Samfunnsøkonomisk konsekvensanalyse: IPv6 (dual stack) som obligatorisk forvaltningsstandard. Utkast i versjon 0.8,

Transkript

1 Samfunnsøkonomisk konsekvensanalyse: Utkast i versjon 0.8,

2 INNHOLDSFORTEGNELSE FORORD...Feil! Bokmerke er ikke definert. Sammendrag Innledning Bakgrunn Metode Behov Dagens situasjon Utviklingen i andre land Dual Stack Generelle behov Økningen av enheter som kobles til internett Konkurranse i markedet Et fortsatt velfungerende internett Sporing /datakriminalitet Økonomi Sikkerhet i nettverket Innovasjon Interessentbehov Det offentliges rolle Mål...18 Hovedmål...18 Delmål Mulighetsrommet: Alternativer til obligatorisk standard Aktuelle områder gjenstand for obligatorisk standard Krav til utstyr og applikasjoner Krav til tjenester publisert eksternt Klienters tilgang til eksterne internettjenester Krav til nye interne løsninger Tidspunkt for innføring av obligatorisk standard Oppsummering av mulighetsrommet Informasjon og koordinering Alternativer som videreføres til den samfunnsøkonomiske analysen alternativene, koordinert gjennomføring (0+, 1+, 2+, 3+)...23

3 4.2.2 Alternativ 1, Krav til nye løsninger Alternativ 2, alle områder Alternativ 3, en rask innføring Den samfunnsøkonomiske analysen Forutsetninger for analysen Levetid Prissatte effekter Kategorisering Grunnlag for estimering IPv6 kompatibelt utstyr Kompetansebygging Gjennomføring Driftskostnad Nye interne løsninger Utbredelse Sammenstilling av prissatte effekter Ikke-prissatte effekter OPPSUMMERING AV PRISSATTE OG IKKE-PRISSATTE EFFEKTER ANBEFALING...44 Alternativene...44 Drøfting...46 Konklusjon Referanser...49 Vedlegg 1 Oversikt, alle etater med dual stack...50 Vedlegg 2 Spørreundersøkelse, IPv6 i offentlig sektor...51 Vedlegg 3 Beregninger og kilder Opplæring Side 2

4 SAMMENDRAG Internett er under utvikling, og stadig flere enheter har behov for å knytte seg til nettet. Dette krever flere IP-adresser og en overgang fra IPv4 til IPv6, som vil følge utviklingen beskrevet under. IPv4 IPv4 og IPv6 as service (mellomløsninger som NAT) Dual Stack IPv6 med IPv4 som virtuell tjeneste IPv6 Norge har liten påvirkning på hva som skjer i det globale Internett og utviklingen mot IPv6 er ikke noe vi kan velge å droppe. På ett eller annet tidspunkt må vi gå over. Det er mange behov knyttet til det å støtte IPv6. Behovene kan oppsummeres i følgende målsetting: Hovedmål Effektiv innføring av IPv6 (dual stack) for offentlige virksomheter. Delmål Offentlige tjenester er tilgjengelige for alle uavhengig av IPv4 eller IPv6 adresse. Offentlige ansatte har tilgang til alle eksterne internettjenester uavhengig av IPv4 eller IPv6 Sikre fortsatt innovasjon og utvikling av nettbaserte tjenester. (herunder «Internet of things»). Hindre utvikling av fordyrende løsninger («workarounds», NAT, ekstra logging, mulighet til sporing). Like konkurransevilkår i markedet for internettilgang. Øke bevisstheten om sikkerhetsutfordringer som følge av to IP-protokoller. Side 3

5 Det er identifisert 3 ulike standardiseringstiltak i tillegg til null-alternativet, som kan bidra til at offentlige virksomheter får en raskere overgang til IPv6. Tiltakene er som følger: 0-alternativet Alternativ 1 Alternativ 2 Alternativ 3 Anbefalt krav Obligatorisk krav til eksternt publiserte tjenester fra år 2021 Krav til kjøp av nytt utstyr og nye interne løsninger. Utvider alternativ 1 til også å gjelde obligatorisk krav til alle interne klienter fra Likt alternativ 2, men hvor obligatorisk krav til eksternt publiserte tjenester og interne klienter gjelder fra I tillegg til tiltakene er det identifisert en innføringsstrategi ved bruk av et informasjons- og koordineringsprosjekt, som antas å øke innføringstakten betraktelig. Prosjektet kobles til de eksisterende alternativene som 0+, 1+, 2+ og 3+ alternativene. I den samfunnsøkonomiske analysen prissettes kostnadene knyttet til innføringen, mens gevinstene beskrives som ikke prissatte effekter. Alternativene har økt nåverdi jo raskere innføringsperiode de har, på grunn av økte driftskostnader og en kalkulasjonsrente på 4 % på investeringen. Forskjellene i nåverdi er derimot ikke avskrekkende for en så stor å viktig infrastruktur som Internett er for samfunnet. Nåverdien for 3+ alternativet er 85 millioner høyere enn for 0 alternativet. Kostnaden er i hovedsak knyttet til omprioritering av interne IT-ressurser som i en periode læres opp og gjennomfører overgangen til støtte for både IPv4 og IPv6 (dual stack). Kostnaden for innføring og drift vil være avhengig av virksomhetens størrelse og karakter. Gjennomsnittskostnaden for innføring av IPv4 og IPv6 (dual stack) i en virksomhet er 376 tusen kroner. Gjennomsnittskostnaden for økt årlig drift for en virksomhet er 48 tusen kroner. Side 4

6 Gevinstene av å innføre IPv4 og IPv6 (dual stack) er beregnet som følger: 0- alternativet Alternativ 1+ (2021) Alternativ 2+ (2021) Alternativ 3+ (2018) Innovasjon Kriminalitetsbekjempelse Konkurranse Loggføring og kostnader ved NAT Sikkerhet Stabilitet og tilgjengelighet Driver i markedet Difi anbefaler alternativ 3+ som innebærer: Obligatorisk standard gjennomføres for nytt utstyr og nye interne løsninger fra det tidspunkt standarden er gjeldende. Obligatorisk standard med krav til eksternt publiserte tjenester og krav til interne klienters tilgang til eksterne systemer fra For å få en best mulig gjennomføringsstrategi etableres et prosjekt med oppgave å koordinere virksomhetenes aktivitet og tilby gode løsninger for opplæring/e-læring. Kravene gjelder ikke for kommunikasjon mellom offentlige virksomheter. Valget har falt på alternative 3+, fordi dette alternativet gir klart best utbredelsestakt med påfølgende ikke prissatte gevinster. Kostnadene er allikevel forholdsvis lave i forhold til betydningen av infrastrukturen i dagens samfunn og størrelsen på kostnaden per virksomhet. Den viktigste gevinsten er et velfungerende nett med stabil drift, noe analysen viser at et nett basert på både IPv4 og IPv6 (dual stack) best understøtter. Det er i tillegg viktig at norsk offentlig sektor går foran og bidrar i dugnadsarbeidet som utgjør et velfungerende Internett. Deretter er det av stor betydning at Norge tar grep som understøtter nye teknologiske løsninger som kan danne grunnlag for en fremtidig forvaltningsutvikling, som er avgjørende for et land med fallende oljeinntekter og en økt andel eldre, der nye løsninger på helse og omsorg er avgjørende. Sist men ikke minst er det viktig å få på plass en infrastruktur som kan bidra til sporing for å hindre kriminalitet og terror, samtidig som regelverket ivaretar personvernet. Side 5

7 1 INNLEDNING Direktoratet for forvaltning og IKT (Difi) har ansvar for å forvalte innholdet i Forskrift om IT-standarder i forvaltningen og Referansekatalogen for anbefalte og obligatoriske IT-standarder i offentlig sektor. 1.1 Bakgrunn Referansekatalogen for anbefalte og obligatoriske IT-standarder i offentlig sektor anbefaler i dag at alt IT-utstyr offentlige virksomheter anskaffer bør ha støtte for både IPv4 og IPv6 (dual stack). Det samme gjelder alle offentlige nettsider og elektroniske tjenester, samt IT-tjenester det offentlige kjøper. Dette ble anbefalt av Standardiseringsrådet 14.juni 2011, og tatt inn i 3.1 versjon av referansekatalogen, publisert Det ble på det tidspunktet ikke ansett som nødvendig å gjøre standarden obligatorisk. Ønsket var å avvente og se om offentlige virksomheter ville velge å følge anbefalingen. Mangelen på IPv4 adresser, som nå er reell, gjør at private tjenesteleverandører både nasjonalt og internasjonalt, i økende grad legger over til å støtte IPv6. Tilbakemeldinger fra flere aktører, samt en oversikt over hvilke etater som har lagt om, tilsier at dette i liten grad skjer i offentlig sektor. Omleggingen har gått tregt, trolig på grunn av manglende kompetanse på området, samt frykten for økte kostnader i forbindelse med anskaffelser/integrasjon. At dual stack kun har vært en anbefaling og ikke obligatorisk har også gjort at en del ikke har sett nødvendigheten med å legge over. Som sentral leverandør av viktige nettjenester kan offentlig sektor spille en viktig rolle i overgangen fra IPv4 til IPv6, og en avventende holdning i det offentlige kan ha flere uheldige virkninger. Det er derfor reist spørsmål i Standardiseringsrådet på bakgrunn av den svake utbredelsestakten og henvendelser fra nettleverandørene og IKT-Norge, om støtte for IPv6 nå bør bli obligatorisk for å få fart på omleggingen. Difi har på bakgrunn av dette gjennomført en revisjonsvurdering i forhold til om den gjeldende anbefalingen bør revideres. Revisjonsrapporten ble behandlet i Standardiseringsrådsmøtet 13/ , og det ble anbefalt at Difi gjennomfører en samfunnsøkonomisk analyse av en eventuell styrking av kravet fra anbefalt til obligatorisk. 1.2 Metode Utredningen av behovet for å styrke kravet om å støtte IPv6 fra anbefalt til obligatorisk, følger arbeidsmetodikken i Standardiseringsrådet. Som en del av denne arbeidsmetodikken inngår en samfunnsøkonomisk analyse iht. veiledning Side 6

8 fra Finansdepartementet og Direktoratet for økonomistyring, når det vurderes å sette obligatoriske krav. Analysen har hovedsakelig basert seg på erfaringsdata og rapporter fra utlandet, uttalelser fra eksperter på området, norske nettleverandører, spørreundersøkelse som ble sendt ut til samtlige kommuner og etater, intervju med etater som har gått over, samt møter med i arbeidsgruppen 1 satt ned for å bistå utredningen. Arbeidsgruppen har bestått av offentlige virksomheter som har erfaring med omlegging til IPv6 og kunnskap om situasjonen i offentlige virksomheter på området. Blant de viktigste rapportene som ligger til grunn for analysen er blant annet en OECD-rapport fra oktober 2014; «The Economics of Transition to Internet Protocol version 6 (IPv6)» og den svenske Post- og telestyrelsens «Redovisning Införande av IPv6 hos svenske myndigheter och PTS informationsinsatser om IPv6» fra oktober Blant offentlige myndigheter i Norge er det primært innenfor universitets- og høgskolesektoren, samt noen få kommuner og enkelte etater som har lagt over til IPv6-støtte. Herunder Nasjonal kommunikasjonsmyndighet (tidligere Postog teletilsynet) som vi har vært i god kontakt med underveis i arbeidet. 1 Arbeidsgruppemøter holdt og Side 7

