En majoritet av Sveriges kommuner samt flera regioner drabbades av haveriet förra hösten. Miljödata är en stor leverantör av HR-system till offentlig sektor och totalt ”stals” personuppgifter, delvis känsliga sådana, om 2,2 miljoner individer vid intrånget. Dessa publicerades sedan på Darkweb.
Integritetsskyddsmyndigheten, IMY, har utrett läckan och nu beslutat om en sanktionsavgift på 1,8 miljoner kronor för överträdelse av dataskyddsförordningen.
Granskningen visar att Miljödata haft bristande säkerhet kring hanteringen av personuppgifter. Nivån på teknisk och organisatorisk säkerhet bedöms som otillräcklig. Företaget gjorde inte tillräckliga kontroller vid installation av mjukvara och har även brustit i realtidsövervakning av sina system för att upptäcka intrång.
– GDPR ställer krav på lämpliga säkerhetsåtgärder för de personuppgifter man hanterar. Här har Miljödata brustit och resultatet är att en hotaktör kom över uppgifter om en stor del av Sveriges befolkning. Vi ser allvarligt på det inträffade. Min förhoppning är att även andra verksamheter tar till sig av sanktionsbeslutet och vid behov ser över säkerheten för de personuppgifter man själv ansvarar för, säger Eric Leijonram, generaldirektör på IMY, i ett pressmeddelande.
Ransomware-attacken inträffade 20 augusti ifjol. Sju dagar tidigare installerade Miljödata en stödkomponent till en brandväggslösning. En utdaterad komponent användes med sedan länge känd, kritisk sårbarhet.
Enligt granskningen har Miljödata hävdat att det saknades anledning att misstänka den installerade versionen eftersom det var en kostsam produkt som levererades av en välkänd leverantör.
Miljödata har på sin webbplats kommenterat IMY:s beslut och skriver där att man inte delar alla slutsatser. Sanktionsavgiften kan överklagas till förvaltningsdomstol inom tre veckor.
En polisutredning om grovt dataintrång och försök till grov utpressning har genomförts men lagts ner i brist på bevis.
IMY granskar även tre offentliga kunder till Miljödata: Göteborgs stad, Region Västmanland och Älmhults kommun. De utredningarna pågår fortfarande.
L
En sanktionsavgift ska vara effektiv, proportionerlig och avskräckande. Läckan omfattade 2,2 miljoner individers persondata som läcktes och sanktionsavgiften landade på 1,8 miljoner. . . det är nog tungt för miljödata men i det stora hela undrar jag om det är särskilt proportionerligt eller avskräckande.