Grip op je data is grip op je digitale omgeving

Zelden op één plek

Data stond vroeger in eigen systemen, op eigen servers of in een beperkt aantal applicaties. Inmiddels is dat beeld veranderd. Data beweegt door de hele organisatie. Via Microsoft 365, Teams, SharePoint, CRM, ERP, HR-systemen, marketingtools, rapportagesoftware, SaaS-applicaties, API-koppelingen, back-ups, laptops, mobiele telefoons en externe leveranciers. Daarmee ontstaat een keten waarin data continu wordt aangemaakt, opgeslagen, verwerkt, gedeeld en gekopieerd. Dat hoeft geen probleem te zijn, maar het vraagt wel om inzicht. Want als je niet weet welke reis data maakt, dan is het lastig risico’s goed in te schatten. Veel organisaties weten ongeveer waar hun belangrijkste systemen staan. Bijvoorbeeld in Microsoft 365, een private cloud, een datacenter of een SaaS-applicatie. Maar ‘in de cloud’ zegt nog weinig. De precieze locatie en afspraken zijn relevant voor security, compliance, continuïteit en leveranciersmanagement. Niet omdat ieder risico direct een probleem is, maar omdat je wilt weten waar je afhankelijkheden zitten.

Toegang is de blinde vlek

Weten waar data staat is belangrijk, maar weten wie erbij kan is minstens zo belangrijk. In veel organisaties zijn rechten in de loop der jaren opgebouwd. Medewerkers wisselen van rol, externe partijen krijgen ‘tijdelijk’ toegang, serviceaccounts blijven bestaan en groepen krijgen brede rechten omdat dat praktisch is. Oude accounts worden niet altijd direct verwijderd. Daardoor kan het gebeuren dat meer mensen toegang hebben tot data dan nodig is. Dat maakt identity & access management een belangrijk onderdeel van grip op data. De kernvraag is eenvoudig: hebben de juiste mensen toegang tot de juiste data op het juiste moment?

Minder zichtbaar door koppelingen

Veel datastromen ontstaan via koppelingen. Zodra data via een koppeling naar een ander systeem gaat verlies je direct grip en overzicht. Koppelingen zijn vaak de plekken waar data ongemerkt de organisatie verlaat. Niet per se onveilig, maar wel iets dat zichtbaar en beheersbaar moet zijn. Een aantal voorbeelden: een CRM-systeem deelt gegevens met een marketingplatform, een HR-systeem koppelt met een rapportagetool, een ERP-systeem wisselt data uit met een klantportaal, een API stuurt gegevens door naar een leverancier, een connector haalt data op uit Microsoft 365. Technisch is dat vaak efficiënt, maar voor overzicht en controle kan het lastig worden. Want bij iedere koppeling moet je weten:

• Welke data gaat er doorheen?
• Waar komt die data terecht?
• Wie beheert de koppeling?
• Hoe is de toegang beveiligd?
• Wordt data opgeslagen of alleen verwerkt?
• Welke leverancier is verantwoordelijk?
• Wat gebeurt er als de koppeling stopt?

Kopie van data in back-ups

Back-ups worden vaak gezien als technische voorziening. Iets dat geregeld moet zijn voor het geval er iets misgaat. Maar vanuit grip op data zijn back-ups veel meer dan dat. Een back-up bevat vaak een kopie van bedrijfskritische informatie, soms zelfs van bijna alles. Daarom gelden ook hier belangrijke vragen zoals ‘waar staan onze back-ups?’ en ‘wie kan erbij?’. Het is bovendien belangrijk dat je inzichtelijk maakt of de data versleuteld is en beschermd tegen ransomware. Weet je daarnaast hoe snel je data weer kan herstellen en is dat ook getest? Een back-up geeft pas zekerheid als je weet dat herstel werkt. Anders blijft het een aanname.

Nieuwe datastromen door AI

AI-tools maken het onderwerp nog actueler. Medewerkers gebruiken steeds vaker Copilot, ChatGPT of andere AI-oplossingen om sneller te werken, teksten te maken, documenten samen te vatten of data te analyseren. Dat kan waardevol zijn, maar hierdoor verlies je grip op informatie die de organisatie verlaat. Je weet immers niet of de AI-tool die gebruikt wordt jouw data inzet om zichzelf te trainen. AI hoeft geen probleem te zijn, maar zonder duidelijke afspraken en goede inrichting ontstaat er een extra datastroom waar je weinig grip op hebt. Zorg dus dat je een beleid opstelt voor het gebruik van AI-tools, dat rechten goed zijn ingericht en dat medewerkers weten welke data ze wel en vooral welke ze niet mogen delen.

Direct kunnen ingrijpen

Grip op data gaat niet alleen over weten waar data staat, maar over kunnen handelen als dat nodig is. Dat is het verschil tussen vertrouwen op je inrichting en aantoonbaar in controle zijn. Het is belangrijk dat je toegang tot data kunt monitoren en intrekken, bijvoorbeeld wanneer iemand uit dienst gaat of een andere functie krijgt. Vraagt een klant of medewerker om data te verwijderen, dat is het volgens de Algemene verordening gegevensbescherming (AVG) verplicht. Het is ook de moeite waard te onderzoeken welke afspraken met leveranciers zijn gemaakt. Kun je jouw data exporteren als je overstapt?

Van overzicht naar grip

Grip op data ontstaat niet in één keer. Het begint met overzicht. Breng eerst in kaart waar belangrijke data ontstaat, waar die wordt opgeslagen en welke systemen ermee werken. Kijk daarna naar toegang, koppelingen, leveranciers, back-ups en herstelbaarheid. Een praktische aanpak kan er zo uitzien:

• Breng databronnen en datastromen in kaart.
• Bepaal welke data bedrijfskritisch of gevoelig is.
• Controleer waar data en back-ups staan.
• Review toegangsrechten en externe accounts.
• Onderzoek koppelingen en leveranciersafspraken.
• Test back-up en herstel.
• Maak duidelijke afspraken over AI-gebruik.
• Herhaal deze controle periodiek.

Het doel is niet om alles zwaarder of ingewikkelder te maken, maar juist om verrassingen te voorkomen.

Heeft jouw organisatie overzicht?

De meeste organisaties hebben hun data op onderdelen goed geregeld. Maar door cloud, SaaS, koppelingen, back-ups, externe leveranciers en AI wordt het steeds lastiger om volledig overzicht te houden. Daarom is het belangrijk niet alleen te vertrouwen op gevoel of oude afspraken. Je wilt kunnen aantonen waar data staat, wie erbij kan, hoe data beweegt en wat er gebeurt als iets misgaat. Want echte grip op data begint niet bij beleid, maar bij overzicht. Onze experts helpen je hier graag bij. Vraag een vrijblijvend gesprek aan. Neem contact op.

Door: Jeroen Stokkink, Productmanager multi-cloud, netwerk en managed services bij Acknowledge ICT Group