4 veiligheidsvragen voor u de cloud betreedt

19 apr 2012 | Fred Teunissen

Cloud computing is reuze handig: u hoeft geen software te installeren en de opslag van de data wordt u – meestal – uit handen genomen. Maar u moet de leverancier van deze diensten natuurlijk wel volledig kunnen vertrouwen. Gaat hij wel verantwoord om met uw data?

Vier vragen omtrent data security waar u een goed antwoord op moet hebben als u de overstap naar de cloud maakt:

2 van 4

2. Waar bevindt de data zich?

Volgens dezelfde Europese regelgeving dienen privacygevoelige gegevens in principe binnen de Europese economische ruimte te blijven. Dat is het gebied van de EU-landen plus IJsland, Noorwegen en Liechtenstein. Daarbuiten mag zulke data wel doorgegeven worden, maar uitsluitend aan systemen in landen waarin de privacy-wetgeving minstens zo streng is als die van de EU.

En daar wringt de schoen, want veel clouddiensten worden aangeboden vanuit de VS en de Amerikaanse privacy-wetgeving is een stuk slechter dan die van de EU. Wie hier lak aan heeft, overtreedt de EU-regelgeving. De vraag is dan ook of de cloudleverancier harde garanties geeft dat uw data in de EU-ruimte blijft en in geen geval aan instanties buiten de EU ter beschikking zal worden gesteld.

Patriot Act remt clouddiensten

De Amerikaanse privacywetgeving is er niet beter op geworden sinds de Patriot Act in 2003 van kracht werd. Met deze wet in de hand heeft de Amerikaanse overheid, zonder rechterlijke toestemming, toegang tot alle data die binnen de landsgrenzen is opgeslagen. Dat geldt dus ook voor de servers van internationaal opererende hosting- en cloudproviders.

Safe Harbor
Organisaties in de EU zijn daarom terughoudend om gevoelige informatie op te slaan in clouds die in de VS hun infrastructurele basis hebben. Om de verschillen in wetgeving tussen de VS en de EU enigszins te ondervangen is er tussen beide partijen een overeenkomst gesloten: de Safe Harbor. Door het onderschrijven van de zeven principes in deze overeenkomst verklaren bedrijven in de VS dat ze wat betreft de bescherming van de privacy – waar het hun Europese klanten betreft – de Europese regels in acht zullen nemen.

Het probleem met deze afspraak is dat het om een toezegging gaat en dat de naleving daarvan in de praktijk niet door een onafhankelijke instantie wordt gecontroleerd. Bovendien is het gewoon erg moeilijk om data te lokaliseren. Data is als elektriciteit. Een druk op de knop en een seconde later ligt de data in Tokio of Kaapstad.