(Hoe) blijven universiteiten baas over hun bestanden in de cloud?

Nederland maakt steeds meer gebruik van clouddiensten. Het gaat dan om hardware, software of gegevens via het internet. De Algemene Rekenkamer wees onlangs op de risico’s daarvan, zoals het lekken van gegevens of het faillissement van de aanbieder. “Het is nog niet zo erg als in de VS of Engeland”, zegt Seda Gürses (faculteit Techniek, Bestuur en Management), “maar ook hier wordt zonder veel na te denken van alles snel uitbesteed, en dat is zorgelijk.”

Een recent Delfts voorbeeld is de verhuizing van e-mail en agenda-items van TU-servers naar de Microsoft cloud. De ondernemingsraad (or) heeft daar eind vorig jaar zijn zorgen over geuit met betrekking tot privacy en databeveiliging. Is bedrijfsinformatie over financiën, persoonlijke details over zieke medewerkers, verslagen over het functioneren van medewerkers dan wel goed beschermd? Sinds de Patriot Act (waarmee de Amerikaanse overheid zich in 2001 toegang verschafte tot de belgegevens van miljoenen burgers) is duidelijk hoe gemakkelijk dat kan gaan.

Universiteiten in Nederland lopen voorop in het gebruik van clouddiensten, samen met de Verenigde Staten (VS) en Engeland. In andere Europese landen zoals Duitsland, Oostenrijk, Zwitserland en Frankrijk zijn universiteiten terughoudender en verzorgen ze veel ict-diensten nog zelf. De trend om ict-diensten uit te besteden begon al lang voor corona, ontdekten Seda Gürses (TBM) en Tobias Fiebig (Max Planck Instituut). In hun artikel Heads in the Clouds? (2023) schrijven ze dat die uitbesteding al vijftien jaar gaande is. Denk aan cloud-opslag, email, studentvolgsystemen en online colleges.

Donkere wolken

En waarom is die afhankelijkheid van cloud services nu opeens een probleem? Afgezien van de groeiende culturele kloof tussen Europa en de VS na de verkiezing van Trump, stellen Gürses en Fiebig dat de afhankelijkheid van Amerikaanse ict-bedrijven onwenselijk is omdat die de academische vrijheid niet respecteren. Als illustratie noemen ze de blokkade door Zoom van een lezing georganiseerd door de New York University. Een flagrante schending van de academische vrijheid, stellen ze. Daarnaast vindt Gürses dat Microsoft programmatuur vooral geënt is op het (Amerikaanse) bedrijfsleven en dat aanpasbare opensource-software beter past bij het open en educatieve karakter van een universiteit.

‘Je belandt in een fuik waaruit het lastig wegkomen is’

AI-onderzoeker Roel Dobbe (ook TBM) spreekt zelfs over het inleveren van soevereiniteit. “Het is wetenschappelijk aangetoond dat je (door uitbesteding aan clouddiensten, red.) niet alleen je data inlevert, maar ook je vermogen om zelf je diensten of primaire functies vorm te geven.” Bij een aanbesteding van ict-projecten geeft de prijs vaak de doorslag, zegt Dobbe, en andere eisen worden snel vergeten. “Daardoor zijn we met onderwijs steeds meer in een Microsoft-omgeving of een Google-omgeving beland. Daarin raak je langzamerhand je autonomie kwijt en beland je in een fuik waaruit het lastig wegkomen is.”

Ict-directeur van de TU Delft Erik Scherff is het eens met deze analyse. “Er is een beweging geweest in de laatste tien, twintig jaar dat er steeds meer is uitbesteed. Dat is langzamerhand ontstaan doordat er op het gebied van onderwijs bijvoorbeeld heel prettige pakketsoftware was.” Het gevolg was dat de ict-afdeling van de TU  steeds minder zelf software ontwikkelde, met het onderzoekportaal PURE als uitzondering. “We hebben hier honderden applicaties draaien, waarvan de meeste overigens niet in de cloud.” De TU verzorgt de meeste dataopslag zelf in de twee eigen datacenters. Daarnaast maakt de TU ook gebruik van dienstverlening en opslag bij de onderwijs- en onderzoek ict-corporatie SURF.

Scherff zegt Microsoft niet te zien als ‘de grote boze firma’. Als werkpleksoftware is iedereen ermee bekend en is er dus relatief veel over te doen, maar voor hem is Office-365 een van de honderden programma’s die de afdeling ICT van de TU Delft aanbiedt. Scherff zegt dat het hem gaat om ‘digitale soevereiniteit’. Hij definieert dat als: zeggenschap over data en infrastructuur en de keuzevrijheid om zelf programmatuur aan te schaffen of te ontwikkelen.

