Meerdere overheidsinstanties hebben geen exitstrategie voor het gebruik van Amerikaanse clouddiensten. Dat meldt BNR op basis van eigen onderzoek. De radiozender keek naar het cloudgebruik van zeventien grote overheidsorganisaties, waaronder de Nederlandse Zorgautoriteit (NZa), De Nederlandsche Bank (DNB), UWV en het RIVM. Deze instanties blijken allemaal van Amerikaanse clouddiensten gebruik te maken en hebben ook nog geen concrete stappen gezet het gebruik af te bouwen.
De overheidsinstanties stellen in een reactie dat de gegevens juridisch goed zijn beschermd, omdat die fysiek binnen de Europese Economische Ruimte (EER) zijn opgeslagen en zodoende onder Europese wetgeving vallen. "Wat je nu ziet is dat veel organisaties een soort trucje hebben gedaan. Die zeggen 'we zetten wel al die spullen in Amerika neer en daar zijn we wel totaal afhankelijk van, maar we houden onze meest gevoelige gegevens toch een beetje apart. Die zetten we ergens apart neer. En zo redden we ons daaruit.' Dat is toch niet helemaal hoe het werkt", zegt beveiligingsexpert Bert Hubert.
"De Amerikaanse wetgeving zegt dat Microsoft naar de Amerikaanse overheid moet luisteren en er staat geen voetnoot bij 'tenzij de server in Ierland staat'. Dat voetnootje hebben wij er collectief bij verzonnen, waardoor allerlei mensen zich tevreden stellen. Dan zeggen ze: 'Maar we staan op een speciale server in Europa'. Als je dan aan Microsoft vraagt of de Amerikaanse wet dan niet meer geldt laat het via een lange brief weten dat de Amerikaanse wet dan nog steeds geldt. Het is een doekje voor het bloeden."
De beveiligingsexpert stelt dat het dan ook niet zoveel uitmaakt waar de server staat. "Al staat hij bij jou in de trapkast, het gaat erom dat de server wordt beheerd door het Amerikaanse bedrijf Microsoft." Veel instanties onderbouwen het gebruik van Amerikaanse cloud omdat het handig is en binnen hun werkproces past. "Terwijl je bij dit soort gevoelige data juist extra streng zou moeten zijn – en dat gebeurt gewoon niet", gaat Hubert verder.
Het huidige rijksbrede cloudbeleid stelt dat organisaties zelf verantwoordelijk zijn voor hun cloudgebruik. Het gebruik van Amerikaanse clouddiensten is toegestaan, mits de veiligheid van gegevens is gewaarborgd. Het beleid wordt halverwege dit jaar herzien. Daarnaast is het beleid niet verplicht voor zelfstandig bestuursorganen (zbo's).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.