Fryktet nytt «Østre Toten»-angrep: – Dessverre slik at Atea er vår aller største risiko

I den konstateres det at kommunen er usikre på om Atea i det hele tatt er i stand til å holde driftsplattformen og klientene sine sikret.

– Leveransene Atea leverte stod ikke i tråd med avtalen som ble inngått. Det ble ikke levert en kvalitet vi kunne leve med, og den sikkerhetsmessige risikoen var ekstremt stor, sier IT-sjef Bjørn Villa om kontrakten som ble sagt opp.

I oversikten konstateres det at Atea må levere både økt kapasitet på kontrakten, og få inn mer teknisk kompetanse. Det viser seg at det er flere problemer som fortsatt er pressende, heter det i en e-post sendt i februar 2021 fra prosjektlederen i IT-tjenesten i kommunen til Ateas kontaktpunkt.

Få tekniske ressurser

Windows-klientene i nettverket leverer ikke akseptabel ytelse, heter det i oppsummeringen.

Det kan se ut som det er Trend Micros-virusklienter som er flaskehalsen, men siden det er gjort så mange endringer på kort tid, er det ikke mulig å peke på rotårsaken, heter det.

Det har også vært stabilitetsproblemer på Chromebook-maskinene som brukes i kommunes skolenett. I tillegg skal Atea gjøre svært mye med knappe ressurser, mener kommunen.

Trondheim kommune skriver i oppsummeringen at IT-giganten bare har to tekniske ressurser som skal sørge for den daglige driften, i tillegg til å ta igjen det store etterslepet på dokumentasjon.

Sliter med kapasiteten

Trondheim kommune ber igjen selskapet om å øke ressursbruken. Men Atea ønsker heller å sette på en prosjektleder som kan koordinere ressursene bedre, viser dokumentasjonen Digi.no sitter på.

Atea skriver at de har hatt inne flere ulike tekniske ressurser allerede, men at det har vært vanskelig å få på plass nye, fordi det er ikke så mange internt i selskapet som kjenner til alle de ulike IT-løsningene som brukes.

I tillegg skriver selskapet at de sliter med kapasitetsproblemer internt.

Kommunen mener det er en dårlig prioritering, og konstaterer at det er et økt behov for teknisk kompetanse, og ikke prosjektledere.

Siden Atea ikke klarer å levere som avtalt, mener kommunen at deres forestående implementering av ny leverandør vil forsinkes. «Det er meget bekymringsverdig og kan få store konsekvenser for vår fremdrift» heter det i e-posten fra prosjektlederen.

2100 maskiner kjørte utløpt Windows-versjon

Prosjektlederen sier at de kan komme til å holde Atea ansvarlig for forsinkelsene.

Atea anerkjenner at det har vært en rekke problemer med oppgradering til Windows 10. Selskapet sier det skyldes ulike problemer de har støtt på underveis.

– På en del saker har vi god fremdrift, men det er ikke alltid lett å få frem arbeidet som kreves på de enkelte sakene, skriver selskapet i e-posten som er sendt til IT-tjenesten.

I februar 2021, nesten tre måneder etter at problemene for alvor begynte å vise seg i avtaleforholdet, finnes det fortsatt 2100 Windows 10-maskiner som kjører på versjon 1803.

Den ble erklært død av Microsoft allerede i 2019. Noe som vil si at maskinene da ikke hadde mottatt sikkerhetsoppdateringer på snart to år. Det er dermed helt kritisk å få disse opp til en sikkerhetsoppdatert versjon så fort som overhodet mulig.

Fryktet nytt kommuneangrep

I en e-post skriver IT-sjef Bjørn Villa i Trondheim kommune at han frykter at den neste «Østre Toten»-hendelsen vil skje i Trøndelag.

Østre Toten kommune ble rammet av et stort angrep på sine datasystemer 9. januar 2021. Alle fagsystemer i hele kommunen ble gjort utilgjengelige, og hackerne offentliggjorde cirka 10.000 dokumenter etter angrepet.

Angrepet kostet kommunen 33 millioner kroner i oppryddingsutgifter, og de ble også bøtelagt av Datatilsynet med 16 millioner kroner.

– Tenker du at jeg har en god magefølelse som IT-sjef i denne situasjonen? Hvis det skjer, så kan jeg love deg at Atea sitt potensielle ansvar kommer til å bli nevnt svært så tydelig i alle

sammenhenger, både internt og eksternt, skriver Villa til selskapets daværende administrerende direktør, Michael Jacobs.

De Atea-ansatte får skryt

Trondheim kommune mener den mangelfulle oppdateringsstatusen viser selskapets «reaktive tilnærming» til avtalen.

– Det gjennomføres ukentlige tekniske prioriteringsmøter med Atea for å se aktuelle saker, men inntrykket Trondheim kommune sitter igjen med er at det blir for mye prat og mindre gjennomføring på å løse saker, heter det i en e-post sendt fra prosjektlederen i IT-tjenesten til Atea.

