Sektar Mentor um 3,5 milljónir vegna öryggisbrestsins Atli Ísleifsson skrifar 4. maí 2021 11:27 Vegna veikleika í kerfinu gátu tveir aðilar, einn á Íslandi og annar í Svíþjóð, nálgast kennitölur og myndir, svokallaða avatars, samtals 424 barna án þess að hafa til þess heimild. Vísir/Samsett Persónuvernd hefur lagt 3,5 milljóna króna stjórnvaldssekt InfoMentor ehf. vegna öryggisbrests sem átti sér stað í vefkerfinu Mentor í febrúar 2019. Vegna veikleika í kerfinu gátu tveir aðilar, einn á Íslandi og annar í Svíþjóð, nálgast kennitölur og myndir, svokallaða avatars, samtals 424 barna án þess að hafa til þess heimild. Frá þessu segir á vef Persónuverndar. Þar segir að veikleikinn hafi falist í því að sex stafa kerfisnúmer nemenda hafi verið sýnileg í vefslóð tiltekinnar síðu í Mentor-kerfinu og unnt hefði verið að nálgast þær persónuupplýsingar sem þar var að finna með því einu að breyta tölum í viðkomandi vefslóð. „InfoMentor ehf. gekkst við því að mannleg mistök hefðu orðið til þess að lagfæringu veikleikans hefði ekki verið lokið að fullu, þrátt fyrir að fyrirmæli hefðu verið gefin þar um. Þannig hafði lausn þegar verið þróuð, en ekki innleidd í kerfið fyrr en eftir að fyrirtækinu varð kunnugt um öryggisbrestinn. Taldi Persónuvernd að koma hefði mátt í veg fyrir öryggisbrestinn með fullnægjandi eftirfylgni og prófunum öryggisráðstafana.“ Sendu líka kennitölur barnanna til rangra skóla og persónuverndarfulltrúa Persónuvernd komst að þeirri niðurstöðu að InfoMentor hefði ekki tryggt öryggi persónuupplýsinga innan Mentor-kerfisins með þeim hætti sem áskilið er persónuverndarlögum. Persónuvernd taldi sömuleiðis að InfoMentor hafi ekki tryggt fullnægjandi öryggi persónuupplýsinga þeirra skráðu einstaklinga sem urðu fyrir áhrifum öryggisbrestsins þegar fyrirtækið sendi kennitölur hlutaðeigandi einstaklinga í nokkrum tilvikum til rangra skóla og persónuverndarfulltrúa. Helga Þórisdóttir er forstjóri Persónuverndar.Vísir/Egill „Við ákvörðun stjórnvaldssektarinnar var einkum horft til fjölda þeirra skráðu einstaklinga sem öryggisbresturinn hafði áhrif á og sem hefðu getað orðið fyrir áhrifum hans með tilliti til fjölda notenda Mentor-kerfisins. Einnig hafði mikla þýðingu að um var að ræða persónuupplýsingar barna sem njóta sérstakrar verndar laga nr. 90/2018 og reglugerðarinnar. Þá taldi Persónuvernd þurfa að gera enn ríkari kröfur en ella til InfoMentors ehf. sem vinnsluaðila í ljósi þess að meginstarfsemi fyrirtækisins felst í þróun og rekstri vefkerfis sem er sérstaklega ætlað fyrir vinnslu persónuupplýsinga um börn. Á hinn bóginn benti ekkert til þess að skráðir einstaklingar hefðu orðið fyrir tjóni vegna öryggisbrestsins, auk þess sem InfoMentor ehf. lagði fram gögn sem sýndu fram á ýmsar ráðstafanir sem fyrirtækið hafði gripið til með það að markmiði að tryggja öryggi persónuupplýsinga í Mentor-kerfinu. Þótti stjórnvaldssektin því hæfilega ákveðin kr. 3.500.000,“ segir á vef Persónuverndar. Persónuvernd Skóla - og menntamál Grunnskólar Mest lesið Innbú Play til sölu: Gæti aflað búinu fjórtán milljóna króna Viðskipti innlent Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Viðskipti innlent Telur um dulda launahækkun skrifstofufólks að ræða Viðskipti innlent Segja falda launauppbót hjá níu af hverjum tíu stofnunum ríkisins Viðskipti innlent Nú er ekki hægt að afskrá flugvélar nema að greiða gjöldin Viðskipti innlent Eva og Guðrún nýir forstöðumenn hjá Icelandair Viðskipti innlent Ísland verði leiðandi í þróun varna og viðskipta á Norðurslóðum Viðskipti innlent „Það er kennitöluflakk í skilgreiningu sinni“ Viðskipti innlent Bein útsending: Er gervigreindin alvöru tækifæri fyrir Ísland? Viðskipti innlent Davíð Ernir til liðs við Athygli Viðskipti innlent Fleiri fréttir