Digital Suverænitet

“Data er den nye olie,” erklærede matematikeren og dataforskeren Clive Humby tilbage i 2006, “det er værdifuldt, men uraffineret kan det ikke rigtigt bruges.” Og han fik mere ret, end han selv var klar over. For siden er nogle af verdens mest værdifulde virksomheder blevet skabt ved at indsamle enorme mængder data og omsætte det til profit. Services, sensorer og smarte enheder indsamler en endeløs strøm af data, der bliver solgt, analyseret og omsat til værdi. Men ligesom olie er data også blevet sikkerhedspolitik. For det afslører vores sårbarheder og skaber nye måder, både individer, organisationer og institutioner kan manipuleres på.

Derfor er der også en stigende opmærksomhed på det faktum, at ikke-europæiske teknologivirksomheder har taget kontrol over informations- og cyberdomænet. Under coronakrisen blev det klart, hvor vigtige digitale teknologier er, når krisen rammer ¹. Digitale platforme blev med ét omdrejningspunktet for arbejdet, og kontorbygninger blev udskiftet med Zoom og Microsoft Teams. Men den store afhængighed til it-systemer, som ejes og administreres af multinationale tech-giganter, kan ses som et tab af suverænitet. For når det digitale nervesystem i samfundets vigtigste institutioner er ejet af globale udenlandske virksomheder, er man så reelt i kontrol? Det spørgsmål har sat digital suverænitet på dagsordenen.

To betydninger af begrebet

Begrebet er ikke fast defineret, men bliver ofte brugt på to forskellige måder ². Nogle gange bliver digital suverænitet brugt til at beskrive, hvordan nationalstaters suverænitetshævdelse bliver udfordret i informations- og cyberdomænet. Logikken er, at nationalstater ikke kan være suveræne uden kontrol over cyberspace. Den lovgivende og udøvende magt er simpelthen udfordret på internettet, hvor data flyder over landegrænser, og spillereglerne bliver defineret af multinationale private aktører. Dermed bliver nationalstatens ret til at definere sin egen samfundsmodel udfordret. Denne definition handler om staters evne og ret til at lovgive.

Den anden anvendelse af begrebet handler om ejerskab og mestring af strategisk vigtige nøgleteknologier. For når stater og institutioner ikke længere hverken ejer eller mestrer nøgleteknologier, bliver de udfordret på deres autonomi. Frygten er, at Europa bliver en tech-koloni, fordi det i praksis er udenlandske tech-giganter, som kontrollerer teknologi og infrastruktur, der binder samfundsbærende institutioner sammen.

Det er især mestring og ejerskab, som er relevant for Forsvaret. For spørgsmålet er, hvor meget autonomi man vil afgive i bytte for en bekvemmelig service eller besparelser ved ikke selv at håndtere nøgleteknologier. Det vil altid være en afvejning, hvor bekvemmelighed nogle gange er at foretrække, mens andre områder er for vigtige til at overlade til andre.

Et opgør med de gamle tech-giganter

Det er også jagten på mere autonomi, der generelt driver trenden i Europa. Mange lande og offentlige institutioner søger på forskellige niveauer efter løsninger, der giver en højere grad af kontrol og autonomi over data. I Sverige udgav en række offentlige myndigheder rapporten Digital collaboration platform for the public sector ³, hvor man søgte efter alternativer til Microsoft-løsninger som Skype og Teams, fordi man konkluderede, at platformene ikke længere kunne håndtere data i overensstemmelse med europæisk og svensk lovgivning. Ligeledes var de svenske myndigheder interesseret i at minimere vendor lock-in og omkostninger.

Lignende tilfælde findes over hele Europa: Den tyske delstat Slesvig-Holsten vil skrotte Windows og Office til fordel for åbne alternativer ⁴, det franske politi har udskiftet Windows ⁵, det italienske forsvar har udskiftet Microsofts Office-pakke med åbne alternativer ⁶, og det tyske forsvar bruger Matrix-protokollen til sin egenudviklede end-to-end-krypterede beskedtjeneste ⁷. Eksemplerne er mange, og flere initiativer pibler frem i hele EU. Der er også eksempler på EU-initiativer som Gaia-X, hvor man forsøger at opsætte et rammeværk for europæiske cloud-tjenester, der kan agere modvægt til de dominerende kinesiske og amerikanske tjenester ⁸.

I takt med at politikere og beslutningstagere opdager omfanget af deres afhængighed til digitale teknologier, vil digital suverænitet kun blive mere relevant. Et digitaliseret samfund handler ikke kun om at levere gode digitale løsninger, men også om at mestre udvikling og drift af selvsamme nøgleteknologier. Ellers ender man i et risikofyldt afhængighedsforhold til udenlandske monopoler – monopoler på private hænder og under kontrol af skikkelser som Elon Musk, Mark Zuckerberg, Jeff Bezos, Bill Gates og Peter Thiel. Det er blevet et spørgsmål om sikkerhedspolitik.

Hvad betyder det for Forsvaret?

Det er altid relevant at overveje, hvordan nøgleteknologier understøtter eller begrænser Forsvarets opgaver – herunder suverænitetshævdelse. Derfor giver det også mening at undersøge, hvordan Forsvaret kan sikre mest mulig digital autonomi for at skabe de bredeste rammer for opgaveløsningen.

