Statsrevisorerne: IT-sikkerhed i staten lever ikke op til minimumskrav

Flere myndigheder med ansvaret for personfølsomme data og kritisk infrastruktur modtager kritik fra statsrevisorerne for fortsat ikke at leve op til minimumskravene for IT-sikkerhed indført i 2020.

Statsrevisorerne retter kritik af en række myndigheder for fortsat manglende IT-sikkerhed ved kritisk digital infrastruktur.

De lever ikke op til minimumskravene for sikkerhed, og det er "på trods af, at kravene trådte i kraft for halvandet år siden," lyder det.

Oplysninger om kriminalitet, efterforskninger og personfølsomme sundhedsdata er blandt de mange typer af information, som ikke er sikret tilstrækkeligt mod ondsindede hackerangreb. Det viser en undersøgelse foretaget af Rigsrevisionen, som er grundlaget for statsrevisorernes kritik.

Også muligheden for, at hackere kan udgive sig for at være en myndighed, ændre i vigtige datasæt, tage kontrol med kritisk infrastruktur eller aflytte offentligt ansatte, er under kritik.

"Statsrevisorerne finder, at der er brug for, at Finansministeriet stiller sig i spidsen for vedvarende fokus på it-sikkerheden i staten," skriver statsrevisorerne i beretningen. 

Alle stikprøver dumper på minimumskrav

Statens IT, Kriminalforsorgen, Sundhedsdatastyrelsen, Energistyrelsen og Fødevaredatastyrelsen er de myndigheder, der blev udtaget til kontrol. Ingen af dem lever dog op til de 20 minimumskrav for IT-sikkerhed, der har været ufravigelige krav siden 2020 i hele statsapparatet.

De er særligt udvalgt, fordi de forvalter kritisk infrastruktur eller personfølsomme data.

Sundhedsdatastyrelsen har kun efterlevet 14 minimumskrav, hvor Energistyrelsen har efterlevet 15 krav, Kriminalforsorgen har efterlevet 16 krav, og Fødevarestyrelsen har efterlevet 17 krav. Statens IT, som er "professionel aktør og leverandør af IT-ydelser til 19 ministerier" har efterlevet 18 ud af 20 krav.

Statsrevisorerne gør i beretningen opmærksom på, at opfyldelsen af kravene ”ikke i sig selv er et udtryk for, at myndigheden har en høj IT-sikkerhed. En høj IT-sikkerhed kræver således mere end efterlevelsen af de 20 tekniske minimumskrav”.

Forrige artikel Staten: Ugentlige selvtests af skolebørn og offentligt personale kan løbe op i 340 millioner om måneden Staten: Ugentlige selvtests af skolebørn og offentligt personale kan løbe op i 340 millioner om måneden Næste artikel Ekspert: Ukraine er endt som gidsel Ekspert: Ukraine er endt som gidsel