Kritikkverdig håndtering av passord

Mange personer bruker samme passord og brukernavn på flere nettjenester, samtidig som mange virksomheter lar kundenes ukrypterte passord ligge tilgjengelig for sine ansatte. – Dårlig sikkerhetskultur, sier Frank U. Eriksen, overingeniør i Datatilsynet.

Virksomhetene har for alvor oppdaget at Internett er et godt supplement, og i noen tilfeller en erstatter for telefonbasert kundeservice. Kundene kan på en enkel og oversiktlig måte skaffe seg tilgang til informasjon om eget kundeforhold og eventuelt foreta ønskede endringer. De fleste vil oppfatte et slikt tilbud positivt.

Ansatte kan lese kundenes passord

Virksomhetene har etablert ulike innloggingsløsninger for slike kundesider, med varierende grad av sikkerhet. Årsaken til det er trolig at informasjonen som lagres vurderes ulikt i forhold til beskyttelsesbehov. Imidlertid må en person ofte må forholde seg til et stort antall kundesider. Mange velger derfor av praktiske grunner å benytte samme brukernavn og passord hos flere virksomhetene. Selv om tilsynet fraråder dette, bør virksomhetene likevel forholde seg til at slik praksis forekommer.

Hos noen virksomheter ligger passord og brukernavn åpent i kundesystemene. Datatilsynet er meget kritisk til en slik praksis. Ansatte har med det kunnet tilegnet seg passord og brukernavn som i noen tilfeller også kan misbrukes andre steder. Brukernavn og passord er og oppfattes av de fleste som personlige nøkler. En slik praksis eksponerer virksomhetens kunder for helt unødig risiko. Kundenes passord må være utilgjengelig for de ansatte, fortrinnvis ved at disse krypteres. 

- Det er bekymringsfullt at mange virksomheter ikke har større respekt for egne kunder enn at passord ligger til allmenn beskuelse i kundesystemene. Det vitner om en sikkerhetskultur man ikke bør være kjent av, sier overingeniør Frank U. Eriksen i Datatilsynet.