Passende sikkerhedsniveau

Datatilsynet udvider foranstaltningskataloget med en vejledning om sikkerhedstest af software. Tiltaget omsætter GDPRs krav om passende sikkerhed til praksis, fremhæver bl.a. sårbarheds- og penetrationstest, og understreger leverandørkrav samt solid testdokumentation. Erfaringer fra brud går igen.

Datatilsynet lancerer et katalog over sikkerhedsforanstaltninger, der omsætter GDPR’s risikobaserede krav til konkrete tekniske og organisatoriske tiltag. Kataloget skal støtte valg og implementering af passende kontroller, mens tilsyn og bøder skærper kravene i praksis.

Datatilsynet kritiserer et universitet for utilstrækkelig adgangskontrol i et IT-system, der i en ukendt periode eksponerede medarbejderoplysninger. Afgørelsen fremhæver krav om ændringsstyring, efterfølgende test og løbende kontrol af brugeradgange efter GDPR art. 32.