Episoden er transkribert av kunstig intelligens, feil forekommer.

00:00 --> 01:08

Hei, og velkommen til Plattformpodden, en podkast om applikasjonsplattformer og teamene som lager dem. Mitt navn er Hans Kristian Flåtten, og med meg i studio har jeg Audun Faukalstrand. I dag er vi så heldige å ha med oss en person som er brennende opptatt av sikkerhet. Kristian Bull, som er direktør for digital sikkerhet i Nav. Velkommen til Plattformpodden, Kristian. Takk skal du ha. Jeg bygger ikke plattformer. Men sikkerhet er jo en slags plattform å bygge ting på? Ja, det er en fantastisk plattform å nå ut til folk på, selvfølgelig. Kan du ikke si litt om CV-en din, hvor du har jobba? Du jobba jo et veldig morsomt sted i Nav for en god stund tilbake? Jeg startet arbeidskarrieren min i Rikstrygdeverket i 2005. I noe veldig rart som heter Generelt kontor. Som jo er et av de rareste dyrene ... Velkommen til staten!

01:08 --> 02:25

Det var der alt det som ikke hadde med trygdelovgivning å gjøre, endte opp der. Så bl.a. informasjonssikkerhet og beredskap og sånn. Og senere ble vi til Post i Butikk, altså PIB. Personvern, informasjonssikkerhet og beredskap etter Nav-reformen. Men jeg sjekka ut fra Nav i tidlig 2009, og stakk av gårde til et utrolig kult prosjekt, faktisk, som var digitalisering av valggjennomføringen i Norge. I et departement, hvor vi gjorde litt sånn syke ting med å forsøke å avgi stemmer i kommune- og stortingsvalg på internett. Som jo er fullstendig galskap. Men vi gjorde et ganske godt forsøk på å få det til å bli bra. Så jeg er glad at vi ikke fortsatte med det. Men det var et utrolig spennende prosjekt, hvor vi kunne gønne på å prøve helt nye, uprøvde ting. Litt startup inni et departement. Veldig gøy. Og det har jo for så vidt nå blitt til et eget direktorat, det i Tønsberg. Og så etter det stakk jeg av gårde til Telenor.

02:25 --> 03:41

Hvor jeg var i nesten ti år. Først som sikkerhetsarkitekt, og etter hvert så fant jeg ut at jeg må prøve å blande meg litt inn i hvordan sikkerhet styres og ledes og sånn. Så da prøvde jeg meg et par år som leder for det som heter informasjonssikkerhet og arkitektur der. Før jeg kom hit, da. Ved nyttårstider i fjor. Så jeg har vært der i ganske nøyaktig et år. I et år og en uke. Nei, jeg tror en uke. Det er ikke så viktig. Men da er du leder for digital sikkerhet? Her er jeg da fagdirektør som heter det, for digital sikkerhet. Og det er mye å ta tak i. Mye spennende som skjer om dagen, kan vi si. Jeg skal avsløre min egen ukunde med å si at da jeg slutta i Telenor, var jeg ganske ... Da jeg slutta i Telenor, var jeg ganske klar for å være ferdig med sikkerhetsloven. Det var et slitsomt lovverk å forholde seg til. Så kommer jeg hit og oppdager at her er vi akkurat i gang med å skjønne at vi er under sikkerhetsloven, og har en del å ta tak i.

03:41 --> 04:53

Så der skjer det mye om dagen. Vi har hele tiden antatt at hovedmengden av de som hører på denne podkasten, er de som jobber med plattform, og det har i hvert fall jeg og Hans Christian lært i den siste tiden. Og det har i hvert fall jeg og Hans Christian lært i den siste tiden, at sikkerhetsloven og de tingene som står der, påvirker ganske mye de som jobber med plattform. Utrolig. Samtidig som det kanskje ikke er så dramatisk som man kan tro, når man først blir kjent med problemstillingen og sånn. For vi har en tendens til å snakke veldig mye om det som er hemmelig og gradert. Og der er ting vondt og vanskelig. Det er det ikke noen tvil om. Men for en virksomhet som Nav, hvor det viktigste vi driver med, er å klare å levere tjenester, så er det klart at da er det egentlig ganske ... Da blir vi ... Han er så gode venner! Vi er veldig avhengig av plattformene våre for å klare å levere. Og så handler det om å klare å bygge de tjenestene på en sånn måte,

04:53 --> 06:10

eller de plattformene, på en sånn måte at de tåler den skikkelig dårlige dagen når det smeller ordentlig. Og så ta inn over seg at vi må bygge for ... Vi må på en måte ha den mentaliteten at krig kan skje. Vi har et trusselbilde rundt oss nå som er ganske ... Ganske ubehagelig. Det er ikke noe hyggelig å lese ... Vi har det i media hele tiden nå, ikke sant ... Senest i dag, faktisk. Vi er på NRK med det danske forsvaret, som varsler om mulig storkrig i Europa innen fem år. Ja. Det de sier, er at innen fem år tenker de at russerne kan være klare for en konflikt med et Nato-landvern. Det er jo det som er det store ... Det store bildet nå er at du har et Russland ... Jeg pleier å si at vi har gått fra en sånn utrolig fin tid. Jeg er glad for at jeg fikk vokse opp på 90-tallet. Jeg trodde du mente høsten, jeg. Sommeren. Jeg er en sommerperson. Jeg vet ikke hvor gammel du er ... 45.

