HANTERINGSFÖRESKRIFT HEMLIG/RESTRICTED

Transkript

1 HANTERINGSFÖRESKRIFT HEMLIG/RESTRICTED INNEHÅLL 1 Allmänt 2 Informationssäkerhetsklasser 2.1 Inledning 2.2 Hemligbeteckningar HEMLIG/RESTRICTED 2.3 Informationsklassificering 3 Informationssäkerhetsskydd 3.1 Framställning av hemlig handling Märkning 3.2 Kopiering av hemlig handling 3.3 Registrering 3.4 Kvittering 3.5 Förvaring 3.6 Inventering 3.7 Förstöring 3.8 Befordran av hemlig handling eller hemlig materiel Allmänt Befordran av hemliga uppgifter INOM SVERIGE Befordran av hemliga uppgifter UTOM SVERIGE 3.9 Medförande av hemlig handling utanför verksamhetsställets lokaler Allmänt Medförande INOM SVERIGE Medförande UTOM SVERIGE 3.10 IT-säkerhetsskydd 3.11 Signalskydd 4 Tillträdesbegränsning 4.1 Mekaniskt skydd och inbrottslarm 4.2 Passerkontrollsystem 5 Säkerhetsprövning 5.1 Registerkontroll 5.2 Sekretessbevis 6 Internationellt samarbete 6.1 Inledning 6.2 FMV roll 6.3 Företagets ansvar 6.4 Regeringsbeslut 6.5 Avtal Bi-/multilaterala säkerhetsskyddsavtal Myndighetsavtal (avtal mellan FMV och utländsk myndighet) Företagsavtal (avtal mellan FMV och utländskt företag) Företagsavtal (avtal mellan utländsk NSA/DSA och svenskt företag) 6.6 Samarbete/gemensam utveckling 6.7 Export 6.8 Anbud/beställning - 1 -

2 1 Allmänt I denna skrift behandlas de krav som ska gälla vid FÖRETAGET AB för hur informationssäkerhetsklassen HEMLIG/RESTRICTED ska hanteras. Detta är ett komplement till tecknat Säkerhetsskyddsavtal Nivå 1 Hemlig/Restricted. 2 Informationssäkerhetsklasser 2.1 Inledning Om annat inte anges i denna skrift, avses med hemlig uppgift sådan information som omfattas av informationssäkerhetsklassen: HEMLIG/RESTRICTED (H/R) 2.2 Hemligbeteckningar HEMLIG/RESTRICTED 1. Hemliga uppgifter vars röjande kan medföra ett ringa men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet. 2. Hemlig handling som har försetts med beteckningen HEMLIG/RESTRICTED eller motsvarande av en utländsk myndighet eller mellanfolklig organisation. 2.3 Informationsklassificering Underlag innehållande hemliga uppgifter som tillställs företaget från myndigheten, har blivit informationsklassificerat av myndigheten och placerat i informationssäkerhetsklass. Hemliga uppgifter eller hemlig materiel som uppstår vid utförandet av uppdraget hos företaget skall informationsklassificeras av företaget. Det åligger beställaren att skriftligen meddela företaget vad som i uppdraget utgör hemliga uppgifter. Detta görs genom de anvisningar (Säkerhetsskyddsplan, Materielsäkerhetsspecifikation, Projektsäkerhetsinstruktion,) som skall erhållas från beställaren i anslutning till anbudsförfrågan för eller beställning av uppdraget. Det åligger företaget att tillse att rätt informationssäkerhetsklass åsätts de hemliga uppgifter som produceras i uppdraget. Vid tveksamhet om vad som är hemlig uppgift eller vilken informationssäkerhetsklass en hemlig uppgift tillhör skall företaget klargöra detta med beställaren

