Informationssikkerhed i det offentlige. KMD Analyse

Transkript

1 Informationssikkerhed i det offentlige KMD Analyse

2 Om KMD Analyse KMD Analyse udarbejder analyser om de digitale muligheder i det offentlige og private Danmark. KMD Analyse har blandt andet tidligere udgivet rapporterne Den digitale folkeskole vurderinger og holdninger fra elever og forældre, Socialt bedrageri i Danmark og Telemedicinsk behandling af KOL-patienter potentialer og barrierer. KMD Analyse samarbejder bl.a. med CEDI om udvikling af analyserne. Læs mere om KMD Analyse og hent rapporterne på KMD er it med indsigt KMD er den største danskbaserede it-virksomhed, og hovedparten af KMD s forretning udspringer af egen softwareudvikling. I 40 år har KMD arbejdet med udvikling, drift og vedligeholdelse af Danmarks største kommunale it-systemer. KMD udvikler og leverer i dag software- og serviceløsninger til kommune-, stats- og erhvervsmarkedet i Danmark. Systemerne håndterer eksempelvis udbetalinger af løn og sociale ydelser, og hvert år beregner og udbetaler KMD s softwaresystemer over 400 mia. kroner. Det svarer til cirka 20 pct. af Danmarks BNP. KMD s softwaresystemer håndterer også så forskellige områder som administration af skoler og forsyningsvirksomheder til afholdelse af folketingsvalg i Danmark. Senest er KMD gået i gang med at digitalisere de store velfærdsområder med ny velfærdsteknologi - fra folkeskole til hjemmepleje. KMD har en årlig omsætning på mere end fire milliarder danske kroner og har omkring ansatte. KMD er ejet af Advent International og Sampension. For yderligere oplysninger: Morten Langager, Direktør, Kommunikation og Marketing: mlr@kmd.dk Tidligere udgivelser fra KMD Analyse: Digitalisering af ældreplejen Potentialer og holdninger, januar 2011 Kronisk sygdom En digital samfundsdiagnose, maj 2011 Det digitale valg Danskernes holdning til e-valg, september 2011 Valgkampens medier Danskernes præferencer, september 2011 Det Digitale Borgerindeks Danskernes holdning til offentlig digitalisering, oktober 2011 Socialt bedrageri i Danmark - Omfang, adfærd og holdninger, december 2011 Folkeskolens digitale tilstand Udfordringer og muligheder, januar 2012 Danskerne og velfærdsteknologien Holdninger til digitalisering af velfærden, juni 2012 Den digitale folkeskole - Vurderinger og holdninger fra elever og forældre, august 2012 Den digitale daginstitution - En temperaturmåling og vurdering af daginstitutionernes digitale tilstand og potentialer, januar 2013 Mødernes kanalstrategi Digitale potentialer ved kommunal mødepraksis, september 2013 Telemedicinsk behandling af KOL-patienter potentialer og barrierer, oktober 2013 Kommunal- og regionsvalg 2013 Valgkampens medier, november 2013 Valg til Europa-Parlamentet og folkeafstemning om patentdomstolen 2014, maj 2014 Kommunal velfærdsinnovation potentialer og barrierer, juni 2014 KMD Analyse 2

3 Indholdsfortegnelse Sammenfatning... 4 Hovedkonklusioner Indledning... 7 Analysens opbygning Informationssikkerhed - en forudsætning for offentlig digitalisering Offentlig digitalisering fra niche til mainstream Det digitale trusselsbillede under forandring Offentligt ansattes holdninger og adfærd Informationssikkerhed i offentligt ansattes hverdag Offentligt ansattes erfaringer med informationssikkerhed Offentligt ansattes holdninger til informationssikkerhed Borgernes holdninger og adfærd Danskernes brug af digitale løsninger Danskernes sikkerhedsvaner Danskernes erfaringer med datamisbrug Danskernes holdning til informationssikkerhed og deling af data Strategier for offentlig informationssikkerhed Sikkerhedsudfordringen for den enkelte offentlige myndighed Organisering af sikkerhedsopgaven Fordele ved fællesoffentligt engagement Ingen genveje til god informationssikkerhed Om analysen Survey med offentligt ansatte Befolkningssurvey Kvalitative interviews KMD Analyse 3

4 Sammenfatning Med den nyligt gennemførte overgang til obligatorisk digital post nåede det offentlige Danmark den hidtil mest synlige milepæl på en årelang rejse, hvor digitaliseringen er blevet brugt som løftestang for mere effektive arbejdsgange og forbedrede serviceoplevelser for borgerne. I dag modtager 90 pct. af danskerne digital post fra det offentlige, og for danskerne er det lige så almindeligt at betjene sig selv digitalt hos offentlige myndigheder, som det er at bruge sociale medier som Facebook og lignende. Danmark kan med rette siges at være med i front blandt de mest gennemdigitaliserede lande i verden. Men med denne vidtstrakte grad af digitalisering i samfundet i almindelighed, og det offentlige i særdeleshed, er det ikke overraskende, at vi som samfund oplever en øget eksponering mod de mange nye digitale trusler. Det er på denne baggrund, at KMD Analyse ønsker at stille skarpt på, dels hvordan de offentligt ansatte oplever informationssikkerheden i det daglige, og dels på danskernes vurdering af de offentlige myndigheders evne til at forvalte deres personoplysninger på betryggende vis. Når det er interessant, hænger det sammen med, at tilliden til at det offentlige er i stand til at håndtere personoplysninger på betryggende vis, er en afgørende forudsætning for en yderligere digitalisering. Undersøgelsen bygger på to surveys, som er gennemført online af KMD Analyse i perioden fra 22. oktober til 3. november Der er tale om følgende: En survey med deltagelse af offentligt ansatte fra stat, regioner og kommuner (survey m/offentligt ansatte). En survey med deltagelse af danskere mellem år fra hele landet (befolkningssurvey). Der er endvidere gennemført kvalitative interviews med 10 beslutningstagere og praktikere inden for informationssikkerhed fra statslige myndigheder, regioner og kommuner. Hovedkonklusioner Undersøgelsen blandt de offentligt ansatte tegner et billede af, at der i vid udstrækning sker brud på informationssikkerheden i den offentlige sektor. En af forklaringerne er blandt andet, at de offentligt ansatte ikke føler sig godt nok klædt på til at behandle fortrolige personoplysninger. Det er især medarbejdere med udførende opgaver 1, der savner ledelsens bevågenhed i relation til at sætte 1 Offentligt ansatte med udførende opgaver defineres i denne sammenhæng som medarbejdere for hvem størstedelen af deres arbejdsopgaver løses i mødet med borgeren. KMD Analyse 4

