Nasjonal skytjeneste: Her er alternativene

− Ett steg nærmere norsk nasjonal skytjeneste, skrev Digi.no i februar i år.

Nasjonal sikkerhetsmyndighet (NSM) hadde fått i oppdrag å utrede mulige konseptuelle tilnærminger til en nasjonal sky.

Nå er utredningen godt i gang.

− Dette er jo under arbeid, men vi tenker i et spenn fra en rent regulatorisk løsning til en slags statens skydatasentral, der staten gjør alt selv, sier Harald Kristian Næss, prosjektleder for arbeidet i NSM, til Digi.no.

Svaret ligger antagelig et sted mellom disse ytterpunktene.

− Jeg tror vi skal være veldig realistiske om at du ikke realiserer en slik skytjeneste uten samarbeid med IT- og leverandørindustrien, sier Næss.

Samtidig må staten ha kontroll på tilgjengelighet og integritet, mener NSM.

Ugradert beskyttelsesverdig informasjon

Skyløsningen skal dekke behovet for lagring av beskyttelsesverdig informasjon, det som på fagspråket kalles skjermingsverdig ugradert informasjon, for statsforvaltningen.

− Vi har tre nivåer av informasjon, det rent ugraderte, som ivaretas gjennom markedsplassen hos DFØ, og det graderte, og da er vi over på Forsvarsdepartementet sine systemer og graderte plattformer, forklarer Næss og fortsetter:

− Men mellom der har vi et mellomsjikt. Det er det vi skal se på.

Mange har spurt Næss om skyløsningen også skal kunne brukes av andre i offentlig sektor.

− Mandatet vårt er å utrede for statsforvaltningen, så får de som tar beslutninger her i landet, ta stilling til om den også kan brukes for andre deler av offentlig sektor, sier han.

Gjennom våren og sommeren har NSM jobbet med å få oversikt over behovet.

Det fleste bruker sky-løsninger

Rundt 70 prosent av de statlige virksomhetene bruker skytjenester i dag, de fleste av dem allmenne skytjenester levert av Microsoft, Amazon og Google. Staten regner med at bruken av skyløsninger skal øke.

− Når mye av hyllevareløsningene allerede er i skyen, vil det trolig være kjernesystemer som står for tur – det øker risikoen for at mer beskyttelsesverdige data og systemer kan havne ukritisk i skyen, skriver NSM i en presentasjon.

De har hentet inn store mengder informasjon om statsforvaltningens behov og sendt en spørreundersøkelse til 186 statlige virksomheter.

Konklusjonen er: Mange har behov for å lagre til dels store datamengder. Virksomhetene er opptatt av at en nasjonal sky hjelper dem med å følge alle de ulike lovene og reglene som spiller inn. Og skyløsningene må ha god nok funksjonalitet.

I tillegg er sikkerheten kritisk.

− Det er viktig, ikke bare at informasjonen er tilgjengelig når du behøver den, den skal også ha høy integritet. Det betyr at ingen andre enn de som eier informasjonen, skal kunne tukle med den, sier Næss.

Betydningen av integritet har bare blitt større med krig, propaganda og usikre tider, mener han:

− Det er veldig viktig at de som bor i Norge, har tillit til at den informasjonen som er tilgjengelig, for eksempel på offisielle nettsider, er korrekt.

Det er bakteppet som er med inn i utredningen av ulike konsepter.

Fra lovutvikling til full statlig kontroll

I spennet av konsepter NSM utreder, finner vi det obligatoriske nullalternativet: Å fortsette som før.

− Noe som enklest kan beskrives som en fragmentert løsning, sier Næss.

Etter nullalternativet er den minst inngripende løsningen NSM utreder, en tydeliggjøring av regelverket. Gjennom lov og forskrift er det mulig å sette opp en rekke regler som beskriver hvilke krav en skytjeneste må oppfylle for å kunne brukes som en del av den nasjonale skya.

− Da tilbyr du egentlig ikke noen sky, du tilbyr bare en lov, sier Næss.

Det andre og mest inngripende ytterpunktet er en statlig skydatasentral.

− Da gjør staten alt selv. Man har datahaller, man har egne serverparker, man har eget personale, og man utvikler og bygger alt selv − under full statlig kontroll, sier Næss.

− Det er et scenario som er fullt mulig å gjennomføre, men det vil kanskje ha noen svakheter ved seg.

