Du kan outsource IT-driften, men risikoen beholder du selv

Oddbjørn Skauge er CIO i Sicra. 

SYNSPUNKT. Ansvaret for digital sikkerhet ligger hos ledelsen og styret. Det følger av det alminnelige styreansvaret, og for virksomheter som omfattes av digitalsikkerhetsloven og NIS2 er det nå lovfestet. Det er ikke like tydelig for alle at dette ansvaret ikke kan settes ut til en leverandør. Du kan outsource IT-driften, men du kan ikke outsource konsekvensene. Risikoen blir igjen hos deg som leder.

Norske virksomheter kjøper stadig mer IT-drift som tjenester. Det gir bedre kapasitet, høyere kompetanse og mer forutsigbare kostnader. Men blir leverandøren angrepet, om tjenesten stopper opp eller kritiske data ikke er tilgjengelige – er det fortsatt din bedrift som eier problemet. Og hvis du er leder, har du også ansvaret.

De beste driftspartnerne har lange og gjennomarbeidede avtaler som regulerer nettopp dette. Mange driftspartnere har det derimot ikke og har tynne avtaler. Da oppdager man hva som ikke er avtalt i forbindelse med en hendelse.

Sikkerhet ivaretas ikke av en sertifisering

Leverandørsikkerhet behandles for ofte som et innkjøpspunkt: be om en ISO-sertifisering, ta inn sikkerhetskrav i kontrakten og arkiver dokumentasjonen. Mange tror dermed at risikoen er håndtert. Det er den ikke.

En god driftsavtale regulerer vaktordning, eskalering, tilgangsstyring og utlevering av logger. En tynn avtale forteller deg bare hva leverandøren har lovet, ikke hvem du ringer klokken tre om natten, hvem som kan stenge tilganger eller hvor raskt du får loggene du trenger. Det finner du ut under en hendelse – og da er det for sent å oppdage at kontaktpersonen har byttet jobb, at loggene må bestilles særskilt, eller at underleverandøren ikke er omfattet av responstiden.

En hendelse ett sted kan ramme mange steder

Avhengigheter undervurderes ofte. Når flere kritiske systemer deler samme identitetsplattform, skytjeneste eller driftspartner, kan én hendelse ramme bredt. Leverandørkjeden er ofte lengre enn du har kjennskap til. For hvert ledd øker forsinkelsen ved varsling og feilretting.

Leverandøren kan få dagbøter og et ripet omdømme. Driftsstansen, kundene og tilsynet er dine.

Spørsmålet du og resten av ledelsen må stille er ikke bare: Er leverandøren sikker? Spør heller: Hvilke systemer stopper først? Hvilke data blir utilgjengelige? Og hvilke beslutninger kan vi ta uten hjelp fra leverandøren?

Seks spørsmål du bør kunne svare på – i dag

1. Hvilke leverandører har administratortilgang til identiteter, kritiske systemer og data, og hvem hos oss følger opp hver av dem?

2. Har vi egne nøkler: administratorkontoer, dokumentasjon og en backup leverandøren ikke kan nå?

3. Hvem hos oss tar imot varselet klokken tre om natten og kan beslutte nedstenging, og innen hvor mange timer er leverandøren forpliktet til å varsle?

4. Eier vi loggene, og kan vi bruke dem uten leverandørens hjelp?

5. Hva sier kontrakten om hva som faktisk skjer når leverandøren feiler: ansvar, responstid, underleverandører og exit?

6. Hvor lenge tåler de viktigste prosessene at leverandøren er borte, og har vi testet det?

Det er et faresignal hvis ingen hos dere kan svare på alle seks uten å måtte ringe leverandøren. Det er et faresignal hvis den eneste backupen ligger hos den som drifter systemene. Og det er et faresignal hvis ansvarsbegrensningen i kontrakten er mindre enn tapet av én ukes drift. 

Test beredskapen før krisen rammer

Selv den beste outsourcingsavtalen flytter driften, ikke risikoen. Risikoen må du og resten av ledelsen ta ansvar for, uansett hvor god partneren er. Da er det viktig at kontaktveier, fullmakter og beredskapsplaner fungerer når det gjelder. Kontrakten forteller deg hva som er avtalt. Ved å øve finner dere ut om kontrakten faktisk fungerer. Aller helst øver dere sammen med leverandøren. En kort øvelse kan avdekke mye.