Bas van Erk, Keepit: ‘Back-up is niet meer een papieren exercitie’

“AI is natuurlijk een enorme gamechanger. Het is direct de bestuurskamer binnengekomen”, zegt Van Erk. “Dus wat we zien is dat back-up steeds meer verschuift van een compliancevraagstuk naar echte bedrijfsweerbaarheid. De tijd tussen het ontdekken van een kwetsbaarheid en het daadwerkelijk misbruiken daarvan is veel korter geworden. Waar je vroeger over weken sprak, gaat het nu soms om uren.”

Volgens Van Erk verandert hierdoor ook het gesprek met klanten. Wetgeving zoals NIS2 en DORA heeft de aandacht voor gegevensbescherming vergroot, maar alleen voldoen aan regels is niet voldoende. Organisaties moeten weten of hun herstelstrategie in de praktijk werkt, zeker wanneer een cyberincident meerdere systemen tegelijkertijd raakt.

No IT

Een voorbeeld dat Van Erk noemt is een grote Nederlandse pensioenuitvoerder. Voor een dergelijke organisatie is continuïteit direct verbonden met de dienstverlening aan grote groepen burgers. Langdurige uitval heeft daarmee gevolgen die veel verder reiken dan de IT-afdeling. “Die klant heeft een zogenoemd no-IT-scenario uitgewerkt”, vertelt Van Erk. “Stel dat alle IT volledig wegvalt en je nergens meer bij kunt. Hoe snel ben je dan weer operationeel?”

De waarde van zo'n scenario zit volgens hem vooral in het daadwerkelijk testen van herstelmogelijkheden. “Organisaties moeten vooraf bepalen welke systemen en gegevens essentieel zijn en in welke volgorde zij opnieuw beschikbaar moeten komen. Een back-up die technisch bestaat, maar waarvan niemand weet hoe snel die kan worden teruggezet, biedt weinig zekerheid. Het gaat van een papieren exercitie naar een echte oefening. Dat is een heel ander gesprek dan alleen vaststellen of je aan compliance-eisen voldoet.”

Keepit richt zich daarbij specifiek op de bescherming van data uit SaaS-applicaties. Het bedrijf levert een cloudnative back-upoplossing waarmee gegevens afzonderlijk van de productieomgeving worden opgeslagen en hersteld. “Een connector heb je heel snel opgezet. Vervolgens kun je ook heel gericht zoeken naar wat je nodig hebt en dat snel terugzetten.”

Datasoevereiniteit

Naast cyberweerbaarheid is digitale soevereiniteit een belangrijk onderwerp in de gesprekken die Keepit met klanten voert. Vooral publieke organisaties en ngo's zoeken naar manieren om minder afhankelijk te worden van Amerikaanse technologieleveranciers. “Het is natuurlijk onmogelijk om direct te stoppen met die leveranciers.  We willen die technologie blijven gebruiken en zijn er ook afhankelijk van. Maar je kunt wel kijken hoe je een daadwerkelijk soevereine back-up organiseert.”

Datasoevereiniteit betekent dus niet alleen dat gegevens fysiek binnen Europa staan. Minstens zo belangrijk is onder welke wetgeving ze vallen, wie toegang kan afdwingen en welke andere partijen betrokken zijn bij de infrastructuur.  “Wie kan die data opvragen? Dat is uiteindelijk een essentieel onderdeel van echte datasoevereiniteit.”

Keepit is van oorsprong een Deens bedrijf en heeft zijn infrastructuur daarom bewust anders ingericht dan veel cloudgebaseerde dienstverleners. “Wij hebben onze eigen datacenterregio's en infrastructuur, die volledig door ons worden beheerd. We gebruiken onze eigen software om de data op een onveranderlijke manier op te slaan. Zodra die data daar staan, kan niemand het wijzigen of verwijderen, alleen de klant kan ervoor kiezen het ergens anders naartoe te sturen.

