Beretning Til Statsrevisorerne Om Adgangen Til It-Systemer, Der Under- Støtter Samfundsvigtige Opgaver
Total Page：16
File Type：pdf, Size：1020Kb
Beretning til Statsrevisorerne om adgangen til it-systemer, der under- støtter samfundsvigtige opgaver Oktober 2015 BERETNING OM ADGANGEN TIL IT-SYSTEMER, DER UNDERSTØTTER SAMFUNDSVIGTIGE OPGAVER Indholdsfortegnelse 1. Introduktion og konklusion ............................................................................................ 1 1.1. Formål og konklusion ............................................................................................ 1 1.2. Baggrund .............................................................................................................. 3 1.3. Revisionskriterier, metode og afgrænsning .......................................................... 5 2. Styring, kontrol og logning af udvidede administratorrettigheder .................................. 8 2.1. Styring og kontrol af betroede it-medarbejderes udvidede administrator- rettigheder ............................................................................................................. 8 2.2. Styring og kontrol af udvidede administratorrettigheder for system- og servicekonti ......................................................................................................... 11 2.3. Sikring af logning af udvidede administratorrettigheder ...................................... 13 Bilag 1. Metode ................................................................................................................... 19 Bilag 2. Ordliste ................................................................................................................... 23 Rigsrevisionen har selv taget initiativ til denne undersøgelse og afgiver derfor be- retningen til Statsrevisorerne i henhold til § 17, stk. 2, i rigsrevisorloven, jf. lovbe- kendtgørelse nr. 101 af 19. januar 2012. Beretningen vedrører finanslovens § 7. Finansministeriet, § 11. Justitsministeriet, § 16. Ministeriet for Sundhed og Forebyggelse (nu Sundheds- og Ældreministe- riet), § 28. Transportministeriet (nu Transport- og Bygningsministeriet) og § 29. Klima-, Energi- og Bygningsministeriet (nu Energi-, Forsynings- og Klimaministe- riet). I undersøgelsesperioden har der været følgende ministre: Finansministeriet: Bjarne Corydon: oktober 2011 - juni 2015 Claus Hjort Frederiksen: juni 2015 - Justitsministeriet: Mette Frederiksen: oktober 2014 - juni 2015 Søren Pind: juni 2015 - Sundheds- og Ældreministeriet: Nick Hækkerup: februar 2014 - juni 2015 Sophie Løhde: juni 2015 - Transport- og Bygningsministeriet: Magnus Johannes Heunicke: februar 2014 - juni 2015 Hans Christian Schmidt: juni 2015 - Energi-, Forsynings- og Klimaministeriet: Rasmus Helveg Petersen: februar 2014 - juni 2015 Lars Christian Lilleholt: juni 2015 - Beretningen har i udkast været forelagt Finansministeriet, Justitsministeriet, Sund- heds- og Ældreministeriet, Transport- og Bygningsministeriet og Energi-, Forsy- nings- og Klimaministeriet, hvis bemærkninger er afspejlet i beretningen. INTRODUKTION OG KONKLUSION 1 1. Introduktion og konklusion 1.1. Formål og konklusion 1. Denne beretning handler om, hvad en række statslige institutioner gør for at beskytte ad- gangen til it-systemer og data, som understøtter samfundsvigtige opgaver, via de såkaldte udvidede administratorrettigheder. Rigsrevisionen har selv taget initiativ til undersøgelsen. 2. It-systemer, der understøtter samfundsvigtige opgaver, kan – ligesom andre it-systemer Active Directory (AD) er et – tilgås med udvidede administratorrettigheder. Disse rettigheder giver det højeste niveau brugeradministrationssystem, hvori institutionen styrer og kon- af rettigheder, adgang og kontrol over institutionernes it-systemer og data, som styres i bru- trollerer adgang og rettigheder geradministrationssystemet Active Directory (AD). Desuden kan rettighederne give mulig- til it-systemer og data. hed for at omgå institutionernes sikkerhedsforanstaltninger. I nogle tilfælde kan de udvide- de administratorrettigheder – afhængigt af institutionens systemopbygning – også give ad- Sikkerhedsforanstaltninger gang til andre væsentlige it-systemer og data, der ikke styres i AD. skal bidrage til at forhindre el- ler opdage misbrug og kompro- mittering af it-systemer og da- 3. Beretningen vedrører følgende 6 institutioner: Energinet.dk (under Energi-, Forsynings- og ta. Det er fx tekniske regler i it- Klimaministeriet), Banedanmark (under Transport- og Bygningsministeriet), National Sund- systemerne, der kan forhindre heds-it (under Sundheds- og Ældreministeriet), der varetager it-drift for Sundheds- og Ældre- uønskede handlinger. ministeriet, Statens It (under Finansministeriet), der varetager it-drift for en række minister- områder, samt Direktoratet for Kriminalforsorgen og Rigspolitiets Koncern IT (under Justits- ministeriet). De 6 institutioner dækker tilsammen en bred vifte af forskellige samfundsvigti- ge opgaver. 