sou · H9B363 · 2021-07-02 00:00:00 — Sammantaget finns således en rad inriktande initiativ och flera olika styrande dokument som anger vikten av att digitalisering sker i och att informations- och cybersäkerheten behöver stärkas på många olika verksamhetsområden. placerar också sig bra i interna- digitaliseringsindex som det finns en bekymmer- sam bild över utvecklingen när det gäller informations- och cyber- säkerheten inom många olika samhällssektorer (se även kapitel 8). 5Utvecklingen av hot, sårbarheter och risker I detta kapitel lämnas en översiktlig redogörelse över hot, sårbar- heter och risker som påverkar behov av stärkt informations- och cybersäkerhet, såväl allmänt som vad gäller säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet. Syftet med redo- görelsen är dock inte att beskriva alla olika typer av hot, risker och sårbarheter som föreligger då sådana sammanställningar redan finns tillgängliga.1 5.2Hot, sårbarheter och risker Digitaliseringen påverkar hela samhället och vår säkerhet och eko- nomiska välstånd vilar allt mer på digitala grunder. betraktar därför de flesta länder informations- och cybersäkerhet som en stor nationell utmaning och denna säkerhet anses vara av såväl säker- hetspolitisk som utrikespolitisk och därigenom även av strategisk betydelse. Flera av de samhällsviktiga system som är kritiska för att upprätthålla samhällets funktionalitet är redan i fredstid sårbara för angrepp och störningar. Den teknologiska utvecklingen, utbredningen av digitala lösningar och ökade datavolymer skapar stora möjligheter men innebär sårbarheter och risker för såväl samhället i stort som för enskilda myndigheter och andra aktörer, bl.a. i närings- livet. 1Se bl.a. , 2019. Hotbilden inom it-området beskrivs närmare av som genomför en årlig undersökning över de största riskerna som världen står inför I rapporten ligger cyberangrepp på femte plats när det gäller sannolikhet och sjunde plats när det gäller konsekvens (/press/2019/10/cyberattacks- and-fiscal-crises-top-list-of-business-risks-in-2019/). Utvecklingen av hot, sårbarheter och risker De hot, sårbarheter och risker som digitaliseringen medför utgör komplexa säkerhetsutmaningar. Hoten blir svårare att upptäcka, be- roenden blir svårare att överskåda och sårbarheterna och riskerna blir mer svårbedömda. Exempel på sådana utmaningar är antagonistiska hot som informationsoperationer och cyberangrepp mot skyddsvärda nätverks- och informations, t.ex. i form av spionage, sabotage och dataintrång mot totalförsvarets verksamhet. Ett cyberangrepp eller storskalig it-incident bedöms kunna få allvarliga konsekvenser för såväl samhällsviktig och ekonomisk verk- samhet som kritisk infrastruktur. Det kan även medföra påverkan på både militär och civil verksamhet inom totalförsvaret. Cyberangrepp för att bedöma, påverka eller störa samhällsviktiga funktioner som ett förstadium till en väpnad konflikt utgör ett allvarligt hot. Utflytt- ning av väsentliga funktioner i samhällsviktig verksamhet till utlan- det, t.ex. inom energiförsörjningen, har också inneburit att sårbar- heten har förändrats. När det uppstår brister i informations- och cybersäkerheten kan detta få omfattande konsekvenser både för sam- hället i stort och för olika samhällssektorer (se även kapitel 4 och 8). Stora delar av den samhällsviktiga infrastrukturen, t.ex. energi, och kommunikationer, har industriella informations- och styrsystem2 som är uppkopplade mot internet. Dessa system behöver inte alltid vara internetanslutna, men av effektivitetsskäl är de ofta uppkopp- lade mot internet, som ger åtkomst från distans. Många av dessa system är äldre och har därför ofta sårbarheter som en hotaktör kan utnyttja (se kapitel 8). Antalet sårbarheter som är specifika för indu- striella informations- och styrsystem har ökat kraftigt . Det är ofta en utmaning att på ett ändamålsenligt sätt säkerhets- uppdatera systemen då de inte är byggda för att regelbundet