd till regeringen om inve- steringar i cybersäkerhetsaktiviteter. NCPO driver landets natio- nella CERT, CERT NZ. CERT NZ har till uppgift att identifiera hot och sårbarheter samt tillhandahålla tjänster för incidentrappor- tering och samordning av gensvar. CERT NZ arbetar med flera olika organisationer på cybersäkerhetsområdet. Reglering av informations- och cybersäkerhet senaste nationella cybersäkerhetsstrategi är från 2019.164 Strategin betonar behovet av samarbete mellan offentlig och privat sektor samt internationellt för att öka cybersäkerheten i landet. Vidare framhålls vikten av utbildningsåtgärder för att öka medbor- garnas cybersäkerhetsmedvetande. Att skydda samhällsviktig infor- mationsinfrastruktur i landet är ett annat område som prioriteras. Slutligen vill man även fokusera på att investera mer i individer och resurser med särskild kompetens på cybersäkerhetsområdet.165 AISEP – program för evaluering av informationssäkerhet Evaluation Program (AISEP) syf- tar till att säkerställa att evaluerade säkerhetsprodukter är tillgängliga för att tillgodose behoven hos australiensiska och nyzeeländska myndigheter. AISEP möjliggör evaluering och certifiering av pro- dukter enligt Common Criteria (CC) och fortsatt underhåll av assuran- sen hos evaluerade produkter. En annan av programmets funktioner avser erkännande av produkter evaluerade enligt en utländsk ordning med vilken AISEP har ett avtal om ömsesidigt erkännande (van- ligtvis CCRA). List (EPL) underhålls av Australian Signals Directorate (ASD) och innehåller en lista över godkända pro- 165Det kan tilläggas att tillsyn på cybersäkerhetsområdet utövas på sektoriell basis. dukter för skyddet av klassificerad information, bl.a. godkända skydds- profiler. Innan myndigheter väljer en produkt som inte utvärderats av AISEP rekommenderas man att kontakta GCSB för att efterhöra om produkten kommer att erkännas i när den har full- ständig evaluering i en utländsk ordning. Evalueringar som genom- förs enligt CC i andra nationer kan erkännas av GCSB under AISEP. Att en produkt genomgått CC-evaluering innebär dock inte nöd- vändigtvis att den är lämplig för det avsedda ändamålet. Vanligtvis kommer sådana produkter att ha kryptografisk funktionalitet som inte täcks i tillräcklig grad under CC.166 Närmare om krav på informationssäkerhet NCSC rekommenderar att myndigheter i sina nätverk och system använder produkter som regeringen godkänt då dessa ger högre nivåer av assurans i förhållande till säkerhetsöverväganden. Centret ser vidare certifiering av organisationers informationssystem som en väsentlig komponent av styrnings- och assuransprocessen. Requirements (PSR) ges ut av NZSIS och anger regeringens krav på informationssäkerhet. Säkerhetskraven anger bl.a. vad statliga myndigheter ska beakta för att säkerställa att de hanterar säkerheten ändamålsenligt och effektivt. PSR innehåller grundläg- gande säkerhetskrav och riktlinjer för styrning och säkerhet samt support för bästa praxis, och inkorporerar även Infor- mation (NZISM, se nedan). Ett av de obligatoriska kraven enligt PSR är att berörda organisationer ska använda en evidensbaserad bedömningsprocess för att ge assurans om att organisationens säkerhetsförmåga är ändamålsenlig (GOV8). På be- gäran ska en försäkringsrapport tillhandahållas regeringen.167 PSR innehåller också en process för årlig självbedömning av säkerhet och 167I ett PSR-hanteringsprotokoll beskrivs vikten av certifiering och ackreditering av informa- tionssäkerhet för att skydda organisationers information. Alla statliga organisationer är skyldiga att hålla information om regeringen och statens resurser säker.168 Vidare behöver IKT-systemen genomgå en certifierings- och ackrediteringsprocess i enlighet med NZISM, för att vara godkända att tas i drift sedan informationssäkerhetsåtgärder vidtagits. Säker- hetsåtgärderna måste valideras för att säkerställa att de fungerar som förväntat. Processen bygger på en riskbedömning, tillämpningen av kontroller som beskrivs i NZISM och bestämning av eventuell kvar- varande risk. PSR rekommenderar även att andra organisationer än statliga betraktar angivna krav som bästa praxis. NZISM – handbok om informationssäkerhet NZISM är en omfattande och detaljerad handbok utgiven av GCSB som beskriver processer och IKT-säkerhetskontroller som är väsent- liga för skyddet av statlig information och system.169 är avsedd att användas av statliga organisationer, men även privata organisationer uppmuntras att använda