Dantherm

Datatilsynet har udtalt kritik af, at Dantherm ikke havde passende sikkerhed. Virksomheden kunne ikke heller ikke påvise, at behandlingen havde været i overensstemmelse med reglerne. Datatilsynet har truffet afgørelse i en sag, hvor Dantherm havde anmeldt et brud på persondatasikkerheden til tilsynet. Dantherm havde været udsat for et ransomwareangreb, hvor det lykkedes hackere at få adgang til Dantherms it-miljø, hvorfra hackerne lækkede oplysninger om nuværende og tidligere ansatte til the dark web. Hackerne har sandsynligvis fået adgang via brugeren ”AV” som havde administratorrettigheder. Brugerkontoen havde tidligere været brugt af en ekstern konsulent, som ikke burde have adgang på tidspunktet for angrebet. Hackerne slettede de fleste af logfilerne. Dantherm kunne derfor ikke svare på, hvorvidt kontoen ”AV” havde været aktiv eller deaktiveret. Datatilsynet udtalte, at administrative rettigheder alene skal give adgang til relevante begrænsede ressourcer (computere, aktive enheder, programmer, services eller lignende), og der skal sikres logning af al brug af rettighederne. Logfilerne skal derfor gemmes på en sådan måde, at brugerne med de administrative rettigheder ikke kan lukke ned for, slette eller ændre i loggen. Datatilsynet fandt, at Dantherms behandling af personoplysninger ikke havde været i overensstemmelse med reglerne om passende sikkerhed. Datatilsynet lagde ved vurderingen vægt på, at Dantherm ikke havde sikret, at brugere med administratorrettigheder ikke kunne slette eller ændre logfilerne. Herudover fandt Datatilsynet, at Dantherm ikke havde levet op til kravet om, at den dataansvarlige skal kunne påvise en passende sikkerhed ved behandlingen af personoplysninger. Datatilsynet lagde i den forbindelse vægt på, at Dantherm ikke kunne dokumentere i hvilke perioder ”AV” kontoen var aktiv.