IKT Sikkerhet og sårbarhet (IKT SoS) Programbeskrivelse

Transkript

1 IKT Sikkerhet og sårbarhet (IKT SoS) Programbeskrivelse Revidert februar

2 Forord Forskningsrådet tok i 2003, etter ønske fra NHD, initiativ til planleggingen av et nytt forskningsprogram innen IKT sikkerhet og sårbarhet. Programstyret utarbeidet da en foreløpig programbeskrivelse som grunnlag for utlysing av forskningsmidler i Det ble samtidig besluttet at det skulle utarbeides en revidert programbeskrivelse som skulle være grunnlag for utlysing av midler i Programstyret for IKT SoS har utarbeidet den endelige programbeskrivelsen for IKT SoS som ble godkjent i divisjonsstyret for Vitenskapsdivisjonen i Norges forskningsråd i Programstyret har bestått av: 1. amanuensis II/spesialist i krypto Leif Nilsen, UNIK/Thales Communications (leder) Professor Einar Snekkenes, HiG Sikkerhetssjef Anne Reinsnes, Telenor Dosent Louise Yngström, KTH Sikkerhetsrådgiver Eva Skipenes, Nasjonalt senter for telemedisin Avdelingsdirektør Eiliv Ofigsbø, Nasjonal sikkerhetsmyndighet Fra Forskningsrådet har programkoordinator Morten Ween deltatt. Planen har tatt utgangspunkt i tidligere midlertidig programbeskrivelse for programmet, programbeskrivelse for IKT2010, erfaringer fra utlysingen i 2003 samt synspunkter fra programstyret og signaler fra departementene om politiske prioriteringer gjennom bl.a. e-norge dokumenter og bevilgningsbrev til Forskningsrådet

3 Sammendrag Forskningsprogrammet IKT sikkerhet og sårbarhet (IKT SoS) har som målsetning å frembringe og gjøre tilgjengelig ny viten og kunnskap som kan bidra til å øke sikkerheten og redusere sårbarheten ved bruken av dagens og morgendagens IKT-systemer. IKT SoS vil støtte forskning som har til hensikt å studere, analysere og utvikle løsninger for bedret informasjonssikkerhet, slik at informasjon og informasjonsflyt ved bruk av IKT-systemer i organisasjoner kan gis en riktig beskyttelse mot uønskede hendelser og at brukeres behov for sikkerhetsløsninger kan sikres gjennom tilstrekkelig tilgang til spisskompetanse for å kunne få utviklet dette. Programmets målgrupper for gjennomføring av forskningsprosjekter er forskningsmiljøer ved universiteter, høgskoler og forskningsinstitutter som utfører brukerrettet forskning innenfor programmets fagområder. Dette arbeidet kan gjerne utføres i samarbeid med eller støttes av bedrifter i næringslivet eller andre virksomheter som arbeider med informasjonssikkerhet. Disse virksomhetene kan også delta med egeninnsats i prosjektene. Næringsliv, forvaltning, brukere/individer og andre forskningsmiljøer vil være brukere av resultater fra programmet. Gjennom sine støttemidler skal programmet gjennom forskning bidra til å: Styrke den nasjonale kompetansen innenfor informasjonssikkerhet i dybde og bredde Bygge og videreutvikle de faglige nettverk nasjonalt og internasjonalt og bidra til å koordinere norske aktiviteter for å oppnå bedre utnyttelse av forskningsmiljøenes arbeider. Støtte nasjonale strategier innen IKT sikkerhet og sårbarhet Styrke norske forskningsmiljøer på et høyt faglig nivå slik at de kan bearbeide viktige spørsmål og utfordringer knyttet til sikkerhet i IKT-systemer Finne løsninger og bringe frem resultater som kan gi grunnlag for nasjonal industri og næringsutvikling innen sikkerhetsområdet og som kan hevde seg i et internasjonalt marked. Finne metoder for å utvikle en sikkerhetskultur for trygg elektronisk forretningsdrift i norske virksomheter og ved annen bruk av IKT i samfunnet. Hovedtyngden av prosjektene skal fokusere på fagområder som forventes å være av betydning for framtidig norsk nærings- og samfunnsliv. Det skal legges vekt på tiltak for å formidle resultatene av programmet fra forskningsmiljø til brukere i nærings- og samfunnsliv. Programperioden er f.o.m t.o.m Programmets totale budsjett er 59 mill. kr. Det er gitt bevilgning og tilsagn om støtte tilsvarende 25 % av disse midlene gjennom vedtak i De resterende 75 % vil bli disponert i

