Een school in de wolken

| AE 4507 | Ondernemingsvrijheid, Privacy | 51 reacties

cloud.jpgRegelmatig krijg ik vragen van scholen van allerlei pluimage die overwegen “iets met de cloud” te gaan doen. Dat varieert van het op Slideshare of Youtube zetten van lesmateriaal tot het delen van teksten via Google Docs tot het compleet migreren van de IT-infrastructuur naar Gmail of Microsoft. En dan komt natuurlijk meteen de vraag: mag dat allemaal wel?

De cloud is leuk, maar juridisch lastig. Allereerst zit je met een probleem van beschikbaarheid: wat als Gmail het een middag niet doet, annuleer je dan je lessen? Natuurlijk, dat kan met een eigen IT-infrastructuur ook maar dan kun je makkelijker iemand bellen om maatregelen te nemen. Of je kunt geld in een SLA steken om dat te voorkomen. Met cloudproviders is dat vaak een stuk moeilijker.

Een groter probleem speelt natuurlijk rond de persoonsgegevens van leerlingen (en hun ouders, en de leerkrachten) die je op die manier in de cloud parkeert. Zeker wanneer die cloud in de VS geparkeerd is (een wolk parkeren? ehm), heb je dan eigenlijk altijd een juridisch probleem. Je kunt niet zomaar als school gegevens naar de VS exporteren, aangezien daar geen goede privacybescherming bestaat. Nee, ook niet met Safe Harbor.

Eigenlijk is de enige optie om met ondubbelzinnige toestemming te werken. Mensen moeten dan vrijwillig en expliciet zeggen “Ja, het is goed dat mijn (kinds) persoonsgegevens op servers in de VS worden opgeslagen”. En de pijn zit hem in dat vrijwillig: je kunt niet halverwege een schooljaar ineens eisen dat men even dat formulier ondertekent. Zeker niet als je bedenkt dat in het basisonderwijs de overeenkomst begint in groep 1 en eindigt in groep 8 – en dus niet per schooljaar opnieuw.

Maar wacht, we hadden toch ook nog de goede uitvoering van die overeenkomst als grond? Ja, dat klopt: zonder toestemming mag je iemands persoonsgegevens verwerken (ook in de VS) als dat noodzakelijk is voor het goed nakomen van een overeenkomst met die persoon. Maar is het noodzakelijk om iemands cijferlijst in Google Docs bij te houden, of de spreekbeurten via Slideshare of Prezi te laten lopen? Volstrekt niet.

Als je een Europese cloudprovider gebruikt, dan is dit allemaal een stuk minder problematisch. Het grootste aandachtspunt dat dan overblijft is de beveiliging natuurlijk. Maar probeer maar eens een Europese cloudprovider te vinden die kan wat Google of Microsoft kunnen.

Arnoud

Deel dit artikel

  1. Nu ben ik een groot liefhebber van Google Apps en gebruik ik deze voor het beheren van mijn email op mijn domein, het bewaren van backups van documenten (ruim 100 GB!) en het bijhouden van mijn kalender. Heb nooit echt last gehad dat Google er enorm lang uit lag. Technische storingen liggen bijna altijd aan de hardware aan mijn kant. In dat opzicht is het gebruik van de Google architectuur voor mij een stuk betrouwbaarder dan mijn eigen.

    Maar goed, Google is een grote jongen en er zijn veel kleinere bedrijven die cloud-diensten aanbieden. En die kleinere bedrijven hebben lang niet altijd hun zaakjes goed voor elkaar. Maar dat is ook een risico indien je op je prive-netwerk software gebruikt van derde partijen.

    Ik denk dan ook dat je dan als school moet gaan combineren. De Google cloud is een mooie plek om de database met je leerlingen-administratie in op te slaan, nadat je deze backup hebt ge-encrypt. Idem voor algemene documenten en foldertjes en schoolkranten, die allen prima in de Cloud bewaard kunnen worden. En natuurlijk kun je een prima website in de Cloud (laten) ontwikkelen voor de leerlingen en ouders van de school, die mogelijk zelfs hen de mogelijkheid biedt om prive-data te verwerken. Alleen moet je de website dan wel zo opzetten dat deze geen prive-data opslaat maar gewoon een webservice binnen de eigen architectuur aanroept om daar de data in op te slaan en op te halen. Daar zijn immers web services voor. De Cloud App roept dan gewoon web services aan en de web services staan dan op een Europese provider of eigen netwerk.

    Ik meen mij te herinneren dat Microsoft een deal met een nederlandse universiteit kon afsluiten omdat zij wel kon garanderen dat de data in Europa bewaard bleef en Google niet. Weet iemand hoe dat zou hebben gewerkt?
    Volgens mij heeft Microsoft de boel daarmee een beetje genept, omdat de Amerikaanse Staat ook de data op servers in het buitenland kan opeisen van ieder Amerikaans bedrijf. En zowel Google als Microsoft zijn Amerikaans. Maar het klopt wel. Google heeft een enorm datacenter in America staan. En in Finland, Belgie, Hong Kong, Singapore, Taiwan en Chili. (Hier, exact.) Maar Finlans was pas in 2011 operationeel en Belgie pas in 2010. En geen garantie dat je data ook op deze servers wordt opgeslagen. Microsoft heeft daarentegen datacenters in Dublin, Amsterdam, Singapore en Hong Kong. En wie gebruik maakt van Microsoft Azure kan aangeven waar (ongeveer) hun data opgeslagen dient te worden. (USA, Europa of Azie.) Microsoft kan dus wel garanderen dat data in Europa wordt opgeslagen. Niet dat dit veel uitmaakt want Microsoft is nog steeds Amerikaans en dus is de data op te eisen, ongeacht waar het data centrum staat. Toch, Arnoud?

  2. En de pijn zit hem in dat vrijwillig: je kunt niet halverwege een schooljaar ineens eisen dat men even dat formulier ondertekent. Zeker niet als je bedenkt dat in het basisonderwijs de overeenkomst begint in groep 1 en eindigt in groep 8 – en dus niet per schooljaar opnieuw.

    Arnoud, even een vraag over het bovenstaande. Geldt dit ook rondom andere voorwaarden en formulieren die een basisschool ter goedkeuring voorlegt? Op de school van mijn kinderen geven ouders toestemming bij intake voor een aantal zaken, tussentijds wordt dit vernieuwd.

