Cloudbeveiliging, identiteit en compliance

Bij cloudbeveiliging wordt het werk verdeeld tussen de aanbieder en de klant. Wijs taken toe op basis van de laag die elke partij beheert, inclusief de instellingen die de klant kiest.

Maak onderscheid tussen infrastructuur en klantkeuzes

AWS noemt de bescherming van de infrastructuur beveiliging van de cloud. Die omvat gebouwen en voorzieningen, fysieke servers, opslag, netwerkapparatuur en de hypervisor die virtuele machines op een host van elkaar scheidt. Klanten verzorgen de beveiliging in de cloud: hun gegevens, identiteiten en configuratie. Azure en Google Cloud hanteren dezelfde basisverdeling. Googles benadering van gedeeld lot voegt veilige standaardinstellingen, richtlijnen en hulpmiddelen toe om klanten te helpen hun deel te beveiligen.

Aanbieders regelen de fysieke toegang, stroomvoorziening, koeling, het hardwareonderhoud en het veilig afvoeren van schijven. Onafhankelijke auditors onderzoeken deze lagen; klanten gebruiken hun rapporten om beheersmaatregelen te beoordelen die ze niet zelf uitvoeren.

Zorg dat klanttaken zijn toegewezen

In alle dienstmodellen blijft de klant verantwoordelijk voor:

• Gegevens: classificatie, toegang, beveiligingskeuzes en bewaring.
• Accounts: identiteiten aanmaken, onderhouden en verwijderen.
• Toegangsbeheer: rollen, MFA en aanmeldingsbeleid.
• Clientapparaten: de laptops en telefoons beveiligen waarmee verbinding wordt gemaakt.

Instellingen die de klant kiest, blijven de taak van de klant. Een openbare bucket, een databaseregel die toegang vanaf internet toestaat of een achtergelaten beheerdersaccount kan een workload blootstellen, ook als de infrastructuurmaatregelen van de aanbieder goed werken.

Sommige beheersmaatregelen worden gedeeld omdat elke partij ze op de eigen lagen uitvoert. De aanbieder werkt de infrastructuur bij; klanten werken de besturingssystemen en applicaties bij die ze beheren. De aanbieder en de klant configureren elk hun eigen systemen en leiden elk hun eigen personeel op. Wijs beide kanten van een gedeelde maatregel toe, zodat geen ervan over het hoofd wordt gezien.

Pas de verdeling toe op factuuropslag

Een bedrijf bewaart facturen in een cloudbucket. De aanbieder werkt de opslagdienst bij, vervangt defecte schijven en voert schijven veilig af. Het bedrijf maakt de bucket privé, geeft zijn factureringsrol de benodigde leestoegang en vereist MFA voor die gebruikers. Het kiest ook versleutelingsinstellingen, schakelt de benodigde toegangslogboeken in en bepaalt hoelang facturen worden bewaard.

Als een medewerker de bucket openbaar maakt, moet de klant de machtiging corrigeren en de blootstelling onderzoeken. De opslagdienst kan leesbare inhoud teruggeven aan een verzoek dat de klant heeft toegestaan; fysieke beveiliging kan die verleende toegang niet ongedaan maken.

Cloudinfrastructuur en gespecialiseerde beveiligingshulpmiddelen kunnen een klein team bescherming bieden die het niet alleen zou kunnen opbouwen. Voor optionele voorzieningen blijft iemand nodig die ze configureert en bevindingen beoordeelt. Controleer bij het toewijzen van die taken de richtlijnen over verantwoordelijkheden voor elke dienst.

Bij verdergaand beheerde diensten gaat meer beheerwerk naar de aanbieder. Keuzes van de klant over identiteiten, gegevens en instellingen blijven bij al die veranderingen nodig.

Vergelijk de lagen

Taken voor applicaties en netwerken kunnen bij PaaS worden gedeeld. SaaS-klanten configureren applicatiefuncties, ook al beheert de aanbieder de dienst; ook apparaatbeheer kan worden gedeeld. Controleer de afzonderlijke dienst en functie voor de precieze grens.

Bekijk de diensten

Voor een webserver op Amazon EC2, Azure Virtual Machines of Google Compute Engine installeert de klant beveiligingsupdates voor het gastbesturingssysteem en onderhoudt die de webserver. De klant beperkt beheer op afstand met AWS-beveiligingsgroepen, Azure-netwerkbeveiligingsgroepen of Google Cloud-firewallregels en kiest schijfbescherming en back-ups.

Bij Amazon RDS, Azure SQL Database of Google Cloud SQL onderhoudt de aanbieder het onderliggende besturingssysteem en de beheerde databasesoftware. De klant kiest nog steeds de toegestane netwerkpaden, gebruikers, machtigingen, versleutelingsinstellingen, bewaartermijn voor back-ups en beschikbare onderhoudsvensters. De mogelijkheid om automatisch back-ups te maken bepaalt niet hoelang het bedrijf zijn gegevens nodig heeft.

Bij AWS Lambda, Azure Functions of Google Cloud Run functions hoeft de klant dankzij door de aanbieder beheerde uitvoeringsomgevingen de servers en uitvoeringsomgeving niet bij te werken. Klanten werken nog steeds meegeleverde afhankelijkheden bij, valideren invoer, beschermen geheimen en beperken machtigingen voor uitvoering en aanroepen. Aangepaste uitvoeringsomgevingen of containers brengen extra onderhoudstaken mee.

Bij Microsoft 365 of Google Workspace werkt de aanbieder de kantoorapplicatie bij. Klanten verwijderen vertrokken medewerkers, regelen extern delen en stellen bewaartermijnen in. Sommige organisaties onderhouden ook hun eigen SaaS-back-ups.

Wijs een onbekende taak toe

Benoem de laag, bepaal het dienstmodel en raadpleeg daarna de gedocumenteerde verdeling. Een defecte fysieke schijf is in elk model de taak van de aanbieder. Een update van het gastbesturingssysteem van een VM is de taak van de klant; een update van het besturingssysteem onder een beheerde database is de taak van de aanbieder. De machtiging van een databasegebruiker blijft een keuze van de klant. Houd per dienst een takenlijst bij wanneer een organisatie meerdere modellen naast elkaar gebruikt.

Toegang tot de cloud begint met het identificeren van een persoon of applicatie. Daarna worden de machtigingen van die identiteit gecontroleerd. Door deze beslissingen gescheiden te houden, begrijp je waarom een geslaagde aanmelding toch kan eindigen met een melding dat toegang is geweigerd.

Stel de identiteit vast en controleer daarna de machtiging

Authenticatie stelt vast wie of wat een verzoek doet. Autorisatie bepaalt of die identiteit de gevraagde handeling mag uitvoeren. Auditing legt vast wat er is gebeurd. Een wachtwoord plus MFA kan een gebruiker authenticeren; een rol kan die gebruiker nog steeds de machtiging weigeren om een database te verwijderen.

In Azure en Google Cloud koppelen roltoewijzingen mensen, groepen of workloads aan machtigingen. In AWS levert het aannemen van een IAM-rol tijdelijke sessiegegevens op. Een workload moet dat ondersteunde identiteitsmechanisme gebruiken in plaats van het wachtwoord van een persoon dat naar een configuratiebestand is gekopieerd.

