Waarom Amerikaanse techreuzen geen soevereiniteit kunnen garanderen

Event | Cybersec Netherlands

In een tijdperk waarin compliance-keurmerken en marketingcampagnes van techgiganten beloven dat uw data veilig en ‘soeverein’ wordt opgeslagen in Europa, klinkt een ongemakkelijke waarheid steeds luider: die soevereiniteit blijkt vaak een illusie. Dat is de boodschap van Fleur van Leusden, ciso en main stage-spreker tijdens de aankomende Cybersec Netherlands.

In deze security-zomerreeks horen we in de aanloop naar Cybersec Netherlands de visie van enkele securityexperts en keynote-sprekers. Het event vindt dit jaar plaats op 10 en 11 september in het congresgebouw Koninklijke Jaarbeurs in Utrecht. Inschrijven kan hier en is gratis.

In haar keynote, getiteld ‘Clouded Judgment: Why U.S. Tech Giants Can’t Guarantee Sovereignty’, neemt Van Leusden haar publiek op Cybersec Netherlands mee in de politieke reikwijdte van de Amerikaanse wetgeving. ‘Soevereiniteit in een Amerikaanse cloud is een illusie’, stelt ze. ‘Je kritieke services en gegevens daar plaatsen is geopolitiek Russisch roulette spelen.’

Volgens haar kunnen we niet langer blind vertrouwen op de beschikbaarheid van onze data. ‘De geopolitieke situatie is drastisch veranderd, en we moeten snel met echte oplossingen komen, anders ontdekken we te laat hoe afhankelijk we zijn geworden.’

Internationaal Strafhof

De rode draad in haar betoog is dat Amerikaanse wet- en regelgeving – van sancties tot dagvaardingen – ook van toepassing is op Europese datacentra van Amerikaanse bedrijven. Met het voorbeeld van de zaak tussen het Internationale Strafhof en Microsoft als illustratie, laat Van Leusden zien hoe snel diplomatieke spanningen kunnen doorsijpelen in onze digitale infrastructuur.

De politieke reikwijdte van de VS dringt tot diep in de infrastructuren van Amazon, Microsoft en andere techgiganten door. ‘Je kritieke services zijn slechts zo stabiel als het volgende presidentiële decreet. Blind vertrouwen in Amerikaanse cloudproviders kan een strategische kwetsbaarheid vormen.’

Toch is haar boodschap geen pleidooi tegen buitenlandse cloudleveranciers. ‘Foreign cloud is niet per definitie onveilig. Maar we moeten wel onze risicomodellen aanpassen’, aldus Van Leusden. ‘Het gaat om de juiste afweging: wat is écht kritisch, en op welk fundament bouwen we onze digitale afhankelijkheden?’

Tech bepaalt regels niet

Voorts wijst Van Leusden, die eerder ciso was bij diverse overheidsinstellingen, ook op de noodzaak van een bredere cultuurverandering. ‘Security is te vaak iets wat we naast de business plaatsen. Terwijl het juist een gedeelde verantwoordelijkheid moet zijn.’

Bovendien is de cloud is allang niet meer alleen een technisch vraagstuk. ‘Het is geopolitiek geworden. En dat vraagt om nieuwe vragen, nieuwe keuzes en vooral nieuw leiderschap.’

Van Leusden pleit bovenal voor een nuchtere kijk op security. Geen doemscenario’s, maar vragen die bestuurders en it professionals zichzelf zouden moeten stellen. Hoeveel controle hebben we echt? Wat als politieke druk de continuïteit van onze dienstverlening bedreigt? En: zijn we niet te veel gaan geloven in de beloften van techbedrijven die zélf de spelregels niet bepalen? ‘Hoe graag ze ons ook anders willen doen geloven.’