3 3 Informationssäkerhetsskydd 3.1 Framställning av hemlig handling Hemlig handling i informationssäkerhetsklass HEMLIG/RESTRICTED skall hemligstämplas Märkning En handling som innehåller hemlig uppgift skall hemligmärkas på första sidan. Hemligstämpel skall företrädesvis vara röd och innehålla beteckningen HEMLIG/RESTRICTED samt uppgift om att den avser sekretess. Upprättande nation anges i stämpeln för HEMLIG handling (country of origin). Om handlingen är belagd med delgivningsrestriktioner (t.ex. får endast delges behöriga i Sverige och Tyskland) skall detta noteras omedelbart under stämpeln. Exempel: H E M L I G / RESTRICTED Försvarssekretess Country of origin: Företaget AB Varje sida i en tryckt eller datautskriven HEMLIG handling skall vara försedd med en hemligbeteckning som kan ingå i dokumentmallen. Exempel: HEMLIG/ RESTRICTED Se sidan Kopiering av hemlig handling Kopiering av hemlig handling i informationssäkerhetsklass HEMLIG/RESTRICTED får ske på den enskildes ansvar

4 3.3 Registrering Hemlig handling i informationssäkerhetsklass HEMLIG/RESTRICTED införs av säkerhetschefen eller av utsedd behörig registrator i särskilt register. Av registret skall framgå: a) datum då handlingen mottagits eller avsänts, avsändare eller adressat samt i förekommande fall postens inlämningsnummer, b) registreringsnummer i förekommande fall för såväl avsändare som mottagare, c) handlingens innehåll i korthet i form av ärendemening (ärendemening får inte innehålla hemlig uppgift) samt antalet bilagor. 3.4 Kvittering Hemlig handling med informationssäkerhetsklass HEMLIG/RESTRICTED behöver ej kvitteras. 3.5 Förvaring Hemlig handling klassad HEMLIG/RESTRICTED får förvaras i plåtskåp alternativt i låst, insynsskyddat rum motsvarande klass 1 enl. SSF. 3.6 Inventering Inget krav på inventering av hemlig handling klassad HEMLIG/RESTRICTED. 3.7 Förstöring Hemlig handling och hemlig materiel skall förstöras genom användande av: - för papper: av FMV godkänd destruktör alternativt vid av FMV godkänd destruktionsanläggning, - för datamedia: av FMV godkänd destruktör alternativt vid av FMV godkänd destruktionsanläggning. 3.8 Befordran av hemlig handling eller hemlig materiel Allmänt Hemlig handling och hemlig materiel skall distribueras på sådant sätt att obehörig hindras att ta del av innehållet. Detta gäller i hela befordringskedjan, hos avsändaren, under transporten och hos mottagaren. Vad som föreskrivs om befordran av hemliga uppgifter avser rutinmässig befordran av enstaka hemliga handlingar eller mindre mängder hemlig materiel som inte kan anses vara stöldbegärlig vapenmateriel Befordran av hemliga uppgifter INOM SVERIGE Försändelse som innehåller handling klassad HEMLIG/RESTRICTED skall sändas med: 1. företags-/myndighetskurir, 2. krypterad överföring, - 4 -

5 3. rekommenderad post (Rek)/VÄRDE-post, 4. av FMV Säkerhetsskydd godkänt kommersiellt kurirföretag. 5. A-post Befordran av hemliga uppgifter UTOM SVERIGE För försändelse som innehåller handling klassad HEMLIG/RESTRICTED gäller: 1. Försändelsen skall som huvudregel sändas med Utrikesdepartementets kurirförbindelser. 2. I undantagsfall kan alternativ metod för befordran nyttjas, se avsnitt Av FMV godkänt kommersiellt kurirföretag kan nyttjas för befordran om det är överenskommet i bi-/multilateralt avtal. 4. I brådskande fall kan handlingen, efter överenskommelse med mottagaren, sändas med vanlig post (A-post/Prioritaire). 3.9 Medförande av hemlig handling utanför verksamhetsställets lokaler Allmänt Hemlig handling (materiel), som medförs från företaget, skall hållas under omedelbar uppsikt eller förvaras under samma skydd som vid företaget. Vid medförande av handling/materiel klassad HEMLIG/RESTRICTED och som skall tas med tillbaka till företagets lokaler skall förteckning över medförda handlingar/materiel upprättas och förvaras i eget förvaringsutrymme (värdeskåp/säkerhetsskåp) Medförande INOM SVERIGE Medförande av handling klassad HEMLIG/RESTRICTED sker på respektive anställds eget ansvar och kräver inte ett särskilt beslut Medförande UTOM SVERIGE Medförande (s.k. hand carriage) och överlämnande av hemlig handling klassad HEMLIG/RESTRICTED får ske efter att: 1. regeringstillstånd för utlämning till utländsk mottagare erhållits, 2. FMV beslut om överlämning av denna information har fattats, 3. FMV har beslutat att nyttja hand carriage, 4. FMV Säkerhetsskydd har överenskommit med mottagande lands säkerhetsskyddsmyndighet om nyttjande av hand carriage