5 informationssikkerhed på dagsordenen. Én af løsningerne kan være at anvende flere ressourcer på informationssikkerhed ifølge de ansatte selv. Undersøgelsen har følgende hovedkonklusioner: Halvdelen af de offentligt ansatte kender til brud på informationssikkerheden på deres arbejdsplads: Undersøgelsen viser, at 50 pct. af de offentligt ansatte har kendskab til et eller flere brud på informationssikkerheden på deres egen arbejdsplads inden for de sidste 12 måneder. Hver femte offentligt ansatte har oplevet, at fortrolige oplysninger om borgerne har været tilgængelige for ikke-relevante personer: Undersøgelsen viser, at næsten hver femte offentligt ansatte har oplevet, at fortrolige oplysninger om borgerne har været tilgængelige for medarbejdere uden relation til sagen. Samme andel, næsten hver femte, oplyser også, at de har kollegaer, som ikke altid overholder reglerne om informationssikkerhed. Hver tredje offentligt ansatte føler sig ikke godt nok klædt på til at behandle fortrolige personoplysninger i det daglige: 34 pct. af de offentligt ansatte er ind i mellem i tvivl om, hvorvidt de behandler fortrolige personoplysninger korrekt, og 36 pct. af de offentligt ansatte føler sig kun i nogen eller ringe grad klædt på til at forvalte disse oplysninger. Medarbejdere med udførende opgaver oplever i særlig grad, at informationssikkerheden ikke sættes højt på dagsordenen: Det er særligt medarbejdere med udførende opgaver, som føler sig ladt i stikken. Eksempelvis giver kun 52 pct. af de udførende medarbejdere udtryk for, at ledelsen sætter informationssikkerhed på dagsordenen, mens det tilsvarende tal er 66 pct. for administrative medarbejdere. Tilsvarende er der dobbelt så mange udførende som administrative medarbejdere, der ikke ved, om deres arbejdsplads har nedskrevne regler for informationssikkerhed. Hver femte offentligt ansatte bekymrer sig for, om deres personlige data i offentlige systemer havner i hænderne på uvedkommende: Undersøgelsen viser, at 22 pct. af de offentligt ansatte i høj eller meget høj grad er bekymret for, om deres personlige data i offentlige systemer havner i hænderne på uvedkommende. Mere end hver fjerde offentligt ansatte mener, at der burde anvendes flere ressourcer på informationssikkerhed på deres arbejdsplads: 27 pct. af de offentligt ansatte mener, at der burde anvendes flere eller mange flere ressourcer til informationssikkerhed på deres arbejdsplads. KMD Analyse har også stillet danskerne en række spørgsmål om deres syn på informationssikkerheden i det offentlige og deres egne oplevelser med digital sikkerhed generelt. Undersøgelsen viser, at en betydelig del af danskerne til en vis grad har mistet tilliden til informationssikkerheden i den offentlige sektor, og at området bør prioriteres højere. Når det gælder danskernes personlige oplevelser med digital sikkerhed, så viser undersøgelsen, at mange danskere inden for de seneste 12 KMD Analyse 5

6 måneder har oplevet at få deres computer inficeret. Noget der i øvrigt overvejende rammer den mandlige del af befolkningen. Undersøgelsen har følgende hovedkonklusioner: Mere end fire ud af 10 danskere har til en vis grad mistet tilliden til informationssikkerheden i den offentlige sektor: Undersøgelsen viser, at mere end 40 pct. af danskerne til en vis grad oplever at have mistet tilliden til den offentlige sektors håndtering af informationssikkerheden. Hver fjerde dansker mener, at det offentlige ikke prioriterer informationssikkerheden højt nok: Undersøgelsen viser, at 25 pct. af danskerne i høj eller meget høj grad er enige i, at informationssikkerheden ikke prioriteres højt nok i den offentlige sektor. Tager man andelen af danskere med, som i nogen grad er enig heri, bliver den samlede andel 55 pct. Danskerne vil gerne dele data om dem selv: Undersøgelsen viser, at danskerne ikke er bange for at dele data om dem selv mod til gengæld at få noget igen. Omkring 62 pct. er således parate til dette. Villigheden er størst i forhold til supermarkeder, hvor 41 pct. siger, at de gerne deler data om deres indkøbsvaner mod til gengæld at få rabat. Danskerne har mest tillid til lægen og banken. Mindst tillid har de til den kommunale hjemmepleje og sociale medier på nettet: Der er som led i undersøgelsen blevet udarbejdet et digitalt tillidsindeks, hvor danskerne er blevet bedt om at angive, hvilke af ti udvalgte offentlige og private institutioner de har mest tillid til, når det gælder behandlingen af deres fortrolige personoplysninger. Undersøgelsen viser, at danskerne generelt har mest tillid til deres praktiserende læge og til deres bank, når det handler om at forvalte fortrolige personoplysninger. Mindst tillid har de til den kommunale hjemmepleje og de sociale medier på nettet. Hver sjette dansker har haft virus eller en trojansk hest på deres computer i løbet af de seneste 12 mdr., og mændene er mest udsat: 16 pct. af den voksne befolkning, svarende til knap en halv million danskere, har oplevet at få deres personlige computer inficeret med en virus eller trojansk hest inden for de seneste 12 mdr. Blandt mændene har 26 pct. oplevet et eller flere sikkerhedsproblemer i det seneste år, mens det kun gælder for 17 pct. af kvinderne. Det er interessant al den stund, at undersøgelsen også viser, at der netop blandt mændene, som i væsentlig højere grad end kvinderne tilkendegiver at have fået deres personlige computer inficeret, er 67 pct., der vurderer, at de er i stand til at færdes sikkert på nettet, mens det tilsvarende tal for kvindernes vedkommende er 55 pct. KMD Analyse 6

