Säkerhetsskydd. Skydda det mest skyddsvärda. Roger Forsberg, MSB

Transkript

1 Säkerhetsskydd Skydda det mest skyddsvärda Roger Forsberg, MSB

2 SUA Utbildning SÄKERHETS SKYDD Säkerhetsprövning (Personalssäkerhet) Tillsyn kontroll SÄKERHETS KULTUR Tillträdesbegränsning (Fysiskt skydd) Informationssäkerhet, IT-säk o signalskydd 1

3 7 Säkerhetsskyddet skall förebygga (SäkL) 1. att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2. att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3. att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning).

4 28 Det börjar med en säkerhetsanalys! En väl genomförd säkerhetsanalys ger svar på frågorna: Vad ska skyddas? Mot vad? Hur?

5 Arbetet med säkerhetsskydd De åtgärder som vidtas ska ha sin utgångspunkt i en säkerhetsanalys (Säkerhetsskyddsanalys). Vad ser vi för generella behov av åtgärder kopplat till CF? Skapa (återta) förmåga att hantera hemliga uppgifter (papper-digitalt) Kunna kommunicera hemliga uppgifter, förutsätter tillgång till ändamålsenligt signalskyddsmateriel Krav på utrymmen för att hantera hemliga Utbildning Säkerhetsprövning och inplacering i säkerhetsklass Dimensionerad säkerhetsskyddsorganisation

6 Informationssäkerhet Pyramiden ur en annan vinkel Riktighet och tillgänglighet Basnivå Konfidentialitet Personuppgiftslag All information har ett värde, men allt behöver inte skyddas mot obehöriga Systematiskt Informationssäkerhetsarbete ex. Ledningssystem för informationssäkerhet LIS ISO Skydd av känsliga personuppgifter Offentlighet & Sekretesslag Skydd av skyddsvärda och sekretessbelagda uppgifter Bl.a. 18 kap. 8 Bevaknings och säkerhetsåtgärder 18 kap. 13 Risk- och sårbarhetsanalyser mm 19 kap. 3 upphandling Sekretessbelagda uppgifter som rör rikets säkerhet (HEMLIGA UPPGIFTER), är 15 kap. 2 men kan även vara vissa uppgifter enligt bl.a. 15 kap 1, 18 kap 1, 2, 5, 8, 9 och 13 Offentlighet & Sekretesslag Tillgångar Säkerhetsskyddslagstiftning

7 Ledningssystem för informationssäkerhet LIS ISO Basnivå SKYDD AV INFORMATION Konfidentialitet, tillgänglighet, riktighet och spårbarhet Information som ej behöver särskilt skydd, kan vara blanketter som ska fyllas i, informationsblad etc. Ingen kryptering Personuppgiftslag Kommersiell Kryptering SSL Certifikat I N F O S Ä K Bl.a. 18 kap. 8 skydd för anläggningar, tele mm 18 kap. 13 Risk- och sårbarhetsanalyser mm 19 kap. 3 upphandling Ingen nationellt godkänd kryptometod MYNDIGHETSBESLUT OM ÅTGÄRDER Offentlighet & Sekretesslag Kryptolösning KSU KURIR (RAKEL) SGSI Skydd av känsliga uppgifter Skydd av skyddsvärd uppgifter samt sekretessbelagda uppgifter Sekretessbelagda uppgifter som rör rikets säkerhet (HEMLIGA UPPGIFTER), är 15 kap. 2 men kan även vara vissa uppgifter enligt bl.a. 15 kap 1, 18 kap 1, 2, 5, 8, 9 och 13 Offentlighet & Sekretesslag K r y p t e r i n g s ä k e r s t ä l l e r ä v e n r i k t i g h e t o c h s p å r b a r h e t OGRANSKAT KRYPTO Tryckfrihetsförordningen offentlighetsprincipen, upphovsrätt Offentlighet & Sekretesslag - allmän och offentlig handling Arkivlagen - arkivering och lagringsbestämmelser Säkerhetsskyddslag grundläggande krav K S U K O N F I D E N T I A L I T E T Kryptolösningar signalskydd SG R SG C SG S SG TS Kryfax MGM Data MGS, PGAI mfl Telefon MGL S Ä K E R H E T S S K Y D D S I G N A L S K Y D D RÖS, Intrång Manipulering Störsändning Avlyssning Nationellt godkända kryptosystem ÅTGÄRDER ENLIGT SÄPO OCH FM FÖRESKRIFTER Krav för sekretess - Klassificering av information och signalskyddsnivå Assuranskrav - Säkerhetsgranskning och godkännande av krypton Funktionskrav - Intrångsskydd, inloggning och autentisering, krav på integritet Krav på utbildning och administrativ kontroll - Ansvar, dokumentation, materiel och nyckelhantering Tillgångar Skyddsåtgärd

