De clouddiensten die voor de nieuwe werkplek van ambtenaren worden gebruikt verzamelen alleen maar metadata en loggingdata, zo stelt staatssecretaris Szabo voor Digitalisering. Op dit moment levert SSC-ICT, één van de grootste ict-dienstverleners van en voor de Rijksoverheid, zo'n 58.000 digitale werkplekken binnen de Nederlandse rijksoverheid, die worden gebruikt door ambtenaren van negen ministeries.

De huidige werkplek is zo’n zeven jaar oud en nadert het einde van zijn technische levensduur, aldus Szabo vorige maand. Volgens de staatssecretaris is de vervanging van de huidige werkplek urgent omdat sommige onderdelen op korte termijn niet meer worden ondersteund door leveranciers. "Om continuïteit te borgen is het dus noodzakelijk deze componenten te vervangen. Daarnaast is het vanuit beveiligingsoogpunt van belang om over te stappen naar een modernere en veiligere werkplek", laat de staatssecretaris weten op Kamervragen van GroenLinks-PvdA en Nieuw Sociaal Contract (NSC) .

Volgens Szabo is er met de nieuwe werkplek geen sprake van een migratie naar de cloud. "Alle documenten en mails blijven in de eigen overheid-datacenters; alleen bepaalde beheerapplicaties gaan deels naar de cloud." De staatssecretaris stelt dat voor het beheer, up-to-date en veilig houden van de nieuwe werkplek gebruik wordt gemaakt van een aantal clouddiensten, waaronder Netskope, Microsoft inTune en Microsoft Defender.

"Deze slaan de inhoudelijke data niet op, maar zorgen ervoor dat de omgeving veilig blijft. Dit wordt ook wel aangeduid als ‘data in transit’. Om dit mogelijk te maken, slaan de applicaties tijdelijk metadata en loggingdata op. Dat is informatie over de data, zoals de gebruikers-id, de naam van de gebruikte applicaties, het aantal up- en downloads, de datum waarop de gegevens zijn aangemaakt, het gebruikte toestel, etc. Deze gegevens staan tijdelijk in de public cloud van de leverancier", legt de bewindsman uit.

CLOUD Act

De bewindsman voegt toe dat op basis van onderzoek blijkt dat de kans op geforceerde toegang via de CLOUD act 'laag' is. "In de casus van de nieuwe werkplek van SSC-ICT wordt echter geen overheidsdata opgeslagen op de Amerikaanse cloud; documenten en mail blijven in de eigen datacenters staan. De enige data die door deze leveranciers verwerkt wordt is metadata en loggingdata", gaat Szabo verder.

Wat betreft het volledig wegnemen van alle afhankelijkheden bij een digitale werkplek is dit volgens de staatssecretaris in de praktijk niet realistisch en ook niet altijd noodzakelijk. "Verschillende componenten in de digitale wereld zijn inherent met elkaar verbonden en kennen wederzijdse afhankelijkheden. Het streven is om risico's te beheersen tot een aanvaardbaar niveau en weloverwogen keuzes te maken."