Handbok för Försvarsmaktens säkerhetstjänst, Grunder

H Säk Grunder

Datum HKV beteckning

2013-04-29 10 440:55631

Handbok för Försvarsmaktens säkerhetstjänst Grunder (H SÄK Grunder), 2013 års utgåva (M7739-352046) fastställs för tillämpning fr.o.m. 2013-06-30.

Målgruppen är främst Försvarsmaktens ledning, chefer för organisationsenheter, säkerhets-, IT-säkerhets- och signalskyddschefer samt personal med ansvar för säkerhetstjänst.

Därmed upphävs Handbok för Försvarsmaktens säkerhetstjänst Grunder
(H SÄK Grunder), 2000 års utgåva (M7745-734011) samt Handbok för Försvarsmaktens säkerhetstjänst Internationell verksamhet (H SÄK Int), 2000 års utgåva (M7745-734091).

Denna utgåva av H SÄK Grunder ersätter kapitel 2, 8, 9 och 10 i H SÄK Skydd, 2007 års utgåva.

Chefen för Säkerhetskontoret vid den militära underrättelse- och säkerhetstjänsten får fatta beslut om ändringar i handboken inom ramen för 2013 års utgåva.

Beslut i detta ärende har fattats av generalmajor Gunnar Karlson. I den slutliga handläggningen har överste Mattias Hanson och överstelöjtnant Patrik Lind deltagit med överstelöjtnant Mårten Wallén som föredragande.

Gunnar Karlson
Chef för militära underrättelse- och Mårten Wallén
säkerhetstjänsten

© 2013 Försvarsmakten, Stockholm

Att mångfaldiga innehållet i denna publikation, helt eller delvis, utan medgivande av Försvarsmakten, är förbjudet enligt upphovsrättslagen.

Omslagsbild: Combat camera, Försvarsmakten
Layout och tryck: FMV/FSV Grafisk produktion

Central lagerhållning: Försvarets bok- och blankettförråd

Förord

Den militära säkerhetstjänstens uppgift är att upptäcka, identifiera och möta säkerhetshot som riktas mot Försvarsmakten och dess säkerhetsintressen såväl inom som utom landet. Säkerhetsintressen omfattar eller kan hänföras till personal, materiel, information, anläggningar och verksamhet i vid bemärkelse inklusive den internationella verksamhet Försvarsmakten deltar i.

Den militära säkerhetstjänsten omfattar säkerhetsunderrättelsetjänst, säkerhetsskyddstjänst och signalskyddstjänst. Säkerhetsunderrättelsetjänsten ska klarlägga den säkerhetshotande verksamheten. Säkerhetsskydds- och signalskyddstjänsten ska skydda våra skyddsvärda tillgångar från säkerhetshoten. Genomförandet av militär säkerhetstjänst resulterar i säkerhetsskydds- och signalskyddsåtgärder vilka främst syftar till att säkerställa nödvändig nivå av säkerhetsskydd. Uppgiften löses genom att identifiera och prioritera skyddsvärda tillgångar, bedöma säkerhetshot, sårbarhet och risker samt prioritera risker och fatta beslut om säkerhetsskydds- och signalskyddsåtgärder.

Denna handbok beskriver grunderna för genomförande av militär säkerhetstjänst. Handboken bygger på säkerhetsskyddslagstiftningen och på Försvarsmaktens föreskrifter om säkerhetsskydd. Handbokens syfte är att utgöra ett stöd för det praktiska arbetet vid genomförande av och vid utbildning i säkerhetstjänst.

Försvarsmaktens verksamhet innebär att våra säkerhetsintressen förändras över tiden. Den säkerhetshotande verksamheten som riktas mot Försvarsmakten varierar också över tiden, varför den största utmaningen för säkerhetstjänsten är att hitta en balans mellan säkerhetsskydds- respektive signalskyddsåtgärder och risktagande med hänsyn till såväl våra säkerhetsintressen som aktuella säkerhetshot. En effektiv säkerhetstjänst grundar sig bland annat på en väl genomförd säkerhetsplanering, kontinuerlig internkontrollverksamhet och ett högt säkerhetsmedvetande hos Försvarsmaktens personal. Grunden för ett högt säkerhetsmedvetande åstadkommes genom att personalen är väl utbildad och fortlöpande orienteras om säkerhetsrelaterade händelser.

Det första kapitlet i handboken behandlar rättsliga, organisatoriska och metodmässiga grunder. Nästa kapitel beskriver hur genomförandet av säkerhetsplanering omfattande säkerhetsanalys, säkerhetsplan och säkerhetsbestämmelser går till. Det tredje kapitlet omfattar genomförande och uppföljning av utbildning i säkerhetstjänst. Det fjärde kapitlet behandlar grunderna för planering, genomförande och uppföljning av säkerhetsskyddskontroller. Det sista kapitlet omfattar grunderna vad avser säkerhetstjänst i samband med internationell verksamhet.

Gunnar Karlson
Chef för militära underrättelse- och säkerhetstjänsten

Läsanvisning

Handboken innehåller förklarande text till de författningar som reglerar grunderna för den militära säkerhetstjänsten inklusive säkerhetsplanering, utbildning, kontrollverksamhet och internationell verksamhet.

Utöver H SÄK Grunder omfattar den militära säkerhetstjänstens handböcker:

• H SÄK Infosäk – grunderna vad avser informations- och IT-säkerhet

• H SÄK Sekrbed A – grunderna vad avser klassificering av information inklusive sekretessbedömning och inplacering av uppgifter i informationssäkerhetsklass

• H SÄK Sekrbed B – råd och riktlinjer för ämnesvis klassificering av information

• H SÄK Säkprövning – grunderna vad avser säkerhetsprövning

• H SÄK Tillträde – grunderna vad avser tillträdesbegränsning

• H SÄK Vap Am – grunderna vad avser hantering av vapen och ammunition

• H SÄK SUA – grunderna vad avser säkerhetsskyddad upphandling med säkerhetsskyddsavtal

• H SÄK Hot – grunderna vad avser säkerhetshotande verksamhet

• H SÄK Säkund (H) – grunderna vad avser säkerhetsunderrättelsetjänst

• H TST Grunder – grunderna vad avser signalskyddstjänst

Om inte annat anges avser myndighet en svensk myndighet. Om myndighet anges i text under en föreskrift ur säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633) och Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd avses en myndighet som träffas av föreskrifterna. Sådan text utgör Försvarsmaktens uppfattning om hur föreskriften ska tillämpas vid en myndighet som Försvarsmakten har föreskriftsrätt över vad gäller säkerhetsskydd.1

Text ur Försvarsmaktens föreskrifter och interna bestämmelser återges i beige rutor med kursiv stil. Övrig författningstext, lagar och förordningar återges i beige rutor med fet kursiv stil.

När ska används i löpande text i fråga om ett krav är det med stöd av en föreskrift till vilken hänvisning sker med fotnot. De råd, riktlinjer och rekommendationer som anges i denna handbok bör i Försvarsmakten alltid följas om inte särskilda skäl föreligger att genomföra verksamheten på annat sätt.2 När bör används i löpande text är det således Försvarsmaktens uppfattning i frågan.

Med OSL avses offentlighets- och sekretesslagen (2009:400). Med OSF avses offentlighets- och sekretessförordningen (2009:641). Med TF avses tryckfrihetsförordningen. Med YGL avses yttrandefrihetsgrundlagen.

I handboken görs hänvisningar till bl.a. Försvarsmaktens interna bestämmelser (FIB 2007:2) om säkerhetsskydd och skydd av viss materiel samt Försvarsmaktens interna bestämmelser (FIB 2006:2) om IT-säkerhet. Försvarsmaktens interna bestämmelser om säkerhet och skydd av viss materiel har ändrats genom FIB 2010:1 och FIB 2010:5. Försvarsmaktens interna bestämmelser om IT-säkerhet har ändrats genom FIB 2010:2, FIB 2010:6 och FIB 2011:1. FIB 2010:1 och FIB 2010:2 utgör även omtryck av författningarna. Vid hänvisning till någon av dessa ändrade författningar används dock den ursprungliga författningsbeteckningen; nämligen FIB 2007:2 respektive FIB 2006:2.

Föreskrifter som rör skydd för utrikes- och sekretessklassificerade uppgifter och handlingar gäller endast i Försvarsmakten.

Med hemlig uppgift avses i denna handbok en uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet. Med hemlig handling avses i denna handbok en handling som innehåller hemlig uppgift.3 Med hemlig handling förstås alltså en handling, vare sig den är allmän eller inte.

Med utrikesklassificerad uppgift avses i denna handbok en uppgift som av en utländsk myndighet eller mellanfolklig organisation eller av en svensk myndighet har klassificerats i någon av nivåerna TOP SECRET, SECRET, CONFIDENTIAL eller RESTRICTED eller motsvarande och som är sekretessbelagd enligt 15 kap. 1 § offentlighets- och sekretesslagen men som inte rör rikets säkerhet. Med utrikesklassificerad handling avses en handling som innehåller utrikesklassificerad uppgift.

Med sekretessklassificerad uppgift avses i denna handbok en uppgift som är sekretessbelagd enligt offentlighets- och sekretesslagen men som inte rör rikets säkerhet och som inte är en utrikesklassificerad uppgift. Med sekretessklassificerad handling avses en handling som innehåller sekretessklassificerad uppgift.

Utförligare beskrivning av begrepp som allmänna och inte allmänna handlingar, hemlig uppgift, utrikesklassificerad uppgift, sekretessklassificerad uppgift, sekretesskategorier och informationssäkerhetsklasser återfinns i Handbok Säkerhetstjänst Sekretessbedömning Del A (H SÄK Sekrbed A), 2011.

I handboken återfinns exemplen i gula rutor samt i löptext.

Med organisationsenhet avses Högkvarteret samt förband, skolor och centrum, vilka är angivna som organisationsenheter i förordningen med instruktion för Försvarsmakten. Med Must avses militära underrättelse- och säkerhetstjänsten i Högkvarteret. Med expedition avses även registratur eller motsvarande funktion som svarar för registrering av allmänna handlingar vid en myndighet.

Med regional säkerhetsorganisation eller säkerhetsorganisation på regional nivå avses vid tidpunkten för denna handboks fastställande, underrättelse- och säkerhetsavdelning vid militärregionstab.

11 11 § andra stycket och 44 § säkerhetsskyddsförordningen.

2 7 kap. 20 § Försvarsmaktens föreskrifter med arbetsordning för Försvarsmakten (FM ArbO).

3 4 § 1 och 2 säkerhetsskyddsförordningen (1996:633).

Innehåll

1.1 Inledning

1.2 Militär säkerhetstjänst – Grunder

1.2.1 Uppgifter, syfte och omfattning

1.2.2 Indelning av säkerhetsskyddstjänst

1.2.3 Lednings-, lydnads- och ansvarsförhållanden

1.2.4 Den militära säkerhetstjänstens tillsynsområde

1.3 Säkerhetsrapportering

1.4 Rättsliga grunder

1.4.1 Säkerhetsskydd

1.4.2 Skyddsobjekt

1.4.3 Skydd för landskapsinformation

1.4.4 Personuppgifter

1.5 Beslut om avvikelse eller undantag

1.5.1 Beslut om avvikelse

1.5.2 Beslut om undantag

2.1 Allmänt

2.2 Säkerhetsanalys

2.2.1 Genomförande av säkerhetsanalys

2.2.2 Steg 1 - Identifiera och prioritera skyddsvärda tillgångar

2.2.3 Steg 2 - Bedömning av säkerhetshot

2.2.4 Steg 3 - Bedömning av sårbarhet

2.2.5 Steg 4 - Bedömning av risk

2.2.6 Steg 5 - Prioritera och hantera risker (riskhanteringsbeslut)

2.3 Säkerhetsplan

2.4 Säkerhetsbestämmelser

2.5 Säkerhetsskyddsplan/-instruktion

3.1 Ansvar

3.2 Omfattning

3.2.1 Allmänt

3.2.2 Kurser

3.3 Genomförande

3.3.1 Grundläggande utbildning

3.3.2 Fortlöpande utbildning

3.3.3 Särskild utbildning

3.3.4 Informationstjänst

4.1 Grunder

4.2 Ansvar

4.3 Kontrolltyper

4.3.1 Föranmälda kontroller

4.3.2 Inte föranmälda kontroller

4.3.3 Kontroll av företag vilka har uppdrag som upphandlats med säkerhetsskyddsavtal (SUA)

4.4 Säkerhetsskyddsbesök

4.5 Kontrollförberedelser

4.5.1 Riktlinjer för tidsplan inför säkerhetsskyddskontroll

4.5.2 Underlag för genomförande av säkerhetsskyddskontroll

4.6 Genomförande

4.7 Efter genomförd säkerhetsskyddskontroll

4.7.1 Muntliga och skriftliga redovisningar

4.7.2 Uppföljning

4.8 Säkerhetsrapportering

5.1 Inledning

5.2 Grunder

5.2.1 Allmänt

5.2.2 Internationellt regelverk

5.2.3 Internationella roller

5.2.4 Något om sekretess i internationell verksamhet

5.3 Gemensamma bestämmelser

5.3.1 Allmänt

5.3.2 Medförande av hemliga och utrikesklassificerade handlingar utomlands

5.3.3 Medförande av signalskyddsnycklar och signalskyddsmateriel utomlands

5.3.4 Betydelsen av märkning från annat land eller mellanfolklig organisation

5.3.5 Företräde för utländska bestämmelser

5.4 Internationella militära insatser

5.4.1 Allmänt

5.4.2 Inventering

5.4.3 Kontroll av säkerhetsskyddet

5.4.4 Beslut om undantag

1 Grunder

1.1 Inledning

Detta kapitel behandlar grunderna för den militära säkerhetstjänsten samt en orientering om de för den militära säkerhetstjänsten viktigaste lagarna och förordningarna.

1.2 Militär säkerhetstjänst – Grunder

1.2.1 Uppgifter, syfte och omfattning

Den militära säkerhetstjänstens uppgift är att upptäcka, identifiera och möta säkerhetshot som riktas mot Försvarsmakten och dess säkerhetsintressen såväl inom som utom landet.1 Säkerhetsintressena omfattar eller kan hänföras till personal, materiel, information, anläggningar och verksamhet i vid bemärkelse inklusive den internationella verksamhet som Försvarsmakten deltar i. Den militära säkerhetstjänsten ska därmed klarlägga verksamhet som innefattar hot mot rikets säkerhet eller mot Försvarsmaktens säkerhetsintressen i övrigt samt vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet.2 Häri ingår bl.a. att biträda polisen i dess ansvar beträffande skyddet av rikets säkerhet.3 Åtgärderna syftar främst till att säkerställa tillräcklig nivå av säkerhetsskydd under såväl fred, kris och krig.

Med säkerhetshotande verksamhet avses aktörsdrivna hot, det vill säga hot bakom vilket det står en aktör i form av en individ, grupp, nätverk, organisation, stat etc. Aktörsdrivna hot är normalt avsiktliga.

Icke aktörsdrivna hot kategoriseras inte som säkerhetshotande verksamhet även om de kan påverka Försvarsmakten och dess säkerhetsintressen på ett negativt sätt. Med icke aktörsdrivna hot avses naturliga fenomen (t.ex. naturkatastrofer och sjukdomar), fel i tekniska system (t.ex. buggar och materialfel) och icke uppsåtliga mänskliga gärningar (t.ex. slarv och olyckor).

Med rikets säkerhet avses såväl den yttre säkerheten för det nationella oberoendet som den inre säkerheten för det demokratiska statsskicket. Skyddet för den yttre säkerheten tar i första hand sikte på totalförsvaret. Ett hot mot rikets yttre säkerhet kan dock förekomma även om det inte utgör ett hot mot totalförsvaret.4

Den militära säkerhetstjänsten omfattar säkerhetsunderrättelse-, säkerhetsskydds- och signalskyddstjänst.5

Säkerhetsunderrättelsetjänst

Säkerhetsunderrättelsetjänsten har till uppgift att klarlägga den säkerhetshotande verksamhetens omfattning, inriktning samt medel och metoder. Verksamheten syftar till att utifrån aktuella säkerhetsunderrättelsebehov lämna underlag för beslut om t.ex. säkerhetsskyddsåtgärder, beredskap eller förbandsproduktion.6 Säkerhetsunderrättelsetjänst sker i stort under samma arbetsformer och med utnyttjande av samma typ av källor som används i försvarsunderrättelseverksamheten.7

Den säkerhetshotande verksamhet som riktas mot Försvarsmakten brukar delas in i främmande underrättelseverksamhet, kriminalitet, sabotage, subversion samt terrorism. Den kan riktas mot hela eller delar av Försvarsmakten, viss funktion eller verksamhet och förband samt verksamhet inom Försvarsmaktens intresseområde, t.ex. försvarsindustri. Underrättelseverksamhet riktad mot Försvarsmakten kan bedrivas av såväl främmande makt som olika organisationer, företag och kriminella personer. Främmande makts underrättelseverksamhet kan ske på svenskt territorium, utanför landet eller riktas mot Försvarsmakten i samband med internationell militär verksamhet eller uppträdande utomlands i andra sammanhang.

Säkerhetsskyddstjänst

Säkerhetsskyddstjänstens uppgift är att ta fram åtgärder som syftar till att hindra eller försvåra säkerhetshotande verksamhet.8 Säkerhetsskyddet ska främst förebygga att uppgifter som omfattas av sekretess och rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet), att obehöriga får tillträde till platser där de kan få tillgång till hemliga uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddstjänsten skyddar också materiel och anläggningar mot sabotage och stöld samt personal, anläggningar och materiel mot terrorism.9

Signalskyddstjänst

Signalskyddstjänst syftar till att, med hjälp av kryptografiska metoder och övriga signalskyddsåtgärder, förhindra obehörig insyn i och påverkan av telekommunikations- och IT-system.

Exempel på signalskyddsåtgärder är kryptering, täckning, omskrivning, radiotystnad, frekvenshopp, val av sambandsmedel, användning av digitala signaturer för säker verifiering av elektroniska dokument samt stark autentisering för skydd mot intrång.

Genom att använda signalskydd i telekommunikations- och IT-system ges möjlighet att förhindra alternativt försvåra för obehöriga att:

• Få tillgång till, tyda eller förvanska uppgifter som kommuniceras eller lagras.

• Påverka telekommunikations- och IT-system.

• Kartlägga mellan vilka parter och varifrån kommunikation sker.

En del av signalskyddstjänsten är kontroll av signalskyddet i telekommunikations- och IT-system, s.k. signalkontroll. Signalkontroll syftar till att klarlägga riskerna för obehörig åtkomst till eller förvanskning av uppgifter eller störning av telekommunikation. Vidare kan signalkontroll klarlägga att systemen används enligt gällande regelverk.

Signalskyddstjänsten är en säkerhetsskyddsangelägenhet.10

1.2.2 Indelning av säkerhetsskyddstjänst

Säkerhetsskyddstjänst bedrivs inom följande delområden.

Informationssäkerhet

Informationssäkerhet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. I efterhand ska det gå att analysera informationsförlusten för att kunna minimera skadan. Grunden för informationssäkerhet utgörs av informationens klassificering. Försvarsmaktens modell för informationsklassificering framgår av handbok säkerhetstjänst sekretessbedömning (H Säk Sekrbed Del A, 2011).

IT-säkerhet

IT-säkerhet är en del av informationssäkerheten och rör främst de delar av begreppet informationssäkerhet som avser säkerheten i den tekniska hanteringen av information som behandlas i IT-system samt administration kring detta.

Tillträdesbegränsning

Tillträdesbegränsning ska förebygga att obehöriga inte får tillträde till platser där de kan få tillgång till hemliga uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs. Tillträdesbegränsning ska även förebygga att stöldbegärlig, svårersättlig eller av annan anledning skyddsvärd materiel förstörs eller kommer obehörig till del. Tillträdesbegränsning som begrepp har därför en vidare betydelse i Försvarsmakten jämfört med säkerhetsskyddslagstiftningen.

Säkerhetsprövning

Säkerhetsprövning är en sammanfattande benämning på åtgärder som ska klarlägga om en person kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen. Säkerhetsprövning ska bedöma lojalitet, pålitlighet eller sårbarhet ur säkerhetssynpunkt.

Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA)

Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) är en särskild process som ska användas vid upphandlingar där hemliga uppgifter förekommer. Det innebär att man tar hänsyn till nödvändiga säkerhetsskyddskrav, vilka regleras i ett säkerhetsskyddsavtal.

Utbildning

Utbildning är en grundförutsättning för att erhålla ett bra säkerhetsskydd. Utbildning i säkerhetstjänst ska genomföras innan en person ges behörighet att ta del av eller på annat sätt hantera hemliga eller utrikesklassificerade uppgifter. För personal med särskilt ansvar för säkerhetstjänst krävs särskild utbildning. Utbildning i orienterande syfte ska genomföras fortlöpande för all personal. Utbildning som rör säkerhetstjänst ska dokumenteras.

Kontroller

Kontroll av säkerhetsskyddet sker genom säkerhetsskyddskontroller. Kontrollerna ska säkerställa att säkerhetsskyddskrav uppfylls och att säkerhetsskyddet i övrigt är anpassat efter aktuell säkerhetshotbild. En säkerhetsskyddskontroll omfattar de delar av säkerhetstjänsten som krävs för att kontrollera att säkerhetsskyddet är tillräckligt.

1.2.3 Lednings-, lydnads- och ansvarsförhållanden

Den militära säkerhetstjänsten leds från central nivå av chefen för den militära underrättelse- och säkerhetstjänsten (C Must) i rollen som Försvarsmaktens säkerhetsskydds- och informationssäkerhetschef. C Must leder och samordnar signalskyddstjänsten, inklusive arbetet med säkra kryptografiska metoder. C Must ansvarar även för att förhandla internationella säkerhetsskyddsavtal. 11

Säkerhetskontoret vid den militära underrättelse- och säkerhetstjänsten ansvarar för genomförande av militär säkerhetstjänst, främst genom att utarbeta och delge säkerhetshotbedömningar, ta fram underlag för bestämmelser för säkerhetsskydds- och signalskyddstjänsten, genom rådgivning och stöd, utbildning och kontroller säkerställa att hotbilden uppfattats rätt, att bestämmelserna följs samt att säkerhetsmedvetandet ligger på en hög nivå. Vidare ansvarar säkerhetskontoret för kravställning, granskning, godkännande och vidmakthållande av signalskyddssystem för totalförsvaret samt kravställning och godkännande av säkerhetsfunktioner för IT-system i Försvarsmakten.

Insatschefen i Högkvarteret leder säkerhetstjänsten i internationella militära insatser samt den territoriella säkerhetstjänsten med stöd av säkerhetsorganisation på regional nivå.12

På lokal nivå representeras den militära säkerhetstjänsten av säkerhetschefer13, IT-säkerhetschefer14 och signalskyddschefer15.

Säkerhetschefen ansvarar med stöd av den lokala säkerhetsorganisationen för bland annat:

• Stöd i säkerhetsfrågor till chefen för organsationsenheten

• Ledning och samordning av säkerhetstjänsten vid organisationsenheten

• Säkerhetsplanering inklusive upprättande och upprätthållande av styrdokument i form av säkerhetsanalys, säkerhetsplan och säkerhetsbestämmelser inklusive internkontrollplan, utbildningsplan, IT-säkerhetsplan och signalskyddsinstruktion.

