Molntjänst- och geodatasäkerhet för kommuner

Därför finns den här sidan

När en kommun ska införa ett nytt GIS-verktyg är det ofta tre personer som avgör: den som ska arbeta i det, chefen som ska betala — och den som ansvarar för informationssäkerheten. De två första kan produkten övertyga på egen hand. Den tredje har ett annat uppdrag: att fråga var datan hamnar, vem som kan tvingas lämna ut den och vad som händer den dag ni vill byta system.

Det är rätt frågor att ställa, och de förtjänar raka svar. Den här sidan är skriven för att kunna skickas vidare som den är — till IT-säkerhetsansvarig, dataskyddsombud eller upphandlare — och för att kunna läsas klart på fem minuter.

Geodata är en informationssäkerhetsfråga

En GIS-plattform hanterar sällan bara bakgrundskartor. Här ligger ledningsnät och skyddsvärda anläggningar, ärenden knutna till fastigheter och adresser — och så snart ni samlar in enkätsvar från medborgare hanterar plattformen personuppgifter i lagens mening.

Valet av GIS-plattform är därför inte bara en verktygsfråga. Samma krav som gäller för vilket verksamhetssystem som helst — informationsklassning, personuppgiftsbiträdesavtal och skydd mot obehörig åtkomst — gäller även här. Vid en klassning hamnar geodata dessutom ofta högre än man först tror.

Schrems II, i klartext

Schrems II är EU-domstolens dom från 2020 som ogiltigförklarade Privacy Shield, det dåvarande ramverket för att föra över personuppgifter till USA. Domstolens kärna går att sammanfatta enkelt: amerikansk övervakningslagstiftning ger amerikanska myndigheter en tillgång till uppgifter hos amerikanska tjänsteleverantörer som EU-rätten inte accepterar — och den tillgången går inte att avtala bort med standardklausuler.

Sedan 2023 finns en efterträdare, adekvansbeslutet för EU-US Data Privacy Framework, som åter tillåter överföringar till anslutna amerikanska bolag. Men det är tredje försöket på samma väg — Safe Harbor och Privacy Shield underkändes båda av domstolen — och även det nuvarande beslutet är omstritt och väntas prövas igen. Den som bygger sin drift på amerikanska molntjänster bygger på en rättslig grund som redan rivits upp två gånger.

För OrbGIS del uppstår frågan aldrig: er data — geodatan ni laddar upp, era användare, era enkätsvar — lagras och behandlas inom EU, hos europeiska leverantörer. Det finns ingen USA-överföring i driften att göra en konsekvensbedömning av.

Cloud Act, i klartext

Cloud Act är en amerikansk lag från 2018 som ger amerikanska myndigheter rätt att begära ut data från amerikanska tjänsteleverantörer — oavsett var i världen datan lagras. Att en amerikansk molnjätte placerar sina servrar i Stockholm eller Frankfurt ändrar alltså ingenting: det är bolagets jurisdiktion som avgör, inte serverhallens adress.

”Datacenter inom EU” är därför inte samma sak som europeisk kontroll. Den som på allvar vill ställa sin data utom räckhåll för Cloud Act kan inte nöja sig med att titta på kartan — man måste titta på ägarkedjan.

OrbGIS är ett svenskägt bolag, plattformen driftas av oss och infrastrukturen kommer från svenska leverantörer. En begäran enligt Cloud Act saknar helt enkelt mottagare: det finns inget amerikanskt bolag i kedjan att rikta den mot.

Vad ”svensk drift” måste betyda

”Svensk drift” har blivit ett säljord som får täcka allt från en svensk återförsäljare av amerikanska molntjänster till faktisk drift under svensk kontroll. Tre frågor skiljer det ena från det andra: Var står servrarna? Vem äger bolagen som driver dem? Och vem har den tekniska kontrollen över datan i vardagen?

Så här ser svaren ut för OrbGIS:

• Hela plattformen på svensk infrastruktur. Databas, kartmotor, fillagring och säkerhetskopior körs på svensk molninfrastruktur i svenska datacenter.
• Vi driftar själva. Plattformen bygger på beprövad öppen källkod — PostgreSQL med PostGIS i grunden — och vi driftar den själva i stället för att hyra en färdig molnbackend av någon annan.
• Säkerhetskopior i Sverige. Kopiorna är krypterade och lagras åtskilda från produktionsmiljön, på mer än en plats i Sverige.
• AI inom EU. Plattformens AI-funktioner körs hos en svensk AI-leverantör inom EU. Er data skickas aldrig till amerikanska AI-tjänster.
• Datalagring i avtalet. Som standard avtalas lagring inom EU. Kräver kommunen svensk datalagring skrivs den in i kontraktet, som en del av tillvalet svensk drift.

Säkerheten inne i plattformen

Jurisdiktionen är halva svaret. Den andra halvan är hur plattformen är byggd — det som i vardagen avgör vem som kommer åt vad.

• Åtskillnad på radnivå. Varje organisations innehåll är avskilt med radnivåsäkerhet direkt i databasen, inte bara i applikationskoden. Användare i en organisation kan inte nå någon annan organisations data.
• Roller och behörigheter. Rollbaserad behörighetsstyrning avgör vem som får se, redigera, dela och publicera. Single sign-on via SAML / OIDC — däribland Microsoft Entra ID — finns genom serviceavtalet.
• Ingenting blir publikt av misstag. Publicering är en aktiv handling som kräver särskild behörighet. Fram till dess syns innehållet bara för inloggade medlemmar i er organisation.
• Krypterat hela vägen. All trafik går krypterad över TLS, och säkerhetskopiorna är krypterade.
• Säkerhetskopiering som faktiskt testas. Kontinuerlig säkerhetskopiering med en extra krypterad kopia i Sverige. Med serviceavtalet: 90 dagars historik, högst 10 minuters dataförlust, återställning inom 4 timmar — verifierat med kvartalsvisa återställningstester.
• En tydlig väg ut. All er data kan när som helst exporteras gratis i öppna format, och QGIS-pluginet ger full åtkomst från skrivbordet. Byter ni system tar ni datan med er.