Var det kjent for departementet da pålegget om Felles IAM ble gitt i juni at den amerikanske leverandøren eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten?

Var det kjent for departementet da pålegget om Felles IAM ble gitt i juni at den amerikanske leverandøren eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten?

I svar 18. september på spørsmål nr. 3677 opplyser statsråden at gjennomføringen av pålegget om Felles IAM utsettes for de gjenstående virksomhetene inntil saken er gjennomgått. Svaret viser til en redegjørelse fra Sikt mottatt 11. september.
I Khrono 19. september skriver direktør Terje Mørland og divisjonsdirektør Tom Røtting i Sikt: «Programvaren leveres av en amerikansk leverandør, og i dagens modell er det leverandøren som eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten.» Sikt opplyser videre at de undersøker muligheten for å overføre kontoen i Amazons sky, der data lagres og prosesseres, fra den amerikanske leverandøren Identity Automation til Sikt.
Tjenesten ble vedtatt som fellestjeneste i Digitaliseringsstyret i 2019. Den styrer i dag tilganger for om lag 250 000 studenter og ansatte ved 14 virksomheter.
Statens egen veiledning, Markedsplassen for skytjenester på anskaffelser.no, sist oppdatert 22. januar 2025, slår fast at amerikanske leverandører av skytjenester har en plikt under US CLOUD Act til å utlevere opplysninger i noen tilfeller, og at dette også vil gjelde data som er lagret i Norge. Når leverandøren forvalter nøklene, er spørsmålet ikke hvor serverne står, men hvem som teknisk og rettslig kan låse opp.
Sikt erkjenner i samme innlegg at informasjonen til departementet har vært upresis og mangelfull, og departementet har tidligere i september måttet korrigere svar til Stortinget i saken. Spørsmålsstilleren ber om et presist svar på hva departementet visste om nøkkelforvaltningen, og på hvilket tidspunkt.
Spørsmålsstilleren ber i tillegg om svar på to forhold: hvilke tiltak som gjelder for de 14 virksomhetene som allerede bruker tjenesten, inntil nøkkelforvaltningen er avklart, og om statsråden vil legge redegjørelsen fra Sikt av 11. september fram for Stortinget.

Departementet gjør normalt sett ikke vurderinger av enkeltsystemer, tjenester eller leverandører. Dette gjøres av den underliggende virksomheten som tilbyr tjenesten, i dette tilfellet Sikt. I forkant av beslutningen om at alle universiteter og høyskoler skulle ta i bruk og betale for tjenesten Felles IAM, redegjorde Sikt for hvordan de arbeider med sikkerheten i tjenesten. Sikt har opplyst meg om at de gjør løpende risikovurderinger av alle tjenester. For Felles IAM er Sikts vurdering at restrisikoen er akseptabel, og at tjenesten drives i samsvar med gjeldende regelverk. Informasjonen om at den amerikanske leverandøren eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten, fikk jeg innsikt i da departementet mottok den grundige redegjørelsen fra Sikt 11. september.
Vurderingen av bruk av løsninger og skytjenester fra amerikanske leverandører er en felles problemstilling på tvers av offentlig sektor. Regjeringen arbeider nå med revisjon av gjeldende skypolitikk. Det er i dag ingen nasjonale føringer om ikke å benytte amerikanske leverandører. Sikt jobber kontinuerlig med de mest kritiske tjenestene sine gjennom å vurdere ulike tiltak og teste dem ut i praksis. Dette gjelder både juridiske og tekniske vurderinger. For Felles IAM arbeider Sikt med å vurdere tiltak i tråd med de løpende risikovurderingene og har blant annet justert avtalen med leverandøren slik at tjenesten kan leveres av Sikt selv, enten lokalt eller i en europeisk skyløsning, dersom rammebetingelsene endrer seg.