Vid val av teknik för ärende- och informationshantering är frågan om molnet eller en lokal lösning ofta för snäv som utgångspunkt. Först behöver man förstå vilken typ av information som hanteras i systemet och vilka krav som ställs på informationen ur ett säkerhets-, regulatoriskt och kontinuitetsperspektiv. Först därefter kan man bedöma vilken teknisk lösning som är mest lämplig.
Inom offentlig förvaltning ställs samtidigt krav på öppenhet, tillförlitlighet, informationssäkerhet och verksamhetens kontinuitet för systemen för ärendehantering – även i situationer där omvärlden förändras snabbt. Därför kan tekniska val inte enbart ses som beslut om införande. De är en del av en större fråga om hur förvaltningen kan hantera information på ett säkert, ansvarsfullt och långsiktigt hållbart sätt.
Under de senaste åren har diskussionen särskilt kommit att fokusera på tjänsternas skalbarhet, möjligheten att flytta lösningar mellan olika miljöer samt informationssäkerhet. Tidigare levererades lösningen ofta till en miljö som hanterades av en specifik tjänsteleverantör och som i praktiken liknade en lokal IT-miljö. I dag syns allt oftare behov av tjänstebaserade lösningar och lösningar som vid behov kan flyttas till molnet, ett annat moln eller en lokal miljö.
Inom offentlig sektor är utgångspunkten allt oftare att använda molnlösningar när det är klokt och möjligt. Jag ser på frågan på ett praktiskt sätt: molnet är en bra utgångspunkt, men valet måste alltid baseras på den egna organisationens data, regelverk och krav på informationssäkerhet.
En styrka med molnbaserade lösningar är ofta att de ingår i ett omfattande ekosystem av tjänster. De stora molnplattformarna erbjuder färdiga funktioner för informationssäkerhet, övervakning, säkerhetskopiering, skalbarhet och motståndskraft mot störningar. Att bygga upp motsvarande funktionalitet i en lokal miljö kan vara både kostsamt och praktiskt utmanande.
Därför bör molnet inte per automatik betraktas som ett mindre säkert alternativ. En väl utformad molntjänst kan tvärtom erbjuda långtgående automatiserade funktioner för övervakning och hantering, som mindre lokala miljöer kanske inte har möjlighet att erbjuda på samma nivå.
Det betyder dock inte att molnet alltid är rätt svar. Inom offentlig sektors ärendehantering är det framför allt informationens karaktär som är avgörande. Exempelvis ställer säkerhetsklassificerad information höga krav på vilken teknisk lösning som är möjlig – och vilken lösning som faktiskt är nödvändig.
Säkerhetsklassificerad information innebär krav och begränsningar som måste vägas in vid val av teknisk lösning och som inte kan åsidosättas genom att enbart jämföra kostnad eller användarvänlighet. Information på TL IV-nivå kan under vissa förutsättningar hanteras även i en molnmiljö, förutsatt att arkitektur och informationssäkerhet är korrekt utformade och implementerade. Från TL III och uppåt skärps kraven däremot betydligt. Då krävs i praktiken en certifierad driftsmiljö och lösningar som på många sätt liknar en lokal eller starkt avgränsad miljö.
I en sådan situation handlar det inte längre om ett enkelt val mellan ”moln eller On-Prem”, utan om en övergripande modell för styrning och hantering. Hur begränsas nätverksanslutningarna? Hur säkerställs den fysiska säkerheten? Hur hanteras kryptering, åtkomstbehörigheter, övervakning och revision av miljön? Vilka delar kan leverantören ansvara för och vilket ansvar ligger kvar hos kunden?
Ju högre säkerhetsklassningen är, desto tydligare blir det att lösningen inte bara bygger på den tekniska arkitekturen, utan också på en förståelse för ansvarsfördelning, processer och gällande regelverk.
Digital suveränitet förknippas ofta med frågan om var data lagras. Det är en viktig aspekt, men inte den enda. Om data är tillräckligt starkt krypterad och organisationen själv har kontroll över krypteringsnycklarna, är den fysiska placeringen inte längre det enda som avgör. Ur ett suveränitetsperspektiv är det minst lika viktigt hur data skyddas, hur krypteringsnycklarna hanteras och vem som i praktiken har möjlighet att få tillgång till informationen.
Det gör jämförelsen mellan molnbaserade och lokala lösningar mer intressant än att enbart fokusera på var servrarna är placerade. Inom modern ärendehantering behöver information skyddas under hela sin livscykel – från lagring och behandling till behörigheter, säkerhetskopiering och återställning. Suveränitet bygger på en kombination av arkitektur, styrning, kryptering, nyckelhantering och en noggrant definierad åtkomstkontroll.
Jag har även skrivit om suveränitet i den andra delen av den här bloggserien: Ärendehantering i en föränderlig värld, del 2: Datasuveränitet handlar inte bara om var informationen finns.
Cybersäkerhet, motståndskraft och kontinuitet skapas inte genom ett enskilt tekniskt val. De behöver planeras in som en naturlig del av arkitekturen redan från början. I praktiken innebär det exempelvis att systemets olika delar kan separeras från varandra och placeras i egna säkerhets- eller nätverksområden. Samtidigt minskas angreppsytan genom säker identifiering, tydlig åtkomstkontroll, skydd av gränssnitt och genom att separera olika tjänster från varandra.
Ur ett kontinuitetsperspektiv är även redundans, säkerhetskopiering och regelbunden återställningsträning centrala delar. Det räcker inte att organisationen utgår från att data är säkerhetskopierad. Man behöver också verifiera att både driftmiljön och informationen faktiskt går att återställa om en kritisk del av systemet slutar fungera eller blir otillgänglig.
En Disaster Recovery-plan kan lätt se komplett ut på papper, men det verkliga värdet visar sig först när planen sätts på prov – helst innan en faktisk krissituation uppstår.
När en organisation inom offentlig sektor överväger den tekniska inriktningen för sin ärendehantering kan den första frågan vara enkel: Varför inte molnet? Om det finns goda skäl att välja bort molnet handlar det ofta om regelverk, vilken typ av data som hanteras, säkerhetsklassificeringar eller mycket stora datamängder där kostnaden för säkerhetskopiering i molnet kan bli en utmaning.
Det viktigaste är att det tekniska valet inte görs utifrån föreställningar eller antaganden. Molnet är inte automatiskt mer riskfyllt, och en lokal lösning är inte automatiskt säkrare. Båda alternativen kan vara rätt eller fel beroende på hur de utformas och implementeras. Det avgörande är att förstå vilka krav organisationens information ställer och vilken lösning som bäst stödjer en säker, skalbar och framtidssäkrad ärendehantering.
I slutändan kan valet av teknik för modern ärendehantering sammanfattas så här: Molnet i första hand – men med datasuveränitet, kryptering, säkerhetsklassificering och kontinuitet på plats. Då blir valet inte bara ett tekniskt beslut, utan en del av offentlig sektors förmåga att bedriva en trygg och tillförlitlig verksamhet även i en föränderlig omvärld.