Revisionsrapport og handleplaner vedrørende generelle IT-kontroller

Indstilling

Teknik- og Miljøforvaltningen indstiller over for Teknik- og Miljøudvalget,

1. at forvaltningens handleplan vedrørende Microsoft SharePoint Online, jf. bilag 2, godkendes.

Problemstilling

Kommunens revisionsselskab Deloitte har som led i den løbende revision af Københavns Kommunes regnskab for 2019 foretaget revision af de generelle it-kontroller, som understøtter kommunens regnskabsaflæggelse. Teknik- og Miljøforvaltningen har, sammen med de øvrige forvaltninger, modtaget en rød bemærkning omkring Microsoft SharePoint Online og skal derfor udarbejde en handleplan.

Løsning

Datatilsynet rettede den 7. januar 2019 henvendelse til Københavns Kommune, idet tilsynet via et anonymt tip den 12. december 2018 blev orienteret om, at Københavns Kommune benytter cloud-platformen SharePoint til deling af filer, hvori personoplysninger, herunder fortrolige personoplysninger om kommunens medarbejdere, indgår, og at der ved disse delinger videregives fortrolige personoplysninger om kommunens medarbejdere til uvedkommende.

Datatilsynet har sidenhen truffet afgørelse og fundet grundlag for at udtale alvorlig kritik af, at Københavns Kommunes behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 32.

Teknik- og Miljøforvaltningen har modtaget revisionsrapporten den 13. december 2019. Økonomiudvalget skal behandle den samlede revisionsrapport med handleplanerne for alle forvaltninger på mødet den 14. januar 2020. Derfor er Teknik- og Miljøforvaltningens handleplan allerede afleveret til Økonomiforvaltningen med forbehold for Teknik- og Miljøudvalgets godkendelse. Den korte proces skyldes, at revisionsrapporter med røde bemærkninger skal forelægges det politiske udvalg senest tre uger efter modtagelse. 

Revisionen har konstateret, at der i Københavns Kommune er igangsat et oprydningsprojekt, men at der ikke er fastlagt slutdato for oprydningen. Revisionen har henstillet, at oprydningsprojektet for Microsoft SharePoint gennemføres.

Forvaltningens handleplan

Teknik- og Miljøforvaltningen har fastlagt plan for oprydning i Microsoft SharePoint Online, som forventes gennemført inden udgangen af 1. kvartal 2020. Teknik- og Miljøforvaltningen foretager oprydning via en struktureret og risikobaseret tilgang. På ca. 20 pct. af forvaltningens sites (tidligere fællesdrev), som vurderes at være de mest kritiske, er der inden udgangen af 2019 gennemført adgangsbegrænsning samt reduktion af unikke rettigheder på mappe- og filniveau. Der gennemføres i løbet af 1. kvartal 2020 en oprydning på resterende sites, hvilket blandt andet indebærer:

• At rettigheder fjernes på passive sites, som herefter lægges i arkiv ved udgangen af januar 2020 med forventet endelig sletning af sites, der efter tre måneder ikke er reaktiveret. Processen skal sikre, at relevant data, som anvendes i forvaltningen, ikke slettes.

• At der gennemføres en automatiseret sletning af inaktive filer.

• At de ansvarlige for de forskellige sites forholder sig til rettigheder og gennemfører en manuel sletning ud fra fastlagte principper.

Teknik- og Forvaltningens indmelding af handleplaner til Økonomiforvaltningen er vedlagt som bilag 2. Den fulde revisionsrapport er vedlagt som bilag 3.

Økonomi

Indstillingen i sig selv har ingen økonomiske konsekvenser for Københavns Kommune.

Videre proces

Økonomiforvaltningen forelægger revisionsrapporten og alle handleplanerne på Økonomiudvalgets møde den 14. januar 2020.

Søren Wille

                   /     Thomas Højlt