06:10 --> 07:22

Ja, der rakk du kanskje ... Ja, 45. Vi som var barn på 80-tallet, vokste opp med et Damoklus-sverd over hodet, nærmest, og følte at atomkrigen var rett rundt hjørnet. Og så kollapser Sovjetunionen, og alt blir veldig fint, og det ser ut som om bare "The end of history", og alt åpner seg, og verden ligger der, og nå skal alle være venner. Og så varte ikke det. Men vi har tilpasset verden til det. Vi har lagt ned alle de store ... Institusjonene, mer eller mindre. De er bygd ned veldig, da. Og vi er ikke rigga for at krig er noe som kan skje. Og det ønsker jeg vi kunne fortsette med. Men det er en realitet at vi har et stort naboland, som har vist seg veldig villig til å bruke voldsmakt til å tvinge gjennom sin vilje. Og så har vi ... Vi er så heldige, det er vel et verdt å si, at Russland har kjørt seg fast i Ukraina.

07:22 --> 08:46

Det skjedde ikke det som de hadde planlagt. Ikke i det hele tatt. De skulle ta det på tre dager, nå er det ikke lenge til det er tre år hvor de holdt på. Høres ut som et hvilket som helst IT-prosjekt, egentlig? Ganske kjent. KS2 mangla, det var det som ... Hadde de bare kjørt KS2 på nå, så holdt det bra. Men ... nei da. Altså ... men det har gjort at egentlig så tror jeg Norge aldri har vært tryggere. Det har aldri vært mindre sannsynlighet for en krig med Russland i morgen, enn det er i dag. Men, og det er jo det den danske meldingen sier, og som også flere andre lands etterretning har vært ute og sagt ... Altså tyskerne har vært ganske høylytte på dette en god stund nå ... Den dagen det blir fred i Ukraina, uansett hvordan det skjer, så vil jo Russland fortsette med sin oppbygging. Slik at der hvor de i dag overhodet ikke utgjør noen militærtrussel på kort sikt, så vil de igjen kunne gjøre det om noen år. Og denne danske greia tegner jo opp noen forskjellige scenarioer,

08:46 --> 10:25

hvor en storkrig er kanskje ti år unna, en mer regional konflikt fem år unna ... Potensialet for Guayatropp? Ja, for alle deler. Det vi hele tiden snakker om, er Russlands evne til å gå inn i en sånn konflikt. Og ingen tror at russerne kommer til å angripe oss umiddelbart. Men samtidig så vet vi det at Putin har et verdensbilde og noen ideer om hva som er hans rett som russer til å gjøre overfor sine naboer. Da kanskje spesielt de baltiske statene. Men også på en måte det vi nesten må kalle randstatene. Ukraina er en av dem. Vi har Moldova som en annen, som fort kan bli utsatt for noe. Og Georgia selvfølgelig. Alle disse søker jo da trygghet andre steder. Eventuelt søker de trygghet ved å legge seg på ryggen, sånn som Belarus. Det er vel det riktige navnet nå. Det som er den mer umiddelbare trusselen, er jo at Putin kan søke å knekke samholdet i Nato ved å vise at det ikke er så sterkt. Og det kan skje mye fortere enn disse fem eller tre årene.

10:25 --> 11:42

Det kan skje i løpet av ganske kort tid etter en fredsslutning i Ukraina. Det man tenker seg, er at ... Forsøke seg på en mindre lokalisert konflikt. Type "hvem gidder å dø for en landsby i Finland?". I hvert fall ikke Trump. Han er ikke interessert i å inngå i en konflikt på det nivået. Og så får ikke Finland den hjelpen de ber om, og vips, så er denne ... Det er et fantastisk artikkel fem. Den viser seg å ikke være dette magiske dyret som man av og til kan tenke seg at det er. Hvor et angrep på én er et angrep på alle, og alle står sammen, og det er full krig umiddelbart. Nei, det er ikke sikkert at det blir sånn. Det er noe av den bekymringen man har nå. Det kan selvfølgelig også tenkes at noe slikt vil ramme Norge. Det er for å ... Nå holdt jeg på å si veilede, men det er vel litt svakt på en måte. Det er å si noe om hvordan vi i Nav, eller det offentlige Norge, skal forberede seg og håndtere sånne situasjoner.

