Ett säkrare samhälle i en föränderlig värld Signalskydd Vad är signalskydd och på vilket sätt kan signalskydd stödja er verksamhet?

Transkript

1 Ett säkrare samhälle i en föränderlig värld Signalskydd Vad är signalskydd och på vilket sätt kan signalskydd stödja er verksamhet? Roger Forsberg roger.forsberg@msb.se

2 Signalskydd (Säkra kryptografiska funktioner) P R R A A T T A A T R A U T A N N A A K T OL T Å N Å G O O GO N O B O B E H H E Ö R Ö I R G D F Ö R R S T S S T Å RÅ R 2

3 Målsättning Efter lektionen ska elev ha god kunskap om: Vad är signalskydd När behövs signalskyddsystem och hur kan signalskydd vara en möjliggörare i verksamheten Vad gör signalskyddssystem bättre än andra krypton Vilka typer av signalskyddssystem finns idag Hur får man tillgång till signalskyddssystem 3

4 Signalskydd - vad är det? FM ska leda och samordna signalskyddstjänsten inklusive arbetet med säkra kryptografiska funktioner inom totalförsvaret System med kryptografisk funktion som har godkänts av Försvarsmakten för skydd av hemliga uppgifter FM är garant för att systemet gör vad det ska och inget annat samt att det skyddar upp till en fördefinierad nivå Signalskyddssystem består av Krypto (kryptomodul) Kryptonycklar, certifikat Systeminstruktion Tydligt regelverk Utbildad personal (behörig personal) För att upprätthålla skyddsnivån krävs det att alla i hela kedjan 5 följer gällande regelverk och instruktioner

5 Vart börjar man? Säkerhetsskyddsanalysen Identifiera skyddsvärda tillgångar Identifiera hotbild Hur ser verksamhetens behov ut av att kunna förmedla de skyddsvärda tillgångarna, internt och externt, tal, data eller fax Omfattas de skyddsvärda tillgångarna av sekretess som rör rikets säkerhet, ska signalskyddssystem användas då dessa förmedlas utanför ett nät som organisationen har full kontroll över (logiskt och fysiskt) 13 i Säkerhetsskyddsförordningen framgår följande: Hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvarsmakten. 6

6 Hot mot våra tillgångar Bloggar Så väl inom Försvarsmakten Foto E-post Smart -phones På fredag sticker vi på en veckas uppdrag i det norra området. Vi har identifierat en mycket allvarlig brist i en standard PLC för eldistributionen! Kan snabbt lamslå stora delar av el-nätet i Sverige! Avlyssning Obehörigt intrång IT-sytem, LAN, wifi Molntjänst Vårdslös hantering Störningar, avbrott Digitala lagringsmedia Röjande signaler Varning! 7

7 Ledningssystem för informationssäkerhet LIS ISO Basnivå SKYDD AV INFORMATION Konfidentialitet, tillgänglighet, riktighet och spårbarhet Information som ej behöver särskilt skydd, kan vara blanketter som ska fyllas i, informationsblad etc. Ingen kryptering Personuppgiftslag Kommersiell Kryptering SSL Certifikat INFOSÄK Bl.a. 18 kap. 8 skydd för anläggningar, tele mm 18 kap. 13 Risk- och sårbarhetsanalyser mm 19 kap. 3 upphandling Ingen nationellt godkänd kryptometod MYNDIGHETSBESLUT OM ÅTGÄRDER Offentlighet & Sekretesslag Kryptolösning KSU KURIR (RAKEL) SGSI Skydd av känsliga uppgifter Skydd av skyddsvärd uppgifter samt sekretessbelagda uppgifter Sekretessbelagda uppgifter som rör rikets säkerhet (HEMLIGA UPPGIFTER), är 15 kap. 2 men kan även vara vissa uppgifter enligt bl.a. 15 kap 1, 18 kap 1, 2, 5, 8, 9 och 13 Offentlighet & Sekretesslag Kryptering säkerställer även riktighet och spårbarhet OGRANSKAT KRYPTO Tryckfrihetsförordningen offentlighetsprincipen, upphovsrätt Offentlighet & Sekretesslag - allmän och offentlig handling Arkivlagen - arkivering och lagringsbestämmelser Säkerhetsskyddslag grundläggande krav KSU KONFIDENTIALITET Kryptolösningar signalskydd SG R SG C SG S SG TS Kryfax MGM Data MGS, PGAI mfl Telefon MGL SÄKERHETSSKYDD SIGNALSKYDD RÖS, Intrång Manipulering Störsändning Avlyssning Nationellt godkända kryptosystem ÅTGÄRDER ENLIGT SÄPO OCH FM FÖRESKRIFTER Krav för sekretess - Klassificering av information och signalskyddsnivå Assuranskrav - Säkerhetsgranskning och godkännande av krypton Funktionskrav - Intrångsskydd, inloggning och autentisering, krav på integritet Krav på utbildning och administrativ kontroll - Ansvar, dokumentation, materiel och nyckelhantering Tillgångar Skyddsåtgärd

