Mottok Lysne II-utvalgets rapport om digitalt grenseforsvar

Global kommunikasjon endres med stor hastighet. Dette betyr blant annet at signalene har flyttet seg fra luften (radio og satellitt) til fiberoptiske kabler. Mesteparten av den digitale trafikken inn og ut av Norge formidles i høyhastighets fiberforbindelser. Spørsmålet om tilgang til tele- og datatrafikken som transporteres i det fiberoptiske kabelnettet inn og ut av Norge («digitalt grenseforsvar») har til tider vært et tema i det offentlige rom, blant annet ved at behov for informasjonstilgang er tilkjennegjort av sjefen for Etterretningstjenesten. Temaet ble også berørt av ekspertgruppen, ledet av professor Rolf Tamnes, som leverte rapporten "Et felles løft" i april 2015, samt av digital sårbarhetsutvalget som leverte sin rapport november 2015 og var ledet av professor Olav Lysne.

Forsvarsdepartementet nedsatte i februar 2016 et utvalg (Lysne II) for å utrede sentrale problemstillinger knyttet til en etablering av digitalt grenseforsvar. Utvalget har vært ledet av professor Olav Lysne, og har bestått av medlemmer med særskilt relevant kompetanse. Formålet med utvalget har vært å få en uavhengig ekspertvurdering særlig knyttet til etterretningsfaglig behov og rettslige og teknologiske rammer ved en slik type tilgang til digital informasjon.

I vurderingen av etablering av digitalt grenseforsvar er det helt avgjørende å finne en balanse mellom den sikkerhets- og etterretningsmessige effekten digitalt grenseforsvar kan få og de personvernrelaterte spørsmål som en slik tilgang reiser. Utvalgets vurderinger skal bidra inn i den offentlige debatten og beslutningsgrunnlaget om digitalt grenseforsvar. Det tas sikte på at rapporten skal sendes på offentlig høring.

Her kan du lese utvalgets mandat: https://www.regjeringen.no/no/aktuelt/ser-pa-problemstillinger-ved-tilgang-til-den-digitale-informasjonsflyten-inn-og-ut-av-norge/id2476992/

Her kan du lese rapporten fra utvalget: LYSNE II-UTVALGETS RAPPORT 2016.pdf

Utdrag fra rapporten:

SAMMENDRAG

Etterretningstjenestens samfunnsoppdrag består i å fremskaffe informasjon om norske interesser sett i forhold til fremmede stater, organisasjoner og indi-vider. Informasjonen skal benyttes til å varsle om trusler mot Norge og norske interesser, og til å un-derstøtte politiske beslutningsprosesser knyttet til norsk utenriks-, sikkerhets- og forsvarspolitikk. E-tjenesten sitt fokusområde er således utenlandsk aktivitet. Formålet for informasjonsinnhentingen er beslutningsstøtte for myndighetene, og ikke straffe-forfølgning, og tjenesten er avgrenset mot overvåk-ning av nordmenn i Norge.

Digitalt grenseforsvar (DGF) brukes i denne rappor-ten om en innretning og en virksomhet som gir E-tjenesten innsyn i digitale datastrømmer som krys-ser den norske landegrensen. I dag går hovedmeng-den av slike strømmer i fiberoptiske kabler som en-ten er landbasert eller ligger på sjøbunnen. E-tjenes-ten har ikke noen DGF-installasjon i dag, men både tidligere og nåværende sjef for tjenesten har argu-mentert for at det burde opprettes.

DGF som virkemiddel for etterretning er aktualisert av to utviklingstrender. Den ene trenden er end-ringer i trusselbildet. Vi er vitne til en kraftig eskale-ring av cybertrusler mot Norge og norske interesser, både i volum av angrep og i angrepenes komplek-sitet. Videre er truslene fra internasjonal terrorisme økende, og vi ser at nettbasert koordinering av ter-rorvirksomhet på tvers av landegrenser blir mer van-lig. Den andre trenden som aktualiserer DGF er at teknologiutviklingen erstatter tidligere kommunika-sjonskanaler med internettbaserte løsninger. E-tje-nestens ønske om DGF kan således begrunnes i at eldre etterretningskapasiteter må fases ut og erstat-tes av nye.