  3. Voor zover ik weet ga je als ouder één keer een overeenkomst aan met de school, en wel bij de eerste inschrijving. Groep 1 dus. Je kunt met wederzijdse toestemming die overeenkomst aanpassen, of extra overeenkomstjes sluiten (bv. voor een schoolreisje of een groepsfoto) maar ik zie niet hoe ouders gedwóngen kunnen worden die andere voorwaarden te accepteren.

  4. @Wim ten Brink: het lijkt mij dat de EU boetes gaat uitdelen op het moment dat Microsoft data van servers uit de EU aan de autoriteiten in de VS overhandigt.

    Toch blijft het afhankelijk zijn van een cloudprovider een kwestie van vertrouwen. Je geeft de data die je eerst zelf beheerde uit handen. Wat die cloudprovider vervolgens met jouw gegevens doet, is ondoorzichtig. Datastromen gaan zo snel, binnen één seconde kan al je lesmateriaal in de VS staan. En als gebruiker merk je daar niets van.

  5. De school moet toestemming vragen omdat ze de gegevens exporteren naar Amerika. Wat nou als ze de data beveiligen met bijvoorbeeld truecrypt? De data staat dan wel in Amerika, maar niemand daar kan er iets mee omdat ze het wachtwoord niet hebben. Is er dan alsnog toestemming nodig?

  6. Niet geheel ontopic, maar wel interessant door het feit dat je zegt dat een kind/ouder een overeenkomst heeft voor 8 jaar met de basisschool. Volgens mij is dat geen overeenkomst waarin staat dat het kind er ook daadwerkelijk 8 jaar moet blijven, maar is er enkel een verlenging mogelijk. Datzelfde principe is eigenlijk ook het geval met hogescholen en Universiteiten. Je moet je dan wel elk jaar opnieuw inschrijven, maar je begint niet aan je studie om hem op te geven en daardoor is het normaal om je steeds opnieuw in te schrijven (in de wet: dat zijn grofweg de verkeersregels over studies na een middelbare school). Is het dan ook niet het geval dat de overheid die overeenkomsten aanpast door de langstudeerboete, aangezien niemand er rekening mee had kunnen houden die voor de eerste vernoeming in de media begon te studeren? En zelfs na die eerste vernoeming was het nog lang niet zeker dat hij er doorheen zou komen. En als dat zo is, lijkt het mij heel makkelijk om van de langstudeerboete af te komen. Ik vind het alleen raar dat niemand dat geprobeerd heeft, voor zover ik weet, en dat ik ook geen enkele jurist daarover hoor. Misschien denk ik wel te simpel en vergeet ik iets. Ik heb overigens zelf geen last van de langstudeerboete, maar vind hem wel een hele slechte vorm van motivatie: in de opvoedingsleer is allang duidelijk dat straffen niet werkt en belonen wel. Hier worden juist mensen gestraft.

  7. het lijkt mij dat de EU boetes gaat uitdelen op het moment dat Microsoft data van servers uit de EU aan de autoriteiten in de VS overhandigt.
    Tja, het alternatief is dat de USA boetes aan Microsoft gaat geven wegens het niet opvolgen van de wet. En dan heeft Europa een probleem omdat ze een Amerikaans bedrijf niet kunnen dwingen om de Amerikaanse wet te overtreden.

    Cloud ? is gewoon een Server in serverpark, dus hype modegril term
    Ja, dat is een hele simpele voorstelling van de Cloud. Maar het verschil met een normaal serverpark zit hem vooral in de load balancing. Als je een normale webhost gebruikt dan wordt er een specifieke computers (of meerdere, als je grote behoeftes hebt) aan jou toegewezen. Op dat systeem draait dan je web applicatie. Bij Cloud oplossingen is je web applicatie niet op een enkel apparaat aan het draaien maar kan deze op elk systeem in het datacenter aktief zijn. Dat betekent dat als de ene server het druk heeft, dan gaat je applicatie op een andere server draaien. Je hebt dan minder last van de andere personen die binnen dezelfde host je server delen, simpelweg omdat je web applicatie op een van de duizenden servers draait. En welke dat is verschilt keer op keer. Dat maakt Cloud programmeren ook iets lastiger omdat je niets op de server zelf kunt opslaan, want bij de volgende call zit je zeer waarschijnlijk op een andere server. Vandaar dat cloud-oplossingen ook aparte storage-functies kennen naast het redelijk intensief gebruik van databases.

  8. @Wim, je omschrijving is nog steeds een of meerdere servers in een serverpark. Technisch is er wat verschil in abstractielagen, meer niet.

    Maar juridisch gezien is “cloud” inderdaad een hype/modegril term want al de technische blabla maakt niets uit. Maar het is wel een hype/modegril term voor “we gaan onze applicaties en gegevens buiten de deur en vaak zelfs in het buitenland neerzetten/opslaan/parkeren”. En dat heeft consequenties!

  9. je omschrijving is nog steeds een of meerdere servers in een serverpark. Technisch is er wat verschil in abstractielagen, meer niet.
    Nee, niet 1 server, En niet een beetje meer servers. We praten over honderden, zoniet duizenden servers die met elkaar de website bevatten. Het technische verschil is dat wat voorheen op misschien een tiental servers gebeurde nu op duizenden servers kan gebeuren. En ja, de techniek erachter is het zogenaamde load balancing, wat bij een Cloud-omgeving een stuk complexer is juist omdat er zoveel servers beschikbaar zijn. Een ander verschil is de eenvoud waarmee je kunt “upscalen”. Als bij een reguliere hosting oplossing je dusdanig veel bezoekers krijgt dat de servers die je hebt niet voldoende zijn, dan zul je je datacenter opdracht moeten geven om er meer servers bij te plaatsen. Dat is bij een Cloud-oplossing niet nodig. Bij een Cloud-oplossing bestel je gewoon meer CPU bandbreedte en eventueel meer CPU’s voor het tegelijkertijd uitvoeren van taken. En die heb je dan ook vrijwel direct, terwijl bij een reguliere oplossing je toch moet wachten tot de extra server is gekocht, aangesloten, geconfigureerd en dus beschikbaar is. Dit is vooral handig voor bedrijven die periodiek merken dat het aantal bezoekers tijdelijk fors omhoog gaat, om daarna weer te dalen. Denk bijvoorbeeld aan webwinkels tijdens de grote feestdagen (en vooral Kerst/Sinterklaas) maar ook sport-websites tijdens belangrijke wedstrijden. Gedurende enkele dagen stel je je site dan in om meer CPU ruimte te gebruiken en niemand merkt enige vertraging omdat er opeens meer gebruikers zijn, simpelweg omdat er nu tijdelijk meer servers alle verzoeken verwerken. En is de drukke perode weer voorbij dan verlaag je het gebruik weer. En dat is een toepassing die je eigenlijk alleen bij de Cloud kunt vinden…

