Meer en meer mensen én organisaties slaan hun gegevens op in de cloud. Cloudopslagdiensten als Dropbox, Google Drive, NordLocker, Internxt, iCloud en Microsoft OneDrive worden dan ook steeds populairder. Met het toenemende gebruik van cloudopslagdiensten, is er ook een groeiend bewustzijn rondom de risico’s die dit met zich meebrengt. Hoe veilig is cloudoplsag eigenlijk?
Toegankelijkheid als sleutel
Als je gebruikmaakt van een cloudopslagdienst, geef je je gegevens in feite in handen van derden. Als het om cloudopslag gaat, zijn er drie zaken waar je moet denken.
-
Beschikbaarheid:
Zijn de data die je opslaat in de cloud toegankelijk op het moment dat ze nodig zijn? Dat is waar beschikbaarheid over gaat. Dit aspect noemen we ook wel tijdigheid van informatie. Andere aspecten die een rol spelen zijn continuïteit (kunnen medewerkers doorwerken als er een storing optreedt?) en robuustheid (raakt het systeem niet overbelast als er veel mensen tegelijkertijd aan het werk zijn?). -
Integriteit:
Is de informatie in de cloud juist en volledig? Als een onbevoegd iemand, bewust dan wel onbewust, gegevens aanpast, is dit een inbreuk op de data-integriteit. Een cloud moet data correct verwerken en opslaan. Gebeurt dat niet, bijvoorbeeld door een programmeerfout, kan is de integriteit van de gegevens niet gegarandeerd. -
Vertrouwelijkheid:
Dit gaat over de vraag of alleen bevoegde mensen toegang hebben tot specifieke bronnen, gegevens en datastromen. Als iedereen bijvoorbeeld zomaar de financiële gegevens van een bedrijf kan raadplegen, is deze informatie onvoldoende afgeschermd. De vertrouwelijkheid of exclusiviteit is dan niet gewaarborgd. Logische toegangscontrole zorgt ervoor dat alleen geautoriseerde mensen toegang hebben tot systemen en gegevens.
Dit zijn de fundamentele basisprincipes van informatiebeveiliging. We spreken ook wel van de BIV-driehoek of het CIA-principe. ‘CIA’ staat in dit geval voor Confidentiality (vertrouwelijkheid), Integrity (integriteit) en Availability (beschikbaarheid).
Als we het over clouddiensten hebben, zijn we geneigd om twee vragen te stellen: hoe betrouwbaar en hoe veilig is het? Beide issues draaien in feite om toegankelijkheid. Betrouwbaarheid draait om de vraag of jij altijd bij je gegevens kunt. Beveiliging om de vraag of kwaadwillenden dat ook kunnen.
Hoe betrouwbaar is cloudopslag?
Betrouwbaarheid slaat vooral op de stabiliteit van de systemen die je gegevens hosten en de beschikbaarheid van je gegevens. Niemand wil zijn gegevens opslaan op een storingsgevoelig systeem. Aanbieders proberen de storingsgevoeligheid van hun systemen te verminderen door ze redundant uit te voeren, vaak op hardwareniveau. Dat betekent dat alle kritische componenten van het systeem, bijvoorbeeld de stroomvoorziening, meervoudig – vaak dubbel – zijn uitgevoerd. Gegevens worden meestal op ten minste drie verschillende harde schijven opgeslagen. Bovendien worden ze als het ware in stukjes gehakt en wordt elk stukje gecodeerd en op verschillende plekken opgeslagen.
Betrouwbaarheid slaat echter ook op de financiële gezondheid van de cloudaanbieder. Als je cloudaanbieder op de fles gaat, is het vaak lastig om nog bij je gegevens te komen.
Hoewel je aan de betrouwbaarheid van grote partijen als Google, Apple en Microsoft niet hoeft te twijfelen, ligt dat mogelijk anders bij sommige kleinere cloudaanbieders.
Hoe beveiligen clouddiensten je data?
De grote cloudaanbieders treffen stuk voor stuk vergaande maatregelen om je gegevens te beveiligen. Maar je kunt ook zélf extra beveiligingsmaatregelen treffen om je data te beschermen.
De eerste en meest voor de hand liggende beveiligingsmethode, is authenticatie. Dat betekent niets meer en niets minder dan dat je moet inloggen met een gebruikersnaam en wachtwoord om bij je gegevens te komen. Een sterk wachtwoord werpt al een eerste drempel op voor kwaadwillenden die bij je gegevens willen komen. De meeste hackers proberen immers, in ieder geval in eerste instantie, ‘gewoon’ via de voordeur binnen te komen, zij het zonder te kloppen.
