Granskning avslöjar säkerhetsbrister på Migrationsverket

Granskningen visar att Migrationsverket under perioden 2017–2020 har gallrat ut, sålt vidare eller skänkt tusentals datorer utan att kunna spåra dem. De har heller inte kunnat redovisa för vilken sorts information som funnits i utrustningen eller kunnat säkerställa att känsliga uppgifter raderats.

Tommi Teljosuo, projektledare för granskningen, säger att bristerna är så pass allvarliga att de behövde belysas, trots att myndigheten åtgärdat problemen innan Riksrevisionen upptäckte dem.

– I det här fallet fokuserade vi på risken för läckor då Migrationsverket är en myndighet som hanterar synnerligen känsliga uppgifter, säger han till Altinget.

Datorerna kunde inte spåras

I utredningen framkommer bland annat att Migrationsverket har avskrivit 100 datorer som var mer än tre år gamla och att de ansågs omöjliga att spåra. Enligt Teljosuo ska normalt sett all information raderas och hårddiskarna kasseras när myndigheter gör sig av med tekniska resurser.

– Nu tror vi att den största delen av utrustningen har skrotats enligt konstens alla regler. Men att tro är inte tillräckligt när vi pratar om den här typen av utrustning. Myndigheten ska veta och kunna visa exakt vad som har hänt med den.

Att tro är inte tillräckligt när vi pratar om den här typen av utrustning. Myndigheten ska veta och kunna visa exakt vad som har hänt med den.

Tommi Teljosuo, projektledare för granskningen.

Risk för slöseri 

Han menar också att det finns ytterligare anledningar till att Riksrevisionen offentliggör uppgifter om oegentligheter. Det saknas till exempel dokumentation om en möjlig återanvändning av utrustningen i annan statlig verksamhet. 

– När en myndighet ska göra sig av med statlig egendom finns det risk för slöseri och det är ju trots allt medborgarna som har varit med och bekostat utrustningen.

I granskningen beskrivs hur det saknats en samlad bild över myndighetens tekniska utrustning. Sedan 2019 har Migrationsverket dock implementerat nya säkerhetsrutiner.

– Tidigare var det varje enhetschef som var ansvarade för IT-utrustningen. Nu har man skapat ett centralt register där varenda dator som Migrationsverket äger finns. Där kan man ha kontroll på när saker avvecklas och registrera ny utrustning.

Regeringens ansvar

Till följd av upptäckterna ger Riksrevisionen en rad rekommendationer riktade till regeringen. Enligt rapporten bör de exempelvis ”ta fram tydliga regler och rutiner för avveckling av utrustning som kan innehålla sekretessbelagd eller integritetskänslig information”. Tommi Teljosou menar att det med tanke på de allvarliga händelserna, är viktigt att understryka regeringens ansvar.

– Det är upp till Regeringskansliet att avgöra vilken som är den rätta metoden för att kontrollera myndigheternas förehavanden. Vi vill inte att andra myndigheter ska råka ut för samma sak.