Virksomheder bør undersøge systemer efter flere sager om datalæk

Opfordringen om at undersøge systemer kommer, efter at der har været flere sager om læk af personoplysninger.

Styrelsen for Samfundssikkerhed har i weekenden sendt en opfordring til myndigheder og virksomheder, efter at der den seneste tid har været flere hændelser om udtræk af personoplysninger.

Det skriver Dansk Industri søndag i en pressemeddelelse.

Både myndigheder og virksomheder bør undersøge og begrænse risikoen for, at uvedkommende foretager opslag og systematisk henter personoplysninger fra it-systemer.

Opfordringen gælder ifølge Dansk Industri langt bredere end systemer, der har direkte adgang til CPR-registret.

Den gælder alle løsninger, hvor man ved hjælp af for eksempel et CPR-nummer, kundenummer eller andre identifikationsnumre kan få vist personoplysninger som navn og adresse.

Meldingen kommer efter CPR-sagen, hvor 8,8 millioner danske CPR-numre blev lækket.

Efterfølgende har der været flere hændelser med cyberangreb.

Fredag oplyste Københavns Universitet, at det havde været udsat for et cyberangreb, hvor hackere havde skaffet sig adgang til oplysninger på cirka 525.000 personer.

Det indebar blandt andet oplysninger som for- og efternavne, CPR-numre og telefonnumre.

Teleselskabet 3 Danmark oplyste ligeledes fredag, at uvedkommende kan have haft adgang til for- og efternavne samt adresser på op mod 400.000 privatkunder.

Ifølge Jeppe Engell, der er cybersikkerhedsekspert i Dansk Industri, viser hændelserne, at virksomheder ikke alene skal kontrollere, hvem der har adgang til systemerne. Man skal også holde øje med, hvordan adgangen bliver brugt.

- Det særlige ved truslen er, at gerningsmanden ikke nødvendigvis behøver at bryde ind i et system, siger han i pressemeddelelsen og tilføjer:

- Misbruget kan ske gennem en adgang, der i udgangspunktet er legitim, men som bruges til at foretage et meget stort antal opslag.

På baggrund af opfordringen fra Styrelsen for Samfundssikkerhed anbefaler Dansk Industri fem konkrete tiltag.

Man bør få et overblik over de steder, hvor identifikationsnumre kan bruges til at hente personoplysninger og rydde op i adgangen til oplysningerne.

Derudover anbefaler Dansk Industri, at man gennemgår logfiler og leder efter usædvanlige mønstre i opslag, at man sætter et loft over antallet af opslag, og at man aftaler, hvem der undersøger og lukker en mistænkelig adgang.

- Hvis en ekstern leverandør driver systemet, bør virksomheden blandt andet spørge, om der er sat grænser for antallet af opslag, om virksomheden får besked ved usædvanlig aktivitet, og hvem der har adgang til oplysningerne, siger Jeppe Engell.

RITZAU