Encryptie en omgevingsbeveiliging
De tweede beveiligingsmethode is encryptie, oftewel het versleutelen van je gegevens. Gegevensbestanden worden nagenoeg altijd versleuteld opgeslagen in de cloud, waardoor ze onbegrijpelijk zijn voor iemand zonder de juiste ‘sleutel’. Bij de grote cloudaanbieders beschik je zelf niet over de sleutel. Die is in feite ingebakken in de dienst zelf. Als je inlogt met je wachtwoord, wordt je data automatisch gedecodeerd. Er zijn echter ook kleinere clouddiensten waarbij je als gebruiker de sleutel daadwerkelijk zelf in handen krijgt. Dit betekent ook dat als je deze sleutel kwijtraakt, je niet meer bij je gegevens komt. Een simpele password reset is dan onmogelijk. Je kunt je gegevensbestanden overigens ook zélf coderen voor je ze opslaat in de cloud, met speciale versleutelingssoftware.
Naast de voorgaande vormen van netwerkbeveiliging, speelt ook de fysieke en omgevingsbeveiliging van datacenters een belangrijke rol bij de aanbieders van clouddiensten. We hebben het dan over zaken als fysieke toegangscontrole, inbraakpreventie, beveiliging van kantoren en beveiliging en onderhoud van computer- en netwerkapparatuur. Die fysieke beveiliging is er niet alleen om de peperdure hardware te beschermen, maar ook je gegevens. Het heeft immers weinig zin om de elektronische achterdeur dicht te timmeren als de fysieke voordeur openstaat. Bij de grote aanbieders kun je ervan uitgaan dat je gegevens niet in één, maar in twee of meer datacenters op afstand van elkaar worden gehost. In dit geval is er al een James Bond-scenario voor nodig willen kwaadwillenden er met jouw gegevens of de gegevensdragers vandoor gaan.
Vraag je tot slot ook af: hoe waardevol zijn mijn gegevens nu eigenlijk voor anderen? De kans dat je het slachtoffer wordt van een gerichte aanval is in de praktijk erg klein.
Cloudopslag veiliger dan lokale opslag?
Hoewel de afstand tot je gegevens misschien een gevoel van onveiligheid oproept, is cloudopslag stukken veiliger dan je vermoedelijk denkt. Je verstuurt je gegevens over een beveiligde verbinding naar een datacenter dat ongeveer net zo goed beveiligd is als Fort Knox, waar meerdere kopieën van je gegevens worden bewaard en ze gebruikmaken van de beste antivirussoftware. De kans dat je gegevens zoekraken, gewist worden, gecorrumpeerd raken of gestolen worden, is nihil.
Uiteindelijk is je thuiscomputer de zwakste schakel in dit geheel, en dat is niet anders dan wanneer je je gegevens lokaal opslaat. Je kunt je dus beter druk maken om de betrouwbaarheid en beveiliging van je eigen computersysteem dan je af te vragen hoe veilig je gegevens in de cloud zijn.
Privacyrisico’s van cloudaanbieders
Als je overweegt om je data op te slaan bij een cloudaanbieder, is er naast betrouwbaarheid en toegankelijkheid nog iets waar je rekening mee moet houden: welke privacyrisico’s loop ik mogelijk door zaken te doen met een cloudprovider? De Autoriteit Persoonsgegevens en andere Europese toezichthouders brengen momenteel cloud gebruik door overheden in kaart.
“Want zijn die data daar wel goed beschermd? Overheden hebben natuurlijk zeer veel gevoelige data over u en mij. Daar moeten hackers of buitenlandse overheden niet zomaar bij kunnen. Dus als overheden dit soort data in de cloud zetten, moeten ze daar vooraf goed over nadenken”, aldus Monique Verdier, vicevoorzitter van de Autoriteit Persoonsgegevens.
Sinds het Europees Hof van Justitie in de zomer van 2020 een einde maakte aan het Privacy Shield, ontvangen de nationale privacywaakhonden steeds vaker signalen dat cloudaanbieders zich niet houden aan de Algemene Verordening Gegevensbescherming (AVG).
Onderwijswereld versus Google
Een goed voorbeeld daarvan is de onderwijswereld. Uit een Data Protection Impact Assessment (DPIA) bleek dat onderwijsinstellingen ‘geen of onvoldoende grip’ hadden op de verwerking van metadata. De overheid attendeerde scholen op de privacyrisico’s van Google Workspace (dat aanvankelijk Google G Suit for Education heette). De Autoriteit Persoonsgegevens adviseerde onderwijsinstellingen om voorlopig te stoppen met Google Workspace. De toezichthouder concludeerde dat er ‘fundamentele vragen’ waren over privacybescherming en verwerking van persoonsgegevens waar eerst een antwoord op geformuleerd moest worden.
In juli 2021 wisten onderwijsorganisaties SURF en SIVON een akkoord te bereiken met Google om de privacy van leerlingen en docenten beter te waarborgen. De belangrijkste wijziging is dat Google niet langer als gegevensverantwoordelijke optreedt, maar fungeert als gegevensverwerker. Dat is een grote aanpassing, omdat hiermee paal en perk wordt gesteld in wat Google allemaal met de verzamelde metadata mag doen.
