Navigeren door het veranderende regelgevingslandschap met een compliant cloud

Organisaties hebben te maken met tal van zorgen over hun gegevens, iets dat centraal staat in hun bedrijfsprocessen. Ze willen weten waar hun gegevens worden opgeslagen, wie er toegang toe heeft en wanneer en door wie wijzigingen zijn aangebracht. Bovendien vereisen verschillende soorten gegevens verschillende niveaus van vertrouwelijkheid - sommige zijn uiterst vertrouwelijk, terwijl andere door iedereen kunnen worden gezien. 

Het aanpakken van deze zorgen leidt organisaties rechtstreeks naar een complex regelgevingslandschap. Dat komt omdat deze regelgeving over gegevensprivacy en -beveiliging verschilt op basis van het type en de grootte van de organisatie. Sommige zijn sectorspecifiek, terwijl andere afhankelijk zijn van het land. Twee belangrijke recente Europese regelgevingen zijn bijvoorbeeld NIS2 (Network and Information Security 2) voor essentiële en belangrijke entiteiten, en DORA (Digital Operational Resilience Act) voor financiële entiteiten zoals banken, verzekeringsmaatschappijen en beleggingsondernemingen. 

Het bereiken en behouden van naleving in een voortdurend veranderend regelgevingslandschap kan een hele opgave zijn. Bovendien moeten organisaties aan de regelgevende instantie bewijzen dat ze compliant zijn. Dit betekent dat organisaties die gebruik maken van clouddiensten, bewijs moeten krijgen van hun cloudprovider dat de relevante regelgeving wordt nageleefd. Met andere woorden, ze hebben een compliant cloud nodig. Dit gaat verder dan een soevereine cloud, die vaak wordt gezien als een cloudomgeving die fysiek is gevestigd binnen een specifiek land of regio om te voldoen aan lokale regelgeving. Tegenwoordig is er geen officiële checklist of goedkeuringsstempel, noch een formele audit of certificering die aan de eindgebruiker kan bevestigen dat hij te maken heeft met een soeverein cloudconcept. Het wordt daarom meer een "marketingidee" dat varieert van de ene organisatie tot de andere. 

Gemoedsrust bereiken met Compliant Cloud 

"Cegeka’s Compliant Cloud" biedt klanten de vereiste garanties binnen dit regelgevingslandschap. We bieden deze garanties in onze eigen private datacenters, op Microsoft Azure, evenals op de private infrastructuur van onze klanten. We helpen zorgvuldig bij het categoriseren van gegevens op basis van sectorspecifieke en landspecifieke regelgeving, zorgen ervoor dat ze worden opgeslagen en verwerkt in de "juiste" cloud en bieden de nodige transparantie om naleving gedurende de hele operatie te behouden. 

Om deze naleving te bereiken, heeft Cegeka een controleframework ontwikkeld van zowel proces- als productcontroles. Dit Multi Compliance Framework is gebaseerd op de internationale normen ISO 9001, ISO 27001, ISO 27002, ISO 14001, Uptime Tier III, ISAE 3000 Trust Services Criteria (TCS) en GDPR. Ons controleframework omvat al meer dan 140 controles voor regelgeving zoals NIS2, DORA, en we voegen voortdurend meer toe. Bovendien houdt onze roadmap al rekening met naleving van C5 en aankomende regelgeving zoals de EU AI Act en het EUCS-schema voor clouddiensten. 

Wanneer een klant clouddiensten nodig heeft die voldoen aan een specifieke regelgeving, zorgen we ervoor dat de diensten die ze gebruiken op onze cloudplatforms voldoen aan de nalevingscontroles binnen ons controleframework. We worden routinematig geaudit door een derde partij, en de certificaten en assurance-rapporten zijn beschikbaar voor onze klanten. Elk jaar ontvangen geauditeerde klanten een ISAE 3000 (SOC2) Type II assurance-rapport. Ze kunnen dit aan hun regelgever presenteren als bewijs dat hun gegevens en de diensten die in de cloud worden geleverd, worden behandeld in overeenstemming met de relevante regelgeving. Natuurlijk moeten klanten naast de garanties die we bieden op de clouddiensten die ze gebruiken, nog steeds hun eigen risicoanalyse uitvoeren en hun verantwoordelijkheden met betrekking tot de regelgeving op zich nemen. 

