Testeren fandt følsomme data: hvad IT gør bagefter

Når en intern test viser, at personoplysninger, lønsedler, kontrakter eller adgangsoplysninger ligger et sted, hvor mange kan læse dem, står IT med et fund, der rækker ud over teknikken. Nogen skal begrænse adgangen, nogen skal vurdere, om oplysningerne har været tilgængelige for uvedkommende, og nogen skal finde ud af, hvorfor de endte der. Svaret hviler på en klar arbejdsdeling: IT sikrer og dokumenterer, ejeren af oplysningerne og den, der har ansvaret for databeskyttelse, vurderer, og ledelsen beslutter, hvis der skal anmeldes eller informeres. Teksten er ikke juridisk rådgivning.

Hvad testeren kan støde på

Følsomme data på forkerte steder er et almindeligt fund i interne test, fordi testeren ser på det, en almindelig konto kan nå. Fundene ligner hinanden fra virksomhed til virksomhed.

• Eksporter og udtræk · regneark med kunde- eller medarbejderoplysninger, gemt i en fælles mappe efter en analyse.
• Gamle afdelingsmapper · lønsager, personalesager eller ansøgninger i mapper, der engang var begrænset, men hvor rettighederne er udvidet.
• Sikkerhedskopier og dumps · kopier af databaser eller postkasser, lagt et sted midlertidigt og aldrig fjernet.
• Scannede dokumenter · pas, kørekort eller underskrevne aftaler, som en multifunktionsmaskine har lagt i en fælles mappe.
• Adgangsoplysninger · adgangskoder i dokumenter, regneark eller scripts. → Adgangskoder i scripts og konfigurationsfiler

Årsagen kan være en arbejdsgang og ikke en enkelt persons fejl. Det er vigtigt at holde fast i, når fundet skal følges op. Den medarbejder, der gemte filen, gjorde måske bare det, systemet gjorde nemmest, og det er systemet, der skal ændres.

De første skridt

Nogle fund kan ikke vente til rapporten. Ligger der fx adgangsoplysninger til centrale systemer eller store mængder personoplysninger åbent, bør testeren melde det straks. Det skal være aftalt på forhånd, hvem testeren ringer til, og hvad der tæller som noget, der ikke kan vente. → Kontaktpersonen i IT under testen

Når fundet er kendt, er IT’s første opgave at begrænse, ikke at slette.

1. Begræns adgangen · luk for den brede adgang til mappen eller filen, så kun de rette kan nå den.
2. Bevar sporene · slet ikke filen og ryd ikke logfiler, før det er afklaret, om der skal undersøges nærmere.
3. Notér fakta · hvor lå oplysningerne, hvor længe, hvem havde adgang, og hvad viser loggene om adgang til dem?
4. Find ejeren · hvilken afdeling eller proces skabte filen, og hvem har ansvaret for oplysningerne?

Rækkefølgen betyder noget. En hurtig sletning kan fjerne det grundlag, der skal bruges til at vurdere, om andre end testeren har set oplysningerne. Når vurderingen er foretaget, kan ejeren beslutte, om filen skal flyttes til et begrænset sted, slettes efter virksomhedens regler for opbevaring eller blive, hvor den er, med strammere adgang.

Hvem vurderer hvad

IT kan sjældent alene afgøre, hvad et fund om personoplysninger betyder. Det kræver en vurdering af, hvilke oplysninger der er tale om, hvem der kunne se dem, og om det udgør en risiko for de personer, oplysningerne handler om.

• IT · leverer fakta: placering, rettigheder, tidsrum og hvad logningen viser.
• Ejeren af oplysningerne · vurderer, hvad oplysningerne er, og om de skal ligge et andet sted eller slettes.
• Den, der har ansvaret for databeskyttelse · vurderer, om der er tale om et brud på persondatasikkerheden, og om det skal anmeldes.
• Ledelsen · træffer beslutningen, hvis der skal anmeldes eller informeres.