Her er flere greb, der kan tages i brug. En måde er at sikre interoperabilitet ved at stille krav til brug af åbne og veldokumenterede standarder. Ved at anvende standardiseret teknologi er det lettere at flytte mellem flere leverandører, og man stiller sig i en bedre forhandlingsposition, hvor man ikke er fastlåst. En anden tilgang er at udvikle sin organisation, så den har de nødvendige kompetencer og kapabiliteter til selv at udvikle og mestre digitale nøgleteknologier. Begge tilgange bør altid overvejes.

Det vil altid være en afvejning: Typisk får man de kortsigtede og hurtige resultater ved at købe tjenester fra etablerede teknologigiganter – mod at give afkald på autonomi og ejerskab. Derimod er det dyrere og en mere langsigtet strategisk beslutning at opbygge kompetencer og kapabiliteter til selv at mestre digitale teknologier.

Over en bred kam bør man overveje teknologier, der anvender åbne internationale standarder. Ved brug af åbne standarder kan mange leverandører spille ind med løsninger, og det vil typisk også være lettere at opbygge kompetencer omkring veldokumenteret, standardiseret teknologi. Der kan være tilfælde, hvor lukkede proprietære løsninger er de bedste til opgaven, men man bør som minimum overveje de risici, der er forbundet med vendor lock-in.

Kernebegreber

Technofeudal sikkerhed

Technofeudalisme refererer til, at de normale markedsvilkår er slået ud af spil i cyberspace ^{9 10}. I stedet er domænet delt op blandt digitale lensgrever, der bygger mur rundt om deres del af cyberspace. Microsoft, Amazon, Google, Apple, Facebook og SAP har alle lukket deres brugere ind i deres private digitale domæne, mens brugerne er reduceret til fæstebønder og vasaller, der må tage til takke med, hvad teknologigiganterne leverer af vilkår og sikkerhed. Under omstændigheder med velfungerende markeder ville kunderne frit kunne flytte rundt mellem leverandører. Det er naturligvis ikke i virksomhedernes interesse, at kunderne nemt kan flytte og dermed stille sig i bedre forhandlingsposition. Derfor er forretningsmodellen typisk at skabe vendor lock-in og dermed fastlåse kunderne – at gøre skifteomkostningerne så høje, at det ikke er en reel mulighed at flytte sin forretning til en ny leverandør. Det er lettere at straffe kunder for at flytte end at fastholde dem med god service. På den måde minder situationen om lensvæsenet fra middelalderen, hvor en lensherre har retten til et område og agerer den øverste civile og militære myndighed.

Det skaber en sikkerhedsmæssigt prekær situation, hvor det reelt er nogle få private aktører, der har fuld kontrol over sikkerheden i cyberspace. Argumentet er, at de med deres nær-monopol-penge kan købe den bedste sikkerhed i verden. Og det er der en vis sandhed i. Dog er sikkerheden aldrig bedre, end hvad der er i aktionærernes interesse. Apple giver eksempelvis kinesiske myndigheder adgang til iCloud-data i Kina for at fastholde markedspositioner ¹¹.

Et andet eksempel kommer fra sikkerhedsforskeren Andrew Harris, der har arbejdet for Microsoft. I 2016 undersøgte Harris et hackerangreb og opdagede et kritisk sikkerhedshul, der kunne give hackere adgang til cloud-løsninger. Harris advarede kollegaer, men Microsoft vurderede, at det ville bringe en milliard-dollar-kontrakt med den amerikanske regering i fare, hvis man adresserede sikkerhedshullet. Senere udnyttede russiske statshackere selvsamme sikkerhedshul til at støvsuge sensitive data, herunder informationer om USA’s atomvåben. Andrew Harris beskriver en kultur i Microsoft, hvor medarbejdere blev belønnet for at udvikle nye funktioner, der kunne lokke nye kunder til, men hvor sikkerhedsrettelser blev set som en udgift ¹².

Med andre ord har technofeudal sikkerhed sine begrænsninger. Som kunde er man tæt på magtesløs, for det vil i mange tilfælde være ekstremt dyrt og ressourcekrævende at skifte et lukket proprietært system ud med et mere sikkert alternativ. Man er fastlåst af høje skifteomkostninger og må tage til takke med den sikkerhed, man får. Tech-giganterne ser derimod sikkerhed som et cost-center.

Vendor lock-in

Vendor lock-in dækker over en forretningsstrategi, hvor udbydere af digitale services forsøger at fastlåse kunderne til deres produkt. Der findes en lang række taktikker og strategier, udbydere kan anvende for at gøre det svært for kunder at skifte til konkurrenter ¹³. Kort sagt gælder det for udbyderne om at gøre skifteomkostningerne så høje som muligt, så det bliver en dårlig forretning at overveje konkurrenter. Det kan gøres på mange måder – for eksempel ved at gøre det besværligt eller helt umuligt at flytte data fra et system til et andet, så det bliver omkostningstungt for kunden at skifte til alternativer.

Interoperabilitet

Interoperabilitet er våbnet i kampen mod technofeudalisme og vendor lock-in. Gennem standarder og ensartede tilgange kan kunder flytte mellem leverandører. Ligesom man nemt kan skifte e-mail- og telefonudbyder, findes der standarder og protokoller for både operativsystemer, sociale medier, office-dokumenter og cloud-services, som reelt ville give kunder mulighed for frit at vælge. Ved at insistere på at stille krav til interoperabilitet skaber man bedre mulighed for at skifte mellem forskellige leverandører og undgår vendor lock-in. Interoperabilitet skaber med andre ord bedre autonomi for det danske forsvar.

---

Baseret på en artikel fra Cyberdivisionens teknologiradar af Theis Holtz Hansen, med bidrag fra Jesper Frimann Ljungberg.