upp- dateras. Detta förstärks av att verksamhetsutövare ofta inte har ut- rymme eller resurser att tillåta att dessa system får förändras, är avstängda eller att åtgärder som medför fördröjningar i datatrafiken införs. Dessa system och de processer de upprätthåller måste dock ha ett adekvat skydd över hela livslängden, som i vissa fall kan uppgå Industrial control systems/supervision control accusation data (ICS/SCADA). Utvecklingen av hot, sårbarheter och risker till , och verksamhetsutövarna måste ha kunskap om de hot, sårbarheter och risker mot säkerheten i systemen som finns. Sårbarhet genom kritiska beroenden Kritiska beroenden uppstår när funktionen i en samhällsviktig verk- samhet kräver att en annan verksamhet fungerar och där det saknas alternativ. Sådana beroendeförhållanden är en orsak till att samhälls- viktiga verksamheter är sårbara Flera av dessa viktiga funktioner styrs och övervakas med stöd av avancerade nätverks- och informa- tionssystem. När ett cyberangrepp eller tekniskt fel inträffar kan det påverka flera delar av samhället och konsekvenserna kan i vissa fall bli svåra att överblicka. Ett exempel på ett sådant förhål- lande är beroendet mellan elförsörjning och elektroniska kommunika- tioner. Det uppkopplade samhället är nämligen beroende av funge- rande elförsörjning och elektroniska kommunikationer. Att allt fler verksamhetsutövare digitaliserar hela eller delar av sin verksamhet innebär ökade krav på tillgänglighet av el och fungerande uppkoppling. En följd av digitalisering och effektivisering är att även förmågan att leverera el och upprätthålla kommunikationer är digi- taliserad, och är därmed sårbar för samma svagheter och utsatt för liknande risker som övrig digitaliserad verksamhet. I de fall styr- och kontrollsystem är exponerade mot internet uppkommer risken för att hotaktörer att utnyttja sårbarheter i systemen för cyberangrepp med betydande konsekvenser för samhället som följd. Förutom de omedelbara konsekvenserna med omfattande strömavbrott så skulle många system som är beroende av fungerande informationstekno- logi upphöra att fungera. Det skulle leda till betydande problem på flera nivåer i samhället. Denna utveckling förstärks i och med det ökade utbudet av IoT. Det skapar stora vinster, men som en följd av detta ökar beroendet av el, och i viss mån ökar de sårbarheter som kommer ur det stora elberoendet. Den internationella dimensionen får en alltmer ökad betydelse. Infrastrukturen är sammanflätad och korsar nations- gränser och många privata företag som driver och äger infrastruktu- ren är verksamma i flera länder. Störningar i informationssystem kan därför snabbt röra sig mellan nationell och internationell nivå. En annan sårbarhet i samhället är därför koncentrationen av ett begrän- Utvecklingen av hot, sårbarheter och risker sat antal stora leverantörer som skapar nya sårbarheter i samhället. Vissa verksamheter tillhandahåller så väsentliga tjänster att när deras funktionalitet upphör eller kraftigt reduceras hotas möjligheten att värna samhällets grundläggande värden. Digitaliseringen och teknikutvecklingen innebär även ändrade förutsättningar för säkerhetsskyddet och informations- och cyber- säkerheten. Efter att regleringen av säkerhetsskydd trädde i kraft har informationstekniken och användningen av den genomgått en bety- dande utveckling. Den tekniska utvecklingen och informationstek- niken påverkar i stort sett alla aspekter av säkerhetskänsliga och sam- hällsviktiga verksamheter. hanteras stora informationsmängder i såväl öppna som hem- liga nätverks- och informationssystem. Den ökade öppenheten med- för t.ex. större risk för att aktörer med antagonistiska avsikter ut- nyttjar de möjligheter som den brett åtkomliga informationen ger för hot och angrepp. Även tillgången till och öppenheten kring stora mängder av information på t.ex. myndigheters webbplatser kan ge användaren nya möjligheter att söka och sammanställa information