Säkerhetsanalys
En reviderad vägledning från Svenska kraftnät
Thomas Kårgren
Säkerhetsskyddsförordningen
Säkerhetsanalys
5 § Myndigheter och andra som förordningen gäller för skall
undersöka vilka uppgifter i deras verksamhet som skall hållas hemliga
med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett
säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot
terrorism. Resultatet av denna undersökning (säkerhetsanalys) skall
dokumenteras.
Gängse praxis i branschen ! ?
SvKFS
2013:1
SÄPO:s riktlinjer/exempel för/på vad
som är skyddsvärt i sammanhanget
• Dokumentation
• IT-miljön
• Verksamhet
• Anläggningar
• Telekommunikation
• Elförsörjning
• Vattenförsörjning
Identifiering – skyddsvärda resurser
• Hur identifiera vad som är skyddsvärt
Uppgifter
Verksamhet
Anläggning
System
Beroenden ger upphov till skyddsvärde
ett exempel
• En anläggning bedöms omfattas av säkerhetsskyddsbehov inom
ramen för skydd mot terrorism – vad innebär det i övrigt som följd av
direkta och implicita beroenden?
 Uppgifter om anläggningens fysiska utförande och skyddsnivå
 Uppgifter om anläggningens tekniska system
 Vilka arbetar där och vilka uppgifter har de
 Vad finns det för skyddsvärda resurser i anläggningen
 Hur ser anläggningens detaljerade funktion ut
 Sårbarheter som är potentiella eller befintliga hos anläggningen
VAD är då en säkerhetsanalys?
”… Resultatet av analysen ska dokumenteras…”
 Uppgifter, anläggningar, verksamhet och system!
Tautologi då det i slutändan alltid rör sig om en uppgift om något!
 En förteckning – tabell – som innehåller uppgifter om anläggning,
verksamhet eller system. Bättre uttryckt objekt eller resurser!
Observera de lösa och vida definitionsbegreppen av uttrycken. Det är viktigt att
inse att ett system kan utgöras t.ex. av en kombination av anläggning/ar,
verksamhet, personal och IT-system som tillsammans utgör eller utför en funktion.
VAD? Kärnan i en säkerhetsanalys!
Två viktiga saker att tänka på:
1. Bedömningarna om vad som är skyddsvärt ska göras gentemot
antagonistiska hot, företrädesvis utan att ta hänsyn till sannolikhet
utan endast med fokus på konsekvenser.
Observera att det kan finnas implicita beroenden även till andra
typer av hot som kan möjliggöra antagonistiska hot
2. Enkel och lättläst uppräkning av de identifierade resurserna och
objekten – Tabell med tillämpliga kolumner!
VAD? Kärnan i en säkerhetsanalys!
Tabell
Skyddsvärd uppgift eller
anläggningsresurs
Beskrivning och motivering
Företagets
informationsklass
GIS-information med
attributdata i företagets
förvaltningssystem för
anläggningar. Benämns
kvalificerad GIS-information
GIS-information med attribut kan ge uppgift till aktör om hur
denna kan utnyttjas för att, i värsta fall orsaka avbrott i
företagets hela elförsörjningsverksamhet. Sådan påverkan
kan ske med såväl IT-baserade angrepp som med
fysisk/mekanisk påverkan eller kombinationer därav. Det går
inte att utesluta att ett sådant avbrott blir svårt att avhjälpa
(mer än 7 dygn till 75% kapacitet återställning). Ett sådant
avbrott kan i värsta fall påverka 110 000 abonnenter vars liv
kan vara i fara, inte minst om detta sker vintertid.
Informationen bedöms mot ovanstående vara av vikt att
skydda med avseende på terrorism.
Företaget ansätter
informationsklass K1
Ny lagstiftning – nya bud!
Att disponera innehållet i
säkerhetsanalysen – röda tråden
• Inledning, bakgrund och identifiering av objektet
• Formalia (bemanning, hålltider, avgränsningar etc.)