9 2 BEHOV 2.1 Dagens situasjon Til tross for at anbefalingen om støtte for IPv6 (dual stack) ble tatt inn i referansekatalogen i 2012, har det i liten grad foregått noen omlegging. Og siden da har verden offisielt gått tom for IPv4 adresser. 2 IPv4 og IPv6 (forkortelse for Internet Protocol version 4/6) er grunnleggende protokoller for kommunikasjon på internett. Alt utstyr som skal kobles opp mot internett trenger en protokoll-adresse for å kunne nåes, enten det er en PC, en printer eller et kjøleskap. Det totale antallet IPv4 adresser er ca. 4.3 milliarder, men med internettets utvikling er ikke dette lenger nok. Stadig flere enheter vil kobles til nettet, og dermed behøves flere adresser. For å bøte på den foreløpige mangelen på IP-adresser, benyttes noe som kalles CGN (Carrier Grade NAT), eller NAT (Network Adress Translation). NAT er en teknikk som gjør at èn adresse kan deles på flere brukere. Dette er en løsning som har sine fordeler og ulemper, men det er ingen optimal eller varig løsning. Dette er grunnen til at flere store organisasjoner nå har satt i gang arbeid og kampanjer for å få nettleverandører, maskinvareprodusenter og webselskaper til å støtte den nye IP-versjonen: IPv6. Versjonen har 340 sekstillioner (2^128) adresser 3, et antall som bør holde i rimelig lang tid fremover. Av store nettjenester som nå er tilgjengelige over IPv6 er blant annet Google, Facebook, VG og finn.no. Når det gjelder brukerne (innbyggerne) viser målinger at vi i Norge har gått fra 4,5 % brukere med støtte for IPv6 i september 2014, til nærmere 9,5 % i februar Se figur under: 2 IP-adressene fordeles globalt av Internet Assigned Numbers Authority (IANA) til de fem regionale internettregistrene (RIR), som igjen er ansvarlige for utdelingen til sin verdensdel. De fem RIR`ene er: AFiNIC (Afrika), ARIN (Amerika, Canada, Antarktis deler av Karibien), APNIC (Asia, Australia, New Zealand+ naboland), LACNIC (Latin-Amerika og deler av Karibien), RIPE NCC (Europa, Russland, Midt- Østen, Sentral-Asia) 3 RIPE NCC. Understanding IP Adressing URL: Side 8

10 Figur 1: Økningen av brukere med støtte for IPv6 fra 2012 og frem til i dag, Det bekreftes av en rekke leverandører på markedet at andelen med slik støtte vil øke en hel del bare i løpet av 2015, ettersom IPv6 rulles ut i økende grad. Under møtet med en rekke sentrale leverandører ble det antydet rundt 50%. 5 Det er slik at utstyr med støtte for både Ipv4 og Ipv6, er satt opp til å benytte IPv6 for de tjenestene som støtter dette. Leverandørene melder at omtrent 30% av trafikken til sluttbrukere med slikt utstyr går på IPv Utviklingen i andre land I mange andre land jobber det offentlige aktivt med overgangen til IPv6. I USA, ved The Office of Management and Budget, bestemte de allerede i 2007 at offentlige nettsider skulle være tilgjengelige over IPv6 innen september De satte også en deadline for når alle interne systemer skulle være på dualstack; september Selv om mange ennå ikke har nådd dette målet, har det stimulert både offentlige tjenestetilbydere og leverandører til å legge til rette for produkter og tjenester med IPv6-støtte. I Sverige har myndighetene vedtatt å innføre IPv6 i offentlig sektor gjennom et informasjonsprogram 6. Post og telestyrelsen tilbyr blant annet mye praktisk 4 Comparison of IPv6 IPv6-Enabled Web Browsers (courtesy Google) in Different Countries. URL: 5 Leverandørmøte hos Difi ( ) 6 Se Post-og telestyrelsens IPv6 nettsider. URL: Side 9

11 informasjon om hvordan innføre IPv6, og deltar på en rekke konferanser for å nå ut med denne informasjonen. Det ble tidligere satt et mål om at alle svenske myndigheter og kommuner skulle være mulige å nå over IPv6 i løpet av (Näringsdepartementet (ITP), 2011) Dette var nok i overkant ambisiøst; per mars 2014 hadde 33% av svenske myndigheter og 13% av kommunene IPv6- støtte. (Herseus, 2014) Selv om verken USA eller Sverige har nådd de ønskede målene har det skapt oppmerksomhet rundt IPv6, og på den måten etter all sannsynlighet satt en fortgang i overgangen. Dessuten har det indirekte stimulert det private markedet. (OECD, 2014) Flere andre land har gjort som Sverige, der myndighetene lager informasjonsmateriale for å hjelpe og guide organisasjoner i overgangen til IPv6. Blant annet har det vært et slikt prosjekt i regi av EU. IPv6 Observatory.eu viser en oversikt fra 5. desember 2014 som viser hvor mange virksomheter som har minst en IPv6 adresse registrert i DNS serveren sin i de ulike europeiske landene. Prosentandelen varierer mellom 15,9 % og 6,2 %. Noe som viser at Norge ikke ligger spesielt godt an internasjonalt. I Asia har det lenge vært bred oppmerksomhet rundt IPv6 blant offentlige myndigheter. Initiativer på området har blant annet vært: Samarbeid mellom offentlig og privat sektor Utvikling av retningslinjer og veikart Tilrettelegging for IPv6 i statlige nettverk Krav ved offentlige IT-anskaffelser Bevisstgjøring av nøkkelpersonell i det offentlige og i industrien Opplæring Overvåking av utviklingen og deling av denne informasjonen med industrien (Fujii, 2013) Singapore er et av landene som ligger lengst fremme i utrullingen. Her har de samarbeidet med store nettsider og banker, lokale opplæringssenter, tekniske høyskoler og universiteter for å sørge for nødvendig opplæring for innføring av IPv6. Samarbeid med tjenestetilbydere har sikret at brukerne ikke har endt opp med kun IPv4 eller IPv6. Side 10

12 2.2 Dual Stack På dette tidspunktet er det ikke bare å sørge for full støtte for IPv6 og «glemme» IPv4. IPv6 er ikke bakoverkompatibel - den kan ikke kommunisere over IPv4. Det må derfor benyttes løsninger som gjør at man kan kommunisere over begge protokollene. Selv om de fleste moderne datamaskiner og dagens smarttelefoner faktisk er forberedt på IPv6, må støtte for IPv4 opprettholdes. Svært mange nettsider tilbys bare over IPv4, og en del av det nettverksutstyret (eks. rutere) brukerne har hjemme er ikke klargjort/konfigurert opp for IPv6. Dermed må støtte for IPv4 opprettholdes en god stund til. I følge bransjen og fagmyndighetene vil IPv4 og IPv6 sameksistere i minst år fremover. Derfor vil det være nødvendig med støtte for både IPv4 og IPv6, såkalt «dual stack», i årene som kommer. 2.3 Generelle behov Økningen av enheter som kobles til internett Verden blir ikke mindre og det er ikke lenger nok adresser til å koble sammen den store økningen av folk, digitale enheter og webtjenester. Behovet for flere IP-adresser vil uten tvil vokse kraftig i årene som kommer. Ikke minst fordi det ikke lenger bare er PC-er som kobles til nettet, men også andre ting man ønsker å kommunisere med. Alt fra varmeovnen på hytta, til strømavleseren, bilen og kjøleskapet. Økningen av ting som kobles til internett er en trend mange mener vil være den neste store revolusjonen i årene som kommer. Dette refereres ofte til som «tingenes internett» (Internet of things /IoT). (Gartner, 2014) Se også delkapittel Innovasjon Konkurranse i markedet Mangelen på IPv4 adresser gjør det vanskelig for nye ISP-er (nettleverandører) å komme på markedet. En ny ISP her i Norge vil få utdelt en liten blokk IPv4 adresser (1024) fra RIPE NCC 7 - forutsatt at de har en IPv6 allokering- men det er overhode ikke nok til å kunne hevde seg på markedet. De blir altså nødt til å ta i bruk NAT og la brukerne dele IP-adresser, noe som er en svært kostbar affære og lite gunstig. Alternativt må de kjøpe IPv4-adresser fra noen som har overskudd og/eller gått konkurs og er villig til å selge. Dette gjør det dyrere og vanskeligere å komme inn på markedet, noe som hemmer konkurransen. Nye leverandører av mobiltjenester er også nye leverandører av internett tilgang. Disse er dermed rammet av denne utfordringen. Hvis vi lar problemet vokse, kan det indirekte også påvirke konkurransen i mobilmarkedet. 7 Det regionale internettregisteret som Norge tilhører Side 11

13 De etablerte ISP-ene merker også det voksende behovet for adresser, og har allerede innsett at de er nødt til å rulle ut IPv6 om de vil øke kundemassen. Men så lenge tjenestetilbyderne (f. eks offentlige nettsider) ikke tilbyr sine tjenester over IPv6 vil ISP-ene fortsatt (og i økende grad) være nødt til å benytte NAT og IPv4. Man kan med andre ord si at ISP-ene og tjenestetilbyderne har sittet på hver sin tue og ventet på at den andre skal ta første steget med å gå over til IPv Et fortsatt velfungerende internett NAT brukes altså for å bøte på dagens IPv4-adressemangel. På denne måten kan èn adresse fordeles på flere brukere. Dersom bruken av NAT hos ISP-ene fortsetter å øke vil man etterhvert få et kvalitetsmessig dårligere internett, der NAT fungerer som en flaskehals. (Howard & Sowell, 2014) En del applikasjoner og tjenester krever dessuten ende-til-ende forbindelse, noe som blir problematisk med denne løsningen. Det har videre blitt uttalt at dersom man venter til det siste med å gå over til IPv6 vil man risikere at man mister tilgangen til enkelte tjenester, eller at noen tjenester ikke vil fungere. 8 Det innebærer dessuten en viss risiko for at det på sikt kan oppstå to parallelle internett dersom bare noen går over til å støtte og benytte IPv6, eller om denne overgangen går tregt: ett nett som går over IPv4 og et annet som går over IPv6. Dersom deler av verden (f. eks i Asia) kommer til det punktet at de begynner å slå av sitt IPv4 nett, vil det bety at brukere uten IPv6 støtte ikke vil nå deres nettjenester. Dette kan skape problemer for offentlig sektors internasjonale samhandling. Internett er i dag den viktigste kommunikasjonsplattformen mellom myndighetene og innbyggere/ næringsliv, og et velfungerende internett spiller en sentral rolle i et demokratisk samfunn. Et velfungerende internett med tilgang for alle og med god kvalitet er derfor i stor grad i det offentliges interesse og noe de har et betydelig ansvar for å bidra til Sporing /datakriminalitet Elektroniske spor blir stadig viktigere for kriminalitetsbekjempelse, men anses som uønsket fra et personvernperspektiv. Benyttet rett kan elektroniske spor sikre et trygt samfunn for alle og samtidig ivareta personvernet. 8 Arbeidsgruppemøte hos Difi, Side 12