8 Signalskydd bara jobbigt eller en möjliggörare Rätt använt signalskyddssystem säkerställer Konfidentialitet (ingen obehörig kan ta del), Riktighet (ingen förändring kan göras oupptäckt) och Spårbarhet (äkthet, autenticering) endast behörig avsändare Får även användas till annan skyddsvärd eller sekretessbelagd information som inte rör rikets säkerhet Användandet av Signalskydd är en viktig skyddsåtgärd för att organisationen ska uppnå en hög informationssäkerhet vid hantering av hemliga uppgifter Signalskydd ska vara en naturlig del i arbetet med hemliga uppgifter 7

9 Signalskydd och säkra kommunikationer MSB har tilldelat materiel som möjliggör elektroniskt informationsutbyte av hemliga uppgifter MSB arbetar med att med framtagande av krypto till Rakel

10 Nyckelansvarig myndighet NAM en del av signalskyddsarbetet NAM Samverkan SO NAM Samverkansområde 1 Signalskydd En del av säkerhetsskyddet Nyckel Samv SO Bevakningsansvarig Myndighet Nyckel 1 NAM Samverkansområde 2 Bevakningsansvarig Myndighet Bevakningsansvarig Myndighet Bevakningsansvarig Myndighet Bevakningsansvarig Myndighet NAM Samverkansområde 3 Bevakningsansvarig Myndighet Exempel på nyckelseriers uppbyggnad Bevakningsansvarig Myndighet Koden till organisationens säkerhetsskåp Hemliga uppgifter ska ha motsvarande skydd oavsett om det är i digitalt eller på papper. Nyckel 2 Bevakningsansvarig Myndighet Nyckel 3 Bevakningsansvarig Myndighet

11 Använd de system som finns Vi har ett antal godkända system, var kreativ. Hur kan man använda de vi har för att lösa en uppgift? Videokonferens Telefonkonferens IP-telefoni Enkelt H-nät mellan myndigheter Ex. VPN-förbindels H/R för att skicka MGSkrypterade filer via minskad risk för skadlig kod 10

12 Kan kompletteras med ytterligare krypto för förmedling av Hemliga uppgifter Swedish Government Secure Intranet - Myndighetsintranet med hög tillgänglighet, upp till 99,98 - VPN-krypto - Mailrelay - Skyddad videokonferens - Tjänster hos andra myndigheter - Ett bärarnät mellan och inom myndigheter - Skilt från Internet NISU 2014 På gång - RAKEL-koppling 11

13 Med utbildning och enkla åtgärder kan du höja säkerheten inom din organisationen markant Signalskydd skyddar inte mot avlyssning av akustisk RÖS, ex. när du pratar i kryptotelefon. Beakta akustisk RÖS i lokal/på stan/på tåg! Hemliga uppgifter/information delges endast i lokaler/områden du har kontroll över SÅRBARHETER Väggar, dörrar, tak, kabelkanaler mm. kan leda ljud och dölja otillåten utrustning. Insyn Området utanför lokalen (WC, frd, konferensrum). Fönster och stomljud kan avlyssnas Dolda inspelningsapparater kan fjärrstyras Onödiga apparater, sladdar, inventarier kan innehålla aktiv eller passiv avlyssningsutrustning

