Staatssecretaris: nieuwe clouddiensten voor ambtenaren slaan alleen metadata op

58.000 digitale werkplekken van ambtenaren bij de Nederlandse Rijksoverheid worden gemigreerd naar een nieuwe omgeving. De nieuwe werkplekken gebruiken ook diverse clouddiensten, maar die verzamelen alleen metadata, zegt staatssecretaris Zsolt Szabó van Digitalisering.

De migratie is noodzakelijk omdat meerdere componenten van de huidige werkplek op korte termijn niet meer ondersteund worden of het einde van hun levensduur hebben bereikt, zegt Szabó in antwoorden op Kamervragen over de migratie. Zo wordt nu nog Windows 10 gebruikt, waar de ondersteuning in oktober dit jaar van stopt. Daarnaast wordt gebruikgemaakt van een versie van Ivanti Workspace Control die in december 2026 het einde van zijn levensduur bereikt.

De migratie naar de nieuwe werkplek betreft echter geen migratie naar de cloud, zegt Szabó. "Alle documenten en mails blijven in de eigen overheiddatacenters; alleen bepaalde beheerapplicaties gaan deels naar de cloud." Het gaat onder meer om Netskope, Microsoft Intune en Microsoft Defender. De staatssecretaris zegt dat deze diensten geen inhoudelijke data opslaan, maar alleen zorgen dat de omgeving veilig blijft. Daarvoor slaan de applicaties tijdelijk metadata en loggegevens op, zoals het gebruikers-ID, de naam van gebruikte applicaties en het aantal up- en downloads. "Deze gegevens staan tijdelijk in de public cloud van de leverancier (zes maanden voor MS en een zelf te configureren periode voor Netskope), ten behoeve van monitoring door het Security Operations Center van SSC-ICT."

De gebruikte clouddiensten zijn van Amerikaanse partijen, wat betekent dat er onder bijvoorbeeld de Cloud Act geforceerde toegang tot data mogelijk is, beaamt Szabó na vragen hierover. "Op verzoek van het NCSC heeft Greenberg Traurig onderzoek gedaan naar onder andere de kans dat gegevens van Europese burgers op basis van de Cloud Act verstrekt zullen worden aan de Amerikaanse overheid. Op basis van de daaromtrent beschikbare informatie is geconcludeerd dat deze kans laag is." Dat is onder meer omdat documenten en mails in de eigen overheiddatacenters blijven, verklaart de staatssecretaris.

De migratie wordt uitgevoerd door SSC-ICT, een van de grootste ict-dienstverleners van en voor de Rijksoverheid. De migratie wordt deels uit het aan hen beschikbaar gestelde budget bekostigd, dat bedoeld is voor de doorontwikkeling van haar ict-diensten. "Daarnaast is in een aanvullend budget van € 8,7 mln. voorzien voor migratie- en uitrolkosten", aldus de staatssecretaris.

Reacties (33)

[Terry A Davis]

Ik maak me wel zorgen of Nederland in de IT sector op dit moment zelfstandig kan functioneren. De Franse overheid daarvan is bekend dat ze alle Microsoft producten weigeren. Alhoewel ik niet weet hoe de Franse overheid hun eigen cloud dienst heeft gemaakt.

Het lijkt zo simpel, geen Microsoft Azure Cloud, geen Microsoft Excell, geen Microsoft Word, geen Microsoft Powerpoint (als dat nog bestaat. ) e.d.

In Frankrijk is het de Franse overheid daadwerkelijk gelukt, en met bijzondere omstandigheden mag je bij de Franse overheid nog wel Microsoft producten gebruiken.

Bij het opensource project in Duitsland was duidelijk zichtbaar dat zelfs voormalig Microsoft CEO Steve Ballmer kwam overvliegen naar Duitsland. En de stad die waarschijnlijk Munich heet had bijna alles geprobeerd in 1 keer over te brengen naar open source GNU/Linux o.a.

In beide situaties zoals Frankrijk alswel Duitsland vind ik eigenlijk dat zoiets nooit had moeten gemogen.

Maar in Frankrijk hebben ze bij de Franse overheid Microsoft producten verboden wegens structele bedrijfsspionage. Zoals Airbus.

Wat wel duidelijk is, in Nederland valt er voor Microsoft niets te halen op spionage gebied, wel is het zo dat Microsoft de Nederlandse Politie heeft afgeperst voor 2,8 miljoen euro omdat zoals de rechter het zei: 'Ze hadden Microsoft Office kunnen gebruiken'. Hierbij de opmerking dat Microsoft rechters vervangt met in Cassatie gaan totdat Microsoft de gewenste uitspraak geeft.

Op dit moment is het namelijk zo dat in tegenstelling tot wat ik had kunnen denken, ook Nederland als Staat van de Nederlanden nu toch toe wil naar een situatie waar onafhankelijkheid zeker binnen vertrouwlijkheid een gewaarborgde situatie moet hebben. En dat betekent helaas voor Microsoft, wel dat ook Nederland net zoals Frankrijk onafhankelijk de belangrijkste data wil kunnen bewaren.

Microsoft, we kunnen niet zonder, en in een beperkte aantal scenario's ook niet met.

[Bux666]

Wat een kolder relaas. Het overzetten van alles naar Amerikaanse wolkdiensten is enorm gevaarlijk. Straks kunnen we als land niet meer bij onze eigen data. Bert Hubert ageert er fel tegen, wordt ook deels gehoord, maar de grote mannen in pakken hebben de contracten al getekend.

Lees o.a. het artikel 'De Totale Keuze voor Microsoft' van Bert Hubert maar eens. Heel Nederland gaat braaf over naar een Amerikaanse aanbieder. Nu met Trump, Musk en Zuck aan het roer blijkt de -altijd al- stomme keuze ineens nog stommer. En gevaarlijker...

Besluiten en keuzes worden gemaakt door 'mannen in pakken' en die zien wel een MS vertegenwoordiger met mooie presentaties maar geen Open Source/alternatief vertegenwoordiger. En 'de buren gebruiken het ook'...

Uit het gelinkte artikel
De komende jaren kan je daarom de klok gelijk zetten dat het volgende allemaal gaat gebeuren:

• Er zijn zorgen dat Microsoft gehacked is en de Chinezen / Russen meelezen: ✅
• MS 365 storing en alle werkplekken van de overheid down, niemand kan werken
• MS 365 wordt aangevallen op Internet, en Microsoft helpt als eerste hun Amerikaanse klanten
• We “ontdekken” ineens dat al onze communicatie via Amerika gaat en hoe heeft dat nou kunnen gebeuren
• De aparte computers/systemen opgezet om over gevoelige dingen te kunnen communiceren blijken niet gebruikt te worden / niet te bestaan / niet te werken
• De “double encryption” die ons zou moeten beschermen tegen de Amerikaanse overheid blijkt niet uitgerold of in de praktijk niet te werken
• We hebben een (wettelijke) eis waar Microsoft niet aan wil voldoen: ✅
• Er is een probleem maar kunnen het niet goed onderzoeken want Microsoft werkt niet mee: ✅
• We krijgen, zonder het te willen, allemaal AI-tools op de overheidswerkplek en we krijgen ze niet uitgeschakeld: ✅ (echt)
• Microsoft, en haar 801 partners, hebben per ongeluk overheidsdata gebruikt om hun AI mee te trainen
• Omdat we geen kant meer op kunnen lopen de tarieven voor nieuwe diensten de klauwen uit
• Omdat we geen kant meer op kunnen lopen de tarieven voor bestaande diensten de klauwen uit (preview uit de UK, nu ook in Nederland) ✅
• We moeten voorzichtig omgaan met Amerika, want zonder hun hulp kunnen we niet meer werken
• Software/hardware/services van alternatieve leveranciers kunnen/mogen niet samenwerken met de Microsoft-cloud
• We houden een parlementaire enquête hoe het toch kan dat er geen Europese IT-industrie meer is

Toevoeging: lees/luister dit stuk van De Correspondent met als titel 'Europa is veel te afhankelijk van Amerikaanse tech. Waar blijft het Nederlandse crisisteam dat onze eigen cloud optuigt?'.

[Reactie gewijzigd door Bux666 op 13 maart 2025 15:17]

[Bjk1903]

Precies dat, zolang we als Europa geen alternatieven kunnen optuigen voor Aws, Google Cloud en MS, zijn we met de navelstreng verbonden aan de VS. Wij als Europa, grootste producent van data hebben al onze teugels belegd bij de (gekke) amerikanen. Alle hard en software op belangrijke internet hubs zijn Amerikaans. Die weten daar heus wel een voordeel uit te halen. Ik kan het niet bewijzen maar wel zweren dat de amerikanen mee lezen op AL onze data.

[Frankster]

De Amerikanen innoveren
De Chinezen kopiëren
De Europeanen reguleren

[R1]

.....om vervolgens soeverein op een intel based Dell server met Vmware te draaien met MS windows of IBM redhat software, gekoppeld aan een cisco netwerk.
Daarnaast is het Overheid datacenter in Amsterdam gehuurd van, jawel, de Amerikanen !
linkje
Als Trump wilt vraagt hij Equinix even de kabel eruit te halen van die ODC kooi.
Of je krijgt geen Cisco/Dell/Microsoft/.... (security) updates meer.
Trump zal zo snel niet iets uitzetten. Op het moment dat hij dat tot een wapen maakt, gaan Amazon, Microsoft en Google failliet. Er zal dan wereldwijd een exodus volgen uit de honderden miljarden kostende cloud DCs/regios van de hyperscalers

EU moet zorgen voor een volwassen EU cloud provider. Maar ja, vetrouw je dan wel een franse cloud of duitse cloud, want niet door een NL bedrijf gemaakt? (Denk aan aanbesteding onderzeeërs)

't brengt ons nergens en ondertussen zal het alleen maar langer duren voordat men realiseert dat je niet meer alles zelf kunt bouwen en beheren doordat de westerse wereld vergrijst en de personeels tekorten blijvend zijn en groter worden .
Dus laten we snel een door de markt bekostigd volwaardige EU cloud bouwen (niet van de belastingcenten) en tot die tijd vooral onze overheid versnellen en innoveren met cloud producten. De IT markt is voorlopig gedomineerd door de USA.

linkje naar het relevante NCSC artikel

[Reactie gewijzigd door R1 op 13 maart 2025 22:53]

[Mextreme]

De vraag is wat we van de Duitsers en Fransen kunnen leren, denk ik dan.
Jaren geleden werkte ik op (online) redacties van omroepen. Daar stelde ik indertijd al de vraag wat politici, de overheid en de media op al die commerciële diensten te zoeken hadden.

Ik werd toen midden voor m'n snuit uitgelachen. Ook een paar 'bedreigende situatie'-opmerkingen gehad (niet goed voor je carrière en meer van die kolderieke onzin).

Als ik nu zo naar de overkant van die Atlantische plas kijk en zie wat daar gebeurt, dan denk ik: misschien heb ik een laag IQ, maar blijkbaar wel het vermogen om het goed te gokken.

Ervan uitgaan dat je vrienden altijd je vrienden blijven en je vijanden in slaap gesust kunnen worden is een beetje... eh.. 'dom'. De vijand slaapt nooit en vrienden kunnen slaande ruzie krijgen. Met alle gevolgen van dien.

[sambalbaj]

Dat hebben ze in Frankrijk inderdaad heel serieus aangepakt.
Ze hebben zelfs een nationale cloud coördinator.

https://www.entreprises.g...ecteurs-strategiques-de-7
En
https://www.numerique.gouv.fr/services/cloud/cloud-interne/

[Reactie gewijzigd door sambalbaj op 13 maart 2025 13:50]

[nervwrecker]

in Nederland valt er voor Microsoft niets te halen op spionage gebied

Hoe kom je daar nou bij.....

[Mextreme]

Als je één van de belangrijkste internetknooppunten binnen je grenzen hebt, dan kan boodschappen doen de inlichtingendiensten wel wat bonusaanbiedingen opleveren hoor.

[satya]

Ik kom wel eens op een plek die je de Franse kustwacht zou kunnen noemen, maar dan stap je 20-30 jaar terug in de tijd.

Maar anders gezegd, toen en nu werken die dingen prima voor wat het moet doen.

[koelpasta]

Ach ja, een jaar geleden heeft de Japanse overheid diskettes afgeschaft.,

[VictorK]

Oh alleen maar metadata, dan is er niks aan de hand

"We kill people based on metadata."

Gedragdsdata is een beter woord.

[Reactie gewijzigd door VictorK op 13 maart 2025 13:13]

[michelr]

-1 waardig dit. Om bepaalde aspecten van de dienst te bewaken zal er toch soort controle moeten plaatsvinden obv data. Denk ook aan retentie en labeling. Overheden zitten vaak nog in wanstaltige VDI oplossingen te denken, dus zoveel gaat er niet naar buiten. Dat er gestuurd wordt op karakteristieken of classificaties waar op de achtergrond een (cloud-based) oplossing over waakt is prima. Zo'n lokaal management- en monitoringgedrocht zit niemand op te wachten, zeker niet als groot deel van de populatie ook nog eens ambulant werkt.

[Reactie gewijzigd door michelr op 13 maart 2025 13:31]

[nehal3m]

Waarom zou dit ongewenst zijn? Het is gewoon on-topic en een uiting van kritiek op de implicatie dat metadata niet zo gevoelig zou zijn als daadwerkelijke data. Dat jij er een mening over hebt moet je zelf weten maar daar is het moderatie systeem niet voor.

[Mathijs1]

Metadata zijn vaak net zo nuttig zoniet nuttiger dan de data zelf, wanneer is iemand ergens geweest, naar wie is er gemailed, hoe lang is er gebeld, etc. etc. Hier maken opsporing- inlichtingendiensten al decennia gebruik van.

[jaspio]

Inderdaad, als de locatie gegevens uit de auto of telefoon van de edelachtbare Szabo openbaar zouden zijn doet het wel opeens zeer.

Waarom blijft de politiek zo digibeet?
Vraag me echt af wat hun "wetenschappelijk bureaus" uberhaupt uitvoeren behalve de partijkas opsuperen...

[mostard]

Dat zijn geen metadata.

[Sissors]

Uit meta data kan je nuttige zaken halen. Maar ik geloof er niks van dat het in zijn algemeenheid nuttiger is dan de data zelf. Waar verwacht je dat China meer interesse in heeft? Dat Rutte een mail heeft gestuurd aan Lockheed Martin? Of de inhoud van de mail, de kosten van de F35 die gerekend worden, de technische specificaties, etc?

Ik kan me heel weinig zaken voorstellen waarbij de meta data interessanter is dan de daadwerkelijke data.

[nehal3m]

Dat ik op vakantie ben geweest naar Zweden (inhoudelijk gegeven) is minder interessant dan van wanneer tot wanneer ik van huis ben en het dus onbeheerd is achtergelaten (metadata), om maar een voorbeeld te noemen.

[Reactie gewijzigd door nehal3m op 13 maart 2025 14:06]

[Sissors]

Precies. Dus dan kan je nu de meta data hebben dat je nu weg bent en in Zweden zit. Of je kan je hele vakantieplannen hebben, de mails met het buurmeisje die de planten water gaat geven, etc. Die laatste zijn dan een stuk interessanter. Zeker omdat je dan vantevoren al weet dat jij weg gaat.

(Even los ervan dat dit verder natuurlijk een onrealistisch hypothetisch voorbeeld is).

[satya]

Hangt van de data af, ik lees Microsoft en Defender. Afhankelijk van het level stream je dan zo'n beetje alles wat er op de desktop gebeurt en wijzigd naar een centrale omgeving toe.

[Mextreme]

Waarop ik aanvul: wilt u de term 'metadata' wat specifieker definiëren, beste overheid?

[CivLord]

Dan is er inderdaad niets aan de hand.
De metadata geeft aan dat Ambtenaar A toen en toen vanaf huis of kantoor actief is geweest en contact heeft gehad met Ambtenaar B. Dat zijn zaken die je mag verwachten.
Het gaat niet om de meta van Privépersonen X en Y, waarmee je hun locatie en contactgegevens kan volgen.

[ThaBilly]

Maar als defender een bestand als "verdacht" markeert en de metadata is niet eerder gezien, dan wordt het bestand toch alsnog naar defender in zijn geheel geupload en geanalyseerd?

Hier kan je natuurlijk een opt-out op doen (standaard staat dit aan) maar dan wel als gevolg dat er alleen op metadata wordt gescreened, terwijl juist de overheid doelwit kan zijn van maatwerk aanvallen en dat de metadata dan niet bekend is/ onvoldoende is om te scannen?

https://learn.microsoft.c...tivirus-sample-submission

[HKLM_]

Dat zijn inderdaad dingen die meegenomen moeten worden in de inrichting van de defender suite.

[ThaBilly]

Maar welk niveau van bescherming hou je over, vooral bij een product als Microsoft Defender XDR die volledig van de cloud afhankelijk is. als ze sample scanning uitzetten kan je dus (theoretisch) elke backdoor via een office file naar de overheid sturen, zolang je metadata maar afwijkend is.. dan maar hopend dat het spamfilter op de mailserver voldoende is.

Klinkt mij meer als een combideal die door Microsoft als aantrekkelijk is aangeboden, wil je geen gebruik maken van "amerikaanse" cloud maar wel veilig zijn, kies dan iets anders dan Microsoft Defender XDR.

[Tintel]

tja, heeft dat cloud-systeem nu wel of niet toegang tot die e-mail en documenten die op de 'lokale' servers staan?
Als dat cloud-systeem zoekfuncties aanbiedt dan zal deze toch echt door de 'lokale' data struinen en is het mooi dat de data zelf in ieder geval niet 'over de plas' wordt bewaard maar heb ik nog steeds wel bedenkingen....
Het gaat niet alleen om wat wordt opgeslagen door het cloud-systeem maar vooral om welke toegang dat cloud-systeem zelf heeft tot de data...

[The Zep Man]

Het gaat onder meer om Netskope, Microsoft Intune en Microsoft Defender. De staatssecretaris zegt dat deze diensten geen inhoudelijke data opslaan, maar alleen zorgen dat de omgeving veilig blijft.

Naast dat deze diensten de omgeving veilig houden: blijft de omgeving beschikbaar als deze diensten (langdurig) niet beschikbaar zijn?

[Reactie gewijzigd door The Zep Man op 13 maart 2025 13:46]

[kozue]

Als documenten en mails in overheidsdatacentra verblijven, waarom de metadata dan niet? Waarom is het uberhaupt nodig een Amerikaanse cloud te gebruiken als de overheid al eigen clouds heeft? Wat een vreemd gedoe weer. Er zal wel weer iemand een zak geld hebben gekregen van een Amerikaanse partij om zo'n oplossing goed te keuren en implementeren.

[hjgwolff]

Best een goedkope migratie.

[ictxs.nl]

Als alles in het eigen datacentrum blijft, is het prima om alles naar linux over te zetten. De besparingen op licentiekosten alleen al de moeite waard.

Er zijn enkele Europese cloud oplossingen die je zelf kan hosten.

En genoeg keuze op beveiligingsgebied.

Maar het beheer en veilig houden zal ingewikkelder worden als je veel software gebruikt die niet grootschalig getest zijn. Alleen het testen van de opensource software mag je al een hele afdeling voor hebben. Maar elk voordeel heeft zijn nadeel.

Als we in plaats van boe roepen tegen de EU gelijk aan een eigen IT sector met Europese hyperscalers zouden gewerkt hebben hadden we een hoop geld op ons continent gehouden.

[Vorkie]

Netskope, naar gelang de instellingen is dit gewoon een internet proxy die al het verkeer standaard tunnelt naar de dichtstbijzijnde endpoint. Het handelt dus al het verkeer af naar het internet, tenzij anders ingesteld.

Daarnaast kan je SSL inspectie aanzetten, je kan net zoals andere proxy “direct” aanzetten, zodat Netskope er niets mee doet.

Zo’n endpoint deel je met alle andere Netskope gebruikers.

[CAPSLOCK2000]

alleen metadata

Het woord 'metadata' is voor mij een rode vlag. Dat woord wordt in dit debat uitsluitend gebruikt als excuus om de normale regels te negeren. Als duidelijk wordt dat iets niet mag met data wordt gepoogd de grens te verschuiven door te doen alsof metadata iets anders is dan data en de normale regels dus niet gelden.

Metadata is een subset van data en alle regels die voor normale data gelden zouden ook voor metadata moeten gelden. Vrachtauto's zijn een subset van alle auto's. Alle regels voor auto's gelden ook voor vrachtauto's. Er zijn zelfs extra regels voor vrachtauto's.

Zodra het woord 'metadata' valt weet ik al genoeg: iemand gaat een definitie-spelletje spelen over de letter van de wet om de geest van de wet te negeren. Of dat nu is uit onwetendheid, overmacht of onwil, onze privacy gaat worden aangetast.

Dat Facebook zichzelf heeft hernoemd naar "Meta" zou genoeg moeten zeggen over de waarde van metadata. Misschien moet ik het maar omdraaien en voortaan "Facebookdata" noemen, zelfs als data eigenlijk bij een andere cloudprovider staat, dat soort details ontgaat de de metadatazegger toch wel.

"Staatssecretaris: Nieuwe clouddiensten voor ambtenaren slaan data op Facebook op."
Dat geeft toch een stuk beter beeld van de situatie?