INFORMATIONSSIKKERHED I

Transkript

1 INFORMATIONSSIKKERHED I DET OFFENTLIGE TRUSLER, SIKKERHEDSHÆNDELSER & FORSVAR ANALYSE: OFFENTLIGT ANSATTE SLÅR FORTROLIGE OPLYSNINGER OP AF NYSGERRIGHED KMD Analyse Briefing Juni 2016

2 OFFENTLIGT ANSATTE SLÅR FORTROLIGE OPLYSNINGER OP AF NYSGERRIGHED Den offentlige sektor udsættes i stort omfang af en vifte af forskellige sikkerhedshændelser både interne, hvor medarbejdere eksempelvis deler passwords eller slår fortrolige oplysninger op af nysgerrighed, såvel som eksterne, hvor ubudne gæster forsøger at komme ind bag data-murene. Men kun knap halvdelen af de offentligt ansatte er blevet undervist i it-sikkerhed, og de offentlige myndigheder forsømmer at afprøve procedurer og beredskab. Det viser en rundspørge fra KMD Analyse blandt offentligt ansatte.

3 47 pct. af de offentligt ansatte har efter eget udsagn oplevet en eller flere interne hændelser, der kompromitterer informationssikkerheden på deres arbejdsplads inden for de seneste 12 måneder, eksempelvis deling af passwords blandt medarbejdere. 42 pct. af de offentligt ansatte har oplevet en eller flere eksterne sikkerhedshændelser på deres arbejdsplads inden for de seneste 12 måneder, eksempelvis ransomware eller phising-forsøg. Det viser en rundspørge blandt ansatte fra stat, regioner og kommuner foretaget af KMD Analyse. - Der er ingen tvivl om, at truslerne både indefra såvel som udefra i forhold til datasikkerhed i det offentlige fortsat er betydelige. Vi må konstatere, at det er et emne, som er kommet for at blive, siger Lars Neupart, sikkerhedsdirektør i KMD og medlem af regeringens virksomhedsråd for it-sikkerhed. DELING AF PASSWORDS OG PHISING TOPPER KMD Analyse har både spurgt de offentligt ansatte om interne sikkerhedsforhold såvel som de trusler, de oplever udefra. De hyppigste eksempler på interne hændelser er deling af brugernavn og password mellem medarbejdere, hvilket 24 pct. af de adspurgte angiver at have oplevet. Tilsvarende oplyser 21 pct. de adspurgte, at de har adgang til fortrolige oplysninger, som de ikke har brug for i deres arbejde. Det er endvidere værd at bemærke, at 8 pct. oplyser, at de kender til en kollega, som har slået fortrolige forretningsdata op af nysgerrighed. - Selv om der er talt og skrevet meget om it-sikkerhed i det offentlige, kan vi konstatere, at vi stadig har et stykke igen. Når knap hver fjerde deler passwords med kollegaer, og man kan opleve, at kollegaer slår fortrolige oplysninger op af ren nysgerrighed, er vi altså ikke i mål endnu, siger Lars Neupart. Samtidig oplever mange ansatte også, at der forsøges udefra på at få adgang til fortrolige data. Hver fjerde offentligt ansatte har oplevet phishing via , og 14 pct. har oplevet at få ransomware via mail. 11 pct. af de ansatte angiver, at de har kendskab til succesfulde angreb af forskellig karakter på deres arbejdsplads, såsom blokering af data via ransomware, blokering af hjemmesider via DDOS-angreb eller lækket data via hacking. DE ANSATTE MANGLER UNDERVISNING Spørger man de ansatte i det offentlige er flere ting på plads, når det gælder sikkerhedstiltag. Et stort flertal af de offentligt ansatte ved, hvem de skal kontakte ved sikkerhedsbrud (76 pct.), og deres arbejdsplads har en skriftlig politik på området (70 pct.) Samtidig viser undersøgelsen, at de fleste arbejdspladser benytter brugerrettighedsstyring (82 pct.) og logning (78 pct.). Men kigger på de mindre positive sider, så kan man udlede, at 41 pct. ikke er blevet undervist i informationssikkerhed og yderligere 6 pct. ikke ved, om de er blevet undervist. Altså knap halvdelen af de adspurgte. Når det gælder øvelser i forbindelse med it-sikkerhed viser tallene, at kun meget få medarbejdere kender til sådanne og endnu færre har deltaget aktivt. - Det er bekymrende, at knap halvdelen af de offentligt ansatte ikke er blevet undervist i it-sikkerhed. Vi har de seneste på år set en række sager med blandt andet kryptering af data via ransomwar s, og de kan jo forholdsvis simpelt undgås. Man kan ikke forvente, at systemer og filtre fanger alt, og medarbejderne er den vigtigste forsvarslinje. Derfor gælder det i høj grad om at få opjusteret på den front, når det handler om at beskytte de offentlige data, forklarer Lars Neupart.

