Kritisk it-infrastruktur gik i sort på trods af failover: Nu skal NNIT betale erstatning
Hvordan kunne et væsentligt it-system gå i sort, selvom det var beskyttet med en sikkerhedsløsning, som netop skulle forhindre nedbrud?
Det spørgsmål har skurret hos Digitaliseringsstyrelsen, siden den offentlige login-portal NemLog-in gik i sort i en længerevarende periode i forbindelse med et datacenter-kollaps i juni måned.
Styrelsen har en aftale med leverandøren NNIT om, at NemLog-in skal beskyttes af en såkaldt failover-løsning. Det er en opsætning, som har til formål at forhindre nedbrud, og den virker ved, at NNIT har to ens driftsmiljøer til NemLog-in, som er placeret i to forskellige datacentre.
Med det sikkerhedsnet på plads havde styrelsen forventet, at NemLog-in kunne køre videre uden problemer på et andet datacenter, da det primære datacenter i Ballerup brød sammen en varm junidag på grund af for høje temperaturer.
Det skete bare ikke. I stedet bragede NemLog-in ned sammen med andre kritiske systemer og var slået omkuld over halvanden time efterfølgende.
Digitaliseringsstyrelsens vicedirektør Adam Lebech har siden undret sig over episoden.
»Da NemLog-in består af redundante driftsmiljøer, havde vi ikke forventet den længerevarende nedetid, vi oplevede på NemLog-in d. 30 juni 2019,« skriver han i en mail til Version2.
Failover burde ikke betyde nedetid
NemLog-in er en del af den offentlige digitale infrastruktur og Digitaliseringsstyrelsen betegner systemet som samfundskritisk infrastruktur. Systemet skal blandt andet sikre, at borgere og medarbejdere har adgang til alle offentlige myndigheders web-løsninger med ét enkelt login.
Ifølge Adam Lebech er formålet med det redundante driftssetup i flere datacentre, at man vil undgå, at såkaldte single point of failures sætter NemLog-in ud af spillet.
»Dette setup har til formål at sikre en høj tilgængelighed på løsningen i tilfælde af fejl, og skal desuden gøre det muligt at foretage failover uden nedetid og uden at overskride servicemål. Digitaliseringsstyrelsen havde derfor ikke forventet en nedetid ved denne type hændelse,« uddyber Adam Lebech i en mail til Version2.
Han tilføjer, at Digitaliseringsstyrelsen på nuværende tidspunkt er i dialog med NNIT omkring forebyggende handlinger og forbedringer, der skal mindske risikoen for, at lignende situationer kan opstå i fremtiden.
I tidsrummet 07.00-24.00 (primær driftstid) er kravet til oppetid 99,9 procent. I tidsrummet 24.00-07.00 (sekundær driftstid) er kravet til oppetid 99,5 procent. Driftseffektiviteten bliver opgjort på månedsbasis. Det vil sige, at oppetiden for NemLog-in i den primære driftstid fra 07.00-24.00 skal være 99,9 procent hver måned. NemLog -in havde en nedetid på 102 minutter den 30. juni. Det betyder, at er servicemålet omkring driftseffektivitet for juni måned ikke er overholdt. Den samlede oppetid for NemLog-in var i juni måned 99,67 procent, hvilket er under de 99,9 procent. Kilde: Digitaliseringsstyrelsen.Krav til oppetider for NemLog-in
Brud på aftale
I kontrakten om NemLog-in har Digitaliseringsstyrelsen sat krav til, hvilke oppetider NNIT skal levere for systemet (se boks).
Disse krav til oppetider levede NNIT ikke op til i juni måned, da NemLog-in gik ned.
»NNIT skal sikre, at NemLog-in er tilgængeligt i henhold til de opsatte krav til driftstid og driftseffektivitet. Da NemLog-in havde en nedetid på 102 minutter den 30. juni, betyder det, at servicemålet omkring driftseffektivitet for juni måned ikke er overholdt,« slår vicedirektør Adam Lebech fast i mailen til Version2.
Fordi NNIT ikke har levet op til de såkaldte servicemål skal it-virksomheden betale kompensation til Digitaliseringsstyrelsen.
Verison2 har søgt aktindsigt hos Digitaliseringsstyrelsen i NNITs driftsrapporter for NemLog-in for at få oplyst, hvor store bodsbeløb, der er tale om. Oplysningerne om netop dette er blevet undtaget fra aktindsigt med henvisning til, at det »kunne skade NNITs virksomhed« at udlevere disse oplysninger.
Version2 har desuden været i løbende kontakt med NNIT i kølvandet på hændelsen, og i en mail til Version2 skriver virksomhedens pressekontakt, at failover-funktionerne trådte i kraft på kundesystemerne i overensstemmelse med det tekniske design.
»Afhængig af kompleksitets på de enkelte løsninger kan failover inkludere en nedetid, det afhænger af løsningens design, for det kan være nødvendigt at foretage kontroller, før failover gennemføres. Disse kontroller kan være nødvendige af hensyn til sikkerheden og for at holde data intakte,« skrive NNITs pressekontakt i en mail til Version2.
I en kommende artikel ser Version2 nærmere på, hvad det helt konkret var, der gjorde, at NemLog-in gik i sort, på trods af at der var opsat en failover-løsning.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
