Svenskt cyberförsvar

Jag har brevledes för någon månad sedan blivit tillfrågad om skillnaden/likheten mellan FRAs signalspaning och förslag om ett svenskt cyberförsvar, särskilt om "tekniskt detekterings- och varningssystem för att bemöta avancerade IT-angrepp". När nu en dansk journalist ringde om en dansk lag som verka röra samma sak kände jag att det var dags att skriva ett kort blogginlägg.

Jag har ännu inte sett något lagförslag men viss information finns på FRAs hemsida.

FRA definierar cyberförsvar som "användning av den nationella förmågan att skydda Sverige och svenska intressen mot IT-angrepp från de mest resursstarka aktörerna".

När det talas om "detekterings- och varningssystem" så uppstår frågan var sensorerna ska vara placerade, är det hos teleoperatörerna eller i anslutning till en myndighets förbindelse till internet? Det förstnämnda vore väldigt snarlikt signalspaning. Det förefaller uifrånm FRAs uppgifter mer handlar om det sistnämnda. Föjande står i en rapport från 2 april 2012 (sid. 14).

Sensorn bör placeras mellan Internet och den verksamhet som ska skyddas vilket innebär att den bör placeras utanför verksamhetens egen skyddsbarriär (till exempel brandvägg). Placeringen av sensorn är viktig för att

- kunna ge en oförvanskad trafikbild
- kunna upptäcka IT-angrepp som sker samordnat mot flera organisationer
- kunna urskilja angreppstrender
- undvika att sensorn får tillgång till organisationens interna trafik.

Då det gäller anslutningen av en sensor till ett nätverk kan det göras på flera olika sätt. Antingen kan placeringen göras så att all trafik passerar rakt igenom sensorn eller så används en nätverksprodukt, en så kallad trafikkopierare, som kopierar trafiken till sensorn. Det tillvägagångssätt som rekommenderas är det sistnämnda. Överföringen från trafikkopieraren bör vara enkelriktad, vilket innebär att sensorn blir helt passiv och ingen påverkan kan göras på trafikflödet och dess innehåll. En passiv lösning innebär även ett extra säkerhetsskydd för sensorn, vilket är en fördel då denna kategori av system ofta är utsatta för angrepp.

Personligen anser jag det som mindre probelmatiskt med sensorer som är i anslutning till en myndighets förbindelse till internet än att staten får direkttillgång till en teleoperatörs kabel.

Här är den danska lagen som verkar röra samma sak.

Ett svensk cyberkommando?

Jag är för närvarande i USA på en studieresa arrangerad av USAs utrikesdepartement. Vi har i Washington besökt UD, Pentagon, diverse think-thanks, tidningar och igår Kansas National Guard. Idag reser vi vidare till Portland, Oregon och därefter New York. Tyvärr blev det inte Fort Meade, Maryland men det får bli en annan gång.

En av många aktuella frågor är cyberkrigföring och sedan 2009 finns United States Cyber Command (USCYBERCOM). Myndigheten leds av General Keith B. Alexander som även är chef för NSA, den amerikanska motsvarigheten till FRA. USCYBERCOM har bl.a. i uppdrag att utföra "full spectrum military cyberspace operations", dvs offensiva och defensiva operationer genom internet för att värna amerikanska intressen.

Finns det något liknande i Sverige?Det närmaste är förmodligen en enhet som på engelska har benämning CNO unit, Swedish Armed Forces. CNO står för computer network operations. Det finns inte mycket offentlig information om enheten, jag kan inte ens hitta den på Försvarsmaktens hemsida. Möjligtvis är det en del av psyopsförbandet vid Ledningsregementet i Enköping. Jag har dock fått tillgång till artikeln "Is the Swedish Territorial Defence Ordinance applicable on the fourth arena?" publicerad 2011 i samband med en konferens i Talinn arrangerad av NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE) . Artikeln är skriven av Victoria Ekstedt som på engelska har titeln "Legal adviser at the CNO Unit, Swedish Armed Forces". Via internet finns endast en sammanfattning av artikeln som kan läsas här.

