Europese privacytoezichthouders willen risico's clouddiensten in kaart brengen

De Autoriteit Persoonsgegevens gaat samen met andere Europese privacytoezichthouders onderzoek doen naar het gebruik van clouddiensten. De toezichthouders maken zich zorgen over mogelijke privacyproblemen bij het gebruik van deze diensten door overheidsinstellingen.

De Autoriteit Persoonsgegevens kondigt het onderzoek dinsdag aan. Het onderzoek wordt in Europees verband uitgevoerd, om te onderzoeken of data van Europese burgers wel veilig is. Daarbij wordt ingezoomd op het gebruik van clouddiensten door overheden, omdat overheidsinstellingen in toenemende mate gebruikmaken van opslag in de cloud.

Volgens vicevoorzitter van de Autoriteit Persoonsgegevens Monique Verdier is het werken in de cloud in een stroomversnelling geraakt sinds de coronacrisis: "Zeker sinds we veel thuiswerken gaat bijna alles in de cloud." Dat is niet zonder risico, omdat deze organisaties bij uitstek gevoelige data van burgers verwerken: "Daar moeten hackers of buitenlandse overheden niet zomaar bij kunnen. Dus als overheden dit soort data in de cloud zetten, moeten ze daar vooraf goed over nadenken", aldus Verdier.

De eerste stap in dit onderzoek is een enquête onder organisaties die namens de Rijksoverheid diensten afnemen bij grote clouddiensten. Uit deze enquête hoopt de Autoriteit Persoonsgegevens meer informatie te krijgen over hoe data van Europese burgers wel en niet wordt beschermd. Daarnaast wil de autoriteit een beter beeld krijgen van de onderhandelingspositie van organisaties tegenover grote clouddienstverleners.

De European Data Protection Board wil eind 2022 met een rapport komen op basis van de onderzoeken die door de verschillende privacytoezichthouders worden uitgevoerd. Op basis van dat rapport zal worden gekeken of er actie ondernomen moet worden.

Reacties (106)

[OxWax]

kan de overheid niet zelf eigen cloud opstellen? Locatie in NL (of Benelux of EU) ?
Of gaat dit anders weer zo'n project worden waar na jaren en tientallen miljoenen de stekker wordt uitgetrokken.

[wica]

Dat doet de Rijksoverheid al, met hun ODC's en die in het noorden doet aardig zijn best om"cloud" te zijn.
https://www.ssc-ict.nl/pr...nsten/overheidsdatacenter

https://www.logius.nl/diensten/standaard-platform wordt gebruikt om de verschillende diensten te helpen.

Dan hebben we ook een "cloud" project op EU basis, maar dat verzand zoals gewoonlijk tussen de Duitse en Franse bedrijven.
https://www.data-infrastr...igation/EN/Home/home.html

Maar we kunnen niet spreken over echte concurrentie op de grote tech bedrijven.

[Reactie gewijzigd door wica op 1 augustus 2024 18:45]

[i-res]

Jullie onderschatten de schaal en kost van hyperscalers. Geen land of unie kan dit rendabel uitbouwen.

[Sandor_Clegane]

Als een bedrijf met een winstoogmerk dat kan, dan kan de overheid dat helemaal doen. Het hoeft in principe niets op te leveren toch? We kunnen dingen ook gewoon doen omdat het het juiste is om te doen.

[david-v]

Het levert niks op, dus je maakt geen winst, maar het kost wel heel, heel veel geld. Bovendien, dit soort oplossingen door overheden zijn gedoemd om te mislukken. Teveel politiek geneuzel en de kosten zouden een meervoud zijn van een AWS of een Azure.

Edit:typo

[Reactie gewijzigd door david-v op 1 augustus 2024 18:45]

[Sandor_Clegane]

Het levert ook wat op alleen niet in de geldelijke manier aan het eind van het boekjaar. Het maakt ons zelfstandiger, het maakt ons los van de grillen van multinationals, het zorgt voor banen, het zorgt voor een automatiseringsslag voor ons bureaucratisch apparaat en ga zo maar door.

[david-v]

Dat is allemaal wel heel rooskleurig en nergens op gebaseerd. Kijk naar de Belastingdienst, alles in huis, eigen datacenters, de grootste it binnen Nederland. Niet bepaald de IT trots als je het mij vraagt. Niet omdat er onbekwame mensen werken daar, maar het politiek geneuzel is juist het probleem. Kun je je dat voorstellen bij een "cloud" opgezet door de overheden in de EU?

Daar blijf ik als techneut wel heel erg ver vandaan.... Ik wil namelijk ook plezier beleven in mijn werk

[Sandor_Clegane]

Maar dat is allemaal onderbuik geneuzel en geen reden waarom dat het niet zou kunnen.

Het is gewoon een kwestie van willen en doen. Daar ontbreekt het aan, net als visie. Als land zouden wij prima in staat zijn om een ICT platform voor NL of zelfs de EU te bouwen. Dat het allemaal niet loopt ligt niet aan de mogelijkheden.

[david-v]

Het is een "educated" guess, laten we het daar bij houden

ICT is nou eenmaal niet iets waar de overheid goed mee overweg kan. Wat vandaag nieuw is is morgen al legacy. De veranderingen gaan zo snel, daar is de overheid niet goed op voorbereid (voorbeelden genoeg). Dit is niet alleen hier in Nederland, maar in heel de wereld zo.

Ik zou het willen, jij ook. Maar probeer maar eens de politiek mee te krijgen, want die moeten er uiteindelijk vele miljarden in gaan stoppen. De kans dat het net zo goed, flexibel en goedkoop is als bij de commerciële partijen is vrijwel nihil (ik ben heel negatief, ik weet het).

[Globber]

Je hebt geen ongelijk, maar je moet het allemaal wel goed kunnen onderbouwen. Een dergelijk project kost echt gigantisch veel geld, wat dus betekent dat: óf er gaat minder geld naar andere dingen óf de belastingen gaan omhoog. Daarnaast zal een dergelijke cloud functioneel gezien in het begin gewoon slechter zijn, een Google, Amazon etc. zijn al jaren bezig hun diensten op te zetten, dat gaan we niet in 1x kopieeren.

Wat je dus vraagt aan mensen is: ja dit kost meer geld en doet het minder goed, maar jullie betalen er wel voor 'stem op ons'. Het is heel simpel, mensen zijn niet rationeel dus je kunt niet alleen kijken naar wat technisch gezien de slimste oplossing is.

