Sommeren har vært preget av flere alvorlige dataangrep mot norske virksomheter, og det mest omfattende og mest omtalte var dataangrepet mot Lørenskog kommune. I begynnelsen av mai klarte noen å hacke seg inn i systemene til kommunen, og i juli ble det kjent at hackerne har publisert 1,8 terabyte med data. Dokumentene inneholdt svært sensitive opplysninger fra flere år tilbake, alt fra bekymringsmeldinger, saker på navngitte barn fra barnevernet, pasientjournaler og politianmeldelser. Kommunen hadde tidligere uttalt at det ikke var grunn til å tro at sensitive personopplysninger var på avveie, men det viste seg senere å ikke stemme. Kommunen har vist åpenhet, og redegjort selv for bruddet. Det ble fremlagt rapport etter granskningen, og kommunen har varslet at de vil bruke kr 34,5 millioner på å rydde opp etter angrepet og gjøre sikkerhetstiltak.
Dette angrepet viser hvor lite som skal til, ved at angriperne først fikk tilgang til en ansatts datamaskin, to uker senere klarte de å ta seg videre inn i kommunens servere, og det tok ytterligere to uker før kommunen oppdaget angrepet. Sikkerhetsselskapet som bistår kommunen, mener at hackerne ved å pakke ned innholdet før eksfiltrering og spre uttaket over de to ukene de hadde tilgang til filserveren, holdt seg under terskler som normalt ville skapt mistanke. Logging og overvåking som bare slår ut ved store og plutselige datauttak, er med andre ord ikke nok. At opplysningene strakk seg flere år tilbake, er også en påminnelse om det gamle jungelordet om at slettede data ikke kan lekkes.
Saken illustrerer også hvor krevende varsling etter GDPR artikkel 33 og 34 kan bli. Datatilsynet sier at et utpressingsangrep (ransomware) skal meldes dersom det er uklart om og eventuelt hvilke personopplysninger som er på avveier, i påvente av ytterligere avklaring, og Lørenskog-saken viser hvorfor en første vurdering av at sensitive opplysninger ikke er rammet, kan være for optimistisk. Kommunen har valgt å prioritere å varsle personer som har fått lekket spesielt sensitiv informasjon eller som kan være i større fare for ID-tyveri, og varselet sendes til digital postkasse og ikke på e-post eller SMS med lenke, noe som reduserer risikoen for svindel i etterkant. Samtidig har kommunen oppfordret innbyggerne til å be om innsyn, og i begynnelsen av august hadde 423 innbyggere bedt om innsyn, noe som kan være krevende (se nedenfor).
Andre har også hatt angrep denne sommeren, som Norsk Tjenestemannslag (NTL) som 16. juni ble utsatt for et ransomware-angrep mot sentrale IT-systemer, og elsparkesykkelselskapet Ryde. Ikea har også hatt et datainnbrudd som ble kjent i sommer, og som rammer nordmenn, hvor hackerne klarte å laste ned opplysninger om inntil 3261 ansatte, og navn og adresse til 42.370 kunder. Ifølge avviksmeldingen skyldtes innbruddet en sikkerhetssårbarhet i en tredjeparts åpen kildekode-programvare som brukes av databehandleren.
Svakheter hos leverandører er fellesnevner i flere av sakene, som viser hvor avgjørende det er med en god leverandør som sikrer data. Nylige saker har også vist at det er lite å hente ved krav mot leverandøren når den feiler, og det er derfor desto viktigere at det stilles konkrete sikkerhetskrav i databehandleravtalene og at det følges opp at de faktisk etterleves, og ikke bare at leverandøren varsler raskt når noe har skjedd. Mange tar for lett på sikkerheten hos leverandøren, dessverre.
Datatilsynet har kommet med råd om hvordan beskytte seg mot databrudd. Det finnes også mer informasjon på sikkert.no, som er et initiativ fra NSM, Politiet, Datatilsynet og Digdir. Det er også grunn til å minne om NSMs grunnprinsipper for IKT-sikkerhet. Jeg har også laget en løsning for å generere sikkerhetskrav for kontrakter og databehandleravtaler som finnes her.
Jeg har arbeidet med flere slike saker i sommer, og erfaringen er at det i kjølvannet av et angrep eller databrudd kommer en mengde krav om innsyn, sletting og erstatning. For at man skal kunne håndtere dette innenfor fristen må man ha god nok bemanning og rutinene på plass. Fristene i GDPR artikkel 12(3) gjelder også i en slik situasjon, og som Elkjøp-saken (omtalt ovenfor) viser, kan fristen ikke forlenges automatisk. Virksomheter bør derfor ha en plan for hvordan en stor bølge av innsynskrav skal håndteres etter en hendelse. Og går man over fristen eller følger ikke opp rettighetene til de registrerte riktig, så kan det komme bøter (ref. bl.a. Elkjøp- og SATS-sakene). For det er ikke snakk om dersom man blir utsatt for dataangrep, men når.
