Skal skaffe skytjenester for milliarder. Nå er første avtale signert

Markedsplassen for skytjenester skal hjelpe offentlig sektor å skaffe skytjenester, fra infrastruktur og plattformtjenester, til sikkerhet og rådgivning. Samlet er det snakk om sky-avtaler for et tosifret antall milliarder over de neste fire årene.

Onsdag signerte DFØ den aller første kontrakten. Først ut er en såkalt Cyber Risk Score-tjeneste. Rammeavtalen har en verdi på opptil 50 millioner kroner over fire år. Hele 327 ulike offentlige virksomheter kan bruke avtalen.

Avtalen ble inngått etter en konkurranse med forhandlinger, og det var KPMG, med verktøyet Riskrecon By Mastercard, som stakk av med seieren. Avtalen skal bidra til å løfte sikkerheten i offentlig sektors skybruk.

− Det er veldig stor spredning i virksomhetene når det kommer til sikkerhet. Systemet kan bidra til å minske spredningen, og spesielt løfte nivået i bunnen, sier Sverre Stoltz, programdirektør for Markedsplassen for skytjenester.

Skal bygge holistisk skyportefølje

Allerede i 2019 fikk direktoratet, som den gang het Difi, i oppdrag å starte arbeidet med en markedsplass for skytjenester. Bakgrunnen var en anbefaling fra Solberg-regjeringens strategi for bruk av skytjenester, som kom i 2016. I statsbudsjettet for 2020 la regjeringen 11 millioner på bordet for å etablere markedsplassen.

Derfor startet arbeidet med en portal, en samling med veiledere, som skulle gjøre det enklere å navigere seg i sky-markedet. Men målet var større. I 2023 startet for alvor arbeidet med felles rammeavtaler, og DFØ varslet om kommende anskaffelser for nær 10 milliarder kroner.

Målet er å gjøre det lettere for norsk offentlig sektor å skaffe sikre, moderne, fleksible og kostnadseffektive skytjenester.

− Ambisjonen er å bygge en holistisk portefølje av kontrakter og veiledning, der en del alltid understøtter en annen del, sier Stoltz.

Derfor er både sikkerhet og rådgivning om bruk viktige områder for rammeavtaler, ikke bare rene skytjenester som infrastruktur, plattformtjenester eller programvare i skyen.

Skal gi bedre oversikt

Det er litt tilfeldig at det er denne avtalen som er først klar til bruk på Markedsplassen for skytjenester, men den er også strategisk viktig, forklarer Stoltz.

− Vi kaller det synlighet, det å få en bevissthet om egen situasjon. Som en del av denne fasen kommer det flere kontrakter for å kunne drive trusseletterretning og få tilgang til opplæring, sier han.

Avtalen skal sikre offentlig sektor programvare for Cyber Risk Score, verktøy som hjelper deg å kartlegge hvor i infrastrukturen du har risiko for eksterne trusler, og tallfeste sikkerhetssituasjonen slik at det blir lettere for ledelsen å følge opp egne sikkerhetsmål.

Bedre oversikt, blant annet over status hos leverandører og underleverandører, er en viktig del av slik programvare.

− Det er som ellers, om du ikke har kontroll på angrepsflatene så taper du. Du må ha informasjon om egen situasjon for å ta de rette grepene, ellers blir alt bare teori, sier Stoltz.

Han understreker at selv om verktøyet ikke kan friskmelde sikkerheten, gir det likevel en indikasjon på at et helt grunnleggende sikkerhetsnivå er på plass.

− Det handler om å sikre at grunnmuren er i orden. Å sjekke at du har orden på internettnettadressen, at patchingen foregår etter boka, at nettverket er konfigurert sånn noenlunde riktig, at du ikke har åpne porter som ikke skal være åpne, sier Stoltz.

Dermed håper han løsningen kan bidra til å løfte dem som sliter mest, for det er stor variasjon i sikkerhetsnivået mellom ulike statlige etater og kommuner, mener han.

Priset seg ut

Avtalen har blitt til gjennom en såkalt konkurranse med forhandling.

Etter en innledende runde, der Bitsight Technologies, Security Scorecard og KPMG Norge gikk gjennom en prekvalifisering, ble Bitsight Technologies og KPMG invitert til å levere oppdatert tilbud. Etter tre runder med forhandlinger, og det siste bindende tilbudet fra leverandørene falt valget på KPMG.

− Begge leverandørene har oppfylt alle kriterier, til en meget tilfredsstillende standard. Det var minimalt med forskjell i kvalitets- og risikokriteriene. Den tilbudte prisen er derfor den avgjørende faktoren i evalueringsprosessen. KPMG tilbød betydelig lavere priser, heter det i anskaffelsesprotokollen fra DFØ.

Prisen fra Bitsight var mer enn det dobbelte av den fra KPMG, kommer det frem av samme dokument.