Hvorvidt DGF bør opprettes må imidlertid vurderes i et bredt perspektiv. Saken berører juridiske spørs-mål knyttet til personvern og menneskerettigheter, og den influeres av hvilke løsninger som er teknisk mulige. Begrensninger som legges på en eventuell DGF-installasjon vil kunne redusere den etterret- ningsmessige verdien av DGF til et punkt hvor det ikke lenger er et effektivt verktøy.

Sentrale kompliserende faktorer i denne diskusjo-nen er av teknologisk art. Den intuitive forståelse av at kommunikasjonskablene som krysser landegren-sen kun vil bære kommunikasjon mellom Norge og utlandet, er ikke riktig. En stor og stigende andel av kommunikasjonene mellom personer som befinner seg i Norge, krysser landegrensen og vil således kunne plukkes opp av DGF.

Likeledes vil mange elektroniske tjenester som benyttes av et individ kun for dettes formål innebære kommunikasjon over landegrensene. Skybaserte lagringstjenester er et eksempel på dette. Noe av denne trafikken vil ma-skinelt kunne filtreres bort før den tas vare på. Nøy-aktig filtrering slik at kun informasjon som er rele-vant for E-tjenestens oppdrag slipper gjennom, er imidlertid ikke mulig. En DGF-installasjon vil nød-vendigvis plukke opp en god del informasjon som E-tjenesten ikke skal ha innsyn i. En eventuell DGF-installasjon må derfor ligge under et strengt kon-trollregime som består av både teknologiske og menneskelige kontrollmekanismer.

En eventuell innføring av DGF må også gjøres på en måte som ikke strider mot folkeretten eller mot norsk lov. Det finnes flere bestemmelser både i norsk lovverk og i internasjonale avtaler og konven-sjoner med relevans for dette spørsmålet. EU-dom-stolens beslutning fra 2014 om å kjenne Datalag-ringsdirektivet for ugyldig illustrerer at det ikke har vært opplagt hvor de juridiske grensene for datalag-ring for samfunnstjenlige formål går. De juridiske grensene på dette området vil trolig klargjøres noe i tiden som kommer, ved at flere relevante saker får sin avgjørelse. Vi ser det som viktig at en eventuell innføring av DGF ikke lider den skjebne at den ved et senere tidspunkt blir kjent ulovlig.

Hensynet til befolkningens tillit til de hemmelige tje-nestene kan i noen grad ivaretas ved at DGF holder seg innenfor oppsatte grenser gitt av menneskeret-tighetene og personvernlovgivningen. På de fleste andre samfunnsområder vil man også benytte åpenhet og transparens som befordrer av generell tillit. På etterretningsområdet vil det imidlertid være klare begrensninger på hvor åpne og transparente man kan være, uten at effektiviteten til etterret-ningsvirksomheten svekkes. Tillit til hvordan en eventuell DGF-installasjon blir benyttet kan derfor ikke bygges på åpenhet alene. Den må baseres på sikkerhetsklarerte kontrollinstanser som har innsyn i virksomheten på befolkningens vegne.

Utvalget har vurdert at DGF kan innføres på en måte som kombinerer hensynene til teknisk realiserbar-het, juridisk gangbarhet, personvernmessige for-hold, etterretningsmessig verdi og tillit i befolk-ningen. Konklusjonen forutsetter flere forhold. Dels er den betinget av et bestemt teknologisk oppsett og dels er den betinget av omfattende tilgangsreg-ler, formålsskranker og kontrollregimer. Videre for-utsetter utvalget at DGF forankres i et tilstrekkelig klart lovgrunnlag. For å oppnå et rettslig forsvarbart DGF, er det etter utvalgets oppfatning ikke mulig å fravike dette oppsettet i stor grad, og selv små svek-kelser i kontrollmekanismene kan føre til at mennes-kerettigheter og personvernhensyn vil bli ansett som brutt.

