Ny sikkerhetslov og forskrifter

Transkript

1 Ny sikkerhetslov og forskrifter Endre Waldal

2 Innhold Hvorfor ny sikkerhetslov? Kartlegging av virkeområde Hva innebærer det å bli underlagt ny sikkerhetslov? Oppbygning av regelverket Risikovurdering Sikring av informasjon/informasjonssystem Adgangsklarering

3 Bakgrunn hvorfor ny sikkerhetslov Digitalisering av samfunnet og samfunnsmessige endringer Sektorovergripende avhengigheter og sårbarheter Eks. revitalisering av totalforsvarskonseptet IKT og utveksling av informasjon Tjenesteutsetting Endret sikkerhetspolitisk situasjon og et mer komplekst trusselbilde Hybride trusler Digitale angrep

4 Aktuelle lov og forskrifter Lov om nasjonal sikkerhet (sikkerhetsloven) Forskrifter - Forskrift om virksomheters arbeid med forebyggende sikkerhet (virksomhetssikkerhetsforskriften) - Forskrift om sikkerhetsklarering og annen klarering (klareringsforskriften) - Ikraftsetting av lov 1. juni 2018 nr. 24 om nasjonal sikkerhet med overgangsregler, fordeling av myndighet, videreføring av forskrifter m.m.

5 Kartlegging av virkeområde Sikkerhetsloven dreier seg om statssikkerheten Legges opp til en begrenset utvidelse av sikkerhetslovens virkeområde Fortsatt statssikkerhet Ny systematikk Har virksomheten informasjon, informasjonssystemer, objekter eller infrastruktur avgjørende betydning for grunnleggende nasjonale funksjoner Eller driver aktivitet som har avgjørende betydning for grunnleggende nasjonale funksjoner GNF= tjenester, produksjon og andre former for virksomhet som er av en slik betydning at helt eller delvis bortfall av funksjonen vil få konsekvenser for statens evne til å ivareta nasjonale sikkerhetsinteresser.

6 Virkeområde

7 Virkeområde fort. Statlige og kommunale organer underlagt, men verdiene de råder over må kartlegges på ny Private aktører omfattes avhengig av hvilken funksjon de råder over Hensikt: Bedre oversikt over innsatsfaktorer som har betydning for nasjonal sikkerhet Uavhengig av samfunnssektor Kartlegge avhengigheter på tvers

8 Videre prosess kartlegging av virkeområde Kartlegging av den enkelte sektor innen rimelig tid Størrelse på sektor, antall skjermingsverdige objekter, kompleksiteten i verdikjedene og den sikkerhetsfaglige kompetansen i sektoren Pågår et arbeid i departementsfelleskapet. Overgangsregler Dagens objekter, klareringer etc. videreføres Men må sikres etter ny lov og forskrifter

9 Kravene i det nye regelverket Krav om at skjermingsverdige objekter, infrastruktur, informasjon og informasjonssystemer har et forsvarlig sikkerhetsnivå Klassifiserings/graderingsnivå vil være utgangspunktet Jo høyere nivå desto strengere krav Hvilken risiko verdien er utsatt for - Hvilke trusler - Hvilke sårbarheter Kost/nytte vurdering

10 Fort. Styringssystem for sikkerhet Virksomhetens leders ansvar tilstrekkelig med ressurser jevnlig evaluering Funksjonelle krav til sikring Sier noe om hva sikkerhetstiltakene skal oppnå og ikke hvordan det oppnås - legger til rette for bruk av standarder - bruk av oppdaterte sikkerhetstiltak

11 Virksomhetens arbeid med forebyggende sikkerhet Oppbygning av forskrift for å dekke krav til styringssystem og generelle sikringsprinsipper først. Har i utgangspunktet en funksjonell tilnærming som skal dekke BEGRENSET nivå og skjermingsverdig informasjon. Nærmere krav til beskyttelse av høyere gradert informasjon og klassifisert infrastruktur og objekt. Styring av sikkerhet Generelle krav / prinsipper for sikring Fysisk Elekt./IKT Menneske Informasjon Informasjonssystem Infrastruktur og objekt

