Förslag om elektronisk tillgång till barns uppgifter inom hälso- och sjukvården lämnas på remiss

Big data. Information concept. 3D render

Maria Jacobsson, rättschef på E-hälsomyndigheten, fick i juni 2022 i uppdrag att biträda Socialdepartementet med att utreda elektronisk åtkomst till barns uppgifter inom hälso- och sjukvården inklusive tandvården. Förslagen som utredningen har inkommit med till Socialdepartement har regeringen beslutat om ska gå på remiss.

– Den digitala tillgången till journalen för barn och unga har varit komplicerad över längre tid och det har därför funnits behov att se över frågan. Vi ser nu fram emot att hämta in åsikter från remissinstanser för att hitta efterlängtade patientsäkra lösningar på journalåtkomsten för barn och unga och för deras vårdnadshavare innan regeringen tar ställning, säger sjukvårdsminister Acko Ankarberg Johansson.

Utredningen ger förslag om ändringar i patientdatalagen, lagen om nationell läkemedelslista och offentlighets- och sekretesslagen som innebär att vårdnadshavare får medges elektronisk tillgång till sina barns hälso- och sjukvårdsuppgifter och att barn som har fyllt tretton år får medges elektronisk tillgång till sina hälso- och sjukvårdsuppgifter. Uppgifterna får inte göras tillgängliga för vårdnadshavaren om ett barn som fyllt tretton år motsätter sig det.

Utredningen föreslår också vissa skyldigheter för vårdgivare, E-hälsomyndigheten och för hälso- och sjukvårdspersonal i samband med detta. Skyldigheterna rör bland annat att spärra uppgifter som omfattas av sekretess för vårdnadshavare eller barnet självt samt att informera barnet om dess rätt att motsätta sig att vårdnadshavare tar del av uppgifterna.

800 kvardratkilometer stort område avspärrat efter fynd av Afrikansk svinpest hos vildsvin

Jordbruksverket har spärrat av ett 800 kvadratkilometer stort område i Fagersta i Västmanland där man i förrgår hittade ett dött vildsvin som efter provtagning visat sig bära på Afrikansk svinpest.

Inom det avspärrade område gäller hårda restriktioner för hur man får beträda området. Brott mot restriktionerna kan leda till straffrättsliga åtgärder.

Allvarligaste sjukdomen bland vildsvin och tamgrisar

Afrikansk svinpest är den allvarligaste sjukdomen ett vilt eller tamt svin kan drabbas av. Sjukdomen är mycket smittsam och sprids lätt till andra svinbesättningar. Främst kan den inhemska livsmedelsproduktionen både direkt och indirekt påverkas. Hela besättningar av tamsvin kan behöva avlivas och brännas vilket dels leder till stora förluster för uppfödarna dels påverkar tillgången till fläskkött. Effekten på export av fläskkött påverkas inte i någon nämnvärd utsträckning då vi främst säljer produktionen på den inhemska marknaden.

Det här gäller inom den smittade zonen

För att minska risken för smittspridning gäller det här inom den smittade zonen.

Jakt av vilt är förbjuden

All typ av jakt av alla arter av vilt är förbjuden.

Alla aktiviteter där människor vistas i skog och mark är förbjudna

Alla aktiviteter där människor vistas i skog och mark utanför markerad tomtgräns och utanför etablerad tävlings­bana är förbjudna. Det gäller även sportevenemang, sammankomster och offentliga tillställningar.

Exempel på aktiviteter som inte är tillåtna

Exempel på aktiviteter som inte är tillåtna:

  • svamp- och bärplockning
  • skogspromenader utanför anlagd väg
  • bad på icke allmän badplats
  • orienterings-, rid-/kör-, hund- eller motortävling i skog och mark
  • gårdsauktion där redskap etc. ställs ut på vallar
  • guidad natur- och kulturvandring i skog och mark.

Exempel på aktiviteter som är tillåtna

Exempel på aktiviteter som är tillåtna:

  • fest i en privatpersons trädgård
  • rid-/kör- eller motortävling på permanent bana
  • bad på allmän badplats.
  • Övriga förbud

Det här är också förbjudet:

  • alla typer av skogsbruksåtgärder
  • att släppa hundar lösa
  • att som obehörig vistas i vildsvinshägn eller inhägnader för tamgrisar.

