Sammenhæng mellem brugerkompetencer, adgangsrettigheder og opgaver

Fejlhåndtering af data kan føre til utilsigtede sikkerhedsbrud, som fx offentliggørelse eller videregivelse af persondata, som skulle have været udeladt. Risikoen kan forebygges ved at sikre, at den enkelte bruger har de fornødne kompetencer til at anvende sin autorisation og håndtere data korrekt. Der er altså tale om en forebyggende foranstaltning, som mindsker sandsynligheden for fejlhåndtering af data.

Mange sikkerhedsbrud sker nemlig hos brugere, der anvender it til daglig, og derfor føler, at de forstår teknologien, men alligevel begår fejl. Det skyldes i nogle tilfælde, at brugeres fokus ikke er på sikkerhed, eller at sikker behandling af data kræver særlig forståelse for it – en anden forståelse end den, der kræves for at udføre brugerens arbejdsopgaver. I nogle tilfælde skyldes sikkerhedsbrud direkte en manglende forståelse for forskellen mellem den fysiske verden og den elektroniske, fx hvis brugeren tror, at data er effektivt fjernet fra et dokument, hvis data ikke umiddelbart er synlige (på computerskærmen).

Når der godkendes en ny adgang, er der en procedure, som sikrer, at den pågældende medarbejder har de nødvendige kompetencer i forhold til sikker håndtering af data, så sikkerhedsbrud så vidt muligt undgås. Det handler om at undgå at give brugere et råderum (via adgangsrettigheder), som ligger uden for deres kompetencer og fokusområde.

Her følger nogen eksempler, hvor brugeradgang tænkes sammen med rette kompetencer.

• Adgange gives ikke, før medarbejderen har fået de nødvendige kompetencer. Hvis adgangen allerede er etableret, gives medarbejderen de rette kompetencer, inden opgaven skal løses.
• Adgangsrettigheder til at offentliggøre data på et websted gives kun til medarbejdere, for hvem denne opgave er et hovedarbejdsområde, og kun efter undervisning i, hvordan man finder og frasorterer personoplysninger, der eksempelvis kan være gemt i metadata i et dokument, i et datasæt bag en graf i en præsentation eller i skjulte celler i et regneark. Det kan også være relevant med værktøjer og kompetencer, der gør dem i stand til fjerne data (ikke kun skjule dem), og som gør dem i stand til at forstå, hvornår data er anonymiserede.
• Elektronisk behandling af anmodninger om indsigt udføres kun af medarbejdere, som har fået værktøjer og kompetencer, der gør dem i stand til effektivt at fjerne data (ikke kun skjule dem), og efter undervisning i relevante lovkrav om omfanget af indsigt.
• Forsendelse af persondata ud af organisationen, foretages kun af medarbejdere, som er oplært i, hvilke krav der gælder til (sikker) forsendelse. Hvis muligt har de pågældende samtidig fået værktøjer, der gør det nemt at sende data sikkert.
• Journalisering af dokumenter/breve, hvor der samtidig sker en automatisk offentliggørelse, udføres af få medarbejdere, for hvem denne opgave er deres hovedarbejdsområde. Hvis der sker automatisk offentliggørelse af dokumenter i journaliseringssystemet, er medarbejderen også undervist i, hvordan det fungerer.
• Visse adgangsrettigheder kan indebære en højere risiko end andre. En medarbejder med læseadgang til data kan kompromittere datas fortrolighed, ved at viderebringe dem til uvedkommende. Muligheden for at slette data indebærer en yderligere risiko, nemlig risikoen for manglende tilgængelighed til data, hvis medarbejderen fx ved en fejl sletter de forkerte data. Muligheden for at slette data kan også være forbundet til lovkrav, fx reglerne om offentlig forvaltning, som kan forbyde sletning i visse sammenhænge. Sådanne adgangsrettigheder forbeholdes medarbejdere, som har modtaget undervisning i relevante risici og/eller lovkrav, og for hvem denne opgave er deres hovedarbejdsområde.

Det er primært en risikovurdering efter databeskyttelsesforordningens artikel 32, som skal vise, hvilke tiltag der er relevante, idet konkrete risici er meget afhængige af, om der i organisationen er funktioner/opgaver, hvor manglende kompetencer reelt kan udgøre en risiko.

Se foranstaltningen Awareness for at udvælge yderligere relevante informationer, der skal gives på ansættelsestidspunktet eller ved ændring af adgangsrettighederne.