14 Säkerhetsskyddsutbildning MSB, Säkerhetspolisen och FHS genomför utbildning i planering för civilt försvar för myndigheter. MSB, Säkerhetspolisen och FHS genomför utbildning för säkerhetsskyddschefer. MSB, Säkerhetspolisen och FHS genomför utbildning för att utveckla förutsättningarna för kommunens arbete med säkerhetsskydd och civilt försvar. (Motsv. kommer även att genomföras för landsting) FHS har av MSB fått i uppdraget att utveckla en webbkurs i säkerhetsskydd för en bred målgrupp.

15 Tillträdesbegränsning!

16 Dimensionering PMFS 2015:3 Vad ska skyddas hur skyddsvärt, ur säkanalysen Larm, personell bevakning Tidig detektering Hur ska skyddet dimensioneras (ska motsvara SSF 3492)? Hur tjocka väggar Vilken typ av dörr Vilket lås Vilka fönster får man ha (bör undvikas) Respons Väktare, hur snabbt på plats

17 Säkerhetsprövning - Reglering Säkerhetsprövning (SäkL) 11 Säkerhetsprövning skall göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism. Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen skall klarlägga om personen kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. Kan (i vissa fall ska) kompletteras med registerkontroll Inga uppgifter att redovisa, innebär inte att det inte kan finnas något i registren

18 När ska/bör säkerhetsprövning ske Inför anställning/deltagande i verksamhet Under anställning, en kontinuerlig process Alla är delaktiga inte bara chefen, var mån om varandra är också en del av säkerhetsprövningen Byte av tjänst I samband med avslut av anställning, avslutningssamtal

19 Säkerhetsklasser 1 I stor omfattning får del av uppgifter som är av synnerlig betydelse för rikets säkerhet 2 I omfattning som inte är obetydlig får del av uppgifter som är av synnerlig betydelse för rikets säkerhet 3 Uppgifter som är av betydelse för rikets säkerhet, som kan antas medföra skada som inte endast är ringa

20 25 ÄKERHETSSKYDD PPHANDLING VTAL Säkerhetsskyddad upphandling med säkerhetsskyddsavtal

21 27 Syfte med SUA Oavsett var Ett jämnt verksamheten skydd bedrivs! Säkerhetsskyddskraven ställer du i ditt SUA-avtal Om du har ett SUA-avtal kan du registerkontrollera extern personal Säkerhetsskyddad upphandling med säkerhetsskyddsavtal

22 34 SUA ger dig verktyg! Registerkontroll Förstagångsbesök Utökade möjligheter till tillsyn och kontroll Krav på utbildning Säkerhetsskyddsinstruktion Glöm inte att anmäla och avanmäla hos Säpo!

23 31 SUA nivåer SUA 1 Leverantören kommer att hantera och förvara hemliga uppgifter i sina egna lokaler. SUA 2 Leverantören kommer att hantera och förvara hemliga uppgifter enbart i godkänd lokal, som anvisas av beställande myndighet. SUA 3 Leverantören kan komma att få del av hemliga uppgifter.

24 16a i SäkF Från den 1 april 2018 krävs för myndigheter ett samråd med säkerhetspolisen innan uppstart av upphandlingar där hemlig uppgift ska hanteras i leverantörens egna lokaler. En sådan utkontraktering förutsätter att ett så kallat säkerhetsskyddsavtal i nivå 1 är upprättat. Innan upphandlingen kan påbörjas ska Säkerhetspolisen göra en bedömning av lämpligheten av en sådan utkontraktering. Bedömningen baseras på en så kallad förstudie för utkontraktering och en särskild säkerhetsanalys omfattande den aktuella upphandlingen som respektive myndighet ska ha upprättat.

25 VÄGLEDNINGAR Säkra rum Hemligdator Upprättande av hemlig handling Uppdatering av skyddade it-utrymmen