sou · H9B363 · 2021-07-02 00:00:00 — Ett säkerhetsgodkännande innebär ett formellt erkännande att den bedömda säkerhetsprodukten kan skydda information upp till angiven nivå eller att bedömt informationssystem kan bearbeta in- formation på en viss klassificeringsnivå i enlighet med säkerhetsmålen och att återstående säkerhetsrisker accepteras. Den ansvarige organi- sationen intygar således, efter riskbedömning, att skyddet av infor- mationen och systemet säkerställs till önskad nivå. Utöver vad som krävs av EU-lagstiftningen är operatörer av s.k. kritiska informationssystem skyldiga enligt en fransk lag om militär planering, Les , att skydda sina in- formationssystem genom cyberresiliens. Här har en stor roll när det gäller att bidra med stöd till verksamhetsutövarna, förebygga cyberattacker och samla rapporter. Vidare kan certifiering vara av vikt för verksamhetsutövarna i de samhällsviktiga sektorerna. La loi n°2018-607 relative à la programmation militaire pour les années 2019–2025 är en lag som rör militär programmering och innehåller bestämmelser om förstärkning av kapaciteten att detek- tera, karaktärisera och förhindra cyberattacker för att höja nationens säkerhet (se artikel 34). stärks mandatet för att agera mot händelser som kan påverka nationell säkerhet och orga- nisationers informationssystem. Om en attack rör kritisk infrastruk- tur kan , tillsammans med den angripne, fastställa lämpliga skyddsåtgärder. Systèmes d’information d’importance är en särskild CIIP-lag som fastställer gemensamma minimikrav för cybersäkerhet hos kri- tiska verksamhetsutövare. Det rör sig om infrastrukturer som anses behöva särskilt skydd. Lagens säkerhetskrav gäller för såväl offent- liga som privata verksamhetsutövares mest kritiska informations- system.102 Verksamhetsutövarna är bl.a. skyldiga att meddela om incidenter som inträffar i deras kritiska informationssystem. En noggrann evalueringsprocess, framtagen av , möjliggör kvalifi- 102ANSSI har upprättat tekniska och organisatoriska regler som är sektorsöverskridande och huvudsakligen består av grundläggande cybersäkerhetsåtgärder, inbegripet bl.a. nätverksmapp- ning, nätverkssegmentering, implementering av tillförlitliga detekteringsfunktioner och ackre- ditering. Bortom säkerhetskraven bidrar ramverket till att bygga nationens motståndskraft. cering av kandiderande cybersäkerhetsleverantörer103 och produkter som uppfyller tillräckliga säkerhetskrav.104 Pågående reform av regelverket genomför en reform av sina föreskrifter om skyddet av nationell säkerhet. Den nya regleringen ska träda i kraft och bygger huvudsakligen på dekret nr 2019- 1271 om metoder för klassificering och skydd av nationella försvars- hemligheter105 samt IGI 1300. Övriga kontroller av IKT tillämpar kontroller för export av programvara och hård- vara för informationssäkerhet, inklusive kryptering. Dessutom kon- trollerar leverans och import av kryptering till . Instruction interministérielle n°901 definierar särskilda regler för skydd av känsliga informationssystem, särskilt de som hanterar in- formation märkt ”Restricted”, mot alla typer av hot. Målet med instruktionen är säkerställa kontinuitet hos verksamheter och för- hindra att känslig information röjs. En allmän bestämmelse i försvarskoden, Code de la Défense, till- låter franska myndigheter som står inför ett hot, mot t.ex. dess natio- nella intressen, att vidta alla tekniska åtgärder som anses nödvändiga för att tillskriva eller mildra en attack genom att få tillgång till infor- mation. kräver också godkännande av utländska invester- ingar i känsliga sektorer som är avgörande för nationella intresse. 103Leverantörer kan t.ex. kvalificeras för tjänster inom säkerhetsgranskningar. 104Berörda organ ackrediteras av den franska ackrediteringskommittén COFRAC och licen- sieras av . 105Décret n° 2019-1271 du 2 décembre 2019 relatif aux modalités de classification et de protection du secret de la défense nationale. Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet Av inhämtade uppgifter framgår att det finns centrala myndigheter i med ansvar för nationell informations- och cybersäkerhet och IKT-evaluering och -godkännande av informationssystem och dess säkerhetsfunktioner där behandlad information är av betydelse för nationell säkerhet. När det gäller informationssystem som be- handlar information som klassificerats som kvalificerat hemlig ska generalsekreteraren för försvar och nationell säkerhet (SGDSN) god- känna systemet. Några nationella krav på certifiering av sådana system har dock inte framkommit. Aktörer inom informations- och cybersäkerhet – underrättelse- och säkerhetstjänst Headquarters () är en under- rättelse- och säkerhetstjänst som har till uppgift att skydda Stor- och dess medborgare från individer, grupper och länder som vill orsaka skada. Det finns bl.a. nationella krav på att ska säkra (”assure”) kryptoutrustning som ska användas i säkerhets- känslig verksamhet. Vid finns det nationella cybersäkerhets- centret (se nedan). Det nationella cybersäkerhetscentret, (), besitter expertkunskap om cybersäkerhet samt tillhanda- håller råd för offentlig och privat sektor. NCSC är en del av och svarar för informationssäkerheten.106 Centret utgör landets tek- niska myndighet för cyberhot.107 Centrets uppgifter är bl.a. att mot- verka cyberbrott och svara på cybersäkerhetsincidenter och säkra nät- verk för att minimera skador i samhället. 106Ytterst är det premiärministern och kabinettet som är ansvariga för regeringens säkerhet. 107I kategoriseras cyberhot som ett ”tier 1 threat”. uppskattade den brittiska regeringen, i sin rapport, , Cabinet Office (2011): The cost of cyber crime, att nationen förlorade på grund av brist på cybersäkerhet. är ett fokusområde. Centret erbjuder vidare certifiering som täcker en rad produkter, tjänster och organisationer – även på assuransnivån hög (främst kryptografiska produkter).108 Som certifieringsorgan har centret också till uppgift att godkänna evalueringsföretag. I fråga om utveckling av produkter som hanterar särskilt känslig information, t.ex. information som klassificeras som hemlig eller kva- lificerat hemlig, rekommenderar emellertid centret att utvecklaren söker ytterligare specialistsråd om de särskilda hot som behöver beaktas i sammanhanget. Ansvaret för hantering av IKT-incidenter i har på nationell nivå tilldelats CERT-UK. CERT-UK grundades och var en viktig investering som en uppföljning av den nationella cyber- säkerhetsstrategin (se nedan). CERT-UK fokuserar på att ha en upp- daterad lägesbild, incidenthantering på nationell nivå samt stödja verksamheter med samhällskritisk infrastruktur. Reglering av informations- och cybersäkerhet antog en nationell cybersäkerhetsstrategi 2016 som utvärderas kontinuerligt för att hålla det rättsliga ramverket upp- daterat i förhållande till den tekniska utvecklingen.109 Ett mål med strategin är att fördjupa det internationella samarbetet på området. Strategin identifierar också ett behov av utvidgat nationellt sam- arbete mellan regeringen och privat respektive offentlig sektor för ökat säkerhetsmedvetande kring internet. lägger stort vikt vid att förbättra cybersäkerheten genom att upprätta informa- 108För vissa hotmodeller och teknologier genomför centret oberoende utvärderingar av pro- dukter (främst kryptografiska produkter) som kräver ett certifikat från centret på nivå hög. Bedömningen görs i enlighet med en viss assuransordning innehållande detaljerade krav som härstammar från vissa principer avseende hög assurans: produkter ska komma från betrodda leverantörer med bevisad hög kunskap om hotdomänen, utvecklare som följer bästa praxis, produkter med specifika säkerhetsfunktioner med identifierade sårbarheter, oberoende bedöm- ning av anspråkgjord säkerhetsfunktion, avsiktlig drift, och ett betrott läge. tionsdelningsstrukturer och samarbete mellan offentlig och privat sektor. Även i tidigare nationella strategier har klargjorts att myndighe- ternas inställning