Outsourcing hot mot IT-säkerheten
Vid outsourcing kan myndigheter knappast ha full kontroll över var och av vem som deras känsliga uppgifter hanteras,skriver Bengt Hermansson IT-säkerhetsansvarig.
Jag läste med intresse i Publikt om myndigheters outsourcing. Rapporteringen förbiser dock en mycket allvarlig risk med outsourcing, den bristande informationssäkerheten kring de oftast sekretessbelagda uppgifter som myndigheter och kommuner hanterar i sina IT-system.
Genom att enbart låta ekonomer och HR-personal, som vanligen saknar kompetens inom informationssäkerhet, formulera kraven vid upphandling av outsourcad IT-drift uppstår ofta problem kring sekretess, spårbarhet och tillgänglighet vid informationshanteringen.
IT-säkerhet är svårt och dyrt att upprätthålla inom den egna organisationen. Det verkar alltså finnas möjlighet att spara genom att prioritera ned säkerheten. Vid outsourcing kan myndigheter dock knappast ha full kontroll över var och av vem som deras känsliga uppgifter hanteras. IT-leverantören har ibland i sin tur underleverantörer som sköter själva driften. Driften kan dessutom ske i ett låglöneland med helt annan lagstiftning.
När sedan avtalsperioden är slut, hur hanteras då uppgifterna? Kan vi lita på att de raderas och inte säljs vidare? Med de ständiga leverantörsbyten som lagen om offentlig upphandling leder till sprids dessutom uppgifter ut på många olika leverantörer och deras IT-administrativa personal.
Enligt en undersökning har näringslivet börjat gå tillbaka till IT-drift i egen regi, sannolikt på grund av de spektakulära driftstörningar som inträffat den senaste tiden och att man upptäckt att så kallad cost of ownership inte blivit lägre.
De informations- och IT-säkerhetsrelaterade problemen med outsourcing visar på vikten av att inte enbart se till de kortsiktiga ekonomiska fördelar som den kan synas medföra.
Bengt Hermansson
IT-Säkerhetsansvarig
Detta är ett debattinlägg. Det är skribenten som svarar för innehållet och de åsikter som förs fram i texten.