Det här gäller för fordon och maskiner som använts i lantbruk och skogsbruk

Fordon och maskiner som använts i lantbruk respektive skogsbruk i den smittade zonen måste rengöras och desinficeras för att få flyttas ut ur smittad zon. Vi kommer att uppdatera informationen här om vad som gäller för rengöring och desinfektion.

Om du har hägnade vildsvin i vilthägn i den smittade zonen

Du som håller hägnade vildsvin i smittad zon ska

  • uppskatta antalet vildsvin i hägnet och dokumentera antalet i en hägnjournal
  • dagligen inspektera hägnet och söka efter sjuka eller självdöda vildsvin
  • snarast möjligt rapportera alla fynd av sjuka eller självdöda vild­svin till Jordbruksverket, samt dokumentera fynden i hägnjournalen genom att ange fynddatum samt djurets kön och ålder. Detta gäller inte om det är uppenbart att den ökade sjukligheten eller dödligheten hos djuren beror på olycksfall eller annan fysisk skada. Vi kommer att uppdatera informationen om hur du ska rapportera.
  • föra besöksjournal där besöksdatum, namn och telefonnummer för alla personer som besöker hägnet
  • se till att både hägnjournal och besöksjournal hålls uppdaterade och på begäran visa upp dem för veterinär eller annan kontrollpersonal
  • förhindra att de hägnade vildsvinen kommer i direkt eller indirekt kontakt med frilevande vildsvin. Vilthägnet ska omgående förses med dubbla staket. Läs mer under rubriken Du ska sätta stängsel inom smittad zon.

Du ska också se till att

  • det vid alla ingångar till hägnet sätts upp skyltar som anger att det är förbjudet för obehöriga att gå in i hägnet
  • inte bjuda in obehöriga besökare att komma in i hägnet
  • det finns särskilda skyddskläder och skodon för användning i hägnet
  • personal och behöriga besökare använder särskilda skyddskläder och skodon vid vistelse i hägnet
  • lämpligt desinfektionsmedel används på skodon vid grindarna in i hägnet
  • inga delar av frilevande vildsvin som skjutits eller hittats döda förs in på anläggningen eller i hägnet
  • inget material och ingen utrustning som varit i kontakt med frilevande vildsvin eller av annan anledning kan bära på afrikansk svinpest-virus förs in på anläggningen eller i hägnet
  • personal som kommit i kontakt med frilevande vildsvin eller tamgris byter till andra kläder och skodon samt tvättar och desinficerar sina händer när de går in i hägnet
  • vildsvinen inte utfodras med färskt grönfoder
  • strömedel som härrör från den smittade zonen inte ges till vildsvin förrän det har lagrats i minst tre månader
  • spannmål som härrör från den smittade zonen inte ges till vildsvin förrän det har lagrats i minst en månad.

Öka motståndskraften mot bedräglig e-post

Att e-post utnyttjas för olika typer av bedrägerier är tyvärr ett vanligt förekommande problem. I det vardagliga inflödet av e-post är det därför viktigt att vara uppmärksam på bedrägliga mejl. 

För alla som förvaltar domäner är det viktigt att se till att säkerhetsåtgärder som bidrar till att stoppa skräppost och bedrägerimejl är aktiverade, så att skräppost inte sprids med till synes legitima avsändare genom falska, så kallade spoofade, e-postadresser. 

Vad som utnyttjas när e-postadresser spoofas är att mejlklienter hanterar från-fältet på olika och ibland felaktiga sätt. Mejlet kan ha en helt korrekt avsändaradress från någon man litar på men ändå vara förfalskat. Detta kan utnyttjas för nätfiske, bedrägerier, sprida falsk information eller för att sprida skadlig kod till mottagaren.

CERT-SE vill belysa detta problem och har sammanställt några förslag på åtgärder, samt generella tips för alla som hanterar e-post. 

Rekommenderade åtgärder för användare

För användare gäller det att vara uppmärksam på om e-postmeddelandet på något sätt avviker från det normala. Några exempel:

* Dubbelkolla med avsändaren om du är minsta tveksam till varför du har fått mejlet. Är det en hög chef som normalt inte hör av sig direkt till dig, särskilt om mejlet gäller en uppmaning om exempelvis utbetalning av en faktura eller liknande, är det bra att säkerställa legitimiteten i mejlet. Särskilt om det gäller en brådskande transaktion där det meddelas att det är okej att frångå ordinarie rutiner kring utbetalningar.

