Säkerhetsskydd en översikt. Thomas Palfelt

Transkript

1 Säkerhetsskydd en översikt Thomas Palfelt

2 Innehåll Begrepp och definitioner Regelverk Ansvar och ledning Säkerhetsplanering Säkerhetsprövning Informationssäkerhet IT-säkerhet Signalskydd Tillträdesbegränsning Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) Utbildning Kontroll Säkerhetsunderrättelseverksamhet 2

3 Begrepp och definitioner Vad avses med säkerhetsskydd? 1. Skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. 2. Skydd av sekretessbelagda uppgifter som rör rikets säkerhet. 3. Skydd mot terrorism. Vad avses med rikets säkerhet? Någon legal definition finns inte. Avser dock säkerheten för det nationella oberoendet och det demokratiska statsskicket. Vilken verksamhet berörs? 1. Stat, kommun och landsting. 2. Aktiebolag, handelsbolag, föreningar och stiftelser där (1) utövar ett rättsligt inflytande 3. Enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. 3

4 Begrepp och definitioner Vad ska säkerhetsskyddet förebygga? 1. Uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet). 2. Obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i (1) eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning). 3. Personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). 4

5 Regelverk Säkerhetsskyddslagen (1996:627) Säkerhetsskyddsförordningen (1996:633) Föreskrifter och allmänna råd (RPS och Försvarsmakten) Interna regelverk (tjänsteföreskrifter, riktlinjer, instruktioner m.m.) 5

6 Ansvar och ledning Ansvaret för säkerhetsskyddet inom en myndighet ligger hos ledningen. Det ska finnas en säkerhetsskyddschef som utövar kontroll över säkerhetsskyddet. Det ska finnas en ersättare för säkerhetsskyddschefen. På en myndighet ska säkerhetsskyddschefen vara direkt underställd myndighetschefen. Övrigt vad avser ansvar (regleras inom den egna organisationen): Chefer Projektledare Övriga medarbetare 6

7 Exempel på chefers ansvar i FMV avseende säkerhetsskydd Utse säkerhetsskyddsorganisation för den egna verksamheten Säkerhetsplanering Säkerhetsprövning av personal Säkerhetsklassinplacering av befattningar Inventering av sekretessbelagda handlingar som rör rikets säkerhet Intern säkerhetsskyddsutbildning Internkontroll av säkerhetsskyddet Hantera säkerhetsincidenter 7

8 Säkerhetsplanering Säkerhetsanalys Säkerhetsplan Säkerhetsbestämmelser 8

9 Säkerhetsanalys - metodik 9

10 Frågor en säkerhetsanalys ska kunna besvara Vet jag vilka skyddsvärda tillgångar min verksamhet hanterar? Förstår jag hur skyddsvärda de är? Finns det sårbarheter kopplat till någon hotbild för dessa tillgångar? Är sårbarheterna analyserade/värderade? Kan sårbarheterna reduceras? Förslag på hur i så fall 10

11 Säkerhetsplan För att omhänderta eventuella brister i säkerhetsskyddet som framkommit av en säkerhetsanalys ska säkerhetsplanen besvara: Vilka åtgärder ska vidtas? Vem eller vilka är ansvariga? När ska åtgärderna vara utförda?

12 Säkerhetsbestämmelser Tjänsteföreskrifter Interna säkerhetsbestämmelser Projektsäkerhetsinstruktioner 12

13 Säkerhetsprövning 13

14 Varför säkerhetsprövning? 11 Säkerhetsskyddslagen: Säkerhetsprövning skall göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism. Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen skall klarlägga om personen kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. 14

15 Säkerhetsprövning grundläggande uppgifter 14 Säkerhetsskyddsförordningen: Säkerhetsprövningen skall grundas på: 1. Den personliga kännedom som finns om den som prövningen gäller. 2. Uppgifter som framgår av betyg, intyg och referenser 3. Uppgifter som har kommit fram vid registerkontroll och särskild personutredning. 15

16 Säkerhetsprövningens innehåll Säkerhetsklass 3 Säkerhetsprövningssamtal Registerkontroll Av den som innehar den säkerhetsklassade befattningen Säkerhetsklass 2 Säkerhetsprövningssamtal Registerkontroll Av den som innehar den säkerhetsklassade befattningen Eventuell make/maka eller sambo Ekonomisk kontroll (var 5:e år) av aktuell person och make/maka eller sambo Säkerhetsklass 1 Som för säkerhetsklass 2 Säkerhetspolisen håller ett personligt samtal med den som har sökt anställningen 16

17 Säkerhetsprövning vad behövs? Beslut om placering i säkerhetsklass. Registerkontroll ska göras vid säkerhetsprövning om anställningen har placerats i säkerhetsklass. En myndighet ska föra förteckning över de anställningar som myndigheten har beslutat ska vara inplacerade i säkerhetsklass. 17

18 Informationssäkerhet 18

19 Informationssäkerhet grundläggande principer Informationssäkerhet handlar om att skydda informationstillgångar där information skyddas utifrån tre dimensioner: Konfidentialitet: information tillgängliggörs eller avslöjas inte till obehöriga (sekretess). Tillgänglighet: möjligheten att utnyttja informationen i förväntad utsträckning och inom önskad tid. Avsaknad av information resulterar i en funktionsförlust. Riktighet: informationen förändras inte av obehörig, av misstag eller på grund av funktionsstörning. 19

20 Informationssäkerhetsträdet Informationssäkerhet Administrativ säkerhet Teknisk säkerhet Fysisk säkerhet IT-säkerhet Datasäkerhet Kommunikationssäkerhet 20

21 Informationssäkerhetsklass vs sekretess Sekretess: förbud att röja en uppgift (OSL) Sekretess är på eller av Informationssäkerhetsklass: anger skyddsnivå för uppgifter som omfattas av sekretess 21

