Folkhälsomyndighetens dataläcka visar att det alltid finns någon IT-person som kan se dina uppgifter

En IT-konsult åtalas nu för att kopierat personuppgifter om sju miljoner svenskar ur Folkhälsomyndighetens vaccinationsdatabas. Detta är ett gott exempel att alla personuppgifter som finns i en databas du inte själv har ensam kontroll över kan läsas av någon eller några IT-personer, och inte är det minsta tekniskt säkra.

Folkhälsomyndigheten skriver:

“Den person som åtalas var anlitad som it-konsult av Folkhälsomyndigheten, via ett konsultbolag. Enligt åtalet har konsulten uppsåtligen röjt personuppgifter som konsulten var skyldig att hemlighålla. Det är domstolen som avgör om den misstänkta konsulten ska dömas för brott eller frias från misstankar.
Folkhälsomyndigheten har vidtagit flera åtgärder efter händelsen för att ytterligare utveckla och skärpa säkerhetsrutinerna kring bland annat externa personer som anlitas.”

Nu är även myndigheters eller förertags egna IT-personal exakt samma säkerhetsrisker i den mån de har system- eller databasadministratörsrättigheter.

Alla uppgifter du lämnar eller någon annan för om dig, och all information du själv sparar i molnet, kan alltid läsas av någon med behörighet till detta. Det enda som hindrar spridning är att de flesta människor är hederliga. Annars krävs att det finns klientsidekryptering, som för Protons molntjänster där det endast är klienten och användaren själv som kan se uppgifterna. Men det fungerar förstås inte för myndigheters eller företags databaser.

I vissa fall så spårar man vanliga databasslagningar, som i belastningsregistret och patientjournaler, och där sker det då och då åtal eller disciplinära åtgärder för obehöriga slagningar på personer. Men det gäller vanliga användare som bara har tillgång till vanliga användargränssnitt.

Det finns alltid någon databas-, dator- eller nätverksadministratör som har full tillgång till allt och kan gå runt eventuell loggning. I värsta fall genom att helt enkelt råkopiera själva databasens filer och sedan använda dem från en annan dator. Grovt förenklat, men principen kvarstår.

Det är knappast sista databasläckan från anställda som kommer ske. Många kändisfoton som läckt har förmodligen plockats av anställda till molntjänster.

Tillgången till datat gäller inte bara privatpersoner. Det fascinerar mig exempelvis med företag som använder molntjänster för fakturering, offerter, upphandlingar mm, där alltså administratörer hos molntjänsten får tillgång till affärshemligheter. Eller företag och myndigheter som sparar filer i Microsofts molntjänst, vilket torde vara slentrianvanligt.

Sådana läckor av specifika affärshemligheter kommer nog inte ut i dagens ljus, utan t ex upphandlingar och offerter säljer man nog som ohederlig administratör snarare direkt till konkurrenterna utan att lägga ut på nätet.

Folkhälsomyndighetens floskel om skärpa säkerhetsrutinerna kring bland annat externa personer visar bara att man inte har kontroll eller förståelse för problemet och att detta kan och kommer hända igen. Om inte på FHM så på någon annan myndighet.

För övrigt ringde Ett Företag (TM) nyss och frågade mig vad jag hade för lösningar för att skydda mot ID-kapningar. “Den tänker jag inte svara på” var mitt svar. Det var enligt uppringande ID ett samtal från företaget, men tele-id är enkelt att spoofa och det finns ingen kryptologisk säkerhet kring caller ID, men oavsett är det intressant att man har den frågan i sitt säljmanus och det förs sedan i sin tur in i kunddatabasen … För att inte tala om att sådana här personer aldrig inleder samtalet med “jag ringer från X”, utan börjar med att försöka fastställa vem de talar med utan att presentera sig eller sitt ärende, vilket brukar leda till viss dålig stämning när man ringer mig.