den. gäller också för organisationer som ingått ett formellt avtal med för att få tillgång till klassificerad information. Den används framför allt för att styra myndigheters arbete med informations- och cybersäkerhet. Även om de övergripande kraven är obligatoriska för departement och myndigheter när de bygger sin it-infrastruktur krävs inte överensstämmelse med handboken enligt lag. Vidare kon- trolleras inte de åtgärder som organisationerna bör eller ska vidta.170 Vilken bindande roll PSR har förtydligas däremot genom ett kabi- nettdirektiv (CAB MIN (14) 39/38). Enligt NZISM ska respektive myndighetschef ansvara för infor- mationssäkerheten inom sin organisation. , som används av såväl myndigheters informationssäkerhetschefer som leverantö- rer, entreprenörer och konsulter som tillhandahåller tjänster till myndigheter, innehåller ett ramverk för certifiering och ackrediter- ing samt tekniska minimisäkerhetsstandarder (i linje med bl.a. ISO/ IEC). Information klassificerad som konfidentiell, hemlig eller kvali- 168Säkerhetsåtgärderna måste även uppfylla kraven i . 169Handboken har sitt ursprung i ISM (se nedan), men är helt omskriven. 170Är det fråga om nationell säkerhet kan dock undantag aktualiseras. ficerat hemlig är föremål för fler kontroller än övrig information. process som handboken föreskriver för IKT-system måste certi- fiering slutföras innan nödvändig ackreditering kan äga rum. Resul- tatet av en ackreditering är ett godkännande för driftsättning, från ackrediteringsorganet till systemägaren. Syftet är att bekräfta huru- vida resultaten av en lämplig systemgranskning är av acceptabel stan- dard. Processen i sin helhet bygger på en riskbedömning och tillämp- ning av vissa kontroller samt bestämning av eventuellt kvarvarande risk.171 För samtliga myndigheters informationssystem är informa- tionssäkerhetschefen certifikatutfärdare.172 Ackrediteringen tilldelas när systemet överensstämmer med handboken och ackrediterings- organet accepterar kvarvarande säkerhetsrisk. Ackrediteringen inne- bär ett formellt godkännande att ta systemet i drift. Myndigheter får inte tillåta att deras system hanterar sekretessbelagd information över den klassificeringsnivå som systemet fått ackreditering för. Det är systemägaren som är ansvarig för den övergripande driften av informationssystemet. Systemägaren måste därmed även se till att systemet är ackrediterat för att uppfylla organisationens operativa krav och att ackrediteringen underhålls.173 Myndigheterna får inte använda ett system utan giltig ackreditering såvida inte ackrediterings- organet beviljat dispens. För myndigheter med system som hanterar information som rör nationell säkerhet är GCSB:s generaldirektör behörig ackrediterings- myndighet oavsett informationens klassificeringsnivå. Också använd- ning av högassurans-kryptoutrustning samt system med kompart- mentaliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre kräver kontroll i form av ackreditering av GCSB (eller formell delegat).174 När det gäller information och system klassificerade som begränsat hemliga (restricted) och lägre, svarar generellt respektive myndighetschef för ackrediteringen. 171Certifiering förutsätter att valda kontroller är lämpliga och överensstämmer med PSR och särskilt de relevanta NCISM-komponenterna samt fungerar ändamålsenligt. 172Uppdraget att utarbeta certifiering ligger hos värdmyndigheten eller den ledande organi- sationen. 173Ledningen eller systemägaren ska vidare avge formella påståenden om vissa aktiviteter för informationssystemet. 174Det kan tilläggas att s.k. fack upprättas för att ge ytterligare skydd åt information av be- tydelse för nationell säkerhet. I övriga fall då informationen är begränsat hemlig eller systemet klassificerats som konfidentiellt och högre har respektive organisations vd eller det ledande organet att acceptera kvarvarande säkerhetsrisk med driften av informationssystemet (vilket ackrediteringen förutsätter). När myndigheters system hanterar känslig information ämnad endast för nationellt bruk (”Eyes Only”) måste myn- digheterna säkerställa att en nyzeeländsk medborgare, som arbetar för regeringen, alltid har kontroll över systemet och informationen. Sådana system är särskilt känsliga och kräver ytterligare säkerhetsåt- gärder vid anslutning till andra system.175 Produkter som tillhandahåller säkerhetsfunktioner för att skydda klassificerad information evalueras av assuransskäl. Myndigheter som väljer högassuransprodukter måste kontakta GCSB