Cloudopslag beveiligen: wie is waarvoor verantwoordelijk?

“Het staat in de cloud, dus het is veilig.” Die zin hoor je vaak, en hij klopt half. Grote cloudaanbieders hebben betere beveiliging dan vrijwel elk MKB-bedrijf zelf kan organiseren: datacenters met bewaking, redundante systemen, teams die continu op dreigingen letten.

Maar dat gaat over hún deel. De aanbieder zorgt dat het platform veilig is. Wat er in jouw omgeving gebeurt — wie toegang heeft, welke mappen gedeeld zijn, of er MFA aanstaat, hoe lang verwijderde bestanden terug te halen zijn — is jouw verantwoordelijkheid. En daar gaat het in de praktijk mis.

Cloudopslag beveiligen is dus geen kwestie van de juiste aanbieder kiezen, maar van je eigen omgeving goed afstellen. Dit artikel gaat over die verdeling: wat de leverancier doet, wat jij moet doen, en welke instellingen het verschil maken. Zoek je hulp bij het kíezen van een aanbieder, lees dan eerst cloudopslag kiezen voor het MKB.

Het gedeelde verantwoordelijkheidsmodel

Elke serieuze cloudaanbieder werkt met een gedeeld verantwoordelijkheidsmodel. Kort samengevat: de beveiliging ván de cloud ligt bij de aanbieder, de beveiliging ín de cloud ligt bij jou.

• De aanbieder is verantwoordelijk voor de cloud. Fysieke beveiliging, netwerk, servers, versleuteling van opslag, beschikbaarheid, patches op het platform zelf.
• Jij bent verantwoordelijk in de cloud. Accounts en wachtwoorden, rechten en deellinks, apparaten waarmee wordt ingelogd, classificatie van gegevens, bewaartermijnen en herstelbaarheid.

Vrijwel alle incidenten met cloudopslag zitten in de tweede categorie. Niet omdat het datacenter is gehackt, maar omdat een deellink jarenlang open stond, iemand zijn wachtwoord hergebruikte, of een vertrokken medewerker nog toegang had. Zie ook cloudmisconfiguratie voorkomen.

Wat de aanbieder voor je regelt

Versleuteling onderweg en in rust

Fatsoenlijke diensten versleutelen verkeer tussen jouw apparaat en de server, en bewaren bestanden versleuteld op schijf. Dat beschermt tegen afluisteren en tegen iemand die fysiek een schijf uit een datacenter zou meenemen. Het beschermt níet tegen iemand die met geldige inloggegevens binnenkomt — voor die persoon is alles gewoon leesbaar. Meer over de techniek in encryptiemethodes uitgelegd.

Beschikbaarheid en redundantie

Je bestanden staan op meerdere locaties, zodat één defecte schijf of één storing niets kost. Let op: redundantie is geen back-up. Verwijder je een bestand, dan verdwijnt het netjes op alle kopieën tegelijk.

Certificeringen en datalocatie

Certificeringen als ISO 27001 en SOC 2 zeggen iets over hoe de leverancier zijn processen heeft ingericht. Kijk daarnaast in welk land je gegevens staan en of er een verwerkersovereenkomst is — dat is voor de AVG geen detail maar een verplichting.

Wat jij zelf moet regelen

Hier begint het werk dat geen enkele dienst voor je overneemt. Welke cloudopslag je bedrijf ook gebruikt — OneDrive, Google Drive, Dropbox of een Nederlandse aanbieder — de knoppen die hieronder staan zitten in elke omgeving, alleen op een andere plek. Cloud beveiliging is op dit niveau vooral een kwestie van zes instellingen nalopen en ze daarna nálopen.

Toegang: het belangrijkste slot

Cloudopslag is per definitie vanaf het hele internet bereikbaar. Daarmee is het account de beveiliging. Zet multifactorauthenticatie aan voor iedereen, zonder uitzondering voor beheerders — zie welke MFA is het veiligst. Met voorwaardelijke toegang kun je daarnaast eisen dat aanmelden alleen lukt vanaf beheerde apparaten of verwachte locaties.

Rechten: wie kan bij wat?

De meeste omgevingen groeien organisch en niemand ruimt op. Werk daarom met groepen in plaats van met individuele rechten, geef standaard leesrechten en alleen bewerkrechten waar nodig, en loop twee keer per jaar door de mappenstructuur. Praktische aanpak: gedeelde cloudopslag organiseren.

Deellinks: de stilste risicofactor

Een link met “iedereen met de link kan bewerken” blijft werken tot iemand hem intrekt. Zet als standaard dat links alleen binnen de organisatie werken, geef externe links een vervaldatum, en controleer periodiek welke links openstaan. Meer hierover in bestanden veilig opslaan en versturen.

Herstelbaarheid: cloudopslag is geen back-up

Dit is de hardnekkigste misvatting. Synchronisatie kopieert ook fouten: versleutelt ransomware bestanden op een laptop, dan synchroniseren die versleutelde versies vrolijk mee. Prullenbak en versiegeschiedenis helpen een eind, maar hebben een beperkte bewaartermijn en dekken niet elk scenario.

