Vem har egentligen makten att stänga ned din organisation? Den frågan ställde Pearl Almeida, Research Director på Info-Tech Research Group, under sin presentation på Info-Tech Live. Det handlar inte om interna konflikter i ledningen, utan om vem som kontrollerar data, infrastruktur, drift och leverantörskedjor – och därmed också har möjlighet att påverka verksamhetens förmåga att fungera.
I takt med att organisationer blir alltmer beroende av externa molntjänster och digitala plattformar får leverantörernas tekniska beslut och ländernas politiska vägval direkta konsekvenser för verksamheternas säkerhet. Digital suveränitet, det vill säga förmågan att själv kunna styra och kontrollera sina digitala resurser, blir därför en fråga om både cybersäkerhet och strategisk handlingsfrihet.
– Digital suveränitet är inte i första hand en teknisk utmaning, utan en geopolitisk fråga som kräver strategiska beslut, var budskapet från Pearl Almeida.
Molnavbrott visar gränserna för redundans
Ett centralt exempel i presentationen var ett omfattande avbrott i AWS, Amazons molntjänst. Enligt Pearl Almeida utlöstes incidenten av ett fel i samband med en uppdatering av DynamoDB API, vilket ledde till problem med DNS-upplösningen och fick följdeffekter på andra tjänster. Även arbetslaster som fördelats över flera tillgänglighetszoner inom samma region påverkades.
Konsekvenserna sträckte sig långt utanför it-driften. Betalningar och andra digitala tjänster slutade fungera, medicinska insatser försenades och uppkopplade produkter i människors hem påverkades. Händelsen illustrerade hur ett tekniskt fel hos en stor leverantör kan få konsekvenser för organisationer och individer som inte har någon direkt kontroll över den underliggande infrastrukturen.
Pearl Almeida hänvisade även till senare incidenter och till hur molnleverantören betonat att kunderna själva måste utforma sina lösningar för att uppnå hög tillgänglighet. Budskapet var att ansvaret för kontinuitet inte automatiskt överförs till leverantören när en organisation köper en molntjänst.
Det gäller även när verksamheten har investerat i redundans. Flera tillgänglighetszoner kan skydda mot exempelvis lokala hårdvarufel, nätverksproblem och strömavbrott, men ger inte nödvändigtvis skydd mot systemfel som påverkar en hel region eller flera tjänster samtidigt. Inte heller skyddar den typen av arkitektur automatiskt mot externa händelser som slår mot leverantörens infrastruktur.
För säkerhetsansvariga blir skillnaden viktig: att ha redundans är inte samma sak som att ha verifierad förmåga att fortsätta verksamheten när en central leverantör drabbas av ett omfattande avbrott.
Geopolitiken flyttar in i leverantörsrisken
Molnberoendet får ytterligare en dimension när tillgången till data och digital infrastruktur påverkas av nationell lagstiftning. Pearl Almeida beskrev hur regeringar kan använda juridiska befogenheter för att kräva tillgång till information eller ställa krav på att digitala tjänster etableras inom det egna landets jurisdiktion.
Hon tog upp amerikanska företags internationella verksamhet som ett exempel på hur ett företags nationella rättsliga hemvist kan påverka hanteringen av kunddata. Under presentationen hänvisade hon till ett franskt exempel där en företrädare för Microsoft enligt hennes redogörelse inte kunde garantera att franska data aldrig skulle lämnas ut till amerikanska myndigheter.
Ett annat tillvägagångssätt är att stater kräver att företag etablerar verksamhet eller infrastruktur inom landets gränser, vilket kan ge myndigheterna möjlighet att begära tillgång till information som finns där. Enligt Pearl Almeida innebär utvecklingen att organisationer behöver förstå både var deras data lagras och vilka juridiska förhållanden som styr leverantörernas verksamhet.
Det räcker därmed inte att bedöma en leverantör utifrån funktionalitet, pris och prestanda. Säkerhetsansvariga behöver också förstå vem som ytterst kontrollerar infrastrukturen, vilken lagstiftning som gäller och hur organisationens handlingsutrymme påverkas om de politiska förutsättningarna förändras.
Europa vill minska beroendet
Enligt siffror som Pearl Almeida presenterade står amerikanska molnleverantörer för omkring 85 procent av den europeiska molnmarknaden. Amazon, Microsoft och Google uppges tillsammans svara för cirka 70 procent. Hon hänvisade också till en uppskattning om att 80–90 procent av Europas digitala infrastruktur, inklusive datorkapacitet, molntjänster och programvara, kontrolleras av företag utanför Europa, huvudsakligen amerikanska aktörer.
Siffrorna illustrerar omfattningen av det beroende som står i centrum för den europeiska diskussionen om digital suveränitet. Frågan handlar inte nödvändigtvis om att helt lämna globala molntjänster, utan om att kunna fatta självständiga beslut om hur kritiska system ska byggas, drivas och skyddas.
