Advarer mot ekte data til testing, etter Navs lekkasje på GitHub

NRK fortalte denne uka om hvordan Nav la svært sensitiv informasjon om brukerne sine inn i koden sin, som lå åpent ute på GitHub. 

– Jeg er sjokkert, sier Jonny Sjursen, som er blant de 26 rammede, til NRK. 

Koden som lå offentlig ute viste blant annet når han hadde søkt om sykepenger og personnummer til barn og nær familie. Dette skulle trolig brukes til testing, men var altså reell data, ikke fiktiv testdata. 

– Det er en alvorlig feil, som vi absolutt beklager på det aller sterkeste, sier teknologidirektør Nicolai Høge i Nav til NRK. 

Ligget ute i ett år

Ikke bare lå informasjonen ute på GitHub, men den hadde også ligget der lenge, til tross for at Nav var klar over problemet. 

Ifølge NRK meldte Nav i desember 2025, altså for ett år siden, til Datatilsynet at de hadde eksponert slik data i kode som lå offentlig på GitHub.

Men NRK kunne altså denne uka avdekke at slik informasjon lå der fortsatt. 

– Dessverre er noen av disse personene i dette nye avviket de samme som i desember 2025. Vi sa at vi skulle slette de dataene, og varslet de personene det gjaldt. Vi slettet en del data, men vi fikk dessverre ikke med oss alle steder disse dataene lå tilgjengelig, sier Høge til NRK.

Advarer mot ekte data til testing

Teknologiadvokat Jan Sandtrø, som også er intervjuet av NRK, skriver på Linkedin at han håper norske utviklere nå lærer av feilen til Nav. 

– Nav mener at bruddet blant annet skyldes manglende kompetanse, så siden jeg har fått uttale meg i saken, kan jeg kanskje bidra litt til hva som kan læres av denne, skriver han, og gir følgende liste:

1. Ikke bruk virkelige data som inneholder personopplysninger til testing.

2. Og spesielt ikke data som er sensitive eller gjelder sårbare personer

3. Og ikke dersom data skal være tilgjengelig på åpne løsninger som Github (eller andre deler av internett)

4. Og ikke stol på anonymisering. Testdata må være uten personopplysninger fra starten av.

5. Og husk at det som slettes i kildekoden på Github og andre steder, fortsatt kan ligge i historikken

Reagerer på forsinkelsen

En kode24-leser, som ønsker å være anonym, reagerer også sterkt på Nav-saken. Spesielt dette med at ikke Nav fikk rydda opp da de først oppdaget problemet for et år siden. 

– Hadde jeg vært i deres sted, ville det første steget vært å gjøre alle repoene private og så gå gjennom dem på nytt. Med rundt 3.000 offentlige repoer tar det tid å forsikre seg om at det samme ikke har skjedd andre steder, og etter dette må man vel anta at risikoen for det er ganske stor. Det synes jeg er urovekkende, skriver hen. 

– Det åpner også for en større diskusjon om hvor godt det passer å utvikle helt åpent, når man håndterer så sensitive data. En feil commit blir offentlig med en gang, og kan leve videre i kloner selv om den slettes.

Hvem passer på vibbe­koden når utviklerne har fått sparken?

Jeg lot KI skrive koden til en app for å fylle ut skattemeldingen min. Det den fant på underveis viser at vi fortsatt trenger utviklere.