DEBATT: Offentlig sektor må ikke henge etter på digital suverenitet

Datahåndtering er blitt viktig for både bedrifter og offentlig sektor. De siste årene er det kommet strengere regler for lagring av data og hvem som får tildelt ansvaret. Dette rammer alle virksomheter, men i offentlig sektor er det strengest.

Dette skyldes at det genereres mer informasjon som blir til data, som representerer økt innsikt om brukere og etter hvert som analyseverktøyene for datahåndtering utvikles, øker verdiene også. I USA ble industrien for skytjenester rystet, da Cloud Act ble hamret i gjennom i 2018. Loven betyr at USA-baserte skyleverandører er tvunget til å gi innsyn i dataene de lagrer, til amerikanske myndigheter, uavhengig av hvilket datasenter de lagret i. Derfor øker nå behovet for digital suverenitet.

Nå begynner vi å se tiltak på tvers av grensa i Sverige. I januar avsluttet Stockholm bruken av Microsoft 365 fordi de ikke kunne garantere at sensitive data var sikret.

Virksomheter trenger sikkerhet i at andre ikke kan skal utnytte og eie dataene deres. For myndigheter og offentlig sektor står mye på spill dersom andre stater tar eierskap til deres data. De håndterer svært sensitiv informasjon, og gjennom pandemien har det vært en dramatisk økning i bruk og lagring av data. For eksempel skjer sensitive møter og legebesøk i mye større grad digitalt, noe som øker kravene til tekniske løsninger.

I en undersøkelse fra IDC oppgir 63 prosent av beslutningstakerne i regulerte bransjer at det er svært viktig med skyløsninger som gir full kontroll og autoritet over data. 69 prosent av de spurte oppgir også at konfidensiell informasjon er ekstremt sårbar om den lagres i en kommersiell sky. Likevel bruker omtrent 50 prosent av alle undersøkte organisasjoner en kommersiell sky for konfidensielle data.

Økt etterspørsel etter suverenitet

De mange forskjellige reglene kan gjøre det vanskelig å navigere i skytjenestene. Derfor ser vi nå at markedet etterspør bedre tekniske løsninger med tydeligere åpenhet. I Norge stilles det strenge krav til både finansielle data, offentlig arkivdata og persondata. Flere datasentre bygges ut her til lands, og det er blitt tydelig at visse tjenester er best levert fra innsiden av landets grenser.

I Norge har Nasjonal kommunikasjonsmyndighet tatt til ordet for å innføre nasjonal autonomi i ekomnett, altså for mobiloperatører og transportnett. Prinsippet med nasjonal autonomi har vært nedfelt i ekomforskriften siden 2004, lenge før skytjenester kom og krever at tjenesteleverandører utfører både drift og vedlikehold av tekniske tjenester på norsk territorium. Men det har aldri trådt i kraft. Dette er det Kommunal og moderniseringsdepartementet som avgjør. I Stortingsmelding 28 fra 2020 nevnes suverenitet bare to ganger. Den understreker at skytjenester kan føre til at tredjepartsleverandører i økende grad vil bli en del av infrastrukturen og personell i økende grad kan bli desentralisert. Nok en gang her understrekes behovet. Senest i juni bekreftet Justis- og beredskapsdepartementet at de nå vurderer å etablere en nasjonal skyløsning.

Når det gjelder tekniske løsninger, har VMware blant annet lansert initiativet VMware Sovereign Cloud, som vi jobber med TietoEVRY om i Norden.Vi ser også at andre selskap som Sopra Steria og Atea har lignende ambisjoner. Initiativet har som mål å hjelpe myndigheter og regulerte kunder med å forene en skystrategi ved å slå dem sammen med riktig skyleverandør. Dette krever et dypere samarbeid med våre lokale partnere. Sammen jobber vi for at skyløsningene våre møter behovene for regeloverholdelse og nivået av digital suverenitet som markedet og offentlige virksomheter krever.

Nå ser vi virkelig hvordan GDPR, Cloud Act og Schrems-II påvirker globale og lokale virksomheter basert i Norden. Dette har ført til økt etterspørsel etter suverene skyløsninger fordi både private og offentlige organisasjoner ønsker å unngå en situasjon der dataene deres havner i usikkerhet eller i hendene på en fremmed makt. Dette krever en operativ strategi og retningslinjer som skaper digital suverenitet. Vi må jobbe sammen med våre lokale partnere og sørge for at behov og regulatoriske krav spesifikke for nordiske virksomheter blir oppfylt og etterlevd.