“Onze data staat in de cloud, dus die is veilig” is een van de gevaarlijkste aannames in het MKB. De waarheid: de cloudleverancier beveiligt het platform, maar een groot deel blijft jouw verantwoordelijkheid. Dat verschil heet het shared responsibility model, en misverstanden erover zijn een hoofdoorzaak van cloudincidenten.
Wat de leverancier doet, en wat jij doet
Annex A-maatregel 5.23 vraagt dat je de verantwoordelijkheidsverdeling kent. Grofweg:
| Leverancier beveiligt | Jij beveiligt |
|---|---|
| De fysieke datacenters | Je gebruikers en toegang (MFA) |
| De infrastructuur en het platform | Je configuratie en instellingen |
| De beschikbaarheid van de dienst | Je dataclassificatie |
| Platform-patches | Meestal: back-up van je eigen data |
De exacte grens verschilt per dienst (IaaS, PaaS, SaaS), maar de kern blijft: identiteit, configuratie en databeheer zijn vrijwel altijd van jou.
De drie klassieke misverstanden
- “De leverancier maakt back-up van mijn data.” Meestal niet tegen jouw fouten of ransomware. De back-up van je eigen data is jouw taak.
- “De standaardinstellingen zijn veilig.” Zelden. Cloudomgevingen komen vaak met ruime standaardrechten en open deelopties. Configureer bewust.
- “Inloggen is veilig genoeg.” Zonder MFA is een cloudaccount met alleen een wachtwoord de makkelijkste ingang die er is.
Zo pak je het aan
Bij elke kritische clouddienst: leg vast wat de leverancier doet en wat jij moet regelen. Configureer de beveiligingsbaseline (MFA verplicht, extern delen beperkt, logging aan), en regel de exit-strategie: hoe krijg je je data eruit als het moet?
Tip van Control One: De verschuiving naar de cloud lost de infrastructuurrisico’s grotendeels op, maar maakt identiteit en configuratie het nieuwe front. Verleg je aandacht daarheen: MFA en conditional access, veilige configuratie, en zicht op wie waarbij kan. Dat is waar cloudincidenten in de praktijk ontstaan.
Waar de auditor op let
De auditor pakt je kritische clouddiensten en toetst: ken je de verantwoordelijkheidsverdeling, is de dienst bewust geconfigureerd, en heb je een antwoord op de exitvraag? “Dat regelt de leverancier wel” is geen antwoord.
Wil je weten of jouw cloudgebruik beheerst is? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
Annex A 5.23: Informatiebeveiliging bij clouddiensten
Maatregel 5.23 van ISO 27001 Annex A eist processen voor het selecteren, gebruiken, beheren en verlaten van clouddiensten. Zo beheers je cloudgebruik MKB-proof.
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Eigen server of cloud: wat is veiliger?
On-premise of cloud vanuit beveiligingsoogpunt: waar de risico's echt zitten, wat het voor je ISO 27001-maatregelen betekent en de eerlijke afweging voor het MKB.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.