sou · H9B363 · 2021-07-02 00:00:00 — I rapporten framhålls att skillnaden är mar- kant i jämförelse med omvärlden, t.ex. visade den globala undersök- ning of Survey 2018 att av företagens CISO:s rapporterar direkt till vd eller styrelse och till styrelsen. Anmärkningsvärt är även att närmare hälf- ten () av företagen inte tycker eller inte vet om styrelsen är tillräckligt engagerad i cybersäkerhetsfrågorna. av före- tagen tycker inte att eller vet inte om styrelsen är tillräckligt engage- rad i cybersäkerhetsfrågorna. Av rapporten framkommer även att av företagen anser även att det svenska samhället inte är tillräckligt rustat för att klara av de ökade cyberhoten. Många företag anser att det görs för få in- satser från politiskt håll. av tillfrågade företag anser att svenska politiker inte tar cybersäkerhet som samhällsutmaning på tillräckligt stort allvar , andelen som ansåg att politikerna tar cybersäkerhet som samhällsutmaning på tillräckligt stort allvar minskade också från till . Företagen anser vidare att politikerna gör för lite för att möta den här negativa utvecklingen. Utvecklingen av hot, sårbarheter och risker 5.5.1CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag (2019) I rapporten – Så ser hotbilden och attackerna ut mot svenska teknikföretag8 framhålls att industrin och företag i genomgår en omfattande digitalisering. Utvecklingen innebär att ut- rustning och verktyg både kan kopplas upp och kopplas ihop till en rimlig kostnad, samt att data som skapas i olika processer kan fångas upp och användas. Detta ger möjlighet till ökad produktivitet, nya affärsmöjligheter och en ökad miljömässig hållbarhet. Parallellt med dessa möjligheter så har också förväntningarna och kraven ökat från kunder och leverantörer att tjänster ska finnas att tillgå digitalt. Med digitaliseringen kommer en ökad sårbarhet som gäller alla företag, oavsett storlek. Digitaliseringen ger upphov till stora risker som måste hanteras. För mindre teknikföretag och underleveran- törer är det tre faktorer som, enligt rapporten, är särskilt utmanande: –frekvensen, såväl som konsekvensen, av cyberattacker har ökat, –attackerna har även blivit diversifierade, mer sofistikerade och riktade mot specifika sektorer, samt –mindre teknikföretag och underleverantörer är primära måltavlor. Hälften av teknikföretagen har angripits I rapporten anges att antalet cyberattacker mot olika företag och myndigheter i har ökat och uppgår till över 100 000 . Angreppen mot företagen sker i olika former. var över 17 000 datorer infekterade i , dvs. de var bl.a. angripna av virus eller utgjorde delar av ett botnät. Motsvarande siffra för mobila enheter uppskattas till omkring 400 000. Denna mängd dato- rer och mobiler kan sedan användas för koordinerade attacker mot enskilda företag eller specifika branscher och riskerar då att slå ut exempelvis kritiska produktionssystem. Den mest frekventa formen av angrepp som företagen identifierat sker genom elakartad program- vara som virus och trojaner samt genom att sårbarheter i de digitala systemen utnyttjas för intrång. 8CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag, Teknikföre- tagen, 2019. Utvecklingen av hot, sårbarheter och risker Av rapporten framkommer vidare att bland Teknikföretagens medlemmar, dvs. tillverkande företag och industrinära tjänsteföre- tag, uppgav nära hälften att de blev utsatta för cyberangrepp –2019. Andelen för företag i övriga sektorer i näringslivet var . En särskild utmaning är att cyberattackerna som riktas mot företagen bedrivs långsiktigt och systematiskt där bitar av information läggs samman. I detta perspektiv är mindre teknikföre- tag och underleverantörer nyckelkomponenter för att komma över uppgifter. Olika aktörer utför olika typer av angrepp Av rapporten framkommer att kommer cyberhoten som möter industrin i i stor utsträckning från främmande makter. Dessa stater utför själva attackerna eller ger direkt stöd