Mikkel Petersen
Millioner af CPR-numre er blevet stjålet, og nu mener eksperter, at noget skal ændres.
Millioner af danskere har i årevis brugt deres CPR-nummer som en naturlig del af hverdagen.
Hos lægen, på apoteket og i forbindelse med lån er de ti cifre blevet brugt til at identificere borgere og i nogle tilfælde bekræfte deres identitet.
Nu advarer to cybersikkerhedseksperter om, at den praksis ikke længere er forsvarlig.
Advarslen kommer efter et omfattende databrud, hvor hele 8,8 millioner CPR-numre fra både levende og afdøde danskere tidligere på måneden blev stjålet.
Det skriver DR.
Eksperter vil ændre systemet
Ifølge Jacob Herbst, der er forperson for Cybersikkerhedsrådet, er tiden kommet til at erkende, at CPR-nummeret ikke længere kan betragtes som en hemmelig oplysning.
“Helt grundlæggende må vi erkende, at CPR-nummeret er kompromitteret. Og den her sag er bare det sidste søm i kisten,” siger han til DR.
Han bakkes op af Jan Kaastrup, der er digital efterforsker hos cybersikkerhedsvirksomheden CSIS.
Begge eksperter mener, at CPR-nummeret fortsat kan bruges til at identificere personer, men ikke bør være tilstrækkeligt til at bekræfte, at en person faktisk er den, vedkommende udgiver sig for at være.
Det gælder blandt andet situationer på apoteker, hos læger og i forbindelse med optagelse af lån.
Vil sætte en stopper for velkendt praksis
Cybersikkerhedsrådet foreslår ligefrem et forbud mod at bruge CPR-numre som middel til identitetsbekræftelse.
I stedet bør der anvendes mere sikre løsninger som MitID eller det nye AltID.
Jan Kaastrup peger desuden på muligheden for at indføre et nyt, unikt identifikationsnummer til alle borgere, som ikke indeholder personfølsomme oplysninger.
CPR-nummeret indeholder i dag blandt andet oplysninger om fødselsdato og køn.
Eksperternes forslag betyder dog ikke, at danskernes CPR-numre allerede er blevet ugyldige, eller at systemet står foran en besluttet afskaffelse.
Ministre skal stå til ansvar
Det omfattende databrud har nu også fået politiske konsekvenser.
Digitaliseringsminister Christina Egelund og minister for samfundssikkerhed og beredskab Lisbeth Bech-Nielsen er indkaldt til samråd i Folketinget.
Her skal de blandt andet forholde sig til, om CPR-lækket giver anledning til at gentænke Danmarks digitale infrastruktur og anvendelsen af CPR-systemet.
Samrådet er planlagt til at begynde klokken 12.
Indtil videre er der ikke truffet beslutning om at ændre systemet, men eksperternes budskab er klart: Et CPR-nummer bør ikke længere stå alene som bevis på, hvem en person er.
