Styrelse tilfreds med Nets' håndtering af NemID-angreb
Det er helt i orden, at Nets først begynder at sikre NemID mod DDoS-angreb, efter det første angreb har fundet sted - to et halvt år efter, at løsningen blev sat i drift.
Det skriver Digitaliseringsstyrelsen i en mail onsdag morgen, efter at Version2 mandag formiddag kontaktede styrelsen i anledning af de ikke-offentliggjorte DDoS-angreb, som Version2's aktindsigt har afsløret.
Holdningen er i lodret modstrid med en række it-ordføreres, der samstemmende kalder det chokerende, at Nets ikke tidligere har implementeret forholdsregler mod DDoS-angreb, ligesom it-netværkseksperten Henrik Kramshøj betegner Nets' handlinger som 'skadeligt inkompetente'.
Nets oplyser, at de har været i gang med DDoS siden januar – er det tilfredsstillende?
»Overordnet set er vi fint tilfredse med DanID’s fokus på risiko og trusler,« skriver Charlotte Jacoby, souschef i Digitaliseringsstyrelsen, til Version2 og fortsætter:
»Der foretages løbende risikovurderinger af aktuelle trusler mod NemID-løsningen, og behovet for at iværksætte supplerende sikkerhedsforanstaltninger afvejes i forhold til brugervenlighed og økonomi. DDoS er i den forbindelse en risiko blandt mange.«
Uddybende skriver Charlotte Jacoby:
»Fra den første hændelse i januar har Nets DanID intensiveret deres fokus på netop DDoS og i takt med intensiveringen af angreb iværksat tiltag med henblik på at gøre infrastrukturen mere robust i forhold til netop DDoS-angreb.«
Version2 har også spurgt, om der har været flere angreb, som eksempelvis DDoS, som offentligheden ikke har hørt om. Digitaliseringsstyrelsen oplyser, at der ikke har været andre hændelser eller angreb end de to DDoS-angreb i januar og februar.
At DDoS-angreb i januar og februar ikke blev meldt ud, forklarer Digitaliseringsstyrelsen med, at informationen til borgerne skal være relevant og ikke unødvendig. Derfor prioriterer styrelsen, der står for driftstatussiden på nemid.nu, at informere handlingsorienteret til borgerne. Statusopdateringerne på siderne består af en eller to sætninger, der kort opdaterer om problemer eller en o.k.-melding af driften - noget, Digitaliseringsstyrelsen får direkte fra NemID i en lige så kortfattet mail.
»Når vi har afdækket årsager til hændelsen efter f.eks. dage/uger (f.eks. et DDoS-angreb), er den sjældent konkret anvendelig for den enkelte bruger,« skriver Charlotte Jacoby og fortsætter:
»Vi opsamler løbende informationer og melder bredt ud på NemID’s hjemmeside, nyhedsbrev mv. – her opsummerer vi det, som vi mener er relevant oplysning (og som baserer sig på den viden, som vi har opnået de seneste måneder).«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
