Martin Bekkelund

En blogg om IT

Offentlig IT i et 22. juli-perspektiv

14.08.12

Offentlig sektor har svært mye å lære av 22. juli når det gjelder bruk av IT. Blir ikke IT-situasjonen i Politiet bedre vil mange av tiltakene etter 22. juli være forgjeves.

Denne uken kom NOU 2012: 14, rapport fra 22. juli-kommisjonen. En vesentlig del av kommisjonen kritikk dreier seg omkring mitt fagfelt IT, og signaliserer tydelig at svakheter i Politiets IT-løsninger er medvirkende til mange av problemene Politiet opplevde 22. juli.

Jeg har lenge kritisert offentlig sektor generelt og statlig sektor spesielt for deres bruk av IT. IT-problemer kjenner vi blant annet fra NAV, Politiet, helsevesenet og skattevesenet. I rapporten fra 22. juli-kommisjonen er det spesielt Politiets IT-systemer som får sterk kritikk. Det pekes blant annet på fravær av nødnett omkring Utøya, utdaterte systemer, systemer som ikke responderer, krisemeldinger som sendes per e-post og ingen tilgang til elektroniske kart i bilene.

I etterkant av denne kritikken er det nærliggende å tro at det fra Politiets hold vil komme krav om mer ressurser, da i form av penger, til utbedring av problemene. Men mer penger vil neppe løse problemene.

Hva skal IT være?

Det viktigste problemet med offentlige IT-løsninger er at man tilsynelatende glemmer formålet. Hva er IT? Hva kan vi bruke det til? Hvilket potensial har IT? Hva skal IT være for oss? Å glemme å definere formålet med enhver bruk av IT medfører problemer som det vi nå ser i Politiet. Det er lett å forestille seg at IT-anskaffelser har vært venstrehåndsbeslutninger, spesielt når vi nå ser hvor liten makt og hvor lite eierskap Politiet har over egne løsninger. Alt for ofte gis vi inntrykk av at «IT er noe forbasket drit, men vi må ha det» i offentlig sektor, et inntrykk som befester seg spesielt sterkt i Politiet

Det er lov å tenke stort, det er lov å tenke visjonært, og ikke minst — det er lov å la være hvis man er usikker på formålet.

Faglig forankring

En klassisk tabbe i organisasjoner med svak IT-kompetanse er at man stoler for mye på leverandørene som leverer løsningene. Å bruke eksterne leverandører er normalt både bra og naturlig, men leverandøren skal aldri, under noen omstendigheter, være premissgivende for det som leveres. Trenden har gjennom de siste 20 årene vært (for) stor makt til leverandørene, men heldigvis er denne trenden nå i ferd med å snu. Kundene er mer bevisst på hva de trenger og hvordan de vil ha det, og dikterer i større grad hvordan leveransene skal foregå. Dette er svært viktig.

Det viktigste Politiet nå bør starte med, er å etablere en faglig sterk og forsvarlig IT-strategi og sørge for skikkelig forankring av strategien hos ledelsen.

Utdaterte systemer

Det har lenge vært kjent at Politiet benytter Windows NT 4, et operativsystem som ble utgitt for 15 år siden, hvilket er ufattelig lenge i teknologisk sammenheng. Etter utgivelsen av Windows NT 4 har det kommet flere såkalte service packs, altså oppdateringer som utbedrer feil og sikkerhetshuller i systemet. Men siste service pack til Windows NT 4 kom i juli 2001, altså for mer enn 11 år siden.

Siden 2001 har Politiet altså benyttet et operativsystem som ikke lenger videreutvikles og som ikke lenger lar seg utbedre fordi man ikke har tilgang til kildekoden, det vil si oppskriften til operativsystemet. Alle feil og sikkerhetshuller som finnes i Windows NT 4 ligger altså blottet åpenlyst for alle som måtte ha kompetanse til å utnytte dem. Det eneste Politiet har å støtte seg på er tredjepartsprogramvare som for eksempel anti-virus, brannmurer og tilsvarende. Og historien har vist at det ikke alltid går like bra.