7 1. Indledning Digital post, selvbetjeningsløsninger, konsultation og andre digitale løsninger har fået en fremtrædende plads i den offentlige sektors udbud af produkter og services til den danske befolkning. Adskillige undersøgelser viser bred tilfredshed med udviklingen, der opleves som bedre service for borgeren samtidig med, at det giver offentlige myndigheder mulighed for at høste effektiviseringsgevinster. I en situation hvor digitalisering fortsat udvides i såvel dybden som bredden af varetagelsen af velfærdsydelser, er der imidlertid kommet voksende opmærksomhed omkring den offentlige sektors adgang til og håndtering af personfølsomme oplysninger. Når digitaliseringen efterhånden har vundet indpas i snart sagt alle dele af den offentlige opgavevaretagelse, stiller det skærpede krav om, at informationssikkerhed medtænkes i strategi, proces og udførsel. På det seneste har en række sager om uvedkommendes adgang til fortrolige oplysninger tilsvarende bidraget til at understrege billedet af, at god informationssikkerhed er blevet en afgørende forudsætning for fortsat digitalisering. Informationssikkerheden hos offentlige myndigheder er således med god grund kommet højt på beslutningstagernes dagsorden, og det er KMD Analyses ambition med denne undersøgelse at bidrage til debatten om håndteringen af informationssikkerhed i den offentlige sektor. Konkret fokuserer analysen på holdninger og adfærd i relation til håndteringen af personfølsomme oplysninger blandt offentligt ansatte og borgere. Analysens opbygning Analysen er opbygget på følgende måde: I kapitel 2 introduceres analysens scope med en kort beskrivelse af den digitale udvikling, der har ført til den nuværende tilstand, hvor god informationssikkerhed er blevet et afgørende fundament for fortsat digitalisering og fornyelse af den offentlige sektor. I kapitel 3 gennemgås resultaterne fra undersøgelsen af de offentligt ansattes erfaringer med og holdninger til informationssikkerheden hos offentlige myndigheder. I kapitel 4 gennemgås resultaterne fra undersøgelsen af danskernes holdninger og tillid til informationssikkerheden hos offentlige myndigheder. I kapitel 5 afrapporteres resultaterne fra de gennemførte interviews med beslutningstagere og praktikere med erfaring i offentlig informationssikkerhed. KMD Analyse 7

8 2. Informationssikkerhed en forudsætning for offentlig digitalisering Digitaliseringen af den offentlige sektor er nået langt, siden CPR-systemet og kildeskatten blev indført i Hvor de første bestræbelser på at indføre edb, som det dengang kaldtes, førte til, at udvalgte, betroede medarbejdere fik adgang til de nye offentlige stamregistre, har de senere års digitalisering i såvel dybden som i bredden ført til en tilstand, hvor næsten alle offentlige opgaver løses med digitale hjælpemidler, og hvor en stor del af disse trækker på data om borgerne. Samtidig er de offentlige systemer blevet forbundet på kryds og tværs for at skabe bedre sammenhæng i opgaveløsningen og for at give borgerne en bedre oplevelse i forbindelse med selvbetjening og lignende. Vi har således bevæget os fra, at det kun var en lille, udvalgt skare, der ved særlige lejligheder trak data ud af en digital bankboks til en situation, hvor data, og i særlig grad persondata, understøtter nærmest alt, hvad den offentlige sektor foretager sig. Resultatet er, at langt flere offentligt ansatte har adgang til persondata i det daglige. Det giver sig selv, at en sådan bevægelse nødvendigvis må medføre andre og mere komplicerede former for risici. Arbejdet med informationssikkerheden i den offentlige sektor er af samme årsag blevet styrket og professionaliseret væsentligt i samme periode. Først med oprettelsen af Datatilsynet i og siden med indførelsen af obligatoriske standarder for informationssikkerhed i staten. 4 Tilsvarende er Rigsrevisionen også begyndt at foretage regelmæssige tilsyn med de statslige myndigheders varetagelse af informationssikkerheden. Der er dog tale om et mål i bevægelse, idet trusselsbilledet på nettet ændrer sig lynhurtigt i takt med, at it-kriminelle og hackere finder nye måder at udfordre informationssikkerheden på. For nylig har Rigsrevisionen da også afgivet beretning til Statsrevisorerne på baggrund af en gennemgang af otte statslige myndigheders behandling af fortrolige oplysninger om personer og virksomheder. Beretningen viser, at ingen af de undersøgte institutioner efterlever alle de krav til behandling af fortrolige oplysninger, som fremgår af sikkerhedsbekendtgørelsen Offentlig digitalisering fra niche til mainstream Digitaliseringen af den offentlige sektor i Danmark tog sin spæde begyndelse i 1960 erne med indførelsen af CPR-systemet og kildeskatten. På dette tidspunkt var teknologien kendetegnet ved at være relativt dyr, og de fleste offentlige it-systemer var således enkeltstående, centrale registre, som kun et begrænset antal udvalgte medarbejdere havde adgang til KMD Analyse 8

9 Meget er sket siden da, og særligt i de seneste årtier har udviklingen for alvor taget fart. Det er i dag en almindelig del af en offentlig, administrativ arbejdsplads at have en computer, som er udrustet med adgang til adskillige softwarepakker og fagsystemer. Hertil kommer, at digitaliseringen omfatter stadig flere grupper af medarbejdere og mange nye opgaveområder. Som nedenstående tabel viser, er antallet af offentlige EU-udbud på it- og teleområdet i hastig vækst. Hvor det for få år siden primært var administrativ it og fagsystemer, der blev efterspurgt, har digitaliseringen nu for alvor vundet indpas på en lang række af de tunge velfærdsområder, hvor arbejdsgange og oplysninger om borgerne som følge heraf registreres digitalt. Udviklingen i antallet af offentlige EU-udbud på it- og teleområdet fra Kilde: EU's udbudsdatabase TED Mulighederne for at dele data mellem systemer er også blevet forbedret væsentligt i takt med, at det er blevet en almindelig del af myndighedernes it-arkitektur at etablere integration mellem systemer med beslægtede opgaver. De offentlige målsætninger om obligatorisk digital selvbetjening har også åbnet nye grænseflader ud til internettet i mange fagsystemer. Vi har således bevæget os fra en situation, hvor data lå relativt statisk i centrale bankbokse til en tilstand, hvor data flyder nemt og ubesværet over internettet mellem forskellige offentlige it-systemer og borgere. De seneste fællesoffentlige digitaliseringsstrategier er gode eksempler på denne bevægelse, hvor initiativer som obligatorisk digital selvbetjening og strategi for digital velfærd for alvor rykker digitaliseringen helt ud i krogene hos danskerne. Det kan derfor konstateres, at der i dagens digitale samfund er registreret personoplysninger i et stort antal offentlige it-systemer om langt de fleste af os. KMD Analyse 9

