Efter bruddet i CPR-systemet strammer myndighederne grebet om adgangen. For erhvervslivet er det en påmindelse om, at compliance nu er en fast bundlinjepost.
Flere end 1.000 virksomheder med adgang til CPR-registret har nu fået indskærpet sikkerhedskravene, efter at uvedkommende misbrugte en virksomheds lovlige adgang til at hente oplysninger.
Sagen viser, hvor hurtigt et enkelt svagt led kan gøre et helt økosystem sårbart, og hvorfor databeskyttelse i stigende grad er blevet en reel driftsomkostning.
Det oplyser Finans.
Ét brud rammer mange parter
Ifølge et notat fra forsknings-, uddannelses- og digitaliseringsminister Christina Egelund er der sendt brev om skærpede regler til i alt 1.039 virksomheder med adgang til CPR.
Baggrunden er en hændelse, hvor uvedkommende via en dansk virksomheds adgang fik uautoriseret adgang til navne, adresser og CPR-numre på omkring 8,8 millioner registrerede personer, skriver DR.
Det afgørende for virksomheder er ikke kun, om man selv bliver kompromitteret, men om ens leverandøradgange kan bruges som motorvej ind i følsomme registre.
Datatilsynet oplyser, at der er anmeldt “et meget stort antal automatiserede opslag” mod CPR-systemet, og at tilsynet nu ser på, hvad der skete, og hvem der har ansvaret, fremgår det af Datatilsynet.
Derfor bliver compliance en bundlinjepost
Når et læk involverer identitetsdata som CPR, stiger både omkostningerne til oprydning og risikoen for efterfølgende svindel.
Internationalt peger IBM på, at den globale gennemsnitsomkostning ved et databrud i 2024 var 4,88 mio. dollar, blandt andet drevet af tabt forretning og ekstra kundesupport, ifølge IBM.
Samtidig er sanktionssporet i Danmark mere komplekst, end mange tror.
Datatilsynet kan indstille til bøde, men bøder efter GDPR afgøres ved domstolene, understreger tilsynet på sin oversigt over bødesager.
Det gør udfald og timing sværere at forudsige, men øger behovet for dokumentation af kontroller.
Det næste virksomheder bør måle
Det strategiske signal er, at adgang til kritiske data i stigende grad bliver behandlet som en samfundskritisk funktion, også når den ligger hos private aktører.
NIS2-direktivet skærper kravene til risikostyring og ledelsesansvar og forventes i dansk kontekst at ramme brede værdikæder gennem leverandørkrav, som beskrevet af Kromann Reumert.
For ledelser er den praktiske lektie at måle, hvem der har “privilegeret adgang”, hvor mange API-kald der kan foretages uden ekstra kontrol, og hvor hurtigt adgange kan lukkes.
Den type nøgletal bliver ofte vigtigere end en årlig politik, når en hændelse skal stoppes i tide.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
