Hvordan vurderer statsråden sikkerheten til dataene som tilhører norske studenter og forskere i systemer for såkalt identitets- og tilgangsstyring, kalt Felles IAM, og mener statsråden at det er …

Hvordan vurderer statsråden sikkerheten til dataene som tilhører norske studenter og forskere i systemer for såkalt identitets- og tilgangsstyring, kalt Felles IAM, og mener statsråden at det er forsvarlig å tvinge institusjoner som har fullgode norskutviklede systemer, som lagrer data i Norge, over på systemer der dataene deres kan bli utlevert til fremmede makter?

Universitetet i Oslo og NTNU har nylig fått vite at Det kongelige kunnskapsdepartement pålegger dem å ta i bruk en felles løsning for såkalt identitets- og tilgangsstyring, kalt Felles IAM, mot deres vilje. Dette er en løsning som bygger på et innkjøpt amerikansk system, der eier etter amerikansk lov kan pålegges å utlevere data til amerikanske myndigheter. Samtidig som EU lanserer politikk for å styrke Europas teknologiske selvstendighet med sin Tech Sovereignty Package, og stadig flere blir opptatt av digital suverenitet, får vi i Norge med dette pålegget en beslutning som gjør oss enda mer avhengig av utenlandsk teknologi og kompetanse.
Aktiviteten for å etablere et felles IAM i universitets- og høyskolesektoren har vært i gang siden et forprosjekt ble startet i 2017, og tiltaket ble lagt til Uninett (nå Sikt) på bestilling fra Digitaliseringsstyret i 2019. Da var det en rekke systemer i bruk i sektoren, men flere institusjoner brukte Cerebrum, et system som er utviklet og driftes på Universitetet i Oslo. Etter en lang ferd er nå de fleste institusjoner over på fellstjenesten for IAM, men Universitetet i Oslo og NTNU bruker fortsatt Cerebrum. Systemet er sikkert, det driftes og utvikles i Norge og alle data lagres i Norge. Det felles IAM-systemet, derimot, er USA-eid og de som drifter det kan under amerikansk lov bli pålagt å utlevere data til amerikanske myndigheter.
Det vil være både praktisk og økonomisk til stor ulempe for NTNU og UiO å gå over til et nytt system, og det stilles sterke tvil til at det er riktig å tvinge to av våre fremste utdanningsinstitusjoner over på et system der data kan utleveres til en fremmed makt. Det stilles også tvil til om det er riktig at resten av sektoren, som over flere år har følt at de har vært nødt til å ta i bruk systemet som ble tilbudt dem som en frivillig som en fellestjeneste, skal være nødt til å bruke systemet hvor data om alle deres studenter og ansatte lagres i sky levert av et amerikansk selskap.
Sikt har bedt Kunnskapsdepartementet om å pålegge NTNU og UiO å ta i bruk fellessystemet ut fra økonomisk argumentasjon. Pålegget ser ut til å være i konflikt med Nasjonal sikkerhetsmyndighets råd om at Norge bør bli mindre avhengig av utenlandsk teknologi og teknologikompetanse innenfor kritisk infrastruktur.

Korrigert svar på spørsmål til skriftlig besvarelse nr. 3291 om hvordan statsråden vurderer sikkerheten til dataene som tilhører norske studenter og forskere i Felles IAM
Universitets- og høyskolesektoren ligger innenfor mitt ansvarsområde som forsknings- og høyere utdanningsminister, og spørsmålet besvares derfor av meg.

Vi står i en særdeles krevende geopolitisk situasjon hvor vi står overfor flere komplekse problemstillinger – konsentrasjonsrisiko og digitale avhengigheter til utenlandske leverandører er én av dem.

Digital sikkerhet, beredskap og personvern står høyt på min agenda, og dette er noe jeg setter strenge krav til gjennom styringen av våre underliggende virksomheter. Når det gjelder Felles IAM har Sikt (kunnskapssektorens tjenesteleverandør) redegjort for tekniske sikkerhetstiltak og personvernkonsekvensvurderinger i løsningen, også i lys av problemstillinger knyttet til digital suverenitet.

Sikt har redegjort for at felles IAM innebærer at all lagring og behandling av data i løsningen håndteres i EU/EØS, med drift fra datasentre i Stockholm og back-up i andre europeiske lokasjoner. Lagrede data i databasen er ikke kryptert. Imidlertid krypteres dataene når de overføres mellom systemer. Krypteringen bruker kortlevde nøkler som byttes ut løpende. Nøklene som brukes er tilfeldige og ingen part kontrollerer dem. Ingen hos Identity Automation har generell tilgang til Felles IAM. I situasjoner hvor Sikt trenger bistand fra leverandøren kan Sikt åpne for at en navngitt person får tilgang. Når leverandøren oppgraderer løsningen, tar sikkerhetskopi eller utfører annen drift, har personellet som utfører dette ikke tilgang til dataene i Felles IAM. Data som behandles/lagres omfatter ifølge Sikt følgende personopplysninger i tabellen. Ingen av disse dataene regnes som «særlig kategori» personopplysning etter GDPR artikkel 9 (som f.eks. helse-, religions- eller etnisitetsopplysninger). Fødselsnummer/d-nummer, landkode og passnummer er likevel underlagt en egen skjerpet regulering om særskilt behov for beskyttelse fordi det gir presis identifikasjon og kan misbrukes til identitetstyveri. Dette følger av GDPR artikkel 87, gjennomført i personopplysningsloven § 12: bruk krever saklig behov for sikker identifisering som ikke kan dekkes på en mindre inngripende måte.

