SSkytjenester: hva det er, og hva du må passe påkytjenester
Skytjenester er blitt så selvsagte at de færreste tenker over dem: e-posten du åpner i nettleseren, bildene som dukker opp på alle enhetene dine, filmen du strømmer på kvelden. Alt kjører på servere du aldri ser. Men bak den enkle hverdagen ligger noen valg som betyr mye – særlig for virksomheter, der ansvaret for personopplysninger følger med selv når driften settes ut. Her får du forklaringen på hva skytjenester faktisk er, hvordan modellene skiller seg fra hverandre, og hva du må ha på plass før du tar en tjeneste i bruk.
Skytjenester: hva det er og hvordan det fungerer
De fleste bruker skytjenester hele dagen uten å tenke over det – e-post i nettleseren, bilder som synkroniseres, strømming, kartappen. Denne artikkelen forklarer hva som faktisk ligger bak ordet, hvilke modeller tjenestene deles inn i, og hva som gjelder for personvern når data havner utenfor Norge.
Hva en skytjeneste er
Kort sagt: du bruker noen andres datamaskiner over internett, i stedet for dine egne.
I stedet for at programmet ligger installert på maskinen din og filene på harddisken, kjører alt på servere i store datasentre. Enheten din blir et vindu inn, og du betaler for det du bruker – eller får det gratis mot at leverandøren tjener penger på andre måter.
Det tekniske kjennetegnet er dynamisk skalering: kapasiteten kan justeres etter behov. Trenger nettbutikken din ti ganger så mye datakraft i november, får du det uten å kjøpe servere du står med i januar.
For deg som privatperson betyr det i praksis at du slipper å tenke på oppdateringer, at filene er tilgjengelige fra alle enheter, og at en ødelagt maskin ikke tar innholdet med seg.
De tre modellene
Skytjenester deles vanligvis inn etter hvor mye du selv styrer.
SaaS, PaaS og IaaS – hvem styrer hva
| Modell | Du styrer | Typisk eksempel |
|---|---|---|
| SaaS Programvare som tjeneste | Bare dine egne data og innstillinger. Leverandøren drifter alt det andre. | E-post i nettleseren, lagringstjenester, regnskapssystem |
| PaaS Plattform som tjeneste | Dine egne applikasjoner. Leverandøren står for servere, nettverk og operativsystem. | Utviklingsmiljø der du publiserer egen kode uten å drifte servere |
| IaaS Infrastruktur som tjeneste | Operativsystem, lagring og applikasjoner – og ofte deler av nettverket. | Virtuelle servere du selv setter opp og vedlikeholder |
Jo lenger ned i tabellen, jo mer kontroll – og jo mer ansvar. Valget av modell påvirker derfor også hvor grundig risikovurdering virksomheten må gjøre.
SaaS er det de aller fleste møter: ferdige programmer du bare logger inn på. Du styrer dine egne data og innstillinger, leverandøren gjør resten.
PaaS retter seg mot utviklere. Du legger inn dine egne applikasjoner, men slipper å drifte servere og operativsystem.
IaaS ligner mest på tradisjonell drift, bare uten egen maskinvare. Du får virtuelle servere og setter opp alt selv.
Mønsteret er greit å huske: jo mer kontroll, jo mer ansvar. Det gjelder også juridisk – jo mer du overlater til leverandøren, jo grundigere må du vurdere om leverandøren er til å stole på.
Offentlig, privat og hybrid sky
Tjenestene deles også etter hvem som har tilgang.
Offentlig sky («public cloud») er delt infrastruktur åpen for alle kunder. Det er billigst og mest fleksibelt, og det er det de fleste bruker.
Privat sky er satt opp for én virksomhet alene, enten i egne lokaler eller hos en leverandør. Dyrere, men gir mer kontroll – ofte valgt der regelverk eller sikkerhetskrav gjør det nødvendig.
Hybrid sky kombinerer de to: sensitive data i privat sky, resten i offentlig.
Det finnes også fellessky («community cloud»), der flere virksomheter med like behov – for eksempel innenfor samme sektor – deler en løsning tilpasset felles krav.
Personvern og ansvar
Her har det skjedd mye siden skytjenester ble vanlig, og det er verdt å være oppdatert.