på ett sätt som kan få konsekvenser för säkerhetsskyddet. Lagring av stora mängder uppgifter i digitala system har ökat kraftigt och fortsätter öka i takt med ökade tekniska möjligheter och ökade ambi- tioner i samhället. Sammanställningar över t.ex. känsliga anläggningar och objekt kan snabbt och enkelt tas fram genom effektiva sök- motorer. Effekten av detta kan bli att uppgifter, som var för sig inte är skyddsvärda, i aggregerad form kan komma att utgöra en stor sårbarhet. Skyddet av de egna informationstillgångarna, bl.a. nätverks- och informationssystemen, blir därför en grundläggande fråga för samhället i stort men även för många olika aktörer inom samhälls- viktiga och säkerhetskänsliga verksamheter. Det är av även grund- läggande betydelse att infrastrukturen med väl fungerande elektroniska kommunikationer är säker, tillgänglig och robust (se kapitel 4). Som framgår av kapitel 4 är en av de stora utmaningarna som finns på informations- och cybersäkerhetsområdet att tekniken ofta ut- vecklas betydligt snabbare än säkerhetsarbetet. Den snabba tekniska utvecklingen på it-området i kombination med myndigheternas ökande nyttjande av teknik och privatägd infrastruktur innebär även en utmaning för myndigheter och andra aktörer att upprätthålla egen teknisk kompetens. Bristande kunskap och kontroll över vilka it- produkter som nyttjas i nationell infrastruktur och olika nätverks- Utvecklingen av hot, sårbarheter och risker och informationssystem ger nya förutsättningar och möjligheter för olika aktörer att genom olika it-angrepp inhämta information om eller påverka nationella skyddsintressen och tillgångar av strategisk betydelse. Informations- och cybersäkerhet kräver därför en helhetssyn eftersom det är ett komplext och gränsöverskridande område, såväl geografiskt som vad avser bl.a. teknik, administration, ekonomi och juridik. 5.3Cybersäkerhet i – Hot, metoder, brister och beroenden I den myndighetsgemensamma rapporten i – Hot, metoder, brister och beroenden redogör Säkerhetspolisen, Försvarsmakten, () och Myndigheten för samhällsskydd och beredskap (MSB) för den aktuella hotbilden.3 Myndigheterna konstaterar att metoder och verktyg för cyberangrepp utvecklas ständigt och hotaktörernas agerande förändras i takt med teknikutvecklingen. Bland de svenska mål som utsätts för cyberangrepp finns verksamheter som är väsentliga för samhällets grundläggande funktioner. Att kunna skydda sig mot cyberangrepp från kvalifice- rade hotaktörer är därför en nationell angelägenhet. Av rapporten framkommer att ett stort antal stater bedöms ha för- måga att genomföra cyberangrepp och statliga aktörer använder cyberangrepp för att uppfylla olika nationella intressen. I de flesta länder är aktörerna nationella underrättelse- och säkerhetstjänster eller grupperingar som har kopplingar till dessa. Vissa statliga aktö- rer är mycket kvalificerade och genomför cyberangrepp på ett sätt som är storskaligt, systematiskt, uthålligt och globalt för att tillgodose 3Regeringen har uppdragit åt FRA, Försvarsmakten, MSB och Säkerhetspolisen att tillsam- mans vidta förberedande åtgärder och lämna förslag för att ett nationellt cybersäkerhetscenter ska kunna inrättas . Parallellt med detta sker en fördjupad myndighetssamverkan som syftar till att främja denna uppgift. Som en del i detta har myndigheterna tillsammans med gemensamt tagit fram denna rapport. Syftet är att tillsammans – utifrån de lägesuppfattningar som respektive myndighet har – sammanställa en lägesbild som på ett enkelt och tillgängligt sätt beskriver cybersäkerhet ur ett nationellt perspektiv. Utvecklingen av hot, sårbarheter och risker det egna landets intressen.4 Cyberangrepp erbjuder även goda möjlig- heter till anonymitet, förnekbarhet och vilseledning för den bakom- liggande aktören jämfört med mer traditionella metoder. Detta öpp- nar upp för nya möjligheter att agera utan att hamna i öppna konflikter med andra länder. Myndigheterna