Sundhedsdatastyrelsen, Udenrigsministeriet, Banedanmark og Beredskabsstyrelsen er for dårlige til at beskytte sig mod hackerangreb, der kan føre til økonomisk afpresning.
Det viser en undersøgelse, som Rigsrevisionen har gennemført blandt de fire statslige institutioner for at se, om de lever op til Center for Cybersikkerheds 20 anbefalinger.
- Statsrevisorerne bemærker, at forebyggelsen af ransomwareangreb ikke er tilstrækkelig, og at ingen af institutionerne fuldt ud har sikret, at alle deres programmer har de nyeste sikkerhedsopdateringer, lyder kritikken blandt andet.
Etisk hacker: For let for cyberkriminelle
Hos it-konsulentvirksomheden NNIT siger Christian Dinesen, der er ansat som såkaldt 'etisk hacker' i afdelingen Cyber Defence Center, at de cyberkriminelle har alt for let spil over for de undersøgte fire myndigheder.
- Det er kritisk, fordi de alle har vigtige funktioner i vores samfund. Det, som Rigsrevisionen påpeger, viser desværre en umodenhed, som ses andre steder også. Specielt lokale administratorrettigheder og manglende opdateringer har ellers været et fokuspunkt de sidste 15 år, siger han.
Overordnet set er det ikke svært at rette op på de punkter, som rapporten kritiserer, fortæller han. Og det kan blive dyrt at lade være.
- Konsekvensen er en ransomware-hændelse, der vil ramme statsinstitutionerne hårdt og hæmme deres evne til at operere. I en krigstilstand til det være det første, en modstander vil gøre, siger han.
Banedanmark: Vi retter ind
Banedanmark er den af de fire statsinstitutioner, der har flest anmærkninger i undersøgelsen. Her siger økonomidirektør Peter Jonassen, at man tager Rigsrevisionens kritik til efterretning.
- Der skal selvfølgelig være styr på it-sikkerhed, og det er vi meget optaget af i Banedanmark. Allerede før Rigsrevisionens rapport gik vi i gang med det store arbejde at implementere EU’s persondataforordning, som har fokus på nye it-sikkerhedspolitiske tiltag, siger han.
Thomas Fænø Hansen, der er it-chef i Banedanmark, fastslår, at de sikkerhedsbrister, som statsrevisorerne kritiserer, ikke har noget at gøre med driften af tog eller trafikstyring.
- Styringen af S-togstrafikken kører eksempelvis på et helt separat og lukket netværk. Rapporten omhandler alene ransomware, hvor enkelte eller flere medarbejdere ikke kan udføre deres arbejde via deres computer, siger han.
Thomas Fænø Hansen oplyser, at Banedanmark indtil videre har undgået ransomwareangreb.
- Vi har haft dog oplevet forsøg på hackerangreb, men de har været meget små, og de er blevet håndteret korrekt og tilfredsstillende, og uden det har gjort nogen skade.
Problemer med at genskabe data
Ud af 20 anbefalede beskyttelsestiltag har Sundhedsdatastyrelsen forsømt at opfylde fem tiltag - det drejer sig for eksempel om at benytte såkaldt 2-faktor login ved webmail.
Det betyder, at en hacker med en kendt mailadresse eller et brugernavn kan få held til at bryde ind i en ansats webmail ved at gætte adgangskoden. Samtidig har styrelsen ikke gjort nok for at forhindre brugen af private e-mailløsninger.
Udenrigsministeriet har også forsømt fem tiltag - eksempelvis ved at undlade at gennemføre systematiske test til at genetablere systemer og data.
Banedanmark har svigtet på otte områder - for eksempel ved ikke at følge op på awareness-aktiviteter og ved ikke at sikre, at der kun bliver tildelt lokaladministrative rettigheder, hvis man har et arbejdsbetinget behov.