Informationssäkerhet i NBF HÖGKVARTERET

Transkript

1 Informationssäkerhet i NBF

2 Vem är Ingvar Ståhl? Teknisk Officer sedan 1974 Tjänstgjort P2, ATS, Milostab Ö, VFÖ, Uhreg M, Milostab M Marktelebataljonchef ChP 91/93 avbrutet ChP 94/96 LT 9701 IS ORION KI (IS Undsäk) 9711 MUST ITSäk 9810 MUST C ITSäk 0201 MUST tjf C ITSA 0206 MUST PL (stf) ITSA 0311 KRI LED UTV Ansvarig infosäk i FMLS 2010 ingvar.stahl@hkv.mil.se

3 Definitioner NBF = av regeringen accepterad handlingsplan för FM omstrukturering. Genom att utveckla funktionerna information och ledning skall FM effekt i lösandet av tilldelade uppgifter öka. FMLS 2010 = FM framtida ledningssystem verktyget som skall hantera FM resurs information. LEDSYST = av FM beslutad projektorganisation för att möjliggöra FM omstrukturering.

4 Nya hot Nya risker

5 Resan mot NBF och FMLS 2010 FM 2003 ILS VHLS FMLS 2003 LEDSYST O LEDSYST M LEDSYST T LEDSYST P DEMO 05 FM 2010 NBF FMLS 2010 Verksamhetsledningssystem Insatsledningssystem

6 Krigföringens arenor Den framtida striden kommer sannolikt att föras samtidigt på krigföringens alla arenor

7 Teknikutveckling - exempel Datorkraft Nätverk Obemannade farkoster Verkan

8 Vem är fienden? Hackern Insiders (behörig/ obehörig) Annan stat Organiserad brottslighet Industriellt spionage Assymetrisk hotbild

9 ADB-utrustning Rikets ledning Myndigheter Näringslivet FM Insatsledningssystem Verksamhetsledningssystem Produktionssystem Ekonomisystem Personalsystem Kontorsinformationssystem Elkraft Telekommunikationer

10 System av system - komponentbaserat

11 Nätverksbasering ger långsiktigt hållbara egenskaper

12 Vad är Informationssäkerhet? Förhindra att hemlig uppgift röjs! Skydd av information och informationssystem mot obehörig tillgång eller förändring Informationssäkerhet Administrativ Teknisk DatorSäk KommSäk

13 Ingvars önskan Informationssäkerhet innebär åtgärder för att skydda och försvara information och informationssystem, avseende tillgänglighet, riktighet, sekretess, spårbarhet och oavvislighet, kopplat till tid och rum. Informationssäkerhet kräver förmåga att skydda, övervaka, detektera, klassificera, identifiera, sektionera (avbryta), återställa och återgälda. Slutsatser: Skydd av information och informationssystem innebär såväl aktiva som passiva åtgärder. Förmågorna omfattar inte enbart de egna systemen och informationen. Informationssäkerhet omfattar såväl fysiska som logiska åtgärder.

14

15 Hur nå informationssäkerhet i FMLS 2010?

16 Centrala frågor Beslutsstöd Hur bör informationssystemet, särskilt avseende tekniskt beslutsstöd, utformas för att stödja ledningsmetodiken och därmed strävan efter ledningsöverläge? Informationssäkerhet Hur kan erforderlig informationssäkerhet skapas i ett nätverksbaserat ledningssystem? Personal, utbildning och övning Hur kan Försvarsmakten rekrytera, utbilda och behålla den kompetens som NBF kräver? Utvecklingsmetoder Hur bör utvecklingsarbetet utformas för att erhålla en evolutionär utveckling med hög dynamik och flexibilitet?

17 Verifiera Informationssäkerhetslösning 2010 år 2005 I regeringens regleringsbrev till Försvarsmakten (2002) ställs det krav på återrapportering inom områdena: - Informationsoperationer (sid 18) - IT-säkerhetsenhet (sid 39) I FM budgetredovisning för 2004 (HKV :63305 bilaga 8) står det följande: Ur regeringsbeslut 5, Ä RB 2002, (Fö2002/353/MIL), uppdrag 79: Försvarsmakten skall senast den 1 mars 2003 redovisa en plan för genomförandet av Demo 05. Denna plan skall innehålla:.osv Försvarsmakten skall under genomförandet av Demo 05 behålla planen som referens, även om budget, tidplan och innehåll framledes kan komma att ändras. Ur sammanfattningen (HKV :63305 ubilaga 8.5) saxas följande påstående: - verifiera att det är möjligt att skapa en godkänd informationssäkerhetslösning till 2010.

