En analyse fra Resiliate viser, at danske ministerier har en median på 23 synlige, direkte teknologileverandører. Går man bare ét led længere ned i leverandørkæden, vokser tallet til 305. Det ændrer billedet af, hvor kontrollen over den kritiske digitale infrastruktur reelt ligger.
De fleste organisationer ved, hvem de har indgået kontrakter med. De ved, hvem der leverer deres systemer, cloudløsninger og andre kritiske teknologier. Og de har typisk forholdt sig til leverandørernes sikkerhed, økonomi og evne til at levere.
Men det er kun det øverste lag.
For bag de virksomheder, organisationen selv har valgt, ligger en langt større kæde af underleverandører. Cloudplatforme, software, datacentre, identitetstjenester, netværkstjenester og andre teknologier, som organisationen måske aldrig selv har valgt, men som dens kritiske funktioner alligevel er afhængige af.
Det er den forskel, Resiliate netop har undersøgt.
Analysen viser, at de undersøgte danske ministerier har en median på 23 synlige, direkte teknologileverandører. Når leverandørernes egne afhængigheder medregnes bare ét led længere nede, stiger tallet til 305.
"De fleste virksomheder har rimelig godt styr på, hvem de køber noget af. Men det er ikke det samme som at vide, hvem de er afhængige af. De kritiske afhængigheder kan ligge flere led længere nede i kæden hos virksomheder, man aldrig selv har valgt eller har haft/har en kontrakt med." — Lars Neupart, CEO, Resiliate
Det, der ligger under kontrakten
Forskellen er vigtig, fordi organisationens egne leverandørvalg ikke nødvendigvis fortæller, hvor dens reelle teknologiske afhængigheder ligger.
En dansk eller europæisk leverandør kan eksempelvis bygge sin løsning på teknologi fra virksomheder uden for Europa, og den leverandør kan igen være afhængig af andre platforme og infrastrukturer.
Resiliates analyse viser da også, at andelen af EU-ejede leverandører falder markant, når leverandørerne længere nede i kæden tages med. Det betyder ikke i sig selv, at en ikke-europæisk leverandør udgør et problem. Men det betyder, at beslutninger om blandt andet digital handlefrihed og leverandørrisiko ikke kan træffes alene ud fra navnet på den virksomhed, man har kontrakt med.
"Man kan have truffet et bevidst valg om sine direkte leverandører og alligevel ende med nogle helt andre afhængigheder længere nede i kæden. Hvis man ikke kan se dem, kan man heller ikke tage stilling til den risiko, de udgør." — Lars Neupart
To løsninger kan have samme svigtpunkt
Leverandørkæderne rummer også en anden risiko.
En organisation kan have valgt flere forskellige leverandører for at skabe redundans og mindske sin sårbarhed. På papiret ser løsningerne uafhængige ud. Men længere nede i kæden kan de være afhængige af den samme cloudplatform, den samme softwarekomponent, den samme identitetstjeneste eller den samme digitale infrastruktur. Dermed kan to forskellige løsninger i praksis have det samme svigtpunkt.
"To forskellige leverandører er ikke nødvendigvis to uafhængige løsninger. Hvis de begge bygger på den samme tjeneste længere nede i kæden, har man stadig ét fælles svigtpunkt. Det er den slags koncentrationer, man er nødt til at kende, hvis redundansen skal være reel." — Lars Neupart
Resiliens kan ikke vurderes isoleret
Det udfordrer den måde, organisationer traditionelt vurderer deres egen robusthed på.
For en organisation kan godt have styr på sin egen sikkerhed, sit beredskab og sine direkte leverandører og stadig være sårbar over for hændelser hos virksomheder, den ikke selv har nogen relation til.
Jo mere digitale infrastrukturer hænger sammen, desto vanskeligere bliver det derfor at vurdere resiliens inden for organisationens egne grænser.
Det afgørende spørgsmål er derfor ikke kun, om organisationens egne systemer kan modstå en hændelse. Det er også, hvad organisationen er koblet op på, og hvad de systemer igen er koblet op på.
Et andet vigtigt spørgsmål til ledelsen
Det betyder ikke, at medlemmerne af ledelsen skal have fuldt overblik over hver eneste virksomhed flere led nede i samtlige teknologiske leverandørkæder. Men de skal kende de afhængigheder, der kan få betydning for organisationens evne til at fungere.
"Ledelsen behøver ikke kende navnene på 305 leverandører. Men den bør vide, hvor de kritiske afhængigheder og fælles svigtpunkter ligger. Ellers risikerer man at tro, at man har bygget robusthed ind i sine løsninger, uden reelt at have gjort det." — Lars Neupart