Ekstedt utgår från Förordningen (1982:756) om Försvarsmaktens ingripande vid kränkningar av Sveriges territorium under fred och neutralitet, mm. (IKFN-förordningen). Trots att Försvarsmakten har till uppgift att skydda svenskt territorium har myndigheten inte rätt enligt IKFN-förordningen att i fredstid värna det "digitala territoriet", en möjlig fjärde arena för Försvarsmakten efter landområden, sjörum och luftrum. Frågan är om vi ska ge Försvarsmakten denna uppgift i fredstid eller är det en fråga för andra statliga och/eller privata aktörer?

Stuxnet och folkrätt

För några dagar sedan fick jag frågan om hur man ska se på attacken med dataviruset Stuxnet mot den nukleära anläggningen i Natanz (Iran) från ett folkrättsligt perspektiv. I media framförs det uppgifter om att USA och Israel står bakom Stuxnet med avsikten att försena alternativt förhindra Iran från att kunna framställa kärnvapen.

En fråga är om angreppet med Stuxnet ska jämställas med ett väpnat angrepp och därmed värderas utifrån FN-stadgans regler om våldsanvändning mellan stater (jus ad bellum). Om allvarliga IT-attacker kan betraktas som våldsanvändning, då får sådana IT-attacker endast användas i självförsvar eller i enlighet med ett mandat från FNs säkerhetsråd. Vad beträffar förebyggande självförsvar, finns ett visst utrymme för våldsanvändning genom "anteciperat självförsvar" mot omedelbart överhängande hot men "preventivt självförsvar" gentemot avlägsna och vaga hot är inte tillåtet. En annan fråga är om användande av Stuxnet är i enlighet med den humanitära rätten (jus in bello) då den kan få konsekvenser för civila objekt, även utanför Iran.

Johan Sigholm har skrivit en text där han förklarar att nu när Stuxnet-viruset har spridits så kan det laddas ned, förses med nya direktiv och därmed fås att angripa och allvarligt skada exempelvis svenska tillgångar. Ett exempel på ett möjligt scenario demonstrerades av FOI som inledning till Folk och Försvars rikskonferens (se del 2 vid 37.20 och 47.20 i detta inslag). Om det är stater som skapat det ursprunliga viruset, vilket ansvar har dessa stater för att viruset förses med nya direktiv och används mot anläggningar utanför Iran?

Duncan Hollis skrev igår ett bra blogginlägg om Stuxnet utifrån resonemang om jus ad bellum och jus in bello. När jag sökte svar hittade jag även en äldre artikel av Michael N. Schmitt. Duncan Hollis har också skrivit en längre artikel. Jag kunde även konstatera att medan jag varit föräldraledig har min egen institution anställt en ny doktorand, Maeve Dion, vars avhandlingsprojekt verkar ta upp frågor inom detta område. Ska tala med henne så fort hon är anträffbar.

Sveriges it-incidentcentrum, Sitic, blir en del av Myndigheten för samhällsskydd och beredskap, MSB

Computer Sweden rapporterar att Sveriges it-incidentcentrum, Sitic, enligt en utredning ska bli en del av Myndigheten för samhällsskydd och beredskap, MSB. Alternativet är Försvarets Radioanstalt. Med tanke på att Sitic är beroende av öppenhet, samverkan med offentliga och privata aktörer verkar det rimligt att Sitic blir en del av MSB. Nu råder det inte vattentäta skott mellan MSB och FRA, vilket jag skrivit om tidigare. Med utredningens förslag undviker man dock risken att en myndighet (FRA) sitter på dubbla roller. Det vore svårt att samtidigt hemlighålla sina förmågor och utbyta information på ett öppet sätt med ett flertal privata aktörer.

