Vil ikke stemple alle datasentre som kritisk infrastruktur: – Litt fordummende

Regjeringen regner datasentre som kritisk digital infrastruktur, og vil legge til rette for lagring av norske data på norsk jord.

Simen Bakke, informasjonssikkerhetsrådgiver i Politiets IKT-tjenester, mener at man skal unngå å bruke brede klassifiseringer som å betegne en type infrastruktur som kritisk, uavhengig av hva det leverer til samfunnet.

Han peker på at datasentre kan levere til mange ulike funksjoner.

– Jeg mener det er funksjonen, altså hva det leverer til samfunnet, som egentlig bør være det avgjørende vurderingskriteriet for hvorvidt noe er kritisk eller ikke, sier Bakke til Digi.

For eksempel er tjenester politiet trenger for å drive krisehåndtering eller andre alvorlige hendelser kritiske, forklarer Bakke, som understreker at han ikke uttaler seg på vegne av hele politiet.

Nyanser

Bakke mener problemet er at man i utgangspunktet ikke har vært gode nok til å klassifisere de ulike virksomhetene og sikkerhetsbehovet deres.

Samtidig mener han at det noen ganger kan være utfordrende å definere hva som faktisk er en samfunnskritisk tjeneste.

– Hvis man hadde hatt et veldig godt regime fra starten av, hvor man hadde hatt god kontroll på alle leverandørkjedene og visste hva som var viktigst for Norge, så kunne du også plassert alle tjenestene i riktig datasenter etter hvilket klassifiseringsnivå de hadde.

De viktigste dataene må prioriteres i sentre som er sikret for bombe- og rakettangrep, okkupasjon og andre krigsscenarioer, mener Bakke.

– Derfor blir det for meg litt fordummende når man sier at alt er kritisk infrastruktur. Det er mange nyanser som ikke kommer frem når man sier at alle datasentre er kritisk infrastruktur.

Vanskelig å avgrense

Reynir Johannesson, daglig leder i Norsk Datasenterindustri, sier at det korte svaret på om alle datasentre er like samfunnskritiske, er nei.

Han er enig i at noen må regnes som viktigere enn andre.

– Det som er det vanskelig, som gjør at svaret også kan være ganske langt, er jobben rundt å vurdere hva som er viktig. Fordi det varierer fra by til by, eller mellom oss folk, hva som er viktig, sier han til Digi.

Han nevner som eksempel at det ofte harseleres med datasenter som lagrer innhold fra TikTok og andre sosiale medier.

– I en krisesituasjon er kommunikasjon mellom innbyggerne ofte veldig kritisk. Hvis man skader kommunikasjonskanaler mellom familier eller bedrifter, så kan det gjøre ganske stor skade på samfunnet.

– Det er viktig å opprettholde strømmen og alle digitale tjenester. Selv om man ikke syns de er veldig viktige, så har de åpenbart en funksjon dersom det er mange som bruker tjenesten.

Han mener det er bra at myndighetene regulerer og at det blir økt fokus på sikkerhet.

– Datasentrene skal jobbe med beredskapsøvelser og sikkerhet generelt. Men så er det kanskje sentre som vil utmerke seg som kanskje eksepsjonelt kritiske, som skal underlegges sikkerhetsloven. Det kan ikke være alle.

Viktig for flere digitale tjenester

Digitaliserings- og forvaltningsminister Karianne Tung (Ap) skriver i en e-post til Digi at datasentre ikke bare er kritisk infrastruktur for politi og forsvar, men for hele befolkningen, kommuner og næringsliv.

– Alle benytter i dag digitale tjenester og vi er avhengig av datasentre for at disse digitale tjenestene skal fungere. Derfor sier vi at datasentre er kritisk infrastruktur, fordi vårt digitaliserte samfunn er avhengig av datasentre fordi bortimot alle digitale tjenester går gjennom dem, skriver Tung.

Tung er enig i at det er tjenesten som leveres ut i samfunnet som bør være det avgjørende vurderingskriteriet for hvorvidt noe er kritisk eller ikke.

Hun trekker frem at myndighetene har oversikt over hvilke kritiske tjenester som leveres fra hvilke datasentre.

– Det må likevel være kunden som sørger for å velge et datasenter for sine tjenester som har tilstrekkelig sikkerhet. Kunden må med andre ord kreve tilstrekkelig sikkerhet i sine avtaler med datasenteroperatøren, skriver Tung.

Samfunnskritiske tjenesters bruk av datasentre i Norge er kartlagt.

– Vi foretar konkrete vurderinger av hvilke datasentre som er de mest kritiske, og disse underlegges sikkerhetsloven ved vedtak og følges opp av myndighetene fortløpende.

Teknisk vanskelig

Rådgivingsselskapet Norconsult bistår ulike utbyggere av datasentre.

Truls Inderberg, divisjonsdirektør for industri i Norconsult, sier også at man burde hatt evnen til å prioritere hvilke datasentre som er viktigst, men at det teknisk og regulatorisk sett kan være vanskelig.

– Datasentre kan selges til nye eiere, eller det kan leie ut kapasiteten sin til nye brukere. Det vil igjen stille ganske strenge regulatoriske krav hvis du skulle begynne å operere inne i det kommersielle markedet for å styre kritikaliteten opp eller ned, sier han til Digi.

Et eksempel han trekker frem er at datasentre som har eid store databaser for det offentlige senere blir solgt til en annen aktør.

– Hvis den kritiske infrastrukturen ikke er ivaretatt, men du bare selger hele datapakken, så sitter dataene dine hos andre eiere enn det som var tenkt opprinnelig.

For ordens skyld: Informasjonssikkerhetsrådgiver i Politiets IKT-tjenester, Simen Bakke, er også ekstern spaltist for Digi.