Herken de namen van de aanbieders

AWS IAM levert gebruikers, groepen en rollen. IAM Identity Center ondersteunt toegang voor medewerkers tot meerdere AWS-accounts. Microsoft Entra ID, voorheen Azure Active Directory, is de clouddirectory van Azure, met gebruikers, groepen, service-principals en beheerde identiteiten. Google Cloud gebruikt accounts en groepen in Cloud Identity of Google Workspace, plus serviceaccounts voor workloads.

Een EC2-instance kan een IAM-rol krijgen, een Azure-resource een beheerde identiteit en een Google Cloud-VM een gekoppeld serviceaccount. Het platform levert kort geldige toegangsgegevens voor ondersteunde toegang, waardoor een opgeslagen lang geldig wachtwoord niet nodig is.

De AWS-rootgebruiker heeft bevoegdheden voor het hele account. Azure en Google Cloud verdelen uitgebreide toegang via rollen zoals Entra Global Administrator, abonnementsrol Owner en projectrol Owner. Deze rollen hebben verschillende bereiken: de rol van een directorybeheerder is niet uitwisselbaar met die van een resourcebeheerder.

Meld je centraal aan

Met eenmalige aanmelding (SSO) kan iemand zich één keer aanmelden voor meerdere applicaties. Identiteitsfederatie is het vertrouwen waardoor een cloud of applicatie identiteitsinformatie van een andere identiteitsaanbieder accepteert, meestal via SAML 2.0 of OpenID Connect.

Een bedrijf gebruikt Entra ID voor 200 medewerkers en gebruikt identiteitsfederatie voor toegang tot AWS en Google Cloud. Wanneer een engineer vertrekt, stopt het uitschakelen van het centrale account nieuwe aanmeldingen. Het bedrijf moet ook actieve sessies intrekken en onafhankelijke lokale accounts en toegangssleutels verwijderen. Die toegangswegen kunnen blijven werken zonder een nieuwe centrale aanmelding.

Partners kunnen externe identiteiten gebruiken: Entra B2B-gasttoegang, een AWS-rol voor accountoverstijgende toegang of Google Cloud-rollen die aan externe principals zijn toegekend. Hun werkgever beheert hun eigen identiteit; jouw organisatie beheert hun toegang tot jouw resources.

Oudere applicaties hebben mogelijk aansluiting bij een domein, Kerberos, NTLM of LDAP nodig. Beheerde directorydiensten zijn onder meer Entra Domain Services, AWS Directory Service en Google Cloud Managed Service for Microsoft Active Directory. Die voorzien in andere applicatiebehoeften dan alleen een moderne cloudaanmelding.

Een machtiging koppelt een handeling aan een resource. “Objecten in deze bucket lezen” is preciezer dan “opslag gebruiken”. Aanbieders groeperen machtigingen in rollen of beleidsverklaringen en koppelen die vervolgens aan identiteiten of resources.

Koppel wie, wat en waar

Rolgebaseerd toegangsbeheer (RBAC) kent machtigingen toe via rollen die bij functies horen. Een Azure-roltoewijzing heeft drie onderdelen: de beveiligingsprincipal, de roldefinitie en het bereik. Bereikniveaus lopen van beheergroep tot abonnement, resourcegroep en afzonderlijke resource. Toewijzingen werken door naar resources binnen hun bereik.

Priya heeft Reader op het abonnement Prod en Contributor op de resourcegroep web-rg daarin. Ze kan resources in heel Prod bekijken en resources in web-rg wijzigen. Ze kan db-rg niet wijzigen en via Contributor geen ander toegang verlenen. Azure telt machtigingen uit verschillende toewijzingen op; ondersteunde Azure-functies kunnen weigeringstoewijzingen maken die anders toegestane handelingen blokkeren.

Toestemmingsbeleid van Google Cloud koppelt principals aan rollen op resources. Toegang wordt overgeërfd via organisatie, mappen, projecten en resources. Vervang ruime basisrollen Owner, Editor en Viewer door passende vooraf gedefinieerde of aangepaste rollen voor specifieke diensten. Door het toestemmingsbeleid van een onderliggend niveau te wijzigen, verwijder je geen toegang die op het bovenliggende niveau is verleend. Wijzig de toekenning op het bovenliggende niveau of pas waar passend een ondersteund weigeringsbeleid toe.

Beoordeel een AWS-verzoek

Een AWS IAM-beleidsregel is JSON met verklaringen met een Effect, een Action, een Resource-ARN en optionele voorwaarden. Beleidsregels kunnen aan identiteiten worden gekoppeld; een resourcebeleid, zoals een bucketbeleid, wordt aan de resource gekoppeld. Door AWS beheerde beleidsregels worden door de aanbieder onderhouden, door de klant beheerde beleidsregels zijn herbruikbare documenten van de klant en inline beleidsregels horen bij één identiteit.

Voor een eenvoudige beslissing over een verzoek:

1. Begin met impliciete weigering: er is nog geen machtiging.
2. Zoek een toepasselijke expliciete toestemming en controleer elke toepasselijke machtigingsgrens.
3. Pas elke expliciete weigering toe: die gaat boven toestemmingen.

Een servicecontrolebeleid (SCP) van AWS Organizations begrenst de maximaal beschikbare machtigingen. Het verleent zelf geen machtigingen. Een verzoek buiten de toegestane grens van het SCP wordt geweigerd, ook als een identiteitsbeleid het toestaat.

Lena’s groep mag sales-reports/* lezen en geen beleidswaarborg beperkt die leesactie. Een download is toegestaan. Een upload wordt geweigerd omdat er geen toestemming voor s3:PutObject is. Een afzonderlijke beleidsregel weigert verwijdering expliciet; ook na het toevoegen van s3:* kan verwijdering nog steeds niet worden toegestaan. Voor het lezen van een niet-gerelateerde bucket ontbreekt eveneens toestemming.

Maak onderscheid tussen resourcebeheer en gegevenstoegang

Een beheerder kan een opslagaccount via de besturingslaag beheren zonder een Entra-gegevensrol te krijgen om de blobs via de gegevenslaag te lezen. Voor die leesactie is een rol zoals Storage Blob Data Reader nodig. Controleer de handeling en het bereik in plaats van aan te nemen dat een rol met uitgebreide rechten voor resourcebeheer elke vraag over gegevenstoegang beantwoordt.

Het principe van minimale rechten geeft een identiteit de handelingen, resources en tijd die nodig zijn voor de taak van die identiteit. Het verkleint het impactbereik: de schade die een fout of gestolen toegangsgegevens kunnen veroorzaken.

Stel een gerichte toekenning samen

Breng eerst het werk in kaart, kies een beperkte rol of beleidsregel, stel het kleinst bruikbare bereik in en beheer mensen via groepen of rollen. Beperk de duur van toegang met uitgebreide rechten en beoordeel die regelmatig. Een opdrachtnemer die 30 dagen lang logbestanden naar één bucket uploadt, heeft daar uploadtoegang nodig, geen leestoegang tot alle opslag of een permanente beheerdersidentiteit.

Just-in-time-toegang beperkt wanneer iemand uitgebreide machtigingen kan verkrijgen. Entra Privileged Identity Management kan goedkeuring en MFA vereisen voor activering met een tijdslimiet. Google Privileged Access Manager biedt tijdelijke roltoekenningen op verzoek. AWS-rollen verstrekken tijdelijk geldige toegangsgegevens via Security Token Service, maar een permanent recht om een beheerdersrol aan te nemen maakt herhaaldelijk nieuwe sessies mogelijk. Kort geldige toegangsgegevens alleen nemen permanente uitgebreide rechten niet weg.

