Danmark har mere end nogensinde brug for en it-havarikommission.
Det er udmeldingen fra flere eksperter i IT-sikkerhed i kølvandet på Datatilsynets skarpe kritik af Rigspolitiets IT-sikkerhed i forbindelse med den store CSC-hackersag fra 2012.
Lars Syberg, som er leder af IT-sikkerhedsfirmaet FortConsult, er en af dem, som synes, det er en rigtig god idé at få en IT-havarikommission.
- Der kommer noget læring ud af denne sag, som burde bruges fremadrettet.
- Der vil komme mange af denne slags sager, hvor man igen og igen kommer til at begå de samme fejl, for der er ikke nogen, som samler de erfaringer sammen. Så kunne man gøre det med en IT-havarikommission, så ville det være fantastisk, siger Syberg.
Den vurdering er softwareudvikler og IT-ekspert Poul-Henning Kamp enig i, og han mener desuden, at det helt store problem i sagen er, at der ikke er nogen, som stilles til ansvar, da han finder hele den offentlige IT-sikkerhed i CSC-sagen yderst kritisabel.
- Det er meget svært at kommunikere, hvor galt det her faktisk er, siger han.
- Det primære problem er, at fejlene, der er blevet begået, er fuldstændigt omkostningsfrie for de ansvarlige. Ikke en eneste person er blevet degraderet, fyret eller på nogen måde blevet holdt til ansvar.
Kamp foreslår som løsningsforslag, at det burde kræve en autorisation at være persondata-ansvarlig.
- I dag kan enhver 18-årig, der bliver sikkerhedsgodkendt af Politiets Efterretningstjeneste, fungere som persondata-ansvarlig. En autorisation går hånd i hånd med en ansvarsplacering, og den har vi brug for.
- Det eneste Datatilsynet kan gøre er at skrive med fed skrift i afgørelsen, at det er "overordentligt kritisabelt", og så sker der ikke mere, siger Kamp.
Hackerangrebet mod statens it-leverandør CSC er blevet kaldt danmarkshistoriens største og stod på fra marts 2012 til august samme år.
Ifølge Datatilsynets analyse var det muligt at få adgang til de følsomme oplysninger, blandt andet fordi en computer med forbindelse til det europæiske Schengen-system var koblet til internettet.
Kritikken går blandt andet på, at det strider mod et it-sikkerhedsprincip om at adskille webservere og informationsdatabaser.
/ritzau/