Et av argumentene mot en slik løsning er at det kan være vanskelig å holde tritt med utviklingen for et lite samfunn som Norge. De store skyleverandørene kan mest sannsynlig levere vesentlig mer funksjonalitet. Det vil antagelig også være snakk om ganske store investeringer.

− Men det er et reelt alternativ. Tyskland har Bundescloud, som er statlig eid infrastruktur, statlig eide datasentre, med åpen kildekode-programvare på toppen, sier Næss.

Et sted imellom

Men mellom disse ytterpunktene ligger det mange varianter.

− Vi ser om det finnes løsninger som bygger på at staten opererer som en ren skymegler og bruker private aktører, statlige aktører eller en kombinasjon av disse for å tilby en skytjeneste, sier Næss.

Et annet alternativ er en hybridmodell, der staten eier en del av løsningen selv, men kjøper fra kvalifiserte leverandører.

− Du må sikre at staten har kontroll på tilgjengeligheten. Det kan ha noe å si for hvor datasentrene er og for hvilket personale som kan betjene dem, sier Næss.

Målet er å tilby det som er nyttig av statlig eierskap og kontroll, samtidig som man utnytter den gode funksjonaliteten fra leverandørindustrien.

− Samlet kan man få en løsning som ivaretar de sikkerhetsmessige hensynene og samtidig er attraktiv med tanke på funksjonalitet, sier Næss.

Regulert, robust og ikke proprietær

Uansett hvilken kombinasjon man velger, må løsningen tilfredsstille en del krav.

Regulatoriske hensyn må inn, mener Næss.

− Dette er jo ikke et veldig regulert område i dag, i motsetning til annen viktig infrastruktur i samfunnet, som kraft, ekom eller telekom, sier han.

Videre er det fornuftig at løsningen bygges på industristandarder.

− Du kan ikke ha veldig proprietære løsninger, det må være mulig å portere mellom ulike leverandører eller deler av denne skyen. Dermed må vi ha en viss grad av universelle kjøremiljøer og basere løsningen på beste praksis, sier Næss.

Han mener det er viktig at man ikke blir låst inne hos én leverandør.

− Vi kan ikke som en statlig sky akseptere at det er én leverandør som sitter med hele nøkkelen til vår løsning, sier Næss.

Et annet viktig behov er stor grad av robusthet, mener Næss.

− Den må tåle at noen forsøker å ta den ned. Vi snakker altså ikke om en sky som hviler i ett datasenter, men om et sett av datasentre, spredt geografisk, med høy grad av robust sammenkobling seg imellom, sier han.

Oppsummert er det sannsynlig at svaret blir en skyløsning, basert på offentlig og privat samarbeid, spredt ut på flere datasentre med høy grad av sammenkobling, som tilbyr generiske kjøremiljøer og gode muligheter for å portere og flytte seg mellom løsninger.

Må fungere i krigstid

En nasjonal sky må kunne ivareta personvern, informasjonssikkerhet og IKT-sikkerhet.

− Men vi har jo et litt videre begrep om sikkerhet, som handler om nasjonale sikkerhetshensyn, sier Næss.

En nasjonal skyløsning må kunne fungere i hele krisespennet, både i fred, krise og et krigsscenario, forklarer han videre.

Ingen skal kunne klippe ledningen til folkeregisteret eller andre viktige tjenester.

− Det vil kanskje stille litt andre krav til løsningene enn det man tenker seg for en ugradert løsning som kun har fredstidsfunksjon,.

Funksjonalitet

− Og så skal det være slik at brukeren opplever at dette har en attraktiv funksjonalitet, sier Næss og fortsetter:

− Noen er allerede på skyløsinger i dag, det kan ikke være slik at det å gå over til den nasjonale skya, er et steg tilbake i tid.

Men her vil det fort bli en avveining, mener han.

− Det er veldig mange som ønsker seg veldig mye funksjonalitet helt til prislappen dukker opp.

Prislappen er nettopp det prosjektet jobber med nå.

For tidlig å konkludere

En såkalt samfunnsøkonomisk analyse er en viktig del av konseptvalgutredningen. Den skal svare på hvilke alternativer som vil være mest fordelaktige for kongeriket.

Det er veldig mange faktorer som inngår i analysen, og det er krevende å sette opp en økonomimodell som dekker det som trengs, mener Næss.

− Så selv om teknikeren i meg har lyst til å si at «dette er et veldig fint konsept», vil samfunnsøkonomene vi har på teamet si «Men det kan du ikke mene på det nåværende tidspunkt».