Som en konsekvens av dette ser vi at Politiet benytter store ressurser på å holde utdaterte systemer flytende, ressurser som i stedet kunne vært benyttet på kontinuerlig vedlikehold og oppgradering av systemene, ved å oppgradere både programvare og operativsystemer jevnlig. Ja, det er både omfattende og kostbart arbeid å holde systemer oppdatert til enhver tid, men det er mindre arbeid enn å brannslukke udaterte systemer. Dessuten er det mindre risikabelt og mer preventivt.

Sikkerhet, stabilitet og ytelse

Det har i en viss tid også vært kjent at Politiets sentrale IT-system, kjent under navnet PO, har dårlig ytelse og lange responstider. Jeg kjenner ikke dette systemet i detalj, og et ytelsesproblem er ofte sammensatt, så jeg skal ikke si for mye om selve systemet. Allikevel vil jeg trekke frem at PO er et Windows-basert system, som så vidt meg bekjent kjører på Windows XP (som er 11 år gammelt).

Vi har mange samfunnskritiske systemer her i landet, og dessverre kjører mange av dem på den minst egnede plattformen for formålet, nemlig Windows. Til sammenlikning kjører Avinor sine systemer for flygelederne på Solaris. Nets kjører banktransaksjoner på Linux. Meteorologisk institutt gjør det samme. Av verdens 500 største superdatamaskiner kjører 457 Linux, 4 Windows. Poenget er åpenbart: skal du ha god ytelse, stabilitet og sikkerhet skal du velge Linux.

Skal man holde et system stabilt og sikkert over lengre tid med god ytelse, skal det altså kjøre alt annet enn Windows. Ikke bare har det dårlig stabilitet og ditto ytelse, det er også belemret med seriøse sikkerhetsproblemer. Det beste eksempelet er fire virus som de siste par årene har utmerket seg spesielt; Stuxnet, Duqu, Flame og Gauss. Dette er superavanserte, høyspesialiserte virus, sannsynligvis utviklet av en stat, rettet utelukkende mot Windows for å gjøre skade med stor presisjon hos regimene eller organisasjonene som benytter dem.

Ingen IT-systemer er fullkomne eller sikre, men Windows er blant de minst egnede alternativene og bør unngås i så kritiske systemer som det her er snakk om. En utskifting av Windows betyr ikke nødvendigvis full utskifting både på klient- og serversiden. Det er fullt mulig å kjøre blandede miljøer med gode resultater, noe jeg selv har god erfaring med.

Krisemeldinger

I Dagens Næringsliv kunne vi 11. august lese at krisemeldinger, såkalte riksalarmer, sendes ut med e-post. Akkurat som at Windows er den minst egnede plattformen, er e-post den minst egnede kommunikasjonsformen å formidle krisemeldinger på. Det er ikke intensjonen med e-postens teknologi å oppfylle slike behov og krav.

E-post kan best sammenliknes med et postkort: i utgangspunktet er det ingen som leser det mellom avsender og mottaker, men får uvedkommende først tak i det er det ingenting som forhindrer det fra å bli lest. Slik de fleste bedrifter og organisasjoner benytter e-post i dag, er det ingen ende-til-ende-verifisering som sikrer levering, kryptering som forhindrer innholdet fra å bli lest eller verifisering av at det kun er rett mottaker som leser innholdet. Det finnes muligheter for å sikre MAPI-protokollen, som benyttes av Outlook og av Politiet, men det løser allikevel ikke de funksjonelle utfordringene med e-post.

Forsvinningssaker

Vi har nylig også fått med oss forsvinningssaken i Oslo, hvor Sigrid Giskegjerde Schjetne forsvant under ukjente omstendigheter for en drøy uke siden. Jeg har observert hvordan frivillige har organisert seg på nett for å dele og spre informasjon i letearbeidet. Slik organisering skjer ad-hoc, er lite strukturert og gir ikke riktige personer tilstrekkelig informasjon. Politiet kan med fordel dra full nytte av crowdsourcing dersom de selv tar kontroll over prosessen. Frivillige kan organiseres, dirigeres og instrueres og data kan struktureres på en mer hensiktsmessig måte som gir Politiet bedre oversikt og kontroll over leteaksjoner hvor de selv ikke råder over alle ressursene.

Forslag til tiltak

Det er flere tiltak Politiet bør iverksette snarest. Tiltakene er først og fremst strategiske, men også tekniske, og ingen av dem kan sies å være enkle.