Kontrollmekanismene består av en domstol som står for forhåndsgodkjenninger, et tilsyn som over-våker bruken av DGF i nær sanntid, samt at EOS-ut-valget styrkes for å etterhåndskontrollere E-tjenes-tens bruk av DGF. Installasjonen består av lagrede data, filtre som filtrerer ut hvilke data som skal kunne lagres, og maskinell kontroll med hvilke søk som tillates utført i disse dataene. Detaljene i sams-pillet mellom installasjonen og kontrollmekanis-mene er å finne i rapporten.

Utvalgets konklusjoner er som følger:

•  DGF kan utformes juridisk holdbart og forholds-messig i et menneskeretts- og personvernper-spektiv ved at filtrene, begrensninger på søk i dataene, formålsbegrensninger og kontrollme-kanismene vi har beskrevet implementeres. Dette forutsetter at et tilstrekkelig klart lov-grunnlag vedtas.
• DGF er et potensielt svært personverninngri-pende virkemiddel, og utvalget kan ikke anbe-fale innføring av DGF med svakere kontrollme-kanismer og tekniske filtre mv. enn det som er beskrevet i rapporten.
• DGF anses som nødvendig for nasjonens sikker-het, særlig gjelder dette beskyttelse mot sabo-tasje og spionasje i det digitale rom.
• DGF slik utvalget anbefaler gir etterretnings-messig verdi og er teknologisk realiserbart.
• DGF vil kunne bidra til høyere grad av presisjon i nasjonalt sikkerhetsarbeid og vil derigjennom over tid også virke modererende på det sam-lede nasjonale overvåkingstrykket.
• DGF bør benyttes utelukkende til utenlandset-terretning. Ikke under noen omstendighet bør informasjon fremskaffet ved DGF kunne benyt-tes som bevis mot tiltalte i straffesaker.
• DGF slik det er beskrevet i rapporten anbefales innført.

[...]

2. HVA SOM MENES MED DIGITALT GRENSEFORSVAR (DGF)

2.1. Definisjon

Digitalt grenseforsvar (DGF) kan defineres slik:

E-tjenestens målrettede innhenting og analyse av utenlandsetterretningsrelevant informasjon, basert på aksess til elektronisk kommunikasjon som går inn og ut av Norge, i den hensikt å kartlegge og mot-virke mulige ytre trusler mot rikets sikkerhet og selv-stendighet og andre viktige nasjonale interesser '

DGF er den betegnelsen utvalgets oppdragsgiver har valgt å benytte.2 Noen har også benyttet beteg-nelsene digital grensekontroll, digital grenseovervå-king og kabelaksess. Felles for betegnelsene er at det dreier seg om ordninger som inkluderer innhen-ting av/aksess til informasjon i bulk. Med bulk-inn-henting/bulk-aksess3 menes at etterretningstjenes-ter må samle inn eller på annen måte ha tilgang til store mengder data før tjenestene målrettet og med bruk av utvalgte søkekriterier (f.eks. en IP-adresse) kan trekke ut relevant informasjon fra den større da-tamengden, og at datamengdene som det søkes i vil inneholde et betydelig mengde informasjon som ikke er relevant for utenlandsetterretningsformålet.

DGF dreier seg om innhenting, bearbeiding og ana-lyse av utvalgt kommunikasjon som går inn og ut av Norge i landbaserte eller sjøbaserte fiberoptiske kabler.4 Innhenting av innhold i kommunikasjon vil kun bli innsamlet målrettet, og ikke i bulk. Metadata vil derimot bli innsamlet i bulk på de kommunika-sjonslinker man velger ut, og vil derfor også inne-holde betydelige mengder informasjon knyttet til kommunikasjon som ikke er av interesse for E-tje-nesten. En nærmere teknisk og konseptuell beskri-velse følger av kapittel 8 og 9.2.

