Steeds meer bedrijfsgegevens staan vandaag in de cloud. We bewaren documenten in Microsoft 365, werken samen via Teams en gebruiken online toepassingen voor boekhouding, CRM of projectbeheer.
Dat zorgt voor flexibiliteit en gebruiksgemak, maar roept ook een belangrijke vraag op: wie is eigenlijk verantwoordelijk voor die gegevens?
Veel organisaties gaan ervan uit dat die verantwoordelijkheid volledig bij de cloudleverancier ligt. Dat is begrijpelijk, maar niet helemaal correct. In de praktijk is verantwoordelijkheid in de cloud bijna altijd gedeeld.
De cloudleverancier regelt niet alles
Wanneer je een cloudoplossing gebruikt, neem je niet langer zelf het beheer van servers, hardware en andere infrastructuur voor je rekening. Dat gebeurt grotendeels door de cloudleverancier.
Daardoor ontstaat soms het misverstand dat ook alle verantwoordelijkheid voor gegevens bij die leverancier ligt. In werkelijkheid is die verantwoordelijkheid verdeeld tussen de leverancier en jouw organisatie.
Jij blijft verantwoordelijk voor jouw gegevens
De leverancier bepaalt niet welke medewerkers toegang krijgen tot bestanden, welke gegevens worden opgeslagen of hoe die gegevens binnen jouw organisatie worden gebruikt.
Die verantwoordelijkheid blijft in grote mate bij jouw organisatie.
Het gedeelde verantwoordelijkheidsmodel
Cloudleveranciers spreken vaak over het shared responsibility model of het gedeelde verantwoordelijkheidsmodel.
Dat klinkt ingewikkeld, maar het principe is eenvoudig: sommige zaken zijn de verantwoordelijkheid van de leverancier, andere blijven jouw verantwoordelijkheid.
De leverancier zorgt bijvoorbeeld voor:
- De beveiliging van het datacenter
- De fysieke servers
- De netwerkverbindingen
- Updates van de cloudinfrastructuur
- Bescherming tegen storingen op platformniveau
Jij blijft onder andere verantwoordelijk voor:
- Gebruikersaccounts
- Wachtwoorden en toegangsrechten
- Het correct delen van bestanden
- Gegevensclassificatie
- Wettelijke verplichtingen zoals GDPR
Wie toegang geeft aan de verkeerde persoon, kan zich dus niet beroepen op de cloudleverancier. Die heeft immers geleverd wat werd gevraagd.
Een sterk wachtwoord is niet voldoende
Wanneer bedrijven over cloudbeveiliging spreken, denken ze vaak aan hackers of technische aanvallen. Toch ontstaan veel problemen door menselijke fouten.
Enkele voorbeelden:
- Een medewerker deelt per ongeluk een document extern.
- Een account krijgt te veel toegangsrechten.
- Een ex-medewerker behoudt toegang tot systemen.
- Gevoelige bestanden worden opgeslagen zonder duidelijke afspraken.
In zulke situaties ligt het probleem niet bij de cloudinfrastructuur, maar bij hoe de organisatie ermee omgaat. Daarom draait cloudbeveiliging niet alleen om technologie, maar ook om processen en afspraken.
Wat bij een datalek?
Wanneer een datalek plaatsvindt, wordt vaak als eerste gekeken naar de oorzaak.
Was er sprake van een technisch probleem bij de leverancier? Of ontstond het probleem door een foutieve configuratie, onvoldoende toegangsbeheer of onzorgvuldig gebruik?
Dat onderscheid is belangrijk omdat het bepaalt wie welke verantwoordelijkheid draagt.
Voor jouw klanten, medewerkers of partners maakt dat verschil vaak weinig uit. Zij verwachten vooral dat hun gegevens veilig worden behandeld. Net daarom is het belangrijk om vooraf duidelijke afspraken te maken en te begrijpen welke verantwoordelijkheden bij welke partij liggen.
Welke vragen stel je best aan jouw cloudleverancier?
Veel onduidelijkheid kan worden voorkomen door vooraf de juiste vragen te stellen.
Denk bijvoorbeeld aan:
- Welke beveiligingsmaatregelen zijn standaard voorzien?
- Welke verantwoordelijkheden neemt de leverancier op zich?
- Welke verantwoordelijkheden blijven bij mijn organisatie?
- Hoe worden back-ups beheerd?
- Wat gebeurt er bij een incident of datalek?
- Welke ondersteuning krijg ik op vlak van beveiliging en compliance?
Een goede leverancier kan deze vragen helder beantwoorden, zonder technische rookgordijnen.
Verantwoordelijkheid stopt niet in de cloud
De overstap naar de cloud neemt veel werk uit handen. Dat is net een van de grote voordelen van cloudtechnologie.
Maar de cloud ontslaat een organisatie niet van haar verantwoordelijkheid rond gegevensbeheer en beveiliging. Integendeel: omdat informatie overal beschikbaar is, wordt het nog belangrijker om te weten wie toegang heeft tot welke gegevens en hoe die gegevens beschermd worden.
Cloudgebruik draait dus niet alleen om technologie. Het draait ook om duidelijke afspraken, bewust beheer en een goed begrip van wie waarvoor verantwoordelijk is.
Twijfel je over de verantwoordelijkheden binnen jouw cloudomgeving?
Of weet je niet zeker of toegangsrechten, back-ups en beveiligingsinstellingen correct zijn ingericht? On IT helpt je graag om jouw cloudomgeving door te lichten en mogelijke risico’s in kaart te brengen. Neem contact op voor een verkennend gesprek.
"*" geeft vereiste velden aan