14 I dag sporingsdata om internettrafikk lagres i tre uker hos en ISP, noen ganger lengre hvis politiet har fått en rettskjennelse for at ISP-en skal gjøre dette på deres vegne. Politiet vil normalt forespørre på hvem som eier en IP-adresse som ble benyttet i den kriminelle handlingen, og så kan nettleverandøren knytte den til en konkret kunde. Etter hvert som brukerne kommer over på IPv6 mens tjeneste leverandørene blir hengende etter på IPv4, vil logging av slike spor blir mer komplekst, vanskelig og kostbart. I mange nett får brukerne tildelt en IP-adresse hver gang de logger seg på. For at leverandøren skal vite hvilken kunde som har benyttet hvilken IP-adresse til enhver tid, trenger de kun å logge en linje med IP-adresse, kundenummer og tidsrom. Har ikke leverandøren nok IP-adresser til alle brukere som er pålogget til enhver tid, må de begynne å dele samme adresse. Da kan man ikke lengre logge hvem som har adressen til enhver tid. Da må all trafikk per bruker logges, ellers vil man ikke kunne finne frem til hvem av IP-adressebrukerne, som utførte den kriminelle handlingen. Det å logge bruk på denne måten kan føre til hundre linjer logg bare for forsiden på VG og gir enorme datamengder, sammenlignet med loggene der man har en egen IP-adresse per brukersesjon. I tillegg setter slik logging krav til sikring av loggen, siden den nå vil inneholde sensitive data om brukeres adferd på nettet. Den økte kostnaden til logging som kommer når brukere må dele på IPv4 adresser for å få tilgang til IPv4 tjenester er betydelig for leverandører av internettilknytning. I fjor fikk vi et eksempel på dette. Det ble publisert en bombetrussel mot en skole i Bergen på VG s debattsider, det ble forsøkt å finne frem til hvem som hadde publisert denne uten hell. En rask overgang til IPv6 på alle eksternt publiserte tjenester vil sikre enklere mulighet for sporing. Det er et vanlig tiltak på nett å blokkere adresser for å beskytte seg mot uønskede handlinger fra en spesifikk bruker. De fleste har automatiske systemer som detekterer mistenkelig nett trafikk og blokkerer IP-adresser som står bak. I et nett der brukerne deler IP-adresse vil det være vanskelig å blokkere en enkelt IPv4 adresse, siden det vil innebære at alle som benytter denne adressen blir utestengt, ikke bare den som begår den kriminelle handlingen. Videre kan det skape problemer for lokalisering av nødanrop via IP-telefon og overholdelse av streaminglisenser. Side 13

15 2.3.5 Økonomi Det er liten tvil om at på et tidspunkt må alle over på IPv6. I mellomtiden må man kjøre IPv4 med NAT og IPv6 i parallell. Dette er krevende, og for ISP-ene er det dyrt å benytte NAT. Prisen på en slik «boks» er ikke ubetydelig, dessuten gjør den logging av datatrafikk svært dyrt og omfattende. Perioden med dual stack bør derfor ikke være lenger enn nødvendig, og man bør få til en mest mulig effektiv overgang. Det er i dag svært usikkert når man kan «slå av» IPv4 - flere antyder år. Dersom man får til en effektiv overgang i Norge og Europa er det mulig at IPv4 kan slåes av tidligere. På et tidspunkt vil globale ISP-er (de første trolig i Asia) slå av IPv4 nettet, og da vil ikke lenger de med manglende IPv6-støtte ha tilgang til tjenester i disse delene av nettet Sikkerhet i nettverket Støtten av IPv6 i ulikt utstyr og programvare, samt utrullingen av IPv6 blant ISP-ene, har konsekvenser for informasjonssikkerhet. Støtten gjør at uautoriserte kan utnytte muligheten til å rute trafikk gjennom IPv6 og utføre uønskede handlinger, uten at eieren av utstyret er klar over dette. Utstyr har i dag støtte for både IPv4 og IPv6. De som ikke er bevisst at utstyret i utgangspunktet er satt opp til å støtte IPv6, vil kunne ha mange sikkerhetshull, hvis de ikke har skrudd av IPv6 støtten i nettverksutstyret. I tillegg vil klienter kunne fungere som IPv6 rutere, hvis det ikke er gjort tiltak for å hindre dette. Klienter som fungerer som IPv6 rutere kan fungere som en åpen dør inn til ellers beskyttet informasjon og utgjøre en betydelig sikkerhetsrisiko. Et bevisst forhold til IPv6, vil redusere disse risikoene og dermed minske kostnader relatert til sikkerhetsbrudd. Håndtering av utstyr som støtter IPv6 kan gjøres på to måter, enten ved å skru av IPv6 støtte og innføre tiltak for å hindre angrep knyttet til IPv6 eller ved å innføre et sikkerhetsregime for begge protokoller (IPv4 og IPv6 såkalt dual stack). Det er billigere å skru av IPv6 enn å støtte to parallelle protokoller. Ved å støtte begge protokollene må det settes opp systemer og regler for å regulere trafikk av begge typer. Det krever merarbeid for driftsansvarlige. I tillegg kreves det at man gjør arbeid knyttet til oppgradering av interne policies for hva som er lov og ikke i virksomhetenes nett. Det vil også være større sannsynlighet for å gjøre feil i et miljø med støtte for to protokollen enn i et miljø med kun støtte for en protokoll. Side 14

16 2.3.7 Innovasjon Internett og innovasjon henger tett sammen i dagens samfunn. Som nevnt i kap Økningen av enheter som kobles til internett) blir tingenes internett ansett som en kommende digital revolusjon. Det ble anslått i en OECD-rapport fra 2013 at en familie med to tenåringer kan ha så mange som 50 enheter koblet opp til nettet i 2022 (OECD, 2013). Men det er særlig forventet en vekst av slike oppkoblinger i helse- og omsorgssektoren. Bruk av utstyr som kan kobles direkte på pasienten og kobles opp mot nettet slik at lege/sykehus kan følge med uten å befinne seg på samme sted (telemedisin) vil kunne bety store ressursbesparelser. Med befolkningsveksten og den kommende eldrebølgen, samt mangelen på ressurser og plass på sykehus og sykehjem, er det et økende behov for nye innovative løsninger på dette området. «Smart city» er også et begrep som stadig nevnes. Dette innebærer at man i større byer sørger for mer effektiv ressursutnyttelse, gjennom f.eks. løsninger som miljøvennlig kjørerute, guidet vei til ledig parkering, smart belysning, tømming av søppelkasser ved behov og smart resirkulering. På stadig flere områder kommer det opp innovative løsninger, som utnytter muligheten for å ha sensorer og annet utstyr koblet på nett. Forøvrig er det mange tilhengere av IPv6 som håper at det skal dukke opp en såkalt «killer-app» som vil sette skikkelig fart på IPv6 overgangen. Det vil si en applikasjon med særdeles stor betydning som kun er tilgjengelig over IPv6. Dette ville tvunget de som ønsker å ta den i bruk over på den nye IP-versjonen. Den foreløpige «killer-appen» er at det faktisk er tomt for IPv4 adresser. 2.4 Interessentbehov Tabellen under viser de enkelte interessentene sine behov Interessent Beskrivelse Behov Interesse (lav /medium Internet Service provider (ISP) Nettleverandør Kunne dele ut adresser Konkurranse / høy) Høy Offentlige tjenesteleverandører Leverandører av nettsider-/tjenester (kommuner, Økonomi Å kunne levere tjenester av god kvalitet slik at de Medium/ høy (avhengig Side 15

17 offentlige etater) er tilgjengelige for alle av tjeneste) Kommunal og moderniseringsdepartementet, Nærings- og fiskeridepartementet, Direktoratet for forvaltning og IKT Ansvarlige for den nasjonale IT politikken, utvikling og innovasjon, samt arbeidet med offentlige standarder Sikkerhet i nettverket Et velfungerende internett tilgjengelig for alle Mulighet for innovasjon/ utvikling, ref. tingenes internett Høy Politi/rettsvesen Ansvarlige for kriminalitetsbekjempelse Sporing/logging for bruk i kriminalitetsbekjempelse Privat næringsliv Tjenesteutvikler Mulighet for innovasjon/ utvikling, ref. tingenes internett Høy Høy Tilgang til alle kunder på nett Bruker/innbygger og næringsliv Tabell 1 Oversikt interessenter Sluttbrukeren av nettjenester Tilgang til alle tjenester på nett Lav (men økende) 2.5 Det offentliges rolle Et viktig spørsmål er hvorfor det offentlige skal gå foran og oppfordre til IPv6- overgang. Internett er en sentral infrastruktur både nasjonalt og internasjonalt. En infrastruktur nødvendig for å dele informasjon, utføre tjenester og gjennomføre transaksjoner. Nasjonalt er Internett den viktigste plattformen for myndighetene og innbyggerne å nå hverandre på, og spiller således en sentral rolle i et demokratisk samfunn. Side 16

18 Skal infrastrukturen Internett utvikle seg og omfavne nye muligheter og teknologier samtidig som nettet er tilgjengelig og velfungerende, er en overgangen til IPv6 uunngåelig. Internett er et globalt dugnadsprosjekt og norsk offentlig sektor bør ta sin del av ansvaret. Å vente med å gå over til IPv6 helt til en overgang må skje, er lite solidarisk, hindrer utnyttelse av ny teknologi og løsninger og kan gi uforutsette kostnader. Det offentlige har stor påvirkningskraft gjennom sine anskaffelser av nettjenester, utstyr og programvare. Dersom de konsekvent krever støtte av IPv6 i sine anskaffelser vil dette kunne være med på å påvirke hva utstyr- og tjenesteleverandører tilbyr andre. I tillegg vil en overgang til IPv6 i offentlig sektor øke kompetansen også hos konsulentbyråene, som igjen kan selge sine tjenester i privat sektor. Offentlig sektor har ikke vært tidlig ute, men kan fortsatt ta en rolle som driver i markedet i den siste fasen. Side 17

19 3 MÅL IPv4 IPv4 og IPv6 as service (mellomløsninger som NAT) Dual Stack IPv6 med IPv4 som virtuell tjeneste IPv6 Figur 2: Målet, overgang fra IPv4 via dual stack til IPv6 Visjonen på lang sikt er at man går fullstendig over til IPv6 og «slår av» IPv4. Norske offentlige virksomheter har begrenset innflytelse over utviklingen av Internett og hvilke adresserings-protokoller som brukes. Vi kommuniserer med hele verden og må forholde oss til utviklingen på weben. Et isolert norsk tiltak vil i svært liten grad påvirke overgangen til IPv6 for det globale Internettet. Det vil derfor være vanskelig å innføre tiltak om å komme helt over til IPv6. Hovedmålet begrenset til en mest mulig effektiv overgang til dual stack for norske offentlige virksomheter. Dette er et mer kortsiktig mål sammenlignet med det langsiktige målet at virksomhetene kan slå av IPv4 og kun bruke IPv6. Det siste vil også avhenge av utviklingen globalt. Hovedmål Effektiv innføring av IPv6 (dual stack) for offentlige virksomheter. Delmål Offentlige tjenester er tilgjengelige for alle uavhengig av IPv4 eller IPv6 adresse. Offentlige ansatte har tilgang til alle eksterne internettjenester uavhengig av IPv4 eller IPv6 Sikre fortsatt innovasjon og utvikling av nettbaserte tjenester. (herunder «Internet of things»). Hindre utvikling av fordyrende løsninger («workarounds», NAT, ekstra logging, mulighet til sporing). Like konkurransevilkår i markedet for internettilgang. Øke bevisstheten om sikkerhetsutfordringer som følge av to IP-protokoller. Side 18

