Nasjonal strategi for bruk av skytenester

Se rapporten «Nasjonal strategi for bruk av skytenester» på PDF.

Utdrag fra rapporten:

Forord

Norske offentlege og private verksemder har i mange år brukt tenesteutsetting for å kunne fokusere på kjerneverksemda si og overlate for eksempel drift av IKT til andre. Dei siste åra har skytenester etablert seg som eit viktig alternativ for tenesteutsetting. Vi ser at stadig fleire tenester, både infrastrukturtenester og programvare, blir leverte som skytenester. Dette gjeld òg tenester retta mot offentleg sektor.

Så kan ein spørje seg kvifor vi treng ein eigen strategi for skytenester? Tenesteutsetting har vi jo drive med lenge? Men skytenester skil seg frå tradisjonell tenesteutsetting på viktige område som vi ser skaper utfordringar for verksemder som vurderer å ta i bruk slike tenester – og kanskje særleg for offentlege verksemder: Ein kan ikkje alltid vite nøyaktig kor infor-masjonen blir lagra eller behandla til kvar tid, og kontraktane ein bruker er ofte standard-kontraktar frå leverandøren. Mange verksemder er usikre på om det å bruke skytenester er trygt nok, og om regelverket tillèt at dei bruker slike tenester.

I åra som kjem må offentleg sektor bli meir kostnadseffektiv. Bruk av IKT og digitalisering av tenester er ein viktig del av dette. Men dei digitale tenestene og dei offentlege IKT-systema skal òg drivast kostnadseffektivt. I digitaliseringsrundskrivet for 2016, som gjeld alle verksemder i statleg sektor, har vi derfor tatt inn ei anbefaling om at offentlege verksemder skal vurdere skytenester som eit alternativ når dei skal skaffe IKT-tenester. I denne strategien legg vi fram fleire tiltak som skal gjere det enklare for både offentlege og private verksemder å gjennom-føre denne typen vurderingar.

Samtidig er det viktig for oss at offentlege verksemder driv IKT-en sin på ein sikker og for-svarleg måte. Ein sentral del av arbeidet med denne strategien har vore å vurdere regelverket, slik at det er tydeleg kva som er tillate og ikkje. I oppfølginga av strategien vil vi etablere ressursar som kan rettleie offentlege verksemder i viktige vurderingar ein må gjere om ein ønsker å kjøpe inn skytenester: verdivurdering av eigne data, informasjonstryggleik, risiko-vurderingar og oppfølging av kontraktar. Slike ressursar vil òg kunne ha overføringsverdi for næringslivet.

I løpet av arbeidsperioden har det vore gjennomført fleire samlingar med både statlege verksemder, kommunane og IKT-bransjen. Det har òg blitt etablert ei rådgivande gruppe med representantar frå stat, kommune og viktige aktørar innan personvern og tryggleik. KS har i same periode arbeidd med å sjå på bruk av skytenester i kommunane. Det har vore tett og god dialog med KS i denne prosessen. Eg vil gjerne takke alle dei involverte for viktige bidrag.

Jan Tore Sanner
Kommunal- og moderniseringsminister

Side 4:

1 Innleiing og samandrag

Framtidig vekst og velferd i Noreg er avhengig av at produktiviteten held fram med å vekse.1 Viktige faktorar for vekst er innovasjonsevne og nyetablering. Betre utnytting av teknologi er nødvendig for å møte behova for offentlege tenester i framtida. I privat sektor, og særleg i tenesteytande næringar, treng ein å bli flinkare til å ta i bruk ny teknologi for å sikre vidare produktivitetsvekst.

Innan offentleg sektor er det store variasjonar mellom verksemdene, med ulike behov og ulik risikoprofil, ulik økonomi og ulik tilgang på kompetanse. Det dei har til felles er eit ansvar for å velje dei mest hensiktsmessige og kostnadseffektive IKT-løysingane som dekker verksemda sine behov. Det same gjeld sjølvsagt for næringslivet.

