Rammet svenske kommuner:

Leverandør får gebyr etter stor datalekkasje i offentlig sektor

I fjor høst ble et flertall av Sveriges kommuner og flere regioner rammet av en omfattende datalekkasje. Nå får selskapet som leverte datasystemene et overtredelsesgebyr på 1,8 millioner svenske kroner.

Anne Lise Stranden

Et flertall av Sveriges kommuner og flere regioner ble rammet av et datainnbrudd i fjor høst. Personopplysninger om 2,2 millioner personer ble stjålet, delvis også sensitive opplysninger. Opplysningene ble senere publisert på det mørke nettet.

Nå har den svenske personvernmyndigheten IMY gransket lekkasjen og vedtatt et overtredelsesgebyr på 1,8 millioner svenske kroner for brudd på personvernforordningen.

Det er Miljödata, en stor leverandør av HR-systemer til offentlig sektor, som må betale boten.

Manglende kontroller bidro til angrepet

Granskingen viser at Miljödatas håndtering av personopplysninger hadde mangelfull sikkerhet. Den tekniske og organisatoriske sikkerheten vurderes som utilstrekkelig. Selskapet gjennomførte ikke tilstrekkelige kontroller da det installerte programvare, og hadde også mangler ved sanntidsovervåkingen av systemene som skulle avdekke innbrudd.

Miljödata stolte på produktet fordi det var «kostbart» og kom fra en kjent leverandør, opplyser selskapet.

– GDPR stiller krav om egnede sikkerhetstiltak for personopplysningene man behandler. Her har Miljödata sviktet, og resultatet er at en trusselaktør fikk tak i opplysninger om en stor del av Sveriges befolkning, opplyser generaldirektør Eric Leijonram i Integritetsskyddsmyndigheten (IMY) i en pressemelding.

IMY ser alvorlig på det som har skjedd. Nå håper han at andre virksomheter også tar lærdom av vedtaket og gjennomgår sikkerheten for personopplysningene de selv har ansvar for.

Kostbart og levert av kjent leverandør

Utpressingsangrepet fant sted 20. august i fjor. Sju dager tidligere hadde Miljödata installert en støttekomponent til en brannmurløsning. Komponenten var utdatert og hadde en kritisk sårbarhet som hadde vært kjent lenge.

Ifølge granskingen opplyste Miljödata at det ikke hadde grunn til å mistenke noe galt med den installerte versjonen, ettersom produktet var kostbart og levert av en kjent leverandør.

Miljödata kommenterer at selskapet ikke deler alle konklusjonene. Overtredelsesgebyret kan påklages til forvaltningsdomstolen innen tre uker.

En politietterforskning av grovt datainnbrudd og forsøk på grov utpressing er gjennomført, men henlagt på grunn av mangel på bevis.

IMY gransker også tre offentlige kunder av Miljödata: Gøteborg kommune, Region Västmanland og Älmhult kommune. Disse undersøkelsene pågår fortsatt.

Kilde: Upphandling24.se