8 Signalskydd vad kan det användas till Skydda hemliga uppgifter, uppgifter som rör rikets säkerhet Datatrafik i datanät inom organisationen eller mellan organisationer Filer som skickas/förmedlas via mail, ftp, på USB, på DVD etc. Vid telefonsamtal/sms (mobil (på gång) eller fast) Då fax skickas (svart/vit) Inom Sverige och till utlandet 9

9 Signalskydd skyddar mot Avlysning 0ch obehörig åtkomst (Konfidentialitet) Falsksignalering (Riktighet, Identitet) Obehörig påverkan, förändring (Riktighet) Intrång (HW) Obehörig åtkomst till system (Autentisering) Trafikanalys (Kartläggning när trafik flödar eller ej) 10

10 Signalskydd bara jobbigt eller en möjliggörare Rätt använt signalskyddssystem säkerställer Konfidentialitet (ingen obehörig kan ta del), Riktighet (ingen förändring kan göras oupptäckt) och Spårbarhet (äkthet, autenticering) endast behörig avsändare Får även användas till annan skyddsvärd eller sekretessbelagd information som inte rör rikets säkerhet Användandet av Signalskydd är en viktig skyddsåtgärd för att organisationen ska uppnå en hög informationssäkerhet vid hantering av hemliga uppgifter Signalskydd ska vara en naturlig del i arbetet med hemliga uppgifter 11

11 Med utbildning och enkla åtgärder kan du höja säkerheten inom din organisationen markant Signalskydd skyddar inte mot avlyssning av akustisk RÖS, ex. när du pratar i kryptotelefon. Beakta akustisk RÖS i lokal/på stan/på tåg! Hemliga uppgifter/information delges endast i lokaler/områden du har kontroll över SÅRBARHETER Väggar, dörrar, tak, kabelkanaler mm. kan leda ljud och dölja otillåten utrustning. Insyn Området utanför lokalen (WC, frd, konferensrum). Fönster och stomljud kan avlyssnas Dolda inspelningsapparater kan fjärrstyras Onödiga apparater, sladdar, inventarier kan innehålla aktiv eller passiv avlyssningsutrustning

12 Krypto kan missbrukas Ransomeware (Cryptolocker) Olika användningsområden för Signalskydd Textskydd (Avlyssning) VPN (flera tunnlar) Linjekrypto (punkt till punkt, ex. länkstråk) Filkrypto Talkrypto Fax Trafikskydd (Trafikanalys) Auteticering (inloggning med smarta kort och certifikat i ex. H-system) 13

13 SIGNALSKYDDSSYSTEM VS KOMMERSIELLT KRYPTO Signalskyddssystem (gör vad det utges för att göra och inget mer) Godkänt för hemliga uppgifter Styrkan är känd och verifierad, granskad och godkänd av Försvarsmakten Tydligt regelverk (regler, utbildning, egna rutiner etc) En helhetslösning (regler, utbildning, nycklar, distribution, kryptoapparat mm) Enhetligt, informationsutbyte med andra myndigheter samma hantering Kommersiellt Krypto som inte är granskat (gör kanske vad det utges för att göra och kanske lite!!) Ej för hemliga uppgifter Ej granskat av FM Hanterar systemet utifrån egna behov (och kunskap) Olika organisationer Olika hantering (Svaghet) Användaranvisning, möjligtvis Många olika system, okänd styrka på krypto 14

14 ½-17 Regelverk FM föreskriftsrätt för alla myndigheter inom Totalförsvaret, övriga tecknas särskild överenskommelse/avtal med FM:s FFS 2016:3 reglerar signalskyddsverksamheten För respektive system finns tydlig instruktion framtagen Myndighetsspecifik Signalskyddsinstruktion/plan H TST Grunder allmänt om signalskydd 15

15 Reglering I Förordning 2015:1053 om totalförsvar och höjd beredskap framgår vilka myndigheter som ska ha signalskyddssystem MSB beslutar om vilka övriga myndigheter, företag och organisationer som ska ha signalskyddssystem, tecknar också överenskommelse/avtal med dessa MSB föreskriver också när Civila myndigheter som har signalskyddssystem ska ha kryptoberedskap 16

16 Viktiga aktörer då det gäller Signalskydd Försvarsmakten MSB FRA Er organisation 17

17 MSB Framför behov och prioritering av nya system utifrån Civila myndigheters behov Beslutar om tilldelning av signalskyddsmateriel till Civila myndigheter och andra aktörer för extern samverkan, Förskriftsrätt för Civila myndigheter, MSBFS 2009:11 18

18 Processbeskrivning anskaffning av signalskyddssystem Säkerhetsanalysen eller annan myndighet ser samverkansbehov Kontakta MSB och boka ett inledande möte med MSB, FRA och FM (endast första gången) Hemställan till MSB (Hemlig, kan avslöja en ev. framtida förmåga eller nuvarande oförmåga) Organisation som ej omfattas föreskrift enligt 33, Förordning (2007:1266 ) med instruktion för Försvarsmakten MSB tecknar Överenskommelse Utbildning, Signalskyddschef (dokumentera på utbildningsbevis), systemoperatör Signalskyddsinstruktion/plan Tilldelning av mtrl Beställning an kryptonycklar (om detta ej gjort i samband med hemställan) Driftsättning 19 (Utbildning av användare)