åt kriminella grupperingar för riktade intrångsförsök. Sammantaget är det ett femtontal länder som aktivt opererar med sikte på svenska företag. Attackerna kombineras med påverkansope- rationer, traditionella underrättelseaktiviteter och strategiska uppköp, vilket riktas mot bl.a. företag inom elektronik, kommunikations- teknik och industriella produkter. I sammanhanget kan noteras att en del av de företag som är måltavlor, tillhandahåller civila kompo- nenter och produkter, som har dubbla användningsområden. Genom att produkterna även kan användas för militära ändamål är de av sär- skilt intresse för främmande makter. Angrepp för miljarder och stort mörkertal Av rapporten framkommer även att på samma sätt som attackerna varierar, på samma sätt skiftar konsekvenserna. För Teknikföreta- gens medlemmar innebar cyberattackerna att system blev otillgängliga och att data blev publikt eller att affärshemligheter stulits. Bedömningen var att denna utveckling skulle fortsätta med ökande styrka även . kan noteras att företag ogärna offentliggör när de blivit attackerade, varför redovisade uppgifter – enligt rapporten – sannolikt döljer ett stort mörkertal. Dessutom förblir många företag ovetandes om att de överhuvudtaget har blivit utsatta för angrepp. Utvecklingen av hot, sårbarheter och risker I rapporten anges att en rimlig uppskattning är att de samlade direkta kostnaderna uppgår till för svenska företag, vilket främst drabbar de forskningsintensiva industriföre- tagen och företag som arbetar med dem, exempelvis underleveran- törer. Även störningar och avbrott som följer av cyberattacker är riskabla och kan bli kostsamma. rapporterades exempel- vis 50 allvarliga och betydande incidenter. Kostnaden för dessa har inte bl.a. uppskattats, men totalt beräknas en nedstängning eller blockering av datatrafiken i generera en kostnad för sam- hället på . 5.5.2Cybersäkerhet – En kartläggning av nuläge 2020 och framtidsutsikter för branschen I studien – En kartläggning av nuläge 2020 och framtidsutsikter för branschen9 redovisas bl.a. nuläget och framtids- utsikter för cybersäkerhetsbranschen vad gäller utbildning, företag och kompetens inom området.10 Sammanfattningsvis framkommer av studien att den snabba och omfattande digitaliseringen driver ut- vecklingen av cybersäkerhetsmarknaden framåt. Det finns dock ett stort behov av kompetens på området, både när det gäller utbildningar och när det gäller den interna kompetensen hos anställda på myndig- heter och företag. Cybersäkerhet är dessutom ett brett område som sträcker sig utanför it-avdelningar och rena teknikbolag och därför krävs också olika kompetenser i kombination med cybersäkerhet. Det saknas dock teknisk kompetens i form av ingenjörer men också inom andra yrken som jurister och statsvetare. I studien lyfter respondenterna11 genomgående människan som den största risken när det kommer till cybersäkerhet, liksom brist- 9Kartläggningen utfördes av Unitalent på uppdrag av , och Security Link, en centrumbildning vid , , och . 10Kartläggningen är avgränsad till att undersöka den svenska marknaden för cybersäkerhet. etta görs främst ur ett nationellt perspektiv, i viss mån sker även en internationell utblick. Begreppet cybersäkerhet är i vissa sammanhang synonymt med it-säkerhet och informations- säkerhet – i den här rapporten särskiljs dock begreppen. Cybersäkerhet definieras som en delmängd av it-säkerhet och informationssäkerhet, där det finns ett fokus på att skydda den digitala informationen i system och processer mot ett antagonistiskt hot. Vidare är cyber- säkerhet något som berör många olika typer av verksamheter, med cybersäkerhetsmarknaden respektive cybersäkerhetsbranschen avses i det här fallet de företag och organisationer som arbetar direkt med frågor, produkter eller tjänster gällande cybersäkerhet. 