Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter

Dessa föreskrifter innehåller bestämmelser om sådana säkerhetskrav som avses i 19 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

I dessa föreskrifter avses med extern aktör Leverantör som inte omfattas av dessa föreskrifter, inhyrd personal eller motsvarande. informationssystem Applikationer, tjänster eller andra komponenter som hanterar information. I begreppet ingår också nätverk och infrastruktur.

Myndigheten ska, för varje informationssystem, tydliggöra vilken befattning som ansvarar för att införa, förvalta, följa upp och utvärdera säkerhetsåtgärder (systemägare).

Myndigheten ska bedriva omvärldsbevakning för att underlätta identifiering och hantering av hot mot och sårbarheter i myndighetens informationssystem.

Myndigheten ska genomföra riskbedömning för enskilda informationssystem och myndighetens produktionsmiljö i sin helhet.

Allmänna råd Riskbedömningar bör även genomföras för myndighetens utvecklings-, testrespektive utbildningsmiljö. Myndigheten bör överväga att ge systemägaren för berört informationssystem i uppgift att säkerställa att riskbedömning genomförs.

Myndigheten ska upprätthålla uppdaterad dokumentation över 1. hård- och mjukvara som används i varje enskilt informationssystem, 2. beroenden mellan olika interna informationssystem respektive beroenden av informationssystem hos externa aktörer, 3. vilka informationssystem som behandlar information som har behov av utökat skydd, och 4. vilka informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag.

Myndigheten ska, vid utveckling, anskaffning eller utkontraktering av informationssystem, identifiera krav på säkerhet avseende 1. uppdelning i nätverkssegment, 2. filtrering av nätverkstrafik, 3. behörigheter, digitala identiteter och autentisering, 4. kryptering, 5. säkerhetskonfigurering, 6. säkerhetstester och granskningar, 7. ändringshantering, uppgradering och uppdatering, 8. robust och korrekt tid, 9. säkerhetskopiering, 10. säkerhetsloggning och tillhörande analys, 11. övervakning av nätverkstrafik, 12. övervakning av informationssystem inklusive säkerhetsfunktioner, 13. skydd mot skadlig kod, 14. skydd av utrustning, 15. redundans och återställning, 16. kontinuitet under fredstida krissituation samt inför och vid höjd beredskap, 17. arkivering, och 18. avveckling.

Myndigheten ska dokumentera vilka säkerhetsåtgärder som valts för att möta respektive krav.

Myndigheten ska, innan driftsättning och inför förändring som kan påverka säkerheten i informationssystemen, 1. genom säkerhetstester och granskning kontrollera att valda säkerhetsåtgärder är tillräckliga för att möta identifierade krav på säkerhet, och 2. verifiera att det finns nödvändig dokumentation för drift och förvaltning.

I de fall brister identifieras ska myndigheten riskbedöma och hantera dessa brister innan driftsättning eller inför förändring som kan påverka säkerheten i informationssystemen.

Myndighetens arbete med utveckling och tester som kan påverka informationssäkerheten i produktionsmiljön ska ske i en från produktionsmiljön avskild del av it-miljön.

Myndigheten ska identifiera och hantera behovet av en utbildningsmiljö som är avskild från produktionsmiljön.

Myndigheten ska förhindra spridning av incidenter och minska konsekvenser av angrepp genom att placera informationssystem med olika funktioner i separata nätverkssegment i sin produktionsmiljö.

Myndigheten ska filtrera nätverkstrafiken så att endast nödvändiga dataflöden förekommer mellan olika nätverkssegment.

Myndigheten ska säkerställa att endast behöriga användare och informationssystem har åtkomst till it-miljön och utforma sin behörighetshantering på ett sådant sätt att varje digital identitet inte har mer åtkomst till information och informationssystem än vad den behöver.

Digitala identiteter som ger systemadministrativ behörighet ska endast användas för systemadministration och tilldelas restriktivt.

Flerfaktorsautentisering ska användas vid 1. egen och inhyrd personals åtkomst till produktionsmiljön via externt nätverk, 2. systemadministrativ åtkomst till informationssystem, och 3. åtkomst till informationssystem som behandlar information som bedömts ha behov av utökat skydd.

Myndigheten ska ha interna regler för hantering av autentiseringsuppgifter med krav på 1. längd och komplexitet, 2. när byte ska ske, 3. hur distribution ska ske, och 4. hur autentiseringsuppgifterna ska skyddas.

Myndigheten ska identifiera och hantera behovet av kryptering för att skydda information mot obehörig åtkomst och obehörig förändring vid överföring och lagring.

Myndigheten ska använda Domain Name System Security Extensions (DNSSEC) avseende samtliga domännamn som myndigheten registrerat i domännamnssystemet (DNS).

Myndigheten ska ha interna regler för kryptering med krav på 1. hantering av krypteringsnycklar, 2. godkännande och förvaltning av krypteringslösningar, och 3. hur krypteringsalgoritmer, krypteringsprotokoll och nyckellängder ska väljas.

