Gastexpert: Blijf van mijn data!

Er zijn twee scenario’s: je eigen financiële software laten draaien in het datacenter van een hosting provider of een online boekhoudpakket gebruiken dat je als Software-as-a-Service (SaaS) afneemt. In het eerste geval kun je ervoor kiezen jouw data dan toch in eigen huis te houden en alleen de software en de computerverwerking buiten de deur te plaatsen. Nadeel is dan wel dat je zelf verantwoordelijk blijft voor het maken van back-ups en het beheren van de opslagsystemen. In feite schiet je hier weinig mee op, dus je zult ook jouw data onder willen brengen om volledig te profiteren van de diensten van de hosting provider. Die zorgt ervoor dat de systemen up-to-date blijven, dat er back-ups worden gemaakt en dat alles veilig blijft draaien. En dat is nu eenmaal goedkoper en beter dan zelf doen.

Als je een online boekhoudpakket gebruikt, heb je sowieso geen keuze over de plaats van jouw data. Die verblijven in de datacenters van de SaaS-leverancier. Je profiteert er wel van dat de leverancier verantwoordelijk is voor de software. Je hoeft je niet meer druk te maken over update, upgrades, patches enzovoorts. Dat wordt allemaal keurig voor jou geregeld.

So far so good. Maar in beide scenario’s bevinden jouw data zich in een black box, genaamd het datacentrum. Daar werken mensen, er komen servicespecialisten van buiten om dingen te doen, misschien lopen er andere klanten van de provider rond… En wat gebeurt er eigenlijk met de back-ups van de gegevens?

In zee gaan met een leverancier is natuurlijk gebaseerd op vertrouwen, maar een beetje controle kan geen kwaad. ISO-certificering zegt al veel, maar neem ook het auditrapport eens goed door. Wat is er allemaal ‘in scope’ binnen de certificering van de leverancier? En misschien nog belangrijker… wat niet? Je mag gerust doorvragen, een beetje hosting provider zal je graag uitleggen wat de zogeheten Goverance is, hoe het digitale en fysieke toegangsbeleid is geregeld, hoe dat wordt gehandhaafd. Vraag gerust een rondleiding in het datacenter aan. Daarmee krijg je een beeld van de omvang van de omgeving, netheid, professionaliteit, etcetera. Als de provider moeilijk doet of zich beroept op ‘beveiligingspolicies’ om het verzoek af te wijzen, zou ik een andere nemen.

En bedenk: ook al heb je jouw gegevens buiten de deur gedaan, voor de wet blijf je verantwoordelijk voor wat ermee gebeurt. Het is dus zaak goed naar de beoogde provider te kijken en niet te vertrouwen op de blauwe ogen van zijn salesmensen.