Cumulus

Universiteiten gebruiken voor de opslag van gegevens van Nederlandse universiteiten in de cloud amper Amerikaanse bedrijven , en ze doen dat enkel met toestemming. SURF bewaart de meeste data uit eigen diensten ook op eigen servers. Dat vertelt Wladimir Mufty, programmamanager digitale soevereiniteit bij SURF. Hij maakt onderscheid tussen ‘infrastructure as a service’ (IaaS) zoals cloudopslag en ‘software as a service’ (SaaS) zoals bijvoorbeeld Office365.

‘Een Amerikaans bedrijf valt altijd onder de Amerikaanse wetgeving’

Voor cloudopslag kunnen universiteiten bij SURF terecht via SURFcumulus. “Dat is in wezen niet zelf een cloud, maar bundelt het aanbod van cloudaanbieders”, zegt Mufty. SURF heeft contracten met commerciële clouddiensten waaronder ook Amazon, Microsoft, Google en Oracle. De universiteiten kunnen zelf kiezen uit dertien aanbieders, waaronder ook Nederlandse.

Ongerustheid over data bij Amerikaanse ict-bedrijven zegt hij te snappen, maar die heeft volgens hem meer te maken met cloudprogrammatuur (SaaS) dan met cloudopslag (IaaS). “De Amerikaanse geheime dienst kan gewoon in je data neuzen”, stelt Mufty. Daarbij maakt het niet uit of de server in Amerika, Frankfurt of Middenmeer staat. Een Amerikaans bedrijf valt onder de Amerikaanse wetgeving. “Al staat de server naast mijn voordeur, dan nog geeft het Amerikaanse recht toegang tot mijn documenten.”

Maar als de verstrengeling van Nederlandse universiteiten en Amerikaanse ict-bedrijven zo onwenselijk is als Gürses en Fiebig betogen in hun artikel Heads in the Clouds?, moeten universiteiten daar dan wel mee doorgaan? De auteurs vinden van niet en roepen op tot ‘een tegenbeweging en investeren in decentrale opslag voor onafhankelijk onderwijs en onderzoek’. Maar hoe dan?

NextCloud

Een proef die in februari start maakt er een begin mee. Zeventig Nederlandse onderzoekers verspreid over vijf universiteiten (TU Delft, Universiteit van Amsterdam, Erasmus Universiteit Rotterdam, Universiteit Utrecht en Tilburg University) gaan samenwerken via het platform NextCloud. Alle deelnemers zijn lid van het onderzoeksprogramma AlgoSoc, een NWO-programma dat onderzoek doet naar publieke waarden in een samenleving die in toenemende mate te maken heeft met sturende algoritmen.. Seda Gürses en Roel Dobbe zijn de Delftse leden van AlgoSoc dat verder nog bestaat uit onder meer juristen, communicatie-experts, data scientists, AI-onderzoekers, psychologen en gedragswetenschappers. Met ingang van deze maand treffen ze elkaar op NextCloud, een samenwerkomgeving die Zoom, Teams, Google Docs, Outlook en andere programma’s vervangt.

“Het wordt echt hun primaire werkomgeving”, vertelt SURF-programmamanager Mufty, die eerder een proef met NextCloud deed met medewerkers binnen SURF. Nu moet het continu draaien in vijf verschillende steden. Werken al die functies goed? Zoals het samenwerken, editen, en opslaan van bestanden. “Draait alles stabiel, is de security gegarandeerd”, zegt Mufty. “We gaan natuurlijk allerlei penetratietests uitvoeren om te kijken of we de server kunnen hacken. Hoe staat het dan met de security en privacy? Doet het systeem wat het belooft?”

Gevolgen voor studenten en medewerkers

Stel dat de proef een succes wordt, wat betekent dat voor studenten en medewerkers? “Ik snap wel dat veel mensen niet zitten te wachten op een heel ander systeem voor hun e-mails, teamoverleg en bestanden delen”, zegt Roel Dobbe (TBM). Hij denkt wel dat de ervaring die het AlgoSoc-team de komende tijd opdoet met NextCloud de drempel kan verlagen.

’ Een concrete stap naar meer digitale autonomie’

Mufty gaat de proef, die twee jaar gaat duren, met belangstelling volgen. “Als blijkt dat die software voldoet, en er is een behoefte aan in Nederland, dan kan het ook zijn dat we na een jaar al NextCloud gaan aanbieden via SURF.”

Seda Gürses benadrukt de noodzaak een alternatief te vinden voor de clouddiensten waar universiteiten in toenemende mate van afhankelijk zijn geworden. “Mensen wennen er snel aan als het hun dagelijkse werkomgeving wordt. De universiteit moet daar een strategie voor ontwikkelen.”

ICT-directeur Erik Scherff is geen voorstander van het opdringen van NextCloud. “Dat werkt niet bij hoogopgeleide mensen.” Wel zou hij het platform graag kunnen aanbieden aan houders van een TU-account. “Ik hoop dat we hiermee een concrete stap naar meer digitale autonomie kunnen zetten, waarover we tot nu toe alleen maar praten.”