Rigsrevisionen: Statens IT har uddelt alt for vide brugerrettigheder til store statslige systemer

Illustration: Statens IT
Fem medarbejderne i Statens IT har haft for nemt ved potentielt at misbruge deres adgang til at redigere eller slette data og til at slette sporene efter sig, da de har kunnet slå logningen af deres digitale handlinger fra, lyder kritikken fra Rigsrevisionen.

Fem medarbejdere i Statens IT har haft superbruger-rettigheder på et niveau, der giver dem vid adgang til store dele af Udbetaling Danmark og økonomistyringssystemet Navision Stat. Det har dels potentielt været en sårbarhed i forhold til svindel og dels har det gjort de ansatte til oplagte mål for hackere, vurderer eksperter i it-sikkerhed.

Det skriver DR på baggrund af en aktindsigt i en rapport fra Rigsrevisionen, der viser at Statens IT tildeler for brede rettigheder til til de store, statslige it-systemer.

»Vi har fundet væsentlige svagheder ved Statens Its drift af infrastrukturen og it-miljøet,« konkluderer Rigsrevisionen i to rapporter ifølge DR.

Både lektor Søren Debois, IT-Universitetet og chefanalytiker Jens Christian Høy Monrad fra it-sikkerhedsfirmaet Fireeye påpeger, at tildelingen af så vide privilegier kan blive et stort problem, hvis hackerne formår at overtage dem. For så har de adgang til stort set alt.

Ifølge Rigsrevisionen kan medarbejderne misbruge deres adgang til at redigere eller slette data og til at slette sporene efter sig, da de har kunnet slå logningen af deres digitale handlinger fra.

Statens IT afviser, at de fem medarbejdere har haft mulighed for misbrug, men har dog strammet op på brugerretighederne.

De fem ansatte hos Statens It er ikke mistænkt for at have svindlet.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (4)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Anne-Marie Krogsbøll

Det har dels potentielt været en sårbarhed i forhold til svindel og dels har det gjort de ansatte til oplagte mål for hackere, vurderer eksperter i it-sikkerhed."

Disse systemer indeholder særdeles følsomme oplysninger. Ud over risikoen for svindel, hvordan så med risiko for intern snagen/læk af persondata?

Statens IT afviser, at de fem medarbejdere har haft mulighed for misbrug,"

Hvordan kan der være uenighed på det punkt?

De fem ansatte hos Statens It er ikke mistænkt for at have svindlet."

Er det undersøgt, eller har man på forhånd opgivet at opklare det? Udelukker den mulige manglende logning al efterforskning på det punkt?
Kan det ikke efterforskes via evt. uklarheder/uoverensstemmelser i de regnskaber og kontoudtog, som vel må foreligge?

Og hvordan kan det ske, at Statens IT ikke har tjek på noget så banalt/basalt? Har Rigsrevisionen adgang til bedre fagfolk end Statens IT?

Vil der blive sanktioner ift. GDPR?

Jan Thomsen

Det er vel ikke givet at ethvert IT system er skabt så rolle/rettighedsmodellen understøtter en finkornethed der muliggør at adskille de forskellige funktioner som er nødvendige for at drifte såvel den teknologiske platform hvorpå der driftes såvel som de applikationer der kører på den pågældende platform.
Jeg har personligt i mit arbejde med offentlig IT været i situationer hvor man ideelt set ville ønske en rolle/rettighedsmodel som blot ikke var mulig i det foreliggende system.
Jeg tror ikke på at Rigsrevisionens visioner nødvendigvis er realiserbare i alle tilfælde.
Men een ting kunne man måske overveje i den slags - måske kunne man indføre stringen accounting i OS og applikationer - og derefter replikere disse til en platform udenfor statens ITs regi - og håbe på at dem der har adgang til disse data ikke kan misgruge dem.
Paranoia synes at snige sig ind i det offentlige - er der nogen vi overhovedet kan stole på - udover måske Hendes Kongelige Højhed Dronning Margrethe :-)

Povl H. Pedersen

Alle steder er der vel personer med høje adgange. Hvis det er lavet rigtigt, så er de vigtigste roller pillet af deres primære konto, og de bruger den sekundære til de sjældnere opgaver.

Jeg har været med til at indføre princippet med at rettigheder man ikke bruger mindst hver anden uge skal på en sekundær bruger (der iøvrigt ikke kan nå Internet, og ikke har mail etc), evt køres via en nødbruger.

Der er intet galt i at en medarbejder har flere brugerkonti afhængigt af hans kasket. eller trækker en nødkuvert hvis han skal fifle med loggen.

I de fleste større systemer, så er der en klar adskillelse mellem administrative roller (genstart, backup, etc), roller der kan oprette brugere og rettigheder, samt almindelig brugerroller.

Og i sådanne systemer bør man overveje hvor mange af brugerne i flere rollekategorier skal have flere brugeridentiteter.

Men problemet er her vel det samme som andre steder, at drift og driftsprocedurer er sparet væk i effektivitetens navn. Og der er medarbejdere der ikke vil miste deres status af "Gud", og som ser en rolleopdeling som et personligt angreb. Hvor jeg arbejder ser vi det som et plus, der mindsker risikoen for at man direkte, indirekte, eller gennem malware/hacker kommer til at ødelægge mere end godt er. Men det er en kulturel ting.

Log ind eller Opret konto for at kommentere