  10. Onderwijs is geen commercieele dienst, dus het is oppassen met het vergelijkbaar toepassen van eisen aan commercieele diensten. Voor het handelen van (semi)overheden en bij het uitvoeren van wettelijke taken is “noodzaak” iets anders dan “we hebben gekozen voor een werkwijze die ons wel goed uitkomt”. Noodzaak ziet op een verankering in wet- en regelgeving die waarborgen geeft voor de zorgvuldigheid. Een voorbeeld van hoe snel het mis kan gaan; http://www.ombudsman-utrecht.nl/downloads-en-links/rapporten-2007/rapporten-utrecht-2007 Dossier met nummer 06.13275, helaas kennelijk niet meer op de server 🙁 Hierbij ging het over het op internet beschikbaar stellen van vorderingen bij zwemlessen waarbij de achternaam en geboortedatum de toegangsmiddelen waren. Mijns inziens moet elke school een niet elektronisch alternatief bieden aan elke ouder en op elk moment. Het moet de kwaliteit zijn die overtuigt, niet een ondoorzichtige regel in een overeenkomst.

  11. De zoektocht naar “onder dwang getekend” leverde als eerste een uitspraak op over scholen die ouders dwingen dingen te tekenen… We moeten dus erg voorzichtig zijn met de “vrijwilligheid” waarmee dit soort overeenkomsten worden aangegaan, gegeven de leerplicht.

  12. @12 Wim, bedankt voor je uitleg wat een cloud technisch inhoudt. Leuk dat je zo enthousiast bent. Maar ik denk dat mensen die willen weten wat een cloud technisch is, gewoon op wikipedia kijken. Wellicht is je ontgaan dat dit artikel probeert om de juridische aspecten van een cloud te belichten en niet de technische en is je ook ontgaan dat mijn reactie bedoeld was om het spuien van nog meer technische details die van de discussie afdwalen juist te voorkomen.

    Overigens begrijp ik niet waarom als ik zeg “een of meerdere servers” jij moet reageren met “Nee, niet 1 server, En niet een beetje meer servers. We praten over honderden, zoniet duizenden servers”. Ik wist niet dat “duizenden” niet afgedekt werd door de term “meerdere”. Sorry. Of zou het te simpel zijn om het gewoon een keertje met iemand eens te zijn?

  13. @richard, probeer dan ook niet om anderen te corrigeren als je eerst zelf op Wikipedia moet zoeken naar wat een Cloud werkelijk is. En sorry, 1 server is niet genoeg voor een Cloud. Je zei immers “een of…”. En ook juridisch maakt het een groot verschil omdat je bij een normale webhost nog kunt spreken over enkele servers, die bijvoorbeeld in beslag genomen kunnen worden. Bij een cloud-toepassing kun je niet enkele servers in beslag nemen omdat je dan eigenlijk het gehele datacenter in beslag moet nemen. En om al die servers vervolgens te onderzoeken dan ben je best nog wel een lange tijd bezig, zelfs als het gaat om b.v. een prive-Cloud zoals MegaUpload deze had bij Carpathia. Juridisch is het dan ook niet zinvol om de gehele Cloud-omgeving in beslag te laten nemen en al helemaal niet bij een “Shared” Cloud-omgeving. (Azure, Google Apps, Rackspace Cloud…) De juridische aspecten kunnen gewoon niet om de technische aspecten heen.

  14. Gevoelsmatig lijkt er nog wel een verschil te zitten tussen het opslaan van leerlinggegevens (naam, adres, cijfers, medische gegevens, …) in “de cloud” en het gebruik van Slideshare of Prezi. Als het gebruik van “eigen servers” en een cloud oplossing in een afweging doorslaat naar de cloud, is er dan een Europese partij die dat volgens de Europese regels uitvoert? Of is “de cloud” gewoon een Amerikaanse aangelegenheid? Doet bijvoorbeeld Cloudme (Zweeds) hetzelfde als Dropbox (Amerikaans) maar dan volgens de Europese regels, of is dat te simpel gesteld.

  15. @Wim,

    probeer dan ook niet om anderen te corrigeren als je eerst zelf op Wikipedia moet zoeken naar wat een Cloud werkelijk is
    Jouw vooringenomen arrogantie is werkelijk te schrijnend voor woorden. Cloudcomputing is een belangrijk onderdeel van mijn dagelijkse werk. Ik verwees niet naar Wikipedia omdat omdat ik daar zelf mijn kennis over dit onderwerp vandaan zou moeten halen maar omdat jouw irrelevante relaas me aan een Wikipedia-artikel deed denken in plaats van aan een reactie op een juridisch blog. Daarnaast was ik niet eens bezig jou te corrigeren maar probeerde ik je te laten inzien dat het vooral gaat op welk abstractieniveau je een dienst kan bekijken.

    Dat je eerst over de term ‘meerdere’ valt en vervolgens over de term ‘eentje’ bewijst in welke bochten jij je wringt om je gelijk te halen. Vanuit de kant van de afnemer van de clouddienst gezien kan een bepaalde dienst overigens wel degelijk op slechts één server draaien. Schaalbaarheid gaat twee kanten op.

    Jouw argument van inbeslagname (overigens niet het onderwerp van het artikel, dat gaat toch echt vooral over de aspecten van USA clouddiensten) snijdt deels hout maar is zeker niet cloudspecifiek: bij gewone hosting kan ook een SAN of webserver die door meerdere klanten wordt gedeeld, gebruikt worden.

    Daarnaast is het beeld wat jij schetst waarbij elke clouddienst klantgegevens over een groot deel van de infrastructuur of zoals jij zegt ‘het hele datacenter’ verspreidt schromelijk overdreven. Het zal je nog verbazen hoeveel clouddiensten bestaan uit een vrij reguliere hostingomgeving met goede provisioning en een SAN waarover instanties van virtuele machines heen en weer geschoven worden over (per instantie relatief weinige waarbij duizenden echt een uitzondering is) fysieke servers. Ik blijf dan ook bij mijn punt dat cloudhosting technisch gezien vooral qua abstractieniveau verschilt van een reguliere dedicated serveromgeving.