till cybersäkerhet är riskbaserad och att arbetet måste göras i partnerskap med privata aktörer. Man har följaktligen inlett ett gemensamt initiativ mellan myndigheterna och industrin om informationsdelning och samarbete för att möta de digitala hoten, kallat Cyber-Security Information Sharing Partnership (CiSP). Cyberattacker mot kritisk infrastruktur bedöms kunna ha störst inverkan på den nationella säkerheten. Därför är det en strategisk prioritering att vidta åtgärder för att öka cybersäkerheten hos kritisk nationell infrastruktur. Den nationella cybersäkerhetsstrategin framhåller att krypto- grafisk kapacitet är grundläggande för att skydda landets mest käns- liga information och användningen av nationella säkerhetsfunktio- ner. För att upprätthålla tillräcklig förmåga kräver man kompetens och teknik från privat sektor som är garanterad av GCHQ.110 köper inte produkter eller tjänster ”från hyllan” när det gäller kvalificerat hemliga (”highly classified”) eller känsliga tekniker.111 Strategin framhåller att NCSC ska vara en auktoritet när det gäller nationella cybersäkerhetsangelägenheter. Därutöver syftar lanser- ingen av två nya cyberinnovationscenter till att driva utvecklingen av avancerade cyberprodukter och nya dynamiska cybersäkerhetsföretag. Det kan konstateras att , i likhet med , har organ med mandat vars syfte är att säkerställa kritisk infrastruk- tur och kritiska samhällsfunktioner, oavsett om detta är civilt eller militärt. Den brittiska regeringen har antagit en säkerhetspolicy, The security policy framework,112 som beskriver de standarder, riktlinjer för bästa praxis och metoder som krävs för att skydda nationella statliga till- 110Detta bedöms kräva att arbetet utförs i av brittiska medborgare med erfor- derligt säkerhetsgodkännande. Vidare förväntas berörda företag vara helt öppna med när det gäller att diskutera design- och implementeringsdetaljer. 111HM Government (2015), Strategy and Strategic Defence and 2015. A Secure and Prosperous . : HM Government. 112Cabinet Office, Policy Framework, version 1.1, . gångar (människor, information och infrastruktur). Policyn fokuserar på de resultat som krävs för att uppnå en proportionerlig och risk- hanterad strategi för säkerhet som gör det möjligt för statliga orga- nisationer att fungera effektivt och säkert. Den innehåller också beskrivningar av god förvaltning och stark säkerhetskultur på orga- nisatorisk nivå. Policyn anger riskhantering på styrelsenivå som en övergripande princip på säkerhetsområdet. Här ska bedömningar göras för att identifiera potentiella hot, sårbarheter och lämpliga kontroller för att minska riskerna till en acceptabel nivå.113 Bl.a. ska det finnas ut- bildade specialister som kan analysera hot mot och potentiella ska- dor på verksamheten. Vidare behövs assuransprocesser för att säker- ställa att begränsningar är och förblir effektiva. Informationssäkerhet är ett annat område som policyn behand- lar. Personalen i statliga organisationer förutsätts vara utbildade att på ett ansvarsfullt sätt hantera informationen de kommer i kontakt med i sin verksamhet. Det ska också finnas mekanismer och processer som säkerställer att tillgångar är korrekt klassificerade och lämpligt skyddade. Man behöver ha ett förtroende för att säkerhetskontroller (se nedan) är effektiva och att system och tjänster kan skydda den information de har. För denna saks skull ska det ska finnas ett över- gripande program för informationsassurans som drivs av styrelsen. Vidare ska statliga organisationer identifiera om de har teknik och tjänster som avser kritisk nationell infrastruktur och i så fall hantera risker därefter.114 Policyn föreskriver säkerhetskontroller som –minskar potentiella hot, –hanteras aktivt och hålls uppdaterade, –skyddar mot och korrigerar skadligt beteende, och –säkerställer att kritisk teknik och kritiska tjänster är motstånds- kraftiga mot cyberattacker och har möjlighet att återhämta sig från sådana. 