DGF vil gjelde kommunikasjon over landegrensen. Det understrekes at kommunikasjonsbegrepet ikke krever at det dreier seg om kommunikasjon mellom to eller flere parter. Også ensidig overføring av lyd, tekst, bilder eller andre data omfattes. Det er nød-vendig for bl.a. å fange opp cyberangrep som ikke innebærer gjensidig kommunisering mellom to eller flere aktører. DGF omfatter ikke innhenting av lag-rede data, f.eks. data lagret i skyen, kun elektronisk kommunikasjon som overføres i et system for sig-naltransport ved hjelp av nett og tjenester.

Definisjonen reflekterer at det dreier seg om å frem-skaffe informasjon som er av interesse for en uten-landsetterretningstjeneste. E-tjenesten er Norges eneste utenlandsetterretningstjeneste, og er landets sivile og militære utenlandsetterretningstjeneste. Forsvarsbegrepet henspeiler på at det dreier seg om et førstelinjeforsvar for å skaffe kunnskap om de mest alvorlige trusler, slik at de kan motvirkes før de materialiserer seg.

2 Betegnelsen er også benyttet av Ekspertgruppen for Forsvaret av Norge, som la frem sin utredning for Forsvarsdepartementet i ap-ril 2015.

3 Sml. U.S. Presidential Policy Directive/PPD-28 on Signals Intelli-gence Acitivities, datert 17. Januar 2014, som definerer dette slik: “References to signals intelligence in ’bulk’ mean the authorized collection of large quantities of signals intelligence data which, due to technical or operational considerations, is acquired without the use of discriminants (e.g., specific identifiers, selection terms, etc.).” Denne definisjonen er på enkelte områder uklar. Særlig gjelder det dersom man bruker vide selektorer, f.eks. «Syria» som selek-sjonsterm.

I det tilfellet vil separasjonen av all trafikk til og fra Syria etter definisjonen fremstå som målrettet, og ikke som bul-kinnhenting. Motsatt ville en innhenting av all trafikk som går over en spesiell kommunikasjonskanal som kun brukes av to per-soner, være å anse som bulkinnhenting, fordi man ikke benytter selektorer («discriminants») som grunnlag for innhentingen. I en rapport fra 2015 utarbeidet av det amerikanske National Re-search Council (NRC) – Bulk Collection of Signals Intelligence: Technical Options – tas det heller til orde for at «if a significant portion of the data collected is not associated with current targets, it is bulk collection; otherwise, it is targeted”. Rapporten uttaler også at “there is no precise definition of bulk collection, but rather a continuum with no bright line separating bulk from targeted”. I rapporten erkjennes det at begrepet “significant” i seg selv er et upresist begrep.

4 Jf. dog mandatdrøftelsen i kapittel 1 om teknologiuavhengig-het.

[...]

Om lagring av metadata
Trafikkdata er teknisk informasjon om hvem som har kommunisert med hvem, hvor kommunikasjo-nen har funnet sted, når og hvordan. Eksempler på dette er IP-adresser, portnummer, protokoll og da-tamengde. Metadata (se kap. 4.3) vil være et para-plybegrep for trafikkdata, lokaliseringsdata og øvrig data som ikke kan anses som innholdsdata.

Selv om trafikkdata alene ikke kan si noe særlig om hvilket individ eller selskap kommunikasjonen om-handler, slik som en e-post adresse eller facebook ID gjerne gjør, er en IP-adresse likevel etter person-opplysningsloven å anse som en personopplysning. Dette fordi en IP-adresse med relativt enkelte midler ofte kan knyttes til en enkeltperson. Behandlingen av denne type trafikkdata må derfor ivareta bestem-melser om oppbevaring, deling og sletting gitt i den alminnelige lovgivningen. Metadata knyttet til en-keltpersoner kan røpe betydelige mengder sensitiv informasjon, se kap. 4.3.