Functiescheiding geeft verschillende mensen controle over gevoelige onderdelen van een proces. De aanvrager en goedkeurder van een wijziging moeten verschillende personen zijn; ook sleutelbeheer en het lezen van gegevens moeten gescheiden zijn.

Bescherm identiteiten met uitgebreide rechten

Schakel MFA in voor de AWS-rootgebruiker, geef die een sterk uniek wachtwoord en maak geen roottoegangssleutels aan. Gebruik de rootgebruiker alleen voor taken waarvoor dat vereist is. Voorbeelden zijn het eigen e-mailadres of wachtwoord wijzigen, een zelfstandig account sluiten, de toegang herstellen nadat een IAM-beheerder is buitengesloten, IAM-toegang tot facturering activeren, je registreren als verkoper op de EC2 Reserved Instance Marketplace en MFA-verwijdering voor S3 inschakelen. Organisaties kunnen roottoegangsgegevens van lidaccounts centraal verwijderen.

Beperk rollen met uitgebreide rechten in Entra en Google Cloud strikt. Microsoft raadt minder dan vijf Global Administrators aan. Beheerders hebben afzonderlijke identiteiten voor dagelijks gebruik en voor uitgebreide rechten nodig, evenals phishingbestendige MFA. Bij de planning van noodtoegang in Entra worden twee veilig bewaarde en bewaakte noodaccounts gebruikt, zodat niet iedereen wordt buitengesloten als normale aanmelding mislukt; het ontwerp van noodaccounts volgt de richtlijnen van de aanbieder zelf.

Geef de voorkeur aan kort geldige toegang en beheerde geheimen

Lang geldige toegangssleutels blijven bruikbaar totdat ze worden uitgeschakeld of verwijderd. Geef de voorkeur aan workloadidentiteiten, rollen en SSO. Roteer onvermijdelijke sleutels en houd ze buiten broncode. Als een sleutel uitlekt, trek dan de bruikbare toegang ervan in; het verwijderen van een zichtbaar codefragment trekt de toegangsgegevens niet in.

Bewaar databasewachtwoorden, API-sleutels en certificaten in AWS Secrets Manager of Systems Manager Parameter Store, Azure Key Vault of Google Cloud Secret Manager. Applicaties halen benodigde geheimen tijdens de uitvoering op via workloadidentiteiten. Configureer waar nodig het verzamelen van auditgegevens, zoals de diagnostische instellingen van Azure Key Vault.

Voor resterende wachtwoorden vereisen de NIST-richtlijnen uit 2025 minstens 15 tekens bij gebruik als enige factor, of minstens 8 als onderdeel van MFA, en ondersteuning voor minstens 64 tekens. Ze vragen om controles tegen veelgebruikte en gelekte wachtwoorden, wijzen verplichte tekencombinaties en routinematige geplande wijzigingen af en vereisen een wijziging bij een vermoeden van compromittering.

Gebruik bewijsmateriaal om toegang op te schonen: AWS IAM Access Analyzer, rapporten over toegangsgegevens en gegevens over laatste toegang; Entra-toegangsbeoordelingen; en Google IAM-rolaanbevelingen. Als een rol 40 diensten toestaat maar er in 90 dagen slechts 3 heeft gebruikt, beoordeel dan de machtigingen voor de overige 37 diensten. Controleer komende legitieme taken voordat je die verwijdert; inactiviteit wijst op kandidaten voor beoordeling en geeft geen volledig beeld van de bedrijfsbehoefte.

Multifactorauthenticatie (MFA) vereist minstens twee verschillende factorcategorieën: iets wat iemand weet, heeft of is. Een wachtwoord en een antwoord op een beveiligingsvraag zijn beide kennisfactoren en blijven authenticatie met één factor.

Vergelijk authenticatiemethoden

NIST beperkt verzending via het telefoonnetwerk. Een gangbare TOTP-instelling gebruikt zes cijfers die elke 30 seconden veranderen: bij één miljoen mogelijke waarden heeft één blinde gok een kans van één op één miljoen. Implementaties kunnen andere lengtes of intervallen gebruiken.

Een phishingpagina kan een wachtwoord en een nieuwe code vóór het verlopen doorsturen naar de echte site. Het aan het domein gebonden bewijs van een passkey kan door het valse domein niet opnieuw worden gebruikt voor de echte dienst. Windows Hello for Business en ondersteunde methoden op basis van certificaten bieden ook phishingbestendige mogelijkheden.

Bij een MFA-vermoeidheidsaanval worden herhaaldelijk pushverzoeken verstuurd in de hoop dat iemand ze accepteert. Nummervergelijking koppelt de goedkeuring aan een aanmeldscherm en vermindert zo de kans op onbedoelde acceptatie; het biedt niet dezelfde domeinbinding als een phishingbestendige methode.

Controleer factoren bij wachtwoordloze aanmelding

Wachtwoordloze aanmelding gebruikt geen wachtwoord. Een authenticatiemiddel op een apparaat dat wordt ontgrendeld met een geverifieerde pincode of een geverifieerd biometrisch kenmerk, combineert bezit met een tweede factor. De pincode wordt lokaal gecontroleerd en niet naar de dienst gestuurd. Controleer welke factoren de gebruikte methode daadwerkelijk verifieert voordat je die als MFA indeelt. Google noemt zijn MFA-dienst 2-Step Verification.

Aanbieders verplichten MFA voor bepaalde beheerderstoegang, waaronder de AWS-rootgebruiker en aanmelding bij de Azure-portal. Klanten stellen nog steeds eisen voor hun eigen gebruikers en applicaties, met de sterkste methoden voor toegang met uitgebreide rechten.

Pas context toe en bescherm herstel

Entra Conditional Access beoordeelt de gebruiker, applicatie, apparaatstatus, locatie en het aanmeldingsrisico. Het kan toegang toestaan, sterkere authenticatie of een apparaat dat aan de eisen voldoet vereisen, of toegang blokkeren. Vereis voor salarisadministratie een beheerd apparaat en phishingbestendige authenticatie; blokkeer aanmeldingen met een hoog risico. AWS IAM-voorwaarden en contextbewuste toegang van Google bieden verwante beheersmaatregelen met een verschillende werking per dienst.

Bescherm accountherstel met vergelijkbare zorg: een zwakke herstelroute kan een sterk authenticatiemiddel vervangen. Weiger onverwachte goedkeuringsverzoeken en meld ze volgens de procedure van de organisatie. Minimale rechten en monitoring blijven het risico beperken als een geauthenticeerde sessie wordt gestolen.

Versleuteling zet leesbare klare tekst met een sleutel om in cijfertekst. Met de juiste sleutel kan die worden ontsleuteld. Versleuteling beschermt de vertrouwelijkheid; geauthenticeerde versleuteling detecteert ook manipulatie. Versleuteling stopt geen toegestane verwijdering en houdt een defecte applicatie niet draaiend.