och uppfylla alla produktspecifika krav innan något köp görs.176 För att säkerställa nätverkssäkerhet och funktionalitet behöver varje ändring av ett nätverk godkännas och kontrolleras genom lämpliga ledningsprocesser. När det gäller system klassificerade konfidentiella, hemliga eller kvalificerat hemliga måste myndigheterna implemen- tera nätverksåtkomstkontroller i alla nätverk. Alla myndigheter som överväger att distribuera ett trådlöst kvalificerat hemligt nätverk be- höver ansöka om godkännande från GCSB innan de initierar några nätverksprojekt. Myndigheter får inte använda sådana trådlösa nät- verk såvida inte säkerheten för myndighetens trådlösa distribution godkänts av GCSB.177 Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet Av inhämtade uppgifter framgår att det finns departement i med ansvar för informations- och cybersäkerhet, bl.a. när det gäller nationell säkerhet. Statliga myndigheter som hanterar hem- lig information om nationen är skyldiga att ständigt ha kontroll över sina system och hålla informationen säker. IKT-systemen kan vidare behöva genomgå en särskild certifierings- och ackrediteringsprocess för att få tas i drift. Detta förfarande regleras i en nationell handbok vars användning rekommenderas brett i samhället. 175Myndigheter som har åtkomst till ett system som innehåller hemlig information om natio- nella intressen och ett system med samma klassificering som inte är ackrediterat för att behandla sådan information måste använda en evaluerad produkt med assuransnivå EAL2 (eller högre) eller motsvarande skyddsprofil. 176Myndigheter måste vidare bekräfta integriteten hos programvara som de installerar innan de distribueras i ett system för att säkerställa att ingen oavsiktlig programvara installeras sam- . 177Alla trådlösa åtkomstpunkter som används för statliga trådlösa nätverk måste vara ””-certifierade. formation nationell säkerhet måste myndighetens system ackredite- ras av den nationella byrån för kommunikationssäkerhet (GCSB) innan ett resulterande formellt godkännande av systemets driftsätt- ning kan ske. Vidare kräver system och tjänster med kompartmen- taliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre ackreditering av generaldirektören på GCSB (eller formell delegat). Också användning av högassurans-kryptout- rustning kräver kontroll i form av ackreditering av GCSB. Generellt i fall där information och system är klassificerade begränsat hemliga (restricted) eller lägre ligger uppgiften att godkänna systemet internt hos organisationens chef. Aktörer inom informations- och cybersäkerhet ASD – Australienska signaldirektoratet Australian Signals Directorate (ASD) är en statlig myndighet med uppdraget att försvara från globala hot och att främja nationella intressen. Ytterst ansvarig för ASD är För- svarsministern. ASD arbetar med underrättelse- och säkerhetstjänst samt cybersäkerhet för att stödja regeringen, försvarsmakten och samhället i stort. ASD har funktioner inom kryptografi och IKT. ASD utför bl.a. produktevalueringar av programvara och IKT-ut- rustning som används för att skydda hemlig och kvalificerat hemlig information. Center () är en del av ASD. leder och samordnar den australiensiska regeringens insatser för ökad nationell cybersäkerhet. Centret utgör ett nav för samarbete mellan offentlig och privat sektor samt inom informationsdelning avseende cybersäkerhet. Centret bistår med cybersäkerhetsrådgivning och stöd i hela det australienska samhället. Inom centret finns den nationella CERT-funktionen som svarar på cybersäkerhetshot och incidenter. certifierar produktevalueringar vilka utförs av licensierade kommersiella evalueringsföretag (AISEF, se nedan) i enlighet med Common Criteria som en del av det australiensiska programmet för evaluering av informationssäkerhet, AISEP. AISEF och ACA – evalueringar Evaluation Facility (AISEF) är ett privat företag licensierat av ASD och ackrediterat av , (), för att genom- föra evalueringar i enlighet med Evaluation Program, AISEP (se nedan). Utvärderingsaktiviteterna är certifierade av Australian Certification Authority (ACA). Samtliga evalueraringsföretag måste godkännas av ACA. AISEF och ACA genomför evaluerings- och certifieringsaktiviteterna genom samarbete. , () är nationella ackrediteringsorgan för ackreditering av organ för bedömning av överensstämmelse. är också s.k. övervakningsmyndighet inom operation and Development (). har ingått ett samförståndsavtal (Memorandum of Under- standing) med den australienska regeringen som erkänner dess nyckelroll i tekniska infrastruktur. Regeringen rekom- menderar användning av när detta är ett alternativ och uppmuntrar organisationer att göra detsamma.178 tillhandahåller oberoende assurans om teknisk kompe- tens och integritet hos organ för bedömning av överenstämmelse. Detta görs för kunder som behöver förtroende för leveransen av sina produkter och tjänster. Förutom ackreditering tillhandahåller bedömningar och utbildningstjänster till laboratorier och tekniska anläggningar. 