− Har vi ikke kontroll på dette, er vi ikke en suveren stat

− Vi kan ikke leve med at offentlige data og tjenester helt eller delvis kontrolleres av andre land, sier Jarle Bjørgeengen til Digi.

Han er skyarkitekt i Safespring og har jobbet med IT-infrastruktur og containerplattformer i en årrekke, blant annet ved Universitetet i Oslo.

I starten av oktober ble det klart at Nasjonal sikkerhetsmyndighet (NSM) vil bygge en statlig driftet og eid skyløsning, kombinert med en lukket kommersiell skyløsning. Løsningen skal dekke behovet for tilstrekkelig nasjonal kontroll i fredstid, krise- og krigssituasjoner, men kan bli både dyrere og dårligere enn å fortsette som før, frykter selskapene som har fått i oppdrag å kvalitetssikre utredningen.

Andre bruker enda sterkere ord:

− En trussel mot digitaliseringen av Norge, sier Geir Øyvind Gulliksen i Crayon. Han mener en statlig eid og driftet sky verken ville klare å følge med i utviklingen eller nødvendigvis bli sikrere enn det de private kan levere.

Argumentene til Crayon holder ikke vann, mener Bjørgeengen:

− Spekulasjoner om høyere sikkerhet kan uansett ikke kompensere for tap av nasjonal kontroll. Vi trenger både nasjonal kontroll og god sikkerhet.

− Ikke lenger en suveren stat

I hans øyne er det helt åpenbart at vi må ha nasjonal kontroll på denne infrastrukturen.

− Har vi ikke det, har vi heller ikke kontroll på tjenestene som kjører på infrastrukturen. Da er vi ikke lenger en suveren stat, sier Bjørgeengen.

Vi ville aldri gitt fra oss kontrollen over annen infrastruktur, som strømnettet, stamnettet eller vann, mener han.

Han har lest NSMs utredning og tror mye av motstanden den møter, kommer av at utviklingen allerede har gått for langt.

Store offentlige virksomheter har for lengst flyttet mye ut i skya. Der dominerer de amerikanske skykjempene. Det er problematisk, mener Bjørgeengen.

Preges av et fåtall leverandører

− Amerikanske skyleverandører svarer for amerikansk lov, ikke norsk. Det betyr at amerikanske og ikke norske myndigheter kontrollerer infrastrukturen som mange offentlige virksomheter kjører sine applikasjoner på og prosesserer sine data på, sier Bjørgeengen.

Etterretningsmyndigheter selv rapporterer om minimal uthenting av data. Det skal vi ikke ta for god fisk, for det finnes nok av dokumentasjon på at det ikke stemmer med virkeligheten, mener han.

NSM har i flere år advart om utviklingen. De har ikke blitt lyttet til, mener Bjørgeengen.

− Egentlig burde det ikke vært nødvendig med en slik KVU. Offentlig sektor har ikke tatt det ansvaret de skulle tatt for syv–åtte år siden.

I sin årlige sikkerhetsrapport skriver også NSM at overgangen til moderne skytjenester har vært preget av et fåtall leverandører.

− Man kan derfor stille spørsmål om man allerede i dag har en konsentrasjon av data og tjenester. Dette har i så fall oppstått ukontrollert eller ubevisst, samtidig som skytjenestene i liten grad er underlagt nasjonale kontrollmuligheter og påvirkning, skriver NSM.

Tull at Norge mangler kompetanse

Både private aktører og statlige toppledere har flagget bekymringer om at Norge vil slite med å skaffe kompetanse. Mangler vi kompetanse vil vi slite både med sikkerheten og funksjonaliteten.

Men at Norge mangler kompetanse til å bygge egne løsninger, er tull, mener Bjørgeengen.

− Det er ingen grunn til å tro at vi ikke kan bygge den samme kompetansen og sikkerheten i Norge, sier han og fortsetter:

− Kritikerne ser ut til å mene at eneste alternativ til de amerikanske kjempene er å gå tilbake til serverrommet.

Da glemmer de at det finnes en voksende skandinavisk bransje som har vist at det går an å levere dette med skandinavisk kompetanse, mener han og peker på svenske Evroc, som er i ferd med å etablere flere europeiske storskala- datasentre, NREC, den norske skytjenesten for universiteter utviklet av Universitetene i Oslo og Bergen, og sin egen arbeidsgiver, Safespring, som vokser både i Norge og Sverige.

Høyskoler, universiteter og Meteorologisk institutt har også sterke fagmiljøer, med høy kompetanse på drift og utvikling av skytjenester, og infrastruktur og sikkerhet generelt, mener Bjørgeengen. Disse miljøene må man involvere for å lykkes, mener han.

− At kompetansen ikke finnes, det er feil.

Mulig å bruke moderne teknologi

At offentlig sektor vil gå glipp av viktig funksjonalitet om de må binde seg til en nasjonal sky, bekymrer heller ikke Bjørgeengen:

− De aller fleste bruker bare en brøkdel av funksjonaliteten. Offentlige virksomheter bruker gjerne flere år på å forberede seg og migrere løsninger til skya. I de aller fleste tilfeller haster det ikke så mye å øke kapasiteten.

De små leverandørene kan være like gode på sikkerhet, er ofte mer opptatt av åpne standarder, noe som gjør det enklere å flytte ting rundt og bruke partnere og andre leverandører til ulike deler av stakken uten å risikere leverandørinnlåsing, mener han.

− Det er absolutt ingenting i veien for å benytte den nyeste teknologien på en trygg måte på egne plattformer, sier Bjørgeengen og forstetter:

− Se på hva Universitetet i Oslo har gjort med Chat GPT.

Universitetet valgte å forby tjenesten til de hadde bygget en trygg vei inn. Nå kan brukerne logge inn med Feide. All dataprosessering gjøres i Europa, og all lagring skjer på UiOs egne servere på Blindern.

Frykter innlåsing

Historien om at de store leverandørene tilbyr portabilitet er også en sannhet med modifikasjoner, mener Bjørgeengen.

− I praksis har skykjempene implementert teknologi-stackene sine på en måte som gjør det svært lite portabelt. Å flytte ut er kostbart, mener han.

Jo mer leverandørspesifikk funksjonalitet du tar i bruk, jo mer binder du deg til masta. Det bør man huske når statlige toppledere sier de frykter en obligatorisk statlig løsning. IT-miljøer, som Navs, har allerede flyttet mye ut i skya. Det vil være kostbart å flytte igjen til egne miljøer, mener Bjørgeengen.

At vi vil være avhengige av de amerikanske kjempene i en krigssituasjon, er heller ikke et argument for å benytte dem i den daglige virksomheten, mener Bjørgeengen.

− Nasjonal kontroll av systemer i den daglige operasjonen utelukker naturligvis ikke krise-beredskap som involverer sikkerhetskopi av data og kritiske systemer til forskjellige fysiske lokasjoner, sier han.

− Virksomheter bør uansett ha et større eierskap til teknologistacken nettopp på grunn av sikkerhet, men også på grunn av portabilitet og dermed lavere grad av leverandørinnlåsing.