4 Innhold Innhold Bakgrunn Mål og delmål Overordnet mål for programmet Målgrupper for resultater Målgrupper for gjennomføring av forskningsprosjekter Sentrale FoU oppgaver Kriterier for søknad om midler fra programmet Kompetansebygging Programmets relevans for Forskningsrådets strategier Informasjon og formidling Plan for gjennomføring Finansiering

5 Bakgrunn Det har ikke i det siste vært et program rettet spesielt mot IKT sikkerhet og sårbarhet fra Forskningsrådet, men den senere tids utvikling har vist at det er nødvendig å styrke innsatsen på dette området. Dette er synliggjort gjennom en rekke hendelser og tiltak, inkludert enorge dokumentet Nasjonal strategi for informasjonssikkerhet fra Forsvarsdepartementet, Næringsog handelsdepartementet og Justis- og politidepartementet. I tildelingsbrevet fra Nærings- og handelsdepartementet for 2003 bes Forskningsrådet om å igangsette et strategisk forskningsprogram innen området IKT sikkerhet og sårbarhet (IKT SoS), med en samlet ramme på 59 mill. kroner for perioden Programmet styres av et eget programstyre som er ansvarlig for å definere strategiske og faglige mål for programmet, og som er ansvarlig for at programmet når vedtatte mål innenfor de rammer som er gitt. Hovedbegrunnelsen for programmet er at regjeringen ønsker å bidra til tilliten til elektronisk samhandling og til å utvikle en sikkerhetskultur i samfunnet. IKT SoS vil støtte prosjekter som kan gi mer tillitsverdige IKT-systemer, og programmet skal derfor også bidra til å bygge kompetanse som er nyttig for dette formålet. Det er på nasjonalt og internasjonalt nivå bred enighet om den betydningen som utnyttelse av IKT har for samfunnets funksjon, utvikling og verdiskapning. Denne direkte avhengigheten har ført til økt fokus på at brukere, organisasjoner og ulike virksomheter skal kunne ha tillit til at informasjon og informasjonsflyt i IKT-systemer beskyttes mot uønskede hendelser. Et sikkerhetsfaglig fundament etableres først om en forstår hva som er tillitskapende og hva som da skal til for å bygge tiltrodde systemer. Slik tillit må så etableres gjennom at organisatoriske og teknologiske løsninger realiseres. Informasjonssikkerhet er betegnelsen som benyttes om det fagfeltet som har til hensikt å studere, analysere og utvikle løsninger for å gi denne beskyttelsen. Dokumentet vil derfor benytte betegnelsen informasjonssikkerhet synonymt med IKT sikkerhet og sårbarhet. Informasjonssikkerhet dreier seg om å redusere (eller oppnå fravær av) farer, skade og tap basert på sikkerhets- og sårbarhetsanalyser som er gjennomført og ved gjennomføring av tiltak. Ofte kan en møte informasjonssikkerhet definert som tiltak for beskyttelse mot brudd på konfidensialitet, integritet og tilgjengelighet for den informasjon som behandles av et informasjonssystem, og av systemet i seg selv samt beskyttelse av nett der informasjonen utveksles. Uønskede hendelser i denne sammenheng kan være av intensjonell karakter eller ha en mer tilfeldig årsak. Programmet skal bidra til økt forskning og kompetansebygging innenfor en bred tolkning av fagområdet og det skal bidra til at en sikkerhetskultur integreres i virksomheters daglige arbeid og oppbygging og drift av informasjonssystemer. Det betyr at totaliteten av prosjekter innenfor programmet skal gi en portefølje som dekker både organisasjonsmessige, bruksmessige og tekniske sider vedrørende informasjonssikkerhet. Driftmessig pålitelighet i informasjonssystemer er ikke i seg selv sentralt i programmet hvis det ikke knyttes direkte opp mot det å finne løsninger på identifiserte sikkerhetstrusler i systemet