Det offentlige har ei plikt til å drive mest mogleg kostnadseffektivt. Men dei har òg eit ansvar for å ta god vare på innbyggarane sine data og ta i vare innbyggarane sine interesser. Då er det viktig at dei, når dei skal velje IKT-løysingar, kan vurdere alle dei løysingane som er til-gjengelege – òg skytenester. Allmenne skytenester vil vere det rette for nokre verksemder, men ikkje for andre. Ofte kan den beste løysinga vere ein kombinasjon av fleire leveranse-modellar.

Når ein spør verksemder om kva som er motivasjonen deira for å vurdere skytenester, er vanlege svar «reduserte kostnadar» og «auka fleksibilitet». Men det er òg eit anna svar ein høyrer stadig oftare: «Det er slik løysingane blir leverte nå. Om vi vil ha nyaste versjon av dei systema vi ønsker å bruke, så må vi velje sky.» Om ein skal etablere ny verksemd eller nye tenester, kan bruk av skytenester redusere behovet for investeringar og slik redusere risikoen ved etableringa.

Men mange verksemder – både offentlege og private – synest det er vanskeleg å vite om det er lovleg å bruke skytenester. Eller om det er sikkert nok. Og er det eigentleg greitt å lagre personopplysningar i utlandet? Med denne strategien ønsker regjeringa å klare opp i slike spørsmål.

Mål med strategien

Hovudmålet med Nasjonal strategi for bruk av skytenester er å gi offentlege og private verk-semder større rom for handling når dei skal velje IKT-løysingar. Verksemdene skal – såframt det ikkje strid mot andre viktige omsyn – kunne velje å bruke skytenester der det vil gi best resultat og vere den mest kostnadseffektive løysinga.

Målet er at dette skal gi:
- meir kostnadseffektiv IKT
- auka merksemd på kjerneverksemda
- auka fleksibilitet
- betre tryggleik gjennom meir profesjonalisert og standardisert IKT
- lågare terskel for innovasjon og nyetablering
- redusert klimaavtrykk frå IKT-drift

1 NOU 2015:1 Produktivitet – grunnlag for vekst og velferd. Produktivitetskommisjonens første rapport

Side 8:

Eksempel: UNINETT – ein skymeklar for UH-sektoren

UNINETT er eigd av Kunnskapsdepartementet og leverer nett og nettenester for universi-tets- og høgskulesektoren (UH) i Noreg. I 2016 har departementet gitt UNINETT i oppdrag å etablere ei felles skyteneste for norske universitet og høgskular. Med utgangspunkt i dette vil UNINETT etablere ein skymeklarfunksjon der heile UH-sektoren kan finne sikre skytenester, blant anna kommersielle skytenester som er lagde til rette for sektoren.

UNINETT har allereie etablert programmet UH-sky i samarbeid med universiteta i Trondheim, Oslo, Bergen og Tromsø. Arbeidet med skymeklarfunksjonen vil vere ei vidareføring av dette.

UNINETT arbeider òg med skybaserte infrastrukturplattformer der dei vil gjere typiske datasenteroppgåver tilgjengelege frå skya. Nokre universitet samarbeider òg om å etablere ei sektorintern infrastrukturplattform i datasentera sine, slik at dei på sikt kan tilby infrastrukturtenester til andre i sektoren.

Kjelde: UNINETT

Side 10:

Eksempel: Moss kommune

Moss kommune har 32 000 innbyggarar og 2500 tilsette. Kommunen forvaltar ca 100 applikasjonar og har 8,2 årsverk på IKT.

Kommunen måtte skaffe mange fleire e-postlisensar då han skulle gi alle tilsette tilgang til e-post. Kommunen fann at Office 365 i nettskya kosta mykje mindre enn tilsvarande programvare installert lokalt. Kommunen har valt ei hybrid løysing der delar av system-porteføljen (blant anna arkiv) blir drifta lokalt, mens for eksempel kontorstøtte blir drifta i ei allmenn skyteneste (Microsoft Azure). Kommunen vurderte òg tradisjonell outsourcing, men kom til at dette ville bli mykje dyrare enn ei skyløysing, og òg dyrare enn å halde fram med lokal drift.
Kjelde: Moss kommune

Side 15:

Behandling av personopplysningar

Det er viktig å sjekke at den databehandlaravtalen som blir brukt tilfredsstiller krava i personopplysningslova. Når den nye personvernforordninga (sjå kapittel 3) har tredd i kraft, slik at det same regelverket gjeld for all behandling av personopplysningar om innbyggarar i EU/EØS-området, vil ein truleg sjå meir standardiserte avtalar frå leverandørindustrien.

