Art. 5, stk. 1, litra f, og art. 32 kræver, at adgangsrettigheder følger behovet, så kun de rette personer kan se personoplysninger. Virkeligheden er tit lønbilag i en fælles mappe, en HR-kanal med for mange medlemmer og et login, hele kundeservice deler. Det er sjældent nogens beslutning. Det opstår, fordi det er nemt, og fordi ingen i hverdagen opdager, at andre kan se det samme. Datatilsynet skriver i vejledningen “Styr på rettighedsstyring” fra december 2023, at der ofte går meget lang tid, nogle gange flere år, før denne type brud opdages, netop fordi de autoriserede brugere ikke bemærker, at andre har adgang.
Politikken bag, herunder hvem der godkender adgang, og hvordan den samlede styring foregår, er behandlet under adgangsstyring som politik. Denne artikel handler om oprydningen, når I står med et drev, hvor alle kan se alt.
Hvad vejledningen siger
Vejledningen forankrer rettighedsstyring i art. 5, stk. 1, litra f, og art. 32. Tilsynet kalder styringen så basal, at den kan læses direkte ud af princippet om integritet og fortrolighed. Ansvaret er fordelt på flere. Det er ledelsens ansvar at sikre procedurer og ressourcer, it-sikkerhedsansvarlige skal løbende kontrollere rettighederne, og DPO’en overvåger og rådgiver om, hvorvidt procedurer og tekniske foranstaltninger er passende.
Tilsynet har også en definition, I skal kende. Uautoriseret adgang er uafhængig af, om adgangen er brugt. En medarbejder kan have haft uautoriseret adgang til oplysninger, vedkommende aldrig har åbnet. Vejledningen nævner bl.a. det tilfælde, hvor der ved en fejl gives adgang til alle ansatte i stedet for kun de autoriserede. Finder I en sådan fejl under oprydningen, skal I derfor tage stilling til, om den er et brud, før I lukker sagen, se er det et brud?.
En første oprydning i seks trin
Rækkefølgen herunder er vores forslag. Vejledningen og kataloget over foranstaltninger giver byggestenene.
- Find det, der er værst. Begynd med de oplysninger, der ville skade personerne mest: HR, løn, sygefravær, helbred, CPR-numre og kundesager med følsomt indhold. Søg efter dem på fællesdrev, i dokumentbiblioteker og i chatkanaler.
- Find ud af, hvem der kan se dem. Bed IT om at trække rettighederne på de mapper, I har fundet, herunder grupper som “alle ansatte” og delinger til personer uden for virksomheden.
- Luk det, der er åbent ved en fejl. Her er der sjældent grund til at vente. Skriv ned, hvad der var åbent, hvor længe, og hvem der kunne se det.
- Vælg en ejer for hvert område. Tilsynet kalder rollen autorisationsansvarlig, fx nærmeste leder eller systemejeren. Ejeren er den, der godkender, hvem der må se hvad. IT tildeler adgangen på baggrund af godkendelsen.
- Skift personer ud med roller. Rollebaserede rettigheder gør det lettere at holde styr på, hvad en afdeling må. Kataloget har en særskilt foranstaltning om rollebaserede adgangsrettigheder og en om centraliseret rettighedsstyring.
- Giv oprydningen en fast opfølgning. Uden den er I tilbage samme sted om få år.
Fælleskonti
En konto, flere bruger, betyder, at ingen kan se, hvem der gjorde hvad. Datatilsynets katalog har en foranstaltning om at undgå unødvendig brug af flerbrugerkonti. Det rammer typisk fælles postkasser med fælles kode, adgang til leverandørportaler og lagercomputere, hvor alle bruger samme login. Mange fællespostkasser kan i stedet åbnes med den enkeltes eget login, og det giver både sporbarhed og en bedre log. Hvor en fællesbruger ikke kan undgås, skal der være en beskrevet grund, og koden skal skiftes, når nogen forlader gruppen.
Administratorerne
Superbrugere fortjener et særskilt blik. Vejledningen har et eksempel, hvor en enkelt medarbejders brede rettigheder gjorde misbrug muligt, og kataloget anbefaler at minimere privilegerede adgangsrettigheder. Brugeradministratorer kan typisk give andre og måske sig selv adgang til flere systemer, og derfor skal deres handlinger logges, og loggen skal ligge et sted, de ikke selv kan ændre. Hvem der har administratoradgang i virksomheden, er et spørgsmål om ledelse, se hvem der har nøglerne. Har jeres leverandør administratoradgang, så se fjernsupport og databehandleraftale.
Periodisk kontrol
Datatilsynets vurdering er, at art. 32, stk. 1, normalt kræver, at den dataansvarlige regelmæssigt kontrollerer, at adgang er begrænset til de oplysninger, den enkelte har brug for i arbejdet. Tilsynet opregner fire kontroller, der kan kombineres: om adgangen er dækket af en aktuel, dokumenteret autorisation, om adgangen skulle have været lukket, om autorisationen stadig er begrundet i et arbejdsbehov, og om der er konti, ingen længere bruger.
Hyppigheden kan fastsættes ud fra resultatet. Finder I få fejl, kan færre kontroller være nok. Finder I mange, kan det være tegn på, at det er den daglige brugeradministration, der skal rettes. HR-systemets liste over ansatte kan bruges som den sikre kilde at holde adgangene op imod.
Vær opmærksom på, hvem der kontrollerer. Tilsynet peger på, at en leder, der kontrollerer egne medarbejdere, kan være mest optaget af, om de har de rettigheder, de har brug for, og mindre af, om de har for mange.
Når I går videre
Bliver rettighederne bragt i orden, får det virkning andre steder. AI-værktøjer viser brugeren det, brugeren har adgang til, så uorden i rettighederne får nye følger, se Copilot og persondata. Mange AI-agenter arver også brugerens rettigheder, og de handler på det, de finder. Vikarer og andre midlertidige brugere er et selvstændigt punkt i vejledningen. Et af dens eksempler handler om en vikar, hvis adgang ikke blev lukket, og som senere misbrugte den.
Det skal I lade være med
· At lade oprydningen starte med alle mapper. Begynd med de oplysninger, der kan skade mest.
· At lukke en fejl uden at skrive den ned. Den kan være et brud, der skal registreres.
· At kopiere rettigheder fra en kollega uden at tage stilling. Sådan vokser rettighederne med årene.
· At lade licensprisen afgøre kontrollen. Tilsynet minder om, at færre licenser ikke viser, om adgangen er nødvendig.
Det skal I kræve af den eksterne
- ☐ En stikprøve af adgange til de mest følsomme områder.
- ☐ En vurdering af, om fund kan være et brud.
- ☐ Kontrol af, at der findes ejere og periodisk gennemgang.
- ☐ Rådgivning om rækkefølgen, med udførelsen hos jer.
Kilder
- Datatilsynet: Styr på rettighedsstyring: december 2023, afsnit 2, 4 og 5.
- Datatilsynet: Periodisk kontrol af adgangsrettigheders aktualitet: senest opdateret 7. november 2023.
- Datatilsynet: Logning af brugeradministrators handlinger: senest opdateret 7. november 2023.
- Datatilsynet: Katalog over foranstaltninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Politikken siger ét, systemet gør noget andet · Copilot og persondata
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