Regel dus een aparte back-up van je clouddata, met een langere bewaartermijn en buiten dezelfde beheeromgeving. Zie veilige back-ups: best practices en SaaS-ransomware. Hoe versiegeschiedenis en prullenbak precies werken, staat in waar gaan verwijderde bestanden naartoe.

Zicht op wat er gebeurt

Zet auditlogboeken aan en richt meldingen in op afwijkend gedrag: massaal downloaden, veel bestanden die in korte tijd hernoemd worden, aanmeldingen vanuit onverwachte landen. Zie event logging: best practices.

Opruimen en bewaartermijnen

Wat je niet meer nodig hebt, hoef je ook niet te beveiligen. Spreek bewaartermijnen af per soort document en ruim structureel op — data lifecycle management helpt daarbij. Vergeet bij vertrek van medewerkers niet hun persoonlijke cloudmap over te dragen; zie de checklist digitale offboarding.

Hoe dat er in de praktijk uitziet

Een architectenbureau werkt volledig in de cloud. Alles staat gedeeld, iedereen kan overal bij, want dat werkt lekker snel. Tot een projectmedewerker per ongeluk een hoofdmap met vijf jaar aan tekeningen versleept naar een submap van een ander project. Niemand merkt het meteen.

Drie weken later blijkt een deel van de bestanden onvindbaar en zijn de oudste versies uit de geschiedenis verlopen. Wat het herstel redde was niet de cloudleverancier maar een aparte back-up, die het bureau een jaar eerder had ingericht.

Wat er daarna veranderde: mappen op projectniveau met leesrechten voor wie niet meebouwt, externe links met vervaldatum, meldingen op grote verplaatsingen en verwijderingen, en één keer per half jaar een korte controle van rechten en openstaande links. Het werkt nog steeds snel — alleen niet meer per ongeluk voor iedereen.

Zo pak je het aan

1. Zet MFA aan voor alle gebruikers. Begin bij de beheerders.
2. Controleer openstaande deellinks en stel een standaard vervaldatum in voor externe links.
3. Loop de mappenstructuur door. Wie heeft ergens toegang toe die dat niet nodig heeft?
4. Regel een echte back-up van je clouddata met een langere bewaartermijn dan de prullenbak.
5. Zet logging en meldingen aan op massaal downloaden en verwijderen.
6. Leg bewaartermijnen vast en ruim structureel op.
7. Test een herstel. Een back-up die nooit is teruggezet, is een aanname.

Veelgestelde vragen

Is de cloud veiliger dan een server op kantoor?

Het platform meestal wel: continu onderhoud, redundantie en beveiliging die je zelf niet zo kunt organiseren. Maar de toegang is van overal bereikbaar, dus accountbeveiliging en rechtenbeheer wegen zwaarder. De cloud verplaatst het risico eerder dan dat het verdwijnt.

Heb ik echt een aparte back-up nodig als alles in de cloud staat?

Ja. Synchronisatie beschermt niet tegen verwijderen, overschrijven of ransomware. Prullenbak en versiegeschiedenis hebben een beperkte houdbaarheid. Een aparte back-up met een langere bewaartermijn is voor de meeste bedrijven de goedkoopste verzekering die er is.

Wat is zero-knowledge-versleuteling en heb ik dat nodig?

Bij zero-knowledge heeft alleen jij de sleutel; de aanbieder kan je bestanden niet lezen. Dat klinkt aantrekkelijk, maar het heeft een prijs: raak je de sleutel kwijt, dan is je data weg, en samenwerkfuncties zoals online bewerken en zoeken werken vaak beperkt. Voor de meeste MKB-bedrijven is standaardversleuteling met goed rechtenbeheer praktischer; voor specifieke gevoelige dossiers kun je die apart versleutelen.

Welke maatregelen zijn het minimum voor cloudopslag?

Vier dingen: multifactorauthenticatie op alle accounts, rechten per groep in plaats van per persoon, een aparte back-up van je gegevens, en monitoring met meldingen op afwijkend gedrag. Die vier houden onbevoegde toegang tegen en zorgen dat je het merkt als er tóch iets misgaat. Grotere omgevingen — bijvoorbeeld bedrijven die naast opslag ook servers of diensten in Microsoft Azure draaien — breiden dat uit met voorwaardelijke toegang en centrale logging, maar de basis blijft dezelfde.

Hoe vaak moet ik dit nalopen?

Twee keer per jaar een controle van rechten, deellinks en back-uptests is voor de meeste organisaties genoeg, plus altijd bij in- en uitdiensttreding. Neem het mee in je jaarlijkse IT-review.

Wil je weten of jullie cloudomgeving goed staat afgesteld? We controleren rechten, deellinks, MFA en back-ups, en zetten recht wat scheef staat. Bel 030-7115791 of mail info@okayict.nl.