• Aktuell lokal säkerhetshotbild

• Säkerhetsrapportering

• Internkontrollverksamhet

• Utbildning i säkerhetstjänst

• Samverkan avseende säkerhetstjänst

Ansvarsområden för IT-säkerhetschef framgår av H SÄK Infosäk respektive H TST Grunder vad avser signalskyddschef.

Vid behov utses s.k. säkerhetsmän. En säkerhetsman har i uppgift att stödja lokal säkerhetsorganisation. Att vara säkerhetsman är en tillika uppgift utöver ordinarie befattning. Uppgifterna innebär t.ex. ansvar för att kontrollera att lokaler är släckta och låsta efter arbetsdagens slut, att lokaler larmas av- respektive på eller att inga sekretessbelagda handlingar är kvarglömda i t.ex. gemensamma utrymmen, kopiatorer eller skrivare. Säkerhetsmän utses efter behov, på förbandsnivå oftast en per kompani motsv., vid Högkvarteret oftast en per avdelning. Oavsett om uppgifterna innebär ansvar rörande tillträdesbegränsning, IT-säkerhet, signalskyddstjänst etc. används namnet säkerhetsman.16

1.2.4 Den militära säkerhetstjänstens tillsynsområde

Försvarsmakten utövar, genom den militära underrättelse- och säkerhetstjänsten, tillsyn vad avser säkerhetsskydd enligt 39 § 1 säkerhetsskyddsförordningen (1996:633). Försvarsmakten får med stöd av 44 § säkerhetsskyddsförordningen meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen (1996:627) för sina respektive tillsynsområden enligt 39 § samma förordning.

Försvarsmakten får med stöd av 33 § förordningen (2007:1266) med instruktion för Försvarsmakten meddela övriga myndigheter föreskrifter i frågor om signalskyddstjänsten, inklusive säkra kryptografiska funktioner inom totalförsvaret.17

Den militära underrättelse- och säkerhetstjänsten genomför även kontroller av säkerhetsskyddet inom Försvarsmakten enligt vad som föreskrivs i Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel. Vidare genomför den militära underrättelse- och säkerhetstjänsten även kontroller av säkerheten i och kring sådana IT-system som inte är avsedda för behandling av hemliga uppgifter.

1.3 Säkerhetsrapportering

Var och en som får kännedom om säkerhetshotande verksamhet eller misstänker sådan verksamhet skall snarast möjligt rapportera förhållandet till sin närmaste chef - arbetsledare eller till säkerhetschefen.

4 kap. 2 § Försvarsmaktens föreskrifter för Försvarsmaktens personal

.

I 4 kap. 2 § Försvarsmaktens föreskrifter (FFS 1997:2) för Försvarsmaktens personal finns föreskrifter om skyldighet att rapportera säkerhetshotande verksamhet. Den som har tagit emot en sådan rapport ska vidarebefordra den till militära underrättelse- och säkerhetstjänsten i Högkvarteret. (FIB 2010:1)

1 kap. 6 § andra stycket Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Rapportering ska även ske när någon enskild upptäcker fel eller brister i säkerhetsskyddet. Är felen eller bristerna allvarliga ska det särskilt beaktas att en anmälan även ska göras till Försvarsmaktens högkvarter.18 En sådan anmälan görs av berörd myndighet eller, inom Försvarsmakten, den organisationsenhet som berörs. Endast genom en god rapportering kan slutsatser dras och order om förändringar av säkerhetsskyddet utfärdas. Principen hellre en rapport för mycket än en för lite bör gälla.

Bild 1.1 Säkerhetsrapportering är ett ansvar för all personal i Försvarsmakten.

För att den militära säkerhetstjänsten ska kunna klarlägga säkerhetshotande verksamhet är det nödvändigt att den enskilde säkerhetsrapporterar, t.ex. misstänkta försök till underrättelseinhämtning eller förberedelser för kriminalitet. Extra uppmärksamhet bör ske i samband med tjänsteresor (men även privata resor) eller vid utländska besök till förbandet. Vid misstanke om försök till underrättelseinhämtning eller någon form av kontaktförsök ska detta rapporteras. Även om den enskilde inte upplever det inträffade som särskilt allvarligt kan det vara den pusselbit den militära säkerhetstjänsten behöver.

Den enskilde rapporterar på enklaste sätt, antingen muntligt eller skriftligt, till chef eller säkerhetschef. Lokal säkerhetsorganisation ansvarar för att rapporten omhändertas enligt gällande rutiner för säkerhetsrapportering. För att säkerställa att alla som är i behov av säkerhetsrapporter har tillgång till dem ska säkerhetsrapportering i första hand ske genom därför avsett IT-system. Avsaknad av IT-system får dock aldrig vara ett skäl till att inte säkerhetsrapportera.

Säkerhetsrapporter rörande territoriell verksamhet sammanställs av regional säkerhetsorganisation. Säkerhetsrapportering rörande insatsområden sammanställs av insatsstaben i Högkvarteret. Bestämmelser avseende säkerhetsrapportering framgår av Försvarsmaktens beredskaps- och insatsorder (FM BerInsO).

Med säkerhetsskydd avses

1. skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet,

2. skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, och

3. skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott (terrorism), även om brotten inte hotar rikets säkerhet. (Lag ((2009:464)).

6 § säkerhetsskyddslagen

1.4 Rättsliga grunder

1.4.1 Säkerhetsskydd

Begreppet rikets säkerhet sägs innebära den yttre säkerheten för vårt nationella oberoende och den inre säkerheten för skydd av vårt demokratiska statskick. Skyddet av rikets yttre säkerhet rör t.ex. förhållanden av militär betydelse eller betydelse för totalförsvaret i övrigt. Skyddet av rikets inre säkerhet rör t.ex. att någon genom uppror försöker ta över den politiska makten eller utövande av våld, hot eller tvång mot statsledningen i syfte att påverka politikens utformning.

De brott som avses i första punkten är i huvudsak brott enligt 18 och 19 kap. brottsbalken. Även andra brott enligt brottsbalken eller enligt någon specialstraffrättslig författning kan, beroende på omständigheterna, omfattas. Exempel på sådana brott är brotten mot liv och hälsa i 3 kap. brotten mot frihet och frid enligt 4 kap., samt allmänfarliga brott enligt 14 kap. brottsbalken. Bedömningen av om brotten utgör brott som kan hota rikets säkerhet får göras med hänsyn till bl.a. syftet med brottet och mot vem det riktas.

Av punkten 2 framgår att säkerhetsskyddet inte bara avser skydd mot brott som kan hota rikets säkerhet utan också avser ett skydd för hemliga uppgifter i övrigt. Säkerhetsskyddet innebär i dessa fall att hemliga handlingar ska förvaras på ett betryggande sätt och att spridningen av uppgifterna i handlingarna så långt som det är möjligt begränsas till personer som behöver dem för sin tjänsteutövning. Skyddsåtgärderna som meddelas genom verkställighetsföreskrifter kan vara långtgående för att ge uppgifterna ett tillräckligt skydd. Säkerhetsskydd behöver utformas så att t.ex. en kvalificerad statsaktör förhindras inhämta hemliga uppgifter.

Begreppet säkerhetsskydd ska endast användas då det är fråga om sådant skydd som avses i säkerhetsskyddslagen.

Säkerhetsskyddet skall förebygga

1. att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet),

2. att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och

3. att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning).

Säkerhetsskyddet skall även i övrigt förebygga terrorism.

7 § säkerhetsskyddslagen

Säkerhetsskyddets förebyggande syfte i punkten 1 avser vare sig om röjande, ändring eller förstöring av hemliga uppgifter sker uppsåtligen eller av oaktsamhet. Myndigheterna är skyldiga att i så stor omfattning som möjligt förebygga skador om skadorna kan äventyra rikets säkerhet, även i de fall skadorna inte består i ett obehörigt röjande av hemliga uppgifter eller ett uppsåtligt angrepp på uppgifterna, t.ex. genom sabotage.

IT-säkerheten utgör, till följd av informationsteknikens utveckling, i hög grad en viktig beståndsdel i informationssäkerheten. Det är också viktigt att uppgifter i krislägen kan förmedlas till andra på ett betryggande sätt. I informationssäkerheten ingår därför även att se till att teleförbindelser och andra kommunikationsvägar håller en tillräckligt hög nivå från säkerhetssynpunkt.19 Säkerhetsskyddet innebär således krav på skydd för hemliga uppgifter ifråga om sekretess, riktighet, tillgänglighet och spårbarhet.

I verksamhet där lagen gäller skall det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter.

5 § första stycket säkerhetsskyddslagen

Säkerhetsskydd ska i det enskilda fallet ha den utformning som krävs för säkerhetsskyddets syfte (bl.a. skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet). Vidare ska säkerhetsskyddet utformas för vad skyddet ska förebygga (bl.a. att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs). Behovet av säkerhetsskydd som ska finnas för en verksamhet kan vara olika beroende på t.ex. i vilken omfattning hemliga uppgifter förekommer i verksamheten. Säkerhetsskyddets utformning i en verksamhet där man regelmässigt handlägger mycket känsliga frågor måste skilja sig från dem i en verksamhet där man mer tillfälligt kommer i kontakt med sådana frågor. Om ett godtagbart säkerhetsskydd inte kan åstadkommas bör organisationen överväga att avstå från den specifika verksamheten.

Säkerhetsskyddslagen anger ramarna för säkerhetsskyddet. De mer detaljerade bestämmelserna som behövs för säkerhetsskyddslagens tillämpning meddelas genom verkställighetsföreskrifter, t.ex. Försvarsmaktens föreskrifter om säkerhetsskydd och en myndighets interna föreskrifter om säkerhetsskydd.20 21

Ytterligare anpassning av säkerhetsskyddet för en viss verksamhet eller ett visst IT-system sker genom dokumenterade säkerhetsanalyser.22 T.ex. kan skyddsåtgärder för ett KH-arkiv som avses placeras på en försvarsavdelning vid någon av Sveriges ambassader behöva vara mer omfattande än för sådana arkiv som är placerade i Sverige.

1.4.2 Skyddsobjekt

Skyddslagen (2010:305) innehåller bestämmelser om vissa åtgärder till förstärkt skydd för byggnader, andra anläggningar, områden och andra objekt mot sabotage, terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott, spioneri samt röjande i andra fall av hemliga uppgifter som rör totalförsvaret och grovt rån. Lagen innehåller också bestämmelser om skydd för allmänheten mot skada som kan uppkomma till följd av militär verksamhet.

För att tillgodose behovet av skydd kan det beslutas att något ska vara skyddsobjekt. Exempel på byggnader, andra anläggningar och områden som kan beslutas vara skyddsobjekt är statschefens och tronföljarens residens och bostäder samt byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänsten eller totalförsvarets civila delar i övrigt eller för fredstida krishantering, energiförsörjning, vattenförsörjning, elektroniska kommunikationer, transporter eller försvarsindustriella ändamål.

För det militära försvarets del kan följande beslutas vara skyddsobjekt:

• byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Försvarsmakten, Försvarets materielverk eller Försvarets radioanstalt, samt militära fartyg och luftfartyg,

• områden där Försvarsmakten, Försvarets materielverk eller Försvarets radioanstalt tillfälligt bedriver övningar, prov eller försök eller där oförutsedda följder av sådan verksamhet kan inträffa,

• områden där Försvarsmakten har satts in för att hindra en kränkning av Sveriges territorium eller för att möta ett väpnat angrepp mot landet,

• områden där en främmande stats militära styrka inom ramen för internationellt samarbete tillfälligt bedriver övningar här i landet i samband med utbildning för fredsfrämjande verksamhet eller för annat militärt ändamål, och

• vattenområden av särskild betydelse för det militära försvaret.

Andra byggnader, anläggningar och områden än ovan kan också beslutas vara skyddsobjekt, om de är av betydelse för totalförsvaret och Sverige befinner sig i krig eller krigsfara eller det råder andra utomordentliga förhållanden som är föranledda av krig. Under samma förhållanden kan lok och järnvägsvagnar beslutas vara skyddsobjekt. Fordon kan dock aldrig vara skyddsobjekt.

Ett beslut om skyddsobjekt innebär att obehöriga inte har tillträde till skyddsobjektet. Genom särskilt beslut kan tillträdesförbudet förenas med ett förbud mot att göra avbildningar, beskrivningar eller mätningar av eller inom skyddsobjektet. Om det räcker för att tillgodose skyddsbehovet, kan tillträdesförbudet ersättas av ett avbildningsförbud eller av ett förbud mot att bada, dyka, ankra eller fiska.

För bevakning av ett skyddsobjekt får polismän, militär personal eller annan särskilt utsedd personal anlitas. Den som bevakar ett skyddsobjekt och som inte är polisman benämns skyddsvakt.

Försvarsmakten får besluta om skyddsobjekt i de fall som anges i 2 § skyddsförordningen (2010:523). Ett sådant beslut får inte göras mer ingripande eller omfattande än vad som behövs för att tillgodose skyddsbehovet. Så långt det är möjligt ska tillses att ett beslut inte kommer att medföra skada eller annan olägenhet för andra allmänna eller enskilda intressen.

Den som är eller har varit skyddsvakt får inte obehörigen röja eller utnyttja vad han eller hon på grund av ett uppdrag enligt denna lag fått veta om en enskilds personliga förhållanden eller förhållanden av betydelse för totalförsvaret eller i övrigt för Sveriges säkerhet. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400).

1.4.3 Skydd för landskapsinformation

Landskapsinformation är lägesbestämd information om förhållanden på och under markytan samt på och under sjö- och havsbottnen.23 Landskapsinformation kan avse såväl naturgivna förhållanden som konstgjorda företeelser. Det har sedan lång tid ansetts nödvändigt att begränsa tillgången till landskapsinformation för att säkerställa den nationella säkerheten - sådan information underlättar en potentiell angripares planering för att angripa landet. Behovet av att kunna begränsa tillgången kan inte anpassas till den hotbild som för tillfället råder. När informationen väl har släppts fri är informationen även tillgänglig vid en förändring av hotbilden mot landet.24

Stöd för att i lag förhindra spridning av landskapsinformation finns i 6 kap. 2 § andra stycket TF och i 3 kap. 7 § YGL. Föreskrifter som ska begränsa insamling, lagring och spridning av landskapsinformation finns i lagen om skydd för landskapsinformation samt förordningen om skydd för landskapsinformation. Lagen om skydd för landskapsinformation tar sikte på att skydda sådan landskapsinformation som kan antas medföra skada för verksamhet som behövs för att förbereda Sverige för krig (totalförsvar). Begränsningar av tillgång till landskapsinformation enligt lagen om skydd för landskapsinformation är inte avsedd att skydda mot terroristbrott enligt 2 § lagen om straff för terroristbrott (terrorism), inte ens om sådana brott skulle hota rikets säkerhet. Lagen om skydd för landskapsinformation är inte begränsad till myndigheter utan gäller även enskilda (t.ex. ett företag). Lagen om skydd för landskapsinformation är tillämplig för landskapsinformation över Sveriges mark- och sjöterritorium. Lagen är tillämplig på landskapsinformation på såväl karta eller bild som i IT-system. Även publikt tillgängliga internettjänster omfattas av lagen, t.ex. om ytterligare landskapsinformation tillförs en karttjänst.

De aktörer i samhället som hanterar landskapsinformation har normalt inte sådan kunskap att de kan avgöra vilken landskapsinformation som kan antas medföra skada för verksamhet som behövs för att förbereda Sverige för krig. I lagen om skydd för landskapsinformation finns därför krav på tillstånd för sjömätning, för fotografering eller liknande registrering från luftfartyg inom restriktionsområden samt för att inrätta databaser med landskapsinformation. Vidare finns krav på tillstånd för att få sprida flygbilder och liknande registreringar, kartor samt andra sammanställningar av landskapsinformation. I förordningen om skydd för landskapsinformation framgår att Lantmäteriet ska fatta beslut om tillstånd att inrätta databaser med landskapsinformation. Försvarsmakten prövar frågor om tillstånd till sjömätning. Vidare anges vilka myndigheter som fattar beslut om spridning av landskapsinformation. Regional säkerhetsorganisation i Försvarsmakten handlägger ärenden som rör tillstånd till spridning av flygbilder och liknande registrering från luftfartyg. När en myndighet ska bedöma om ett tillstånd enligt lagen om skydd för landskapsinformation kan ges, eller om den specifika landskapsinformationen kan antas medföra skada för verksamhet som behövs för att förbereda Sverige för krig, bör myndighetens prövning sammanfalla med motsvarande bedömning om den specifika landskapsinformationen omfattas av sekretess enligt 15 kap. 2 § OSL.25

Vissa myndigheter är undantagna krav på tillstånd, t.ex. får Försvarsmakten utföra sjömätning, fotografering och liknande registrering från luftfartyg, inrätta databaser med landskapsinformation samt sprida flygbilder och liknande registreringar från luftfartyg, kartor i större skala än 1:100 000 samt andra sammanställningar av landskapsinformation. Att Försvarsmakten och vissa andra myndigheter är undantagna krav på tillstånd innebär inte att landskapsinformation är undantagen föreskrifter om sekretess i OSL eller föreskrifter om säkerhetsskydd, sådana föreskrifter gäller även för landskapsinformation hos en myndighet.

Förhållandet att det förekommer landskapsinformation vid en myndighet som kan antas medföra skada för Sveriges totalförsvar behöver uppmärksammas i en dokumenterad säkerhetsanalys vid myndigheten så att uppgifterna kan ges ett säkerhetsskydd.26 I Försvarsmakten ska förhållandet uppmärksammas av varje organisationsenhet i en dokumenterad säkerhetsanalys.27

Landskapsinformation som rör företeelser som har en lång tids varaktighet är uppgifter som i dag, trots rådande hotbild, även fortsättningsvis behöver skyddas. Sekretesstiden är högst 150 år för uppgifter som omfattas av sekretess enligt 15 kap. 2 § OSL och som rör landskapsinformation om militärgeografiska förhållanden, rikets fasta försvarsanläggningar för krigsbruk, underhållsanläggningar som kan röja försvarets grupperingar eller planerade försvarsanläggningar i form av mineringar och andra hinder.28

Ett exempel på konstgjorda företeelser som utgör landskapsinformation som ska skyddas är uppgifter om anläggningar som är avsedda för försvaret av Sverige och vars geografiska position är en uppgift som omfattas av sekretess enligt 15 kap. 2 § OSL. Även uppgifter om sådana anläggningars tänkta användning, uthållighet och skydd är uppgifter som normalt omfattas av sekretessen. Därför är det inte endast den geografiska positionen för en sådan anläggning som behöver skyddas utan även uppgifter om den stödjande infrastruktur som möjliggör anläggningens funktion.

Ett exempel på naturgivna förhållanden som utgör landskapsinformation som ska skyddas är uppgifter om djup- och bottenförhållanden i vissa områden av Sveriges sjöterritorium, t.ex. delar av Stockholms skärgård.

1.4.4 Personuppgifter

För att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter i Försvarsmakten finns bestämmelser i bl.a. personuppgiftslagen (PuL) och lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, fortsättningsvis benämnd PuL UNDSÄK. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.29 Det innebär att uppgifter om avlidna personer inte omfattas av personuppgiftslagen. Personuppgifter kan t.ex. vara namn, personnummer och bostadsadress, men även bilder och ljud (även om inga namn nämns), en bils registreringsnummer, loggar i IT-system, IP-adresser och fastighetsbeteckningar.

Försvarsmakten har två personuppgiftsombud.30 De är anmälda till Datainspektionen och har bl.a. till uppgift att se till att de författningar som rör personuppgiftsbehandling följs. Ett ombud är placerat vid Must och är ombud för sådana behandlingar av personuppgifter som görs med stöd av personuppgiftslagen inom Must samt behandlingar som görs med stöd av PuL UNDSÄK i Försvarsmakten. Det andra ombudet är placerad vid juridiska staben i Högkvarteret och är ombud för sådana behandlingar av personuppgifter som görs med stöd av personuppgiftslagen inom Försvarsmakten förutom sådana behandlingar som ombudet vid Must svarar för.

En förteckning ska upprättas över de behandlingar av personuppgifter som utförs i ett IT-system. Till sin hjälp har personuppgiftsombuden personuppgiftshandläggare som ska finnas vid varje organisationsenhet. Personuppgiftshandläggaren har bl.a. till uppgift att redovisa till personuppgiftsombudet vilka behandlingar av personuppgifter som utförs vid enheten. Personuppgiftsombudet ska sedan upprätta och föra en samlad förteckning över de behandlingar av personuppgifter som Försvarsmakten utför. 31 Datainspektionen har bestämt vilka uppgifter som ska framgå av en förteckning. Information om vad som ska framgå finns hos personuppgiftsombudet.

Personuppgifter kan, men behöver inte, omfattas av sekretess enligt OSL. I Försvarsmaktens modell för informationsklassificering tas inte hänsyn till om uppgifter utgör personuppgifter. I de delar som en personuppgift omfattas av sekretess enligt OSL ska Försvarsmaktens modell för informationsklassificering användas. Bestämmelserna i personuppgiftslagen och PuL UNDSÄK gäller inte om det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter.32 För att man ska kunna vägra att lämna ut personuppgifter måste personuppgifterna omfattas av sekretess enligt någon bestämmelse i OSL.

Personuppgiftslagen och PuL UNDSÄK innehåller särskilda krav i fråga om känsliga personuppgifter. Känsliga personuppgifter är personuppgifter som avslöjar en persons ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv.33 I Försvarsmakten har juridiska staben beslutat att känsliga personuppgifter ska krypteras när de kommuniceras utanför FM IP-nät över ett öppet nätverk. Med öppet nätverk avses enligt beslutet sådana nätverk som går utanför FM IP-nät och lämnar Försvarsmakten. I Försvarsmaktens finns även andra elektroniska kommunikationsnät. Det är därför lämpligt att använda kryptering då känsliga personuppgifter kommuniceras utanför något sådant nätverk och lämnar Försvarsmakten. Som exempel på kommunikation över ett öppet nätverk kan nämnas att en anställd skickar känsliga personuppgifter till sin privata e-postadress via Internet eller för över uppgifterna på ett USB-minne och sedan kopplar in detta på en annan dator än inom FM IP-nät. Sådana uppgifter kan krypteras med krypto för skyddsvärda uppgifter (KSU).

När personuppgifter behandlas ska de skyddas genom tekniska och administrativa skyddsåtgärder. Åtgärderna ska åstadkomma en lämplig säkerhetsnivå med beaktande av

• de tekniska möjligheter som finns,

• vad det skulle kosta att genomföra åtgärderna,

• de särskilda risker som finns med behandlingen av personuppgifterna, och

• hur pass känsliga de behandlade personuppgifterna är.34

Skydd vid behandling av personuppgifter är en del av informationssäkerheten i Försvarsmakten. De krav på informationssäkerhet som finns i Försvarsmakten bedöms normalt åstadkomma ett tillräcklig skydd av personuppgifter. Eventuella andra skyddsåtgärder ska ifråga om behandling av personuppgifter i ett IT-system identifieras i en för IT-systemet dokumenterad säkerhetsmålsättning.

1.5 Beslut om avvikelse eller undantag

I Försvarsmakten förekommer tillfällen då regelverkets krav inte alltid kan uppfyllas. Internationella militära insatser är exempel på verksamhet där det inte alltid finns förutsättningar att uppfylla regelverkskraven. Då ett regelverkskrav inte kan uppfyllas finns det bestämmelser om under vilka förutsättningar avvikelser eller undantag kan beslutas.

