Datatilsynet er tydelig: informasjonssikkerhet og personvern må bli faste punkter på dagsordenen i ledergrupper og styremøter. I dagens trusselbilde er dette helt avgjørende for å beskytte virksomheter og enkeltpersoner mot alvorlige følger.
Misbruk av personopplysninger har preget nyhetsbildet i lang tid, og selv om vi skulle tro det fikk utviklingen til å gå riktig vei, har utfordringene blitt mer komplekse. GDPR, som trådte i kraft i 2018, pålegger virksomheter å rapportere avvik til Datatilsynet. Antallet rapporterte avvik har økt kraftig, fra 400 i 2018, til 3 191 i 2024.
– Vi ser flest avvik knyttet til feiladressering av personopplysninger, mangler i tilgangsstyring og utilsiktet publisering. Dette kommer i tillegg til tilsiktede digitale angrep og systemfeil, forteller Kristine Stenbro, seksjonssjef i Datatilsynet.
Kristine Stenbro
Seksjonssjef i Datatilsynet
Økning i avviksmeldinger
Offentlig sektor, inkludert kommuner og helsevesen, står for en betydelig andel av avviksmeldingene. Det kan tolkes som negativt, men Stenbro ser det også som tegn på bedrede rutiner.
– Økningen viser at mange har etablert gode interne systemer for å identifisere og håndtere brudd på personopplysnings-sikkerheten. Vi er mer bekymret for virksomheter som aldri sender inn avviksmeldinger, sier hun.
Stenbro understreker at media ofte fokuserer på de alvorligste sikkerhetsbruddene, mens tilfellene der gode tekniske og organisatoriske tiltak hindrer brudd på sikkerheten, får mindre oppmerksomhet.
– Vi ser en profesjonalisering av angrepene, drevet av både kriminelle og politiske aktører. Bruken av kunstig intelligens gjør det enda mer utfordrende å oppdage og håndtere digitale angrep, legger hun til.
Dårlig situasjonsforståelse
Et gjennomgående problem er manglende situasjonsforståelse i ledergrupper. Ifølge Kristine Stenbro er det en trussel at styringssystemer for informasjonssikkerhet og personvern ikke er godt nok integrert i virksomhetenes risikovurdering.
– Situasjonen rundt virksomhetene endrer seg konstant. Likevel ser vi at ledelsen ofte nedprioriterer nødvendige tiltak, påpeker hun.
Støtte fra toppledelsen
Stenbros viktigste råd til norske virksomheter er å forankre arbeidet med sikkerhet og personvern på høyeste nivå.
– Toppledelsen må sikre at det allokeres nok ressurser til sikkerhetsarbeid og personvern. Dette må være en del av virksomhetens strategiske prioriteringer. Regelmessig testing av beredskapsplaner, og dedikerte team for krisesituasjoner, er også avgjørende, sier hun.
Hun peker på at mange virksomheter mangler tilstrekkelige planer for retur til normal drift etter sikkerhetsbrudd.
– Kunstig intelligens byr på enorme muligheter, men også utfordringer, spesielt for personvernet, så vi må bli mer bevisste på hvilke data vi deler, både som virksomheter og som enkeltpersoner.
Les mer om personvern på datatilsynet.no
