EBITS 2013 Elförsörjningen i Cyberkriget

Transkript

1 EBITS 2013 Elförsörjningen i Cyberkriget

2 Identifiering och hantering av kritisk information avseende infrastruktur Metod för att hitta denna typ av information Rita Lenander CISO, E.ON MU Nordic Ordf. EBITS

3 Presentationen Jag kommer att visa en metod för att identifiera information om kritisk infrastruktur inom energibranschen, men även klassning, riskanalys och framtagning av beslutsunderlag. Frågan är ytterst aktuell då SvK:s nya föreskrifter SKFS 2013:1 ställer högre krav på hur kritisk infrastruktur och informationen om den ska hanteras. Föreskrifterna började gälla den 1 juli Förberedelsefas Utförandefas Rapportfas 3

4 Metodsteg Motivera - Varför ska vi göra detta Förberedelsefas Definiera Vilken information avses Avgränsa Betydelseklassning Identifiera Hitta informationen och dokumentera Utförandefas Klassificera Klassificera system som röd/grön Riskanalysera Gör riskanalys och åtgärdsförslag Rapportfas Rapportera Ta fram beslutsrapport 4

5 Motivera - Varför ska vi göra detta Samhällsviktig verksamhet Definition: En samhällsfunktion av sådan betydelse att ett bortfall av eller svår störning i funktionen skulle innebära stor risk eller fara för befolkningens liv och hälsa, samhällets funktionalitet eller samhällets grundläggande värden Kritisk Infrastruktur Definition: Fysisk struktur vars funktionalitet bidrar till att säkerställa upprätthållandet av viktiga samhällsfunktioner Samhällssektorer inom vilka viktiga samhällsfunktioner kan identifieras: Energiförsörjning Information och kommunikation Finansiella tjänster Hälso- och sjukvård Transporter m.fl. 5

6 Definiera - Lagar, förordningar, föreskrifter mm Relevanta lagar och förordningar Säkerhetsskyddslagen (1996:627) med tillhörande förordningar (1996:633) och föreskrifter. Skyddslagen (2010:305) med tillhörande förordningar (2010:523) och föreskrifter. Sekretesslagen (2009:400) med tillhörande förordningar (2009:641) och föreskrifter. Lagen (1993:1742) om skydd av landskapsinformation med tillhörande förordningar (1993:1745) och föreskrifter. Relevanta föreskrifter Svenska Kraftnäts författningssamling, SvKFS 2013:1 Relevanta vägledningar Säkerhetsanalys, SvK Ett fungerande samhälle i en föränderlig värld, MSB december 2011 Vägledning till ökad säkerhet i industriella kontrollsystem, MSB december 2009 Annat SvKs utlåtande efter domslut i Kammarrätten, , Diarienr: 2012/871 6

7 Definiera - Vilken information avses Lag etc 1 Säkerhetsskyddslagen (1996:627) med tillhörande förordningar (1996:633) och föreskrifter. Skyddslagen(2010:305) med tillhörande förordningar (2010:523) och föreskrifter. Sekretesslagen (2009:400) med tillhörande förordningar (2009:641) och föreskrifter. Lagen (1993:1742) om skydd av landskapsinformation med tillhörande förordningar (1993:1745) och föreskrifter. Svenska Kraftnäts författningssamling, SvKFS 2013:1 Regelverk och definitioner Förutsättningar för hantering och utbyte Avser Def Exempel Vid utbyte av information som omfattas av kolumn B skall följande förutosättningar vara uppfyllda: - Det ska finnas ett generellt säkerhetsskyddsavtal mellan Sverige och det land uppgifterna skall utbytas med. Saknas sådant avtal mellan länderna får uppgifterna ej utbytas. - Lokalerna där uppgifter ska hanteras ska vara säkerhetsgodkända av den nationella säkerhetsmyndigheten i det land uppgifterna ska utbytas med. (Facility Security Clearance, FSC). - De personer som ska ha tillgång till uppgifterna ska vara säkerhetskontrollerade av den nationella säkerhetsmyndigheten i det land uppgifterna ska utbytas med. (Personell Security Clearance, PSC). Sverige har ej ingått några generella säkerhetsskyddsavtal med annat land. Endast Sveriges regering kan teckna dessa. Sammanställda uppgifter om svenska stam eller regionala elnäts struktur, ledningars och anläggningars geografiska position eller information om drift, spänning eller strömstyrka är uppgifter som är en del av försörjningsberedskapen och som ingår i totaltförsvaret. Bestämmelserna innebär att uppgifter som kan antas skada landets försvar eller på annat sätt vålla fara för rikets säkerhet innefattande terroristhot, sabotage och spioneri får ej utbytas utanför svenskt territorium. Uppgifterna var för sig torde inte vara sekretesskänsliga men då uppgifter Skyddsobjekt: 4 Följande byggnader, andra anläggningar och områden kan beslutas vara skyddsobjekt 1. statschefens och tronföljarens residens och bostäder samt statsministerns bostäder, 2. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riksdagen eller riksdagsförvaltningen, 3. byggnader och andra anläggningar som staten, en kommun eller ett landsting har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kommunal verksamhet, 4. byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänsten eller totalförsvarets civila delar i övrigt eller för fredstida krishantering, energiförsörjning, vattenförsörjning, elektroniska kommunikationer, transporter eller sammanställs kan uppgifterna anses försvarsindustriella ändamål, och ha ett högt skyddsvärde. Detta 5. byggnader, andra anläggningar och områden som används eller betyder att det är databaser eller är avsedda för verksamhet som innefattar upprätthållande av sammanställda data i rapporter eller allmän ordning och säkerhet, verksamhet inom kriminalvården liknande som ska skyddas medan eller Sveriges försörjning med sedlar och mynt. enskilda poster kan vara ok. Det avgörande är om det med ledning av 5 Följande byggnader, andra anläggningar och områden eller en eller flera uppgifter går att objekt kan också beslutas vara skyddsobjekt identifiera enligt ovan. 1. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Försvarsmakten, Försvarets materielverk eller Försvarets radioanstalt, samt militära fartyg och luftfartyg, *Littera och stationsnamn regionnät *Mätarritningar *Stationsschema *Uppgifter om skyddsobjekt *Koordinater *Geografisk information om anläggningar och ledningar. *Information om samhällsviktig verksamhet och kritisk infrastruktur. 7