  16. Ik denk bij een cloud oplossing altijd aan dat je de automatisering ziet als een wolk: Geen idee waar het begint, en waar het eindigt, maar in ieder geval ‘buiten’ (dus extern ingehuurd), en het mag iedere dag een andere samenstelling zijn, als er maar water uitkomt / zon tegenhoudt (het werk doet waarvoor je het ingekocht). Het voordeel is juist, dat de technische infrastructuur niet meer de zorg is van de gebruiker, maar alles ‘in de cloud’ geregeld wordt, en je alleen een apparaat met een browser nodig hebt. Dat beeld komt ook goed overeen met het nadeel wat hier wordt aangehaald: Je hebt geen idee waar je data staat, en dat is dus een privacy-issue.

  17. @Richard, je klinkt niet al te overtuigend… Dagelijks werk? De serverroom stofzuigen of zo? Iedereen kan dat wel beweren. Maar als ICT’er zou je beter moeten weten dan zomaar Wikipedia erbij te halen. Immers, de betrouwbaarheid van Wikipedia is zo groot als de betrouwbaarheid van diegenen die het artikel hebben geschreven. Maar feit is dat je met 1 server geen cloud hebt. En 10 servers is eigenlijk ook aan de kleine kant voor een Maar goed, da’s een klein puntje wat je graag opblaast. So what? En ja, ik weet best wel dat diverse hosting-bedrijven cloudcomputing diensten aanbieden en daarbij per klant maar een beperkt aantal servers gebruiken. Maar ja, de grotere jongens zoals Google, Yahoo, Microsoft en Amazon zijn de meestgebruikte cloudhosts en dan praat je al gauw over clusters van duizenden machines. De schatting is dat Google wel een miljoen servers in gebruik heeft. Maar goed, Akamai, Rackspace, Intel, Facebook, Verizon, Time Warner, AT&T en HostEurope hebben ook allen vele tienduizenden servers die ze al dan niet voor clouddiensten inzetten. Dit zijn de grote jongens waar je graag als klant een cloud-oplossing wilt laten hosten, simpelweg omdat ze zullen proberen om de downtime zo veel mogelijk tot een minimum te beperken en daarnaast genoeg resources hebben om een cloud-applicatie snel te verhuizen naar een deel van de servers dat nog wel werkt.

    Maar goed, waar gaat het artikel over? Niet specifiek clouddiensten in de USA. De USA is alleen ter voorbeeld, omdat je je gegevens ook niet zomaar naar Brazilie, Azie of Australie mag sturen om daar te laten hosten. Het gaat erover dat de Cloud opeens buiten werking kan raken, wat inderdaad een risico is als je bij een kleine cloudhost gaat zitten, of bij een cloudhost die -zoals jij al zegt- de klant een beperkt aantal servers toewijst en die allen opeens uitvallen. Dat is dan ook geen verstandige locatie om je cloudapp te hosten. Sowieso noemde Arnoud ook Prezi en als je die niet kent… Die komen uit Boedapest. Europa, dus. 🙂 En SlideShare uit India werd ook genoemd.

    Wat er daarnaast ook in staat is dat er maar weinig cloudhosts zijn die kunnen presteren wat Microsoft en Google kunnen presteren. Google met hun kant-en-klare Apps omgeving en Microsoft met hun Azure architectuur. Beide bedrijven presteren enorm als cloud-hosts. En dit zijn al snel de diensten waar mensen aan denken als ze praten over cloud-oplossingen. Betekent nog niet dat er geen kleine cloudjes kunnen bestaan.

    En als het om het juridische aspect gaat dan heb ik gewoon een goed punt met mijn opmerking over inbeslagname. De MegaUpload kwestie is hierbij een mooi voorbeeld. MegaUpload had immers een prive-cloud met een groot aantal servers. Het gaat volgens mij om 1100 servers en 28 petabytes aan data die dus in beslag is genomen. Nou ja, de servers staan nog waar ze altijd al stonden en moeten al maanden worden onderhouden door het bedrijf dat de serverruimte en servers had geleverd. En dat kost hen weer US$ 9.000 per dag, wat dus een behoorlijke schadepost is. En dat is het juridische aspect van cloudhosting! Als justitie dan wat wil onderzoeken dan zullen ze door een enorme hoeveelheid data moeten zoeken. Niet een paar servers maar letterlijk honderden, zoniet duizenden servers. Dat is gewoon het verschil met reguliere hosts.

    En MegaUpload was groot genoeg voor een prive-cloud… De meeste bedrijven die een cloud-toepassing gebruiken, delen deze vaak met honderden andere gebruikers.

  18. @Richard, je klinkt niet al te overtuigend… Dagelijks werk? De serverroom stofzuigen of zo? Iedereen kan dat wel beweren.

    Jouw opmerking is denigrerend, onnodig respectloos en bovendien uit de lucht gegrepen.

    Je mag het ontzettend met mij oneens zijn maar dit soort opmerkingen gaan mij echt te ver. Ik ben een goede en breed ontwikkelde IT-er en dat zal iedereen die mij kent beamen. Ik ben ingenieur technische informatica, afgestudeerd aan de TU Delft, met 15 jaar werkervaring in de ICT. In mijn carrière heb ik onder meer een hosting omgeving voor secure toepassingen gemanaged en momenteel stuur ik een technisch team aan dat een SaaS applicatie ontwikkelt en beheert.

    Daarnaast heb je blijkbaar een dusdanig bord voor je kop dat je na mijn hint dat je niet te snel aannames moet maken over mensen die je niet kent in de eerstvolgende post die je maakt dezelfde fout nog eens in het kwadraat maakt.

    De rest van je honderdduizendste ellenlange post heb ik niet gelezen. Ik ben er wel klaar mee. Gefeliciteerd Wimbot, je hebt weer een interessante thread compleet verstikt.

