Säkerhetsanalys. Agenda. Säkerhetsanalys maj 2012 Svante Barck-Holst. Säkerhetspolisen Säkerhetsskydd Säkerhetsanalys

Transkript

1 Säkerhetsanalys 10 maj 2012 Svante Barck-Holst Agenda Säkerhetspolisen Säkerhetsskydd Säkerhetsanalys Vad är en säkerhetsanalys? Vad är syftet? Begrepp Risk och sårbarhetsanalys vs. Säkerhetsanalys Metod Säkerhetsanalys 1

2 Säkerhetspolisen skyddar rikets säkerhets och den svenska demokratin. Säkerhetspolisens verksamhetsidé Hot Bedöma Reducera hot hot Utvärdera alternativ Skydds- Bedöma Reducera värde sårbarhet sårbarhet Skyddad demokrati Säkerhetsanalys 2

3 Säkerhetspolisens prioriterade områden Hot Spionage Terrorism Politisk extremism Grov organiserad brottslighet Skyddsvärden Centrala statsledningen Statliga myndigheter Samhällsviktig verksamhet... Säkerhetsskydd Säkerhetsskyddslagstiftning O Inriktning Rikets säkerhet och skydd mot terrorism (säkerhetskänslig verksamhet) Reglerar förebyggande säkerhetsskyddsarbete O Vad är säkerhetsskydd? Informationssäkerhet, tillträdesbegränsning, säkerhetsprövning Säkerhetsskyddad upphandling och utbildning O Vem gäller lagstiftningen för? Staten, kommunerna, landstingen, organisationer över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande och enskilda (om rikets säkerhet) Polislagstiftning O Utreda och förebygga brott (SäkL definierar vilka klienter) Säkerhetsanalys 3

4 Säkerhetspolisens ansvar avseende säkerhetsskydd Rådgivning Tillsammans med sektorsmyndigheter Registerkontroll Tillsyn Tillsammans med sektorsmyndigheter Incidenter 8 Säkerhetsanalys Vad är skyddsvärt? Säkerhetsskyddsförordning (1996:633) 5 Myndigheter och andra som förordningen gäller för skall undersöka vilka uppgifter i deras verksamhet som skall hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet av denna undersökning (säkerhetsanalys) skall dokumenteras. Dokumentation IT-miljön Vattenförsörjning Elförsörjning Telekommunikation Anläggningar Verksamhet Säkerhetsanalys 4

5 Varför ta reda på vad som är skyddsvärt? För att kunna skydda det. Underlag för beslut om säkerhetsskyddsåtgärder Skapa spårbarhet i motiv för åtgärder (argumentation/analys) Risk- och sårbarhetsanalys Hot Verksamhet Sårbarheter Åtgärder Risk = Sannolikhet för hot x Kostnad för ens Säkerhetsanalys 5

6 Risk- och sårbarhetsanalysanalys Hot Verksamhet Sårbarheter Åtgärder Åtgärder Åtgärder Reducera hotet Reducera sårbarheterna Krishantera Säkerhetsanalys Hot Verksamhet Sårbarheter Skyddsvärt Åtgärder en avgör skyddsvärdet Säkerhetsanalys 6

7 Antagonistiska hot och hotbild Aktör Bäst före Avsikt Förmåga Tillfälle Hotbild Potentiella eller konkreta hot vid en viss tidpunkt er - Rikets säkerhet Vilka konsekvenser får en händelse (ett angrepp)? 1. Påverkas ett större antal människors liv och hälsa? 2. Påverkas ett större geografiskt område? Är denna påverkan långvarig och/eller inträffar den vid en olämplig tidpunkt? 3. Får händelsen allvarliga sociala, ekonomiska och/eller politiska konsekvenser för samhället? 4. Påverkas andra samhällsviktiga verksamheter allvarligt? 5. Finns det risk att allvarliga negativa konsekvenser uppstår i framtiden? Säkerhetsanalys 7

