Uautoriseret adgang til et IBM-administreret udviklings- og testmiljø berørte personoplysninger om omkring 70.000 mennesker, oplyser Singapore Land Authority (SLA). Datasættet var oprettet til leverandørtest i 1998 og skulle indeholde fiktive og anonymiserede oplysninger. SLA siger, at myndighedens aktive driftssystemer ikke blev berørt.
2
3
10
Hvilke oplysninger var i datasættet?
Datasættet indeholdt navne, NRIC-numre og ejendomsadresser. NRIC er Singapores nationale identifikationsnummer. Sættet blev opdateret med jævne mellemrum og var tænkt som testdata baseret på oplysninger om ejerskab og registrering af ejendom. Undersøgelser viste imidlertid, at det indeholdt rigtige personoplysninger.
2
4
De tilgængelige oplysninger forklarer ikke, hvem der lagde de rigtige data ind, hvornår det skete, eller hvorfor anonymiseringen ikke blev gennemført. Det fremgår heller ikke, om alle oplysninger blev hentet, eller om de efterfølgende blev misbrugt.
IBM’s rolle – og hvad der ikke blev ramt
IBM var hyret til at understøtte og vedligeholde SLAs Singapore Titles Automated Registration System (STARS) og eLodgment System (ELS). IBM stod også for udviklings- og integrationstestmiljøet til de to systemer. Den uautoriserede adgang gjaldt et datasæt i dette testmiljø.
3
SLA oplyste, at testmiljøet var adskilt fra myndighedens aktive driftssystemer, og at de aktive STARS- og ELS-systemer ikke var berørt. Singapores lovministerium beskrev ligeledes testmiljøet som adskilt fra de systemer, der var i drift.
4
10
Det er en vigtig forskel: Hændelsen drejede sig om personoplysninger i et testdatasæt hos en leverandør – ikke om et meldt indbrud i de aktive systemer til registrering af ejendom.
Det ved man om myndighedernes reaktion
SLA oplyste, at myndigheden havde indgivet politianmeldelse og samarbejdede med IBM, GovTech og Cyber Security Agency of Singapore om at undersøge hændelsen.
4
De kilder, der er gengivet her, fastslår ikke, hvornår eller om adgangen blev tilbagekaldt, om de berørte personer blev kontaktet, eller om sagen blev meldt til Personal Data Protection Commission. Derfor kan de tiltag ikke bekræftes på baggrund af de nævnte oplysninger.