  19. Jouw opmerking is denigrerend, onnodig respectloos en bovendien uit de lucht gegrepen.
    Jij begon. 🙂 Herinner jij je “Of zou het te simpel zijn om het gewoon een keertje met iemand eens te zijn?” nog? Staat ergens in je tweede reactie. Afegstudeerd en 15 jaar ervaring? Dan heb je nog wel wat te leren, lijkt mij. Met ervaring in de ICT sinds 1984 lig ik een beetje voor op jou. En ja, ook ik heb behoorlijk wat gezien op het gebied van hosting. En ja, ik zie al jarenlang hoe bepaalde technieken die 30 jaar geleden al bestonden nu gewoon opnieuw worden gepresenteerd onder nieuwe verzamelnamen. Dat is ook niet niets. En nee, ik heb geen zin om met titels te gaan gooien om mijn kennis aan te tonen. Die titels zijn in de ICT meestal weinig waard als je zaken in de praktijk moet brengen.

    Het is bovendien zoals Bastiaan al aangeeft: de term Cloud is een vrij brede term. Maar als mensen denken aan cloud-toepassingen denken ze toch eerst aan de grotere jongens met hun enorme datacenters. Vroeger waren er ook vergelijkbare systemen. Die noemden we “mainframes”. Die staan steeds vaker in het museum, vervangen door een datacenter. Andere techniek, dezelfde centrale dataverwerking…

    Zoals Arnoud het over de Cloud heeft, heeft hij het vooral over de grotere jongens, niet over kleine prive-clouds. Dat is dus de minder brede term die hier wordt gebruikt, lijkt mij.

  20. Dan heb je nog wel wat te leren, lijkt mij. Met ervaring in de ICT sinds 1984 lig ik een beetje voor op jou
    Ja Wim, je bent superieur aan iedereen. Goed hoor. En dat ik nog wat te leren heb: je hebt helemaal gelijk. Ik leer nog elke dag en ik geniet ervan en ik zou doodongelukkig zijn indien daar verandering in komt. Het verschil tussen ons is dat ik me realiseer dat ik nog wat te leren heb en jij denkt dat je voorbij dat stadium bent. Ik bezoek dit blog om mijn geest te scherpen, jij om je verhaal te doen.

    Maar weer even on-topic en met het risico mezelf te herhalen. Ook in die grote clouds zie je dat er best kleine clusters bestaan waar je informatie redelijk samengeklit (is dat een woord?) opgeslagen is. Het is niet zo over het hele datacenter verdeeld als jij doet voorkomen.

    Een andere invalshoek: wat is veiliger? Een school die zelf wat servers in de meterkast heeft gestapeld en die met een door een vrijwilliger gebouwde web-app vol SQL injectie-mogelijkheden aan internet heeft geknoopt, of een school die een professioneel in-the-cloud leerlingvolgsysteem gebruikt? De cloud-based oplossing scoort in zo’n geval beter op beschikbaarheid, integriteit en vertrouwelijkheid. Wat is je bedreiging? Moeten we meer bang zijn dat de Amerikaanse inlichtingendienst aan de schoolcijfers van de kinderen kunnen komen, of dat de kinderen of ouders in staat zijn om die cijfers te wijzigen, of om vertrouwelijke gesprekken met de ouders van het buurjongetje in te zien?

  21. Wim: Vanaf twee (2) servers kan je al een cloud hebben. Dat mensen (onderzoekje?) denken aan duizenden servers is juridisch niet zo heel erg interessant en er is juridisch niet veel verschil. Ook is er, volgens mij, weinig juridisch verschil tussen de cloud en een gewone dedicated server of zelfs een VPS’je. Het gaat er hierbij om dat de data (persoonsgegevens) in een ander juridisch gebied staan en dat er daardoor andere wetten kunnen gaan gelden.

    Als justitie de cloud van een school wil doorzoeken hoeven ze echt niet duizenden server en honderden petabytes aan data te doorzoeken maar hoeven ze alleen het stuk van die school te doorzoeken. Dit is dus ook echt geen argument. Daarbij, of iets praktisch is, heeft niet zo veel te maken met of het juridisch mag.

    Tot slot: Laat iedereen in z’n waarde. Een wedstrijd wie de langste heeft, hoort hier niet thuis.

  22. @Richard

    Wat betreft je laatste alinea, een bij een usa-cloudprovider gehoste robuuste applicatie is in een heleboel opzichten inderdaad beter dan een zelf geknutselde karton-en-plakband oplossing in de gangkast. Maar natuurlijk hebben scholen ook nog een derde optie, namelijk hun spullen laten ontwikkelen, beheren en hosten door bedrijven in nederland die wel verstand van zaken hebben (naast een acceptabele hostingomgeving). In dat geval kun je in ieder geval afspraken maken met de leverancier over alle dingen die je belangrijk vindt, waarbij die afspraken alleen onderworpen zijn aan nederlandse wetgeving. Daarnaast heb je dan in ieder geval je gegevens niet direct naar het buitenland geexporteerd.

    Rien

  23. @Rien: eens, echter vrees ik dat het kostenaspect van een dergelijke optie dermate afschrikwekkend is dat dit in de praktijk geen realistisch scenario is. En als ouder zou ik dan kiezen dat het (toch al beperkte) budget naar zaken gaat die een directere invloed hebben op de lesresultaten van mijn kind, dan oplossingen die tegen veel geld de rapportcijfers uit handen van de Amerikaanse overheid houden.

    Mij valt op dat het “de Amerikaanse overheid is eng” argument vaak rondgaat in antikapitalistische kringen, omdat kapitalisme daar vrijwel synoniem is met “USA”. Nou is de Amerikaanse overheid soms best wel eng, dat geef ik toe, maar laten we dingen wel in perspectief blijven zien. Ik kan maar een voorbeeld verzinnen waar schoolresultaten schadelijk zouden zijn in handen van de USA-overheid: een te kritisch of pro-islam werkstuk maatschappijleer. Maar in de praktijk zetten leerlingen die zelf al in Google docs 🙂

  24. Ik wil ook mijn 2 centen geven.

    Cloud is gewoon een synoniem voor internet. “Vroeger” tekende men diagrammen met computers erop die met lijntjes aan elkaar geknoopt waren om een verbinding op weer te geven. Door aan te sluiten op een groter netwerk (www) tekende men het internet als een wolk.

    Cloud computing gaat over een verregaande vorm van automatisering waarbij (grote) groepen computers “bronnen” opwekken zoals rekenkracht, geheugen en data, zonder dat er menselijke arbeid aan te pas komt (anders dan globale voorzieningen zoals stroom, plaatsen van de servers en dergelijke).