Han anerkjenner samtidig at noe bra med avtalen. De ansatte i IT-giganten får skryt. Prosjektlederen mener det er ledelsen i IT-selskapet som er problemet.

Han mener det er god dialog mellom ressursene Atea har satt på kontrakten og Trondheim kommune.

Sa nei til å møte Atea-topp

Samtidig heter det at Trondheim kommune er svært usikre på om ressursene IT-giganten benytter seg av får tilstrekkelig ressurser internt til å levere avtalt kvalitet.

– Trondheim kommune er en stor organisasjon med mange brukere som Atea har vært leverandør for i årevis. Det bør derfor ikke komme som noen overraskelse at det er en stor og kompleks organisasjon man skal drifte, skriver prosjektlederen i e-posten.

I mars inviteres IT-sjef Bjørn Villa til et møte med daværende administrerende direktør, Michael Jacobs, om den fastlåste situasjonen.

Villa mener det er ikke er noen vits.

Han skriver at et slikt møte kan vente til Atea tar problemene til Trondheim kommune alvorlig.

– Dagens situasjon er dessverre at Trondheim kommune sin største sikkerhetsrisiko er vår bruk av Atea. Dette synes jeg er trist, skriver Villa til Jacobs.

Ingen progresjon i sikkerheten

25. mars 2021 har de to partene igjen et møte. Der sier Trondheim kommune at de mener Atea ikke respekterer avtalen.

Igjen trekkes det frem at kommunen er svært kritiske til sikkerheten selskapet leverer.

Progresjonen på dette området er helt fraværende, heter det i møtereferatet.

Kommunen vurderer nå å ta over driften av en rekke Windows-klienter, fordi de mener Atea ikke er i stand til å ivareta den kritiske infrastrukturen. De mener IT-selskapet må bære hele ansvaret for problemene, og kommunen sier at de ønsker å reforhandle vederlaget.

I mai 2021 har de to igjen et møte. Her kommer frem at 8000 Windows-klienter er i ferd med å miste sine oppgraderingsmuligheter fordi Microsoft kutter supporten. Dermed vil igjen flere tusen maskiner stå uten sikkerhetsoppdateringer.

Atea bestrider påstander

I juni er 4500 maskiner på usikret versjon. Trondheim kommune mener da at IT-giganten skal stå for driftingen av disse gratis.

I september blir de to enige om at driftsavtalen skal forlenges ut året. Det er viktig for å sikre at overgangen til ny leverandør i januar 2022 ikke blir ytterligere forsinket. 21. januar sender prosjektlederen i IT-tjenesten sin siste e-post til IT-leverandøren.

Der takker han for det treårige, turbulente samarbeidet.

Atea: Mener historien er unyansert

Atea mener historien som presenteres i Digi er unyansert og tatt ut av kontekst. At selskapet bare hadde to tekniske ressurser på oppløpet mener IT-giganten er direkte feil.

Selskapet hevder de hadde 20 personer med teknisk kompetanse, i tillegg til to prosjektledere.

– Vi har lang erfaring med denne type avtaler, og har gode rutiner på plass. I denne saken har det vært utfordringer uten at vi ønsker å gå nærmere inn i detaljene på dette, sier kommunikasjonssjef Christian Brosstad og fortsetter:

– Vi har hatt et langt og godt forhold til Trondheim kommune gjennom flere år. Vi samarbeider bredt på flere områder, og den siste tiden har kommunen også fornyet enkelte kontrakter med oss. Det er vi veldig glade for.

Kommunikasjonssjefen sier selskapet bruker tilbakemeldingene og kritikken som læring for forbedring fremover. Ifølge ham valgte selskapet å avslutte kontrakten på et tidspunkt da Trondheim kommune var fornøyd.

Villa: –Vond reise fra start til slutt

IT-sjef Bjørn Villa i Trondheim kommune mener det er en direkte feilslutning. Han sier til Digi.no at driftssamarbeidet med Atea har vært en vond reise fra start til slutt.

– Problemene ble etter hvert så store at vi ikke kunne leve med avtalen, og avtaleforholdet måtte termineres.

Hadde dere sagt opp Atea som leverandør om de ikke valgte å fratre avtalen selv?

– Formelt var det de som sa opp. Jeg ønsker ikke å kommentere om vi la press på dem eller ikke. Det får stå som det er, og det var Atea som til slutt valgte å si opp kontrakten med oss, sier han.

Digi har vært i kontakt med tidligere administrerende direktør Michael Jacobs i Atea. Han ønsker ikke å kommentere saken og henviser til selskapets presseavdeling. Digi har også vært i kontakt med nåværende toppsjef, Ole Petter Saxrud. Han har ikke besvart vår henvendelse.