Så, vad var det som Peder Johansson diskuterade som skapade något som skulle kunna liknas vid en eftertankens kranka blekhet i auditoriet som hade sökt sig till PLM Experience Day? Klart är att de frågor han tog upp måste ses i ett brett perspektiv där den allmänna globala säkerhetsutvecklingen är en given aspekt. Johansson konstaterade att saker och ting är annorlunda idag och att läget har förändrats dramatiskt på bara två år. Det förefaller inte vara någon tillfällighet att detta tidsmässigt sammanfaller med Donald Trumps återkomst till presidentposten efter det senaste valet. Inte minst brukar man bland erfarna politiska iakttagare peka på en viss oberäknelighet som en tung osäkerhetsfaktor; liksom det faktum att det departement han skapade för Elon Musk, DOGE (Department of Government Efficiency), som hade som uppdrag att bl a reducera bemanningen på amerikanska myndigheter, fått effekter, exempelvis bland de delar av administrationen som hade till uppgift att övervaka myndigheternas sätt att utnyttja US Cloud Act.
Detta handlar idag ofta om synnerligen känsliga ärenden, inte minst när det gäller försvarsorganisationer som NATO, länder som Sverige och allmänt den västliga sfärens militärindustriella verksamheter. Vilka data kan man ha i molnet? Vad innebär det att de amerikanska myndigheterna utan att meddela saken kan plocka ut data från molnet? Och kopplat till detta: Hur kan AI påverka dispositionen av och möjligheten att komma åt känslig data? Det finns förstås flera frågor, men den samlade bilden landar i en svårbedömd komplexitet och osäkerhet.
Vad är moln-teknologi?
Peder Johansson gick i en mycket intressant keynote igenom först molnsäkerhetsaspekterna, och viktiga regelverk som idag finns på plats. Bland annat då de ovan nämnda US Cloud Act, Data Protection Framework, Zero Trust, Zscaler och EUs AI Act. Han beskrev allmänt molnteknologi som en mjukvarudefinierad, skalbar IT-infrastruktur där hårdvarorna, servrarna, i princip är tomma skal, ett slags stort online-lagringsutrymme där människor och företag lagrar filer och applikationer, åtkomliga var som helst med en internetanslutning. Molnet erbjuder i detta tjänster, som datorkraft, databaser, nätverk och programvaruapplikationer. Huvudsyftet är att ge tillgång till datorresurser och tjänster på begäran över internet, vilket inkluderar ett brett utbud av tjänster som servrar, lagring, databaser, nätverk, programvara, analyser och information.
Johansson pekade i sammanhanget de molntyper som förekommer i diskussionerna:
- Publika moln, där man delar infrastrukturen med andra
- Privata moln, där får man en avgränsad del i datacentret
- Hybrida moln, en blandad IT-miljö som integrerar privata moln med publika molntjänster
- On-premise moln – man kan ha en molninfrastruktur i sitt eget datacenter. Allt med samma funktionalitet som med de andra varianterna.
”Cloud innebär dock inte nödvändigtvis att man måste gå till en leverantör och köpa datakraft,” summerade Saab Aeronautics IT-bas.
Zero Trust – ”aldrig lita på, alltid verifiera”
En kärnfråga gäller hur ett system kan veta vem som får komma åt och nyttja informationen? Här kommer Zero-Trust in i bilden, noterade Johansson. Huvudprinciperna för Zero Trust-säkerhetsmodellen är att verifiera explicit genom att alltid autentisera och auktorisera alla användare och enheter. Istället för att tro att allt bakom företagets brandvägg är säkert, utgår Zero Trust-modellen från att det handlar om intrång och verifierar varje begäran som om den kommer från ett okontrollerat nätverk. Oavsett var begäran kommer från eller vilken resurs den ansluter till, lär Zero Trust-modellen oss att ”aldrig lita på och alltid verifiera”. Modellen är utformad för att anpassa sig till komplexiteten i den moderna IT-miljön som också omfattar den mobila arbetsstyrkan. Zero Trust skyddar användarkonton, enheter, applikationer och data var de än befinner sig. En Zero Trust-metod bör omfatta hela organisationen och fungera som en integrerad säkerhetsfilosofi och end-to-end-strategi.