* Var vaksam om mejlet är skrivet på slarvigt eller styltigt språk, även om detta "ursäktas" genom att det framgår att avsändaren skriver från sin mobil.

* Var vaksam med att klicka på länkar eller öppna bilagor i mejl, särskilt om du i nästa steg blir ombedd att logga in i något system. Avbryt då genast inloggningsprocessen och skriv inte in någon användarinformation.

Rekommenderade åtgärder för administratörer

* Håll mejlklienter och telefonappar uppdaterade med den senaste versionen av relevant programvara och spamskydd.

* Om det är möjligt, blockera externt inkommande e-post vars avsändaradress ser ut att tillhöra den egna organisationen.

* Se över alla domäner, med tillhörande e-postadresser, som verksamheten hanterar för att säkerställa att domänen/erna har SPF (Sender Policy Framework) påslaget. Titta även specifikt på domäner som inte används för att skicka ut mejl. [1]

SPF är ett protokoll utformat för att begränsa vem som kan använda en organisations domän som avsändare på ett e-postmeddelande. SPF blockerar angripare från att skicka e-post som verkar vara från en legitim organisation. SMTP (Simple Mail Transfer Protocol) sätter inga begränsningar för källadressen för e-postmeddelanden, så SPF definierar en process för domänägarna för att identifiera vilka IP-adresser som är behöriga att vidarebefordra e-post för deras domäner.

* Inför DMARC (Domain-based Message Authentication, Reporting & Conformance), som minskar risken att ta emot mejl från förfalskade avsändare. Först i monitor mode, i syfte att få rapporter om hur ens domän utnyttjas, därefter för att bedöma om blockering kan behöva införas. Se ytterligare vägledning i en rapport från CERT-EU, där DMARC förklaras, hur det kan användas för att stoppa skräppost och bedrägerimejl osv. [2]

DMARC är en teknisk specifikation som beskriver hur e-postsystem ska hantera mottagna meddelanden. Den bygger på två befintliga mekanismer, ovan nämnda Sender Policy Framework (SPF) samt Domain Keys Identified Mail (DKIM) för e-postvalidering och autentisering av avsändare.

* Se till att användare inom organisationen får relevant och regelbunden utbildning och övningar i säkerhetsarbete, särskilt säker e-posthantering och angripares metodik för exempelvis nätfiske och bedrägerimejl.

* Inför tvåfaktorsautentisering för all inloggning, även extern åtkomst till mejltjänster.

* Om ni misstänker att ni har blivit utsatta för bedrägeriförsök så rekommenderar vi att en polisanmälan görs. Även om ärenden inte alltid kan utredas så kan det finnas information i mejlen som är av värde. CERT-SE önskar också att drabbade företag tar kontakt med oss så att vi kan få en bättre lägesbild av omfattning och skilda modus.

Ytterligare råd är att ta del av rapporterna Cybersäkerhet i Sverige 2022: Rekommenderade säkerhetsåtgärder [3] och Säkerhetsåtgärder i informationssystem [4] samt se över cyberhygien och hur man kan skydda sig som användare [5, 6].

Källor

[1] https://www.gov.uk/guidance/protect-domains-that-dont-send-email
[2] https://cert.europa.eu/static/WhitePapers/Updated-CERT-EU_Security_Whitepaper_DMARC_17-001_v1_2.pdf
[3] https://www.ncsc.se/siteassets/publikationer/ncsc-rapport-2-cybersakerhet-i-sverige-2022-rekommenderade-sakerhetsatgarder.pdf
[4] https://rib.msb.se/filer/pdf/30128.pdf
[5] https://www.cert.se/2022/02/dags-att-se-over-cyberhygienen-i-verksamheten
[6] https://internetkunskap.se/snabbkurser/mejl-sms-och-telefonbedragerier/skydda-dig-mot-natfiske/

Kritisk sårbarhet i VMware Aria Operations for Networks (uppdaterad 2023-09-04)

VMware har publicerat säkerhetsuppdateringar som hanterar flera sårbarheter i Aria Operations Networks, varav en är kritisk (CVE-2023-34039) och har en CVSSv3-score på 9.8 [1].

Ett lyckat angrepp möjliggör för en angripare med nätverksaccess att kringgå SSH-autentisering för att komma åt Aria Operations for Networks CLI.

