Sovereign cloud: de vraag achter "waar staat onze data"
Soevereine cloud gaat allang niet meer alleen over de plek van een datacenter. Het gaat over wie er bij kan, onder welk recht dat gebeurt en of je door kunt draaien als de verhouding met een leverancier verandert. Deze pagina zet die lagen uit elkaar.
Vier lagen van soevereiniteit
Ze worden vaak op één hoop gegooid, en een leverancier die de eerste laag levert wordt dan voor alle vier aangezien.
- Waar de gegevens staanDe makkelijkste laag en meestal een keuze bij de inrichting: een regio in de EU. Dit is wat de meeste leveranciers bedoelen als ze "soeverein" zeggen, en het is de laag die het minst zegt — de plek van een schijf bepaalt niet wie erbij kan.
- Wie er technisch bij kanBeheerders, ondersteuning, onderaannemers. Hier gaat het over versleuteling met sleutels die jij beheert, over goedkeuring vooraf bij toegang door de leverancier, en over de vraag of ondersteuning vanuit een land buiten de EU meekijkt.
- Onder welk recht de leverancier valtEen Europees datacenter van een partij die onder niet-Europees recht valt, kan alsnog onder een vordering uit dat land vallen. Of dat een probleem is hangt af van jouw gegevens en jouw sector; dat oordeel hoort van een jurist te komen en niet van ons.
- Of je weg kuntDe laag die bij een inkooptraject het zwaarst weegt en het minst wordt getoetst: kun je je gegevens eruit halen, in een bruikbare vorm, binnen een redelijke tijd, en draait het elders. Zolang dat niet één keer is geprobeerd, is het een aanname.
Wat je een leverancier vraagt
Vier vragen die zich niet met een brochure laten beantwoorden. Ze werken ook bij de leverancier die je al hebt.
Wie kan er zonder mijn medeweten bij?
Vraag naar de procedure, niet naar de belofte: hoe krijgt een beheerder van de leverancier toegang, wie keurt dat goed, en waar staat het logboek dat ik zelf kan lezen.
Van wie zijn de sleutels?
Versleuteling met sleutels die de leverancier beheert beschermt tegen een gestolen schijf en niet tegen de leverancier. Beheer je ze zelf, vraag dan meteen wie hem intrekt als het misgaat en wat er dan gebeurt.
Waar draait het ondersteuningsproces?
Toegang is niet alleen productie. Ondersteuning, monitoring en het herstellen van een storing zijn de momenten waarop er werkelijk wordt meegekeken. Vraag waar die mensen zitten.
Hoe ziet vertrek eruit?
In welke vorm komen de gegevens eruit, hoe lang duurt dat, en wat blijft er achter. Zet het in het contract, en probeer het één keer met een testset — dat is de enige manier om te weten of het antwoord klopt.
Wat wij hierin doen, en wat niet
Wij bouwen en leggen vast. Wij bepalen niet of iets juridisch door de beugel kan.
- Inrichten op de keuze die is gemaaktRegio, versleuteling, sleutelbeheer, netwerkscheiding en toegangsbeheer, en waar dat past een omgeving die op eigen apparatuur of bij een Europese leverancier draait. De keuze komt van jou; wij zorgen dat de werkelijkheid hem volgt.
- Vastleggen dat het zo staatWelke regio, welke sleutels, wie toegang heeft en wanneer dat is gewijzigd. Dat is wat een auditor, een grote afnemer of een toezichthouder wil zien, en het is het deel dat je achteraf niet meer kunt reconstrueren.
- Meedenken over vertrekWe richten in met de uitgang erbij: exports die werken, formaten die elders te lezen zijn, en één keer proberen in plaats van erop vertrouwen. Ook als wij de partij zijn die je dan verlaat.
- Wat wij niet doenZeggen of een dienst voldoet aan een wet of aan het beleid van jouw sector. Dat is een juridische kwalificatie. Wij leveren de feiten waar dat oordeel op rust, en we zeggen het als de techniek een belofte niet waar kan maken.
Dit is geen juridisch advies. Wat hier staat is de vertaling naar techniek en vastlegging; of een verwerking is toegestaan hoort van je jurist of van de toezichthouder te komen. Zie ook digitale soevereiniteit voor de bredere afweging.
Verder lezen
Waar dit op aansluit.
Vragen die we hierover krijgen
De vragen die het vaakst langskomen, kort beantwoord.
Is data in een Europees datacenter automatisch soeverein?
Nee. De plek van een schijf zegt niets over wie erbij kan. Een leverancier die onder niet-Europees recht valt kan met een Europees datacenter alsnog onder een vordering uit dat land vallen, en beheerders en ondersteuning buiten de EU kunnen technisch toegang hebben.
Welke vraag zegt het meest over een leverancier?
Hoe vertrek eruitziet. In welke vorm de gegevens eruit komen, hoe lang dat duurt en wat er achterblijft. Zet het antwoord in het contract en probeer het één keer met een testset; het is de goedkoopste verzekering in het hele traject.
Bepalen jullie of een clouddienst juridisch is toegestaan?
Nee, dat is een juridische kwalificatie en die maakt een IT-partij niet. Wij richten in op de keuze die is gemaakt, leggen vast wat er staat en zeggen het als de techniek een belofte niet waar kan maken.
Uitzoeken waar jullie data werkelijk staat
We lopen de omgeving langs op de vier lagen hierboven en zetten op papier wat er nu geldt. Vaak levert dat verschillen op tussen wat er is afgesproken en wat er is ingericht.
Praktische IT-kennis in je inbox
Nieuwe gidsen over beheer, beveiliging en de werkplek, geschreven door de mensen die het werk doen. Geen verkooppraat, en afmelden kan met één klik.