11:42 --> 13:23

Ja, ikke sant. Målsetningen vår, eller målsetningen til sikkerhetsloven, det er å sørge for at de institusjonene som samfunnet er avhengig av for å fungere, at de forbereder seg på at de kan måtte fungere under svært vanskelige forhold. At de faktisk er forberedt på og har tenkt gjennom: Hva skal vi gjøre? Hvordan skal vi sørge for at pensjonistene fortsatt får pengene sine? Eller at folk får strøm, eller at politiet opererer som politi og ... Alle disse såkalte grunnleggende nasjonale funksjonene som man har pekt ut. Da vi fikk en ny sikkerhetslov i 2019, så startet det samfunnsarbeidet med å kartlegge hva som egentlig må være på plass for at samfunnet skal fungere. Og ja, det er noen helt innlysende noen. Sånn som at strømmen funker. At vi har Internett. At vi har DNS. At vi har mobiltelefoni og mobildata. Dette er jo noe jeg fikk beholde en del med i Telenor. Og da er det sånn at en av disse grunnleggende nasjonale funksjonene, det er ... Det er penger til befolkningen, ikke sant. Og så tror nok ikke vi at vi liksom er det første målet.

13:23 --> 14:26

Det er fryktelig viktig at vi klarer å levere tjenestene våre. Men ikke like viktig som strøm? Vi er ikke så viktige som strøm. Fordi at folk klarer seg nok noen uker uten dagpenger. Men vi klarer oss ikke så innmari lenge uten strøm. Det er de såkalte grunnleggende nasjonale funksjonene, GNF-ene, som vi liker å si her, og de kan man ... en god del av dem finnes det oversikt over ... Jeg tror det er på regjeringen.no, hvis du googler det, så finner du det. Men da står det hva som er man har kommet fram til, er de tingene som, i hvert fall de ikke-hemmelige tingene, som skal fungere i en sånn situasjon. Det er riktig. Hvis man googler grunnleggende nasjonale funksjoner, så finner man den lista. Den er ikke spesielt hemmelig, og den er også veldig overordnet. Så ikke sant, det er for å ... Vanskelig å lage systemer bare ut fra én setning, som er et typisk problem i Nav. Men grunnen til at dette er veldig relevant for plattform, er jo som du sier: Det som treffer Nav mest, er jo at det skal være tilgjengelig og fungere.

14:26 --> 15:51

Altså tilgjengelighet og integritet. Og da er det jo ... Nav har jo masse applikasjoner som på en måte utfører de oppgavene i dag. I fredstid eller i normalsituasjonen. Og så ser man jo at i en eskalering eller overgang til krig eller krise, så er det naturlig at det er plattformens jobb til dels å prøve å gjøre tiltak, for det er så mye mer effektivt enn å gjøre det på hver enkelt ytelse. Og i Nav så bruker vi en god del allmennsky, og det er jo sånn som da blir et spørsmål: Hvilke krav og hvilke føringer kommer fra et sikkerhetsperspektiv for hvordan vi kjører? Applikasjonene våre, hva slags infrastruktur vi bruker, og alt mulig sånn. Og det der er jo skikkelig gøy, for det er sånt som du ikke får noe konkret svar på. Det er skikkelig vanskelig å få gode svar på. Og da må du gå og tenke deg om: Hva er det egentlig som er problemet? Og utfordringen for oss her oppe på berget med å bruke allmenn sky, Det er at vi bor på en liten halvvei. Det er vann på alle kanter, bortsett fra på én side, hvor det er masse skog og Russland.

15:51 --> 17:05

Og det betyr at i praksis, all internettrafikken vår, den krysser enten sjø eller Russland. Og det har vist seg ... Øresundsbro er ikke nok, for det har jeg allerede prøvd meg med som argument. Bro teller ikke. Men telle litt, da. Men det som har vist seg, er jo at mange kinesiske og russiske kapteiner sliter med å få dratt opp ankeret. Og noen av dem mister det etter at de har kommet seg ut på sjøen. Og det det har demonstrert veldig effektivt, det er jo at sjøkabler er sårbare. Ja, det er en hel haug av dem. Men de er relativt konsentrerte. Det er ikke spesielt hemmelig hvor de er hen. Det er bare et passe godt Google-søk, så får du animasjoner og hele pakka. Da veit du rutholdig hvor de er hen. Sikkert ikke nok til å slippe ned ankeret. Men det er ca. hvor de er hen. Jeg er sikker på at det er opptil flere i GRU som har som jobb å vite hvor de kommer hen.

