Bescherming onderzoeksdata vraagt om een andere IT-architectuur

Onderzoeksinstellingen bevinden zich in een spagaat. Enerzijds neemt de druk toe om sneller te innoveren met data, AI en high-performance computing. Anderzijds worden de eisen rond cybersecurity, compliance en data-governance steeds strenger. Waar onderzoeks-IT vroeger vooral draaide om rekenkracht en opslag, is het vandaag de dag een strategische pijler geworden voor het beschermen van intellectueel eigendom, financiering en wetenschappelijke integriteit.

Die verandering komt niet uit de lucht vallen. Geopolitieke spanningen, de opkomst van generatieve AI en strengere wet- en regelgeving zorgen ervoor dat onderzoeksgegevens aantrekkelijker én kwetsbaarder zijn dan ooit.

AI verandert ook het dreigingslandschap

Onderzoeksdata zijn steeds vaker een strategisch doelwit. Ze vertegenwoordigen jaren aan kennisontwikkeling, grote investeringen en vaak ook waardevol intellectueel eigendom. Buitenlandse overheden, door staten gesteunde cybergroepen, cybercriminelen en concurrenten hebben daardoor een toenemende interesse in deze data. Generatieve AI versterkt die dreiging: aanvallers kunnen sneller phishing campagnes opzetten, malware ontwikkelen en gestolen datasets analyseren. Daarbovenop groeit met kwantumcomputing het risico van 'harvest now, decrypt later', waarbij versleutelde gegevens vandaag worden buitgemaakt om later alsnog te worden ontsleuteld.

Het gevaar komt echter niet alleen van buitenaf. Onderzoekers maken steeds vaker gebruik van publieke AI-tools, persoonlijke apparaten of niet-goedgekeurde software om sneller te werken. Daardoor ontstaan schaduw-IT en ongecontroleerde datastromen, met een groter risico op datalekken en verlies van intellectueel eigendom.

Tegelijkertijd scherpen overheden de regelgeving verder aan. Europese wetgeving zoals de AVG, AI Act en NIS2 stelt hogere eisen aan de bescherming van onderzoeksgegevens. Cybersecurity is daarmee niet langer uitsluitend een technische verantwoordelijkheid, maar een strategische randvoorwaarde voor onderzoeksorganisaties.

De terugkerende zwakke plekken

Ondanks de investering in securityoplossingen blijken veel onderzoeksomgevingen dezelfde structurele problemen te hebben. Veelvoorkomende issues zijn:

• verschillende kopieën van datasets verspreid over desktops, laboratoriumsystemen en cloudomgevingen;
• uitgaande datastromen zonder controle, waardoor intellectueel eigendom kan weglekken;
• tijdelijke toegangsrechten die permanent blijven bestaan;
• HPC-omgevingen die buiten de reguliere security- en auditprocessen vallen;
• implementaties van maatwerkplatformen die veel tijd kosten, en uiteindelijk alsnog niet volledig aan compliance-eisen voldoen.

Deze problemen zijn niet het gevolg van onvoldoende beveiliging, maar van een architectuur die niet is ontworpen voor moderne onderzoeksprocessen.

Trusted Research Environments als nieuw uitgangspunt

Onderzoeksorganisaties kiezen daarom vaker voor een andere benadering: de Trusted Research Environment (TRE). In plaats van data voortdurend tussen onderzoekers, partners en verschillende systemen te verplaatsen, blijven de gegevens binnen één gecontroleerde omgeving. Onderzoekers krijgen toegang tot de data, terwijl de data zelf het platform niet verlaten.

Een moderne TRE bestaat doorgaans uit drie onderdelen:

• een virtuele onderzoeksomgeving waarin onderzoekers beschikken over goedgekeurde software en rekenkracht;
• centraal beheerde opslag met versiebeheer, lifecyclemanagement en volledige traceerbaarheid;
• gecontroleerde import- en exportprocessen waarbij data pas na geautomatiseerde en handmatige controles de omgeving kunnen verlaten.

Hierdoor wordt niet alleen het risico op datalekken kleiner, maar ontstaat ook een beter beheerbare onderzoeksomgeving waarin security, governance en gebruiksgemak samenkomen.

Beveiliging als versneller

Wanneer een TRE wordt gebouwd op een gestandaardiseerde cloudfundering, kunnen organisaties verschillende uitdagingen tegelijkertijd aanpakken.

De gegevens blijven binnen de gecontroleerde omgeving, compliance-controles worden automatisch toegepast en nieuwe onderzoeksprojecten kunnen veel sneller worden ingericht dan bij traditionele maatwerkoplossingen. Tegelijkertijd beschikken auditors en subsidieverstrekkers over de benodigde logging en bewijsvoering om aan te tonen dat aan de gestelde eisen wordt voldaan. Daarmee verandert beveiliging van een rem op innovatie in een voorwaarde om sneller onderzoek te kunnen uitvoeren.

Klein beginnen, gecontroleerd opschalen

Voor veel organisaties hoeft de overstap naar een Trusted Research Environment geen grootschalig meerjarenproject te zijn. Een pragmatische aanpak, zoals SoftwareOne al bij veel onderzoeksorganisaties heeft uitgerold, begint met het in kaart brengen van de belangrijkste risico's, het creëren van draagvlak onder onderzoekers, IT en bestuur, en het implementeren van een gestandaardiseerde beveiligde onderzoeksomgeving waarop nieuwe projecten kunnen worden aangesloten.

Juist doordat cloudplatformen en gestandaardiseerde referentiearchitecturen steeds volwassener worden, kunnen organisaties de implementatietijd aanzienlijk verkorten en tegelijkertijd voldoen aan de steeds strengere eisen rond cybersecurity en compliance. Trusted Research Environments (TRE’s) op AWS wordt steeds vaker ingezet. Deze bieden een veilige, gecontroleerde omgeving voor het werken met gevoelige data. Voordelen van AWS zoals snelle implementatie, uitgebreide compliance-ondersteuning, cloud-native schaalbaarheid en self-service werkplekken voor onderzoekers.

In een tijd waarin onderzoeksdata een strategisch bezit zijn geworden, is de vraag daarom niet langer óf onderzoeksomgevingen beter beveiligd moeten worden, maar hoe organisaties dat doen zonder innovatie af te remmen. Trusted Research Environments laten zien dat beide doelstellingen steeds beter samengaan.

Kamyar Nezam, Sales Lead Health & Life Sciences bij SoftwareOne