Besluiten om naar de cloud te gaan is het makkelijke deel. Het NCSC, het Nationaal Cyber Security Centrum, is er zelf open over dat het nog aan het begin staat van zijn eigen cloud journey, en omschrijft cloudadoptie als iets met grote gevolgen voor hoe een organisatie haar beveiligingsarchitectuur, processen en benodigde technische kennis inricht — geen weekendklusje. Heeft u de afweging cloud versus on-premise al gemaakt? Dan pakt deze gids het daar op: wat u moet regelen vóórdat u iets migreert, welk type clouddienst u eigenlijk afneemt, wat u met een leverancier moet vastleggen voordat u tekent, en de exitstrategie die de meeste MKB-bedrijven overslaan totdat het te laat is.
Vóórdat u iets migreert
Een migratie die begint met bestanden kopiëren naar welke cloudtool dan ook die iemand als eerste vond, eindigt vaak met niemand die nog precies weet wat waar draait. Drie beslissingen horen thuis vóórdat er ook maar iets verhuist:
Breng in kaart wat u daadwerkelijk heeft. Systemen, gegevens, en vooral de afhankelijkheden ertussen. Een CRM dat een facturatietool voedt die op zijn beurt een boekhoudexport voedt, is één migratie, geen drie losse — en die volgorde over het hoofd zien is de meest voorkomende oorzaak van een migratie die blijft aanslepen.
Stel een prioriteitsvolgorde vast. Niet alles hoeft op dag één te verhuizen, en niet alles zou dat moeten. Een laagrisico-, goed begrepen systeem is een betere eerste stap dan het systeem waar uw hele facturatieproces van afhangt.
Bepaal per systeem wat "klaar" betekent, inclusief wie het test en wat een geslaagde overstap moet aantonen — vóóraf, niet nadat er iets stukgaat.
Welk type clouddienst neemt u eigenlijk af?
"De cloud" is geen eenduidig begrip, en het verschil bepaalt hoeveel uw bedrijf uiteindelijk zelf moet beheren. Het NCSC beschrijft de drie gangbare modellen helder: bij IaaS (infrastructure as a service) beheert de leverancier de infrastructuur en netwerkapparatuur, maar bent u zelf verantwoordelijk voor het inrichten en onderhouden van alles daarbovenop — vergelijkbaar met het huren van serverruimte. Bij PaaS (platform as a service) beheert en monitort de leverancier ook de onderliggende infrastructuur en het besturingssysteem, zodat u alleen nog te maken heeft met de software die u zelf op het platform installeert. Bij SaaS (software as a service) neemt u een of meerdere kant-en-klare webapplicaties af die de leverancier volledig ontwikkelt, onderhoudt en beheert — de pakketten waar het minste technische kennis voor nodig is.
In de praktijk is een MKB-bedrijf zonder eigen IT-functie meestal het beste af zo dicht mogelijk bij SaaS te blijven als de werkelijke behoefte toelaat, en pas naar IaaS te grijpen als een specifieke toepassing dat niveau van controle daadwerkelijk vereist. Elke stap richting IaaS is een stap richting technische capaciteit — intern of uitbesteed — die u mogelijk nu nog niet heeft.
Wat u met een leverancier moet vastleggen voordat u tekent
Het advies van het NCSC hierover is concreet genoeg om als checklist te gebruiken in plaats van een vage waarschuwing:
- Basisbeveiliging van accounts. Een applicatie moet minimaal beveiligd zijn met een gebruikersnaam, een wachtwoord en tweefactorauthenticatie voordat er echte gegevens in de buurt komen.
- Waar de gegevens daadwerkelijk staan. Vraag in welk land de servers staan waarop uw gegevens komen te staan, en wie er toegang toe heeft — niet als formaliteit, maar omdat het NCSC expliciet waarschuwt dat sommige buitenlandse instanties relatief gemakkelijk toegang kunnen krijgen tot clouddiensten, zelfs als de gegevens zelf ergens als Europa staan opgeslagen onder andere regelgeving. De opslaglocatie alleen beantwoordt die vraag niet; vraag de leverancier rechtstreeks welke toegangsafspraken er daadwerkelijk gelden.
- Of u zelf moet versleutelen vóór het uploaden. Voor werkelijk gevoelige gegevens noemt het NCSC de optie om bestanden zelf te versleutelen voordat ze bij de leverancier terechtkomen, zodat een inbraak bij de leverancier uw gegevens sowieso niet blootlegt. Sommige leveranciers bieden "zero-knowledge"-versleuteling, waarbij alleen u de sleutel heeft — met als reële nadeel dat u bij het kwijtraken van die sleutel de bestanden voor altijd onleesbaar maakt, ook voor de leverancier zelf.
- Toegangsbeheer en audit logs. Zorg voor helder zicht op wie waartoe toegang heeft, en of de audit logs van de leverancier vastleggen wie wanneer inlogt en welke acties diegene vervolgens uitvoert.
- Beperkingen op netwerkniveau. Sommige leveranciers laten u toegang beperken tot specifieke IP-adressen — bijvoorbeeld uw kantoornetwerk — of vereisen een VPN-verbinding voordat de dienst bereikbaar is, iets wat de moeite waard is om te vragen, ook als u het niet meteen wilt gebruiken.
