Skybrudd

De som ytrer påstanden er opplagt inne på noe, ikke tvil om det. Den offentlige nettskyen er ikke sikker nok. (Private skyer kan godt være det.) Det er nok av eksempler på hacking og datatyveri fra eksterne datasentraler og servere. Men det har også vært mange eksempler på hacking og datatyveri fra interne datasentraler og servere. Ingen løsning er 100 prosent sikker, men vi kan ikke la analysen stoppe med en sånn selvfølgelighet.

Det er dette med å ha to tanker i hodet samtidig. For noen applikasjoner og datatyper er nettskyen sikker nok og fordelene store. For andre er det ikke. For å skille snørr og barter bør det gjennomføres en kort, men anstendig risikoanalyse etter klassisk mønster istedenfor å hoppe rett på en innlært konklusjon. Analysen kan deles i fem trinn.

Første trinn er som vanlig: Hva er det vi ønsker å oppnå? Hvilke gevinster er vi ute etter? Hvis vi ikke kan peke på konkrete, potensielle gevinster som nettskyen vil gi, kan resten av analysen like godt sløyfes.

Trinn 2 er å etablere konteksten og forstå truslene. Hvilke data tenker vi å plassere i nettskyen? Når vi vet hva vi snakker om kan vi spørre: Hva er det vi er redd for? At data går tapt og ikke lar seg gjenskape? At noen bryter seg inn og stjeler (leser, kopierer) våre data? At data ikke er tilgjengelig raskt nok når det er behov for dem? At vi bryter lovreguleringer for vedkommende datatyper?

Trinn 2 blir først meningsfylt hvis de potensielle nettsky-løsninger blir kontrastert med dagens virkelighet. Hvordan beskytter vi oss i dag mot at data går tapt eller blir stjålet? Interne tyver og kikkere kan være like farlige som de eksterne. Også de kan stjele og selge informasjon. Har vi opplevd ubehagelige incidenter? Er dagens servicenivå godt nok? Respekteres lovereguleringene fullt ut? Det er åpenbart at en ny løsning ikke må være dårligere enn den som skal erstattes.

Helsesektoren har ofte vært trukket frem som eksempel fordi sårbarheten der er ekstra stor. Å legge pasientdata inn i store, sentrale databaser kan åpne for hacking og datatyveri en gros. Å beholde papirarkivene skaper på sin side opplagte muligheter for snoking og at journaler blir borte eller havner på dynga. Begge alternativer er egnet for forsiden i VG.

Trinn 3: Når vi har konteksten klar og forventningene uttalt kan vi gå i gang med å anslå risikoelementene og vurdere måter for å redusere dem. Et anslag er noe annet enn en revisjon. Det sentrale perspektivet her skal være at ikke all risiko lar seg eliminere. Å gjøre noe fremfor å sitte stille innebærer alltid en viss risiko. Spørsmålet er hvor mye risiko vi er villig til å leve med. Det er en forretningsmessig bedømning der omdømmerisiko vanligvis teller tungt.

Trinn 4 er å velge ut potensielle skyleverandører å diskutere sikkerhetsløsninger med. Ikke bare sikkerhet vil være tema for diskusjoner, men dét også. De fleste kunder er opptatt av to ting når de tenker nettsky – pris og time-to-market. Glemmer de å ta hensyn til risikobilde og tjenestekvalitet, gjør de en dårlig jobb.

Det er vanlig at beslutningsfatterne får presentert sammenligninger av pris og funksjonalitet, men det er ikke nok. Risikovurderingene må stå sentralt, ledelsen bør akseptere og føle ansvar for hva de beslutter.

Og da er det bare ett trinn igjen, det viktigste. Vurderingene som er gjort må settes ut i livet og følges opp i praksis. Sikkerhetsnivået må måles, praktiske tiltak og teknisk overvåkning (monitorering) må settes i verk. Et vanlig problem med skyløsninger er svak eller tilfeldig autentisering av brukere og autorisering av tilgang – passord som blir stjålet og misbrukt. Slike ting kan og skal man gjøre noe med. Det er snakk om løpende aktiviteter, ikke skippertak.

Det kan også tenkes at man har valgt feil leverandør. Shit happens. Derfor bør man planlegge og kontraktsfeste en exit-strategi under forhandlingene. For å være sikker på at nødutgangen ikke blir sperret av tilfeldige grunner bør man trene på exit fra skyen en gang i året. På samme måte som at man bør trene på å ta i bruk katastrofeløsningene for interne datasentraler. Det er det ikke alle som gjør.

hidas@online.no