Det viktigste grepet Politiet kan gjøre er å skaffe større grad av eierskap over løsningene og mulighet for innsikt og endring i systemene de gjør seg avhengige av. Politiet benytter selvfølgelig ikke Windows NT 4 fordi de synes det er det best egnede verktøyet for jobben, men fordi de befinner seg i en situasjon som av en lang rekke absurde argumenter gjør at de ikke kan oppgradere til noe nyere. Eierskap til egne løsninger innebærer full råderett over systemene, hvem som bestemmer hvordan de skal fungere og når de skal oppgraderes. Dette er det viktigste men også det vanskeligste grepet.

Straks man har skaffet seg eierskap, og dermed kontroll over egne løsninger, står man også friere til å gjøre endringer i dem, enten det gjelder endringer i selve programmene eller i form av utskiftninger til andre programmer.

Jeg ville også sørget for at sentrale plattformer, som for eksempel det PO kjører på eller krisehåndteringssystemene, ble byttet til noe som egner seg bedre for kritiske driftsmiljøer. Da står man langt bedre rustet for å holde skuta flytende når dassen tar fyr, som vi sier i IT-bransjen. Hvilket den gjorde 22. juli i fjor.

Følg @MartinBekkelund på Twitter!

23 kommentarer

  1. Bra blogg, Martin!

    Det er Magne fra VG her. I dag har jeg valgt innlegget ditt som dagens anbefaling på Lesernes VG, du finner det nederst på forsiden til VG Nett!

    Er det noen som har tips om gode blogger jeg bør anbefale så send meg en link på magne.antonsen [@] vg.no Vil du ha flere tips om gode blogger kan du følge Lesernes VG på http://www.facebook.com/lesernesvg og http://twitter.com/lesernesvg

  2. Jeg vet ikke hvor relevant dette er, men har ofte hørt frustrerte brukere i offentlig sektor snakke om den uoverstigelige bøygen IT-avdelingen i den og den avdelingen som først og fremst viser manglende vilje til nytenkning, og sterkt behov for å ivareta et teknologisk status quo. Man ha opparbeidet seg en kompetanse innenfor et visst system, og som regel en Windows-versjon, og vil ikke slippe til andre løsninger.
    Kan dette være noe av problemet, i tillegg til at man som du sier relativt rått sluker rådene fra eksterne leverandører? Er linken mellom en IT-avdeling og eksterne leverandører et problem? Jeg innbiller meg det, men har ingen konkrete fakta å vise til.

    • Jeg har gjennom karrieren sett uhorvelig mange eksempler på frykt for endringer. Dette er ikke unikt for IT, men mine erfaringer dreier seg naturlig nok om den motstanden enkeltpersoner utviser i prosjekter som medfører endringer.

      Slik frykt finner man ikke bare i organisasjonen som får implementert eller er med på å implementere nye IT-løsninger. Man finner frykt også internt i IT-avdelingene, gjerne der IT-avdelingene er store og noen risikerer å bli overflødige eller få endrede oppgaver, eller der beslutningene tas utenfor IT-avdelingen. Frykten dreier seg gjerne omkring ett av to alternativer:

      1. Frykt for å miste jobben
      2. Frykt for nye eller endrede arbeidsoppgaver

      Jeg klandrer ingen for denne frykten. Frykt for endringer er hardkodet i genene og det er kun de bevisste som vet å utnytte endringer til egen fordel.

      I tillegg ser vi ofte at interne IT-avdelinger blir et slags mellomkontor for eksterne leverandører. IT-avdelingen bestiller maskin- og programvare fra leverandøren, får det levert og installerer det i egen organisasjon. Dette må selvfølgelig også gjøres, men litt for ofte ser vi at IT-avdelingen kjøper det leverandøren prakker på dem, uten å selv ta ansvaret for hva de faktisk trenger eller hvordan det ideelt sett bør være. Det er ikke nødvendigvis slik at jeg tror linken mellom IT-avdelingen og leverandørene er et problem, men problemet oppstår der IT-avdelingen ikke tar tilstrekkelig ansvar for det som anskaffes. Det ser vi mange eksempler på.

    • I organisasjoner hvor IT-avdelingens mål ikke er samstemt med organisasjonens mål blir det gjerne sånn. For å holde IT-budsjettet under kontroll sparer man på nyinvesteringer både innen teknologi og kompetanse. I noen grad kan proteksjonistiske fagforeninger også holde en klam hånd over utdaterte systemer som legger hindringer i veien for resten av organisasjonen.