Daarnaast heb je natuurlijk nog het feit van kennis. Grote bedrijven verzamelen al jaren kennis, doen heel veel onderzoek etc., jij verwacht dat de overheid dat allemaal even in 1 klap op zet zonder dat 80% van de begroting daar heen moet? Jij roept dat het ontbreekt aan visie. maar het komt op mij meer over alsof het jou aan realiteitszin ontbreekt. Je kunt alles willen, alle visie hebben die je wilt, het moet wel redelijk zijn (en de kosten om een datacenter op te zetten wat alles doet, los van de overduidelijke risico's van één point of failure (denk aan gekkies die ze in de brand zetten, nog los van terroristische potentie), gewoon niet logisch om in te investeren.

[wica]

Ik mag geen cijfers geven, maar laten ik een getal noemen die niet ver van de waarheid zit. 20 a 40 miljoen per jaar is niets voor de Rijksoverheid.

[Yalopa]

Het hangt er van af wat er tegenover dat "niets" staat natuurlijk...

Als je denkt voor 20-40 miljoen per jaar een hyperscale cloud te runnen, dan ga je voor dat geld "niet veel" krijgen vrees ik...

[i-res]

Een AWS/Azure data center kost ongeveer $1 miljard om te bouwen. Na 18 maanden is het door de technologische evolutie relatief achterhaald. Een overheid gaat dit minstens 7 jaar moeten laten draaien om afgeschreven te zijn. Met de pace of innovation gaan bedrijven na een 3 jaar ergens anders "shoppen". IBM, Oracle, en zelfs GCP hebben problemen om klanten te overtuigen.

[david-v]

Voor 20 a 40 miljoen ga je ook niks krijgen inderdaad, dat is voor een hyperscale datacenter (waarvan je dus meerdere moet hebben) helemaal niks. Dat ben je al kwijt aan rapportages en vergunningen over de bouw ervan

[Tintel]

Ja - open deur dat het niet is om kosten te besparen. Overheden maken toch ook geen winst?
Maar om nu dan alles maar bij de - verre - buren op te slaan....

Wel apart dat nu Corona wordt aangegeven als reden. Maar dat lijkt me een beetje onzin. Als die gegevens 'lokaal' stonden dan was een VPN-verbinding voldoende geweest om te kunnen thuiswerken.
Dus die gegevens stonden al in de cloud.

[david-v]

We slaan niks op bij de verre buur, we slaan het alllemaal op in de datacenters die in Amsterdam staan. De eigenaar van de datacenters is een amerikaans bedrijf.

En dat van corona is inderdaad een beetje onzin. Ik denk dat ze hiermee office 365 bedoelen, iets andrs kan ik er niet van maken. Corona is niet de reden dat ik al meer dan 5 jaar vrijwel al de projecten waar ik aan werk in een cloud opgeving draaien.

En je hebt gelijk wat de data betreft. Of het nou in de cloud van kpn, de cloud van Azure, bij een traditionele hosting partij stond of bij de beheerder onder zijn bureau....als de data toegankelijk is, is het beveiligen ervan altjd een prio.

[Tintel]

Helaas zegt de fysieke locatie niet genoeg over wie er wel en niet bij kan. Dus ook al staat de data in Amsterdam - dat is geen echte garantie.

[david-v]

Garanties heb je nooit. Ook al zou de eigenaar een 100% nederlandse partij zijn, de AIVD zou alsnog bij de data kunnen en doorsturen naar andere landen, ook de VS.

Het staat dan ook helemaal los van de cloud, en dat is eigenlijk ook mijn punt. We moeten niet kijken naar de "cloud" maar naar de eigenaren van de datacenters, contracten en regelgeving. Nu is het zo dat de grote amerikaanse partijen hun datacenters als cloud diensten neerzetten, maar uiteindelijk is het "cloud" component niet het probleem hier. Zo heb ik via allerlei "traditionele" partijen ook beheerders gehad die bijvoorbeeld in Zuid Africa zaten, of in Ukraine (offshoring/nearshoring van beheer activiteiten).

In de tussentijd zitten we allemaal ons werk te doen op machines van amerikaanse merken, gemaakt in china en maken sommige van ons verbinding met een internet provider die voor 50% eigendom is van een amerikaans bedrijf. En er werd hier ook geroepen dat gebruik maken van transatlantische verbindingen al een probleem is. Tja, ik denk dat we het probleem verkeerd aanpakken.

Ik ben dan ook zeer benieuwd naar waar de toezichthouders mee komen. Dus laten we dat maar afwachten...

[locke960]

Het levert wel wat op, namelijk dat je systemen en data niet meer bij een grote buitenlandse commerciële partij staan wiens belangen op een dag wel eens met die van jou zouden kunnen botsen.

Bovendien zijn die grote buitenlandse cloud providers schatplichtig aan een buitenlandse regering die zich in hun eigen wet het recht toegeëigend heeft om de cloud providers te kunnen dwingen in alle stilte mee te werken als de buitenlandse regering toegang wil hebben tot onze data.

[Cergorach]

Natuurlijk zouden ze dat kunnen, alleen wil men daar niet de benodigde hoeveelheid geld en tijd in steken die daarvoor benodigd zijn. En die kosten zijn significant meer dan dat je nu aan bv. een MS betaald voor diezelfde diensten.

Wat ik veel liever zou zien is dat dergelijke cloud aanbieders een compleet losgekoppelde EU tak krijgen die geen data mogen leveren aan de VS (en vice versa) en vervolgens voor de staat aparte serverparken regelen zoals ze dat ook doen bv. voor de VS overheid.

[OxWax]

Ik dacht dat je dat al kon kiezen met 'geographies'?
https://azure.microsoft.c...ure/geographies/#overview

[Caelorum]

Het is nog steeds allemaal onder de paraplu van Microsoft in de VS en onderhevig aan de wetgeving rondom datagraaien in de VS.

Het enige van Azure dat enigszins losstond was de tak in Duitsland Azure Germany. Die werd gelicenseerd en compleet los opgezet. Met als resultaat hogere prijzen en tragere beschikbaarheid van features. (en deze is inmiddels al de nek omgedraaid).