1.5.1 Beslut om avvikelse

Chef för en kontingent i en internationell militär insats får, i fråga om verksamhet utanför Sverige, fatta beslut som avviker från Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd samt denna författning, om det är oundgängligen nödvändigt för verksamheten. I fråga om verksamhet som avses i 1 § 2 och 3 i detta kapitel och som genomförs utanför Sverige gäller detsamma chef för organisationsenhet eller, om beslut i sådan ordning inte kan fattas, av chef för kontingent.

Beslut som avses i första stycket ska dokumenteras och, om möjligt, föregås av samråd med militära underrättelse- och säkerhetstjänsten i Högkvarteret. Har sådant samråd inte skett ska militära underrättelse- och säkerhetstjänsten i Högkvarteret snarast underrättas om beslutet.

9 kap. 5 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Av ordalydelsen ”oundgängligen nödvändigt” följer att föreskriftens första stycke ska användas restriktivt. Avsikten har inte varit att en avvikelse ska tillämpas över tiden istället för att vidta åtgärder som säkerställer att författningarna följs.

Endast föreskrifter i de angivna författningarna kan komma i fråga för ett beslut om avvikelse. Ett beslut om avvikelse får inte utformas så att andra föreskrifter i t.ex. OSL, säkerhetsskyddslagen och säkerhetsskyddsförordningen inte följs.

Ett beslut om avvikelse bör innehålla följande rubriker och innehåll.

Bakgrund

Beskrivning av vad beslutet angår (t.ex. verksamhet, vapenförvaring eller IT-system) samt vilka föreskrifter som berörs av beslutet.

Skäl för beslut

Beskrivning varför det föreligger skäl för att fatta ett beslut som innebär att nämnda föreskrifter inte ska tillämpas. Vidare bör även beskrivas varför det är oundgängligen nödvändigt att fatta beslutet.

Beslut

Här bör det finnas en hänvisning till vilken föreskrift som ger rätt till att fatta beslut om att vissa föreskrifter inte ska tillämpas. Av beslutet bör även framgå under vilken tid det gäller samt om samråd har skett med Must.

.

Chef för en kontingent i en internationell militär insats får, i fråga om verksamhet utanför Sverige, fatta beslut som avviker från denna författning om det är oundgängligen nödvändigt för verksamheten.

1 kap. 8 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar

Författningen är utarbetad för att gälla för Försvarsmaktens verksamhet såväl inom som utom landet och i framtagandet har särskilt utländska förhållanden beaktats. Av den anledningen och av ordalydelsen ”oundgängligen nödvändigt” ska föreskriften användas restriktivt.

Det kan dock uppstå situationer i en internationell militär insats där skyddet måste utformas på ett annat sätt än vad som anges i denna författning. Ett beslut om avvikelse kan i sådana fall medföra en ökad risktagning varför strävan ska vara att på bästa sätt åstadkomma motsvarande nivå på skyddet som om föreskrifterna i författningen hade följts.

Möjligheten till samråd med Must innan ett beslut fattas ska om möjligt beaktas om tidsförhållandena medger det. Beslut om avvikelse ska dokumenteras.

Chef för organisationsenhet får, i fråga om verksamhet utanför Sverige, fatta beslut som avviker från denna författning, om det är oundgängligen nödvändigt för verksamheten i fråga om

1. Försvarsmaktens deltagande i internationell fredsfrämjande verksamhet eller inom ramen för internationellt samarbete eller i utbildning eller förberedelser för sådan verksamhet, och

2. när Försvarsmakten utomlands deltar i förevisningar av materiel eller verksamhet.

Om en chef för organisationsenhet inte kan fatta beslut enligt första stycket får beslutet fattas av chefen för kontingenten.

1 kap. 9 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar

Även för annan utlandsverksamhet än den som genomförs i internationella militära insatser kan det finnas behov av undantag. Principerna är detsamma som gäller för beslut om avvikelse från författningen vid internationella militära insatser.

Beslut som avses i 1 kap. 8-9 §§ och som gäller utrikesklassificerade handlingar ska dokumenteras och, om möjligt, föregås av samråd med militära underrättelse- och säkerhetstjänsten i Högkvarteret. Har sådant samråd inte skett ska militära underrättelse- och säkerhetstjänsten i Högkvarteret snarast underrättas om beslutet.

1 kap. 9 a § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar

För beslut som avser sekretessklassificerade handlingar finns inget krav på att beslutet ska dokumenteras och föregås av samråd med Must.

Chef för en kontingent i en internationell militär insats får, i fråga om verksamhet utanför Sverige, fatta beslut som avviker från 7 kap. Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd samt denna författning, om det är oundgängligen nödvändigt för verksamheten. I fråga om verksamhet som avses i 1 § 2 och 3 i detta kapitel och som genomförs utanför Sverige gäller detsamma chef för organisationsenhet eller, om beslut i sådan ordning inte kan fattas, av chef för kontingent.

Beslut som avses i första stycket ska dokumenteras och, om möjligt, föregås av samråd med militära underrättelse- och säkerhetstjänsten i Högkvarteret. Har sådant samråd inte skett ska militära underrättelse- och säkerhetstjänsten i Högkvarteret snarast underrättas om beslutet.

14 kap. 2 § Försvarsmaktens interna bestämmelser om IT-säkerhet

Om ett beslut fattats enligt 14 kap. 2 § Försvarsmaktens interna bestämmelser om IT-säkerhet i dess äldre lydelse (före den 1 januari 2011) ska beslutet gälla som ett beslut enligt paragrafens nya lydelse.35

1.5.2 Beslut om undantag

I säkerhetsskyddslagen och säkerhetsskyddsförordningen finns ingen föreskrift om att en myndighet har möjlighet att medge undantag från någon av föreskrifterna i lagen och förordningen, förutom ifråga om regeringskansliet.36 I ackrediteringssammanhang är det t.ex. inte ovanligt att frågan om undantag från ackreditering tas upp. Krav på att ett IT-system som behandlar hemliga uppgifter ska godkännas från säkerhetssynpunkt (benämns i Försvarsmakten som ackreditering) ställs i 12 § säkerhetsskyddsförordningen. Således har överbefälhavaren, eller någon annan chef för en myndighet, ingen möjlighet att medge undantag från ackreditering av ett IT-system som är avsett för behandling av hemliga uppgifter.

Försvarsmakten får medge undantag från föreskrifterna i denna författning. Överbefälhavaren eller den han bestämmer fattar beslut i ärenden om undantag.

10 kap. 1 § Försvarsmaktens föreskrifter om säkerhetsskydd

.

Försvarsmakten får medge undantag från bestämmelserna i denna författning. Överbefälhavaren eller den han eller hon bestämmer fattar beslut i ärenden om undantag.

10 kap. 1 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

.

Försvarsmakten får medge undantag från föreskrifterna i denna författning. Överbefälhavaren, eller den han eller hon bestämmer, fattar beslut i ärenden om undantag.

4 kap. 1 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar

.

Försvarsmakten får medge undantag från bestämmelserna i denna författning. Överbefälhavaren eller den han eller hon bestämmer fattar beslut i ärenden om undantag.

15 kap. 1 § Försvarsmaktens interna bestämmelser om IT-säkerhet

Överbefälhavaren är den som beslutar författningarna. Därför ska det också vara överbefälhavaren eller, den han eller hon bestämmer, som fattar beslut i ärenden om undantag. Av den anledningen kan ingen annan person fatta beslut om undantag från en föreskrift utan att först ha blivit bemyndigad av överbefälhavaren.

Överbefälhavaren, eller den han eller hon bestämmer, beslutar även om en annan myndighets undantag från föreskrifter i Försvarsmaktens föreskrifter om säkerhetsskydd.

Det är normalt säkerhetskontoret vid Must som i samverkan med den juridiska staben i Högkvarteret bereder ärenden om undantag som rör militär säkerhetstjänst. Vid beredning av ett sådant ärende måste det framgå vilken risk som tas om ett beslut om undantag medges.

1 Prop. 2006/07:46, Personuppgiftsbehandling hos Försvarsmakten och Försvarets radioanstalt, s. 25

2 Prop. 2006/07:46, s. 121

3 Prop. 2006/07:46, s. 25

4 Prop. 2006/07:46, s.24-25

5 Bilaga 5 till Regleringsbrev för budgetåret 2013 avseende Försvarsmakten.

6 Prop. 2006/07:46, s. 25

7 Prop. 2006/07:46, s. 121

8 Prop. 2006/07:46, s. 25

9 7 § Säkerhetsskyddslagen

10 Prop. 2006/07:46, s. 66

11 12 kap. 2 § första stycket Försvarsmaktens föreskrifter (FFS 2012:1) med arbetsordning för Försvarsmakten (FM ArbO).

12 11 kap. 6 § Försvarsmaktens föreskrifter (FFS 2012:1) med arbetsordning för Försvarsmakten (FM ArbO).

13 1 kap. 4 § Försvarsmaktens interna bestämmelser (FIB 2007:2) om säkerhetsskydd och skydd av viss materiel

14 1 kap. 11 § Försvarsmaktens interna bestämmelser (FIB 2006:2) om IT-säkerhet

15 14 § Försvarsmaktens interna bestämmelser (FIB 2008:3) om signalskyddstjänsten

16 Begrepp som säkerhetsbefäl, säkerhetsföreträdare, IT-säkerhetsman motsv. ska undvikas då olika benämningar för samma sak bidrar till missförstånd samt att begrepp som befäl och företrädare används i andra sammanhang.

17 Se vidare i Handbok totalförsvarets signalskyddstjänst, grundläggande regler för signalskyddstjänsten
(H TST Grunder).

18 1 kap. 8 § Försvarsmaktens föreskrifter om säkerhetsskydd.

19 Prop. 1995/96:129, Säkerhetsskydd, s. 26-27 och 74-75.

20 33 § säkerhetsskyddslagen.

21 Prop. 1995/96:129, Säkerhetsskydd, s. 73 och 89-90.

22 1 kap. 6 § Försvarsmaktens föreskrifter om säkerhetsskydd.

23 2 § lagen om skydd för landskapsinformation.

24 Prop. 1993/94:32, Skydd för landskapsinformation, s. 11 och 15.

25 Prop. 1993/94:32, Skydd för landskapsinformation, s. 21.

26 5 § säkerhetsskyddsförordningen.

27 1 kap. 5 § första stycket Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

28 4 § OSF.

29 3 § personuppgiftslagen.

30 37 § personuppgiftslagen och 4 kap. 1 § lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst.

31 39 § personuppgiftslagen och 4 kap. 3 § lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst.

32 8 § personuppgiftslagen och 1 kap. 3 § PuL UNDSÄK.

33 13 § personuppgiftslagen och 1 kap. 12 § PuL UNDSÄK.

34 31 § personuppgiftslagen och 3 kap. 2 § PuL UNDSÄK.

35 Övergångsbestämmelse i föreskrifter (FIB 2010:6) om ändring i Försvarsmaktens interna bestämmelser (FIB 2006:2) om IT-säkerhet

36 32 § säkerhetsskyddslagen och 2 § säkerhetsskyddsförordningen

2 Säkerhetsplanering

2.1 Allmänt

Säkerhetsplanering omfattar säkerhetsanalys, säkerhetsplan och säkerhetsbestämmelser. Säkerhetsplanering är en systematisk process som utgående från våra skyddsvärda tillgångar bedömer de risker som föreligger och fastställer hur dessa ska hanteras.

Bild 2.1 Omfattning av säkerhetsplanering.

Säkerhetsplanering är inte en isolerad företeelse, utan en väl integrerad del av den fortlöpande planering, genomförande och uppföljning som säkerhetstjänst innebär. Säkerhetsplanering möjliggör vidare att såväl tillämpliga som kostnadseffektiva skyddsåtgärder vidtas, samtidigt som regelverkets krav på en lägsta nivå av säkerhetsskydd uppfylls.

Genomförandet av säkerhetsplanering är heller inte en engångsföreteelse vars resultat gäller för all framtid. Den genomförs regelbundet och vid särskilda behov med hänsyn till bland annat regelverkets krav samt förändringar av verksamhet, uppgift, hotbild, sårbarhet och skyddsvärda tillgångar. Säkerhetsplanering är därmed en dynamisk process vilken kräver fortlöpande uppföljning och utvärdering.

Första gången säkerhetsplanering genomförs vid en enhet eller för en viss verksamhet kommer att vara den mest resurs- och tidskrävande. Fortlöpande förändringar och uppdateringar utgår från tidigare genomfört arbete och leder därför till en minskning av de resurser och den tid som krävs. All säkerhetsplanering ska därför dokumenteras i syfte att dels spara resurser, dels åstadkomma nödvändig spårbarhet.

Effekten av säkerhetsplanering avgörs i hög grad av chefens roll och inställning. Avgörande är att chefen stödjer säkerhetsplaneringens mål och syfte och att det stödet tydliggörs på alla nivåer samt att chefen i både ord och handling stödjer såväl implementering som tillämpning av fattade beslut om skyddsåtgärder.

En väl genomförd säkerhetsplanering resulterar dessutom i ett ökat säkerhetsmedvetande på alla nivåer av organisationen.

All säkerhetsplanering ska utgå från en verksamhetsanalys1. En verksamhetsanalys svarar bland annat på frågorna:

• Vilken eller vilka uppgifter ska lösas?

• Vilken eller vilka verksamheter genomförs?

• Vem eller vilka ansvarar för vilken verksamhet?

• Vilken personal eller enhet genomför verksamheten?

• Vilken materiel krävs för att genomföra verksamheten?

• Vilken information krävs för att genomföra verksamheten?

• Vilka anläggningar krävs för att genomföra verksamheten?

• Vilka faktorer i övrigt påverkar eller kan komma att påverka verksamheten?

• Vilka konsekvenser får det för verksamheten om något av ovanstående skadas, förstörs, försenas, uteblir, röjs etc.?

En verksamhetsanalys utgör grunden för all säkerhetsplanering och genomförs av den eller de med ansvar för verksamheten. En väl genomförd verksamhetsanalys innebär att genomförandet av säkerhetsanalysen underlättas (främst vad avser steg 1, att identifiera och prioritera de skyddsvärda tillgångarna).

Innan säkerhetsplaneringen påbörjas fastställs grundvärden genom en analys av uppgiftens innebörd, av vilken det bör framgå syfte, omfattning, eventuella avgränsningar, ansvars- och tidsförhållanden samt övriga styrande ingångsvärden. I grundvärden ingår verksamhetsanalysen. Genomförs en regelverksanalys ingår även den i grundvärden.2 Den som ska genomföra säkerhetsplaneringen ansvarar för att den genomförs på ett sätt som tar hänsyn till fastställda grundvärden. Fastställda grundvärden avgör bland annat omfattningen, såväl djup som bredd, av säkerhetsanalysen.

2.2 Säkerhetsanalys

I 5 § säkerhetsskyddsförordningen (1996:633) finns föreskrifter om säkerhetsanalys. Vad som där föreskrivs om sådan analys och dokumentation skall fullgöras av varje organisationsenhet. Av 1 kap. 6 § Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd och 2 § i detta kapitel följer att varje organisationsenhet skall göra hot-, risk- och sårbarhetsanalyser, vilka skall ingå i en säkerhetsanalys. Med säkerhetsanalysen som grund skall en säkerhetsplan upprättas.

1 kap. 5 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Inom Försvarsmakten innebär tillämpningen av regelverket att alla skyddsvärda tillgångar vilkas påverkan av oönskade händelser medför negativa konsekvenser för verksamheten identifieras i en säkerhetsanalys även om skadan inte endast rör rikets säkerhet.

Vidare innebär tillämpningen att begreppet säkerhetsanalys inom ramen för bedrivande av säkerhetstjänst har kommit att avse såväl identifiering och prioritering av skyddsvärda tillgångar, bedömning av säkerhetshot, sårbarheter och risker som prioritering och hantering av risker inklusive beslut om skyddsåtgärder. Begreppet säkerhetsanalys är i detta avseende att jämföra med begrepp som riskanalys eller risk management.

Modellen för säkerhetsanalys i detta kapitel är ett exempel på tillämpning av Försvarsmaktens Riskhanteringsmodell.3

Försvarsmakten Riskhanteringsmodell är generell och innebär att:

• Modellen som sådan kan användas för hantering av risker inom olika typer av verksamheter, t.ex. säkerhetstjänst, internationella insatser, trafiksäkerhet, arbetsmiljöarbete, miljösäkerhet samt hälso- och sjukvård.

• Modellen är användbar på alla nivåer inom Försvarsmakten.

• Modellen kan användas såväl inom Försvarsmakten som i verksamheter där andra myndigheter eller organisationer ingår.

Modellen för säkerhetsanalys överensstämmer dessutom i allt väsentligt med NATO Security Risk Management Process (NSRMP, AC/35-D/1035) och EU GSC Policy on Risk Management (PROC-P-05/ISP205).

Till skillnad från exempelvis försäkringsbranschen är det svårt att kvantifiera de i en säkerhetsanalys ingående värdena. Även om modellen inte är att betrakta som en metod ur ett rent vetenskapligt hänseende har den en holistisk utgångspunkt och innehåller inslag av såväl kvalitativa som kvantitativa metoder. Emellertid är säkerhetstjänstens verklighet sådan att ett statistiskt källmaterial ofta saknas, varför de kvalitativa inslagen överväger.

Begrepp

Beskrivning

Aktörsdrivna hot

En mänsklig aktörs möjligheter att medvetet förorsaka en oönskad händelse med negativa konsekvenser (H SÄK Grunder 2013).

Hot

Möjlig, oönskad händelse med negativa konsekvenser för verksamheten (SIS HB 550 Utgåva 3).

Indelas i aktörsdrivet respektive icke aktörsdrivet hot (H SÄK Grunder 2013).

Hotbild

Uppsättning hot som bedöms föreligga mot en viss verksamhet (SIS HB 550 Utgåva 3).

Icke aktörsdrivet hot

Möjlig, oönskad händelse med negativa konsekvenser för verksamheten, vilken ej är förorsakad av en mänsklig aktörs avsiktliga gärningar (H SÄK Grunder 2013).

Generellt kan icke antagonistiska hot indelas i tre kategorier:
• Naturliga fenomen (t ex naturkatastrofer, sjukdomar)
• Fel i tekniska system (t ex buggar, materialfel)
• Icke uppsåtliga mänskliga gärningar (t ex slarv, olyckor)

Konsekvens

Resultat av en händelse med negativ inverkan (SIS HB 550 Utgåva 3). I en säkerhetsanalys behandlas främst utfallet av oönskade händelser, dvs. händelser med en eller flera konsekvenser som är negativa för verksamheten. Konsekvensen skall i en säkerhetsanalys ses som en bedömning av värdet eller kostnaden av den skada som uppstår i en skyddsvärd tillgång om en oönskad händelse inträffar till följd av ett visst hot.

Modus operandi

Tillvägagångssätt för att påverka en skyddsvärd tillgång (FM Riskhanteringsmodell 2009).

Risk

Risker uttrycks ofta i termer av en kombination av en händelses konsekvenser (inklusive ändrade omständigheter) och därtill relaterad sannolikhet för förekomst (ISO Guide 73:2009). I en säkerhetsanalys innebär risk en systematisk sammanvägning av förväntad sannolikhet för och konsekvens av att en oönskad händelse inträffar till följd av ett visst hot, kopplat till en definierad verksamhet, en specifik skyddsvärd tillgång och en specifik konsekvensskala. En bedömd risk uttrycks i en av fem risknivåer.

Riskacceptans

Beslut att acceptera en risk (ISO/IEC Guide 73:2002)

Riskanalys

Process som identifierar säkerhetsrisker och bestämmer deras betydelse (ISO/IEC Guide 73:2002). Se även säkerhetsanalys.

Riskbedömning

Process för att värdera sannolikheten och konsekvensen hos en risk (ISO/IEC Guide 73:2002).

Riskhantering

Samordnade aktiviteter för att styra och kontrollera en organisation med avseende på risk (ISO/IEC Guide 73:2002)

Riskhanteringsbeslut

Medvetna (dokumenterade) chefsbeslut om hur chefen ställer sig till analyserade risker i förhållande till värdet av sökta effekter eller uppgiftens lösande och kostnader för riskminskning. (FM Riskhanteringsmodell 2009).

Sannolikhet

Sannolikheten för att en händelse inträffar. (ISO/IEC Guide 73:2002)

Skyddsvärd tillgång

De tillgångar som anses ha ett särskilt värde (FM Riskhanteringsmodell 2009). Se även kap. 1 avsnitt 1.2.1.

Skyddsåtgärd

Handling, procedur eller tekniskt arrangemang som, genom att minska sårbarheten möter identifierat hot (SIS HB 550 Utgåva 3). Med skyddsåtgärd avses i detta sammanhang även sådana skyddsåtgärder som vidtas med avseende på säkerhetsskyddskrav, dvs. säkerhetsskyddsåtgärder. Vidare avses också åtgärder som minskar en risk genom att undvika den, överföra den eller som reducerar identifierade hot.

Sårbarhet

Brist i skyddet av en tillgång exponerad för hot. (SIS HB 550 Utgåva 3)

Säkerhetsanalys

Tillämpningen av begreppet säkerhetsanalys inom ramen för bedrivande av militär säkerhetstjänst avser såväl identifiering och prioritering av skyddsvärda tillgångar, bedömning av säkerhetshot, sårbarheter och risker som prioritering och hantering av risker inklusive beslut om skyddsåtgärder. Begreppet säkerhetsanalys är i detta avseende att jämföra med begrepp som riskanalys eller risk management.

Tillgång

Allt som är av värde för organisationen (SIS HB 550 Utgåva 3). Se även kap. 1 avsnitt 1.2.1.

En säkerhetsanalys innehåller i regel sådana uppgifter som om de röjs för obehörig kommer att medföra ett men eller skada för totalförsvaret och rikets säkerhet varför en genomförd säkerhetsanalys i regel omfattas av sekretess enligt 15 kap. 2 § OSL, men kan även innehålla uppgifter vilka omfattas av annan sekretess än den så kallade försvarssekretessen.

2.2.1 Genomförande av säkerhetsanalys

Bild 2.2 Schematisk bild av modell för säkerhetsanalys.

En säkerhetsanalys omfattar fem steg:

• Steg 1 - Identifiera och prioritera skyddsvärda tillgångar

• Steg 2 - Bedömning av säkerhetshot

• Steg 3 - Bedömning av sårbarhet

• Steg 4 - Bedömning av risk

• Steg 5 - Prioritera och hantera risker (riskhanteringsbeslut)

Att identifiera och prioritera skyddsvärda tillgångar, bedöma säkerhetshot, sårbarhet och risk samt att prioritera och hantera risker inom ramen för en säkerhetsanalys är normalt ett omfattande och komplext arbete. Någon genväg i form av en förenklad modell finns därför inte. Modellen (bild 2.2) för säkerhetsanalys är densamma även om den kan tillämpas på olika sätt. Hur den tillämpas beror på de grundvärden som fastställts innan säkerhetsanalysen påbörjas, inte minst vad avser tillgänglig tid. Kapitlet omfattar främst en beskrivning av grundläggande metod för genomförande av säkerhetsanalys, men beskriver också i korthet alternativa tillämpningar. Vid genomförande av en säkerhetsanalys då kort om tid står till förfogande eller då verksamheten är okomplicerad och av mindre omfattning anpassas tillämpningen. Det är således tillämpningen, inte modellen, som kan förenklas.

