Digitaliseringsstyrelsen i ny supportbrist: Send dit CPR-nummer på e-mail

En NemKonto-bruger blev af supporten opfordret til at sende CPR-nummer over e-mail. KMD beklager og skyder skylden på urutineret medarbejder.

Efter adskillige forgæves forsøg på at logge ind på nemkonto.dk henvendte softwareudvikler Lars Balker sig forleden til supporten. Til hans store overraskelse fik han at vide, at han kunne få hjælp, hvis han sendte sine CPR-oplysninger via e-mail.

Mailssvar som Lars Balker fik fra NemKonto-supporten. Klik for større billede.

Det strider mod Datatilsynets tolkning af persondataloven. Tilsynets opfattelse er nemlig, at alle personfølsomme oplysninger kun bør sendes over internettet, hvis de som minimum er krypterede. Og det er en almindelig e-mail ikke. En almindelig e-mail er ikke mere sikker end et postkort.

Derfor nægtede Lars Balker også at sende sine CPR-oplysninger til NemKonto-supporten.

»Jeg er da fortørnet over, at jeg blev bedt om at sende mine CPR-oplysninger over mail. Det er vel netop for at undgå, at man skal opgive oplysninger, at vi har et system som NemKonto,« siger Lars Balker til Version2.

Læs også: Sikkerhedsekspert: NemID-support og Nordea giver 'helt gale' råd

Ifølge KMD, som står bag supporten, er det da heller ikke normal kutyme.

»Der er tale om en beklagelig fejl. Vi har opfordret en bruger til at sende sit CPR-nummer, og det er selvfølgelig ikke normal procedure hos os, og vi har i dag indskærpet, at det må man ikke,« siger KMD’s pressechef, Christoffer Hellmann til Version2.

Han forklarer hændelsen som en menneskelig fejl og begrunder den med, at den pågældende supportmedarbejder 'ikke er superrutineret'.

Hændelsen får Digitaliseringsstyrelsen til at løfte pegefingeren over for KMD.

»Digitaliseringsstyrelsen har i dag indskærpet over for NemKonto Support/KMD, at den beskrevne situation ikke er gældende procedure, og at det derfor er væsentligt, at den ikke gentages,« skriver kommunikationsrådgiver ved Digitaliseringsstyrelsen Geske Fischer-Hansen i en mail til Version2.

Den er anden gang inden for ganske kort tid, at en service under Digitaliseringsstyrelsen giver tvivlsomme sikkerhedsråd.

Læs også: DanID's support: Se bort fra sikkerhedsadvarsel

I slutningen af marts blev NemID brugere mødt med en sikkerhedsadvarsel, da de skulle bruge NemID. Det fik flere brugere til at ringe ind til NemID-supporten, hvor de blev vejledt til at ignorere advarslen. En vejledning, der strider stik imod DanID’s retningslinjer og god sikkerhedspraksis.

Læs også: Finansministeren indrømmer forkert NemID-vejledning til borgerne

Kommentarer (15)

Søren Lund

For at forstå at CPR-oplysninger, er følsomme data?

Det er vel regel nr. 1, i denne sammenhæng.

Hvor svært kan det være at formidle en håndfuld du-må-alrig-regler? (bede om brugerens cpr-nr pr. e-post, bede om brugerens adgangskode, etc.)

Supporteren prøvede at være hjælpsom, og bliver nu beskyldt for at være urutineret. Ynkeligt.

Kunne være interessant at vide hvordan KMD oplærer deres supportere.

Michael Deichmann

Han forklarer hændelsen som en menneskelig fejl og begrunder den med, at den pågældende supportmedarbejder 'ikke er superrutineret'.

Sikke noget p**! Det er sgu da KMD der ikke uddanner deres medarbejdere ordentligt!
Længere er den ikke!

Mikael Ibsen

og denne fejl, og andre endnu mere graverende sikkerhedsfejl vil i al fremtid komme igen igen igen igen igen ..... Og hvor mennesker ikke er indblandet, vil de ske alligevel, fordi alle maskiner og systemer har deres oprindelse fra mennesker - og kompleksiteten skal ikke være ret stor, før overblikket bliver begrænset.
Problemet med digitaliseringen er, at konsekvenserne af tilsyneladende bagatelagtige fejl eller mangelfuld omhu kan blive meget voldsomme og svære at rette op på efterfølgende. Og som vi er ved at indrette vores samfund for tiden med pålagt digitalisering, ofte på et tyndt forberedt grundlag, vil den enkelte ind imellem måtte påregne at komme stå i en Kafkask situation, uden at der er noget at gøre ved det - hovedsageligt fordi de, som burde gøre noget ved det, ikke aner, hvad de skal stille op, og fordi de, som kan gøre noget ved det, ikke er tilgængelige.
Må man nævne eksempler som digital tinglysning, indefrysning af digitale boer, så de efterlevende står uden oplysninger eller hvad med Skat's aktieregistreringssystem.