    Terug on-topic: Laten we vaststellen dat de wet geen 1 op 1 aansluiting heeft op de manier waarop het internet functioneert. CBP heeft het ook over zienswijze en opinie. Waar het in de basis op neer komt is dit: Doe ik er voldoende aan om de gegevens van mensen te beschermen tegen oneigenlijke toegang? Als je dit hard kan maken denk ik niet dat je strafbaar wordt bevonden als een deel van jouw data op servers in de VS staat. Wat wel “verkeerd” is, is als je bijvoorbeeld een dienst in de VS (bijvoorbeeld een call center) inzage geeft in die data. Zo is er een geval bekend van een Engels ziekenhuis dat diensten naar patiënten toe had uitbesteed naar India. Om dat moment wordt het namelijk schimmig wat er met die data gedaan wordt.

    Het blijft hoe dan ook technisch een lastig verhaal. Dropbox is een dienst die je af kunt nemen, wat je niet ziet is dat Dropbox zelf weer alles uitbesteed naar een dienst van Amazon (AWS S3). Stel dat Dropbox een Nederlands bedrijf was, hoe kom je er dan achter dat de data in de VS staat opgeslagen? Of wat als je een Nederlands datacenter gebruikt voor het stallen van je servers en deze wordt overgenomen door een bedrijf uit de VS?

    Compliance is compliance, als de klant voorschrijft data data in NL moet worden opgeslagen, heb je je er maar aan te houden, maar daarbuiten gaat het vooral om de geest van de regels. Dus dat je de data beschermt en niet laat verwerken en toegankelijk maakt aan derden partijen buiten de EU. Te star vasthouden aan “onze data mag niet op VS servers staan” leidt er alleen maar toe dat medewerkers zelf tools gaan gebruiken omdat ze anders teveel beperkt worden in hun werkzaamheden.

  25. In Nederland zijn er in de auteurswet een paar uitzonderingen gemaakt voor het onderwijs. Zijn deze ook geldig als de servers van de cloudprovider in het buitenland staan? Er zal vermoedelijk behoorlijk veel auteursrechtelijk beschermd materiaal gedeeld gaan worden via dergelijke netwerken.

  26. Zolang je binnen artikel 16 blijft (nietcommercieel onderwijs en alleen kopiëren voor zover nodig) lijkt het me genoeg als je gewoon de reprovergoeding (readerregeling) afdraagt. Wél lastig is hoe je dat gaat meten, want als je een PDF op Blackboard zet is het moeilijker nagaan hoe veel kopieën er zijn gemaakt dan wanneer de repro een X aantal syllabi maakt.

  27. @Henri Koppen, jij snapt het! 🙂 En het Internet begon zelf weer met de “packet switching” computer-oplossingen van 60 jaar geleden. Alles draait om het versturen van data op steeds efficientere wijze en over een steeds groter wordend gebied. En ja, de wet sluit niet aan op de techniek. Maar de techniek zelf is ook niet altijd voor iedereen duidelijk. Er zijn genoeg dienstverlenende bedrijven buiten de USA die op hun beurt weer gebruik maken van hosts van bedrijven die hun oorsprong hebben in de USA en dus onder die wetgeving vallen. En dan wordt de Patriot Act wel een beetje eng. Maar ja, er gaat sowieso enorm veel dataverkeer dwars door de USA wat de Amerikanen natuurlijk interessante spionage-technieken biedt. Het is om die reden dat Iran nu zijn eigen Internet aan het opbouwen is, compleet los van de rest van de wereld. Maar ja, dat is ook weer bedoeld om het land te isoleren van de rest…

    Je kunt je verder afvragen waarom Europese privacy-gevoelige data niet buiten Europa bewaard mag worden. Is dat echt omdat we de niet-Europezen niet vertrouwen of is het om gewoon de binnenlandse markten te versterken. Want we hebben wel een redelijke markt binnen Europa maar die vallen in het niet bij de Amerikaanse reuzen zoals Google, Yahoo, Microsoft, Amazon en nog meer. Nou ja, bol.com doet het wel aardig… En verder, de Britten hebben in Europa de meeste data centers, gevolgd door Duitsland en dan Frankrijk. Nederland staat op de vierde plek. En 31 van die data centers staan in mijn stad, Amsterdam. 🙂 Je komt dan b.v. uit bij CapGemini, KPN, TeleCityGroup, Level 3 en EvoSwitch. Ja, er zijn best wel genoeg Europese en zelfs Nederlandse data centers om een cloud oplossing te laten hosten. Maar ja, als iemand aan Cloud denkt, denken ze in 99% van alle gevallen aan de Grote Amerikaanse Jongens. (En de rest kijkt in de lucht om te zien of het gaat regenen…)

  28. En dan wordt de Patriot Act wel een beetje eng.

    De patriot act is veel beperkter dan mensen denken.

    Met een NSL mag je bijvoorbeeld niet zo maar data opvragen maar kun je alleen gestructureerde data opvragen. Van bijvoorbeeld een cloudaanbieder kan dus niet de data worden op gevraagd die je opslaat of de inhoud van mails. Wel mogelijk data over wie er een aacount hebben en wanneer die personen waren ingelogd en met welk IP adres of welke emailadressen je gebruikt (voor zover dat binnen de clouddienst gestructureerd is opgeslagen).

  29. @hAl De Patriot Act is wel degelijk eng! Er zijn veel gevallen bekend waar mensen uit hun huis gehaald zijn zonder dat er een proces komt onder mom van de Patriot Act en zonder dat daar een rechtelijk bevel aan vooraf gegaan is. Het punt van de Patriot Act is dat er buiten de “trias politica” ofwel het scheiden der machten zaken worden gedaan die eigenlijk via een rechter zouden moeten lopen.

    Nu kan een Amerikaan niet even op het vliegtuig stappen en bij een Microsoft datacenter aankloppen in NL en zichzelf toegang verschaffen (al hoewel de inname van Kim Dotcom servers daar wel op leek), maar de Patriot Act is wel degelijk eng. Men weet eigenlijk niet goed wat er wel en wat er niet kan onder mom van de Patriot Act, maar ik wel dat als er grote belangen bij komen kijken de VS niet schuwt zijn macht in te zetten.

