Hoe veilig is jouw data in de cloud?

Steeds meer organisaties kiezen voor werken in de cloud. Dit heeft vele voordelen, zoals nagenoeg onbeperkte opslag, minder hardware onderhoud, werken vanaf iedere locatie en ieder apparaat, zolang de gebruiker maar internet heeft en zich kan identificeren. De cloud helpt grote organisaties om internationaal te opereren en het helpt kleine organisaties om te schalen.

Organisaties die overwegen om hun data naar de cloud te migreren vragen zich af of anderen dan ook bij hun data kunnen komen. Heeft Microsoft inzicht in mijn data? Wat als er toegang nodig is om problemen in mijn omgeving op te lossen? Kunnen opsporingsinstanties bij mijn data?

Dit blog beschrijft het proces dat organisaties kunnen inzetten om zelf tijdelijk toegang aan Microsoft engineers te verstrekken om bij hun data te komen. Organisaties doen dit bijvoorbeeld om een probleem op te lossen waar ze zelf niet uitkomen. En het beschrijft het proces van informatieverzoeken van opsporingsdiensten om de data van een specifieke (criminele) organisatie op te vragen.

Microsoft Engineers

Microsoft Engineers hebben geen standaard autorisatie om in de in de omgeving van klanten te komen. Er zijn echter situaties denkbaar, bijvoorbeeld wanneer een probleem zich voordoet, dat klanten Microsoft vragen om met hen mee te kijken om te helpen om het probleem op te lossen.

Als een klant een Microsoft Engineer vraagt om in hun klantomgeving te werken, dan kan dat enkel via een ge-audit proces en met toestemming van de klant zelf. De Engineer moet eerst toestemming vragen aan de klant, toestemming moet geaccordeerd worden, dan volgt authenticatie en vervolgens wordt de specifieke taak voor een bepaalde tijdsduur mogelijk gemaakt. Vaak is dit overigens niet eens een persoon, maar een script dat iets doet. Stel dat een Engineer hier misbruik van zou willen maken dan kan dat technisch niet vanwege de vele controles die in het proces zijn ingebouwd, bijvoorbeeld vanwege de toestemming van de klant en vanwege de audit. Meer weten? Zie ook Klanten-Lockbox-aanvragen – Microsoft Purview (compliance) | Microsoft Learn

Informatieverzoeken van opsporingsdiensten

Overheden spelen een kritieke rol in het borgen van de publieke veiligheid en vragen informatie op wanneer de publieke veiligheid bedreigd wordt. Nog ver voordat de moderne cloud technologie bestond, hadden overheden het recht om toegang te verkrijgen tot persoonlijke informatie van burgers en bedrijven. En dit recht blijft bestaan en reikt zich ook uit naar de informatie in de cloud. De opsporingsdiensten van overheden kunnen een beroep doen op dat recht en kunnen Microsoft verzoeken om informatie van klanten uit te leveren. Microsoft volgt altijd hetzelfde proces om deze informatieverzoeken af te handelen en publiceert hier 2 keer per jaar een rapport over.

De eerste stap, zodra Microsoft een informatieverzoek van een opsporingsdienst ontvangt is om deze standaard af te wijzen en de opsporingsdienst naar de klant door te verwijzen. Als het verzoek terugkomt dan wordt dit door een team van juristen in behandeling genomen. Er wordt gekeken of de aanvraag specifiek genoeg is, of er geen andere manier is om de informatie uit te leveren, of de aanvraag is voorzien van een bijbehorend gerechtelijk bevel enzovoort. Er worden veel meer informatieverzoeken in behandeling genomen welke betrekking hebben op consumenten, dan informatieverzoeken welke betrekking hebben op bedrijven.

Het meest recente rapport (januari-juni 2022) over de informatieverzoeken op consumentendiensten toont dat Microsoft in die periode wereldwijd 26.365 informatieverzoeken heeft ontvangen. Een kwart hiervan is overigens rechtmatig door Microsoft afgewezen. De opsporingsdiensten van het VK, Duitsland en Frankrijk staan net als die van de VS in de top 10 landen die bij Microsoft informatieverzoeken indienen. Nederland staat op nummer 17. Deze informatieverzoeken hebben betrekking op afnemers van consumentendiensten. Dat zijn afnemers van bijvoorbeeld diensten als Hotmail, Bing.com, XBOX en MSN. Meer details over informatieverzoeken van zakelijke klanten worden 2 keer per jaar in een persbericht gedeeld. Zie ook meest recente persbericht Microsoft Corporate Blogs, Author at Microsoft On the Issues. Deze informatie is minder gedetailleerd dan de informatie over consumenten. Maar de aantallen zijn ook veel lager en dat maakt het lastig om gedetailleerder te rapporteren.

In de eerste helft van 2022 heeft Microsoft in totaal, wereldwijd 142 informatieverzoeken ontvangen die betrekking hebben op zakelijke klanten. Dat is heel wat anders dan de 26.365 verzoeken van consumenten data, in diezelfde periode. In 95 gevallen heeft Microsoft het verzoek afgewezen en geen informatie uitgeleverd. In de overige 47 gevallen is gerechtelijk afgedwongen – met een gerechtelijk bevel of een dagvaarding en in het belang van de publieke veiligheid – dat Microsoft niet-inhoudelijke data (in 31 gevallen) en inhoudelijke data (in 16 gevallen) aan opsporingsdiensten heeft uitgeleverd.

Niet-inhoudelijke data betreft basis inschrijfgegevens zoals e-mailadres, NAW-gegevens en IP-gegevens ten tijde van de registratie. Voorbeelden van andere niet-inhoudelijke data zijn IP-historie, creditcard gegevens en betaalgegevens.

Inhoudelijke data betreft informatie die door de klant wordt gecreëerd, ontvangen, verstuurd of opgeslagen binnen Microsoft-diensten. Te denken valt aan e-mailcommunicatie, foto’s en documenten.

Wil je meer weten over hoe Microsoft met klantdata omgaat. Zie ook Integriteit van cloudgegevens op z’n best | Microsoft Vertrouwenscentrum.

Is het verstandig om mijn data naar de cloud te migreren?

Voor verreweg de meeste organisatie geldt dat ze hun data met een gerust hart naar de cloud kunnen migreren. De voordelen zijn ontelbaar en blijven groeien. Organisaties welke illegale activiteiten ontplooien zijn het doelwit van opsporingsdiensten. Wanneer Microsoft een verzoek ontvangt om data van deze organisaties uit te leveren en dit verzoek voldoet aan de bovengenoemde criteria, dan zal Microsoft verplicht zijn om hieraan mee te werken en data uit te leveren.

Organisaties die de stap naar de cloud hebben gezet, profiteren van alle voordelen die het werken in de cloud met zich meebrengt. Daarnaast opent de cloud de deur naar Compliance E5 mogelijkheden. Dat zijn technologieën als dataclassificatie, labeling, voorkomen van datalekken, datalevenscyclus management, insider risk management, eDiscovery en veel meer. Deze technologieën helpen organisaties om controle te houden over hun eigen data en om compliant te zijn aan de relevante wet- en regelgeving.