Oké, waar hebben we het over?
Eerder schreef ik al een blog tekst over digitale soevereiniteit. Hierin onderzocht ik wat goede definities zijn om te hanteren. De Europese Commissie heeft daar een prima startpunt voor. Dit “Cloud Sovereignty Framework” is zeer bruikbaar. De Europese comissie toont hier leiderschap naar mijn idee. De kern is dat digitale soevereiniteit veel meer is dan alleen datasoevereiniteit. Zoals Gartner aangeeft, gaat het om:
- Technologische Sovereignty,
- datasoevereiniteit,
- Operationele Sovereignty
In de meeste organisaties wordt overigens alleen gesproken over datasoevereiniteit. Dat bleek tijdens twee rondetafelgesprekken die ik mocht leiden. Daarmee wordt voorbijgegaan aan het moeilijkste deel, namelijk de afhankelijkheid van US tech, zowel hardware als software. Datasoevereiniteit verdient een eigen blog, denk ik.
Wat me overigens ook verbaast, is dat dit blijkbaar gezien wordt als drie ongerelateerde onderwerpen. Volgens mij kan je geen datasoevereiniteit behalen als je technologisch afhankelijk bent. Evenzogoed is operationele soevereiniteit een illusie als je datasoevereiniteit niet op orde hebt. Ik vermoed steeds meer dat alles draait om de technologische soevereiniteit, de afhankelijkheid van US tech. En ja, dat gaat zowel over hardware als software.
Wat leerde ik tijdens de rondetafelgesprekken? Een telecomprovider uit een noordelijk land gaf aan dat ze bij een invasie ook hun data terug uit een cloud willen kunnen krijgen. Dit aspect had ik eerder niet overwogen. De vraag die meteen bij me opkwam: als je je data terug hebt, hoe weet je dan dat het uit de cloud is verwijderd? Kan je dat eigenlijk wel bepalen?
Risicobeperking
Vanuit een architectuur standpunt bekeken gaat deze gehele discussie over risicomitigatie. Dat deden we altijd al, maar er is een geopolitiek risico bij gekomen. Namelijk, de afhankelijkheid van Amerikaanse tech. Nederland is volledig afhankelijk van Microsoft Office bijvoorbeeld. Ik kan geen opdracht doen zonder hiermee in aanraking te komen. Probeer het als professional maar eens te vermijden, succes. Overigens komen de alternatieven ook allemaal uit de VS. Zelf gebruik ik Apple hardware, Google, Microsoft en AWS. Deze risicospreiding heeft dan ook een zwak punt, het is allemaal US tech.
Uitzondering hierop is mijn oude MacBook met Ubuntu. Welliswaar is de hardware op Amerikaanse tech gebaseerd, maar de software niet. Ook mijn Proton-account is redelijk vrij van Amerikaanse tech. Maar van mijn werkgever mag ik het allemaal niet gebruiken. Het is niet veilig en niet managed. Dit in tegenstelling tot mijn Windows-laptop die volledig dichtgetimmerd is. Deze is wel als veilig beschouwd, ookal zijn de keys van Bitlocker inmiddels aan de FBI overhandigd.
Maar zoals gezegd, risicomitigatie dus. Vanuit architectuurstandpunt bezien vraag ik me dan af, welk geopolitiek risico wil je precies mitigeren? We zijn altijd wel ergens afhankelijk, maar ben je vrij om de afhankelijkheid te kiezen? Of accepteer je een afhankelijkheid omdat je niet door de pijn wil om daarvan af te raken? Ik heb het weleens vergeleken met drugs: je moet cold turkey gaan om ervan af te komen. Maar dan heb je wel je vrijheid herwonnen.
Hardware- en softwareafhankelijkheden
Mij lijkt het erg lastig om alternatieven voor US based hardware te vinden. Ze zijn er wel, o.a. mijn werkgever komt met eigen computerchips. De afhankelijkheid van US based hardware heeft daarnaast overigens ook een pikant detail. De machines om die chips te maken komen uit Nederland. Anyways, ik zie dit toch niet zo snel veranderen.
Op softwarevlak is meer eer te behalen. Er zijn veel Open Source alternatieven te vinden voor US based software. Ik ga geen lijst van alternatieven maken, die is er al. De alternatieven zijn misschien niet zo mooi en vereisen gewenning. Functioneel is het wel. Je blijft hiermee baas over de functionaliteit en de beschikbaarheid daarvan. Operational Sovereignty dus. En met opensourcesoftware komen ook open standaarden. Deze open standaarden maken dat je baas blijft over eigen data. Een belangrijk deel van datasoevereiniteit dus. Naar mijn idee kan je met opensourcesoftware twee vliegen in één klap slaan.
Wel is er voldoende kennis en ervaring nodig om opensourcesoftware succesvol te implementeren. Je wordt niet bij de hand genomen, er moet veel zelf uitgezocht worden. Het raakt hiermee aan de capabilities van de IT organisatie. Ik schreef er eerder over, maar ook dit onderwerp verdient een eigen blog tekst.
En hier hebben we het dus niet over
Opnieuw zien we dus het nut van opensourcesoftware. Daar wordt niet of nauwelijks over gesproken, behalve opnieuw bij de Europese Commissie. Zij wil commerciële opensourcesoftware stimuleren. Verschillende organisaties werken aan alternatieven voor hun US based software. Frankrijk kiest bijvoorbeeld voor een alternatief voor Zoom. En opnieuw gaat het dus niet om kosten. Bedrijven zijn prima bereid te betalen voor software. Het gaat om de vrijheid om zelf keuzes te kunnen maken.
Voor mij is het een “Trip down memory lane”. Ik was destijds betrokken bij het Antonius Open project. Hier probeerde het St. Antonius ziekenhuis in Utrecht / Nieuwegein opensourcesoftware te introduceren in zijn IT-landschap. We hebben veel weerstand ondervonden, maar technisch kon het allemaal wel. Inmiddels zijn we jaren verder en misschien is onze motivatie nu sterker?
Hoe SUE cloudomgevingen beveiligt, lees je op de pagina Cloud Security. In de gids cloud security staat hoe je de cloud veilig inricht en veilig houdt.
