(En Anbud365-kommentar) Offentlige innkjøpere kan lett komme til å stå overfor enda et krav som skal ivaretas i mange, kanskje alle, anskaffelser: IKT-sikkerhet. Forslaget kommer fra et utvalg som har sett på den nasjonale IKT-sikkerheten. Teknologiske løsninger florerer og blir hyppigere og hyppigere. Enklere hverdag, mer effektivitet og penger spart gjør at det å ta i bruk IKT på stadig flere samfunnsområder, ikke minst i regi av det offentlige, hylles. Men, i en verden som ikke er feilfri og med ikke bare gode mennesker og stater: har vi glemt noe underveis? Å være sikker på at teknologien vi hyller, er trygg nok?
I starten av det nye året og helt på tampen av det gamle har vi hatt artikler med tema IKT-sikkerhet. Den ene, publisert denne uken, tar for seg hva et statlig utvalg mener om bruk av offentlige anskaffelser som verktøy for å sikre nasjonal IKT-sikkerhet. Det må stilles krav om IKT-sikkerhet ved alle offentlige anskaffelser, og anskaffelsesregelverket bør endres slik at oppdragsgiveren får en slik plikt, heter det i utvalgets utredning.
Fem dager før julaften brakte vi så nyheten om at energiselskapene ønsker seg et nasjonalt samarbeid i arbeidet med IKT-anskaffelser og tjenesteutsetting. De synes det er vanskelig å stille gode nok krav til leverandørene på egenhånd.
Vi digitaliseres
Ved hjelp av teknologi digitaliseres vi. Det åpner for effektivisering. Mye blir enklere og lettere. Ikke minst gjelder det selve anskaffelsesarbeidet, der det ikke minst blir mulig å skaffe seg bedre og sikrere oversikt over hva man egentlig driver med.
Men det er to forhold å være oppmerksom på. En rivende utvikling av teknologien på alle områder gjør at ambisjonene vi har, kan utfordre leverandører til å strekke seg helt ut i randsonen av sin kompetanse for å levere. Mange IKT-prosjekter har hatt forbilledlige målsettinger, men veien frem for å oppfylle disse har tidvis vært tornefullt – for å si det mildt og vennlig på denne en av de første dagene i et nytt og uplettet år.
Personvern
Og de av slike prosjekter som er kommet i mål, tilfredsstiller de nødvendige sikkerhetskrav? Eller er eldre teknologi mer utsatt for uønskede hendelser enn nyere? Spørsmålet bør reises overalt hvor teknologi er i bruk, dvs. overalt, i praksis.
Når det gjelder IKT-sikkerhet har mye av debatten vært konsentrert om personvern. Ved å oppgi personlige opplysninger til betrodde f.eks. i helsevesenet, er det med en viss ro – slikt skal bidra til gunst for helsen. Få blir engstelige, selv om det faktisk kan være grunn for det, ved tanken på at dette kanskje er opplysninger som uvedkommende kan komme over. Selvsagt er det nulltoleranse her. Personopplysninger skal være trygt vernet. Er vi sikre på at alle – nye som gamle – systemer holder mål? Svaret blir lett et ja, men kan svaret dokumenteres med 100% sikkerhet?
Krav til leverandørene
Noen hendelser har bidratt til at alle som steller med personopplysninger er blitt enda mer årvåkne. Spesielt utfordrende er det selvsagt dersom deler av IKT-tjenestene er konkurranseutsatt. Leverandørene skal da også ha systemer og etikk som holder mål, og hvordan skal man kunne stille de rette krav for å sikre det? Og hvordan følges dette opp? Kontraktsoppfølging er som kjent en akilleshæl i offentlige anskaffelser. Vi tror at alle som steller med personopplysninger i dette arbeidet strekker seg til det aller ytterste av sin kompetanse for å hindre glipper.
Men energiselskapene føler seg ikke trygge på at hver enkelt av dem stiller gode nok krav til hva leverandøren leverer og følger opp – både når det gjelder den fysiske utrustning som er satt opp og de tjenestene som følger med. I tillegg kommer leverandørens egne, interne systemer og oppfølgingsrutiner. Energiselskapene er selvfølgelig opptatt av sikker energitilførsel, men de er også et mål for de i verden som av en eller annen grunn ønsker menneskeheten ondt. Krigføring slik vi leser om i historiebøkene har jo fått en ekstra dimensjon gjennom de mulighetene som teknologien gir.
Nasjonal IKT-sikkerhet
Derfor har da også regjeringen hatt i gang en utredning til å vurdere organisering og regulering av nasjonal IKT-sikkerhet. Utvalget bak utredningen ble ledet av Hans Christian Holte, nå skattedirektør, tidligere Difi-direktør. Blant tiltakene de tar til orde for, er altså at det bør stilles krav om IKT-sikkerhet ved alle offentlige anskaffelser. I tillegg altså at anskaffelsesregelverket bør endres slik at oppdragsgiveren får en slik plikt.
Holte-utvalget skriver alle anskaffelser, ikke bare IKT-anskaffelser. Det forteller hvor viktig og sentral teknologi er blitt i all vår gjøren og laden. En gang var det et slagord som het at uten lastebilen stopper Norge. Nå kan vi trygt si at slagordet bør utvides med teknologi.
Hvordan innkjøperne skal kunne stille de rette kravene, og hvilke disse er, er en annen sak.
Det digitaliseres – men hvor sårbare blir man med strømbrudd i mer enn 1 time for alt som skal fungere i offentlig og privat sektor.
Hvilke nødstrømsalternativer er det mulig å bruke når fossilt brennstoff ikke skal brukes?