SKL om molntjänster: Gör en riskanalys först!

REPLIK I debattartikeln ”Nej, amerikanska molntjänster är inte säkra” lyfter Amelia Andersdotter kommentaren ”Det gick lite fort”. Ett citat från en kollega på eSam, vilket återberättades av SKL i en panel i Almedalen för att visa på en gemensam känsla. SKL är medlemmar i eSam och det finns ingen oenighet mellan organisationerna i frågan om de svårigheter som finns när sekretesskyddade uppgifter eller känsliga personuppgifter ska hanteras i molntjänster. Låt oss komma förbi den diskussionen nu.

SKL har däremot ett annat uppdrag än eSam och i vår roll ligger att stödja kommuner och regioner och även att för deras räkning driva på långsiktiga strategiska frågor i förhållande till andra aktörer i samhället. Frågan om molntjänster och de rättsliga förutsättningarna måste hanteras med två tidsperspektiv. Ett mer långsiktigt, strategiskt där de rättsliga svårigheter som eSam har pekat på måste få en lösning, så att digitaliseringen kan fortsätta på ett säkert och lagligt sätt.

Amelia Andersdotter har helt rätt i att de rättsliga analyserna egentligen är för sena, förutsättningarna borde vara glasklara redan från början när samhället ombeds att ställa om och digitalisera sina verksamheter. Som SKL har lyft fram i sitt ställningstagande den 12 april gäller det mycket stora kommande och redan gjorda investeringar och det finns behov av en nationell samsyn i frågan för offentliga organisationer. Det är dessutom så att osäkerheten om de rättsliga frågorna redan har medfört en uppbromsning av digitaliseringen, något som knappast hjälper oss att nå målen i den nationella digitaliseringsstrategin eller att hantera de framtidsutmaningar som finns inom välfärden.

Det andra tidsperspektivet som SKL fokuserar på handlar om att stödja landets kommuner och regioner i den situation man befinner sig nu. För en stor andel har steget till molntjänster som är integrerade i verksamheten redan tagits och det finns vinster inom andra områden, som till exempel en generellt högre it-säkerhet.

Men för att kunna hantera de informationsmängder som omfattar sekretess eller känsliga personuppgifter krävs stöd för att genomföra riskanalyser och dataskyddsanalyser. Det finns inom många verksamheter inga alternativ på marknaden och en omställning kan heller inte ske förrän en tydlig nationell riktning finns på plats. Frågorna bereds nationellt och inom EU och kan inte lösas på lokal eller regional nivå.

I stället ger SKL rådet till sina medlemmar att i nuläget fortsätta att arbeta med att analysera sina olika informationsmängder och välja vilken lagring och bearbetning som är lämplig beroende på vilken sorts skydd informationen och uppgifterna behöver och att genomföra de skyddsåtgärder som behövs. Oavsett hur de långsiktiga rättsliga frågorna kommer att landa är det inte bortkastad tid att lära känna sin information och vilka behov och krav som ska ställas på leverantörer, molntjänst eller ej.

Lotta Nordström, sektionschef informationshantering och digital arbetsmiljö SKL

Jeanna Thorslund, jurist teamansvarig informationssäkerhet SKL