11Kartläggningen är baserad på aktuell litteratur, rapporter från myndigheter, medierapporter- ing samt semi-strukturerade intervjuer med erfarna personer med kunskaper inom olika om- råden kopplat till cybersäkerhet. Utvecklingen av hot, sårbarheter och risker fälliga riskanalyser och bristande, kontinuerligt säkerhetsarbete. Där- till lyfts att utvecklingen av nya tekniker såsom AI och IoT skapar nya möjligheter men också risker. Enligt studien visar kartläggningen på att det finns stora utvecklingsområden och behov av insatser på området. I säkerhetsskyddslagen (2018:585) finns bestämmelser om säkerhets- skydd i säkerhetskänslig verksamhet. Säkerhetsskyddsförordningen (2018:658) innehåller kompletterande bestämmelser till säkerhets- skyddslagen.1 I direktiven framhålls att för informationssystem som används i eller har betydelse för säkerhetskänslig verksamhet finns särskilda krav i säkerhetsskyddsförordningen (2018:658). Det rör sig dels om förberedande åtgärder inför driftsättning av sådana informations- system, dels om säkerhetskrav som kontinuerligt ställs på informa- tionssystemen. Bestämmelserna innebär att det är verksamhetsutövaren som an- svarar för att se till att informationssystemen upprätthåller kraven på informationssäkerhet. Bestämmelserna innehåller även krav på samråd med Säkerhets- polisen eller Försvarsmakten i vissa fall. Detta gäller för informations- system som kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig. Enligt direktiven finns det anledning att överväga om ytterligare krav bör införas för att säkerställa att nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. I detta avsnitt redogörs översiktligt för relevanta bestämmelser om säkerhetsskydd i säkerhetsskyddslagen respektive den anslutande förordningen. I efterföljande kapitel 7 lämnas en närmare redogörelse för det nationella regelsystemet för informationssäkerhet i säkerhets- 1Ord och uttryck som används i förordningen har samma innebörd som i lagen. känslig verksamhet, som är det begrepp som används i regleringen för att beskriva åtgärder som syftar till säkerhet i bl.a. nätverks- och infor- mationssystem (informationssystem). I 1 kap. 5 § angivna förordning anges att med informationssystem avses ett system av sammansatt mjuk- och hårdvara som behandlar information. Säkerhetskänslig verksamhet är enligt 1 kap. 1 § säkerhetsskyddslagen (2018:585)2 sådan verksamhet •som är av betydelse för säkerhet, eller •som omfattas av ett för förpliktande internationellt åta- gande om säkerhetsskydd. Säkerhetsskyddslagens bestämmelser gäller för den som till någon del bedriver säkerhetskänslig verksamhet (verksamhetsutövare). Säkerhetsskydd har traditionellt uttryckts som olika åtgärder för att skydda totalförsvaret eller rikets säkerhet i övrigt. Uttrycket rikets säkerhet är i säkerhetsskyddslagen numera ersatt av säkerhet men liksom tidigare finns ingen tydlig definition angiven i säker- hetsskyddslagen. Uttrycket förekommer dock även i annan lagstift- ning och kan sammanfattas som oberoende – i betydelsen självständighet och suveränitet – och bestånd. Detta innefattar rätt till okränkta landsgränser, ett bevarande av det svenska självstyret och det demokratiska statsskicket samt av nationens grundläggande funktionalitet. Såväl myndigheter som enskilda driver ett stort antal samhälls- viktiga verksamheter som i helhet eller delar kan vara av större eller mindre betydelse. Detta brukar illustreras med en pyramid där den översta delen utgörs av de verksamheterna som är av betydelse för säkerhet ur ett nationellt perspektiv (se figuren i avsnitt 3.5). 