Opplysning Behandles Lagres i Felles IAM Formål / merknad
Fødselsnummer eller d-nummer Ja Ja For personer registrert i Norge
Landkode og passnummer Ja Ja For utenlandske registrerte uten norsk fødselsnummer/d-nummer
Fullt navn Ja Ja Identifikasjon
Brukernavn Ja Ja Innlogging/identifikasjon
S-nummer, studentnummer, UHID, student-e-post Ja Ja Identifikasjon av studenter
Privat e-postadresse Ja Ja Brukes til å sende aktiveringsmelding til nye brukere
Mobiltelefonnummer Ja Ja Tofaktorautentisering
IP-adresse Ja Nei, men de ligger i separate logger Adressen brukeren logger på fra
Institusjonstilknytning Ja Ja Tilgangsstyring
Organisatorisk tilhørighet, stillingstittel, yrkes- og stillingskode, nærmeste leder, ansattnummer Ja Ja Gjelder ansatte; brukes til å styre tilganger
Emne- og gruppetilknytning Ja Ja Gjelder studenter; brukes til å styre tilganger
Kjønn Ja Ja Avledes av fødselsnummer, kreves i Felles studentsystem, brukes bl.a. til å styre garderobetilgang
Reservasjonsflagg Ja Ja For personer som ikke skal vises på institusjonens nettsider
Aktivitets- og bruksdata (alle transaksjoner/handlinger) Ja Ja, med tidsstempel og angivelse av hvem som utførte handlingen Revisjonslogg for sporbarhet: hvem har fått hvilke tilganger når, hvem har godkjent/avslått med hvilken begrunnelse
Personlig pinkode til adgangskontrollsystem Ja Ja, kryptert (AES-128) Pinkoden trenger ikke være søkbar, derfor kan den krypteres i motsetning til øvrige felter
Profilbilde Ja, men kun der institusjonen har valgt bilde på adgangskort Nei Legges inn via brukergrensesnittet og overføres videre til institusjonens eget adgangskortsystem; kan ikke hentes ut av Felles IAM

Det er også etablert tiltak for redundans (duplisering for sikkerhet og oppetid), gjenoppretting og portabilitet (rett til utlevering) av data.

Jeg er opptatt av at fellestjenestene levert av Sikt som hovedregel er frivillige, avtalebaserte og brukerfinansierte. Imidlertid vil det i noen få tilfeller være nødvendig å gi institusjonene pålegg om å forplikte seg til å ta i bruk og betale for en tjeneste når overordnede hensyn for sektoren tilsier det.

Beslutningen om å instruere UH-institusjonene om bruk av Felles IAM er basert på en helhetlig vurdering av hele sektorens behov for sikker, effektiv og samordnet identitets- og tilgangsstyring. Felles IAM er utviklet som en fellestjeneste på bakgrunn av etterspørsel fra sektoren, og er allerede tatt i bruk av et flertall av institusjonene. Én felles løsning gir bedre kontroll over identiteter og tilganger, styrker informasjonssikkerheten på tvers av institusjonene, legger til rette for livslang læring for den enkelte og gir økonomisk forutsigbarhet for sektoren som helhet. Disse gevinstene forutsetter bred deltakelse. Dersom enkelte institusjoner står utenfor, kan det gi et mer fragmentert systemlandskap med økte kostnader og svakere samlet sikkerhet i sektoren.

Jeg vil samtidig fremheve at Universitetet i Oslo (UiO) og Norges teknisk-naturvitenskapelige universitet (NTNU) over tid har utviklet sterke fagmiljøer og betydelig kompetanse innenfor utvikling av digitale løsninger og forvaltning. Dette arbeidet er viktig for sektoren. UiO og NTNU har også bidratt med verdifulle innspill i regjeringens arbeid med å utforske hvordan vi kan styrke vårt digitale handlingsrom. Denne kompetansen vil være viktig også fremover, særlig i dagens geopolitiske situasjon preget av økt kompleksitet og sammensatte utfordringer.

Til slutt vil jeg understreke at jeg og regjeringen følger den internasjonale utviklingen tett, også når det gjelder våre nordiske naboland og utviklingen i Europa for øvrig, knyttet til digital suverenitet. I dette inngår relevante faglige råd nasjonalt, herunder også anbefalinger fra Nasjonal sikkerhetsmyndighet (NSM), som et viktig grunnlag for å styrke sikkerheten og redusere sårbarheter i sektorens digitale infrastruktur.