Skáluðu fyrir kraftinum sem knýr samfélagið Innbú Play til sölu: Gæti aflað búinu fjórtán milljóna króna Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Eva og Guðrún nýir forstöðumenn hjá Icelandair Nú er ekki hægt að afskrá flugvélar nema að greiða gjöldin Telur um dulda launahækkun skrifstofufólks að ræða Davíð Ernir til liðs við Athygli Netvís tekur við af SAFT Bein útsending: Er gervigreindin alvöru tækifæri fyrir Ísland? Ísland verði leiðandi í þróun varna og viðskipta á Norðurslóðum Segja falda launauppbót hjá níu af hverjum tíu stofnunum ríkisins „Það er kennitöluflakk í skilgreiningu sinni“ Einar rýfur þögnina: Vísar kenningum um fléttu á bug Bein útsending: Ársfundur atvinnulífsins Spá óbreyttum stýrivöxtum í næstu viku „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ 208 sagt upp í fimm hópuppsögnum Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Eiríkur Orri til Ofar Samkaup eignast 38 prósenta hlut í Kjötkompaní Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi „Það verður andskoti flókið“ Kaupfélagið á bak við risaviðskipti í Iceland Seafood Múlakaffi nýtir farþegamiðstöðina yfir veturinn „Við munum gæta réttar kröfuhafa í hvívetna“ Viðkvæm staða í björgunaraðgerðum Play Europe Horfa fram á tugmilljarða samdrátt og bíða í ofvæni eftir loðnufréttum Hætti korteri eftir peppfund með Möltufólkinu Isavia gefur strandaglópum engin grið Ásgeir og Darri til Landslaga Sjá meira
Frá þessu segir á vef Persónuverndar. Þar segir að veikleikinn hafi falist í því að sex stafa kerfisnúmer nemenda hafi verið sýnileg í vefslóð tiltekinnar síðu í Mentor-kerfinu og unnt hefði verið að nálgast þær persónuupplýsingar sem þar var að finna með því einu að breyta tölum í viðkomandi vefslóð. „InfoMentor ehf. gekkst við því að mannleg mistök hefðu orðið til þess að lagfæringu veikleikans hefði ekki verið lokið að fullu, þrátt fyrir að fyrirmæli hefðu verið gefin þar um. Þannig hafði lausn þegar verið þróuð, en ekki innleidd í kerfið fyrr en eftir að fyrirtækinu varð kunnugt um öryggisbrestinn. Taldi Persónuvernd að koma hefði mátt í veg fyrir öryggisbrestinn með fullnægjandi eftirfylgni og prófunum öryggisráðstafana.“ Sendu líka kennitölur barnanna til rangra skóla og persónuverndarfulltrúa Persónuvernd komst að þeirri niðurstöðu að InfoMentor hefði ekki tryggt öryggi persónuupplýsinga innan Mentor-kerfisins með þeim hætti sem áskilið er persónuverndarlögum. Persónuvernd taldi sömuleiðis að InfoMentor hafi ekki tryggt fullnægjandi öryggi persónuupplýsinga þeirra skráðu einstaklinga sem urðu fyrir áhrifum öryggisbrestsins þegar fyrirtækið sendi kennitölur hlutaðeigandi einstaklinga í nokkrum tilvikum til rangra skóla og persónuverndarfulltrúa. Helga Þórisdóttir er forstjóri Persónuverndar.Vísir/Egill „Við ákvörðun stjórnvaldssektarinnar var einkum horft til fjölda þeirra skráðu einstaklinga sem öryggisbresturinn hafði áhrif á og sem hefðu getað orðið fyrir áhrifum hans með tilliti til fjölda notenda Mentor-kerfisins. Einnig hafði mikla þýðingu að um var að ræða persónuupplýsingar barna sem njóta sérstakrar verndar laga nr. 90/2018 og reglugerðarinnar. Þá taldi Persónuvernd þurfa að gera enn ríkari kröfur en ella til InfoMentors ehf. sem vinnsluaðila í ljósi þess að meginstarfsemi fyrirtækisins felst í þróun og rekstri vefkerfis sem er sérstaklega ætlað fyrir vinnslu persónuupplýsinga um börn. Á hinn bóginn benti ekkert til þess að skráðir einstaklingar hefðu orðið fyrir tjóni vegna öryggisbrestsins, auk þess sem InfoMentor ehf. lagði fram gögn sem sýndu fram á ýmsar ráðstafanir sem fyrirtækið hafði gripið til með það að markmiði að tryggja öryggi persónuupplýsinga í Mentor-kerfinu. Þótti stjórnvaldssektin því hæfilega ákveðin kr. 3.500.000,“ segir á vef Persónuverndar.
