Heeft big tech ook Fontys in een digitale houdgreep?

Er gaat geen dag voorbij zonder dat AI, datacentra of big tech in het nieuws is. En hoe afhankelijk Europa, Nederland, het hoger onderwijs en dus ook Fontys daarvan zijn. Hoe erg is het? Kan het anders? Een gesprek met drie Fontys-experts over duivelse digitale dilemma's. 

De macht van big tech lijkt geen grenzen te kennen. Dat werd het afgelopen half jaar nog veel zorgwekkender nu die bedrijven (Google, Meta, Microsoft, Apple, Amazon) zich laten sturen door Donald Trump of Xi Yinping.

Rechters in Amerika die in de ban gedaan worden omdat ze iets beslissen dat een president niet behaagt. Hele bevolkingsgroepen – van asielzoekers tot LHBTQIA+’ers, van klimaatdemonstranten tot universiteiten – die worden ‘aangepakt’. Zelfs complete naties en territoria zien hun soevereiniteit bedreigd worden: denk aan Venezuela, Oekraïne, Groenland, Canada, Mexico en Taiwan.

Het heeft de digitale kwetsbaarheid van al bovenstaande maar ook van Europa blootgelegd. Niet voor niets wil de nieuwe regeringscoalitie grip krijgen op digitale autonomie en strategische afhankelijkheid in cloud, data en cruciale systemen afbouwen.

En het is geen ver-van-mijn-bed-show. Ook een onderwijsinstelling als Fontys heeft hier direct mee te maken. Wat kan de dienst I&T, die de digitale veiligheid van Fontys bewaakt, daar tegen doen? Waarom geen eigen datacenter, als Fontys of in samenwerking met andere hoger onderwijsinstellingen? Hoe kun je je weren tegen digitale vernieuwingen die verdacht of ronduit fout zijn?

Lastig
Thom Rutten is sinds dit collegejaar directeur van de dienst I&T. Hij heeft misschien wel de moeilijkste baan binnen Fontys gezien alle razendsnelle veranderingen die van buitenaf op de dienst afkomen. “Het is lastig. Ik herken al die vraagstukken wel, het zijn precies de zaken waar ook wij mee zitten bij de dienst."

"Waarbij die hele soevereiniteitsvraag wel relatief nieuw is; pas sinds kort is het een maatschappelijke discussie geworden. Probleem is: als je daar echt iets aan wilt doen, zul je afspraken moeten maken. Met BigTech zoals Microsoft. Maar je hebt ook te maken met vendor lock-in: als een grote partij kleinere partijen overneemt of wanneer er nog maar één aanbieder zou zijn voor bijvoorbeeld roostering. Ook dat beperkt dan onze soevereiniteit.”

Een andere factor is volgens Rutten de ‘exit strategie’: “Is het technisch, contractueel et cetera wel mogelijk om na afloop van een contractperiode weer in alle transparantie een keuze te maken of is overstappen, het maken van een andere keuze, niet te betalen of te organiseren? Dat is lastig voor ons als ‘kleine partij’. Op al die punten zijn we als dienst voortdurend in gesprek.”

Wel start Fontys nu binnen SURF-verband met een pilot Nextcloud, dat al getest wordt door academische ziekenhuizen en universiteiten. Maar alles dat wordt veranderd, vraagt meteen ook veel van de gebruikers. Van studenten en medewerkers dus. Rutten: “Wat we dan horen is dat het allemaal niet zo makkelijk en soepel meer is als dat ze gewend waren.”

Microsoft 
Fontys is, net als alle hoger onderwijsinstellingen in Nederland, zwaar afhankelijk van Microsoft: het besturingssysteem, maar ook Teams, Sharepoint, Pilot, enzovoorts. Meer dan 80 procent van alle digitale infrastructuur in het hoger onderwijs komt van Microsoft. Ter vergelijking: in Duitsland is dat slechts 15 procent.

Maar Nederland is een ‘handelsland’, en dat blijkt ook hier. Microsoft biedt namelijk zijn producten spotgoedkoop aan. Het bedrijf hoopt daarmee toekomstige klanten, de studenten dus, aan zich te binden. Rutten: “Nou, spotgoed is het niet. Geloof me, de rekeningen zijn hoog. Wel hebben ze voor veel zaken een oplossing, werken toepassingen goed samen en is het gebruikersgemak hoog. Allemaal zaken die wij graag willen.”

