Krypto och it-säkerhet i Försvarsmakten

Krypto och
IT-säkerhet i
Försvarsmakten
Pia Gruvö
CHEF AVDELNINGEN FÖR
KRYPTO OCH IT-SÄKERHET
- Regelverk och processer
- Krav på SäkerhetsFunktioner
- I praktiken
Lagrum (rikets säkerhet)
Riksdag
Lag
Regeringen
Förordning
Försvarsmakten
ÖB
Försvarsmaktens författningssamling Försvarsmaktens föreskrifter
om säkerhetsskydd
(FFS)
Försvarsmaktens interna
bestämmelser
(FIB)
Försvarsmakten
HKV MUST SÄKK
Allmänna råd och handböcker
Försvarsmakten
Organisationsenhet
Arbetsordning (motsvarande)
Analyser och planer
Sekretesslagen,
Säkerhetsskyddslagen
Säkerhetsskyddsförordningen
Försvarsmaktens interna
bestämmelser om säkerhetsskydd och skydd av viss
materiel
Handbok för Försvarsmaktens
Säkerhetstjänst (H SÄK-serien)
Detaljreglerande skrivelser …
Arbetsordning
Säkerhetsanalys, säkerhetsplan
IT-säkerhetsplan
Säkerhetsbestämmelser …
Säkerhetsskyddsförordningen (1996:633)
– Ett system som av flera personer skall användas för
hemliga uppgifter skall ha funktioner för
behörighetskontroll och registrering av händelser
som är av betydelsen för säkerheten.
– Systemet får inte tas i drift förrän det från
säkerhetssynpunkt har godkänts av den för vars
verksamhet systemet inrättas. (Ackreditering)
– Hemliga uppgifter får endast krypteras med
kryptosystem som har godkänts av Försvarsmakten
FFS 2003:7 Säkerhetsskydd
• 10 § - 15 § Varje IT-system […] skall vara försett
med en av myndigheten godkänd
säkerhetsfunktion för
–
–
–
–
–
–
–
Behörighetskontroll (fleranvändarsystem)
Säkerhetsloggning (fleranvändarsystem)
Obehörig avlyssning
Röjande signaler (ej för HEMLIG/RESTRICTED)
Intrångsskydd
Intrångsdetektering (ej för HEMLIG/RESTRICTED)
Skadlig kod
FIB 2006:2 om IT-säkerhet
• Med myndigheten […] avses MUST.
• Ett IT-system som inte är avsett för hemliga
uppgifter skall ackrediteras, om inte CIO beslutar
annat.
• Produktägaren skall besluta om ackreditering.
• Innan ett IT-system som är avsett för hemliga
uppgifter och som skall användas av flera personer
får ackrediteras skall MUST yttra sig i fråga om
säkerheten i systemet.
KSF – Krav på Säkerhetsfunktioner
• Krav på IT-säkerhetsförmågor hos ett ITsystem
• Ett ramverk som beskriver de krav som skall
uppfyllas för att uppnå ”av MUST godkänd
säkerhetsfunktion för …”
– Funktionskrav
– Assuranskrav
• Acceptabel risknivå
KSF 3.0
• Tre nivåer: G, U, H
• Konsekvensnivå + Exponeringsnivå
 Kravnivå
• IT-systemets säkerhetsspecifikation (ITSS)
• Krav på IT-system
• Krav på driftmiljö
• Godkända komponenter ska användas
Konsekvensnivå
Gradering
Informationssäkerhetsklass
5
Synnerligen allvarlig
HEMLIG/TOP SECRET
4
Allvarlig
HEMLIG/SECRET
3
Kännbar
HEMLIG/CONFIDENTIAL
2
Lindrig
HEMLIG/RESTRICTED
1
Försumbar
Exponeringsnivå
• Hur ”utsatt” är systemet för hotaktörer?
• Kan hotaktörerna ”komma åt” systemet?
• Fysisk eller logisk åtkomst direkt till systemet
• Indirekt åtkomst via ett system som vi utbyter
information med
Kravnivå
Konsekvensnivå
Exponeringsnivå
E1
E2
E3
E4
5
H
H
H
H
4
U
H
H
H
3
U
U
U
H
2
G
U
U
U
1
G
G
G
G
• MUST yttrande:
– Godkända säkerhetsfunktioner: produktägaren
rekommenderas ta återstående risk och
ackreditera systemet
– Ej godkända säkerhetsfunktioner: produktägaren
får inte ackreditera systemet. ÖB kan besluta om
undantag från kravet på godkända
säkerhetsfunktioner, dvs ta en större risk
• Att veta vilken risk man tar och att ansvarig
fattar beslut om att ta den risken!
Forts.
• Produktägaren (PÄ) fattar Centralt Ackrediteringsbeslut, dvs godkänner systemet ur
säkerhetssynpunkt
–
–
–
–
–
–
–
–
Bakgrund
Omfattning och avgränsningar
Ansvarsfördelning
Resultat från säkerhetsgranskning
MUST yttrande över säkerheten
Produktägarens bedömning
Åtgärdslista
Beslut och giltighet
I praktiken
• Vi bygger ”murar” kring våra system, dvs
vanligen ingen koppling till internet t ex
• Utökad övervakning under uppbyggnad
• Arkitektur med ett fåtal komponenter vi ”litar
mer på” t ex intrångsskyddet
• Egna aktiva kort och inloggning
• Egna krypton (signalskydd) och dataslussar
Signalskydd
•
•
•
•
Krypto för skydd av rikets säkerhet
Ofta även intrångsskydd t ex VPN-krypto
Utvecklas av svensk industri
Höga krav på design, algoritm, hårdvara,
utvecklingsprocess, nyckelhantering,
röjande signaler, …
• Godkända produkter är säkra!
Slut 
[email protected]