2005-02-15 Dnr: 112-2004-8084 Näringsdepartementet 103 33 STOCKHOLM Yttrande över rapporten Strategi för ett säkrare Internet Det svenska universitetsdatornätet SUNET har av Näringsdepartementet anmodats yttra sig över Post- och telestyrelsens rapport Strategi för ett säkrare Internet (ärendets beteckning N2004/8306/ITFoU). I egenskap av huvudman för SUNET avger Vetenskapsrådet följande yttrande, som baseras på synpunkter från SUNET. Vi inskränker oss till att kommentera de avsnitt i rapporten som regeringen säger sig vilja ha synpunkter på. Rubrikerna nedan hänvisar till avsnittsbeteckningarna i rapporten. 1.2 Mål Vi anser det förebyggande arbetet mycket viktigt och menar att det arbetet till stor del måste utföras av de organisationer som använder Internet. Regeringen bör utnyttja de möjligheter den har att genom föreskrifter se till att i varje fall myndigheterna lever upp till höga krav på säkerhetsmedvetande. Dessutom bör det finnas en stark organisation som kan reagera på ett adekvat sätt på de störningar som trots allt kommer att inträffa även om det förebyggande arbetet bedrivs på ett bra sätt. Det är omöjligt att förutse allt, och det kommer alltid att finnas krafter som vill destabilisera Internet. 1.3 Avgränsning PTS vill avgränsa sig till själva infrastrukturen och inkluderar i strategin inte åtgärder som användarna måste vidta. Det är förvisso omöjligt för PTS att uppfostra alla användare i Sverige, som för övrigt ändå bara utgör en mycket liten del av alla Internetanvändare. Men en säker och väl fungerande användarmiljö måste byggas upp av varje organisation och det är i användarledet inte tillräckligt att de organisationer som ansvarar för centrala DNS-funktioner, knutpunkter och distribution av tid sköter sig bra. Dessa funktioner måste utnyttjas på rätt sätt av användarna för att ge önskad säkerhet och funktionalitet. 3.2 Internetinfrastrukturen Indelningen i fysisk och logisk infrastruktur verkar rimlig. Personal behövs för att hantera och utveckla såväl den fysiska som logiska infrastrukturen. PTS vill beteckna personalen som en del av den logiska infrastrukturen men talar också om kundtjänstfunktioner inkl. personal. POSTADRESS/POSTAL ADDRESS BESÖKSADRESS/VISITING ADDRESS PHONE: E-POST/E-MAIL HEMSIDA-HOME PAGE SE-103 78 Stockholm Regeringsgatan 56 +46 (0)8546 44 000 vetenskapsradet@vr.se http://www.vr.se Sweden Stockholm FAX: ORGANISATIONSNR. +46 (0)8546 44 180 202100-5208
Det förefaller oklart om all personal eller bara personal för vissa av elementen i infrastrukturen räknas som infrastruktur av PTS. 4. Inriktning och strategiområden PTS gör det ganska uppseendeväckande påståendet att "Om inget radikalt görs finns risk att Internet blir obrukbart inom två år." Enligt vårt sätt att se är detta uttalande illa underbyggt, då Internet är en erkänt robust infrastruktur som många gånger visat sig fungera i svåra situationer, där de flesta andra infrastrukturer slagits ut. Två år kanske har valts för att det är en period som i IT-världen framstår som någorlunda överblickbar. Som kuriosa kan nämnas att Bill Gates på motsvarande sätt sagt sig tro att problemet med SPAM kommer att vara under kontroll inom två år. Internet går knappast mot en snabb katastrof om ingenting radikalt görs och vi fortsätter att laga säkerhetshål efterhand som de upptäcks. Vi är dock överens med PTS om att samhällets ökande beroende av Internet gör det alltmer angeläget att skydda vitala delar av Internet så att de inte lätt kan slås ut. Sant är också att användarorganisationer och enskilda användare som (av okunnighet eller nonchalans) inte tar ansvar för sin IT-miljö underlättar för de krafter som är ute efter att störa funktioner i Internet. 4.1.1 DNS Staten skulle kunna kräva att alla offentliga myndigheter (statliga, kommunala och landstingskommunala) använder DNS på ett korrekt sätt och har väl placerade sekundära DNS-servrar. Det är ett exempel på en åtgärd, där ansvaret ligger hos den användande organisationen och inte hos den för toppdomänen ansvariga organisationen. Numera finns det också ett hjälpmedel, DNSCHECK, för den som vill kontrollera att en domän är riktigt konfigurerad. Se http://www.nic.se/teknik/misc.shtml.. 4.1.2 Säkert trafikutbyte mellan operatörer Vetenskapsrådet anser i likhet med PTS att det är viktigt att säkra BGP-informationen. 4.1.3 IPv6 Den nya versionen av Internetprotokollet (IPv6) har än så länge inte fått någon större betydelse i Sverige, men blir viktig om det i framtiden skulle uppkomma en mycket stor efterfrågan på IP-adresser, t ex som en följd av utvecklingen inom IP-telefoni och mobiltelefoni. För närvarande ligger tyngdpunkten på testverksamhet och på att anpassa infrastrukturen så att det blir möjligt att använda IPv6. Som påpekas i PTS rapport gör IPv6 inte Internets infrastruktur säkrare utan inför en ökad komplexitet. En risk med IPv6 är också att det skapas isolerade IPv6-öar som inte kan nås av IPv4- användare. SUNETs policy är att avråda från att sätta upp tjänster eller funktioner som enbart kan nås via IPv6, och detta borde kunna vara en rekommendation till samtliga myndigheter.
