Kontrollerer I jeres it-systemer regelmæssigt?
I tre sager har Datatilsynet vurderet, at manglende basale tests af it-systemer var årsag til brud på datasikkerheden.
Kontrol af it-systemer
It-systemer skal kontrolleres regelmæssigt for at sikre:
- At systemet ikke videregiver flere oplysninger end nødvendigt.
- At systemet ikke videregiver oplysninger til forkerte modtagere.
- At adgangskontrollen på systemet fungerer hensigtsmæssigt, således at brugerne har adgang til præcis de oplysninger, de skal bruge (og ikke mere).
Kontrollerne bør udføres inden systemet tages i brug, og hver gang der bliver foretaget en ændring i systemet f.eks. i forbindelse med en opdatering.
Manglende kontroller resulterede i brud på datasikkerheden
Datatilsynet har kritiseret flere kommuner for en mangelfuld kontrol af deres it-systemer, som i de konkrete tilfælde førte til brud på datasikkerheden.
I en af sagerne blev der blandt andet videregivet for mange oplysninger om borgere til kommunens ansatte. Når medarbejderen udfyldte kommunens digitale ansøgning på vegne af en borger, videregav it-systemet således oplysninger om borgerens navn, adresse og personnummer, hvilket ikke var nødvendigt for behandlingen af ansøgningen.
I et andet tilfælde havde underdatabehandleren, som leverede digitale løsninger til kommunen, fejlagtigt udeladt et filter i it-systemet, der skulle begrænse de enkelte kommuners adgang til data om borgere. Fejlen betød, at nogle af kommunens ansatte havde adgang til 4,2 mio. borgeres personnumre og beskæftigelsesrelaterede oplysninger i en periode på omkring 4 måneder.
Sikkerhedsbruddet skete i en af sagerne i forbindelse med en opdatering af it-systemet. En sikkerhedskomponent der skulle sikre, at kun de relevante oplysninger var tilgængelige for brugerne med adgang til systemet, var midlertidigt blevet deaktiveret. Fejlen resulterede i at udvalgte medarbejdere i kommunen uretmæssigt kunne tilgå beskæftigelsesrelaterede oplysninger om 1,5 mio. borgere fra andre kommuner.