[Reactie gewijzigd door Caelorum op 1 augustus 2024 18:45]

[the_stickie]

Dat klopt, maar sinds beweert Azure voor eu geographies te voldoen aan gdpr. Het vereist wel eea aan admin kant om compliant te zijn - en te blijven. https://azure.microsoft.c...dpr-azure-policy-updates/

[Caelorum]

Ze kunnen beweren wat ze willen, maar de VS wetgeving zullen ze toch gewoon aan moeten houden. Als de Amerikaanse overheid data opvraagt en MS vraagt het niet te melden, mogen ze niet eens als nummertje opnemen in de verslagen. We zullen dus nooit weten of de VS hier data graait of niet. En niemand heeft volgens mij ooit kunnen vaststellen of je wel aan zowel CLOUD als GDPR kan voldoen.

Azure Germany was daarin anders, omdat het echt een ander bedrijf was, welke de software in licentie had. Compleet los van MS en dus geheel buiten de vaagheden van de overheid van de VS.

[the_stickie]

Ik denk dat het bepalen daarvan net de core van de onderzoeken van de EU inhoudt.
Tot dan kunnen we als 'implementers' ons nog wel verschuilen achter de beloften die cloudproviders -onder voorwaarden - doen.

[OruBLMsFrl]

Het lijkt er zelfs op dat Microsoft via standard contractual clauses, ook wel EU model clauses, in elke geo regio afdoende bescherming biedt om in de basis in de GDPR te kunnen voldoen, mits je de eigen boel eveneens goed op orde hebt natuurlijk?
https://docs.microsoft.co...offering-eu-model-clauses

[RienBijl]

Het ondertekenen van een SCC met een partij die zonder een SCC niet aan de GDPR kan voldoen, zorgt er feitelijk voor dat je jezelf contractueel hebt verplicht om geen gebruik te maken van hun dienst.

Je hebt je boel dan dus niet 'op orde'.

[Reactie gewijzigd door RienBijl op 1 augustus 2024 18:45]

[OruBLMsFrl]

Je spreekt toch juist met een partij die de zaakjes in de basis goed op orde heeft, af dat ze (ook) jouw data conform de GDPR zullen beschermen. Dat wil zeggen niet zomaar een kopie maken voor anderen, of afgeleide gegevens van jouw gebruikers delen met derden? Volgens mij is dat de kern ervan, binnen de EU ben je dat wettelijk verplicht naar elkaar. Buiten de EU spreek je met een SCC af dat je diezelfde regels toch zult naleven, ook al is het daar lokaal niet vanuit de wetgeving verplicht?

[RienBijl]

In theorie, ja. In praktijk, nee.

Jij tekent met hun een SCC, beide partijen 'beloven' aan elkaar om de GDPR na te leven. Nu klopt een overheidsdienst van de VS aan bij Microsoft HQ en zegt: "wij willen die data". Microsoft is verplicht die data af te geven, conform Amerikaanse wetgeving en mag jou daar niet van informeren.

Je hebt dus:
- Getekend om de GDPR na te leven
- Je data gehuisvest in een land waar het wettelijk onmogelijk is om de GDPR na te leven.

Je hebt jezelf dus contractueel verplicht om geen zaken te doen met Azure.

[Reactie gewijzigd door RienBijl op 1 augustus 2024 18:45]

[OruBLMsFrl]

Je tekent alleen maar dat die andere partij de vereisten van de GDPR zo goed mogelijk in zal vullen. De GDPR is verder ook niet absoluut, er zijn altijd redenen om toch informatie te (moeten) verstrekken. Voldoen aan verzoeken vanuit overheden is er daar zeker één van. Ieder moet diens eigen afweging maken, zal ook veel gaan om welk soort gegevens je verwerkt. Bijzondere persoonsgegevens in enige omvang en permanentie zou ik enkel op basis van een SCC/MC ook niet buiten de EU stallen.

Echter, de uitnodigingenlijst voor de kerstborrel met zakelijke e-mailadressen en telefoonnummers, of standaard bedrijf adreslijst valt ook onder privacywetgeving. Geen bijzondere persoonsgegevens, wel reguliere persoonsgegevens, zelfs zonder NAW. Die lijst zou ik dan wel weer afdoende beschermd achten met een SCC/MC. Als de Amerikaanse overheid die met een gag order vordert bij Microsoft, die data exporteert ondanks data at rest encryptie (niet omdat het moet, maar omdat het kan), we er dan met gerust hart van kunnen zeggen dat hoewel niet binnen de EU, het voor deze data voelde als een redelijke afweging van belangen en maatregelen. Net als die bedrijf adreslijst die toegangkelijk was voor iemand buiten de EU.

Beperkingen en afwegingen zijn er genoeg. Belang voor nabijheid data/virtuele werkomgeving low-latency bijvoorbeeld. Je kan niet realistisch alles en iedereen met een interactieve sessie/slideshow van 200+ ms naar een Azure EU region of andere EU server laten verbinden... met de huidige arbeidsmarkt is het al helemaal een gerechtvaardigd belang om mensen in andere regio's van de wereld aan te haken voor bepaald werk, om zo toch dat werk gedaan te kunnen krijgen.

[Reactie gewijzigd door OruBLMsFrl op 1 augustus 2024 18:45]

[RienBijl]

Je hele verhaal verliest waarde na de eerste zin

Je tekent alleen maar dat die andere partij de vereisten van de GDPR zo goed mogelijk in zal vullen

Dit is echt onjuist. Een SCC is bedoeld om juridische waarborgen te geven waar ze er standaard niet zijn. Je Amerikaanse partner mag geen rare dingen doen met de persoonsgegevens en jij mag ze geen data geven als er rare dingen gebeuren. Die juridische constructie is an sich, prima, en is daarom ook bevestigd door het Hof van Justitie. Nu komt de catch.

Die overeenkomst moet je wel handhaven. Je mag het niet tekenen en vergeten, er zijn wederzijdse verantwoordelijkheden. Microsoft moet jou informeren over wetten die niet verenigbaar zijn met de Europese rechten, waar Amerika er vele van heeft. Jij, bent daarna verplicht om dat aan jouw klanten door te geven en daar naar te handelen. Wat heb je dus gedaan? Je hebt jezelf contractueel verplicht om direct na het tekenen van de SCC te stoppen met Amerikaanse cloud.