Uppdatering 2023-09-04

Proof-of-concept-kod för sårbarheten har publicerats. [2]

Påverkade produkter

VMware Aria Operations for Networks 6.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.vmware.com/security/advisories/VMSA-2023-0018.html
[2] https://summoning.team/blog/vmware-vrealize-network-insight-rce-cve-2023-34039/

CERT-SE:s veckobrev v.35

Nyheter i veckan

Data breach at French govt agency exposes info of 10 million people (25 aug)
https://www.bleepingcomputer.com/news/security/data-breach-at-french-govt-agency-exposes-info-of-10-million-people/

Sveriges skolor, universitet och forskningscenter utsätts för färre cyberattacker än i resten av världen (25 aug)
https://www.aktuellsakerhet.se/sveriges-skolor-universitet-och-forskningscenter-utsatts-for-farre-cyberattacker-an-i-resten-av-varlden/

Met Police investigating suspected data breach (28 aug)
https://www.bbc.com/news/uk-england-london-66631386

Kraftig ökning av ransomware i sommar – här är ligan som dominerar just nu (28 aug)
https://computersweden.idg.se/2.2683/1.779831/stor-okning-av-ransomware-i-sommar–har-ar-ligan-som-dominerar-just-nu

Experts Uncover How Cybercriminals Could Exploit Microsoft Entra ID for Elevated Privilege (28 aug)
https://thehackernews.com/2023/08/experts-uncover-how-cybercriminals.html

Attacks on Citrix NetScaler systems linked to ransomware actor (28 aug)
https://www.bleepingcomputer.com/news/security/attacks-on-citrix-netscaler-systems-linked-to-ransomware-actor/

Microsoft will enable Exchange Extended Protection by default this fall (28 aug)
https://www.bleepingcomputer.com/news/security/microsoft-will-enable-exchange-extended-protection-by-default-this-fall/

Manufacturing companies hit by the worst encryption rate in three years (29 aug)
https://manufacturing-today.com/news/manufacturing-companies-hit-by-the-worst-encryption-rate-in-three-years/

Hackers infiltrated Japan’s National Center of Incident Readiness and Strategy for Cybersecurity (NISC) for months (29 aug)
https://securityaffairs.com/150041/intelligence/japan-nisc-infiltrated.html

University of Michigan shuts down network after cyberattack (29 aug)
https://www.bleepingcomputer.com/news/security/university-of-michigan-shuts-down-network-after-cyberattack/

National Grid plots ‘honeypots’ to catch hackers as cyber attacks ramp up (29 aug)
https://www.telegraph.co.uk/business/2023/08/29/national-grid-honeypots-catch-hackers-cyber-attacks-infra/

Grave flaws in BGP Error handling (29 aug)
https://blog.benjojo.co.uk/post/bgp-path-attributes-grave-error-handling

FBI, Partners Dismantle Qakbot Infrastructure in Multinational Cyber Takedown (29 aug)
https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown

Qakbot botnet infrastructure shattered after international operation (30 aug)
https://www.europol.europa.eu/media-press/newsroom/news/qakbot-botnet-infrastructure-shattered-after-international-operation

Data From The Qakbot Malware is Now Searchable in Have I Been Pwned, Courtesy of the FBI (30 aug)
https://www.troyhunt.com/data-from-the-qakbot-malware-is-now-searchable-in-have-i-been-pwned-courtesy-of-the-fbi/

Montreal electricity organization latest victim in LockBit ransomware spree (30 aug)
https://therecord.media/montreal-electricity-organization-lockbit-victim

Data om 186 000 svenska pensionskunder har läckt ut (30 aug)
https://www.svt.se/nyheter/inrikes/svt-avslojar-data-om-186-000-svenska-pensionskunder-rojdes

Hackers attack 2 of the world’s most advanced telescopes, forcing shutdown (30 aug)
https://www.livescience.com/space/astronomy/hackers-attack-2-of-the-worlds-most-advanced-telescopes-forcing-shutdown

Healthcare Organizations Hit by Cyberattacks Last Year Reported Big Impact, Costs (30 aug)
https://www.securityweek.com/healthcare-organizations-hit-by-cyberattacks-last-year-reported-big-impact-costs/