10 2.2 Det digitale trusselsbillede under forandring Efter at NemID i 2010 blev valgt som den nye fællesoffentlige løsning for digitalt login, og især siden det i november 2013 blev obligatorisk for myndigheder at tilbyde login via NemID, er løsningen for alvor blevet synonym med informationssikkerhed i det offentlige i mange danskeres øjne. På trods af at det for brugerne bliver en smule mere besværligt at skulle indtaste både password og pinkode ved login, så viser KMD Analyses undersøgelse, at danskerne for alvor har taget NemID til sig, og statistikker fra finanssektoren peger da også på, at NemID har været med til at nedbringe omfanget af it-relateret misbrug. 6 Udviklingen i det digitale trusselsbillede er dog blevet meget dynamisk i takt med, at it-kriminelle og hackere finder nye taktikker og smuthuller. Det er således ikke tilstrækkeligt for offentlige myndigheder at hvile på laurbærrene og regne med, at et givet niveau af sikkerhed vil være tilstrækkeligt over tid. I takt med at trusselsbilledet forandres, er det nødvendigt løbende at justere risikovurderinger og foretage de fornødne tiltag i forlængelse heraf. I forhold til den offentlige sektor er det mest velkendte brud på informationssikkerheden i nyere tid formodentlig hackerangrebet mod Rigspolitiets motorkøretøjsregister i Det er imidlertid ikke et enkeltstående eller særligt dansk fænomen. Forsvarsministeriet oplyste således i januar 2014, at der siden 2010 er registreret godt sikkerhedshændelser i GovCERT s kundekreds, der tæller en lang række statslige myndigheder. Heraf vurderes 25 pct. at være af alvorlig karakter. 7 Udviklingen understreger vigtigheden af, at digitaliseringen af det offentlige ledsages af et fortsat fokus på informationssikkerheden. Men det er naturligvis ikke uden omkostninger. Udenlandske studier viser, at virksomheder og offentlige myndigheder i snit bruger fire pct. af deres it-budget på udgifter relateret til informationssikkerhed. Men omkostningerne ved at lade stå til kan blive endnu højere. 8 Det skal særligt ses i lyset af, at den fortsatte digitalisering af den offentlige sektor i høj grad er afhængig af, at borgeren fortsat har tillid til, at de oplysninger, som offentlige myndigheder registrerer om dem, forvaltes forsvarligt. Har borgerne først mistet tilliden til digitaliseringen, kan det blive endog meget dyrt at vinde den tilbage. I de følgende to kapitler ser vi først på, hvordan de offentligt ansatte varetager informationssikkerheden i det daglige, hvorefter vi tager temperaturen på, i hvilken grad borgerne har tillid til offentlige myndigheders behandling af deres personoplysninger. 6 Jfr. Finansrådets Netbankindbrud statistik : 7 Jfr. Evaluering af GovCERT-loven (2014): 8 PwC (2014): Managing cyber risks in an interconnected world. Key findings from the Global State of Information Security Survey 2015, p. 19 KMD Analyse 10

11 3. Offentligt ansattes holdninger og adfærd KMD Analyse har stillet de offentligt ansatte en række spørgsmål om deres holdninger og adfærd i relation til informationssikkerhed. Grundlaget for kapitlet er en survey-undersøgelse gennemført af KMD Analyse, hvor et udsnit af offentligt ansatte er blevet bedt om at forholde sig til en række emner herunder prioritering af informationssikkerhed i forhold til andre arbejdsopgaver, vurdering af betydning og kendskab til organisationens politikker og regler på området. Kapitlet gennemgår resultaterne af den omtalte survey efter nedenstående tematisering: Informationssikkerhed i offentligt ansattes hverdag Offentligt ansattes erfaringer med informationssikkerhed Offentligt ansattes holdninger til informationssikkerhed Undersøgelsen viser, at der sker fejl og brud på informationssikkerheden i det daglige arbejde, og at over halvdelen af de offentligt ansatte er bekendt med, at sådanne fejl har fundet sted inden for de seneste 12 måneder. Undersøgelsen viser også, at mange offentligt ansatte ikke føler sig godt nok klædt på til at behandle personoplysninger i det daglige, og at mange også mener, at det offentlige burde prioritere informationssikkerheden højere. Endeligt tegner undersøgelsen dog også et billede af, at flertallet af de offentligt ansatte er pligtopfyldende og bevidste om deres ansvar i omgangen med fortrolige personoplysninger. Kapitlets hovedkonklusioner er som følger: Halvdelen af de offentligt ansatte kender til brud på informationssikkerheden på deres arbejdsplads: Undersøgelsen viser, at 50 pct. af de offentligt ansatte har kendskab til et eller flere brud på informationssikkerheden på deres egen arbejdsplads inden for de sidste 12 måneder. Hver femte offentligt ansatte har oplevet, at fortrolige oplysninger om borgerne har været tilgængelige for ikke-relevante personer: Undersøgelsen viser, at næsten hver femte offentligt ansatte har oplevet, at fortrolige oplysninger om borgerne har været tilgængelige for medarbejdere uden relation til sagen. Samme andel, næsten hver femte, oplyser også, at de har kollegaer, som ikke altid overholder reglerne om informationssikkerhed. Hver tredje offentligt ansatte føler sig ikke godt nok klædt på til at behandle fortrolige personoplysninger i det daglige: Undersøgelsen viser, at 34 pct. af de offentligt ansatte ind i mellem er i tvivl om, hvorvidt de behandler fortrolige personoplysninger korrekt, og at 36 pct. af de offentligt ansatte kun i nogen eller ringe grad føler sig godt klædt på til at forvalte disse oplysninger. KMD Analyse 11