Losweken van Microsoft betekent een hogere kostprijs, lager gebruikersgemak en een spelletje Mikado van de buitencategorie. Want alles is niet zomaar uit elkaar te trekken en te vervangen. Meer soevereiniteit, meer autonomie is een duur en complex vraagstuk.

“Dit is ook precies waar binnen het hoger onderwijs, binnen SURF, de discussie over gaat. We zijn als Fontys te klein en moeten wel samenwerken. Op het gebied van cybersecurity werken we ook nauw samen met elkaar, onze buren van de TU/e zijn een belangrijke speler als het om veiligheid gaat.”

”Maar het speelt veel breder. Ook onder de chief information officers (ciso's) van Nederland is dit het grootste thema. Twee weken terug was onze eigen ciso Hub Gerats bij de lancering van de Cyber Hub. Op initiatief van de provincie zoeken de grootste Brabantse organisaties zoals ASML, gemeenten en het onderwijs elkaar op op het gebied van cybersecurity. Alles en iedereen is op dit moment bezig met dat soevereiniteitsvraagstuk.”

Afhankelijkheid
Begint het er dan niet mee dat Fontys net als jaren terug zijn eigen datacenter heeft? Dat alles op eigen servers draait? Dat die afhankelijkheid van big tech in elk geval op dat punt al minder wordt, en dat data letterlijk binnen de eigen Fontysmuren blijven?

Jos van Bijnen is security specialist bij Fontys I&T. “Ja, technisch gezien kun je zo weer een eigen datacenter opzetten. Dan heb je echter ook rekening te houden met de extra kosten die dat met zich mee brengt. Niet alleen aan onderhoud maar bijvoorbeeld ook wat een datacenter aan stroom consumeert. Bij elke vraag aan AI wordt er al gauw een paar honderd watt verbruikt. Doe dat maal het aantal studenten en we kunnen wel wat extra zonnepanelen gaan plaatsen op het dak van de campus.”

Helmut Grams, information security officer en directe collega van Van Bijnen: “Het is ook nog moeilijker geworden door de wetgeving voor security en AVG.  De big tech-giganten komen telkens weer met nieuwe tools die fantastisch werken. Maar die meteen ook overal inzitten. En niet zomaar vervangbaar zijn.”

“Dit werk is een speciale tak van sport. Doorlopend moeten we processen afstemmen om de beveiliging op orde te houden. We zijn nooit klaar. Al was het maar omdat hackers altijd wel weer iets nieuws verzinnen.”

AI en privacy
En AI is daarbij, alleen al als het gaat om die Algemene Verordening Gegevensbescherming (AVG), een van de grootste hoofdpijndossiers.

Van Bijnen: “Het moeilijke is dat wij gebonden zijn aan de AVG-regels. Juist daardoor kunnen we ook niet controleren of er AVG-gegevens naar AI’s gaan. Het enige wat wij kunnen doen is zorgen dat de risico’s zo klein mogelijk zijn. Daarbij focussen we op de dingen die bij Fontys binnenkomen en die we niet vertrouwen. Zoals die twee malafide Chrome extensies waarover wij vorige week een waarschuwing hebben gedeeld.”

Grams: “Daar moeten we ons, in het hoger onderwijs, in Nederland, in heel Europa, nu dus ineens over beraden: hoe krijgen we een stukje digitale autonomie terug. De opkomst van AI en straks de quantumcomputer, want die komt er hoe dan ook, maken dat moeilijker.”

Vooral de quantumcomputer is weer een nieuwe grote bedreiging. Van Bijnen: “Die is zo krachtig, die kan straks alles kraken. En wat is je data nog waard als de encryptie niet meer deugt?”

Rutten geeft tot slot aan hoe lastig het is om de gulden middenweg te vinden. “Ik zeg niet dat we nu te weinig middelen hebben, want we hebben de boel hier bij de dienst echt wel stevig staan. Wel is er steeds meer data nodig om processen goed te laten verlopen. Dus de vraag is: hoeveel geld, moeite en personeel wil je inzetten voor het beperken van  digitale risico’s en het verbeteren van je autonomie?”