Personvern: dette må virksomheter ha på plass
| Ansvaret er ditt | Virksomheten er behandlingsansvarlig. Leverandøren er databehandler. Setter du ut driften, setter du ikke ut ansvaret. |
| Databehandleravtale | Må være på plass før tjenesten tas i bruk, og skal blant annet gi deg rett til revisjon. |
| Vit hvor dataene ligger | Du skal kunne dokumentere hvilke tjenester som overfører personopplysninger ut av EØS, inkludert underleverandører. |
| Fjerntilgang teller også | Logger en supportmedarbeider i et tredjeland seg inn på data lagret i EØS, regnes det som en overføring. |
| Overføring til USA | Er leverandøren sertifisert under EU-US Data Privacy Framework fra 2023, holder det som overføringsgrunnlag. Er den ikke det, må du bruke EUs standardkontrakter og gjøre en egen risikovurdering. |
| Informer de det gjelder | Ansatte og kunder skal få vite at opplysninger overføres ut av EØS. |
Regelverket har endret seg flere ganger det siste tiåret, og kan endres igjen. Sjekk gjeldende veiledning hos Datatilsynet før du inngår avtale.
Hovedregelen er enkel og overraskende ofte misforstått: virksomheten som bruker tjenesten er behandlingsansvarlig, mens leverandøren er databehandler. Du kan sette ut driften, men ikke ansvaret. Det er din virksomhet som svarer overfor Datatilsynet hvis noe går galt.
Derfor kreves en databehandleravtale før tjenesten tas i bruk, og du må vite hvor dataene faktisk befinner seg – også hos leverandørens underleverandører.
Overføring ut av EØS er det punktet som har endret seg mest. Etter Schrems II-dommen i 2020 ble overføring til USA i utgangspunktet ulovlig uten ekstra tiltak. Fra sommeren 2023 kom EU-US Data Privacy Framework: er den amerikanske leverandøren sertifisert under ordningen, holder det som overføringsgrunnlag. Er den ikke det, må du fortsatt bruke EUs standardkontrakter og gjøre en egen risikovurdering.
En detalj mange overser: fjerntilgang regnes som overføring. Logger en supportmedarbeider i et tredjeland seg inn på data som fysisk ligger i Europa, er det en overføring i lovens forstand.
For privatpersoner er kravene ikke like formelle, men vurderingen er den samme: tenk over hva du legger i skyen, og bruk tofaktorautentisering på kontoen.
Det som sjelden nevnes
Tre ulemper er verdt å ha et bevisst forhold til.
Avhengighet av leverandøren. Har du bygget arbeidsflyten rundt én tjeneste, kan det bli dyrt og tungvint å flytte. Sjekk om du enkelt får ut dataene dine i et brukbart format – før du trenger det.
Kostnader som vokser umerkelig. Abonnementer per bruker per måned virker små hver for seg. Regn på totalen over tre år, og på hva som skjer når dere blir flere.
Du er avhengig av andres oppetid. Går leverandøren ned, står du. Det skjer sjelden, men det skjer – og du kan ikke gjøre noe annet enn å vente.
Og en fjerde ting, som gjelder alle: synkronisering er ikke sikkerhetskopi. Sletter du en fil i en synkronisert mappe, forsvinner den overalt. Vi har gått gjennom forskjellen i artikkelen om skylagring eller ekstern harddisk.
Skytjenester i praksis
Vil du se hvordan dette ser ut i konkrete tjenester, har vi egne gjennomganger av OneDrive, SharePoint og Word i nettleseren – alle typiske eksempler på SaaS.
Viktig informasjon
Denne artikkelen gir en generell innføring i skytjenester og en forenklet framstilling av regelverket. Den er ikke juridisk rådgivning.
Reglene for overføring av personopplysninger ut av EØS har endret seg flere ganger det siste tiåret, og kan endres igjen. Skal virksomheten din ta i bruk en skytjeneste som behandler personopplysninger, sjekk gjeldende veiledning hos Datatilsynet, og gjør en egen vurdering før dere inngår avtale.
Kildehenvisninger
Ofte stilte spørsmål
Hva er en skytjeneste? En tjeneste der programvare, lagring eller datakraft kjører på leverandørens servere og gjøres tilgjengelig over internett, i stedet for på ditt eget utstyr.
Hva er forskjellen på SaaS, PaaS og IaaS? SaaS er ferdige programmer du logger inn på. PaaS gir deg en plattform å kjøre egne applikasjoner på. IaaS gir deg virtuelle servere du drifter selv.
Hvem har ansvaret for personopplysningene? Virksomheten som bruker tjenesten er behandlingsansvarlig. Leverandøren er databehandler. Ansvaret kan ikke settes ut.
Kan vi bruke amerikanske leverandører? Ja, men overføringen må ha et gyldig grunnlag. Er leverandøren sertifisert under EU-US Data Privacy Framework, er det tilstrekkelig. Hvis ikke, kreves standardkontrakter og egen risikovurdering.
Regnes fjerntilgang som overføring av data? Ja. At en person i et tredjeland får tilgang til data lagret i EØS, regnes som en overføring.
Er skylagring det samme som sikkerhetskopi? Nei. Synkroniserte tjenester speiler også slettinger. En sikkerhetskopi er en kopi som ikke endrer seg når originalen gjør det.