Maak onderscheid tussen drie omzettingen

Iedereen kan Base64-tekst zoals “aGVsbG8=” decoderen naar “hello”. Die biedt geen vertrouwelijkheid. Voor het opslaan van wachtwoorden is een bewust trage wachtwoordhashfunctie met een salt nodig, zoals Argon2, bcrypt, scrypt of PBKDF2. Eén snelle SHA-256-hash is daarvoor ongeschikt.

Symmetrische versleuteling gebruikt dezelfde sleutel voor versleuteling en ontsleuteling. AES-256 is gangbaar voor grote hoeveelheden cloudgegevens. Asymmetrische cryptografie gebruikt een sleutelpaar dat bestaat uit een openbare sleutel en een privésleutel voor bewerkingen zoals sleuteluitwisseling en digitale handtekeningen; de ondersteunde bewerkingen hangen af van het algoritme. Met versleuteling met een openbare sleutel kan een verzender gegevens beschermen voor een ontvanger die ze met de privésleutel ontsleutelt. Met een digitale handtekening kunnen anderen een met de privésleutel gemaakte handtekening controleren.

Een symmetrische sleutel van 256 bits heeft $2^{256}\approx \mathrm{1,16}\times {10}^{77}$ mogelijke waarden. Zelfs bij ${10}^{18}$ pogingen per seconde duurt het ongeveer $\mathrm{3,7}\times {10}^{51}$ jaar om ze allemaal te controleren. In de praktijk is het beschermen van toegang tot sleutels veel belangrijker dan plannen om die zoekruimte te doorzoeken.

Pas versleuteling toe op opgeslagen gegevens

Gegevens in rust omvatten objecten, schijven, databases, back-ups en momentopnamen. Versleuteling beschermt ruwe opgeslagen inhoud als iemand een schijf in handen krijgt of opslag kopieert zonder de vereiste sleutel. Versleuteling aan de serverzijde vindt binnen de dienst plaats voordat gegevens worden weggeschreven. Versleuteling aan de clientzijde gebeurt vóór het uploaden, zodat de aanbieder cijfertekst ontvangt. Als een onvervangbare clientsleutel verloren gaat, wordt de inhoud onleesbaar.

Standaardinstellingen verschillen per dienst. Amazon S3 versleutelt sinds 5 januari 2023 alle uploads van nieuwe objecten standaard. Azure Storage versleutelt opgeslagen gegevens en dit kan niet worden uitgeschakeld. Google Cloud versleutelt klantgegevens in rust standaard. Standaardversleuteling van Amazon EBS is een accountinstelling die de klant in elke regio inschakelt.

Volg een toegestane leesactie

Een factuurobject is op schijf versleuteld. Een gebruiker vraagt het op via de opslagdienst. De dienst controleert de machtigingen, ontsleutelt het object via het ingestelde sleutelmechanisme en geeft leesbare inhoud terug aan de toegestane gebruiker. Als de klant openbare leestoegang verleent, kan dat proces ook buitenstaanders bedienen.

Versleuteling in rust werkt daarom samen met instellingen voor privétoegang en activiteitenregistratie. Begin met gegevensclassificatie: openbaar, intern, vertrouwelijk of beperkt toegankelijk. Classificatie bepaalt mede wie de inhoud mag lezen, welke eisen aan sleutelbeheer worden gesteld en hoelang die wordt bewaard. Back-ups hebben dezelfde aandacht nodig, omdat een beschermde database nog steeds een blootgestelde kopie kan hebben.

Een gegeven kan in opslag versleuteld zijn en toch worden blootgesteld tijdens transport over een netwerk of tijdens verwerking. Volg de route om te bepalen waar elke bescherming nodig is.

Versleutel gegevens tijdens transport met TLS

Gegevens tijdens transport bewegen tussen browsers, applicaties, databases, kantoren of regio’s. Transport Layer Security (TLS) beschermt een verbinding tegen meelezen en wijzigen en authenticeert de server via een certificaat. HTTPS is HTTP via TLS, meestal op poort 443. Gebruik ondersteunde TLS 1.2- of 1.3-configuraties; SSL en TLS 1.0 en 1.1 zijn verouderd.

Een digitaal certificaat koppelt een domein aan een openbare sleutel. Een vertrouwde certificaatautoriteit ondertekent het, zodat de browser de koppeling kan controleren. Certificaatdiensten zijn onder meer AWS Certificate Manager, certificaatfuncties van Azure Key Vault of App Service en Google Cloud Certificate Manager. Beheerde vernieuwing vermindert het risico op verlopen certificaten wanneer die wordt ondersteund en ingesteld. Een verlopen certificaat kan verbindingen verbreken en een dienst onderbreken.

Een geldige HTTPS-verbinding bevestigt dat de verbinding met dat domein beschermd is. Ook een phishingsite kan een geldig certificaat voor zijn eigen domein hebben, dus het slotje alleen zegt niets over de betrouwbaarheid van dat bedrijf of die pagina.

Volg een browserverzoek

1. De browser brengt HTTPS naar een loadbalancer tot stand en controleert het certificaat.
2. De loadbalancer beëindigt die TLS-verbinding en ziet het verzoek als klare tekst.
3. Een afzonderlijke TLS-verbinding beschermt het volgende traject naar een applicatieserver.
4. De applicatie gebruikt een versleutelde databaseverbinding en de database is zo ingesteld dat die dit vereist.

HTTPS aan de voorkant beschermt alleen die eigen verbinding. Controleer elk volgend traject. Een S3-beleidsregel kan verzoeken weigeren wanneer aws:SecureTransport onwaar is; Azure Storage biedt een instelling die beveiligde overdracht vereist; Cloud SQL kan TLS vereisen. Ook interne netwerken hebben verkeersbescherming nodig, omdat een aanvaller die mogelijk al heeft bereikt.

Maak onderscheid tussen een privéroute en versleuteling

Een site-to-site-IPsec-VPN versleutelt verkeer tussen een kantoornetwerk en een cloudnetwerk via het internet. Diensten zijn onder meer AWS Site-to-Site VPN, Azure VPN Gateway en Google Cloud VPN.

Exclusieve verbindingen zoals AWS Direct Connect, Azure ExpressRoute en Google Cloud Interconnect vermijden het openbare internet, maar hun privéroute alleen biedt standaard geen versleuteling van begin tot eind. Gebruik waar nodig passende TLS-, IPsec- of ondersteunde MACsec-bescherming. MACsec beschermt het ondersteunde verbindingssegment; controleer ook de bescherming van de volledige route van de applicatie.

Bescherm gegevens tijdens verwerking

Gegevens tijdens verwerking worden verwerkt, vaak in ontsleuteld geheugen. Vertrouwelijke gegevensverwerking voegt hardwarematige isolatie toe, met geheugenversleuteling bij ondersteunde technologieën. Azure confidential VMs en Google Confidential VMs versleutelen het geheugen met sleutels die in de processor worden bewaard. AWS Nitro Enclaves isoleert geheugen en CPU’s van de bovenliggende instance en de beheerders daarvan.

Bij een patiëntendossier beschermt databaseversleuteling de opslag, beschermt TLS de overdracht aan een arts en kan een vertrouwelijke VM een gevoelige analysetaak tijdens de uitvoering beschermen. Deze maatregelen dekken verschillende vormen van blootstelling. De applicatie heeft nog steeds toestemming nodig om het dossier te verwerken en blijft verantwoordelijk voor de uitvoer.