6 3.10 IT-säkerhetsskydd Skyddet av hemlig uppgift i datorer och nätverk (IT-säkerhetsskydd) skall motsvara det skydd som föreskrivs för hemlig uppgift. Dessutom skall: dator eller datorsystem avsedda att användas av fler personer skyddas med hjälp av behörighetskontrollsystem (BKS) med rutiner för skriftlig behörighetstilldelning, datamedier vara individmärkta/numrerade så att de medger inventering vid t.ex. befarad förlust, av FMV godkänd kryptoutrustning/rutin användas vid kryptering, åtgärder mot obehörig avlyssning i nätverk vidtagas, datamedium som innehåller/har innehållit hemlig uppgift hanteras som hemlig handling tills det fysiskt förstörts Signalskydd Hemlig uppgift som förmedlas genom telekommunikation (t.ex. tal, text, data) skall vara krypterad. Endast av FMV godkänd signalskyddsmateriel får användas. För att få tillgång till godkänd signalskyddsmateriel skall företaget ha tecknat ett separat Signalskyddsavtal med FMV och utsett en signalskyddsansvarig. För att vara behörig att ta del av kryptonycklar och hantera signalskyddsmateriel krävs av/via FMV, eller genom lokalt ansvarig signalskyddschefs (motsv.) försorg, genomförd särskild signalskyddsutbildning. Om signalskyddsmateriel från utländsk part/myndighet avses att nyttjas på Företaget skall anmälan göras till FMV. Anmälan skall omfatta: Vilket land och myndighet som tillhandahåller signalskyddsmaterielen Typ av signalskyddsmateriel För vilken sekretessnivå används signalskyddsmaterielen För vilket projekt System som omfattas Adress, plats för placering Kontaktpersoner vid företag och myndigheter Beskrivning av den administrativa fördelningen (fördelning av kryptonycklar, rutiner etc) 4 Tillträdesbegränsning 4.1 Mekaniskt skydd och inbrottslarm Lokaler där arbete med hemliga uppgifter med högst informationssäkerhetsklass HEMLIG/RESTRICTED förekommer skall vara försedda med mekaniskt inbrottsskydd och inbrottslarm av klass 1 enligt SSF. 4.2 Passerkontrollsystem Lokaler där arbete med hemliga uppgifter förekommer eller som innehåller förvaringsutrymmen för hemliga uppgifter eller IT-system med hemliga uppgifter skall vara försedda med passerkontrollsystem

