Dataangrep mot Norkart

[qualbeen]

Pop skrev (4 timer siden):

[…] men karttjeneste er altså satt ut på anbud, Norkart har vunnet runden og leverer da tjenesten hvor man har oversikt over eiendommer og hvem som eier dem. […]

Er du helt sikker på at det har vært noen anbudsrunde her? 

Tjenesten som skal forvalte matrikkelen, er vel strengt tatt fortsatt Kartverket! Som er et offentlig selskap. Altså er dette ikke satt ut på anbud.

Derimot har NorKart valg å kjøpe hele matrikkel-databasen, for å berike denne og selge data videre til de som ønsker det. De lever også av å selge kart (som en slags konkurrent til Google Maps, OpenStreetMap, m.fl.)

NorKart er ikke de eneste som lever av å videreselge data fra Kartverket. Også det private selskapet GeoData gjør dette. I min bedrift kjøper vi masse datasett fra GeoData, bl.a. komplette matrikkel-dumper (riktignok anonymisert – vi mottar ikke eierinformasjon eller ligendene).

Jeg antar at ikke hvem som helst kan gå til Kartverket og kjøpe hele matrikkel-dumpen, komplett med eier-info. Man har sikkert forpliktet seg litt, samt gitt noen (vage?) løfter/garantier rundt håndtering av info, og at sensitiv info ikke vil komme på avveie? Blir jo spennende å følge saken videre, for å se om det kommer noen endringer her. (Kanskje neste dump fra Kartverket til NorKart ikke lenger inneholder personnumre?)

Feilen er ene og alene NorKart sin. At det er mulig å kjøpe slike databaser, kan man selvfølgelig sette spørsmålstegn ved. Men i seg selv er det ikke noe galt i å selge matrikkelinfo, herunder hvem som eier hver eiendom. Dette er i utgangspunktet offentlige data, og ikke noe som er super-hemmelig (unntak foreligger). Derfor kan hvermansen klikke seg inn på seeiendom.no, søke opp naboen eller en hvilken som helst annen eiendom i Norge, og laste ned detaljer om eierforhold.

Riktignok må du gjøre dette for én og hver eiendom. Du får ikke lastet ned 3.3 mill oppføringer i ett jafs. Men uansett ... Dette er tilgjengelig for allmenheten. Du må riktignok verifisere deg gjennom BankID, men det er nå en smal sak.

 

Konklusjon: Det er et misforhold mellom hvor lett det er å finne naboen personnummer, og hvor mye rart jeg kan gjøre dersom jeg vet det. Alt for mange bedrifter tror (fremdeles) at personnummer er noe ytterst hemmelig, som kun eieren selv kjenner til. Dermed kan jeg bestille alle mulige merkelige tjenester, bare fordi jeg er i besittelse av et navn+personnummer. Drøyt! 

[Pop]

6 minutes ago, qualbeen said:

Er du helt sikker på at det har vært noen anbudsrunde her? 

Nei, beklager at jeg ikke var tydelig på at det er min antakelse. Antok dette siden Norkart deltar aktivt i anbudsrunder og at denne tjenesten garantert vil ha verdier godt over beløpsgrensen i anbudsreglementet. Om de har fått en rolle for å levere kartdata til offentlige og private aktører, samt fikk kjøpe hele matrikkel-databasen er jeg enda mer overrasket. Hvor er da kontrollen med hvem som får opprette sin egen nasjonale base med denne typen personopplysninger, tydelig ikke forankret i brukersamtykke? 

[henrikwl]

Pop skrev (5 timer siden):

Det er ikke nødvendigvis kun et problem for tilbyder som senker fokus på sikkerhet for å få ned prisen på anbudet sitt, men også på oppdragsgiver (her staten) som ikke er flinke nok til å bestille sikre tjenester, kanskje for lav bestillerkompetanse på nettopp it-system som ikke har sensitive data, men personopplysninger (etter lovens definisjoner).

