Afhankelijkheid van IT leveranciers

Aanleiding

Je staat mogelijk zelf voor eenzelfde keuze, want steeds meer MKB ondernemingen en decentrale overheden migreren vaker naar de cloud of hebben al een hybride cloud oplossing. Deze keuze is echter niet zonder potentiële risico’s, zoals de DNB ondervond in de uitbesteding van nagenoeg haar gehele IT-omgeving aan Centric. Of risico’s door datalekken bij service-organisaties, zoals bij Blauw Research waardoor de gegevens van 2 miljoen klanten op straat kwamen te liggen. Cloud is dan ook goed te duiden met de bekende quote: “There is no cloud… it’s just someone else’s computer”. Oftewel: organisaties moeten goed nadenken over dergelijke risico’s, zeker als in haar systemen privacygevoelige data is opgeslagen, van bijvoorbeeld burgers, medewerkers of klanten.

In dit artikel gaan wij in op de potentiële maatregelen die je kunt nemen om deze risico’s te beperken. Eerst gaan wij kort in op wat cloud precies inhoudt.

Wat is de cloud en wat zijn de voordelen

Cloudtechnologie stelt bedrijven die clouddiensten aanbieden in staat om schaalvoordelen te behalen, waardoor kostenbesparingen kunnen worden gerealiseerd (Dahr, 2012). Ook biedt dit voordelen doordat een afnemer zich kan focussen op haar core-business, waarbij de cloudleverancier door het schaalvoordeel ook meer mensen en kennis in huis heeft om de dienstverlening hiervan de optimaliseren (Dahr, 2012).

Volgens Dhar and Balakrishnan (2006) kan IT outsourcing als volgt worden gedefinieerd: “IT-outsourcing is het delegeren of verplaatsen van sommige of alle informatietechnologie gerelateerde beslissingen, bedrijfsprocessen, interne activiteiten en diensten naar externe providers die deze activiteiten ontwikkelen, beheersen en administreren in lijn met de afgesproken dienstverlening zoals contractueel is overeengekomen”.

Organisaties die gebruik maken van de cloud kunnen concurrentievoordelen, hogere winsten en een verhoogde klantentevredenheid realiseren (Clark et al., 1995; Dhar and Balakrishnan, 2006; Diromualdo and Gurbaxani, 1998; Feeny et al., 1995; Goo and Nam, 2007; Hall and Liedtka, 2007; Hirschheim and Lacity, 1993; Kinnula et al., 2007).

Er zijn daarnaast diverse dienstverleningsvormen van cloud, zoals SAAS, PAAS en IAAS en verschillende modellen zoals een privé cloud of hybride cloud. Voor meer informatie verwijzen wij naar de publicatie van de NIST.

Je kunt als organisatie er voor kiezen om de gehele IT-omgeving uit te besteden. Dit neemt echter niet weg dat je als management van de gebruikersorganisatie nog steeds eindverantwoordelijk bent voor de gehele dienstverlening en in het verlengstuk dus ook de diensten die de leverancier verricht.

Risico’s rond de cloud

Een risico rond het gebruiken van een cloud-oplossing, wat de DNB ook heeft ondervonden, is de ongeautoriseerde toegang van personen of externe hackers tot uw systemen.

Uit het onderzoek van Tariq et al. (2017) blijken er 59 risico’s te bestaan rond cloudtoepassingen.
Belangrijke risico’s die worden genoemd zijn:

• Verlies van governance: Door het uitbesteden verlies je grip op de beheersing en ben je bijvoorbeeld kwetsbaar vanwege het eigendom van de cloudleverancier.
• Aanvallen bij de cloudleverancier of bij zogenoemde subservice leveranciers: Door het uitbesteden van IT-diensten naar één centrale leverancier kan dit ook leiden tot kwetsbaarheden als een single point of failure of daarmee een waardevolle prooi voor externe hackers. Voorbeelden zijn bijvoorbeeld de ransomware aanvallen bij Kaseya en SolarWinds.
• Niet-naleving van klant instructies met betrekking tot gegevensverwerking: Dit houdt bijvoorbeeld verband met waar fysiek de data wordt opgeslagen, en de servers draaien. Het kan zijn dat de cloudleverancier gebruik maakt van datacenters van Google, Microsoft of Amazon waarbij het niet duidelijk is welk fysieke datacenter(s) nu worden gebruikt.
• ongeautoriseerde toegang: medewerkers van de cloudleverancier hebben toegang tot de systemen voor noodzakelijk onderhoud, maar het risico bestaat dat deze toegang niet is geautoriseerd, zoals bij de DNB het geval was.
• Kwaadaardige insider of medewerkers: Deze houdt verband met bovenstaand risico, waarbij een kwaadwillende die bijvoorbeeld werkzaam is bij de cloudleverancier tot risico’s leiden voor uw organisatie.
• Dubbelzinnige beveiliging verantwoordelijkheden: De uitbesteding van de IT-dienstverlening kan leiden tot onduidelijkheden omtrent wie welke verantwoordelijkheid draagt als het gaat om informatiebeveiliging. Zoals eerder genoemd in dit artikel is en blijf je als gebruikersorganisatie eindverantwoordelijk.
• Verlies van intellectueel eigendom, privacy van klanten en diefstal van data.
• Lock-in risico’s: Dit risico houdt verband met continuiteitsrisico’s, door bijvoorbeeld het stoppen van de IT-dienstverlening van de cloudleverancier.

Zienswijze van Eshuis

Wij merken op dat iedere situatie en organisatie uniek is en dat risico’s hierdoor apart moeten worden afgewogen. Wel is het van belang dat uitbesteding naar een cloudleverancier geen verschuiving betekent van verantwoordelijkheid. Het is van belang als organisatie om zelf een adequaat informatiebeveiligingsbeleid te hebben, waarbij de beheersing van de cloudleverancier onderdeel hiervan is.

Wij bevelen dan ook aan om jaarlijks beschikbare ISAE 3000/3402 of SOC 2 rapportages van deze leveranciers en onderliggende subleveranciers te beoordelen. Mogelijke tekortkomingen bij deze leveranciers kunnen dan tijdig worden gesignaleerd en vervolgens acties worden opgezet, zodat potentiële risico’s worden beperkt. Mocht u behoefte hebben aan hulp of tools hierbij, neem dan contact met ons op.