12 Sikringstiltak som gjennomføres For å sikre For å opprettholde For å ivareta Regelverkets oppbygging Nasjonale sikkerhetsinteresser Grunnleggende nasjonale funksjoner (GNF) Informasjon Informasjonssystem Infrastruktur Objekt Sikkerhetsstyring / internkontroll Barrierer Fysiske tiltak Elektroniske tiltak (IKT) Menneskelige tiltak Deteksjon Verifikasjon Reaksjon

13 Risikovurderingen - grunnlaget for sikringen Hvilken risiko er virksomhetens verdien utsatt for Hva skal du beskytte? Hvilken motstander skal tiltakene beskytte mot? Sannsynlighet Sårbarhet Konsekvens Forutsetter tilgang på relevant informasjon NSM har en tilretteleggingsplikt

14 Informasjonssikkerhet BEGRENSET ikke med «enkle midler». Strengere krav jo høyere graderings/klassifiseringsnivå K-nivå, sikre at «uautoriserte personer ikke kan få tilgang til informasjon gradet KONFIDENSIELT eller høyere uten at virksomheten oppdager det» H-nivå skal i tillegg «begrense skadefølgen». - K-info eller høyere: fremdeles krav til kontrollert og beskyttet sone - direkte tilgang til k-info fremdeles krav om sperret sone - oppbevaringsenhet godkjent av NSM i beskyttet sone Bruk av evaluerte og sertifiserte komponenter hvis funksjonaliteten er avgjørende for om personer får tilgang

15 Informasjonssystemer Krav til sikring avhengig av graderingsnivået på informasjonen, eventuelt klassifiseringsnivået til objektet eller infrastrukturen den understøtter. Krav om beskyttelse mot: uønsket lesing, bruk, modifikasjon, manipulasjon at uautentiserte brukere kan påvirke funksjonaliteten at falske data og tjenester introduseres i systemet Krav om logging og systematisk kontroll av tiltak

16 Informasjonssystemer fort. Krav om godkjenning utgangspunktet virksomheten selv NSM godkjenner visse typer skjermingsverdige informasjonssystemer Høyt graderingsnivå Forbindelser til utlandet Der ikke alle brukerne er klarert for tilgang til all info i systemet NSM kan gi fullmakt til andre virksomheter til å gjøre godkjenningen selv

17 Sikkerhetsgraderte anskaffelser Hvor leverandøren av en vare eller tjeneste kan få tilgang til eller tilvirker sikkerhetsgradert informasjon eller få tilgang til et skjermingsverdig objekt, jf Sikkerhetsavtale Krav vil avhenge av hva leverandøren får tilgang til Leverandørklarering Tilgang til KONFIDENSIELT eller høyere Varslingsplikt hvor anskaffelsen kan innebære en ikke ubetydelig risiko

18 Sikkerhetsklarering Krav om sikkerhetsklarering ved tilgang til K-info eller høyere Vil fremdeles være en helhetsvurdering av hvorvidt personen er sikkerhetsmessig skikket. Tilgjengelige personkontrollopplysninger finnes det andre kilder enn registeropplysninger Hvilket land har vedkommende oppholdt seg i Ved personkontroll av nærstående blir relasjonen til den nærstående et moment Tilknytning vil fremdeles være et sentralt moment Men skal være mulig å klarere uten tilknytning Særskilt kompetanse Statens sikkerhetsmessige betydning

19 Adgangsklarering Gjelder der personen bare skal ha tilgang til objekt Forutsetter departementsvedtak Færre opplysninger hentes inn enn ved klarering Og det vurderes færre momenter Skal være en enklere prosess enn ved sikkerhetsklarering

20 Spørsmål? Endre Waldal