konstaterar att cyberangrepp från statliga aktörer mot svenska mål sker . Aktörerna utvecklar metodik och verktyg och blir allt mer sofistikerade. fort- sätter de att använda sig av äldre kända metoder så länge dessa fort- satt ger resultat. Även cyberangrepp från statliga aktörer i syfte att inhämta underrättelser pågår ständigt mot svenska mål. De angriper bl.a. verksamheter som hanterar känslig eller skyddsvärd informa- tion som rör säkerhet, men även öppen information kan vara av intresse. Det förekommer att cyberangrepp genomförs för att påverka skeenden i eller utomlands. Allt ifrån stulen in- formation som används för att misskreditera makthavare och splittra landet, till angrepp som syftar till att slå ut infrastruktur, skada tilli- ten till institutioner, eller på annat sätt framtvinga eller förhindra att en stat agerar. Statliga aktörer genomför även angrepp för att få åt- komst till individers personliga information. Angreppen sker exem- pelvis i syfte att få fram känsliga uppgifter som kan användas i ut- pressningssyfte mot personer i maktposition eller personer som har tillgång till information som aktören vill åt. Det sker även i syfte att bedriva flyktingspionage för att kontrollera oppositionella eller tysta opinioner utomlands. För att komma åt information om individer kan verksamheter som hanterar stora mängder av denna typ av upp- gifter angripas. Angrepp sker även direkt mot individers personliga it-utrustning. Statliga aktörer studerar – som förberedelse för att använda cyber- angrepp i konflikter – sårbarheter som kan utnyttjas och utvecklar därefter verktyg som behövs för att genomföra cyberoperationer. Sårbarheterna utnyttjas för att ta sig in i system och infektera dessa 4Det kan handla om att ge det egna landet utrikes- och säkerhetspolitiska fördelar, gynna det egna landets forskning och utveckling och skapa konkurrensfördelar för inhemska företag, eller skaffa fram underlag för att utföra påverkansoperationer. Det kan även handla om för- beredande angrepp som genomförs i syfte att skapa förutsättningar att kunna genomföra operationer vars syfte exempelvis kan vara att orsaka skada för den verk- samhet som utsätts. Utvecklingen av hot, sårbarheter och risker för att kunna slå ut systemet i det fall en konflikt uppstår. Attackerna förbereds i fredstid och kan sedan koordineras med konventionella stridsmedel om det gynnar operationen. Stater kan även genomföra angrepp som stör eller avbryter försvarsrelaterade eller samhälls- viktiga funktioner i syfte att minska ett lands förmåga att stå emot ett kommande militärt angrepp eller försvaga ett lands motstånds- kraft mot påtryckningar. I konflikter mellan stater är cyberoperatio- ner ett av de medel som kan användas för att minska ett lands för- svarsvilja, bl.a. genom påverkansoperationer där information som stjäls genom cyberangrepp sedan kan manipuleras och publiceras för att påverka opinionen.5 I rapporten konstateras att många länder utvecklar förmåga att genomföra avancerade cyberoperationer, bl.a. i form av offensiva cyber- angrepp. Statliga aktörer bedriver även underrättelseinhämtning mot svenska myndigheter och försvarsindustri, bl.a. söker man informa- tion genom cyberangrepp, i syfte att kartlägga förmåga och sårbarheter med koppling till försvarsförmåga. Den tekniska utvecklingen är hög och det upptäcks kontinuerligt nya sårbarheter, varför det pågår en ständig kapplöpning mellan medel och motmedel. Det krävs därför ett utvecklingsarbete för att upprätthålla en förmåga till avancerade cyberoperationer. Kunskap och innovationer är stöldbegärliga för de stater som vill ta genvägar i sin egen teknikutveckling. Genom cyberangrepp och in- dustrispionage uppvägs brister i det egna landets innovationsför- måga. Av rapporten framkommer även att vissa stater bedriver om- fattande program som syftar till att stjäla företagshemligheter från andra länder. Cyberangrepp i syfte att genomföra industrispionage