Datasoevereiniteit als basis voor datagovernance: waarom vertrouwen in de cloud opnieuw moet worden verdiend

Het vertrouwen in de wereldwijde cloud is niet meer vanzelfsprekend. John Turnbull, Managing Director Northern Europe bij Dassault Systèmes, verwoordt het scherp: “Zeker in een complexe geopolitieke context met door staten gesteunde cyberdreigingen staat het idee van absolute veiligheid in de cloud onder druk.”

Dat betekent niet dat grote wereldwijde cloudproviders geen sterke technologie bieden. Maar volgens Turnbull zijn zij niet voor alles de juiste keuze. “Op nationaal niveau is het vertrouwen in deze grote cloudpartijen afgenomen”, zegt hij. “Er zijn situaties geweest waarin beveiliging niet goed genoeg werd geregeld en waarin afhankelijkheid van deze partijen een probleem bleek.”

CLOUD Act vergroot de zorg

De Amerikaanse CLOUD Act, die in 2018 van kracht werd, vergroot die zorg. Die wet geeft Amerikaanse autoriteiten onder voorwaarden toegang tot data van Amerikaanse cloudproviders of hun dochterbedrijven, ook als die data buiten de Verenigde Staten zijn opgeslagen. Voor defensie is dat een gevoelig punt, maar ook andere sectoren met strategisch belangrijke intellectuele eigendom lopen risico. Denk aan (kern)energie, vitale infrastructuur en transport.

Uit onderzoek van Capgemini blijkt dat 68 procent van de respondenten in de publieke sector zich zorgen maakt over mogelijke blootstelling aan extraterritoriale wetgeving of over toegang tot data door buitenlandse overheden vanwege de herkomst van een leverancier.

De kern is simpel: zonder soevereine controle over data is governance nooit volledig zeker. Organisaties willen duidelijkheid over wie toegang heeft tot hun data, waar die data staan, onder welke wetgeving die vallen en hoe die worden beschermd tegen inmenging van buitenaf.

Wat maakt een soevereine cloud betrouwbaar?

Volgens Dassault Systèmes rust vertrouwen in een soevereine cloud op drie pijlers.

1. Soevereine datalocatie

Een van de belangrijkste bouwstenen is dat data binnen een duidelijk afgebakend rechtsgebied blijven, met toegang voor geautoriseerd personeel binnen datzelfde kader.

“De soevereine cloud geeft de zekerheid dat je onder de wetten van je eigen land valt”, zegt Turnbull. “Dat maakt organisaties ook wendbaarder binnen dat land. In de VS hebben we meerdere proposities die we snel konden inzetten voor overheidsgebruik omdat de data al in het land stonden. Dat kunnen we ook doen in het VK, de EU, Japan en Australië. Als soevereine oplossingen er al zijn, hoef je je geen zorgen te maken over het verplaatsen van data of het bouwen van nieuwe datacenters. De infrastructuur, de mensen en het complianceframework zijn er dan al.”

Die gedachte raakt direct aan datagovernance. Want pas als duidelijk is waar data zich bevinden en wie erbij kan, kun je beleid, toezicht en verantwoording echt goed inrichten.

2. Compliance op basis van standaarden en een zero trust-aanpak

In gereguleerde sectoren is vertrouwen niet iets abstracts. Daar moet je kunnen aantonen dat beveiliging aantoonbaar op orde is. Zeker in defensie geldt vaak het uitgangspunt dat systemen als gecompromitteerd worden gezien totdat het tegendeel is bewezen.

Daarom werkt Dassault Systèmes met een reeks bekende standaarden en raamwerken, waaronder de 14 Cloud Security Principles van het Britse National Cyber Security Centre, NIST 800-53, ISO 27001, SOC 2, TISAX, FedRAMP, C5 en SecNumCloud. “We hebben een team dat zich volledig richt op het navigeren van nieuwe regels”, zegt Sumner. “Het doel is om ons serviceniveau te behouden, terwijl we opereren in steeds strengere regelgevende omgevingen.”

Turnbull benadrukt hoe belangrijk kennis van standaarden en frameworks is. “We zien dat klanten zelf de regie willen nemen, maar wij willen hen daarbij ondersteunen. We willen helpen om de juiste stappen te zetten met onze tools en de juiste beslissingen te nemen om tot een zero trust-capaciteit te komen.”

Dat maakt meteen duidelijk waarom soevereiniteit meer is dan alleen datalocatie. Het gaat ook om een beveiligingsmodel dat past bij sectoren waar weinig fout mag gaan.

3. Transparante toegangscontrole

Een derde pijler is transparantie over toegang. In single-tenantomgevingen binnen één rechtsgebied is beter zichtbaar wie toegang heeft tot data en wanneer. Juist voor sectoren met een hoog risicoprofiel, zoals defensie, energie en vitale infrastructuur, is dat cruciaal.

Transparante toegangscontrole vraagt om heldere beleidsregels, logging, monitoring en controle. Frameworks zoals NIST 800-53 helpen om die processen structureel in te richten. Voor organisaties betekent dat meer grip. Niet alleen op papier, maar ook in de dagelijkse praktijk van audits, toezicht en incidentrespons.

Waarom soevereiniteit de ruggengraat is van datagovernance

Datagovernance vraagt om vaste grenzen. Zeker in gereguleerde sectoren moet je zeker weten hoe data zich door systemen bewegen, hoe lang die worden bewaard, waar die zijn opgeslagen en wie erbij kan. Zonder soevereiniteit wordt het veel lastiger om die zaken hard te garanderen.

Daarmee is een soevereine cloud niet alleen vanwege compliance waardevol. Deze aanpak biedt onder meer:

• een single-tenantomgeving die traceerbaarheid en transparantie ondersteunt;
• veilige samenwerking tussen disciplines en organisaties;
• eenvoudigere audits;
• minder juridische blootstelling;
• betere bescherming van intellectuele eigendom tegen buitenlandse toegang;
• meer vertrouwen om ook gevoelige R&D-workloads naar de cloud te brengen.

Voor organisaties die serieus werk maken van datagovernance, bepaalt dat in de praktijk hoeveel grip ze werkelijk hebben.

Tijd voor een cloud die vertrouwen verdient

Vertrouwen ontstaat niet vanzelf. Organisaties verdienen dat vertrouwen met governance, transparantie en controle. Een soevereine cloud legt daarvoor volgens Dassault Systèmes de basis en geeft organisaties meer zekerheid om veilig en verantwoord op te schalen.

Dat is extra relevant nu sectoren zoals defensie, energie en transport steeds nadrukkelijker moeten aantonen dat zij gevoelige data correct behandelen en hun verantwoordelijkheid nemen. In zulke omgevingen groeit de behoefte aan cloudmodellen die veiligheid niet achteraf toevoegen, maar vanaf het begin inbouwen.

Volgens Dassault Systèmes is dat precies het uitgangspunt van de eigen aanpak. “Wanneer we een product ontwerpen, hanteren we drie principes: security by design, privacy by design en quality by design”, zegt Turnbull. “De fundamentele onderdelen van de applicatie of het ecosysteem worden ontworpen door specialisten met tientallen jaren ervaring.”

Dat heeft een goede reden. “Beveiliging achteraf toevoegen is veel duurder dan het vanaf de start goed inbouwen. Daarom zitten experts in security, privacy en kwaliteit direct in onze ontwikkelteams. Bij architectuurbeslissingen zitten de juiste specialisten vanaf het begin aan tafel, en blijven zij betrokken totdat het product bij de klant staat.”