I juni 2022 kunne en del af brugerne af en national login-løsning ikke logge ind i fire dage. En ændring gik galt, og backuppen kunne ikke bruges, fordi en nødvendig fil manglede på produktionsserveren. Datatilsynet udtalte alvorlig kritik af backup og robusthed, og afgørelsen giver en kunde gode spørgsmål at stille sin egen driftsleverandør.
Artiklen er skrevet til kunden. Virksomheden i sagen var selv dataansvarlig for løsningen og var ikke leverandør i et kundeforhold. Sagen bruges her til at finde de kontrolpunkter, en kunde kan stille sin egen leverandør.
Sagen
Datatilsynet traf afgørelse 2. maj 2024 under j.nr. 2023-432-0017. Den 21. juni 2022 skete der en menneskelig fejl i forbindelse med en ændring på serverinfrastrukturen. Systemdata blev overskrevet, og en server, der dannede spærrelister for certifikater, kunne ikke genstartes. Brugere med certifikater fra den server kunne ikke logge ind på de tjenester, der tjekkede spærrelisten. Ifølge afgørelsen drejede det sig om omkring en fjerdedel af brugerne. Der var en midlertidig løsning 25. juni og en permanent 7. juli 2022.
Ændringen
Virksomheden havde en procedure for ændringer, hvor nogle ændringer skulle testes, og andre skulle gennemgås. Den aktuelle ændring hørte til dem, der kun skulle gennemgås, og den blev gennemgået og godkendt af en anden medarbejder. Fejlen opstod i udførelsen, som ifølge afgørelsen afveg fra stepplanen. Virksomheden anførte, at en test ikke ville have forhindret fejlen.
Datatilsynet tog ikke stilling til ændringsproceduren. Kritikken handler om det, der skete bagefter.
Backuppen og nødproceduren
Backup-løsningen på serveren kunne ikke bruges, fordi en nødvendig fil manglede på produktionsserveren. Nødproceduren for netop den del af løsningen var senest testet omkring to år før. Samme dag var der planlagt en test, men den blev udført på en præproduktionsserver, hvor filen ikke manglede. Testen fandt derfor ikke fejlen.
Datatilsynets vurdering
Datatilsynet fandt, at procedurerne for afprøvning af backup-løsningen ikke var tilstrækkelige, og at der ikke var tilstrækkelige foranstaltninger til at sikre vedvarende robusthed. Afgørelsen bygger på databeskyttelsesforordningens artikel 32, stk. 1, herunder litra b om vedvarende robusthed og litra d om regelmæssig afprøvning, vurdering og evaluering. Datatilsynet lagde vægt på, at løsningen var kritisk national infrastruktur, og på, hvor længe nedbruddet varede.
Datatilsynet beskrev i afgørelsen, hvad passende sikkerhed normalt vil indebære. Der bør testes backup jævnligt, og testen bør omfatte hyppighed, tilgængelighed, omfang og integritet. Genetablering bør også testes på tre punkter:
- Om genetablering kan udføres med de vejledninger og procedurer, der findes.
- Om alt, der er taget kopi af, hardware, software og data, kan fungere sammen.
- Om genetablering kan ske hurtigt nok i forhold til det fastsatte genopretningsmål.
Datatilsynet tilføjede, at det er væsentligt, at også nødvendige systemfiler kan reetableres. Datatilsynet skriver “bør”. Datatilsynet skrev også, at indholdet om robusthed og test af backup og genetablering fortsat er relevant for dataansvarlige og databehandlere ved andre løsninger.
Efter hændelsen oplyste virksomheden om en række ændringer, bl.a. regelmæssig test af genetablering i produktionsmiljøet, adskilte datalagre, overvågning af replikering til et andet datacenter og månedlig gendannelse.
Sagen som auditprogram
Spørgsmålene herunder er en tolkning af afgørelsen, omsat til en kundes kontrol af sin driftsleverandør.
Hvor testes gendannelsen? Testen i sagen blev udført i et miljø, der ikke svarede til produktionen, og fandt derfor ikke fejlen. Spørg, om gendannelse testes i produktionen eller i et miljø, der svarer til den, og hvordan leverandøren sikrer, at de to er ens.
Hvornår blev nødproceduren sidst testet for netop jeres system? En generel backuptest dækker ikke nødvendigvis hver løsning. Bed om datoen og resultatet for den del, I er afhængige af.
Omfatter backuppen systemfiler og konfiguration? Fejlen i sagen var en manglende fil. Spørg, om backuppen dækker det, der skal til for at få systemet op at køre, ikke alene data.
Er der et genopretningsmål, og er det målt? Bed om det aftalte mål for, hvor hurtigt jeres system skal være oppe, og om den seneste test viste, at målet kan nås.
Bliver procedurerne fulgt ved ændringer? Afgørelsen kritiserede ikke ændringsproceduren. Fejlen opstod dog, da en stepplan ikke blev fulgt. Spørg, hvordan leverandøren kontrollerer, at en godkendt plan også bliver udført som godkendt.
Er I omfattet af gennemførelsesforordning 2024/2690, har bilagets punkt 4.2 krav om backupplaner, der også dækker konfigurationsdata, og om regelmæssig test af genopretning ud fra backupkopier. Kravene gælder jer som omfattet enhed, og I kan kun få dem opfyldt hos leverandøren gennem aftalen. Kontrol af backup hos en leverandør er beskrevet mere generelt i leverandørens backup af jeres data.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen giver jer ret til at få resultaterne af leverandørens gendannelsestest, og at I læser dem med de spørgsmål, sagen rejser.
Uden den kontrol ved I først, om backuppen virker, når den skal bruges. I sagen tog det fire dage at få en midlertidig løsning.
Det skal I lade være med
- At godtage, at backup tages, som bevis for, at gendannelse virker · det er to forskellige ting.
- At acceptere en test i et miljø, der ikke svarer til produktionen · den kan overse netop fejlen.
- At skrive, at sagen handler om ændringsstyring · Datatilsynet tog ikke stilling til den.
Det skal auditten kunne vise
- ☐ Dato og resultat for seneste gendannelsestest af jeres system.
- ☐ Hvor testen blev udført, og hvordan miljøet svarer til produktionen.
- ☐ At backuppen omfatter systemfiler og konfiguration.
- ☐ Et aftalt genopretningsmål og den målte tid i seneste test.
Kilder
- Datatilsynet, afgørelse af 2. maj 2024, j.nr. 2023-432-0017, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 32, stk. 1, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 4.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed driftsleverandøren om dato, sted og resultat for den seneste gendannelsestest af jeres system.
Læs også: Leverandørens beredskab og driftskontinuitet · Ændringsstyring hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
