Handboken Personlig säkerhet
7. Säker hantering av teknisk utrustning
Säker hantering av teknisk utrustning
Den tekniska utrustningen vi använder gör oss sårbara för säkerhetshotet från dem som vill skada Sverige. Det är viktigt att hantera både privat teknisk utrustning och den du använder i tjänsten som politiker på ett säkert sätt.
Blanda inte privat teknisk utrustning med den du har fått i tjänsten som politiker.
När du hanterar säkerhetsskyddsklassificerad information gäller särskilda lagar, förordningar och föreskrifter till skydd för Sveriges säkerhet som du behöver följa. Din egen organisation kan också ha särskilda riktlinjer för tjänstetelefon och annan teknisk utrustning. Råden i det här kapitlet ska ses som en grund.
Tekniska möjligheter förenklar många uppgifter, men innebär samtidigt säkerhetsutmaningar. Trådlösa nätverk (wifi) gör det möjligt för andra att lyssna av nätverkstrafiken och göra intrång utan att ha fysisk tillgång till nätverket. Appar med platspositionering kan användas för att spåra användaren. Intrång och kartläggning kan genomföras av allt från andra stater som vill skaffa sig ett informationsövertag till enskilda personer som är benägna att ta till hot och våld, trakassera eller utföra bedrägerier.
För att minska risken att utsättas behöver du hantera den tekniska utrustningen på ett säkert sätt, såsom mobiltelefoner, datorer och andra uppkopplade enheter. Tänk på att känslig information som inte skyddas kan överhöras eller hamna hos obehöriga. Blanda inte privat teknisk utrustning med den du har fått i tjänsten.
Se över vad teknisk utrustning är döpt till, exempelvis hörlurar, smartklockor, wifi och spårsändare. Det ska aldrig vara något som kopplas till dig själv, såsom ditt namn, adress eller liknande, då det kan underlätta för en person med ont uppsåt att identifiera vem som befinner sig i ett visst område eller utrymme.
Trådlösa nätverk
Mobiltelefoner, surfplattor, aktivitetsarmband, smartklockor och andra uppkopplade enheter är något de flesta använder. Tänk på att publika offentliga trådlösa nätverk, till exempel på hotell, flygplatser, kaféer och bibliotek, medför en ökad risk för avlyssning, intrång och kartläggning. Vid ett intrång kan obehöriga personer få tillgång till både privata uppgifter och uppgifter som rör arbetet, till exempel mejl, personliga kontakter, kalender och rörelsemönster. Ett sådant intrång kan också innebära att funktioner i utrustningen används i den utsattes namn, exempelvis för att skicka mejl eller publicera inlägg i sociala medier.
För att öka säkerheten kan telefonen och innehållet i den förses med särskild kryptering. Men kom ihåg att appar som krypterar meddelanden, exempelvis Signal, Telegram eller WhatsApp, inte får användas för att skicka säkerhetsskyddsklassificerade uppgifter. Mobiltelefoner kan lokaliseras och spåras med hjälp av telefonnumret. Observera att mobiltelefonen kan lokaliseras även om numret är hemligt eller har ett så kallat kontantkortsnummer.
En mobiltelefon och annan uppkopplad teknisk utrustning kan även lokaliseras med hjälp av trådlösa uppkopplingar. Om wifi är påslaget på telefonen söker den aktivt efter nätverk för åtkomst till internet och går därför att lokalisera och spåra. Koppla därför upp dig endast till nätverk som är godkända av din organisation. Om ett sådant trådlöst nätverk inte är tillgängligt är det säkrare att använda uppkoppling via mobilnätet. Var medveten om att all information du skickar eller tar emot via trådlösa nätverk kan läsas av andra om anslutningen inte är säker.
- Anslut aldrig till okända eller publika trådlösa nätverk, eftersom datatrafiken kan övervakas av vem som helst på nätverket. Om ett säkert nätverk inte är tillgängligt är det säkrare att använda uppkoppling via mobilnätet.
- Om du måste ansluta till ett okänt eller publikt öppet wifi bör det kombineras med så kallad vpn-anslutning. Om egna trådlösa nätverk används, ändra de ursprungliga inställningarna för till exempel namn och lösenord från leverantören. Se även till att aktivera den krypteringsfunktion som ingår för att försvåra avlyssning av datatrafik. Ta hjälp av säkerhetsansvarig om du är osäker.
