Nav om exit-strategi: − Mangler gode alternativer

Saken er oppdatert med kommentarer fra Skatteetaten.

Sammen med tollkrig og geopolitisk uro har bekymringen for lovlig overføring av persondata til USA satt fyr på debatten om bruk av amerikanske skytjenester.

Ifølge IT-sjef Heidrun Reisæter i Nav ville det bare tatt noen dager før de viktigste fagsystemene var oppe igjen om de brått mistet tilgangen til amerikanske leverandører som Microsoft, Google og AWS.

− Om vi hadde mistet tilgangen til skyleverandørene, ville vi måttet stoppe Navs saksbehandling en kort periode for å få opp systemene på alternative plattformer. Vi har kopi av alle data og programkode for fagsystemene våre og kan raskt flytte dem til egne interne miljøer, sier Reisæter.

Men for verktøy som e-post og Teams er det verre.

− For kontorstøtteløsninger måtte vi gått over til manuell håndtering og andre løsninger vi har, som ikke er like gode, skriver Reisæter.

Nav er ikke alene.

− Når det kommer til kontorstøtte er vi, som de fleste andre virksomheter, dypt inne i Office-pakken og ser at det er få reelle alternativer som gir nødvendig funksjonalitet og brukerverdi, skriverplattformdirektør Erlend Wiig i Politiets IT-enhet i en e-post til Digi.

Exit-strategi

Reglene som tillater dagens bruk av amerikanske skytjenester, kan endres raskt dersom det kommer politiske endringer i USA som svekker personvernet, mener Datatilsynet.

Datatilsynet anbefaler alle å ha en plan B, en exit-strategi fra amerikanske skytjenester. Det er lettere sagt enn gjort, mener blant annet Trondheim kommunes IT-sjef, Bjørn Villa.

Digi har sendt de fem statlige IT-aktørene med størst IT-budsjetter – Nav, Skatteetaten, Politiet, Forsvaret og Statens vegvesen – en e-post og spurt hvordan de ville taklet det hvis de amerikanske skyløsningene falt bort.

Vi har også spurt Datatilsynet hva deres egen exit-strategi er.

Få alternative løsninger

− I likhet med veldig mange virksomheter er amerikanskeide skytjenester sentrale i Navs teknologiportefølje, skriver Reisæter.

Nav bruker Google Cloud Platform og tjenester som Hotjar, Microsoft og Salesforce. Fagsystemer som kjører i skyen, kan raskt flyttes over til andre leverandører ved behov, mener etaten.

De planene har Nav klare, og etaten har allerede kopi av alle nødvendige data. De gjør også jevnlige vurderinger av exit-planene, forteller Reisæter:

− Målet er å ikke være bundet til leverandører, uavhengig av hvem som eier dem.

Men å hoppe av amerikansk kontorstøtte er vanskelig.

− Det finnes i dag få gode alternativer til Microsofts kontorstøttesystemer som ikke er amerikanskeide. Det er de amerikanskeide skyleverandørene som leverer de mest omfattende plattformtjenestene, og de har ikke direkte konkurrenter i Europa, skriver Reisæter og fortsetter:

− Dersom det blir mer aktuelt, vil Nav være en av veldig, veldig mange som måtte se etter alternative løsninger.

Drifter selv

Flere av de store etatene har sørget for å ha full kontroll over egne kjernesystemer.

Statens vegvesen har i all hovedsak sine løsninger etablert på egen infrastruktur og har i svært liten grad flyttet eller etablert sine virksomhetskritiske løsninger i ekstern sky hos Microsoft, Google eller AWS, forteller etaten i en e-post. De har ikke lagt planer for exit per i dag, skriver de.

Forsvaret har også utstrakt bruk av egen infrastruktur.

− Det aller meste av Forsvarets IKT er eid og drevet av Forsvaret selv, og de vesentlige kapabilitetene til Forsvaret er etablert på egne, graderte plattformer, skriver oberstløytnant Stine Barclay Gaasland i kommunikasjonsenheten i Forsvarsstaben i en e-post til Digi.

