Uw medewerkers openen hun laptop, willen inloggen op SharePoint en zien een foutmelding. De Microsoft-tenant is niet bereikbaar. Storing ergens in een datacenter in Dublin of Amsterdam. Of misschien iets groters.
Uw IT-afdeling belt de helpdesk. Die verwijst naar de statuspagina. Status: "investigating". Ondertussen staat de organisatie stil.
Dan de geruststellende gedachte: we hebben toch backups?
Ja. Maar die helpen u op dit moment niets.
Veel organisaties denken bij data-soevereiniteit aan privacy. Wie kan er bij mijn data? Voldoen we aan de AVG? Dat zijn terechte vragen. Maar er is een tweede vraag die minstens zo belangrijk is en veel minder vaak wordt gesteld: kan ik er zelf bij als het erop aankomt?
Soevereiniteit betekent controle. En controle over data betekent niet alleen dat anderen er niet bij kunnen. Het betekent ook dat u er zelf altijd bij kunt.
Microsoft 365 is een uitstekend platform. Ik zeg dit als iemand die bij het Trimbos-instituut een volledige cloudtransformatie heeft begeleid, inclusief SharePoint Online, Purview en moderne identity-oplossingen. Het werkt. Het is veilig. Het maakt samenwerken met externen eenvoudig.
Maar er zit een blinde vlek in.
Wanneer u documenten opslaat in SharePoint en Microsoft Purview gebruikt voor dataclassificatie en encryptie, worden uw bestanden versleuteld met sleutels die in de Microsoft-omgeving beheerd worden. Dat is precies wat de beveiliging sterk maakt. Maar het betekent ook dat u zonder die omgeving niet bij uw eigen bestanden kunt.
Uw backup tape bevat versleutelde bestanden. De sleutel ligt bij Microsoft. Als de tenant niet bereikbaar is, heeft u een backup van data waar u niet bij kunt. Dat is geen verwijt aan Microsoft. Het is een architectuurkeuze met consequenties die lang niet altijd bewust worden gemaakt.
Tot hier klinkt dit als een technisch verhaal over storingen. Maar er is een bredere context die directies zich bewust moeten zijn.
De CLOUD Act is Amerikaanse wetgeving die Amerikaanse cloudbedrijven verplicht om data af te staan aan Amerikaanse autoriteiten, ook als die data fysiek in Europa staat. Microsoft, Google en Amazon zijn Amerikaanse bedrijven. Juridisch gezien vallen uw data in hun cloud onder Amerikaans recht, ongeacht of de servers in Amsterdam staan.
In normale omstandigheden merk u daar niets van. Maar de wereld verandert. Geopolitieke spanningen, sancties, handelspolitiek. De afgelopen jaren hebben laten zien dat wat ondenkbaar leek snel werkelijkheid kan worden.
Ik zeg niet dat u morgen van Microsoft af moet. Ik zeg wel dat u als directie bewust moet kiezen, en niet achteraf verrast wilt worden.
Gelukkig zijn er concrete stappen die u kunt zetten zonder uw hele infrastructuur op de schop te gooien.
Breng eerst in kaart welke data echt bedrijfskritisch is. Niet alles is even gevoelig. Een goede dataclassificatie helpt u prioriteiten te stellen.
Overweeg voor uw meest kritische data sleutelbeheer in eigen hand te houden. Microsoft biedt dit aan via Customer Key en Double Key Encryption. Dat vraagt wat extra inspanning, maar geeft u werkelijke controle.
Test uw continuïteitsscenario ook zonder Microsoft. Wat doet uw organisatie als de tenant 48 uur niet bereikbaar is? De meeste organisaties hebben die vraag nog nooit serieus gesteld.
Voer het gesprek op bestuursniveau. Data-soevereiniteit is geen IT-vraagstuk. Het is een strategische keuze die thuishoort bij de directietafel.
Dit is precies het type vraagstuk waar ik als Trusted Advisor in beteken. Niet door te adviseren alles anders te doen, maar door u te helpen bewuste keuzes te maken. Welke data is echt kritisch? Welke afhankelijkheden accepteert u bewust? Waar wilt u meer controle?
Dat begint met een goed gesprek. Geen PowerPoint, geen verkooppraatje. Gewoon de juiste vragen stellen en samen kijken wat bij uw organisatie past.
Benieuwd wat data-soevereiniteit voor uw organisatie betekent?
Laten we kennismaken