[Reactie gewijzigd door RienBijl op 1 augustus 2024 18:45]

[OruBLMsFrl]

Sorry, maar in die beleving van zaken moet je bij voorbaat al stoppen met alle Amerikaanse cloudproviders en hosters. Want die Amerikaanse wetten maken geen uitzondering voor EU regions bij mijn weten, dus dan gaat het binnen de EU regions ook op dat argument. Dan ga je er heel zwart-wit in zitten, wat voor sommige extreem gevoelige bijzondere persoonsgegevens/data misschien nog wel redelijk is, maar voor heel veel zaken zoals ik noemde overtrokken.

Privacy is niet het enige belang, in alle behalve de extreme gevallen zoek je een afweging tussen verschillende belangen.

[RienBijl]

Sorry, maar in die beleving van zaken moet je bij voorbaat al stoppen met alle Amerikaanse cloudproviders en hosters.

Inderdaad. Ik maak de wet ook niet. Dat is gewoon de realiteit.

[Reactie gewijzigd door RienBijl op 1 augustus 2024 18:45]

[OxWax]

Dat had ik inderdaad 'geleerd'.
Ik ga ervan uit dat dit wettelijk dichtgetimmerd is met de EU en de privacy instancy die de GDPR implementeert / controleert?

[the_stickie]

Als bedrijf ben je uiteindelijk zelf verantwoordelijk voor het naleven van GDPR.
In die zin is de uitleg van Microsoft geen paraplu, al zou ik er (als admin zijnde) wel vanuit gaan dat Microsoft z'n boel aan hun kant op orde heeft.

[OruBLMsFrl]

Bij het opdoeken daarvan wel overigens vergaande data residency in Duitsland voor alle gemigreerde tenants, dat dan nog wel. Maar inderdaad, niet meer onder bestuur van T-Systems. Hele goed support organisatie ook, had ze een keer nodig voor een kleine tenant, binnen het uur een Duitse engineer aan de telefoon. Het kostte wat, maar dan had je ook wat... nu ja, na de migratie wel Teams erbij en prijs omlaag, verhaal van glas half vol of half leeg zullen we maar zeggen

[Cergorach]

Dat zijn gewoon locaties voor verschillende datacenters die allemaal van het Amerikaanse MS zijn. Azure Government zijn allemaal US locaties.

En de West Europe datacenters staan in Nederland, maar er gaat nog steeds data naar de VS en MS is daar niet altijd even duidelijk/helder in wat en welk onderdeel wel/niet is gescheiden (in in welke mate)...

Daarnaast is er nog een stukje wetgeving in de VS die zegt dat ze data uit andere landen mogen trekken van VS bedrijven, de EU heeft daar weer regels tegen, maar die conflicteren met elkaar en tot op heden heeft de EU zich relatief laks opgesteld tegenover de VS op dit punt. Af en toe heb je over de laatste paar decennia gezien dat ze zich wat harder maakte, maar als puntje bij paaltje kwam...

[david-v]

Dat hebben ze in Duitsland ook geprobeerd. Was niet bepaald een succes.

[Cergorach]

Dat komt omdat dit niet eens een halfbakken oplossing is/was. En MS zal alles hebben gedaan om maar net, maar dan ook net aan de gestelde eisen te voldoen en dat zal niet genoeg zijn geweest. MS had er alle baad bij om dit tegen te werken, want heel Duitsland (en de rest van de EU) kon gewoon bij de main MS branch aansluiten.

[david-v]

Dat is jouw gedegen conclusie over dit project in Duitsland? Of is het meer en onderbuik gevoel?

Ik heb dit op een wat kleinere schaal meegemaakt, en het was niet bij te houden. Niet wat kosten betreft, flexibiliteit, kennis en kunde. En we hebben het hier wel over Duitsland. Als het daar niet lukt, denk je dat het hier wel gaat lukken als de politiek er zich mee gaat bemoeien?

[Cergorach]

Ik heb geen directe ervaring met Azure Duitsland. Maar wat ik er over heb gelezen en mijn eigen ervaring met MS (O365/Azure) de afgelopen 10 jaar.

Het issue is imho dat het alleen DE is geweest en dan nog eens optioneel, dit moet EU breed worden geforceerd. Wil MS nog zaken doen in de EU, dan voldoen aan deze splitsing. En zoals ik hierboven zelf al aangaf, je kan als NL staat wel zelf gaan bouwen, maar dat kost heel veel geld en heel veel tijd, dat hebben we er niet voor over. MS loopt 10 jaar voor en heeft er in die periode honderden miljarden ingepompt om op het huidige niveau uit te komen. Als we het gaan hebben over endpoint management detectie/beveiliging, kan je daar wellicht nog een paar decennia bij optellen...

Het issue is niet een paar virtual machines draaien op virtuele infra, het is alle software/diensten/integraties daaromheen.

[david-v]

Wat ik ervan begrijp is dat het onmogelijk was om flexibel en snel diensten uit te kunnen breiden in dergelijke "nationale" centra. Je loopt dan continu achter op de feiten. Aws of Azure rollen een nieuwe service uit, dat duurt stond jaren voordat die nationale centra het ook kunnen (opleidingen, kennis opbouw, beheren enz). Door de schaalvergroting is het bij AWS, Azure en Google cloud altijd goedkoper dan dezelfde dienst in een nationale centra. Ofwel, commerciële partijen zullen niet kiezen voor een duurdere variant die ook nog eens achter loopt. Je zal dus moeten concurreren met de grote partijen en dat gaat een overheid of de EU nooit voor elkaar kunnen krijgen. Dat moet je overlaten aan commerciële partijen die snel kunnen schakelen en daar extreem goed in zijn. Ik mis die partijen in Europa. Dat is absoluut een feit.

[PureTryOut]

Dat kunnen ze zeker, maar ze kiezen blijkbaar liever er voor om miljoenen in commerciële kant-en-klare producten van grote Amerikaanse tech bedrijven te stoppen dan dezelfde hoeveelheid geld in een goed open-source en/of Europees product te stoppen zoals Nextcloud, Jitsi en Matrix.

[holoduke51]

Wij zijn afgestapt van nextcloud naar gesuite. Nextcloud is gewoon niet volwassen. Zekere voor wat grotere organisaties werkt het niet lekker. Eind gebruikers ergeren zich mateloos aan irritante bugs en functionaliteit.