2I lagen finns också bestämmelser som gäller den som avser att överlåta aktier eller andelar i säkerhetskänslig verksamhet och om internationell samverkan på säkerhetsskyddsområdet. Dessa verksamheter har ett kvalificerat skyddsbehov och omfattas av säkerhetsskyddslagen. Uttrycket ”säkerhet” tar sikte på sådant som är av grund- läggande betydelse för . I detta ingår bland annat det militära och civila försvaret, den nationella ekonomin, de brottsbekämpande myndigheterna, domstolarna och sådana leveranser av exempelvis livsmedel, elkraft, dricksvatten och drivmedel som är nödvändiga för samhällets funktionalitet på nationell nivå. Anläggningar, objekt, system och liknande verksamhet identifieras och graderas utifrån vilken typ och grad av skada som direkt eller uppenbart indirekt kan uppstå för yttre säkerhet, för inre säkerhet, på nationellt sam- hällsviktig verksamhet och för ekonomi. Detsamma gäller för anläggningar och objekt där det bedrivs verksamhet som vid en antagonistisk handling kan generera skadekonsekvenser på nationell nivå på andra säkerhetskänsliga verksamheter (s.k. skadegenererande verksamhet). Vad som är av betydelse för säkerhet kan förändras och i takt med att samhället utvecklas. Ett exempel är hur samhällets funktionalitet blivit mer beroende av datasystem och mobiltelefoni. Av denna anledning är det viktigt att verksamhets- utövare med regelbundenhet uppdaterar sin säkerhetsskyddsanalys (se nedan) och bedriver ett fortlöpande säkerhetsskyddsarbete. 6.2.2Internationellt åtagande om säkerhetsskydd Med internationellt åtagande om säkerhetsskydd avses att förbundit sig att skydda något åt en annan stat eller mellanfolklig organisation, t.ex. uppgifter som utbytts inom militära samarbeten eller samarbeten mot terrorism. 6.3Vad som avses med säkerhetsskydd I 1 kap. 2 § säkerhetsskyddslagen anges att med säkerhetsskydd avses: •Skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt •Skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskydd behövs för att skydda säkerhetskänsliga verksam- heter mot olika typer av antagonistiska handlingar från hotaktörer med varierande avsikt och förmåga (se kapitel 5). Säkerhetsskydd som ett system av samverkande åtgärder Säkerhetsskydd kan övergripande beskrivas som ett system av sam- verkande åtgärder som syftar till att skapa ett heltäckande skydd. Olika verksamhetsutövare har olika förutsättningar för verksamheten och säkerhetsskyddsåtgärderna måste därför an- passas efter den säkerhetskänsliga verksamhetens förutsättningar. Detta gör säkerhetsskydd till ett komplext område där olika åtgärder måste fogas samman för att värna säkerhet eller det åtagit sig att skydda åt andra stater och mellan- folkliga organisationer. Säkerhetsskydd kan beskrivas som ett system av åtgärder som utifrån säkerhetsskyddsanalysen tillsammans skyddar den säkerhets- känsliga verksamheten. Merparten av åtgärderna inom säkerhetsskydd kan sorteras in i någon av de tre säkerhetsskyddsåtgärderna infor- mationssäkerhet, fysisk säkerhet och personalsäkerhet. Andra åtgärder som ingår i systemet av säkerhetsskydd är exempelvis anmälan av säker- hetshotande händelser och säkerhetsskyddsavtal med leverantörer. En grundförutsättning för ett heltäckande säkerhetsskydd är sam- spelet mellan olika typer av åtgärder som överlappar varandra. Ex- empelvis räcker det inte att enbart skydda ett informationssystem med informationssäkerhet som hindrar intrång via internet. Det krävs även fysisk säkerhet för att förhindra att obehöriga kommer åt datautrustningen samt personalsäkerhet för att förebygga att personer som inte är pålitliga ur säkerhetssynpunkt får arbeta med systemet. Utöver samspelet måste hela kedjan av åtgärder vara jämnstark så att det inte finns några svaga länkar. Om exempelvis personal reser med säkerhetsskyddsklassificerade uppgifter mellan arbetsplatser måste transporten regleras så den inte utgör en sårbarhet. I annat fall kan en angripare utnyttja detta och slå till på en plats där nivån av säkerhetsskydd är lägre än på arbetsplatserna. Begreppet säkerhetskänslig verksamhet omfattar således såväl mili- tär som civil verksamhet och är oberoende av om verksamheten be- drivs av det offentliga eller av enskilda aktörer. samheter är endast en viss del, tillgång eller funktion av betydelse för säkerhet. Verksamhetsutövaren måste då analysera vilka delar som är säkerhetskänsliga