20 4 MULIGHETSROMMET: ALTERNATIVER TIL OBLIGATORISK STANDARD Mulighetsrommet som utforskes ligger innen pedagogiske og juridiske (krav til standarder) tiltak overfor offentlige virksomheter, som kan bidra til å nå målene identifisert i behovsanalysen over. Med bakgrunn i det totale mulighetsrommet velges de mest aktuelle alternativene, som videreføres til den samfunnsøkonomiske analysen. Antallet alternativer bør begrenses av hensyn til analysens omfang, samtidig som det er viktig å få med de alternativer som kan gi størst samfunnsøkonomisk nytte. Mulighetsstudien er gjennomført i samarbeid med prosjektets arbeidsgruppe bestående av deltakere fra ulike offentlige virksomheter, samt eget møte med leverandører. I tillegg er det gjennomført enkeltmøter med offentlige og private virksomheter. Det ble i 2012 vedtatt anbefalt krav om at alt IT-utstyr offentlige virksomheter kjøper skal ha støtte for IPv4 og IPv6 (dual stack), at alle eksternt publiserte tjenester skal ha støtte for IPv4 og IPv6 (dual stack) og at IT-tjenester offentlige virksomheter kjøper skal ha støtte for IPv4 og IPv6 (dual stack). Dette kravet utgjør null-alternativet. Analysen vurderer om noen av disse kravene bør styrkes til å bli obligatoriske og eventuelt på hvilke områder det bør skje. 4.1 Aktuelle områder gjenstand for obligatorisk standard Krav til utstyr og applikasjoner For at virksomheter skal kunne gjøre tjenester tilgjengelig på både IPv4 og IPv6 må nettverksutstyr (switcher, rutere, brannmurer etc.) og eventuelle servere ha støtte for begge protokoller. En mulig styrking av kravet er derfor å gjøre kravet om at utstyr og programvare skal støtte IPv4 og IPv6 (dual stack) obligatorisk. Mesteparten av utstyret som er solgt siden har hatt støtte for begge protokoller eller har hatt mulighet til å bli oppgradert til å gi støtte. Tilsvarende gjelder utstyr for å gi interne klienter tilgang til eksterne tjenester på Internett. Fra virksomhetene har vi fått oppgitt at nettverksutstyr ofte har 7-8 års levetid. Dette er utstyr med en prislapp som vil være synlige på et IT-budsjett. Avhengig av virksomhetens størrelse er estimert kostnad for en virksomhet mellom kr til nærmere 10 millioner kroner. Kostnaden vil derimot ikke ha noe å si, fordi utskiftingsraten tilsier at alle løsninger allerede skal ha fått IPv6 støtte. Leverandørene melder at for utstyr av en viss kvalitet koster det ikke noe ekstra å få IPv6 støtte. Side 19

21 Å innføre et obligatorisk krav om IPv6 støtte i utstyr og applikasjoner ved nyanskaffelser, er tiltak for å motvirke feilkjøp og økte kostnader på et senere tidspunkt. Tiltaket er kostnadsfritt og enkelt, og kan bidra til at rett krav blir satt ved anskaffelser. Cisco opplyser at dette kun delvis er tilfelle i dag (under 50 prosent av kravspesifikasjoner de mottar har satt krav til støtte for IPv6). Obligatorisk krav til anskaffelse av nytt utsyr vurderes helt klart som formålstjenlig og behandles i den samfunnsøkonomiske analysen. I og med at tiltaket ikke har kostnader inngår dette i alle alternativer bortsett fra 0- alternativet. I 0-alternativet er dette en anbefalt standard, slik situasjonen er i dag Krav til tjenester publisert eksternt Det er viktig at offentlige tjenester og informasjon på nettet er tilgjengelig for alle brukere, uavhengig av om de har en IPv4 eller en IPv6 adresse. Foreløpig gir ikke norske nettleverandører ut IPv6 adresser alene fordi svært mange nettjenester da ikke vil være tilgjengelig. Mange nettleverandører har derimot tilgang på kun et fåtall IPv4 adresser og lar derfor en rekke kunder dele adresser. I framtiden vil nok IPv4 adresser fases ut og alle vil få sitt eget sett med IPv6 adresser. Utviklingen går i en retning der stadig flere enheter skal være synlig på nett og derfor trenger en egen adresse. Overgangen til IPv6 er som tidligere vist uunngåelig. Å stille krav om at offentlige virksomheter skal være i stand til å kommunisere over begge typer nettverk vil være «et steg» inn i framtiden slik at offentlig sektor er forberedt på det som kommer. Det innebærer derimot kostnader å innføre «dual stack» og det krever en viss kompetanse. For å begrense omfang og kostnader vil et obligatorisk krav ikke gjelde kommunikasjon og tjenester mellom ulike offentlige virksomheter. Obligatorisk krav til eksternt publiserte tjenester er et av hovedtiltakene og inngår i den samfunnsøkonomiske analysen. Det er aktuelt å stille obligatoriske krav til både eksisterende og nye tjenester, begge deler inngår i analysen Klienters tilgang til eksterne internettjenester Det er ikke bare nødvendig å sikre at egne tjenester når ut til alle eksterne brukere. Det er også viktig for offentlige virksomheter å sikre interne brukere tilgang til alle tjenester på nett, uavhengig av om de leveres på IPv4, IPv6 eller begge deler. Gjøres ikke dette vil offentlige ansatte få tilgang til stadig færre tjenester på nett. Obligatorisk krav om interne klienters tilgang til eksterne tjenester på nett publisert på IPv6 er et av hovedtiltakene og inngår i den samfunnsøkonomiske analysen Krav til nye interne løsninger På lengre sikt vil all nettbasert kommunikasjon skje over IPv6, og IPv4 fases ut. Da vil en overgang til IPv6 i offentlige virksomheters interne nett bidra til en Side 20

22 enklere nettverksdesign med flere muligheter og flere nye innovative løsninger kan tas i bruk i tjenesteproduksjonen. Med bakgrunn i behovsanalysen mener vi overgangen ikke haster i samme grad for de interne systemene, da brukerne av offentlige tjenester i liten grad blir berørt av dette. Imidlertid kan det skape ekstra kostnader på sikt for virksomhetene og lavere effektivitet. Det kan derfor være formålstjenlig å sette krav til at nye interne løsninger designes med støtte for IPv6. Obligatorisk krav om at alle nye interne løsninger støtter IPv6 er derfor inkludert, og videreført til den samfunnsøkonomiske analysen. Det settes ikke krav til eksisterende interne løsninger utover det som angår klientenes tilgang til eksterne tjenester. Dette fordi det anses at virksomheten selv kan vurdere når det er best egnet til å legge om også for interne eksisterende tjenester. Ved å sette krav til nye tjenester, vil virksomhetene bygge opp kompetanse på IPv6 og dermed kunne se mulighetene det å legge over resten av løsningene vil gi Tidspunkt for innføring av obligatorisk standard Svært få offentlige virksomheter har i dag innført «dual stack» og kunnskapen om IPv6 er lav. Det er derfor behov for kompetansebygging. I tillegg vil det gå med både interne og eksterne ressurser i innføringsprosjektet. OECD har i sin analyse av IPv6 lagt til grunn at det kan bli billigere for den enkelte virksomhet å vente med innføringen, fordi kompetansen og erfaringene med omleggingen vil øke (OECD, 2014). Det vil trolig utvikles mer effektive metoder for omlegging til dual stack. På den andre siden vil virksomheter som avventer med omlegging til IPv6, måtte lage løsninger for å omgå de begrensninger de har med IPv4, noe som vil gi gradvis økte kostnader ved ikke å gå over. Det er vanskelig å vurdere når den økte kostnaden vil overgå besparelsen. Det vil nok være veldig ulikt fra virksomhet til virksomhet. Kostnaden for hver enkelt virksomhet vil være forholdsvis liten. Dette er en kostnad som virksomheten må ta på ett eller annet tidspunkt uansett. Det krever i mindre grad investeringer, men i hovedsak prioritering av interne IT-ressurser på bekostning av noe annet. En omlegging vil åpne for nye innovative løsninger, med påfølgende muligheter for forvaltningsutvikling. Det kan være snakk om både mer effektiv tjenesteproduksjon og nye spennende tjenester. Vi ser at mange nye løsninger som smarthus teknologi og nye innovative løsninger for helse og omsorg sektoren alle baserer seg på en infrastruktur med IPv6. Det er derimot vanskelig å forutsi hvor treg man kan være i overgangen før man taper effektiviseringsgevinster. For samfunnet kan det vise seg å være gunstige med en rask og effektiv overgang, når alle effektene oppsummeres. For den enkelte virksomhet kan det være lønnsomt å vente. Dette er et tiltak hvor de bedriftsøkonomiske Side 21

23 konsekvensene kanskje ikke er i samsvar med de samfunnsøkonomiske. Det understrekes at analysen har et samfunnsøkonomisk perspektiv. Innføringstidspunkt vil påvirke kostandene for tiltaket. Analysen vurderer ulike innføringstidspunkt for å se hvordan det påvirker de samfunnsøkonomiske effektene. De ulike tidspunktene er 2018 og Oppsummering av mulighetsrommet Tabellen nedenfor viser mulighetsrommet og hvordan dette avhenger av hvilke områder som er gjenstand for obligatorisk krav og tidspunkt for innføring. Dette er utgangspunkt for vurdering av hvilke alternativer som videreføres til analysen. Tabell 2 Mulighetsrommet Informasjon og koordinering Erfaringer fra andre områder innen standardiseringsarbeid har vist at det ofte er formålstjenlig å gjennomføre informasjonstiltak, kompetanseutvikling etc. ved innføring av nye krav til bruk av standarder. Uten dette er det en fare for at virksomhetene ikke kjenner til gjeldende krav og derfor ikke overholder kravene. Analysen inkluderer alternativ hvor det legges økt vekt på informasjon, veiledning og koordinering mot virksomhetene som gjennomfører endringen. Dette kommer i tillegg til mulighetsrommet vist i tabellen over. Side 22

24 4.2 Alternativer som videreføres til den samfunnsøkonomiske analysen Analysen går videre med tre alternative tiltak i tillegg til null-alternativet. I avsnittet nedenfor forklarer vi at til alle alternativene legges det til et pluss alternativ. Tiltakene er beskrevet nedenfor alternativene, koordinert gjennomføring (0+, 1+, 2+, 3+) Det vil være mulig gjennomføre informasjons- og koordineringstiltak for å sikre en mer kostnadseffektiv og rask innføring av IPv6 og dual stack. I Sverige har man allerede gjennomført denne typen tiltak, som har ført til noe raskere utbredelse. Alternativet innebærer at det etableres et gjennomføringsprosjekt med varighet 3-5 år, kostnadsberegnet til 10,5 millioner. Prosjektet får i oppgave å bistå og koordinere virksomhetene, og tilrettelegge for god opplæring. Hvert av alternativene analyseres med og uten gjennomføringsprosjektet. Dette betyr at vi får alternativene 0+, 1+, 2+, 3+. Alternativ 0+ innebærer dagens anbefalte krav og at det igangsettes et prosjekt med informasjon og koordinering Alternativ 1, Krav til nye løsninger Tabell 3 Alternativ 1 Alternativ 1 innebærer at det settes et umiddelbart krav til nytt utstyr og nye applikasjoner ved anskaffelse eller intern utvikling. Det samme kravet settes til anskaffelse og utvikling av nye interne løsninger. Side 23

