Tre tiltak til bedre digital beredskap – i nasjonal interesse
av Stig Alstedt, Teknologidirektør HPE
Arendalsuka
Arendalsuka har blitt en arena for utveksling av store ideer. Her har samfunnsaktører fra mange områder en mulighet til å uttrykke de litt lengre resonnementene som ikke alltid får oppmerksomhet i en nyhetshverdag preget av kjappe soundbites. Men jeg hadde ikke vært der mange minuttene før jeg skjønte at årets arrangement nærmest skulle defineres av begrepet bærekraft. Temaet Klima/Miljø hadde ikke mindre enn 233 innlegg, og 20 av disse brukte til og med ordet bærekraft i tittelen. Jeg lærte blant annet at jeg ikke bør spise asparges til alle måltider, da den fraktes fra Peru.
Det eneste som muligens kunne konkurrere med begrepet bærekraft om oppmerksomheten, var digitalisering.
Dog var det ikke mange av Arendalukas 1261 arrangementer som så ut til å være nevneverdig opptatt av å se disse to begrepene i en sammenheng. Hvor bærekraftige vil vi være når samfunnet er fulldigitalisert? Hvilke nye sårbarheter eksponerer vi oss for i et slikt samfunn -ikke minst hvis en vesentlig del av IT-produksjonen skjer utenfor Norges grenser?
Skytjenester har kommet for å bli
Det er ingen tvil om at skytjenester har kommet for å bli, og at mulighetene og effektiviteten som ligger i deres utnyttelse er store. Dette har bidratt til at digitaliseringen skyter fart og nå omfatter nær sagt alle bransjer. Samtidig er refleksjoner rundt hvor skytjenestene faktisk produseres nærmest fraværende.
Hvilke nye sårbarheter eksponerer vi oss for i et slikt samfunn – ikke minst hvis en vesentlig del av IT-produksjonen skjer utenfor Norges grenser?
Som seg hør og bør er de fleste politiske miljøer og forvaltningen opptatt av nasjonens sikkerhet og kriseberedskap. Ofte betyr dette at det gjøres vurderinger på hvordan man skal sikre tilgang på viktige varer som ikke produseres i Norge, da det kan oppstå knapphet i en krisesituasjon. Særlig på matvaresiden har det lenge vært et uttrykt mål at minst halvparten at maten som konsumeres i Norge skal være produsert innenriks.
Jeg mener det er på høy tid at den samme vurderingen også gjøres i forhold til hvorfra man anskaffer skytjenester. I kriseberedskapens navn ønsker jeg å slå et slag for kortreiste data.
Kortreiste data
Vi har etter hvert forstått at det er viktig å gjøre sikkerhetsvurderinger av applikasjoner, tilganger, brukere og klienter, men en realistisk sikkerhetsvurdering må også omfatte produksjonsmidlene. Å la seg begeistre over at «det spiller ingen rolle, vi kjører i skyen», er faktisk et feilgrep. Fra et sårbarhetsperspektiv er det ikke likegyldig om produksjonen skjer i London eller Lørenskog.
Hvis brorparten av samfunnets digitale tjenester produseres utenfor Norges grenser vil nasjonen raskt bryte fullstendig sammen hvis de opphører. Det er ikke vanskelig å forestille seg hvor raskt kaos oppstår hvis så å si all elektronisk produksjon og kommunikasjon er utilgjengelig.
For å få dette bekreftet kan man søke råd fra nær sagt enhver tenåring, som med den største selvfølgelighet vil hevde at tilgang til internett er viktigere enn mat (enda viktigere enn dette igjen er strøm på mobilbatteriet). Det vet alle som har prøvd å få med seg en tenåring på en hytte uten mobildekning. En 15-åring greier seg uten mat i dagevis, men kun timer uten internett.
Utenlandsk avhengighet
To forhold gjør seg særlig gjeldende. Faktum er at nesten all data- og teletrafikk ut og inn av Norge går fysisk via Sverige (Nkoms rapport fra desember 2016).
I praksis betyr det at den norske trafikken er underlagt svensk jurisdiksjon. Man kan knapt tenke seg en bedre nabo enn Sverige. Likevel skal man huske på at de fortsatt kun er en nabo, og de vil tenke på seg selv hvis problemer oppstår i deres infrastruktur eller forholdet mellom våre land.
Videre er verdens to største produsenter av skytjenester USA og Storbritannia. Det er altså disse to landene som leverer det meste av det som kjøpes, og det er de som kontrollerer den fysiske infrastrukturen som faktisk produserer tjenestene.
Det er vel nesten unødvendig å påpeke at begge disse to landene har utvist økende politisk uforutsigbarhet mot sine naboer, allierte og samarbeidspartnere de siste årene. Kan vi stole på at vi får vår del av produksjonen under en krisesituasjon utløst av politikk, terror, naturkatastrofer eller andre ting?
Med bakgrunn i dette ønsker jeg å slå et slag for kortreiste data og digital kriseberedskap -i nasjonens interesse.
Hva bør vi gjøre?
Det er i alle fall tre områder som bør adresseres.
- Først og fremst kreves politisk forståelse. Det kan virke enkelt og behagelig å sette ut sine data og sin sikkerhet til en utenlandsbasert skyaktør, men det er viktig å forstå hvilke konsekvenser det kan ha for samfunnet. Etter hvert er digital produksjon like viktig som den fysiske, og da må den også håndteres som det fra et sikkerhets- og beredskapsperspektiv.
- De globale IT-aktørene etablerer seg i Norden. Amazon, Apple, Google, Facebook og Microsoft har funnet hjem for sine datasentre i nordiske land, men med unntak av en mindre satsning fra sistnevnte har ingen av dem slått seg ned i Norge. Med bedre tilrettelegging (ref pkt 1)) kan også Norge være vertskap for en større grunnkapasitet som gjør at mer produksjon kan gjøres her til lands.
- Vi trenger ytterligere redundans i våre kommunikasjonsveier med omverdenen. At nesten all vår utenlandstrafikk rutes til Oslo gjennom Sverige og til København for videre distribusjon er en åpenbar svakhet i infrastrukturen. Norge trenger flere alternative føringer for å ha flere ben å stå på skulle noe uforutsett oppstå.
Inntil disse tingene kommer på plass, er det slett ikke dumt å gjøre en ekstra vurdering ved neste korsvei: kan denne tjenesten organiseres på en måte som gjør oss mindre sårbare for eksterne hendelser og påvirkning? Finnes en lokal eller norskbasert tilbyder?
Fordi kortreiste data er en god idé. I et land som vårt er det viktig at ikke nettene blir lange.