Wie is verantwoordelijk voor data in de cloud?

Voor data in de cloud geldt een gedeelde verantwoordelijkheid: de cloudprovider beveiligt de infrastructuur, maar jij bent als klant verantwoordelijk voor de beveiliging van je eigen data, gebruikersbeheer en applicatieconfiguratie. Dit onderscheid is cruciaal voor de databeveiliging van je bedrijf en wordt in de praktijk vaak onderschat. De vragen hieronder geven je per onderwerp een helder antwoord.

Wat is het gedeelde verantwoordelijkheidsmodel in de cloud?

Het gedeelde verantwoordelijkheidsmodel is een afspraak tussen een cloudprovider en zijn klanten. De provider draagt zorg voor de veiligheid van de cloud: de fysieke datacenters, het netwerk en de basisinfrastructuur. Jij als klant bent verantwoordelijk voor de veiligheid in de cloud: wat je opslaat, wie toegang heeft en hoe je systemen zijn ingericht.

Dit model geldt bij alle grote cloudplatformen, zoals Microsoft Azure, Google Cloud en AWS. Het klinkt logisch, maar in de praktijk ontstaan hier de meeste misverstanden. Bedrijven gaan ervan uit dat de provider “het wel regelt”, terwijl ze zelf de sleutel in handen houden van hun eigen gegevens. De grens tussen ieders verantwoordelijkheid verschuift bovendien afhankelijk van het type dienst: bij software-as-a-service (SaaS) regelt de provider meer dan bij infrastructure-as-a-service (IaaS), maar jouw verantwoordelijkheid voor data verdwijnt nooit volledig.

Welke data valt onder jouw verantwoordelijkheid als klant?

Als klant ben je altijd verantwoordelijk voor de data die je zelf in de cloud plaatst, de toegangsrechten die je verleent en de manier waarop je applicaties zijn geconfigureerd. Kort gezegd: de provider levert het gebouw, maar jij bepaalt wie er naar binnen mag en wat er in de kluizen ligt.

In de praktijk gaat het om de volgende zaken:

Welke medewerkers toegang hebben tot welke systemen en data
Hoe gevoelige gegevens zijn versleuteld en opgeslagen
Of back-ups aanwezig zijn en regelmatig worden getest
Of instellingen en rechten correct zijn geconfigureerd

Een verkeerd geconfigureerde opslagbucket, een medewerker met te ruime rechten of een vergeten testomgeving met echte klantdata: dit zijn geen fouten van de provider. Het zijn jouw risico’s. En ze komen vaker voor dan je denkt, ook bij bedrijven die ervan overtuigd zijn dat alles goed is geregeld.

Wat is de cloudprovider wél en niet aansprakelijk voor?

De cloudprovider is aansprakelijk voor de beschikbaarheid en integriteit van de onderliggende infrastructuur: de servers, het netwerk, de fysieke beveiliging van datacenters en de basisbeveiliging van het platform zelf. Voor datalekken die ontstaan door jouw eigen configuratiefouten of toegangsbeheer is de provider niet aansprakelijk.

Dit is geen kleine-lettertjeskwestie. Het staat expliciet in de servicevoorwaarden van alle grote cloudproviders. Als jouw data uitlekt omdat een medewerker te ruime rechten had, of omdat een cloudopslag per ongeluk openbaar stond, dan is dat jouw verantwoordelijkheid, ook al draaide alles op de servers van een grote provider. De provider levert de infrastructuur met een hoge mate van betrouwbaarheid, maar hij kan niet bepalen wat jij met die infrastructuur doet.

Dat betekent ook: bij een incident kun je niet terugvallen op de provider voor schadevergoeding als de oorzaak aan jouw kant lag. En dat is precies waarom inzicht in je eigen cloudconfiguratie zo belangrijk is voor de databeveiliging van je bedrijf.

Hoe zit het met de AVG en data in de cloud?

Onder de AVG ben jij als organisatie de verwerkingsverantwoordelijke voor de persoonsgegevens die je opslaat, ook als die gegevens in de cloud staan. De cloudprovider is de verwerker. Dat betekent dat jij moet kunnen aantonen dat de verwerking rechtmatig, transparant en veilig plaatsvindt, ongeacht waar de data fysiek staat.

In de praktijk heeft dit directe gevolgen. Je bent verplicht een verwerkersovereenkomst te sluiten met je cloudprovider. Grote providers bieden deze standaard aan, maar jij bent verantwoordelijk voor het controleren van de inhoud en het bewaken van de naleving. Staat jouw data op servers buiten de Europese Economische Ruimte? Dan gelden aanvullende eisen voor de doorgifte van persoonsgegevens.

Een datalek dat ontstaat door een misconfiguratie aan jouw kant moet je melden bij de Autoriteit Persoonsgegevens, ook als de data technisch gezien op de servers van een provider stond. De AVG kijkt naar wie de gegevens verwerkt en beheert, niet naar wie de servers bezit.

Hoe weet je of jouw cloudconfiguratie veilig is?

De enige manier om zeker te weten of jouw cloudconfiguratie veilig is, is door die systematisch te laten beoordelen. Een interne IT-beheerder kan systemen draaiende houden, maar een onafhankelijke beoordeling van configuraties, toegangsrechten en beveiligingsinstellingen vereist een andere blik en andere expertise.

Concrete stappen die je kunt zetten:

Breng in kaart welke cloudplatformen en -diensten je gebruikt en welke data daar staat
Controleer wie toegang heeft en of dat nog klopt met de huidige rollen in je organisatie
Laat een IT-audit uitvoeren door een onafhankelijke partij die kijkt naar configuratie, logging en toegangsbeheer
Stel vast of je cloudgebruik voldoet aan de AVG en eventueel NIS2

Veel bedrijven weten pas wat er mis is als er iets misgaat. Een proactieve beoordeling geeft je concrete inzichten en voorkomt dat je verrast wordt door een incident of een vraag van je accountant die je niet kunt beantwoorden.

Hoe Auren u helpt uw clouddata te beveiligen

Wij zien dagelijks hoe bedrijven in goed vertrouwen de cloud gebruiken, zonder te weten waar de kwetsbaarheden zitten. Auren helpt je dat inzicht te krijgen, zonder dat je verdrinkt in technisch jargon of eindeloze rapportages.

Wat we voor je doen:

Een onafhankelijke IT-audit van je cloudconfiguratie, uitgevoerd door gecertificeerde RE-auditors
Beoordeling van toegangsrechten, beveiligingsinstellingen en AVG-compliance
Concrete aanbevelingen die je direct kunt omzetten in actie
Ondersteuning bij assurance-trajecten zoals ISAE 3402 of SOC-rapportages, als klanten of toezichthouders daarom vragen

Wil je weten hoe jouw cloudbeveiliging er werkelijk voorstaat? Neem contact op met Auren IT Audit & Services en ontdek waar je staat, en wat je kunt verbeteren.