17:05 --> 18:18

Så det bruker nok de mer tid på enn deg og meg. Vi må tenke sånn at det er en realistisk mulighet, at man i en skikkelig tilspisset krise ... At det kan bli tynt med internett ut av den skandinaviske halvøya ... Det er den skandinaviske halvøya i hvert fall. Ja, men det er ikke det søndre Finland, tror jeg. Der det åpenbart er en halvøy. Det er den skandinaviske halvøya. Fenoskandia har jeg hørt om. Jeg tror vi mangler ... Uansett. Jeg tror vi alle skjønner hva de mener. Det kan være en spesialepisode om geografien bak som kommer! Et lite stikk her i Russland, og som ikke er vann. Poenget er at ... Og dette er noe som jeg tror sikkerhetsmyndighetene er opptatt av at vi tenker på, at når vi velger ... Hvor vi skal kjøre ting. Så må vi ha i bakhodet at det datasenteret er kanskje ikke driftet fra den samme halvøya som kan bli avskåret.

18:18 --> 19:31

Det er to elementer. Det ene er at vi har direkte tilgang til det senteret. Eller brukerne våre kan gå inn i det datasenteret som vi bruker. Men også at de som eier og drifter det, også har tilgang. Og det er jo forskjellige ting. Og det er jo det som er greia. Nettopp de som drifter det, de sitter gjerne et eller annet sted i USA. I hvert fall indirekte. At noe gjøres der som sakte propageres ut til de ulike sentrene. Ja, og i hvert fall noe vil slutte å skje. Det er vel ganske klart. Jeg snakker mye om Russland, og det er fælt og vondt, det. Men det er jo også et potensial for konflikten i Kina. Hvor det er lite sannsynlig at Norge vil være direkte involvert. Men hvor det har en spillord-effekt. Vi vet veldig godt at kineserne er dypt inne i amerikansk kommunikasjonsinfrastruktur. Det er ikke en offentlig hemmelighet engang. Det er helt offentlig. SISA har vært ute og snakket om det, og det er jo der faktisk litt ...

19:31 --> 20:45

Det er litt tilfeldig at de oppdaget det. De oppdaget det i ... noe helt annet ute på siden. Og så: "Oi, se her var det noen rare aktører", og de legger igjen denne typen spor. Så begynte man å lete etter den typen spor i loggene hos andre aktører, og begynte å finne dem igjen. Og vet ikke hvordan vi skal bli kvitt dem. Men poenget er at Kina er også der, og selv om ikke vi kommer i en direkte konflikt, så er det all mulig grunn til å tro at hvis det skulle bli en ordentlig tilspisselse, rundt f.eks. Taiwan, så vil kineserne ønske å gjøre skade på amerikansk kommunikasjons- og energiinfrastruktur. Da kan det bli veldig vanskelig for de folka å drifte til ting, selv om de står i Norge. Så alt i alt er det et globalt trusselbilde, som gjør at selv om disse hyperscalerne er fantastisk gode i vernehagen, i normalsituasjonen ... De gir oss en stabilitet, en tilgjengelighet og en endring. Og tilgangen på nye produkter og innovasjon og alt mulig sånt også. Ikke sant. Som er av kjempeverdi for oss, og kjempeverdi for samfunnet.

20:45 --> 22:17

Og i mitt hode så er det utrolig viktig at vi ikke lar den frykten, brettigede frykten, for hva som kan skje i en skikkelig dårlig situasjon, at vi ikke lar det være til hinder for at vi i hverdagen, som forhåpentligvis er det eneste vi kommer til å oppleve, at vi ikke bruker de beste produktene da. Det er både en viktig læring fra Ukraina-konflikten, men også et viktig signal som har kommet nå. Det kom veldig tydelig fra både E-tjenesten og NSM i forbindelse med av trusselvurderingene, at det er viktig å tenke: Ikke så mye "Å, gud, her er noen skumle", men "Hva gjør vi når det går gærent?"? "Hvordan kommer vi oss opp igjen?" Ikke sant? Og da er det utrolig viktig at når vi bygger plattformer, f.eks., så tenker vi på det at det kan bli nødvendig å reetablere et annet sted, og en annen infrastruktur. Det er ikke trivielt å finne en god løsning på det, men da må vi også huske på at det er ikke sikkert at den plattformen trenger å fungere helt som i normalsituasjonen. Var det noe korona viste, så var det at når krisen smeller,

22:17 --> 23:20

så blir vi vesentlig mer fleksible. Det var veldig gøy, faktisk. Skal vi håpe litt på en ny pandemi innimellom? Det var flere som endelig fikk ut denne ... Å ja, VPN, ja! Det klarer vi å få satt opp, ja. Det er ikke tvil om at en veldig viktig ting som man kan bygge opp i fredstid, er jo endringsevne og robusthet. For det er jo veldig vanskelig å vite akkurat hva det er som kommer til å skje. Det er ikke sikkert det er de tre tingene vi har tenkt på, men det at man har muligheten til å tilpasse seg. For eksempel for Nav, våre lovverk, i konflikter vil man anta at noen av de også kan ville forandre. Ytelsene, ikke sikkerhetsloven, men hvordan det Nav skal utbetale. At det kan være endringer der òg, for å tilpasse seg en eller annen krise. Da må vi jo kunne endre oss. Ok, jeg brukte mye tid på å male "gruse" med skremmebil på veggen, men egentlig så er det ikke det vi skal tenke på. Det vi skal tenke på, det er uavhengig av hva trusselen er:

23:20 --> 24:34

Hvordan får vi dette til å funke, hvis en del grunnleggende ting endrer seg? Hvis datasentrene våre ikke er tilgjengelige lenger, hva gjør vi da? Et valg vi tar i Nav, er at vi prøver å unngå i så stor grad som mulig å knytte oss direkte fra applikasjonene til proprietær teknologi fra skyldeverhandlerne. At vi prefererer open source. Det er ikke så vanskelig å finne ut hvilke open source-biblioteker som de fleste store skyldeverhandlerne tilbyr. Og så velger vi det, hvis vi har et valg. Og det gjør det jo lettere både å flytte mellom, men også å flytte til et annet sted, når man har det som ... Det er jo ikke standard, men det er på en måte de facto-standard, og det som er mulig å kjøre på andre steder. Hvis du knytter deg direkte mot supergoogle-teknologi eller AWS Fargate eller hva så, så er det mye vanskeligere å flytte. Da må det gjøres mer endringer. Det er jeg alltid blitt nysgjerrig på når du sier det. Hva er da den fantastiske superpoweren ... Er det da bare skalerbarhet, for du nevnte tilgang til nye teknologier?

24:34 --> 25:44

Men det er egentlig bare skalerbarheten som er viktig, eller er det ...? For den saks skyld er det ikke alltid du har det valget. Det er fortsatt noen av skyldleverandørene som har magiske teknologier som det ikke finnes open source av, kanskje spesielt på datasida, som open source-verdenen ikke har kommet like langt. Det er skalerbarhet, men også driftssikkerhet og ... Et veldig godt eksempel også er jo transparensen. Bare det at du har fullstendig ... Du kan tydelig se hvem som bruker hva, og du får tilgang til kostnader som er nyttige verktøy når du skal prioritere og velge. Men også mye av verktøyene rundt tilgangskontroll. Et godt eksempel på noe som er veldig vanskelig og komplisert å lage bra. Som Google og Microsoft og Amazon har gjort. Og så kan man bruke det. Da er det ofte tilgangskontroll for utviklerne og drifterne. Så må du anta at hvis vi skal gjøre det selv, så vil det være dårligere. Jeg har vært med på å prøve å bygge litt zero trust-ting.

25:44 --> 26:53

Det er ikke noe moro når man skal håndtere sine egne sertifikater. Et annet mønster er at mange av de store leverandørene tilbyr jo sine egne produkter, men bak et grensesnitt ... De har postgressbaser som egentlig ikke er postgressbaser, det bare ser ut som postgressbaser. Sånn at de kan bruke sin teknologi, som de har gode og effektive driftsrutiner på. Men så vet de at folk egentlig har lyst på de open source, så de bare lager et eller annet oversettelsesrammeverk. Men hva mister vi da, når vi flytter tilbake? Hvis vi nå måtte flytte til, ja i verste fall, en rivende liten testmiljø, ikke sant, og fyre opp nice på ...? Erfaringa er at vi mister litt stabilitet. De er jo fryktelig gode på det å drive de nederste lagene. Og så mister vi en del sånne verktøy, hygienefaktorer, oppgraderingsverktøy og masse sånn, som de vet vi er villige til å betale for.

26:53 --> 28:12

Det er jo ikke blå kors noen av disse folka, de vet jo liksom hva som er verktøy som vi trenger å betale for. Så det er kanskje mest det. Spesielt det der med stabilitet og tilgjengelighet, det er en av de største verdiene vi får, for det handler litt om tillit, ikke sant. Og det er jo viktig også i kontekst av sikkerhetsloven, det der å bygge ... At man skal kunne ha tillit til at ting funker. Og jeg tror at vi skal ganske langt ut i krisespekteret før ting begynner å gå gærent med disse hypescalerne. Så jeg tenker at i en veldig stor del av dette fred-krig-spekteret ... Så er det et veldig, veldig lurt og godt valg å faktisk bruke hyperscalerne for det de er gode for. Fordi det er jo reelt at vi får bedre ... tilgjengeligheten spesielt. Men jeg tror nok generelt sikkerhet er bedre. Bedre på skytetjenestene.