mot svenska mål är vanligt förekommande och innebär att svenska företag som utvecklar ny teknik kan komma att konkurreras ut av sina egna lösningar som stulits av statliga aktörer. Det finns även exempel där statliga aktörer har använt cyberangrepp för att skaffa 5Genom att välja vilka mål hotaktören inriktar sig mot och hur stor effekt som ska uppnås, finns möjlighet för en statlig aktör att operera i ett tillstånd av fred där krigets lagar inte är tillämpliga. Problematiken kring attribuering och förnekbarhet stärker denna möjlighet. I det fall ett cyberangrepp orsakar skada på samma sätt som ett konventionellt väpnat angrepp kan det under vissa förutsättningar vara att betrakta som ett väpnat angrepp. Utvecklingen av hot, sårbarheter och risker sig monetära tillgångar, exempelvis genom att angripa banker för att stjäla pengar, kryptovaluta eller genom att angripa verksamheter och infektera dem med utpressningstrojaner (ransomware) för ekono- misk utpressning. I tider av sanktioner kan stater sättas under stor ekonomisk press och då kan cyberangrepp för att stjäla pengar vara en lösning för landets överlevnad. I rapporten konstateras att det finns ideologiskt motiverade aktörer som betraktar angrepp mot svenska mål som legitima, även om för- mågan inte motsvarar vilja och ambition att genomföra sådana an- grepp. Försök till cyberangrepp med enklare metoder och tekniska medel bedöms dock fortsätta, t.ex. genom distribuerade överbelast- ningsattacker (DDoS) och kapade hemsidor. I rapporten konstateras att cyberkriminalitet är en internationell och gräns- överskridande verksamhet som genomförs där det finns möj- ligheter till ekonomisk . Vilket mål aktören väljer är vanligen inte intressant, utan det viktigaste är den vinst man kan räkna med. Ransomware, bedrägerier, stölder och liknande kriminella aktiviteter drabbar såväl företag som myndigheter och deras leverantörer, ofta verksamheter med höga skyddsvärden. I rapporten konstateras att en tillbakablick på inträffade händel- ser visar att hotaktörer har en tendens att använda de verktyg som fungerar för stunden. I stället för att använda nya och avancerade metoder väljer de att förfina existerande metoder och det blir allt svårare för användare att upptäcka förfalskningar och bedrägerier. DDoS-angreppen fortsätter där det vanligaste motivet är utpress- ning men också med intentionen att endast orsaka målet skada. Spridningen av utpressningstrojaner har skiftat från att riktas brett och urskillningslöst, till att i stället riktas mot specifika företag. Kriminella hotaktörer fokuserar även på att in- hämta upp- gifter som antingen används av dem själva, eller så säljs uppgifterna vidare på Darkweb. har ett tillvägagångssätt varit att använda phishing av olika slag för att lura till sig sådana uppgifter direkt från Utvecklingen av hot, sårbarheter och risker Ett skifte är att aktörer flyttat fokus från angrepp direkt mot individer till att i stället angripa mindre e-handelsplatser där de får större effekt av sina cyberangrepp. Metoder för initial åtkomst Ett viktigt steg i ett cyberangrepp är den initiala kontroll angriparen behöver skaffa sig i systemet man vill få åtkomst till. Målsättningen med detta steg är vanligen att angriparen vill få möjlighet att exe- kvera skadlig kod i systemet för att på så sätt exempelvis erhålla möjligheter att påverka systemet i sig eller kunna nå priviligierad information i detsamma. För att dessa metoder ska kunna användas förutsätts att det finns en eller flera sårbarheter som kan utnyttjas av angriparen. I rapporten redogörs för vanliga eller effektiva metoder som används för att få initial kontroll, vilka ofta benämns attack- eller angreppsvektorer. Dessa metoder används ofta vid cyberangrepp men ska inte betraktas som en uttömmande lista, utan en delmängd av de metoder som ofta används av flera typer av aktörer (se även kapitel 6). I rapporten konstateras vidare att det pågår ständig forskning