Hent beretningen her (pdf) - Rigsrevisionen

STATSLIGE VIRKSOMHEDERS STYRING AF IT-SIKKERHEDEN EFTER OVERGANGEN TIL STATENS IT 41
Sikkerhedshændelser
110. Rigsrevisionen undersøgte, om der var udarbejdet retningslinjer og procedurer, som
beskrev, hvordan sikkerhedshændelser, som involverede Statens It, skulle håndteres.
Én virksomhed havde opdaterede retningslinjer og procedurer for håndteringen af sikkerhedshændelser,
hvor opgavefordelingen mellem virksomheden og Statens It var indarbejdet.
3 virksomheder var nået langt med at beskrive opgavefordelingen og implementere retningslinjer
og procedurer for sikkerhedshændelser.
Nogle virksomheder havde ældre retningslinjer og procedurer for håndtering af sikkerhedshændelser,
som delvist kunne finde anvendelse.
De fleste virksomheder havde ikke opdaterede retningslinjer mv., selv om det var Rigsrevisionens
vurdering, at der var behov for en opdatering efter overgangen til Statens It.
Beredskabsplan
111. Rigsrevisionen undersøgte, om virksomhederne havde en organisatorisk beredskabsplan
med tilhørende retningslinjer og procedurer, der sikrede en styring og koordination af
beredskabet i virksomheden og i Statens It.
Rigsrevisionen konstaterede, at kun én virksomhed havde udarbejdet en tilfredsstillende og
opdateret beredskabsplan.
Ingen af de øvrige virksomheder havde udarbejdet opdaterede beredskabsplaner samt retningslinjer
og procedurer, der sikrede en styring og koordination af beredskabet i virksomheden
og i Statens It.
Generel sikkerhed
112. Rigsrevisionen undersøgte, om virksomhederne havde meddelt Statens It deres ønsker
til rapportering om den generelle it-sikkerhed.
Virksomhederne har ansvaret for, at deres fagsystemer og data behandles sikkerhedsmæssigt
forsvarligt. Virksomhederne bør derfor løbende modtage en rapportering om it-sikkerheden
i og omkring de systemer og data, som virksomhederne ikke selv kontrollerer.
Krav til rapporteringen fra Statens It kan fx omfatte kontrollerne i Statens It vedrørende backup/restore,
resultat af test vedrørende sikkerhed mod hackerangreb, opfølgning på, hvem
der har haft adgang til virksomhedernes data og systemer, virusbeskyttelsens effektivitet mv.
Rigsrevisionen undersøgte, om virksomhederne havde vurderet, om det var nødvendigt
med en supplerende rapportering ud over det, der var beskrevet i kundeaftalen med Statens
It.
Det fremgik under interviewene, at de fleste af virksomhederne havde overvejet behovet
for supplerende rapportering fra Statens It. De fleste virksomheder kunne også dokumentere,
at generelle sikkerhedsspørgsmål og serviceniveauet ved flere lejligheder havde været
drøftet med Statens It.
Ingen af virksomhederne kunne dokumentere, at de systematisk havde overvejet behovet
for supplerende information om it-sikkerheden fra Statens It, og at dette var meddelt Statens
It.
Sikkerhedshændelser
er fx hackerangreb, eller
hvis en medarbejder
videregiver fortrolige
oplysninger.