Re: [DFRI-listan] Remissvar till PTS ang datalagring

[Andreas Jonsson <andreas@xxxxxxxxx>]

On 8/18/12 10:46 AM, Emil Isberg wrote:
> 
> Hej listan!
> 
> Hur har det gått gällande remissvaret? Är det någon/några som har tagit
> tag i det?
> Jag har något sent gått igenom dokumenten och noterade att de har fyra
> olika schablonsnivåer oavsett vad det är för uppgifter som begärs:
> överlämning vardagar 8-17 utan standardiserat format
> överlämning vardagar 8-17 med standardiserat format
> överlämning ej vardagar 8-17 utan standardiserat format
> överlämning ej vardagar 8-17 med standardiserat format
> 
> (Sedan tillkommer olika schabloner beroende på om det är enskilda
> uppgifter eller listor som eftersöks).
> 
> Det låter ju lite komplicerat att räkna på, särskilt för begärande
> myndighet. ;-)
> Att det är väldigt enkelt att se till att man använder ett "nästan
> standardiserat format" och överlämnar informationen så att det precis
> räknas som ej vardagar mellan 8-17 låter för mig som att det går att
> utnyttja som operatör. :)
> 
> Det som kan vara mer relevant för DFRI är ett avsnitt om kryptering av
> behöringsloggning i den andra remissen.
> * PTS rekommenderar att en (icke specifierad) allmänt erkänd
> krypteringsmetod används (oavsett om metoden är knäckt eller ej)
> * PTS fokuserar dessutom på nyckellängd (trots att det beror på vilken
> metod som används)
> * PTS verkar enbart ta hänsyn till metoder som använder en nyckel (inte
> publik-key-system)
> * PTS har samma sektion för både lagring och överföring (även om det är
> olika säkerhetsmål)
> * Behörighetsloggens information ska raderas samtidigt som dld-datat.
> 
> Kan ju finnas lite att kommentera på. ;-)
> 
> Med vänliga hälsningar
> Emil Isberg - revisor
> 

Halå!
Emil, är det samma dokument vi har läst (vill bara dubbelkolla)? Har vi
ens möjlighet att påverka valet av typ av krypto? Vist hade det varit
önskvärt att loggarna krypteras med publika nycklar, och att endast
"auktoriserad personal" kan hämta ut dessa via smartcards eller dylikt,
men jag vet inte hur mycket vi kan begära.

Behöver feedback på detta. börjar också bli ont om tid, vi har väl till
imorgon på oss, men jag kommer inte kunna jobba med det här imorgon
kväll, dessutom måste det väl översättas till kanslisvenska.

Jag har nu läst
"Föreskrift - Remiss 2 - Skyddsåtgärder - 2012-06-15.pdf". Det är ett
kort dokument som finns här:
http://www.pts.se/upload/Remisser/2012/Telefoni/Trafikdatalagring/Remiss%202%20-%20Marknadsakt%C3%B6rerna%20-%20Skydds%C3%A5tg%C3%A4rder%20f%C3%B6r%20lagrade%20trafikuppgifter%20-%202012-06-15%20-%20Dnr%2012-4586.pdf
( 3 sidor. läs det! )

Det tycks inte finnas några krav på att de lagrade uppgifterna ska vara
krypterade.

Jag tycker att det är märkligt att det bara finns fokus på att skydda
"Behandlingshistoriken", dvs den loggning som sker när någon begär ut
data. (§6)

Vad som ska stå i den här loggen framgår inte, men man kan anta att den
åtminstone kommer att innehålla vem som gör uttaget, varför de gör
uttaget och på vems begäran. Det framgår att denna logg ska krypteras
och sedan förstöras, vilket jag tycker är märkligt. Hur ofta väljer man
att förstöra auditlog på vem som accessat datat?

Dåligt:
- Det blir svårt att göra uppföljning på ev missbruk om den förstörs
- Det blir enklare att missbruka om man vet att Behandlingsloggen förstörs
- Det blir svårt att få ut statistik vad DLD används till över tid, om
nu inte detta kontrolleras på annat sätt.
- Det är svårt att läcka data till tex journalister om datat förstörs
eller är krypterat om det sker ett missbruk.

Bra:
- Det kan finnas känslig information i behandlingsloggen, och därför bör
den förstöras

Om säkerhetskopiering, (§7)
Dåligt:
- Det står inget om att behandlingsloggen ska säkerhetskopieras
- Det finns inga krav på skydd av loggarna (tex med kryptering) när de
finns säkerhetskopierade, trots att återställande av backupband gör det
möjligt att kringå att hamna i Behandlingsloggen.
- Det bör finnas ett ska krav på att Behandlingsloggen är
oförvanskningsbar och oåtkomlig för de med behörighet att komma åt det
sparade loggdatat. Dvs, vi vill uppnå oavvislighet av det som står det i
behörighetsloggen.


Bra:
- Säkerhetskopiorna ska utplånas samtidigt som de lagrade uppgifterna.

Om Behörighetskontrolll, (§4)
Här blir det spännande, särskillt om man jämför där de skriver "bör" och
"ska".

"Den lagringsskyldige ska ha rutiner som säkerställer att endast
särskilt bemyndigad personal har tillgång till lagrade uppgifter och de
system som hanterar dessa uppgifter." Därefter följer en rad lustiga råd
som är "bör".


Dåligt:
- Det bör finnas ska-krav på oavvislighet rörande tillgång till systemet
- Det bör finnas ska-krav på att systemet ska täckas av en
it-säkerhetspolicy
- Det bör finnas ska-krav på att systemintegriteten bevaras
- Det bör finnas ska-krav på att rutiner för att hantera
IT-säkerhetsincidenter finns på plats
- Det bör finnas ska-krav på att alla former av itsäkerhetsincidenter
där det finns misstankar om tillgång loggarna ska polisanmälas.

Vidare:
Vilken typ av frågor får ställas? Det är en stor skillnad på frågan
"Ge mig en lista på alla mobiltelefoner som var vid telestation X mellan
15 och 16 i tisdags" vs frågan "Var telefonen som hade nummer
+46744123456 vid telestation X mellan 15 och 16 i tisdags"

/andreas