Guro Gulstuen Nordhagen

guro@lomedia.no

Hvem skal få tilgang til hvilke digitale systemer ved norske universiteter og høyskoler?

Det er et spørsmål som håndteres av såkalte IAM-systemer.

IAM står for «identity and access management», og systemene styrer tilgangen til blant annet eksamenssystemer, læringsplattformer, forskningsdata, økonomisystemer og HR-systemer.

Nå har Kunnskapsdepartementet bestemt at alle de 21 statlige universitetene og høyskolene skal bruke den samme IAM-løsningen, ifølge kunnskapsavisa Khrono.

Norsk Tjenestemannslag (NTL), som organiserer mange direkte berørte arbeidstakere, mener beslutningen bør trekkes tilbake.

– Norge skal digitaliseres, og vi skal jobbe for digital suverenitet. Det får man ikke ved å velge amerikanske løsninger, mener Ellen Dalen, 1. nestleder i NTL.

Vil samle hele sektoren

Løsningen som departementet har bestemt at sektoren skal bruke, er utviklet av det amerikanske selskapet Identity Automation og ligger i Amazons sky.

Sikt, direktoratet som leverer tjenester til universitets- og høyskolesektoren, har anskaffet løsningen.

Målet med Felles IAM er at hele sektoren skal bruke den samme infrastrukturen for identitets- og tilgangsstyring.

Men ikke alle har gjort det.

Universitetet i Oslo (UiO) har i stedet utviklet sitt eget system, Cerebrum, som også brukes av NTNU, Universitetet i Agder og flere andre.

NTL mener dette viser at det finnes norske alternativer til de amerikanske løsningene.

– Vi blir møtt med argumenter om at digital suverenitet er urealistisk, og at staten ikke har nok kompetanse til å utvikle egne løsninger. Denne saken viser jo nettopp at statlige virksomheter har kompetansen, sier Dalen.

Amerikansk løsning gir økt risiko

For NTL handler saken om mer enn hvilket IT-system universitetene skal bruke.

Det handler også om hvem som har kontroll over kritisk digital infrastruktur.

Dalen peker på at både amerikanske myndigheters tilgang til data og avhengigheten av amerikanske teknologiselskaper har fått større oppmerksomhet de siste årene.

– I hele Europa jobbes det for å bli fri fra sine avhengigheter til amerikanske selskaper, fordi risikoen for data på avveie er for stor. Det forutsetter vi at også den norske regjeringen gjør, sier hun.

Et viktig moment er den amerikanske Cloud Act. Loven kan pålegge amerikanske selskaper å utlevere data til amerikanske myndigheter under bestemte omstendigheter, også når dataene er lagret utenfor USA.

NTL mener dette bør få større betydning når Norge velger hvilke digitale systemer staten skal være avhengig av.

Samtidig er det ikke bare selve dataene som bekymrer fagforeningen.

Hvis en tjeneste utvikles og driftes av amerikanske selskaper, kan Norge også bli avhengig av at disse leverandørene fortsetter å levere tjenesten.

– Verden i 2026 ser annerledes ut enn den gjorde da dette arbeidet startet. Det må man ta konsekvensen av, sier Dalen.

Økonomi trumfer sikkerhet

Bakgrunnen for departementets pålegg er også økonomisk.

Felles IAM ble startet etter initiativ fra universitetene i Bergen, Oslo, Tromsø og Trondheim i 2019.

Sikt tok på seg kostnadene i oppstarten, basert på en forventning om at alle de 21 statlige universitetene og høyskolene skulle bruke løsningen.

Det har ikke skjedd.

13 av de 21 institusjonene har så langt tatt løsningen i bruk. Dermed har Sikt gått med underskudd på tjenesten.

Ifølge tidligere omtale i Khrono gikk løsningen rundt 50 millioner kroner i minus i perioden 2022 til 2024.

Sikt har bedt Kunnskapsdepartementet om hjelp til å få økonomi i ordningen.

Departementet har nå bestemt at resten av institusjonene må ta løsningen i bruk og betale for den.

NTL mener dette er en uheldig begrunnelse for å tvinge universitetene over på et nytt system.

– Her kan det se ut til at økonomiske forhold og direktoratets forpliktelser overfor den amerikanske leverandøren, trumfer nødvendigheten av å frigjøre seg fra amerikanske systemer, sier Dalen.

Hun mener det er særlig problematisk dersom økonomien i Sikt-systemet blir avgjørende for hvilke digitale løsninger universitetene skal bruke.

UiO har tidligere advart

Khrono opplyser om at UiO tidligere har skrevet til departementet at et bytte til Felles IAM ville kunne gi høye byttekostnader, økte driftskostnader, dårligere funksjonalitet og lavere IT-sikkerhet.

NTNU har også uttrykt bekymring.

Da NTNUs styre ble orientert om saken, sa organisasjons- og infrastrukturdirektør Bjørn Haugstad at institusjonen blant annet var usikker på om personvern og informasjonssikkerhet ville bli godt nok ivaretatt.

NTL mener derfor at departementet burde lytte til de tekniske fagmiljøene som allerede finnes i staten.

– Regjeringen burde i stedet støtte og styrke den enorme digitale kompetansen som finnes i staten, sier Dalen.

Vil ikke være mot samordning

NTL er ikke prinsipielt mot at universitetene samarbeider om digitale løsninger. Tvert imot mener Dalen at det kan være gode grunner til å samordne tjenestene.

Problemet er at samordningen nå skjer ved at institusjoner som allerede har egne løsninger, blir tvunget over på en amerikansk kommersiell løsning.

For NTL er derfor konklusjonen klar: Kunnskapsdepartementet bør trekke tilbake pålegget.

Dalen mener staten heller bør bruke saken som et eksempel på at det er mulig å utvikle og drifte egne digitale løsninger.

– NTLs mange medlemmer med stor IT-kompetanse ønsker å bidra til en positiv digitalisering som både ivaretar hensyn til kvalitet og sikkerhet. Det er uheldig hvis direktoratene i realiteten blir et hinder for god utvikling, framfor å legge til rette for at kompetanse og vilje til forbedringer brukes til det beste for hele fellesskapet, sier hun.