Onder de oude voorwaarden gebruikte de zoekreus deze informatie voor commerciële doeleinden, waaronder het tonen van advertenties. Doordat Google voortaan optreedt als gegevensverwerker, mag het metadata enkel nog gebruiken om haar diensten te onderhouden, bedreigingen aan te pakken en updates te ontwikkelen.
Bron: sivon.nl, surf.nl, fd.nl, curia.europa.eu, autoriteitpersoonsgegevens.nl, vpngids.nl
Bekijk alle vormen en begrippen
Meer actueel nieuws
Dataverrijking: waarom het Odido lek gevaarlijker is dan je denkt
Op 1 maart publiceerde de hackersgroep ShinyHunters de volledige dataset van Odido op het darkweb. Gegevens van 6,5 miljoen personen en 600.000 bedrijven liggen nu open en bloot op internet. Namen, adressen, IBAN nummers, geboortedatums, paspoortnummers en zelfs BSN nummers van zzp'ers. Maar het echte gevaar van dit datalek zit niet in wat er gestolen is. Het zit in wat criminelen er straks mee gaan doen.
Odido finale: 6,1 miljoen op straat, overheid kwetsbaar
Het datalek bij Odido heeft zijn definitieve omvang bereikt. Beveiligingsonderzoeker Troy Hunt bevestigt dat de gegevens van 6,1 miljoen klanten inmiddels op het darkweb staan, inclusief burgerservicenummers van zelfstandigen. In Den Haag stapelen de zorgen zich op, de Dienst Justitiële Inrichtingen werd vijf maanden lang bespioneerd via een kwetsbaarheid in Ivanti, de Belastingdienst vertrouwt het systeem voor de omzetbelasting toe aan een Amerikaans bedrijf en duizenden applicaties op het Mendix platform lekken wereldwijd gevoelige data. Het IBM X-Force rapport onthult dat een kwart van alle cyberaanvallen op Europa is gericht, terwijl het Nederlandse Jaarbeeld Ransomware laat zien dat gehackte accounts de belangrijkste aanvalsmethode zijn geworden. Dit journaal bestrijkt het nieuws van 28 februari tot en met 2 maart 2026.
NB407: Jouw Odido data staat nu op het darkweb
Deze week werd het ergste scenario werkelijkheid: ShinyHunters publiceerde de gestolen gegevens van honderdduizenden klanten van Odido op het darkweb, inclusief IBAN nummers en paspoortnummers. We leggen uit wat criminelen nu over jou weten en welke stappen je moet nemen. Daarnaast gebruikte een Russische hacker AI om meer dan 600 FortiGate firewalls te kraken, misbruikte een hacker Claude AI voor een overheidshack en onthulde Google een Chinese spionagecampagne die bijna tien jaar lang 53 organisaties bespioneerde. CrowdStrike meldde dat AI aanvallers in recordtijd van 27 seconden door netwerken bewegen. Tot slot zoekt de politie een verdachte van bankhelpdeskfraude bij een goudsmid in Naarden. Lees alle details in de zes artikelen van deze week.
Odido data op straat, AI hackt overheden en Chinese spionage
Het ultimatum van hackersgroep ShinyHunters is verlopen en de gestolen gegevens van honderdduizenden Odido klanten staan op het darkweb. In de eerste publicatie verscheen data van 430.000 particulieren en 290.000 zakelijke klanten, waarna een dag later opnieuw klantgegevens werden vrijgegeven. De politie adviseert bedrijven expliciet niet te betalen. Tegelijkertijd misbruikte een hacker het AI model Claude om 150 gigabyte aan gegevens van de Mexicaanse overheid te stelen, en integreert Kali Linux nu AI voor penetratietesten. Google onthulde een Chinese spionagecampagne die bijna tien jaar lang 53 organisaties in 42 landen bespioneerde, terwijl de Tweede Kamer vragen stelt over een killswitch in Chinese bussen. Dit journaal bestrijkt het nieuws van 26 en 27 februari 2026.
Goudsmid in Naarden voor tonnen opgelicht
Een goudsmid uit Naarden is in oktober 2025 slachtoffer geworden van een geraffineerde vorm van bankhelpdeskfraude. De vrouw werd eerst telefonisch benaderd door iemand die zich voordeed als medewerker van haar bank. Vervolgens verscheen een man op de afgesproken locatie die haar tas vol sieraden, goud en contant geld meenam. De geschatte schade loopt op tot enkele honderdduizenden euro's. De politie heeft camerabeelden van een verdachte en doet een dringend beroep op getuigen.
ShinyHunters publiceert gestolen Odido data: "Dit is jullie schuld"
Wat veel Odido klanten vreesden, is vandaag werkelijkheid geworden. De hackersgroep ShinyHunters heeft de eerste lading gestolen klantgegevens gepubliceerd op het darkweb. Op hun eigen website verscheen vandaag een map met de naam "pay_or_leak" waarin een bestand met de titel "Information.txt" en een map "day1" staan. De boodschap van de criminelen is even kort als dreigend: Odido heeft geweigerd te betalen, dus nu betalen de klanten de prijs.