Side 16:

Det digitale sårbarheitsutvalet

I juni 2014 sette regjeringa ned eit utval som skulle kartlegge den digitale sårbarheita i samfunnet (Lysne-utvalet). Utvalet overleverte utgreiinga si til justis- og beredskaps-ministeren 30. november 2015.

Om skytenester skriv utvalet blant anna:
- Ressurssterke tilbydarar av skytenester kan i mange tilfelle gi betre tryggleik enn det mange mindre verksemder kan greie sjølve. Dette vil sjølvsagt avhenge av tilbydaren. Det er brukaren av skytenesta som må vurdere om dei opplysningane han tenker å legge i skya er sårbare dersom dei kjem utanfor norsk jurisdiksjon, og vege konsekvensane og risikoen opp mot fordelane med skytenesta.
- Styresmaktene må ikkje gjere det vanskeleg å ta i bruk hensiktsmessig og kostnadseffektiv teknologi så lenge det finst løysingar som er trygge nok. Det er viktig at norsk lovgiving ikkje hindrar auka konkurransekraft.
- Arkivlova §9, som seier at arkiv ikkje kan førast ut av landet, blei til for over 20 år sidan, og tar ikkje omsyn til ei moderne teknologisk utvikling og nye behov.

Tilrådingar frå utvalet
Opplysningar kan delast inn i tre kategoriar:
1. informasjon som berre bør lagrast i Noreg
2. informasjon som kan lagrast i utlandet, men som ein må kunne ta heim om det blir særleg behov for det, og på bestemte vilkår
3. informasjon som kan lagrast i utlandet utan vilkår

Kategori 1 – informasjon som berre bør oppbevarast innanfor norsk territorium og jurisdiksjon, gjeld særleg for gradert informasjon. Utvalet meiner det er den enkelte sektoren som må vurdere kva informasjon som fell inn under dei ulike kategoriane. Samtidig peiker utvalet på at sektorane i mange tilfelle har vanskeleg for å koordinere seg på tvers, slik at det òg er bruk for krav og rettleiing på tvers av sektorane.
Utvalet meiner det er bruk for harmonisering av tilsynspraksisen på tvers av sektorar. Som ein del av dette arbeidet bør ein sjå nærare på korleis ein kan bruke tredjepartsrevisjonar.

Kjelde: NOU 2015: 13 Digital sårbarhet – sikkert samfunn

Merk at det i siste instans alltid er verksemda sjølv (den behandlingsansvarlege) som har ansvaret for at informasjon blir behandla forsvarleg. Dette ansvaret blir ikkje overført til leverandøren sjølv om ein har alle avtalar på plass. Med den nye personvernforordninga vil leverandøren (databehandlaren) òg ha eit ansvar, men det erstattar ikkje ansvaret til den behandlingsansvarlege.
Datatilsynet har laga ei sjekkliste med punkt verksemder må vurdere før dei tar i bruk skytenester som skal behandle personopplysningar.11 Sjekklista er basert på regelverket og beste praksis.

11 Datatilsynet: En veiledning i bruk av skytjenester

Side 17:

- Verksemda må gjere grundige risikovurderingar, inkludert analyse av risiko- og sårbarheit.
- Verksemda må inngå ein tilfredsstillande databehandlaravtale, i tråd med norsk regelverk. Det er den behandlingsansvarlege, det vil seie den enkelte verksemda, som har ansvar for at krava i loven er følgt. Det må komme klart fram kor data blir behandla, òg for underleverandørar.12 Avtalen kan ikkje innehalde noko om at leverandøren (databehandlar) kan bruke personopplysningar til eigne formål, for eksempel til å forbetre tenestene sine.
- Verksemda må revidere bruken av skytenester jamleg. Det vil seie at verksemda sjølv, eller ein tredjepart, gjer ein tryggingsrevisjon og sikrar at databehandlaravtalen er følgt. Dersom det er kontroll, må verksemda kunne legge revisjonsrapporten fram for Datatilsynet.
- Den behandlingsansvarlege må sørge for at overføring av data til andre land følger loven.
- Det må vere sikker kommunikasjon, og kommunikasjonen må vere kryptert. Ein må kryptere sensitive personopplysningar.
- Personopplysningar frå ulike kundar (behandlingsansvarlege) må vere skilt frå kvarandre hos skyleverandøren (databehandlar).
- Løysinga som blir brukt må vere tilstrekkeleg dokumentert, og verksemda må kunne legge fram dokumentasjon for kontroll.

