Sektar Mentor um 3,5 milljónir vegna öryggisbrestsins Atli Ísleifsson skrifar 4. maí 2021 11:27 Vegna veikleika í kerfinu gátu tveir aðilar, einn á Íslandi og annar í Svíþjóð, nálgast kennitölur og myndir, svokallaða avatars, samtals 424 barna án þess að hafa til þess heimild. Vísir/Samsett Persónuvernd hefur lagt 3,5 milljóna króna stjórnvaldssekt InfoMentor ehf. vegna öryggisbrests sem átti sér stað í vefkerfinu Mentor í febrúar 2019. Vegna veikleika í kerfinu gátu tveir aðilar, einn á Íslandi og annar í Svíþjóð, nálgast kennitölur og myndir, svokallaða avatars, samtals 424 barna án þess að hafa til þess heimild. Frá þessu segir á vef Persónuverndar. Þar segir að veikleikinn hafi falist í því að sex stafa kerfisnúmer nemenda hafi verið sýnileg í vefslóð tiltekinnar síðu í Mentor-kerfinu og unnt hefði verið að nálgast þær persónuupplýsingar sem þar var að finna með því einu að breyta tölum í viðkomandi vefslóð. „InfoMentor ehf. gekkst við því að mannleg mistök hefðu orðið til þess að lagfæringu veikleikans hefði ekki verið lokið að fullu, þrátt fyrir að fyrirmæli hefðu verið gefin þar um. Þannig hafði lausn þegar verið þróuð, en ekki innleidd í kerfið fyrr en eftir að fyrirtækinu varð kunnugt um öryggisbrestinn. Taldi Persónuvernd að koma hefði mátt í veg fyrir öryggisbrestinn með fullnægjandi eftirfylgni og prófunum öryggisráðstafana.“ Sendu líka kennitölur barnanna til rangra skóla og persónuverndarfulltrúa Persónuvernd komst að þeirri niðurstöðu að InfoMentor hefði ekki tryggt öryggi persónuupplýsinga innan Mentor-kerfisins með þeim hætti sem áskilið er persónuverndarlögum. Persónuvernd taldi sömuleiðis að InfoMentor hafi ekki tryggt fullnægjandi öryggi persónuupplýsinga þeirra skráðu einstaklinga sem urðu fyrir áhrifum öryggisbrestsins þegar fyrirtækið sendi kennitölur hlutaðeigandi einstaklinga í nokkrum tilvikum til rangra skóla og persónuverndarfulltrúa. Helga Þórisdóttir er forstjóri Persónuverndar.Vísir/Egill „Við ákvörðun stjórnvaldssektarinnar var einkum horft til fjölda þeirra skráðu einstaklinga sem öryggisbresturinn hafði áhrif á og sem hefðu getað orðið fyrir áhrifum hans með tilliti til fjölda notenda Mentor-kerfisins. Einnig hafði mikla þýðingu að um var að ræða persónuupplýsingar barna sem njóta sérstakrar verndar laga nr. 90/2018 og reglugerðarinnar. Þá taldi Persónuvernd þurfa að gera enn ríkari kröfur en ella til InfoMentors ehf. sem vinnsluaðila í ljósi þess að meginstarfsemi fyrirtækisins felst í þróun og rekstri vefkerfis sem er sérstaklega ætlað fyrir vinnslu persónuupplýsinga um börn. Á hinn bóginn benti ekkert til þess að skráðir einstaklingar hefðu orðið fyrir tjóni vegna öryggisbrestsins, auk þess sem InfoMentor ehf. lagði fram gögn sem sýndu fram á ýmsar ráðstafanir sem fyrirtækið hafði gripið til með það að markmiði að tryggja öryggi persónuupplýsinga í Mentor-kerfinu. Þótti stjórnvaldssektin því hæfilega ákveðin kr. 3.500.000,“ segir á vef Persónuverndar. Persónuvernd Skóla - og menntamál Grunnskólar Mest lesið Notendur þurfi að bregðast við vilji þeir ekki að gögn verði notuð Viðskipti erlent Að komast aftur í vinnugírinn eftir geggjað páskafrí Atvinnulíf Latabæjarnammið vel þekkt um allan heim Viðskipti innlent Aðalgeir frá Lucinity til Símans Viðskipti innlent Fyrsta íslenska grænkera ostagerðin í hættu Viðskipti innlent Heimsskortur á pistasíum vegna Dúbaí-súkkulaðis Viðskipti erlent Elskar kaffi að ítölskum sið og línulega dagskrá Atvinnulíf Systkinin öll verið forsetar: „Tvö félög, tvöfalt stuð!