Wie de sleutel beheert, beïnvloedt zowel de controle over de beveiliging als het operationele risico. Een klant die de bevoegdheid krijgt om een sleutel uit te schakelen, krijgt ook een manier om elke dienst die daarvan afhankelijk is te onderbreken.

Vergelijk de keuzes voor beheer

Cloudsleuteldiensten zijn onder meer AWS KMS, Azure Key Vault en Google Cloud KMS. Ze regelen cryptografische bewerkingen en kunnen sleutelgebruik vastleggen. Schakel de vereiste logboeken in, waaronder diagnostische instellingen van Azure en Data Access-auditregistratie voor Google Cloud KMS.

Voorbeelden van door de klant aangeleverde sleutels zijn ondersteunde werkwijzen met Amazon S3 SSE-C en Google CSEK. Externe mogelijkheden zijn onder meer AWS KMS external key stores en Google Cloud External Key Manager. Deze functies zijn dienstspecifiek; de gekozen gegevensdienst moet de mogelijkheid ondersteunen.

Een hardwarebeveiligingsmodule (HSM) beschermt sleutels in gespecialiseerde hardware. AWS CloudHSM, Azure Managed HSM en Google Cloud HSM bieden hardwarebescherming. HSM beschrijft hoe sleutels worden beschermd; beheer door de aanbieder, klant of een externe partij beschrijft wie het gebruik ervan bepaalt. Dit zijn verschillende keuzes.

Begrijp envelopversleuteling

Cloudopslag versleutelt grote hoeveelheden inhoud vaak met een gegevenssleutel. Vervolgens versleutelt de opslagdienst die kleinere sleutel met een sleutelversleutelingssleutel die in een sleuteldienst wordt bewaard. De versleutelde gegevenssleutel kan naast de cijfertekst worden opgeslagen. Dit is envelopversleuteling: grote hoeveelheden gegevens hoeven niet voor elke cryptografische bewerking naar KMS te worden gestuurd.

Om de inhoud te lezen heeft de dienst toestemming nodig om de gegevenssleutel te ontsleutelen. Het uitschakelen van de sleutel die die beschermt, blokkeert die route. Permanente vernietiging van de sleutel kan alle gegevens die ervan afhankelijk zijn onleesbaar maken, inclusief oudere back-ups.

Bekijk de keuze van een ziekenhuis

Een ziekenhuis kiest een door de klant beheerde AWS KMS-sleutel voor scans. De applicatierol mag ontsleutelen; het beveiligingsteam beheert de sleutel zonder standaardmachtiging om scans te lezen. Zo wordt gegevensgebruik gescheiden van sleutelbeheer. Auditbewijs moet de bedoelde machtigingen en het sleutelgebruik aantonen.

De sleutel roteert jaarlijks. Rotatie levert nieuw materiaal voor toekomstige versleuteling en bewaart oudere versies die nodig zijn om bestaande inhoud te lezen. Dat betekent niet dat elke oude scan direct opnieuw wordt versleuteld.

Aan het einde van de dienstverlening controleert het ziekenhuis alle resterende gegevens en afhankelijkheden van back-ups voordat het verwijdering van de sleutel plant. AWS KMS gebruikt een wachttijd van 7 tot 30 dagen. Na verwijdering kan afhankelijke cijfertekst niet meer via die sleutel worden hersteld. Toegang vernietigen door de sleutel te vernietigen heet cryptografische vernietiging.

Stem het beheer af op een vereiste

Kies door de klant beheerde of externe sleutels wanneer een contract, regelgeving, een vereiste voor het intrekken van toegang, een auditvereiste of functiescheiding die controle vraagt. Hetzelfde versleutelingsalgoritme kan gegevens onder elk van deze beheermodellen beschermen. Extra controle over de sleutel verandert de verantwoordelijkheid, beschikbaarheidsplanning en bewijsvoering; die maakt AES wiskundig niet sterker.

Gelaagde beveiliging combineert onafhankelijke beheersmaatregelen. Als er één faalt, kan een andere de volgende handeling blokkeren, de schade beperken of de aanval zichtbaar maken.

Breng beheersmaatregelen in lagen aan

De indeling van Microsoft in zeven lagen loopt van fysieke beveiliging via identiteit en toegang, netwerkrand, netwerk, rekenvoorzieningen en applicatie naar gegevens in het midden.

De verantwoordelijkheid volgt het model van gedeelde verantwoordelijkheid. Aanbieders voeren fysieke beheersmaatregelen uit; klanten beheren identiteiten en gegevens. Wie de rekenvoorzieningen onderhoudt, hangt ervan af of het om een VM van de klant of een beheerd platform gaat.

Volg een accountovername

Een aanvaller bemachtigt het wachtwoord van een ontwikkelaar van een webwinkel. MFA kan een nieuwe aanmelding blokkeren. Stel dat de aanvaller in plaats daarvan een al geauthenticeerde sessie steelt. De volgende maatregelen moeten aanpakken wat met die sessie kan worden gedaan.

De rol van de ontwikkelaar staat het lezen van logboeken toe, maar geen databasequery’s, dus autorisatie weigert een rechtstreeks verzoek om klantgegevens. Netwerkregels beperken databaseverbindingen afzonderlijk tot de toegestane route van de applicatie. Monitoring kan ongebruikelijke activiteit signaleren. Beschermde back-ups maken herstel mogelijk als een aanvaller later toegang krijgt waarmee die schade kan aanrichten.

Schijfversleuteling beschermt ruwe opslag als de sleutel ontbreekt. Die zou geen leesbare inhoud blokkeren die wordt teruggegeven aan een gecompromitteerde identiteit met legitieme lees- en ontsleutelingsrechten. Beoordeel de daadwerkelijke route voordat je concludeert dat een beheersmaatregel die tegenhoudt.

Combineer blokkering met detectie

Een preventieve beheersmaatregel stopt een verzoek, zoals het aanmaken van openbare opslag. Een detectieve beheersmaatregel meldt een gebeurtenis of situatie, zoals ongebruikelijke activiteit of te ruime toegang. Wijs een reactie toe die onderzoekt wat wordt gevonden, het probleem indamt en corrigeert.

Twee firewalls met dezelfde onjuiste regel kunnen tegelijk falen. Een afzonderlijke identiteitscontrole, applicatievalidatie en beperkte gegevensrol pakken verschillende stappen in de aanval aan. Volg een verzoek van gebruiker tot gegevens, bepaal de beheersmaatregelen langs die route en wijs verantwoordelijken aan voor hun instellingen en meldingen.

Zero trust geeft geen automatische toestemming op basis van netwerklocatie. Een intern adres geeft geen recht om een applicatie te gebruiken of de gegevens daarin te lezen.

Pas drie principes toe

Verifieer expliciet: beoordeel identiteit en context, waaronder apparaatstatus, locatie, de aangevraagde dienst, gevoeligheid van gegevens en ongebruikelijk gedrag.

Gebruik minimale rechten: geef precies voldoende toegang voor de taak, met waar nodig een tijdelijke uitbreiding van rechten. Ook een geauthenticeerde gebruiker heeft toestemming nodig voor de handeling.

Ga uit van een beveiligingsinbreuk: beperk verplaatsing, versleutel verkeer en bewaak activiteit zodat een gecompromitteerde identiteit of een gecompromitteerd apparaat niet overal vrij toegang toe heeft.