[Cergorach]

Ik vind het altijd wonderbaarlijk dat mensen die hobby projectjes hebben draaien, daar ook de (inter)nationale infrastructuur op willen laten draaien...

Wat betreft bugs en functionaliteit... Het is niet alsof we ons niet al decennia ergeren aan MS qua bugs en features... ;-) En als je wat meer bezig bent MS onder de motorkap, dan kom je heel veel zaken tegen die gewoon ook niet volwassen zijn en geheel niet geschikt voor productie...

[PureTryOut]

Begrijpelijk, daarom kan het die vele miljoenen aan funding ook zo goed gebruiken die nu in rook op gaat bij de grote Amerikaanse tech bedrijven. Overheden zijn de ideale instanties om dit soort producten een schop onder de kont te geven en flink te verbeteren.

[Iblies]

kan moet de overheid niet zelf eigen cloud opstellen?

Even aangepast.

En de illusie dat het verkeerd kan gaan, cloud doet in de regel niet echt de software. Het is (extra) capaciteit in opslag en rekenkracht wat handiger is om te delen om zodoende niet overal en nergens pc’s te hebben staan.

Aan de ene kant goedkoper maar aan de andere kant ook een risico maar niet meer of minder dan huidige aanbieders.


Amazon maakte aan het begin gebruik van open source software en tzt hebben ze dat helemaal afgebakend. De EU kan soortgelijk op europees niveau doen.


De grote uitdaging is eerder om het politici uit te leggen waarvoor ze op dit moment voor betalen, dat ze het zelf kunnen doen, en dat ze zich vooral aan de regels moeten houden met in het achterhoofd opslag en rekencapaciteit. Geen micromanagement met allerlei punten en komma’s etc.

[DocMac]

Ik vertrouw er niet op dat een overheid dit goed kan implementeren. Het gaat ontzettend veel geld kosten en er is een grotere kans dat de beveiliging niet perfect is omdat het niet de kerntaak is van een overheid. Natuurlijk is het prettig als de servers in Europa staan en de Amerikaanse beveiligingsdiensten niet stiekem mee kunnen kijken (als dat al een risico is). Maar er zijn grotere risico's, zoals criminelen en andere overheden die geen bondgenoten zijn. Dan laat ik het liever over aan een bedrijf wiens corebusiness het is om het veilig te houden en niet aan overheden die totaal geen verstand hebben van IT en verkeerde beslissingen nemen omdat ze willen bezuinigen en veel te laat nieuwe systemen aanschaffen.

[Reactie gewijzigd door DocMac op 1 augustus 2024 18:45]

[Yalopa]

Ik zou liefst hebben dat de overheid zich beperkt tot zijn core business, nl zijn / haar burgers ondersteunen in het dagdagelijkse en langetermijnvisie leven in dit land. Een eigen cloud uitbaten hoort daar niet bij.

Er zijn genoeg manieren bij de bestaande leveranciers om er voor te zorgen dat het stelen van data zo moeilijk mogelijk wordt gemaakt, maar wie binnen wil zal komen, geraakt binnen als hij maar genoeg middelen heeft/krijgt.

[Timoo.vanEsch]

Dat is een gevaarlijke stelling.
Wat is core business van een overheid?
Leger?
Ziekenzorg?
Energie?
Databescherming?
Infrastructuur?
Voedselvoorziening?
Veeteelt?

[OxWax]

Alles (wat de burger ondersteunt)

[Tintel]

Ja - en dan nog: voor de ondersteuning moeten ze - persoonlijke - gegevens verwerken en opslaan. Dus is opslag toch echt wel onderdeel van de core-business.

Eigenlijk kun je toch niet meer stellen dat ICT erbuiten valt.

[moonlander]

nou laten we daar maar niet aan beginnen, dan zou dat miljarden kosten van onze belastingcenten..

[Mellow Jack]

In Europa zijn we nog heel nationaal ingericht waardoor het lastig is om een tegenhanger te ontwikkelen. Wat je tegenwoordig ziet is een poging tot standaard interfaces. Interfaces om bijv tot een template te komen om bijv vm's en of clusters te deployen. En daarnaast standaarden voor interactie met data. Het staat, iig in de onderzoekswereld, nog in de kinderschoenen maar de initiatieven zijn er zeker

[Godson-2]

Dat is niet zo makkelijk omdat achter een cloud een compleet programeermodel zit met bijbehorende diensten. Dat bouw je niet zomaar eventjes, zelfs niet op basis van open-source componenten.

[Verwijderd]

Met 1 of 2 locaties zou ik het geen cloud noemen.

[CivLord]

Het gaat niet alleen maar om een harde schijf in de cloud. Dat is met centrale servers in een eigen serverpark ook best op te lossen.
Het gaat om de integratie tussen cloud-opslag en diensten als Office. Om dat als overheid helemaal zelf te regelen moet naast de clou opslag dus ook een complete office-suite uit de grond gestampt worden die vergelijkbaar is en 100% compatible is met MS-Office.

[raidlabs]

Het zou niet misstaan als er eens serieus wordt nagedacht over een Europees alternatief naast GCP, Azure en AWS. Het is de vraag of het wenselijk is om afhankelijk te zijn van overzeese cloud partijen. Dit zou ook betere uitgangspunten bieden om op het vlak van Gdpr en ePrivacy beter aan te sluiten zonder risico op meekijken door bijvoorbeeld andere overheden.

[Reactie gewijzigd door raidlabs op 1 augustus 2024 18:45]

[Neophyte_NL]

Zoals wat men probeert met Gaia-X? https://www.data-infrastr...igation/EN/Home/home.html

[wica]

Gaia-X is zover ik kan beoordelen, een leuk Duits/Frans project voor hun bedrijven.
Het leek zeer interessant, bij de aankondiging. Maar jammer genoeg blijft het daarbij.

[BrBuggyB]

Ik dacht eerder aan de European Alliance for Industrial Data, Edge and Cloud

[holoduke51]

Een partij die erg goed goed is Hetzner. Wel meer traditionele VPS
. Maar komen nu ook met allerijl diensten. Duits bedrijf. Zeer geprijsd. Wij hebben ongeveer 50 dedicated machines daar draaien voor 10x zo lage prijs (inclusief operations team) Dan AWS. Het is niet heel moeilijk om goedkoper te zijn dan AWS of GCS. Die partijen zijn zo schreeuwend duur

[david-v]

Dat geloof ik wiel dat ze goedkoper zijn. Je hebt het hier over "ijzer" die waarschijnlijk voor jou specifiek gekocht is of beschikbaar was. Daarnaast moet je ook bedenken dat de wat kleinere partijen niet alle mogelijke certificering hebben omdat het een behoorlijk (prijzige) klus is om dat voor elkaar te krijgen.

[Sandor_Clegane]

Je moet je afvragen welke voor jouw van belang zijn. Hebben ze die niet, kun je dat op een andere manier afdekken wellicht?

[david-v]

Dat gaat voorbij aan wat er in dit artikel staat. De veiligheid van je gegevens. Dus roepen dat bij een willekeurige hosting partij het ijzer vele malen goedkoper is is een beetje appels met peren vergelijken.

Het gaat niet om het ijzer, het gaat om de veiligheid.

Edit: een certificering is trouwens niet altijd een keuze, vaak is het een verplichting waar je aan moet voldoen voor een project/klant.

[Reactie gewijzigd door david-v op 1 augustus 2024 18:45]

[Sandor_Clegane]

Nou, dat kun je toch gewoon bekijken? Er zijn meer hondjes die Fikkie heten. Heeft partij A het niet dan misschien partij B wel. Mocht er niemand zijn dan kan het misschien wel eens interessant voor ze worden omdat klanten niet ineens de facto naar de 3 grote providers gaan.

[david-v]

De cloud is al een tijdje beschikbaar. In het begin leek iedereen met argus ogen ernaar. Managers wilden er niet aan beginnen want die snapten het niet, techneuten zagen werk de mogelijkheden, snelheid en flexibiliteit, maar mochten het niet. Dat is de afgelopen jaren langzaam aan veranderd. De kans dat ik nu bij een project bij een kleinere hosting partij terecht kom is heel, heel klein. Dat is helaas een feit. Niet omdat ik het die kleinere partij niet gun, maar omdat de mogelijkheden en de flexibiliteit totaal niet te vergelijken zijn.

En ja, ik vind het ook jammer dat er niet een Europees bedrijf is die een vergelijkbare dienst kan leveren.

[Sandor_Clegane]

Managers hebben het juist lopen pushen, vaak kwam niet bij de ICT'ers vandaan in mijn ervaring. Het blijft gewoon andermans ijzer en dat geeft altijd problemen.

Die structurele problemen zijn er nog steeds, Safe Harbour ligt aan puin maar we doen allemaal of we het niet zien.

[david-v]

Bij mij was het juist andersom. De managers wilden er niet aan, want eng, onbekend en het mag niet (zogenaamd). Dat was 6, 7 jaar geleden.

En wat betreft andermans ijzer, de grootste ellende heb ik juist bij eigen ijzer meegemaakt. Bovendien is eigen ijzer totaal niet flexibel. Je betaald 365 dagen voor de drukte die je misschien 2 a 3 dagen per jaar hebt. Altijd groot genoeg gedimensioneerd zodat je niet in de problemen komt. Heb je tijdelijk meer nodig? Doorlooptijd enkele weken of langer, afhankelijk van waar je nodig hebt.

Nee, naar die situatie wil ik zelf niet meer naar toe. Dat staat ook recht tegenover agile ontwikkelen, dat is mijn mening.

Edit: typo

[Reactie gewijzigd door david-v op 1 augustus 2024 18:45]

[Sandor_Clegane]

Alles is relatief.

[demianmonteverd]

Er is ook OVH nog. Transip, Leaseweb en nog veel meer. Er was zelfs ooit sprake van cloud-diensten op het oude cluster van de Nederlandse versie van Facebook, naam even kwijt en ik weet niet of het ooit van de grond is gekomen.

[Tristan]

Die Europese alternatief is er al genaamd Gaia-X (https://www.data-infrastr...igation/EN/Home/home.html)

[david-v]

Dat is niet zonder risico, omdat deze organisaties bij uitstek gevoelige data van burgers verwerken: "daar moeten hackers of buitenlandse overheden niet zomaar bij kunnen. Dus als overheden dit soort data in de cloud zetten, moeten ze daar vooraf goed over nadenken

Ik moet het toch wel even kwijt hoor. Vrijwel alle datacenters die we kennen van voor de cloud, halen bij lange na niet alle certificeringen die de grote (cloud)partijen wel hebben.

Stellen dat data minder veilig is omdat het in de cloud staat is redelijk kortzichtig. Het is eerder andersom.

Maar even terug op de stelling die ik hierboven quote. Bij het opslaan van gevoelige data, moet je altijd goed nadenken over de beveiliging ervan, dat is al decennia zo en staat helemaal los van de cloud. Of denken ze nou echt dat de data die nu bij een willekeurige hosting partij staat wel volledig veilig is en zodra je naar de cloud gaat, dat je daar over moet gaan nadenken..... Wat een onzin. Je moet altijd nadenken over het beveiligen van je data!

[Godson-2]

De clouddiensten zijn allemaal eigendom van grote Amerikaanse techgiganten en de Amerikaanse wet zegt dat zij informatie die op hun servers staat opgeslagen, waar ook ter wereld, moeten overhandigen aan de overheid als deze hier om vraagt.

Onze data kan daar dus nooit helemaal veilig zijn.

[david-v]

Welke Amerikaanse wet is dat? Toch niet cloud act hé?

[Iblies]

Jawel dat is de cloud-act.

Indien de VS-overheid het nodig acht dat een bedrijf gegevens moet overdragen dan moeten ze zich daar aan confirmeren.


Die wet is opgesteld nadat Microsoft aangaf dat er dan sprake zou zijn van contract-breuk,
alleen is de wet vervolgens aangepast en gaat deze wet boven overeenkomst-wetgeving.

In een ideale wereld zouden bedrijven als Facebook, Google, etc moeten aangeven dat ze in bepaalde situaties data van jouw aan de overheid moeten afstaan zonder dat jij (of je overheid) daar over wordt ingelicht.
https://www.ictrecht.nl/e...-act-and-its-consequences
https://www.androidcentral.com/cloud-act-and-google

[david-v]

In een van je eigen links staat het toch wel heel duidelijk:

The Act contains a ‘motion to quash or modify’ the legal process if the company believes that (1) the customer whose information is being requested is not a U.S. person and does not reside in the U.S. and (2) the required disclosure would create a material risk that the provider would violate the laws of a qualifyingforeign government.

Dus nee, de Amerikaanse overheid kan niet de data van jou of van mij zomaar opvragen. Het wordt pas spannend als je een US paspoort hebt en hier in Nederland woont.

[david-v]

Je weet dat Microsoft het verzoek naast zich kan leggen als er gegevens worden opgevraagd van jou bijvoorbeeld. Want, jij bent geen us citizen en je woont ook niet in de us. Cloud act gaat juist over onderdanen of ingezetenen van de VS, niet over jou of mijn data.

Het probleem hiermee is wel, wat doe je bij een Amerikaan die in Nederland woont. Je bent dan als ingezetene van de EU beschermd, maar je bent ook een US citizen. Daar wringt de schoen nogal

[Mushroomician]

Foreign Intelligence Surveillance Act, FISA.
https://decorrespondent.n...wel-bij/34331385-539237ae

[klakkie.57th]

Staatsburgerschap heeft er volgens mij niets mee te maken.

https://en.m.wikipedia.org/wiki/CLOUD_Act

En als een Amerikaans rechter het nodig acht dan mag er zelfs niet over gecommuniceerd worden door Microsoft, Google, Amazon … met de “verdachte”.

“Yes. All government requests for data, including any that were accompanied by non-disclosure orders, also known as secrecy orders, are included in our transparency reports”.

Maw als ze onderzoek naar jou doen dmv een secrecy order , dan kom je wel voor in de statistieken maar je wordt niet op de hoogte gebracht dat je onderdeel uitmaakt van een onderzoek.

[Reactie gewijzigd door klakkie.57th op 1 augustus 2024 18:45]

[david-v]

Dat heeft het wel, maar het staat niet helemaal duidelijk in de wiki. De eerste link van lblies hierboven heeft dat al antwoordt op.

Daarnaast heb je ook nog dit:

The CLOUD Act is designed to permit our foreign partners that have robust protections for privacy and civil liberties to enter into bilateral agreements with the United States to obtain direct access to this electronic evidence, wherever it happens to be located, in order to fight serious crime and terrorism.

Het is dus niet een open brief om zomaar data te vergaren van gewone burgers. Dat zullen Amazon, Google en Microsoft niet zomaar doen, want dan snijden ze zichzelf wel in de vingers.

Edit: ik verdedig de cloud act niet, ik denk dat het anders kan en zou moeten, maar het is niet zo extreem zoals sommige je willen doen geloven.

[Reactie gewijzigd door david-v op 1 augustus 2024 18:45]

[Iblies]

Muv van VK zijn er geen andere landen die een overeenkomst hebben.


Daarbij speelt het gegeven dat het naar VS inzicht is, niet conform eigen wetgeving.

[Sandor_Clegane]

Patriot act.

[OxWax]

Wel deel exact? (een quote zou ook handig zijn)

[Sandor_Clegane]

https://www.aclu.org/other/surveillance-under-usapatriot-act

Records searches. It expands the government's ability to look at records on an individual's activity being held by a third parties. (Section 215)
Secret searches. It expands the government's ability to search private property without notice to the owner. (Section 213)
Intelligence searches. It expands a narrow exception to the Fourth Amendment that had been created for the collection of foreign intelligence information (Section 218).
"Trap and trace" searches. It expands another Fourth Amendment exception for spying that collects "addressing" information about the origin and destination of communications, as opposed to the content (Section 214).

Sectie 215:

Section 215 of the Patriot Act allows the FBI to force anyone at all - including doctors, libraries, bookstores, universities, and Internet service providers - to turn over records on their clients or customers.

Service Providers, ergo MS en dergelijke.

[Verwijderd]

Ik wil het niet verdedigen, hoor. Maar met de juiste encryptie zijn veel zaken wel te gebruiken. Encryptie met eigen key management maakt het zo dat data inhoudelijk onleesbaar is. Het verandert natuurlijk niets aan deze wetgeving (die het alsnog niet te vertrouwen maakt).

De gehele overheid draait nu ook op Windows servers en Windows werkstations. Het is gewoon bizar dat ze nu pas ‘in actie’ komen. Het water staat ze nu aan de lippen omdat systemen zwaar verouderd zijn en ze moeten vernieuwen. En het enige realistische upgrade pad is Office 365 want al hun software is enkel gebouwd om daarmee te werken (de Office suite). Een groot deel van de schuld ligt echt bij hun zelf en hun kortzichtigheid.

[broit1975]

Staat volgens mij niets over wereldwijd in toch? Of zie ik iets over het hoofd?

[dec0de]

ook als de data in europa staat, is de data van/gehost door microsoft, en dus moeten ze die overhandigen.

[Reactie gewijzigd door dec0de op 1 augustus 2024 18:45]

[B0MBACI]

En daarmee snap ik niet waarom de privacy diensten nu een enquete starten bij de afnemers, het zit al in de Wet (gebrek aan wetgeving), dat de Amerikaanse wet botst met GDPR. Het zou juist heel erg helpen als de privacy diensten eens heel SMART aangeven wat wel/niet mag worden opgeslagen onder welke voorwaarden bij de Amerikaanse tech giganten... Ipv de overheidsinstellingen te bevragen wat ze al den wel niet doen.. Maar ook de Privacy diensten willen hun vingers hier niet aan branden en zijn nu vitrine onderzoek aan het doen om zo wanneer er shit ontstaan kunnen wapperen met hun onderzoek. Wellicht ben ik te cynisch of begrijp ik het allemaal niet, maar het begint wel zeer irritant te worden dat het grote probleem wat juridisch gezien is ontstaan na de schrems 2 uitspraak niet opgepakt wordt.

[Qalo]

En om die reden alleen al heb ik nooit gebruik gemaakt van welke cloud-dienst dan ook. Dan maar ouderwets, maar ik voorzie problemen in de toekomst. Hoeft uiteraard niet, maar ik neem het zekere voor het onzekere...

[Verwijderd]

Hoewel ik de cloud-oplossingen best mooie oplossingen vind, vraag ik mij wel af waarom partijen zoveel vertrouwen hebben in opslag van data, maar meer nog... virtuele machines bij derden. In penibele tijden - als allianties niet meer zo goed werken - voorzie ik zomaar dat je niet eens meer bij jouw virtuele servers kan, laat staan de opslag die je in goede tijden kon benaderen via die virtuele servers in de cloud. Geen servers = geen dienstverlening = geen geld = geen kennis = ontwrichting bedrijf/maatschappij = over en uit moderne wereld.

[gbrugman]

Volgens mij heb je ongelijk. Opgeslagen data op een server in Amerika van een niet-Amerikaan wordt door de grote cloud providers als Microsoft niet overhandigd. Microsoft heeft dat bevel geweigerd en data niet vrijgegeven. Als die data van een Amerikaan op een server in het buitenland staat kan die data door een Amerikaanse rechter wel worden opgeëist.

[Godson-2]

Ze hebben het aangevochten. Maar volgens mij hebben ze die rechtszaak verloren en hebben ze de data stilletjes wel overhandigd.

[gbrugman]

Zou ik eens na moeten vragen, maar volgens mij heb je ongelijk. Zal case opzoeken en bij Microsoft kanaal informeren. Microsoft biedt trouwens opslag op regionale servers, juist voor overheden. Voor particulieren weet ik het niet. Bij Google staat je data zes keer op verschillende servers en regio's, voor Microsoft weet ik dat niet.

[Godson-2]

Toen deze diensten vijftien jaar geleden op de markt verschenen werd al meteen geroepen dat overheden, medische instellingen en banken hier geen gebruik van konden maken vanwege het privacy aspect.

Nu zie ik de laatste tijd toch steeds meer banken en medische instellingen gebruik maken van deze diensten.

Volgens mij is er niets veranderd. Dat betekent volgens mij dat ze incompetent zijn en dit gewoon uit gemakzucht doen.

[david-v]

Er werd geroepen, maar dat was totaal niet gebaseerd op de werkelijkheid. Azure kreeg al jaren geleden van de DNB de stempel om de diensten te kijken gebruiken door banken eens verzekeraars. Iets is wat het onderbuik gevoel is van mensen, iets anders de realiteit.

[klakkie.57th]

Zo eenvoudig is het toch echt niet. Data transfers gebaseerd op “Privacy shield” zijn gewoon onwettig.

https://www.europarl.euro...RS_ATA(2020)652073_EN.pdf

En verder zegt bv. de DPA van Noord-Rijn Westfalen nog dit erover, zelfs al zou je gebruik maken van een SCC dan, nog kun je niks garanderen


The DPA of North Rhine- Westphalia pointed out that any companies using US communication services or transatlantic cables might be subject to US surveillance mechanisms. To salvage SCC-based data transfers, such companies would need to compensate for gaps in protection with – so far undetermined – 'additional safeguards'. The Court stressed that protective contract clauses are not binding on third parties or authorities and therefore likely to be ineffective, while cryptanalytic and quantum computing efforts of intelligence agencies raise concerns about the effectiveness of protective technical measures such as encryption.


Kortom je kan ze niet vertrouwen. Zolang je voor jezelf beslist dit toch te doen is er geen enkel probleem, maar wanneer bv een zorginstelling beslist om je data daar te parkeren heb ik er wel een probleem mee.

[Reactie gewijzigd door klakkie.57th op 1 augustus 2024 18:45]

[david-v]

Dit is een redelijke uiterste standpunt. Als we al problemen hebben zodra we een transatlantische kabel gebruiken dat kun je al gaan stoppen. Vrijwel alles wat in een datacenter staat een waar het me verbindt is niet gemaakt door een Europese partij. De hardware niet, maar de software ook niet. Er wordt enorm veel data in datacenters van bijvoorbeeld IBM opgeslagen, dat is al jaren zo, nog voordat iemand ooit van de term cloud had gehoord. De kans dat de data van je zorginstelling al dan niet tijdelijk/encrypted in een datacenter staat die eigendom is van de big 3 is redelijk groot.

Bovendien, de kans dat er bij een "kleine" partij met malware wordt ingebroken is waarschijnlijk veel groter. Vertrouw je die dan meer omdat ze niet eigendom zijn van een grote partij uit de VS? Staat je data daar veiliger?

We zijn, mi, heel verkeerd bezig. Apparatuur wordt verbannen, want Chinees, omgevingen en diensten worden verboden, want Amerikaans. Wat is het volgende? Wat zijn de vergelijkbare alternatieven?

[klakkie.57th]

Europese datacenters / cloud operators waar ieder land aandeelhouder van is, is toch een mogelijkheid ? Kennis en kunde genoeg lijkt me.

We moeten gewoon niet afhankelijk willen zijn van de VS, China of Rusland.

[Reactie gewijzigd door klakkie.57th op 1 augustus 2024 18:45]

[david-v]

Kan je één voorbeeld noemen van een dergelijk (technisch) project, geleid vanuit de overheden van alle landen in de EU, die een succes is? De pogingen worden wel gedaan hoor, gaia-x bijvoorbeeld, maar ik ben daar best wel pessimistisch over. Niet over de kennis en kunde die we in Europa hebben. Meer over het organisatorisch gedeelte. Dit wordt weer een politieke touwtrek spel tussen landen die het vooral (de orders) naar zich toe willen trekken. En wat komt er in deze datacenters te staan? Juist, geen Europese hardware/software, dat weet ik vrijwel zeker.

[Sandor_Clegane]

Large Hadron Collider?

[david-v]

Ik had het kunnen weten dat je die zou noemen . Ja, dat is inderdaad één voorbeeld. De opzet of wel academisch en de politiek bemoeit zich er weinig mee, maar het is een goed voorbeeld van een organisatie die gefinancierd wordt door overheden.

Bij een Europese cloud dienst zoals gaia-x heb je te maken met een heel andere dynamiek, en enorme commerciële belangen. Je maakt dan niet iets voor onderzoek maar je bouwt iets na wat eigenlijk al bestaat maar moet gaan voldoen aan de weten van de EU. Dat zie ik toch als iets uitdagender.

Maar, je hebt gelijk, LHC is een mooi voorbeeld van samenwerking en zonder Cern zouden we geen Tweakers hebben

[Bein Stuyle]

Ik vraag mij af of ze daar weet hebben van dit artikel?
https://joinup.ec.europa....ivacy-shield-invalidation

[bdbfz]

Typo: clouddiensten, niet cloudiensten.

[suprcow]

Conclusie een eigen euro cloud in eigen beheer duur duur…

[Verwijderd]

Eigen cloud is (ongrijpbare) hackers out.