KI 3428 Publisering av UiB-apper via private Apple- og Google-kontoer
Hva er utfordringen?
Apper som utvikles på vegne av UiB blir i enkelte tilfeller publisert gjennom ansattes private Apple Developer- eller Google Play-kontoer.Når en app som er utviklet i arbeidssammenheng publiseres via en privat konto, blir eierskap, administrasjon og kontroll knyttet til enkeltpersonen fremfor UiB. Dette kan skape utfordringer knyttet til sikkerhet, forvaltning, kontinuitet og virksomhetsstyring.
For å sikre kontroll, sikkerhet, kontinuitet og tydelig eierskap bør apper som utvikles på vegne av UiB publiseres og forvaltes gjennom virksomhetseide Apple- og Google-kontoer. Apper som utvikles på vegne av UiB bør derfor publiseres og forvaltes gjennom virksomhetseide Apple- og Google-kontoer for å sikre kontroll, sikkerhet, kontinuitet og tydelig eierskap.
Hvorfor er dette et problem?
Sikkerhet- UiB har ikke full kontroll over kontoen som eier appen.
- IT-avdelingen kan ikke administrere eller gjenopprette tilganger ved behov.
- Kontoen kan mangle krav til flerfaktorautentisering, tilgangsstyring og sikkerhetsoppfølging.
- Kompromitterte kontoer kan føre til uautoriserte endringer eller publisering av skadelig programvare.
- Tilgang kan gå tapt dersom den ansatte slutter, går av med pensjon eller blir langvarig fraværende.
- Kritisk kunnskap om publisering og forvaltning kan forsvinne.
- UiB blir avhengig av enkeltpersoner for drift og vedlikehold.
- Det kan oppstå uklarhet om hvem som eier applikasjonen.
- Ansvarsforhold kan bli uklare ved videreutvikling eller avvikling.
- Forvaltning av kildekode, dokumentasjon og publiseringsrettigheter blir mer krevende.
- UiB kan få problemer med å oppdatere eller fjerne appen ved utfasing.
- Appen kan bli liggende tilgjengelig selv om tjenesten er avviklet.
- Appene blir vanskeligere å inkludere i tjenesteporteføljen.
- UiB får redusert oversikt over egne digitale tjenester.
- Det blir vanskeligere å følge opp risiko, livssyklus og etterlevelse av krav og retningslinjer.
Konsekvenser for UiB
- Tap av kontroll over virksomhetskritiske apper.
- Økt sikkerhetsrisiko.
- Større personavhengighet.
- Høyere kostnader ved overføring av eierskap.
- Utfordringer ved drift, vedlikehold og avvikling.
- Risiko for omdømmetap dersom appen ikke vedlikeholdes eller kompromitteres.
- Risiko for manglende etterlevelse av interne krav til styring, sikkerhet og forvaltning.
Løsning (Her håper at Robert bidrar)
Etablere virksomhetseide utviklerkontoer
UiB bør etablere virksomhetseide utviklerkontoer eie og administrere Apple Developer Program-konto og Google Play Developer-kontoPublisering av apper som utvikles på vegne av UiB skal skje gjennom disse kontoene, ikke gjennom private utviklerkontoer.