25 Det foreslås i tillegg å sette krav til at alle eksternt publiserte tjenester gjøres tilgjengelig via IPv6 innen 2021, med unntak av tjenester mot andre offentlige virksomheter, som er avtalt og satt opp en til en Alternativ 2, alle områder Tabell 4 Alternativ 2 Alternativ 2 er en utvidelse av alternativ 1 ved at virksomhetenes interne klienter får tilgang til eksterne tjenester som er publisert på IPv6. I praksis betyr dette at både kommunikasjon ut fra virksomhetene og inn til virksomhetene kan skje på både IPv4 og IPv6. Dette kravet gjelder først fra Side 24

26 4.2.4 Alternativ 3, en rask innføring Tabell 5 Alternativ 3 Alternativ 3 omfatter de samme områdene som alternativ 2, men innføringstidspunktet for to av områdene er flyttet fra 2021 til Ved å ha alternativer med ulike innføringstidspunkt får vi belyst hvordan en utsettelse av kravet påvirker kostnadene. Side 25

27 5 DEN SAMFUNNSØKONOMISKE ANALYSEN Hensikten med analysen av prissatte og ikke-prissatte effekter er å beregne samfunnsøkonomisk nytte for løsningsalternativene, sammenliknet med Nullalternativet. I tillegg skal analysen synliggjøre hvilket løsningsalternativ som har størst samfunnsøkonomisk nytte. 5.1 Forutsetninger for analysen I en samfunnsøkonomisk analyse skal de verdsatte nytte- og kostnadsvirkningene som forventes i ulike fremtidige perioder omregnes til dagens verdi. En slik omregning (neddiskontering) må gjøres for at virkningene på tvers av tiltakene skal bli sammenlignbare. Dette omtales som nåverdiberegning. En kalkulasjonsrente på 4 % er benyttet i den samfunnsøkonomiske analysen, i henhold til rundskriv fra Finansdepartementet om samfunnsøkonomiske analyser, R109/14. Det beregnes en skattekostnad av investeringskostnader og andre kontantstrømmer via offentlige budsjetter på 20 % av netto finansieringsbehov. Finansieringsbehovet er netto virkning på offentlige budsjetter, og er summen av lønnskostnader (inklusiv skatt og arbeidsgiveravgift og innsatsvarer eksklusiv MVA). I tillegg er følgende forutsetninger lagt til grunn for analysen: Offentlig sektor består av 692 virksomheter. 9 Null-alternativet utgjøres av dagens situasjon, justert for den forventede utviklingen i analyseperioden, ved fraværet av sentrale tiltak. Det er null-alternativet som er referansepunktet for å vurdere gevinster og kostnader ved det enkelte løsningsalternativ. Prisnivå for innsamlede data er januar Alle økonomiske størrelser er gitt eks. merverdiavgift. Det legges til grunn at prosjektoppstart er De prissatte effektene blir neddiskontert til kommuner, 19 fylkeskommuner og 242 statlige virksomheter. Side 26

28 5.1.1 Levetid Med tiltakets levetid mener vi perioden som gevinster og kostnader skal beregnes for. Utgangspunkt for fastsettelse av levetid er at den må være tilstrekkelig lang til at analysen inkluderer alle sentrale kostnader og gevinster, også om de kommer langt fram i tid. Overgang fra IPv4 til «dual stack» (senere IPv6) er et tiltak uten slitasje, og i teorien vil virkningene vare i mange år. Vi velger her å analysere tiltakets levetid fram til det tidspunkt hvor alternativene er indifferente med 0- alternativet. Etter dette tidspunktet vil tiltakene ikke lenger ha større betydning enn om man ikke vedtar en obligatorisk standard. Det er lagt til grunn at tiltaket har en levetid på 12 år fra og med En politisk beslutning om obligatorisk standard vil kreve saksforberedelser, og kan tidligst finne sted årsskiftet 2015/16. Formelt er Europa i dag tom for IPv4 adresser, og med stor sannsynlighet vil virksomhetene uavhengig tiltak måtte innføre «dual stack» før Effekten av tiltaket vil være størst de første årene, og gradvis bli redusert år for år, og er opphørt innen Restverdi settes til null etter prosjektets levetid på 12 år. 5.2 Prissatte effekter Prissatte effekter er virkninger som lar seg kvantifisere. De omfatter både gevinster og kostnader. Det er gjennomført en del arbeid internasjonalt for å estimere effektene av omlegging til IPv6. Likevel eksisterer begrenset med «harde data» om kostnadene ved å innføre «dual stack». De fleste estimatene som er gjennomført er av store internasjonale ISP-er og tjenesteleverandører. Det eksisterer ingen eller svært begrenset med data om kostnadene for mellomstore og små virksomheter (OECD, 2014, s. 42). Prosjektet har hatt tilgang til erfaringsdata fra et lite utvalg av offentlige virksomheter i Sverige. Utover dette er estimering basert på samtaler med norske virksomheter som har gjennomført omlegging og ekspertuttalelser. Det understrekes at det er svært stor usikkerhet knyttet til kostnadsestimatene. Det har ikke vært mulig å estimere prissatte gevinster. De prissatte effektene er alle kostnadselementer og ingen gevinster. Det er svært utfordrende å beregne gevinstene av å innføre IPv4 og IPv6 (dual stack), Side 27

29 som en følge av at det stilles obligatorisk krav om dette overfor offentlige virksomheter i Norge. Det er utfordrende fordi de økonomiske gevinstene av å innføre IPv4 og IPv6 (dual stack) først kommer på litt lengre sikt og fordi det er avhengig av flere ukjente parametere, som har vist seg for vanskelig å anslå Kategorisering Det er betydelige forskjeller i kostnadene mellom virksomhetene mht. å implementere IPv6. Tiltaket innebærer å integrere ny teknologi med nye systemer i organisasjonen. Virksomheten må lære hvordan denne brukes, og dette krever planlegging og ressurser (OECD, 2014, s. 17). Datainnsamlingen viser det samme. Både virksomhetenes størrelse, ITkompetanse og kompleksitet påvirker kostnadene. Av den grunn har vi delt virksomhetene inn i tre kostnadsgrupper: små virksomheter, mellomstore virksomheter og store virksomheter. Inndelingen er som følger: Små Mellomstore Store Stat Kommuner Totalt Tabell 6 Inndeling av virksomheter Grunnlag for estimering For å klargjøre prosessene med å innføre «dual stack» har vi gjennomført møter med en rekke virksomheter, dvs. de fleste offentlige virksomhetene som har erfaring med tiltaket i Norge. Ingen av disse har vært i stand til å gi estimat om hva omleggingen har kostet for en hel virksomhet. Vi har fått estimater for hva det har kostet å omlegge en tjeneste, vi har fått estimater over behov for opplæring etc. Dette er virksomheter som har gjennomført endringen tidlig, hvor dette fremdeles kan betegnes som nytt og uprøvd i Norge (piloter). Det er virksomheter med ansatte som har vært spesielt dedikerte, og har ønsket å bygge opp kompetanse. Flertallet av virksomhetene er fra universitets- og høyskolesektoren og ett forskningsinstitutt. I tillegg har Post- og teletilsynet gjennomført «dual stack» for en av sine tjenester, samt 2-3 kommuner har gjennomført endring. Side 28

30 5.2.3 IPv6 kompatibelt utstyr De fleste alternativene setter krav til utstyr som støtter IPv4 og IPv6 (dual stack). Undersøkelser tilsier at de fleste nettverksløsninger og servere har støttet IPv4 og IPv6 (dual stack) siden Levetiden på nettverksutstyr varierer. Vi har beregnet gjennomsnittlig levetid til å være 7-8 år, og med denne utskiftingsraten, skal alt offentlig nettverksutstyr allerede ha støtte for IPv4 og IPv6 (dual stack). Kostnaden knyttet til oppgradering av utstyr ved overgang til IPv4 og IPv6 (dual stack) er derfor satt til null. Enkelte virksomheter velger å ha treg utskiftingsrate, så i praksis vil nok flere offentlige virksomheter oppleve å måtte skifte ut utstyr. Det har også vært mulig og er fortsatt mulig å kjøpe billig utstyr uten IPv6 støtte. Slikt utstyr har generelt sett lav ytelse også på andre områder. De som har anskaffet slikt billig utstyr eller fortsatt sitter med gammelt utstyr, bør uansett skifte det av andre årsaker, og ekstrakostnaden regner vi derfor ikke med her. Dette er i tråd med erfaringene til norske offentlige virksomheter som har innført «dual stack», med mindre de uansett satt på gammelt utstyr som var modent for utskifting. To av alternativene setter også krav til støtte for IPv6 i klientløsningene. De aller fleste offentlige virksomheter har allerede løsninger som har støtte for dette i dag, eller bør skaffe seg det av andre årsaker i nær fremtid. Kostnaden for å anskaffe klientstøtte for IPv6 beregnes derfor til null Kompetansebygging Vår spørreundersøkelse (se vedlegg 2) viser at det er lav kompetanse på IPv6 i offentlige virksomheter. De aller fleste må enten anskaffe eller bygge opp intern kompetanse for å kunne innføre IPv6. Vi antar at særlig mellomstore og store virksomheter ønsker å bygge opp denne kompetansen selv, for å kunne forvalte nettverksløsningene sine videre i etterkant av innføringen. De virksomheter som velger å benytte mindre på kompetansetiltak, forventer vi å måtte bruke mer eksterne timer enn interne timer på innføring. Det vil medføre høyere utgifter på innføringen og vi regner med at dette vil gå opp i opp. For analysen har vi lagt til grunn følgende kompetansebehov: Liten virksomhet Mellomstor virksomhet Stor virksomhet 4 dager til kurs 16 dager til kurs 25 dager til kurs Side 29

31 Kompetansetiltak kr i kr i kursavgift kursavgift Tabell 7 Kompetansebehov for virksomhetene kr i kursavgift Vi har lagt til grunn at kompetansebehovet er likt fordelt mellom alternativene, og at dette inntreffer ved gjennomføring av tiltaket. Kostnaden for kompetansebygging er spredd 50/50 i henhold til innføringsraten på publisering av eksterne tjenester på IPv6 og klienters tilgang til internettjenester på IPv Gjennomføring Å innføre IPv6 og «dual stack» medfører følgende oppgaver: Endre nettverk og server til å støtte IPv6 Anskaffe IPv6 fra internettleverandør. Anskaffe IPv6 fra web-, DNS-, e-postleverandør og annen software (spam og virusbeskyttelse) Anskaffe, installere og konfigurere brannmur som støtter IPv6. Tilpasse eventuelle applikasjoner som er IP-adressesensitiv Justere interne retningslinjer i lys av nytt risikobilde Estimert omfang av innføringsprosjektet er beregnet som følger for de ulike kategoriene: Liten virksomhet Mellomstor virksomhet Stor virksomhet Gjennomføring (timer) 250 timer 500 timer 1000 timer Tabell 8 Gjennomføringstid for virksomhetene Innføringen blir minst kostnadskrevende hvis den kan tas på et tidspunkt der virksomheten kan utnytte perioder med mindre trykk og utnytte synergier mot andre oppgaver. Virksomheter må regne en tidsperiode for å gjennomføre tiltaket, 1-2 år vil være en vanlig periode pga. planlegging, oppbygging av kompetanse og gjennomføring. Side 30