4 Har du oplevet noget af følgende på din arbejdsplads inden for de seneste 12 måneder? (sæt gerne flere krydser) Det er sommetider nødvendigt at dele brugernavn og password til systemerne med mine kollegaer for at få tingene til at virke Jeg har adgang til fortrolige oplysninger, som jeg ikke har brug for i mit arbejde Jeg har kolleger, som ikke altid overholder reglerne om informationssikkerhed 17% 24% 21% Kolleger har slået fortrolige forretningsdata op af nysgerrighed Jeg overholder ikke altid de gældende regler om informationssikkerhed 8% 8% Min chef har bedt mig om at arbejde på en måde, der ikke lever op til politikken for informationssikkerhed 3% Ingen 53% 0% 10% 20% 30% 40% 50% 60% Andel af offentligt ansatte, der giver udtryk for, at de eller en nær kollega har oplevet en eller flere eksterne sikkerhedshændelser inden for de seneste 12 måneder 42% 58% 0% 20% 40% 60% 80% 100% Har oplevet mindst én sikkerhedshændelse de seneste 12 måneder Har ikke oplevet eller er bekendt med nogen sikkerhedshændelser inden for de seneste 12 måneder

5 Har du selv eller nære kollegaer oplevet følgende sikkerhedshændelser - herunder mislykkede forsøg på angreb - på din arbejdsplads inden for de seneste 12 måneder? Phishing via mail 23% 52% 25% Ransomware via mail 14% 58% 28% Hacking af arbejdspladsens webmail og/eller intranet 9% 64% 28% Hacking af arbejdspladsens offentlige hjemmeside 8% 66% 26% Bortkomst af it udstyr med sensitive informationer 7% 74% 20% Tyveri af it udstyr med sensitive informationer 7% 73% 20% Spionage software via mail 5% 64% 31% DDoS angreb (hjemmeside utilgængelig for omverden) 4% 67% 30% Phishing via telefonopkald 3% 73% 25% Spionage software via USB nøgle 1% 75% 25% Andet 1% 57% 43% 0% 20% 40% 60% 80% 100% Ja Nej Ved ikke Har du kendskab til, at det er lykkedes uvedkommende at gennemføre følgende angreb inden for de seneste 12 måneder? Sæt gerne flere krydser. Din arbejdsplads data har været blokeret via ransomware 4% Adgang til din arbejdsplads data via hacking Din arbejdsplads hjemmeside har været blokeret via DDOS-angreb Din arbejdsplads data er afgivet via phishing 3% 2% 2% 2% Andet 1% Ingen angreb 44% Ved ikke 45% 0% 10% 20% 30% 40% 50%

6 Med hensyn til informationssikkerhed, hvilke af følgende foranstaltninger har din arbejdsplads? Brugerrettighedsstyring (begrænsning af adgang til systemer eller data i relation til jobrolle) 82% 9% 9% Logning i it-systemerne af opslag i følsomme persondata 78% 7% 15% Ved brud på informationssikkerheden, ved jeg hvem jeg skal kontakte 76% 15% 8% En skriftlig politik 70% 9% 21% En klar forankring af ansvaret 58% 14% 29% Kryptering af mails og/eller mobiltelefoni 53% 23% 24% Jeg er blevet undervist i informationssikkerhed i løbet af min ansættelse 53% 41% 6% Afprøvning af sikkerhed (eks. via phishingforsøg eller telefonopringninger over for egne medarbejdere) 10% 53% 38% Jeg har deltaget i afprøvning fra min egen arbejdsplads side (eks. via phishing-forsøg eller telefonopringninger) 6% 82% 12% 0% 20% 40% 60% 80% 100% Ja Nej Ved ikke

7 OM ANALYSEN KMD Analyse har samarbejdet med konsulentfirmaet CEDI samt CERTA Intelligence & Security, der er en privat efterretnings- og sikkerhedsvirksomhed, om udarbejdelsen af analysen. Rapporten bygger på en survey, som er gennemført online af KMD Analyse med deltagelse af offentligt ansatte fra stat, regioner og kommuner. Det gælder for alle deltagere i undersøgelsen, at de som en del af deres arbejde tilgår eller registrerer oplysninger om borgere i it-systemer. Undersøgelsen omtales i det foregående som survey m/offentligt ansatte. Analysen er gennemført som online-survey gennem UserNeeds Danmarkspanel i perioden fra den 15. februar til den 23. februar pct. af respondenterne er ansat i en kommune. 23 pct. respondenterne er ansat i en region. 23 pct. respondenterne er ansat i Staten 1. Placeringen af arbejdspladser er fordelt således: Region Hovedstaden Region Sjælland Region Syddanmark 33 pct. 13 pct. 21 pct. Region Midtjylland Region Nordjylland Flere forskellige regioner 22 pct. 9 pct. 2 pct. Kønsfordelingen er 44 pct. mænd og 56 pct. kvinder. FOR YDERLIGERE OPLYSNINGER, KONTAKT: Morten Langager Direktør, Kommunikation og Marketing M: mlr@kmd.dk Aldersfordelingen er således: år år år Over 66 år 9 pct. 40 pct. 48 pct. 3 pct. Der er i udvælgelsen af respondenter ikke taget yderligere højde for demografiske variable. OM KMD ANALYSE KMD Analyse udarbejder analyser om de digitale muligheder i det offentlige og private Danmark. KMD Analyse har blandt andet tidligere udgivet rapporterne Den digitale folkeskole vurderinger og holdninger fra elever og forældre, Socialt bedrageri i Danmark og Telemedicinsk behandling af KOL-patienter potentialer og barrierer. Læs mere om KMD Analyse og hent rapporterne på OM KMD A/S KMD er den største danskbaserede it-virksomhed, og hovedparten af KMD s forretning udspringer af egen softwareudvikling. I mere end 40 år har KMD arbejdet med udvikling, drift og vedligeholdelse af Danmarks største kommunale it-systemer. KMD udvikler og leverer i dag software- og serviceløsninger til kommune-, stats- og erhvervsmarkedet i Danmark. KMD har en årlig omsætning på godt fem milliarder danske kroner og har omkring ansatte. KMD er ejet af Advent International og Sampension. 1 Tal kan overstige eller være under 100 pct. pga. oprunding og nedrunding.

8