• Beskrivning av delobjekt (littererade) som identifierats och vilka hot
de utsätts eller kan utsättas för samt vilka konsekvenser detta ytterst
kan medföra
• Tabell med bedömningar kopplade till respektive littera
• Avsnitt om åtgärder, uppföljning och kontroll [OBS!!!]
Säkerhetsanalysen som dokument ! ?
Skyddsvärde för analysen –
konfidentialitet och klassiska fällor!
• Innehållet i analysen ÄR
skyddsvärt!
• För att verka med innehållet –
utfallet – krävs en delgivning till
parter som behöver informationen
för att utföra sitt värv på ett
korrekt sätt.
• Klassificering och kontrollerad
delgivning med sunda rutiner.
Utkomst av en säkerhetsanalys…
Det viktigaste med analysen
Säkerhetsskyddsåtgärder och andra säkerhetshöjande
åtgärder
Vad är skillnaden?
Säkerhetsskyddsåtgärder
Åtgärdsplaner, uppföljning, kontroll och revision
Åtgärdsplanering är ofta i sig lika, eller mer omfattande, än
säkerhetsanalysen vad avser dokumentvolym. Således är
det rimligt att åtgärdsplaneringen hanteras separat men att
det finns tydliga kopplingar med spårbarhet.
Svenska kraftnäts vägledning för
säkerhetsanalys – ny rev.
• Tydliga kriterier
Svenska kraftnät är sektorsmyndighet och tillsynsmyndighet och
kommer att vara tydliga med kriterier som är rimliga att följa.
• Riskanalysens betydelse för säkerhetsanalysen
”Utan riskanalys…ingen säkerhetsanalys”. Det går inte att veta vad
som är skyddsvärt om man inte har kontroll på vilka hot, risker och
sårbarheter som föreligger för den egna verksamheten.
• Exempel
Den nya vägledningen kommer att innehålla flera exempel av
varierande slag, storlek och tillämpning
En ny säkerhetsskyddslag
4 § Med säkerhetsskyddsklassificerad uppgift avses en uppgift som rör
säkerhetskänslig verksamhet och som av den anledningen omfattas av
sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle
ha omfattats av sekretess, om uppgiften i stället förekommit i en verksamhet
där bestämmelser om sekretess i offentlighets- och sekretesslagen gäller.
3 § Säkerhetsskyddsklassificerade uppgifter ska utifrån den skada som ett
röjande av uppgiften kan medföra för Sveriges säkerhet delas in i en
informationssäkerhetsklass enligt följande
1. Kvalificerat hemlig vid en synnerligen allvarlig skada,
2. Hemlig vid en allvarlig skada,
3. Konfidentiell vid en inte obetydlig skada, eller
4. Begränsad vid en ringa skada.
SvKFS 2013:1
1 § Den säkerhetsanalys som ska genomföras enligt 5 §
säkerhetsskyddsförordningen ska göras minst en gång vartannat år. Resultatet av
analysen ska dokumenteras. Svenska Kraftnät ska på anmodan delges resultat av
sådan analys.
14 § Det ska finnas fastställda instruktioner för användning, förvaltning, drift och
avveckling av IT-system som är avsedda för behandling av uppgifter som rör rikets
säkerhet eller som särskilt behöver skyddas mot terrorism. Sådana instruktioner ska
dokumenteras och fastställas av verksamhetens chef (VD eller motsvarande) eller
den som denne bestämmer.
Allmänna råd
Skyddet mot terrorism innefattar även skydd av IT-system som är centrala eller
kritiska komponenter i energisystemet eller som används som centrala eller kritiska
delar i fysiska eller logiska säkerhetssystem.
Incitament
Svenska kraftnät
säkerhetsskydd
STÖD
TILLSYN
SLUT – FRÅGOR - SYNPUNKTER