NTNU mener overgangen til Felles IAM blir kostbar og ikke gir universitetet ny funksjonalitet. Forskningsminister Sigrun Aasland mener én felles løsning vil styrke sikkerheten i sektoren.
– Løsningen er utformet slik at leverandøren ikke har tilgang til å lese personopplysningene, skriver Aasland i sitt svar.Foto: Benedikt Erikstad Javorovic
NTNU og Universitetet i Oslo er pålagt av Kunnskapsdepartementet å ta i bruk den felles løsningen for identitets- og tilgangsstyring (IAM) i universitets- og høyskolesektoren, som er utarbeidet av Sikt.
Da dette ble brakt opp for NTNUs styre, forklarte direktør for organisasjon og infrastruktur Bjørn Haugstad at de har motsatt seg overgangen.
– Felles IAM kommer til å bli et problem for NTNU, sa Haugstad under styremøtet.
Bjørn Haugstad var sterkt kritisk til at NTNU blir tvunget til å endre IAM leverandør.Foto: Tore Oksholen
Haugstad forklarer at den nye løsningen vil gi NTNU betydelige overgangskostnader og kreve store ressurser å innføre.
– Samtidig får ikke NTNU noe ny funksjonalitet sammenlignet med dagens løsning, konstaterte Haugstad.
Videre opplyste han at NTNUs IT-avdeling har reist spørsmål om personvern, informasjonssikkerhet og GDPR-konsekvenser knyttet til den nye løsningen. Universitetet skal derfor gjennomføre en egen risikovurdering av pålegget og konsekvensene av å innføre systemet.
Frykter tilgang fra USA
Stortingsrepresentant Sunniva Holmås Eidsvoll (SV) sendte 6.juli et skriftlig spørsmål til forsknings- og høyere utdanningsminister Sigrun Aasland om det er forsvarlig å pålegge NTNU og UiO å bytte system.
De to universitetene bruker i dag Cerebrum, som er utviklet ved UiO og driftes i Norge. Felles IAM bygger derimot på teknologi fra en amerikansk leverandør.
Eidsvoll frykter at leverandøren etter amerikansk lov kan bli pålagt å utlevere opplysninger til amerikanske myndigheter.
Hun viser også til at utviklingen av Felles IAM har blitt dyrere enn planlagt, samtidig som færre institusjoner enn forventet har tatt løsningen i bruk. Dette var også blant begrunnelsene som ble presentert for NTNUs styre.
Aasland: Dataene er kryptert
Aasland erkjenner at avhengigheten av utenlandske leverandører er en utfordring.
– Vi står i en særdeles krevende geopolitisk situasjon hvor vi står overfor flere komplekse problemstillinger. Konsentrasjonsrisiko og digitale avhengigheter til utenlandske leverandører er én av dem, skriver hun.
Statsråden mener likevel at sikkerheten i løsningen er godt ivaretatt.
Ifølge Sikt skal all lagring og behandling av data foregå i EU og EØS. Systemet driftes fra datasentre i Stockholm, opplysningene er kryptert, og Sikt kontrollerer krypteringsnøklene.
– Løsningen er utformet slik at leverandøren ikke har tilgang til å lese personopplysningene, skriver Aasland.
Hun opplyser at opplysningene er begrenset til personnummer og e-postadresser. Statsråden går ikke konkret inn på hvordan en eventuell amerikansk ordre om utlevering av data vil bli håndtert.
Mener fellessystemet gir bedre sikkerhet
Aasland understreker at Sikts tjenester som hovedregel skal være frivillige. I enkelte tilfeller mener hun likevel at departementet må kunne pålegge institusjonene å delta.
Hun mener en felles løsning vil gi bedre kontroll over identiteter og tilganger, styrke informasjonssikkerheten og redusere kostnadene for sektoren samlet.
Dersom NTNU og UiO fortsetter med egne systemer, kan det ifølge statsråden føre til et mer fragmentert systemlandskap, høyere kostnader og svakere samlet sikkerhet.