Rapporter och fördjupningar

MalDoc in PDF – Detection bypass by embedding a malicious Word file into a PDF file (28 aug)
https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html

Diving Deep into UNC4841 Operations Following Barracuda ESG Zero-Day Remediation (CVE-2023-2868) (29 aug)
https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation

Dive into the Deep Sea: A View of the Subsea Cable Ecosystem (31 aug)
https://www.enisa.europa.eu/news/dive-into-the-deep-sea-a-view-of-the-subsea-cable-ecosystem

Malware Analysis Report: Infamous Chisel (31 aug)
https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/infamous-chisel/NCSC-MAR-Infamous-Chisel.pdf

Informationssäkerhet och blandat

The Cheap Radio Hack That Disrupted Poland’s Railway System (27 aug)
https://www.wired.com/story/poland-train-radio-stop-attack/

Global cybercrime treaty could be ‘disastrous for human rights,’ NGOs warn (28 aug)
https://therecord.media/global-cybercrime-treaty-disastrous-rights-orgs

Trygg-Hansa tvingas betala 35 miljoner efter säkerhetsbrister (30 aug)
https://www.svt.se/nyheter/inrikes/trygg-hansa-tvingas-betala-35-miljoner-efter-sakerhetsbrister

CERT-SE i veckan

Kritisk sårbarhet i VMware Aria Operations for Networks

Vanligare med bedrägerier på ehandelssajter som använder AI

I takt med att ehandelssajter använder AI i allt större utsträckning ökar också risken för att kunderna utsätts för bedrägerier. Flera utländska ehandelssajter lurar sina kunder genom att tillåta att partners säljer falska kopior på dyra designprodukter som lampor, möbler och klockor. För konsumenten kan det vara svårt att avgöra om man köper en äkta vara. Hos Konsumentverket växer nu antalet klagomål.

Kritisk sårbarhet i VMware Aria Operations for Networks

VMware har publicerat säkerhetsuppdateringar som hanterar flera sårbarheter i Aria Operations Networks, varav en är kritisk (CVE-2023-34039) och har en CVSSv3-score på 9.8 [1].

Ett lyckat angrepp möjliggör för en angripare med nätverksaccess att kringgå SSH-autentisering för att komma åt Aria Operations for Networks CLI.

Påverkade produkter

VMware Aria Operations for Networks 6.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.vmware.com/security/advisories/VMSA-2023-0018.html

Kritiska sårbarheter i Juniper Networks Junos OS (uppdaterad 2023-08-29)

Juniper Networks rättar fyra sårbarheter (CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847) i Junos OS som tillsammans uppnår kritisk allvarlighetsgrad. 

Sårbarheterna finns i komponenten J-Web som tillåter användare att konfigurera, hantera och övervaka hårdvara i produktserierna SRX och EX som kör Junos OS. Två av sårbarheterna gör det möjligt att modifiera PHP-variabler genom specialutformade anrop medan de övriga två gör det möjligt att skriva filer till filsystemet. Genom att kedja samman de fyra sårbarheterna kan en angripare fjärrköra kod på sårbara system utan autentisering.

Uppdatering 2023-08-29

Juniper Networks har publicerat proof-of-concept (PoC) för dessa fyra kritiska sårbarheter CVE-2023-36844, CVE-2023-36845, CVE-2023-36846, CVE-2023-36847 [2].

Påverkade produkter

Juniper Networks Junos OS på enheter i SRX-serien:
Alla versioner före 20.4R3-S8
21.2-versioner före 21.2R3-S6
21.3-versioner före 21.3R3-S5
21.4-versioner före 21.4R3-S5
22.1-versioner före 22.1R3-S3
22.2-versioner före 22.2R3-S2
22.3-versioner före 22.3R2-S2, 22.3R3
22.4-versioner före 22.4R2-S1, 22.4R3

Juniper Networks Junos OS på enheter i EX-serien:
Alla versioner före 20.4R3-S8
21.2-versioner före 21.2R3-S6
21.3-versioner före 21.3R3-S5
21.4-versioner före 21.4R3-S4
22.1-versioner före 22.1R3-S3
22.2-versioner före 22.2R3-S1
22.3-versioner före 22.3R2-S2, 22.3R3
22.4-versioner före 22.4R2-S1, 22.4R3

Rekommendationer

CERT-SE rekommenderar att snarast möjligt uppdatera sårbara produkter. I situationer där uppdatering inte är möjligt på kort sikt, föreslår Juniper Networks att J-Web inaktiveras eller att tillgång begränsas till pålitliga klienter.

