Wanneer een verkoopteam toegang heeft tot zijn klantenbestand vanuit een trein, of wanneer een accountant een maandafsluiting uitvoert zonder de server op kantoor aan te zetten, is het de cloud computing die dit mogelijk maakt. Achter deze term schuilt een eenvoudig principe: gebruik maken van externe servers, verbonden met het internet, om gegevens op te slaan, applicaties uit te voeren en de IT-infrastructuur van een bedrijf te beheren.
Cloud governance en gedeelde verantwoordelijkheid: het echte onderwerp vóór migratie
De meeste gidsen over de cloud beschrijven de modellen IaaS, PaaS of SaaS. Minder vaak wordt uitgelegd wat er gebeurt wanneer er een incident zich voordoet. Wie is verantwoordelijk? U of de leverancier?
Aanrader : Smartphone repareren: tips en advies om de levensduur van uw apparaten te verlengen
Elke cloudserviceprovider past een principe van gedeelde verantwoordelijkheid toe. Concreet beveiligt de aanbieder de fysieke infrastructuur (servers, netwerk, voeding). Het klantbedrijf blijft verantwoordelijk voor de configuratie van zijn middelen, het beheer van gebruikersrechten en de classificatie van zijn gegevens.
De ANSSI raadt aan om deze verdeling vanaf het begin te formaliseren. Dit omvat een risicoanalyse specifiek voor de cloud, contractuele clausules over de omkeerbaarheid (de mogelijkheid om gegevens terug te krijgen als men van leverancier verandert) en een logging van gebeurtenissen om toegang en wijzigingen te traceren. Een gedetailleerde gids behandelt cloud computing in bedrijven op Geekette en Greluche met een aanvullende praktische invalshoek.
Ook interessant : Kun je zelfgemaakte punch invriezen? Tips en fouten om te vermijden
Zonder duidelijke governance wordt de cloud een risico in plaats van een hefboom. De meest voorkomende fout is het migreren van applicaties zonder de gevoelige gegevens te inventariseren of te definiëren wie er toegang toe heeft.
Soevereine cloud en multi-cloud: twee strategieën die de keuzes in Europa hertekenen
Heeft u al opgemerkt dat sommige bedrijven weigeren hun gegevens bij een Amerikaanse aanbieder te hosten? Dit is geen ongegronde wantrouwen. De Europese regelgeving (GDPR, richtlijn NIS2, DORA-verordening voor de financiële sector) stelt strikte eisen aan de locatie en controle van gegevens.
De soevereine cloud voldoet aan deze vereiste. Het garandeert dat de gegevens op Europees grondgebied blijven gehost, beheerd door entiteiten die onder de Europese wetgeving vallen. De Franse doctrine “cloud de confiance” gaat nog verder door te eisen dat de leverancier onafhankelijk is van enige extraterritoriale wetgeving.
Waarom meerdere cloudleveranciers combineren
De multi-cloud strategie houdt in dat men zijn diensten over verschillende aanbieders verspreidt. Een bedrijf kan zijn financiële gegevens bij een soevereine leverancier opslaan terwijl het de oplossingen van een hyperscaler gebruikt voor zijn samenwerkingsapplicaties. Volgens NTT Data versnellen Europese bedrijven de adoptie van hybride en soevereine cloudplatforms om aan de regelgeving te voldoen.
Deze keuze biedt een concreet voordeel: het vermijden van afhankelijkheid van één enkele leverancier. Als een aanbieder zijn tarieven verhoogt of zijn voorwaarden wijzigt, behoudt het bedrijf een zekere flexibiliteit.
Kostenbesparing op IT dankzij de cloud: wat echt verandert
De cloud transformeert een investering (aankoop van servers, onderhoud, vernieuwing) in een maandelijkse operationele kostenpost. Men betaalt voor wat men gebruikt, en past dit aan naar boven of beneden afhankelijk van de activiteit.
Voor een MKB betekent dit dat men niet langer een overgedimensioneerde server “voor het geval dat” hoeft te financieren. Voor een seizoensgebonden bedrijf betekent dit dat men de opslag- en rekencapaciteit kan verhogen tijdens piekperiodes en deze daarna weer kan verlagen voor de rest van het jaar.
De belangrijkste winst is niet de eenheidsprijs, maar de elasticiteit van de uitgaven. Verschillende kostenposten verdwijnen of verminderen:
- De aankoop en regelmatige vervanging van hardware (servers, opslagrekken, UPS-systemen), die kapitaal vastlegt.
- Personeelskosten die zijn toegewezen aan het fysieke onderhoud van de infrastructuur, met name 24/7 bewaking en hardware-updates.
- Het energieverbruik van een interne serverruimte, inclusief koeling, noodstroomvoorziening en vloeroppervlak.
Daarentegen genereert de cloud nieuwe uitgavenposten: softwarelicenties per gebruiker, bandbreedte, en soms kosten voor gegevensuitvoer (egress fees) die in rekening worden gebracht wanneer men gegevens naar een andere omgeving exporteert.
Best practices voor cloudbeveiliging om bedrijfsgegevens te beschermen
Beveiliging in de cloud is niet alleen de verantwoordelijkheid van de leverancier. De meeste incidenten zijn het gevolg van configuratiefouten aan de klantzijde, niet van kwetsbaarheden in de infrastructuur van de aanbieder.
Enkele praktijken om vanaf de implementatie toe te passen:
- Activeer multi-factor authenticatie op alle accounts met privileges. Een enkel wachtwoord beschermt niets meer.
- Classificeer de gegevens voordat u ze migreert: openbare, interne, vertrouwelijke, gereguleerde gegevens. Elke categorie vereist een ander niveau van encryptie en toegangscontrole.
- Toezicht houden op configuraties in real-time. Een opslagbucket die per ongeluk openbaar toegankelijk is gelaten, is een wachtende gegevenslek.
- Voorzie in een getest omkeerbaarheidsplan: weten hoe men zijn gegevens in een bruikbaar formaat kan extraheren, met een contractueel vastgelegde termijn.
Logging en anomaliedetectie
Het CERT-FR benadrukt de noodzaak van een gecentraliseerde logging van toegang en gebeurtenissen. Dit betekent het bijhouden van een geschiedenis van wie toegang heeft gehad tot wat, wanneer, en vanaf waar. Deze logs helpen om abnormaal gedrag te detecteren (verbinding vanuit een ongebruikelijk land, massaal downloaden van bestanden) voordat het een incident wordt.
De governance van cloudbeveiliging komt ook tot uiting in een regelmatige inventarisatie van activa: hoeveel virtuele machines draaien, welke applicaties zijn geïmplementeerd, welke accounts zijn actief. Zonder deze inventaris betaalt het bedrijf voor vergeten middelen en stelt het onnodige aanvalsvlakken bloot.
Het adopteren van cloud computing in bedrijven beperkt zich niet tot het kiezen tussen IaaS, PaaS of SaaS. Het echte werk begint na de migratie: governance van toegang, toezicht op configuraties, contractuele beheersing van de omkeerbaarheid. De bedrijven die het meeste uit de cloud halen, zijn degenen die hun leverancier als een begeleide partner beschouwen, niet als een onzichtbare dienstverlener.