– En exit fra amerikanske skytjenester vil ta minst ti år

En reell exit fra alle tjenester i Norge som behandler personopplysninger i USA, uten at tjenestekapabiliteter ble redusert, ville tatt minst ti år, mener IT-sjef Bjørn Villa i Trondheim kommune.

«Ethvert stunt raskere enn dette ville bare tatt oss teknologisk tilbake til steinalderen, og dit vil vi vel ikke», skriver Villa i et innlegg på Linkedin.

Spørsmålet om exit-strategi fra amerikanske skytjenester er noe alle som driver med IT er opptatt av nå, ifølge Villa.

Bakteppet er politiske endringer i USA etter at Donald Trump igjen ble president. I dag tillater EU at amerikanske selskaper lagrer europeiske persondata i USA, men dette er basert på personverngarantier Joe Biden sørget for, som nå er i spill i USA, og lovverket vakler dermed på utrygg grunn.

Datatilsynet anbefalte nylig norske virksomheter å ha en exit-strategi fra amerikanske skytjenester for å være forberedt på en situasjon der det kan bli ulovlig å bruke slike tjenester i Europa.

– Langt og krevende løp

Energi- og infrastrukturselskapet Eidsiva, som er eid av Oslo kommune og 29 kommuner i Innlandet, uttalte nylig at de kunne snudd seg rundt og tilbudt datasenterkapasitet til en nasjonal skytjeneste i løpet av et halvt år eller mindre, for å dekke behovet norsk offentlig sektor måtte ha for å komme seg ut av tjenester som behandler personopplysninger i USA.

– Da tror jeg man har misforstått. De mener det sikkert godt, og det er fint at vi har datasentre i Norge, og det kommer vi alltid til å ha, argumenterer Villa.

– Men tjenestebruken er kompleks, og avhenger i stor grad av amerikanske komponenter. Det går ikke an å snekre sammen et tilsvarende tjenestetilbud på nasjonal basis over natta.

– Det er et meget langt og krevende løp som handler om mye mer enn å flytte en enkelt tjeneste til et norsk datasenter, sier han til Digi.

Han advarer også om at man kan komme til å eksponere seg for andre sikkerhetsrisikoer i prosessen og viser til at sikkerhetsnivået i de amerikanske tjenestene generelt er høy.

– Det er krevende tider, for all del. Men vi bør ha is i magen, mener han.

– Det å tro at man kan gjøre sånne endringer raskt, er ikke gunstig for oss. Tidsperspektivet kommer aldri til å være seks måneder. Det å gå bort fra amerikanske tjenester som overfører persondata i sin helhet, krever en enorm kartlegging av hva slags personopplysninger som er involvert. Så skal det gjennomføres og implementeres – og sørges for at det har samme sikkerhet som før.

– Må finne oss i å bli bøtelagt

Hvis EU-kommisjonen trekker sin godkjenning av persondataoverføring til USA, vil det skje uavhengig av hvor godt rustet europeiske myndigheter er til å ta i bruk alternativer, har Datatilsynet fastslått.

– Det er det som er litt skremmende, men forståelig. Det er ikke deres ansvar å se på det praktiske. Men vi som sitter ute i organisasjonene, må se realistisk på det. Det er et ansvar vi i bransjen har. Sjansen for å lykkes med å være så raske som mulig, øker hvis vi har en realistisk tilnærming. Men seks måneder? Glem det! Det er ikke sånn det fungerer, sier Villa.

– Hva om man plutselig ikke har noe valg?

– Da kommer vi til å jobbe så raskt vi klarer for å etterleve det, men da kommer selvsagt lover og regler til å bli brutt. Selv om det kreves at vi skal gjøre det, er det ingen som kan trylle. Ting tar den tiden det tar.

Konsekvensene ved ulovlig overføring av personopplysninger fra Europa til USA er forbud, irettesettelse eller bøter.

– Da må vi bare finne oss i å bli bøtelagt. Hvis ikke ressursene og tilgang på kompetanse er der i tide, kan vi ikke gjøre det raskere, uansett om det henger en trussel om en bot over oss. Trusler om bøter skaper ingen teknologisk utvikling i Norge, sier Villa.

– Jeg vil tro Datatilsynet vil velge en klok tilnærming til det. Om det blir aktuelt, vil flere enn meg komme til å påpeke at det vil ta lengre tid, og jeg tror de vil justere sin praksis for bøter deretter, sier han.

Avventer konkret instruks

– I Trondheim kommune har vi konkludert med at inntil det kommer noen nasjonale føringer om dette, er det ikke et tema, sier Villa.

– Det er én million andre ting det er krav om at vi må ha, som vi faktisk må prioritere først.

Digitaliseringsminister Karianne Tung (Ap) viste nylig til Datatilsynets anbefaling i Stortinget, der hun skrev at hun forventer at virksomheter i offentlig sektor har særlig oppmerksomhet mot å ha en strategi for hva de skal gjøre dersom personopplysninger ikke lenger kan overføres til USA etter den samme avtalen som i dag.

Villa oppfatter ikke anbefalingene fra Karianne Tung, og Datatilsynet om å ha en exit-strategi som en tydelig føring.

Først når det kommer en tydelig instruks fra nasjonalt hold, kommer Kommune-Norge til å bevege seg på området, mener han.

Selve jobben med å lage en exit-strategi er et omfattende stykke arbeid, understreker Villa.

– Vi gjennomgikk en lignende øvelse da vi planla overgangen til public cloud. Det tok åtte–ni måneder med planlegging og kartlegging.

– IT-tjenester i dag er satt opp med et komplekst samspill mellom komponenter som i veldig stor grad utveksler personopplysninger. Den kompleksiteten må man forstå for å gjøre sånne endringer.

Ny avhengighet

Hadde dette vært for ti–femten år siden, hadde det vært mye enklere å flytte tjenestene, påpeker Villa.

– Da var det mye større grad av autonome systemer som løste alle oppgavene på egen hånd lokalt, og som kunne flyttes enklere. Nå kan man bruke én tjeneste for pålogging, men selve tjenesten man logger seg på, har ingenting med påloggingstjenesten å gjøre, eksemplifiserer han.

– Har det vært uklokt å gjøre seg så avhengig av amerikanske skytjenester?

– Jeg synse det er klokt å utvikle teknologiske tjenester i fellesskap, og jeg synes man skal kunne bruke tjenester fra ulike land så lenge det er etter relevant lovgivning. Og amerikanske tjenester er generelt veldig gode, sier han.

– Jeg er mer bekymret for koblingen mellom sosiale medier og politikk i USA. Men ikke for tjenester rettet mot bedrifter, legger han til.