8 Avgränsa - Betydelseklassning av anläggningar Klass Betydelse Exempel B1 Endast lokal betydelse Nätstationer, förråd/depåer, lokalkontor. B2 Regional eller stor lokal betydelse Mindre KV, KVV, VV*. Större mottagningsstationer, kontor, förråd, radiolänkar. Fördelningsstationer (mellan kv). B3 Nationell eller stor regional betydelse KKV, större KV, KV, V*. Större driftcentraler, regional betydelse kontrollrum, knutpunkter i regionnät, stamstationer, fördelningsstationer (från 220 kv), dammanläggningar, bränsledepåer (lagervolym > m3) och huvudkontor. För fjärrvärme viktiga pumpstationer och distributionsnät. B4 Avgörande nationell betydelse Viktiga knutpunkter i stamnätet, viktiga anläggningar för dödnätsstart. Betydelseklassningen är framtagen av SvK för klassning av el- & energianläggningar och innehåller fyra klasser, från B1 till B4 där B4 innebär högsta säkerhetsklass. Vissa anläggningar har krav från SvK eller länsstyrelsen om att vara utpekade skyddsobjekt. Det går även att göra en grov översättning mellan skyddsobjektklass och betydelseklass. Skyddsobjektklass A motsvarar i huvudsak betydelseklass B 3 och B 4 Skyddsobjektklass B motsvarar i huvudsak betydelseklass B 2 och B 3 Skyddsobjektklass C motsvarar i huvudsak betydelseklass B 1 och B 2

9 Avgränsa - Betydelseklassning påverkar logisk skydd och hantering av informationen Betydelseklassningen påverkar logiskt skydd och hantering av informationen. Logiskt skydd ska motsvara fysiskt skydd Tabell 2: Lägsta krav på ingående logiska skyddsfunktioner kopplat till betydelseklass B 1 Behörighetskontroll med individuella konton Kontroll över körbara applikationer och processer Skydd mot skadlig kod B 2 Behörighetskontroll med individuella konton Kontroll över körbara applikationer och processer, Intrångsövervakning av ingående servrar och klienter Skydd mot skadlig kod B 3 Behörighetskontroll med individuella konton Kontroll över körbara applikationer och processer, Intrångsövervakning av ingående servrar, klienter och nätverk med logg funktionalitet Möjlighet till segmentering av nätverket med reducerad drift/funktionalitet, Skydd mot skadlig kod B 4 Behörighetskontroll med individuella konton Kontroll över körbara applikationer och processer, Intrångsövervakning av ingående servrar, klienter och nätverk med logg funktionalitet Möjlighet till segmentering av nätverket med full drift/funktionalitet, Skydd mot skadlig kod 9

10 Identifiera - Hitta var informationen finns dokumentera detta Frågeformulär som fylls i för varje system Systemets namn: Systemets fysiska placering: Driftsleverantör: Avtal: Elnätets struktur Ledningar Anläggn. Övrigt Kommentar Geografisk information (ex adresser eller beskrivning som gör det möjligt att identifiera lokation) 1 Information om geografisk position: koordinater 2 Information om drift av nätet 3 Information om spänning 4 information om strömstyrka 5 Teknisk information tex ritningar, beskrivningar. 6 10

11 Klassificera Klassificera system som röd/grön System med röd information System med grön information System med röd information Sammanställning av klassade system Sammanställning av samtliga system som finns inom bolaget. System Bolag Klassificering: RÖD / GRÖN Fysiskt Lokation idag Verksamhetsansvarig Informationssäkerhetsansvarig Integration direkt med annat system Access från/till 11 Regeldokument

12 Riskanalysera - Genomför riskanalys och ta fram åtgärdsförslag Genomför en scenariobaserad riskanalys i workshopsformat. Ta fram en åtgärdsplan för att minimera riskerna och/eller uppfylla lagkrav. Systemnamn Klassning Åtgärd Ledningskartor Röt t Säkerhetskontroll av driftställe samt uppdatera regler och system krav. Verifiera rutin säkerhetsprövning. Risk Management System Röt t Säkerhetskontroll av driftställe samt uppdatera regler och system krav. Kontrollera systemberoende. Verifiera rutin säkerhetsprövning. Miljödatabasen Grönt Ingen 12

13 Rapportera - Exempel beslutsrapport Rapport 13

14 Trygghet och förtroende byggs i millimeter, men rivs i kilometer Säkerhet skapar trygghet och förtroende, men bristande säkerhet raserar det