Object storage in Europa: waarom locatie en compliance steeds belangrijker worden

In de cloud is object storage de standaard voor back-ups, mediabibliotheken, applicatie-assets, archieven en data lakes. Object storage is schaalbaar, API-gedreven en relatief eenvoudig te integreren. Met alle voordelen die de cloud biedt, is het makkelijk te vergeten dat de grond waar datadragers op staan bij databeheer minstens zo belangrijk is. De fysieke locatie bepaalt de wetgeving die voor de data geldt. Dit zijn de belangrijkste overwegingen rondom locatie en compliance als je object storage toepast in Europa.

Wat is object storage?

Object storage is een opslagmodel dat data bewaart als afzonderlijke objecten (chunks). Elk object bestaat uit drie componenten: de data zelf, uitgebreide metadata en een unieke sleutel. In tegenstelling tot file storage en block storage is er geen hiërarchische mappenstructuur en wordt er niet met volumes en partities gewerkt. Aan de serverzijde worden gegevens letterlijk verspreid over de beschikbare opslag.

Waarom werken met object storage?

Voor opslag in de cloud zijn er drie aanvullende technieken: block storage, file storage en object storage. Ieder heeft een eigen toepassingsgebied.

Block storage wordt ingezet als snelle (low latencey, high IOPS) opslag voor databases en virtual machines.
File storage dient vooral voor opslag en beheer van gedeelde mappen en documenten op fileshares en NAS-systemen.
Object storage is ontworpen op schaalbaarheid en toegankelijkheid via API’s. Het is geoptimaliseerd voor grote hoeveelheden ongestructureerde data en zeer bruikbaar voor CI/CD-processen, back-ups en data-archivering.

Het grootste voordeel dat object storage biedt, is praktisch onbeperkte schaalbaarheid. Bij de andere twee varianten moet vooraf ruimte worden gereserveerd om op te kunnen schalen. Object storage schaalt automatisch als er meer gegevens bewaard worden. De enige rem op de totale capaciteit zijn vooraf ingegeven grenzen.

Een opslagplatform voor de cloud

Object storage is gemaakt voor de cloud. De storage-engine fungeert als filter tussen de aangeboden opslag en het gebruik ervan. Het team dat de infrastructuur onderhoudt (fysieke nodes, disks, partities, replicatie, netwerk en cluster-health) is volledig te scheiden van het team dat verantwoordelijk is voor het platform (provisioning, tenant-isolatie, API-exposure, billing en quotas). Multi-tenancy en schaalbeheer zijn daarom met object storage beter te organiseren dan bij traditionele per-volume provisioning.

Voordelen van object storage

De opslag van data is met object storage niet gebonden aan specifieke blocks (zoals (virtuele) harde schijven). De storage-engine plaatst data in zogenaamde chunks op de beschikbare systemen en beheert het via een API. Applicaties benaderen data via een S3- of SWIFT-API. Dat biedt meerdere voordelen:

Hogere betrouwbaarheid: Data worden standaard op meerdere locaties opgeslagen
Eenvoudige integratie met cloud-native applicaties: Cloud-applicaties kunnen direct opslaan via een S3- of SWIFT-API.
Geïntegreerde lifecycle policies: Object storage kan licefcyclebeheer in de opslaglaag uitvoeren en automatiseren.

Fysieke opslaglocatie vs. cloudlocatie

Bij de inzet van cloudopslag is het makkelijk om te vergeten dat achter alle instellingen en opties fysieke harde schijven en SSD’s schuil gaan. De hardware staat verspreid over één of meerdere datacenters. Die datacenters staan binnen landsgrenzen. Welke grenzen dat zijn, is heel relevant bij het opzetten van cloud-opslag omdat het bepaalt onder welke wetgeving die gegevens vallen.

Databescherming in Europa

Binnen de EU is de AVG (Algemene Verordening Gegevensbescherming) van kracht. Deze wetgeving stelt strenge eisen aan de opslag, verwerking en beveiliging van data. Organisaties moeten kunnen aantonen waar data staan, wie er toegang toe heeft en welke technische en organisatorische beschermingsmaatregelen zijn genomen. De wet bakent redelijk streng af welke gegevens beschermd moeten worden en staat bekend om de stevige boetes die volgen als een organisatie in gebreke blijkt te zijn.

Nederland versus de bredere EU

Geharmoniseerde wetgeving binnen Europa betekent niet dat de locatie van jouw data binnen de EU irrelevant is. Staan jouw data fysiek in een Nederlands datacentrum, dan vallen ze onder Nederlands toezicht (en de AVG). Sla je ze op in een ander EU-land, dan geldt ook daar de AVG, maar de aanvullende nationale kaders en normen kunnen afwijken. Dat zijn nuances waar je rekening mee moet houden.