Källor

[1] https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution
[2] https://github.com/watchtowrlabs/juniper-rce_cve-2023-36844

Trygg-Hansa får sanktionsavgift på 35 miljoner för personuppgiftsläcka

IMY (Integritetsskyddsmyndigheten) utfärdar en s k sanktionsavgift på 35 miljoner för mycket allvarliga brister i dataskyddet hos Moderna Försäkringar, som senare kom att tas över av försäkringsbolaget Trygg-Hansa. IMY:s utredning visar att uppgifterna varit otillräckligt skyddade i 2 år.

Efter att ha tagit emot ett tips inledde IMY en tillsyn av försäkringsbolaget Trygg-Hansa. Tipsaren hade fått ett mejl från bolaget med en länk till en offertsida. På offertsidan fanns det klickbara länkar med webbadresser som ledde till dokument med försäkringsinformation. Tipsaren märkte dock att det gick att komma åt andra försäkringstagares dokument, utan någon form av inloggning, genom att bara byta ut några siffror i webblänken.

– Handlingarna som har varit åtkomliga för obehöriga har i vissa fall innehållit känsliga personuppgifter, bland annat uppgifter om hälsa som dessutom har haft en hög detaljnivå, så att det exempelvis gått att utläsa hur ett hälsoproblem uppkommit eller detaljer kring ett hälsotillstånd. Sammantaget har den stora mängden personuppgifter gjort det möjligt att skapa en tydlig bild av en persons privata förhållanden, säger Evelin Palmér, jurist på IMY.

Allvarlig brist

Att mycket känsliga och uppgifter hälsouppgifter med hög detaljrikedom varit förhållandevis lättillgängliga är allvarligt då det handlar om ett av de största försäkringsbolagen. Försäkringsbolag har långtgående möjligheter att få begär ut mycket känsliga uppgifter om individer i samband med försäkringsärenden som gäller sjukdomsärenden där en försäkringstagare begär ersättning. Det indikerar att branschen behöver skärpa sitt informationssäkerhetsarbete för att se till att lagar och regler följs vid databehandling av kunderna.

Trygg-Hansa har inte själva upptäckt bristerna i samband med övertagandet av Moderna Försäkrings verksamhet vilket får anses vara uppseendeväckande. Det har rimligtvis skett någon form av genomlysning av den övertagna verksamheten och det bör också ha genomförts en Compliance där olika specialister på IT-säkerhet, informationssäkerhet och dataskyddslagstiftning borde ha upptäckt bristerna i IT-systemets webbgränssnitt.

Det är också allvarligt att den tjänsteman hos Trygg-Hansa som mottog tipset från ”tipsaren” inte förstod allvaret i de uppgifterna som lämnades vilket ledde till att den rapporterade incidenten inte vidarebefordrades i organisationen. Det betyder att Trygg-Hansa vid tillfället för incidentens upptäckt inte följt ISO-27001-standarden. Det kan indikera att organisationens medarbetare inte har tillräckliga kunskaper om hur misstänkta informationssäkerhetsincidenter ska rapporteras.

202 personer drabbade

Av IMY:s utredning framgår att minst 202 försäkringstagares mycket känsliga personuppgifter kan ha röjts under den tid då säkerhetsbristerna pågått. Trygg-Hansa uppger idag att man vidtagit åtgärder som gör att det inte längre är möjlighet att byta ut tecken i URL-strängen som visas när en försäkringstagare loggar in på tjänsten.

Trygg-Hansa säger i en skriftlig kommentar så här:

”Moderna Försäkringar åtgärdade säkerhetsbristen omgående efter att försäkringbolaget informerats av IMY. Kundernas säkerhet och integritet är högsta prioritet för alla försäkringsbolag. Trygg-Hansa ser därför mycket allvarligt på att kontrollsystemen i Moderna Försäkringar inte levde upp till bolagets höga krav på en säker it-miljö som ska säkerställa att kundernas personuppgifter skyddas.”

Vidare framhåller man att de drabbade kunderna fanns i Moderna Försäkringars IT-system. Inga kunder hos Trygg-Hansa vid det tillfället är drabbade.

IMY:s granskningsrapport och beslut (PDF)