EU S CYBER SECURITY STRATEGY OG ANDRE LANDES ERFARINGER

Transkript

1 EU S CYBER SECURITY STRATEGY OG ANDRE LANDES ERFARINGER Atlantsammenslutningens konference om risici- og trusler i cyberspace onsdag den 18. februar 2015 J.M. Foley/Direktør COPITS tlf

2 Henvisninger og anvendte kilder: ENISA s Guidebook on National Cyber Security Strategies- december 2012 EU s Cybers Security Strategy EU COM Joint (2013) 1 final 2. februar 2013 Komparativ analyse - Formulering af en dansk strategi for varetagelse af den nationale cybersikkerhed Forsvarsakademiet 3. maj 2013 Danmarks Nationale strategi for Cyber- og informationssikkerhed Forsvarsministeriet, december 2014

3 National Cyber Security Strategies Practical Guide on Development and Execution December 2012

4 ENISA s Guidebook on national cyber security startegies, dateret december 2012 (tidspunktet for CfCS oprettelse). EU Member States need to have flexible and dynamic cyber-security strategies to meet new global threats. In light of this, and to assist the EU Member States, the European Network and Information Security Agency (ENISA) has developed this guide, which presents good practices and recommendations on how to develop, implement and maintain a cyber-security strategy. To develop a strategy it is necessary to achieve cooperation and agreement from a wide range of stakeholders on a common course of action this will not be an easy task.

5 3.5 Identify and engage stakeholders Typical tasks to consider - include the following: Identify the owners of all critical infrastructures and services. Typical examples include energy, transport, finance, telecommunications, etc. Identify public stakeholders responsible for initiating and developing cyber security policy and regulation e.g. national telecommunications regulator, centre for the protection of national infrastructures etc. Engage both public and private stakeholders in the process by clearly defining their roles and responsibilities (e.g. private stakeholders protect their infrastructures and there is a joint responsibility with regard to protecting national security). Define the appropriate incentives that allow private and public stakeholders to participate in the process. Take into account the possible different or even conflicting interests of the public and private sector.

6 EUROPEAN COMMISSION HIGH REPRESENTATIVE OF THE EUROPEAN UNION FOR FOREIGN AFFAIRS AND SECURITY POLICY Brussels, JOIN(2013) 1 final JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS Cybersecurity Strategy of the European Union: An Open, Safe and Secure Cyberspace

7 EU s Cyber Security Strategy, dateret februar 2013 Cybersecurity incidents, be it intentional or accidental, are increasing at an alarming pace and could disrupt the supply of essential services we take for granted such as water, healthcare, electricity or mobile services. Threats can have different origins including criminal, politically motivated, terrorist or state-sponsored attacks as well as natural disasters and unintentional mistakes. The EU economy is already affected. stealing critical data or holding companies to ransom. The increase of economic espionage and state-sponsored activities in cyberspace poses a new category of threats for EU governments and companies. Achieving cyber resilience To promote cyber resilience in the EU, both public authorities and the private sector must develop capabilities and cooperate effectively.

8 Formulering af en dansk strategi for varetagelse af den nationale cybersikkerhed Forsvarsakademiet 3. maj 2013 Analyse og undersøgelse af den amerikanske, engelske og norske nationale cybersikkerhedsstrategi De tre strategier har inkorporeret og synliggjort behovet for samarbejde med den private sektor og erhvervslivet, som en nødvendighed for at få en samlet sammenhængende og national strategi. Fælles for alle tre nationer er, at store dele af den kritiske infrastruktur ikke er ejet eller kontrolleret af staten. Der er derfor også i en dansk kontekst behov for samarbejde med den private sektor, der ejer, forsyner eller vedligeholder den kritiske danske infrastruktur. En dansk strategi skal tilsvarende inkorporere og omfatte det private erhvervsliv og industrien i sin tilgang til sikkerhed.