“ Atvinnulíf Plastkubbahús sem eru íslensk hönnun og framleiðsla Samstarf Boða alvöru breytingar í jafnréttismálum efnahags- og atvinnulífs Atvinnulíf Fleiri fréttir Aðalgeir frá Lucinity til Símans Latabæjarnammið vel þekkt um allan heim Ölgerðin ræður tvo markaðsstjóra Íslenskur kauphallarsjóður á markað í Bandaríkjunum Ekkert samtal í gangi milli stjórnvalda og sjávarútvegs VÍS opnar aftur skrifstofu á Akranesi KS fyrstir til að nýta sér nýja varaleið um gervihnetti Jón Guðni tekur við formennsku Algengast að óljósar starfslýsingar valdi togstreitu og gremju Sigurjón Örn tekur við af Sveini hjá Kletti „Þar skeikar milljörðum í vanmati ráðuneytisins“ Hætta við flug til Madeira, Pula, Düsseldorf og Hamborgar Allri stjórn Landsvirkjunar skipt út Um 80 prósent vilja að gjöld útgerða taki mið af raunverulegu aflaverðmæti Álögur ríkisins á bankana lendi að miklu leyti á almenningi Þriggja ára fangelsi og tveggja milljarða sekt Stofnandinn búinn að eignast Mandi á ný Matvælastofnun gerir ekki athugsemdir við kjötvinnslu í Álfabakka Íslandshótel taka að óbreyttu yfir rekstur Nordica og Natura Ánægjulegt að breið sátt liggi fyrir um uppgjör vegna ÍL-sjóðs Hafa samþykkt tillögu um uppgjör ríkisins á bréfum ÍL-sjóðs Icelandair skrúfar fyrir fría gosið Bein útsending: Ársfundur Seðlabankans Sýknaður í Ímon-málinu tíu árum seinna Bein útsending: Vorfundur RARIK - Hreyfum samfélagið til framtíðar Milljarðaafgangur og besta niðurstaðan í sautján ár Enginn sjái eftir því á dánarbeðinum að hafa ekki unnið meira Mögulega leikflétta og eða viðbrögð við lækkunum Miðlunarlónin standa öll mun betur en á horfðist Bein útsending: Hlýtur Carbfix Nýsköpunarverðlaun Norðurlandanna? Sjá meira
Frá þessu segir á vef Persónuverndar. Þar segir að veikleikinn hafi falist í því að sex stafa kerfisnúmer nemenda hafi verið sýnileg í vefslóð tiltekinnar síðu í Mentor-kerfinu og unnt hefði verið að nálgast þær persónuupplýsingar sem þar var að finna með því einu að breyta tölum í viðkomandi vefslóð. „InfoMentor ehf. gekkst við því að mannleg mistök hefðu orðið til þess að lagfæringu veikleikans hefði ekki verið lokið að fullu, þrátt fyrir að fyrirmæli hefðu verið gefin þar um. Þannig hafði lausn þegar verið þróuð, en ekki innleidd í kerfið fyrr en eftir að fyrirtækinu varð kunnugt um öryggisbrestinn. Taldi Persónuvernd að koma hefði mátt í veg fyrir öryggisbrestinn með fullnægjandi eftirfylgni og prófunum öryggisráðstafana.“ Sendu líka kennitölur barnanna til rangra skóla og persónuverndarfulltrúa Persónuvernd komst að þeirri niðurstöðu að InfoMentor hefði ekki tryggt öryggi persónuupplýsinga innan Mentor-kerfisins með þeim hætti sem áskilið er persónuverndarlögum. Persónuvernd taldi sömuleiðis að InfoMentor hafi ekki tryggt fullnægjandi öryggi persónuupplýsinga þeirra skráðu einstaklinga sem urðu fyrir áhrifum öryggisbrestsins þegar fyrirtækið sendi kennitölur hlutaðeigandi einstaklinga í nokkrum tilvikum til rangra skóla og persónuverndarfulltrúa. Helga Þórisdóttir er forstjóri Persónuverndar.Vísir/Egill „Við ákvörðun stjórnvaldssektarinnar var einkum horft til fjölda þeirra skráðu einstaklinga sem öryggisbresturinn hafði áhrif á og sem hefðu getað orðið fyrir áhrifum hans með tilliti til fjölda notenda Mentor-kerfisins. Einnig hafði mikla þýðingu að um var að ræða persónuupplýsingar barna sem njóta sérstakrar verndar laga nr. 90/2018 og reglugerðarinnar. Þá taldi Persónuvernd þurfa að gera enn ríkari kröfur en ella til InfoMentors ehf. sem vinnsluaðila í ljósi þess að meginstarfsemi fyrirtækisins felst í þróun og rekstri vefkerfis sem er sérstaklega ætlað fyrir vinnslu persónuupplýsinga um börn. Á hinn bóginn benti ekkert til þess að skráðir einstaklingar hefðu orðið fyrir tjóni vegna öryggisbrestsins, auk þess sem InfoMentor ehf. lagði fram gögn sem sýndu fram á ýmsar ráðstafanir sem fyrirtækið hafði gripið til með það að markmiði að tryggja öryggi persónuupplýsinga í Mentor-kerfinu. Þótti stjórnvaldssektin því hæfilega ákveðin kr. 3.500.000,“ segir á vef Persónuverndar.