12 Medarbejdere med udførende opgaver oplever i særlig grad, at informationssikkerheden ikke sættes på dagsordenen: Undersøgelsen viser, at det særligt er medarbejdere med udførende opgaver, som føler sig ladt i stikken. Eksempelvis giver kun 52 pct. af de udførende medarbejdere udtryk for, at ledelsen sætter informationssikkerhed på dagsordenen, mens det tilsvarende tal er 66 pct. for administrative medarbejdere. Tilsvarende er der dobbelt så mange udførende som administrative medarbejdere, der ikke ved, om deres arbejdsplads har nedskrevne regler for informationssikkerhed. Mere end hver fjerde offentligt ansatte mener, at der burde anvendes flere ressourcer på informationssikkerhed på deres arbejdsplads: Undersøgelsen viser, at 27 pct. af de offentligt ansatte mener, at der burde anvendes flere eller mange flere ressourcer til informationssikkerhed på deres arbejdsplads. Personoplysninger fylder meget i de offentligt ansattes arbejdsdag: Undersøgelsen viser, at 69 pct. af de adspurgte offentligt ansatte, som arbejder med personoplysninger, er afhængige af dagligt at kunne tilgå disse oplysninger i deres it-systemer. Hver femte offentligt ansatte bekymrer sig for, om deres personlige data i offentlige systemer havner i hænderne på uvedkommende: Undersøgelsen viser, at 22 pct. af de offentligt ansatte i høj eller meget høj grad er bekymret for, om deres personlige data i offentlige systemer havner i hænderne på uvedkommende. Tre ud af fire offentligt ansatte mener, at det føles mere trygt, hvis fortrolige persondata opbevares i Danmark: KMD Analyse har som led i undersøgelsen spurgt de offentligt ansatte, om de mener, at det føles mere trygt, hvis fortrolige persondata opbevares i Danmark. Det viser sig, at et flertal af de offentligt ansatte på 75 pct. i høj eller meget høj grad er enige i dette. Lægger man hertil de offentligt ansatte, som mener, at det i nogen grad er tilfældet, bliver tallet 87 pct. 3.1 Informationssikkerhed i offentligt ansattes hverdag Personoplysninger fylder meget i hverdagen I forbindelse med undersøgelsen er de offentligt ansatte blevet spurgt om, hvor ofte de er afhængige af at kunne tilgå oplysninger eller sager om en borger i it-systemer. Som det fremgår af nedenstående figur, er det knap 69 pct. af de adspurgte offentligt ansatte, som i deres arbejde er afhængige af dagligt at kunne tilgå oplysninger eller sager om en borger i it-systemer. KMD Analyse 12

13 Hvor ofte er du i dit arbejde afhængig af at kunne tilgå oplysninger eller sager om en borger i it-systemer? 69% 12% 6% 4% 5% 3% Dagligt Ugentligt En gang om måneden eller sjældnere Flere gange om ugen Flere gange om måneden Aldrig Kilde: Survey m/offentligt ansatte af KMD Analyse Der er ingen forskel mellem medarbejdere med primært administrative opgaver og medarbejdere med primært udførende opgaver i forhold til, hvor ofte i deres arbejde, de er afhængige af at kunne tilgå oplysninger eller sager om en borger i itsystemerne. Som det fremgår af nedenstående figur, giver 82 pct. af de primært udførende og 79 pct. af de primært administrative medarbejdere udtryk for, at de i høj eller meget høj grad er afhængige af at kunne tilgå oplysninger eller sager om en borger i it-systemer i deres arbejde. Hvor ofte er du i dit arbejde afhængig af at kunne tilgå oplysninger eller sager om en borger i it-systemer? Primært udførende medarbejdere 70% 12% 1% 6% 4% 5% 2% Primært administrative medarbejdere 68% 11% 5% 4% 6% 4% 1% Dagligt Flere gange om ugen Ugentligt Flere gange om måneden En gang om måneden eller sjældnere Aldrig Ved ikke Kilde: Survey m/offfentligt ansatte af KMD Analyse De offentligt ansatte reflekterer ofte over måden, de håndterer fortrolige personoplysninger på. Som det fremgår af figuren nedenfor, giver 82 pct. af de adspurgte offentlige ansatte udtryk for, at de i høj eller meget høj grad i det daglige tænker over den måde, de håndterer fortrolige personoplysninger på. Kun tre pct. giver udtryk for, at de i ringe grad eller slet ikke tænker over dette i det daglige. KMD Analyse 13

14 Tænker du i det daglige over den måde, du håndterer fortrolige personoplysninger på? 44% 38% 14% 2% 1% 0% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Det er værd at bemærke, at medarbejdere med udførende opgaver i lige så høj grad er optaget af måden, de behandler fortrolige personoplysninger på, som offentligt ansatte der primært har administrative opgaver. Som det fremgår af nedenstående figur, giver 81 pct. af de primært udførende og 86 pct. af de primært administrative medarbejdere udtryk for, at de i høj eller meget høj grad i det daglige tænker over den måde, de håndterer fortrolige personoplysninger på. Tænker du i det daglige over den måde, du håndterer fortrolige personoplysninger på? Primært udførende medarbejdere 43% 38% 16% 3% 0% 0% Primært administrative medarbejdere 47% 39% 12% 1% 1% 0% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Ikke alle offentligt ansatte føler sig godt klædt på De offentligt ansatte er i forbindelse med undersøgelsen blevet spurgt, om de nogen gange føler sig i tvivl om, hvorvidt de håndterer fortrolige personoplysninger korrekt. KMD Analyse 14

15 Som det fremgår af nedenstående figur, giver 65 pct. af de offentligt ansatte udtryk for, at de kun sjældent eller aldrig er i tvivl om den korrekte håndtering af fortrolige personoplysninger. Undersøgelsen viser imidlertid også, at 30 pct. af de offentligt ansatte ind i mellem kan opleve at være i tvivl. Yderligere fire pct. oplever ofte eller meget ofte at være i tvivl. Er du nogen gange i tvivl om, hvorvidt du håndterer fortrolige personoplysninger korrekt? 1% 3% 30% 48% 17% 0% Meget ofte Ofte Ind i mellem Sjældent Aldrig Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Undersøgelsen viser endvidere, at 36 pct. af de offentligt ansatte giver udtryk for, at de kun i nogen eller mindre grad er blevet godt klædt på til at behandle fortrolige personoplysninger i det daglige. Er du på din arbejdsplads blevet godt klædt på til at behandle fortrolige personoplysninger i det daglige? 2% 21% 41% 26% 8% 1% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Det er værd at være opmærksom på, at der er visse forskelle i graden på, hvor godt forskellige medarbejdergrupper føler sig klædt på til at behandle personoplysninger i det daglige. Som figuren nedenfor viser, siger 72 pct. af medarbejderne med primært administrative opgaver, at de i høj eller meget høj grad føler sig klædt på til at behandle oplysningerne, mens det tilsvarende tal er 57 pct. hos medarbejdere med primært udførende arbejdsopgaver. KMD Analyse 15

