Idag kan knappast digitalisering eller AI nämnas utan att det i samma andetag sägs att utvecklingen går så otroligt fort. För mig är detta påstående både sant och inte sant. Sant är att vissa delar av den tekniska utvecklingen går väldigt snabbt men inte i alla delar. Det är heller inte sant att vår förmåga att att hantera de tekniska landvinningarna går alls lika snabbt och då kan vi knappast tala om en "utveckling" vare sig på samhällsnivå eller i de enskilda organisationerna.

Idag rapporterar Ekot om en upphandling på Trafikverket som väl förtjänar epitet skandalös. Myndigheten har uppenbarligen i ett tidigt skede bestämt sig för det är Microsoft som gäller, inlett ett projekt där representanter för MS återförsäljare ingår i styrgruppen och dessutom lagt sig platt och slängt sin egen kravspec på soptippen. I samma svep har man förhandlat bort offentlighetprincipen och på Microsofts uppmaning blockat insyn i affären. Mycket allvarligt men förklarar en del då jag sedan i början av sommaren försökt få ut handlingar från TRV, mer om detta i ett senare inlägg eftersom själva hanteringen av utlämnande är en mindre skandal i sig.

Vad som förvånar mig mest är att inte ens Trafikverket som arbetar i samma sektor som Transportstyrelsen som för 10 år sedan misskötte en upphandling av molntjänst på ett så fullständigt uruselt sätt att det ledde till att två ministrar och en generaldirektör fick avgå har lärt sig något. Detta har jag skrivit några blogginlägg och artiklar om, exempelvis de här:

Transportstyrelsen och it-politikens kognitiva dissonans

Den unika händelsen att en GD får sparken efter att ha beslutat att outsourca information där även uppgifter som faller under säkerhetsskyddslagen ingått har skapat ett stort buzz i säkerhetsvärlden. Det är en uppseendeväckande och skandalös historia som skett på Transportstyrelsen där myndighetsledningen tycks huvudlöst ha struntat i alla varningar

Fia Ewald Consulting ABFia Ewald

En notering i marginalen om kontroll över informationen

Som så många andra som arbetar med informationssäkerhet läser jag nu med stort intresse den granskning som på regeringens uppdrag genomförts av Transportstyrelsens upphandling av förändrad it-drift. Det finns ett antal faktorer till den olyckliga händelseutvecklingen som förtjänar uppmärksamhet och säkert kommer att fortsätta att penetreras. En aspekt som jag

Fia Ewald Consulting ABFia Ewald

”Regeringen måste ha en egen idé om framtidens IT”

Det finns flera intressekonflikter när det gäller informationssäkerhet. Så länge ­regeringen är otydlig med vad som ska prioriteras, kan inte myndigheter på egen hand förväntas klara avvägningarna. Det skriver säkerhetsexperten Fia Ewald.

SvDSvD

Men det är inte bara Transportstyrelsen som hamnar helt vilse när det gäller upphandling av molntjänster utan även andra stora myndigheter som t.ex. Försäkringskassan:

Försäkringskassan och molnet

Den 27 maj publicerades ett reportage i Sveriges radio om Försäkringskassans hantering av amerikanska molntjänster. Numera känner väl alla till bakgrunden men för sakens skulle kan några ord sägas om bakgrunden till att det här över huvudtaget blivit en nyhet. Det är en lång och ofta plågsam process i den

Fia Ewald Consulting ABFia Ewald

Den som läser ovanstående blogginlägg och annat ser att det redan för ett decennium sedan fanns en mycket tydlig problembild när det gäller offentligt användande av molntjänster:

• Det saknas gemensam styrning på nationell nivå och varje myndighet lämnas (trots insatser från eSAM) åt att själva göra sina egna bedömningar och strategier trots att samma myndigheter samtidigt förväntas utbyta information med andra myndigheter
• Från digitaliseringsministern kommer inga varningar utan snarare uppmaningar att använda molntjänster (med några lama förbehåll) - för de myndigheter som så önskar måste det framstå som det bara är att köra på
• Det finns en osund närhet till leverantörer både på nationell nivå och i de enskilda projekten och ofta framstår upphandlingarna styrda till en viss leverantör redan från dag ett. Det finns också ett underläggande synsätt där leverantörer tillåts definiera vad som är "utveckling" och där förvaltningen bara hänger på utan egen förmåga att styra mot verksamhetens faktiska behov.
• Projekten administreras utan ordentlig dokumentation som ger möjlighet till fortlöpande insyn. Slarviga minnesanteckningar som i princip kräver att man själv deltar i projektet för att förstå vad som pågår, beslut som tas som en del i dessa minnesanteckningar osv. Avsaknaden av den goda byråkratin måste försvaåra även den interna styrningen. Till detta kan läggas vad som framstår som en bristande förståelse för offentlighetsprincipen och att lojaliteten mot leverantören går före rätten till insyn.
• Det förefaller finnas ett glapp mellan myndighetsledningen och it-projekten när det gäller styrning där ledningen, trots att det handlar om mycket stora värden och mycket stora risker, inte får tillräcklig och trovärdig information om projekten. Istället tycks CIO och motsvarande roller kunna agera alltför fritt trots att de inte är riskägare.
• Om myndigheten verkligen tar fram de noggranna riskanalyser och konsekvensbedömningar som man är skyldig att göra (utifrån vad jag sett betvivlar jag att det görs) väljer digitaliserings- eller molnprojektet att strunta eller åtminstone kraftigt underskatta de risker som presenteras. Detta gör att rollen som informationssäkerhetsansvarig eller säkerhetschef mycket svår för vad kan man göra mer än att framföra sina invändningar (tänk även på Lantmäteriet här).
  Framför allt ställs inte riskerna i förhållande till nyttan av t.ex. använda Teams för att utbyta trivial information (se FK).
• Man tar definitivt inte hänsyn till risker som gäller inlåsningseffekter eller bristande suveränitet.
• Långstidsperspektiv saknas helt då det gäller exit och även arkivfrågor.
• Det saknas realistiska ekonomiska kalkyler om vad en tänkt tjänst egentligen kommer att kosta, särskilt i ett längre förvaltningsperspektiv.

Allt detta är allstså missförhållanden som varit kända mycket länge och leder till stora verksamhetsproblem, onödiga risker och mycket stora ekonomiska konsekvenser. Börjar det inte bli dags att göra något åt det och kanske till och med försöka att undvika en upprepning i full skala med AI? Borde vi inte försöka få en balans i utvecklingen så att vi rör oss i en takt där vi klarar av att använda teknik på ett sätt som faktiskt gynnar oss?

Rättelse: Det är måndag och jag blandade i hastigheten bort mig i Transportstyrelsen och Trafikverket. Detta är nu rättat och jag ber Transportstyrelsen om ursäkt för falska tillvitelser.