Det multidimensionelle problem

Daniel Melin

Business Development Manager

I disse diskussioner er det ikke ualmindeligt, at den ene part fremfører et argument i stil med, at der findes juridiske hindringer, hvorefter modparten hævder, at den rette it-sikkerhed løser det juridiske hinder. I sidste ende er ingen klogere på, hvad der gælder.

Efter alt for mange sådanne diskussioner og en fortsat forvirret situation begyndte jeg at fundere over, hvorfor spørgsmålet er så svært at diskutere. Et svar er naturligvis, at den part, der fremfører sit argument, har en eller anden form for vinding, for eksempel at det gavner personens arbejdsgiver. Men selv hvis en part ikke argumenterer intellektuelt redeligt, men argumenterer ud fra sit særinteresse, består problemet, at meget få ser ud til at kunne foretage en både kompetent og komplet vurdering. Bemærk, at jeg heller ikke påstår, at jeg kan det.

Jeg er overbevist om, at problemet ligger i spørgsmålets kompleksitet, hvilket betyder, at den, der vil ræsonnere om dette, skal være relativt velinformeret og kyndig inden for mindst seks domæner. Dem, jeg har identificeret, er geopolitik, it-sikkerhed, kontinuitet, jura, rådighed og erhvervspolitik. Selvfølgelig er der en del overlap mellem disse seks, og det er naturligvis fint at tilføje flere.

Frem til 2020 handlede diskussionen næsten udelukkende om OSL, GDPR og it-sikkerhed. Geopolitik, rådighed og kontinuitet blev stadig mere almindelige efter Ruslands fuldskala invasion af Ukraine og Sveriges NATO-indtræden. De erhvervspolitiske konsekvenser lader stadig vente på sig, selv om industriinitiativet EuroStack har sat spørgsmålet på dagsordenen i 2025.

En påvirkende faktor er også, at det har ligget i de amerikanske leverandørers interesse, at forskellige spørgsmål er uklare; på den måde fremmes, at hver organisation skal lave sin egen udredning. Klassisk del-og-hersk-teknik.

Seks domæner

For at give lidt vejledning definerer jeg de seks domæner som følger:

Geopolitik er en videnskabelig disciplin, hvor politik, historie og sociologi analyseres med reference til geografi. Geopolitik er noget, vi dagligt kan se i forskellige udtalelser fra diverse politiske ledere, hvor de tager afsæt i deres eget lands historie, særpræg og befolknings særlige status. Også for eksempel EU og Nato er geopolitiske aktører uden at være lande.

It-sikkerhed handler om, hvordan forskellige it-systemer og deres information beskyttes mod for eksempel antagonistiske angreb, uautoriseret adgang, manipulation, ødelæggelse og tyveri. It-systemer skal løbende gennemgås for at lukke sårbarheder og reducere angrebsfladen. Kryptering er en almindelig måde at beskytte information på. Det kan argumenteres for, at domænet burde være informationssikkerhed eller cybersikkerhed, men i denne sammenhæng er det af mindre betydning.

Kontinuitet handler om, hvordan forskellige hændelser kan påvirke en organisations evne til at fungere. Med god kontinuitetsplanlægning kan organisationen øge modstandskraften mod alt for negative effekter.

Jura er forskellige love og regelsæt fra Sverige, EU og andre lande. Love og regelsæt fra lande uden for EU kaldes normalt tredjelandslovgivning. Vanskeligheder vedrørende lovgivning fra visse lande er for eksempel, at lovgivningen bevidst er vagt formuleret, at lovgivningen er hemmelig, samt at lovgivningen kan ændres med meget kort varsel. I jura inkluderer jeg også leverandøraftaler, som er mere eller mindre forståelige, ændres ofte eller sjældent, leveres i deres helhed eller kun delvist.

Rådighed er evnen til selvstændigt at kunne beslutte om noget ved at have egen kontrol. Rådighed kan tage mange udtryk, hvor et ofte forekommende begreb er ”digital suverænitet”. Digital suverænitet handler om, at et land skal have selvstændig rådighed over sine digitale aktiver på samme måde som over sit territorium, hav og luftrum.

Erhvervspolitik handler ifølge regeringen om at skabe forudsætninger for job og voksende virksomheder. Området omfatter blandt andet vilkår for virksomheder og entreprenørskab, innovationskraft og en velfungerende konkurrence. Ifølge regeringen er der for få startups, der vokser til succesfulde scaleups i EU. Dette signalerer, at Europa ikke fuldt ud formår at omsætte sin innovationskapacitet til globalt konkurrencedygtige virksomheder. Det indre marked, som burde være et springbræt for vækst, er stadig fragmenteret, hvilket begrænser adgangen til kapital, talent og markeder. Både EU-Kommissionen og svenske regeringer kan næppe beskyldes for at have gjort det lettere for svenske it-virksomheder at vokse, men det er en anden artikel at skrive.

En måde at visualisere de seks domæner på er gennem et puslespil, hvor alle brikker er nødvendige for at kunne se helheden, i dette tilfælde det svenske samfund.

Ræsonnement

Som det ses, anlægger jeg et større perspektiv end blot den enkelte organisation; det er for eksempel ikke en enkelt myndigheds rolle at vælge skytjeneste delvist baseret på erhvervspolitiske hensyn. Allerede her er således en faldgrube blotlagt. Hvis vi går tilbage til den oprindelige diskussion med to parter, men i stedet for jura og it-sikkerhed ligger problemet i, at den ene part inddrager svensk erhvervspolitik i sin vurdering, mens den anden part kun tager udgangspunkt i den enkelte organisation. Det er svært at nå til en fælles forståelse i den situation.

En stadig tilbagevendende form for argumentation er risiko, altså at alle valg medfører risiko. Men blot at hævde, at alle valg medfører risiko, giver ikke nogen vejledning i, hvordan en organisation skal vælge. Når det gælder it-sikkerhed, er risiko en selvfølgelighed; der findes ikke noget it-system, som både er tilgængeligt for brugere og er 100 % sikkert. Når det gælder rådighed, er det mere binært: Enten har organisationen kontrol over sine informationer, eller også har den ikke. Jura er noget midt imellem: I nogle tilfælde findes der tydelig lovgivning og/eller præjudicerende domme, som viser grænsedragningen mellem lovligt og ulovligt. I andre tilfælde er det for øjeblikket uklart, præcis hvor grænsen går. Nogle organisationer synes at mene, at så længe noget ikke udtrykkeligt er forbudt, er det tilladt, mens andre organisationer vælger det omvendte. Visse myndigheder har endda påtaget sig opgaven at ”udfordre loven” for friere at kunne anvende forskellige (amerikanske) skytjenester.

Regeringen skriver i Nationell strategi för cybersäkerhet 2025-2029, at ”det kan indebære alvorlige risici, hvis mange organisationer er afhængige af den samme tjeneste eller det samme system, og at afhængigheder af digitale produkt- og tjenesteleverancer fra organisationer baseret i tredjelande både kan være uhensigtsmæssige og udgøre en sårbarhed, som kan bruges som politisk presmiddel.” Her anlægger regeringen et tydeligt samfundsperspektiv på for eksempel skytjenester. I Sveriges digitaliseringsstrategi 2025–2030 står der, at ”et vigtigt aspekt for at modstå belastninger er adgangen til sikre og robuste forsyningskæder for både hardware og software. For at opnå sikre forsyningskæder kræves et systematisk arbejde med løbende risikovurderinger, en mangfoldighed af leverandøralternativer og solid kravstilling over for leverandører.” Samtidig står der i udenrigsdeklarationen fra februar 2025, at ”det transatlantiske bånd er afgørende for svensk og europæisk sikkerhed, samt at Sveriges og USA’s bilaterale relationer er meget gode og styrkes ved, at vi er allierede i Nato. USA er en partner af særlig betydning for Sverige og for Europa – handelsmæssigt, sikkerhedsmæssigt og politisk.” Man kan ane, at disse forskellige kommunikéer ikke er helt forenelige med hinanden i forhold til det faktum, at amerikanske skytjenester totalt dominerer det svenske marked, og at der ikke er gjort nogen politiske forsøg på at ændre dette.

Afslutning

Næste gang du støder på en diskussion om det såkaldte ”skyspørgsmål”, så begynd med at forsøge at forklare, hvilke domæner de forskellige parter inkluderer i deres ræsonnementer. På den måde kan vi måske i fællesskab løfte diskussionen op på samfundsniveau, så Sverige hurtigst muligt kan opnå en rimelig grad af digital suverænitet, og diskussionerne bliver mere meningsfulde og intellektuelt redelige.