Ny klar opfordring: Begræns risikoen for cyberangreb nu

Styrelsen for Samfundssikkerhed opfordrer endnu en gang virksomheder til snarest muligt at undersøge og begrænse risikoen for uautoriserede opslag og systematisk udtræk af personoplysninger fra deres it-systemer. Her er seks step, du bør følge nu.

Der er særlig grund til at være opmærksom på systemer, hvor CPR-numre eller andre personidentifikatorer kan anvendes som søgenøgle til at hente personoplysninger. Sådanne funktioner kan potentielt misbruges til at indsamle store mængder oplysninger gennem automatiserede eller gentagne opslag, også ved misbrug af eksisterende bruger- eller systemadgange.

Styrelsen for Samfundssikkerhed opfordrer derfor til, at din virksomhed snarest muligt:

1. Undersøger risikoen for misbrug:
   Gennemgår systemer og API'er, hvor der kan foretages opslag på CPR-numre eller andre personidentifikatorer, og vurderer, om adgange kan misbruges til systematisk indsamling af personoplysninger.
2. Kontrollerer eksisterende adgangsforhold:
   Sikrer, at autentifikation, autorisation og adgangsrettigheder er tilstrækkelige, og at brugere og systemer alene har adgang til de oplysninger, der er nødvendige for deres opgaver.
3. Gennemgår logning og overvågning:
   Undersøger historiske og aktuelle opslag for usædvanlige mønstre, herunder store mængder opslag, automatiserede forespørgsler eller anden aktivitet, der kan indikere systematisk datahøst.
4. Etablerer eller skærper forebyggende kontroller:
5. Sikrer relevante begrænsninger på opslag og udtræk, eksempelvis begrænsning af forespørgselsmængder, overvågning og alarmering ved mistænkelig aktivitet. Foranstaltningerne bør være risikobaserede og tage hensyn til systemernes legitime anvendelse.
6. Sikrer håndtering af mistænkelig aktivitet:
   Fastlægger ansvar og procedurer for hurtig undersøgelse og begrænsning af eventuelt misbrug samt relevant indberetning af konstaterede sikkerhedshændelser.

Opfordringen skal ses i lyset af det alvorlige cybertrusselsbillede mod Danmark, hvor Styrelsen for Samfundssikkerhed vurderer truslen fra cyberkriminalitet og cyberspionage som meget høj og truslen fra destruktive cyberangreb som høj.

Styrelsen for Samfundssikkerhed understreger, at det er vigtigt at forebygge, opdage og begrænse uautoriseret indsamling af personoplysninger, også i situationer, hvor misbruget sker gennem en eksisterende og i udgangspunktet legitim adgang.