I de senere årene har stadig flere virksomheter fått råd om å flytte data fra amerikanske skyleverandører til «europeiske skyer». For mange små og mellomstore bedrifter (SMB) kan dette skape usikkerhet. Er Microsoft 365 fortsatt et godt valg? Bør man flytte til en norsk eller europeisk leverandør? Og hvilke typer data bør man eventuelt holde utenfor amerikanske skytjenester?

Som så ofte ellers er svaret mer nyansert enn overskriftene kan gi inntrykk av.

Tre spørsmål som ofte blandes sammen

Når man diskuterer skylagring, er det viktig å skille mellom tre forhold:

1. Hvor dataene fysisk er lagret.
2. Hvilket lands lover leverandøren er underlagt.
3. Hvem som eier og kontrollerer leverandøren.

Mange antar at dataene er «europeiske» dersom de er lagret i Europa. Men dersom leverandøren er amerikansk, vil selskapet fortsatt være underlagt amerikansk lovgivning. Derfor handler diskusjonen om digital suverenitet ikke bare om hvor serverne står, men også om hvem som eier tjenesten.

Microsoft har de siste årene etablert sin EU Data Boundary, som innebærer at store deler av kundeinformasjonen for europeiske kunder lagres og behandles innenfor EU/EFTA-regionen. Dette omfatter blant annet Microsoft 365, OneDrive og SharePoint. Norge er inkludert gjennom EFTA-samarbeidet. [microsoft.com], [synextra.co.uk]

For mange SMB-er er dette et viktig poeng: Dataene lagres i Europa, men leverandøren er fortsatt amerikansk.

Hva er den største risikoen for SMB-er?

Debatten om jurisdiksjon er viktig, men den overskygger ofte de mest sannsynlige truslene mot små virksomheter.

I praksis skyldes de fleste sikkerhetsbrudd:

• phishing og svindelforsøk.
• Svake eller gjenbrukte passord.
• Manglende multifaktorautentisering (MFA).
• Feil tilgangsstyring.
• Mangelfull sikkerhetskopiering.

For de fleste SMB-er vil derfor tiltak som MFA, gode sikkerhetsrutiner og backup gi langt større risikoreduksjon enn å flytte alle data fra Microsoft til en annen leverandør.

Hvilke data er normalt uproblematiske å lagre i Microsoft 365?

For de fleste virksomheter er det helt naturlig å lagre følgende i Microsoft 365:

• Tilbud og ordrebekreftelser
• Prosjektdokumentasjon
• Møtereferater
• Regnskap og budsjetter
• Salgs- og markedsføringsmateriell
• Vanlig e-postkorrespondanse
• Kundedokumentasjon

Dette representerer typisk størstedelen av dokumentene som håndteres i en SMB. Microsoft tilbyr samtidig et sikkerhetsnivå som ofte er høyere enn det små virksomheter kan oppnå med lokale servere og egen drift.

Data som krever ekstra oppmerksomhet

Noen typer informasjon fortjener strengere tilgangskontroll og mer bevisste vurderinger:

• Personalmapper
• Lønnsinformasjon
• Sykefraværsopplysninger
• Kundedata med personopplysninger
• Konfidensielle kontrakter
• Styredokumenter

Dette betyr ikke nødvendigvis at dataene bør flyttes ut av Microsoft 365. For mange virksomheter er riktig tilgangsstyring og Kryptering viktigere enn valg av leverandør.

Når bør man vurdere europeiske eller norske alternativer?

For enkelte virksomheter kan det være gode grunner til å redusere avhengigheten av amerikanske skyleverandører.

Dette gjelder spesielt dersom virksomheten sitter på:

• Patentgrunnlag og forskningsresultater
• Egenutviklet teknologi
• Kildekode som representerer virksomhetens kjerneverdi
• Oppkjøps- eller fusjonsdokumentasjon
• Strategiske planer med stor konkurransemessig betydning

Dersom slike data utgjør selve fundamentet for virksomhetens fremtidige konkurransekraft, kan det være fornuftig å vurdere lagring hos en norsk eller europeisk leverandør i tillegg til Microsoft 365.

Hvilke alternativer finnes?

Beholde Microsoft 365

For de fleste SMB-er vil dette fortsatt være den mest praktiske løsningen.

Fordeler:

• Enkelt å administrere.
• God sikkerhet.
• Tett integrasjon mellom e-post, dokumenter og samarbeid.
• Europeisk datalagring gjennom Microsofts europeiske regioner. [microsoft.com], [synextra.co.uk]

Ulemper:

• Amerikansk eierskap og jurisdiksjon.

Kombinere Microsoft 365 med norsk skylagring

Mange virksomheter kan oppnå en god balanse ved å beholde Outlook, Word, Excel og Teams, samtidig som spesielt sensitive dokumenter lagres hos en norsk leverandør.

Et kjent eksempel er Jottacloud, som lagrer data i Norge og er underlagt norsk og europeisk personvernlovgivning. [jottacloud.com]

Denne modellen gir ofte det beste forholdet mellom brukervennlighet og datasuverenitet.

Bruke europeiske leverandører

Leverandører som Infomaniak, Tresorit og pCloud blir ofte nevnt som alternativer til amerikanske skytjenester.

Fordelen er europeisk jurisdiksjon og eierskap. Ulempen er gjerne mindre integrasjon med Microsofts produktivitetspakke.

Nextcloud hos norsk leverandør

For virksomheter med sterkere krav til kontroll kan en norsk driftet Nextcloud-løsning være interessant.

Dette gir:

• Høy grad av kontroll.
• Mulighet for norsk datalagring.
• Uavhengighet fra amerikanske leverandører.

Samtidig krever det mer kompetanse eller bistand fra en IT-partner.

Konklusjon

For de fleste SMB-bedrifter er ikke spørsmålet om Microsoft 365 er «trygt nok». Den største sikkerhetsrisikoen ligger vanligvis i brukeradferd, manglende sikkerhetsrutiner og utilstrekkelig tilgangskontroll.

Microsoft 365 tilbyr i dag europeisk lagring og omfattende sikkerhetsmekanismer. For mange virksomheter vil dette være et fullt forsvarlig valg. [microsoft.com], [synextra.co.uk]

Dersom virksomheten håndterer særlig verdifulle immaterielle rettigheter, forskningsdata eller strategisk sensitiv informasjon, kan det derimot være klokt å supplere med en norsk eller europeisk lagringsløsning.

Den mest pragmatiske tilnærmingen for de fleste SMB-er er derfor ikke nødvendigvis å forlate Microsoft 365, men å gjøre en bevisst vurdering av hvilke data som krever høyest grad av kontroll – og sikre at disse lagres på en måte som er i tråd med virksomhetens risikobilde og behov for datasuverenitet.