Kommunens IT-chef om hul i datasikkerheden: Er overbevist om, det ikke er blevet udnyttet

Kommunens IT-chef om hul i datasikkerheden: Er overbevist om, det ikke er blevet udnyttet
Claus Munk er chef for Center for Regional Udvikling, It og Sekretariat i Bornholms Regionskommune. Arkivfoto: Allan Rieck
DATASIKKERHED | BORNHOLM | Tirsdag 21. september 2021 • 17:18

Centerchef Claus Munk forventer kritik fra Datatilsynet, men tror ikke brist i regionskommunens IT-sikkerhed er blevet udnyttet.

 

IT-systemer kan være komplicerede at forstå, erkender Claus Munk, som er chef for Center for Regional Udvikling, It og Sekretariat i Bornholms Regionskommune, over for Bornholms Tidende.

 

Det er udelukkende
ansatte i kommunen,
der har kunnet
skaffe sig adgang

 

Og også at administrere, kan man konstatere. Bornholms Regionskommune oplyser således på sin hjemmeside, at der er sket brud på persondatasikkerheden i kommunen i form af en fejl i de sikkerhedsforanstaltninger, som skal sikre, at der bliver givet korrekte adgangsrettigheder. Fejlen er for nylig blevet rettet, men har eksisteret siden 2019. Kommunens – og IT-chefens – umiddelbare vurdering er, at der ikke er sket en kompromittering af personoplysningerne, men det kan ikke afvises.

Claus Munk siger dog:

– Spørger du mig personligt, vil jeg sige, at der er ingen, der har været dernede at kigge. Det er for komplekst, men sandsynligheden er selvfølgelig til stede for, at det kunne være sket.

Han forklarer, at regionskommunen har en masse forskellige IT-systemer som eksempelvis et lønsystem, hvor man kan se cpr-nummer, løntrin og så videre. Det kan også være tandklinikken, hvor man kan se, hvornår borgernes skal indkaldes, eller hvor mange børn, de har, og så videre. Det står alt sammen i forskellige databaser, som kommunens administrative medarbejdere via systemerne kan kigge ned i og trække data fra. Og det er der ikke noget galt i, det fungerer som det skal, siger han og fortsætter:

– De enkelte medarbejdere er oprettet på et netværk, og vi har så opdaget, at gruppen også har haft adgang til de mapper, hvor dataene, som systemerne står og udveksler, ligger, og det er ikke meningen. Men jeg vil sige, at man skal virkelig være teknisk velfunderet for at kunne tilgå de mapper. Der er tale om mapper, som ligger på servere, som medarbejderne normalt overhovedet ikke ved eksisterer, og man skal ned ad en meget kryptisk sti for at komme til de data.

– Men teoretisk har man jo kunnet gøre det, og da vi ikke har en log, hvor man kan se brugerniveauet på systemmappen og på den måde konstatere, om nogen har gjort det, kan vi heller ikke over for Datatilsynet dokumentere, at der ikke er nogen ansatte i kommunen, der har været nede at kigge i mapperne. Derfor bliver vi nødt til at sige, at der er tale om et potentielt databrud.

Ikke let

Så det er folk, der arbejder i kommunen, som på grund af en fejl har været i stand til eventuelt at gå ned og kigge i borgernes private oplysninger?

– Ja, det er udelukkende ansatte i kommunen, der har kunnet skaffe sig adgang, men som sagt: Det er ikke noget, man let klikker sig frem til, der er tale om en meget kompliceret streng, man har skullet igennem. Problemet er, at medarbejderne jo kun må tjekke data, som de skal bruge for at løse deres arbejdsopgaver, og de har altså potentielt haft mulighed for at kigge på andre data også.

Og det er siden sommeren 2019, det har kunnet lade sig gøre?

– Ja, vi har kigget tilbage for at se, hvordan det er opstået, og det skete altså i 2019. Og vi kan forvente, at Datatilsynet vil udtale kritik af os, fordi vi ikke kan dokumentere, at der ikke er nogen, der har været inde at kigge. Lovgivningen siger, at vi skal indrapportere småt som stort, så vi har indberettet sagen selv.

Kan der komme nogle repressalier?

– Nej, vores jurist har kigget på de øvrige kommuner, der har lavet noget, og hvor måske hundredetusinder af brugeres oplysninger har været i fare, og Datatilsynet har udtalt "kritik" eller "kraftig kritik".

Og I forventer kritik?

– Ja, det forventer jeg, siger Claus Munk.

 

FÅ ABONNEMENT