så att säkerhetsskyddsåtgärderna inte görs onödigt omfattande men inte heller missar delar som omfattas av säkerhetsskyddslagens krav. Utgångspunkten är att verksamheten ska ha direkt betydelse för säkerhet men även verksamhetsutövare som t.ex. levererar driftstjänster såsom data och telekommunikation, kan anses bedriva verksamhet som är av betydelse för säkerhet. Det kan då vara den samlade betydelsen som indirekt aktualiserar behovet av säkerhetsskydd även om de enskilda uppdragen sedda var och en för sig inte är säkerhetskänsliga. Den som hanterar säkerhetsskyddsklassificerade uppgifter anses redan på den grunden bedriva säkerhetskänslig verksamhet eftersom uppgifterna i sig är av betydelse för säkerhet. Detta oavsett om uppgifterna rör den egna verksamheten eller härrör från någon annan verksamhetsutövare, t.ex. vid arkivförvaring av handlingar. Även verksamheter som hanterar allmänt åtkomlig information såsom meteorologiska data och kartor kan vara säkerhetskänsliga. Uppgif- terna kan exempelvis behöva vara tillgängliga för nationell flygtrafik- ledning eller olika former av beredskap för reparationer av nationellt viktig infrastruktur. De internationella åtagandena om säkerhetsskydd som staten har åtagit sig omfattar framför allt hantering av uppgifter. har förbundit sig att skydda säkerhetsskyddsklassificerade uppgifter för ett trettiotal andra stater och mellanfolkliga organisa- tioner, bl.a. EU och NATO. Därutöver har även andra internationella åtaganden gäl- lande exempelvis luftfartsskydd. Verksamheter som omfattas av sådana åtaganden är att anse som säkerhetskänsliga. Det förekommer att myn- digheter vid samarbete med utländska myndigheter självständigt kom- mer överens om olika typer av skyddsåtgärder. Denna typ av egna överenskommelser gör dock inte att verksamheten omfattas av säker- hetsskyddslagen. Säkerhetsskyddsanalys är grunden för säkerhetsskydd. Själva be- dömningen av om en verksamhet är säkerhetskänslig eller inte har sin grund i verksamhetens säkerhetsskyddsanalys. konstaterandet att verksamheten är säkerhetskänslig följer en mer detaljerad analys av på vilket sätt och i vilken utsträckning.3 Skillnaden mellan säkerhetsskydd och andra säkerhetsåtgärder4 Utöver behovet av säkerhetsskydd försöker de flesta verksamheter skydda sig mot olika risker för att inte drabbas av exempelvis pro- duktionsavbrott. I många fall är skyddet inriktat på olyckor, men det kan även i likhet med säkerhetsskydd ta höjd för antagonistiska hand- lingar såsom anlagda bränder eller industrispionage. Säkerhetsskyd- det och andra säkerhetsåtgärder kan mycket väl sammanfalla men det är i så fall viktigt att klargöra vilka perspektiv som är grunden för respektive åtgärd. Säkerhetsåtgärder som utgår från verksamhetens egna krav och incitament är valfria, medan skyddet av det som faller inom ramen för säkerhetsskydd är tvingande genom lag. Denna skillnad i per- spektiv påverkar det grundläggande arbetet med analyser och efter- följande val av åtgärder och hur omfattande dessa behöver vara. I exempelvis en affärsriskanalys kan den bedömda sannolikheten för olika händelser vägas mot kostnaden för åtgärder och vilka möjliga förluster organisationen är beredd att acceptera. I en säkerhetsskyddsanalys beaktas inte sannolikheten, utan ut- gångspunkten är i stället de konsekvenser som måste undvikas. Utrym- met att själv välja vad som är en lagom skyddsnivå är begränsat efter- som principen är att skyddet för en säkerhetskänslig verksamhet ska vara detsamma oavsett vem som är verksamhetsutövare. Säkerhetsskyddets huvudsakliga inriktning att skydda mot anta- gonistiska handlingar gör att säkerhetsåtgärder som renodlat syftar till att minska konsekvenserna av olyckor i regel inte utgör fullgoda säkerhetsskyddsåtgärder. Det finns vissa åtgärder som är förbehållna säkerhetskänslig verksamhet. Merparten av dessa finns inom perso- nalsäkerhetsområdet i form av de registerkontroller som ska utföras innan och under anställning. Med detta perspektiv blir det ännu tyd- ligare hur viktigt det är att hålla isär åtgärder som vidtas med avse- ende på säkerhetsskydd från verksamhetens övriga behov. 