Peter Andersen

Måske er han urutineret, men han er YDERST velformuleret. Med høflige fraser, korrekt tegnsætning og det hele. Mangt en supporter ville ha nøjes med "prøv at sende mig dit cpr så tjekker jeg lige...". Man kunne få den mistanke at der er tale om standardformuleringer, og ikke bare en tilfældig utrænet (men velskrivende) supporter...

Jonas Iversen

CPR er IKKE følsom data!!!!
Dét der er kritisabelt er at der er nogen der tror det ér, og bruger CPR som såden!
HØR NU HER.....DIG SOM LÆSER DETTE......DER ER FLERE TUSINDE MENNESKER I DANMARK DER HAR ADGANG TIL DIT CPR-NUMMER, såsom ansatte i de organisationer, virksomheder og myndigheder som gemmer dit CPR! Det er der overhovedet ikke styr på! Og det er alstå almindelige mennesker, som hverken har bedre eller dårligere moral end nogen anden!
Desuden kan du bare gå i en hvilken som helst skraldespand og finde et brev med CPR-nummer på.

WAKE-UP!

Lars Balker

Jeg kontaktede v2 af flere grunde, og jeg synes faktisk ikke at det største problem med det hele var at den flinke supporter ville hjælpe mig hvis jeg sendte mit CPR-nummer. Det er selvfølgelig ikke i orden. CPR-numre burde ikke være følsom data som Jonas på diplomatisk vis skriver, men det er de desværre.

Men jeg kan STADIG ikke logge på nemkonto.dk, som vel at mærke har flinke supportere siddende 16 timer om dagen på alle ugens dage. Det kan vel for pokker ikke være billigt.

Hvorfor skal jeg så se denne side første gang jeg logger på (den har jeg set tit nu):
http://balker.dk/nem1.png

Det er sgu pinligt at den slags lækker ud til brugerne igen og igen.

Og bagefter, når jeg prøver at logge på igen (via "Log ind på selvbetjening" på forsiden af nemkonto.dk), får jeg den korrekte side fra "DET OFFENTLIGE LOG-IN-FÆLLESSKAB" (som har virket fint for mig på andre services). Men efter jeg har logget ind i nemid-appletten på den side, sendes jeg bare til http://www.nemkonto.dk/Selvbetjening uden at være logget ind.

Problemet er at nemkonto.dk er DYR at drive (Supportere 7-23 ALLE dage?!? Hvilken anden hjemmeside har det?), og har sikkert været DYR at udvikle. Og jeg kan ikke bruge den. Og jeg har fortalt det til support. Der ikke har givet mig en løsning, og jeg er ikke blevet kontaktet af nogen for flere oplysninger, hvis de ikke kan reproducere problemet.

Til gengæld skrev supporten også i det svar Theis tog med i artiklen, "Det kan med mellemrum forekomme at man ikke kan logge på". Det er fiseme ikke godt nok, KMD. Og det er ikke "med mellemrum". JEG KAN SLET IKKE LOGGE PÅ.

I det mindste har jeg da fået brugt en solid bunke nemid nøgler på det her sjov indtil videre.

Jonas Iversen

@Gert

You don't get!!!... åhhh....det ser sort ud!
Det er jo netop dét der er problemet, at bankerne bruger CPR numrene som følsømme og at man kan få oplyst adresser (alle hvad du nu hentyder til) bare fordi man har et CPR nummer, sagen er at andre HAR adgang til dit CPR nummer!

Så organisationer, firmaer og myndigheder må IKKE bruge disse CPR numre som følsomme data, men som reelt offentlig tilgængeligt
Der er absolut INGEN sikkerhed i CPR systemet mht. hvem der at adgang til dit CPR nummer!

Medierne skulle istedet skrive om de firmaer, organisationer og myndigheder som bruger CPR til unik og "hemmelig" ID!

Jesper Lund

Så organisationer, firmaer og myndigheder må IKKE bruge disse CPR numre som følsomme data, men som reelt offentlig tilgængeligt
Der er absolut INGEN sikkerhed i CPR systemet mht. hvem der at adgang til dit CPR nummer!

Det ville også rart hvis der ikke var en (mere eller mindre) offentlig kendt identifier som kædede mine profiler i 117++ private og offentlige systemer sammen. Der er kun een person som har brug for det samlede overblik.

Måske gav CPR nummeret mening for 40 år siden. I dag er det en trussel mod samfundet.

Christian Schmidt

@Jonas:

Så organisationer, firmaer og myndigheder må IKKE bruge disse CPR numre som følsomme data, men som reelt offentlig tilgængeligt


Næh, men det gør de alligevel, så det er nok en god idé at holde det tæt til kroppen, uden at man dog skal blive paranoid.

Det kan godt være, at jeg ikke hæfter økonomisk for misbrug, hvis nogen hæver penge udelukkende ved at oplyse mit CPR-nummer, men det kommer helt sikkert til at koste mig en masse bøvl, hvilket jeg helst vil være fri for.

Vil du være tryg ved at poste dit CPR-nummer her i debatten?

