Organisaties willen hun data vandaag niet alleen dichtbij hebben, maar er ook op elk moment toegang tot hebben. Keepit bewaart data van organisaties in eigen infrastructuur.
Het Deense bedrijf Keepit biedt Back-up-as-a-Service (Baas) voor cloudsoftware waaronder Microsoft, Google en Salesforce. Via veertien datacenters wereldwijd maakt Keepit vendor-onafhankelijke back-ups van SaaS-data, zodat organisaties hun gegevens kunnen beschermen tegen verlies door menselijke fouten, ransomware of technische storingen.
“Vroeger kochten organisatie back-ups voor een gevoel van zekerheid. Vandaag zijn back-ups een essentieel onderdeel van een cybersecurityplan”, aldus Kim Larsen, Group CISO bij Keepit. “Organisaties willen vandaag weten waar hun data staan, en er op elk moment toegang tot krijgen.”
Hoe ziet de IT-omgeving waarvoor je verantwoordelijk bent eruit?
Larsen: “Keepit beheert de back-up van klantdata, wat betekent dat wanneer er iets misgaat bij een klant, die organisatie zich tot Keepit wendt om de data terug te krijgen. Dat vereist een bijzonder hoge beveiligingsdrempel.”
“We beschikken over veertien datacenters en alle infrastructuur is volledig eigendom van Keepit zelf. Elk stuk code is intern ontwikkeld en de mensen die die code schreven, werken nog steeds bij ons. Die aanpak geeft een sterke controle over de volledige omgeving.”
Wat zijn je belangrijkste prioriteiten op dit moment?
Larsen: “Vroeger kochten organisaties back-up voor het gevoel van zekerheid. Vandaag is back-up een essentieel onderdeel van een cybersecurityplan. Aanvallen op kritieke infrastructuur zijn geen theorie meer, en de discussie rond datasoevereiniteit wint sterk aan belang. Organisaties willen controle over hun data, ongeacht of het gaat om een natuurramp, een cyberaanval of geopolitieke ontwikkelingen.”
Bedrijven willen vandaag controle over hun data en er op elk moment toegang tot hebben.
Kim Larsen, Group CISO bij Keepit
“Die verschuiving betekent dat de cloud niet langer één monolithische oplossing is. Leg niet al je eieren in één mand: wie volledig afhankelijk is van één grote cloudleverancier, is kwetsbaar. Wat is jouw alternatief als er iets misgaat? We zien dergelijke incidenten vandaag al gebeuren zoals bij AWS of Crowdstrike, het draait niet enkel meer om theorie. Organisaties willen testen en weten of back-ups echt werken.”
Begrijpt de rest van de organisatie die prioriteiten voldoende? Hoe krijg je iedereen op één lijn?
Larsen: “Het bewustzijn op bestuursniveau is de afgelopen jaren sterk gegroeid. Steeds meer organisaties worden getroffen door bijvoorbeeld ransomware-aanvallen, met alle financiële gevolgen van dien. Die dreiging zorgt ervoor dat het management het belang van een cybersecurityplan inzien.”
“Tien jaar geleden was de CISO iemand die ergens in de organisatie zaken regelde zonder veel aandacht te krijgen. Vandaag verwacht het management concrete antwoorden: wie kan ons aanvallen, wat zijn onze kwetsbaarheden, waar zitten de gaten in onze beveiliging? Dat maakt de rol van CISO inhoudelijk rijker, maar stelt ook hogere eisen aan de manier waarop beveiligingsrisico’s worden gecommuniceerd naar niet-technische beslissers.”
Heeft de IT-afdeling toegang tot voldoende mensen en middelen om de uitdagingen tot een goed einde te brengen?
Larsen: “We hebben voldoende medewerkers om een solide beveiliging en continuïteit te garanderen. Het echte probleem is vaak om de juiste mensen te vinden, zeker in security operations. Mensen met diepgaande kennis en een breed perspectief op beveiliging zijn schaars op de arbeidsmarkt.”
Het is een uitdaging om de juiste mensen te vinden.
Kim Larsen, Group CISO bij Keepit
“Voor groeiende bedrijven komt daar nog een extra dimensie bij: het is niet alleen moeilijk om de juiste mensen te vinden, maar ook om hen te behouden terwijl de organisatie snel uitbreidt.”