Datorer och teknisk utrustning
Undvik att använda offentliga datorer eller anslutningar när du hanterar information som inte ska hamna i orätta händer. Använder du någon annans utrustning, till exempel på hotell eller bibliotek, utgå från att någon kan komma över inloggningsuppgifter eller annan känslig information. Tänk på att ta bort filer och program som du laddat ner från webbläsaren. Byt lösenord om du misstänker att det har röjts. Observera att detta bara är en begränsad åtgärd. Det går aldrig att veta hur mycket av aktiviteterna som sparats på en dator någon annan äger. Utgå från att allt sparas. Läs mejl på ett skyddat sätt genom säker inloggning och en krypterad förbindelse, det vill säga genom en vpn-anslutning.
- Lämna och förvara inte teknisk utrustning utan uppsikt, till exempel i bilar, på hotellrum eller på restauranger.
- Se till att ingen obehörig kommer åt inloggningsuppgifter till datorer.
- Notera koder och nummer för att kunna spärra telefonabonnemang om något skulle ske.
- Stoppa aldrig in okända usb-enheter, minneskort eller annan teknisk utrustning i datorn.
- Installera, aktivera och uppdatera kontinuerligt antivirusprogram och andra säkerhetsfunktioner.
- Uppdatera operativsystemet och gör säkerhetsuppdateringar regelbundet. Äldre versioner av teknisk utrustning får inte alltid nya säkerhetsuppdateringar. Byt ut enheten om säkerhetsuppdateringar upphör från leverantören.
- Använd alltid tvåfaktorsautentisering när det är möjligt. Det ger ett markant ökat skydd jämfört med enbart lösenord.
- Lösenord ska vara starka och inte gå att gissa sig till. Längden på lösenordet är viktigare än komplexiteten. Ett antal ord som inte har någon koppling till varandra blir en stark lösenfras som ändå är lätt att minnas.
- Använd aldrig samma lösenord eller lösenfraser för flera användarkonton, vare sig på arbetet eller i privata sammanhang.
- Använd aldrig jobbets mejladress i privata sammanhang eller för att skapa konton på andra sajter än sådana som är relevanta för arbetet.
- Nätfiske, så kallad phishing, är något både kriminella och främmande makt ägnar sig åt i syfte att komma över uppgifter och information. Klicka aldrig på länkar i mejlen eller öppna filer från okända avsändare. Ange aldrig personliga koder eller logga in med bank-id efter uppmaning via sms eller mejl. Inga seriösa aktörer skickar sådana uppmaningar.
- Nyttja inbyggda funktioner i enheten för att kryptera hårddiskar och annan lagringsmedia, exempelvis usb-minne.
Tips! På polisen.se kan du läsa om att skydda sig mot bedrägerier.
Mobiltelefoner, appar och uppkopplade enheter
Mobiltelefoner och många funktioner och appar i dem förenklar våra liv. Men genom platstjänster blir det samtidigt möjligt att spåra och kartlägga exempelvis en persons träningsrutiner, rörelsemönster, kontakter, var barnen går i skolan, intressen och var någon bor. Att vara medveten om detta kan öka din säkerhet.
När du installerar vissa appar kan de få tillgång till platspositionering. Informationen kan sedan hamna i databaser och säljas vidare. Kom ihåg att även ett aktivitetsband, en smartklocka eller uppkopplade bilar kan avslöja platspositioneringen.
Det finns också appar som automatiskt kontrollerar var mobiltelefoner befinner sig och inkluderar positionen i exempelvis foton, sökningar, webbsidor och uppdateringar i sociala medier. Om platstjänster är påslaget på bilder följer taggningen med bilderna även när de delas. Se därför över om det är en nödvändig funktion eller om den ska slås av. Ta hjälp av säkerhetsansvariga i organisationen för att ha rätt inställningar.
AI-tjänster
När du använder en AI-tjänst, tänk på vilken information du delar och vem som eventuellt kan få tillgång till den. Dela inte information om dig själv eller andra som du inte vill att AI eller företaget bakom AI-tjänsten ska kunna använda sig av. Dela inte privat information som personnummer, adresser, lösenord och kortuppgifter.
