Datatilsynet vil kontrollere alle landets kommuner

Hackere sniker seg rundt

– Vi begynte å merke i fjor at vi fikk et økt antall avviksmeldinger knyttet til omgåelse av tradisjonell tofaktorautentisering. Det vil altså si at flere og flere trusselaktører klarer å finne måter å komme seg forbi disse autoriseringsløsningene på, sier Stenbro.

Hun har forståelse for at det er vanskelig for kommuner å henge med i svingene på den teknologiske utviklingen, men alternativet kan være svært alvorlig.

– For en del svært kritiske systemer, for eksempel pasientjournalsystemer og andre systemer som inneholder svært sensitiv informasjon, så må man gjøre løpende vurderinger på om en tradisjonell tofaktorautentisering faktisk er nok, sier seksjonssjefen.

Ansvaret ligger hos kommunen

Autentisering er sjeldent noe kommunene setter opp selv, men en løsning som kommer med den digitale tjenesten de kjøper inn. Likevel understreker Stenbro at ansvaret ligger hos kommunen for å sikre at løsningen har god nok sikkerhet.

– Ansvaret ligger først og fremst hos behandlingsansvarlige, altså kommunene. Men det å vite hva du skal bestille, hvilke sikkerhetstiltak som bør oppgraderes, det krever jo en hel del, sier hun.

Stenbro trekker derfor frem viktigheten av godt og nært samarbeid med underleverandører for å få fram gode løsninger.

– Det finnes moderne løsninger, blant annet såkalt phishing-resistente autentiseringsløsninger, som kan implementeres.

Kommunene har bedt om det

I tillegg til å kontrollere kommunenes arbeid med sikring av tilgang til dataen sin, vil Datatilsynet sjekke kommunenes evne til å gjenopprette tapt data og hvorvidt digital sikkerhet er en del av kommunens totalberedskapsplan.

Ifølge Stenbro har IKT-folk i kommunene selv ønsket seg mer tilsyn, etter at de gjennomførte et omfattende tilsyn blant 98 kommuner i 2023. Når det er tilsyn, skjerper kommuneledelsen seg og setter fokus på sikkerhet.

– Vi gjør ikke dette bare for å finne feil, men for å kunne gi god, konkret veiledning knyttet til disse sikkerhetstiltakene også i etterkant, sier Stenbro.

– Det er liksom både en pisk og en veiledning.

Interkommunale samarbeid

Brev ble sendt ut til kommunene denne uken. Datatilsynet vil så følge opp med stedlige tilsyn hos utvalgte kommuner.

Særlig interessert er Stenbro i å finne ut hvilke kommuner som er mest sårbare og om det er noen mønstre som går igjen hos de som får det til.

– Vi er veldig spente på hvorvidt de kommunene som deltar i større IKT-samarbeid på disse her er bedre stilt enn de kommunene som står alene. Og hvor stor er forskjellen på store og små kommuner, sier hun.