Beretning om beskyttelse mod ransomwareangreb

Den 21. februar 2018 behandlede Statsrevisorerne

Beretning nr. 11/2017 om beskyttelse mod ransomwareangreb

Statsrevisorerne afgav beretningen til Folketinget med følgende bemærkning:

"Cyberangreb mod statslige institutioner – og særligt truslen fra såkaldte ransomwareangreb – er meget aktuel. Ransomware er skadelige programmer, der forhindrer adgang til data, bl.a. ved, at data bliver krypteret, så den ramte institution ikke kan anvende dem. Manglende tilgængelighed af data kan forhindre eller besværliggøre varetagelsen af vigtige samfundsmæssige funktioner. Fx måtte det britiske sundhedsvæsen i 2017 aflyse operationer af eller konsultationer med ca. 19.000 patienter som følge af et ransomwareangreb. 

Beretningen handler om Sundhedsdatastyrelsens, Udenrigsministeriets, Banedanmarks og Beredskabsstyrelsens beskyttelse mod ransomwareangreb. Rigsrevisionen har undersøgt, om de 4 institutioner opfylder 20 almindelige tiltag, som reducerer risikoen for, at ransomware kommer ind i institutionerne via e-mails. 

Statsrevisorerne finder, at Sundhedsdatastyrelsens, Udenrigsministeriets, Banedanmarks og Beredskabsstyrelsens beskyttelse mod ransomwareangreb ikke er tilfredsstillende. Hermed er der øget risiko for, at ransomware via e-mails kan forhindre adgang til institutionernes data, så de ikke kan varetage deres opgaver i kortere eller længere perioder.  

Statsrevisorerne gør opmærksom på, at beskyttelse mod ransomwareangreb er en vigtig opgave for alle offentlige institutioner. Beretningen angiver en række tiltag, som alle institutioner kan iværksætte for at reducere risikoen for ransomware.  

Statsrevisorerne bemærker: 

• at forebyggelsen af ransomwareangreb ikke er tilstrækkelig, og at ingen af institutionerne fuldt ud har sikret, at alle deres programmer har de nyeste sikkerhedsopdateringer
• at ledelsen i Sundhedsdatastyrelsen og i Banedanmark ikke har dækkende risikovurderinger for truslen fra ransomwareangreb
• at Udenrigsministeriet, Banedanmark og Beredskabsstyrelsen ikke har reaktive tiltag, der kan sikre, at institutionerne kan genetablere normal drift, efter de er blevet ramt af ransomwareangreb. 

Statsrevisorerne finder det tilfredsstillende, at alle 4 institutioner de seneste 12 måneder har implementeret tiltag, som kan øge deres beskyttelse mod ransomwareangreb."

Beretning nr. 11/2017 om beskyttelse mod ransomwareangreb

Sagen optages i Endelig betænkning 2023 som fortsat sag med følgende statsrevisorbemærkning:

"Statsrevisorerne finder det kritisabelt, at Banedanmark, Beredskabsstyrelsen, Sundhedsdatastyrelsen og Udenrigsministeriet fortsat ikke har implementeret alle tiltagene til beskyttelse mod ransomwareangreb 6 år efter, at sårbarheden i institutionernes it-sikkerhed blev påpeget. 

Statsrevisorerne finder det særligt kritisabelt, at Banedanmark og Udenrigsministeriet fortsat mangler at implementere ufravigelige tekniske minimumskrav. 

Statsrevisorerne skal på det kraftigste opfordre til, at Banedanmark, Beredskabsstyrelsen, Sundhedsdatastyrelsen og Udenrigsministeriet implementerer tiltagene til beskyttelse mod ransomwareangreb. 

Statsrevisorerne skal på baggrund af sagen anmode digitaliseringsministeren om en skriftlig redegørelse om fremdriften i implementeringen af tiltagene til beskyttelse mod ransomwareangreb i Banedanmark, Beredskabsstyrelsen, Sundhedsdatastyrelsen og Udenrigsministeriet."