Kontrollerer I jeres it-systemer regelmæssigt?

I tre sager har Datatilsynet vurderet, at manglende basale tests af it-systemer var årsag til brud på datasikkerheden.

Kontrol af it-systemer

It-systemer skal kontrolleres regelmæssigt for at sikre:

• At systemet ikke videregiver flere oplysninger end nødvendigt.
• At systemet ikke videregiver oplysninger til forkerte modtagere.
• At adgangskontrollen på systemet fungerer hensigtsmæssigt, således at brugerne har adgang til præcis de oplysninger, de skal bruge (og ikke mere).
  

Kontrollerne bør udføres inden systemet tages i brug, og hver gang der bliver foretaget en ændring i systemet f.eks. i forbindelse med en opdatering.

Manglende kontroller resulterede i brud på datasikkerheden

Datatilsynet har kritiseret flere kommuner for en mangelfuld kontrol af deres it-systemer, som i de konkrete tilfælde førte til brud på datasikkerheden.

I en af sagerne blev der blandt andet videregivet for mange oplysninger om borgere til kommunens ansatte. Når medarbejderen udfyldte kommunens digitale ansøgning på vegne af en borger, videregav it-systemet således oplysninger om borgerens navn, adresse og personnummer, hvilket ikke var nødvendigt for behandlingen af ansøgningen.

I et andet tilfælde havde underdatabehandleren, som leverede digitale løsninger til kommunen, fejlagtigt udeladt et filter i it-systemet, der skulle begrænse de enkelte kommuners adgang til data om borgere. Fejlen betød, at nogle af kommunens ansatte havde adgang til 4,2 mio. borgeres personnumre og beskæftigelsesrelaterede oplysninger i en periode på omkring 4 måneder.

Sikkerhedsbruddet skete i en af sagerne i forbindelse med en opdatering af it-systemet. En sikkerhedskomponent der skulle sikre, at kun de relevante oplysninger var tilgængelige for brugerne med adgang til systemet, var midlertidigt blevet deaktiveret. Fejlen resulterede i at udvalgte medarbejdere i kommunen uretmæssigt kunne tilgå beskæftigelsesrelaterede oplysninger om 1,5 mio. borgere fra andre kommuner.

Læs alle afgørelserne på Datatilsynets hjemmeside.