Ekspert: Undvigende svar af Rigspolitiet i hackersag

16x9
Rigspolitiet laver ændringer i it-sikkerhed efter CSC-hackersag. Men it-ekspert savner stadig svar. Foto: Scanpix

Rigspolitiet mener selv at have rettet flere af de fejl, der bliver kritiseret af Datatilsynet i en rapport efter den omfattende hackersag i 2012.

Rigspolitiet mener selv at have rettet flere af de fejl, der bliver kritiseret af Datatilsynet i en rapport efter den omfattende hackersag i 2012.

I en pressemeddelelse forsikrer Rigspolitiet onsdag om, at man på en række punkter har forbedret it-sikkerheden i kølvandet på den såkaldte CSC-hackersag, hvor der i en periode blev stjålet oplysninger fra flere offentlige registre - herunder CPR-registret og politiets kriminalregister.

- Rigspolitiet har siden hackerangrebet på informationssystemer hos CSC i 2012 foretaget en række tiltag for at styrke sikkerheden. Herunder er den webserver, der blev anvendt ved hackerangrebet, nedlagt, skriver Rigspolitiet.

Desuden er sikkerhedsniveauet for flytning af data fra systemerne til internettet ifølge politiet højnet betydeligt.

Ifølge formanden for IT-Politisk Forening, Jesper Juel, så mangler der dog fremtidsperspektiv i forbedringerne, og han kalder svaret fra Rigspolitiet for "undvigende".

- Svaret lugter af hurtige løsninger på de mest oplagte problemer, for det er to relativt simple fodfejl, der er blevet rettet op på. Det er et undvigende svar, de kommer med, mener Jesper Juel.

Han savner, at Rigspolitiet svarer på de grundlæggende spørgsmål, som Datatilsynet stiller i sin afgørelse, nemlig hvordan Rigspolitiet har tænkt sig at sikre sig i fremtiden.

- Offentlige myndigheder skal gøre sig klart, at deres it-systemer vil blive hacket før eller siden. Så det handler om at begrænse konsekvenserne af hackerangreb.

- Det gør man ved adskillelse, isolation og sikkerhed i dybden i sine systemer, som Datatilsynet også påpeger i sin afgørelse, og det ser jeg ikke noget af i Rigspolitiets svar, siger Juel.

Hackerangrebet mod statens it-leverandør CSC er blevet kaldt danmarkshistoriens største og stod på fra marts 2012 til august samme år.

Ifølge Datatilsynets analyse var det muligt at få adgang til de følsomme oplysninger, blandt andet fordi en computer med forbindelse til det europæiske Schengen-system var koblet til internettet.

Kritikken går blandt andet på, at det strider mod et it-sikkerhedsprincip om at adskille webservere og informationsdatabaser.

I den store hackersag er to mænd tiltalt for at stå bag et elektronisk indbrud i et stort dataanlæg hos CSC - en såkaldt mainframe. Her har hackere fået adgang til forskellige offentlige registre, herunder CPR-registret, politiets kriminalregister og det såkaldte Schengen-register over internationalt efterlyste personer.

Sagen bugner af tekniske detaljer, som er uforståelige for menigmand, men i virkeligheden er den juridiske strid forholdsvis simpel. Det handler om, hvorvidt den tiltalte Wargs computer er blevet fjernstyret af ukendte gerningsmænd, eller om han selv har siddet bag tasterne, da der blev hacket.

Det er anklagemyndigheden og de tiltalte enige om:

* Der er fundet et hackerangreb sted, og det er sket via den tiltalte Gottfrid Svartholm Wargs computer i Cambodjas hovedstad, Phnom Penh.

* Danske JKT har i en chat med en person, som ifølge anklagemyndigheden kaldes My Evil Twin, drøftet muligheden for at opnå adgang til en mainframe hos CSC.

Det strides anklagemyndigheden og de tiltalte om:

* Gottfrid Svartholm Warg afviser at være mennesket bag navnet "My Evil Twin". Han afviser også, at han har udført hackerangrebet. Warg hævder, at hans computer er blevet fjernstyret af en eller flere ukendte gerningsmænd.

* Anklagemyndigheden mener, at Warg er My Evil Twin, og at det er ham, som har udført hackingen og kopieret dokumenter til computere i Cambodja.

* JKT afviser at have chattet med en person kaldet My Evil Twin. Personen hed i virkeligheden Era, men i de dokumenter, som anklagemyndigheden fremlægger, er navnet ifølge JKT ændret.

JKT afviser også selv at have benyttet navnet Advanced Persistent Terrorist Threat i selvsamme chat, selv om det i den beslaglagte kopi af chatten ser ud som om, han har chattet under det navn.