4.1.4 Säker tid PTS anger en rad goda skäl varför tidgivning och användning av noggrann tid är en viktig funktion. Vetenskapsrådet instämmer, och vill påpeka att det är viktigt att påverka användare att i större utsträckning än idag använda sig av tid med tillräcklig noggrannhet och spårbarhet. Ett skäl är att hantering av incidenter annars försvåras eller till och med omöjliggörs på grund av att brandväggsloggar etc. inte har korrekta tidsstämplar. Tyvärr används inte Statens Provningsinstituts (SPs) tidgivning och de tidsservrar som finns på de nationella Internetknutpunkterna i sådan utsträckning som borde vara fallet, eftersom tid nu i många fall hämtas från utländska källor. Genom SP har Sverige en egen produktion av tid - UTC(SP) - och SUNET rekommenderar att SP används som primärkälla av samhällsviktiga funktioner. Staten borde kunna kräva att alla offentliga (statliga, kommunala och landstingskommunala) myndigheter använder tid som är spårbar till UTC(SP) genom att använda de tidsservrar som finns på Internetknutpunkterna. För att underlätta den långsiktiga utvecklingen för tid och frekvens i Sverige föreslår Luleå tekniska universitet i sittt remissvar, som Vetenskapsrådet tagit del av, att SUNET får bli testbädd för utvärdering av system/funktioner/utrustning som utvecklas för säkrare tid. SUNET är för sin del berett att ta på sig en roll och kan även - direkt eller via någon högskola/universitet - bidra med kompetens inom det område som hanterar gränsytan mellan datorsystem och datornätverk. En samhällsroll som denna bör enligt Vetenskapsrådet dock inte finansieras av universitet och högskolor utan SUNET bör i så fall ges finansiellt stöd för uppgiften att utforma framtida nät så att de till fullo stödjer distribution av tid. 4.2 Fysisk infrastruktur Det absolut viktigaste enligt Vetenskapsrådet vad gäller den fysiska infrastrukturen är att det finns tillräckligt med reservkraft för företag och offentliga institutioner. Kraftöverföringen i Sverige har drabbats av flera stora avbrott och ibland svårutredda fel. I samband med avbrott uppkommer också ofta skador på utrustning. 4.3 Information för ökat säkerhetsmedvetande Här talas om en nationell informationskampanj (ett förslag från IT-företagen som fått stöd av bl a PTS). II-stiftelsen har kritiserat kampanjen för att vara ett marknadsföringsjippo och inte en uthållig satsning. Som en följd av kritiken ser det nu ut att bli en mer långsiktig satsning. Ingenting är så svårt som att förändra attityder och beteenden, så man bör inte ha någon övertro på kampanjer av detta slag. Men det skadar säkert inte att säkerheten hamnar i fokus, om än bara för någon tid.