8 Skydd mot terrorism Terroristbrott Injaga allvarlig fruktan hos befolkning tvinga offentliga organ eller mellanstatlig organisation att vidta eller avstå från att vidta en åtgärd destabilisera eller förstöra grundläggande politiska, konstitutionella, ekonomiska eller sociala strukturer Mord, dråp, grov misshandel, människorov, olaga frihetsberövande, grov skadegörelse, mordbrand, allmänfarlig ödeläggelse, sabotage, kapning, spridande av gift eller smitta, olaglig befattning med kemiska vapen, uppsåtligt vapenbrott, hantering och framställning av CBRN-vapen, smuggling, olaga hot Säkerhetsanalys en process Identifiering av (skyddsvärd) verksamhet Verksamhet Identifiering av hot Dimensionerande hotbeskrivningar Värdering av konsekvenser Identifiera sårbarheter Åtgärder Anpassning av skyddsnivå Sårbarheter Åtgärder Säkerhetsanalys 8

9 Organisation Identifiering av (skyddsvärd) verksamhet Inventera hela verksamheten 1. Hur ser verksamheten ut i stort? Styrande dokument Processer/Verksamhetsområden 2. Dela upp verksamheten i mindre delar Lokaler, anläggningar Befattningar System Rutiner Information Prioritera (med försiktighet) Säkerhetsanalys 9

10 Hot - Observationer avseende säkerhetsskydd Skydd tar tid att bygga upp Åtgärder måste planeras långt i förväg Hotbilden kan förändras snabbt Exempelvis beroende på utrikespolitiska händelser/ställningstaganden Även framtida potentiella hot (10-20 år) måste beaktas Att bedöma sannolikhet för framtida hot är nästan omöjligt (>1 år) När det gäller antagonistiska hot påverkar skyddsnivån sannolikheten för hotet. Högre skydd ger lägre sannolikhet och vice versa. Hur förändras hotet över tid? Worst-case 6 5 Välj dimensionerande hot Nuläge Hot Scenario 1 Scenario 2 Säkerhetsanalys 10

11 Dimensionerande hotbeskrivning Avskalad beskrivning Operativa intentioner (kortsiktiga avsikter) Förmåga Tillfällen Någorlunda oföränderliga över tid Syftar till att dimensionera skyddet (kravspecifikation) Ger spårbarhet Ger långsiktig planeringshorisont Dimensionerande hot Operativa intentioner Kartläggning Elektroniskt spionage Spionage Fysiskt tillträde Fysiska angrepp Otillbörlig påverkan Sabotage Elektroniskt sabotage Varför? Vad? Hur? Säkerhetsanalys 11

12 Syftet med konsekvensanalys Identifiering av möjliga negativa utfall Vi vill veta: - Hur yttrar sig de negativa effekterna? - Hur allvarliga anses konsekvenserna vara? - Vad i verksamheten kan angripas för att detta ska uppstå? - På vilket sätt kan detta angrepp ske? Besvarar frågan vad som är skyddsvärt. Identifiera sårbarheter Verksamhet Sårbarheter Skyddsvärt Det är sårbarheterna i det skyddsvärda som ska hanteras i säkerhetsskyddsarbetet. Personer Fysiska anläggningar Informationsinfrastruktur Regelverk Sårbarheter relateras till det dimensionerande hotet Säkerhetsanalys 12

13 Åtgärder Identifiera skyddsvärden Genomföra säkerhetsanalys, informationsklassning... Organisera och strukturera dessa Sårbarhetsreduktion, regelverk och policys, segmentering... Skydda Avhålla/Avskräcka Upptäcka Fördröja Hantera hot Sammanställ resultatet Innehåll i säkerhetsanalysen Utpekande av det mest skyddsvärda i verksamheten Argumentation som beskriver varför Beslutsunderlag avseende säkerhetsskyddsåtgärder Säkerhetsanalys 13