      Til syvende og sist finnes det leverandører som er gode på å selge, men som kanskje ikke har de riktige løsningene. Hyllevare passer sjelden uten tilpasning, og tilpasning blir sjelden like god som programvare lagd for formålet. Jeg er litt skeptisk til store softwarepakker lagd for det amerikanske markedet hvor det er helt andre størrelser på organisasjoner. I Norge har vi gjerne en underskog av eksisterende systemer som plutselig skal integreres, mens i større og mer uniforme organisasjoner vil det være letter å implementere uniforme løsninger (som ofte har problemer med å håndtere variasjon i etterspørsel, men det er en annen skål).

      • Jeg kunne (og burde) skrevet en egen sak om hva som skiller en god og en dårlig IT-avdeling. Kort fortalt mener jeg en god IT-avdeling ikke bare innehar IT-kompetanse, men også solid fagkompetanse om hvilke arbeidsoppgaver bedriften eller organisasjonen utfører. IT-avdelingen trenger begge deler.

  3. At IT-beslutninger er venstrehåndsarbeid og ikke sees i sammenheng med hvordan de hjelper (eller rett og slett står i veien for å få gjort jobben) er det ingen tvil om. Jeg har blogget litt om dette på min blogg om informasjonsflyt og programmering.

    Det må allikevel påpekes at denne blogposten fokuserer mye på bruken av NT 4.0 som nå bli faset ut i Driftskonsept2. I den artikkelen kan man se at man bytter ut gamle systemer med nye som heller ikke virker. Det kan ikke forklares med noe annet enn at beslutningstagere enten ikke skjønner hvordan IT virker inn på organisasjonen og vice versa. Det er slike problemstillinger jeg forsøker å belyse på Flowshaped.io

    • På tide at du kom i gang med bloggingen, Dag! :-)

      Jeg kjenner ikke mye til prosessen omkring D#2 utover hva jeg har blitt fortalt via-via. Det jeg har blitt fortalt er at Windows NT 4 fortsatt er i drift på grunn av treg overgang til nytt system. Dette er dog ubekreftet.

      I ly av rapporten fra 22. juli-kommisjonen kunne det vært interessant om IT-pressen igangsatte litt kritisk journalistikk som resulterte i en føljetong.

      • Det vil ikke overraske meg om bremsene er slått på i Driftskonsept2. Et av problemene er begrenset volum på STI (Sikker tilgang til Internett som) lisenser, som visstnok er 2048, mens det er ca. 13000 som trenger tilgang totalt. Disse lisensene er visst flytende, så internett-requests køes opp. Litt vanskelig å begripe hvordan noen har kommet frem til et slikt design, men det er vel nettopp det man opplever: ingen helhet, ingen forståelser for samspill med arbeidsoppgaver, organisasjon og IT.

  4. Det hjelper bare så mye med fungerende kommunikasjons og IT systemer når folka som bruker utstyret i stor grad er inkpompetente.

    Jeg ble selv slått ned og banket et steinkast fra en politistasjon, hvor en securitasvakt tilkalte politiet umiddelbart. Det tok politiet 47 minutter å gå ut døra og over gaten.

    Gjerningsmannen hadde selvsagt stukket av, og politiet konkliderte med at jeg var dritings siden jeg pratet masse tull. Jeg hadde drukket to brus og en halvliter fordi jeg hadde spillejobb (musikk) den kvelden. Hadde det ikke vært for trommisen i bandet hadde jeg blitt kastet i fyllearresten fremfor å bli kjørt til legevakta. Der ble det påvist kraniebrudd, hjernerystelse og overfladiske ansiktsskader som krevde kosmetisk kirurgi for å fikse.

    Det er et slikt politi vi har å gjøre med, inkompetente, ubrukelige døgenikker som ikke engang prøver å gjøre en god jobb den dag i dag. Litt dyrt utstyr er desverre ikke nok til å hjelpe denne ubrukelige gjengen med tomsinger. Beklager hvis det finnes en og annen dyktig og samvittighetsfull politimann i dette landet, hvis du finnes så kan du se bort i fra denne kritikken.

