KMD har via sit Nexus-system været udsat for et hack, der har medført brud på persondatasikkerheden ved at lække cpr-numre. Ifølge KMD er der tale om en udviklingsserver og ikke et produktionssystem.
Datatilsynet oplyser til Version2, at tilsynet d. 9. maj 2019 har journaliseret 46 anmeldelser om brud på persondatasikkerheden i forbindelse med en sikkerhedshændelse vedrørende KMD Nexus. Flere anmeldelser kan komme til senere.
KMD Nexus er en platform til kommunerne, som giver mulighed for samle borgerforløb ét sted. Med platformen kan kommunen etablere samarbejder om forløb, der omfatter fx sundhed, omsorg og socialområdet, på tværs af forvaltninger og fagligheder. Målet er at spare dobbelt indtastninger og opslag i andre systemer. Data er automatisk ført ajour med serviceplatformen og kan udveksles med for eksempel Sundhedsplatformen, Servicebussen og støttesystemerne. Data fra 3.-partsløsninger kan integreres, fx lige fra medicindosering til telemedicinske målinger og elektroniske nøglesystemer. Kilde: KMD
Ifølge aktindsigt, som Version2 har fået i en anmeldelse fra Egedal Kommune til Datatilsynet, skønner KMD, at den konkrete hacking ikke havde til formål at kompromittere persondata, men alene at udnytte test-serverens datakraft.
Det fremgår af anmeldelsen, at KMD har fået hacket en testserver, hvor der lå en række cpr-numre på borgere i Egedal Kommune. Der er tale om ældre data fra 2011 og 2012.
KMD har oplyst til kommunen, at serveren og data blev sikret d. 17. april i år.
Egedal Kommune blev først orienteret om hændelsen den 1. maj 2019, hvor Egedal kontaktede KMD, da kommunen ad omveje havde hørt om hackingen.
Kommunikationschef i KMD, Christoffer Hellmann, har sendt følgende kommentar på email:
»Jeg kan bekræfte, at vi har haft en sikkerhedshændelse på en intern udviklingsserver hos KMD. Vores analyser viser, at uvedkommende ved hjælp af et sikkerhedshul i det anvendte samarbejdssoftware havde skaffet sig adgang til den pågældende server og uretmæssigt anvendt serverkapaciteten til bitcoin mining,« skriver han.
KMD fik ifølge Christoffer Hellmann straks sikret serveren og har i samarbejde med tekniske rådgivere og sikkerhedseksperter undersøgt sikkerhedshændelsen, herunder iværksat tiltag, der kan være med til at tilsikre, at en lignende situation ikke opstår igen.
»KMD har været i løbende dialog med de kommuner, der har været berørt af sikkerhedshændelsen. KMD beklager sikkerhedshændelsen, og det ligger os på sinde at understrege, at KMD tager den pågældende sag alvorligt, og sikkerhed har en høj prioritet for os.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
