HØRINGSUTTALELSE-OM-ENDRINGER-I-SIKKERHETSLOVEN-

Transkript

1 Forsvarsdepartementet Postboks8126Dep 0032OSLO Oslo, Torsdag, June 17, 2015 Vår referanse: S Deres referanse: 2013/ /FD V 3/GCB/PAF HØINGSUTTALELSEOMENDINGEISIKKEHETSLOVEN DetvisestilForsvarsdepartementetshøringsbrevav19.mai2015omendringerilovav20. Mars1998nr.10omforebyggendesikkerhetstjeneste(sikkerhetsloven). Departementetforeslårendringerifirebestemmelserisikkerhetsloven, 2:$Lovens$generelle$virkeområde,$generell$hjemmel$for$straffegjennomføring$i$en$ annen$stat$(ny$ $1$a),$inkludert$regler$om$rett$til$helsehjelp$for$innsatte$i$et$utenlandsk$ fengsel.$$ 9:$$Nærmere$om$oppgavene$ $23:$Klareringsmyndighet$og$autorisasjonsansvar$ $28$Leverandørklarering$ Flereavforslagenerettersegsærligmotsivilsektor.Bakgrunnenforforslageneer,ifølgedepartementetåivaretasikkerhetsmessigebehovsomikkeerdekketgjennomdagensregelverk. Nedenforkommenteresforslagettillovensgenerellevirkeområde(pkt.1),samtendringsforslagetsbetydningforsivilsikkerhetssektor.WatchcomSecurityGroupkommentererogsådenyebeskrivelseneavoppgavene(pkt.2)ogherunderforslagtilnyoppgaveansvarsfordeling.Vihardessutenanmerkingertilendringsforslagenerundtklareringsmyndighetogautorisasjonsansvar(pkt.3)Tilsluttgisnoengenerellemerknaderogsynspunkterrundtdetvioppfattersommanglendekoordineringmellommyndigheterogsektoreravpågåendeoffentligestrategiskeplanprosesserinnenforsamfunnssikkerhet.

2 1.Lovensvirkeområde Ibrevettilsamtligehøringsinstansergårdetframatflereavforslagenebåderettersegmotogvilberøresivilsektor.Ibakgrunnsbeskrivelsenforhøringengårdetlikevelframatnårmanetablertearbeidsgruppeni2013vardetkunpersonerfraForsvarsdepartementet, JustisogberedskapsdepartementetogNasjonalsikkerhetsmyndighetsombleinviterttilådeltaiutredningsarbeidet.Dettemenervi,somrepresentantfordensivilesikkerhetsbransjen,undergravermandatetogarbeidsgruppensforutsetningerforåleggeetsoliddemokratiskgrunnlagforenlovendringpåettavvåreviktigstesamfunnsområder, nemligsikkerhet. Vimerkerossogsåatgjeldendepraksisomatdetikkestilleskravomegenautorisasjonellersikkerhetsklareringavstortingsrepresentanterogregjeringsmedlemmernåforeslåslovfestet.SåvidtarbeidsgruppenkjennertilerdethellerikkevanligåsikkerhetsklarereregjeringsmedlemmeriandrelandsomdeternaturligforNorgeåsammenliknesegmed. 2.OppgaveDogansvarsfordeling Departementetpåpekeratøktglobaliseringavnæringslivet,øktspredningavondsinnetprogramvareogensamfunnsutviklingsommedførerbrukavstadigstørreogmerkomplekseinformasjonssystemer,økersårbarhetenogtrusselnivåetmotvåreeksisterendesystemer.Dettemedføreretøkendebehovforatvirksomhetenesikkerhetsmessigovervåkersinegodkjenteinformasjonssystemer,heterdetihøringsutkastet. Viregistrereratdepartementetforeslårennybestemmelseisikkerhetslovenomvirksomhetersadgangtilsikkerhetsmessigovervåkingavgodkjenteinformasjons systemer.konkretforeslåsdetåetablereenklarhjemmelforsikkerhetsmessigovervåkinghvorbehandlingavpersonopplysningerogsåkaninngå.departementetpresisererimidlertidatslikovervåkingikkemåutføresavpersonellmenvedhjelpavautomatiserteprosesser.personopplysningsforskriftengiridagarbeidsgiverretttilågjennomsøke,åpneellerlesearbeidstakersepostnårdet$ er$nødvendig$for$å$ivareta$den$daglige$driften$eller$ andre$berettigede$interesser$ved$virksomheten.iforslagetfradepartementetønskermanåfåpresisertvirksomhetenesrettogplikttilåutøvekontrollmedgodkjenteinformasjonssystemer.

