Tre forvaltningsrevisjoner, tre ganger de samme funnene

Søker du på norsk etter «forvaltningsrevisjon IKT-sikkerhet», er det disse PDF-ene som kommer opp. Ingen har skrevet den artikkelen som leser dem og sier hva de faktisk fant.

Her er den. Tre rapporter, tre forskjellige kommuner, tre forskjellige revisjonsselskaper, to forskjellige år. Tre funn som går igjen i alle.

Rammen: hvorfor rapportene finnes

Kommuneloven kapittel 23 pålegger kontrollutvalget å påse at det gjennomføres forvaltningsrevisjon, og kapittel 24 regulerer revisjonen. Forvaltningsrevisjon utføres etter RSK 001, standarden fra Norges Kommunerevisorforbund, og skal svare på om virksomheten drives i tråd med regelverk, vedtak og forsvarlig praksis.

Informasjonssikkerhet har blitt et av de vanligste temaene. Det er ikke en tilfeldighet. Kontrollutvalg bestiller det de leser om i avisen, og norske kommuner har vært i avisen om dette flere ganger enn de ønsker.

Rapport 1 — Bodø kommune, 16. september 2024

Utført for kontrollutvalget av Sekretariatet for kontrollutvalgene.

Kommunen hadde et system for tilgangsstyring: Active Directory koblet mot personalsystemet. Altså den arkitekturen som anses som riktig.

Rapporten fant likevel:

• Ikke alle katalogkontoer var generert via livsløpsverktøyet. Automatikken fantes, men gjaldt ikke alt.
• Rundt 22 prosent av systemansvarlige brukte katalogstyrt tilgang. 65 prosent ga og fjernet tilganger manuelt. To av tre systemer ble altså styrt for hånd, i en kommune som formelt hadde automatisert tilgangsstyring.
• Tilgangsrydding skjedde uregelmessig: 27 prosent månedlig, 27 prosent kvartalsvis, 33 prosent halvårlig.
• Kommunen lå over eget måltall for antall eksterne brukere.
• Flerfaktorautentisering var ikke implementert.

Anbefalingen var et samlet styringssystem for informasjonssikkerhet og systematisk opplæring.

Legg merke til hva rapporten egentlig sier. Ikke at kommunen manglet et system. At systemet dekket en tredjedel av virkeligheten, og at ingen hadde målt hvor stor den andelen var før revisor gjorde det.

Rapport 2 — Melhus kommune, 30. mai 2024

Utført av Revisjon Midt-Norge SA, rapport FR1256. Dette er kontrasten, og den er verdt å lese for hva den beskriver som fungerende praksis:

• Dynamisk tilgangsstyring koblet til HR-systemet, med automatisk tildeling og fjerning av tilganger ved ansettelse og avgang.
• Kvartalsvis tilgangskontroll til fagsystemer.
• Totrinnspålogging.
• Sikkerhetshendelser oppdaget gjennom logger — blant annet et e-postangrep i 2020.

Anbefalingene handlet om videre tilpasning av styringssystemet til anerkjente standarder og klargjøring av roller og ansvar. Ikke om at grunnmekanikken manglet.

Det interessante er det siste punktet. Melhus oppdaget en hendelse fordi loggene ble sett på. Bodø-rapporten sier ingenting om at logger ble analysert. Forskjellen mellom å ha logger og å bruke dem er stor nok til å avgjøre om et angrep blir oppdaget i uke én eller i uke tolv.

Rapport 3 — Vefsn kommune, 14. mars 2025

Utført av Revisjon Midt-Norge SA. Funnene:

• Tilganger kan bli hengende igjen etter at ansatte har sluttet.
• Manglende systematisk overvåking og analyse av sikkerhetshendelser.
• Ingen inntrengningstesting.
• Kun 49 av rundt 70–80 systemer var registrert i behandlingsprotokollen.
• Systemansvarlig var identifisert for kun 12 systemer.

Det siste tallet er det som betyr mest, og det som forsvinner i oppsummeringene. Tolv av åtti systemer hadde en navngitt eier.

Uten en eier finnes det ingen som kan svare på hvem som skal ha tilgang. Da er tilgangsstyring i det systemet ikke dårlig — den er ikke definert.

De tre funnene som gjentar seg

Funn 1: Automatikken dekker en del av miljøet, ikke hele

Bodø hadde katalogstyrt tilgang for 22 prosent av systemene. Vefsn hadde protokollført 49 av rundt 80.

Dette er det vanligste mønsteret i kommunal IT, og det er ikke et resultat av dårlig arbeid. Det er et resultat av at fagsystemer kjøpes av fagavdelinger, over tid, med forskjellige innloggingsmekanismer, og at katalogintegrasjonen blir vurdert som «fase to» i hvert enkelt prosjekt.

Effekten er at kommunen har ett tall den kan rapportere — antall kontoer i katalogen — og et ukjent antall tilganger utenfor den.