32 OECD legger til grunn i sin rapport at over tid vil det bli rimeligere å gjennomføre en omlegging til IPv4 og IPv6 (dual stack), fordi kompetansen og erfaringstilfanget øker. For å reflektere dette har vi lagt til grunn at kostnadene for selve gjennomføringen reduseres med 3,5 prosent pr år. (Opplæringskostnadene vil forbli de samme.) Driftskostnad Det å drifte et nett med to protokoller anslås å være dyrere enn å drifte et nett med en protokoll. Det blir blant annet en mer avansert nettverksdesign og det må lages regler i alle brannmurer for begge protokoller. Det er beregnet at det å drifte et nett med to protokoller vil kreve 8 % økning i tidligere driftskostnader. De tidligere driftskostnadene er beregnet til å være 17 % av anslått verdi av nettverksutstyr. Anslått verdi av nettverksutstyr for de ulike kategoriene virksomheter er vist i tabellen under. Liten virksomhet Mellomstor virksomhet Stor virksomhet Verdier , , ,- Tabell 9 Verdien av nettverksutstyr i ulike virksomhetskatagorier Nye interne løsninger Det er også et krav om at nye interne løsninger skal baseres på IPv4 og IPv6. Det har vært dårligere støtte for IPv4 og IPv6 (dual stack) i servere og applikasjoner. Men i den senere tid har dette økt betydelig. På de aller fleste områder bør det ikke være noe problem å finne en leverandør som kan levere løsningen med IPv4 og IPv6 (dual stack) støtte. Det kravet gjelder kun ny løsninger. Det antas at det å designe nye løsninger med IPv6 støtte har ubetydelige kostnader i forhold til det å ta frem den nye løsningen. Vi anser det også som et absolutt krav å skulle ha støtte for IPv6 i nyere løsninger, som skal kunne benyttes inn i fremtiden. Kostnaden for å inkludere IPv6 støtte i nyere løsninger settes derfor til null. Side 31

33 5.2.8 Utbredelse Her har vi gjort et anslag på hvor fort IPv4 og IPv6 (dual stack) vil bli tatt i bruk av offentlige virksomheter. Først forklares noe av kunnskapsgrunnlaget for de beregninger som er gjort. Dagens internett har ikke nok IP-adresser til å håndtere alle som ønsker å være tilgjengelig på nettet. Utviklingen går i retning av at stadig mer brukerutstyr, flere sensorer og servere, skal på nett med egen adresse. Dette krever en omlegging til IPv6 for alle brukere av Internett i løpet av de neste år. IPv6 har vært noe alle har trodd skulle komme i lang tid, helt siden begynnelsen av forrige tiår, men mange har holdt igjen. Nå har store tjenesteytere på internett, som Google og Facebook innført IPv6 støtte. Norske leverandører som VG og Finn har også lagt over. Internett tilbydere holder på å legge over alle brukerne. Telenor la over alle sine mobilbrukere i høst, noe som gjør at 9 % av brukerne nå er over på IPv6. Leverandørene melder at de regner med at over 50 % av brukerne vil være på IPv6 i løpet av Når en bruker har en IPv6 adresse, velges automatisk IPv6-protokollen når brukeren går mot et nettsted som også støtter IPv6. Det medfører per dato at omtrent 30 % av trafikken deres går på IPv6. Når IPv4 adressene ble delt ut, fikk ulike verdensdeler ulike mengder adresser. De har også per dato ulike behov for antall adresser. I Asia mangler man IPv4- adresser og her har de fleste allerede lagt over til IPv6. I Europa gikk man tom for IPv4-adresser i 2012 og mange europeiske land har satt krav til å gå over. USA har også mangel på adresser. Her har man derimot etablert et marked for å omsette adresser, som ikke lenger er i bruk. Mangelen på IPv4 adresser gjør at mange land har satt krav til IPv6 støtte og overgangen til IPv6 har begynt å sette fart. Asia har størst mangel på IPv4 adresser og det er et tidsspørsmål før enkelte tjenesteytere etter hvert lager nye tjenester uten IPv4 støtte, fordi de ikke får tilgang til adresser. Utbredelse om hvor raskt offentlige virksomheter innfører IPv4 og IPv6 (dual stack). Rask innfasing og høy samlet utbredelse er avgjørende for at offentlig sektor totalt og den enkelte virksomhet kan realisere de prissatte og ikkeprissatte effektene. I tillegg vil utbredelsen ha betydning for kostnadsutviklingen i de løsningsalternativene hvor prismodellene er knyttet til bruk. Utbredelsen beregnes i henhold til analyseperioden, jf Levetid. Side 32

34 Utbredelsen påvirkes av mange ulike faktorer. Faktorer som holder igjen virksomheter fra å innføre IPv6 er følgende: Kompetanse i virksomhetene Prioritering, overgang til IPv6 har ligget høyt på listen til mange virksomheter, men det kommer stadig opp noe som brenner mer. Kostnader til utstyr og applikasjoner, men disse er så å si bort nå, fordi IPv6 utstyr allerede har blitt solgt en god stund. Høna og egget. Tjenesteytere har ventet på at leverandører av Internett tilgang til sluttbrukere skal gå over til IPv6, mens leverandørene har ventet på at tjenesteyterne på Internett skal gå over først. Denne analysen er basert på et sett med antatte utbredelsestakter avhengig av hvilke tiltak som blir satt inn for å påvirke takten. Vi har anslått ulik utbredelsestakt på de ulike områdene. Per område er det igjen anslått ulik utbredelsestakt avhengig av hvilke tiltak som blir vedtatt og hvilken innføringsstrategi man velger å benytte. Det er derfor anslått 8 ulike innføringstakter per område. Når det gjelder nettverksutstyr er vårt anslag at det allerede er full utbredelse (jf. kapittel 5.2.3). Utstyr har hatt støtte for IPv4 og IPv6 (dual stack) i en lenger periode enn antatt utskiftingstakt, og de som henger igjen bør skifte utstyret av andre årsaker enn kravet om innføring av IPv6. Når det gjelder publisering av tjenester eksternt på IPv6 har vi gjort følgende anslag på antall virksomheter som har publisert mer enn 50 % av sine eksterne tjenester på IPv6. Se tabell under. Vi anslår at et obligatorisk krav vil ha litt større effekt enn et anbefalt krav. Det anslås derimot at få vil høre om å ta hensyn til kravet, med mindre det gjennomføres et større prosjekt for å informere om kravene, koordinere innføringen og tilrettelegge opplæringsløsninger. Det anslås at når det først gjennomføres slike tiltak vil utformingen av de ulike alternativene med obligatoriske krav få vesentlige følger for utbredelsestakten. Det anslås at et krav som går både på publisering av tjenester eksternt og sikre tilgang til eksterne IPv6 tjenester for interne klienter, vil gi en raskere omlegging enn om man bare setter krav til eksterne tjenester. Dette fordi det gir større effekt for virksomheten selv og fordi virksomhetene vil få en raskere kompetanseheving. Det anslås også at når det gjennomføres et koordineringsprosjekt, så vil også en raskere overgangsperiode få følger for utbredelsestakten. Når det gjelder tilrettelegging for at interne klienter skal ha tilgang til eksterne tjenester på IPv6, så er nok det en litt tregere prosess, enn for eksterne tjenester, Side 33

35 her kreves det noe mer kompetanse i forhold til nettverksdesign og informasjonssikkerhet. I hvilken grad dette kravet er vanskelig å imøtekomme varierer fra virksomhet til virksomhet. Enkelte har et oppsett av klienter med full støtte for IPv6, og kan enkelte skru det på, mens andre trenger noe mer arbeid for å få det til. Det vil uansett kreve en gjennomgang av sikkerhetsregler og interne policies. Se anslag i tabell under på hvor mange virksomheter som har gitt mer en 50 % av sine interne klienter tilgang til eksterne internettjenester på IPv6. Når det gjelder nye interne løsninger, så antas ikke dette å ha noen kostnad. Støtte for både IPv4 og IPv6, vil ha en liten ekstrakostnad, men den vil være minimal i forhold til arbeidet med de nye løsningene. (Jf. Kapittel 5.2.7) Side 34

36 Alt 0 1 % 3 % 6 % 9 % 14 % 20 % 30 % 45 % 60 % 80 % 95 % 100 % Alt 0+ 2 % 4 % 8 % 13 % 19 % 30 % 45 % 60 % 80 % 95 % 100 % 100 % Alt 1 1 % 3 % 8 % 13 % 19 % 28 % 40 % 55 % 70 % 85 % 100 % 100 % Alt 1+ 2 % 4 % 10 % 17 % 26 % 42 % 65 % 80 % 95 % 100 % 100 % 100 % Alt 2 1 % 3 % 8 % 13 % 19 % 28 % 40 % 55 % 70 % 85 % 100 % 100 % Alt 2+ 2 % 5 % 12 % 20 % 30 % 50 % 75 % 95 % 100 % 100 % 100 % 100 % Alt 3 1 % 3 % 8 % 13 % 19 % 28 % 40 % 55 % 70 % 85 % 100 % 100 % Alt 3+ 2 % 8 % 20 % 50 % 80 % 95 % 100 % 100 % 100 % 100 % 100 % 100 % Tabell 9 anslag over hvor mange virksomheter som har publisert mer enn 50 % av eksterne tjenester på IPv Alt 0 0,50 % 1 % 3 % 8 % 13 % 20 % 30 % 45 % 60 % 80 % 95 % 100 % Alt 0+ 0,50 % 1 % 4 % 11 % 18 % 30 % 45 % 60 % 80 % 95 % 100 % 100 % Alt 1 0,50 % 1 % 3 % 8 % 13 % 20 % 30 % 45 % 60 % 80 % 95 % 100 % Alt 1+ 0,50 % 2 % 3 % 8 % 13 % 20 % 30 % 45 % 60 % 80 % 95 % 100 % Alt 2 0,50 % 1 % 4 % 11 % 18 % 30 % 45 % 60 % 80 % 95 % 100 % 100 % Alt 2+ 0,50 % 4 % 10 % 20 % 30 % 50 % 75 % 95 % 100 % 100 % 100 % 100 % Alt 3 0,50 % 1 % 4 % 11 % 18 % 30 % 45 % 60 % 80 % 95 % 100 % 100 % Alt 3+ 0,50 % 4 % 15 % 50 % 80 % 95 % 100 % 100 % 100 % 100 % 100 % 100 % Tabell 10 anslag over hvor mange virksomheter som har tilgjengeliggjort eksterne IPv6 tjenester for mer enn 50 % av interne klienter