NIST SP 800-207 beschrijft de architectuuraanpak. Microsoft verwoordt die in deze drie principes. Organisaties voeren de strategie uit met op elkaar afgestemde beheersmaatregelen en kunnen die stapsgewijs invoeren.

Verander de toegangsgrens

Een traditioneel model met een netwerkgrens vertrouwt apparaten meestal zodra ze het netwerk binnenkomen. Via een ruime VPN-verbinding kan een geïnfecteerde laptop dan veel systemen bereiken. Door werken op afstand, SaaS en multicloud is locatie op zichzelf een slechte toegangsgrens.

Een identiteitsbewuste proxy beoordeelt de toegang tot een specifieke applicatie. Google Identity-Aware Proxy, AWS Verified Access en Microsoft Entra Private Access bieden verwante mogelijkheden. Googles BeyondCorp-aanpak is een voorbeeld van hoe automatisch vertrouwen binnen het interne netwerk wordt vervangen door beoordeelde toegang.

Segmentatie en firewalls blijven de toegang beperken als een andere beheersmaatregel faalt. Versleutel ook interne verbindingen: een aanvaller kan zich al binnen de omgeving bevinden.

Beoordeel het verzoek van een verpleegkundige

Een verpleegkundige vraagt vanuit huis toegang tot de personeelsroosterapp. Een toegangsdienst verifieert de identiteit met phishingbestendige authenticatie, controleert of de laptop wordt beheerd en bijgewerkt is, en bevestigt de roosterrol. De dienst verleent een sessie voor die applicatie.

Een verzoek aan de salarisadministratie vereist een eigen toegangsbeslissing. De roostersessie geeft geen toegang tot de salarisadministratie. Als monitoring de laptop later als geïnfecteerd signaleert, kan beleid de betreffende toegang blokkeren of intrekken. Authenticatie in de ochtend geeft geen uitsluitsel over de apparaatstatus in de middag.

Identiteitsdiensten stellen vast wie het verzoek doet; apparaatcontroles en voorwaardelijke toegang beoordelen de context. Rollen beperken handelingen, proxy’s en segmenten beperken welke systemen bereikbaar zijn en TLS beschermt verbindingen. Monitoring levert nieuw bewijs voor latere beslissingen. Ook na de aanschaf van een product moet de organisatie deze toegangsregels en beslissingen over reacties zelf vaststellen.

Begin met de taak die de beheersmaatregel moet uitvoeren. De grote aanbieders bieden overlappende beveiligingscategorieën en één product kan verschillende soorten bevindingen opleveren. Een ontdekte zwakke plek in software vraagt om een andere reactie dan een verkeersvloed.

Blokkeer verkeersoverlast en webaanvallen

DDoS-beveiliging pakt verkeer aan dat een dienst moet overbelasten. AWS Shield Standard biedt automatische basisbescherming; Shield Advanced voegt betaalde mogelijkheden en ondersteuning bij de reactie toe. Azure biedt standaard infrastructuurbescherming met betaalde lagen van Azure DDoS Protection. Google Cloud Armor beschermt ondersteunde applicaties achter loadbalancers.

Een webapplicatiefirewall (WAF) inspecteert webverzoeken op aanvallen zoals SQL-injectie, cross-site scripting en kwaadaardige bots. AWS WAF, Azure Web Application Firewall en beveiligingsbeleid van Cloud Armor bieden deze functionaliteit. Ze kunnen applicatieverzoeken filteren of het aantal verzoeken per tijdseenheid beperken. Een netwerkfirewall regelt netwerkverkeer op een ander niveau: AWS Network Firewall, Azure Firewall en Google Cloud Next Generation Firewall zijn voorbeelden. AWS Firewall Manager helpt ondersteunde beveiligingen over meerdere accounts toe te passen.

Detecteer dreigingen en bekende zwakke plekken

Dreigingsdetectie onderzoekt activiteit op tekenen van compromittering. Een VM die contact maakt met een bekende dienst voor het minen van cryptovaluta is een waarschuwing op basis van gedrag. GuardDuty analyseert onder meer informatie over API’s, netwerkstromen en DNS. Een SIEM, zoals Microsoft Sentinel of Google Security Operations, brengt beveiligingsgebeurtenissen uit veel bronnen samen voor analyse en onderzoek.

Kwetsbaarheidsbeheer identificeert bekende zwakke plekken in geïnstalleerde software of images. Inspector beoordeelt ondersteunde EC2-, container- en Lambda-workloads. Een kwetsbaar pakket kan aanwezig zijn voordat activiteit van een aanvaller is waargenomen; de ontdekking moet leiden tot een update of een andere passende maatregel.

Beheer van de cloudbeveiligingsstatus (CSPM) controleert de configuratie aan de hand van werkwijzen en standaarden. Een openbaar bereikbare opslagresource is een probleem met de beveiligingsstatus, ook als er geen kwaadaardige toegang is gedetecteerd. AWS Security Hub brengt bevindingen samen; Security Hub CSPM biedt configuratiecontroles. Defender for Cloud en Security Command Center bieden ook beoordeling van de beveiligingsstatus.

Spoor gevoelige gegevens op en handel naar bevindingen

Macie kan gevoelige inhoud in S3 lokaliseren. Purview spoort organisatiegegevens op, classificeert ze en voorziet ze van labels. Google Sensitive Data Protection kan gevoelige inhoud opsporen, classificeren en de-identificeren. Paspoortnummers in een vergeten export laten het team zien waar strengere toegangs- of bewaarmaatregelen nodig zijn; opsporing alleen verandert niet elke machtiging.

Koppel bij een onlinedienst het verschijnsel aan de categorie. Gebruik DDoS-beveiliging voor een verkeersvloed, een WAF voor kwaadaardige webinvoer, kwetsbaarheidsbeoordeling voor een verouderde bibliotheek, dreigingsdetectie voor verdachte activiteit tijdens de uitvoering en CSPM voor risicovolle resource-instellingen. Er kunnen meerdere tegelijk nodig zijn.

AWS Trusted Advisor, Azure Advisor en Google Recommender bieden aanvullende aanbevelingen; beschikbare controles en betaalde abonnementen verschillen. Marktplaatsen van aanbieders bieden producten van derden. Officiële beveiligingsdocumentatie, responscentra, blogs en bulletins helpen teams veranderingen bij te houden. Wijs verantwoordelijken aan voor bevindingen en schakel de relevante dienstplannen in: een dashboard vol onbeoordeelde meldingen laat de onderliggende blootstelling bestaan.

Logboeken beantwoorden vragen over gebeurtenissen; monitoring zet waarnemingen om in actie. Goed bewijs vereist dat je de juiste gebeurtenissen tijdig verzamelt, lang genoeg bewaart en tegen wijziging beschermt.

Kies het bewijs dat bij de vraag past

Audit- of activiteitenlogboeken tonen wie handelingen via de beheerconsole of API heeft uitgevoerd. Configuratiegeschiedenis toont hoe de instellingen van een resource zijn veranderd. Meetwaarden meten status en prestaties. Logboeken voor gegevenstoegang registreren relevante toegang tot inhoud en netwerkstroomlogboeken beschrijven verkeersstromen.