Funn 2: Tilganger blir hengende etter avgang

Vefsn fant det eksplisitt. Bodø fant det indirekte, gjennom uregelmessig rydding og for mange eksterne brukere.

Årsaken er nesten alltid den samme: avslutningen utløses av at et menneske gjør noe. En leder som sender en melding. En HR-medarbeider som fyller ut et skjema. En servicedesk som får saken.

Så lenge kjeden starter med at noen husker, vil den svikte i akkurat de tilfellene som er verst — den ansatte som sluttet brått, vikaren som ikke ble forlenget, konsulenten hvis oppdrag stille tok slutt.

Funn 3: Loggene finnes, men ingen ser på dem

Vefsn: manglende systematisk overvåking og analyse. Bodø: ikke omtalt som en styrke. Melhus: hendelse oppdaget gjennom logger.

Det er verdt å være presis om hva dette betyr teknisk. I Microsoft Entra ID lagres revisjonslogger og innloggingslogger i 7 dager på gratisnivået og 30 dager på både P1 og P2. Oppgraderer du lisensen, blir det ikke lengre tilbakevirkende — det som allerede har passert grensen, er borte.

En forvaltningsrevisjon ser typisk på en periode på ett til tre år. En revisjonslogg på tretti dager kan ikke besvare et spørsmål om noe som skjedde i fjor. Vi går gjennom hva det betyr for dokumentasjonsplikten i artikkelen om Entra ID-loggen og arkivlova.

Hva rapportene ikke kritiserer

Ingen av de tre rapportene kritiserer kommunen for å ha for få sikkerhetsprodukter. Ingen av dem anbefaler et bestemt verktøy.

Alle tre anbefaler det samme: at styringen dokumenteres, at roller og ansvar er klare, og at det finnes en systematikk som ikke avhenger av enkeltpersoner.

Det er en nyttig påminnelse for alle som selger noe til kommunal sektor, inkludert oss. Revisor måler ikke hvor moderne miljøet er. Hun måler om kommunen kan gjøre rede for det.

Fem spørsmål å stille før revisor gjør det

Disse er hentet direkte fra det de tre rapportene faktisk undersøkte:

1. Hvor mange fagsystemer har vi, og hvor mange av dem har en navngitt systemansvarlig? Vefsn-tallet var 12 av 80. Regn med at deres eget tall er lavere enn dere tror.

2. Hvor stor andel av tilgangene tildeles gjennom katalogen, og hvor stor andel manuelt? Bodø-tallet var 22 mot 65 prosent. Ingen visste det før noen målte.

3. Hva utløser en avslutning teknisk — en hendelse i personalsystemet, eller et menneske?

4. Hvor lenge lagres revisjonsloggene våre faktisk, og har noen sett på dem de siste seks månedene?

5. Hvis kontrollutvalget ber om en liste over hvem som fikk hvilke tilganger i 2025, med begrunnelse — hvor mange dager tar det å lage den?

Er svaret på det siste spørsmålet mer enn én dag, er det ikke et sikkerhetsproblem. Det er et dokumentasjonsproblem, og det er billigere å løse.

Andre offentlige rapporter det er verdt å lese

Flere kommuner og interkommunale selskaper har fått gjennomført tilsvarende revisjoner de siste årene, blant annet IKT Fjellregionen IKS, Marker kommune, Hamar kommune, Gjerdrum kommune og Ullensaker kommune. Rapportene ligger åpent hos de regionale revisjonsselskapene.

Les den fra en kommune som ligner deres i størrelse og organisering. Funnene kommer sjelden som en overraskelse — det gjør derimot tallene.

Entra Logic er norsk programvare for styrt administrasjon av Microsoft Entra ID. Hvem som ba om en endring, hvem som godkjente den, og hva som faktisk ble utført teknisk, ligger i én søkbar og eksporterbar post — ikke i tre systemer som må sys sammen når revisor spør. Vi tilbyr en gratis tilgangsgjennomgang av Entra ID-miljøet, med skriftlig rapport og score. Vi endrer ingenting underveis.

Start gratis → · Les mer om Entra Logic for kommune og interkommunalt IT →

Kilder

• Forvaltningsrevisjon «Informasjonssikkerhet», Bodø kommune, Sekretariatet for kontrollutvalgene, 16.09.2024
• Forvaltningsrevisjon «Informasjonssikkerhet», Melhus kommune, Revisjon Midt-Norge SA, rapport FR1256, 30.05.2024
• Forvaltningsrevisjon «Beredskap og informasjonssikkerhet», Vefsn kommune, Revisjon Midt-Norge SA, 14.03.2025
• Kommuneloven (LOV-2018-06-22-83) kapittel 23 og 24
• Norges Kommunerevisorforbund: RSK 001, Standard for forvaltningsrevisjon
• Microsoft: Microsoft Entra-rapporter og oppbevaring av data (learn.microsoft.com), hentet 19.08.2026