6 Mål og delmål Overordnet mål for programmet Hovedmålet for programmet IKT SoS er å frembringe ny viten og kunnskap som kan bidra til å øke sikkerheten og redusere sårbarheten ved bruk av dagens og morgendagens IKT-systemer og å gjøre denne kunnskapen tilgjengelig for samfunnet og brukere som har behov for sikkerhetsløsninger. Hensikten er å: Redusere sårbarheten ved alminnelig bruk av IKT og i kritisk IKT-infrastruktur. Legge til rette for trygg elektronisk samhandling og sikre nettjenester i privat og offentlig sektor, slik at bruk og samvirke kan baseres på tiltrodde IKT-baserte systemer. Hovedmålet skal oppnås gjennom å: Styrke den nasjonale kompetansen innen informasjonssikkerhet i dybde og bredde. Prosjekter skal vektlegge både brukerrelaterte problemstillinger og forskerutdannelse og kompetanseoppbygging i FoU- og undervisningsmiljøer. Dette skal bidra til at kunnskap fra fagområdet integreres og undervises som en grunnleggende komponent i relevant IKTutdannelse, samt at brukermiljøene styrker sin kompetanse. Bygge og videreutvikle faglige nettverk og samarbeidsaktiviteter nasjonalt og internasjonalt. Samarbeid mellom ulike fagmiljøer, myndigheter og næringsliv etterstrebes for å definere viktige forskningsområder og for å skape nye resultater. Støtte nasjonale strategier innen IKT sikkerhet og sårbarhet. Informasjonssikkerhet er viktig nasjonalt anliggende og behandles bl.a. i enorge planen og Nasjonal strategi for informasjonssikkerhet (2003). IKT SoS skal bidra til at norsk forskning innen informasjonssikkerhet utgjør en integrert del av de nasjonale strategier og støtter opp under sikkerhetsmål identifisert i enorge-planen og Nasjonal plan for informasjonssikkerhet. Bidra til at norske forskningsmiljøer har et høyt faglig nivå og kan bearbeide viktige spørsmål og utfordringer knyttet til sikkerhet i IKT-systemer i et internasjonalt perspektiv Med viktige menes de problemstillinger som er relevante for enkeltmennesker, organisasjoner, næringsliv og offentlig forvaltning og som ikke har funnet sin prinsipielle løsning eller har etablert praksis/produkt, eller som har internasjonal forskningsrelevans. Forskningsresultater skal dokumenteres gjennom publisering i egnede medier eller vises i brukerrettede løsninger eller demonstratorer

7 Bidra til å finne løsninger og resultater på et internasjonalt konkurransedyktig nivå som kan gi grunnlag for nasjonal industri og næringsutvikling innen sikkerhetsområdet. Ny forskning skal bidra til videreutvikling og nyskapning for Norge som leverandør av sikkerhetsprodukter på nasjonale og internasjonale markeder. Samtidig er det viktig å bidra til at sikkerhetsløsninger bygges inn som en integrert del i andre relevante IKT-produkter. Forskningsprosjektene skal være innrettet mot å finne løsninger på identifiserte behov og problemer innen informasjonssikkerhet og det skal beskrives hvordan kunnskap ervervet i prosjektet vil kunne anvendes. Brukerinnretning kan også sikres gjennom at virksomheter deltar i forskningsprosjektene eller tar resultatene i bruk. Målgrupper for resultater Næringsliv, forvaltning, brukere/individer og andre forskningsmiljøer vil være brukere av resultater fra programmet. Målgrupper for gjennomføring av forskningsprosjekter Programmets målgrupper er forskningsmiljøer ved universiteter, høgskoler og forskningsinstitutter som utfører forskning innenfor programmets fagområder. Aktiviteter i samarbeidende virksomheter kan også støttes i programmet. Prosjektenes resultater skal i hovedsak være åpent tilgjengelige og prosjektene skal ikke være konkurransevridende. Programmet oppfordrer til samarbeid og arbeidsdeling der dette er naturlig og der det vil styrke vår kompetansebase. Næringsliv, forvaltning, brukere/individer skal være samarbeidspartner i noen prosjekter i porteføljen. Sentrale FoU oppgaver Informasjonssikkerhet representerer et stort og sammensatt fagfelt, og IKT SoS har ikke som egen målsetting å etablere norsk forskning som dekker hele fagfeltet. Programstyret ønsker at fagmiljøene gjennom sine søknader definerer behovs- og brukerorientert forskning på et internasjonalt nivå som kan bidra til at de strategiske målene nås. Programmet vil prioritere prosjekter der resultatet av FoU fra et informasjonssikkerhetssyn bidrar til å: Gjøre systemer og infrastruktur for elektronisk informasjonsutveksling robust og sikker, Utvikle innbyggeres og virksomheters holdninger slik at det bygges en sikkerhetskultur rundt bruk og utvikling av informasjonssystemer og elektronisk informasjonsutveksling. Etablere nye tjenester og produkter der sikkerhetsteknologi muliggjør nye måter å arbeide på, nye forretningsmodeller eller høyere effektivitet og god brukervennlighet