De CloudTrail-gebeurtenisgeschiedenis bewaart per regio de laatste 90 dagen aan beheeractiviteiten. Maak een trail aan om registraties voor langere bewaring naar S3 en eventueel ook naar CloudWatch Logs te sturen. Prestatiemeetwaarden van CloudWatch zijn ander bewijs dan de CloudTrail-registratie van wie een beleidsregel heeft gewijzigd.

Het Azure-activiteitenlogboek bewaart standaard ook 90 dagen. Diagnostische instellingen kunnen registraties naar opslag, Log Analytics of Event Hubs sturen. Google Admin Activity-logboeken zijn altijd ingeschakeld en kunnen niet worden uitgeschakeld. Data Access-logboeken moeten voor de meeste diensten worden ingeschakeld; BigQuery heeft belangrijke afwijkende standaardinstellingen. Ook voor Key Vault-toegangslogboeken en Google KMS-gegevensactiviteit zijn de relevante verzamelinstellingen nodig.

Bewaar bewijs voordat een onderzoek het nodig heeft

Een bucket wordt op 2 maart 2026 openbaar. Het onderzoek begint op 1 juli, 121 dagen later. De gebeurtenis valt buiten een standaardvenster van 90 dagen. Een eerder ingestelde export kan hebben bewaard wie de instelling heeft gewijzigd, wanneer en vanaf welk IP-adres; door nu een export in te schakelen kun je een verlopen registratie niet opnieuw maken.

De configuratiegeschiedenis kan de instelling van vóór en na de gebeurtenis tonen. Gebruik beide registraties om de wijziging te begrijpen, de blootstelling ongedaan te maken en gegevenstoegang via de daarvoor ingeschakelde logboeken te onderzoeken. Een beheergebeurtenis alleen is geen volledige lijst van gelezen bestanden.

Voorkom wijzigingen en detecteer uitzonderingen

Preventieve beleidswaarborgen blokkeren een niet-toegestane handeling: Azure Policy Deny, ondersteunde SCP-beperkingen en beperkingen via organisatiebeleid van Google zijn voorbeelden. Detectieve beleidswaarborgen signaleren een situatie nadat die is ontstaan: AWS Config-regels, Azure Policy Audit en bevindingen over de beveiligingsstatus.

Een locatiebeleid kan nieuwe resources in niet-toegestane regio’s blokkeren. Een configuratiecontrole kan resources melden die een regel overtreden. Op die laatste melding moet worden gereageerd; alleen een bevinding geven maakt een wijziging niet ongedaan.

Beperk toegang tot logboeken, verzamel bewijs in een afzonderlijk account of project en gebruik waar nodig integriteitsmaatregelen of onveranderbare opslag. Validatie van CloudTrail-logbestanden kan gewijzigde afgeleverde bestanden aan het licht brengen. Stel de bewaartermijn in op basis van de toepasselijke eis; PCI DSS vereist minstens 12 maanden aan auditgeschiedenis, waarvan de laatste 3 maanden direct beschikbaar zijn. Stel meldingen in voor gebeurtenissen zoals rootaanmeldingen of wijzigingen in rollen met uitgebreide rechten en wijs iemand aan die reageert.

Compliance betekent voldoen aan toepasselijke vereisten en daar bewijs voor tonen. De gecontroleerde beheersmaatregelen van een cloudaanbieder kunnen je verplichtingen ondersteunen, maar je organisatie moet ook de eigen maatregelen uitvoeren en documenteren.

Bepaal het soort vereiste

ISO/IEC 27001 gaat over een managementsysteem voor informatiebeveiliging, of ISMS. Geaccrediteerde certificerende instanties geven certificaten af, normaal gesproken in een cyclus van drie jaar met tussentijdse controleaudits. ISO/IEC 27017 voegt cloudbeveiligingsmaatregelen toe. ISO/IEC 27018 gaat over de bescherming van persoonsgegevens door verwerkers in publieke clouds; de huidige editie is uit 2025.

Kies het SOC-rapport dat bij de vraag past

SOC 1 gaat over beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. SOC 2 behandelt toepasselijke Trust Services Criteria: beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Het is een gedetailleerd rapport dat meestal onder geheimhoudingsvoorwaarden wordt gedeeld. SOC 3 is een rapport voor algemeen gebruik dat openbaar kan worden verspreid.

Een Type 1-rapport beoordeelt de opzet van beheersmaatregelen op één tijdstip. Een Type 2-rapport toetst ook de effectieve werking gedurende een vastgestelde periode. Vraag voor bewijs dat relevante maatregelen van een leverancier gedurende maanden hebben gewerkt een actueel SOC 2 Type 2-rapport op en controleer het daadwerkelijke bereik. SOC 2 is een assuranceverklaring, geen certificering.

Herken behoeften van sectoren en overheden

PCI DSS geldt voor organisaties die kaarthoudergegevens opslaan, verwerken of verzenden. Naast de opzet en beheersmaatregelen van de klant voor betalingen is ook het bereik van de clouddienst van belang.

HIPAA beschermt PHI binnen het toepassingsgebied: zorgorganisaties die onder de wet vallen en hun zakelijke partners. Een aanbieder die namens zo’n organisatie elektronische PHI beheert, is een zakelijke partner, ook wanneer die versleutelde gegevens zonder de sleutel opslaat. Er moet een Business Associate Agreement (BAA) van kracht zijn. Er is geen officiële HIPAA-certificering die deze taken vervangt.

FedRAMP gaat over beoordeling en doorlopend toezicht op clouddiensten voor gebruik door Amerikaanse federale instanties dat binnen het bereik valt. De toepassing door de instantie en uitzonderingen zijn van belang; de verkoop van installeerbare software aan een instantie leidt op zichzelf niet tot die verplichting. Andere assuranceregelingen zijn het Duitse C5, het Spaanse ENS, het Australische IRAP en het Japanse ISMAP. CSA STAR publiceert zelfbeoordelingen voor de cloud en informatie over onafhankelijke assurance.

Controleer het dienstbereik voordat je op bewijs vertrouwt

Een kliniek controleert zowel de BAA als de lijst van geschikte diensten van de aanbieder voordat elektronische PHI in een dienst wordt geplaatst. Een winkelier die kaarthoudergegevens verwerkt, controleert de PCI DSS-vereisten en kan voor persoonsgegevens ook AVG-verplichtingen hebben. De ene verplichting vervangt de andere niet.

Een certificaat of rapport benoemt een grens: diensten, locaties en beoordelingsdatums. Leg vast welke beheersmaatregelen van de aanbieder je workload overerft en voer vervolgens je eigen machtigingen, configuraties, procedures en bewijsvoering in. Een algemeen bedrijfscertificaat van een aanbieder beantwoordt niet de vraag of een specifieke nieuwe dienst of regio is opgenomen.

Compliancebewijs is bruikbaar wanneer het past bij de dienst, locatie en periode waarvan je afhankelijk bent. Het downloaden van een document is het begin van de beoordeling; de inhoud bepaalt op welke zekerheid je kunt vertrouwen.

Zoek de documenten van de aanbieder

Voor gedetailleerde SOC-rapporten moet je vaak geheimhoudingsvoorwaarden of een geheimhoudingsovereenkomst accepteren. SOC 3-rapporten voor algemeen gebruik en veel certificaten zijn openbaar. Openbare compliancepagina’s helpen bij het vinden van beschikbare programma’s en diensten binnen hun bereik.

