Cloudsoevereiniteit is een BCM-vraagstuk

Cloudsoevereiniteit wordt meestal behandeld als juridisch vraagstuk, terwijl het in de kern een BCM-vraagstuk is. Follow the Money liet recent zien waarom. De ‘soevereine’ cloud die Microsoft aan Europese klanten verkoopt, biedt namelijk geen harde garantie op continuïteit of data-integriteit vanwege de extraterritoriale werking van Amerikaanse wetgeving.

Dit speelt niet alleen bij de datacenters van Microsoft; voor AWS gelden vergelijkbare conclusies. Bestuurders hebben dus eerst een BCM-vraag te beantwoorden, namelijk: welke delen van mijn organisatie zijn zó afhankelijk van deze platformen dat een verstoring de continuïteit raakt? En welke delen niet?

Business Impact Analyse

Een Business Impact Analyse maakt dat onderscheid hanteerbaar. Niet alle processen zijn even kritiek, en niet alle data vereist hetzelfde niveau van soevereiniteit. Een marketingplatform dat best een week uit de lucht kan, is minder kritiek dan een systeem waarop je primaire dienstverlening draait. Zonder die analyse koop je soevereiniteit waar je het niet nodig hebt, of mis je juist soevereiniteit precies op de plek die ertoe doet.

Zelfde filosofie als Zero Trust

De onderliggende filosofie is dezelfde als bij Zero Trust: ga ervan uit dat het misgaat, en organiseer de respons. Voor organisaties onder DORA of de Cyberbeveiligingswet is dit bovendien een verplichting. DORA eist een werkbare exit-strategie voor kritieke derde partijen. In de praktijk blijkt die in veel contracten een clausule zonder getest scenario en zonder realistische doorlooptijd.

De kern van het werk zit dus niet in de vraag welke cloudleverancier je kiest, maar in drie voorafgaande vragen:

• Welke processen en data vereisen echt soevereine verwerking?
• Welke verstoringsscenario's moet je aankunnen, en hoe lang?
• Hoe ziet een exit er concreet uit, in de uitvoering?

Soevereiniteit wordt dus pas beheersbaar als je het hele proces tot aan de leverancierskeuze behandelt als continuïteitsvraagstuk. Pragmaat begeleidt organisaties bij die analyse: van Business Impact Analyse en verstoringsscenario's tot het toetsen van exit-strategieën in de praktijk.

Matijn Werkhoven, Pragmaat