Estland met hoofdstad Tallinn is één van de drie Baltische staten en telt een kleine 1.300.000 inwoners, zeg maar een gemiddelde Vlaamse provincie. Desondanks speelt de overheid een voortrekkersrol wat betreft informatisering. Zo is er Mobiil-ID, een SIM gebaseerde oplossing waarmee de burgers zich met hun mobiel toestel kunnen identificeren naar (internet)diensten van zowel overheden als bedrijven. Het laat toe documenten te ondertekenen met het mobiele toestel en kan gebruikt worden om je stem vanaf je mobiele toestel uit te brengen bij de verkiezingen.

In een eerder artikel schreef ik reeds over de tendens bij overheden richting data-soevereiniteit, dus om de gevoelige overheidsdata onder de eigen jurisdictie en op het eigen territorium te houden. Toch doet het gidsland Estland net het tegenovergestelde. De Estse overheid wil zoveel mogelijk overschakelen naar de cloud, waarbij er gebruik gemaakt zal worden van meerdere datacenters in het buitenland. Toch betekent dit allerminst een trendbreuk en is het integendeel een poging om de beschikbaarheid en de confidentialiteit van haar data te maximaliseren.

Het buurland Rusland laat immers meer en meer zijn tanden zien. Een paar jaar terug, in 2007, was Estland reeds het slachtoffer van een massieve drie weken durende cyberaanval, die voornamelijk uit DDOS aanvallen bestond. Er werd met beschuldigende vinger naar Rusland gewezen. Dat Rusland schrikt er ondertussen zelfs niet meer voor terug territorium te annexeren (De Krim), om zich militair te mengen in de burgeroorlog in buurland Oekraïne, of om onaangekondigd het Europese luchtruim binnen te dringen met militaire vliegtuigen. Poetin zou recent zelfs het volgende gezegd hebben:

“Indien ik het wil, staan binnen de twee dagen Russische troepen niet alleen in Kiev maar ook in Riga, Vilnius, Tallinn, Warschau en Boekarest.”

Grootspraak misschien, spierballengerol in elk geval. Bovendien is Poetin een moeilijk in te schatten man. En Estland is sowieso geen partij voor het Russische leger.

En waar sta je dan met je data soevereiniteit als de datacenters door een DDOS aanval onbereikbaar worden? Weg beschikbaarheid van cruciale overheidsdiensten. Erger nog is het als de datacenters fysiek in handen komen van een buitenlandse mogendheid. Weg beschikbaarheid van je overheidsdata en overheidsservices, weg confidentialiteit en weg integriteit. Deze buitenlandse mogendheid heeft dan toegang tot een onwaarschijnlijke hoeveelheid gevoelige overheidsgegevens die tegen bepaalde burgers gebruikt zou kunnen worden, en het zou het de bezetter makkelijker maken om het beheer van het land over te nemen. De Estse overheid zit dus met een totaal andere realiteit dan dan pakweg Nederland, België of Duitsland (al weet je natuurlijk nooit).

Vanuit die optiek klinkt het plots veel logischer om gebruik te maken van verschillende zogenaamde data ambassades – sterk beveiligde datacenters bij bevriende mogendheden -, ook al weten we dat zelfs je beste vrienden je durven afluisteren. Hun voorkeur lijkt momenteel te gaan naar de UK, maar ze weten evengoed dat de GCHQ (Britse tegenhanger NSA) zich niet inhoudt om op een massieve schaal het internetverkeer af te luisteren.

In eerste instantie zal er sprake zijn van replicatie, zodat bij een nieuwe DDOS aanval die overheidsdiensten gewoon verder vanuit de buitenlandse datacenters kunnen blijven functioneren. In het huidige plan zou alles dus in het buitenland gerepliceerd worden. Continuïteit is dan ook officieel het voornaamste argument voor deze aanpak. Om te vermijden dat deze bevriende overheden de integriteit van de gegevens teniet doen, is het plan om gebruik te maken van digitale handtekeningen en trusted timestamping. Bovendien zouden er gesprekken zijn om net zoals echte ambassades ook deze data ambassades te laten beschermen door deze bevriende mogendheden.

Jaan Priisalu, directeur-generaal van de IT diensten droomt al verder en zou het liefst hebben dat op termijn alle overheidsgegevens in datacenters in het buitenland verspreid zitten, waarbij geen enkele van de afzonderlijke landen in staat zou zijn data te bemachtigen. Dit doet wat denken aan het G-Cloud verhaal van Fedict, dat wegens te duur afgevoerd werd. Maar wat vandaag te duur is, is kan morgen commodity zijn. In elk geval zou dit de IT-infrastructuur van de Estse overheid volledig kunnen beschermen tegen een eventuele Russische inval en zou een succesvolle implementatie van dit model een impact hebben op de cloud-gelieerde besluitvorming in andere landen.

Maar zover zijn we voorlopig dus nog niet. Voorlopig is het hele project in de conceptuele en aftastende fase. In wezen is de vraag steeds dezelfde: Welke risico’s willen we nemen en welke prijs willen we daarvoor betalen? En dit is hier in een zeer onzekere context waarbij partijen en individuen hun eigen agenda hebben. Eigenlijk zoekt ook Estland de beste oplossing voor de hoogst mogelijke soevereiniteit van haar gegevens, al is dit in de gegeven context verre van evident.