3 grote Cloud-mythes ontkracht

Wie zegt dat de Cloud en AVG niet samen gaan? In dit artikel pakken wij de meest voorkomende cloud-mythes aan.

Velen vinden er wel iets van: het opslaan van gevoelige en belangrijke bedrijfsgegevens in de cloud. Zo vinden sommigen het gevaarlijk om deze sensitieve informatie niet dicht bij huis te houden. In dit artikel bekijken wij de meest voorkomende mythes en verduidelijken we in hoeverre deze de waarheid bevatten.

(1) Cloudoplossingen zijn niet veilig.

Aanvallen op grote, bekende cloud operatoren halen altijd het nieuws. Niet al te lang geleden verscheen er berichtgeving in de media over een aanval door Chinese hackers op Outlook-accounts die aanvankelijk onopgemerkt bleven.

Dergelijke berichten kunnen al snel de indruk wekken dat zelfs de clouddiensten van bekende providers als Microsoft niet veilig zouden zijn. Natuurlijk zijn de giganten op dit gebied aantrekkelijke doelwitten, maar er kan geen algemene uitspraak worden gedaan over de vraag of lokale of cloudgebaseerde ERP-systemen veilig zijn. Beide manieren hebben de bijbehorende voor- en nadelen en zelfs het allerbeste systeem op aarde is niet volledig bestand tegen eventuele aanvallen van buitenaf.

Gegevensbescherming is net zo belangrijk voor lokale systemen

Als bedrijven niet voldoende beveiligingsmaatregelen nemen om hun lokale oplossingen te beschermen, zijn de gegevens binnen hun eigen vier muren absoluut niet veiliger. Een combinatie van de cloud en een lokale server (on-premise) is uiteraard ook altijd een optie. Mocht u voor een cloudgebaseerde oplossing kiezen, dan moet u er rekening mee houden dat u een deel van de verantwoordelijkheid zal moeten opgeven. 

Mocht u besluiten om het beheer van de gegevens in eigen hand te behouden, dan zal u uw uiterste best moeten doen om de veiligheid en gegevensbescherming te kunnen garanderen. Dit doet u bijvoorbeeld door gebruik te maken van op rollen gebaseerde rechten toewijzing, zodat enkel gebruikers met de bijbehorende rechten toegang hebben tot gevoelige informatie. Deze functionaliteit is vaak eenvoudig te combineren met ERP-software. 

(2) Cloud en AVG zijn niet compatibel met elkaar

Ieder bedrijf dient te voldoen aan de eisen van de Algemene Verordening Gegevensbescherming (AVG, ook bekend als GDPR). Hierin wordt onder andere vastgesteld waaraan bedrijven die persoonsgegevens verzamelen en verwerken, moeten voldoen. Bedrijven die overwegen om cloudgebaseerde software in te zetten staan dankzij deze kennis soms kritisch tegenover cloudoperators, met name buiten de EU. Deze vallen namelijk niet onder de reikwijdte van de AVG en hoeven dus niet aan dezelfde eisen inzake gegevensbescherming te voldoen. 

Marktdominantie van Amerikaanse cloudproviders

Toch kan de marktdominantie van Amerikaanse aanbieders in de cloudsector niet ontkend worden. Als een bedrijf op zoek is naar een SaaS-aanbieder, zal het online ook Amerikaanse cloudaanbieders tegenkomen. Maar kunnen zij fundamenteel worden uitgesloten? 

Voorheen regelde de zogeheten Privacy Shield-overeenkomst de gegevensuitwisseling tussen de EU en de Verenigde Staten. In 2020 werd dit echter ongeldig verklaard, dus wordt nu gebruikgemaakt van de opvolger: het EU-VS Data Privacy Framework.

Hierin worden aanvullende eisen voor de gegevensuitwisseling tussen de EU en VS gedefinieerd. Amerikaanse exploitanten kunnen hierdoor niet categorisch worden uitgesloten. Mocht u dus overwegen om de diensten van een cloudoperator buiten de EU te gebruiken, dan is het van cruciaal belang om uzelf goed te informeren over de gehanteerde regels en werkwijzen. 

Dat gezegd hebbende, is het dus een mythe dat uw gegevens in een cloudgebaseerde omgeving niet volgens de AVG-wetgeving beschermd kunnen worden. Het is enkel een kwestie van extra maatregelen nemen en afspraken maken in het geval u besluit te kiezen voor een leverancier die zich niet op ons continent bevindt. 

(3) Als u gebruik wilt maken van de cloud, dan moet u naar een Amerikaanse provider gaan

Ook deze uitspraak is niet waar. De marktdominantie van Amerikaanse aanbieders betekent niet dat Europese aanbieders niet in staat zijn om u van een oplossing te voorzien. Er zijn verschillende leveranciers op de markt die specifieke adverteren voor datacenterlocaties binnen de EU. Er is dus absoluut genoeg te vinden binnen de Europese markt, echter zijn deze namen wat minder groot en bekend.

Aan het einde van de dag gaat het er vooral om dat de aanbieder en het bijbehorende systeem aan uw specifieke wensen en eisen voldoet. Of het nu uiteindelijk bij u op locatie of via de cloud is: het is veel belangrijker dat de leverancier u een goed gevoel geeft en aan kan tonen dat zij op een veilige en verantwoordelijke manier met de data van u en uw klanten om zullen gaan. 

Mocht u er toch nog niet helemaal uit zijn, dan verwijzen wij u graag door naar het artikel “De verschillen tussen cloud, hosted, on-premises en hybrid” voor meer informatie over dit onderwerp.