En säkerhetsanalys dokumenteras lämpligen på ett sätt som innebär bra överblick samtidigt som dokumentationen resulterar i god spårbarhet. Spårbarheten innebär att det är lättare att gå tillbaka i analysen för att härleda vilka faktorer som legat till grund för olika bedömningar, förslag eller beslut. Exempel på utdrag ur dokumentation utgörs i detta kapitel av tabeller med grå rubrikrad.

Resultatet av en säkerhetsanalys redovisas på lämpligt sätt. Vid redovisning bör minst de viktigaste slutsatserna framgå i form av identifierade risker och hur de ska hanteras (riskhantering). Övrigt underlag dokumenteras på lämpligt sätt för att vid behov kunna användas för att förklara eller motivera olika bedömningar och åtgärder. Exempel på disposition av en sådan redovisning framgår av bilaga 1.

Att låta säkerhetsorganisationen genomföra säkerhetsanalysen utan stöd från verksamhetsansvariga kan inledningsvis uppfattas vara tidsbesparande, men leder oftast till en ofullständig säkerhetsanalys med bristande kvalitet i behov av revidering och komplettering. Ansvaret för att göra en säkerhetsanalys ligger i stället på den som ansvarar för verksamheten, med stöd av säkerhetsorganisationen.

2.2.2 Steg 1 - Identifiera och prioritera skyddsvärda tillgångar

Bild 2.3 Under säkerhetsanalysens första steg identifieras och prioriteras de skyddsvärda tillgångarna.

Under detta steg av säkerhetsanalysen identifieras och prioriteras de skyddsvärda tillgångarna. Konsekvensen av att respektive tillgång påverkas negativt av en oönskad händelse beskrivs och ligger till grund för en konsekvensbedömning enligt en femgradig skala. Konsekvensbedömningen utgör sedan ett direkt ingångsvärde under steg 4 (bedömning av risk) av säkerhetsanalysen.

Resultatet av verksamhetsanalysen utgör grunden för att identifiera de skyddsvärda tillgångarna. Har verksamhetsanalysen genomförts på rätt sätt är tillgångarna i allt väsentligt redan identifierade.

För att underlätta identifieringen av vilka tillgångar som är skyddsvärda kan dessa indelas på flera olika sätt. Denna indelning används med fördel redan i verksamhetsanalysen. Ett exempel på en generell indelning av tillgångar är personal, materiel, information, anläggningar och verksamhet.

Tillgång

Personal

Materiel

Datorutrustning

Datalektionssal (15 PC inkl bildskärm/tangentbord, 2 laserskrivare,
1 bildprojektor)

Bärbar PC (total 35, ej sekretessbelagd information)

Information

Anläggningar

Verksamhet

Tabell 2.1 Exempel på generell indelning av skyddsvärda tillgångar.

I arbetet med att identifiera vad det är som är en skyddsvärd tillgång bryts dessa kategorier stegvis ner i underkategorier som efterhand ökar i detaljeringsgrad. Slutresultatet är specifika tillgångar i form av en viss person eller personalkategori, ett specifikt materielslag, enskilda uppgifter, en bestämd anläggning eller en operation eller verksamhet bestämd i tid, rum och syfte.

I vissa fall kan ovanstående indelning av skyddsvärda tillgångar vara problematisk, inte sällan kan exempelvis personal sitta inne med information om en viss verksamhet, varvid indelningen enligt ovan riskerar att komplicera identifieringen av vad det är som är skyddsvärt. Av den anledningen kan det ibland vara lämpligare att använda sig av annan indelning, exempelvis genom att utgå från de verksamheter som bedrivs eller att utgå från de hot vilka bedöms vara aktuella.

Bild 2.4 Schematisk bild över användning av riskområden (scenarion) vid genomförande av en säkerhetsanalys.

En alternativ tillämpning som kan användas vid genomförande av en säkerhetsanalys är att identifiera flera riskområden eller scenarion och utgå från dessa i den fortsatta analysen (bild 2.4). Områdena identifieras genom verksamhetsanalysen. Denna tillämpning kan uppfattas som enklare och mer överskådlig än den grundläggande metod som beskrivs i kapitlet i övrigt. Respektive steg genomförs dock i likhet med grundmetoden. Metoden kan med fördel användas då tillgänglig tid för att genomföra säkerhetsanalysen är begränsad, men kan även användas vid analyser med större komplexitet.

Bild 2.5 Schematisk bild över genomförande av en säkerhetsanalys utgående från aktuella hot.

Ytterligare exempel (bild 2.5) på alternativ tillämpning av säkerhetsanalysmodellen är att utgå från ett antal specifika hot (kan vara såväl aktörsdrivna som icke-aktörsdrivna). Denna metod används ibland vid säkerhetsanalyser rörande IT-system. Risken med denna form av tillämpning är att analysen tenderar att fokusera på identifierade eller presumtiva hot och de tillgångar som dessa hot kan påverka. Andra, kanske högre prioriterade tillgångar, riskerar därför att inte identifieras liksom andra, okända hot.

Tillgång

Försvarsattachébesök från X-land vid flygflottilj F55

15 attachéer under 2 dagar 080101-080102

Undsäkavd MR – ansvar för attachéernas säkerhet under besöket (förläggning, transporter etc.)

Personal

Under besöket deltar C, Stf C F55, stabschef, divisionschef Urban Grön, 10 piloter ur samma division samt personal vid klargöringstropp Grön

C, Stf C F55 samt stabschef – Har tillsammans en mycket god kunskap om såväl utvecklingsverksamhet, incidentberedskap och planering av skarp verksamhet. Ansvarig för planläggning och genomförande av besöket är stabschefen.

C Urban Grön - Förutom ovanstående har divisionschefen genomfört utbildning i U-land och därvid erhållit mycket goda kunskaper om U-lands metodik avseende Targeting processen.

Piloter ur Grön - Mycket god kunskap om JAS 39 förmåga inkl. begränsningar.
Två av piloterna genomfört utbildning i U-land avseende CAS.

Klargöringstropp - God inblick i vissa tekniska begränsningar avseende underhåll av JAS 39.

Materiel

- JAS 39 C/D
- Flygsimulator Flybox 360

JAS 39 C/D. Skyddsvärd materiel - se MATSÄK

Flybox 360 - skarp databas är HEMLIG/SECRET (kommer ej användas vid besöket).

Information

Ingen sekretessbelagd information kommer att delges besökare

Se vidare under övriga tillgångar.

Anläggningar

Besöket omfattar information
- Flottiljstab
- Urban Grön
- Flygbasen RAKBANA

Flottiljstab - Skyddsvärda lokaler är stabsexp och kryptorum.

Urban Grön - Skyddsvärd lokal är planeringsrum inklusive serverutrymme.

RAKBANA - Skyddsvärda platser är radarcentralen LILLBERGET.

Verksamhet

- Allmän presentation av F55
- Förevisning Flybox 360 inkl möjlighet för besökare att prova simulatorn
- Besök RAKBANA och förevisning landning, klargöring och start av rote ur Urban Grön

Presentation F55 - Ej sekretessbelagd presentation kommer att användas. Ansvarig flottiljchefen.

Flybox 360 - Simulatorprogramvara EXERCISE kommer att användas (obeväpnade flygplan). Ansvarig C Urban Grön.

RAKBANA - Klargöringstroppen kommer att agera enligt ordinarie rutiner, men endast blind vapenmateriel används. Ansvarig Stf C F55.

Tabell 2.2 Exempel på identifiering av skyddsvärda tillgångar med utgångspunkt i en viss verksamhet.

En identifiering och prioritering av skyddsvärda tillgångar svarar på frågorna:

• Vilka skyddsvärda tillgångar i organisationsenhetens verksamhet kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism?

• Vilka övriga skyddsvärda tillgångar kräver skyddsåtgärder?

• Vilka oönskade händelser har en negativ effekt på identifierade skyddsvärda tillgångar?

• Hur ska de skyddsvärda tillgångarna prioriteras med hänsyn till de konsekvenser som uppstår om oönskade händelser inträffar?

Att identifiera vad som är skyddsvärt kan i viss utsträckning göras med hjälp av generella regler eller anvisningar. Exempel på sådana generella anvisningar för vad som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet framgår bl a av H SÄK Sekretessbedömning Del B.

Försvarsmaktens verksamhet innebär emellertid att hänsyn måste tas till varje specifik situation. Vilka uppgifter som omfattas av sekretess förändras bland annat beroende på när, var och hur verksamheten bedrivs.

Vad som skadar tillgångarna och därmed Försvarsmakten varierar beroende på flera olika faktorer:

• I vilken verksamhet förekommer tillgången?

• Vilka är beroende av tillgången?

• När är vi beroende av tillgången?

• På vilket sätt är vi beroende av tillgången?

• Vilka konsekvenser medför röjande, skada, förstöring etc. av tillgången?

Flera faktorer påverkar omfattningen av konsekvens och dessa kompletterar ovanstående frågeställningar:

• Återfinns tillgången endast inom aktuell organisationsenhet?

• Är tillgången så kritiskt att verksamheten är beroende av den för att nå framgång? Kräver verksamheten att tillgången alltid är tillgänglig?

• Vad kommer ett återställande eller återskapande att kosta i form av tid, resurser och pengar? Var kostnaden för att skapa tillgången så omfattande att den inte är möjligt att ersätta?

Vid arbetet med att identifiera vilka tillgångar som är skyddsvärda bör även uppmärksammas att tillgångar inte har samma värde för olika personer eller funktioner inom en organisation och att alla tillgångar inte är kritiska för verksamhetens genomförande.

Utöver de tillgångar som kräver ett säkerhetsskydd förekommer även andra typer av tillgångar som behöver skyddas, exempel på sådana tillgångar är sekretessklassificerade uppgifter och stöldbegärlig materiel.

För att kunna identifiera vad som är skyddsvärt krävs en mycket god kunskap om såväl organisation, uppgifter som verksamhet. Det innebär att resurser även utanför underrättelse- och säkerhetsfunktionen kommer att behöva delta under genomförandet av en säkerhetsanalys. Arbetet kan därför komma att kräva omfattande intervjuer av personal som besitter nödvändiga kunskaper. Chefer på olika nivåer inom organisationen utgör en viktig resurs, varför denna kategori redan i ett tidigt skede ska delta i arbetet med att ta fram de ingångsvärden som krävs för att rätt identifiera vad som är skyddsvärt.

Följande frågor är exempel på frågeställningar vilka kan användas i arbetet med att identifiera skyddsvärda tillgångar, t.ex. som underlag vid intervjuer.

• Vilken verksamhet genomförs vid aktuell organisationsenhet?

• Vad i verksamheten är avgörande för att nå framgång?

• Beskriv de personalkategorier som deltar i verksamheten (fast anställd personal, vikarier, besökare, konsulter, utländsk personal etc.)?

• Vilka uppgifter är känsliga med hänsyn till verksamhetens genomförande (såväl sekretessbelagd som känslig, men icke sekretessbelagd information identifieras)?

• Vilken kritisk (organisations- och/eller effektbestämmande) materiel eller i övrigt värdefull utrustning finns inom organisationen?

• Var finns denna materiel och/eller utrustning?

• Beskriv förväntade konsekvenser av att tillgångarna röjs, skadas, förstörs etc.?

• Vad innebär det för en motståndare att få tillgång till de skyddsvärda tillgångarna?

• Vad förlorar vi? Vad vinner en motståndare?

• Är tillgången fortfarande värdefull för oss även om en motståndare har tillgång till den?

• Vad har tillgången kostat oss?

• Hur är behovet av att skydda denna specifika tillgång jämfört med andra värdefulla tillgångar?

För att kunna analysera vilka konsekvenser som kan uppstå krävs att de oönskade händelser som kan påverka respektive tillgång negativt identifieras. Inledningsvis utifrån en generell indelning och därefter genom en alltmer detaljerad beskrivning.

Sker inte denna nedbrytning av detaljeringsgraden riskerar säkerhetshotbedömningen (steg 2 av säkerhetsanalysen) att medföra en alltför generell och oprecis hotbedömning vilket kommer att resultera i en riskbedömning som inte går att omsätta i specifika skyddsåtgärder.

Nedanstående femgradiga skala för bedömning av konsekvens är ett exempel på en generell konsekvensbeskrivning. Konsekvensbeskrivningarna kan behöva anpassas4 beroende på i vilken verksamhet tillgångarna förekommer samt med hänsyn till typ av tillgång. Till exempel kan en konsekvensbeskrivning av en materielförlust inte med självklarhet användas för att beskriva konsekvenserna av skadad eller dödad personal. En negativ påverkan på en specifik tillgång kan därför resultera i en viss konsekvensbedömning för en verksamhet och en helt annan vid andra typer av verksamhet.

Bedömning av konsekvens, liksom bedömningar av sårbarhet, sannolikhet och risk ska därför ses som relativa. Av den anledningen kan inte resultatet av olika säkerhetsanalyser jämföras utan att hänsyn tas även till förutsättningarna för respektive analys. Att beskriva och gradera konsekvensen av en oönskad händelse är chefens ansvar.

För att i steg 4 få en större spridning av identifierade risker kan den femgradiga skalan vid bedömning av konsekvens och sannolikhet graderas i fler skalsteg. Oftast räcker det med en tiogradig indelning, men det finns inget som hindrar en större gradering än så. Graderingen av skalan för bedömning är bara ett hjälpmedel och ändrar inte den slutliga bedömningen av risker i en femgradig skala.

Av nedanstående tabell framgår dels en generell konsekvensbeskrivning, vilken kan användas för alla typer av tillgångar utom hemliga och utrikesklassificerade uppgifter, dels en konsekvensbeskrivning för hemliga och utrikesklassificerade uppgifter. Att det finns två parallella konsekvensbeskrivningar beror på att definitionen av respektive informationssäkerhetsklass i sig är en fastställd konsekvensbeskrivning.

När det gäller konsekvensbeskrivning av sekretessklassificerade uppgifter är det viktigt att sekretessbedömningen inte blandas ihop med bedömning av konsekvens och därtill hörande konsekvensbeskrivning. Sekretessbedömningen resulterar i detta fall i att informationen klassas som sekretessklassificerad. För att komma fram till att en uppgift är sekretessklassificerad räcker det med att kunna anta att skaderekvisitet enligt OSL är uppfyllt. Någon bedömning av omfattningen av skadan, det vill säga konsekvensen, sker inte i samband med sekretessbedömningen. Vilket är precis som för övriga typer av sekretesskategorier. För att en sekretessklassificerad uppgift inom ramen för en säkerhetsanalys ska kunna prioriteras, krävs det att den är jämförbar med andra typer av sekretessklassificerade uppgifter samt hemliga och utrikesklassificerade uppgifter. Det innebär att den sekretessklassificerade informationen måste bedömas med avseende på vilken konsekvens som uppstår om informationen utsätts för en oönskad händelse. Bedömningen av konsekvens sker med stöd av den generella konsekvensbeskrivningen och resulterar i att sekretessklassificerad information har identifierats och prioriterats med stöd av en konsekvensbedömning. Då hemliga och utrikesklassificerade uppgifter redan är konsekvensbedömda genom inplacering i informationssäkerhetsklass kan dessa jämföras och prioriteras i förhållande till sekretessklassificerade uppgifter. Något som inte är möjligt endast genom sekretessbedömning av sekretessklassificerade uppgifter.

Även om en konsekvensbedömning av sekretessklassificerade uppgifter kan resultera i att konsekvensen på den femgradiga skalan bedömts till motsvarande nivå som för hemliga eller utrikesklassificerade uppgifter, innebär det inte att en sekretessklassificerad uppgift kräver ett säkerhetsskydd.5 Grundkraven vad avser skyddsnivåer för olika sekretesskategorier framgår av regelverket. En konsekvensbedömning av sekretessklassificerad information kan däremot ligga till grund för väl medvetna val att öka skyddsnivån utöver den som regelverket anger.

Bedömning av konsekvens

Gradering

Generell konsekvensbeskrivning samt konsekvensbeskrivning vid informationsförlust av sekretessklassificerade uppgifter.

Konsekvensbeskrivning avseende informationsförlust av hemliga eller utrikesklassificerade uppgifter1

5

Synnerligen

allvarlig

(9-10)

Förväntade konsekvenser medför en synnerlig negativ effekt. Konsekvenserna innebär synnerligen allvarliga negativa effekter av stor omfattning, under lång tid och utgör ett direkt hot mot organisationen. Konsekvenserna är inte begränsade till enstaka förmågor eller funktioner inom organisationen.

Hemliga uppgifter vars röjande kan medföra synnerligt men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet (kvalificerat hemliga uppgifter).

Hemlig handling som har åsatts beteckningen TOP SECRET eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.

4

Allvarlig

(7-8)

Förväntade konsekvenser är betydande. Konsekvenserna är allvarliga, av stor omfattning eller av väsentlig art och innebär ett direkt hot, om än mot avgränsade förmågor eller funktioner inom organisationen.

Hemliga uppgifter vars röjande kan medföra betydande men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet.

Hemlig handling som har åsatts beteckningen SECRET eller motsvarande av en ut- ländsk myndighet eller mellanfolklig organisation.

3

Kännbar

(5-6)

Förväntade konsekvenser är inte obetydliga och äventyrar, vållar skada, hindrar, underlättar, innebär större avbrott samt medför påtagliga negativa effekter om än i begränsad omfattning.

Hemliga uppgifter vars röjande kan medföra ett inte obetydligt men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet.

Hemlig handling som har åsatts beteckningen CONFIDENTIAL eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.

2

Lindrig

(3-4)

Förväntade konsekvenser är ringa och begränsas till att påverka, försvåra, hindra, undergräva, misskreditera eller störa verksamheten i mindre omfattning.

Hemliga uppgifter vars röjande kan medföra endast ringa men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet.

Hemlig handling som har åsatts beteckningen RESTRICTED eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.

1

Försumbar

(1-2)

Konsekvenser för verksamheten är försumbara.

Uppgifter är inte hemliga eller utrikesklassificerade.

Tabell 2.3 Bedömning av konsekvens sker enligt en femgradig skala.

.

Tillgång

Oönskade
händelser

Konsekvensbeskrivning

Bedömning
av konsekvens
5 – Synnerligen
allvarlig

4 – Allvarlig

3 – Kännbar

2 – Lindrig

1 – Försumbar

Personal

Materiel

Datorutrustning

Inbrott i datalektionssal och omfattande förstöring eller stöld av datorutrustning.

Värdet på utrustningen i datalektionssalen uppgår till 0,5 miljoner kr. Vid förlust av utrustningen kommer införandet av det nya verksamhetsledningssystemet att försenas med ca 6 månader.

4 (7)1

(Inbrott) i datalektionssal och begränsad stöld av datorutrustning.

Förlust av enstaka utrustning (dator, skrivare och bildprojektor), < 30 kkr

2 (3)2

Stöld eller förlust på annat sätt av bärbara PC.

Kostnaden för varje bärbar PC är ca 10 kkr. Informationsförluster kan i värsta fall ta 2-3 veckor att återställa.

2 (4)

Information

Anläggningar

Verksamhet

1) Anger konsekvensbedömningen i skalan 1-5 och (7) anger den mer precisa bedömningen.

2) Stöld genomförd av insider bedöms omfatta en mindre mängd utrustning.

Tabell 2.4 Exempel på utdrag ur kalkylblad avseende steg 1 av säkerhetsanalysen.

Innan steg 2 påbörjas ska ansvarig chef godkänna och fastställa resultatet av steg 1 då detta steg utgör ingångsvärden för resterande del av säkerhetsanalysen.

2.2.3 Steg 2 - Bedömning av säkerhetshot

Bild 2.6 Under steg 2 bedöms säkerhetshotet.

En hotbedömning resulterar i en bedömd hotnivå enligt en femgradig skala. Den bedömda hotnivån innebär en samlad bedömning av en eller flera aktörers kapacitet, intention och tillfälle, att i tid och rum, direkt eller indirekt, angripa eller på annat sätt medvetet påverka en eller flera identifierade skyddsvärda tillgångar. I riskhanteringssammanhang är den bedömda hotnivån dessutom kopplad till en eller flera aktörers möjlighet att använda sig av specifika metoder (modus) vilka resulterar i specifika oönskade händelser.

Ovanstående beskrivning av hotbedömning avser aktörsdrivna hot, det vill säga hot bakom vilket det står en aktör i form av en individ, grupp, nätverk, organisation, stat etc. Aktörsdrivna hot är normalt avsiktliga. I denna handbok omfattar en säkerhetsanalys även bedömning av icke aktörsdrivna hot vilka kan påverka identifierade skyddsvärda tillgångar på ett negativt sätt. Generellt finns tre kategorier av icke aktörsdrivna hot; naturliga fenomen (t.ex. naturkatastrofer och sjukdomar), fel i tekniska system (t.ex. buggar och materialfel), icke uppsåtliga mänskliga gärningar (t.ex. slarv och olyckor). Ett exempel på ett sådant hot eller oönskad händelse kan vara en brand i en serverhall vilken kan resultera i såväl förstörd materiel som förlorad information. I de exempel på utdrag ur kalkylblad som redovisas i detta kapitel kan ett sådant hot beskrivas under kolumnen aktör eller i en egen kolumn.

En bedömning av säkerhetshotet svarar därför på frågorna:

• Vilka aktörer utövar ett hot mot våra skyddsvärda tillgångar?

• Vilken kapacitet har aktörerna att genomföra säkerhetshotande verksamhet?

• Vilken intention (vilja) har aktörerna att realisera säkerhetshoten?

• Vilka tillfällen ges aktörerna att i tid och rum realisera säkerhetshoten?

På samma sätt som skyddsvärda tillgångar indelas i fem generella kategorier, brukar säkerhetshoten indelas i fem övergripande kategorier:

• Främmande underrättelseverksamhet

• Kriminalitet

• Sabotage

• Subversion

• Terrorism

Säkerhetshotbedömning kräver omfattande resurser och kunskaper att genomföra varför lokal och regional säkerhetsorganisation i regel är beroende av stöd utanför egen organisation för att rätt kunna bedöma säkerhetshotet. Säkerhetsunderrättelsetjänsten använder sig av alla tillgängliga resurser, inklusive underrättelsetjänsten i övrigt vid bedömning av den säkerhetshotande verksamheten.

Den säkerhetshotbedömning som erhålls genom säkerhetsunderrättelsetjänsten anpassas till lokala eller regionala förutsättningar i syfte att genomföra en väl balanserad säkerhetsanalys.

Ska hotbedömningen vara användbar räcker det i regel inte med att endast redovisa bedömd hotnivå. Hotbedömningen bör även svara på frågorna; vem, var, när, hur och mot vad?

Exempel 2.1 Bedömd hotnivå med hotbeskrivning.

Under attachébesöket vid F21 i Luleå v 735 kommer vi sannolikt stå inför ett högt hot avseende främmande underrättelseverksamhet från Aktör A, riktat mot den skyddsvärda tillgången JAS 39 jaktradar genom personbaserad inhämtning mot svensk nyckelpersonal.

