Juridiska motmedel IT-relaterad brottslighet Helena Andersson Institutet för rättsinformatik Stockholms universitet H. Andersson IRI 1 Upplägg Informationssäkerhet Juridikens roll IT-relaterad brottslighet Utmaningar Relevant juridik Dataintrång Intressanta rättsfall H. Andersson IRI 2 1
Att uppnå informationssäkerhet Informationssäkerhet? Hot och nivåer Olika typer av verktyg H. Andersson IRI 3 Hur skapa säkerhet? Olika verktyg: Tekniska verktyg (brandväggar, IDS, antivirusprogram m.m.) Administrativa verktyg (fungerande behörighetsadministration, tydliga ansvarsområden) Juridiska verktyg M.fl. Kombinationer Utmaningar H. Andersson IRI 4 2
Juridikens roll Kriminalisera vissa typer av beteenden Ställa krav på viss nivå av säkerhet säkerhetsarbetet säkerhetsnivåerna Peka ut de/den som är ansvarig för säkerhetsfrågorna H. Andersson IRI 5 IT-relaterad brottslighet Dataintrång Bedrägerier Narkotikabrott Barnpornografi Förtal m m Spam Brott mot upphovsrättsreglerna mm (virus) H. Andersson IRI 6 3
Brottsutredning Traditionellt: Vapen/verktyg, signalement, på bar gärning, misstänkt, efterlysning, vittne, spår IT-relaterat: Var finns verktyg, vittne, spår med mera i cyberspace? Trafikdata Abonnentuppgifter Intressekonflikt H. Andersson IRI 7 Juridiska utmaningar Globalitet Anonymitet Mobilitet Kryptering H. Andersson IRI 8 4
Åtgärder Internationellt samarbete Europarådet Convention on Cybercrime EU Cyberbrottsmeddelandet Nätsäkerhetsmeddelandet Åtgärder mot barnpornografi Dataskyddsdirektivet Hackingrambeslutet Nät- och informationssäkerhetsbyrån Interpol/Europol Övriga H. Andersson IRI 9 IT-relaterad brottslighet Gärningsmän Insiders (ex anställda, konsulter) Outsiders Hackers (white hat/black hat) Crackers Phreakers Script-kiddies/lamers Varför blir man IT-brottsling? H. Andersson IRI 10 5
Brottslingen Risken för upptäckt Det arbete som måste läggas ned på handlingen. Vinsten H. Andersson IRI 11 IT-relaterad brottslighet relevant juridik Dataintrång och andra straffbestämmelser i brottsbalken Regler om hantering av trafikdata Personuppgiftsskyddet Kryptering Bevisning/husrannsakan Ansvarsfrågor Myndighetskrav BITS Produktansvar Incidentrapportering (sekretessfrågan) mm H. Andersson IRI 12 6
Förebyggande Ansvarsfrågor BITS Personuppgiftslagen Lag om elektronisk kommunikation (Dataintrång m fl) M fl H. Andersson IRI 13 Utredningsstadiet Trafikdata Teleavlyssning/teleövervakning Regler om husrannsakan Personuppgiftsskyddet Kryptering M fl H. Andersson IRI 14 7
Hantering av brott och incidenter Dataintrång Andra brott i brottsbalken Incidentrapportering M fl H. Andersson IRI 15 Dataintrång Reglerna om dataintrång härstammar från datalagen (1973) Angrepp mot dator i ett rum Finns nu i brottsbalken 4 kap H. Andersson IRI 16 8
Brottsbalken 4:9c 9 c Den som. olovligen bereder sig tillgång till upptagning för automatisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning döms för dataintrång till böter eller fängelse i högst två år. Med upptagning avses härvid även uppgifter som är under befordran via elektroniskt eller annat liknande hjälpmedel för att användas för automatisk databehandling. Lag (1998:206). H. Andersson IRI 17 Brottsbalken 4:9c Olovligen 1. Systemägaren eller informationsägaren avgör vad som är lovligt eller olovligt. 2. Angriparen måste inse att det var olovligt Bereder sitt tillgång Behöver inte läsa någon information för att uppfylla rekvisitet Upptagning för automatisk databehandling Syftar i princip på själva informationen Elektronisk befordran.. Det gäller även sådan information som skickas över nätverk H. Andersson IRI 18 9
Påföljder Dagsböter Fängelse Skadestånd H. Andersson IRI 19 Rättsfall: SU och KTH 1995 Känsligt material (tentamina, betyg, ekonomisystem, forskningsrapporter) Rootbehörighet Omfattande genomgång, systemet stängdes, nya lösenord (ca 10 000 användare), ca 100 arbetstimmar. KTH 358 150 kr, SU 104 000 kr Han hade inte gjort något H. Andersson IRI 20 10
Rättsfall: Reuters & Intentia 2002 Kvartalsrapport Pressrelease: omkring 14.00 Webbserver vid 13.00 www.intentia.com/q3 Olovlighetsrekvisit Förbud på ingångssida, inga länkar? H. Andersson IRI 21 Brottsbalken 4:9c Reuters och Intentia Olovligen 1. Systemägaren eller informationsägaren avgör vad som är lovligt eller olovligt. 2. Angriparen måste inse att det var olovligt Bereder sitt tillgång Behöver inte läsa någon information för att uppfylla rekvisitet Upptagning för automatisk databehandling Syftar i princip på själva informationen Elektronisk befordran.. Det gäller även sådan information som skickas över nätverk H. Andersson IRI 22 11
Rättsfall: Reuters & Intentia 2002 forts. Kvartalsrapport Pressrelease: omkring 14.00 Webbserver vid 13.00 www.intentia.com/q3 Olovlighetsrekvisit Förbud på ingångssida, inga länkar? H. Andersson IRI 23 Sammanfattning Kriminalisering Förebyggande Säkerhetsnivå Säkerhetsarbetet Utpekar ansvar Kombinera H. Andersson IRI 24 12