28:12 --> 29:37

Det er jo i realiteten ganske sikkert at jeg kan stå for den fortsatt. At ingen som har blitt tatt på kryptovirus, f.eks., på M365. Ikke sant? Det er mye skumlere ofte å drive ting om fram. Det eneste du vinner, det er at du slipper å ha GRU som navarite. GRU som nabo på hjernet. Men så lenge det ikke er en problemstilling, og det er det ikke for oss som leverer tjenester på dette nivået her, så tenker jo jeg at man skal virkelig tenke seg nøye om, da. Om man sier at vi ikke skal basere oss på en harpscaler. Absolutt. Fordi det som fremstår som noe som mange tenker, er: At sikkerhetsloven sier at for at dette skal være trygt, så må det være full nasjonal kontroll. En ting som ofte sies at da må det være i Norge av ... Av nordmenn. Altså av ... Utskrevne nordmenn! Du må kunne styres nærmest av militæret, da. Og det er altså ikke tilfellet i det hele tatt.

29:37 --> 30:42

Det er den sammenblandingen man ofte gjør opp mot gradert informasjon. Sikkerhetsgradert informasjon. Og det er informasjon som hvis den blir kjent, kan skade landets interesser? Ja, sånn cirka. En god gammel hemmelig ting som du ville skrevet med ... Usynlig blekk. Jeg antar det er fortsatt sånn det gjør det, men det har jeg ikke innsikt i. Men det er riktig. Og for de fleste ... For vanlige offentlige institusjoner er det bitte lite i ørene av virksomheten. Og der er det helt andre rammebetingelser. Skulle vi snakka om det, så hadde ikke dette vært en hyggelig prat. Jeg syns synd på de som skal håndtere masse av det. Men de har sikkert noen gøyale utfordringer i hverdagen. Det er et viktig element at de som håndterer det, vet det og har gode rutiner for det. Det er kjent for disse hvilke deler av offentlig forvaltning som håndterer og kan og ikke kan håndtere den type informasjon.

30:42 --> 32:01

Det er riktig. Regimene for utveksling ... Det er ikke sånn at du tilfeldigvis har noe som du ikke visste var gradert. Det er ikke sånn at PST tilfeldigvis gir deg noe informasjon som du burde ha skjønt at var gradert. Det passes på. Og så en annen ting som det har vært en del uklarhet om, eller i hvert fall vanskelig å sortere, er jo forskjellen på personvern og sikkerhet. I gamle dager, for flere måneder siden, så var det Schrems! Alle brøt sammen, nå er det Putin. Og det er ofte man tenker at mye av det samme handler om i Norge, og at det handler om at vi har kontroll. Men virkeligheten og tiltakene er jo ... Hensynene er helt ulike. Personvern handler om deg. Den bryr seg om individer. Sikkerhetsloven bryr seg ikke om deg. Den bryr seg ikke om individer. Sikkerhetsloven er til for å ta vare på staten Norge. Staten Norge har ikke noe behov for personvern. Det er helt andre ideer. Det er også det at i GDPR-kontekst kan du avtale å bruke personvern.

32:01 --> 33:03

Jeg har avtalt at du skal passe på dette, så da satser jeg på at du gjør det. I hvert fall så lenge slems står, så kan man si det. Det kan du ikke gjøre på samme måte under sikkerhetsloven. Så helt andre risikovurderinger, helt andre hensyn som man legger til grunn når man vurderer, og et annet handlingsrom. Personvern er også viktig, det er bare det å klare å handle. Det er bare det å klare å sortere når du tenker på den andre. Det er veldig forskjellig hva du skal gjøre og hvilke vurderinger du gjør, og så må du bare finne noe som passer med alle typer vurderinger. Det at du har gjort en helt strålende PVK, det hjelper deg akkurat ingenting opp mot sikkerhetsloven. Det er en helt annen greie. Og PVK for de som ikke kjenner til det, er det personvernkonsekvensutredning? Ja, vurdering. Jeg har alltid syntes at rent forkortelsesteknisk ...

33:03 --> 34:05

At det mangler noen bokstaver i PVK. Det må være en TBF, det går ikke med fire. Det blir urimelig ... Uansett syns jeg vi har litt å gå på der, på det. Er det et begrep brukt utenfor naboer? Jeg tror nesten det står i den norske varianten av Wislock & DePerche. Det er ikke sånn at jeg kom fra til jord og så forkortelsen PVK første gang. Vi er ikke en barnepodkast-treffer. Selv om episoden om Minecraft kanskje tok oss litt i den retning, så tipper jeg barna forsvinner fort når vi kommer til den episoden igjen. Og så har det kanskje vært noen digitaliseringsstrategi imellom. Nå kommer jeg på en interessant ting du har snakket om tidligere. Ukraina er jo noe man har lært mye om i nasjonal digitaliseringsstrategi. Så var det jo litt fokus på det å kunne flytte ting ut av Norge i en situasjon. For det er ikke alltid at det å ha nasjonal autonomi er det riktige. Noen ganger trenger du at ting har tilgjengelighet,