I denna handbok redogörs inte för hur säkerhetsunderrättelsetjänst bedrivs och därmed inte heller hur en fullständig bedömning av den säkerhetshotande verksamheten går till. För ytterligare information om hot och hotbedömningar hänvisas till handböckerna H SÄK Hot, Handbok bedömning antagonistiska hot samt H SÄK Säkund (hemlig).

Med hjälp av erhållen säkerhetshotbedömning ska däremot även personal som inte är utbildad i säkerhetsunderrättelsetjänst kunna genomföra en säkerhetsanalys.

Den som ska genomföra en säkerhetsanalys ansvarar för att i god tid hos närmast högre chef hemställa om stöd avseende säkerhetshotbedömning. Tillsammans med hemställan om stöd med säkerhetshotbedömning ska ingångsvärden från steg 1 av säkerhetsanalysen bifogas.

Bedömning av säkerhetshot

5

Mycket högt hot

4

Högt hot

3

Förhöjt hot

2

Lågt hot

1

Inget identifierat hot

Tabell 2.5 Hotbedömningen resulterar i en bedömd hotnivå enligt en femgradig skala

.

Oönskade händelser

Aktör

Kapacitet

Intention (behov)

Tillfälle

Bedömning av hot

5 – Mycket högt

4 – Högt

3 – Förhöjt

2 – Lågt

1 – Inget identifierat

Inbrott i datalektionssal och omfattande förstöring eller stöld av datorutrustning.

Enskilda eller grupp av kriminella

Har nödvändig kunskap och verktyg

Hög intention.

Tillfälle erbjuds främst nattetid och under helger.

4

Inbrott i datalektionssal och begränsad stöld av datorutrustning.

Insiders

Kräver kunskap och verktyg då salen alltid låses efter bruk.

Ingen identifierad intention.

Många tillfällen erbjuds, främst under kvällstid.

1

Stöld eller förlust på annat sätt av bärbara PC.

Enskilda eller grupp av kriminella

Mycket god kapacitet (kunskap, utrustning etc.)

Hög intention, särskilt om tillfälle erbjuds.

Få tillfällen inom kasernområde, kräver i regel inbrott. Fler tillfällen i fall den anställde medför PC utanför enheten.

5

Insiders

Kräver ingen särskild kapacitet eller metod.

Under den senaste 10 års perioden har inga insiderstölder av PC ägt rum.

Mycket goda tillfällen erbjuds så gott som dagligen

2

Tabell 2.6 Exempel på utdrag ur kalkylblad avseende steg 2 av säkerhetsanalysen.

2.2.4 Steg 3 - Bedömning av sårbarhet

Bild 2.7 Under säkerhetsanalysens tredje steg bedöms sårbarheten.

En sårbarhetsbedömning syftar till att identifiera de brister eller svagheter i skyddet vilka kan utnyttjas för att få tillgång till eller påverka tillgångarna på ett negativt sätt.

Bedömningen omfattar:

• Identifiering av existerande skyddsåtgärder.

• Identifiering av potentiella sårbarheter genom en bedömning av hur effektiva existerande skyddsåtgärder är att reducera specifika svagheter relaterat till bestämda skyddsvärda tillgångar eller specifika hot.

• Bedömning av sårbarhet (nivå) relativt varje skyddsvärd tillgång och oönskad händelse.

För att identifiera potentiella sårbarheter krävs att möjliga metoder och händelser vilka kan påverka skyddsvärda tillgångar analyseras. Resultatet blir att de svagheter som kan utnyttjas för att få tillgång till eller påverka skyddsvärda tillgångar på ett negativt sätt kan upptäckas. Varje svaghets relativa betydelse analyseras, dels genom att svagheter ställs i relation till varandra, dels genom att de relateras till tillgångar och hot.

För att identifiera existerande skyddsåtgärder kan indelningen av säkerhetsskyddet under steg 5 användas som utgångspunkt. Enskilda skyddsåtgärder identifieras genom att respektive kategori bryts ner i detalj och relateras till hur effektiva dessa är att reducera specifika sårbarheter. Ger nuvarande skyddsåtgärder de effekter som förväntas eller bygger den förväntade effekten på antaganden utan grund?

En bedömning av hur effektiva existerande skyddsåtgärder är kräver i regel en dialog med experter inom respektive område.

Efterhand skyddsåtgärder identifieras kan följande frågeställningar användas som hjälp att bedöma den reella effekten:

• Vad är syftet med skyddsåtgärden?

• Vad är resultatet av skyddsåtgärden?
– Avskräcka, detektera, fördröja eller förhindra?

• Vilken typ av hot eller oönskad händelse skyddar den mot?
– Inbrott, skadegörelse, stöld, manipulation, röjande av hemliga uppgifter, brand etc.?

• När är skyddsåtgärden effektiv?
– Alltid, vid bestämda tider eller under vissa förutsättningar

• Var är skyddsåtgärden effektiv?

• Finns det rapporter om felfunktioner i skyddsåtgärden?

• Finns det ett samband mellan skyddsåtgärden och inrapporterade säkerhetshändelser vilket visar på att effekten av åtgärden uteblivit eller reducerats?

• Har skyddet kontinuerligt uppdaterats eller underhållits?

Vilka faktorer som avgör graden av sårbarhet kommer att variera med hänsyn till vilken tillgång som ska skyddas och var tillgången befinner sig.

Följande frågeställningar kan bidra till att bestämma nivån av sårbarhet:

• Är tillgången sårbar med anledning av en eller flera svagheter i skyddet?

• Gör arten av sårbarhet att den är svår eller lätt att utnyttja?

• Reduceras eller elimineras sårbarheten av effektiva och av varandra oberoende skyddsåtgärder?

.

Bedömning av sårbarhet

5

Mycket hög sårbarhet

Inga eller endast enstaka skyddsåtgärder är vidtagna. Tillgång till eller påverkan av det skyddsvärda är mycket lätt att åstadkomma.

4

Hög sårbarhet

Skyddsåtgärder existerar, men ett flertal sårbarheter möjliggör tillgång till eller påverkan av det skyddsvärda.

3

Förhöjd sårbarhet

Effektiva skyddsåtgärder är implementerade, men enstaka sårbarheter förekommer vilka kan utnyttjas för tillgång till eller påverkan av det skyddsvärda.

2

Låg sårbarhet

Effektiva och av varandra oberoende skyddsåtgärder är implementerade. Tillgång till eller påverkan av det skyddsvärda är mycket svårt att åstadkomma.

1

Ingen identifierad sårbarhet

Flera effektiva och av varandra oberoende skyddsåtgärder är implementerade. Inga kända sårbarheter är identifierade.

Tabell 2.7 Sårbarhetsbedömningen resulterar i en bedömd sårbarhet enligt en femgradig skala.

.

Tillgång

Identifierade sårbarheter

Bedömning av sårbarhet
5 – Mycket hög
4 – Hög
3 – Förhöjd
2 – Låg
1 – Ingen identifierad

Personal

Materiel

Datorutrustning

Datalektionssal

Skyddsnivå 1 på salen. Olarmad. Ligger på markplan ca 20 m från kasernstaket. Går i mörker att ta sig osedd från staket till salens fönster. Inifrån krävs att 1 larmad dörr passeras för att komma till salens dörr.

Salens dörr är olarmad.

5

Bärbar PC

Skall förvaras inlåst i säkerhetsskåp då den ej 3

används. Oklara regler om vad som gäller vid medförsel.

3

Information

Anläggningar

Verksamhet

Tabell 2.8 Exempel på utdrag ur kalkylblad avseende steg 3 ur säkerhetsanalysen.

2.2.5 Steg 4 - Bedömning av risk

Bild 2.8 Risken bedöms under säkerhetsanalysens fjärde steg

Riskbedömning innebär en systematisk sammanvägning av sannolikheten för och konsekvensen av att ett hot inträffar. Risken bedöms enligt en femgradig skala. Som underlag för riskbedömningen används resultaten av bedömningarna i steg 1-3.

En riskbedömning svarar på frågorna:

• Hur stor är sannolikheten för att ett visst hot inträffar?

• Hur omfattande är konsekvensen?

• Hur stor är den bedömda risken?

.

Bild 2.9 Sambandet mellan begreppen hot, sårbarhet, sannolikhet, konsekvens och risk.

Sannolikheten för att ett visst hot ska inträffa är ett resultat av en sammanvägd bedömning av identifierade sårbarheter och bedömningen av specifika hot. Hot och sårbarhet har tidigare beskrivits och värderats under steg 2 och 3 varför dessa inte behöver analyseras ytterligare i detta steg. Tidigare bedömningar av hot och sårbarheter utgör därmed direkta ingångsvärden vid bedömning av sannolikhet. Sannolikheten bedöms i en femgradig skala.6

Om hotet har bedömts som högt samtidigt som sårbarheten är hög ökar sannolikheten för att hotet ska inträffa. Om hotet däremot har bedömts som lågt samtidigt som sårbarheten bedömts som låg minskar sannolikheten för att hotet ska inträffa. I tabellen för bedömning av sannolikhet finns procentuella värden medtagna. Dessa bör ses som ett stöd och inte som absoluta värden. Att bedöma sannolikheten för att ett visst hot ska inträffa är inte en matematisk beräkning utan en medveten, om än subjektiv, bedömning.

Bedömning av sannolikhet

5

Mycket hög sannolikhet

(9-10)

> 50%

4

Hög sannolikhet

(7-8)

< 50%

3

Förhöjd sannolikhet

(5-6)

< 25%

2

Låg sannolikhet

(3-4)

< 5%

1

Ingen identifierad sannolikhet

(1-2)

< 1%

Tabell 2.9 Sannolikhetsbedömningen resulterar i en bedömd sannolikhet enligt en femgradig skala.

Risken bedöms därefter genom att sannolikheten för att ett hot ska inträffa sammanvägs med konsekvensen av att hotet inträffar. Konsekvensen av att ett hot inträffar har tidigare beskrivits och värderats under steg 1 varför denna inte behöver analyseras ytterligare i detta steg. Tidigare konsekvensbedömningar utgör därmed ett direkt ingångsvärde vid bedömning av risk under steg 4.

Bild 2.10 Vid bedömning av risk används ovanstående matris indelad i fyra kvadranter för att bedöma risknivån.

Riskbedömning innebär en sammanvägning av två relativt subjektiva bedömningar vilket i sin tur kan innebära att resultatet blir ännu mer osäkert. Därför bör den bedömda risken alltid värderas och jämföras med övriga bedömda risker med avseende på reliabilitet, det vill säga; hur tillförlitlig är bedömningen? En riskbedömning får därför inte bli enbart en matematisk beräkning. För att svara på frågan om hur tillförlitlig riskbedömningen är måste riskerna kunna beskrivas även på andra sätt än med siffror (se bild 2.12).

I de fall sannolikheten för att en oönskad händelse ska inträffa eller att kon- sekvensen av att en oönskad händelse inträffar har bedömts vara så låg att nivån för sannolikhet eller konsekvens närmar sig noll, ska det övervägas huruvida risken överhuvudtaget ska bedömas. En sådan bedömning riskerar annars att leda till orealistiska bedömningar av risknivån. Till exempel kan en bedömning av sannolikheten som närmar sig noll, samtidigt som konsekvensen av en oönskad händelse är stor, resultera i en bedömd risk i nivå 3-4 och därmed leda till införande av skyddsåtgärder vilka inte står i proportion till den faktiska risken.

Alla riskbedömningar ska därför vara resultatet av ett väl medvetet ställningstagande och alltid kunna motiveras.

Bild 2.11 Bilden visar på hur sannolikhet och konsekvens vägs samman för att bedöma risken. Exempel A-D är hämtade från tabell 2.11.

Principen för hur bedömning av risker går till framgår av bild 2.11 i kombination med exemplen i tabell 2.11. Risk B i bild 2.11 är ett exempel på en risk som skulle kunnat bedömas som en förhöjd (3) risk. Anledningen till att risken bedömts som låg (2) är att en insider mest sannolikt inte bryter sig in i datalektionssalen för att stjäla eller förstöra merparten av utrustningen utan i stället är ute efter särskild materiel (exempelvis dator, skrivare och bildprojektor) vilken personen redan tidigare identifierat. Konsekvensen blir därmed lägre.7

Indelningen av riskmatrisen i fyra olika kvadranter med respektive risknivåer får därmed inte ses som en absolut sanning. Den ska i stället ses som riktlinjer vilka kan tjäna som stöd vid riskbedömningen.

Bedömning av risk

5

Mycket hög risk

4

Hög risk

3

Förhöjd risk

2

Låg risk

1

Ingen identifierad risk

Tabell 2.10 Riskbedömningen resulterar i en bedömd risk enligt en femgradig skala

.

4

Risken att Aktören A i samband med attachébesöket vecka 735 kommer över hemliga uppgifter avseende JAS 39 jaktradar genom personbaserad inhämtning riktad mot nyckelpersonal med konsekvensen att en motståndare kan anpassa teknik och taktik på ett sätt som allvarligt påverkar vår förmåga att använda JAS 39 i jaktroll bedöms som HÖG.

3

Risken att personal av okunskap eller nonchalans ansluter privata IT-system (smarta telefoner, USB-minnen etc.) till det lokala nätverket och överför skadlig kod med resultatet att systemets tillgänglighet påverkas i en omfattning som hindrar eller stör verksamheten under timmar/dagar bedöms som FÖRHÖJD.

3

Risken att hemliga, utrikesklassificerade eller sekretessklassificerade uppgifter rörande förbandets internationella insatser röjs genom att personal lagrar information på fel plats (ex. FM AP), tar med sig information på privata lagringsmedier eller publicerar uppgifter på nätet (ex. bloggar, sociala medier) med konsekvens att pågående eller kommande insatser kan störas i en inte obetydlig omfattning timmar/dagar bedöms som FÖRHÖJD.

2

Risken för inbrott i förbandets datalektionssal och stöld eller skadegörelse av utrustning med konsekvensen att utbildning måste ställas in under 2-3 mån och att nyinköp på ca 500 kkr krävs bedöms som LÅG.

Bild 2.12 Schematisk beskrivning på vad risker innebär och hur de prioriteras mot varandra.

Den bedömda risken i detta skede tar inte hänsyn till de förslag till eller beslut om skyddsåtgärder som vidtas under steg 5. Först efter att förslag till skyddsåtgärder är framtagna kan förnyade konsekvens-, hot- och sårbarhetsbedömningar ligga till grund för en ny riskbedömning som visar på förväntade effekter av föreslagna åtgärder.

Den verkliga effekten av föreslagna åtgärder kan inte värderas förrän åtgärderna är beslutade och implementerade.

Oönskade händelser

Hot

Sårbarhet

Sannolikhet

5 – Sannolik
4 – Trolig
3 – Möjlig
2 – Ej trolig
1 – Osannolik

Konsekvens

Riskbedömning

5 – Mycket hög

4 – Hög
3 – Förhöjd
2 – Låg
1 – Ingen synbar

Inbrott i datalektionssal och omfattande förstöring eller stöld av datorutrustning.

4

5

5 (9)

4 (8)

5

(Inbrott) i datalektionssal och begränsad stöld av datorutrustning.

1

5

3 (5)

2 (3)

2

Stöld eller förlust på annat sätt av bärbara PC.

5

3

4 (7)

2 (4)

3

2

3

2 (3)

2 (4)

2

Tabell 2.11 Exempel på utdrag ur kalkylblad avseende steg 4 av säkerhetsanalysen.

2.2.6 Steg 5 - Prioritera och hantera risker
(riskhanteringsbeslut)

Bild 2.13 Sista steget i säkerhetsanalysen omfattar att prioritera och hantera risker.

Säkerhetsanalysens sista steg innebär att prioritera de risker som identifierats i föregående steg och därefter fatta beslut om hur riskerna ska hanteras. Beslut om hur riskerna ska hanteras, riskhanteringsbeslut, innebär medvetna och dokumenterade chefsbeslut.

Bild 2.14 Schematisk bild avseende arbetsgången av steg 5

När hela steg 5 genomförts är målsättningen att beslut om riskacceptans föreligger för samtliga bedömda risker.

Steg 5 inleds med att riskerna bedömda under steg 4 prioriteras. Därefter hanteras riskerna i prioritetsordning med början på de risker som bedömts som störst.

Inledningsvis bedöms huruvida risken är acceptabel eller inte. När det gäller risker rörande säkerhetstjänst finns det i regel tydliga krav på säkerhetsskydd varför bedömningen i normala fall tar ställning till om regelverkskraven är uppfyllda. Är kraven uppfyllda och hotbilden i övrigt inte ger anledning att vidta skyddsåtgärder utöver kraven accepteras risken. I praktiken innebär det att nuvarande skyddsåtgärder bedöms som tillräckliga.

Om bedömningen innebär att riskerna är oacceptabla eller att brister i uppfyllnaden av regelverkets krav avseende säkerhetsskydd har identifierats måste riskerna hanteras. Den första åtgärden blir därför att ta fram förslag till skyddsåtgärder vilka resulterar i att bedömda risker anses vara acceptabla eller att regelverkskraven uppfylls.

Skyddsåtgärder vidtas normalt i syfte att minska sårbarheten, men kan även vidtas i syfte att påverka hotet.

Risker med hög sannolikhet, men låg konsekvens, åtgärdas främst genom skyddsåtgärder som syftar till att minska sannolikheten för att ett säkerhetshot ska inträffa. Sannolikheten minskas genom att reducera sårbarhet och/eller hot.

Risker med låg sannolikhet, men hög konsekvens, åtgärdas främst genom åtgärder som syftar till att reducera konsekvensen om hotet trots allt inträffar.

Skyddsåtgärder omfattar åtgärder främst inom ramen för:

• Informationssäkerhet

• IT-säkerhet

• Tillträdesbegränsning

• Säkerhetsprövning

• Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA)

• Kontrollverksamhet

• Utbildning och information

• Signalskydd

Skyddsåtgärder kan beroende på typ av hot även omfatta andra områden, exempel på sådana åtgärder kan utgöras av brandskyddsåtgärder.

Med åtgärder som påverkar säkerhetshotet avses åtgärder som riktar sig direkt mot den eller de aktörer som utövar ett säkerhetshot. Syftet med dessa åtgärder kan vara att identifiera och/eller bekämpa den säkerhetshotande verksamheten. Exempel på sådana åtgärder kan vara genomförande av säkerhetsoperationer, men även informationsoperationer kan utgöra exempel på åtgärder riktade direkt eller indirekt mot den eller de aktörer som utövar ett säkerhetshot.8

Förslag till skyddsåtgärder beskrivs avseende bedömd effekt och kostnad (en form av kostnads- och nyttokalkyl). Med effekt avses resultatet av skyddsåtgärden i form av minskad sårbarhet, lägre hot eller reducerad konsekvens. Med kostnad avses de resurser införandet av skyddsåtgärden kommer att kräva i form av bland annat tid, personal, materiel och ekonomi.

Förslagen förs därefter tillbaka in i steg 1-4 för att resultera i förnyade riskbedömningar. Resultatet av den förnyade riskbedömningen ligger till grund för val av skyddsåtgärd, men kan även innebära att bedömningen resulterar i att risken inte kan hanteras. Anledningen till att risken inte bedöms kunna hanteras beror oftast på att sårbarheten inte kan minskas beroende på avsaknad av nödvändiga resurser eller att hotet inte kan påverkas, men kan även bero på andra omständigheter.

Kan inte en risk hanteras på ett sätt som uppfyller regelverkets krav eller i övrigt resulterar i en acceptabel risk ska den chef som ansvarar för verksamheten snarast anmäla detta till högre chef. En sådan anmälan kan dels innebära en begäran om stöd för att kunna hantera risken på ett acceptabelt sätt, dels innebära en hemställan om undantag från regelverkets krav.

Krav avseende säkerhetsskydd är noga reglerat i olika regelverk. Regelverken anger vilken nivå av säkerhetsskydd som minst krävs för att uppfylla regelverkets krav.

Vid beslut om skyddsåtgärder med avseende på säkerhetsskyddskrav innebär det att endast följande alternativ är möjliga:

1. Säkerhetsskyddsåtgärder vidtas i enlighet med regelverkets krav.

2. Alternativa åtgärder vidtas i syfte att erhålla motsvarande säkerhetsnivå som regelverket kräver och därmed uppfylla regelverkets krav.9

3. Säkerhetsskyddsåtgärder vidtas utöver regelverkets krav, främst med anledning av bedömt säkerhetshot.

4. Varken säkerhetsskyddsåtgärder eller alternativa åtgärder kan vidtas för att uppfylla regelverkets krav. Att inte uppfylla regelverkets krav på säkerhetsskydd innebär en sådan medveten risktagning att det kräver ett undantagsbeslut av Överbefälhavaren eller den han eller hon utser.10

Av ovanstående framgår även att med hänsyn till aktuell hotbild kan ett beslut om en skyddsåtgärd i enlighet med gällande regelverk innebära en hög risktagning om hotet bedöms överstiga vår nivå av säkerhetsskydd. Ett sådant beslut innebär dock inte krav på undantag från gällande regelverk.

En hemställan om undantag eller avvikelse från regelverkets krav beskrivs utförligt i kap. 1.5.

Beslut om riskacceptans samt beslut om skyddsåtgärder fattas genom att ansvarig chef fastställer resultatet av säkerhetsanalysen. Beslutet dokumenteras. Begäran om stöd eller undantag fattas i särskild ordning.

Oönskade händelser

Risk acceptabel? Regelverkskrav?

Skyddsåtgärder
(alternativ)

Effekt

Kostnad

Val av skyddsåtgärd

Inbrott i datalektionssal och omfattande förstöring eller stöld av datorutrustning.

Nej

Förstärkt tillträdesbegränsning (larm, fönster, dörr)

< Sårbarhet. IBSS kan vara på plats inom 10 min vilket förhindrar omfattande stöld

Ca 100 kkr

Ja. Effekten motiverar initial kostnad.

Endast förstärkning av fönster

< Sårbarhet. Intrång fördröjs med ca 20 min, men hindrar ej stöld

Ca 30 kkr

Nej

(Inbrott) i datalektionssal och begränsad stöld av datorutrustning.

Nej

Innerdörr larmas

< Sårbarhet. Intrång från insidan upptäcks och IBSS kan vara på plats inom 10 min

Ca 10 kkr

Nej

Stöld eller förlust på annat sätt av bärbara PC.

Ja, men bör om möjligt minskas

Förbjud medförsel av PC

< Tillfälle (hot). Kommer sannolikt ej efterlevas samt reducerar nyttan av bärbar PC

Ingen kostnad

Nej, men utarbeta tydliga regler samt orientera fortlöpande om hotbild.

Hårddiskkrypto

< Sårbarhet. Förhindrar tillgång till information, men inte förlusten av information

Ca 50 kkr (licenskostnad) Personalkostnad (administration, felfunktioner etc.)

Nej, effekten uteblir

Ja

Påminn om krav samt låt VB kontrollera efterlevnad

< Tillfälle (hot)

Ingen kostnad

Ja, förstärk nuvarande skyddsåtgärder.

Tabell 2.12 Exempel på utdrag ur kalkylblad avseende steg 5 av säkerhetsanalysen, utvisande hur förslag till skyddsåtgärder tas fram genom att bedöma effekt och kostnad av respektive förslag.

.

Oönskade händelser

Förnyad riskbedömning

Hot

Sårbarhet

Sannolikhet

Konsekvens

Slutlig Riskbedömning

Risk acceptabel?

Inbrott i datalektionssal och omfattande förstöring eller stöld av datorutrustning.

