Kunnskapsdepartementet overkjører UiO med nytt IT-system

Den statlige IT-leverandøren Sikt bestilte identitets- og tilgangssystemet Felles IAM i 2019. Målet var at systemet skulle tas i bruk av alle norske universiteter og høyskoler, noe som har møtt sterk kritikk. Personopplysningene som Felles IAM samler inn, lagres på et datasenter i Stockholm, og driftes av det amerikanske selskapet Amazon Web Services (AWS). Det betyr at amerikanske myndigheter i teorien kan kreve innsyn i ansatte og studenters personopplysninger.

Før sommeren skrev Morgenbladet at Kunnskapsdepartementet (KD) pålegger UiO å bytte ut Cerebrum med Felles IAM. I Morgenbladets dekning av saken kommer det frem at flere ansatte ved UiO er kritiske til pålegget. De er bekymret for personvern, store økonomiske kostnader og at norsk digital kompetanse vil bli svekket. 

Personvern

Maja van der Velden er professor i informatikk ved UiO. Hun har engasjert seg i debatten om digital suverenitet i flere år, og reagerer sterkt på pålegget fra KD. Hun frykter personopplysninger kan komme i feil hender. 

– Morgenbladets reportasjer og spørretimer i Stortinget viser oss at personopplysninger som fødselsnummer, postnummer, e-postadresser, mobilnummer og IP-adresser er tilgjengelige i Felles IAM, sier hun.

Van der Velden er bekymret for at disse opplysningene til UiOs studenter og ansatte vil lagres på en server hvor amerikanske myndigheter har tilgang. 

– Den amerikanske staten kan faktisk kreve at amerikanske selskaper deler sensitive personopplysninger og Sikt kan ikke hindre at dette skjer siden de ikke drifter serveren der informasjonen lagres

Sikt opplyser over e-post til Universitas at AWS ikke har ikke tilgang til personopplysninger i Felles IAM. 

«Det er heller ingen hos leverandøren som kan hente ut personopplysninger som en del av vanlig arbeid, men leverandøren drifter løsningen og har de rettighetene det krever.» skriver de. 

Hun sikter til at den amerikanske kongressens justiskomité tidligere i år bestemte at en rekke store teknologiselskaper måtte oversende informasjon om samtalene de hadde hatt med EU-byråkrater om digitale regelverk. Dette gir dem juridisk rett til å innhente opplysningene.

Stortingsrepresentant Hege Bae Nyholt (R) deler van der Veldens bekymring. 

– Sigrun Aasland har nylig forklart Stortinget at amerikanske selskaper har tilgang på mer persondata enn det som først var kjent, sier hun. 

Hun peker på at Sigrun Aasland (Ap), forsknings- og høyere utdanningsminister først opplyste Stortinget om at kun telefonnummer og e-postadresser utleveres. Dokumenter Morgenbladet fikk innsyn i viste imidlertid at langt flere opplysninger hentes ut.

– Det er alvorlig at Stortinget er feilinformert og at amerikanske myndigheter kan få tilgang til blant annet fullt navn, mobilnummer og aktivitets- og bruksdata til studenter og ansatte ved UiO, sier Nyholt.

Aasland innrømmet til Morgenbladet at informasjonen var «upresis og mangelfull», etter at hun ble gjort klar over feilen.

«Det er alvorlig at informasjonen som kommer på mitt bord ikke er korrekt» svarte Aasland til Morgenbladet. 

Politisk press

Van der Velden frykter at miljøene som forsker på kjønn, Midtøsten, politisk ekstremisme og enkelte teknologier er spesielt utsatt. 

– Jeg er bekymret for at amerikanske myndigheter kan sette politisk press på ulike forskningsmiljøer , noe som kan føre til selvsensur. Det vil undergrave universitetets rolle i samfunnet, sier professoren. 

– I tillegg har UiO studenter og ansatte som er utsatte på grunn av ting som den politiske situasjonen i hjemlandet, eller av andre personlige sikkerhetsgrunner. 

Nyholt vektlegger at amerikanske myndigheter kan kreve at teknologiselskaper utleverer informasjon.

– President Donald Trump har jo skapt problemer for universitetene i USA, og er villig til å bruke teknologi som pressmiddel. Det har vi sett når amerikanske selskaper har kuttet digitale tjenester til ansatte i den internasjonale straffedomstolen.