9 Danmarks Nationale strategi for Cyber- og informationssikkerhed Forsvarsministeriet, December 2014 Ressortansvarlig: Forsvarsministeriet fællesekretariat: Digitaliseringsstyrelsen og Center for Cybersikkerhed. Arbejdsgruppe med deltagelse af embedsmænd fra 8 ministerier. Strategien giver en række anbefalinger, henstillinger og forslag. I forordet står bl.a.: Regeringen agter at opdatere denne strategi allerede i slutningen af 2016 for en ny periode. I forbindelse med opdateringen vil regeringen indlede en bred dialog med relevante organisationer, virksomheder og forskningsverdenen En række organisationer hilser initiativet velkommen, men flere peger samtidig på, at strategien er mangelfuld og bl.a. ikke tilgodeser regioner, kommuner samt små og mellemstore virksomheder samt den enkelte borger. Endvidere kritiseres det forhold, at der ikke er afsat en eneste krone til gennemførelsen af strategien. Respektive myndigheder skal i eget budget selv finde ressourcerne til gennemførelse af de initiativer, som strategien anbefaler og peger på. I modsætning til Danmark, har en række andre lande vi normalt sammenligner os med, f,eks. oprettet og benytter nationale råd og fora, sammensat af offentlige og private organisationer m.fl., til gennemførelse af proaktive handlinger med henblik på bekæmpelse af cyberangreb.

10 Beretning til statsrevisorerne om statens behandling af fortrolige oplysninger om personer og virksomheder November 2014 Rigsrevisionen har undersøgt, hvordan 8 statslige institutioner behandler fortrolige oplysninger om personer og virksomheder i 11 udvalgte it-systemer. Rigsrevisionen finder det utilfredsstillende, at institutionerne ikke beskytter fortrolige oplysninger om personer og virksomheder tilstrækkeligt. Undersøgelsen viser, at ingen af de undersøgte institutioner efterlever alle de krav til behandling af personoplysninger, som fremgår af sikkerhedsbekendtgørelsen, og som er en uddybning af persondatalovens bestemmelser.

11 Konklusion: Inden Forsvarsministeriet påbegyndte skrivning og formulering af strategien var der rigeligt med litteratur, baggrundsmaterialer, anvisninger, vejledninger og erfaringer, som Forsvarsministeriet, Forsvarets Efterretningstjeneste og Center for Cybersikkerhed allerede havde kendskab til, men ikke benyttede. Forsvarsministeriet har ikke inddraget relevante organisationer, virksomheder, forskningsverdenen m.fl., som henstillet og anbefalet af bla. EU, ENISA, FAK og IT brancheorganisationerne. EU s vejledning (guidence) til medlemsstaterne var Center for Cybersikkerhed selv med til at skrive, men fulgte ikke anbefalingerne. Det foreliggende dokument er ikke en national strategi. Den er udarbejdet af en snæver kreds af embedsmænd, har ikke været i høring og er mangelfuld med hensyn til bl.a. procedurer og anvisninger, der kan hjælpe befolkningen i tilfælde af alvorlige cyberangreb mod Danmark. Danmark står dårligt rustet mod en aggressor i cyberspace og It- cybersikkerheden er i de sidste år yderligere forringet. Fraværet af en samlet national cyberstrategi betyder at Danmark ikke er på forkant eller tilstrækkeligt forberedt, når f.eks en alvorlig cyber- terrorhændelse indtræffer.

12 ANBEFALINGER: IVÆRKSÆT REVISON (OMSKRIVNING) AF STRATEGIEN NU, VENT IKKE TIL UDGANGEN AF 2016 DET ER FOR SENT INDDRAG ALLE RELEVANTE INSTANSER FRA DAG ET - I LIGHED MED METODEN ANVENDT I FORSVARSMINISTERIETS ARTISKE RAPPORT TAG UDGANGSPUNKT I DE VEJLEDNINGER OG GUIDELINES DER ALLEREDE FINDES I EU OG ENISA, OG SOM CENTER FOR CYBER- SIKKERHED SELV HAR VÆRET MED TIL AT UDARBEJDE OG GODKENDE FORSLAG TIL MOTTO FOR DEN NYREVIDEREDE STRATEGI: SAMMEN KLARER VI OS BEDST

13 Bjarne Corydon s og Nicolaj Wammen s motto ved publicering af strategien den 12. december 2014: Kom bare an - hackere og Vi trykker enter og så kører det bare