Pearl Almeida pekade på flera europeiska initiativ. Frankrike har enligt presentationen planerat att ersätta Microsoft Teams och Zoom i statliga verksamheter med en inhemsk videokonferenstjänst, med en utrullning till myndighetsdepartement fram till 2027. Hon tog även upp EU-kommissionens upphandling av suveräna molntjänster och ett ramverk för att bedöma leverantörer utifrån bland annat juridisk kontroll, ägande, leverantörskedjor, teknik och säkerhet.
Enligt presentationen omfattar ramverket åtta områden och 48 frågor. Leverantörerna bedöms på en femgradig skala, och en viss lägstanivå krävs för att kunna delta i upphandlingen. Pearl Almeida uppmanade organisationer att använda liknande frågor i sina egna upphandlingar och leverantörsbedömningar.
Hon lyfte också EU satsningar på AI-infrastruktur som ett sätt att minska beroendet av externa aktörer för utveckling och träning av avancerade AI-modeller. Ambitionen är att Europa inte enbart ska konsumera teknik som utvecklas på andra håll, utan även bygga egen kapacitet.
Regelverken gör frågan konkret
Digital suveränitet är enligt Pearl Almeida på väg att bli en integrerad del av arbetet med tredjepartsrisker. Flera europeiska regelverk berör redan frågor om dataöverföring, leverantörskontroll, kontinuitet och ansvar.
Hon tog upp dataskyddsförordningen GDPR och de juridiska krav som gäller när personuppgifter överförs utanför EU. Även EU dataförordning, Data Act, lyftes fram, bland annat genom krav på åtgärder för att motverka otillåten myndighetsåtkomst till data och regler som ska underlätta byte av databehandlingstjänster.
För finansiella verksamheter och andra aktörer som omfattas av DORA betonade hon betydelsen av att avtalen tydligt anger var tjänster körs och var data lagras och behandlas. Dokumenterade exitplaner och revisionsrättigheter som omfattar underleverantörer är också centrala delar.
AI-förordningen och cybersäkerhetskraven på produkter enligt Cyber Resilience Act ingick i genomgången. Pearl Almeida lyfte bland annat vikten av att förstå vad som finns i de produkter och komponenter som används, vem som underhåller dem och hur leverantörskedjan ser ut.
Regelverken har olika tillämpningsområden och krav, men sammantaget förstärker de behovet av att organisationer kan redogöra för sina digitala beroenden och visa hur riskerna hanteras.
Fyra frågor för säkerhetsansvariga
Pearl Almeida sammanfattade sitt resonemang i fyra områden som organisationer bör utvärdera: insyn, kontroll, motståndskraft och valfrihet.
Insyn: Vet organisationen var data och system finns, vilka leverantörer som är involverade och vilka beroenden som finns längre ned i leverantörskedjan?
Kontroll: Har organisationen faktisk möjlighet att styra datahantering, drift och åtkomst, eller ligger avgörande beslut hos en extern leverantör?
Motståndskraft: Kan verksamheten fortsätta fungera och återhämta sig om en leverantör eller en kritisk tjänst slås ut?
Valfrihet: Går det att flytta arbetslaster, byta leverantör eller etablera alternativa lösningar utan att verksamheten blir långvarigt beroende av en enda aktör?
Frågorna behöver omsättas i praktiska åtgärder. Pearl Almeida rekommenderade bland annat att organisationer klassificerar sina arbetslaster utifrån hur kritiska de är, testar sina kontinuitets- och exitplaner och undersöker om de faktiskt kan genomföra ett leverantörsbyte. Det räcker inte att en leverantör beskriver en lösning som robust – organisationen behöver kunna verifiera förmågan.
Kompetens är en del av den digitala suveräniteten
En aspekt som riskerar att hamna i skymundan är tillgången till rätt kompetens. Pearl Almeida använde Japan som exempel på hur ambitioner att bygga en mer självständig digital infrastruktur kan begränsas av brist på personer med rätt tekniska kunskaper.
Att etablera nya plattformar, flytta system och minska beroendet av etablerade leverantörer kräver människor som kan genomföra förändringen och förvalta de nya lösningarna. Kompetensförsörjning och kompetensutveckling behöver därför planeras parallellt med investeringar i infrastruktur och teknik.
Hon betonade också att alla system inte behöver omfattas av samma nivå av digital suveränitet. Organisationer behöver prioritera utifrån verksamhetens mål, riskprofil och vilka beroenden som skulle få störst konsekvenser vid ett avbrott.
Det gör frågan till en ledningsfråga snarare än ett isolerat teknikprojekt. Beslut om moln, AI och digital infrastruktur påverkar verksamhetens riskexponering, juridiska ansvar och förmåga att agera självständigt när förutsättningarna förändras.
Digital suveränitet handlar i slutändan inte om att undvika alla externa leverantörer. Det handlar om att förstå beroendena, kunna påverka dem och ha realistiska alternativ när en kritisk tjänst inte längre är tillgänglig.