37 Analysen har lagt til grunn at tidspunktet en virksomhet går over til IPv6 er uavhengig av virksomhetens størrelse. Ulike virksomheter har ulik modenhetsgrad, og den er helt uavhengig av størrelse. Det er derfor tatt utgangspunkt i en jevn fordeling mellom små, mellomstore og store virksomheter når vi har beregnet kostnaden knyttet til de ulike kategorier virksomheter (små, middels, store). Kostnadene beregnet til kompetansebygging (jf. kapittel 5.2.4) og gjennomføring (jf. kapittel 5.2.5) antas å spre seg 50/ 50 mellom publisering av tjenester eksternt og tilrettelegging for at interne klienter skal ha tilgang til eksterne IPv6 tjenester. Fordelingen varierer veldig mellom ulike typer virksomheter, noen vil få mest kostnader på det ene området og andre på det andre området. Alt i alt antar vi at fordelingen vil være omtrent 50/ Sammenstilling av prissatte effekter Med utgangspunkt i anslagene for kostnader og utbredelse, har vi bygget en Excel-modell som beregner kostnadseffekter i løpet av analyseperioden. Tabellen under viser i de to første radene netto nåverdi for de ulike alternativene, med og uten informasjons- og koordineringsprosjekt. 0-alternativet Alternativ 1 Alternativ 2 Alternativ 3 Netto nåverdi av kostnader uten null Netto nåverdi av kostnader ved null+, % besparelse Sensitivitet Netto nåverdi av kostnader ved null+, % besparelse Netto nåverdi av kostnader ved null+, % besparelse Tabell 11 Netto nåverdi for de ulike alternativene, samt sensitivitetsvurdering Beregningen viser at det minst omfattende tiltaket har lavest kostnader, og at en utsettelse av gjennomføringen reduserer kostnadene. Det siste reflekterer en kalkulasjonsrente på fire prosent, slik at investeringer i framtiden blir rimeligere enn å gjennomføre investeringer i dag. I tillegg inneholder beregningene et anslag om at kostnadene ved å innføre «dual stack» blir redusert med 3,5 prosent pr år, etter hvert som kunnskap og erfaring med gjennomføring øker.

38 I og med at de prissatte effektene kun viser kostnadene gir ikke estimatene et grunnlag til å vurdere alternativene opp mot hverandre alene, de må ses i sammenheng med de ikke prissatte effektene. Enkelte av estimatene ved kostnadsberegningene er knyttet til usikkerhet. Dette gjelder særlig anslått besparelse knyttet til informasjons- og koordineringsprosjektet. Tilbakemeldingen fra arbeidsgruppen er at vårt anslag på 30 % er forholdsvis nøkternt. I sensitivitetsanalysen, viser vi konsekvensen av å anslå en besparelse på 50 % og 20 % i stedet. Øvelsen viser at det er en viss usikkerhet knyttet til tallene, men at det absolutt ikke er dramatisk for hver virksomhet. Det andre tallet i kostnadsberegningen det knytter seg stor usikkerhet til, er utbredelsestakten. Her viser de ulike alternativene med ulik utbredelsestakt, hvor stor usikkerheten er. Kostnadene vil ikke variere betydelig for hver virksomhet avhengig av innføringstakt. 5.3 Ikke-prissatte effekter Ikke-prissatte effekter er virkninger som ikke lar seg kvantifisere. De omfatter både fordeler og ulemper. Virkningene er vurdert i henhold til metode for å systematisere ikke-prissatte virkninger, ofte omtalt som «pluss-minus metoden». 10 I pluss-minus metoden vurderes det enkelte løsningsalternativ opp mot en rekke kriterier. Disse kriteriene er omtalt senere i dette kapittelet. For hvert kriterium skal løsningsalternativet vurderes i tre trinn: 1. Betydning Vurderingen baserer seg på hvorvidt effektene av løsningsalternativet påvirker noe som har samfunnsmessig verdi. Skalaen som benyttes er liten, middels eller stor. 2. Omfang Vurderingen handler om hvor stor påvirkningskraft løsningsalternativet antas å ha for det aktuelle området, jf. trinnet over. Skalaen som benyttes er stort negativt omfang, middels negativt omfang, intet omfang, middels positivt omfang og stort positivt omfang. 10 Finansdepartementets veileder i samfunnsøkonomiske analyser (2005) 4.5 Side 37

39 3. Konsekvens Dette trinnet består i å fastsette løsningsalternativets antatte konsekvens, basert på vurderingene av betydning og omfang. 11 For et gitt kriterium vil betydningen være det samme for alle løsningsalternativene. Omfang, og dermed konsekvens, vil variere for de ulike løsningsalternativene, pr. kriterium. Null-alternativet brukes som referansepunkt for å fastsette konsekvensen. Skalaen som benyttes er ni-delt og er som går fra ( ) til (++++) som illustrert nedenfor. Kriteriepoeng Meget stor positiv Stor positiv + + Middels positiv + Liten positiv 0 Ubetydelig - Liten negativ - - Middels negativ Stor negativ Meget stor negativ Tabell 11: Skala for vurdering av ikke-prissatte effekter Innovasjon Internett gir muligheter til utvikling av nye tjenester og produkter, og denne aktiviteten med å videreutvikle nettbaserte tjenester skjer i IPv6-miljøer. Det er IPv6 som er framtiden og hvor ny verdiskaping vil skje. Det er eksempler på virksomheter som eksperimenterer med å utvikle nye produkter og tjenester basert på IPv6. Nye innovative teknologier baserer seg på et nett med støtte for IPv6, der uendelig mye utstyr og sensorer kan få sin egen adresse «Internet og things». Aktuelle eksempler er smarthusteknologi, sensorer og løsninger for å skape fremtidens pleie og omsorgstjenester, overvåking av pasienter på sykehus, oversikt over miljøvennlige kjørerute, guidet vei til ledig parkering, smart belysning, smart resirkulering og mye mer. Dette er innovative løsninger som kan ha betydning for utviklingen av et bærekraftig samfunn og bidra til at offentlig sektor skal kunne møte de utfordringer samfunnet står overfor med lavere oljeinntekter og økt andel eldre. Kriminalitetsbekjempelse 11 Som støtte i evalueringen brukes matrise fra.. s. 241 s Side 38

40 I behovsanalysen har vi forklart hvordan NAT medfører at mange personer deler samme nettadresse, og at informasjon som legges ut på nettet ikke blir sporbar. Dette gir utfordringer for politiet i tilknytning til politiarbeid hvor sporing av informasjon på internett og epost ofte er viktig del av politiarbeidet. Økt grad av NAT gir store utfordringer knyttet til sporbarhet, politisaker og kontroll med hva personer skriver på offentlige nettsider. Vi kan se til Asia som ligger noen år foran Europa i forhold til mangel på IPv4- adresser og bruk av NAT-løsninger. Under leverandørmøtet ble det opplyst at opptil personer deler en IPv4 adresse, som i praksis gjør det nærmest umulig å spore informasjon. Dersom et offentlig nettsted må stenge en adresse pga. usømmelig eller krenkende informasjon, blir også de andre som deler IPv4-adressen utestengt fra nettet. Sist år fikk Norge et eksempel på problemer med sporing. Det ble publisert en bombetrussel mot en skole i Bergen på VG s debattsider. Bruk av NAT forårsaket at man ikke kunne spore avsender. Mulighet for sporing er et viktig punkt for politiet, og vi har gitt alternativ 3 tre plusser og de to andre alternativene en pluss. Konkurransevridende effekter Det er holdt igjen noen få IPv4 adresser, slik at nyregistrerte nettleverandører vil få tildelt 1024 IPv4 adresser. Dette er derimot ikke tilstrekkelig for å drive kommersiell virksomhet av en viss størrelse. Nye aktører i dette markedet vil allerede i dag bli tvunget til å kjøpe IPv4 adresser i et «uoffisielt» marked eller de må gjennomføre NAT. Dette vil begrense markedsadgangen for nye aktører og er konkurransehemmende. På sikt vil det kunne påvirke prissettingen for nettbaserte tjenester, og at disse blir høyere enn i et marked uten begrensninger for nye aktører. Vi har ikke grunnlag til å estimere i kroner hvor mye prisene til nettbaserte tjenester blir påvirket av at markedet i praksis stenger ute nye aktører. Over tid vil også etablerte nettleverandører oppleve mangel på IPv4 adresser, og se seg nødt til å gjennomføre NAT eller kjøpe adresser. Dette vil både være avhengig av antall brukere uten egen IPv4-adresse og antall tjenester på IPv4, kostnaden for å drifte en NAT-løsninger for disse kundene og hvor degradert nettverkstjenestene blir på grunn av NAT-bruken. Alltibox er en relativt ny aktør og har konkrete erfaringer med å ha for få IPv4 adresser. I 2013 kjøpte Alltibox adresser, og betalte $10 pr adresse. Dette er en betydelig kostnad for å få markedsadgang når konkurrentene har null kostnad. Alltibox opplever at de igjen vil få behov for å kjøpe nye adresser. Side 39

41 Ut fra økonomisk teori vil prisen pr. IPv4 adresse øke over tid, fordi mangelen på adresser er tiltakende. Det betyr at det blir vanskeligere for nye aktører å etablere virksomhet. Det oppstår en konkurransevridning mellom ISP-er som har mange IPv4-adresser og de som har få IPv4-adresser, og mellom store og små nettleverandører. IPv4-adresser har blitt en salgsvare, og har verdi for firma som eier mange IPv4-adresser. Dette er uheldig og var ikke intensjonen den gang adressene ble fordelt gratis. Mange av de små ISP-leverandørene, som vil oppleve disse problemene, er mindre leverandører av mobiltjenester. En sterk konkurransevridning i dette markedet vil også kunne påvirke konkurransen i mobiltjenestemarkedet. I vurderingen får alternativ 3 to plusser, og de to andre alternativene en pluss hver. Loggføring og kostnader ved NAT I dag lagres sporingsdata om internettrafikk i tre uker hos en ISP, noen ganger lengre hvis politiet har fått en rettskjennelse for at ISP-en skal gjøre dette på deres vegne. Politiet vil normalt forespørre på hvem som eier en IP-adresse som ble benyttet i den kriminelle handlingen, og så kan nettleverandøren knytte den til en konkret kunde. Etter hvert som brukerne kommer over på IPv6 mens tjeneste leverandørene blir hengende etter på IPv4, vil logging av slike spor blir mer komplekst, vanskelig og kostbart. I mange nett får brukerne tildelt en IP-adresse hver gang de logger seg på. For at leverandøren skal vite hvilken kunde som har benyttet hvilken IP-adresse til enhver tid, trenger de kun å logge en linje med IP-adresse, kundenummer og tidsrom. Har ikke leverandøren nok IP-adresser til alle brukere som er pålogget til enhver tid, må de begynne å dele samme adresse. Da kan man ikke lengre logge hvem som har adressen til enhver tid. Da må all trafikk per bruker logges, ellers vil man ikke kunne finne frem til hvem av IP-adressebrukerne, som utførte den kriminelle handlingen. Det å logge bruk på denne måten kan føre til hundre linjer logg bare for forsiden av VG og gir enorme datamengder, sammenlignet med loggene der man har en egen IP-adresse per brukersesjon. I tillegg setter slik logging krav til sikring av loggen, siden den nå vil inneholde sensitive data om brukeres adferd på nettet. Den økte kostnaden til logging som kommer når Side 40

