Skyløsning inneholdt grov feil i seks år. Skyldte først på Tietoevry, så gjorde de helomvendig

– Det er svært beklagelig. Vi stengte ned tjenestene umiddelbart så vi kunne gå gjennom loggene, sier kommunikasjonssjef Ragnhild Skaara Imset til Digi.no.

Avviket ble oppdaget først i mars i år. Det skal ha omfattet alle Enturs nåværende og tidligere ansatte. Selskapet ble opprettet i 2016, ifølge Proff. Rundt 100 medarbeidere har hatt tilgang til dokument- og arkivsystemet Public 360 hos kollektivselskapet i denne perioden.

300 ansatte

Ved hjelp av systemet kan brukerne opprette og behandle saker, journalføre inngående og utgående saksdokumenter og utarbeide rapporter. Skyløsningen støtter standard for norsk dokumentforvaltning – Norak 5.

Totalt jobber det rundt 300 mennesker i det norske kollektivselskapet som utvikler og står bak den nasjonale reiseplanleggeren.

Planleggeren gjør det mulig for reisende å finne reiser og få reiseruter fra kollektivselskaper i hele landet.

Entur samler daglig inn data om rundt 60.000 stoppesteder fordelt på 57 kollektivselskaper og 4000 daglige reiseruter.

Ingen datalekkasje

I avviksrapporten som er sendt til Datatilsynet, skriver Entur at avviket ikke har ført til datalekkasjer.

– Det er ingen av våre arkivansatte som har misbrukt disse tilgangene. Vi har sammen med Tietoevry gått gjennom loggene og sett at ingen har vært inne i mapper de ikke skulle være inne i, sier Skaara Imset.

I avviksrapporten skriver Entur at avviket skyldes en menneskelig svikt.

Kommunikasjonssjefen opplyste først til Digi.no at avviket skyltes en feilkonfigurering i tjenestene som systemleverandør Tietoevry hadde satt opp.

Tietoevry: Brukerfeil hos Entur

– Det er en kombinasjon av feil i oppsettet av tjenestene og svikt i våre rutiner. Vi har nå gått opp rutinene og sørget for at dette ikke skal skje igjen, sa Skaara Imset og henviste oss videre til Tietoevry for ytterligere kommentarer om hendelsesforløpet.

Når Digi tar kontakt med Tietoevry om Public 360-løsningen, sier selskapet at avviket ikke er knyttet til en feilkonfigurering, men en ren brukerfeil hos Entur.

– Da vi fikk melding om avviket, ble systemet umiddelbart tatt ut av drift for Entur, og vi bistod med å gå gjennom logger for å kontrollere om persondata var kommet på avveie – noe loggene avkreftet, sier kommunikasjonsrådgiver Renate Morken i Tietoevry og fortsetter:

– Vi bistod så med gjennomgang og forbedring av kompetanse og rutiner for håndtering av persondata i systemet.

– Entur sier at det er dere som har konfigurert løsningen – stemmer ikke det?

Entur med helomvendig

– Som nevnt er den aktuelle avviksmeldingen knyttet til en brukerfeil hos Entur, og vi har ikke ytterligere kommentarer, svarer Morken.

Når Digi igjen tar kontakt med Entur, gjør kollektivselskapet en helomvending og tar på seg skylden for feilen etter å ha «sjekket litt grundigere».

Selskapet understreker fortsatt at det var Tietoevry som konfigurerte løsningen, men siden kollektivkjempen selv har stått for driften, ligger det fulle ansvaret for avviket hos dem, sammenfatter nå kommunikasjonssjefen.

– Det er viktig for oss å understreke at vi stengte ned arkivløsningen umiddelbart da vi oppdaget feilen. Vi kontaktet også Tietoevry omgående, slik at vi sammen kunne gå gjennom alle logger, sier Ragnhild Skaara Imset og fortsetter:

– Videre orienterte vi våre ansatte raskt om avviket. Vi er lei oss for at vi fikk dette avviket, da slikt ikke skal skje. Og så er vi glade for at denne feilen ikke fikk noen uheldige konsekvenser.