Sikt skriver til Universitas at de jobber med en grundig redegjørelse til Kunnskapsdepartementet angående datasystemet. Grunnet at prosessen er pågående ønsker de ikke å svare på nåværende tidspunkt. 

Digital suverenitet nedprioriteres

Nyholt mener også at Kunnskapsdepartementet bryter med regjeringens egen digitale strategi for perioden 2024-2030. Strategien vektlegger blant annet å satse på digital suverenitet og å utvikle norsk digital kompetanse. 

Nyholt mener at digital suverenitet burde prioriteres for å ivareta sikkerheten til norske universiteter og høyskoler. 

– Å forutsi hva som skjer i USA er som å spå været i Trønderlag. Derfor burde vi satse på å ha kontroll over teknologien.

Van der Velden deler Nyholts skepsis til amerikanske myndigheter.

– Alle som har et kritisk perspektiv når det handler om USA eller teknologi risikerer sanksjoner.

Hun tror at årsaken til dette er at Norges samarbeid med USA har stor politisk påvirkning.

– Skulle Trump forsvinne vil amerikanske teknologibedrifter fortsatt ha mye makt som de ikke vil gi ifra seg. 

En av hovedgrunnene til at Felles IAM ble valgt i stedet for Cerebrum var at førstnevnte skal ha vært mer brukervennlig. 

– Å velge bort et system som fungerer selv om det koster penger blir feil. Det er viktigere å fokusere på personvern og kontroll over teknologien, mener Nyholt.

Forsknings- og høyere utdanningsminister Sigrun Aasland svarer på mail at hun er opptatt av å ha en  sikker, effektiv og samordnet tjeneste for identitets- og tilgangsstyring, men at det ikke er en ambisjon at Norge skal bli fullt ut digitalt selvforsynt. 

«Regjeringen har en tydelig politikk for å sikre digital suverenitet og robusthet som inkluderer amerikansk teknologi.»

Universitas har kontaktet UiO for en kommentar i saken. Universitetet opplyser at de jobber med en risikovurdering av å skifte identitets- og tilgangssystem, og ønsker ikke å svare før vurderingen er ferdig. 

Kunnskapsdepartementet hadde ikke anledning til å kommentere saken ytterligere på grunn av ressursmangel i forbindelse med Kong Harald Vs gravferd.

Fem på gata:

Hva tenker du om at Kunnskapsdepartementet har pålagt at UiO bytter ut sitt egenutviklede IT-system med et system som er utviklet og administrert av amerikanske selskaper?

Luka Chernyshov, 20, matematikkstudent

Jeg har hørt at Frankrike prøver å bytte ut Microsoft med europeiske systemer i Frankrike. Jeg synes at det er enklere sagt enn gjort på grunn av USAs dominas innenfor dette feltet. Jeg ser ikke helt hva som er grunnen til at KD gjør dette. Er dette økonomisk gunstig? For min del lurer jeg på motivasjonen her.

Karoline Egner Granerud, 24, informatikkstudent

Jeg blir jo med en gang litt skeptisk, spesielt i den tiden vi lever i nå så høres det skummelt ut å skulle outsource det bort dit. Det skjer jo mye greier i USA. Det er forståelig at man kjøper utenfra, for det koster mye penger å ha et eget system, men det føles rart at de skal komme og tvinge det på, fremfor å videreutvikle.

''Mio Greiner, 20, programmeringsstudent

Ja, det er jo ikke bra at de gjør det. For det første legger man så mye vekt på det å ha et sikkert og selvstendig system. Når UiO, som et av de største utdanningstedene i Norge må gjøre dette her, så viser det at vi ikke har gode løsninger for oss selv . Vi burde heller fokusere på å utvikle egne løsninger i stedet for å betale masse penger for å la amerikanske selskaper håndtere det. 

Allesandra Parmeggiani, 21, studerer medier og kommunikasjon

Jeg er skeptisk fordi det bryter jo litt med det vi ønsker for studentene og vårt eget system. Så er det jo litt kontrollerende, men jeg vet ikke om det kommer til å ha fordeler eller ulemper. 

Benjamin Lindbjør, 24, sosiologistudent

Jeg synes i utgangspunktet at det er litt suspekt. Det er gode personvernsregler i Norge, men dårligere i USA. Jeg synes personvernet er hovedgrunnen til at dette ikke er så bra. Både at private markedsinteresser får tilgang til dette her, og at en mer og mer autoritær stat kan få tilgang til dette. Jeg tror heller det burde gjøres lokalt.