Når jeg snakker med bedrifter om ekstern IT-drift, møter jeg ofte to helt ulike utgangspunkt. Den ene ser en driftspartner som en lettelse: Endelig kan noen andre passe på servere, brukere og sikkerhet. Den andre ser en leverandør som en ny risiko, fordi kontrollen flyttes ut av huset. Begge har et poeng.
Jeg har mest tro på den første løsningen når den andre bekymringen tas på alvor. Outsourcing av IT-drift handler ikke om å kvitte seg med ansvaret. Det handler om å flytte bestemte oppgaver til noen som kan utføre dem bedre, samtidig som virksomheten beholder oversikten over verdier, risiko og beslutninger.
Start med hva partneren faktisk skal ta ansvar for
Før jeg vurderer leverandører, ville jeg derfor kartlagt hele IT-miljøet. Hvilke systemer er kritiske for driften? Hvor ligger kunde- og medarbeiderdata? Hva må fungere på en vanlig tirsdag, og hva må være på plass hvis en leverandør plutselig ikke kan levere?
En driftspartner kan håndtere alt fra brukerstøtte og klienter til skytjenester, nettverk, sikkerhetskopiering og overvåking. Det høres effektivt ut, men en bred avtale kan også bli uklar. Hvis «24 timers support» i praksis betyr svar innen neste arbeidsdag, har virksomheten kjøpt en annen tjeneste enn den trodde.
Jeg vil ha tydelige beskrivelser av tjenesten, åpningstider, responstid, gjenoppretting, vedlikeholdsvinduer og hvem som tar beslutninger under en hendelse. Det bør også være klart hvilke oppgaver som ligger hos kunden, og hvilke som ligger hos leverandøren. Ansvarsgrenser som bare finnes i et møte, forsvinner gjerne når alarmen går.
Sikkerhet må kunne undersøkes, ikke bare loves
En leverandør kan snakke overbevisende om sikkerhet uten at det sier særlig mye om den faktiske gjennomføringen. Jeg ville derfor spurt hvordan sikkerhetsarbeidet er organisert, hvem som har ansvar, hvordan tilganger kontrolleres, og hvordan hendelser oppdages og håndteres.
Nasjonal sikkerhetsmyndighet bruker Grunnprinsipper for IKT-sikkerhet 2.1 som gjeldende versjon. Den ble publisert 4. juni 2024 og oppdatert 28. oktober samme år. Ved outsourcing peker prinsippene på fem sentrale grep: virksomheten må se på hele livsløpet, ha en kompetent bestiller, vurdere risiko, stille konkrete krav til både tjenesten og leverandøren og sørge for at beslutningen tas på riktig nivå.
Det siste punktet blir ofte undervurdert. En avtale om drift av et kritisk system er ikke bare et innkjøp. Den kan påvirke virksomhetens evne til å levere tjenester, beskytte personopplysninger og håndtere kriser. Derfor bør ledelsen forstå hva som settes ut, og hvilke avhengigheter som følger med.
Som et minimum bør leverandøren ha et etablert styringssystem for informasjonssikkerhet og være sertifisert etter ISO/IEC 27001:2017. Sertifisering løser ikke alle problemer, men den gir et bedre grunnlag for å undersøke hvordan risiko faktisk styres. Jeg ville bedt om å få vite hva sertifiseringen omfatter, og om den dekker tjenestene virksomheten skal kjøpe.
En sertifisering er et startpunkt, ikke et frikort.
Les kontrakten som om samarbeidet allerede har gått galt
Det er i kontrakten den reelle kvaliteten på driftspartneren viser seg. Ikke bare i pris og servicenivå, men i detaljene som først blir interessante når noe har sviktet.
Avtalen bør beskrive krav til kryptering, logging av aktiviteter, sikkerhetsovervåking og håndtering av sikkerhetshendelser. Jeg vil også se etter konkrete kriseplaner: Hvem varsler hvem? Hvor raskt skal kunden informeres? Hvem kan isolere et system, stenge en konto eller starte gjenoppretting?
Underleverandører fortjener et eget blikk. En driftspartner kan i praksis være avhengig av flere andre selskaper for skytjenester, datasentre, support eller sikkerhetsverktøy. Derfor bør kunden ha innflytelse på godkjenning av nye underleverandører, eller i det minste få tydelig informasjon og mulighet til å reagere når leverandørkjeden endres.
Jeg ville også lest nøye om avtalens slutt. Hvordan får virksomheten tilbake data, konfigurasjoner, dokumentasjon og tilgangsinformasjon? Hvor lenge varer overgangen til en ny leverandør? Hva skjer med sikkerhetskopier? En god exit-plan er ikke et tegn på mistillit. Den er en forsikring mot å bli sittende fast.
Hvis driftspartneren lagrer personopplysninger på vegne av virksomheten, må partene ha en databehandleravtale etter personvernforordningen artikkel 28. Når avtalen avsluttes, skal dataene returneres, og kopier skal slettes, med mindre annet følger av lovkrav. Dette bør stå så presist at ingen trenger å tolke meningen etterpå.
Still spørsmål som avslører arbeidsmåten
Jeg blir mer interessert i hvordan leverandøren svarer enn i hvor glatt svaret høres ut. Be om et konkret eksempel på en alvorlig hendelse, uten å kreve konfidensielle detaljer. Hvordan ble problemet oppdaget? Hvem tok ledelsen? Hvor lang tid tok det å få kontroll? Hva ble endret etterpå?
Det er også nyttig å møte personene som faktisk skal drifte løsningene. Salgsteamet kan være dyktig, men det er drifts- og sikkerhetsfolkene som skal leve med avtalen. Jeg vil vite hvor mye av arbeidet som gjøres av egne ansatte, hvor supporten befinner seg, og hvordan kompetansen holdes oppdatert.
Pris bør vurderes sammen med risiko, ikke alene. En billig avtale kan bli dyr hvis gjenoppretting tar for lang tid, hvis viktige oppgaver faller mellom to ansvarsområder, eller hvis virksomheten må kjøpe ekstra tjenester hver gang situasjonen blir krevende. Samtidig er ikke den største leverandøren automatisk den beste. En mindre partner kan være tettere på, men må kunne dokumentere kapasitet, beredskap og en robust leverandørkjede.
Jeg ville derfor valgt en partner som tåler detaljerte spørsmål, også når spørsmålene gjør salgsprosessen langsommere. Den som blir irritert av krav til logging, underleverandører eller sletting av data, viser allerede noe viktig om hvordan samarbeidet kan bli når presset øker.