4

2

2 (4)

4 (8)

3

Ja

(Inbrott) i datalektionssal och begränsad stöld av datorutrustning.

1

2

1 (2)

2 (3)

2

Ja

Stöld eller förlust på annat sätt av bärbara PC.

4

3

4 (7)

2 (4)

3

Ja

1

3

2 (3)

2 (4)

2

Ja

Tabell 2.13 Exempel på utdrag ur kalkylblad avseende steg 5 av säkerhetsanalysen, utvisande hur föreslagna skyddsåtgärder ligger till grund för förnyade riskbedömningar.

2.3 Säkerhetsplan

Säkerhetsplanen är en direkt fortsättning av säkerhetsanalysen och syftar till att reglera hur vi ska skydda tillgångarna mot säkerhetshoten för att erhålla nödvändig skyddsnivå. I säkerhetsplanen ska riskhanteringsbesluten omsättas i en konkret handlingsplan som ska säkerställa att besluten om skyddsåtgärder verkligen genomförs.

En säkerhetsplan svarar bl. a på frågorna:

• Vilka åtgärder ska vidtas?

• Vem eller vilka är ansvariga?

• När ska åtgärderna vara utförda?

Till säkerhetsplanen kan höra bilagor omfattande:

• Utbildningsplan avseende säkerhetstjänst (se vidare i kap 3)

• Plan avseende internkontroller av säkerhetsskyddet (se vidare i kap 4)

• IT-säkerhetsplan11

• Signalskyddsinstruktion12

En säkerhetsplan ska beslutas av ansvarig chef.

Exempel på disposition av en säkerhetsplan framgår av bilaga 2.

2.4 Säkerhetsbestämmelser

Säkerhetsbestämmelser innehåller instruktioner för bl.a säkerhetsmän, säkerhetsansvariga och övrig personal samt reglerar den enskildes ansvar för hur det dagliga arbetet bedrivs med hänsyn till säkerhetstjänstens krav. Säkerhetsbestämmelser regleras i exempelvis säkerhetsinstruktion, säkerhetsskyddsinstruktion, arbetsordning, stående stabsorder, operationsplan eller SOP (Standard Operating Procedure).

Säkerhetsbestämmelser svarar bland annat på frågorna:

• Vem/vilka har ett säkerhetsansvar?

• Vad innebär ansvaret?

• Hur ska den enskilde bete sig för att uppfylla säkerhetskraven?

• Vilka åtgärder ska vidtas och av vem i händelse av en säkerhetsincident?

.

Exempel 2.2

Av regelverket framgår att muntlig delgivning av hemliga uppgifter som har placerats i informationssäkerhetsklass HEMLIG/CONFIDENTIAL eller högre endast får ske i lokaler eller inom områden som är godkända från säkerhetsskyddssynpunkt. I säkerhetsbestämmelser anpassas regelverket till lokala förutsättningar i stället för att enbart återupprepas.

Muntlig delgivning av hemliga uppgifter.

Muntlig delgivning av hemliga uppgifter vilka är placerade i informationssäkerhetsklass H/C eller högre får endast ske i följande lokaler vilka är godkända från säkerhetsskyddssynpunkt:

Stabshuset; konferensrum VESSLAN

Skolhuset; konferensrum ILLERN

Muntlig delgivning av hemliga uppgifter placerade i informationssäkerhetsklass H/C eller högre inom andra lokaler eller områden får endast ske efter godkännande av garnisonschefen.

Exempel på disposition av säkerhetsbestämmelser framgår av bilaga 3.

2.5 Säkerhetsskyddsplan/-instruktion

Såväl inom Försvarsmakten som vid andra myndigheter förekommer begreppet säkerhetsskyddsplan eller säkerhetsskyddsinstruktion. En säkerhetsskyddsplan används ofta inom ramen för ett materielprojekt, vid övningsverksamhet eller vid skyddsvärd verksamhet i samband med exempelvis prov och försök. Då verksamheten är begränsad i omfattning minskar behovet av en fullständig säkerhetsplanering.

En säkerhetsskyddsplan omfattar därför relevanta delar av såväl säkerhetsanalys, säkerhetsplan som säkerhetsbestämmelser. Innehållet anpassas beroende på verksamhetens krav. Exempel på omfattning och innehåll i en säkerhetsskyddsplan/-instruktion framgår av bilaga 5 och 6 i Handbok Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (Handbok SUA) 2010 års utgåva.

Även om en säkerhetsskyddsplan i detta fall omfattar både säkerhetsplan och säkerhetsbestämmelser ersätter den inte en säkerhetsanalys. En säkerhetsanalys ligger alltid till grund för en säkerhetsskyddsplan.

1 Analys av befintlig eller önskad verksamhet inom, mellan eller för flera organisationer. Kan avse såväl övergripande funktioner som delfunktioner i syfte att beskriva och förstå denna.

2 Regelverksanalys kallades tidigare för författningsanalys. Regelverksanalys beskrivs i H SÄK Infosäk.

3 Handbok Försvarsmaktens gemensamma riskhanteringsmodell (2009)

4 Konsekvensen skiljer sig åt beroende på om det är organisationens perspektiv eller den enskildes perspektiv som utgör grund för bedömningen. Konsekvensen för organisationen kan därför bedömas som försumbart samtidigt som det för den enskilde kan få mycket allvarliga konsekvenser, ex vis vid ett röjande av en enskilds patientjournal.

5 Se avsnitt 1.4.1 i denna handbok.

6 Vid bedömning av konsekvens och sannolikhet kan en tiogradig skala användas vilket underlättar och förfinar den slutliga riskbedömningen.

7 En insider skulle i detta exempel även kunna samarbeta med kriminella genom att öppna t.ex. fönstren i datalektionssalen och därigenom åstadkomma en mycket större konsekvens. Den möjligheten har dock inte legat till grund för nämnda exempel.

8 Se H SÄK Säkund (hemlig) för utförligare beskrivning av säkerhetsoperationer.

9 Vilka alternativa åtgärder som resulterar i motsvarande nivå av säkerhetsskydd i enlighet med regelverkets krav avgörs av den militära underrättelse- och säkerhetstjänsten (Must).

10 ÖB (Försvarsmakten) kan dock inte fatta ett fatta ett beslut som strider mot säkerhetsskyddslagen eller säkerhetsskyddsförordningen.

11 Se H SÄK Infosäk avseende innehåll i sådan plan.

12 Se H TST Grunder (2007) avseende innehåll i sådan instruktion.

3 Utbildning

3.1 Ansvar

En grundläggande förutsättning för ett effektivt säkerhetsskydd är att all personal får den utbildning deras arbetsuppgifter och ansvarsområde kräver.

Utbildning i säkerhetstjänst syftar främst till att klargöra varför och hur man ska vidta skyddsåtgärder mot hot av olika slag. Utbildningen bör genomföras så att det skapas en positiv och aktiv inställning till säkerhetstjänst samt ett ökat säkerhetsmedvetande hos målgruppen.

Om inte något annat följer av bestämmelser i lag, är endast den behörig att ta del av hemliga uppgifter som bedöms pålitlig från säkerhetssynpunkt, har tillräckliga kunskaper om säkerhetsskydd, och behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer.

7 § Säkerhetsskyddsförordningen

I behörighetsbegreppet ingår som ett kriterium att ha kunskap om säkerhetsskydd. Vilken kunskap som krävs för att vara behörig att ta del av eller på annat sätt hantera hemliga och utrikesklassificerade uppgifter framgår av en särskild instruktion1 beslutad av chefen för den militära underrättelse- och säkerhetstjänsten.

Det åligger respektive chef för organisationsenhet att säkerhetsupplysning och utbildning i säkerhetstjänst genomförs. Chef ska dessutom säkerställa att personal med särskilda befattningar (säkerhetschef, IT-säkerhetschef och signalskyddschef) har genomfört centralt anordnad utbildning.

Vid varje myndighet skall det finnas en plan för utbildning i säkerhetsskydd

5 kap. 1 § Försvarsmaktens föreskrifter om säkerhetsskydd

.

Varje myndighet skall föra en förteckning över de anställda som har genomgått utbildning i säkerhetsskydd.

5 kap. 2 § Försvarsmaktens föreskrifter om säkerhetsskydd

Vid varje organisationsenhet ska det finnas en plan för utbildning i säkerhetsskydd samt en förteckning över de anställda som har genomgått utbildning i säkerhetsskydd och annan säkerhetstjänstutbildning inklusive signalskyddsutbildning. Med utbildning i säkerhetsskydd avses här utbildning i säkerhetstjänst.2 Av planen ska framgå vilken utbildning (omfattning och målsättning) som ska genomföras, när den ska genomföras och för vilken personal eller personalkategorier.

Chef för organisationsenhet ska se till att personalen får utbildning i frågor om skydd för utrikesklassificerade uppgifter och handlingar.

2 kap. 6 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar.

Kravet på utbildning i fråga om skydd för utrikesklassificerade uppgifter är i Försvarsmakten detsamma som för hemliga uppgifter.

Utöver den utbildning vilken är beslutad centralt, grundar sig utbildningsplanen på behov identifierade i organisationsenhetens säkerhetsanalys. Det kan vara regelbunden säkerhetsupplysning för all personal, särskild utbildning i säkerhetstjänst inför insatser eller övningar eller skräddarsydd utbildning för vissa personalkategorier.

Vid enheten ska det finnas en (central) förteckning över de anställda som har genomgått utbildning i säkerhetstjänst. En sådan förteckning är kopplad till utbildningsplanen och syftar till att följa upp genomförd utbildning samt vid behov kunna identifiera den personal vilken inte genomfört utbildning enligt plan. Förteckningen innehåller uppgifter om när utbildningen genomfördes, vad utbildningen omfattade och vem som ansvarade för utbildningen samt, i förekommande fall, hur länge utbildningen är giltig och om den innehåller tidskritiska delar som regelbundet behöver förnyas. Det är chef för organisationsenhet som är ansvarig att förteckningen upprättas och kontinuerligt uppdateras.

Utöver förteckningen ska all utbildning i säkerhetstjänst dokumenteras i den enskildes rullkort (personaladministrativt system eller motsvarande).3 En sådan dokumentation är ytterst den enskildes ansvar. Dokumentationen är bland annat till för att den enskilde vid byte av förband ska kunna visa på genomförd utbildning. Enskilds dokumentation ersätter inte kraven på en vid enheten (central) förteckning.

3.2 Omfattning

3.2.1 Allmänt

Utbildning i militär säkerhetstjänst kan indelas i säkerhetsupplysning och säkerhetsutbildning.

Säkerhetsupplysning syftar till att ge den enskilde tillräckliga kunskaper om sitt ansvar för säkerhetsskyddet. Den syftar även till att fortlöpande orientera personal om aktuella risker inklusive säkerhetshotande verksamhet. Vidare genomförs säkerhetsupplysning vid behov för att öka kunskapen inom särskilda områden.

Säkerhetsupplysning bör även vara en del av introduktionsutbildning för nyanställd personal, exempelvis i form av en grundläggande säkerhetsgenomgång.4

Säkerhetsutbildning är till skillnad från säkerhetsupplysning av mer formell karaktär och genomförs enligt fastställda bestämmelser. Exempel på sådan utbildning är den som krävs för att uppfylla kunskaper för att vara behörig att ta del av eller på annat sätt hantera hemliga eller utrikesklassificerade uppgifter.3

Säkerhetsupplysning och säkerhetsutbildning vid en organisationsenhet planeras, genomförs och utvärderas normalt genom den lokala säkerhetsorganisationens försorg.

Chef för organisationsenhet bör inleda utbildning i säkerhetstjänst för att på ett tydligt sätt visa på utbildningens betydelse för säkerhetstjänstens bedrivande.

3.2.2 Kurser

Centrala kurser i säkerhetstjänst (säkerhetsskydds-, signalskydds- respektive säkerhetsunderrättelsetjänst) genomförs vid Försvarsmaktens Underrättelse- och säkerhetscentrum (FMUndSäkC), Totalförsvarets signalskyddsskola (TSS) samt vid Försvarsmaktens tekniska skola (FMTS).

Regionala grundkurser (Grundkurs Säkerhetstjänst, GK SÄK) genomförs av respektive regional säkerhetsorganisation.5

3.3 Genomförande

3.3.1 Grundläggande utbildning

Grundläggande utbildning i säkerhetstjänst regleras vad avser grundläggande säkerhetsgenomgång och kunskaper för att vara behörig att ta del av eller på annat sätt hantera hemliga eller utrikesklassificerade uppgifter i Instruktion avseende kunskapskrav säkerhetstjänst.

Den grundläggande utbildningen i säkerhetstjänst som regleras i ovanstående instruktion ska vara lärarledd, men kan kombineras med självstudier. Självstudier sker främst som en förberedelse inför lärarledd utbildning eller som ett sätt att fördjupa och repetera erhållna kunskaper.

Militär säkerhetstjänst styrs av såväl lagar och förordningar som av myndigheters bestämmelser, handböcker och direktiv. Att utbilda Försvarsmaktens personal i militär säkerhetstjänst ställer därför höga krav på den som genomför utbildningen. För att säkerställa nödvändig kunskap och erfarenhet bör den som genomför utbildning i militär säkerhetstjänst vara utbildad i Försvarsmaktens regi och tjänstgöra på befattning med säkerhetstjänst som huvuduppgift. Chef för organisationsenhet med stöd av lokal säkerhetsorganisation ansvarar för att den som genomför utbildning i säkerhetstjänst vid respektive organisationsenhet har tillräcklig kunskap och erfarenhet.

Extern utbildare (den som inte är anställd vid Försvarsmakten) får anlitas för att genomföra utbildning i orienterande syfte. Ska extern personal användas för att genomföra utbildning i säkerhetstjänst i syfte att uppfylla formella kunskapskrav ska en bedömning göras för att säkerställa att utbildaren har tillräcklig kunskap och erfarenhet inklusive genomförd utbildning avseende säkerhetstjänst i Försvarsmaktens regi. En sådan bedömning ska dokumenteras och beslutas av chef för organisationsenhet eller den han eller hon bestämmer. Vid behov sker samråd med i första hand regional säkerhetsorganisation innan beslut fattas.

Lokal säkerhetsorganisation, eller annan personal ansvarig för utbildning i säkerhetstjänst, bör använda sig av centralt fastställda utbildningsunderlag. Det är dock inte något krav så länge den enskilde uppfyller fastställda kunskapskrav efter genomförd utbildning.

Utöver de krav som framgår av Instruktion avseende kunskapskrav säkerhetstjänst finns ytterligare krav vad avser formell utbildning. För många IT-system finns det särskilda krav på utbildning för att få använda systemen. Vidare finns det särskilda behörighetskrav för vissa typer av hemliga uppgifter vilket ställer krav på särskild utbildning utöver nämnda instruktion.

3.3.2 Fortlöpande utbildning

Bild 3.1 Säkerhetshändelser med lokal anknytning används med fördel i samband med fortlöpande säkerhetsupplysning.

Fortlöpande utbildning krävs för att upprätthålla personalens kunskaper, men också i syfte att skapa en positiv attityd till säkerhetstjänst och ett högt säkerhetsmedvetande. Varje tillfälle till utbildning bör därför tas tillvara. Lämpliga tillfällen kan vara när personal är samlad för regelbundna personalorienteringar.

Omfattning och syfte anpassas efter behov. Aktuell säkerhetshotbild eller inträffade säkerhetsincidenter (på såväl lokal, regional som central nivå) kan utgöra underlag för säkerhetsupplysning. Erfarenheter och upptäckta brister vid såväl kontroller genomförda av högre chef som internkontroller är också exempel på ingångsvärden. Om det är möjligt bör säkerhetsupplysning av pedagogiska skäl ske med utgångspunkt i lokala förutsättningar. Som ett komplement till den fortlöpande utbildningen på lokal nivå används med fördel centralt fastställda utbildnings- och informationsunderlag, exempelvis foldrar, affischer etc. Fortlöpande utbildning i form av säkerhetsupplysning bör genomföras årligen.

Repetitionsutbildning genomförs behovsanpassat, dels mot bakgrund av formella krav, exempelvis nya eller reviderade regelverk, dels efter den enskildes behov. Utbildningen genomförs lärarledd (i första hand) eller genom självstudier. När interaktiv repetitionsutbildning finns att tillgå kan sådan användas.

3.3.3 Särskild utbildning

Bild 3.2 Utländska besök är exempel på tillfällen då särskild säkerhetsutbildning bör genomföras.

Särskild säkerhetsutbildning genomförs med personal som deltar i verksamheter vilka kräver särskilda skyddsåtgärder. Exempel på sådan verksamhet är när icke försvarsmaktsanställd personal, såväl svensk som utländsk, besöker förband eller deltar i utbildning och övningar samt när svensk personal deltar i motsvarande verksamhet utanför Sverige. Sådan utbildning kallas ofta för ”säkerhetsvaccinering”. Syftet är oftast att förhindra säkerhetshotande verksamhet, exempelvis främmande underrättelseverksamhet eller kriminalitet, riktad mot specifika skyddsvärda tillgångar vid en bestämd tidpunkt och plats. Denna typ av säkerhetsutbildning anpassas därför beroende på verksamhet och aktuellt säkerhetshot.

Utbildningen bör minst omfatta:

• Aktuell säkerhetshotbild

• Vidtagna (eller föreslagna) säkerhetsskyddsåtgärder

• Särskilda säkerhetsskyddsbestämmelser

• Rapporteringsbestämmelser

.

3.3.4 Informationstjänst

Informationstjänst är ett viktigt medel för att sprida kunskap i frågor som rör säkerhetstjänsten eller närstående områden. Informationen kan omfatta såväl olika former av orienteringar som särskilda informationskampanjer. Informationstjänsten är därmed en viktig förutsättning för att erhålla ett högt säkerhetsmedvetande.

1 HKV 2012-03-16 10 700:50011 Instruktion avseende kunskapskrav säkerhetstjänst

2 Militär säkerhetstjänst omfattar säkerhetsunderrättelse-, säkerhetsskydds- och signalskyddstjänst (FM ArbO).

3 HKV 2012-03-16 10 700:50011 Instruktion avseende kunskapskrav säkerhetstjänst

4 HKV 2012-03-16 10 700:50011 Instruktion avseende kunskapskrav säkerhetstjänst

5 En interaktiv GK SÄK är under utveckling vid tidpunkten för denna handboks fastställande.

4 Kontroll

4.1 Grunder

Kontroll av säkerhetsskyddet skall säkerställa att regler för säkerhetsskyddet följs samt att säkerhetsskyddsnivån är anpassad till aktuellt säkerhetshot. Såväl föranmälda som inte föranmälda kontroller skall göras.

6 kap. 1 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

Kontroll av säkerhetsskyddet sker genom säkerhetsskyddskontroller. Kontrollerna ska säkerställa att krav på säkerhetsskydd uppfylls och att säkerhetsskyddet i övrigt är anpassat efter aktuell säkerhetshotbild. En säkerhetsskyddskontroll omfattar de delar av säkerhetstjänsten som krävs för att kontrollera att säkerhetsskyddet är tillräckligt.

Kontrollverksamheten syftar vidare till att utgöra ett stöd för den enhet som kontrolleras för att därigenom möjliggöra förbättringar av säkerhetsskyddet.

Resultatet av kontrollverksamheten analyseras och utvärderas fortlöpande och utgör en delmängd av de ingångsvärden som ligger till grund för inriktningen av den militära säkerhetstjänsten.

4.2 Ansvar

Militära underrättelse- och säkerhetstjänsten i Högkvarteret ska genomföra säkerhetsskyddskontroller vid de myndigheter som Försvarsmakten ska kontrollera enligt 39 § säkerhetsskyddsförordningen (1996:633) samt, vad avser Försvarsmakten, vid

1. Högkvarteret,

2. staben vid Försvarsmaktens logistik,

3. Försvarsmaktens telenät- och markteleförband,

4. enheter som är insatta i en internationell militär insats, och

5. enheter med särskilda uppgifter som Högkvarteret beslutar i särskild ordning.

Föreligger särskild anledning ska militära underrättelse- och säkerhetstjänsten i Högkvarteret även genomföra kontroll vid övriga organisationsenheter inom Försvarsmakten.

6 kap. 2 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Det är varje chefs ansvar att fortlöpande kontrollera att säkerhetsskyddet inom eget ansvarsområde uppfyller regelverkets krav och är anpassat till aktuell säkerhetshotbild. Den enskilde är enligt chefs närmare bestämmelser ansvarig för egen arbetsplats eller eget arbetsområde.

Den operative chefen i Högkvarteret, eller den eller de han eller hon bestämmer inom den operativa enheten, skall genomföra säkerhetsskyddskontroller vid Försvarsmaktens organisationsenheter utom avseende vissa organisationsenheter som den militära underrättelse- och säkerhetstjänsten i Högkvarteret beslutar.

6 kap. 3 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Den militära underrättelse- och säkerhetstjänsten genomför kontroll vid de myndigheter Försvarsmakten har tillsynsansvar för avseende säkerhetsskydd samt inom Försvarsmakten av bl.a. Högkvarteret och enheter i internationell verksamhet.

Insatsstaben i Högkvarteret stödjer den militära underrättelse- och säkerhetstjänsten vid kontroll av förband utomlands och viss annan utlandsverksamhet.

Regional säkerhetsorganisation ansvarar för att säkerhetsskyddet kontrolleras vid Försvarsmaktens organisationsenheter med vissa undantag. Stöd avropas vid behov från central nivå. Inriktning för kontrollverksamheten ges av Must..

Varje organisationsenhet skall regelbundet och minst en gång per år kontrollera säkerhetsskyddet inom organisationsenheten.

6 kap. 4 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Varje organisationsenhet och de enheter den militära underrättelse- och säkerhetstjänsten bestämmer, ska upprätta en plan för intern kontrollverksamhet. Planen ska även inkludera kontroller av företag som upphandlats med säkerhetsskyddsavtal (SUA).

Internkontroller av säkerhetsskyddet ska dokumenteras. Protokoll från kontrollerna ska finnas samlade vid enheten samt vara tillgängliga i avsett informationssystem enligt särskilda bestämmelser.1 Upptäckta fel och brister ska snarast åtgärdas. Om de bedöms som allvarliga ska de omedelbart anmälas till den militära underrättelse- och säkerhetstjänsten. Innehållet i ett protokoll ska endast delges de som behöver underlaget för sin tjänst.

Varje enhets regelbundna och fortlöpande internkontroller är väl så viktiga som högre chefs kontroller för att upprätthålla eller uppnå tillräcklig säkerhetsskyddsnivå.

Varje organisationsenhet ska kontrollera det skydd som ska finnas för utrikesklassificerade uppgifter och handlingar enligt denna författning.

2 kap. 7 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar.

Normalt ska chef för organisationsenhet genom enhetens säkerhetschef kontrollera skyddet för utrikesklassificerade uppgifter och handlingar. Föreskrifterna om kontroll av organisationsenheterna som återfinns i Försvarsmaktens föreskrifter om säkerhetsskydd och Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel ska tillämpas även för utrikesklassificerade uppgifter och handlingar. Det bör särskilt uppmärksammas att det för kontroll av säkerheten i och kring ett IT-system som är avsett för behandling av utrikesklassificerade och sekretessklassificerade uppgifter finns särskilda föreskrifter i Försvarsmaktens interna bestämmelser om IT-säkerhet.

