Vi er som samfund nødt til at ændre en række forhold efter det store CPR-læk i begyndelsen af oktober.
Sådan lyder det fra Rådet for Digital Sikkerhed og Cybersikkerhedsrådet i kølvandet på det store læk, hvor en hacker lænsede systemet for 8,8 millioner CPR-numre via det lille fynske selskab Pays adgang til det dårligt beskyttede register.
"Risikobilledet har ændret sig, truslerne ændrer sig meget hurtigt blandt andet på grund af AI, og der er stor indbyrdes afhængighed mellem vores systemer. Det er derfor vigtigt, at vi alle strenger os an og vedvarende holder vores sikkerhed opdateret i overensstemmelse med standarder og best practises," lyder det fra formand for Rådet for Digital Sikkerhed, Henning Mortensen.
De to råd er nu klar med en otte konkrete forslag til, hvordan tilliden til systemet kan øges og sikkerheden forbedres:
De er:
Ny sikkerhedsvurdering
Der gennemføres et sikkerhedsassessment af CPR-registeret og andre steder, hvor CPR-nummeret anvendes - eksempelvis efter kravene i ISO27002, databeskyttelsesforordningen artikel 32 og relevant NIS2 lovgivning.
Løbende monitorering
Løbende monitorering skal afsløre afvigelser fra normalbilledet.
"Monitorering af normalbilledet i kunders aktiviteter og alarmer – herunder automatiske begrænsninger – hvis aktiviteter afviger mere end et på forhånd fastlagt threshold, bør implementeres," lyder det fra rådene.
Nye krav til alle med adgang
CPR-registeret og andre relevante platforme skal stille krav til sikkerheden hos dem, der har adgang til CPR-registeret, og følge op på disse krav.
"Kravene skal blandt andet omfatte krav til autentifikation ved opslag, logning af events hos kunden, krav til sikkerhed ved behandling af de indhentede oplysninger, samt opfølgning på at kravene efterleves," hedder det.
Brug skal begrænses
Rådene mener, at det skal være endegyldigt slut med, at vi i Danmark anvender CPR-nummeren til autentifikation.
"Med det seneste læk kan principielt set alle individer kende alle andres CPR-numre. I nogen tilfælde med begrænset krav til autentifikation kan identifikation med navn og CPR-nummer dog være tilstrækkeligt og praktisk," lyder det fra rådene.
I stedet bør alene pas, kørekort eller MitID kunne anvendes til autentifikation af danskeres identitet.
Bedre autentifikation
"Det er vigtigt, at der findes fleksible og sikre måder at autentificere sig på. MitID er en mulighed. AltID er en anden mulighed. Det bør vurderes, I hvilket omfang mindre digitale borgere har brug for et fysisk autentifikationskort."
[b]Slut med fortrolighed omkring CPR
[/b]Vi er som danskere opdraget til, at CPR-nummeret er fortroligt. Men den opfattelse bør vi sige farvel til, lyder det fra de to råd.
"Hvis fortrolighed ophæves, vil det være tydeligt for alle og enhver, at nummeret ikke på nogen måde kan bruges som autentifikation, men kun journalnummer," skriver de.
De mener, at det vil være fint at offentliggøre hele registeret.
"Det kan overvejes decideret at offentliggøre CPR-nummeret så en bredere kreds - herunder det private erhvervsliv - kan anvende nummeret som journalnummer. Hvis nummerets fortrolighed ophæves, må det imidlertid være på betingelse af, at nummeret forinden justeres, således at borgere ikke tvinges til at få afsløret data om fødselsdag, -år og køn."
[b]Forbud med brug af CPR till autentifikation
[/b]"Rådene ser ultimativt gerne, at det forbydes at anvende CPR-nummer til autentifikation, en hemmelighed eller verifikation. Det kan forbydes ved lov, men kan også forbydes gennem soft-law," skriver de.
[b]Arbejdsgruppe
[/b]De vil desuden have en arbejdsgruppe til at kigge på CPR-nummerets fremtid.
Det skal bestå af eksperter fra forskning, staten, kommuner, regioner og erhvervsliv, og de skal drøfte, hvordan "en sikker arkitektur og et sikkert nummer kan indrettes mht. identifikation, autentifikation, attributter og sammenkobling."
Læs også:
