UiO kjemper mot statlig IT-pålegg

Kunnskapsdepartementet (KD) pålegger universitets- og høyskolesektoren å ta i bruk én felles IAM-løsning fra Sikt.

Sjefsingeniør ved Universitetet i Oslo, Francis Augusto Medeiros-Logeay, mener beslutningen er i utakt med tiden. Han presiserer at han uttaler seg som privatperson og ikke på vegne av universitetet.

Sikt-løsningen leveres nemlig av det amerikanske selskapet Identity Automation og driftes som en skyløsning i amerikanske AWS i Stockholm.

– Mens EU legger planer for digital suverenitet, velger vi å gjøre oss enda mer avhengige av amerikanske selskaper, sier Medeiros-Logeay.

– Ser dere ikke at det er farlig?

Frykter dyr overgang

UiO bruker sitt egenutviklede IAM-system gjennom Cerebrum, som styrer identiteter og tilganger på universitet. Det skriver de i et brev til KD.

Her beskrives Cerebrum som sikkert, tilpasset UiOs behov og billig i drift.

UiO hevder at en overgang til Sikt-løsningen kan føre til dårligere sikkerhet. Blant annet argumenterer de for at AWS kan være et mer attraktivt mål for cyberangrep enn deres lokale infrastruktur.

De peker også på potensielt store kostnader ved å innføre felles IAM. Byttekostnadene er estimert til minimum 20 millioner kroner, skriver UiO. Driftskostnadene forventes å øke med omtrent 5 millioner kroner per år, ifølge universitetet.

Årsaken er at UiO mener de sannsynlig må drifte både Cerebrum og den nye Sikt-løsningen parallelt.

Det er nødvendig fordi Cerebrum inneholder logikk og integrasjoner som ikke følger med den nye Sikt-løsningen, mener de.

Medeiros-Logeay frykter også at et skifte vil svekke det interne fagmiljøet ved UiO.

– Vi har bygget opp betydelig kompetanse på Cerebrum over lang tid. Med en ekstern standardløsning risikerer vi gradvis å miste både denne kompetansen og kontrollen over infrastrukturen, sier han.

Vil gi gevinster

Sikt sin løsning ble utviklet gjennom et nasjonalt tiltak i regi av BOTT i 2019, med mål om å sikre at sektoren håndterer identiteter sikkert, effektivt og etterrettelig.

Den er allerede brukt av 60 prosent av universitetene og høyskolene i Norge, opplyser Sikt i et brev til KD.

UiO, NTNU og UiA er blant institusjonene som bruker Cerebrum.

Det mener Sikt bidrar til et fragmentert systemlandskap hvor kostnader og risiko fordeles skjevt.

– Dette er ikke bærekraftig verken økonomisk eller sikkerhetsmessig, skriver Sikt til KD.

Sikt mener samtidig at én felles løsning vil gi økonomiske gevinster for sektoren. Ifølge dem kan felles IAM redusere lisenskostnader og hindre dobbeltbetaling når samme person er tilknyttet flere institusjoner.

Videre mener de at én felles IAM også gjør det lettere å håndheve flerfaktorautentisering, rollebasert tilgang og rask deaktivering av kontoer.

De mener også at uten felles IAM kan samme person ende opp med flere brukerkontoer, mens personen med deres løsning får én unik identitet og ett brukernavn.

Departementet svarer

– Beslutningen om Felles IAM er tatt etter avveiing av en rekke ulike hensyn, opplyser KD til Digi.

De støtter vurderingen til Sikt og peker på at én felles IAM-løsning skal gi bedre lisenshåndtering, lavere kostnader og en bedre brukeropplevelse for ansatte og studenter.

Videre forklarer de at de er opptatt av å begrense sårbarheter og sikre digitalt handlingsrom, men viser til at det er Sikt som har gjort de nødvendige sikkerhetsvurderingene.

Departementet avviser samtidig at målet om digital suverenitet betyr at alle digitale tjenester må være norske eller europeiske.

For Medeiros-Logeay virker dette som en dårlig vurdering. Han peker på at amerikanske myndigheter i liten grad ser begrensninger i å bruke makt overfor amerikanske selskaper, også når de opererer i Europa.

Han mener det prinsipielt er feil å fortsette med en løsning som ligger så langt utenfor egen kontroll.

Digi har også vært i kontakt med Datatilsynet. De opplyser at de har vurdert saken men at de foreløpig ikke har tilstrekkelig innsikt i Sikt-løsningen til å kommentere de personvernmessige sidene.