Han hjelper offentlig sektor opp i skyen: Ikke et mål å komme seg vekk fra USA
Stadig flere vil bort fra amerikanske tjenester. Men det er ikke så lett i praksis, mener Sverre Stoltz i statens markedsplass for skytjenester.
– Det er en risikabel manøver å lage noe som ikke er avhengig av noen, sier Sverre Stoltz til kode24.
Han er programdirektør for Markedsplassen for skytjenester, Direktoratet for forvaltning og økonomistyring (DFØ).
De siste ukene har det kommet stadige nyheter om private og offentlige virksomheter som vil droppe amerikanske tekgiganter på grunn av Trump.
Men veldig få har faktisk gjennomført det, ifølge Stoltz.
Få flytter faktisk på seg
– Ser du en tendens til at folk vil flytte serverne sine til Norge?
– Det virker ikke som at man kan finne et tall på at såkalt repatriering er i ferd med å skje, sier han.
Han har sett på tall fra internasjonale analyseselskap og tolker det slik at situasjonen bare har ført til at folk går i langsommere ut i skyen.
– Men det som allerede er der, virker det ikke som at man flytter rundt på ennå, ikke til Norge eller andre steder. Det er i alle fall tallenes tale, sier Sverre Stoltz.
Amerikanerne best på kvalitet
28. januar var han en av bidragsyterne under frokostmøtet om digital suverenitet på Personverndagen.
Der uttalte han at det ikke er umulig, men risikabelt å lage «brede og avanserte skybaserte infrastruktur- og plattformtjenester» uten amerikanske leverandører.
Han pekte på amerikanske leverandører vil vinne dersom man har høye krav til kvalitet, sikkerhet og økonomi.
– Justerer vi ned, vinner kinesiske leverandører. Justerer vi ytterligere ned, vil europeiske finne sin plass, men da har løsningen blitt veldig annerledes, uttalte Stoltz.
Sikrer seg ved kontroll og backup
Til kode24 utdyper han:
– Jeg hører ikke med til de som synes at det å komme seg vekk fra amerikanske tjenester er et mål, men jeg synes at digital suverenitet er et mål, sier Stoltz.
– Men for å få digital suverenitet, må vi forholde oss til amerikanske produkter?
– Det vil jeg påstå. Det er nesten ikke noe av sky og programvare som lages utenfor USA. Vi oppnår høyest mulig digital suverenitet ved å vite hvilken risikoprofil en virksomhet har og hvilke data det er snakk om.
Ulik grad av skybehov
– Men blir vi ikke da sårbare for Trumps påfunn?
– Ikke nødvendigvis. La oss si at noen skulle velge å skru av en løsning. Dersom vi har god kontroll og backup på systemet, da er vi mye mindre sårbare. Og da er det ikke noen vits i å true med å skru av noe, fordi det ikke vil ha ønsket effekt, sier Stoltz.
– Vil du si til utviklere at det er trygt å bruke amerikanske tjenester til å lagre data og kjøre tjenester?
– Generelt sett absolutt ja, men ikke til alt. Noe data skal i graderte plattformer med sikkerhetsklarert personell og det hele, andre ting kan du kjøre kommersielt. Og noe bør du ikke ha i skyen av andre grunner, sier Stoltz.
Peker på Norden framover
Samtidig jobber DFØ med å lete etter gode norske, nordiske og europeiske alternativer til amerikanske skytjenester.
– Jeg har, etter å ha brukt over et år på å tenke og analysere, havnet på at det er i Norden vi har best sjanse til å gjøre to ting, sier han, og lister opp i kronologisk rekkefølge:
- Å få kontroll på helt grunnleggende vilkår og bruke amerikanske leverandører på en mer fornuftig måte.
- Legge grunnlaget for noe helt nordisk.
– Vi må utvikle kunnskapsmiljøer i Norge, Norden og Europa, så det ikke bare styres fra USA, sier Stoltz.
– Fint å rydde
Han påpeker at steg én ligner infrastruktur- og plattformkontrakten DFØ inngikk med amerikanske leverandører i fjor (se faktaboks over), på vegner av norske offentlige organisasjoner.
– Vi var klar over at den med stor sannsynlighet ville havne hos amerikanske leverandører, men det var fint å rydde i det som kanskje er den største biten av puslespillet, sier han.
Neste steg er å se på smalere og mer målretta løsninger. Da har Stoltz trua på at det fins gode europeiske eller nordiske leverandører.
Noen norske avtaler
Allerede har DFØ gitt kontrakter til norske selskaper som går på andre ting enn infrastruktur.
Disse går på opplæring og bevisstgjøring rundt informasjonssikkerhet hos ansatte, måling av informasjonssikkerhet på internett, eller å håndtere en databehandleravtale.
– Vi har ingen plan om å bare tildele til amerikanske skyprodusenter, altså.
Samtidig stiller han krav til både funksjonalitet, økonomi og kvalitet, herunder informasjonssikkerhet og personvern, i løsningene.
Må fire på sikkerheten
Utfordringen med å bygge en nordisk eller europeisk sky, er at amerikanerne foreløpig dominerer med rundt 90 prosent av markedet, påpeker Stoltz.
Skal man forlate amerikanerne i dag, må man rett og slett fire på sikkerheten.
– Kineserne tror jeg har 5-7 prosent av markedet, og så er det igjen et par prosenter som verken er amerikanske eller kinesiske. Spørsmålet er om de klarer å betjene det vi trenger. Det kan de ikke ennå. Europeerne kommer langt bak.
– Nær teoretisk risiko
Da har han ikke tatt med programvare-utfordringen.
For hvilket operativsystem og hvilken visualiseringsteknologi skal man bruke om man kun vil ha europeiske leverandører?
– Det er veldig få operativsystemløsninger som er helt europeiske. Det øker risikoen voldsomt å flytte ut av verdens sikreste løsninger for å fjerne en nær teoretisk risiko, sier Stoltz.
Datatilsynet: Kan ikke si at det er trygt
Nylig uttalte Datatilsynets direktør, Line Coll, til kode24 at «det er knyttet risiko til bruk av amerikanske skytjenester som er både juridiske og geopolitiske».
Hun ville ikke svare ja på at det er trygt å bruke tjenestene, og pekte på at det det siste året har vært tilfeller der norske brukere har blitt utestengt.
Stoltz understreker overfor kode24 at han for enkelte typer løsninger «undrer seg over risikovilligheten mange utviser» når de har mange systemer og tjenester fra samme leverandør.
– Enkelte løsninger er absolutt problematiske med tanke på både personvern, driftsrisiko og kommersielle hensyn, sier han.
– Farlig med spinkel løsning
– Hvor sannsynlig er det at amerikanske tjenester kan stenge ute norske brukere, Stoltz?
– På infrastruktur og plattform-området mener jeg det er en teoretisk risiko for det. Og setter du bare opp en veldig spinkel løsning, tror jeg det kan være veldig farlig, sier han.
– Men hvis du setter opp en skytjeneste etter beste praksis-måten, med produksjonsted, høy tilgjengelighet, skybasert backup, ekstra lagring lokalt, hybride løsninger og kanskje til og med kundestyrte krypteringsnøkler, mister du jo ikke dataene dine hvis det skulle skje, sier han og legger til:
– Samtidig har løsningen høy sikkerhet. Og du kan jo også sette opp en reserveløsning som kan kjøres helt on-prem ved behov.