4. Institutionernes opgaveløsning er afhængig af en velfungerende og sikker it-understøt- Misbrug og kompromittering telse. Det er derfor afgørende, at institutionerne styrer og kontrollerer de udvidede admini- af it-systemer og data inde- bærer, at en person uretmæs- stratorrettigheder, dels mod internt misbrug, hvor betroede it-medarbejdere misbruger de- sigt kan få adgang til en række res udvidede administratorrettigheder eller håndterer rettighederne uforsigtigt, dels mod eks- af institutionens it-systemer og ternt misbrug, hvor fx en hacker, der har haft held til at komme ind i institutionens it-syste- data. Der kan fx være tale om, mer, overtager og misbruger de udvidede administratorrettigheder. En hacker kan fx få ad- at personen uretmæssigt afbry- der eller ændrer datakørsler, el- gang til institutionens it-systemer og data, der styres i AD. Det er også vigtigt, at institutio- ler at personen uretmæssigt nerne sikrer en tilstrækkelig logning af anvendelsen af de udvidede administratorrettigheder ændrer, sletter eller læser/stjæ- med henblik på at opdage og opklare misbrug og kompromittering af it-systemer og data. ler data. 5. Det fremgår af ”Efterretningsmæssig Risikovurdering 2014” fra Forsvarets Efterretnings- tjeneste, at den teknologiske udvikling gør, at risikoen for at blive hacket øges, og at risiko- billedet ændrer sig løbende. Det stiller ifølge risikovurderingen store krav til sikkerhedsfor- anstaltningerne. Desuden fremgår det af risikovurderingen fra 2013, at truslen fra ansatte, der ubevidst eller bevidst bryder sikkerheden på deres arbejdsplads, vokser. 2 INTRODUKTION OG KONKLUSION 6. Misbrug og kompromittering af institutionernes it-systemer og data vil kunne påvirke og forstyrre institutionernes opgaveløsning. Derudover kan misbrug og kompromittering af it- systemer og data for nogle institutioner true en sikker opbevaring af fortrolige personoplys- ninger og øvrige fortrolige data. Konsekvenserne af misbrug og kompromittering af institu- tionernes it-systemer og data varierer på tværs af institutionerne afhængigt af deres opgave- portefølje. Institutionerne har oplyst, at de har forskellige kompenserende foranstaltninger, der bidra- ger til at begrænse risikoen for og konsekvensen af uretmæssig adgang via de udvidede administratorrettigheder og misbrug og kompromittering af it-systemer og data. Ifølge institu- tionerne betyder det fx, at misbrug af de udvidede administratorrettigheder i de undersøg- te AD ikke kan påvirke forsyningssikkerhed af el og gas og sikkerheden af togdriften. Des- uden er det ifølge institutionerne fx heller ikke muligt via de udvidede administratorrettighe- der i de undersøgte AD at skaffe sig adgang til it-systemer og data, der bruges i den direk- te patientbehandling, og heller ikke til flere af Rigspolitiets kritiske it-systemer og data. 7. Beretningen sætter fokus på den væsentlige risiko, der er ved en mangelfuld styring og kontrol af de udvidede administratorrettigheder, hvilket indebærer, at personer uretmæs- sigt kan få adgang til institutionernes it-systemer og data. Rigsrevisionen har ikke under- søgt, hvad den uberettigede adgang specifikt kan udnyttes til i institutionernes konkrete it- systemer og data. 8. Undersøgelsen, som beretningen bygger på, er baseret på it-revisioner, som Rigsrevi- sionen har udført i første halvdel af 2015. 9. Rigsrevisionen har undtagelsesvist besluttet at anonymisere resultaterne ud fra et it-sik- kerhedshensyn, da revisionen har påvist en række alvorlige mangler, der udgør en it-sikker- hedsrisiko, indtil institutionerne har rettet op på manglerne. Rigsrevisionen finder det vigtigt at offentliggøre de resultater, som beretningen indeholder, for at bidrage til at forbedre it-sikkerheden i staten generelt, idet resultaterne kan gøre sig gældende for en større kreds af statslige institutioner end de 6 institutioner, som beretnin- gen omhandler. 10. Formålet med undersøgelsen er at vurdere, om de statslige institutioner følger anbefa- linger om god it-sikkerhedspraksis for at beskytte adgangen til it-systemer og data, som un- derstøtter samfundsvigtige opgaver. Vi har derfor undersøgt, hvordan institutionerne styrer og kontrollerer de udvidede administratorrettigheder, herunder hvordan institutionerne sikrer logning af anvendelsen af udvidede administratorrettigheder. KONKLUSION Rigsrevisionen vurderer samlet, at de 6 institutioner på undersøgelsestidspunktet ik- ke har efterlevet en række anerkendte anbefalinger om god it-sikkerhedspraksis for at beskytte adgangen til it-systemer og data, som understøtter samfundsvigtige opga- ver. Særligt 2 institutioner har ikke efterlevet anbefalingerne. De 6 institutioners manglende efterlevelse af anbefalingerne kan øge risikoen