AI-agents

Een andere trend is de snelle groei van agentic AI. Waar AI tot voor kort vooral werd gebruikt om informatie te raadplegen en teksten te genereren, krijgen agents steeds vaker toegang tot bedrijfssystemen waarin zij zelfstandig handelingen uitvoeren. Agents kunnen gegevens lezen, wijzigen en verwijderen, terwijl die handelingen niet altijd vooraf door een medewerker worden beoordeeld. Ook neemt het aantal applicaties en gegevensstromen toe doordat medewerkers zelf nieuwe AI-toepassingen ontwikkelen.

“Ik sprak onlangs een klant die zei: als je als organisatie zelf geen AI-strategie hebt, dan hebben je medewerkers die wel. Want ze gaan het toch gebruiken. De gevolgen kunnen groot zijn als geautomatiseerde processen onbedoeld grote hoeveelheden gegevens aanpassen. Ik sprak iemand waar binnen een paar minuten bijna vijftigduizend bestanden waren verwijderd. Dat gaat allemaal veel sneller dan vroeger. En wanneer AI zelfstandig taken uitvoert, heb je daar als organisatie niet altijd direct zicht op.”

Dit raakt aan een ontwikkeling die Van Erk headless AI noemt: AI-systemen die zonder voortdurende menselijke tussenkomst acties uitvoeren en gegevens tussen systemen uitwisselen. “Bij agentic AI zagen we aanvankelijk nog dat er een mens tussen zat”, zegt hij. “Maar om de efficiëntie verder te verhogen, wordt die mens er steeds vaker tussenuit gehaald. AI schrijft dan zelf gegevens weg in andere systemen. Dat is het moment waarop de vraag naar betrouwbaarheid steeds belangrijker wordt.”

Hij ziet hierdoor een groeiende behoefte aan een onafhankelijke kopie van bedrijfsgegevens, inclusief eerdere versies. Niet alleen om gegevens na een cyberaanval terug te halen, maar ook om onbedoelde aanpassingen door automatisering ongedaan te maken.

CIO

Die ontwikkeling raakt direct aan de verantwoordelijkheid van de CIO. Waar gegevensbescherming traditioneel vooral gericht was op beschikbaarheid en beveiliging, komt daar nu het aantonen van de juistheid van informatie bij. Van Erk gebruikt hiervoor de Engelse term evidence custodian: degene die het bewijs bewaakt en kan aantonen wat de oorspronkelijke gegevens waren. “Met AI kijkt iedereen naar de CIO. Wat is de herkomst van de data? Hoe kunnen we terug naar de waarheid? Kunnen we aantonen dat dit de werkelijke data waren? Zeker omdat AI soms informatie aanvult wanneer het iets niet weet, wordt die vraag belangrijker.”

Keepit gebruikt hiervoor de positionering AI Truth Cloud. Die bouwt voort op de bestaande back-updienst, waarbij eerdere versies van gegevens onafhankelijk van de productieomgeving worden bewaard. Dat geeft organisaties een referentiepunt wanneer zij vermoeden dat data door AI of andere processen zijn veranderd. “Wij hebben een kopie van de data zoals die op een bepaald moment waren opgeslagen, onafhankelijk van de productieomgeving”, zegt Van Erk. “Daarmee kun je terug naar eerdere versies en vaststellen wat er veranderd is. Dat noemen wij de AI Truth Cloud.”

Partners 

Het partnerkanaal is daarvoor cruciaal. “Wij willen de meest partnervriendelijke organisatie worden. Daar investeren we veel in.” De rol van die partners verschilt per klant. Soms gaat het om het beheren en beschermen van de digitale werkplek, terwijl grotere adviespartijen vaker betrokken zijn bij strategische gesprekken over risico's, weerbaarheid, soevereiniteit en AI.

Daarmee raakt gegevensbescherming steeds sterker verweven met bredere IT-strategische keuzes. “Back-up is natuurlijk niet nieuw”, besluit Van Erk. “Maar door alles wat er momenteel in de wereld gebeurt, verandert de betekenis ervan. We zien die vraag enorm toenemen, ook in Nederland.”