Zit de toekomst van de IT-omgeving in de cloud, on-premises of in een combinatie daarvan?
Larsen: “De toekomst van de IT-omgeving ligt in een combinatie van cloud en on-premises oplossingen, waarbij een zogenaamde ‘designated cloud’ een centrale rol speelt. Hoewel cloudoplossingen zoals Microsoft grote voordelen bieden op het vlak van veerkracht en schaalbaarheid, brengen ze ook uitdagingen met zich mee op het gebied van datasoevereiniteit, omdat gebruikers vaak niet weten waar hun gegevens zich precies bevinden.”
“Tegelijkertijd is het volledig on-premises hosten van data geen ideaal alternatief, aangezien de meeste bedrijven onvoldoende kennis hebben om dit te beveiligen. De cloud blijft waardevol, maar Europa gaat de decennia aan IT-ontwikkeling van grote cloudproviders niet in één jaar inhalen, hoe sterk de roep om soevereiniteit ook is.”
We kunnen 30 jaar aan IT-ontwikkelingen niet zomaar inhalen in Europa.
Kim Larsen, Group CISO bij Keepit
“Wat wel realistisch is, is een onderscheid maken tussen applicatiesoevereiniteit en datasoevereiniteit. Volledige applicatiesoevereiniteit is op korte termijn niet haalbaar, maar controle over de eigen data is dat wel. Organisaties moeten toegang kunnen garanderen tot hun data, ook als een cloudprovider uitvalt of als geopolitieke omstandigheden de toegang bemoeilijken.”
Welke impact hebben regelgevingen zoals NIS2 op het IT-beleid?
Larsen: “NIS2 heeft een positieve impact en helpt de CISO in zekere zin. De regelgeving geeft mij de mogelijkheid om het gesprek met de raad van bestuur te voeren op een manier die vroeger moeilijker was. Bestuurders moeten nu actief betrokken zijn bij cyberveiligheid, wat de verantwoordelijkheid breder spreidt dan enkel bij de CISO.”
“Een lijst van duizend uitdagingen voorleggen aan een raad van bestuur werkt niet. Het gaat erom de drie meest kritieke risico’s helder en beknopt te presenteren in een taal die bestuursleden begrijpen.”
“Daarnaast verplicht de regelgeving organisaties om hun herstelplannen effectief te testen, niet alleen op papier. Dat maakt back-upoplossingen concreet relevanter, omdat organisaties moeten kunnen aantonen dat hun herstelplan ook in de praktijk werkt.”
Hoe gaat jullie organisatie om met de AI-hype?
Larsen: “AI is overal aanwezig, ook zonder dat organisaties daar bewust voor kiezen, en precies daar schuilt het risico: medewerkers gebruiken dagelijks gratis AI-tools zonder te beseffen dat ze daarmee bedrijfsdata delen met externe partijen die deze kunnen inzetten voor het trainen van hun modellen.”
“Om dit te beheersen is het belangrijk om enkel door het bedrijf goedgekeurde AI-tools aan te bieden, duidelijke richtlijnen delen over welke data in welke tool gebruikt mag worden, en bewustzijn opbouwen bij medewerkers over de risico’s van gratis tools. Want zelfs een nuttige tool betekent niet dat alle bedrijfsdata daarin thuishoort, en dat onderscheid begrijpen is cruciaal.”
Welke belangrijke trends volg je tot slot nog op met het oog op de komende drie jaar?
Larsen: “Volgens cijfers van Gartner verwacht 96 procent van de CIO’s, inclusief onze eigen CIO, dat hun bedrijf AI binnen het jaar zal gebruiken. Slechts drie tot zes procent van de CIO’s weet hoe hij of zij dit moet aanpakken. Dat is een grote kloof.”
“In die kloof schuilen heel wat risico’s. Zo bestaat het gevaar dat er tools worden geïmplementeerd die data op een foute manier gebruiken, waardoor een organisatie onbedoeld kwetsbaar wordt. Daarnaast kan dit leiden tot verwarring over de strategische richting die men wil uitgaan.”
“Het is belangrijk om AI te verfijnen tot iets begrijpelijk en werkbaar is, zodat mensen ermee aan de slag kunnen en er tegelijk ruimte blijft voor innovatie en verdere ontwikkeling”, besluit hij.