113En årlig rapporteringsprocess behövs för att säkerställa lämplig riskhantering. 114Myndigheter i kräver också att leverantörer som ska behandla känslig in- formation uppfyller givna informationssäkerhetsstandarder. Cyber Essentials är ett initiativ från NCSC som stöds av den brittiska regeringen och industrin för att ge organisationer en grundläggande nivå av cybersäkerhetskontroller som skydd mot de vanligaste cyber- hoten.115 Det är fråga om en certifieringsordning som täcker grunderna för cybersäkerhet i en organisations verksamhet eller ett företags it- system och bedöms av regeringen passa alla typer av organisationer. Förutom att stimulera en utbredd användning av grundläggande säker- hetskontroller mot mindre avancerade IKT-incidenter syftar ordningen till att tillhandahålla klarhet när det gäller bästa cybersäkerhets- praxis. Tillsammans med Cyber Essentials-systemet har regeringen publicerat Framework som gör det möjligt för organisatio- ner att få certifieringar för att försäkra kunder, investerare, försäk- ringsbolag och andra att de har vidtagit lämpliga säkerhetsåtgärder för cybersäkerhet. Systemet är som utgångspunkt frivilligt. Andra aktörer än NCSC kan vara certifieringsorgan (om de är ackredite- rade). Innehållet i Cyber Essentials ska tillämpas av statliga myndig- heter vid vissa upphandlingar (se nedan). Övrig offentlig och privat sektor kan välja att tillämpa de förebyggande åtgärderna, också vid affärer med privata tillhandahållare i leverantörskedjan. Även organi- sationer baserade utomlands kan använda sig av ordningen. Den brittiska regeringen kräver att leverantörer som bjuder på centrala regeringskontrakt som involverar hantering av känslig och personlig information eller tillhandahållande av vissa IKT-produkter och -tjänster ska erhålla certifiering mot Cyber Essentials-ordningen. Det är därmed obligatoriskt för leverantörerna att visa att de möter de tekniska krav som certifieringsordningen föreskriver. Brandväg- gar, säker konfiguration, åtkomstkontroll, skydd mot skadlig pro- gramvara och patchhantering är tekniska områden som täcks. Kraven aktualiseras när kontrakt medför att –personlig information om medborgare, statligt anställda eller ministrar hanteras av en leverantör, eller 115Cyber Essentials-ordningen fokuserar på att tillhandahålla råd och verktyg för att hjälpa företag att förstå och agera på cybersäkerhetshot samt att certifiera vissa typer av cybersäkerhets- tjänster och utbildningar. Cyber Essentials utvecklades eftersom varken ISO 27001 eller andra tänkbara standarder var tillräckligt åläggande för att motverka vanliga internetbaserade hot. –IKT-system och -tjänster tillhandahålls för att lagra eller bearbeta data på nivå ”Official” enligt regeringens ordning för skyddsmärk- ning (Government Protective Marking scheme). Utöver ovanstående kan Cyber Essentials användas från fall till fall vid upphandlingar om den upphandlande myndigheten finner det lämpligt. En sådan användning kräver att en cybersäkerhetsrisk iden- tifieras som inte skulle hanteras av något befintligt säkerhetskrav och där användningen av Cyber Essentials är ett relevant och propor- tionellt alternativ, t.ex. när data finns utanför landet. Avtal kan vara undantagna från kraven om det kan påvisas att användning av Cyber Essentials antingen är irrelevant eller klart oproportionerligt, t.ex. där en cybersäkerhetsrisk är bedöms vara mycket låg. Leverantörer kan även visa på överensstämmelse med de tekniska kraven på andra sätt än genom ett certifikat, såtillvida den avtals- ingående myndigheten är nöjd med uppfyllandet av Cyber Essentials- kraven. Normalt sett ska detta verifieras av en tekniskt kompetent och oberoende tredje part. Att skaffa certifikatet anses emellertid oftast vara det enklaste sättet att demonstrera att man uppfyller kraven, även om andra former av bevis är acceptabla. Företag som ska leverera till försvarsmarknaden förutsätts ha en Cyber Essentials-certifiering. Sådan certifiering krävs för tilldelning av försvarskontrakt