Twee providers kunnen hun diensten soevereine cloud noemen en heel verschillende afspraken aanbieden. De ene bedoelt Europese opslag. De andere beperkt daarnaast beheerderstoegang, eigendom, support en softwareafhankelijkheden.
Vraag elke provider eerst om de precieze dienst te beschrijven. Het antwoord moet benoemen wie ze beheert, waar ze draait, wie toegang krijgt en welke afhankelijkheden je aanvaardt.
Zoek de reikwijdte achter het label
Verwijst een voorstel naar een kwalificatie of audit, vraag dan het bewijs en controleer wat het dekt. Gaat het over dit product, deze locaties en het serviceniveau in de offerte? Eén provider kan verschillende diensten met verschillende afspraken aanbieden.
De SecNumCloud-kwalificatie van ANSSI behandelt de beveiliging van clouddiensten en bescherming tegen bepaalde risico's, waaronder extraterritoriale wetgeving. ANSSI geeft ook aan dat een gekwalificeerd hostingaanbod niets vaststelt over de beveiliging van de applicatie die de klant erop draait.
C5 van BSI is een criteriacatalogus voor onafhankelijke attesteringen, geen certificering die BSI zelf afgeeft. Het is niet uitwisselbaar met SecNumCloud. Gebruik het bewijs voor de vraag die het werkelijk beantwoordt.
Bepaal wie de dienst beheert
Vraag welke rechtspersoon het contract tekent, welke partijen infrastructuur en ondersteuning leveren en welke medewerkers de omgeving kunnen beheren. Neem noodtoegang en escalatie naar softwareleveranciers mee.
Een bruikbaar antwoord maakt onderscheid tussen gewone en uitzonderlijke toegang en beschrijft goedkeuring en registratie. Leg vragen over eigendom, jurisdictie en contractuele bescherming voor aan de verantwoordelijken voor juridische beoordeling. Een schema met Europese datacenters lost die vragen niet op.
Volg voor de technische kant een voorbeeldrecord door het onderzoek naar datastromen. Dat kan afhankelijkheden tonen die in het voorstel ontbreken.
Bekijk wat nodig is om de omgeving te blijven draaien
Maak een lijst van externe systemen voor identiteit, licenties, updates, het ophalen van images, monitoring en back-upherstel. Vraag wat er gebeurt als elk daarvan wegvalt of als het contract eindigt.
Open-source software kan het makkelijker maken om een component te onderzoeken of te vervangen. Ze heeft nog steeds onderhouders, updates en beheerders nodig. Een broncoderepository legt niet vast hoe jouw draaiende dienst wordt beheerd.
De Anchras-catalogus publiceert Sovereignty Scores per applicatie om software te vergelijken. Gebruik die beoordelingen bij een onderzoek van je eigen installatie. Ze vervangen geen controle van de provider of juridische beoordeling.
Zet de vertrekprocedure in het voorstel
Vraag naar exportformaten, verwachte overdrachtstijd, kosten, toegang na opzegging en verwijdering van bewaarde kopieën. Neem identiteitsconfiguratie en applicatieafhankelijkheden mee, naast de database-export.
Probeer de procedure met een kleine applicatie voordat je erop vertrouwt voor een kritieke dienst. Noteer wat je zelf kon verplaatsen en waarvoor je hulp van de provider nodig had.
Stel die vragen ook aan Anchras. Onze control plane wordt in de EU gehost en klanten kiezen waar hun applicaties draaien. De nuttige vervolgstap is vastleggen hoe die opzet voldoet aan de eisen van de concrete dienst die je wilt gebruiken.