Een voorbeeld daarvan zijn de verschillende nationale pogingen om cloud- en dataveiligheid te verhogen. Frankrijk hanteert de SecNumCloud-kwalificatie om een vertrouwde cloud voor bepaalde doeleinden te garanderen. Duitsland heeft de BSI C5 (Cloud Computing Compliance Criteria Catalogue) opgesteld met een soortgelijk doel, maar ander kader. Om informatieveiligheid te verbeteren in Nederland geldt voor de overheid de BIO (Baseline Informatiebeveiliging Overheid).

Die regelgeving bovenop de geharmoniseerde EU-wetgeving is belangrijk als je jouw data fysiek naar een andere lidstaat verplaatst. De wet blijft hetzelfde, maar de assurance-, compliance- en toezichtcontext verandert. Afhankelijk van waar jouw bucket staat, heb je te maken met andere sector-eisen, certificeringsverwachtingen en inkoopkaders. Wie zijn bucket verplaatst of dupliceert naar Duitsland, Frankrijk of een andere EU-lidstaat, doet er verstandig aan hier rekening mee te houden.

NIS2 en operationele weerbaarheid

In de EU speelt naast AVG ook NIS2 een belangrijke rol als het om informatieveiligheid gaat. NIS2 moet de verschillen tussen lidstaten onder de oorspronkelijke NIS-richtlijn verkleinen. Maar ook deze richtlijn wordt nationaal geïmplementeerd. Daardoor kunnen lidstaten toezicht, meldprocedures en eisen aan weerbaarheid verschillend uitvoeren. Ook deze verschillen kunnen een rol spelen als je data binnen de EU verplaatst.

Opslag buiten de EU en datasoevereiniteit

Prestaties en kosten zijn bij opslag buiten de EU minder belangrijk dan de vraag onder welke rechtsmacht het valt. Wie heeft controle over de gegevens? Datasoevereiniteit bepaalt wie toegang af mag dwingen, welke wetgeving van toepassing is en welke rechtbank geschillen afhandelt. Bij object storage bepalen de gekozen regio van de primary bucket, eventuele replicatie naar derde landen en de juridische positie van de host bepalen in welk rechtsgebied jouw data zich feitelijk bevinden.

Dat wordt al snel ingewikkeld. Zelfs als encryptie, toegangsbeheer en certificeringen technisch op orde zijn, kunnen buitenlandse autoriteiten alsnog toegang eisen. Door de eenvoudige spreiding van gegevens is het makkelijk om per ongeluk metadata, back-ups of beheeractiviteiten buiten de EU te plaatsen. Een serieuze benadering van datasoevereiniteit omvat daarom niet alleen de fysieke locatie van de bucket, maar kijkt ook naar moedermaatschappijen, sleutelbeheer en operationele supportstructuren.

Datasoevereiniteit is niet alleen een interne afweging. Opdrachtgevers kunnen expliciete eisen aan data-locatie stellen. In aanbestedingen en contracten is opslag binnen Nederland of de EU regelmatig een harde randvoorwaarde. Opslag buiten de EU kan daardoor niet alleen juridische, maar ook commerciële gevolgen hebben.

AVG vs Cloud Act

Binnen de EU biedt de AVG een duidelijk kader voor bescherming van persoonsgegevens. Maar sommige overheden buiten de EU hebben wetten die toegang tot EU-data vereisen. De Amerikaanse Cloud Act is daar een bekend voorbeeld van. Deze wet kan onder omstandigheden ook van toepassing zijn op data die buiten de VS zijn opgeslagen. Dat creëert een spanningsveld tussen Europese privacyregels en buitenlandse bevoegdheden.

Voor organisaties betekent dit dat datasoevereiniteit verder gaat dan de vraag waar data fysiek staan. Ook de juridische structuur van de leverancier, de locatie van sleutelbeheer en de inrichting van beheerprocessen spelen mee. Een bucket kan technisch veilig zijn ingericht, maar juridisch toch onder meerdere rechtsregimes vallen.

Kies voor datasoevereiniteit én betrouwbaarheid

Efficiënte data-opslag is niet zozeer een technische uitdaging, maar eerder een juridisch vraagstuk. Zowel wetgevers als opdrachtgevers stellen steeds meer eisen aan veiligheid, betrouwbaarheid én de locatie waar jouw data staan. Met Object Store van TransIP weet je dat jouw gegevens veilig verspreid staan over onze datacentrums in Nederland. Meer weten? Kijk op de productpagina van Object Store voor alle info.