som inbegriper överföring av information rörande det brittiska försvarsdepartementet. Certifieringen tilldelas mot bak- grund av en validerad självbedömning som sökanden vidtar och gör att organisationen framstår som en pålitlig och cybersäker aktör inför leverans till försvarssektorn.116 Cyber Essentials Plus erbjuder en högre assuransnivå genom extern testning av organisationens cybersäkerhet, där bl.a. sårbarhetstester ska utföras. Vid några upphandlingar med högre risk är det troligt att inte heller Cyber Essentials Plus på egen hand kommer ge tillräck- lig assurans, och ytterligare, bredare, säkerhetskrav kommer då att specificeras, t.ex. ISO 27000-serien.117 116Efter att organisationen gjort en självbedömning av sin implementering av kontrolltemana, som är godkänd av en ledande befattningshavare, ska ett oberoende certifieringsorgan utifrån självskattningen bedöma huruvida en lämplig standard nåtts. Därefter kan certifiering tilldelas. Detta alternativ erbjuder en grundläggande nivå av assurans. Åtgärderna är inte utformade för att adressera mer avancerade riktade attacker. 117Leverantörer som uppfyller ISO 27001-standarden där Cyber Essentials krav, antingen på grundnivå eller Plus-nivå (vid behov), inkluderats i tillämpningsområdet och verifierats som Den tekniska standarden Standard118 är ett dokument som definierar minimiåtgärder för säkerhet som departe- ment och statliga myndigheter ska vidta för att skydda sina it-tjäns- ter. Tillgång till känslig information och viktiga operativa tjänster ska endast ges till identifierade, autentiserade och auktoriserade an- vändare eller system. System som hanterar känslig information ska skyddas från utnyttjande av kända sårbarheter. Standarden kräver bl.a. att driften av operativsystem och mjuk- varupaket ska patchas regelbundet. Vidare ska data krypteras när organisationen inte kan förvänta sig fysiskt skydd av berörd enhet. Det ska också säkerställas att angivna standarder uppfylls av tillhanda- hållare av tjänster från tredje part. Detta kan uppnås genom att leve- rantörer försäkrar (”assure”) sin cybersäkerhet mot regeringens cyber- säkerhetsstandard, eller genom att kräva att de åtminstone har ett giltigt Cyber Essentials-certifikat.119 Standard och vägledning för cybersäkerhet på försvarsområdet I ska en standard för cybersäkerhet, Def 05-138, tillämpas vid upphandlingar av försvarsdepartementet och försvars- leverantörer. Denna standard specificerar de åtgärder som måste vidtas på respektive cyberrisknivå som ett avtal med försvarsdeparte- mentet bedöms innebära. Försvarsdepartementet uppställer krav beroende på hur cyberrisk- profilen ser ut. Krav för en hög cyberriskprofil avser bl.a. upprätt- hållandet av en Cyber Essentials Plus-certifiering och att ha en policy för att kontrollera användningen av auktoriserad programvara. sådant, skulle betraktas som innehavare av en motsvarande standard till Cyber Essentials. Sådana leverantörer behöver därför inte Cyber Essentials-certifiering, förutsatt att certifier- ingsorganet som utför denna verifiering är ackrediterat att utfärda ett Cyber Essentials-certi- fikat. Dock behöver de flesta företagen med ISO 27001 anta Cyber Essentials som komplement till ISO 27001. 118Minimum Standard, , version 1.0. () har utfärdat minimistandarder för bl.a. cybersäkerhet och incident- hantering som definierar säkerhetsåtgärder som departementen måste implementera. 