4.3 Kontrolltyper

4.3.1 Föranmälda kontroller

Säkerhetsskyddskontroll

En säkerhetsskyddskontroll syftar till att säkerställa att krav på säkerhetsskydd uppfylls och att säkerhetsskyddet i övrigt är anpassat efter aktuell säkerhetshotbild. En säkerhetsskyddskontroll sker därför i den omfattning som krävs för att uppfylla syftet med kontrollen. Det innebär att den kan genomföras med de resurser som krävs för att på djupet kontrollera alla delar av säkerhetsskyddet, eller att den genomförs med begränsade resurser och i begränsad omfattning.

En säkerhetsskyddskontroll förbereds i dialog mellan berörda parter. Den genomförs vid en överenskommen tidpunkt eller inom en bestämd tidsperiod i enlighet med gällande kontrollplanering.

Genomförande och resultat av en säkerhetsskyddskontroll dokumenteras och delges den enhet som kontrollerats.

Internkontroll

Internkontroll är en enhets egen kontrollverksamhet för att säkerställa att krav på säkerhetsskydd uppfylls och att säkerhetsskyddet i övrigt är anpassat efter aktuell säkerhetshotbild.

Genom täta internkontroller enligt en internkontrollplan kan brister i säkerhetsskyddet upptäckas tidigt.

Eftersom en enhet oftast har begränsade resurser genomförs internkontrollverksamhet normalt genom att olika delar av säkerhetsskyddet kontrolleras tidsförskjutet. Inom två till tre år bör alla delar av säkerhetsskyddet på så sätt ha kontrollerats.

Kontroll av signalskyddstjänsten

Kontroll av signalskyddstjänsten ska säkerställa att bestämmelser för signalskyddstjänsten följs samt att signalskyddsnivån är anpassad till det aktuella hotet. Kontrollerna kan utföras som administrativ kontroll eller signalkontroll. Kontrollerna ingår normalt som en delmängd vid säkerhetsskyddskontroller.

Signalkontroll genomförs av specialutbildade enheter med syfte att försvåra, om möjligt förhindra obehörig åtkomst, störande eller manipulering av data i totalförsvarets telekommunikations- och informationssystem. Signalkontroll avser även kontroll av röjande signaler (RÖS) och att systemen används enligt gällande regelverk (se vidare H TST Grunder).

4.3.2 Inte föranmälda kontroller

Inte föranmälda säkerhetsskyddskontroller genomförs utan förvarning eller med kort förvarning. En inte föranmäld kontroll kan genomföras internt i form av en internkontroll eller genom kontroll av högre chef. Den som enligt Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel har ett ansvar att kontrollera säkerhetsskyddet har också rätt att fatta beslut om inte föranmäld säkerhetsskyddskontroll inom sitt ansvarsområde.

Syftet med en inte föranmäld kontroll är att identifiera brister och behov av säkerhetsskyddsåtgärder som inte hade varit möjligt genom en föranmäld kontroll. En inte föranmäld kontroll kan även genomföras med anledning av inträffad säkerhetsincident.

Kontroll av vakt- och bevakningstjänsten inom en garnison eller organisationsenhet är ett exempel på verksamhet som kan kontrolleras genom en inte föranmäld kontroll.

Exempel på inte föranmälda kontroller vilka kan kräva särskilda beslut innan de genomförs:

• Så kallad aktiv IT-kontroll (ex.vis. penetrationstest) av IT-system i drift. Syftet med sådan kontroll är att pröva ett IT-systems förmåga att motstå samt detektera intrång eller intrångsförsök.2

• Kontroll av skarp pågående verksamhet som vakt- och bevakningstjänst vid garnison av IBSS (Insatsberedd skyddsstyrka) eller av TPSS (Transportskyddsstyrka).3

4.3.3 Kontroll av företag vilka har uppdrag som upphandlats med säkerhetsskyddsavtal (SUA)

Ett företag som upphandlats med säkerhetsskydd för att leverera tjänster eller varor där uppgifter som rör rikets säkerhet förekommer, ska kontrolleras. Omfattningen av kontrollverksamheten varierar beroende på vilken nivå (1-3) på och innehållet i säkerhetsskyddsavtalet som tecknats för uppdraget.

Kontroll av företag som har upphandlats med säkerhetsskyddsavtal skall genomföras av den beställande organisationsenheten. Vid behov skall en sådan kontroll göras i samråd med Säkerhetspolisen. Säkerhetspolisen skall informeras, om kontrollen sker utan dess medverkan.

6 kap. 9 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Kontroller av att företag som upphandlats med säkerhetsskyddsavtal uppfyller säkerhetskrav genomförs av den beställande organisationsenhetens säkerhetschef.

Underlag inför första kontrollen av företaget kan i förekommande fall hämtas i protokollet från förstagångsbesöket i samband med att företaget kontrakterades (godkändes). Uppföljningskontroller ska genomföras med periodicitet som överenskommits i säkerhetsskyddsavtalet samt vid större förändringar hos företaget.

Det är alltid den beställande organisationsenheten som ska genomföra kontroller, inte den enhet som lämnar upphandlingsstöd.

För mer information se Handbok Säkerhetstjänst SUA (H SÄK SUA), 2010.

4.4 Säkerhetsskyddsbesök

Såväl inför som efter genomförda säkerhetsskyddskontroller finns behov av samverkan i syfte att utgöra ett stöd i säkerhetsskyddsarbetet, att erhålla en uppdatering av aktuellt säkerhetsläge eller att gemensamt (kontrollerande tillsammans med den kontrollerade) diskutera olika problemområden. Vidare finns ett behov av att tillsammans förbereda kommande kontroll eller att följa upp genomförd kontroll. Sådan samverkan sker lämpligen i form av ett säkerhetsskyddsbesök.

Säkerhetsskyddsbesök genomförs normalt även vid omlokalisering av enheter samt i samband med internationella militära insatser inför etablering i nytt insatsområde eller inför etablering av en försvarsavdelning på ny plats. Syftet är främst att klarlägga säkerhetsläget i stort samt behov av fortsatt stöd.

Genom att klarlägga säkerhetsläget i samband med ett säkerhetsskyddsbesök skapas ingångsvärden för att planera kommande säkerhetsskyddskontroll vad avser omfattning, resursbehov m.m. En kommande säkerhetsskyddskontroll kan därmed inriktas och genomföras utan att onödiga resurser tas i anspråk.

Ett säkerhetsskyddsbesök dokumenteras i form av en PM eller motsvarande. Något kontrollprotokoll skrivs inte. Normalt delges inte heller någon form av kontrollresultat.

4.5 Kontrollförberedelser

4.5.1 Riktlinjer för tidsplan inför säkerhetsskyddskontroll

Kontrollverksamheten skall, såvitt avser föranmälda kontroller, grundas på en årlig plan, kontrollplan, som skall omfatta en femårsperiod. Kontrollplanen skall upprättas i samråd med den som skall kontrolleras.

6 kap. 5 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Kontrollverksamheten ska grundas på en årlig rullande plan, en så kallad kontrollplan. Kontrollplanen omfattar minst en femårsperiod.

Senast en månad före en föranmäld kontroll skall den som skall kontrolleras få en detaljplan över hur kontrollen avses att genomföras.

6 kap. 6 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Följande tidsförhållanden utgör riktlinjer vid kontrollplanering:

• Ca 1 år i förväg fastställs tidpunkt för kontroll.

• Ca 6 månader före kontroll fastställs omfattning i stort av kontroll (förberedande order eller preliminära bestämmelser).

• Ca 3 månader i förväg sänds underlag för genomförande till kontrollerande enhet.

• Ca 2 månader i förväg redogör den kontrollerade för säkerhetsskyddsläget och vidtagna förberedelser.

• Ca 2 månader (dock senast 1 månad) i förväg fastställs slutlig order eller bestämmelser för kontroll.

.

4.5.2 Underlag för genomförande av säkerhetsskyddskontroll

I syfte att förbereda genomförandet av en säkerhetsskyddskontroll begär den enhet som ska genomföra kontrollen in de underlag som krävs. Underlagen utgörs bland annat av verksamhetsbeskrivning, arbetsordning (ArbO) och genomförd säkerhetsplanering (säkerhetsanalys, säkerhetsplan och säkerhetsbestämmelser inklusive IT-säkerhetsplan, signalskyddsinstruktion, utbildningsplan och internkontrollplan). Omfattningen av kontrollen och den kontrollerandes behov styr vilka underlag som krävs för att förbereda kontrollen.

4.6 Genomförande

En kontroll bör genomföras i samförstånd och ska utgöra ett stöd för den kontrollerade. Kontrollen genomförs lämpligen både i dialogform (intervjuer) och som besök vid respektive kontrollobjekt. Särskilda tester och prov av t.ex. larmfunktioner och insatstider kan ingå.

Kontrollen bör inledas med en gemensam genomgång, där berörda chefers och säkerhetspersonals närvaro är ett krav. I samband med en inledande genomgång är det lämpligt att den kontrollerade enheten redogör för egen verksamhet, säkerhetsorganisation, aktuell säkerhetshotbild och viktigare delar av enhetens säkerhetsplanering.

Den kontrollerande redogör för syftet med och omfattningen av kontrollen. Alla tillfällen till utbildning som ges under kontrollen bör tas tillvara. Eventuella förändringar i säkerhetshotbilden redovisas som komplement till bedömt säkerhetshot.

En kontroll genomförs så effektivt som möjligt. Det innebär normalt att den genomförs på flera täter. Om möjligt bör en kontrolltät inte bestå av färre än två personer. Detta för att säkerställa att synpunkter och iakttagelser hinner dokumenteras och uppfattas korrekt.

Exempel på indelning av kontrolltäter:

Delområde

Kategori

Ledning (inklusive säkerhetsplanering, utbildning och internkontroll)

Förbandschef, stabschef, säkerhetschef, övriga chefer m.fl.

Hotbildsuppfattning

Personal på alla nivåer

Informationssäkerhet

C Adm, expeditionspersonal, administrativ personal, chefer m.fl.

IT-säkerhet

IT-chef, IT-säkerhetschef, ledningssystemchef, driftansvarig (DA) m.fl.

Tillträdesbegränsning, IBSS/TPSS, vapen och ammunition

Säkerhetschef, vaktchef, receptionist, m.fl.

Säkerhetsprövning

Personalchef, personalhandläggare, säkerhetschef m.fl.

SUA

Ekonomichef, ekonomiansvarig, inköpare, säkerhetschef m.fl.

Signalskydd

Signalskyddschef, IT-chef, sambandschef, ledningssystemchef m.fl.

.

4.7 Efter genomförd säkerhetsskyddskontroll

4.7.1 Muntliga och skriftliga redovisningar

En kontroll avslutas med en gemensam genomgång där samtlig i kontrollen deltagande personal bör närvara. Under den avslutande genomgången redovisar den kontrollerande muntligen en sammanfattning av resultatet av kontrollen, där de viktigaste iakttagelserna och eventuella krav på omedelbara åtgärder tas upp. Enhetens chef och all säkerhetspersonal bör alltid delta vid den avslutande genomgången.

Åtgärder som är tvingande ska vidtas så snabbt som det är möjligt utan att invänta slutligt protokoll eller andra beslutshandlingar.

Innan slutligt protokoll fastställs ges den kontrollerade möjlighet att läsa igenom protokollet för att kunna justera eventuella missuppfattningar, sakfel och oklarheter.

Ett protokoll från en säkerhetsskyddskontroll skall inom tre månader från kontrollen sändas till den som har blivit kontrollerad. I protokollet skall anges inom vilken tid fel och brister skall vara åtgärdade.

6 kap. 7 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

Så fort det är möjligt, dock senast tre månader efter genomförd kontroll, ska det slutliga protokollet sändas till den kontrollerade.

För förband i internationell tjänst är inriktningen att insatsstaben i Högkvarteret och förbandet snarast efter genomförd kontroll ska erhålla slutligt protokoll (dock senast efter tre månader).

I kontrollprotokoll ska anges en tidpunkt (ca 3 månader senare), då en rapport ska vara den kontrollerande tillhanda. I rapporten ska det framgå vilka åtgärder som genomförts och kommer att genomföras med anledning av vad som delgivits muntligt och vad som redovisats i protokollet samt en tidsplan för åtgärdsarbetet inklusive ansvarsförhållanden.

Protokoll från säkerhetsskyddskontroller inom en organisationsenhet skall förvaras samlade vid organisationsenheten.

6 kap. 10 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

Då protokoll efter genomförd kontroll normalt innehåller uppgifter om svagheter i säkerhetsskyddet omfattas i regel uppgifterna av sekretess enligt OSL och rör rikets säkerhet.

4.7.2 Uppföljning

Kontroll av att påtalade fel och brister är åtgärdade skall ske senast inom två år från protokollets datum, om inte någon annan tid anges i protokollet.

6 kap. 8 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel

Efter en säkerhetsskyddskontroll sker uppföljning i syfte att stödja den kontrollerade enheten att åtgärda identifierade brister i säkerhetsskyddet. Till grund för uppföljningen finns den kontrollerade enhetens åtgärdsplan. Det innebär att uppföljning i huvudsak sker delområdesvis. Endast i undantagsfall genomförs uppföljning i form av ytterligare kontroll. Tidsplan för uppföljning sker i dialog, men tar alltid sin utgångspunkt i aktuell säkerhetshotbild och gällande regelverkskrav. Uppföljning ska ha genomförts senast två år efter att kontrollprotokoll har fastställts.

Genomförd kontrollverksamhet4 rapporteras till försvarsmaktens säkerhetsskyddschef (C Must) av den organisationsenhet som utfört kontrollen och omfattar en sammanfattning av resultatet inklusive krav på säkerhetsskyddsåtgärder. Då säkerhetsskyddsåtgärder är genomförda och identifierade brister åtgärdade sker en slutlig rapport till kontrollerande enhet med kopia till den militära underrättelse- och säkerhetstjänsten.

4.8 Säkerhetsrapportering

Säkerhetshotande verksamhet och allvarliga brister i säkerhetsskyddet som identifierats under kontrollverksamhet (inklusive interkontrollverksamhet) ska omedelbart säkerhetsrapporteras enligt ordinarie rutin.

1 Säkerhetsskyddsavdelningen vid den militära säkerhetstjänsten fastställer hur resultat efter genomförda säkerhetsskyddskontroller (inklusive internkontrollverksamhet) ska rapporteras i därför avsett IT-system.

2 En sådan kontroll bör genomföras först efter samverkan med Must

3 En sådan kontroll bör genomföras först efter samverkan med Must eller INSS

4 I detta fall avses inte internkontrollverksamhet. Sådan kontrollverksamhet rapporteras i avsett IT-system enligt särskilda anvisningar beslutade av säkerhetsskyddsavdelningen vid den militära underrättelse- och säkerhetstjänsten.

5 Internationell verksamhet

5.1 Inledning

Försvarsmaktens internationella verksamhet är en av Försvarsmaktens huvuduppgifter och utgör en väsentlig del av myndighetens verksamhet. I princip alla verksamhetsområden i myndigheten är berörda av den internationella verksamheten. Detta kapitel behandlar grunder i säkerhetstjänst i Försvarsmaktens internationella verksamhet.

5.2 Grunder

5.2.1 Allmänt

Inledningsvis och som en allmän utgångspunkt gäller att det regelverk som rör säkerhetsskydd i Försvarsmakten ska tillämpas såväl nationellt som internationellt. Det innebär att stödet för att bedriva säkerhetstjänst i ett internationellt sammanhang ska sökas i det ordinarie regelverket; i de författningar, direktiv och handböcker som gäller generellt.

Som beskrivs nedan har Sverige ingått överenskommelser med andra länder och organisationer om hur det ömsesidiga säkerhetsskyddet ska ordnas för uppgifter som utbyts mellan parterna. I Försvarsmakten omsätts dessa överenskommelser i föreskrifter och interna bestämmelser så att dessa blir generellt giltiga utan krav på kännedom om de specifika internationella överenskommelser som ligger bakom bestämmelserna.

I vissa avseenden kan det dock uppstå tillämpningssvårigheter där speciella omständigheter, t.ex. i ett insatsområde, omöjliggör eller försvårar möjligheten att bedriva säkerhetstjänst på ett sådant sätt som sker i Sverige. För dessa fall finns det bestämmelser som är tänkta att ge alternativ och flexibilitet så att säkerhetsskyddet ändå blir så bra som möjligt under givna förutsättningar.

Vidare kan vissa internationella regelverk skilja sig i detaljer från svenska bestämmelser på så sätt att det i specifika situationer (t.ex. vid systemutveckling av interoperabla informationssystem) kan uppstå ett behov av att detaljstudera de internationella kravdokumenten. I de fall där sådana situationer uppstår bör en tidig samverkan ske med Must.

I detta kapitel beskrivs inledningsvis grunderna till säkerhetsskydd i internationell verksamhet och grundläggande regelverk och roller. Därefter följer en beskrivning av gemensamma bestämmelser och särskilda bestämmelser som tar sikte på internationella militära insatser.

5.2.2 Internationellt regelverk

Sveriges internationella verksamhet inom försvarssektorn är reglerad på flera sätt. Ett vanligt sätt att reglera förhållanden mellan länder eller mellan länder och mellanfolkliga organisationer är att ingå internationella överenskommelser på olika nivåer.

Inom säkerhetstjänsten är s.k. generella säkerhetsskyddsavtal (GSA) av särskild betydelse. Dessa överenskommelser som Sverige ingår med andra länder och mellanfolkliga organisationer möjliggör att på ett säkert sätt, ömsesidigt utbyta hemliga och utrikesklassificerade uppgifter mellan två eller flera parter. Överenskommelserna innehåller vanligen en översättningstabell1 som jämför ländernas eller organisationernas informationsklassificering. De innehåller normalt även bestämmelser om hur information ska överföras mellan avtalsparterna och hur den ska skyddas. En viktig del av överenskommelsen är vilka åtgärder som parterna ska vidta om information som härrör från den andra parten förloras eller röjs.

Huvudprincipen i avtalen är att parternas ordinarie säkerhetsskyddslagstiftningar i största möjligaste mån ska tillämpas även på den andra partens information.

Sverige har GSA med ett trettiotal länder. För Försvarsmaktens insatsverksamhet har Sveriges GSA med Nato en central betydelse. Avtalet innebär att vi i huvudsak ska ge ett skydd för klassificerad2 Nato-information på samma sätt som Nato och Natos medlemsstater gör. Vidare har Sverige ett GSA med de nordiska länderna och med huvuddelen av de länder som Sverige bedriver internationella försvarsmateriella samarbeten med.

Med ett GSA som grund kan parterna komma överens om mer detaljerade säkerhetsdokument för specifika samarbetsområden. Det är t.ex. vanligt i internationella materielsamarbeten att de bilaterala säkerhetsfrågorna regleras i en s.k. projektsäkerhetsinstruktion (PSI) som tas fram med ett GSA som grund.

Att Sverige har ett GSA med ett land eller en mellanfolklig organisation innebär också att Försvarsmakten med stöd av ett stående bemyndigande av regeringen får förhandla och ingå en signalskyddsöverenskommelse med denna part för att reglera gemensam användning av signalskyddssystem som är godkända av Försvarsmakten.

En internationell signalskyddsöverenskommelse (eng. COMSEC Agreement) är en skriftlig överenskommelse gällande signalskydd mellan en svensk myndighet3 och en utländsk myndighet eller mellanfolklig organisation. En internationell signalskyddsöverenskommelse får förhandlas och tecknas först efter samråd med Högkvarteret.

5.2.3 Internationella roller

I ett GSA regleras även hur säkerhetssamarbetet mellan parterna ska ske. Vanligen definieras parternas nationella säkerhetsmyndigheter (NSA), vilka ges uppgifter att samverka om säkerhetsfrågor som rör gemensamma samarbetsområden. Försvarsmakten löser normalt denna uppgift i Sverige utom vad avser relationerna med Nato och Europeiska unionen (EU) där regeringskansliet (RK) i stället har denna roll. Observera dock att Försvarsmakten är NSA i bilaterala samarbeten med EU- och Natoländerna.

Det är viktigt att Sverige följer avtalens bestämmelser och att kontakt mellan parterna sker mellan de NSA-funktioner som är utpekade. Särskilt viktigt är det med tanke på att området kan vara känsligt, vilket gör att små missförstånd eller felaktigheter kan få stora konsekvenser för Sveriges och Försvarsmaktens förbindelser med det aktuella landet eller organisationen.

I Försvarsmakten är det normalt Must som ansvarar för de bilaterala kontakterna i säkerhetsskyddsfrågor.

Försvarsmakten utövar även rollerna som nationell signalskyddsmyndighet (National Communication Security Authority, NCSA4), nationell nyckeldistributionsmyndighet (National Distribution Authority, NDA5) och nationell RÖS-myndighet (Tempest Authority, TA). Även i dessa fall utövas rollerna av Must.

Rollen som nationell signalskyddsmyndighet (NCSA) innebär bl.a. att utgöra svensk nationell signalskydds- och kryptogodkännandemyndighet genom att bland annat förhandla och ingå signalskyddsöverenskommelser med andra länder och mellanfolkliga organisationer.

Rollen som nationell nyckeldistributionsmyndighet (NDA) innebär bland annat ansvar för att upprätta rutiner och metoder för utländska signalskyddsnycklar och signalskyddsutrustningars redovisning, handhavande, förvaring och distribution.

5.2.4 Något om sekretess i internationell verksamhet

I det allmännas verksamhet gäller OSL bestämmelser för när uppgifter omfattas av sekretess. I Försvarsmaktens verksamhet är försvarssekretessen (15 kap. 2 § OSL) och utrikessekretessen (15 kap. 1 § OSL) av central betydelse, även om det finns ett stort antal andra sekretessbestämmelser som kan vara tillämpliga i Försvarsmaktens verksamhet.6

Innebörden av OSL är att uppgifter som omfattas av sekretess inte får delges till obehöriga. OSL gäller normalt även mellan myndigheter och det krävs normalt att en särskild bestämmelse medger att sekretessbelagda uppgifter får utbytas mellan myndigheter.

Naturligtvis gäller OSL även gentemot utländska myndigheter och mellanfolkliga organisationer. I detta sammanhang kan det vara bra att jämföra med ansvarsbestämmelsen om spioneri i 19 kap. 5 § brottsbalken som tar sikte på en gärning då någon med syfte att gå främmande makt tillhanda obehörigen röjer eller befordrar uppgifter av betydelse för totalförsvaret eller för rikets säkerhet i övrigt. Konsekvenserna av en felaktig hantering kan alltså bli allvarliga.

Det medför att stor försiktighet krävs innan Försvarsmakten (eller tjänstemän i Försvarsmakten) delger sekretessbelagd information till företrädare för andra länder eller internationella organisationer. I 8 kap. 3 § OSL finns en bestämmelse som anger grunderna för att få delge sekretess i sådana fall.

En uppgift för vilken sekretess gäller enligt denna lag får inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte

1. utlämnande sker i enlighet med särskild föreskrift i lag eller förordning, eller

2. uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen.

8 kap. 3 § offentlighets- och sekretesslagen

När det gäller den första punkten så är förordningen (2010:648) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet av särskilt intresse. Förordningen rör internationella samarbeten på Försvarsdepartementets verksamhetsområde. Förordningen föreskriver att ett utlämnande får ske om det finns ett samarbetsavtal med en utländsk myndighet och det enligt den prövande myndigheten är nödvändigt att lämna ut uppgifterna för att genomföra samarbetet.

