Debat: Hype om persondata er gået over gevind

Af Mikkel Pødenphant
PA Consulting Group

Den offentlige sektor i Danmark er generelt velfungerende – og vi bryster os gang på gang med, at vi har en høj grad af digitalisering. Andre lande ser misundeligt på, hvor let vi for eksempel som borgere betaler skat, og vi har sat ambitiøse strategier for anvendelse af teknologier og data for eksempel på området for personlig medicin.

Den offentlige sektor baserer sig grundlæggende på tillid. Tillid til at der ikke er korruption, tillid til at leder og medarbejderne gør deres bedste for at levere, og ikke mindst tillid til at vores følsomme data behandles forsvarligt og fortroligt.

Der er mange af os, der har store ambitioner på den offentlige sektors vegne til i endnu højere grad at anvende teknologier og data til at levere bedre og billigere til gavn for borgere og virksomheder. En forudsætning for denne udvikling er således en grundlæggende tillid til den offentlige sektor.

Tillid er en skrøbelig størrelse, og der skal ikke meget til at gøre uoprettelig skade. Derfor er det naturligvis fornuftigt, at offentlige myndigheder skal følge principperne i den internationale standard for informationssikkerhed, ISO27001.

EU har nu suppleret med persondataforordningen, som skal sikre, at virksomheder og offentlige myndigheder beskytter individets rettigheder i forbindelse med behandling af persondata. Denne forordning tages meget alvorligt, da emnet er centralt, men også fordi EU har bebudet væsentlige bøder ved overtrædelse af lovgivningen. Forordningen skal være implementeret 25. maj 2018, så hvis offentlige myndigheder ikke allerede er i gang, har de meget travlt med implementeringen.

Mange i branchen sammenligner det med Y2K-fænomenet.

Mikkel Pødenphant
PA Consulting Group

Beslutningstagere oplever derfor nu, at rådgiverne står i kø for at fortælle, hvad der skal til, og at softwareleverandører lover sikre løsninger, hvis man bare køber deres software. Mange i branchen sammenligner det med Y2K-fænomenet, og andre siger med et smil på læben, at der pt. udelukkende findes én vigtig lovgivning.

Det er formentlig gået over gevind, og der er god grund til at mane til besindighed. Lovgivningen skal naturligvis følges, og det er centralt at sikre, at håndteringen af data sker på en forsvarlig måde. Derfor er det en vigtig ledelsesopgave at få styr på sikkerheden. Men der er behov for, at ledelsen tager en risikobaseret tilgang til området for at sikre en hensigtsmæssig sammenhæng mellem indsats og effekt – nøjagtig som på andre områder i organisationen.

Det er for de fleste ikke realistisk at bygge sikkerheden op på kort tid – det tager tid og er en læreproces. Fokus bør derfor være på at blive organisatorisk moden. En moden organisations vigtigste kendetegn er, at den løbende identificerer de vigtigste og svageste led i kæden og udvikler disse til at blive stærkere.

På sikkerhedsområdet er det væsentligste, at man har etableret governance omkring sikkerheden, og at man sikrer ledelsesforankring og overblik. Risikostyring er nøglen til at sikre overblik og hensigtsmæssig prioritering af sikkerhedsindsatsen.

For der er ingen organisation, der er stærkere end det svageste led.