4.4 Samordnad forskning Antalet forskargrupper som arbetar inom IT-säkerhetsområdet har ökat under de senaste fem åren, meddelar PTS. Det är en intressant upplysning och Vetenskapsrådet tar gärna del av material som visar detta. I rapporten sägs att det är viktigt att staten gör strategiska och samordnade satsningar inom IT och elektronisk kommunikation. Ett nationellt forskningsprogram bör enligt PTS övervägas. De samordnade satsningar som har gjorts har dock inte alltid varit framgångsrika. Inom ett område som IT-säkerhet handlar det för övrigt inte bara om forskning utan också om utvecklingsarbete för att nå uppsatta mål. Det behöver inte heller vara fråga om samordning på ett nationellt plan. Internet utvecklas genom ett internationellt samarbete, och även forskningen blir alltmer internationell. Vetenskapsrådet anser att det är viktigt att forskningen i Sverige eller utomlands - sker inom etablerade forskningsmiljöer med väl inarbetad forskningskompetens. Utvecklingsprojekt har andra förutsättningar och kan ibland med fördel bedrivas helt eller delvis i industriell miljö. Innan nya nationella program startas upp bör undersökas om det inte går att bygga vidare på de satsningar som redan planeras av t ex Vinnova och Vetenskapsrådet. Ett samarbete på nordisk nivå som kan vara intressant i sammanhanget är Nordunet 3-programmet, som idag domineras av de nordiska forskningsråden. 4.5 Internationell och nationell samverkan Vetenskapsrådet ställer sig tveksam till en så långtgående samordning som PTS tycks förorda. Samma frågor diskuteras ibland inom organ som ITU, ICANN, EU och OECD men från olika utgångspunkter, och Sverige har i varje organ representanter med den kompetens som matchar organisationens kärnfrågor. Aktörerna har olika intressen att bevaka, och det är nog en utopi att det skulle gå att arbeta fram en samordnad svensk syn i alla frågor. Internetoperatörer, Internetinnehållsleverantörer, användare och Internetexperter har alla ett intresse av att kunna påverka det internationella arbetet och har alla sina organisationer. Dock borde det finnas ett slags forum där alla berörda kan träffas och diskutera frågor av gemensamt intresse och därigenom få en förståelse för hur olika intressenter ser på frågan från sina aspekter. I sådana diskussioner bör då de ansvariga departementstjänstemännen och -kvinnorna vara med och lyssna, så att de kan redogöra för och driva svenska synpunkter i internationella församlingar. Vetenskapsrådet känner för övrigt inte igen den bild som i rapporten ges av Internetoperatörerna. Att dessa skulle sakna incitament att stänga av kunder, som är oaktsamma eller ägnar sig åt förmodat brottslig verksamhet, är helt enkelt inte sant.
4.6 Reglering Vi avstår från att kommentera de olika delavsnitten i detta kapitel. Som tidigare antytts anser vi att staten bör fastställa regler som är bindande för alla offentliga (statliga, kommunala och landstingskommunala) myndigheter i syfte att skapa en säkrare IT-miljö. Lagreglering och myndighetsföreskrifter bör också i vissa fall kunna användas för att få andra intressenter än myndigheter att vidta önskade åtgärder Samtidigt bör framhållas att en lag som inte snabbt kan anpassas till den tekniska utvecklingen ofta lätt blir obsolet, varför det inte är självklart att lagstiftning alltid är den bästa formen. Ett exempel på detta är Ekom-lagen (EkomL) som trots namnet verkar ha skrivits utifrån ett telefoniperspektiv snarare än ett Internetperspektiv. (Krav ställs t ex på god funktion och teknisk säkerhet vad gäller allmän telefonitjänst men inte på andra elektroniska kommunikationsnät.) Krav på leverantörerna av operativsystem En aspekt som såvitt vi kunnat finna inte tas upp explicit i rapporten är att de operativsystem som levereras till användarna inte från början ger önskvärd säkerhet. En dator med Windows operativsystem förinstallerat kan, när den ansluts till Internet, snabbt drabbas av intrång. Microsoft tillhandahåller visserligen säkerhetsuppgraderingar över nätet, men skadliga program kan ofta införas i datorn innan dessa uppgraderingar hinner hämtas och installeras. Staten och den offentliga sektorn är en viktig kund för leverantörerna av operativsystem och borde kunna kräva högre säkerhet än den som erbjuds i dag. Sverige borde också driva den frågan i EU och om möjligt få till stånd ett samlat agerande, så att leverantörerna verkligen anstränger sig att leverera så säkra produkter som möjligt och inte låter användarna upptäcka och lösa problemen i efterhand. Beslut i detta ärende har fattats av generaldirektör Pär Omling i närvaro av biträdande generaldirektören Gunnel Gustafsson och administrative chefen Jan Stålhammar. Föredragande har varit sekreteraren i SUNETs styrelse Olle Thylander. För Vetenskapsrådet Pär Omling Generaldirektör Olle Thylander Sekreterare SUNET