I den andra punkten framgår det att en myndighet kan fatta beslut om att lämna ut en sekretessbelagd uppgift under de förutsättningar som är angivna där.

I båda fallen gäller att det är myndigheten som ska göra bedömningen. Det innebär att den som genomför en sådan bedömning måste vara behörig att företräda myndigheten i det avseendet. En sådan behörighet kan framgå i en arbetsordning eller i särskilda beslut.

Vid tveksamhet om tillämpningen av dessa bestämmelser bör en samverkan ske med juridiska staben vid Försvarsmaktens högkvarter innan någon delgivning sker.

5.3 Gemensamma bestämmelser

5.3.1 Allmänt

Den internationella verksamheten kräver p.g.a. sin karaktär vissa specialbestämmelser som tar sikte på att reglera särskilda förhållanden eller att med speciella säkerhetsskyddsåtgärder höja säkerhetsnivån i verksamhet där omständigheterna kan vara krävande.

Bestämmelserna i detta kapitel gäller när Försvarsmakten

1. deltar i en internationell militär insats och förberedelse för sådan verksamhet,

2. deltar i internationell fredsfrämjande verksamhet eller annat internationellt samarbete samt i utbildning eller förberedelser för sådan verksamhet eller samarbete, och

3. utomlands deltar i förevisningar av materiel eller verksamhet.

9 kap. 1 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

Den inledande bestämmelsen beskriver kapitlets tillämplighet. Avsikten är att kapitlet ska omfatta så stor del av Försvarsmaktens internationella verksamhet som möjligt. Vissa bestämmelser i kapitlet gäller specifikt för internationella militära insatser.

5.3.2 Medförande av hemliga och utrikesklassificerade handlingar utomlands

Ibland uppstår det behov av att medföra hemliga eller utrikesklassificerade handlingar från den ordinarie arbetsplatsen i Sverige till verksamhet utanför landets gränser. Det innebär en ökad sårbarhet då möjligheterna att informationen på olika sätt kan röjas eller förloras blir fler. Moment som tull- och säkerhetskontroller på flygplatser och i hamnar kan medföra att handlingarna exponeras för obehöriga. Vidare kan vissa moment i en resa öka risken för att informationen förloras, t.ex. genom förlust eller stöld.

Två specialfall av medförande kan förekomma. Det ena fallet är ett medförande där handlingarna behövs för tjänsten utomlands, men att dessa sedan ska återföras till Sverige. Det andra fallet är ett medförande där handlingarna ska överlämnas till en utländsk myndighet, t.ex. inom ramen för ett internationellt materielprojekt.7

Hemliga handlingar som har placerats i informationssäkerhetsklassen HEMLIG/CONFIDENTIAL eller högre får medföras utanför riket endast efter beslut av chefen för organisationsenheten eller, såvitt avser Högkvarteret, lägst avdelningschef. Ett sådant beslut får fattas först efter skriftligt samråd med militära underrättelse- och säkerhetstjänsten i Högkvarteret.

Beslut enligt första stycket erfordras inte om det av något annat beslut följer att hemliga handlingar ska medföras utanför riket eller överlämnas där.

Innan hemliga handlingar som har placerats i informationssäkerhetsklassen HEMLIG/CONFIDENTIAL eller högre medförs utanför riket ska chefen för organisationsenheten, eller den han eller hon bestämmer, upprätta en förteckning över handlingarna. I förteckningen ska anges om någon av handlingarna ska överlämnas utomlands. När det gäller de handlingar som ska återföras till riket ska chefen eller den han eller hon bestämmer, när handlingarna har återförts, kontrollera att dessa är desamma som de som enligt förteckningen ska återföras till riket.

9 kap. 4 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

.

För försändelser med utrikesklassificerade handlingar till och från utlandet ska Utrikesdepartementets kurirförbindelser om möjligt anlitas.

2 kap. 5 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar.

Innan ett medförande utomlands sker bör det analyseras om inte andra sätt att överföra informationen finns. Kanske kan informationen skickas med kurirpost till en svensk ambassad i det aktuella landet eller att informationen skickas till verksamhetsstället med ett godkänt signalskyddssystem. I andra fall ska kanske ett medförande underlåtas för att risken är orimligt stor i förhållande till nyttan av att handlingen tas med.

Om andra sätt att överföra informationen inte är möjliga så är dock ett personligt medförande den enda möjligheten. Det bästa skyddet för informationen fås om den som medför informationen är diplomatisk kurir. Kuriren och det medförda är då okränkbart enligt Wienkonventionen om diplomatiska förbindelser, vilket ger ett skydd mot röjande av uppgifterna för t.ex. tullpersonal.

För tjänstemän i Försvarsmakten finns det en möjlighet att få en tillfällig status som diplomatisk kurir genom att UD utfärdar ett tillfälligt kurirpass för tjänstemannen. Detta förfarande är möjligt när Sverige har en diplomatisk representation i det aktuella landet, eftersom kurirverksamhet enbart får ske mellan ett land och dess representation utomlands. I vissa insatsområden är därför denna metod inte möjlig. Då detta förfarande ska användas krävs en god planering inför resan och kontakt måste ske med UD:s kurirexpedition i mycket god tid före avresan. Sådana transporter ska utgå från UD för att förpackas på ett korrekt sätt enligt gällande bestämmelser.

I de fall där detta inte går att tillämpa får medförandet ske av en tjänsteman utan kurirstatus. Internationellt tillämpas Natos och EU:s bestämmelser om s.k. militärkurir, vilket innebär att bäraren har en officiell status, men utan det skydd som Wienkonventionen ger. Ett kurircertifikat som är utfärdat av en behörig myndighet innebär en uppmaning till tull- och gränsövervakningspersonal att inte i onödan orsaka ett röjande av informationen genom t.ex. undersökning. Det är dock upp till dessa att självständigt avgöra denna fråga och kuriren kan inte vägra en undersökning. Certifikatet ska undertecknas av behörig tjänsteman vid Must eller den Must utser.

Ett medförande av hemliga eller utrikesklassificerade handlingar utomlands ska föregås av ett beslut av förbandschef eller, i Högkvarteret, av lägst avdelningschef. Must ska teckna samråd inför ett sådant beslut och skälet till det är att hotbilden för den aktuella transporten ska kunna bedömas liksom eventuella alternativa sätt att transportera informationen.

Ett separat beslut behövs inte om det framgår av något annat beslut, t.ex. en order, att denna typ av handlingar får medföras eller överlämnas.

Exempel 5.1.

4.ytstridsflottiljen ska enligt en order delta i en internationell marinövning i Nordsjön på andra länders territorium. För att kunna delta i övningen är det nödvändigt att ett antal hemliga handlingar medförs för t.ex. ledning, hantering av vapensystem och för underhåll. Detta får anses ingå i ordern att delta i övningen och något separat beslut avseende medförande behövs inte. Observera dock att bestämmelserna om förteckning och inventering alltid gäller.

.

5.3.3 Medförande av signalskyddsnycklar och signalskyddsmateriel utomlands

I 22 § Försvarsmaktens föreskrifter (FFS 2005:2) om signalskyddstjänsten inom totalförsvaret finns föreskrifter om vad som krävs för att få medföra eller på annat sätt göra kryptonycklar tillgängliga utanför svenskt territorium.

Fartyg och luftfartyg som kortvarigt lämnar svenskt territorium för övningsverksamhet eller en nationell insats får utan hinder av vad som anges i 22 § 1 Försvarsmaktens föreskrifter om signalskyddstjänsten inom totalförsvaret medföra de kryptonycklar som oundgängligen behövs för att kunna genomföra övningen eller insatsen. Kryptonycklarna ska om möjligt tas ur särskilda kryptonyckelserier.

29 § Försvarsmaktens interna bestämmelser om signalskyddstjänsten

.

Utan hinder av vad som anges i 28 § Försvarsmaktens föreskrifter (FFS 2005:2) om signalskyddstjänsten inom totalförsvaret får fartyg och luftfartyg som kortvarigt lämnar svenskt territorium för övningsverksamhet eller en nationell insats medföra den signalskyddsmateriel som behövs för att kunna genomföra övningen eller insatsen.

35 § Försvarsmaktens interna bestämmelser om signalskyddstjänsten

Normalt krävs tillstånd att medföra signalskyddsnycklar och signalskyddsmateriel utomlands. Tillstånd beviljas av Must. Av Försvarsmaktens interna bestämmelser om signalskyddstjänsten framgår vid vilka tillfällen det inte krävs tillstånd från Must.8

5.3.4 Betydelsen av märkning från annat land eller mellanfolklig organisation

En inkommande handling från en annan stat eller en mellanfolklig organisation som är märkt med den statens eller organisationens motsvarighet till en informationssäkerhetsklass ska placeras i informationssäkerhetsklass. En sådan handling innehåller normalt inte uppgifter som omfattas av sekretess enligt 15 kap. 2 § OSL (s.k. försvarssekretess). Däremot omfattas uppgifterna i handlingarna sannolikt av sekretess enligt 15 kap. 1 § OSL (den s.k. utrikessekretessen). Då sådana handlingar sekretessmarkeras ska hänvisning således göras till 15 kap. 1 § OSL. En sådan handling är i Försvarsmakten utrikesklassificerad.

Har en utländsk myndighet eller mellanfolklig organisation försett en hemlig handling med en anteckning som innebär begränsningar i att delge eller använda handlingen ska anteckningen följas om hinder inte möter enligt svensk rätt.

9 kap. 5a § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

I bilaterala säkerhetsskyddsavtal förekommer det ofta ett åtagande att en part som delger information till en annan part kan specificera för vilket ändamål som informationen ska användas. En sådan specificering, som kan ske genom anteckning på en handling eller i någon form av styrande dokument, ska naturligtvis följas i den mån det inte strider mot svensk rätt att följa specificeringen. Det innebär att om informationen är delgiven unikt för ett visst materielsamarbete får informationen inte användas i något annat sammanhang. Naturligtvis bestämmer myndigheten (utifrån behörighetsrekvisiten) vilka vid myndigheten som ska delges informationen och bestämmelsen i sig avser inte att begränsa detta på något sätt.

En anteckning som innebär begränsningar i att delge eller använda handlingar benämns i internationella sammanhang normalt caveat.

Om hinder möter i svensk rätt ska bestämmelsen inte följas.

Ytterligare beskrivning om hantering av hemliga och utrikesklassificerade handlingar och uppgifter framgår av Handbok för Försvarsmaktens säkerhetstjänst, Informationssäkerhet (H SÄK Infosäk). Andra staters eller organisationers motsvarighet till informationssäkerhetsklasser framgår av Handbok för Försvarsmaktens säkerhetstjänst, Sekretessbedömning Del A (H SÄK Sekrbed Del A).

5.3.5 Företräde för utländska bestämmelser

Som nämnts ovan i inledningen gäller svenska bestämmelser för Försvarsmaktens verksamhet oavsett om den sker nationellt eller internationellt. Det innebär att huvudregeln är att bestämmelser om säkerhetsskydd ska sökas i det ordinarie regelverket.

I vissa fall kan det dock uppstå situationer där de svenska bestämmelserna är olämpliga, står i strid med en internationell förpliktelse eller helt enkelt inte reglerar en viss företeelse eller situation.

Om det i ett avtal för visst internationellt samarbete förekommer bestämmelser om säkerhetsskydd som avviker från bestämmelserna i denna författning ska bestämmelserna i avtalet ha företräde.

Tillämpning av sådana bestämmelser som avses i första stycket ska, om möjligt, föregås av samråd med militära underrättelse- och säkerhetstjänsten i Högkvarteret. Har sådant samråd inte skett ska militära underrättelse- och säkerhetstjänsten i Högkvarteret snarast underrättas.

9 kap. 6 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

.

Om det i verksamhet där personal har ställts till förfogande för annan stat eller mellanfolklig organisation gäller bestämmelser om skydd av uppgifter i den verksamheten, och som avviker från föreskrifterna i denna författning, ska bestämmelserna ha företräde.

1 kap. 10 § Försvarsmaktens föreskrifter om skydd för utrikes- och sekretessklassificerade uppgifter och handlingar.

När sådana situationer uppstår är det viktigt att det sker ett samråd med Must så att situationen kan uppmärksammas samt att Must kan ge stöd med nödvändig kompetens för att lösa situationen. Det kan även vara så att tidigare liknande fall kan tjäna som lösningar för den aktuella situationen. För det fall att Must samråd inte hinner inhämtas ska Must ändå underrättas så snart som situationen medger det.

Internationella bestämmelser är ofta mer detaljerade än motsvarande svenska. Det är därför vanligt att det förekommer internationella krav på åtgärder eller moment som saknar motsvarighet i det svenska regelverket. Det betyder inte med nödvändighet att bestämmelserna står i strid med varandra utan ett internationellt krav kan ofta ligga inom ramen för avsikten med en svensk bestämmelse och komplettera denna på ett sätt som i Sverige normalt sker i form av handböcker, m.m.

Exempel 5.2.

Försvarsmakten och FMV ska gemensamt utveckla ett UAV-system som ska användas i internationella insatser under Natos ledning. Systemet kommer att hantera utrikesklassificerade uppgifter på nivån HEMLIG/SECRET. Nato ställer bl.a. krav när det gäller skydd mot röjande signaler som är betydligt mer detaljerade än motsvarande svenska bestämmelser. I det här fallet ska Natos mer detaljerade bestämmelser följas vid utvecklingen av systemet.

.

5.4 Internationella militära insatser

5.4.1 Allmänt

I Försvarsmaktens internationella insatser medför de särskilda förhållandena som råder normalt en större prövning för säkerhetsskyddet än i Sverige. Det innebär att vissa moment i säkerhetsskyddet måste ske med större noggrannhet eller frekvens. Vidare kan det vara svårt att genomföra vissa säkerhetsskyddsåtgärder i en internationell miljö, vilket medför att det i vissa fall kan finnas behov av avsteg från bestämmelserna.

5.4.2 Inventering

Internationella insatser präglas av att personalen omsätts regelbundet i form av s.k. rotationer. Rotationen innebär ett riskmoment i och med att överlämningstiderna är relativt korta med många moment som ska genomföras. Överlämning av hemliga och utrikesklassificerade handlingar mellan avgående och tillträdande befattningshavare är ett viktigt moment som bör ske med stor noggrannhet för att undvika informationsförluster. Som stöd för en överlämning bör en inventering av hemliga och utrikesklassificerade handlingar ske inför varje rotation. Det är lämpligt att inventeringen genomförs samtidigt som överkvittering av handlingar.

Allmänna handlingar som har placerats i informationssäkerhetsklassen HEMLIG/CONFIDENTIAL eller högre och som används i en internationell militär insats ska, om möjligt, inventeras vid avlösning (rotation) och i övrigt när det finns särskild anledning.

Allmänna hemliga handlingar som har placerats i informationssäkerhetsklassen HEMLIG/CONFIDENTIAL eller högre och som används i övrig verksamhet enligt 1 § i detta kapitel ska, om möjligt, inventeras när verksamheten avlutas, dock minst en gång varje år, och i övrigt när det finns särskild anledning.

9 kap. 2 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

Erfarenheter från Försvarsmaktens internationella militära insatser har visat att inventeringar som sker någon till några veckor innan rotation ger ett bra underlag inför överlämningen till pågående styrka.

Utöver de regelbundna inventeringarna ska särskilda inventeringar ske när det finns särskild anledning till det. Sådana anledningar kan t.ex. vara en campflytt, när personalstyrkan ökar eller minskar i väsentligt omfattning eller när verksamheten ändrar karaktär.

5.4.3 Kontroll av säkerhetsskyddet

Chefen för en kontingent i en internationell militär insats ska se till att säkerhetsskyddet kontrolleras under varje tjänstgöringsperiod. Resultatet av kontrollen ska dokumenteras.

9 kap. 3 § Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd av viss materiel.

När det gäller kontroll av säkerhetsskyddet vid kontingenter i internationella militära insatser gäller att kontingentschef ansvarar för att kontroll genomförs (internkontroll) och dokumenteras under aktuell tjänstgöringsperiod. Grunden för detta vilar på samma principer som när det gäller inventering d.v.s. att varje styrka ska kunna upptäcka och åtgärda brister i säkerhetsskyddet innan ansvaret (och därmed även eventuella brister) överlämnas till nästa pågående (avlösande) styrka.

Brister som upptäcks vid kontroll kan behöva längre tid för åtgärdande än vad som hinner genomföras under den pågående tjänstgöringsperioden. Det är därför mycket viktigt att det sker en noggrann dokumentation som stöd för pågående (avlösande) styrka.

5.4.4 Beslut om undantag

Trots att Försvarsmakten numera har en omfattande erfarenhet av säkerhetstjänst i internationella militära insatser kan det uppstå situationer där gällande bestämmelser inte kan följas eller där kostnaderna inte står i proportion till bedömd säkerhetsskyddseffekt. I sådana fall får kontingentschef respektive chef för organisationsenhet fatta beslut som avviker från Försvarsmaktens föreskrifter om säkerhetsskydd samt Försvarsmaktens interna bestämmelser om säkerhetsskydd och skydd för viss materiel. I kapitel 1 beskrivs bestämmelserna om avvikelsebeslut utförligt.

1 Se Handbok för Försvarsmaktens säkerhetstjänst, Sekretessbedömning Del A , (H Säk Sekrbed Del A) 2011, bilaga 2.

2 Med klassificerad NATO-information avses här classified information, vilket motsvarar försvarsmaktens fyra informationssäkerhetsklasser. Sådana uppgifter kräver ett särskilt skydd i likhet med det vi i Försvarsmakten avser med begreppet säkerhetsskydd.

3 Förutsättningen för att en svensk myndighet ska få förhandla och ingå en internationell signalskyddsöverenskommelse med en utländsk part, är att den svenska myndigheten har ett bemyndigande från regeringen att göra detta.

4 Inom EU betecknas rollen som Crypto Approval Authority, CAA.

5 Inom EU betecknas rollen som Crypto Distribition Authority, CDA.

6 För en mer omfattande beskrivning av sekretess i Försvarsmaktens verksamhet hänvisas till H Säk Sekrbed Del A.

7 För frågan om att delge sekretessbelagd information till utländska myndigheter, se avsnitt 5.2.4 ovan.

8 Se handbok H TST Grunder för ytterligare information.

Bilaga 1 Exempel på disposition av säkerhetsanalys

1 Uppgiften

1.1. Uppgiftens innebörd ur säkerhetssynpunkt

1.1.1. Syfte

1.1.2. Omfattning

1.1.3. Ansvarsförhållanden

1.1.4. Tidsplan

1.1.5. Styrande ingångsvärden

1.1.6. Slutsatser

2 Riskhantering

2.1. Identifierade risker (i prioritetsordning)

2.1.1. Risk 1
Beskrivning
Riskhanteringsbeslut
Ansvars- och tidsförhållanden

2.1.2. Risk 2
Beskrivning
Riskhanteringsbeslut
Ansvars- och tidsförhållanden
osv.

3 Sammanfattning

3.1. Sammanfattande slutsatser

3.2. Riktlinjer

3.3. Ansvarsförhållanden

3.4. Tidsplan

Bilaga 2 Exempel på disposition av säkerhetsplan

1 Allmänt

1.1. Omfattning och syfte

1.2. Ingångsvärden från säkerhetsanalys

1.3. Ansvarsförhållanden

2 Funktionsvisa bestämmelser1

2.1. Inriktning av säkerhetstjänsten

2.2. Säkerhetsunderrättelsetjänst

2.3. Säkerhetsskyddstjänst

2.3.1. Informationssäkerhet

2.3.2. IT-säkerhet2

2.3.3. Tillträdesbegränsning

2.3.4. Säkerhetsprövning

2.3.5. SUA

2.3.6. Utbildning och information

2.3.6.1. Utbildningsplan säkerhetstjänst (bilaga)

2.3.6.2. Förteckning över utbildad personal (bilaga)

2.3.7. Kontroll och uppföljning

2.3.7.1. Internkontrollplan (bilaga)

2.4. Signalskyddstjänst3

1 Här regleras de åtgärder som krävs för att hantera de risker som identifierats i säkerhetsanalysen, bl a framgår vad som ska göras, när det ska göras och vem som är ansvarig.

2 Redovisas normalt i separat IT-säkerhetsplan.

3 Redovisas normalt i separat signalskyddsinstruktion.

Bilaga 3 Exempel på disposition
av säkerhets-
bestämmelser

1 Allmänt

1.1. Säkerhetstjänstens organisation

1.1.1. Säkerhetschef

1.1.2. IT-säkerhetschef

1.1.3. Signalskyddschef

1.1.4. Säkerhetsmän

1.2. Ansvarsförhållanden

1.3. Styrande dokument

1.4. Rapportering

1.5. Samverkan med polis och övriga myndigheter

1.6. Delgivning

2 Säkerhetsbestämmelser

2.1. Informationssäkerhet

2.1.1. Upprättande av H och KH

2.1.2. Upprättande av UK

2.1.3. Upprättande av SK

2.1.4. Behörighet

2.1.5. Sekretessbevis

2.1.6. Registrering

2.1.7. Kvittering

2.1.7.1. Kvittering vid mottagande

2.1.7.2. Kvittering vid delgivning muntligt eller genom visning

2.1.7.3. Signaturlista

2.1.8. Muntlig delgivning

2.1.8.1. Godkända lokaler och områden (H/C eller högre)

2.1.9. Förvaring av hemlig handling

2.1.10. Samförvaringsbeslut

2.1.11. Gemensam användning av hemlig handling

2.1.12. Medförande

2.1.13. Kopiering av eller utdrag ur SK/UK/H/KH

2.1.14. Förstöring

2.1.15. Inventering

2.1.16. Distribution

2.1.16.1. Inom organisationsenheten

2.1.16.2. Utanför organisationsenheten

2.1.16.3. Till utlandet

2.1.17. Förlust

2.2. Tillträdesbegränsning

2.2.1. Legitimation och inpasseringsbevis

2.2.2. Besöksrutiner

2.2.3. Medförande av elektronisk utrustning

2.2.4. Förvaring

2.2.5. Stöldbegärlig utrustning

2.2.6. Nycklar och koder

2.2.7. Rutiner vid öppning av förvaringsutrymme utan närvaro av medarbetaren

2.2.8. Rutiner för larm och bevakning

2.3. IT-säkerhet

2.3.1. Laptop, mobiltelefon, övriga mobila enheter

2.3.2. Digitala lagringmedia

2.3.2.1. Registrering och kvittering

2.3.2.2. Märkning

2.3.2.3. Förvaring

2.3.2.4. Medförande

2.3.2.5. Förstöring

2.4. Säkerhetsprövning

2.4.1. Inför rekrytering

2.4.2. Under anställning och tjänstgöring

2.4.3. Skyddssamtal

2.4.4. Säkerhetssamtal

2.5. SUA

2.6. Utbildning i säkerhetstjänst

2.6.1. Grundläggande säkerhetsgenomgång

2.6.2. Utbildning för att vara behörig att ta del av H eller UK

2.6.3. Repetitionsutbildning

2.6.4. Övrig utbildning

2.7. Internkontrollverksamhet

2.7.1. Allmänt

2.7.2. Säkerhetsmans ansvar

2.7.3. Enskilds ansvar

Deltagare

Mårten Wallén (projektledare)

Martin Waern

Zenobia Rosander

Åke Bylund