i jakt på nya och okända sårbarheter, s.k. zero-day-sårbarheter. Okända sårbarheter som upptäcks av hotaktörer kan utnyttjas utan omvärl- dens vetskap och utan skydd mot dessa sårbarheter. Till följd av detta har det uppstått en marknad för zero-days där både statliga och kriminella aktörer utgör köpare och säljare. På denna marknad säljer individer och företag sårbarheter till mäklare, som sedan säljer vidare till andra tillverkare, kriminella eller statliga aktörer. Myndigheten för samhällsskydd och beredskap (MSB) presenterar en sammanställning och analys av de rapporter om allvarliga it-incidenter som mottagits från statliga myndigheter . Myndigheterna ska skyndsamt rapportera it-incidenter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Utvecklingen av hot, sårbarheter och risker MSB mottog sammanlagt 286 rapporter från 93 myn- digheter. Den vanligaste incidentkategorin var handhavandefel, följt av angrepp, störning i mjukvara eller hårdvara samt störning i drift- miljö. I ungefär hälften av fallen angavs incidenten ha fått begränsade konsekvenser och i ungefär en fjärdedel angavs incidenten ha fått stora konsekvenser.6 Förutom redogörelse för de incidenter som inkommit innehåller rapporten även ett antal lärande exempel på incidenter som inträffat och rekommenderade åtgärder. En analys av de rapporterade incidenterna visar att: –Covid-19-pandemin förefaller inte bara ha påverkat informations- och cybersäkerheten genom hur och var vi arbetar utan även in- cidentrapporteringen. –Andelen rapporterade angrepp har minskat medan andelen inci- denter relaterade till störningar i driftmiljö, mjuk- eller hårdvara eller rena handhavandefel har ökat. –Komplexa system och miljöer får större konsekvenser. Baserat på den inkomna rapporteringen bedömer MSB att myndig- heterna bl.a. behöver höja lägstanivån, analysera beroendet till externa leverantörer samt se över sin incidenthantering och incidentrap- portering. I rapporten mot 2019 – En undersökning om hur 100 större svenska bolag ser på cyberbrott nu och i ett framtidsper- spektiv7 redovisas en helhetsbild över hur 100 större svenska bolag ser på cyberhot och . Av rapporten framkommer att när det gäller det egna företaget så väntas allt fler attacker mot den egna verksamheten och att cyberbrottsligheten förväntades öka markant . Närmare hälften () av företagen blev utsatta för en cyberattack , vilket var i nivå med det föregående årets undersökning (). 6MSB:s årsrapport myndigheters it-incidentrapportering – Utmaningar för en säker och robust informationshantering. 7Cyberhoten mot 2019 – En undersökning om hur 100 större svenska bolag ser på cyber- brott nu och i ett framtidsperspektiv, PricewaterhouseCoopers (PwC), 2020. Utvecklingen av hot, sårbarheter och risker med att 2019 skulle bli ett besvärligare år med fler cyberattacker mot den egna organisationen. Vidare ansåg av företagen att ny teknik som robotik och automatisering ökar riskerna för cyberattacker. Närmare hälften () av företagen ansåg att tredjepartsris- ker, dvs. risker som uppkommer till följd av tekniksamarbeten, sam- arbeten med leverantörer och andra former av samarbeten, ökade . Av rapporten framkommer vidare att en majoritet av företagen anser att är inte tillräckligt rustat för att möta de ökade cyber- hoten. Undersökningen visar tydligt att de ökade hotbilderna när det gäller cyberbrott har en stor påverkan på hela samhället och att det finns en enighet i näringslivet om problemets omfattning. Enligt rapporten visar resultaten från undersökningen att det åter- står mycket arbete när det gäller prioritering av frågorna om cyber- säkerhet i de svenska storföretagen. Undersökningen visar att få före- tag inser att cybersäkerhet är en verksamhetskritisk fråga med på- verkan på hela företagets existens. T.ex. rapporterar av informationssäkerhetscheferna () direkt till verkställande direktören eller styrelse och av dessa är det som rapporterar till styrelsen.