De exitstrategie die de meeste MKB-bedrijven overslaan
Hoe meer van uw bedrijfsvoering via één cloudleverancier loopt, hoe afhankelijker u van die leverancier wordt — en het advies van het NCSC is om afspraken te maken over hoe u zou vertrekken en waar uw gegevens dan naartoe gaan, vóórdat u vastzit, niet erna. Een leverancier die failliet gaat of een contractonderhandeling die vastloopt zijn de realistische scenario's, en het NCSC erkent dat dit zelden voorkomt bij grote, gevestigde leveranciers — maar zelden is niet nooit, en een exitplan is veel goedkoper om vooraf te schrijven dan om tijdens een crisis te improviseren. Concreet betekent dit vooraf vragen: in welk formaat krijgt u uw gegevens terug, hoe lang duurt een export, en maakt iets aan de opzet het lastiger om te vertrekken dan u zou willen.
De migratie zelf uitvoeren
Hier telt inzicht meer dan welke checklist dan ook. Een gefaseerde aanpak presteert consistent beter dan één grote overstap: migreer eerst één laagrisicosysteem of -team, laat het een vastgestelde periode parallel draaien met de oude opzet, en ontmantel de oude versie pas zodra de nieuwe daadwerkelijk onder echt gebruik is getest — niet alleen technisch is geverifieerd. Volg de prioriteitsvolgorde die uit uw inventarisatie kwam; het systeem waar alles van afhangt verhuist pas nadat u al iets heeft geleerd van een eerdere, kleinere migratie, niet als eerste poging.
Vertel medewerkers wat er verandert en wanneer, vooral als het gaat om hoe ze inloggen of waar ze iets dagelijks terugvinden — een technisch perfecte migratie waar niemand voor gewaarschuwd is, levert in week één alsnog een stroom aan helpdesktickets op.
Na de migratie
Zodra systemen live staan in de cloud, zijn er een paar zaken die het NCSC noemt en die makkelijk vergeten worden omdat niets u dwingt eraan te denken: stel kostenalerts in op uw cloudgebruik, want onopgemerkte capaciteit is precies wat een aanvaller in staat stelt cryptojacking op uw account te draaien zonder dat iemand de rekening opmerkt tot veel later. En herzie uw back-up- en incidentresponsplan specifiek voor de nieuwe omgeving — een plan geschreven voor on-premise servers dekt niet automatisch wat er gebeurt als de storing of het incident zich bij uw cloudleverancier voordoet in plaats van in uw eigen pand.
Veelgestelde vragen
Wat is het echte verschil tussen IaaS, PaaS en SaaS? Hoeveel u zelf beheert. Bij IaaS krijgt u de infrastructuur en regelt u zelf de inrichting en het onderhoud; bij PaaS beheert de leverancier ook het onderliggende platform en besturingssysteem, en houdt u alleen de software over die u erop draait; SaaS is een kant-en-klare applicatie die de leverancier volledig ontwikkelt, onderhoudt en beheert, met de minste technische kennis van uw kant.
Moeten we onze gegevens zelf versleutelen voordat ze naar de cloud gaan? Niet altijd, maar voor werkelijk gevoelige gegevens raadt het NCSC aan het te overwegen, vooral via een leverancier die zero-knowledge-versleuteling aanbiedt waarbij alleen u de sleutel heeft. Het nadeel is reëel: raakt u die sleutel kwijt, dan zijn de gegevens voor altijd onleesbaar, en ook de leverancier kan ze dan niet voor u herstellen.
Zijn gegevens in een Europees datacenter automatisch veilig voor buitenlandse toegang? Niet automatisch. Het NCSC is expliciet dat sommige buitenlandse instanties relatief gemakkelijk toegang kunnen krijgen tot clouddiensten, zelfs als de gegevens zijn opgeslagen in een rechtsgebied als Europa met andere regels. Vraag uw leverancier rechtstreeks welke toegangsafspraken er daadwerkelijk gelden, in plaats van aan te nemen dat de opslaglocatie die vraag beantwoordt.
Waarom hebben we een exitstrategie nodig als we tevreden zijn met onze huidige cloudleverancier? Omdat het alternatief is dat u onder druk moet onderhandelen over uw vertrek — tijdens een faillissement, een mislukte contractverlenging of een beveiligingsincident — in plaats van op uw eigen voorwaarden. Het NCSC geeft aan dat dit zelden voorkomt bij grote leveranciers, maar een exitplan kost weinig om vooraf te schrijven en veel om achteraf te improviseren.
Hoe lang duurt een cloudmigratie voor een MKB-bedrijf? Dat hangt volledig af van hoeveel er moet verhuizen, hoeveel systemen van elkaar afhangen, en hoe voorzichtig uw gefaseerde aanpak is — er bestaat geen vaste tijdlijn die generiek toepasbaar is. Een goede inventarisatie en prioriteitsvolgorde vooraf is wat die inschatting realistisch maakt in plaats van gegokt.
De volgorde in één keer goed krijgen
Een cloudmigratie loopt vaker mis door het overslaan van een van bovenstaande beslissingen dan door de technologie zelf — en dan is het vaak al te laat om goedkoop terug te draaien. Onze dienst Cloud Infrastructure doorloopt de inventarisatie, de beveiligingschecklist voor leveranciers en de gefaseerde uitrol als één samenhangend proces, in plaats van uw team de afhankelijkheden middenin de migratie te laten ontdekken. En omdat toegangsbeheer en audit logging nu net de plekken zijn waar een gehaaste migratie gaten laat vallen, zorgt ons team Cybersecurity & Identity ervoor dat wie-heeft-toegang-tot-wat bewust wordt ontworpen in de nieuwe omgeving, in plaats van per ongeluk te erven van wat het snelst was in te richten.