8 Utvikle, vedlikeholde og håndheve lover og forskrifter slik at de fremstår og kan anvendes på en enkel og oversiktlig måte. Muliggjøre deteksjon og sporing av sikkerhetshendelser med pålitelige og effektive metoder. Redusere kostnadene forbundet med etablering av riktig informasjonssikkerhet for målgruppen. Man ser derfor behov for forskning knyttet til modeller, formalismer, metoder og verktøy for spesifikasjon, analyse, design, implementering og bruk av sikkerhetsegenskaper innenfor en bred kontekst. Kriterier for søknad om midler fra programmet IKT SoS kan omfatte både strategisk forskning og anvendelsesorientert FoU, men alle prosjekter må dokumentere både vitenskapelig kvaliteter, hvilke behov som finnes i samfunnet for mer kunnskap om det temaet det skal forskes på og hvordan resultatene fra prosjektet vil kunne brukes for å realisere løsninger som benytter denne kunnskapen. Relevante faggrupper ved norske universiteter, høgskoler og forskningsinstitutter kan søke om prosjektmidler fra programmet og bedrifter og andre virksomheter kan delta som prosjektpartnere. Programmet vil hovedsakelig satse på miljøer som allerede arbeider innenfor det aktuelle fagområdet. Programstyret vil ved vurdering vil særlig legge vekt på: Programrelevans: I hvilken grad prosjektet bidrar til å nå programmets hovedmål. Søknader må derfor beskrive hvilke mål de vil bidra til å nå, hvordan bidraget vil skje, og hvorfor foreslåtte resultat/tiltak vil bidra til å nå identifiserte mål. Prosjektkvalitet: Vitenskapelig kvalitet, soliditet i fremstillingen, refereevurdering og generell kvalitet på søknaden. Samfunnsrelevans: Behov i samfunnet for den kunnskap prosjektet vil bringe frem. Næringsrelevans: Kunnskapens anvendbarhet og potensial i næringsvirksomhet og næringslivsengasjement i prosjektet. Forskningsinnhold: Prosjektets forskningsmessig høyde, originalitet og ambisjonsnivå i et internasjonalt perspektiv, at forskningen er tilstrekkelig visjonær slik at den ikke blir forbikjørt av utviklingen. Forskningsmessig eksponeringspotensial. Enten ved at miljøet har dokumentert kompetanse innen det aktuelle området eller problemstilling, at en har valgt et område eller problemstilling der en har begrenset internasjonal konkurranse eller at resultatene kan tas i bruk på områder som er viktige for samfunnet. Det forventes at resultater fra prosjekter innenfor IKT SoS i all hovedsak skal være egnet for generell publikasjon. Kriteriene over skal ikke være til hinder for støtte til mindre prosjekter som ønsker å løse avgrensede problemstillinger innen fagområdet. Programstyret kan selv, med godkjenning fra divisjonsstyret, initiere forskning innenfor områder som ikke er dekket av prosjektsøknader, men som det vurderes strategisk viktig å dekke med nasjonal forskning. Forskningsmiljøene i Norge er små i Europeisk målestokk, og kvalitet og kvantitet skal styrkes med dette programmet. Det betyr at man ønsker å bygge på og videreutvikle miljøer som har - 8 -