34:05 --> 35:07

og da er det kanskje lurt å flytte det ut. Vi har jo erfaring med å tenne kongen vår ut av Norge. Og kongen og gullet, ikke sant? Og gullet nå er kanskje digitalt. Det var veldig mye sånn konsernspråk, men det er jo riktig. Det er vår alles kunnskap. Riktig motsatt. Men ikke sant, ja. Og det er faktisk litt morsomt, syns jeg. Det er ikke morsomt at Ukraina ble invadert, men det som skjedde var jo at Amazon rykket inn med datasentre. De jobbet på en lastebil, og så lasta de ned hele datasenteret til ukrainske myndigheter, og kjørte det ut. Men så er det interessant ... Da mistenker jeg at noen av de i hvert fall fikk noe smusstillegg. Og kanskje nattillegg, altså. Og det er nettopp det. For når vi tenker på informasjon som gull,

35:07 --> 36:17

og for Nav er jo det i aller høyeste grad tilfellet ... Vi har informasjon som må tas vare på, og som må overleve krigen. Som vi trenger når vi skal bygge opp igjen samfunnet. Og da er det selvfølgelig et selvstendig poeng å få det ut av landet. Absolutt. Backup-strategier bør tenkes om. Da kan du snu på det. "On-pram", og det er trygt og fint? Ja, men du bør i hvert fall sørge for at backupen din ikke er der. Samtidig så er det morsomt ... Jeg var så heldig å få treffe CTO-en i Kyivstar, altså den største telekonen i Ukraina, og de hadde ikke flytta noen ting ut. På grunn av GDPR. Men pga. personvernloven i Ukraina turte de ikke å flytte persondataene sine ut av Ukraina. Det er et godt eksempel på hvordan sikkerhet og personvern noen ganger drar i forskjellige retninger, men du må alltid tenke på begge to. Du sier vi må ha to tanker i hodet minst?

36:17 --> 37:33

I en sånn situasjon tipper jeg flere av oss kommer til å ha flere enn to tanker i hodet. Men en annen ting som er interessant, er jo da: Hva er de alternative løsningene? For hvis vi har lyst på å bruke kvaliteten og sikkerheten og alt mulig fra de store allmenne skyleverandørene, og så trenger vi en plan B! Og da er det et spekter av ting. Nav har jo fortsatt et eget datasenter. Det finnes kommersielle aktører som er basert i Norge. Vi har mange store offentlige aktører. Det har vært en KVU om en sånn nasjonal skysak som skal komme. Så det er jo masse alternativer der òg. Absolutt. Og du har mulighetene til å gjøre nesten hva som helst, så lenge det er troverdig at vi klarer å drifte det i den krisesituasjonen. Om det så er å velge en datasenterleverandør som er basert i ... I Norden, med nordiske folk. Til ... Ikke sant, som vi snakka om her i sted, med å rive ned testmiljøet sitt og få det opp.

37:33 --> 38:45

Det viktige, og jeg skal ikke ta noe stilling til om det er lurt å gå for en lokal leverandør som sånn til hverdags, men det viktige er at når du lager deg slagplanen din for hvordan du skal håndtere at ... Den leverandøren blir utilgjengelig. Så må det være noe du tror på. Det må være noe du kan demonstrere. For det er ganske store krav til etterrettelighet på de planene? Ja. Det er ikke greit å stå der og "vi trodde det skulle gå". Jeg skrev en sjekkliste. Sånn som dette foregår, er det at en tilsynsmyndighet vil komme en dag og si: "Hvordan har du vurdert dette da?". Hvordan har du vurdert dette da? Når du har tatt noen valg. Hvis du har tatt noen valg som kanskje er litt kontroversielle. Da må du kunne forsvare det. Den beste måten å kunne forsvare det på, er å kunne vise til at du faktisk har testa. Det er en forutsetning for alt godt beredskapsarbeid uansett. Det er å øve.

38:45 --> 39:54

Ideelt sett øve litt realistisk. Det betyr at du øver på å flytte tingene fra en allmenn skyldleverandør som har visse risikoer kobla på seg, til et annet sted som har andre risikoer? Nettopp! Vi snakker jo om tilgjengelighet, f.eks. At vi tror at når vi er i sky, så klarer vi å være ganske nær 100 % tilgjengelighet. Det klarer vi sannsynligvis ikke om prem. Men ... Jeg vil heller ikke være forventningen i den krisesituasjonen. Da vil det være greit at du kanskje bare klarer tre nitall etter komma. Skjønner du at du jobber i telekombransjen? Siden du vet at tre nitall er lite. Det er litt ambisiøst, det må jeg si. Jeg husker ikke den tabellen lenger. Det er noen timer i måneden nå, men. Tre nitall, det er ikke vanskelig. Jeg har mer enn det på snack. Jeg er kjempegod på tilgjengelighet på snack.