Nytt center ska möta växande it-hot

Läste i SvD att MSB, Myndigheten för Samshällsskydd och Beredskap, släppt en ny rapport där myndigheten föreslår ett nytt center för att möta växande it-hot.

Jag har inte läst rapporten i dess helhet, men jag hittade i förbifarten några saker. Exempelvis hittade jag en utredning från 2003 om signalskydd, SOU 2003:27, vilket var intressant eftersom jag undrat hur denna verksamhet definieras. Jag har nu återgett denna definition i en artikel på wikipedia. Följande formulering i regeringens uppdrag till MSB är också intressant (se sid. 58 i rapporten).

Sverige behöver förbättra förmågan att hantera omfattande nätattacker där även attacker som genereras via öppna nät för elektroniska kommunikationer omfattas. Det behövs en övergripande lägesbild som baseras på incidentrapportering, trafikdata, underrättelser och information från krishanteringssystemets aktörer samt internationell samverkan. Det behövs också en förbättrad nationell förmåga för respons.

Lägg märke till att den "övergripande lägesbilden" bl.a. ska baseras på trafikdata, som FRA som bekant samlar in. Det passar även väl med att FRA får använda signalspaning mot "allvarliga yttre hot mot samhällets infrastrukturer", t.ex. "hot mot IT-system" (Prop. 2008/09:201 sid. 29).

I MSB:s rapport står det att "Försvarets Radioanstalt (FRA) tillhandahåller tekniskt stöd med inriktning på informationssäkerhet till organisationer som hanterar information som bedöms känslig ur sårbarhetssynpunkt eller ur ett säkerhets- eller försvarspolitiskt avseende." I rapporten konstateras även att FRA enligt 4 § Förordning (2007:937) med instruktion för Försvarets Radioanstalt har uppgiften att ha en hög teknisk kompetens inom informationssäkerhetsområdet.

Hur omfattande verksamhet krävs för att fastställa en "övergripande lägesbild"? Utredaren i SOU 2003:30 förklarar på sidan 124:

Liksom all signalspaningsverksamhet bygger en effektiv signalspaning FRA:s behov av investeringar inom det tekniska området från FRA:s sida på att stora trafikvolymer och i princip all trafik kan spanas av för att få en bild av det normala trafikflödet.

Nedrustningsavtal beträffande militär användning av internet

Via Bruce Schneier hittar jag en artikel New York Times om samtal mellan USA och Ryssland om internetsäkerhet. Ryssland vill ha ett internationellt traktat (konvention) rörande militära aktiviteter som hotar civila kommunikationsnät, på samma sätt som det finns traktat som begränsar användningen av kärnvapen, kemiska och biologiska vapen. Med andra ord, Ryssland vill ha någon form av nedrustningsavtal beträffande militär användning av internet. USA motsätter sig förslaget eftersom det är svårt att dra gränsen mellan kommersiellt och militärt nyttjande av program och hårdvara. USA ville istället betona internationellt samarbete mot internetrelaterad brottslighet.

Cyberkrigföring och Cyberbrott

Jag har tidigare gjort en samlingssida för rättskällor och doktrin om "underrättelserätt". Nu tänkte jag undersöka ett annat område som har anknytning både till folkrätt och underrättelsefrågor, Cyberkrigföring (Eng: Cyberwarfare). Därför startar jag nedan en samlingssida om detta samt cyberbrott (Eng: Cybercrime). Jag tänker lägga upp rättskällor, media och litteratur, tips tas tacksamt emot.

Litteratur
William A. Owens, Kenneth W. Dam, and Herbert S. Lin, "Technology, Policy, Law, and Ethics Regarding U.S. Acquisition and Use of Cyberattack Capabilities"

Betänkanden
DS 2005:5 Brott och brottsutredning i IT-miljö. Europarådets konvention om IT-relaterad brottslighet med tilläggsprotokoll

Traktat
Convention on Cybercrime, Budapest 2001