42 brukere må dele på IPv4 adresser for å få tilgang til IPv4 tjenester er betydelig for leverandører av internettilknytning. Å innføre datalagringsdirektivet vil medføre betydelig lagringsbehov, og det vil bli vanskelig å etterleve kravene til lagring for internettleverandører som har mangel på IPv4 adresser og derfor lar kundene dele. Merkostnadene i slike tilfeller vil bli store og mengden med data som skal lagres uhåndterlig. Kostnader til dette er vanskelige å estimere da norske internettleverandører har begrenset erfaring med å la brukerne dele IP-adresser. Teknologien nødvendig for å la brukerne dele adresser koster om lag to millioner kroner for 50 tusen brukere, men vil være avhengig av antall tilgjengelige adresser for brukerne og antall tjenester som bare er tilgjengelig på IPv4. Alltibox har en periode gjennomført deling av adresser mellom brukerne, men har ikke beregnet hva loggføringen kostet. De forteller at praktisering av adressedeling og logging av data var krevende. Den største utfordringen med adressedeling er at kvaliteten på nettbaserte tjenestene blir redusert. Dette har vært viktige grunner til at Alltibox heller har valgt å kjøpe flere IPv4 adresser, enn å fortsette med deling, selv om kostnaden for å kjøpe adresser er omtrent 10 ganger så dyrt. Det antas at prisene for IPv4 adresser vil øke gradvis etter hvert som etterspørselen etter flere adresser øker ved innføring av ny teknologi (Internet of things). Loggføring og kostnader ved deling av IP-adresser vil reduseres ved en raskere innføring av IPv6. Alternativene 1-3 medfører gradvis høyere innføringstakt med påfølgende økt positiv besparelse og flere plusser. Sikkerhet En innføring av IPv6 vil få konsekvenser for informasjonssikkerheten i offentlige virksomheter. De tiltak vi foreslår vil gi både positive og negative effekter i forhold til informasjonssikkerhet. Utstyr har i dag støtte for både IPv4 og IPv6. De som ikke er bevisst at utstyret i utgangspunktet er satt opp til å støtte IPv6, vil kunne ha mange sikkerhetshull, hvis de ikke har skrudd av IPv6 støtten. I tillegg vil klienter kunne fungere som IPv6 rutere, hvis det ikke er gjort tiltak for å hindre dette. Klienter som fungerer som IPv6 rutere er en betydelig sikkerhetsrisiko. Et bevisst forhold til IPv6, vil redusere denne risikoen og dermed minske kostnadene ved sikkerhetsbrudd for offentlige virksomheter. Side 41

43 Håndtering av utstyr som støtter IPv6 kan gjøres på to måter, enten ved å skru av IPv6 støtte og innføre tiltak for å hindre angrep knyttet til IPv6 eller ved å innføre et sikkerhetsregime for begge protokoller (IPv4 og IPv6 såkalt dual stack). Det er billigere å skru av IPv6 enn å støtte to parallelle protokoller. Ved å støtte begge protokollene må det settes opp systemer og regler for å regulere trafikk av begge typer. Det krever merarbeid for driftsansvarlige. I tillegg kreves det at man gjør arbeid knyttet til oppgradering av interne policies for hva som er lov og ikke i virksomhetenes nett. Det vil også være større sannsynlighet for å gjøre feil i et miljø med støtte for to protokollen enn i et miljø med kun støtte for en protokoll. Det er vanskelig å sammenligne anslag på driftskostnader opp i mot økt risiko for brudd på informasjonssikkerheten. I denne analysen har vi valgt å sidestille dem. Dette vil derimot variere betraktelig fra virksomhet til virksomhet avhengig av hva slags type informasjon de forvalter med påfølgende sikkerhetsbehov. Stabilitet og tilgjengelighet Det å utsette innføring av IPv6 vil ha flere følger for de som drifter nettet etter hvert som utviklingen krever tilgang til flere IP-adresser, og nettverksansvarlige må sette opp løsninger også internt som legger opp til deling av IP-adresser. En av følgene vil være at en del ende til ende tjenester slutter å virke. Dette gjelder blant annet IP-telefoni og enkelte elæringsløsninger. I det offentlige nettet vil dette ramme hardt de som er aktive på dataspill, særlig der mange spiller sammen. En annen utfordring som vil dukke opp er kvalitet på nettet, jo flere som deler adresser, dess oftere vil det bli nettverksfeil og kvaliteten forringes. Det vil også være krevende å sette opp løsninger for å omgå de begrensninger for få IP-adresser gir. Dette krever stadig mer avansert nettverksdesign og komplekse løsninger, med tilsvarende utfordringer sikkerhetsmessig. Noen ganger vil det også være umulig å få til løsninger som tilfredsstiller de sikkerhetskrav som gjelder. I et aldrende IPv4-nett vil en oppleve et stadig høyere antall feil, som det tar tid å fikse(oecd 2014). Feil knyttet til IPv4, men også feil knyttet til at nyere løsninger uforventet setter i gang IPv6 trafikk i nettet, med påfølgende søking etter feil og retting av disse. Et eksempel kan være en kopimaskin, som har fått service og som plutselig begynner å sende IPv6 trafikk med andre enheter i nettet. Side 42

44 Driver i markedet Et obligatorisk krav til bruk av IPv6 i offentlige virksomheter vil øke kompetansen på IPv6 ikke bare i offentlig sektor, men hos leverandører og konsulenter. Private leverandører av internettjenester vil trolig følge offentlige virksomheter og kunne benytte seg av den økte kompetansen i markedet. Et krav til offentlig sektor vil derfor bidra til å øke konkurransekraften til offentlige virksomheter internasjonalt og legge til rette for innovasjon. Oppsummering ikke prissatte effekter 0- Alternativ alternativet 1 (2021) Alternativ 2 (2021) Alternativ 3 (2018) Innovasjon Kriminalitetsbekjempelse Konkurranse Loggføring og kostnader ved NAT Sikkerhet 0 +* +* +* Stabilitet og tilgjengelighet Driver i markedet Tabell 12 Løsningsalternativ vurdert opp mot kriterier *Ekstra pluss hvis informasjons og koordineringsprosjekt 5.4 OPPSUMMERING AV PRISSATTE OG IKKE- PRISSATTE EFFEKTER 0-alternativet Alternativ 1 Alternativ 2 Alternativ 3 Netto nåverdi av kostnader uten null Netto nåverdi av kostnader ved null+, 30% besparelse Rangering av ikke Side 43

45 prissatte effekter Alternativene skiller seg ikke betydelig fra hverandre når det kommer til kostnader. I og med at tiltaket må gjennomføres uansett, er det i hovedsak effekten av å gjøre dette tidligere eller senere som framkommer i analysen. Det har ikke vært mulig å prissette de økonomiske gevinstene. Kun kostnadene er prissatt. Den største kostnaden er knyttet til selve gjennomføringen, både ved opplæringskostnader og til å gjennomføre aktuelle endringer av nettverk og systemer. Av dette følger at dersom vi kun ser på de prissatte effektene, vil det være lønnsomt å utsette gjennomføringen av IPv6 så lenge som mulig. Nettonåverdiberegningen baserer seg på at en kalkulasjonsrente på 4 prosent. En utsettelse av IPv6 vil derimot gi dårligere nett i Norge enn i resten av verden. Det vil hindre innovasjon og nye løsninger som kan være med å utvikle Norge til et mer moderne land og som kan bidra til avgjørende forvaltningsutvikling innen blant annet helse- og omsorgssektoren. Noe som gir en betydelig økt risiko for tap av effektiviseringsgevinster i fremtiden. En utsettelse vil gi store utfordringer for politiet i forhold til bruk av elektroniske spor i etterforskning og vil være konkurransevridende i markedet for Internettilknytning. En utsettelse av IPv6 gir betraktelig økt risiko for brudd på informasjonssikkerheten. Bevissthet rundt og kompetanse på IPv6 gjennom et obligatorisk krav vil senke denne risikoen betraktelig. Etter hvert som det blir behov for stadig flere adresser i nettet vil virksomhetenes måtte lage komplekse løsninger for å omgå mangelen på adresser. Dette vil medføre en økt risiko for feil og nedetid i nettet. En overgang til IPv6 ved dual stack vil redusere risikoen, og en endelig overgang til IPv6 vil fjerne risikoen. Det er økonomiske forskjeller som tilsier at det blir noe billigere å utsette kostnaden noe. Risikoen forbundet med en slik utsettelse er derimot høy og vi risikerer at en utsettelse vil hindre viktige fornyingsprosjekt i offentlig sektor og i samfunnet som helhet. 6 ANBEFALING Alternativene Å innføre IPv6 er et tiltak alle virksomheter må gjennomføre, om de ønsker eller ei. Det er et spørsmål om tidspunkt for gjennomføring, og denne analysen prøver å besvare to hovedspørsmål. Side 44

46 Det første er: Vil det være samfunnsøkonomisk lønnsomt å anvende sentrale politiske virkemidler for å framskynde offentlige virksomheters overgang til «dual stack» og IPv6. Det andre spørsmålet er: Vil standardisering være er et egnet virkemiddel til å framskynde gjennomføringen, eventuelt om dette bør kombineres med andre tiltak. Det er tidligere positive erfaringer med å kombinere standardisering med informasjon, opplæring og koordinering. Vi har derfor valgt å inkludere tiltak for dette i analysen. For å besvare disse spørsmålene har vi vurdert 3 ulike alternativer, med forskjellig omfang av standardisering i tillegg til dagens situasjon (nullalternativet). For hvert alternativ skjer en utvidelse av områdene som dekkes av obligatorisk krav. Alternativ 3 dreier om tidspunkt for innføring av krav. Vi har prøvd å illustrere forholdet mellom alternativene, og hvordan de bygger på hverandre i figuren nedenfor. 0-alternativet Alternativ 1 Alternativ 2 Alternativ 3 Anbefalt krav Obligatorisk krav til eksternt publiserte tjenester fra år 2021 Krav til kjøp av nytt utstyr og nye interne løsninger. Utvider alternativ 1 til også å gjelde obligatorisk krav til alle interne klienter fra Likt alternativ 2, men hvor obligatorisk krav til eksternt publiserte tjenester og interne klienter gjelder fra Alternativ 2 og 3 innebærer mer omfattende krav enn alternativ 1, og alternativ 3 innebærer en raskere innføring enn de to andre alternativene. Denne forskjellen gjenspeiles i kostnadene, da alternativ 2 og 3 har noe høyere kostnader enn alternativ 1. Forskjellen er estimert til ca. 13 millioner kroner. Det understrekes at kostnadsestimatene er usikre i og med at få offentlige virksomheter har gjennomført endringene og det har vært vanskelig å få gode kostnadstall. Analysen omfatter i tillegg virkningen av en koordinert gjennomføring mellom virksomhetene (de ulike +-alternativene). Det har kun vært mulig å prissette kostnadene, mens nytteeffektene er behandlet som ikke-prissatte effekter. Dette betyr at vi har måttet gjennomføre en vurdering av prissatte kostnader opp mot nytteeffekter som ikke er prissatt for de ulike alternativene. Side 45