16 Er du på din arbejdsplads blevet godt klædt på til at behandle fortrolige personoplysninger i det daglige? Primært udførende medarbejdere 18% 39% 30% 10% 2% Primært administrative medarbejdere 26% 46% 21% 5% 1% 1% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Der kan for offentlige myndigheder således være grund til at se på, om de i tilstrækkelig grad klæder medarbejdere med udførende opgaver på til at varetage fortrolige personoplysninger i det daglige. Offentligt ansatte fejlvurderer personoplysninger De offentligt ansatte er blevet stillet en række spørgsmål, der har til formål at vurdere deres evne til at graduere forskellige former for personoplysninger i overensstemmelse med persondatalovgivningens bestemmelser. Lovgivningen inddeler personoplysninger i tre kategorier af følsomhed, som har forskellige konsekvenser i forhold til, hvor meget man må registrere, om der er krav om samtykke med videre 9 : Kategori Eksempler Krav til behandling Personfølsomme oplysninger Oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, helbredsmæssige og seksuelle forhold. Må som udgangspunkt ikke registreres. Undtagelser kræver udtrykkeligt samtykke. Rent private oplysninger Oplysninger om strafbare forhold, væsentlige sociale problemer, interne familieforhold og lignende. Behandling uden samtykke kan kun undtagelsesvist ske og kræver varetagelse af en berettiget interesse, som overstiger hensynet til den registrerede. Adgang til oplysninger skal begrænses til medarbejdere med konkret behov herfor. 9 Kilde: Moderniseringsstyrelsen: Personaleadministrativ Vejledning, afsnit 9.8.4: Persondataloven, behandlingsreglerne KMD Analyse 16

17 Almindelige, ikkefølsomme personoplysninger Identifikationsoplysninger, oplysninger om Må behandles, hvis der er givet økonomiske forhold, kundeforhold eller lignende samtykke eller hvis det er (a) ikke følsomme forhold. nødvendigt for at opfylde en aftale, som den registrerede er part i; (b) hvis det følger af loven; eller (c) hvis det er nødvendigt for at varetage en berettiget interesse, som overstiger hensynet til den registreredes interesser. De offentligt ansatte er blevet spurgt til, hvordan de vil klassificere ni konkrete typer af oplysninger i forhold til persondatalovens bestemmelser i det ovenstående. Resultaterne viser, at når de klassificerer en oplysning fejlagtigt, er det konsekvent fordi, at de vurderer en oplysning til at være mere følsom, end den egentlig er ifølge persondatalovgivningen. De offentligt ansatte er således tilbøjelige til at være mere forsigtige end krævet af lovgivningen. Du bedes for hver enkelt type svare, om du opfatter sådanne oplysninger som personfølsomme, rent private eller som almindelige personoplysninger : Oplysninger om en persons cpr-nummer Oplysninger om en persons særlige sociale problemer Oplysninger om en persons eventuelle kriminelle fortid 91% 90% 90% 5% 4% 8% 2% 7% 3% Oplysninger om en persons helbred 80% 16% 3% Oplysninger om en persons besøg på hjemmesider 16% 62% 21% Oplysninger om en persons lån på biblioteket 15% 58% 27% Oplysninger om en persons medlemskab af en velgørende forening 11% 65% 23% Oplysninger om en persons motionsvaner 8% 62% 30% Oplysninger om en persons rejsevaner 7% 62% 30% Personfølsomme oplysninger Rent private oplysninger Almindelige personoplysninger Kilde: Survey m/offentligt ansatte af KMD Analyse Af de ovenstående spørgsmål er det kun oplysninger om en persons helbred, der er at betegne som en personfølsom oplysning, mens oplysninger om en persons eventuelle kriminelle fortid og særlige sociale problemer er at betegne som rent private oplysninger. De øvrige oplysninger er almindelige, ikke-følsomme personoplysninger, KMD Analyse 17

18 som dog stadig nyder betydelig beskyttelse i forhold til registrering jævnfør figuren i det foregående. Informationssikkerhed på arbejdspladsen KMD Analyse har stillet de offentligt ansatte en række spørgsmål for at afprøve, om de har kendskab til tiltag, der almindeligvis må anses som best practice i forhold til informationssikkerhed i organisationer. Resultaterne er sammenfattet i nedenstående figur og vil blive gennemgået i nærmere detaljer i det efterfølgende. Du bedes svare på, i hvor høj grad følgende udsagn gælder for din arbejdsplads: På min arbejdsplads registreres det i itsystemet (logning), når jeg foretager opslag om en borger 53% 14% 2% 7% 20% 3% Min arbejdsplads har nedskrevne regler for informationssikkerhed 45% 21% 4% 14% 4% 12% Der er lagt begrænsninger ind i it-systemerne for hvilke oplysninger, man kan slå op om borgerne 37% 22% 19% 5% 5% 11% Min arbejdsplads har uddannet superbrugere i informationssikkerhed 34% 19% 13% 5% 7% 21% På min arbejdsplads sætter ledelsen informationssikkerhed på dagsordenen 32% 26% 19% 10% 7% 6% I meget høj grad høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Som det fremgår af figuren, ved 20 pct. af de offentligt ansatte ikke, om der på deres arbejdsplads sker logning, når de foretager opslag om en borger. Yderligere 12 pct. mener, at det kun i nogen eller ringe grad er tilfældet. Tilsvarende giver 12 pct. udtryk for, at de ikke ved, om deres arbejdsplads har nedskrevne regler for informationssikkerhed. I tillæg hertil giver 18 pct. udtryk for, at det kun i nogen eller ringe grad er tilfældet. Ydermere gælder det, at 24 pct. af de offentligt ansatte svarer, at der kun i nogen eller ringe grad er lagt begrænsninger ind i it-systemerne for hvilke oplysninger, man KMD Analyse 18

19 kan slå op om borgerne. Yderligere 11 pct. er ikke bekendt med, om sådanne begrænsninger er lagt ind. 21 pct. af de offentligt ansatte er ikke klar over, om deres arbejdsplads har uddannet superbrugere i informationssikkerhed. Yderligere 25 pct. mener, at det kun i nogen, i ringe grad eller slet ikke er tilfældet. Endeligt viser figuren, at 58 pct. af de adspurgte offentligt ansatte mener, at ledelsen på deres arbejdsplads i høj eller meget høj grad sætter informationssikkerhed på dagsordenen, mens 17 pct. mener, at det kun i ringe grad eller slet ikke er tilfældet. Yderligere seks pct. ved ikke, om det sker. KMD Analyse har i den forbindelse set nærmere på, om der hersker forskellige opfattelser af, i hvilken grad ledelsen sætter informationssikkerhed på dagsordenen mellem netop ledere og menige medarbejdere i offentlige myndigheder. På min arbejdsplads sætter ledelsen informationssikkerhed på dagsordenen Primært udførende medarbejdere 28% 24% 20% 13% 8% 7% Primært administrative medarbejdere 37% 29% 17% 8% 5% 4% 4% Ledere med personaleansvar 39% 29% 20% 7% 2% I meget høj grad høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Som det fremgår af figuren ovenfor, er der en høj grad af overensstemmelse mellem ledere med personaleansvar og offentligt ansatte med primært administrative opgaver i spørgsmålet om, hvorvidt ledelsen sætter informationssikkerhed på dagsordenen. Til gengæld synes medarbejderne med primært udførende opgaver i mindre grad at opleve, at ledelsen sætter informationssikkerhed på dagsordenen. Mens to tredjedele KMD Analyse 19

