1 kap. – Bestämmelser

Säkerhetsåtgärder i informationssystem (MSBFS 2020:7), 1 kap..

1.Lagtext#

Bestämmelser

1 §#

Dessa föreskrifter innehåller bestämmelser om sådana säkerhetskrav

Allmänna råd

som avses i 19 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

Myndigheten ska, för varje informationssystem, tydliggöra vilken

befattning som ansvarar för att införa, förvalta, följa upp och utvärdera säkerhetsåtgärder (systemägare).

Myndigheten ska, vid utveckling, anskaffning eller utkontraktering

av informationssystem, identifiera krav på säkerhet avseende

uppdelning i nätverkssegment,
filtrering av nätverkstrafik,
behörigheter, digitala identiteter och autentisering,
kryptering,
säkerhetskonfigurering,
säkerhetstester och granskningar,
ändringshantering, uppgradering och uppdatering,
robust och korrekt tid,
säkerhetskopiering,
säkerhetsloggning och tillhörande analys,
övervakning av nätverkstrafik,
övervakning av informationssystem inklusive säkerhetsfunktioner,
skydd mot skadlig kod,
skydd av utrustning,
redundans och återställning,
kontinuitet under fredstida krissituation samt inför och vid höjd beredskap,
arkivering, och
avveckling. Myndigheten ska dokumentera vilka säkerhetsåtgärder som valts för att möta respektive krav.

Allmänna råd

Vid anskaffning av informationssystem bör myndigheten överväga att välja produkter som är certifierade genom tredjepartsgranskning mot etablerad standard.

Myndigheten ska förhindra spridning av incidenter och minska

konsekvenser av angrepp genom att placera informationssystem med olika funktioner i separata nätverkssegment i sin produktionsmiljö.

Allmänna råd

Följande funktioner i produktionsmiljön bör placeras i separata nätverkssegment:

Klienter för användare.
Klienter för administration.
Servrar.
Centrala systemsäkerhetsfunktioner i form av behörighetskontrollsystem, säkerhetsloggning, filtrering och liknande.
Centrala stödfunktioner i form av skrivare, scanner och liknande.
Trådlösa nätverk.
Gästnätverk.
Externt åtkomliga tjänster.
Informationssystem som sammankopplas med informationssystem hos extern aktör.
Industriella informations- och styrsystem.
System som innehåller sårbarheter som inte kan hanteras.

De myndigheter som har ett särskilt ansvar för krisberedskapen enligt

10 § förordning (2015:1052) om krisberedskap och bevakningsansvariga

myndigheters åtgärder vid höjd beredskap ska, utöver vad som framgår av kapitel 2 – 4 i dessa föreskrifter,

använda flerfaktorsautentisering och realtidsövervakning för informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag, och
en gång per kvartal verifiera förmågan till återställning av dessa system.

Myndigheten för samhällsskydd och beredskap får i enskilda fall och

om det finns särskilda skäl medge undantag från tillämpningen av dessa föreskrifter.

Ikraftträdande och övergångsbestämmelser Dessa föreskrifter träder i kraft den 1 oktober 2020. Åtgärder i 4 kap 1 § (nätverkssegmentering), 5 § (flerfaktorsautenticering),

2 §#

Om en annan författning innehåller en bestämmelse som ställer högre

Allmänna råd

krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

Begreppsförklaring

Myndigheten ska bedriva omvärldsbevakning för att underlätta

identifiering och hantering av hot mot och sårbarheter i myndighetens informationssystem.

Myndigheten ska, innan driftsättning och inför förändring som kan

påverka säkerheten i informationssystemen,

genom säkerhetstester och granskning kontrollera att valda säkerhetsåtgärder är tillräckliga för att möta identifierade krav på säkerhet, och
verifiera att det finns nödvändig dokumentation för drift och förvaltning. I de fall brister identifieras ska myndigheten riskbedöma och hantera dessa brister innan driftsättning eller inför förändring som kan påverka säkerheten i informationssystemen.

Allmänna råd

Nödvändig dokumentation för drift och förvaltning bör omfatta arkitektur, ingående komponenter, konfiguration, dataflöden och övrig relevant systeminformation. Av dokumentationen bör även framgå vem som är systemägare samt om och till vilken extern aktör informationssystemet är utkontrakterat.

Myndigheten ska filtrera nätverkstrafiken så att endast nödvändiga

dataflöden förekommer mellan olika nätverkssegment.

Myndigheten ska, en gång per kvartal, kontrollera funktionen hos

informationssystem som ska användas för informationsdelning under fredstida krissituationer.

Allmänna råd

..Myndigheten bör använda Swedish Government Secure Intranet (SGSI) och Radiokommunikation för effektiv ledning (RAKEL) som stöd för informationsdelning under fredstida krissituationer.

Allmänna råd

Undantag

3 §#

I dessa föreskrifter avses med

Allmänna råd

extern aktör Leverantör som inte omfattas av dessa föreskrifter, inhyrd personal eller motsvarande. informationssystem Applikationer, tjänster eller andra komponenter som hanterar information. I begreppet ingår också nätverk och infrastruktur.

