– En utfordring, sier MPS om skyleverandører fra USA

Markedsplassen for skytjenester (MPS) inngikk i september en stor innkjøpsavtale for statlige virksomheter. De som signerte var leverandører av skyløsningene til de amerikanske gigantene Google, Oracle, Amazon og IBM.

Ifølge den amerikanske loven US Cloud Act, innført i Joe Bidens siste periode som president i USA, har amerikanske myndigheter rett på tilgang til data hos amerikanske skyleverandører, uansett hvor de ligger i verden. Hvis de ber om det.

Dette kan være en utfordring for offentlige virksomheter i Norge, som MPS har forhandlet på vegne av, når de måtte trenge total kontroll og suverenitet over egne data og prosesser.

– Dette er en utfordring, sier direktør for MPS, Sverre Stoltz i et intervju med Computerworld, og legger til:

– Amerikanske skytjenester har svært god ekstern sikkerhet og beskytter seg mot de samme truslene som vi ønsker å beskytte oss mot. Samtidig innebærer det en risiko å bruke slike tjenester.

Risiko

Han peker samtidig på at å drifte selv også innebærer betydelig risiko, om man ikke oppdaterer sikkerhetsprotokoller, og på den måten eksponerer seg for alvorlige angrep.

– Det er også en iboende risiko ved å benytte enhver tjenesteutsatt plattform i utlandet, fordi man ikke har full kontroll, sier MSP-sjefen.

– Samtidig ser vi at mange av de tiltakene som reduserer geopolitisk risiko, også er relevante for å redusere konsentrasjonsrisiko, legger han til.

Med konsentrasjonsrisiko mener han at mange virksomheter holder seg i et fellesskap med et fåtall leverandører.

– I Norge er konsentrasjonsrisikoen svært høy. Vi har ikke bare inngått store avtaler med amerikanske leverandører, men i mange tilfeller konsentrert oss om én leverandør. Dette skaper en situasjon hvor det er vanskelig og kostbart å bytte, både kompetansemessig og økonomisk.

– Resultatet er at vi blir sittende fast hos én aktør, noe vi vurderer som uheldig og som vi må arbeide for å endre, sier Stoltz.

Flere leverandører

Han viser til det som går under navnet CIPS-avtalene. CIPS i denne sammenhengen står for «Cloud infrastructure and platform services», og er avtalene med de store amerikanske selskapene nevnt helt først i teksten.

Og det er i seg selv et poeng at det er flere leverandører.

– Vårt bidrag har blant annet vært CIPS-avtalene med flere leverandører. I tillegg arbeider vi med veiledning, foredrag og kunnskapsdeling, hvor vi tydelig løfter frem utfordringen med et lite og til dels dysfunksjonelt marked, preget av høy konsentrasjonsrisiko. Dette er noe vi må jobbe systematisk med for å redusere, understreker Stoltz.

Nordisk-Baltisk

Det helt nye denne uken, er at MPS annonserte et samarbeid på tvers av landegrenser i Norden og Baltikum slik at anskaffelsesprosjekter kan gå over flere land. Målet med prosjektet «Nordic-Baltic Cloud Connect», som er finansiert av Nordisk Ministerråd, er nettopp å etablere operative skyavtaler og legge til rette for tettere samarbeid på tvers av de nordiske og baltiske landene.

Prosjektet er planlagt å vare frem til andre halvår 2027.

– Er prosjektet også et forsøk på å samle seg for å finne europeiske skyleverandører for offentlig sektor?

– Vi har ikke fastsatt et endelig «scope» for prosjektet. Det er lite sannsynlig at vi går tungt inn i infrastruktur- og plattformområdet, men det kan ikke utelukkes.

Flere europeiske

– Når det gjelder amerikanske leverandører, var det kanskje noe uheldig at de to største avtalene ble inngått med fire amerikanske aktører. Samtidig har vi totalt tolv leverandører, og fordelingen er omtrent 50-50, understreker Stoltz.

– Det er en svak overvekt av amerikanske aktører, men vi har også norske og svenske leverandører, og vi mottar tilbud fra flere europeiske land, som Frankrike, Spania, Sverige, Finland og Norge. Det er altså ikke mangel på europeiske skyleverandører, og vi tildeler også kontrakter til disse, avslutter han.