[...]

Side 18:

Exit-kostnadar
Korleis får ein tak i eigne data hos leverandøren når kundeforholdet er avslutta – uavhengig av grunn? Korleis får ein flytta data til ein ny leverandør? Og kva skjer med data som oppstår som eit resultat av drifta, slik som bruksstatistikk? Som ved kjøp av anna programvare, er det viktig å passe på at ein ikkje endar opp med å vere låst til éin spesiell leverandør, eller at ein ikkje har kontroll over eigne data. Det er derfor viktig å sikre at ein kan få tak i opplysningane sine i eit format som ein kan bruke vidare. Det er verdt å merke seg at den nye personvernforord-ninga til EU inneheld krav om portabilitet. Dette gjeld for personopplysningar, men vil truleg i praksis få effekt for alle typar data.

Dei fleste verksemder vil ha nytte av å lagre data over tid, og det er derfor ikkje usannsynleg at ein vil flytte data mellom leverandørar. For det offentlege – som har arkivplikt – er det spesielt viktig å ta omsyn til bevaring for ettertida. Det er arkivskaparen sin plikt å sikre at alt arkiv-verdig materiale som er digitalt skapt blir fanga opp, og at det ikkje går tapt viss ein for eksem-pel bytter leverandør eller leverandøren går konkurs.

Side 21:

Særskilt om personopplysningar og teieplikt

Eit område der mange føler seg utrygge, men der regelverket i utgangspunktet ikkje legg spesielle hindringar i vegen for bruk av skytenester, er lagring av personopplysningar. Reguleringa av dette området gir likevel viktige rammer for bruken av allmenne skytenester.

Personopplysningslova fastset at personopplysningar «kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene», og ein kan derfor ikkje utan vidare overføre slike data til land utanfor EØS-området. Det finst likevel ein del unntak. Blant anna kan enkeltover-føringar godkjennast på førehand av Datatilsynet, og dersom det er inngått avtale med data-behandlaren gjennom standardkontraktane til EU, vil det vere lovleg grunnlag for overføring av data. I tillegg er enkelte land utanfor EU, som Canada, Australia og Sveits, godkjende av EU som trygge mottakarstatar. Tidlegare kunne ein òg overføre data til verksemder i USA som var sertifiserte etter Safe Harbour. Denne ordninga blei kjend ulovleg av EU-domstolen hausten 2015, men det er venta at ho blir erstatta av ei ny ordning – EU-US Privacy Shield (sjå tekstboks).

Etter at EU-domstolen kjende Safe Harbour-avgjerda til kommisjonen ugyldig, har ein vore nøydd til å ta spesielle omsyn når ein har inngått kontraktar som fører til at data blir overførte til USA. Fram til ei ny ordning er på plass, må ein bruke avtalar som dekker EU sine standard-kontraktar for personopplysningar, og ein må varsle Datatilsynet.

Mange verksemder er usikre på om dei må ta omsyn til Snowden-avsløringane når dei skal vurdere om dei kan bruke skytenester. Til tross for den debatten avsløringane til Edward Snowden har utløyst, er ikkje norsk lovgiving eller praksis når det gjeld behandling og lagring av personopplysningar, eller andre opplysningar som er underlagde teieplikt, endra. Ulike land kan sjølve gi reglar for korleis for eksempel tryggingsorgan får tilgang til data nasjonalt for å kjempe mot terror eller kriminalitet. Det skaper utfordringar når ulike land som driv utstrakt utveksling av data har ulikt syn på kva som er greitt og ikkje når det gjeld retten til å (forts. s. 22)

Side 22:

overvake data og kommunikasjon. Dette er ikkje noko det enkelte landet kan løyse på eiga hand; desse utfordringane må løysast på internasjonalt plan.