20 af de administrative medarbejdere oplever, at det i høj eller meget høj grad er tilfældet, gælder det samme kun for lige godt halvdelen af de udførende medarbejdere. Som det også fremgår af figuren, mener 41 pct. af de primært udførende medarbejdere, at ledelsen kun i nogen grad eller ringere sætter informationssikkerhed på dagsordenen, mens det tilsvarende tal for primært administrative medarbejdere er på 30 pct. Det er imidlertid ikke alene ledelsens synlighed i forhold til informationssikkerheden, som forbigår de udførende medarbejderes opmærksomhed. Som det fremgår af nedenstående figur, er der ligeledes en markant forskel mellem administrative medarbejdere og udførende medarbejdere, når det gælder kendskab til arbejdspladsens nedskrevne regler for informationssikkerhed. Mens 78 pct. af de primært administrative medarbejdere i høj eller meget høj grad siger, at deres arbejdsplads har nedskrevne regler for informationssikkerhed, er det tilsvarende tal for de primært udførende medarbejdere 60 pct. Min arbejdsplads har nedskrevne regler for informationssikkerhed Primært administrative medarbejdere 57% 21% 10% 3% 2% 7% Primært udførende medarbejdere 39% 21% 16% 5% 5% 14% I meget høj grad høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse 3.2 Offentligt ansattes erfaringer med informationssikkerhed KMD Analyse har som led i undersøgelsen spurgt de offentligt ansatte om deres erfaringer med konkrete brud på datasikkerheden. KMD Analyse 20

21 Nedenstående figur viser andelen af offentligt ansatte, som har oplevet forskellige former for brud på datasikkerheden på deres arbejdsplads inden for de seneste 12 måneder. Har du oplevet noget af følgende på din arbejdsplads inden for de seneste 12 måneder? (sæt gerne flere krydser) Behov for at dele brugernavn og password til itsystemerne med mine kollegaer for at få tingene til at virke Fortrolige oplysninger om borgerne har været tilgængelige for medarbejdere uden relation til sagen (eks. på papir, på intranet o.lign.) 22% 19% Jeg har kolleger, som ikke altid overholder reglerne om informationssikkerhed 19% Jeg har adgang til fortrolige oplysninger om borgerne, som jeg ikke har brug for i mit arbejde 17% Fortrolige oplysninger om borgerne har været tilgængelige for uvedkommende uden for arbejdspladsen (eks. på papir, på hjemmesiden o.lign.) 7% Jeg overholder ikke altid regler om informationssikkerhed 5% Min chef har bedt mig om at arbejde på en måde, der ikke lever op til reglerne om informationssikkerhed 2% Ingen af ovenstående 47% Ved ikke 3% Kilde: Survey m/offentligt ansatte af KMD Analyse Det er her især værd at bemærke, at hele 50 pct. 10 af de offentligt ansatte giver udtryk for, at de har kendskab til et eller flere brud på informationssikkerheden på deres arbejdsplads inden for de sidste 12 måneder. Endvidere giver det stof til eftertanke, at 19 pct., svarende til knap hver femte offentligt ansatte, oplever at have kolleger, som ikke altid overholder regler om informationssikkerhed. I nedenstående figur er de offentligt ansattes erfaringer med brud på informationssikkerheden opgjort på forvaltningsniveau dvs. for offentligt ansatte i henholdsvis stat, regioner og kommuner. 10 De 50 pct. er andelen af de offentligt ansatte, der hverken har svaret Ingen af ovenstående eller Ved ikke på spørgsmålet om de har oplevet noget af følgende på din arbejdsplads inden for de sidste 12 måneder jfr. figuren på hosstående side. KMD Analyse 21

22 Har du oplevet noget af følgende på din arbejdsplads inden for de seneste 12 måneder? (fordelt på kommuner, regioner og staten) Behov for at dele brugernavn og password til itsystemerne med mine kollegaer for at få tingene til at virke Fortrolige oplysninger om borgerne har været tilgængelige for medarbejdere uden relation til sagen (eks. på papir, på intranet o.lign.) Jeg har kolleger, som ikke altid overholder reglerne om informationssikkerhed Jeg har adgang til fortrolige oplysninger om borgerne, som jeg ikke har brug for i mit arbejde 19% 17% 20% 19% 17% 19% 23% 16% 15% 20% 18% 34% Fortrolige oplysninger om borgerne har været tilgængelige for uvedkommende uden for arbejdspladsen (eks. på papir, på hjemmesiden o.lign.) Jeg overholder ikke altid regler om informationssikkerhed Min chef har bedt mig om at arbejde på en måde, der ikke lever op til reglerne om informationssikkerhed 8% 6% 4% 4% 7% 5% 2% 2% 2% Ingen af ovenstående 47% 40% 51% Ved ikke 4% 2% 3% Kommuner Regioner Staten Kilde: Survey m/offentligt ansatte af KMD Analyse Figuren tydeliggør, at det er forskellige sikkerhedsmæssige udfordringer, der i særlig grad gør sig gældende for de enkelte forvaltningsniveauer. For regionerne er det særligt iøjefaldende, at 34 pct., svarende til hver tredje medarbejder, oplever behov for at dele brugernavn og password til it-systemerne med kolleger for at få tingene til at virke. Det er problematisk at dele brugernavn og passwords på tværs af medarbejdere al den stund, at det åbner mulighed for at bryde den sporbarhed, som er fundamentet dels for ansvarliggørelse og dels for at kunne vurdere, om det kun er medarbejdere med behandlingsrelationer til en patient, som reelt har læst oplysninger i dennes journal. For kommunerne er det i særlig grad episoder, hvor fortrolige oplysninger har været tilgængelige for uvedkommende medarbejdere eller tredjepart, som scorer højt som problemstilling, om end kommunerne ikke scorer signifikant højere end de øvrige forvaltningsniveauer på disse problemstillinger. KMD Analyse 22

