Sigrun Aaslands håndtering av IAM–pålegget er en skandale

I begynnelsen av måneden avslørte Morgenbladet at Sigrun Aasland feilinformerte Stortinget i spørsmålet om hvorvidt IAM er en trussel mot personvernet. Kort tid etter skifter hun departement.

Aasland påla i vinter NTNU og Universitetet i Oslo å gå over til såkalt Felles IAM. Det handler om dataene som tilhører norske forskere og studenter i systemer for identitets– og tilgangsstyring. Systemet sørger for at personer får tilgang til det de skal ha tilgang til, ikke mer. For at systemet skal fungere, må det ha tilgang til et bredt register av personopplysninger. Selskapet som drifter systemet det er tale om, er amerikansk, hvor eier kan pålegges å utlevere data til amerikanske myndigheter. Hvordan vurderer statsråden sikkerheten til disse dataene?

Spørsmålet ble stilt henne av Sunniva Holmås Eidsvoll (SV). I svaret forsikret statsråd Aasland at de eneste opplysningene de fikk tilgang til, kun er personnummer og epostadresse.

Det avslørte Morgenbladet at er feil. Da de informerte KD om dette, medga Aasland at det hun hadde sagt var «upresist.» Hun ville heller ikke ta personlig ansvar for sin upresishet.

I sitt korrigerte svar til Eidsvolls spøretimespørsmål får vi listet opp personopplysninger som lagres i IAM: Fødselsnummer, fullt navn, bruker–ID/passord, studentnummer, epostadrese, mobilnummer, IP–adresse, institusjonstilhørighet inkl. Stillingskode, personlig pinkode, passfoto.

Disse opplysningene deles normalt ikke med utenforstående. Men siden selskapet er underlagt amerikansk lovgivning, kan amerikanske myndigheter i en gitt, framtidig situasjon, kreve opplysningene utlevert, slik tilfellet er med kinesisk lovgivning.

Men Aasland og KD står på sitt. «Dersom enkelte institusjoner står utenfor, kan det gi et mer fragmentert systemlandskap med økte kostnader og svakere samlet sikkerhet i sektoren» skriver hun.

Med andre ord: Å tvinge alle universitetene inn i en løsning hvor et USA-eid selskap får monopol på et system som kan hente ut sensitive data om universitetsansatte, styrker vår digitale sikkerhet.

Dette er Orwellsk nytale i en norsk forsknings- og høyere utdanningsministers språkdrakt.

NTNU og UiO protesterer kraftig mot å bli pålagt å innføre det amerikanske systemet, man har sitt eget, norskutviklede system, bygd på åpen kildekode, som man synes fungerer helt utmerket. Aasland opprettholdt pålegget, med stordriftsfordeler for sektoren som argument (for NTNU påløper ekstra kostnader ved omlegging).

Eidsvoll – og andre kritikere av IAM – argumenterer med hensynet til digital suverenitet.

Med dette i mente: Kunne man da forventet at Aasland ba departementet sitt gå en ekstra runde med forvaltningsorganet Sikt om det virkelig var slik at systemet var så sikkert?  Det får vi ikke vite, for nå har Aasland fått et nytt departement å bestyre. For henne er miseren «water under the bridge».  

Departementet hun forlot ser foreløpig ingen grunn til å vurdere saken på nytt. Begge satser åpenbart på at saken forsvinner av seg selv. Det bør den ikke få lov til. Derfor er det betimelig at jusprofessor Benedikte Høgberg finner fram øksen i en ytring i Khrono. Hun advarer om at det kan forefinnes faktisk grunnlag for å stille Sigrun Aasland for riksrett.

Da Morgenbladet konfronterte Aasland med at hun avga misvisende opplysninger, svarte hun at dette er «alvorlig.» Så kan man undres over hva som var alvorlig – at hun feilinformerte Stortinget? Svar nei. Aasland skylder forvaltningen: «Det er alvorlig at informasjonen som kommer på mitt bord, ikke er korrekt» At Stortinget ble feilinformert er altså Sikts feil, ikke den (presumtivt) ansvarlige statsråden.

Nå har NTNU og UiO tatt grep, ved å hyre inn advokathjelp for å vurdere om den pålagte løsningen kan føre til brudd med EUs regelverk for personvern. Det burde regjeringen ha gjort for lengst, innen man pålegger norske universiteter å innføre Felles IAM.