119Organisationen får, som en del av sin riskbedömning, själv avgöra om Cyber Essentials ger tillräcklig säkerhet. CAPS – certifierade assisterade produkter (), tillsammans med part- ners, erbjuder certifiering av assisterade produkter, (). CAPS kombinerar NCSC:s kryptografiska kun- skap med den privata sektorns expertis och resurser för att påskynda utvecklingen av produkter av hög kvalitet. CAPS är en ordning för evaluering av högkvalitativa produkter som utvecklats av industrin för användning av den brittiska regeringen och andra lämpliga orga- nisationer. Kryptografiska produkter använder kryptering för att ge säkerhet. Exempel är skiv-, länk- och nätverkskrypterare, säkra radioapparater och åtkomstkontrollenheter. CAPS verifierar också produkter som styr dataflödet mellan domäner med olika klassificeringar. CAPS verifierar att produkter uppfyllt standarderna för den brittiska reger- ingens policy. Policyn anger godkända standarder som ska tillämpas när kryptering används för att skydda offentlig klassificerad data. Utvecklare kan införliva lämpliga kryptografiska eller allmänna algoritmer i sina produkter och skicka in dem för evaluering av CAPS. När det väl accepterats, och efter inledande diskussioner mellan NCSC och utvecklaren, ger ett konsult- och rådgivningsavtal företag till- gång till NCSC:s kunskap, kompetens och erfarenhet inom infor- mationsassurans, kompletterat med en rad vägledningsdokumenta- tion innan produkterna går in i fullständig evaluering. När produkterna slutligen godkänts utfärdas ett certifikat och/eller godkännandebrev som beskriver nivån på det kryptografiska skyddet som erbjuds. Bl.a. kan en förutsättning för tjänsten vara att utveck- laren ackrediterats enligt regeringens ”List X”-ordning120 (se nedan). List X – särskilda säkerhetskrav på företag i säkerhetskänslig verksamhet Tillhandahållare av tjänster och tredjepartsleverantörer som hanterar hemliga tillgångar måste tillämpa lämpliga säkerhetskontroller, inbe- gripet List X-ackreditering. av List X är det skyl- digt att vidta vissa säkerhetsåtgärder för övervakningen av lämpliga 120List X-entreprenörer är företag som är verksamma i och arbetar med brit- tiska statliga kontrakt som kräver att de hanterar sekretessbelagd information på nivå hemlig eller högre. Dessa entreprenörer måste uppfylla vissa säkerhetskrav som anges i Cabinet Office’s dokument Security Requirements for List X Contractors, , v. 10.0 (se nedan). säkerhetsaspekter, bl.a. på organisatorisk nivå och beträffande säker- hetsgodkännande av personal. Vidare kräver t.ex. it-utrustningen lämplig ackreditering, och endast godkänd mjukvara får användas i it-utrustningen. Sammanfattning av särskilda krav på IKT Av inhämtade uppgifter framgår att det finns myndigheter i Stor- med ansvar för nationell informations- och cybersäkerhet och certifiering av IKT. I fråga om produkter som hanterar hemlig information krävs särskilt utvecklat skydd. På denna nivå används normalt inte vanligen förekommande kommersiella lösningar. Till- gång till känslig information ska endast ges till auktoriserade system.121 Företag som tillhandahåller vissa IKT-produkter och -tjänster för hantering av känslig officiell information kan behöva certifiering eller motsvarande. Tillhandahållare av tjänster och tredjepartsleverantö- rer som hanterar hemlig offentlig information måste vidare erhålla ackreditering och använda lämpligt ackrediterad it-utrustning och godkänd mjukvara. Aktörer inom informations- och cybersäkerhet I är den nationella kapaciteten för IKT-säkerhet spridd över flera aktörer (se nedan), inklusive US-CERT, ett separat ICS CERT (CERT för SCADA-system), en nationell arbetsgrupp för utred- ning i det digitala rummet (NCIJTF) under FBI:s regi, US Cyber Command under , Intelligence Community In- cident Response Center (IC-IRC), / Threat Operations Center (NTOC), DoD Defense Cyber Crime Center (DC3) och det nyetablerade Cyber Threat Intelligence Integration Center (CTIIC). är ambitionen att ICT incident management ska vara en gemensam insats från dessa aktörer, samordnad genom 121Huruvida detta innebär att vissa IKT-system behöver godkännas av en utpekad myndighet framstår dock inte som helt klart. cations Integration Center (NCCIC). NCCIC ska bl.a. ha en upp- daterad situationbild, genomföra IKT-incidenthantering och -kon- troll och vara en nationell knutpunkt för de federala myndigheterna, underrättelsetjänsten och polismyndigheterna. US-CERT och ICS- CERT är en integrerad del av NCCIC. () ansvarar för National Cyber Incident Response Plan (NCIRP).