Lækket handler ikke kun om et brud, men om hvordan staten kontrollerer leverandører og adgangsrettigheder til kritiske registre. Næste skridt kan blive strammere kontraktkrav og dyrere compliance.
CPR-registeret er igen i centrum efter et læk, hvor uvedkommende ifølge myndighederne fik uautoriseret adgang til CPR-oplysninger om ca. 8,8 millioner registrerede personer.
Men sagen handler ikke kun om et angreb.
Den rejser et mere sejt spørgsmål om, hvordan staten styrer leverandører, der driver kritisk infrastruktur, og hvad der reelt kontrolleres, når kontrakterne først er underskrevet.
Det oplyser Berlingske og Forsknings-, Uddannelses- og Digitaliseringsministeriet.
Leverandørkæden er den svage del
Ministeriet beskriver, at adgangen blev opnået ved at misbruge en dansk virksomheds lovlige mulighed for at søge i CPR-systemet, hvorefter adgangen blev stoppet.
Det peger på en klassisk leverandørrisiko: selv når kerneplatformen er hårdt sikret, kan rettigheder, integrationer og drift hos tredjeparter blive den hurtigste vej ind.
Berlingske beskriver samtidig, at en amerikansk it-leverandør har drevet og vedligeholdt CPR-registret i årtier, og at virksomheden ikke ønsker at udtale sig om lækket.
Når ansvaret endnu ikke er placeret, bliver stilheden i sig selv et problem: I kriser er det ofte dokumentation for processer, logning og eskalationsveje, der afgør, hvor hurtigt man kan afgrænse skade og finde årsagen.
CPR er et grundregister med enorm rækkevidde
CPR er ikke bare et nummer, men et grundregister, der bruges på tværs af offentlige og private aktører.
CPR-kontoret oplyser, at registret rummer oplysninger om ca. 11,4 millioner personer, herunder knap 6,1 millioner nulevende, og at data kan stilles til rådighed for myndigheder og private med berettiget interesse.
Jo flere legitime brugere og adgangsformer, desto mere komplekst bliver tilsynet med, at adgangen ikke udnyttes uden for formålet.
Det gør hændelsen dyr i mere end én forstand.
Ud over de direkte omkostninger til efterforskning og oprydning kan tillidstab betyde, at der skal bygges ekstra sikkerhedslag og kontrolmekanismer ind, som gør alt fra kundekendskab til digital signering mere tungt.
Det næste markedssignal bliver kontrakterne
Når ministeren samtidig har bedt om en grundig sikkerhedsgennemgang af CPR-systemet, kan konsekvensen blive nye krav til leverandører: strengere logging, hurtigere hændelsesrapportering, bedre segmentering af adgang og mere løbende revision.
For staten er læringen, at indkøb ikke slutter ved udbuddet.
Kontrakter skal kunne håndhæves i drift, og der skal være klare svar på, hvem der ejer risikoen, hvis et underled misbruges.
For it-branchen kan sagen accelerere et skifte mod færre, mere kontrollerbare adgangspunkter og dyrere compliance som konkurrenceparameter.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