I tillegg til behovet for lagring av trafikkdata i form av en trafikklogg, som forklart over, kan det være behov for å lagre utfyllende informasjon om tjenes-ter på Internett. To relevante eksempler på slik in-formasjon er lagring av observerte digitale server-sertifikater og knytningen mellom IP-adresser og domener. Det samme gjelder informasjon om knyt-ningen mellom domenenavn og IP-adresse, såkalt «passiv DNS» informasjon. Det er bare behov for å lagre den delen av informasjonen som angår server-siden av kommunikasjonen.

Lagringsbehovet for metadata, i forhold til oppdra-get om å avdekke trusler i det digitale rom, kan der-med oppsummeres på følgende måte:

•  Trafikkdata, som for eksempel IP-adresse, port-nummer og protokoll

• Utfyllende informasjon om tjenester på Inter-nett som for eksempel digitale sertifikater og passiv DNS (kun serverinformasjon)

Om lagring av innholdsdata
I eksemplet er det kun enkelte metadata (trafikk-data) som vil lagres for hele datastrømmen/akses-sen. Innholdsdata lagres og analyseres bare for ad-resser relatert til en pågående hendelse eller trussel, såkalt selekterte innholdsdata. Dette fordrer at trus-selaktøren fortsatt er aktiv på analysetidspunktet.

Fra et rent etterretningsperspektiv ville det være mer optimalt å mellomlagre alle innholdsdata i en periode (også innholdsdata i perioden mellom de-teksjonstidspunktet og til beslutning om innhenting av innholdsdata er besluttet og utført), for å ha mu-ligheten til å gå noe tilbake i tid for å kunne gjøre undersøkelser relatert til aktivitet forut for detek-sjonstidspunktet. Gitt aksessens egenart ville dette også medføre mellomlagring av svært mye irrele-vant informasjon.

Det er derfor kun aktuelt å lagre selekterte innholds-data for produksjonsformål. Dette er målrettet lag-ring av innholdsdata basert på selektorer knyttet til en kjent utenlandsk trusselaktør, som for eksempel en IP-adresse. I tillegg har tjenesten behov for å gjennomføre analyse av datagrunnlaget, med for-mål om å kunne gjøre et relevant utvalg av trafikk, samt tilpasse innsamlingssystemene. Dette er såkalt survey aktivitet, og vil medføre behov for mellom-lagring av uselekterte innholdsdata i en meget kort tidsperiode, jf. kap. 9.2 om dette.

Krypteringsutfordringen
DGFs merverdi på dette området vil i mindre grad enn på andre områder berøres av utviklingen innen kryptering. Det som refereres til som radarfunksjo-naliteten (deteksjon av IP-adresser mv) i DGF, vil i mindre grad bli påvirket av kryptering, og det er nettopp denne funksjonaliteten som vil være DGFs viktigste funksjon. Erfaring tilsier at svært mye av den informasjonen som er nødvendig, også for dy-pere analyse av data, fortsatt går ukryptert. Grunnet krypteringsutviklingen er det imidlertid grunn til å anta et denne typen analyse vil bli mer utfordrende å gjennomføre med DGF-data alene i fremtiden. Det er derfor viktig å fremheve at slik analyse vil måtte kompletteres med data fra E-tjenestens øvrige sen-sorer og kapabiliteter. I tillegg vil analysen kunne støttes med informasjon fra eventuelle lokale sens-orer og samarbeid med berørte virksomheter for å kompensere for noe av krypteringsutfordringen. I den utstrekning DGF vil bli påvirket av krypterings-utfordringer i fremtiden, vil dette således i stor grad kunne kompenseres med samspill med tjenestens øvrige kapabiliteter og data fra lokale sensorer, samt samarbeid med NSM, PST og den aktuelle virksom-heten.