Også politiet drifter selv.

− Politiet har vært tilbakeholdne med å flytte fra on-premløsninger til sky. Vi benytter derfor i dag Microsoft 365 i svært begrenset grad, men jobber med å utvide bruken. Utvidelsen kommer med en del problemstillinger og spørsmål som vi ikke i tilsvarende grad ville hatt for en liten tid tilbake, skriver plattformdirektør Erlend Wiig i Politiets IT-enhet.

Selv om politiet drifter fra egne datasentre, er det viktige avhengigheter til amerikanske leverandører som ved bortfall vil kunne føre til store konsekvenser med tanke på brukeradministrasjon, brukervennlighet og innovasjonsmuligheter, forklarer han videre.

– Kan bli uavhengige på sikt

Skatteetaten opplyser at deres kritiske systemer som berører borgere og næringsliv behandles gjennom løsninger og infrastruktur i Norge.

– Alle våre data om innbyggere og næringsliv lagres i Norge og Europa, men vi trenger allikevel et rettslig overføringsgrunnlag når leverandøren er amerikansk, skriver etaten i en e-post.

Skatteetaten bruker i dag både Microsoft Azure og Microsoft 365. På spørsmål om avhengighet svarer etaten at de er avhengige av en profesjonell skyleverandør som kan levere moderne og stabile tjenester til både drift og utvikling.

Dersom amerikanske leverandører skulle bli utilgjengelige, erkjenner Skatteetaten at «det ville kreve et større arbeid å gjennomføre en ny anskaffelse og overgang til andre leverandører».

– Vi oppdaterer våre planer. Det betyr at på sikt, om nødvendig, vil vi kunne gjøre oss uavhengig av amerikanske skyleverandører, skriver etaten.

Fordeler «eggene»

Politiet har ingen formell beslutning om å bli mindre avhengige av amerikanske leverandører. Likevel vurderer de hele veien egen systemportefølje opp mot økonomi, sikkerhet og personvern.

− Vi kommer til å jobbe mer konkret med å få opp andelen av politiets løsninger som har en exit-strategi, sier han.

Strategien er å velge ikke-proprietære løsninger i så stor grad som mulig, og å velge et større antall leverandører i stedet for å velge alt fra en stor aktør.

− Vi ønsker ikke å legge alle egg i én kurv, sier Wiig.

Som politiet bruker både Statens vegvesen og Forsvaret kontorstøtte-verktøy fra Microsoft.

− Forsvaret har mulighet til å endre leveranseform dersom forholdene skulle tilsi det, sier Gaasland uten å utdype hvor krevende det i så fall vil være.

Forsvaret har likevel et omfattende planverk for denne typen forutsette og uforutsette hendelser, forteller hun.

Overfører ikke til USA

Datatilsynet vil ikke gå ut med hvilke konkrete tjenester de bruker, men seksjonssjef Tobias Judin opplyser at de har innrettet seg slik at løsningen deres ikke overfører personopplysninger til USA – ikke engang i supporttilfeller.

– Dette var helt sentralt for oss da vi gjorde anskaffelsen. Vi bruker heller ikke Microsoft 365. For øvrig sier avtalen med leverandøren vår at de må flytte oss over på annen infrastruktur dersom det skulle oppstå endringer som gjør det nødvendig, skriver han i en e-post.

Han har likevel forståelse for at en exit kan komme med utfordringer:

– For flere av de store offentlige organene vil det nok være krevende på kort sikt, for det er rett og slett ikke alle løsninger det er like lett å finne gode alternativer til. Når man gjør store skyanskaffelser, må man ha et veldig langsiktig perspektiv.

Ifølge Judin ser Datatilsynet nå at mange i Europa har begynt å kartlegge alternativer.

– For eksempel er det flere som anbefaler nettsiden european-alternatives.eu, som lister opp europeiske tjenester.