3 IPersonopplysningsloven 13heterdetat For$å$oppnå$tilfredsstillende$ informasjonssikkerhet$skal$databehandleren$dokumentere$informasjonssystemet$og$ sikkerhetstiltakene. $$ Forosssomdrivervirksomhetidenprivatesikkerhetsbransjenoppmotstorenorskeselskapersomvirkeligtaregenogandresinformasjonssikkerhetpåalvor,servietbehovforklareredefinerteretningslinjersomhindreratvirksomheteruforskyldtblirlovbryterepådetteområdet.Ettervåroppfatningerdetheltavgjørendeatmanklargjørhvilkekravsomeksempelvisstillestil godkjente$informasjonssystemer og tilfredsstillende$ informasjonssikkerhet idetpågåendearbeidemedåleggepremisseneforenheltny sikkerhetslov. 3.Klareringsmyndighetogautorisasjonsansvar Det foreslås å fastsette ved lov at den virksomheten som allerede i dag drives av NSM; Varslingssystem for digital infrastruktur (VDI) og nasjonal responsfunksjon for alvorlige IKTbaserte hendelser (NorCET) skal være en del av NSM. Hvor lurt er det og fastsette dette ved lov, før innstillingen fra det Digitale Sårbarhetsutvalget er mottatt og behandlet, siden utvalget i henhold til sitt mandat også skal komme med forslag til hvordan vi bør organisere og fastsette ansvar? DetatNSMogsåivaretarrollensomnasjonalsikkerhetsklareringsmyndighetogatdetteitilleggforeslåskommersialisertvedatNSMheretterskalselgedennetjenestenbådetilprivateogoffentligevirksomheter,bidrarhellerikketilåsenketerskelenforåbenyttesegavsamfunnetsegneogvelfungerendesikkerhetstilbud.Viregistrereratdepartementetselvharsettrisikoensomliggeriåinnførebetalingsalternativet.Vårtråderatgebyrforslagetleggesdødtnårdetendeligelovutkastetframlegges. Avsluttendekommentarer Parallelt med Forsvarsdepartementets høringsutkast til ny sikkerhetslov har et utvalg nedsatt av Politidirektoratet levert et forslag til ny Datakrimstrategi. Begge forslagene har konsekvenser for hvordan samfunnets arbeid med cyber og informasjonssikkerhet skal innrettes, hvis hovedtrekkene i anbefalingene tas til følge.

4 Når vi også tar med at det regjeringsoppnevnte Digitale sårbarhetsutvalget skal avlevere sin innstilling senhøstes i år, er det grunn til å anta at vi får noen strategiske beslutninger på plass som får betydning for hvordan sikkerheten på det digitale området skal organiseres og ledes. Etter å ha studert forslaget til endringer i sikkerhetsloven som er oversendt oss, er det nærliggende å hevde at det ikke synes å ha vært noen særlig koordinering på tvers av myndighetsområder underveis i arbeidet. Ikke minst synes det å være tilfelle når det gjelder anbefalinger som berører cyber og informasjonssikkerhet. Vi håper virkelig at anbefalingene blir satt inn i en sammenheng når de alle foreligger i løpet av høsten og at det ikke blir tatt forhastede beslutninger på bruddstykker av helheten. Her er det virkelig slik at alt henger sammen med alt. La oss begrunne dette nærmere; IForsvarsdepartementetsforslagleggesdetopptilatNSMnåogsåskalhadetoperativeansvaretfordennasjonaleresponsfunksjonenforalvorligedataangrepmotsamfunnskritiskinfrastrukturogetnasjonaltvarslingssystemfordigitalinfrastruktur.Detersikkertmangegodegrunnerforågientilsynsmyndighetsom NSMdetoperativeansvaretfordennasjonalecyberoginformasjonssikkerheten, menhardeforutsetningerforåutøvedetteansvaretipraksis?oghvamed bukkenoghavresekken?hvemskalføretilsynmeddenoperativevirksomhetensomvedlovforeslåslagttilnsm.desjøl? NSMerenetatunderForsvarsdepartementet(ogJustisogberedskapsdepartementet)ogsånnsettskullemantroatvirksomhetenfinansieresoverstatsbudsjettet.Deterbaredelvissant.Somvitidligereharpåpektleggerforslagetopptilattjenesterfraetatenskalfinansieresvedåtasegbetaltfra kundene,altsåstatligeogprivateaktører.førerdettetiløktsikkerhetsfokusblant aktørene? NSMharnyliglansertetverktøyforavlesingavkommunikasjonsporter Allvis NO.Detteerenautomatisksårbarhetsskannerforkontinuerligkartleggingogsøketterkjentesårbarheter.DetervelgrunntilåtroatdetteverktøyeterutvikletogkommersialisertavNSMsegneressurser?Dennetjenestentilbysnåtilalle

5 virksomheterinorge.dethevdesogsåatlistenoverdeltagendevirksomheterer økendefrasmåogmellomstorebedrifter.videreharvifangetoppatdetdrøftesomikkebrukenavdennetjenestenskalblietkonsesjonskravforinternett leverandører.altsomblirutvikletogtilbyddforåkunnebedresikkerhetenbørapplauderes,mennåerdetogsåslikatdennetypentjenestetilbysavkommersielledatasikkerhetsleverandørerinorge.erdetdariktigatenstatligmyndighet,medstatligeressurser,utviklerogkommersialisererentjenestesomsåtilbystilmarkedetikonkurransemedenprivatbransjesomharinvestertavegnemidlerientilsvarendetjeneste?vitrorikkedet. Deteretuomtvisteligfaktumatdatasikkerhetsbransjenogsåharetsamfunnssikkerhetsansvarogmåvektleggesimyndighetenesberedskapsogsikkerhetsarbeid,hvisdasiktemåleteratdetskalværehelhetlig. Watchcom Security Group er overbevist om at vi alle, i privat og offentlig sektor, er opptatt av å bidra til en best mulig cyber og informasjonssikkerhet, men slik arbeidet på myndighetssiden i dag synes å være organisert og innrettet, blir det for fragmentert. Det kan sånn sett virke som at alle i dag gjerne kan tenke seg å koordinere, men ingen vil la seg koordinere. Administrerende Direktør Watchcom Security Group Watchcom Security Group, Besøksadresse Langkaia 1, 0150 Oslo. Postadresse Postboks 1861 Vika, 0124 Oslo, Telefon post@watchcom.no