23 Produktivitet årsag til brud på sikkerheden Som led i undersøgelsen har KMD Analyse spurgt de knap fem pct. af de offentligt ansatte, som vedkender sig ikke altid at overholde arbejdspladsens regler om informationssikkerhed om årsagen til dette. Hvorfor overholder du ikke altid gældende regler om informationssikkerhed på din arbejdsplads? Reglerne går ud over produktiviteten 51% Reglerne er for besværlige 11% Det gør min chef heller ikke 9% Det gør mine kolleger heller ikke 9% Jeg forstår ikke reglerne 7% Andet 42% Ved ikke 7% Kilde: Survey m/offentligt ansatte af KMD Analyse Af figuren fremgår det, at den hyppigste årsag til, at informationssikkerheden ikke efterleves er, at det opleves som om, at reglerne går ud over produktiviteten. Resultatet understreger vigtigheden af, at regler for informationssikkerhed indgår som en integreret del af udformningen af offentlige myndigheders arbejdsgange således, at man i forbindelse med beslutninger om arbejdsgange eksplicit kan drøfte og adressere, hvordan informationssikkerhed og forretningsmæssige mål forenes. Det er dog også værd at være opmærksom på, at 42 pct. af respondenterne angiver en anden årsag som begrundelse for ikke altid at overholde reglerne, hvilket tyder på, at der kan være meget specifikke årsager til manglende efterlevelse i praksis. 3.3 Offentligt ansattes holdninger til informationssikkerhed Afvejning af informationssikkerhed og andre hensyn Som led i undersøgelsen har KMD Analyse stillet de offentligt ansatte en række spørgsmål, der skal afdække deres holdninger til afvejning af informationssikkerheden i forhold til andre hensyn i digitaliseringen af den offentlige sektor. KMD Analyse 23

24 Hvor enig er du i følgende udsagn? 4% God service i det offentlige er vigtigere end informationssikkerhed 2% 17% 26% 44% 7% 4% Informationssikkerheden står i vejen for digital udvikling af den offentlige sektor 2% 22% 21% 25% 25% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Som det fremgår af ovenstående figur, erklærer et flertal af de offentligt ansatte på 70 pct., at god service i det offentlige slet ikke eller kun i ringe grad er vigtigere end informationssikkerhed. Kun seks pct. mener omvendt, at god service i høj eller meget høj grad er vigtigere end informationssikkerhed. Meningerne er mere delte i spørgsmålet om, hvorvidt informationssikkerheden står i vejen for digital udvikling af den offentlige sektor. Det mener 25 pct. af de offentligt ansatte ikke, mens yderligere 21 pct. mener, at det kun i ringe grad er tilfældet. Omvendt giver 22 pct. udtryk for, at det i nogen grad kan være tilfældet, mens 25 pct. ikke føler sig i stand til at svare på spørgsmålet. Informationssikkerheden prioriteres højt De offentligt ansatte er som led i undersøgelsen blevet spurgt, om informationssikkerheden efter deres opfattelse prioriteres tilstrækkeligt højt i den offentlige sektor. Som det fremgår af figuren nedenfor, mener 14 pct. af de offentligt ansatte i høj eller meget høj grad, at informationssikkerheden ikke prioriteres højt nok i den offentlige sektor, mens yderligere 23 pct. mener, at dette i nogen grad er tilfældet. Sammenlagt giver 37 pct. af de offentligt ansatte til en vis grad udtryk for, at informationssikkerheden ikke prioriteres højt nok i den offentlige sektor, mens 44 pct. omvendt mener, at det slet ikke eller kun i ringe grad er tilfældet. 19 pct. besvarer spørgsmålet med et ved ikke. KMD Analyse 24

25 Hvor enig er du i det følgende udsagn: "Informationssikkerhed prioriteres ikke højt nok i den offentlige sektor" 5% 9% 23% 23% 21% 19% I meget høj grad I høj grad I nogen grad I ringe grad Slet ikke Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Informationssikkerheden på de offentligt ansattes arbejdsplads Spørger man de offentligt ansatte, om deres arbejdsplads burde bruge flere ressourcer på informationssikkerhed, mener flere end hver fjerde offentligt ansatte, svarende til 27 pct., at der burde anvendes flere eller mange flere ressourcer. Bør der efter din opfattelse anvendes flere ressourcer på informationssikkerhed på din arbejdsplads? 3% 4% 23% 60% 1% 10% Mange flere ressourcer Flere ressourcer Det samme som i dag Færre ressourcer Meget færre ressourcer Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse 60 pct. af de offentligt ansatte mener, at den nuværende anvendelse af ressourcer på informationssikkerhed udgør et tilstrækkeligt niveau på deres arbejdsplads, mens kun meget få mener, at der bør bruges mindre end i dag. Det er i særlig grad de offentligt ansatte i kommunerne, som mener, at der bør anvendes flere ressourcer på informationssikkerhed på deres arbejdsplads. KMD Analyse 25

26 Bør der efter din opfattelse anvendes flere ressourcer på informationssikkerhed på din arbejdsplads? 3% Staten 6% 19% 66% 6% 1% 2% Regioner 5% 19% 60% 4% 10% 1% Kommuner 3% 27% 57% 2% 11% Mange flere ressourcer Flere ressourcer Det samme som i dag Færre ressourcer Meget færre ressourcer Ved ikke Kilde: Survey m/offentligt ansatte af KMD Analyse Som det fremgår af figuren, mener næsten hver tredje, svarende til 30 pct., af de kommunalt ansatte, at der bør bruges flere ressourcer på informationssikkerhed på deres arbejdsplads, mens dette kun gælder knap hver fjerde i regionerne og staten. De offentligt ansatte ønsker mere undervisning i sikkerhed KMD Analyse har spurgt de offentligt ansatte, som mener, at det offentlige skal bruge flere ressourcer på informationssikkerhed, hvor de mener, at der med fordel kan sættes ind. Blandt de offentligt ansatte, der ønsker flere ressourcer til arbejdet med informationssikkerhed, peges i særlig grad på behovet for mere undervisning i sikkerhed (71 pct.) og i nogen grad på behovet for bedre sikkerhedsløsninger (42 pct.). KMD Analyse 26