FMV lämnar rapport om cybersäkerhet

– Vi föreslår att en samlad nationell kompetens- och stödfunktion bör etableras inom staten. Detta för att få en stark nationell förmåga för analys och samordning, samt proaktiv och tidig påverkan på utvecklingen av standarder och certifieringsordningar. Men också för att kunna stödja ansvariga myndigheter och verksamhetsutövare inom cyberområdet, säger Dag Ströman, rådgivare cybersäkerhet FMV.

Informations- och cybersäkerheten i samhället och i säkerhetskänslig verksamhet är beroende av säkerhetsegenskaper hos kommersiella produkter och tjänster, som skulle kunna verifieras inom det europeiska ramverket för cybersäkerhetscertifiering. Det finns dessutom betydande möjligheter att dra nytta av detta ramverk även för nationella ändamål. Men det förutsätter att myndigheter med expertis inom hot, sårbarheter och risker inom cyberområdet, tillsammans med expertmyndigheten inom cybersäkerhetscertifiering, samverkar kring analys och kravställning för att möta Sveriges behov av ökad säkerhet. Först då kan effekterna av samarbetet inom EU tillvaratas på ett ändamålsenligt och effektivt sätt.

– Kompetensmässigt är cybersäkerhetsområdet är väldigt stort och komplicerat. Förmågan att bedöma risker, den stora och mångfacetterade mängden av attackmetoder, effektiva motåtgärder och principer för hur säkerheten i egna produkter och system kan kontrolleras förutsätter avancerad kompetens inom ett stort antal områden, till exempel chipdesign, olika programspråk, öppen källkod, operativsystem, applikationer, internetkommunikation, kryptering, 5G, molnteknik, AI och säkerhetsarkitektur. Alla sektorsmyndigheter och verksamhetsutövare behöver ha tillgång till expertis inom dessa områden. Annars finns stor risk att systemen inte utformas och drivs på ett tillräckligt säkert sätt, samt att de behov som svenska verksamhetsutövare har inte finns representerade och förs fram vid utveckling av de standarder och certifieringsordningar som våra leverantörer endera frivillig tillämpar eller måste efterleva på grund av EU-reglering. Idag är det få som klarar av att göra en sådan här analys på egen hand. Det är även få som har resurser att delta i arbetet att utveckla kraven i relevanta standarder och certifieringsordningar för cybersäkerhet. Det är därför vi föreslår en samlad nationell kompetens som kan stödja dem, säger Dag Ströman.

Stödfunktion

Den föreslagna funktionen ska vara ett stöd till sektorsmyndigheter och verksamhetsutövare, som fortsatt självständigt ska bära ansvar för sina respektive uppdrag och verksamheter. Det är sektorsmyndigheters och verksamhetsutövares rättsliga ansvar och behov som enligt förslaget ska inrikta stödfunktionens verksamhet. Stödfunktionen ska samverka med sektorsmyndigheterna och tillsammans med dessa bevaka, proaktivt delta i eller påverka utvecklingen i relevanta standardiseringsorganisationer och certifieringsordningar.

– För att möta de svenska behoven behöver vi var vara med i dessa organ, annars bestämmer någon annan åt oss. Det är också viktigt att Sverige driver på så att vi får gemensamma internationella standarder, eftersom det leder till lägre kostnader för både leverantörer och verksamhetsutövare, vilket i sig skapar bättre utrymme i varje verksamhetsutövares säkerhetsbudget, säger Dag Ströman.