För vissa AI-tjänster sker kommunikationen mellan användare och företagets servrar utan kryptering vilket innebär en risk för att utomstående kan komma åt informationen. När du skriver in information i en AI-tjänst, ställ dig frågan om du skulle vara trygg med att publicera informationen offentligt på internet. Är svaret nej bör du inte heller dela informationen med AI.
Tips! Läs mer om AI-tjänster på Integritetsskyddsmyndighetens webbplats imy.se
Molntjänster
Genom en molntjänst går det att lagra och dela information och material över internet, så att användaren inte behöver lagra material lokalt. Men att spara information i molnet kan innebära att ägaren till informationen förlorar kontrollen över det uppladdade materialet. Sker ett intrång hos företaget som tillhandahåller molntjänsten kan den som gjort intrång potentiellt komma över användares information.
- Gå regelbundet igenom och uppdatera listan över vilka du delar din information med. Ta bort dem du inte längre vill ska ha tillgång till informationen.
- Sätt ett starkt och unikt lösenord för att skydda din information. Använd om möjligt tvåfaktorsautentisering.
- Många molntjänster har inställningar för sekretess och säkerhet. Välj inställningar som ökar säkerheten. Du kan exempelvis se över hur mycket andra ska få veta om ditt konto.
Tips! Läs mer om säker användning av molntjänster på Integritetsskyddsmyndighetens webbplats imy.se
Risk för avlyssning trots kryptering
Säkerhetsskyddsklassificerad information ska aldrig avhandlas via mobiltelefon eller bärbar teknisk utrustning om de inte har signalskyddssystem godkända av Försvarsmakten.
En av flera åtgärder som kan krävas är att lämna mobiltelefoner utanför rummet när sådan information diskuteras. Tänk även på att andra former av tekniska enheter med mottagare eller sändare har förutsättningar att skicka vidare uppgifter och ska inte finnas med i rummet. Det gäller till exempel datorer, aktivitetsband, smarta klockor, hörlurar och bilnycklar.
Tips! Läs mer om säkra kryptografiska funktioner på Myndigheten för civilt försvars webbplats mcf.se.
- Uppdatera regelbundet programvaran och appar i mobiltelefonen.
- Använd pinkod eller ansiktsigenkänning på mobiltelefonen.
- Håll telefonen under uppsikt. Lämna den inte till någon obehörig eftersom det finns risk för manipulation.
- Ha inga mobiltelefoner eller annan uppkopplad utrustning med i sammanhang eller rum där säkerhetsskyddsklassificerad information hanteras.
- I många mobila enheter finns standardinställningar som tillåter trådlös överföring av data. Ta för vana att stänga av trådlös överföring av data som inte används, till exempel Bluetooth, AirDrop eller närfältskommunikation (Near Field Communication, NFC).
- Acceptera inga oväntade programinstallationer via mejl, sociala medier, sms eller liknande.
- Använd inga okända minneskort i mobiltelefonen.
- Om mobiltelefonen innehåller känslig information, överväg att frångå externa leverantörers erbjudande av säkerhetskopiering av innehållet.
- Kopiera all information till en säker lagringsplats innan mobiltelefonen lämnas in för service eller uppgradering, och gör en så kallad fabriksåterställning.
- Kolla med organisationens it- eller säkerhetsansvariga vilka inställningar i mobiltelefonen de rekommenderar.
- Bedöm om appen är nödvändig att ladda ner eller om den finns som hemsida via en webbläsare i stället. Då ger du inte åtkomst till lika mycket information på din mobiltelefon. Samma gäller för dator och andra smarta enheter.
- Var restriktiv med att ge appar åtkomst till platsinformation. Aktivera endast om det behövs.
- Se över integritetsinställningar efter att du uppdaterat operativsystem och appar, då de kan ha ändrats.
- Ge nya appar som du installerar ett minimum av behörigheter för att den ska fungera.
- Logga ut från appar när de inte används, annars kan de arbeta i bakgrunden.
- Radera appar som inte används. Kom ihåg att även radera tillhörande konto.
- Gå igenom och reglera behörigheterna i apparna regelbundet.
Tips! Läs mer om informationssäkerhet och säkerhetsskydd under menyn "Säkerhetsskydd" på sakerhetspolisen.se.