Personvernrisiko i offentlig sektor — status

Offentlig sektor som målskive for tyveri

Offentlig forvaltning er en primærmålskive for datatyveri fordi de har tilgang til omfattende personopplysninger. Helsetjenesten har medisinske opplysninger, Nav har inntektsopplysninger, og politiet har straffeopplysninger. Kombinasjonen av verdi og tilgjengelighet gjør offentlig sektor attraktiv for både internasjonale cyberkriminelle og interne aktører med dårlig intensjon. De senere årenes økning i datalekkasjer fra offentlig sektor har avdekket både sikkerhetsmangel og mangel på oppmerksomhet rundt risiko.

Tall og trender

Datalekkasjer fra offentlig sektor har økt

kilder til datalekkasjer og misbruk

Datalekkasjer oppstår fra flere kilder: tekniske sikkerhetshull, dårlig administrering av tilganger, rykkende ansatte som tar data med seg, og økende cyberangrepssofistikering. Svikt i rutiner for passordbehandling gjør at standard adminpassord ikke endres. Dårlig dokumentasjon av hvem som har tilgang til hvilket system skaper blind flekker. Eldre systemer som ikke lenger fikk oppdateringer er en særlig risiko. Det menneskelige moment er fortsatt en av de viktigste svakpunktene, med ansatte som ikke er tilstrekkelig opplært i sikkerhet.

"Vi ser at offentlig sektor ofte er tre-fem år bak privat sektor når det gjelder sikkerhetstankegang. Det mangler både ressurser og kompetanse for å håndtere modern cyberkriminalitet."

Konsekvenser for borgerne

Når persondata fra offentlig sektor blir lekket eller stjålet rammes borgerne på flere måter. Direkte økonomisk tap oppstår hvis data brukes til identitetstyveri eller svindelaktiviteter. Tap av tillit til myndighetene påvirker villigheten til å dele informasjon eller bruke offentlige tjenester. Psykologisk påvirkning fra å vite at ens sensitive informasjon er kompromittert kan være langvarig.

Tiltak for bedret sikkerhet

Mange offentlige virksomheter har startet omfattende digitale sikkerhetsprogram. Opplæring i informasjonssikkerhet skal være obligatorisk for alle ansatte i offentlig sektor. Implementering av «zero trust» arkitektur, hvor hver tilgang sjekkes, blir stadig mer vanlig. Kryptering av alle data i transit og ved lagring er et minimumskrav som må gjelde universelt. Regelmessige sikkerhetstester og penetrasjonstester bør være obligatorisk for kritiske systemer.

Veien videre

Sikkerhet i offentlig sektor krever langterm investering og holdningsendring. Datatilsynets veiledning og pålegg vil tvinge virksomheter til å ta personvern alvorlig. Internasjonalt samarbeid mellom nasjonale sikkerhetsmyndigheter vil være nødvendig for å bekjempe sofistikert cyberkriminalitet. Lovgivning som stiller klarere og sterkere krav til sikkerhet vil være nødvendig.