Förordningen senast ändrad genom SFS 2020:25. Allmänna råd har en annan juridisk status än föreskrifter. De är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning.

it-miljö Den samlade mängden informationssystem som används för att behandla information som myndigheten ansvarar för.

produktionsmiljö Den del av it-miljön som myndigheten använder för att utföra sitt uppdrag.

redundant funktion Två eller flera, identiska eller olika, funktioner som oberoende av varandra uppfyller samma syfte.

systemadministrativ Behörighet med priviligierade rättigheter som behörighet ger möjlighet att förändra grundläggande funktioner och säkerhetsfunktioner i ett informationssystem.

säkerhetsfunktion Funktion som svarar för viss del av säkerheten såsom behörighetskontrollsystem, säkerhetsloggning, intrångsdetektering, intrångsskydd eller skydd mot skadlig kod.

säkerhetsloggning Elektronisk registrering av säkerhetsrelaterade händelser.

Allmänna råd

Grundläggande bestämmelser

Myndigheten ska genomföra riskbedömning för enskilda

informationssystem och myndighetens produktionsmiljö i sin helhet.

Allmänna råd Riskbedömningar bör även genomföras för myndighetens utvecklings-, test- respektive utbildningsmiljö. Myndigheten bör överväga att ge systemägaren för berört informationssystem i uppgift att säkerställa att riskbedömning genomförs.

Myndighetens arbete med utveckling och tester som kan påverka

informationssäkerheten i produktionsmiljön ska ske i en från produktionsmiljön avskild del av it-miljön.

Myndigheten ska säkerställa att endast behöriga användare och

informationssystem har åtkomst till it-miljön och utforma sin behörighetshantering på ett sådant sätt att varje digital identitet inte har mer åtkomst till information och informationssystem än vad den behöver.

Allmänna råd

Behörighetshanteringen bör säkerställa att

digitala identiteter i produktionsmiljön är unika,
digitala identiteter och behörigheter är godkända innan de kopplas till en användare eller ett informationssystem,
tilldelade behörigheter är tidsbegränsade och kontrolleras en gång per år,
behovet av att använda olika kataloger för digitala identiteter och behörigheter är identifierat och hanterat, och
olika digitala identiteter används vid åtkomst till utvecklings- och testmiljö respektive produktionsmiljö.

En digital identitet bör endast användas av en individ. Digitala identiteter och behörigheter som ger tillgång till externt åtkomliga informationssystem samt utvecklings-, test- och utbildningsmiljö bör hanteras i olika kataloger skilda från kataloger för produktionsmiljön.

4 § – Dokumentation av it-miljön#

Myndigheten ska upprätthålla uppdaterad dokumentation över

1. hård- och mjukvara som används i varje enskilt informationssystem, 2. beroenden mellan olika interna informationssystem respektive beroenden av informationssystem hos externa aktörer, 3. vilka informationssystem som behandlar information som har behov av utökat skydd, och 4. vilka informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag.

Allmänna råd

Tekniskt stöd bör användas för att upprätthålla uppdaterad dokumentation. Beroenden bör tydliggöras i en systemkarta eller motsvarande. Information som är i behov av utökat skydd bör identifieras med stöd av informationsklassning enligt 6 § MSBFS 2020:6.

Allmänna råd

Utveckling, anskaffning och utkontraktering

Myndigheten ska identifiera och hantera behovet av en

utbildningsmiljö som är avskild från produktionsmiljön.

Allmänna råd

Drift och förvaltning

Digitala identiteter som ger systemadministrativ behörighet ska

endast användas för systemadministration och tilldelas restriktivt.

Allmänna råd

En digital identitet med systemadministrativ behörighet bör endast ges åtkomst till en begränsad del av produktionsmiljön.

5 §#

Flerfaktorsautentisering ska användas vid

1. egen och inhyrd personals åtkomst till produktionsmiljön via externt nätverk, 2. systemadministrativ åtkomst till informationssystem, och 3. åtkomst till informationssystem som behandlar information som bedömts ha behov av utökat skydd.

6 §#

Myndigheten ska ha interna regler för hantering av

autentiseringsuppgifter med krav på

längd och komplexitet,
när byte ska ske,
hur distribution ska ske, och
hur autentiseringsuppgifterna ska skyddas.

Allmänna råd

Tekniska system bör användas för att stödja efterlevnaden av reglerna avseende längd, komplexitet och byte.

7 § – Kryptering#

Myndigheten ska identifiera och hantera behovet av kryptering för att

skydda information mot obehörig åtkomst och obehörig förändring vid överföring och lagring.

Allmänna råd

Kryptering bör användas för att skydda

säkerhetsloggar mot obehörig åtkomst och obehörig förändring,
autentiseringsuppgifter mot obehörig åtkomst och obehörig förändring, och
information i behov av utökat skydd mot obehörig åtkomst och obehörig förändring vid överföring till informationssystem utanför myndighetens kontroll.

..Myndigheten bör identifiera behovet av att kryptera e-post på transportlagret i enlighet med OSI-modellen (Information technology - Open Systems Interconnection - Basic Reference Model: The Basic Model, ISO/IEC 7498-1) eller motsvarande. Myndigheten bör också införa möjlighet att använda sådan kryptering vid överföring av e-post till och från andra statliga myndigheter. Myndigheten bör införa möjlighet att verifiera myndigheten som avsändare respektive mottagare av e-post.

8 §#

Myndigheten ska använda Domain Name System Security

Extensions (DNSSEC) avseende samtliga domännamn som myndigheten registrerat i domännamnssystemet (DNS).

2.Tolkning#

Ingen tolkning tillagd ännu.