7 5 Säkerhetsprövning 5.1 Registerkontroll För verksamhet omfattande hemlig uppgift i högst informationssäkerhetsklass HEMLIG/RESTRICTED krävs inte registerkontroll. Dokumenterad personbedömning skall genomföras. 5.2 Sekretessbevis Innan överföring av hemlig uppgift får ske skall sekretessbevis undertecknas av anställd som beslutats vara behörig att ta del av hemlig uppgift. Den anställde skall upplysas om innebörden av tystnadsplikten. 6 Internationellt samarbete 6.1 Inledning I samband med internationellt samarbete kan behov av att utlämna svenska hemliga uppgifter uppstå. För att skydda dessa uppgifter i utlandet krävs säkerhetsskyddsöverenskommelse med utländsk mottagare. Behov av säkerhetsskyddsöverenskommelse med annat lands myndigheter, svenskt eller utländskt företag, kan bero på att: FMV:s eller svensk försvarsindustris upphandling från utländsk leverantör, studier, utveckling eller samarbete samt svensk försvarsindustris marknadsföring, offerering, försäljning etc, då utlämning av svensk hemlig uppgift (Offentlighet och Sekretesslag 15 kap 2 ) är aktuell, annat lands myndighets eller försvarsindustris upphandling från svensk leverantör, studier, utveckling eller samarbete samt försvarsindustris marknadsföring, offerering, försäljning etc, då utlämning av hemlig uppgift (Offentlighets och Sekretesslag 15 kap 1 ) till svensk försvarsindustri är aktuell, eller samarbets-/samutvecklingsprojekt inom försvarsmaterielområdet där hemlig uppgift (Offentlighets och Sekretesslag 15kap 1 och/eller 15 kap 2 ) kan komma att uppstå och utväxlas. Grundläggande förutsättningar för att svensk hemlig uppgift kan utlämnas till annat land är att: regeringen godkänt aktuell sekretessutlämning, samt säkerhetsskyddsavtal finnas. 6.2 FMV roll FMV skall före utlämnande av svensk hemlig uppgift, granska och godkänna denna. Vidare är FMV, som Designated Security Authority (DSA), garant för att svensk försvarsindustri handhar utländsk hemlig uppgift enligt gällande regler och ev. direktiv från utländsk säkerhetsskyddsmyndighet (NSA/DSA)

8 6.3 Företagets ansvar Företaget skall, i god tid innan utlämnade av svensk hemlig uppgift är aktuell, hemställa hos FMV om utlämnande. Företag skall informera presumtiva leverantörer, köpare och/eller samarbetspartners, att innan svensk hemlig uppgift kan delges skall säkerhetsskyddsöverenskommelse med svensk myndighet finnas. 6.4 Regeringsbeslut Oavsett om det finns övergripande, samarbets- eller projektsäkerhetsavtal krävs regeringens tillstånd att utlämna svensk hemlig uppgift, och i de fall avtal skall tecknas med myndighet, ett bemyndigande från regeringen att teckna avtal. Finns det inget övergripande säkerhetsskyddsavtal med landet i fråga, måste FMV i sin skrivelse till regeringen även hemställa om att få teckna ett projektspecifikt avtal med en myndighet som kan ansvara för implementering och kontroll av säkerhetsskyddet vid företaget. Skrivelse till regeringen initieras antingen av FMV eller av ett företag, och utformas av FMV. FMV inhämtar erforderliga samråd (inom myndigheten, FM och ISP) innan skrivelsen sänds till regeringen. Regeringen fattar beslut om att bevilja: försvarsmaterielsamarbete tillstånd att, efter FMV granskning, tillåta ett företag att utlämna svensk hemlig uppgift, och i de fall det krävs bemyndigande att teckna avtal rörande samarbete och/eller säkerhetsskydd med utländsk myndighet. Regeringsbeslutet är begränsat till ett visst projekt, information som skall utlämnas, ändamålet för utlämning samt företag/myndigheter i land/länder. Ett nytt regeringsbeslut krävs exempelvis när ändamålet för utlämning ändras från marknadsföring/offertskede till försäljning, om informationsområdet utökas, andra företag/myndigheter, andra länder tillkommer. Först då FMV tecknat säkerhetsskyddsavtal kan hemlig uppgift utlämnas. 6.5 Avtal Bi-/multilaterala säkerhetsskyddsavtal Övergripande bi-/multilaterala säkerhetsskyddsavtal tecknas av regeringen, eller den myndighet regeringen bemyndigar. Generella säkerhetsskyddsavtal (GSA) reglerar säkerhetsskyddet mellan länderna baserat på respektive lands nationella lagar och regler och reglerar även rutiner för industrisäkerhetsskyddssamarbete