På den anden side ­– hvis man kunne starte en bevægelse, hvor en hel masse folk offentliggjorde deres CPR-nummer, kunne man måske være med til at gøre det åbenlyst for bankansatte og andre, at CPR-nummer ikke kan bruges som identifikation.

Lars Christensen

Jeg kan som udviklingschef undrer mig over, at hver gang der sker en procedurefejl indenfor de offentlige IT-relaterede projekter, så skyder de ansvarlige på deres egne supportere eller på software og program.

Det er et problem af dimensioner, taget i betragtning af at Danmark som helhed forventes at være et papirløst samfund om få år!

Pr. definition skal software og programmer være udformet således at

”Selve udviklingen af offentlige IT-projekter skal medføre en væsentlig minimering af menneskelige fejl i det daglige brug”

Samt at ovenstående har topprioritet i kravspecifikationen og det løbende udviklingsarbejde.

Der kan ikke herske tvivl om, at der altid vil være risiko for menneskelige fejl, når programfejl kræver menneskelig indgriben.

Problemet er alt for stort, fordi de ansvarlige (dvs. Christiansborg og den økonomiske elite) åbenbart ikke er istand til at definere en strategi omkring KVALITETEN af de programmer og software som hele denne digitalisering skal bygges på.

Det må være klart for enhver, at en manglende eller måske elendig kravspecifikation, danner grundlaget for ekstreme fejlberegninger begået både af den ansvarlige udviklingsvirksomhed, men sandelig også de enkelte udviklingsteams.

En anden af de meget kritiske fejl, er de overbebyrdede og/eller uerfarne projektledere, der ikke har en kinamands chance for at levere et kvalitets produkt, alene fordi de ikke får den fornødne tid til at tjekke det udførte arbejde kontinuerligt - og dette KUN fordi mange af de ansvarlige lider af en dræbende spareiver.

Hvis det danske samfund skal kunne bruge digitaliseringen optimalt, skal denne spareiver begrænses og istedet afløses af ansvarlig udvikling FØR projektet kommer forbi skitseniveau.
Derved opnås, at det samlede projekt får en helt anden fokus og at de ansvarlige SKAL være i stand til at dokumentere at en given besparelse IKKE har negativ indflydelse – og ikke mindst at denne dokumentation kan danne grundlag for efterfølgende placering af ansvar.

Jeg siger IKKE at Nemkonto, NemId eller Rejsekortet skal skrottes – slet ikke! Men lad os da for søren bruge vores menneskelige resourcer og knowhow på at udvikle highclass IT-projekter, frem for disse tredjerangs bambus løsninger.

Mvh Lars plbrake.dk

Mads Bahrt

Den nemmeste løsning er offentliggørelse af alle CPR-numre. Det skulle selvfølgelig varsles i passende tid, men en under en passende pressedækning kunne man offentliggøre alle navn-CPR par. Dette ville sikre at alle forstod at CPR-nummeret udelukkende er et unikt ID og at kendskab til dette ikke kan identificere nogen.

Rene Brokholm

jeg mener at vi skal have gjort op med at cpr-nummeret er en sikker identifikation hvis vi skal komme nogen steder i dette her it-land.
Cpr er så nem at knække at det gør helt ondt at tænke på at det bliver brugt til identifikation i forskællige it-systemer. Mange danskere har en facebook profil hvor deres fødselsdato står, det er kun 4 cifre der afholder mig fra at bryde denne "kode". Der er kun ca 540 mulige kombinationer per år plus at hvis personen er født før 2007 kan man tjekke om man har fået det rigtige med modulus 11 kontrol(1).

Har du et personnummer kan du ændre addresse hos post danmark. derpå kan du få nyt sygesikring for 500kr, nyt pas, nyt kørekort, ny konto i en anden bank, nyt konto kort osv.

Der er sku noget galt i Danmark når alt dette kan anskaffes bare man har en anden persons løbenummer/personnummer.

[1] http://da.wikipedia.org/wiki/CPR-nummer

Log ind eller opret en konto for at skrive kommentarer

JobfinderJob i it-branchen

TDC skifter koncernchef efter faldende mobilomsætning

Jesper Stein Sandal Mobil og tele 14. aug 2015

Nyeste job

KurserStyrk dine evner med et kursus

CERT 70-467 Designing Business Intelligence Solutions with SQL Server 2014

Hvornår: 2015-11-06 Hvor: Storkøbenhavn Pris: kr. 4950.00

Excel og databaser

Hvornår: 2015-11-25 Hvor: Storkøbenhavn Pris: kr. 7000.00

Grundlæggende Bogholderi

Hvornår: 2015-11-18 Hvor: Storkøbenhavn Pris: kr. 8990.00

Moms i relation til bespisning

Hvornår: 2015-09-23 Hvor: Storkøbenhavn Pris: kr. 4990.00

Test Management

Hvornår: 2015-09-03 Hvor: Storkøbenhavn Pris: kr. 8800.00