Lees een SOC 2 Type 2-rapport op volgorde

1. Lees het oordeel van de auditor. Een goedkeurend oordeel biedt zekerheid zonder voorbehoud binnen het vermelde bereik; een oordeel met beperking benoemt een voorbehoud dat je moet begrijpen.
2. Vergelijk de systeembeschrijving en het bereik met je gekozen diensten en locaties.
3. Controleer de rapportageperiode en hoe recent die is geëindigd.
4. Lees de geteste beheersmaatregelen en uitzonderingen, inclusief de gevolgen voor jouw gebruik.
5. Bepaal de aanvullende beheersmaatregelen bij de gebruikersorganisatie (CUECs): maatregelen die je organisatie moet uitvoeren.
6. Beoordeel de rol en behandeling van onderaannemers waarop de aanbieder vertrouwt.

Een rapport kan gunstig zijn en toch van je organisatie vereisen dat die gebruikerstoegang beheert, logboeken beoordeelt of een instelling configureert. Neem die taken op in je eigen beheersplan en wijs verantwoordelijken aan.

Op 15 maart 2026 beoordeelt een team een rapport over de periode van 1 oktober 2024 tot en met 30 september 2025. De testperiode van twaalf maanden eindigde 166 dagen eerder. Een overbruggingsverklaring bevat de verklaring van de aanbieder over relevante wijzigingen sinds die einddatum. Het is geen nieuwe onafhankelijke audit van elke dag in de tussenliggende periode. Vraag het volgende rapport op zodra het beschikbaar is.

Bewaar contracten bij het bewijs

De AVG vereist een passend contract tussen verwerkingsverantwoordelijke en verwerker, meestal geleverd als verwerkersovereenkomst of addendum. Voorbeelden van aanbieders zijn het AWS GDPR-addendum, Microsoft Products and Services Data Protection Addendum en Google Cloud Data Processing Addendum. Voor relaties met zakelijke partners onder HIPAA is een BAA vereist.

Een rapport beschrijft beoordeelde beheersmaatregelen. Een overeenkomst schept de relevante contractuele verplichtingen. Het ene document kan de taak van het andere niet overnemen. Zorg dat de toepasselijke overeenkomsten voor de gebruikte diensten zijn geaccepteerd en actueel blijven.

Volg ook de beheersmaatregelen van de klant

Registreer de beheersmaatregelen van de aanbieder als overgeërfd en verzamel vervolgens waar van toepassing je eigen toegangsbeoordelingen, configuratieresultaten, logboeken, beleidsregels en trainingsregistraties. AWS Config-conformiteitspakketten groeperen technische configuratiecontroles; ze beoordelen niet elk beleid of elke personeelsprocedure. Purview Compliance Manager biedt verbeteracties en een compliancescore. Google Assured Workloads past ondersteunde maatregelen toe voor gereguleerde workloads, waaronder locatie- en toegangsbeperkingen.

Gebruik scores en bevindingen als een werklijst met bewijs dat je moet onderzoeken. Los hiaten in bereik of datums op voordat je de documenten aan een inkoper of auditor presenteert en controleer of een nieuw gebruikte dienst of regio een nieuwe beoordeling vereist.

Gegevensbescherming combineert beslissingen over doel, toegang, locatie en rechten van mensen. Gegevens naar een gekozen regio verplaatsen regelt alleen het locatieonderdeel.

Ken de rollen en verplichtingen

De AVG, van toepassing sinds 25 mei 2018, regelt de verwerking van persoonsgegevens binnen haar toepassingsgebied in de EU en de EER. De AVG geldt ook voor organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU of hun gedrag daar volgen. De AVG is niet beperkt tot EU-burgers.

De verwerkingsverantwoordelijke bepaalt de doelen en middelen van de verwerking. De verwerker handelt namens de verwerkingsverantwoordelijke. Voor gehoste klantgegevens is de klant doorgaans de verwerkingsverantwoordelijke en de cloudaanbieder de verwerker. Artikel 28 vereist een schriftelijke verwerkersovereenkomst. De rollen volgen uit de daadwerkelijke verwerkingsrelatie, niet alleen uit de aanduiding van het bedrijf in de cloud.

Verplichtingen die relevant zijn voor de cloud omvatten een rechtmatige grondslag, alleen benodigde gegevens verzamelen (dataminimalisatie), beveiliging passend bij het risico, het recht van mensen op inzage en verwijdering en toepasselijke meldplichten voor datalekken. Artikel 32 noemt versleuteling en pseudonimisering als voorbeelden van beveiligingsmaatregelen.

Volgens artikel 33 meldt een verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na ontdekking aan de toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat die een risico oplevert voor de rechten en vrijheden van mensen. Een verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging. Als de inbreuk op maandag om 09.00 uur wordt ontdekt, eindigen de 72 uur op donderdag om 09.00 uur; dit geeft geen toestemming om te wachten als eerder melden mogelijk is. Bij een late melding aan de autoriteit moet de vertraging worden uitgelegd.

De hoogste boetecategorie van artikel 83 staat een maximum toe van € 20 miljoen of 4% van de wereldwijde jaaromzet van het voorgaande jaar, afhankelijk van welk bedrag hoger is. Bij € 1,5 miljard omzet is 4% gelijk aan € 60 miljoen; bij € 300 miljoen is dat € 12 miljoen, dus is de bovengrens van € 20 miljoen hoger. De daadwerkelijke sanctie hangt af van de overtreding en de beoordeling.

Maak onderscheid tussen locatievereisten

Controleer de locatietoezeggingen van een dienst, back-ups, replica’s en toegang door ondersteuning. De keuze van een regio is geen algemene toezegging voor elke dienstfunctie. Overheids- en soevereine cloudaanbiedingen, zoals AWS GovCloud (US), Azure Government en Europese soevereine mogelijkheden, voorzien in specifieke vereisten met vastgestelde voorwaarden voor deelname en een vastgesteld bereik.

Voor doorgifte buiten de EER is een toepasselijke wettelijke route nodig, zoals een adequaatheidsbesluit, standaardcontractbepalingen of bindende bedrijfsvoorschriften. De adequaatheidsroute van het EU-US Data Privacy Framework geldt voor doorgiften die onder het kader vallen naar deelnemende gecertificeerde organisaties. Ook toegang door medewerkers in een ander land kan een analyse van de doorgifte vereisen, zelfs als de opslag in een EU-regio blijft.

Een verzekeraar die schadeclaims in de EU bewaart, kiest EU-regio’s voor opslag en back-ups, past ondersteunde locatiebeleidswaarborgen toe, beheert de toegang tot sleutels en beoordeelt de verwerkersovereenkomst en doorgiftevoorwaarden. Door de klant beheerde sleutels alleen regelen de verplichtingen voor gegevenslocatie of doorgifte niet.

Versleutelde persoonsgegevens blijven persoonsgegevens voor een partij die ze kan ontsleutelen. Effectieve versleuteling kan de plicht wegnemen om betrokkenen volgens artikel 34 te informeren wanneer aan de voorwaarden is voldaan; voor melding aan de autoriteit geldt een eigen toets. Andere wetten, waaronder de CCPA van Californië zoals gewijzigd door de CPRA en de Braziliaanse LGPD, hebben hun eigen toepassingsgebied en verplichtingen.