Zorg heeft geen benul van valkuilen in de cloud

Met de explosieve groei van digitale data in de zorg, kiezen aanbieders in toenemende mate voor opslag in de cloud. Het gebruik van cloud-voorzieningen in de VS of Azië brengt klemmende vragen rond privacy en dataveiligheid met zich mee. De zorgsector is zich van deze valkuilen nauwelijks bewust, zo blijkt uit onderzoek van het Nederlandse datacenterbedrijf BIT.

Voor het onderzoek ging BIT te rade bij bijna 1.100 IT-professionals, waarvan een substantieel aantal werkzaam is in de zorg. De uitkomsten van het onderzoek zijn volgens CTO Alex Bik ‘op zijn minst opmerkelijk’. Bik is vooral “geschrokken van de onverschilligheid en het gebrek aan kennis waarmee beslissingen lijken te worden genomen.”

Uit het onderzoek blijkt dat steeds meer partijen voor de cloud kiezen. Circa driekwart van de onderzochte bedrijven is geheel of gedeeltelijk over gegaan naar de cloud. Van de bedrijven die van de cloud gebruik maken, benut bijna een derde faciliteiten buiten Europa.

Minder garanties

Dataopslag buiten Europa betekent minder juridische garanties ten aanzien van privacy en veiligheid. Sommige internationale providers hebben datacenters in Nederland of elders in Europa en vallen daarmee onder de Algemene verordening gegevensbescherming (AVG). Maar lang niet altijd maken providers bekend waar ze de data opslaan. Zonder waterdichte afspraken kunnen bedrijfs- en privacygevoelige data zomaar in een Amerikaanse cloud belanden.

Juridisch kan dit gebruikers in conflict brengen met de Europese wet- en regelgeving. Praktisch gezien kunnen de consequenties nog groter zijn. Op grond van de Cloud Act kan de Amerikaanse overheid zomaar databases met klantgegevens opvragen.

Databescherming

Juist sectoren die met zeer privacygevoelige informatie werken, zoals de zorg, zouden oog moeten hebben voor zulke voetangels. Maar volgens BIT blijkt nergens dat sectoren als deze voorzichtiger zijn met clouddiensten.

Sterker nog: gevraagd naar wat de cloud-provider doet op het gebied van databescherming, scoort de zorg het laagst van alle sectoren. Nog geen 39 procent van de respondenten zegt te weten wat de provider op dit gebied doet.

Blind varen op afspraken

Daarbij varen organisaties blind op ooit gemaakte afspraken met de leverancier. Nog niet de helft controleert regelmatig op welke locatie data staan. Als een cloud-provider zou beslissen om data te verplaatsen naar een ander datacenter, zou dat in de helft van de organisaties lang onopgemerkt kunnen blijven.

Onwetendheid is er ook op een ander punt. Providers als Microsoft, Google, IBM en Oracle hebben datacenters in Nederland. De klant kan hier daadwerkelijk voor kan kiezen. Amazon kent deze voorziening helemaal niet. Toch denkt bijna 73 procent van de Amazon-klanten dat hun data in Nederland staan.

Veiligheid en privacy

Dit alles leidt BIT tot de conclusie dat veiligheid en privacy vooral op papier belangrijk zijn. Bij de keuze voor een hosting- of cloud-provider staan ze bovenaan het lijstje. Maar daarna wordt er in de praktijk nauwelijks nog naar omgekeken.

Het idee dat data in een Amerikaanse of Aziatische cloud minder veilig kan zijn, leeft nauwelijks. Slechts één op de tien ondervraagden vindt het zorgelijk dat de eigen organisatie gebruikmaakt van een Amerikaanse provider.

Gevoel van ongemak

Wel leeft er een breder gevoel van ongemak over de dominante rol van grote cloud-providers als Amazon, Google en Microsoft. Ruim zes van de tien respondenten is bang voor de groeiende macht van Big Tech.

Als tegenwicht heeft de Europese Commissie de aanzet gegeven tot een gezamenlijke Europese cloud-infrastructuur. Maar slechts de helft van de geënquêteerden kent de European Alliance for Industrial Data, Edge and Cloud.

Niet doorgedrongen tot bestuurskamers

Om de kennislacune te vullen en uit de greep van grote aanbieders te blijven is volgens BIT grotere bestuurlijke betrokkenheid noodzakelijk. “Het feit dat we in dit onderzoek regelmatig tegenstrijdige antwoorden tegenkomen en relatief veel mensen eenvoudige vragen beantwoorden met ‘weet niet’, geeft aan dat het gesprek op dit moment nog niet breed genoeg wordt gevoerd en dat strategische beslissingen eigenlijk teveel worden overgelaten aan de IT-afdeling. […] In veel bestuurderskamers is nog niet doorgedrongen dat IT-kwetsbaarheden gevolgen kunnen hebben voor het imago van en het vertrouwen in de organisatie.”

Kom van 14 t/m 16 juni naar Zorg & ICT voor de nieuwste ontwikkelingen rond data en digitale zorg.