Transparantie verbeteren door middel van observability 

Naast het jaarlijkse assurance-rapport bieden we ook observability: end-to-end monitoring en controle. Binnen ons klantbetrokkenheidsplatform Horizon zijn we van plan om meerdere dashboards te bouwen die klanten en hun regelgevers realtime inzicht geven in hun beveiligingspositie en naleving door de status van elke controle van ons Multi Compliance Framework weer te geven. Dit verbetert de transparantie en biedt onze klanten realtime inzicht dat onze cloudplatforms en -diensten naleving behouden. 

Bewijs kan worden verkregen via een geautomatiseerd proces of door handmatige tussenkomst, afhankelijk van het gebruiksscenario van de controle. Voorbeelden van geautomatiseerde processen zijn het uitvoeren van back-ups volgens het back-upplan, het activeren van een incident wanneer een back-up mislukt, of het snel verwijderen van een gebruikersaccount van een collega uit zowel de Active Directory van de klant als de publieke cloud. Het auditen van handmatige processen, die even cruciaal zijn, hangt af van de vaardigheden en expertise van gecertificeerde specialisten. Dit omvat taken zoals het jaarlijks herzien van het back-upplan of het rampenherstelplan, evenals het jaarlijks uitvoeren van het rampenherstelproces. 

Observability bieden we verder dan het infrastructuurniveau. In onze ontwikkelingsroadmap geven we prioriteit aan Observability als een vitaal domein voor vaardigheidsverbetering. We gebruiken verschillende technologieën die passen bij de specifieke behoeften en architecturen van onze klanten. Deze complete aanpak is gericht op het verbeteren van alle aspecten van het ontwikkelingsproces, van infrastructuurbeheer tot applicatieontwikkeling, en zorgt voor een grondige en effectieve end-to-end keten. Dankzij Cegeka’s overname van Key-Performance, een Dynatrace-partner, strekt onze observability zich uit voorbij standaardmetriek zoals systeemuptime, prestaties en responstijden. Door dit te doen, helpt observability in combinatie met onze geavanceerde cyberbeveiligingsoplossingen bij het detecteren en voorkomen van ongeautoriseerde of kwaadaardige toegang, van infrastructuur tot de applicatie en de gegevens, evenals eventuele fouten of anomalieën die de gegevenskwaliteit of -integriteit kunnen compromitteren. 

Bedrijfscontinuïteit waarborgen 

We zijn fervente voorstanders van een multi-cloudomgeving. Ongeacht je huidige cloudplatform, moet je in staat zijn om je applicaties en gegevens snel naar een ander platform te verplaatsen wanneer dat nodig is, bijvoorbeeld om geopolitieke redenen of om te profiteren van (aanvullende) functies in een bepaald cloudmodel. Regelgevende instanties eisen steeds vaker concreet bewijs van exitstrategieën binnen cloudomgevingen, naast demonstraties van bekwaamheid in het omzeilen van vendor lock-in om bedrijfsafhankelijkheden te verminderen. Deze vereisten zijn essentieel voor het bevorderen van bedrijfscontinuïteit, vooral bij het navigeren door complexe gereguleerde landschappen. 

Als voorbeeld leggen we met KubePort, Cegeka’s cloud-native beheerde containerplatform, de basis voor deze exitstrategie. KubePort is cloud-agnostisch, waardoor je kunt kiezen tussen Cegeka’s on-premises infrastructuur (private cloud) of publieke cloudinfrastructuur van Microsoft Azure. KubePort is ook volledig ISAE-compliant, wat zorgt voor adequate interne controles, ongeacht de infrastructuur waarop je het gebruikt. Het eindresultaat is dat klanten hun bedrijf operationeel kunnen houden, ongeacht de uitdagingen waarmee ze worden geconfronteerd. Compliant Cloud biedt niet alleen naleving en beveiliging, maar ook bedrijfscontinuïteit. 

Wil je meer weten over Compliant Cloud? Neem contact op.