    De Patriot Act lijkt over terrorisme te gaan, maar drugs en fraude vallen er ook onder (daarmee kun je namelijk terroristen weer steunen).

    Waar het op neer komt is dat als er toegang gevraagd wordt tot data je afhankelijk bent van je provider hoe die daar mee omgaat. Wil je data stallen op faciliteiten waarvan een VS bedrijf de eigenaar is dan dien je een risico analyse te maken. Wat als de toegang tot mijn data ontnomen wordt, wat als de VS mijn data in kunnen zien?

    Maar zo dwalen we weer af van het oorspronkelijke onderwerp. Aangezien het inschrijven van een school toch een formeel proces is kan daar makkelijk wat tekst meegenomen worden dat de ouders instemmen in het opslaan van data op een veilige manier, maar wel mogelijk buiten een NL datacenter. Het probleem dan is echter; wat als een ouder niet instemt? Dan kom je meteen weer op een hellend vlak van “U kunt uw kind alleen maar inschrijven als u toestemt dat wij mogelijke diensten afnemen die data opslaan buiten de EU”, en of dat juridisch nu weer toegestaan is….

    Als ouder hoop ik gewoon dat een school zijn best doet vertrouwelijk met mijn data om te gaan.

    Nog even een laatste “haakje”. De school van mijn kinderen verstuurd nieuwsbrieven via een externe dienst (VS bedrijf), in die nieuwsbrieven staan ook soms namen van kinderen/ouders incl. telefoonnummers, denk je nu echt dat die juridisch gezien strafbaar zijn?

  30. Okay, meerdere woorden dan… MegaUpload was/is een cloud-toepassing waar iedereen bestanden naartoe konden uploaden en die anderen dan weer konden downloaden. En ja, een deel daarvan was illegaal materiaal maar er zijn ook veel gebruikers die MegaUpload voor legale doeleinden gebruikten, zoals b.v. het kunnen delen van foto-rapportages van schooluitjes en delen van digitaal lesmateriaal. De USA heeft vervolgens behoorlijk zware middelen toegepast om deze cloud uit de lucht te halen en in beslag te nemen. Nu staan die 1100 servers met 28 petabytes aan data nog steeds in een datacenter te wachten tot er iemand iets mee kan doen maar al die maanden kon geen enkele gebruiker bij deze data komen. In deze kwestie wordt ook duidelijk dat justitie in de USA samen met justitie in Nieuw-Zeeland een beetje vies spelletje spelen door het niet al te nauw te nemen met de wetgeving. Er zijn al diverse regels verbroken en er zijn steeds meer mensen die zich afvragen of de USA hier niet onrechtmatig bezig is om zo sites uit de lucht te halen die ze niet leuk vinden. MegaUpload is een mooi voorbeeld van hoe een grote Cloud-Provider opeens uit de lucht gehaald kan worden, waarbij dus een kans bestaat dat alle data binnen deze cloud door een buitenlandse partij onderzocht gaat worden.

  31. MegaUpload was/is geen cloud-provider. MegaUpload is een SaaS dienst. Of cloud-toepassing, zo je wilt, maar geen cloud-provider. Een cloud-provider is een partij waar je (een stukje) cloud kan huren, of in terminologie: een PaaS of IaaS dienstverlener.

    Gebruikten ze dan een cloud? Nee, MegaUpload had servers gekocht en gehuurd en bij diverse hostingbedrijven (zie third parties) ondergebracht. Ze huurden dus gewoon rackspace en dedicated servers. En “private cloud”, ja, dat is dus een buzzword voor één of meerdere dedicated servers met virtualisatiesoftware erop.

  32. @hAl (35): Je zegt het precies goed; “in verzet kunnen gaan” het is dus maar afwachten of jouw provider dat doet. @Wim: Ik refereerde inderdaad naar MegaUpload, en dat bevestigd mijn stelling, je hebt domweg geen zekerheid, dus doe altijd een risico analyse als je date in de cloud opslaat (en zorg dus voor een manier waarop je eigen backup’s hebt, een disaster recovery en een exit strategie hebt).

    @Richard; in de laatste zin gebruikt Wim al dan niet ten onrechte “Cloud-Provider”, om daar nu zo’n punt van te maken….

    Punt blijft dus ook voor MegaUpload dat Kim Dotcom “genaaid” is door zijn dienstverlener door het uit oefenen van macht door de VS. Dus ook zonder Patriot Act blijft het dus van belang om over cloud (computing) na te denken. Niet dat megaupload zoveel opties had. In dit specifieke geval is dus ook de privacy van diens gebruikers geschaad en niet zo’n beetje ook.

    Cloud computing heeft echt de toekomst, maar vooralsnog is het een hele uitdaging.

  33. @Richard, ben je weer op een eigenwijze manier aan het corrigeren? Een Cloud-toepassing draait gewoon bij een Cloud-Provider. Zo simpel is het. En het maakt geen biet uit wie die cloud-provider werkelijk is maar MegaUpload draait daarbinnen.

    En sorry, maar MegaUpload gebruikt 1100 servers in een cluster-opstelling. En dat is ook een Cloud.

    En ja, MegaUpload had ook servers bij Leaseweb. Maar een belangrijk deel staat bij Carpathia Hosting en bij Cogent Communications, die beiden in de USA gevestigd zijn en waar dus beslag op is gelegd. Ze staan er overigens nog steeds, omdat de data erop bewaard moet worden. Ook Leaseweb heeft nog diverse MegaUpload servers continu aan staan. Dat heeft te maken met het feit dat het een .COM domeinnaam betreft en .COM onder Amerikaanse juristictie valt. (Ten minste, dat staat in dit artikel.)

    En ja, ook deze site van Arnoud valt daar dus kennelijk onder! Arnoud zou dus zo dit domein kunnen kwijtraken als iemand in de USA een aanleiding kan vinden hiervoor. Maar Arnoud is gewoon braaf dus dat risico zal hij niet snel lopen. Bovendien, de USA is geen China waar iedere website zwaar gecensureerd dient te worden…

  34. @Richard, ben je weer op een eigenwijze manier aan het corrigeren?
    Wim, stop hier eens mee. Dit is wel heel erg kinderachtig aan het worden. Als je het niet eens bent met mij, dan mag je daar óf op een normale manier op ingaan, óf mij negeren, maar houd wel je fatsoen alsjeblieft.

    On topic laat ik het er voor nu even bij dat jouw posts #12 en #40 elkaar inhoudelijk tegenspreken.