3För dessa moment har Säkerhetspolisen gett ut en separat vägledning, Säkerhetsskyddsanalys, där begreppen utvecklas. 41 kap. 2 § säkerhetsskyddslagen. Verksamhetsutövare ska identifiera anläggningar, objekt, system eller liknande verksamhet som har betydelse för säkerhet utifrån vilken typ av skada en antagonistisk handling direkt eller uppenbart indirekt skulle kunna medföra. Identifieringen ska göras enligt föl- jande konsekvenskategorier5: •Skada för yttre säkerhet: yttre säkerhet kan delas in i förmågan att upprätthålla nationellt försvar (territoriell suve- ränitet) samt integritet, oberoende och handlingsfrihet (politisk självständighet). Utöver Försvarsmakten finns andra verksamheter, till exempel vissa myndigheter och enskilda inom försvarsindustrin, som är viktiga för det militära försvarets för- måga att utföra sitt uppdrag inom ramen för totalförsvaret. •Skada för inre säkerhet: inre säkerhet rör för- mågan att upprätthålla och säkerställa grundläggande strukturer i form av det demokratiska statsskicket, rättsväsendet och den brotts- bekämpande förmågan på nationell nivå. Säkerhetsskyddet för inre säkerhet handlar till stor del om att skydda särskilt kritiska anläggningar, funktioner och informationssystem. •Skada på nationellt samhällsviktig verksamhet: Verksamheter som rör leveranser, tjänster och funktioner som är nödvändiga för sam- hällets funktionalitet på nationell nivå. Dessa verksamheter finns ofta inom, men är inte begränsat till, sektorerna energiförsörjning, livsmedelsförsörjning, elektroniska kommunikationer, vattenför- sörjning, transporter och finansiella tjänster. •Skada för ekonomi: Verksamheter som är nödvändiga för den nationella betalningsförmågan och där en ekonomisk skada kan få negativa konsekvenser för suveränitet, handlings- frihet och oberoende. •Skadegenererande verksamhet: Verksamheter som, om de utsätts för antagonistisk handling, kan generera direkta eller uppenbara indirekta skadekonsekvenser på andra säkerhetskänsliga verksam- heter på nationell nivå genom påverkan på liv, hälsa och infra- struktur. 52 kap. 2 § Säkerhetspolisens föreskrifter om säkerhetsskydd. Säkerhetskänslig verksamhet som identifierats tillhöra en konsekvens- kategori enligt ovan ska därefter graderas utifrån konsekvensnivåer beroende på hur allvarlig skada en antagonistisk handling skulle kunna medföra.6 Till skillnad från konsekvenskategori kan en verksamhet som helhet bara tillhöra en konsekvensnivå. Om verksamheten åter- finns i flera konsekvenskategorier väljs den konsekvensnivå där den potentiella graden av skada för säkerhet är som störst. Indelningen i konsekvensnivåer sker enligt följande: •Nivå 5: Synnerligen allvarlig skada för säkerhet. •Nivå 4: Allvarlig skada för säkerhet. •Nivå 3: Inte obetydlig skada för säkerhet. •Nivå 2: skada för säkerhet. •Nivå 1: Inte mätbar eller inte relevant konsekvens med bäring på säkerhet. De verksamheter som bedöms tillhöra konsekvensnivåerna 4 och 5 benämns särskilt säkerhetskänslig verksamhet och omfattas av sär- skilda bestämmelser (se nedan). Verksamheter som vid ett angrepp endast bedöms kunna medföra skada enligt nivå 1 omfattas inte av kraven på säkerhetsskydd. Verksamhet som tillhör de ovannämnda konsekvensnivåerna 4 och 5 benämns som särskilt säkerhetskänsliga verksamheter och omfattas av två särskilda krav:7 –rapportering till tillsynsmyndighet, –dimensionering med hjälp av dimensionerande hotbeskrivning (DHB). 62 kap. 3 § Säkerhetspolisens föreskrifter om säkerhetsskydd. 72 kap. 6 och 8 §§ Säkerhetspolisens föreskrifter om säkerhetsskydd. Verksamhetsutövare som bedriver särskilt säkerhetskänslig verksam- het ska rapportera till respektive tillsynsmyndighet att sådan verksam- het bedrivs.