Statsrevisorerne: IT-sikkerhed i staten lever ikke op til minimumskrav

Kravene er godkendt af styregruppen for den nationale cyber- og informationssikkerhedsstrategi, herunder Finansministeriet, Forsvarsministeriet, Justitsministeriet, Transport- og Boligministeriet, Erhvervsministeriet, Sundheds- og Ældreministeriet samt Klima- Energi og Forsyningsministeriet.

Sikkerhedskrav til computere:

• Der skal implementeres firewall på alle enheder.
• Medarbejdere skal benytte en af myndighederne stillet til rådighed VPN løsning til at gå på internettet via arbejdscomputer fra eksterne netværk.
• Kryptering af harddiske.
• Der skal implementeres beskyttelse mod virus, malware mv. med automatisk opdatering på alle klienter.
• Enheder skal opdateres regelmæssigt - både styresystem og applikationer.
• Administratorrettigheder for brugere tildeles kun tidsbegrænset og ved veldokumenterede behov.
• Det anvendte operativsystem skal være så nyt som muligt, og skal som minimum være supporteret med sikkerhedsopdateringer.

Sikkerhedskrav til mailsystem:

• Der må kun anvendes af myndigheden godkendte mail-servere med
  autentifikation.
• Alle mailkommunikation skal som minimum krypteres med TLS 1.2.
• Webmail må kun anvendes udenfor myndighedens lokale netværk, hvis dette foregår via en direkte VPN-forbindelse til myndighedens netværk.
• Implementering af en DMARC REJECT policy, der stopper modtagelsen af ondsindede mails før de ankommer, skal implementeres på alle maildomæner tilhørende myndigheden.

Sikkerhedskrav til mobiltelefoner:

• Anvend numerisk adgangskode på minimum 6 cifre eller biometrisk identifikation.
• Operativsystem og apps på mobile enheder skal opdateres regelmæssigt.

Sikkerhedskrav til netværk:

• WIFI på myndighedens arbejdsnetværk skal være krypteret med minimum WPA2.
• Krav om logning - log på alle systemer og tjenester på netværksservere.

Sikkerhedskrav til websider:

• Der skal benyttes regelmæssigt opdateret serversoftware på webservere.
• Der må ikke anvendes Flash på hjemmesider tilhørende myndigheden.
• Kommunikation til hjemmesider skal krypteres og anvende minimum TLS 1.2, dvs. der skal implementeres HTTPS på alle hjemmesider.
• Myndigheden skal anvende en sikker DNS-tjeneste eller implementere anden løsning til beskyttelse mod skadelige hjemmesider.
  • DNS oversætter IP-adresser til domæner.
  • Det er at betragte som en telefonbog, hvor IP-adressen er nummeret og domænet er navnet.
• DNSSEC skal tilknyttes alle domænenavne tilhørende myndigheden.