Elendige kontroll- og IT-systemer legger til rette for flere skandaler

De siste månedene har det blitt avdekket flere skandaler av betydelig omfang:

• Juks ved Institutt for energiteknikk, der måleresultater skal ha blitt manipulert for å skjule svakheter ved målingene.
• Programmeringsfeil i programvare fra DNV GL, som har ført til problemer for Johan Castberg-feltet og et ukjent antall andre prosjekter.
• Juks ved Statens vegvesen, der data fra andre kjøretøy enn de som faktisk var involvert i ulykker, ble inkludert i rapporter til politiet.
• Stortinget har vært utsatt for et omfattende IT-angrep, og data er hentet ut fra flere e-postkontoer.

Teknisk Ukeblad fortalte fredag om detaljene i granskingsrapporten knyttet til Statens vegvesen. Her var det altså mulig for en person, ukjent av hvilken grunn, å overlevere materiale til politiet fra kjøretøy som ikke var involvert i ulykkene som ble etterforsket. En av sakene ble etterforsket som en drapssak.

Hvordan er det mulig?

Fellesnevnere

De tre sakene er av helt forskjellig karakter, men de har flere ting til felles:

• Internkontrollen har enten vært totalt fraværende, eller sviktet fullstendig. Jeg gjetter på at den har vært fraværende. Man har stolt på resultatene som ble levert.
• Følgene av feilene er potensielt svært store.
• Institusjonene er enten tillagt stor formell makt, eller har svært sentrale posisjoner i det norske samfunnet.

DNV GL, som for tiden også har en ansatt siktet for spionasje, er kanskje et av de mest betrodde private organene vi har i Norge. Institutt for energiteknikk driver i praksis norsk atomforskning og den marginale satsingen på kjernekraft som finnes i landet. Statens vegvesen utsteder ikke bare førerkort. Det er i praksis en institusjon som tas som sannhetsvitne i norske rettssaler daglig.

Sikkerhetsekspert Nils-Ove Gamlem i Check Point påpeker overfor Digi at vi ikke må få en holdning der vi aksepterer at sikkerheten blir brutt.

– Det fortviler meg at mange uttaler at det er umulig å beskytte seg helt. Man begynner å akseptere at en sikkerhetsbrist skjer. Vi kan ikke gå den veien, sier han om dataangrepet på Stortinget.

Overlapping mellom medarbeidere er viktig

Da spionsaken i DNV GL ble kjent, intervjuet jeg korrupsjonsekspert Petter Gottschalk, som i en årrekke har jobbet spesielt med «hvitsnippforbrytelser», økonomisk kriminalitet.

Gottschalk trekker fram prinsippet om «fire øyne» – at det aldri er én person alene på oppgaven. Gå aldri alene i et møte. Sjekk alle kostnader to ganger. Det betyr at arbeidsdelingen ikke kan være så utstrakt som den i mange tilfeller er. Man trenger faktisk overlapping. Samtidig trengs en kultur der det er lov å stille kontrollspørsmål.

Bildet som tegnes fra IFE, SVV og DNV GL er at vi på noen kritiske punkter mangler denne overlappingen.

• Er det virkelig slik at politiet ikke selv kontrollerer opplysningene fra Statens vegvesen, før de blir brukt i en rettssak?
• Kan man gjøre endringer i programvaren til DNV GL, som brukes i kritiske beregninger i en rekke prosjekter, uten at koden blir nøye gjennomgått og kontrollert av andre?

Får for lite ut av enorme investeringer

Da Erna Solberg sist uke snakket på et arrangement i regi av IKT Norge, pekte hun på at de om lag 100 milliardene som det offentlige investerer i IT-systemer årlig, gjerne kunne vært brukt bedre.

Det har hun helt rett i.

Jeg er ikke systemutvikler, men det virker åpenbart at for eksempel Statens vegvesen burde kunne ha systemer som for eksempel kontrollerer at det er dataene fra riktige kjøretøy som utleveres til politiet.

DVN GL kunne benyttet åpen kildekode eller hatt en omfattende kvalitetssikring ved hver oppgradering, for å minimere risikoen for å overlevere programvare med mulige kritiske feil. De rutinene som har vært i bruk, er åpenbart ikke gode nok.

Politiet ansetter nå ny sjef for etatens IKT-tjenester. 65 personer har søkt jobben. Det er en av Norges aller viktigste jobber. Velfungerende IKT-systemer i politiet vil øke både kvaliteten og tempoet i etterforskningen. Dårlige systemer kan lede til rettsskandaler.

For dyrt, tregt og dårlig?

Nær sagt som alltid handler det å løse så grunnleggende problemer som skandalene avdekker, om ledelse. Eller mangel på sådan. Folk gjør feil, enten det er vond vilje i bildet eller ei.

Sett utenfra virker det rart at verken IFE eller Statens vegvesen gjennom fagfellevurderinger av egne resultater og metodikk, ikke klarte å avdekke juks før det forsvant ut av organisasjonen. Eller at ikke DNV GL klarte å oppdage det som tilsynelatende er en regnefeil.

Selv om Skatteetaten de siste ti årene har gjort mye for å rette opp inntrykket, har offentlige IT-prosjekter «alltid» hatt rykte på seg for å være dyre og dårlige.

De koster mer enn de burde, tar lang tid og blir i noen tilfeller aldri tatt i bruk. Konsulentbransjen lever godt på slike kontrakter, men som nasjon kan vi ikke vente i ti år på å oppdatere straffeloven fordi datasystemene ikke henger med, eller ha offentlige etater som benytter utdatert programvare fra forrige årtusen, som ikke kan snakke med andre systemer.

Da legger vi til rette for feil, og i verste fall juks. Vi kan få langt bedre resultater, og kanskje også systemer som hindrer at noen kan fôre politiet med falske opplysninger uten å bli oppdaget før lenge etterpå.