Ny personvernforordning i EU
EU har lenge arbeidd for å få på plass eit nytt regelverk for behandling av personopplysningar. I dag gjeld personverndirektivet innanfor EØS-området. Direktivet er implementert på ulike måtar i ulike land, og dette gjer det tungvint å tilpasse seg for verksemder som opererer i fleire ulike land, slik bedrifter som tilbyr skytenester gjerne gjer.

Ei personvernforordning vil, i motsetning til eit direktiv, automatisk bli lov i alle land innanfor EU, og det er sannsynleg at ho vil tatt inn i EØS-avtalen.
Landa i EU er nå einige om kva den nye forordninga skal innehalde. Dei områda av for-ordninga som er mest relevante for bruken av skytenester er:

- Tidligare var det den behandlingsansvarlege som hadde ansvaret dersom data gjekk tapt, uvedkommande fekk tilgang til data eller liknande. I den nye forordninga vil både behandlingsansvarleg og databehandlar få dette ansvaret. Det blir dermed eit større ansvar på skyleverandøren når denne er databehandlar.
- Det vil bli ein rett å kunne ta med seg data når ein vil skifte leverandør (krav til porta-blilitet). Denne retten gjeld i utgangspunktet forbrukarar, men når stadig fleire leverandørar må utvikle mekanismar for å handtere dette, er det truleg at det vil påverke forretningsmarknaden òg.
- Kundar – både forbrukarar og verksemder (og eventuelt verksemda sine kundar som er ramma) – skal bli varsla raskt etter datainnbrot eller ved tap av data.
- Data kan førast ut av EU dersom ein bruker dei ordningane som EU-kommisjonen har vedtatt.
- Forordninga gjeld for alle verksemder som er etablerte i EØS-området. Ho gjeld òg for verksemder som behandlar personopplysningar om EØS-borgarar som følge av at dei tilbyr varer og tenester i EØS-området, uavhengig av kor verksemdene er etablerte.
- Det vil bli viktigare for alle verksemder som forvaltar personopplysningar å overhalde regelverket. Dersom ein bryt reglane kan ein få gebyr på inntil 4 prosent av global årleg omsetting.

Forordninga vil truleg gjelde frå 2018.

EU-US Privacy Shield

EU-US Privacy Shield er eit rammeverk som skal beskytte rettane til EU-borgarar når data om dei blir overførte til verksemder i USA. Det nye rammeverket vil stille strenge krav til verksemdene om å beskytte personopplysningar. I tillegg er det krav til at amerikanske styresmakter må følgje opp og handheve rammeverket.

Det skal vere klare reglar for, og god kontroll med, når amerikanske styresmakter kan få tilgang til data som er overførte til USA innanfor det nye rammeverket. Dette var eitt av dei områda EU-domstolen meinte ikkje var varetatt under Safe Harbour.

Kjelde: European Commission press release: EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield, 2. februar 2016

Side 23:

Teieplikt

Etter forvaltningslova har «[e]nhver som utfører tjeneste eller arbeid for et forvaltningsorgan» teieplikt for opplysningar om personlege forhold og forretningsrelaterte opplysningar som det vil vere viktig å halde hemmeleg av konkurranseomsyn. Om ei offentleg verksemd inngår ein avtale med eit privat firma om å behandle eller lagre data, vil teieplikta òg gjelde dei i dette firmaet som eventuelt får kjennskap til informasjon som er omfatta av teieplikta. Dersom ein bruker leverandørar som igjen bruker underleverandørar, er det viktig å sikre at teieplikta er omfatta av dei avtalane som gjeld.

E-forvaltningsforskrifta seier at risikoen for ulovleg innsyn ved bruk av elektronisk kom-munikasjon må «være forebygget på tilfredsstillende måte». Forskrifta seier òg at «forvaltnings-organet skal opplyse generelt om hvordan taushetsbelagte opplysninger og personopplysninger sikres under behandling i forvaltningsorganet.» Dette gjeld ved bruk av IKT generelt, og er ikkje spesielt for bruk av skytenester.