18 Säkerhetsarbetet Produkten FMLS Detta måste vara känt Mål Säkdemo Demo Mål Avveckling Skall styra så att målen nås Nu Projekten Ledsyst (M, O, P o T) Egentligen M som bestämmer vägen

19 Påverkan på säkerhetslösningen STRA IO Internationell Ledsystutv PARP-mål KRI IT-försvarsförband Målsättning FMLS Ledsyst MOPT FMLS 2010 MUST Regelverk Signalkontroll CERT-övervakning Hotbild Risk Management

20 FM Ledningssystem 2010 LEDSYST T LEDSYST M LEDSYST P LEDSYST O SÄKERHET KVALITET T M P O Infoklassning Hotbild Systemutveckling Vht-analys Projektstyrning Säk-målsättning Regelverk

21 Ansvar i utvecklingen av FMLS 2010 i omstruktureringen mot NBF Ansvaret för säkerheten skall följa verksamhetsansvaret Ansvaret för att säkerheten i FM omstrukturering mot NBF borde då vara ÖB s, dvs C MUST. Ansvaret för säkerheten i FMLS 2010 är Ledningsinspektörens, eftersom de största förändringarna sker inom funktionerna information och ledning. Ansvaret för säkerheten i LEDSYST borde därmed vara C LEDSYST.

22 Tillräcklig säkerhet Informations överläge Min Säkerhet Max Säkerhet

23 Utvecklingsmetodik År E E D E D A D E E D A D E D 2006 E D E E D 2005 A A E E Experiment D Demonstrationer A Anskaffning (och driftsättning) Avbrott System

24 Demotrappan Vår 03 Tydliggöra syfte och vision med NBF. CIMI 03 Höst 03 Utvecklings miljön etablerad (teknik och metoder) Vår 04 Samfunk metodutvplattformar Visa delsystem (DelFUM) Höst 04 Teknik gemensamt läge systemfunktions modell (T,M,O,P) Ver 0.1 T M P O Tekniska lösningar, designregler, metodanvisningar, doktringrunder, organisationsprinciper, personell kompetens

25 Vår 05 Grunder gemensamt läge Systemfunktionsmodell (T,M,P,O) FUM ver. 0.2 T M P O Höst 05 Demo 05 Gemensamt läge Systemfunktionsmodell (T,M,P,O) FUM ver. 0.3 SäkDemo Demotrappan Vår 06 Demo 06 Grunder insatsledning Systemfunktionsmodell (T,M,P,O) FUM ver Höst 06 Demo 06 Insatsledning Systemfunktionsmodell (T,M,P,O) FUM ver. 1.0?! Vår 07 Ledningsutvecklingsövn 1 Utv av FMLS 2010 inleds

26 Utvecklingsmiljö FM Ledsyst Uppsala Planerat Metodlab Enköping Metodlab Integration Bålsta FLSC Simulering FHS / Aqua Metodlab S -holm FMV / Smart -lab Simulering Ornö Skövde Berga Muskö Mälsten Integration Halmstad Temporär anslutning Integration Karlskrona Temporär anslutning Torö Integration

27 FM Informationskapital Förändrat större värde Identifiera, verifiera, klassificera Konsekvenser kan förutsägas Medger risk management Kravställning av system Genomförande av operationer

28 Ny Informationsklassificering Informationsklassificering avseende sekretess (i flera nivåer) men dessutom avseende tillgänglighet, riktighet, oavvislighet och spårbarhet krävs. Dessutom kopplat till tid och rum. Detta utgör grunden för att kunna göra kvalitetssäkrad riskbedömning vid val av systemutformning och genomförande av operationer. Säkerhet är inte lika med sekretess!!!

29

30 Säkerhetsarkitektur i NBF M Å L Hot/ risk/skydd/ kostnad Hotbild/ Omvärldsuppfattning Modeller/ metoder/ regelverk Organisation Människor Säkerhets arkitektur T E K N I K

31 Öppen Arkitektur! FM A Vilken? FM TA FM SäkA FM Informations Infrastruktur

32

33 En styrd utveckling av säkerhetsfunktionerna Modellering, simulering Säkerhetsmål System utveckling DEMO 05 Bedömd säklösning

34 Utvärdering = Fokus på högre systemnivåer. Blir vi en bättre FM? Utvärdering av Ledsyst VoV T S of S O o P VoV M Övr

35 Frågor som skall besvaras 1 Hur skall IS-infrastrukturen se ut för att FMLS skall kunna uppfyllas? (jfr FMLOG konsolideringstankar) Hur skall systemadministration genomföras? (fjärr lokal) Hur skall programuppdatering ske? Separation H icke H? Databaskonsistens? Replikering Back-up Behörighetstilldelning BKS admin Helpdesk, Övervakning, IDS

36 EU Sverige FM Koalition Egen vht Skydds värt Info ur R/S/T OA/ SP Hot Riskanalys Hot mot skyddsvärt Sårbarhet/ Brister/ Åtgärd mot orsak Sårbarhet Riskmanagement = Riskanalys + Riskhantering + Kontroll (en iterativ process) Analys Beslut Hotkälla Aktör Motiv Kapacitet Samman vägning Hot orsak/ sårbarhetspar Riskvärdering K/S Risk behandling K/S Förebyggande Eliminera Reducera (Transferera) Vht-ansvarig är ansvarig för RM-processen Hotorsak Vhtanalys Regelverk Skadebehandling K i efterhand Funktionell skydds åtgärd Acceptera Riskhantering Risk = funktionen av (Hotorsak:Sårbarhet) x (K:S) O P M T

37 Informationssäkerhet en förutsättning idag och ett måste i morgon.