  5. Jo viktigere informasjon du melder inn til politiet, jo sikrere kan en være på at den er trykt forvart og distribuert på postit-lapper, i bunken av uleste fakser, eller i et datasystem fra 90-tallet som er umulig å komme inn på!

    En hvilken som helst norsk taxi har bedre GPS-system enn en politibil. Et hvilket som helst pizzabudselskap har bedre responstid enn politiet. Mobiltelefonen og PCen min til X000 kr er bedre til å dele meldinger og (etterforsknings-)bildemateriale enn datautstyret til flere hundre millioner som politiet har kjøpt inn.

    Lover hjelp mot tregt nett
    http://www.politiforum.no/id/4743

    - Som en bil uten girkasse
    http://www.politiforum.no/id/4436

  6. Bruken av Windows er i dette tilfellet et symptom snarere enn en årsak. Kan du vise til til et konkret eksempel i forhold til kommisjonens rapport der bruk av noe annet enn Windows NT hadde gitt gunstigere resultat?

    • Hvor skriver jeg at Windows NT 4 er en årsak? Og til hva, forresten?

      Jeg skriver at Politiets bruk av Windows NT 4 er problematisk. Det er et uomtvistelig faktum. Argumentene leser du i artikkelen.

      • Er litt merkelig å koble det til denne konkrete saken når du sier at det ikke forårsaker noen av problemene politiet har hatt. Men jeg forstår deg dithen at du ikke deler mitt synspunkt, som selvsagt er helt greit.

        • Nå hevder du at jeg mener det ikke er noen årsakssammenheng, fortsatt uten å utdype årsak til hva.

          Du har heller ikke tilkjennegitt noe synspunkt. Derfor er det vanskelig si seg enig eller uenig med deg.

          Fint om du kan redegjøre for spørsmålene jeg stiller i forrige kommentar, samt for ditt synspunkt.

  7. Som ansatt i en stor offentlig bedrift (i IT avdelingen) opplever jeg at innkjøp av nye plattformer blir gjort av mennesker høyere opp i systemet som ikke forstår eller vet hva vi faktisk har behov for.

  8. Skjønner ikke helt at du gjør dette til et Microsoft vs Linux (et.al) problem. Eller eierskap til kildekode eller ikke. Eller gammelt og nytt for den saks skyld.

    Etter min mening – basert på lang erfaring fra offentlig sektor generelt – er problemet først og fremst dårlig organisering og forståelse for bruk av IKT i offentlig sektor (du trakk selv frem noen gode eksempler på dette).

    Om offentlig sektor generelt, og politiet spesielt, skal lykkes med effektiv bruk av IKT må:

    1) graden av byråkratisering reduseres betraktelig. I dag er det for mange som skal synse og mene, slik at de løsningne som faktisk blir laget kommer ut som halvveise kompromiss-løsninger. I tillegg skaper et regelverk for anskaffelser et system/forhold mellom leverandør og bruker som ikke gir insentiv for gode og dynamiske løsninger, man er mer tjent med å melke eksisterende løsninger (husk Murphy: “remember, when under fire, your gun was made by the lowest bidder”).

    2) organisringen endres slik at vi ikke lenger snakker om IT-avdelinger og brukere. IT-kompetansen må inn i organisasjonen, først da vil gode og brukervennlige løsninger kunne lages – og ikke minst tas effektivt i bruk. IT er i dag ikke en støttefunksjon på høyde med bilmekanikere og strømleverandører, det er – noe 22juni kommisjonen virkelig har klart å påpeke – en reell integrert del av taktisk og strategisk arbeid i de aller fleste operative organisasjoner.

    Håper forøvrig at denne hendelsen fører til noe godt, selv om det er en utrolig kostbar lærepenge…

    • Det spørs hva du legger i «et Microsoft vs Linux (et.al) problem». Vi vet at Politiets bruk av Windows NT 4 har vært et problem. Det er videre min faglige vurdering at Linux er bedre egnet i kritiske driftsløsninger enn Windows. Holder vi det på et faglig nivå trenger ikke dette å avstedkomme en tradisjonell religionskrig om operativsystemer.

      Jeg er helt enig i hva du skriver om at problemet først og fremst ligger i forståelse og organisering omkring IT, hvilket jeg også poengterer i selve artikkelen.