Via US Cloud Act har amerikanska myndigheter en lagstiftad bakdörr
Detta sagt gick Peder Johansson över till ett antal väsentliga lagstiftningar som finns.
”En sådan av central betydelse, och som i Saabs fall kan vara lite problematisk, är US Cloud Act,” konstaterade han.
Det är en lagstiftning från 2018 som kom för att ge amerikanska myndigheter tillgång till elektroniska data som lagras av amerikanska leverantörer, oavsett var eller i vilket land informationen finns, och skapar ett ramverk för bilaterala avtal med betrodda utländska partners för ömsesidig åtkomst. Lagen syftar främst till att effektivisera inhämtning av elektroniska bevis för utredningar av allvarliga brott, som terrorism och cyberbrottslighet, genom att förtydliga amerikansk rättslig befogenhet och tillhandahålla en mekanism för internationellt samarbete, även om den också väcker juridiska problem gällande integritet och gränsöverskridande rättsliga frågor. Inte minst den senare biten är av intresse för Saab-koncernen.
”Så är det, men vad innebär nu detta för oss,” frågade Johansson retoriskt och fortsatte: ”Det betyder att amerikanska leverantörer, som Microsoft, Amazon, och Google lyder under amerikansk lag, vilket också ger att oavsett var data än finns i världen – även för de här företagens datacenters i Sverige eller Europa – så är det amerikansk lag som gäller. Detta kan vara värdefullt när det gäller t ex exportkontroll, visst, men det hindrar å andra sidan inte amerikanska myndigheter att efter egen skön gå in och hämta ut data. Komplicerande i sammanhanget är också att de har en tystnadsplikt; man vet aldrig om något har hämtats ut, eller när och vad som i så fall det hämtats ut, vilket givetvis är mycket besvärande när det gäller t ex viktiga militära produktdata.”
Kontrollmyndighet monterades ner av DOGE
Men det finns flera kontextuellt relevanta regelverk, som berör t ex GDPR-lagstiftningen och personinformation, Data Protection Frameworks. De hjälper organisationer att navigera och följa komplexa dataskyddslagar som General Data Protection Regulation (GDPR) och andra nationella eller internationella standarder.
”Den innebär att vi har ett skydd avseende vår personinformation. Den får man inte hantera hur som helst. Så, får man t ex ta in den och använda den i köpta amerikanska moln-lösningar vi talar om,” frågade Saab Aeronautics Head of IT. ”Nja, man fick egentligen inte det, i alla fall inte förrän 2023; då en EU-lag skrevs där det, efter avtal med USA om kvalificering av de köpta molntjänsterna, blev tillåtet att lagra den här personinformationen. Men parallellt med det här avtalet satte amerikanerna upp två stycken oberoende forum, som dels hade en granskande funktion, dels också utgjorde en tillsynsmyndighet. Detta har president Trump dock monterat ner, via DOGE (Department of Government Efficiency), det departement som Elon Musk ett tag ansvarade för. Men avtalet gäller fortfarande.”
Världen kan som sagt vara besvärande inkonsekvent och motsägelsefull.
”Kan vi lita på amerikanska tech-jättar?”
Med detta sagt kvarstår dock faktum att det här leverantörerna av molntjänster, främst Microsoft, AWS och Google, producerar mycket säkra lösningar.
”Det finns exempelvis inget företag i världen som satsar lika mycket pengar på säkerhet som Microsoft. Det egna företaget kan i skenet av detta aldrig vara i närheten av samma säkra lösningar som de här aktörerna tar fram,” hävdade Peder Johansson.
Så, vad är då problemet? Innan han gick in på svaret tog han upp några produkter till som är relevanta i sammanhanget.