Persónuvernd Skóla - og menntamál Grunnskólar Mest lesið Innbú Play til sölu: Gæti aflað búinu fjórtán milljóna króna Viðskipti innlent Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Viðskipti innlent Telur um dulda launahækkun skrifstofufólks að ræða Viðskipti innlent Segja falda launauppbót hjá níu af hverjum tíu stofnunum ríkisins Viðskipti innlent Nú er ekki hægt að afskrá flugvélar nema að greiða gjöldin Viðskipti innlent Eva og Guðrún nýir forstöðumenn hjá Icelandair Viðskipti innlent Ísland verði leiðandi í þróun varna og viðskipta á Norðurslóðum Viðskipti innlent „Það er kennitöluflakk í skilgreiningu sinni“ Viðskipti innlent Bein útsending: Er gervigreindin alvöru tækifæri fyrir Ísland? Viðskipti innlent Davíð Ernir til liðs við Athygli Viðskipti innlent Fleiri fréttir Skáluðu fyrir kraftinum sem knýr samfélagið Innbú Play til sölu: Gæti aflað búinu fjórtán milljóna króna Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Eva og Guðrún nýir forstöðumenn hjá Icelandair Nú er ekki hægt að afskrá flugvélar nema að greiða gjöldin Telur um dulda launahækkun skrifstofufólks að ræða Davíð Ernir til liðs við Athygli Netvís tekur við af SAFT Bein útsending: Er gervigreindin alvöru tækifæri fyrir Ísland? Ísland verði leiðandi í þróun varna og viðskipta á Norðurslóðum Segja falda launauppbót hjá níu af hverjum tíu stofnunum ríkisins „Það er kennitöluflakk í skilgreiningu sinni“ Einar rýfur þögnina: Vísar kenningum um fléttu á bug Bein útsending: Ársfundur atvinnulífsins Spá óbreyttum stýrivöxtum í næstu viku „Hef engar upplýsingar um að eitthvað óeðlilegt hafi átt sér stað“ 208 sagt upp í fimm hópuppsögnum Einn stofnenda Play og Leifur í framkvæmdastjórn Icelandair Eiríkur Orri til Ofar Samkaup eignast 38 prósenta hlut í Kjötkompaní Segir stjórnendur ætla að skilja skuldirnar eftir á Íslandi „Það verður andskoti flókið“ Kaupfélagið á bak við risaviðskipti í Iceland Seafood Múlakaffi nýtir farþegamiðstöðina yfir veturinn „Við munum gæta réttar kröfuhafa í hvívetna“ Viðkvæm staða í björgunaraðgerðum Play Europe Horfa fram á tugmilljarða samdrátt og bíða í ofvæni eftir loðnufréttum Hætti korteri eftir peppfund með Möltufólkinu Isavia gefur strandaglópum engin grið Ásgeir og Darri til Landslaga Sjá meira
Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Viðskipti innlent
Rifjar Ímon-málið upp 17 árum seinna: „Hreint og beint ofbeldi af hálfu opinberra starfsmanna“ Viðskipti innlent