9 dokumentert kompetanse innen informasjonssikkerhet og som kan bidra til et teknologiløft på internasjonalt nivå. Programmet skal også bidra til å initiere forskningsinnsats på nye områder. Det er ønskelig å etablere nettverk av miljøer som kan jobbe sammen, gjerne om felles problemområder, men med ulike angrepsmetoder. Samarbeid med relevant næringsliv vil bli tillagt vekt, og deltakelse i internasjonal programmer f.eks. innenfor EUs 6. rammeprogram eller andre internasjonale initiativer er ønskelig. Kompetansebygging Programmet skal adressere den situasjonen at det på enkelte viktige områder innen informasjonssikkerhetsfagene vil være behov for å styrke den nasjonale kompetansen for å dekke de nasjonale behov som beskrevet i Nasjonal strategi for informasjonssikkerhet. Programmet skal bidra til en slik langsiktig styrking av nasjonale fagmiljøer og derved også til en økning i kapasiteten, kvaliteten og effektiviteten i forskerutdanningen. Programmet må for å oppnå dette bidra til tiltak som på kort sikt kan styrke kompetansen i det norske forskningsmiljøet, for eksempel gjennom: Gjesteprofessorater ( Named Chairs ) for å rekruttere internasjonale forskere. Post doc-stipend for å sikre et høyt faglig nivå i prosjektene Doktorgradsstipender for å bedre forskningskapasiteten Programmets relevans for Forskningsrådets strategier Informasjons- og kommunikasjonsteknologi er en av Forskningsrådets Store Satsinger og IKT SoS vil kunne være et element i en slik satsing. IKT er også en av fire tematiske satsninger beskrevet i regjeringens Stortingsmelding nr. 39, Forskning ved et tidsskille. Arbeidet med Forskningsrådets strategi er i gang, men er ikke kommet langt nok til å gi føringer for IKT SoS. Programmet ble opprinnelig etablert i området for Naturvitenskap og teknologi (NT) i Forskningsrådet. Etter omorganiseringen av Forskninsgrådet er programmet administrativt forankret i Vitenskapsdivisjonen. Dette for ikke å gjennomføre for mange administrative endringer i perioden før man likevel vil ta en mer total tilpassing av programadministrasjonen innen IKT-området. Programplanen er utarbeidet i tråd med NHDs ønske om en sterk brukerinnretning i programmet Porteføljen som helhet vil derfor ventelig få et mer brukerorientert preg enn normalt for Vitenskapsdivisjonens programmer, men likevel med de forskingmessige kvalitetskrav man vanligvis legger til grunn i strategiske forskningsprosjekter og kompetanseprosjekter med brukermedvirkning (KMB). Bevilgningene til IKT SoS fra NHD er ett av flere tiltak som støtter opp under regjeringens enorgeplan og Nasjonal strategi for informasjonssikkerhet. Programmet skal også dekke behov for spisskompetanse hos brukere med behov for avanserte sikkerhetsløsninger. I Nasjonal strategi for informasjonssikkerhet heter det Et slikt strategisk (forsknings)program skal dekke både de organisatoriske, bruksmessige og tekniske sider ved IT-sikkerhet. Det er viktig at privat næringsliv deltar i forskningsinnsatsen. Det skal utdannes doktorgradskandidater i programmet

10 Informasjon og formidling Det er etablert egne web-sider for programmet for bl.a. linker til prosjektenes hjemmesider. Formidling fra programmet vil skje gjennom vitenskapelig publisering i prosjektene, populærvitenskapelige artikler, kronikker i større aviser og implementering og utprøving i ulike virksomheter. Programmet benytter kanaler som World Wide Web, aviser og teknisk presse til å spre informasjon om programmet. Videre vil programmet avholde programsamlinger hvor prosjektene presenter resultater fra sin forskning og ta initiativ til aktiviteter som involverer brukere og som kobler brukermiljøer og forskermiljøer. Det vil bli lagt vekt på at doktorgradsstudentene i prosjektene presenterer sin forskning i ulike sammenhenger. Programmet vil også bidra til at det arrangeres nasjonale og internasjonale konferanser/workshops innen programmets tema. I programmets siste år skal det arrangeres en avslutningskonferanse som skal vektlegge å presentere resultater som er oppnådd gjennom programmet. Plan for gjennomføring Programmet styres av et programstyre sammensatt av representanter fra universiteter, forskningsinstitutter og næringsliv. Programstyret skal følge opp prosjektene nøye slik at prosjekter med svak framdrift eller manglende resultater kan stoppes. Programmet vil samarbeide med andre relevante programmer ved finansiering og koordinering av prosjektene. Programmet har hatt en utlysning hvor 25 % av budsjetterte midler ble bevilget. De resterende 75 % planlegges disponert i løpet av Programmet vil benytte en søknadsprosess hvor det inviteres til å komme med søknader basert på programplanen. Disse vil bli vurdert av programstyret med hensyn til relevans for programmet. Basert på denne vurdering vil et antall søkere bli vurdert av internasjonale fageksperter og bli gitt en videre evaluering av programstyret som vil vurdere ulike aspekter ved søknaden. Dersom programstyret finner det nødvendig, vil enkelte av søkerne bli invitert til å gi en muntlig presentasjon for programstyret og/eller gi en mer detaljert prosjektbeskrivelse. Programstyret kan også vurdere en samordning av to eller flere prosjekter. Finansiering Programmet er finansiert gjennom tilsagn fra NHD om bevilgninger på til sammen 59 MNOK over programmets løpetid. (Programperioden er f.o.m t.o.m. 2007). 14,8 MNOK er disponert gjennom innvilgede søknader i Egeninnsats i FoU-institusjoner, næringsliv og andre virksomheter kommer i tillegg