Hent beretningen her (pdf) - Rigsrevisionen

STATSLIGE VIRKSOMHEDERS STYRING AF IT-SIKKERHEDEN EFTER OVERGANGEN TIL STATENS IT 43
c. Eksempler på konsekvenser af manglende it-styring
Utilstrækkelige beredskabsplaner
114. Undersøgelsen viste, at kun én af virksomhederne havde udarbejdet en tilfredsstillende
beredskabsplan. Virksomhederne er ansvarlige for et betydeligt antal statslige it-systemer,
som er fundamentet for de undersøgte ministeriers opgavevaretagelse, men virksomhederne
havde generelt ikke opdateret beredskabsplanerne. Virksomhederne havde derfor ikke
etableret et effektivt beredskab i tilfælde af en eventuel alvorlig nødsituation.
Samtidig viste undersøgelsen, at virksomhederne i mange tilfælde ikke havde en tilfredsstillende
styring af backup. Virksomhederne har derfor heller ikke i tilstrækkeligt omfang kendskab
til, om systemer og data kan genskabes på grundlag af en backup, hvis uheldet indtræder,
og beredskabet skal aktiveres.
Persondata
115. Undersøgelsen viste, at virksomhederne ikke havde kendskab til, om persondata fortsat
var beskyttet tilstrækkeligt. Virksomhederne har pligt til at sikre, at persondata beskyttes
tilstrækkeligt, selv om data behandles og opbevares i Statens It. Det fremgik af kundeaftalen,
at Statens It handlede på instruks fra kunden, og at Statens It på den baggrund skulle
etablere den fornødne organisatoriske og tekniske sikkerhed i og omkring persondata.
Det fremgår af bekendtgørelse om sikkerhedsforanstaltninger til beskyttelse af personoplysninger,
som behandles for den offentlige forvaltning (bekendtgørelse nr. 528 af 15. juni
2000), at den dataansvarlige myndighed skal træffe de fornødne tekniske og organisatoriske
foranstaltninger til beskyttelse af persondata.
Myndigheden skal desuden fastsætte nærmere interne bestemmelser om sikkerhedsforanstaltninger
til uddybning af bekendtgørelsens regler. Bestemmelserne skal omfatte organisatoriske
forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger
og autorisationsordninger samt kontrol med autorisationer.
De interne bestemmelser skal gennemgås mindst én gang hvert år for at sikre, at de er fyldestgørende
og afspejler de faktiske forhold i myndigheden.
116. Revisionen viste, at virksomhederne havde udfyldt et regneark til Statens It, hvoraf det
blandt andre oplysninger fremgik, hvilke systemer der indeholdt persondata. Ingen af virksomhederne
havde imidlertid anmodet om at modtage en løbende rapportering fra Statens
It, som viste, at beskyttelsen af persondata var tilstrækkelig.
Statens It opfattede ikke regnearket som en instruks og havde derfor ikke truffet særlige foranstaltninger
omkring persondata for nogen af kunderne ud over sikringsforanstaltninger,
der var etableret inden overdragelsen til Statens It.
Forhold omkring adgangsstyring, kontrol med autorisationer, logning, kryptering, transmission,
destruktion af uddata mv. påvirkes, når data behandles hos en serviceleverandør. Rigsrevisionen
finder derfor, at virksomhedernes instruks til Statens It burde være mere fyldestgørende
end det fremsendte regneark. Rigsrevisionen finder til gengæld også, at Statens It
kunne have reageret på det grundlag for at finde ud af, om der var behov for særlige sikringsforanstaltninger
på baggrund af de væsentlige organisatoriske ændringer.
117. Datatilsynet har på grundlag af det fremsendte høringsudkast – og med forbehold for
ikke at være bekendt med de undersøgte virksomheders høringssvar – vurderet, at Rigsrevisionens
undersøgelse afdækker et behov for, at de virksomheder, der benytter Statens It
som databehandler, i højere grad sikrer sig, at persondatalovens krav om sikkerhedsforanstaltninger
overholdes hos databehandleren. Datatilsynet er derfor enig med Rigsrevisionen
i, at virksomhederne i tæt dialog med Statens It bør udarbejde retningslinjer og procedurer,
der medvirker til at sikre en tilfredsstillende it-sikkerhed i og omkring de anvendte systemer
og data. Datatilsynet finder, at dette bør ske snarest.