Nasjonal sky: Dyrere og dårligere enn status quo. Kanskje sikrere

ANALYSE: For å sikre beskyttelsesverdige data i statsforvaltningen, må staten ha kontroll både over hvor data lagres og behandles og over hvem som har tilgang til slike data, slår Nasjonal sikkerhetsmyndighet (NSM) fast.

De vil investere milliarder i en statseid skytjeneste på norsk jord.

Det ble kjent da NSM nylig la ut sin utredning om Nasjonal sky. Gjennom to hundre sider analyserer direktoratet hva som skal til for unngå at Norge mister kontroll over egne systemer og data i en krise- eller krigssituasjon.

Løsningen? Mer nasjonal kontroll.

− Ikke et mål i seg selv, mener selskapene som har fått i oppdrag å kvalitetssikre utredningen.

Nasjonal kontroll. På norsk jord

− Med bruk av kommersielle skytjenester gir virksomhetene fra seg en del av kontrollen over infrastruktur, systemer og data som lagres og behandles i skyen. Det svekker statens evne til å sikre dataenes konfidensialitet, integritet og tilgjengelighet, skriver NSM.

Med andre ord: Økt kontroll er lik bedre informasjonssikkerhet.

Norge risikerer å miste viktig digital infrastruktur om ikke staten selv eier skytjenestene, frykter NSM. Eierskap sikrer at myndighetene kan styre ressurser, føre tilsyn og ta reell teknisk kontroll. Det er vanskelig når selskapene som drifter for oss, eies i utlandet, spesielt i en krise- eller krigssituasjon, mener NSM.

For at datasentrene skal være underlagt norske lover og regler, må de også ligge på norsk grunn, mener NSM.

Virkemiddel, ikke mål

NSM har vurdert flere konsepter. Selv om både sikkerhet, effektivitet og fleksibilitet settes opp som mål, er det behovet for nasjonal kontroll som trumfer når NSM bestemmer seg og setter fingeren på det vi må anta er det dyreste valget på menyen.

Det er problematisk, mener kvalitetssikrerne.

Nasjonal kontroll er ikke et mål i seg selv, mener kvalitetssikrerne, men bare ett av flere midler for å oppnå bedret sikkerhet.

Medisinen har dessuten bivirkninger.

Skal staten eie og drifte sin egen sky, kan tilgangen på kompetanse bli så utfordrende at det blir et sikkerhetsproblem. Staten vil heller ikke kunne ta del i utviklingen, også innen sikkerhet, som skjer hos de store skyleverandørene.

Dermed pirker kvalitetssikrerne borti den kanskje mest sentrale forutsetningen for NSMs arbeid: At det grunnleggende problemet er manglende kontroll over beskyttelsesverdige data og systemer i sky – ikke å bedre sikkerheten eller beredskapen.

De som sitter med følelsen av manglende kontroll, er ikke nødvendigvis de samme som må ta regningen.

Hvem tar regningen?

Topplederne i Skate har allerede varslet bekymring for kostnadene og kritisert NSM for at de ikke vil gå ut med et eneste tall om hva en slik investering kan komme til å koste.

Det vi vet, er imidlertid at forskjellen mellom konsept fire, en lukket kommersiell sky, og konsept sju, som kombinerer en kommersiell og en statlig lukket sky, er på hele 6,5 milliarder kroner. Bare forskjellen mellom de to konseptene tilsvarer altså mer enn et helt nytt nasjonalmuseum i Oslo, eller to ganger kommune- og regionreformen.

Da er ikke kostnadene til bruk tatt med, kun planlegging og etablering.

Staten bør finansiere planlegging og etablering, men selve bruken skal betales av dem som bruker tjenestene, mener NSM.

Det kan bli upopulært. En statlig løsning vil trolig oppleves både dyrere og dårligere i hverdagen.

Dyrere, men dårligere

Det har gjort statens toppledere bekymret for om løsningen skal være obligatorisk. Det vil den trolig bli. Alternativet er nemlig en enda mindre kostnadseffektiv løsning.

− Vi forutsetter at hele statsforvaltningen flytter sine beskyttelsesverdige data og systemer som ligger i sky i nullalternativet over i den todelte nasjonale skyløsningen, skriver NSM om konsept syv.

NSM innrømmer samtidig at de som er vant til å bruke allmenne skytjenester, kommer til å måtte leve med mindre funksjonalitet når de bytter til en felles løsning.

− Innføringen av en nasjonal sky er i hovedsak basert på et politisk initiativ og ønske fra sentrale myndigheter. For virksomhetene vil det å ta i bruk en slik løsning trolig innebære økte kostnader uten at de selv nødvendigvis opplever økt nasjonal kontroll som en nytte de får direkte glede av, skriver NSM.

De som kan ha mest nytte av en statlig fellesløsning, er de minste offentlige virksomhetene, som mangler ressurser til å gjøre sky-løft selv.

Blant dem kommunene, som heller ikke etter endringsønsker fra SV har blitt en del av mandatet NSM fikk for utredningen.

Derfor anbefaler selskapene som har kvalitetssikret arbeidet, at det gjøres en ny vurdering både av å inkludere kommunesektoren og å se på muligheten for samarbeid med nordiske land vi allerede har sikkerhetspolitiske avtaler med.

Det siste bør kunne lette kostnadstrykket betraktelig.

Politisk spørsmål

Både IT- og økonomi-sjefen i de statlige virksomhetene vil nok nødig gi slipp på funksjonaliteten og kostnadseffektiviteten de kommersielle tilbyr.

− Dersom hensynet til kostnader veier tyngre enn hensynet til nasjonal kontroll, bør dagens tilnærming videreføres, mener NSM.

Samtidig faller bombene både i Ukraina og Midtøsten. Mens prosjektgruppa i Oslo satt i fred og utredet, var Ukrainas digitale infratruktur under konstant angrep.

Krigene gir NSMs argumenter tyngde. Hva skal Norge med et kostnadseffektivt folkeregister, om det ikke er tilgjengelig? Og hva er vi som nasjon villig til å betale for kontrollen?

Som NSM selv konkluderer:

− Dette er først og fremst et politisk spørsmål, som ikke kan besvares med en samfunnsøkonomisk analyse.

Imens jobber Direktoratet for forvaltning og økonomistyring (DFØ), gjennom sin markedsplass for skytjenester, med en milliard-anskaffelse av infrastruktur- og plattformtjenester på vegne av over 300 offentlige virksomheter.

Der får også kommunene være med.

Les også NSMs tilsvar til kritikken: − Nasjonal kontroll er et spørsmål om mer enn høyt nivå av IKT-sikkerhet.