Soevereiniteitsaudit: OVH Gravelines-productie, dia gevalideerd. Vraag: waar gaan de automatische snapshots naartoe? Antwoord na drie dagen: Polen-replicatie plus US East-objectarchief voor de “geo-redundante” aanbieding. De productiegegevens waren Frans; de kopieën, nee.
Soevereiniteit- en nalevingsscans richten zich op de VM- of primaire bucketregio. Back-ups – snapshots, replicatie van noodherstel, magneetbanden, media-exports – vormen de vergeten kopie. Dezelfde inhoud, soms ander juridisch regime.
Kopieën om op te sporen in uw architectuur
Begin met het inventariseren van elk mechanisme dat uw gegevens dupliceert. Automatische snapshots kunnen in dezelfde regio blijven of elders worden gerepliceerd, afhankelijk van het gekozen aanbod. Disaster Recovery Replication is vaak standaard ingeschakeld voor veerkracht, zonder dat de verkoper dit expliciet vermeldt.
Back-ups beheerd door de host verschillen van de marketingcatalogus: controleer wat echt herstelbaar is en binnen welk tijdsbestek. Ondersteuning of forensische export zijn tijdelijk maar reëel: er bestaat ergens een kopie. Ten slotte tellen uw eigen scripts (restic naar een andere bucket, rsync thuis) ook mee in de mapping.
| Kopieer | Risico vaak genegeerd | Aanbevolen actie |
|---|---|---|
| Momentopname tussen zones | Overboeking binnen of buiten de EU | Deactiveren of contracteren |
| Koud Archief | Derde landen | DPA en gedocumenteerde garanties |
| Back-up van CDN-logboek | Verenigde Staten | Anonimiseer of kies een EU-aanwezigheidspunt |
“Gehost in Frankrijk” zonder “back-ups in Frankrijk” is een halve waarheid.
Contracteer en bewijs de locatie
Een schriftelijk plan vereisen dat productie, back-up, noodherstel en logboeken omvat. Als het project gevoelig is, vraag dan om een optie zonder grensoverschrijdende waarborgen. Versleuteling met sleutels waarvan u de jurisdictie beheert, versterkt de positie – zie KMS Key Management.
Vergelijk aanbieders via de overzicht en verwijs naar Real location survey indien beschikbaar. Een vage clausule over “AVG-naleving” is geen vervanging voor een lijst met regio’s per kopieertype.
Breng het AVG-register en de technische architectuur op één lijn
Het register van verwerkingsactiviteiten moet alle relevante kopieën weerspiegelen, en niet alleen de hoofdserver. Tijdens een audit zal de toezichthoudende autoriteit of een zakelijke klant vragen waar de snapshots en archieven zich bevinden – en niet alleen op de productiebasis.
Documenteer wie het schema heeft gevalideerd, wanneer en welke verkoopaanbieding het heeft geactiveerd. Een migratie of wijziging van de “geo-redundante” optie moet aanleiding geven tot een update van het register en een herziening van de contractuele garanties.
Back-ups aan de clientzijde: aanvulling, geen excuus
Een restic- of rsync-kopie bij u thuis ontslaat u niet van het kennen van de kopieën die door de host zijn gemaakt. Integendeel: uw mapping moet beide bevatten (providerkopieën en interne kopieën) met verschillende regio's en bewaartermijnen. Bij de soevereiniteitsaudit wordt om beide kaarten gevraagd, niet alleen om de kaart die u rechtstreeks beheert.
De bovenkant: de kopie die de dia ongeldig maakt
Beslis en ga vooruit zonder blinde vlek
Vraag deze week het volledige back-upplan aan bij uw host, met de exacte regio's voor elk type kopie. Schakel replicatie tussen regio's uit als dit niet nodig is voor uw continuïteitsdoel. Werk het AVG-register bij om de geïdentificeerde kopieën op te nemen. Als de huidige provider de locatie niet duidelijk kan documenteren, gebruik dan de vergelijker en lees Cloud reversibility opnieuw voordat u opnieuw onderhandelt of migreert.
Veelgestelde vragen
Volgen back-ups de productieregio?
Niet automatisch. Veel aanbiedingen repliceren snapshots naar een andere regio – soms buiten de EU. Controleer de configuratie voor noodherstel, niet alleen de regio die op de virtuele machine wordt weergegeven.
Telt een back-up als een overdracht buiten de EU?
Ja als persoonsgegevens zonder passende waarborgen naar een derde land worden gekopieerd. Breng back-ups, archieven en logbestanden samen in uw overdrachtsanalyse.
Wat moet je de gastheer vragen?
Back-upregio's, replicatie tussen regio's, contractanten voor koude opslag, versleuteling per regio en de lokale back-upoptie alleen als uw project dit vereist.
Is een lokale back-up op de client voldoende?
Bovendien is het nuttig dat het geen contractuele duidelijkheid vervangt over de kopieën die de host op zijn kant maakt zonder dat u ze in uw klantengedeelte ziet.
Soevereiniteit kan worden afgelezen op de kopiekaart – niet alleen op de vlag van het belangrijkste datacenter.