178Avtalet anger vidare att är skyldig att vidta alla ackrediteringsaktiviteter opartiskt i enlighet med kraven i ISO/IEC 17011 och tillhandahålla nationellt ledarskap genom att ge ut ackrediteringsprogram som medför att ackrediterade organ möter nationella intressen. I tillämpliga fall ska NATA:s procedurer överensstämma med internationella standarder. Dokumentet innehåller även ett antal ytterligare åtaganden som syftar till att involvera andra viktiga aktörer i aktiviteterna och skapa transparens. Regeringen å sin sida åtar sig att assistera finansiellt och informera organisationer om NATA:s roll som nationellt ackrediter- ingsorgan. Vidare kräver regeringen att just utför ackreditering i vissa situationer. har också undertecknat internationella ackrediterings- avtal som föranleder ömsesidigt erkännande. Registered Assessors Program (IRAP) är ASD-certifierade IKT-experter som har särskild kunskap om ISM- säkerhetskrav (se nedan). IRAP syftar till att säkerställa att aktörer inom regeringen och industrin kan få tillgång till högkvalitativa be- dömningar av IKT. Bedömarna kan tillhandahålla bedömningar av bl.a. informationssystem upp till ”top secret”-nivån. De ackrediterar eller certifierar dock inte system å ASD:s vägnar. Reglering av informations- och cybersäkerhet Lagtext om det nationella cybersäkerhetsarbetet är begränsad i . Landet lägger visserligen stora ansträngningar på cyber- säkerhet, men gör det utan lagstiftning och förlitar sig mer på ”mjuk lag” (soft law).179 2020 antog en ny cybersäkerhetstrategi.180 I strategin an- ges att regeringen kommer att stödja företagens cybermotstånd bl.a. genom att dela hotinformation, ställa tydliga förväntningar på roller och stärka partnerskap. Regeringen avser vidare att arbeta med in- dustrin för att skydda landets mest kritiska system från mer all- varliga hot. Dessutom ges brottsbekämpande myndigheter större befogenhet att skydda medborgarna online. Strategin framhåller även att berörda företag bör producera säkra produkter och tjänster samt att en frivillig uppförandekod kommer att beskriva regeringens säkerhetsförväntningar för internetanslutna konsumentenheter som medborgarna använder . Regeringen bedömer att lagstiftningsreformer och ett samarbete med industrin 179Se Cybersecurity law overview – a report by , , s. 8. behövs för att tydliggöra industrins skyldigheter angående cyber- säkerhet . Slutligen kommer den australienska regeringen att lägga mer resur- ser på att öka allmänhetens medvetenhet om cybersäkerhetshot. AISEP – program för evaluering av it-säkerhetsprodukter Evaluation Program, AISEP, han- terar evaluering och certifiering av it-säkerhetsprodukter enligt Com- mon Criteria-standarden för att skydda system och information mot cyberhot. Det är främst australienska och nyzeeländska statliga myn- digheter som förvärvar och använder de certifierade it-säkerhets- produkterna. Genom AISEP är och signatärer inom CCRA.181 Som en del av sin rådgivning tillhandahåller Australian Govern- ment (ISM) innehållande ett ramverk för cybersäkerhet som organisationer kan tillämpa för att skydda sina system och information från cyberhot.182 Organisationer är som utgångspunkt inte skyldiga enligt lag att följa ISM. ISM är vidare subsidiär i förhållande till avvikande lag- stiftning. Syftet med cybersäkerhetsprinciperna i ISM är att ge prak- tisk vägledning om cybersäkerhet, inbegripet IKT-säkerhet. Hand- boken använder ett ramverk för riskhantering som är baserat på NIST 800-37 (se ovan under ), enligt vilket systemet ska definie- ras och anpassade säkerhetskontroller införs. ISM används framför allt för att styra myndigheters arbete med informations- och cyber- säkerhet. När det gäller informationstillgångar som ägs av eller anförtrotts den australiensiska regeringen finns ett antal grundläggande krav på informationssäkerhet som aktörer tillämpar. Bl.a. måste varje enhet säkerställa en säker drift av sina IKT-system för att skydda informa- 181Certifikat på evalueringsnivåerna EAL 1–4 är därmed ömsesidigt erkända. 