Sådan læser du en softwareanmeldelse kritisk

Læs anmeldelsen for det, den ikke siger

En typisk softwareanmeldelse svarer på det samme som en leverandørdemo: funktioner, brugerfladens hastighed, licenspris pr. bruger og understøttede integrationer. Den svarer sjældent på, om værktøjet kan indgå i en dansk virksomheds it-landskab: hvor data ligger, hvilke underleverandører der er i kæden, og hvad der sker med data, når aftalen ophører.

Læs derfor anmeldelsen som en liste over produktets egenskaber. Lav samtidig din egen liste over det, teksten ikke nævner.

Tre tjek afgør, om anmeldelsen kan bruges som beslutningsgrundlag. Nævner den navnet på den cloud, løsningen kører på? Nævner den, hvor primærdata og backup ligger? Nævner den, hvordan data kan eksporteres i et brugbart format?

Mangler alle tre, er teksten et produktreferat, ikke en vurdering – uanset hvor grundig den virker på funktionsniveau.

Se også på, hvordan anmeldelsen er lavet og finansieret. Sponsorater, affiliate-links og gratis prøvekonti giver adgang til produktet, men sjældent til drift over år, migrering, supportbelastning eller ophør.

En vurdering efter få ugers brug kan sige noget om brugergrænsefladen. Den kan intet sige om, hvordan løsningen opfører sig, når den er blevet forretningskritisk for jer.

Tjek hvor data ligger, og hvem der kontrollerer dem

Dansk IT råder danske virksomheder til at styrke overblikket over forretningskritiske data og til at tage initiativer til at flytte dem ud af amerikansk-kontrollerede cloud-løsninger.

Thomas Kristmar, medlem af Dansk IT's fagråd for informationssikkerhed, siger: "Du er nødt til at vide, hvor du har hvilke data. De fleste virksomheder ved, at de har en aftale med for eksempel Microsoft eller Amazon. Men mange vil blive overraskede over, hvor meget andet, der er i skyen."

For enhver anmeldelse og leverandør betyder det: Hvilken cloud kører løsningen på, og i hvilken juridisk enhed og i hvilket land behandles dataene?

I databehandlingsaftalen – ikke i anmeldelsen – skal du kunne finde listen over underdatabehandlere. Du skal også kunne finde datacenterregion for både primærdata og backup, hvorfra support- og driftsadgang sker, og hvem der råder over krypteringsnøglerne.

Kan leverandøren ikke svare på, hvor dataene fysisk står, er svaret i praksis: Det ved de ikke – og det gør du heller ikke, hvis du køber alene på baggrund af anmeldelsen.

Vurder afhængighed, lock-in og exit-muligheder

Ifølge Rambøll og Dansk IT's rapport "IT i praksis" er over 90 % af alle danske virksomheder meget afhængige, afhængige eller i nogen grad afhængige af amerikanske cloud-løsninger. Kun 64 % har aktivt risikovurderet denne afhængighed.

En anmeldelse, der ikke forholder sig til afhængighed, beskriver derfor et valg, de fleste virksomheder ikke reelt står frit i.

Før anmeldelsen bliver til et køb, kan du kræve svar på konkrete exit-kriterier. Kan alle data eksporteres i et åbent format – CSV, JSON eller et fuldt databasedump – og følger metadata, historik og vedhæftninger med?

Hvor lang er opsigelsesperioden, og hvad koster leverandørens bistand til eksport? Kan løsningen køre on-premises eller hos en europæisk udbyder, hvis det bliver nødvendigt?

Mangler anmeldelsen disse oplysninger, må du hente dem hos leverandøren, før du beslutter noget.

Dansk IT's sikkerhedseksperter Jacob Herbst og Thomas Kristmar vurderer, at en total nedlukning af danske virksomheder i skyen næppe er et realistisk scenarie. Det ville koste de amerikanske tech-giganter hele det europæiske marked.

Risikoen er derfor sjældnere et binært "slukket eller tændt" end gradvise ændringer: nye vilkår, prisstigninger, begrænset adgang eller sanktioner, der rammer bestemte kunder.

En exit-plan skal derfor beskrive, hvad I gør ved delvise indgreb, ikke kun ved et totalt nedbrud.

Omsæt anmeldelsen til din egen risikovurdering

Eksponering kan opgøres konkret. Jacob Herbst, medlem af Dansk IT's udvalg for it i den offentlige sektor, siger: "Vi kan se, at USA går væsentligt længere end tidligere med sanktionsmidlet, og nu er begyndt at bruge det imod Europa."

"Hvis man som virksomhed er eksponeret i forhold til Grønland eller andre ting, som USA ikke bryder sig om, for eksempel grøn energi, så vil jeg mene, man skal lave en risikovurdering, hvor den risiko indgår."

Spørgsmålet til anmeldelsen bliver dermed: Hvilke af jeres aktiviteter, kunder eller markeder ville kunne gøre jer til en del af en sådan eksponering – og står det i teksten?

Dansk IT peger samtidig på øget risiko for digital spionage, eksempelvis amerikansk overvågning af dialog mellem danske og grønlandske politikere. Den bør derfor ikke foregå via systemer som Teams eller Microsoft 365.

Konsekvensen for dit valg er klassifikation: Ikke alle data skal behandles ens. Opdel jeres data efter følsomhed, og afgør for hver kategori, om den overhovedet må ligge i det værktøj, anmeldelsen anbefaler.

Lav vurderingen som en genbrugelig skrivelse: sæt data-kategori sammen med scenarie (sanktioner, spionage, vilkårsændring, prisstigning, leverandørstop), og notér konsekvens, ansvarlig og beredskabstiltag.

Thomas Kristmar beskriver fremgangsmåden: "selvom det er komplekst, skal man ikke bare give op. Man må dele opgaven op i mindre dele."

Bedøm anmeldelsens blik på digital suverænitet

Et enkelt spørgsmål afgør, om anmeldelsen bør styre valget alene: Forholder den sig til digital suverænitet? Det vil sige, om den siger noget om, hvor data ligger, hvilket lands lovgivning der gælder, hvem der kontrollerer adgangen, og hvordan I kommer ud igen.

EIFOs analyse af Kinas teknologiske fremmarch viser, at overlappet mellem Danmarks og Kinas handelsfordele er steget fra 37 til 48 pct. på 25 år, mens dansk eksport har vist sig robust. Det siger ikke noget om dansk softwareafhængighed, men det viser, at det teknologiske konkurrencebillede er bredere end USA alene.

Gør anmeldelsens konklusion til et bilag i jeres egen beslutningsproces. Skriv ned, hvad I selv har vurderet, hvad I har valgt at se bort fra, og hvilke oplysninger I mangler fra leverandøren.

Så kan vurderingen gentages, når leverandøren ændrer vilkår, cloud-udbyder eller ejerskab – og I er ikke afhængige af, at en fremmed anmeldelse holder øje for jer.

Digital suverænitet – Danmark og internationale trusler