At testeren kunne se oplysningerne, betyder ikke automatisk, at der er sket et brud, der skal anmeldes. Det afhænger af omstændighederne. Datatilsynet beskriver, hvornår en dataansvarlig skal anmelde et brud, og hvordan det sker. Vurderingen skal foretages af dem, der har ansvaret, og hurtigt, fordi der gælder en frist for anmeldelse.

Logningen afgør meget

Spørgsmålet om, hvem der har set oplysningerne, kan kun besvares, hvis filserveren eller platformen har registreret adgangen. Læsning af filer bliver ikke nødvendigvis logget, medmindre det er slået til, og så er svaret, at det ikke kan afgøres.

Det er i sig selv et fund, som skal med i opfølgningen. Manglende logning gør ikke situationen bedre, for så kan virksomheden hverken be- eller afkræfte, at andre har haft adgang, og vurderingen må bygge på, hvem der i princippet kunne nå oplysningerne. Mapper med følsomme oplysninger bør have en logning, der gør det muligt at se, hvem der har åbnet hvad. → Fund om logning og overvågning

Find årsagen og lignende steder

Når det akutte er håndteret, er næste skridt at forstå, hvorfor oplysningerne endte der. Det er den del, der forhindrer, at næste test finder det samme.

• Processen · hvilken arbejdsgang skabte filen, og hvor burde resultatet have været gemt?
• Rettighederne · var mappen altid åben, eller er den blevet åbnet over tid? → Delte mapper og filservere
• Andre steder · findes der tilsvarende filer i andre mapper, på andre servere eller i cloudlageret?

Testeren har kun set et udsnit, fordi testen har en begrænset tid og en begrænset adgang. Brug fundet som anledning til en bredere gennemgang af, hvor lignende oplysninger kan ligge, også i Microsoft 365 og andre platforme. → Ekstern deling i SharePoint, OneDrive og Teams

Rapporten må ikke blive et nyt problem

Testrapporten beskriver fundet, men den skal ikke indeholde de følsomme oplysninger selv. En henvisning til mappe, filtype og antal er som regel nok. Aftal det med testeren, og kontrollér det, når rapporten kommer. Skærmbilleder i rapportens bilag er værd at se efter, fordi de kan vise mere end teksten. Spørg også, hvad testeren har gemt undervejs, og hvornår det bliver slettet. Fundet registreres i opgavesystemet uden følsomt indhold, så det kan følges op som andre fund. → Fra fund til opgave

Det skal I lade være med

• At slette filen med det samme. Så forsvinder grundlaget for vurderingen.
• At lade IT afgøre, om der skal anmeldes. Det er ejerens og ledelsens beslutning.
• At lede efter en syndebuk. Årsagen kan være en arbejdsgang.
• At nøjes med den ene mappe. Lignende filer ligger sandsynligvis andre steder.
• At kopiere fundet ind i mails og opgaver. Beskriv det uden at gengive indholdet.

Hvad kan og ikke kan konkluderes

Fundet viser, at bestemte oplysninger var tilgængelige for de konti, testeren havde, på testtidspunktet. Det er et konkret og dokumenteret forhold, som virksomheden kan handle på med det samme. Det viser ikke, at andre har set dem, og det er ikke en opgørelse over alle steder, hvor følsomme oplysninger ligger forkert. Om fundet har retlige konsekvenser, afhænger af en vurdering, som ligger uden for testen.

Tjekliste efter fundet

• ☐ Er den brede adgang lukket?
• ☐ Er filer og logfiler bevaret, indtil vurderingen er foretaget?
• ☐ Er ejeren af oplysningerne og den ansvarlige for databeskyttelse inddraget?
• ☐ Er det undersøgt, hvad logningen viser om adgang?
• ☐ Er årsagen fundet, og er lignende steder gennemgået?

Kilder

• Datatilsynet: Anmeld sikkerhedsbrud: hvornår og hvordan en dataansvarlig anmelder et brud på persondatasikkerheden.

Senest gennemgået: oktober 2026.

Næste skridt

• Delte mapper og filservere
• Fund om logning og overvågning

Del af: Artikler til IT-afdelingen

Læs også: Oprydning efter testen · Databaseservere

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT