#### 18.4.6 Kompetanse som sikkerhetsfaktor. Standardisering og oppdatering

Å tillate lagring av dokumentasjon i sky utenfor Norge innebærer at norske leverandører av fagsystemer i enda større grad vil kunne levere disse som tjenester fra de store skyplattformene. Skyleverandørene har ofte kompetanse på sikkerhet og lagring som mindre virksomheter mangler, se tekstboks 18.3. Skytjenester har særlig fordeler for brukerne dersom det fører til økt standardisering. I dag er det (særlig i kommunesektoren) mange versjoner og tilpasninger av de samme systemene. Dette driver opp kostnadene. Dersom alle kundene bruker samme versjon av programvaren og har de siste sikkerhetsoppdateringene, vil det kunne bli sikrere og rimeligere for forvaltningen. Færre lokale tilpasninger vil også kunne gjøre det lettere å utvikle felles standarder og metodikk for uttrekk og langtidsbevaring. Behovet for brukertilpasning av informasjonssystemer opphører ikke ved overgang til skytjenester. Det må kontinuerlig balanseres mellom skreddersøm og såkalt hyllevare.

########## Boks 18.3 Nasjonal sikkerhetsmyndighets sikkerhetsfaglige anbefaling for tjenesteutsetting (april 2018)

Tjenesteutsetting av IKT-tjenester til profesjonelle aktører kan gi bedre sikkerhet og mer stabile og tilgjengelige tjenester. Tilgang til ekspertkompetanse og verktøy en ikke selv besitter, kan bedres, kostnader kan bli lavere og mer forutsigbare, og det kan i større grad bidra til høyere grad av oppmerksomhet om virksomhetens kjerneaktivitet. Samtidig må virksomheter være bevisst hvilken risiko tjenesteutsettingen medfører. Tilsvarende eller høyere nivå på både tjenestekvalitet og informasjonssikkerhet bør være en målsetting ved tjenesteutsetting. En tjenesteutsetting stiller store krav til egen virksomhet og krever annen kompetanse enn om tjenesten leveres av egen organisasjon. Før det foretas en strategisk beslutning om bruk av tjenesteutsetting, bør virksomheten vurdere om den er forberedt godt nok til å kunne håndtere alle faser i en tjenesteutsettingsprosess. Virksomheten må også kartlegge hvilke lover, krav og regler som gjelder både nasjonalt og internasjonalt. Eksempelvis gir både sikkerhetsloven og personopplysningsloven med forskrifter føringer ved tjenesteutsetting. Noen sektorer har også regulert hvilke muligheter virksomheten har til å tjenesteutsette. For å ivareta IKT-sikkerheten ved tjenesteutsetting anbefaler NSM at virksomheten er særlig opptatt av behovet for:

- 1. Oversikt over og kontroll på hele livsløpet
- 2. God bestillerkompetanse
- 3. Gode risikovurderinger for å kunne ta riktig beslutning
- 4. Riktige og gode krav til IKT-tjenesten og til leverandør
- 5. Riktig beslutning på riktig nivå

Sikkerhetsfaglige anbefalinger ved tjenesteutsetting side 9

######## [Boks slutt]

Skytjenester kan gi økt profesjonalisering av IKT-driften. Skyleverandørenes datasentre har normalt et fysisk sikkerhetsnivå som langt overgår det den enkelte kunde kan oppnå på egen hånd. Det digitale sårbarhetsutvalget (Lysne-utvalget) skriver: «Utkontraktering og skytjenester kan bidra 248 til økt teknisk IKT-sikkerhet når leverandøren har bedre kompetanse og ressurser enn kunden.» Lysne-utvalget skriver videre i NOU 2015: 13 punkt 23.7: