Cloudsecurity: hoe veilig is data in de (public) cloud?

De beweging naar en groeiende populariteit van de cloud is niet meer te stoppen. Uit onderzoek van het CBS blijkt dat steeds meer bedrijven, maar ook organisaties als ziekenhuizen en onderwijsinstellingen, een significant deel van hun applicaties, systemen, data en infrastructuur inmiddels in de cloud hebben staan.

De populariteit van de cloud is prima verklaarbaar als je kijkt naar een aantal belangrijke voordelen die cloudcomputing biedt. Capaciteit bij- of afschalen gaat snel en makkelijk, terwijl de cloud natuurlijk ook tegemoetkomt aan de groeiende behoefte om hybride en meer plaatsonafhankelijk te werken. Je kunt altijd en overal bij je bestanden, ongeacht waar je bent of welk apparaat je gebruikt. Met cloudopslagdiensten in de public cloud als OneDrive en Google Drive kun je bovendien gegevens opslaan zonder dat ze ruimte innemen op je harde schijf.

Maar bij het gebruiken van publieke clouddiensten dringt zich een belangrijke vraag op, zeker als het gaat om cloudopslag: hoe veilig is de (publieke) cloud anno 2023? In dit artikel gaan we dieper in op de betrouwbaarheid van cloudopslag en het verschil tussen lokale opslag en cloudopslag. Daarnaast laten we zien wat je op het gebied van verantwoordelijkheid en maatregelen kunt doen om van jouw cloudomgeving een veilig bastion voor dataopslag te maken.

Het verschil tussen cloudopslag en lokale opslag

Voordat we dieper ingaan op de veiligheid en betrouwbaarheid van cloudopslag, is het goed om eerst de belangrijkste verschillen tussen cloudopslag en lokale opslag (on-premises) te bespreken. In het geval van lokale opslag sla je data op in servers die in het eigen bedrijfsgebouw staan. Je beheert dus zelf de opslagomgeving en regelt ook het veiligheidsaspect.

Het voordeel hiervan is dat je zelf de volledige regie over je opslagbeheer voert. Tegelijkertijd ben je kwetsbaarder voor calamiteiten (brand, beschadigde apparatuur, stroomstoringen). Bovendien is het, zeker als je geen gespecialiseerd IT-bedrijf bent, nagenoeg onmogelijk om in-house een veiligheidsniveau te realiseren dat vergelijkbaar is met de kwaliteit die gerenommeerde cloudproviders bieden. Techgiganten als Microsoft, Amazon en Google steken namelijk een enorme hoeveelheid geld, expertise en mankracht in het beveiligen van hun public clouds.

Als je kiest voor cloudopslag, sla je jouw gegevens op in de systemen van een gespecialiseerde cloudaanbieder. Die beheert de opslagomgeving en draagt zorg voor de beschikbaarheid en een groot deel van de beveiliging. Cloudproviders nemen veel maatregelen om de data en cloudomgevingen van hun klanten te beschermen. Denk bijvoorbeeld aan het bewaren van gegevens op meerdere locaties, encryptie, het regelmatig updaten van netwerkapparatuur en beveiligingssoftware en het fysiek beveiligen van datacenters.  

De betrouwbaarheid van cloudopslag

Een van de belangrijkste facetten van cloudopslag is het begrip ‘betrouwbaarheid’. Bij betrouwbaarheid moet je bijvoorbeeld denken aan de stabiliteit en performance van de omgeving die jouw gegevens host. Kun je uitgaan van een hoge uptime of zijn er om de haverklap storingen waardoor je tijdelijk niet bij je data kunt? En welke voorzieningen heeft de cloudprovider tot zijn beschikking die de betrouwbaarheid en robuustheid van de opslagomgeving waarborgen?

Redundantie

We zien dat steeds meer cloudaanbieders (zeker de grotere partijen) inmiddels beschikken over zogenoemde redundante systemen. Dit betekent dat alle kritische componenten van het opslagsysteem of datacenter (stroomvoorziening, koeling, servers of virtuele servers) meervoudig zijn uitgevoerd. Er is dus altijd een extra verbinding of voorziening voorhanden als de primaire uitvalt. Bovendien doen veel cloudproviders ook aan risicospreiding door gegevens op meerdere schijven en/of (virtuele) servers op te slaan en datasets in stukjes te hakken. Vervolgens coderen ze elk stukje en slaan ze het op verschillende plekken op.

Databehoud bij faillissement

Betrouwbaarheid heeft ook een financiële kant. Is er een garantie dat je nog steeds bij al je gegevens en applicaties kunt komen als de cloudaanbieder failliet gaat? Een ja op deze vraag is cruciaal voor het borgen van de bedrijfscontinuïteit in een tijd waarin IT de ruggengraat is van vrijwel elke onderneming. Bij de grote public clouds als Azure, AWS en Google Cloud is dit goed geregeld, maar bij sommige kleinere cloudaanbieders is het niet noodzakelijkerwijs een vanzelfsprekendheid. Voor het bewaken van IT-continuïteit zodat jouw bedrijfskritische data en applicaties altijd en overal, en onafhankelijk van derden, beschikbaar zijn en blijven zijn er speciaal continuïteitsregelingen ontwikkeld.

Cloudopslag en toegankelijkheid

Gebruikmaken van een cloudopslagdienst betekent dat je gegevens in handen geeft van een externe derde partij. Op het gebied van toegankelijkheid zijn er daarom wel een aantal zaken die je goed in het oog moet houden.

• Beschikbaarheid: weet je zeker dat alle data en applicaties ook altijd beschikbaar zijn op het moment dat je ze nodig hebt (tijdigheid van informatie)?
• Integriteit: is de informatie die je in de cloud opslaat altijd juist en volledig? Een programmeerfout of verkeerde handeling kan bijvoorbeeld de data-integriteit compromitteren.
• Vertrouwelijkheid: weet je zeker dat alleen bevoegde mensen toegang hebben tot bepaalde data, systemen en applicaties? En kan de cloudprovider bewijzen dat hij op het gebied van security voldoet aan alle wettelijke eisen en werkt met een goed framework voor toegangsrollen en -rechten? Dit is van wezenlijk belang voor een veilige cloudopslag.

Veiligheid in de cloud: wat je zelf moet doen

Hoewel de provider je bij cloudopslag al een hoop veiligheidstaken uit handen neemt, zijn er een paar zaken waar je zelf verantwoordelijkheid voor draagt en dus aandacht aan moet besteden. Een methode die je kunt hanteren bij het beveiligen van je cloudomgeving is de 80-20-regel. Die luidt als volgt: “Zorg voor een solide basisinrichting waarmee je de beveiliging van 80 procent van je data en applicaties afdekt. Besteed vervolgens extra aandacht aan de 20 procent die aanvullende maatregelen vereist.”

De eerste 80% dekt Microsoft, Amazon of Google grotendeels af als je gebruikmaakt van de public cloud. Het resterende deel vraagt om additionele veiligheidsmaatregelen van jouw kant. Denk hierbij aan:

• Een goed systeem van rollen en toegangsrechten en duidelijk definieert wie in je cloudomgeving bij welke data en documenten kan.
• Multifactorauthenticatie (MFA). Dit betekent dat een gebruiker naast zijn gebruikersnaam en wachtwoord nog een of meerdere verificatiesleutels (code, sms-bericht, vingerafdruk) moet gebruiken om toegang te krijgen tot gegevens of een applicatie of dienst.
• Het regelmatig maken van back-ups van je data in de cloud. Microsoft, Amazon en Google bewaren jouw data namelijk slechts een beperkte periode.
• Veiligheidstrainingen die medewerkers helpen om cyberdreigingen te herkennen en op een verantwoorde manier om te gaan met de mogelijkheden die cloudopslag biedt.
• Antivirussoftware die up-to-date is en preventie, detectie en response combineert.

Wie regelt security in de public cloud?

Maar wie is binnen je organisatie nu eigenlijk hoofdverantwoordelijk voor het beveiligen van publieke cloudplatforms als Azure, AWS of het Google Cloud Platform? Meestal is dat een cloud security specialist. Dit is een van je security-experts die zich extra (heeft) verdiept in de specifieke uitdagingen die gepaard gaan met het opzetten, inrichten en beheren van een veilige cloudomgeving.

Een nog betere optie is een zogenoemd ‘cloud center of expertise’. Dit is een gespecialiseerd intern cloudteam dat de cloud security specialist helpt bij het verzamelen van informatie over wet- en regelgeving (AVG, bewaartermijnen voor data, eisen die aan de veiligheid van cloudopslag worden gesteld), cloudinrichting en het nemen van strategische beslissingen. Zo hoeven niet slechts twee schouders de hele veiligheidslast te dragen en maak je slim gebruik van de gebundelde kennis van meerdere experts.

Vragen over beveiligen van data in de cloud?

Heb je een specifieke vraag over hoe je het beste jouw data kunt beveiligen in de (public) cloud? Onze engineers staan je graag te woord. Wij hebben ervaring met zowel Azure, AWS, Google Cloud als private clouds. Neem contact op om te sparren over jouw doelstellingen.