182ISM är avsedd att användas av informationssäkerhets- och it-chefer. tion om statliga angelägenheter genom att tillämpa ISM:s cyber- säkerhetsprinciper under alla stadier av varje systems livscykel.183 För kvalificerat hemliga (”top secret”) system kan bedömningar av säkerhetskontroller genomföras av ASD-bedömare (eller deras delegater). På nivån hemlig och lägre kan säkerhetsbedömningen av systemen göras av en organisations egna bedömare eller IRAP-be- dömare (Registered Assessors Program). I alla fall ska bedömarna ha ett lämpligt säkerhetsgodkännande och till- räcklig kompetens i förhållande till berörd systemtyp.184 Innan ett system får tas i drift behöver beslut fattas i fråga om åtföljande säkerhetsrisk kan accepteras. Om riskerna med systemets drift accepteras kan driftsättningen godkännas, annars kan den nekas. Den som har till uppgift att godkänna systemet (authorising officer) kan dessutom, i avvaktan på att en acceptabel standard nås, kräva ytterligare information av systemägaren eller tillåta driftsätt- ning av systemet med vissa användningsbegränsningar. För kvali- ficerat hemliga system och system som bearbetar, lagrar eller kom- municerar kvalificerat hemlig eller känslig kompartmentaliserad in- formation är ASD:s generaldirektör godkännandeorgan. På nivån hemlig och lägre ligger uppgiften att godkänna systemet hos en orga- nisations informationssäkerhetschef eller motsvarande. I alla fall bör godkännaren ha en lämplig nivå av kompetens och förståelse för säker- hetsrisker. Som tidigare berörts utför ASD produktevalueringar i syfte att tillhandahålla en högre nivå av assurans hos produkters säkerhets- funktionalitet. Som vägledning vid anskaffning (”acquisition”) hän- visar ISM till dessa evalueringar som sker genom dels programmet ASD Cryptographic Evaluation (ACE) för produkter som används för att skydda klassificerad (”classified”) information, dels High Evaluation-programmet för produkter som används för mycket känslig (”highly classified”) information. Vid upphandling av specifik IKT-utrustning med assuransnivån hög kontaktas . ISM har många likheter med NIST RMF (se ovan), fast är något förenklad. 183Se den australienska regeringens Policy Framework, Policy 11 om robusta IKT-system (/information/Pages/default.aspx). Attorney-General’s Department inom den australienska regeringen har tagit fram ett policyramverk för säkerhetsskydd, där robusta IKT-system är en del av policyn. Huvudkravet i denna del är att aktö- rerna måste säkerställa en säker drift av sina IKT-system för att skydda information om statliga angelägenheter genom att tillämpa ISM:s cybersäkerhetsprinciper under alla stadier av varje systems livscykel. Enheter får endast hantera information om IKT-systemets drift auktoriserats av behörig auktoritet. När man skapar nya IKT-system eller implementerar förbättringar av befintliga system måste beslutet att godkänna att ett IKT-system tas i drift baseras på den riskbase- rade cybersäkerhetsstrategin i ISM. Det krävs att alla IKT-system erhåller godkännande inför driftsättningen för att säkerställa att en lämplig säkerhetsnivå tillämpas på systemet och att återstående säker- hetsrisker accepterats av den berörda myndigheten. IKT-systemen måste vara godkända för åtminstone den känslighet eller klassificer- ing av information som det kommer att behandla. Bemyndigande att driva ett IKT-system är inte permanent. Under ett IKT-systems livscykel kan det kräva att godkännande återkallas för att kunna drivas eller tas ur drift. T.ex. kan för- ändringar av systemet eller upptäckten av nya cyberhot motivera en omprövning. Kvalificerat hemliga system ska säkerhetsbedömas, och i tillämp- liga fall godkännas, av ASD. Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet Av inhämtade uppgifter framgår att det finns myndigheter i med ansvar för nationell informations- och cybersäkerhet samt upp- gifter att evaluera respektive certifiera IKT. När det gäller informa- tion om statliga angelägenheter som tillhör regeringen behöver berörda IKT-system godkännas innan de får tas i drift. För kvalifice- rat hemliga system och system som hanterar kvalificerat hemlig eller känslig kompartmentaliserad information är en underrättelse- och säkerhetstjänst (ASD:s generaldirektör) godkännandeorgan. I övriga fall brukar uppgiften att godkänna systemen ligga hos respektive Några motsvarande nationella krav på certifiering av sådana system har dock inte framkommit.