39:54 --> 41:03

Du har vel litt SLA eller noe sånt? Hvor flinke er norske organisasjoner på å øve på nettopp det da, Kristin? Jeg føler meg ganske sikker på at de ikke er så pike, kan jeg si det sånn. Dette er krevende, fordi det er veldig behagelig å gjøre skrivebordsøvelser. Og så er det både kostbart, tidkrevende ... Men det er bare vanskelig, rett og slett. Ta f.eks. strategien jeg river ned testmiljøet mitt, og fyrer opp et nytt on-pran-produksjonsmiljø. Da må du faktisk gjøre det. Da blir testmiljøet ditt utilgjengelig noen dager. Det er kanskje ikke så gøy. Så må du bygge opp igjen testmiljøet etterpå. Det krever masse tid og innsats. De gangene vi har gjort sånne øvelser i Nav, har vi lært utrolig mye av det. Av ting man har glemt man skulle ha, og hva slags hyperbackup man skal ha ... Det er veldig mange ting som man aldri vil klare å planlegge ... Dette er akkurat som vanlig systemutvikling, du kan planlegge så mye du vil,

41:03 --> 42:09

men inntil du faktisk prøver, så vet du ikke hva du har glemt. Hvis du gjør det sjelden, så er det vanskelig. Gjør du det oftere, så blir det lett. Det er også min hypotese at du kan gå for langt. Du kan begynne å tenke "jeg skal ha to aktive varmemiljøer på forskjellige lokasjoner", og så går det fryktelig utover stabiliteten din i normal situasjon. Det er også viktig å tenke på. Det er jo helt unødvendig. Og koster masse penger òg. Det tror jeg er det viktigste å tenke på. Det er at ja, du skal tro på at du kommer opp, men du trenger ikke å bygge for krig. Du må ha en plan. Og igjen, du trenger ikke å fungere som normalt i en krig. Du må ha en plan for hvordan du skal klare å levere basistjenestene dine. Og du trenger kanskje ikke å ha like etterrettelig saksbehandling. Ingen jurister var her for å forsvare seg. Noen jurister ble skadet under spillet.

42:09 --> 43:12

Dette vet vi. Vi vet at i en krisesituasjon ... Dette er det samme som koronaen, jeg var med å lage forskning på dagpenger. Vi fikk skjært ned mengden etterlevelseskrav mye. Vi hadde sjablongmessig skatteberegning, det var en masse ting som var enklere. Fordi da var det krise, og det var viktigere. Og vi hadde også tilgang til beslutningsmyndighetet på et helt annet nivå, som kunne ta denne risikoen. Det er sånt som oppstår i kriser. Da blir kommunikasjonen kortere, og sensor virtues i høyere, og man lager løsninger som er tilpassa problemene man kjenner da. Absolutt. Vi ser at klokken tikker, og vi nærmer oss å gå inn for landing. Vanligvis stiller vi noen spørsmål. Kanskje med lyst til en utfordring, nærmest. Vanligvis spør vi jo da om en gang ting feilet. Kanskje du kan komme tilbake igjen etter neste beredskapsøvelse. En beredskapsøvelse? Få snakke om hvordan det gikk.

43:12 --> 44:25

Det hadde vært innmari gøy. Om vi først har en beredskapsøvelse. Vi har hatt beredskapsøvelse, faktisk. Vi skal jo ha en test nå, på en sånn kritisk løsning. Kanskje? Det hadde i hvert fall vært veldig gøy å høre mer om hvordan vi praktisk gjennomfører sånne beredskapsøvelser. Det tror jeg det er mange som har behov for. Er det noe vi har glemt å spørre om, Kristian? Gud hjelpe dere, helt sikkert! Men jeg er ikke mer medievant enn at jeg er overveldet. Jeg tror jeg har fått komme gjennom de aller viktigste tingene jeg hadde på lista mi. Er du på sosiale medier hvis noen vil ta kontakt med deg? Du finner meg på LinkedIn. Jeg vil si tusen takk til Kristian som har opplyst oss om den sikkerhetspolitiske situasjonen vi står i nå, og det sikkerhetsnettet som eksisterer for å minimere konsekvensene når krisen inntreffer. I mellomtiden, husk at øvelse gjør mester. Du har hørt en episode av Plattformpodden med Hans Kristian Flåtten

44:25 --> 44:47

og Audun Faukastrand. Teknisk produsent har vært Tore Gressdal, med god hjelp fra Arild Stenbekk. Nyeste episode finner du alltid på plattformpodden.no, eller i din lokale podkastapp. Følg oss gjerne på LinkedIn. Ha det! Ha det bra! Ha det bra!