CPR-administrationen har fredag sendt et brev med indskærpelse af sikkerhedsregler til i alt 1039 virksomheder, der har adgang til CPR-registret.

Det fremgår af et notat, som forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) har sendt til to udvalg i Folketinget lørdag.

Indskærpelsen af reglerne kommer, efter at uvedkommende igennem en fynsk it-virksomhed har fået adgang til 8,8 millioner danske personnumre.

I brevet bliver det blandt andet indskærpet, at virksomheder med adgang til registret skal have en sikkerhedsansvarlig.

Desuden bliver det påpeget, at virksomheder løbende skal føre kontrol med medarbejdernes adgang til oplysninger fra registret.

Virksomheder skal også følge antallet af månedlige såkaldte transaktioner i CPR for at kontrollere, at der ikke sker misbrug af adgangen.

Blandt de over 1000 virksomheder, der har adgang til CPR-registret, findes blandt andet virksomheder i finanssektoren, teleselskaber, advokatbureauer, fagforeninger og forsikringsselskaber, fremgår det af notatet.

Virksomheder kan få adgang til registret, hvis de for eksempel har brug for adresseoplysninger på kunder eller medlemmer.

I den aktuelle sag om datalæk havde en hacker gennem den fynske virksomhed Pays adgang til CPR-registret i 21 dage og 17 timer.

Vedkommende udnyttede dog ifølge CPR-kontorets anmeldelse af sagen til Datatilsynet ikke sin adgang i hele perioden.

En anonym it-kriminel har hævdet over for Politiken, at vedkommende stod bag hackingangrebet.

Takket være et lækket password fra en tidligere medarbejder fik hackeren adgang.

Politiken har ligeledes afdækket, at mindst tre profiler hos Pays brugte adgangskoden "123456".

Én af profilerne var virksomhedens administratorkonto.

Efter lækket har Christina Egelund (M) erkendt, at sikkerheden omkring systemet ikke har været god nok.

Hun har bedt om at få en sikkerhedsgennemgang af systemet.

RITZAU