22 En handlings livscykel administrativa regler 22

23 IT-säkerhet 23

24 Krav på IT-säkerhet 24

25 Krav på funktioner för IT-säkerhet (Försvarsmakten) 25

26 Säkerhetsmålsättning för IT-system I en säkerhetsmålsättning för ett IT-system dokumenteras analyser över vilket skydd IT-systemet kräver och vilka åtgärder som måste vidtas för att skyddet ska få avsedd effekt. En säkerhetsmålsättning för ett IT-system innehåller: verksamhetsanalys, regelverksanalys, säkerhetsanalys (avseende hot, risker och sårbarheter), samt IT-säkerhetsspecifikation (ITSS). En säkerhetsmålsättning används under ett IT-systems livscykel som ett samlat kravdokument för IT-säkerhet. Fokus i en säkerhetsmålsättning ligger på vilka åtgärder som måste vidtas för att skyddet ska få avsedd effekt. 26

27 Signalskydd 27

28 Signalskydd - allmänt Signalskydd är per definition, åtgärder som syftar till att förhindra obehörig insyn i och påverkan av telekommunikations- och IT-system med hjälp av kryptografiska metoder och övriga signalskyddsåtgärder. Signalskydd används för att skydda information som omfattas av sekretess eller annan information med högt skyddsbehov. Ett signalskyddssystem är ett nationellt godkänt kryptosystem som består av tre samverkande enheter: Signalskyddsmateriel. Tillhörande kryptonycklar och/eller aktiva kort. En instruktion för hur systemet ska hanteras. 28

29 Tillträdesbegränsning 29

30 Tillträdesbegränsning - syfte Hindra obehöriga att få tillträde anläggningar m.m. där hemlig uppgift eller annat av betydelse för rikets säkerhet förvaras eller där verksamhet av sådan betydelse drivs Förebygga terrorism 30

31 Tillträdesbegränsning - genomförande Passerkontroll Byggnadstekniska åtgärder (lås, stängsel etc) Bevakningstekniska åtgärder (larm, TV-övervakning m.m.) Bevakning 31

32 Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) 32

33 Varför säkerhetsskyddsavtal? 8 Säkerhetsskyddslagen: När staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, skall staten träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Säkerhetsskyddsavtalet är statens sätt att omsätta säkerhetsskyddslagens krav på en leverantör. Det är en förutsättning för att placera leverantörens medarbetare i säkerhetsklass (registerkontroll). 33

34 Säkerhetsskyddsavtal vad behövs? Myndigheten ska träffa säkerhetsskyddsavtal med såväl huvudleverantör som eventuella underleverantörer. När ett säkerhetsskyddsavtal har ingåtts ska företaget upprätta en säkerhetsskyddsinstruktion. I instruktionen ska företaget redovisa vilka säkerhetsskyddsåtgärder som ska vidtas mot eventuella hot och risker. En myndighet ska utan dröjsmål underrätta Säkerhetspolisen om säkerhetsskyddsavtal som har träffats och om säkerhetsskyddsavtal som har upphört att gälla. 34

35 Utbildning 35

36 Varför utbildning? 30 Säkerhetsskyddslagen: Myndigheter och andra som lagen gäller för skall se till att personalen får utbildning i frågor om säkerhetsskydd. Syfte: Utbildning i säkerhetsskydd ska främst syfta till att klargöra varför och hur man ska vidta skyddsåtgärder mot hot av olika slag. 36

37 Utbildning - vad behövs? Varje myndighet ska ha en plan för utbildning i säkerhetsskydd samt föra en förteckning över de anställda som har säkerhetsprövats och som har genomgått utbildning i säkerhetsskydd. Detta bör även tillämpas beträffande företag med vilka myndigheten har träffat säkerhetsskyddsavtal. All personal erhåller grundläggande utbildning i ämnet. Ytterligare utbildning bör ges till dem som har sin arbetsplats förlagd i ett område där säkerhetskänslig verksamhet bedrivs eller som särskilt behöver skyddas. 37

38 Kontroll 38

39 Varför kontroll? 30 Säkerhetsskyddslagen: Myndigheter och andra som lagen gäller för skall se till att säkerhetsskyddet kontrolleras. Syfte: Syftet med sådana kontroller är att identifiera eventuella brister i säkerhetsskyddet. 39

40 Vad behövs? Kontroller ska ske fortlöpande och det ska föras protokoll över genomförda kontroller. Protokollen ska förvaras samlade vid myndigheten. Upprätta en plan för internkontroll. Varje myndighet ska också kontrollera säkerhetsskyddet hos de företag med vilka man har träffat säkerhetsskyddsavtal. 40

41 Kontrollområden Ledning Säkerhetsplanering Säkerhetsprövning Informationssäkerhet IT-säkerhet Signalskydd Tillträdesbegränsning Upphandling med säkerhetsskyddsavtal (SUA) Utbildning Kontroll Säkerhetsunderrättelseverksamhet 41

42 Säkerhetsunderrättelseverksamhet 42

43 Vilka hot finns? Aktörsdrivna hot Främmande Terrorism Sabotage Subversion Kriminalitet underrättelseverksamhet Icke aktörsdrivna hot 43

44 Vad är skyddsvärt? Personal Materiel Information Anläggningar Verksamhet 44

45 Hur skyddas tillgångarna? Säkerhetsprövning Säkerhetsplanering Tillgångar Hotbild Skydd (Proaktiva åtgärder) 45

46 Ytterligare information Säkerhetspolisens Säkerhetsskydd en vägledning : Försvarsmaktens handböcker: FMV och säkerhetsskyddsavtal: dsavtal/ 46