Side 28:

Sektorvise vurderingar av informasjon
Offentleg informasjon kan delast inn i tre kategoriar:20
1. informasjon som berre bør lagrast i Noreg
2. informasjon som kan lagrast i utlandet, men som ein kan ta heim når det er særleg behov for det, og på bestemte vilkår
3. informasjon som kan lagrast i utlandet utan vilkår

Det er den enkelte sektoren som er best eigna til å vurdere kva for informasjon som fell inn under dei ulike kategoriane. Fleire sektorar er allereie i gang med å ta stilling til krav ved bruk av skytenester eller med å utarbeide rettleiarar for sektoren. Regjeringa vil be alle sektor-styresmakter om å sørge for å få utarbeidd ei vurdering av informasjonen i sektoren og korleis denne kan behandlast i nettskya.

For enkelte sektorar er det truleg personopplysningslova som avgjer kva kategori infor-masjonen fell inn under. Personopplysningar vil hamne i kategori 2 eller 3, så framt EU sine krav til overføring av personopplysningar til utlandet er tilfredsstilte. Datatilsynet har utarbeidd gode rettleiarar for lagring og behandling av personopplysningar i skya. For andre kan det vere eigne sektorregelverk som speler inn, slik som helseregisterlova eller bered-skapsforskrifta for kraftforsyninga. Slike sektorar må gjere eigne analysar baserte på eigen informasjon og eigne behov. I slike analysar må ein òg vurdere kva omstende som kan krevje at ein tar informasjonen heim, korleis dette er regulert i kontrakten med leverandøren, og korleis ein kan gjennomføre det i praksis.

20 NOU 2015:13 Digital sårbarhet – sikkert samfunn. Beskytte enkeltmennesker og samfunn i en digitalisert verden

Side 30:

Eksempel på standardar og sertifiseringar
ISO 27001:
ISO 27001:2013 spesifiserer eit styringssystem for informasjonstryggleik. Denne standarden ligg til grunn for dei fleste sertifiseringsordningar.

ISO 27018:
ISO 27018:2014 spesifiserer retningsliner for vern av personopplysningar i den allmenne skya etter at ein har gjennomført ei vurdering av personvernrisikoen. Det finst p.t. inga publisert standard for å gjere slike vurderingar.

SOC1, SOC2, SOC3:
Service Organization Control-rapportering. Rapportar utvikla av organisasjonen for sertifiserte amerikanske revisorar (AICPA). SOC1 rapporterer på finansielle data. SOC2 tar føre seg kontrollmekanismar som er meir spesifikke for datalagring og -behandling, slik som tryggleik, tilgjenge, behandlingsintegritet, konfidensialitet og personvern. SOC3 omfattar dei same elementa som SOC2, men er meir overordna og mindre teknisk.

FedRAMP:
Federal Risk and Authorization Management Program. Standardisert tilnærming til verifisering av tryggleik, autorisasjon og overvaking i sky-tenester som blir brukte av føderale byrå i USA.

UK G-Cloud:
Verksemder som ønsker å bli akkrediterte for eit høgre tryggingsnivå i Storbritannia sitt rammeverk, G-Cloud, kan søke om dette. Det er National Technical Authority for Information Assurance (CESG) som står for akkrediteringa.

MTCS:
Multi Tier Cloud Security. Frå Singapore. Open sertifiserings-ordning for skyleverandørar, basert på ISO 27001. Tre tryggingsnivå, Tier 1 til Tier 3, der Tier 3 oppfyller strenge krav til informasjonstryggleik. Sertifiseringa blir gjort av uavhengige sertifiseringsorgan som DNV-GL og British Standard Institute.

HIPAA:
The Health Assurance Portability and Accountability Act. Amerikansk lov som regulerer behandling av pasientinformasjon. Ein uavhengig tredjepart sjekkar om databehandlaren overheld krava i lova.

FISC:
Center for Financial Industry Information Systems. Frå Japan. Retningsliner for tryggleik i finansielle informasjonssystem.

PCI DSS:
Payment Card Industry Data Security Standards. Global sertifiserings-standard for organisasjonar som behandlar betalingskorttransaksjonar.

Se også saken på regjeringen.no.