19 Kryptoapparater Välj system utifrån samverkansbehov och nivå H/C - H/TS RÖS U1 el U2 Plomberade VPN/datakrypto Filkrypto Talkrypto (Signalskyddsberedskap) Faxkrypto (Signalskyddsberedskap) 20

20 Använd de system som finns Vi har ett antal godkända system, var kreativ. Hur kan man använda de vi har för att lösa en uppgift? Videokonferens Telefonkonferens IP-telefoni Enkelt H-nät mellan myndigheter Ex. VPN-förbindels H/R för att skicka MGSkrypterade filer via minskad risk för skadlig kod 21

21 Filkrypto Med hjälp av filkrypto är det enkelt att utbyta hemliga uppgifter på ett säkert sätt. Två nivåer H/R och H/S Mindre mängd/enhet/organisation kan vara H/R Vid aggregering av info från flera enheter organisationer kan då bli H/S, enstaka uppgifter kan dock vara H/S Små specifika nyckelserier Projekt, funktioner etc. FM en viktig part i detta för bl.a. Länsstyrelser Länsstyrelser en viktig part för kommuner 22

22 Nyckelansvarig myndighet NAM NAM är en del av rollen som signalskyddsorganisation Taktisera med krypto Skapa små kryptonyckelserier Projekt internt/externt Samverkansområden Utse någon inom projektet som är NAM för nyckeln Exempel på samverkan med filkrypto. NAM ex. Länsstyrelse, Militärregion, central myndighet Exempel Lämpligt krypto utifrån verksamhetens behov Koden till Lokalt t.ex. H/R organisationens säkerhetsskåp Regionalt t.ex. H/S Central t.ex. H/TS 23

23 Kan kompletteras med ytterligare krypto för förmedling av Hemliga uppgifter Swedish Government Secure Intranet - Myndighetsintranet med hög tillgänglighet, upp till 99,98 - VPN-krypto - Mailrelay - Skyddad videokonferens - Tjänster hos andra myndigheter - Ett bärarnät mellan och inom myndigheter - Skilt från Internet NISU 2014 På gång - E2EE - RAKEL-koppling 24

24 Myndigheter anslutna till SGSI Nu 34

25 Tillbakablick Stöld av information ett av det största cyberhoten idag! Tillgänglig och rätt information är också en viktigt! Förhindra att obehöriga och även resursstarka aktörer kommer över våra informationstillgångar, eller förändrar/förvanskar dessa, verifierad styrka! MSB inriktar och samordnar civila myndigheters signalskyddsverksamhet. Beslutar även om tilldelning av signalskyddssystem. Varje organisation/verksamhet är ansvarig för sin egna informationssäkerhet inklusive behoven av signalskyddssystem. Ökad efterfrågan, vilket är positivt! Säkerhetsanalysen är grunden Klassa informationen, så att relevanta skyddsåtgärder vidtas 26

26 VIKTIGT! Att komma ihåg efter denna lektion Säkerhetsskyddsanalysen är grunden Signalskydd en möjliggörare verifierad styrka DU uppnår inget säkerhetsskydd i DIN organisation utan säkerhetsmedvetna användare - UTBILDNING Funderingar kring eller behov av signalskyddssystem, börja med att kontakta MSB roger.forsberg@msb.se Enheten för skydd av kritiska infrastruktur och cybersäkerhet 27

27 Swedish Government Secure Intranet Frågor?

28 SLUT 29

29 VPN-krypto Skapar en tunnel till motparten Samma krypto kan hantera flera tunnlar utan överhörning Ett krypto mot ex 10 olika myndigheter med 10 separata tunnlar 32

30 Filkrypto Krypterar filer som sedan kan bifogas mail över ex. Internet Programvarukrypto upp till H/R Hårdvarukrypto upp till H/S 33

31 Tal Kryptoapparat till mobiltelefon o bordsadapter Blåtand Kryptotelefon Stationär (Signalskyddsberedskap) 34

32 Krypterad fax Endast svart-vit!! Smidigt system vid få sidor Många myndigheter har en kryptofax Halvdan bildkvalité, bäst för text (Signalskyddsberedskap) 35

33 Kryptonycklar/Certifikat Pappersnyckel Elektroniska nycklar (ex. överförd pappersnyckel till aktivt kort, Certifikat på aktivt kort/cd) Laddas via: Streckkodsläsare Kortläsare Knappas in (siffror) Via USB Via CD Elektroniskt (framtid) Öka säkerheten - Taktisera med nycklar, små serier ger högre säkerhet 36

34 Taktisera med krypto Små kryptonyckelserier Projekt Samverkansområden Lämpligt krypto för uppgiften Lokalt t.ex. H/R Regionalt H/C Central H/TS 37