      Når det gjelder punkt 1 tror jeg også at vi enkelte steder er tjent med teknokratiske beslutningsprosesser.

      Når det gjelder punkt 2 skriver jeg i en tidligere kommentar at fagkompetanse i IT-avdelingene er et svært viktig kriterium for å lykkes.

  9. Problemet er ikke Windows – NT eller nyere – i seg selv. Det er fullt mulig å lage et fullgodt system med Windows i bunn, selv om jeg personlig aldri ville valgt noe slikt.

    Det som er problemet er kombinasjonen av to konkrete faktorer:

    1) At programvarelisensene koster penger
    2) At kildekoden ikke er tilgjengelig

    Nærmere bestemt, hadde systemet vært gratis eller kildekoden vært tilgjengelig ville problemet vært desimert. Det er først når man kombinerer disse to faktorene at ting går i løs? Og hvorfor det?

    Jo: Fordi kombinasjonen lisenser som koster og lukke kildekode gjør at alle endringer koster penger ! Det er plutselig ikke mulig å gjøre modifikasjoner uten at det eksplisitt settes av midler til å få dette gjort. Og dette er et kjempeproblem, spesielt i offentlig sektor. Vi vet nemlig alle hvor ofte det settes av midler til oppgraderinger der i gården…

    Kravspesifikasjoner og andre “myke” oppgaver er fine og flotte momenter det, men du kan kravspesifisere på deg koldbrann uten at det hjelper en skit dersom du ikke i praksis får anledning til å utføre reelle endringer i det hele tatt. Da går alle fine og flotte dokumenter rett fra skrivebordet og i søpla.

    Det burde vært forbudt for alle deler av offentlig sektor å kjøpe inn noe som ikke kan vedlikeholdes av internt personell, såfremt slike løsninger finnes tilgjengelige. Først når dette er på plass begynner diskusjonen om kravarbeid og annet.

    • Alt du sier er helt riktig, men går over hodene på de fleste beslutningstagere, noe som kanskje ikke gjør så mye :o

      Hvis beslutningstagere hadde innsett hvilke problemer utdaterte og/eller proprietære systemer skaper hadde de nok også interessert seg for å gjøre noe med det. De må studere sin egen organisasjon og selv se hvilke flaskehalser som oppstår når systemene ikke kan utvikles i takt med forretningen.

      Om kildekoden er gratis eller ei spiller ikke nødvendigvis så stor rolle, men arkitektur som lar dem bytte ut komponenter gjør det. Monolitiske system er ofte hva proprietære leverandører tilbyr, og ville blitt valgt bort med større forståelse.

      Det er helt riktig at proprietære systemer stort sett har høytt moment (dyrt/vanskelig å trekke igang utvikling av endringer), men ofte er påkrevde organisasjonsendringer enda tyngre, og det glemmer programmere ofte når de diskuterer dette temaet. Så lenge leverandøren kan tilpasse systemet/komponenten og støtter åpne standarder så mener jeg det er godt nok, men det er en stor fordel for organisasjonen om de selv besitter programmeringskompetanse på sine systemer. Det [kan] redusere faren for at forretning og IT kommer i utakt men er ikke noen garanti. Ofte så kan eksterne programmerere komme med vel så god input i utviklingsprosessen som ens egne.

  10. Hei, du virket veldig flink på Mac. Og jeg har et lite spørsmål: Hvordan får jeg den innloggingen som jeg egentlig skal ha på Mac? Den med stjernebakrund og et lite bilde av meg. Jeg har bare noe som ser ganske så likt ut som dette: http://www.uio.no/tjenester/it/maskin/macosx/hjelp/introduksjon/keychain/keychain-login-password-changed-515.png (bare med svart bakrund)

    Blir kjempeglad om du svarer!

Flere artikler

Enda flere artikler? Besøk arkivet.

Bekkelund.net er en blogg av Martin Bekkelund, hvor han lufter sine tanker om IT og IT-politikk. Martin arbeider til daglig som direktør for produkt- og forretningsutvikling i et av Norges største selskaper. Les mer...

Facebook Twitter Instagram LinkedIn Flickr Vimeo GitHub Google+ Martin Bekkelunds RSS-kanal

© 1995-2013 Martin Bekkelund
OpphavsrettRSSKontakt