Persónuvernd Skóla - og menntamál Grunnskólar Mest lesið Notendur þurfi að bregðast við vilji þeir ekki að gögn verði notuð Viðskipti erlent Að komast aftur í vinnugírinn eftir geggjað páskafrí Atvinnulíf Latabæjarnammið vel þekkt um allan heim Viðskipti innlent Aðalgeir frá Lucinity til Símans Viðskipti innlent Fyrsta íslenska grænkera ostagerðin í hættu Viðskipti innlent Heimsskortur á pistasíum vegna Dúbaí-súkkulaðis Viðskipti erlent Elskar kaffi að ítölskum sið og línulega dagskrá Atvinnulíf Systkinin öll verið forsetar: „Tvö félög, tvöfalt stuð!“ Atvinnulíf Plastkubbahús sem eru íslensk hönnun og framleiðsla Samstarf Boða alvöru breytingar í jafnréttismálum efnahags- og atvinnulífs Atvinnulíf Fleiri fréttir Aðalgeir frá Lucinity til Símans Latabæjarnammið vel þekkt um allan heim Ölgerðin ræður tvo markaðsstjóra Íslenskur kauphallarsjóður á markað í Bandaríkjunum Ekkert samtal í gangi milli stjórnvalda og sjávarútvegs VÍS opnar aftur skrifstofu á Akranesi KS fyrstir til að nýta sér nýja varaleið um gervihnetti Jón Guðni tekur við formennsku Algengast að óljósar starfslýsingar valdi togstreitu og gremju Sigurjón Örn tekur við af Sveini hjá Kletti „Þar skeikar milljörðum í vanmati ráðuneytisins“ Hætta við flug til Madeira, Pula, Düsseldorf og Hamborgar Allri stjórn Landsvirkjunar skipt út Um 80 prósent vilja að gjöld útgerða taki mið af raunverulegu aflaverðmæti Álögur ríkisins á bankana lendi að miklu leyti á almenningi Þriggja ára fangelsi og tveggja milljarða sekt Stofnandinn búinn að eignast Mandi á ný Matvælastofnun gerir ekki athugsemdir við kjötvinnslu í Álfabakka Íslandshótel taka að óbreyttu yfir rekstur Nordica og Natura Ánægjulegt að breið sátt liggi fyrir um uppgjör vegna ÍL-sjóðs Hafa samþykkt tillögu um uppgjör ríkisins á bréfum ÍL-sjóðs Icelandair skrúfar fyrir fría gosið Bein útsending: Ársfundur Seðlabankans Sýknaður í Ímon-málinu tíu árum seinna Bein útsending: Vorfundur RARIK - Hreyfum samfélagið til framtíðar Milljarðaafgangur og besta niðurstaðan í sautján ár Enginn sjái eftir því á dánarbeðinum að hafa ekki unnið meira Mögulega leikflétta og eða viðbrögð við lækkunum Miðlunarlónin standa öll mun betur en á horfðist Bein útsending: Hlýtur Carbfix Nýsköpunarverðlaun Norðurlandanna? Sjá meira