”När man köper den här typen av molntjänster från leverantörer som Microsoft, AWS och Google så kanske man gör det från fler än en av dem. Det kan vara två eller man kanske har en egen IT-lösning som man fortfarande har kvar ”on prem” (lokalt installerad) eller hos någon annan leverantör,” sa Peder Johansson. ”Frågan är, hur får man detta att hänga ihop. Och hur får man det att hänga ihop med Zero Trust?”
Svaret är att det finns många produkter och en av de största idag är Zscaler. Också det ett amerikanskt företag och molntjänst. De har egna molntjänst-center där deras produkt snurrar. Vad gör denna produkt? Peder Johansson igen:
”Den behåller och underbygger behörighetskulturen. Det är i denna man talar om vilken information, vilka applikationer, som en specifik person, med sitt specifika certifikat, får för access-möjligheter. Det handlar kort sagt om en smart lösning som du t ex kan använda hemma när du vill logga in på företagsnätet, eller förstås på jobbet.”
Detta är en mycket säker lösning, konstaterade Johansson. Men återigen, saken har sina problemnivåer. Världen har gått mot att bli en allt osäkrare plats och Zscaler är ett amerikanskt företag med samma utgångspunkter som skildrades ovan när det gäller det/de regelverk dessa har att följa: Frågan kommer tillbaka – kan vi lita på amerikanska tech-jättar?
Saab Aeronautics IT-bas exemplifierar saken:
”När USA blir stötta i kanten – det har hänt tämligen nyligen vid två tillfällen – har man stängt av access till amerikanska molntjänster för åtminstone två länder. Det gick inte att accessa några molntjänster. Kan det hända oss? Vad händer om Ukraina-konflikten eskalerar? Ukraina klarade sig länge bra för att de hade sin information i amerikanska moln. Men vi vet också att de accessade informationen via Starlink, som vid ett tillfälle stängdes ner under någon vecka. Då blev det mörkt och tyst.”
AI som ett latent säkerhetshot
I nästa steg under sin presentation på PLM Experience Day kopplade Peder Johansson säkerhetsbitarna till AI. Allmänt, konstaterade han, att är allt krypterat.
”Bra förstås,” sa han, ”men man kan fundera över hur lång tid det tar innan koderna i det som är krypterat idag knäcks?”
AI finns där som ett latent hot, inte minst underbyggt av den processorkraft som via nya CPUer och GPUer tillförts datorerna. CPUer (Central Processing Units) är datorernas ”hjärnor” som utför instruktioner och hanterar uppgifter genom att bearbeta data och styra annan hårdvara, medan GPUer (Graphics Processing Units) är specialiserade elektroniska kretsar utformade för att accelerera komplexa grafiska och beräkningsmässiga uppgifter, som t ex artificiell intelligens och maskininlärning. De här processorernas kapacitet har närmast exploderat under de senaste fyra åren.
”Visst, det är säkert nu, men är det säkert imorgon,” undrade Johansson och fortsatte: ”Med de nya CPUerna och GPUerna kan mycket förändras snabbt. Hur lång tid tar det innan man genom AI kan läsa krypterad information i klartext?”
En överdriven oro? Definitivt inte, det ingår i högsta grad i hans uppdrag inom Saab att fundera och agera på de här bitarna. Att tänka efter före saker och ting händer är guld.
”Utvecklingen är snabb, säkerhetsbitarna allt osäkrare och lösningarna allt mer komplexa,” kommenterade Johansson, och tillade, ”det är inte underligt att man symboliskt tenderar att då och då sätta på sig en ’foliehatt’. Därför kan det vara intressant att fundera på vad som kan hända om man kombinerar några av de produkter och teknologier som vi pratat om ovan.”
Gripen-konfigurationer i molnmiljö? Knappast!
