NKOR 2015 – Spor 3 - Datasikkerhed 5. november Kontorchef Michael Kubel

2 Agenda – 3 spørgsmål 1. Er datasikkerheden omkring borgernes følsomme oplysninger god nok? 2. Hvordan sikres balancen mellem brugervenlighed og datasikkerhed? 3. Aktuelle udfordringer ved datasikkerhed i de centrale offentlige systemer?

Spørgsmål 1 (1) Beretning om statens behandling af fortrolige oplysninger om borgere og virksomheder 1/ institutioner, 8 systemer med persondata (Sikkerhedsbek.) og 3 med virksomhedsdata (Arbejdsskadestyrelsen, Danmarks Statistik, Forsvarskommandoen, Institut for Menneskerettigheder, Rigspolitiet, Skat, Socialstyrelsen og Sundhedsstyrelsen). Revisionsresultater, eksempler (ikke gældende for alle) : Retningslinjer for beskyttelse af persondata ikke opdateret årligt Brugeradgange kontrolleres ikke halvårligt Manglende eller utilstrækkelig opfølgning på afviste adgangsforsøg Manglende registrering af medarbejdernes opslag på enkeltpersoner Logregistreringer slettes ikke Der mangler en aftale med databehandleren Der følges ikke op på databehandleraftalen Der mangler retningslinjer for tilsyn. Risiko/konsekvens: Krænkelse af borgernes privatliv, virksomheder kan miste konkurrencefordele. 3

Spørgsmål 1 (2) Beretning om forebyggelse af hackerangreb 3/ institutioner udvalgt: Statens It, Digitaliseringsstyrelsen, Energistyrelsen og Klima- og Energi-ministeriets departement. Revisionsresultater: Alle 4 institutioner: Ingen begrænsning af download af programmer fra internettet (el. whitelisting) Ingen begrænsning af brugen af lokaladministratorer Ingen systematisk sikkerhedsopdatering af operativsystemer, browsere og 3. partsprogrammer (fx Internet E, Adope Reader, Flash Player og Java). Statens It: Statens It havde en udbredt af anvendelse af domæneadministratorer, hvilket medfører en høj risiko ved et evt. internt misbrug eller hackerangreb. Statens It havde ikke overvejet risikoen for spredning af hackerangreb via delte services. Risiko/konsekvens: Misbrug af it-systemer og fortrolige data. 4

Spørgsmål 1 (3) Beretning om adgangen til it-systemer, der understøtter samfundsvigtige opgaver 1/ institutioner udvalgt: Energinet.dk, Banedanmark, National Sundheds-it, Statens It, Direktoratet for Kriminalforsorgen og Rigspolitiets Koncern IT. Revisionsresultater, eksempler på hvor god praksis ikke følges: Medarbejdere samt system- og servicekonti med udv. adm. rettigheder: Antallet af konti ikke begrænset, ingen regelmæssig kontrol, kontiene benyttes til at logge på computere, servere og tilgå internettet m. adm. rettigheder, svagheder i password kompleksitet og manglende skift af password v. fratrædelse.. Logning af udv. adm. rettigheder: Logning af brugere i AD ikke følger god praksis, ikke alle computere logges, administratorer har adgang til loggen, logfiler opbevares ikke i en tilstrækkelig lang periode, manglende regelmæssig gennemgang af AD-logfiler samt ingen overvågning af anomalier. Risiko/konsekvens: True løsningen af samfundsvigtige opgaver og kompromittere fortrolige data. 5

6 Klip fra medier

Hvordan sikres balancen mellem brugervenlighed og datasikkerhed? (1) Digital service Borgernes ønsker og behov sættes i fokus. Dette kan gøres ved, at institutionerne tilstræber, at løsningen (den digitale service) skal være: - nem at lære og forstå - nem at huske - effektiv - pålidelig - tilfredsstillende Krav til datasikkerhed er fx fastlagt i persondata-lovens § 41, stk. 3. Virksomheder skal etablere de fornødne tekniske og organi- satoriske sikkerhedsforanstalt- ninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. 7 Brugervenlighed Datasikkerhed

Hvordan sikres balancen mellem brugervenlighed og datasikkerhed? (2) Hvordan kan vi sikre en bedre balance? Digitaliser for brugerne- involver dem – og lad dem også teste. Brugervenlighed og -orientering er et fokuspunkt, som der skal tages udgangspunkt i allerede i designfasen. Anvend bedste praksis og benyt fx vejledninger om brugervenlighedstest mv. Efter idriftsættelse: Revurdere og forbedre løsningen Andre forhold som kan påvirke balancen: Økonomiske hensyn Særlig lovgivning på de forskellige områder, fx om følsomme data. 8

Aktuelle udfordringer ved datasikkerheden i centrale offentlige systemer? Ledelsen går forrest og tager ansvar System- og dataklassifikation – hvilke har vi? Risikovurdering – brug den! Manglende forståelse af proces-, system- og dataejerskab Sikkerhedsbevidsthed hos medarbejdere It-leverandørstyring – er service og sikkerhed i orden? It-teknisk gæld (forældede systemer) Sikkerhedsopdatering Beskyttelse af persondata (databeh.aftaler, sikk.bek.) Udv. administratorrettigheder / system- og servicekonti Logning og overvågning 9

Links Rigsrevisionen: Beretning om forebyggelse af hackerangreb: Beretning om statens behandling af fortrolige oplysninger om personer og virksomheder: Beretning om adgangen til it-systemer, der understøtter samfunds- vigtige opgaver: www-rigsrevisionen.dk/publikationer/

Kontaktoplysninger Rigsrevisionen Landgreven 4 DK Købehavn K Kontorchef Michael Kubel