Hent beretningen her (pdf) - Rigsrevisionen

40 STATSLIGE VIRKSOMHEDERS STYRING AF IT-SIKKERHEDEN EFTER OVERGANGEN TIL STATENS IT
Ved risikovurderingen
vurderer virksomheden,
hvilke systemer
der er forretningskritiske,
og som virksomheden
skal beskytte
med konkrete sikkerhedsforanstaltninger.
Systemejers opgaver
og ansvar omfatter fx:
overholdelse af itsikkerhedspolitik
og
lovgivning
systemunderstøttelse
af forretningen
klassifikation af systemer
og data
brugeradministration
funktionsadskillelse
krav til systemdokumentation,driftssikkerhed
og beredskab
brugeruddannelse.
Dataejers opgaver og
ansvar omfatter fx:
anmeldelse af systemer
med persondata
til Datatilsynet
sikring af fuldstændige,
nøjagtige og
godkendte data
styring af brugeradgang
til data.
b. Virksomhederne havde ikke en tilstrækkelig styring af it-sikkerheden
105. Undersøgelsens resultater for hvert delområde er gengivet i det følgende.
Risikovurdering og sikkerhedspolitik
106. Rigsrevisionen undersøgte, om virksomhederne havde udarbejdet en risikovurdering
af alle væsentlige systemer og data, hvor driften var overdraget til Statens It. Vi undersøgte
endvidere, om virksomhederne havde en skriftlig, opdateret sikkerhedspolitik, hvor samarbejdet
med Statens It var beskrevet relevante steder i politikken.
De fleste virksomheder havde udarbejdet en sikkerhedspolitik, som var opdateret. Virksomhedernes
sikkerhedspolitik var som oftest udarbejdet med udgangspunkt i de gennemførte
risikoanalyser og -vurderinger.
System- og dataejere
107. Rigsrevisionen undersøgte, om virksomhederne internt havde defineret system- og dataejeres
opgaver og ansvar, og om det fremgik af retningslinjer og procedurer, hvordan opgavefordelingen
var fastlagt mellem Statens It og virksomheden.
Undersøgelsen viste, at 3 ud af 14 virksomheder havde beskrevet opgavefordelingen og
havde påbegyndt implementeringen heraf.
11 virksomheder havde ikke gennemført en tilfredsstillende opdatering af retningslinjer og
procedurer for system- og dataejere. Etableringen af Statens It medførte ofte, at praksis
blev justeret, men justeringerne blev ikke konsekvensrettet i retningslinjerne. Det gælder
bl.a. kontrol af adgangsrettigheder, håndtering af persondata, funktionsadskillelse og systemdokumentation.
Ændringsstyring
108. Rigsrevisionen undersøgte, om virksomhederne havde udarbejdet retningslinjer og procedurer
for ændringsstyring af deres væsentligste fagsystemer, som var i drift i Statens It.
Rigsrevisionen undersøgte endvidere, om der var procedurer, som beskrev, hvordan systemer
skulle overdrages fra test til produktion, dvs. en beskrivelse af, hvordan systemet skulle
overgå til drift i Statens It.
Undersøgelsen viste, at 3 virksomheder havde beskrevet opgavefordelingen og havde påbegyndt
implementeringen af dokumenterede retningslinjer og procedurer for ændringsstyring.
Endvidere viste undersøgelsen, at ingen af virksomhederne havde en tilfredsstillende dokumentation
af de kontroller, virksomhederne udførte i forbindelse med ændringsstyring. Mangler
i ændringsstyringerne medfører risiko for nedbrud i it-driften, tab af data og økonomiske
tab.
Backup
109. Rigsrevisionen undersøgte, om væsentligheden af virksomhedernes systemer og data
samt afledte krav til backup var beskrevet, og om kravene var meddelt Statens It.
Undersøgelsen viste, at virksomhederne havde overdraget viden om og dokumentation for,
hvad Statens It skulle tage backup af, men at dokumentationen ikke var vedligeholdt tilstrækkeligt
ved efterfølgende ændringer.
Nogle virksomheder havde fulgt op på, om Statens It foretog backup som aftalt. Det var fx
tilfældet i en virksomhed, hvor data ikke kunne genskabes på baggrund af mangelfuld backup.
Ingen af virksomhederne havde en sammenhængende og opdateret dokumentation for retningslinjer
og procedurer, der skulle følges, og som beskrev, hvad der skulle tages backup
af.