Ett exempel: Låt säga att man på företaget har Microsoft 365 E5, en premium molnprenumeration på företagsnivå som inkluderar kärnproduktivitets-appar i Microsoft 365, plus avancerade funktioner för säkerhet, efterlevnad, analys och röst. Den förbättrar säkerheten med automatiserat skydd mot hot och avancerade efterlevnadsfunktioner för dataskydd och styrning, erbjuder djupgående affärsinsikter genom dataanalys som Power BI och tillhandahåller avancerade röst-funktioner.
”Det innebär att vi har hela den avancerade säkerhetsmekanismen tillgänglig. Vi har flyttat upp vårt interna AD i Microsofts molntjänst. Där ligger våra certifikat, användare och klient, som sedan lagras internt på min PC. På min lokala PC ligger också mitt skript till Zscalern. För detta har vi implementerat konnektorer i alla infrastruktur-hubbar som man vill komma åt. I detta ligger min Zero Trust, alltså hela receptet på vad jag får komma åt som individ, vilken information, vilka applikationer, osv, under förutsättning att jag kan lägga upp rätt certifikat.”
”Här vet vi nu alltså att amerikanska myndigheter kan hämta ut data när de vill. Men det som ligger på min PC då, som var nyckel till detta, hur går det? Vi har ju köpt Microsoft 365 E5-produkten, som skannar och hanterar våra klienter, som sedan lagras i molnet. Därmed finns här också nyckeln till att komma åt all vår information: Receptet för vad jag är tillåten att hämta ut. Kan man då hävda att sakerna ligger säkert? Allmänt är det supersäkert för intrång, men vi vet ju nu att det finns kända lagstiftade bakdörrar att öppna, och att data kan hämtas ut när som helst av de amerikanska myndigheterna, men gör det något?”
Svaret är knappast överraskande: ”Ja, det gör något. Jag vill inte lägga t ex konfigurationer till Gripen-flygplanet i en sån miljö. Det vore knappast bra för Sverige, men det är inte mitt beslut som IT-chef, utan ett beslut som måste tas av ledningen på företaget. Kort sagt: Ja, det handlar om synnerligen smarta lösningar var och en för sig, men om man börjar kombinera ihop de här lösningarna så kan man få effekter som man inte hade tänkt sig. Om man lyssnar på den här trafiken som går från min PC, som egentligen sitter på vanligt internet, så är den idag krypterad. Men så kopplar vi på AI-motorer på den, då kan vi läsa allt som far däremellan.”
Utveckling mot att känslig data hanteras ”on prem”
En avslutande frågeställning cirkulerade kring hur man idag möter problematiken kring frågan om produktdata är säkra med AI och i molnet i händerna på amerikanska hyperscalers.
Bilden är komplex, men allmänt indikerade Peder Johansson på att känsliga data kommer att lokaliseras till ställen on prem där tillgängligheten är begränsad. Detta kan möjligen stå i motsats till vad som krävs för att t ex AI:n ska kunna göra maximal intern tjänst; den måste ju tränas på alla tänkbara aspekter när det gäller t ex produktframtagningen som helhet.
”Ja, det är verkligen en nyckelfråga var och hur den ska tränas. Den behöver ju rätt information och måste därför tränas på rätt ställen.”
Kommer det att ske i molnet under de förutsättningar som angetts ovan?
”Knappast, inget företag med självbevarelsedrift lär vilja riskera att tvingas dela med sig av viktig IP (Intellectual Property) och data som man tjänar pengar på? För bitar som handlar om känslig data kommer vi istället att få se on prem-lösningar,” sa han och tillade:
”Annat som påverkar AI-sidan är EUs nyligen antagna AI Act-förordning, men även här finns det andra problem som skapar ojämlika förhållanden för europeiska bolag, jämfört med icke-europeiska bolag. Förordningen syftar i grunden till att skydda människor exempelvis genom att förhindra att AI används fritt för medicinska ändamål, men den innehåller också sådant som är till för att skydda arbetstillfällen, vilket i förlängningen kan påverka konkurrenskraften. Men regleringen är ännu ny, varvid det är för tidigt att säga hur det kommer att påverka företag och deras möjlighet att agera.”