  35. Ik werk zelf op een HBO-instelling, ik ken de discussie! Mijn visie: ik ben PRO CLOUD. Ik zal de tegen-argumenten onderstaand ontkrachten:

    1. “wat als Gmail het een middag niet doet?” –> GMail heeft een veel betere uptime dan de eigen ICT-voorzieningen van de Nederlandse onderwijs-instellingen.

    2. “De persoonsgegevens van leerlingen…..Safe Harbor” Zucht. Als je dat werkelijk zo belangrijk vindt,

    a) gooi dan eerst alle closed source software er uit. Lees ook vooral de EULA’s eens door …… je weet daarmee niet wat er onder de motorkap gebeurt, er zijn sterke aanwijzingen voor ingebouwde afluister-achterdeuren in bijvoorbeeld Windows. En in Microsoft- EULAs staan hele enge dingen over je data…

    b)Encrypt al je e-mail, want alle e-mail kan en wordt ook daadwerkelijk onderschept en gelezen.

    c) hoe goed beschermt de Nederlandse overheid haar onderdanen eigenlijk, als het gaat om data of privacy? Nederland, niet de VS, is afluisterland nummer 1. En Nederland draagt gegevens enz. klakkeloos over aan de VS. Waarschijnlijk ben je met een Amerikaanse server en Safe Harbor BETER af dan met de boterzachte Nederlandse bescherming…..

    d) over wat voor data hebben we het? Recepten voor een atoombom? Of een e-mailtje over verplaatste lessen? Atoomgeheimen stuur je uiteraard nooit over de mail….

    e) Social Engineering. Op ‘school-eigen’ systemen kunnen de systeembeheerders alles lezen. Lekker veilig!

    f) technische beveiliging. Google is moeilijker te kraken dan de gemiddelde Nedderlandse onderwijs-instelling

    Al met al is het een mooie illustratie van de kloof tussen de optimistische Amerikanen (die bouwen De Cloud: Microsoft, Apple, Google, Facebook) en de kritische Europeanen (staan aan de zijkant te mopperen.) Waarom bouwen de onderwijsinstellingen en SURF dan zelf niet wat beters?

  36. Punt e over social engineering gaat domwel altijd op. Breng je data onder bij Google en dan nog kan het gebeuren dat iemand toegang krijgt tot jouw data. Ik heb ooit in een openbare bibliotheek ingelogd in mijn (oude) GMail account en poef! 8 uur later was mijn wachtwoord aangepast en kwam ik er niet in. Maar gelukkig biedt Google hulpmiddelen voor als je je wachtwoord bent vergeten. Bleek een of andere Russische gast erin geslaagd te zijn het systeem in de bibliotheek te infecteren met een keylogger en die bleek login wachtwoorden te verzamelen.

    Techniek beschermt gewoon niet tegen social engineering truken. Dat is meer gewoon een kwestie van gezond verstand gebruiken en niet inloggen op een systeem dat je niet kent. En het probleem met scholen is dat je tientallen, zoniet honderden personen hebt met een account binnen het systeem. Leraren en ander personeel om de administratie te regelen, ouders en leerlingen om hun schoolresultaten in te zien en agenda’s te bekijken. En ieder van hen is een potentieel lek binnen je systeem.

    Social engineering verdwijnt dus niet bij een cloud-toepassing. Want bij social engineering is de gebruiker de zwakke schakel, niet het systeem. Als je wilt beschermen tegen social engineering dan moet je het systeem juist minder toegankelijk maken. Bijvoorbeeld door op alleen vanaf bepaalde IP adressen in te laten loggen. Of om bepaalde tijden. In Iran zijn ze momenteel bezig om een sterker beveiligd Internet te produceren. Hoe? Simpel, ze sluiten de buitenwereld af van hun netwerk. En dat zal werken zolang hun internet niet naar buiten hoeft te communiceren…

  37. @NP: Het maakt niet zozeer uit waar de data staat, maar wie het beheert. Feit dat het technisch en soms ook functioneel beheer geoutsourced is bij een SaaS of cloud-oplossing maakt het mijns inziens in de praktijk aanzienlijk lastiger om data te bemachtigen door middel van social engineering. ‘Vroeger’ liep je gewoon bij de systeembeheerder binnen met verhalen als “oh, domdom, bestand kwijtgeraakt, stond in mijn homedirectory, kan je het even mailen”.

    Een SaaS partij bellen en zoiets voor elkaar krijgen is nog steeds mogelijk maar door de strakkere procedures en minder sociale druk (“dat doe je toch wel even voor je collega”) aanzienlijk lastiger.

  38. @hAl, de Patriot Act is gebruikt om MegaUpload gewoon uit de lucht te halen en deze ook uit de lucht te houden. Deze kan namelijk gebruikt worden om servers op Amerikaans grondgebied uit te lezen, ook al is de eigenaar van die data een buitenlander. Dit is ook een belangrijke reden waarom men in Europe er steeds meer op tegen is om Amerikaanse datacenters te gebruiken omdat de Amerikaanse overheid toegang tot die servers kan opeisen en zelfs servers in beslag kan nemen. Niet eenvoudig, maar MegaUpload toont aan dat ze het wel kunnen.

  39. @Wim: Nee, niet de Patriot Act. Er is “gewoon” met een gerechtelijk bevel (wat wij “machtiging rechter-commissaris” zouden noemen) ingegrepen op basis van diverse beschuldigingen van samenzweringen (wat wij “in vereniging plegen/medeplegen” zouden noemen), onder meer tot het schenden van auteursrechten (18 USC 371). In theorie kan dat bij ons ook, want bij ons is opzettelijke inbreuk eveneens een misdrijf.

  40. Het gerechterlijk bevel is ook veel krachtiger omdat het functioneel minder beperkt is dan een NSL. Het vereist wel een rechterlijke beoordeling vooraf maar het is een veel zinvollere manier om aan gegevens te komen.

    Een NSL is door de patriot act is handig om heel snel zonder een rechter bij een telco op te vragen welke nummers er met een telefoon gebeld zijn of wanneer een bepaald IP adres is gebruikt en door wie maar is vrijwel zinloos om in te zetten om data uit een cloud te krijgen.

Laat een reactie achter

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren en <em> en <strong> voor italics en vet.

(verplicht)

Volg de reacties per RSS