9 6.5.2 Myndighetsavtal (avtal mellan FMV och utländsk myndighet) Finns GSA regleras säkerhetsskyddet med hänvisning till detta i ett annex, projektsäkerhetsskyddsavtal, skriftväxling eller i annan form. Finns inget GSA tecknas ett projektsäkerhetsskyddsavtal myndigheter emellan Företagsavtal (avtal mellan FMV och utländskt företag) FMV inhämtar säkerhetsklarering av det utländska företaget från den utländska industrisäkerhetsskyddsansvariga myndigheten (NSA/DSA). FMV överenskommer därefter om säkerhetsskyddsåtgärder med företaget. I överenskommelsen skall refereras till det bilaterala avtalet (GSA) mellan länderna och de nationella reglerna samt förtydligande avseende bl.a. regler för befordran, hemligstämpling, underleverantörer och tredje parts/lands deltagande Företagsavtal (avtal mellan utländsk NSA/DSA och svenskt företag) Innan utländsk myndighet/företag lägger en beställning vid svenskt företag, inhämtar utländsk NSA/DSA hos FMV besked om det svenska företaget är säkerhetsklarerat. Är företaget säkerhetsklarerat och FMV har säkerhetsskyddsavtal på erforderlig nivå, meddelas detta till utländsk NSA/DSA. Är företaget inte säkerhetsklarerat tecknar FMV säkerhetsskyddsavtal, enligt utländsk myndighets krav, med företaget. Vid beställning skall svenskt företag från utländsk NSA/DSA erhålla en säkerhetsskyddsplan, och i vissa fall utarbetas en PSI. FMV skall i egenskap av DSA tillse att företaget implementerar kraven från utländsk NSA/DSA. 6.6 Samarbete/gemensam utveckling Innan ett samarbete/utvecklingssamarbete mellan länderna påbörjas, skall en säkerhetsanalys genomföras för den planerade samverkan. Möjligheten att eventuell hemlig uppgift (Offentlighets och Sekretesslag 15 kap 1 och/eller 15 kap 2 ) kan uppkomma under projektets gång skall beaktas. Då samarbete/utvecklingssamarbete ofta sträcker sig under längre tid och innebär mer omfattande informationsutbyte än ett vanligt köp av en färdig produkt, ställs speciella krav på säkerhetsskyddsåtgärderna för denna typ av verksamhet. Förutom regeringsbeslut för eventuell utlämning av sekretess, kan det även krävas ett regeringsbeslut för att inleda ett utvecklingssamarbete. Regeringen godkänner att denna typ av försvarsmateriel får utvecklas tillsammans med landet ifråga. Huvudansvarigt lands myndighet ansvarar för att PSI tas fram

10 6.7 Export Export av försvarsmateriel kan omfatta flera olika former av försäljning; licensgivning, gemensam utveckling av försvarsmateriel eller traditionell export av materiel. I samtliga fall kan det bli aktuellt att delge presumtiv kund/samarbetspartner hemlig uppgift i samband med marknadsföring, offertarbete eller samarbetsförhandlingar varvid regeringsbeslut om utlämnande krävs. Då fler än ett svenskt företag har del av export skall ett av företagen utses som exportansvarig för aktuellt ärende. Detta företag skall samordna informationsöverföringen från övriga med- och underleverantörer till den utländska mottagaren. 6.8 Anbud/beställning Anbudsinfordran eller beställning innefattande hemliga uppgifter skall föregås av överenskommelse mellan FMV och den utländska myndigheten/företaget avseende erforderliga säkerhetsskyddsåtgärder. I anbud/beställning till ett utländskt företag skall det finnas en säkerhetsskyddsklausul Security clause. Till anbud/beställning skall vidare en Säkerhetsskyddsplan/Security Plan bifogas. I större beställningar och samarbetsprojekt med utlandet skall en PSI upprättas. Denna utarbetas av beställaren i samråd med FMV projektledning och FMV Säkerhetsskydd. Då en beställning läggs vid ett utländskt företag skall ett utdrag ur de delar i beställningen som behandlar säkerhetsskydd samt kopia på Säkerhetsskyddsplan/Security Plan sändas till FMV Säkerhetsskydd. FMV anmäler till utländsk NSA/DSA att en beställning är lagd hos aktuellt företag, samt vilka säkerhetsskyddskrav som ställts. Den utländska industrisäkerhetsskyddsmyndigheten bevakar och kontrollerar att företaget lever upp till de svenska säkerhetsskyddskraven