Difi-veiledning skal hjelpe med risiko og sikkerhet ved IKT-anskaffelser

Det er ikke er noe motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting, uttalte statsminister Erna Solberg i et svar på et skriftlig spørsmål fra Stortinget. Undersøkelser viser en klar tendens mot økt bruk av tjenesteutsetting av IKT-driften, og dette er i hovedsak en ønsket utvikling, konstaterte hun. Nå skal Difi lage en veiledning i IKT-anskaffelser med fokus på risiko og sikkerhet.

Det var stortingsrepresentant Kari Henriksen (A) som i et skriftlig spørsmål ville ha rede på status i departementene når det gjelder outsourcing av data. Bakgrunnen var den kritiske hendelsen med hensyn til outsourcing av IKT-tjenester i Helse-Sørøst for kort tid tilbake, med fare for at personsensitive data kunne bli lekket. Likeledes en liknende, alvorlig situasjon i Sverige.

I sitt svar understreket statsminister Erna Solberg at det viktigste tiltaket for å hindre at personsensitive data eller annen informasjon kommer på avveie, er det målrettede og systematiske arbeidet som gjøres med informasjonssikkerhet i hver enkelt virksomhet. Dette gjelder enten virksomheten utfører utvikling og drift av IKT selv, kjøper tjenester eller benytter ulike former for tjenesteutsetting (oursourcing).

Veiledning fra Difi

Hun opplyste at Difi hadde fått i oppdrag å tilby veiledning i IKT-anskaffelser med fokus på risiko og sikkerhet. Dette gjelder spesielt ved anskaffelse av skytjenester, en form for tjenesteutsetting som er i sterk vekst.

Det er opp til den enkelte virksomhet å organisere sitt IKT-arbeid på en hensiktsmessig måte, og tjenesteutsetting er vanlig i alle sektorer og i alle typer virksomheter. Kommunal- og moderniseringsdepartementet har tidligere gjennomført undersøkelser om organiseringen av IKT-drift i offentlig sektor, og disse viser en klar tendens mot økt bruk av tjenesteutsetting.

Bør ikke skjermes

– Dette er i hovedsak en ønsket utvikling, understreket statsministeren. Offentlig sektor bør i utgangspunktet ikke skjermes fra konkurranse fra private. Effektiv ressursbruk tilsier at en gitt tjeneste leveres av den mest effektive leverandøren, uavhengig av om den er privat eller offentlig.

Statsminister Solberg henviste til undersøkelser, som viser at virksomhetene som har satt ut sine IKT-tjenester, oftest benytter nasjonale leverandører. Lov om offentlige anskaffelser regulerer anskaffelser av varer og tjenester. I henhold til dette regelverket er det i utgangspunktet ikke tillatt å avgrense tjenestekontrakter mot leverandører innenfor EØS-området, med mindre det gjelder løsninger av betydning for rikets sikkerhet.

Ikke noe motsetningsforhold

– Jeg vil understreke at det ikke er noe motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting, poengterte hun i sitt svar. Det digitale sårbarhetsutvalget peker i sin rapport på at tjenesteutsetting (utvalget omtaler allmenne skytjenester spesielt) kan gi økt teknisk sikkerhet fordi leverandøren ofte har både bedre kompetanse og mer ressurser enn kunden. Jeg vil likevel understreke at det alltid er kunden – den offentlige virksomheten – som har ansvaret for at det stilles krav til informasjonssikkerhet og for å følge opp leverandøren etter at kontrakt er inngått.

Det viktigste vi kan gjøre for å forebygge uønskede hendelser innen offentlig IKT er ifølge statsministeren å fortsette det viktige arbeidet med forebyggende informasjonssikkerhet. Vi må hele tiden vurdere om vi har de nødvendige virkemidlene for å forebygge og redusere risiko.