Det faktum at staten har lav sikkerhetskompetanse er jo ett av de aller beste argumentene for å sette slikt som dette ut på anbud til private. Hvis staten ikke en gang har bestillerkompetanse nok, hvordan i all verden skal de kunne klare å bygge et tilfredsstillende sikkert produkt?

Endret 12. mai 2022 av henrikwl

[Pop]

5 minutes ago, henrikwl said:

Det faktum at staten har lav sikkerhetskompetanse er jo ett av de aller beste argumentene for å sette slikt som dette ut på anbud til private. Hvis staten ikke en gang har bestillerkompetanse nok, hvordan i all verden skal de kunne klare å bygge et tilfredsstillende sikkert produkt?

Nei, jeg er ikke imot privatisering av slikt. Tvert imot. Men om du ikke kan kravspekke anskaffelsen din, eller har vett på å leie inn kompetente rådgivere, hvordan skal man da unngå at anskaffelsen blir både kostnadssprekk og funksjonsmessig katastrofe...

[anon_83104]

Pop skrev (20 minutter siden):

Nei, beklager at jeg ikke var tydelig på at det er min antakelse. Antok dette siden Norkart deltar aktivt i anbudsrunder og at denne tjenesten garantert vil ha verdier godt over beløpsgrensen i anbudsreglementet. Om de har fått en rolle for å levere kartdata til offentlige og private aktører, samt fikk kjøpe hele matrikkel-databasen er jeg enda mer overrasket. Hvor er da kontrollen med hvem som får opprette sin egen nasjonale base med denne typen personopplysninger, tydelig ikke forankret i brukersamtykke? 

 

De er involvert i anbudsrunder angående GIS. Det blir litt annet igjen. 

[Theo343]

Krev 2-faktor/bankid for alt som i dag krever personnummer. Er ikke 2F påkrevd er det ikke juridisk gyldig. Ergo har noen godkjent et lån eller kjøp på ditt navn uten bankid/2F er ikke avtalen gyldig/bindende. 

Problem løst.

Endret 12. mai 2022 av Theo343

[qualbeen]

henrikwl skrev (17 minutter siden):

Det faktum at staten har lav sikkerhetskompetanse er jo ett av de aller beste argumentene for å sette slikt som dette ut på anbud til private. Hvis staten ikke en gang har bestillerkompetanse nok, hvordan i all verden skal de kunne klare å bygge et tilfredsstillende sikkert produkt?

Neida, si det. 

 

Men her antar du at Kartverket nesten ikke har stilt et eneste krav til sikkerhet. Kan godt være du har rett. Men det kan også være omvendt. Kanskje har de laget omfattende regler og tester m.m. for sikkerhet?

NorKart har eksistert i maaaange år, og dette datasettet er ikke nytt. Det som derimot er nytt, er at NorKart flyttet over til et helt nytt driftsmiljø for relativt kort tid siden. All data ble flyttet over i en sky, og i den forbindelse skjedde det noen alvorlige feil ... 

Basert på den infoen som har kommet frem i media, klarer jeg ikke å se at Kartverket har gjort noen ting galt.

[anon_83104]

henrikwl skrev (16 minutter siden):

Det faktum at staten har lav sikkerhetskompetanse er jo ett av de aller beste argumentene for å sette slikt som dette ut på anbud til private. Hvis staten ikke en gang har bestillerkompetanse nok, hvordan i all verden skal de kunne klare å bygge et tilfredsstillende sikkert produkt?

 

Det faktum at omtrent privatiserte bedrifter i nokså mange land har ledet til økte utgifter for de fleste, og manglende dokumentasjon på forbedring, sier jo sitt om nokså mye. 

Jeg hevder ikke at all privatisering har endt slik, men nokså mye har blitt slik. 

Pekefingeren om inkompetanse kommer gjerne etter budsjettkutt innad de offentlige institusjonene har gjort praksisen vanskelig. Altså, skattekutt, innskrenkinger av offentlig forbruk, og deretter så kommer det et resultat som ikke gagner mange andre enn ledelsen i de privateide firma, som ironisk nok blør mer penger ut fra det offentlige enn hva det offentlige hadde trengt å bruke.