Notabelt när det gäller EUs AI Acta är att denna första heltäckande rättsliga ram för AI i EU, undantar militära och säkerhetsmässiga användningsområden från sitt tillämpningsområde. Detta innebär att AI-lagens skyldigheter och begränsningar (riktade mot civil AI) inte gäller vapensystem som enbart är utformade för militära ändamål. Detta kan sättas i perspektiv av att användningen av AI i militära applikationer och programvara blir allt vanligare, med tekniker som drönare, markrobotar, elektriska stridsfordon och sensorer som utvecklas för att hjälpa soldater i strid.
Vilka effekter kan man förvänta sig för aktörer på OEM-nivå, som Saab Defense och andra liknande spelare?
”Förmodligen att företag kommer att bli än mer noga med var man exponerar sin produktinformation. Gällande information som bedöms vara extra skyddsvärd kommer man som sagt troligtvis välja egna on prem-miljöer,” svarade Johansson.
Kan Europa skapa sina egna säkra moln?
Ännu knepigare lär frågan om vad som kan göras för att göra Europa oberoende av amerikanska myndigheters befogenheter.
”Ja, denna fråga är utmanande, men det kommer icke desto mindre att behövas europeiska lösningar. I det korta perspektivet lär det dock bli svårt att hitta lösningar på nivå med t ex Google,” konstaterar Peder Johansson.
Vad allt detta kan leda till toppar idag många företags agendor. Som en fond till utvecklingen kan nämnas att diskussionens vågor går höga kring vad Europa kan och bör göra för att möta läget. Bland detta kan nämnas tanken på ”suveräna europeiska moln”. Inom PLM-området har t ex Dassault Systemes redan ett sådant, där dock bl a prestanda i det stora format som krävs för att hantera de gigantiska europeiska behoven är tveksamma. Liksom frågan om man vill knyta sin data till den franskägda DS-plattform om man jobbar i andra PLM-miljöer. Det finns exempelvis uppgifter om att det inte bara är USA som jobbar med att systematiskt samla in industriinformation. Exempelvis lär den franska underrättelsetjänsten ha avsatt 20 procent av sin budget för att hjälpa franska företag med inhämtning av industrihemligheter. Sant eller inte – risker finns överallt och den ”foliehatt” som Peder Johansson symboliskt sätter på sig när han känner en oro över hur märkliga vägar informationsspridningen kan få i den osäkra värld vi just nu har runt omkring oss är inte alls orimlig.
Andra som agerar med jättelika investeringar i planerna är tyska affärsystemjätten SAP, som annonserat satsningar om 20 miljarder euro, motsvarade 220 miljarder kronor, och en utökning av SAP Sovereign Cloud, för att kunna konkurrera med AWS, Azure och Google.”
Därför blev det tvärtyst när
Peder Johansson var klar med sin keynote
Hur som helst, när Johansson var klar med sin presentation kring frågeställningen, ”är produktdata säker med AI och molnet”, infann sig som noterades i ingressen något av en domedagsstämning i auditoriet på Skeppsholmen. Det blev tvärtyst – varför?
”Jag tror att det gick upp för alla på plats, att de företag som förmodligen efter noga övervägande, har valt att lagra sin produktdata i molnet, samtidigt har gett amerikanska myndigheter en exklusiv möjlighet att hämta den data de önskar. Dessutom utan att behöva berätta att de gjort det. Jag tror vi såg en blandning av oro och förlägenhet. Oro över vad som kan hända – och förlägenhet över att man inte insett detta,” kommenterade arrangörssta-bens Lena Gunnarsson, konsult på Combitech.
”Det är klart att det finns mekanismer att hantera detta, men just nu så är läget lite osäkert, där sånt som vi tagit som självklara regler har ändrats över en natt,” konstaterar Peder Johansson.
