Svenskt cyberförsvar

Jag har brevledes för någon månad sedan blivit tillfrågad om skillnaden/likheten mellan FRAs signalspaning och förslag om ett svenskt cyberförsvar, särskilt om "tekniskt detekterings- och varningssystem för att bemöta avancerade IT-angrepp". När nu en dansk journalist ringde om en dansk lag som verka röra samma sak kände jag att det var dags att skriva ett kort blogginlägg.

Jag har ännu inte sett något lagförslag men viss information finns på FRAs hemsida.

FRA definierar cyberförsvar som "användning av den nationella förmågan att skydda Sverige och svenska intressen mot IT-angrepp från de mest resursstarka aktörerna".

När det talas om "detekterings- och varningssystem" så uppstår frågan var sensorerna ska vara placerade, är det hos teleoperatörerna eller i anslutning till en myndighets förbindelse till internet? Det förstnämnda vore väldigt snarlikt signalspaning. Det förefaller uifrånm FRAs uppgifter mer handlar om det sistnämnda. Föjande står i en rapport från 2 april 2012 (sid. 14).

Sensorn bör placeras mellan Internet och den verksamhet som ska skyddas vilket innebär att den bör placeras utanför verksamhetens egen skyddsbarriär (till exempel brandvägg). Placeringen av sensorn är viktig för att

- kunna ge en oförvanskad trafikbild
- kunna upptäcka IT-angrepp som sker samordnat mot flera organisationer
- kunna urskilja angreppstrender
- undvika att sensorn får tillgång till organisationens interna trafik.

Då det gäller anslutningen av en sensor till ett nätverk kan det göras på flera olika sätt. Antingen kan placeringen göras så att all trafik passerar rakt igenom sensorn eller så används en nätverksprodukt, en så kallad trafikkopierare, som kopierar trafiken till sensorn. Det tillvägagångssätt som rekommenderas är det sistnämnda. Överföringen från trafikkopieraren bör vara enkelriktad, vilket innebär att sensorn blir helt passiv och ingen påverkan kan göras på trafikflödet och dess innehåll. En passiv lösning innebär även ett extra säkerhetsskydd för sensorn, vilket är en fördel då denna kategori av system ofta är utsatta för angrepp.

Personligen anser jag det som mindre probelmatiskt med sensorer som är i anslutning till en myndighets förbindelse till internet än att staten får direkttillgång till en teleoperatörs kabel.

Här är den danska lagen som verkar röra samma sak.