Ubudne gjester på Riksarkivet

Personopplysninger på avveie

I ly av natten tok tyvene seg inn i Riksarkivet. Selektivt valgte de seg maskiner og utstyr. Deriblant en HP server som inneholdt sensitive data.

BRITT WANG LøVVIK

Da avdelingsleder og rådgiver Trond Sirevåg fikk meldingen om tyveriet tidlig lørdag morgen, forsøkte han å komme seg inn i kontorbygget for å skaffe seg en oversikt over skadene. Men politiets folk var i full jobb, og Sirevåg kom ikke lenger enn såvidt innenfor dørene. Det var imidlertid langt nok til at han fant en PC og forsøkte å logge seg på. Da systemet ikke godtok brukernavnet, forstod han at det sto virkelig galt til. I løpet av noen små nattetimer skulle det vise seg at tyvene hadde fått med seg utstyr for nærmere en million kroner.

-- Så snart som mulig tok jeg kontakt med Cimtec som vi har service- og vedlikeholdsavtale med. Og nå skjedde ting veldig fort. I løpet av natt til mandag var hele HP serveren bygd opp igjen på bakgrunn av den nest siste backupen. Den aller siste satt i maskinen da tyvene forsvant med den, forteller Sirevåg.

Raskt på banen

De har tatt seg god tid, tyvene som natt til lørdag 9. september tok seg inn i kontorfløyen på Riksarkivet i Oslo. Over 70 kontordører ble regelrett sparket inn, men bare ni PCer ble funnet verdige av tyvene. Disse var til gjengjeld kraftige Pentium- maskiner.

Etter hvert tok de ubudne gjestene seg fram til datarommet på Riksarkivet og forsynte seg med en HP 486 66 server fra 1991. Resten, en HP Unix-maskin samt all nettverkselektronikken, ble ikke rørt.

Men for administrasjonen var serveren det verste de kunne ha mistet. Den inneholdt all intern informasjon om ansattes lønn, fødselsdata og bankkonto- nummer. Samtidig fikk innbruddstyvene med seg brevjournalen som blant annet inneholder opplysninger om korrespondanse og søknader om innsyn i egne saker.

-- Vi har bedt de ansatte om å ta kontakt med sine respektive banker for å opplyse dem om at sensitive data er på avveie, sier Trond Sirevåg ved Riksarkivet.

Datatilsynet tok selv umiddelbart kontakt, og Riksarkivet har sendt en rapport til Datatilsynet. Foreløpig har ikke Apenes kommet med noen tilbakemelding om hvordan man bør forholde seg til dette tyveriet eller fremtidig lagring av slike data.

Til tross for sprengte kontordører møtte de ansatte en normal hverdag da de kom på jobb mandag morgen. Tyvene hadde fart pent fram på kontorene, og de maskinene som var borte var pent koblet fra.

-- Skjønt, normal ble valgdagen ikke. Vi har nok innbilt oss at Securitas sin vaktordning her på huset ga en fullgod sikkerhet, sier Sirevåg.

Effekten av å sitte på toppen av Norges best sikrede arkiver som er innbruddsikre og skal tåle atombomber, har gitt en smitteeffekt til kontorbygget som viste seg være svært utilfredsstillende sikret.

I fjellet

Tyvene som tok seg inn gjennom et vindu på baksiden av bygget har til en viss grad vært klar over hvor i huset alarmslyngene gikk. De områdene har de holdt seg på god avstand fra. Derimot kunne de spasere rett ut gjennom hoveddøren. Den hadde ikke alarm.

Sirevåg innrømmer at sikkerheten har vært for dårlig og at de nå må tenke helt nytt for å sikre de delene av huset som ikke tilhører det bombesikre fjellet.

-- Å legge seg i stabilt sideleie når det gjelder sikkerhet, det må man aldri gjøre. Det har vi fått lære etter denne episoden. Sirevåg tror at i tillegg til mangelfulle alarmsystemer så har nok noen fulgt med Riksarkivet en stund. Blant annet så er Securitas på jevnlige runder i huset, og vaktmesterboligen ble fraflyttet i fjor. Det kan tyde på at gjestene visste hvor lang tid de hadde på seg, og hvor de ettertraktede maskinene befant seg.

Sikkerhet har igjen kommet øverst på dagsorden i bygget ved Sognsvann i Oslo. Selv om Sirevåg ikke vil fortelle hva arkivet skal gjøre for å sikre seg mot innbrudd i fremtiden, er det klart at kontorbygningen vil bli sterkere fysisk sikret. I rom som inneholder lagrede data vil det ganske sikkert ikke være mulig å borre ut låsen for å skaffe seg adgang. I tillegg vil vi tro at Riksarkivet nå vil diskutere kryptering av lagrede data.

Trond Sirevåg er litt undrende til at mens tyvene har utvist særdeles god smak på enkelte områder, så har de vært til dels uten teft på andre. Den natten forsvant også den eldste HP laserskriveren Riksarkivet eide. I kontorbygget befant det seg seks skrivere av langt nyere dato.

Politiet har foreløpig ikke noen teori om hvor utstyret har tatt veien. Men det eneste som ble borte bortsett fra datautstyr var en russisk Samovar, forært i gave til Riksarkivaren fra en russisk delegasjon.

GOD TID: Tyvene valgte å skru opp, demontere og fjerne kontollerkort og busser til magnetbåndleserne til en verdi av 650.000 kroner. Riksarkivet står nå uten mulighet til å håndtere materiale lagret på magnetbånd. (Foto: Britt Wang Løvvik)

MYE UTSTYR: Tyvene fikk med seg utstyr nok til å forsyne en liten bedrift. Ni Pentium-maskiner, en HP server, et faksmodem, en CD-brenner og en HP skriver av eldre dato, forteller avdelingsleder Trond Sirevåg ved Riksarkivet. (Foto: Britt Wang Løvvik)

-- Ikke grunn til bekymring

Opplysninger om ansattes lønn og bankkonto kan ikke misbrukes.

BRITT WANG LøVVIK

-- Navn, fødselsnummer og kontonummer er for så vidt åpne opplysninger og kan ikke brukes til å skaffe seg adgang til en konto, sier informasjonssjef Tore Dyrdahl i Postbanken.

Han sier at Postbanken har sine sikkerhetsrutiner når slike opplysninger har kommet på avveie, men vil berolige eventuelle kunder om at det skal mer til før en konto kan misbrukes.

Verken hackere eller andre skal ifølge Dyrdahl være i stand til å tømme en konto eller forfalske dokumenter på bakgrunn av disse opplysningene.

Sparebanken

Private kunder som mener at opplysninger om kontonummer og fødselsdata er på avveie, gjør rett i å kontakte sin egen bank. Det mener informasjonskonsulent Kristian Moksheim i Sparebanken Nor.

-- Det er mulig for oss å legge inn en melding på vedkommendes konto for å gjøre ansatte oppmerksomme på bevegelsene på kontoen. Dersom noen klarer å skaffe seg penger på bakgrunn av stjålne data, så er dette bankens ansvar, sier han.