Myndigheten ska, för att skydda informationssystem mot obehörig åtkomst, 1. byta ut förinställda autentiseringsuppgifter, 2. stänga av, ta bort eller blockera systemfunktioner som inte behövs, och 3. i övrigt anpassa konfigurationer för att uppnå avsedd säkerhet.

Myndigheten ska säkerställa att säkerhetstester och granskningar möjliggör identifiering av sårbarheter. Myndigheten ska ha interna regler för hur kontroll görs av att 1. informationssystemen är uppdaterade, 2. valda säkerhetsåtgärder är införda på korrekt sätt, och 3. genomförda säkerhetskonfigurationer är tillräckliga.

Myndigheten ska säkerställa att förändringar i informationssystem genomförs på ett strukturerat och spårbart sätt. Myndigheten ska ha interna regler för ändringshantering med krav på 1. vilka kriterier som ska användas för att godkänna hård- och mjukvara innan installation eller användning, 2. hur risker för incidenter och avvikelser i samband med förändring i produktionsmiljön ska identifieras och hanteras, 3. hur mjukvara, utan onödigt dröjsmål, ska uppdateras till senaste version, 4. hur utbyte eller uppgradering av hård- och mjukvara som inte längre uppdateras eller stöds av leverantören ska säkerställas utan onödigt dröjsmål, och 5. hur risker ska hanteras när uppdatering eller uppgradering enligt punkt 3 och 4 inte kan genomföras.

Myndigheten ska använda robust och korrekt tid spårbar till den svenska tillämpningen av koordinerad universell tid, UTC(SP), i sin produktionsmiljö.

Myndigheten ska, för att kunna återställa information som förlorats eller förvanskats, regelbundet säkerhetskopiera sin information.

Säkerhetskopior ska förvaras skilda från produktionsmiljön och skyddas mot skada, obehörig åtkomst och obehörig förändring.

Myndigheten ska, för att säkerställa spårbarhet i informationssystem, logga följande säkerhetsrelaterade händelser: 1. Obehörig åtkomst och försök till obehörig åtkomst till it-miljö och enskilda informationssystem. 2. Förändringar av konfigurationer och säkerhetsfunktioner som förutsätter priviligierade rättigheter. 3. Förändringar av behörighet för användare och informationssystem. 4. Åtkomst till information som bedömts ha behov av utökat skydd.

Myndigheten ska analysera innehållet i säkerhetsloggarna för att upptäcka och hantera incidenter och avvikelser. Säkerhetsloggarna ska 1. möjliggöra utredning av intrång, tekniska fel och brister i säkerheten, 2. utformas på ett sätt som möjliggör jämförbarhet mellan olika loggar, och 3. vara tillgängliga för analys under fastställd bevarandetid.

Myndigheten ska dokumentera hur säkerhetsloggarna ska användas samt var loggningsuppgifter hämtas och lagras, hur de skyddas och hur länge de ska bevaras.

Myndigheten ska identifiera och hantera behovet av intrångsdetektering och intrångsskydd.

Myndigheten ska identifiera och hantera behovet av realtidsövervakning av informationssystem.

Myndigheten ska använda mjukvara som ger skydd mot skadlig kod. För informationssystem där sådan mjukvara inte finns tillgänglig ska andra åtgärder vidtas som ger motsvarande skydd.

Myndigheten ska skydda den utrustning som informationssystem består av mot skador och obehörig åtkomst, genom att 1. placera centrala servrar och central nätverksutrustning i särskilda itutrymmen, 2. tilldela behörighet till särskilda it-utrymmen restriktivt, 3. identifiera och hantera behovet av övervakning och larm i särskilda itutrymmen, 4. registrera tillträde till särskilda it-utrymmen på individnivå och spara dokumentationen under fastställd bevarandetid, och 5. ha interna regler för hur mobil utrustning ska skyddas.

Myndigheten ska, för att säkerställa tillgänglighet till information och informationssystem vid incidenter och avvikelser, 1. ha interna regler för återställning av produktionsmiljön i sin helhet och för enskilda informationssystem, 2. öva återställning av informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag, och 3. placera centrala servrar och central nätverksutrustning som skapar redundant funktion i olika särskilda it-utrymmen.

De myndigheter som har ett särskilt ansvar för krisberedskapen enligt 10 § förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap ska, utöver vad som framgår av kapitel 2 – 4 i dessa föreskrifter, 1. använda flerfaktorsautentisering och realtidsövervakning för informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag, och 2. en gång per kvartal verifiera förmågan till återställning av dessa system.

Myndigheten ska, en gång per kvartal, kontrollera funktionen hos informationssystem som ska användas för informationsdelning under fredstida krissituationer.

Myndigheten för samhällsskydd och beredskap får i enskilda fall och om det finns särskilda skäl medge undantag från tillämpningen av dessa föreskrifter.

______________