Background: Swedish authorities' use of popular cloud providers is today the subject of an intense debate. Legislations, like the U.S. CLOUD Act, are applicable across borders, which makes data that is stored on servers located in Sweden affected by U.S. law. Several Swedish organizations mean that the usage of affected cloud providers for storage of sensitive records breaks the Swedish law - Offentlighets- och sekretesslagen. The program for collaboration between Swedish authorities, eSam, says that there is a possibility of withstanding the law, if suitable encryption is used, but states that more research is needed. Objectives: The main objective of this thesis is to research which requirements for encryption mechanisms are needed for Swedish authorities' use of cloud providers affected by legislations like CLOUD Act, without them breaking Swedish laws. The three most popular cloud providers, Amazon Web Services (AWS), Microsoft Azure, and Google Cloud will be compared and examined if requirements on encryption are met. Historically, providers' access to encryption keys is a major threat to data confidentiality. Therefore an alternative encryption method that withholds both encryption keys and clear text, but preserves functionality will be researched. Method: To create fair and good requirements on encryption mechanisms, several threat models are created from the perspective of today's- and future laws. A SWOT-analysis will be used to compare the cloud providers. To research the possibility and usability of alternative encryption in the cloud, a system that withholds both encryption keys and clear text data from the provider is proposed. Result: The result shows that the most popular services like Office 365 and G Suite are not suitable for use by Swedish authorities for the storage of sensitive records. Instead, Swedish authorities can use IaaS-services from both AWS and Microsoft Azure for storage of sensitive records - if the requirements for encryption mechanisms are met. The result also shows that alternative encryption methods can be used as part of a document management system. Conclusion: Swedish authorities should strive to expand their digitalization but should be careful about the usage of cloud providers. If laws change, or political tensions rise, the requirements for the encryption mechanisms proposed in this thesis would not be applicable. In a different situation, Swedish authorities should use alternative solutions which are not affected by an altered situation. One such alternative solution is the document management system proposed in this thesis. / Bakgrund: Idag pågår det en delad debatt gällande lämpligheten för svenska myndigheter att använda utländska molntjänster. Lagstiftningar som bland annat amerikanska CLOUD Act utgör ett hot för svensk suveränitet, eftersom data lagrad i svenska serverhallar kan komma att vara föremål i amerikanska domslut. Vissa organisationer menar då att uppgifter som omfattas av offentlighets- och sekretesslagen (OSL) kan sannolikt betraktas som röjda. Nyttan med att använda molntjänster är generellt sett stor - och bör därför strävas efter att användas. eSam, som är ett program för myndighetssamverkan, menar i ett uttalande att kryptering skulle kunna förhindra ett röjande och möjliggöra användande av dessa molntjänster, men ifrågasätter hur det bör gå till. Syfte: Syftet med detta arbete är att undersöka vilka krav på krypteringsmekanismer som krävs för att lagra sekretessreglerad information i molntjänster utan att bryta mot svensk lagstiftning. Molntjänstleverantörerna, Amazon Web Services (AWS), Microsoft Azure och Google Cloud, kommer att undersökas för att se om dessa lever upp till de identifierade kraven. Historiskt sett är tjänsteleverantörers tillgång till krypteringsnycklar ett stort hot. Därför ska en alternativ krypteringsmetod som bevarar krypteringsnyckel undangömd från tjänsteleverantören undersökas, men som samtidigt bevarar viss funktionalitet med molntjänsten. Metod: För att kunna skapa korrekta och rimliga krav på krypteringsmekanismer skapas hotmodeller som utgår från juridiken. En SWOT-analys kommer användas för att jämföra vilka molntjänstleverantörer som lever upp till kraven. För att undersöka möjligheten och nyttan med alternativa krypteringsmekanismer, implementeras ett förslag på system där varken krypteringsnyckel eller data i klartext tillgås molntjänstleverantören. Resultat: Resultatet visar att populära tjänster som exempelvis Office 365 och G Suite är direkt olämpliga för användning av svenska myndigheter. Det visar sig att IaaS-tjänster som tillhandahålls av AWS och Microsoft Azure i viss mån lämpar sig för användning - förutsatt att vissa krav uppfylls. Resultatet visar även att det är möjligt att använda alternativa krypteringsmetoder som en del i ett dokumenthanteringssystem. Slutsats: Svenska myndigheter bör sträva efter att öka sin digitalisering, men bör ta ordentliga försiktighetsåtgärder innan eventuella upphandlingar av molntjänster sker. Skulle det juridiska eller säkerhetspolitiska läget förändras kommer de krav på krypteringsmekanismer som presenteras i arbetet inte längre vara tillämpliga. I ett förändrat läge bör svenska myndigheter istället använda alternativa lösningar som inte påverkas, likt det dokumenthanteringssystem som arbetet presenterar.
| Identifer | oai:union.ndltd.org:UPSALLA1/oai:DiVA.org:bth-19723 |
| Date | January 2020 |
| Creators | Bengtsson, Hampus, Knutsmark, Ludvig |
| Publisher | Blekinge Tekniska Högskola, Institutionen för datavetenskap |
| Source Sets | DiVA Archive at Upsalla University |
| Language | Swedish |
| Detected Language | Swedish |
| Type | Student thesis, info:eu-repo/semantics/bachelorThesis, text |
| Format | application/pdf |
| Rights | info:eu-repo/semantics/openAccess |
Page generated in 0.0025 seconds