Onderzoeksdata vertegenwoordigen vaak jaren aan wetenschappelijk werk, investeringen en intellectueel eigendom. Daardoor worden onderzoeksinstellingen geconfronteerd met zowel klassieke cyber-dreigingen als risico's die specifiek samenhangen met de manier waarop onderzoekers data en rekenkracht gebruiken.

Generatieve AI versterkt dat spanningsveld. AI kan onderzoeksprocessen versnellen maar dezelfde technologie kan ook worden gebruikt om phishing-campagnes te automatiseren, malware te ontwikkelen of buitgemaakte gegevens sneller te analyseren.

Daarnaast wijst SoftwareOne op het risico van harvest now, decrypt later. Daarbij worden vandaag versleutelde gegevens onderschept en opgeslagen, met de bedoeling ze later met krachtigere technologie, waaronder toekomstige kwantumcomputers, te ontsleutelen.

Schaduw-IT vormt bijkomend risico

Niet alle beveiligingsrisico's komen van buiten de organisatie.

Onderzoekers gebruiken volgens SoftwareOne steeds vaker publieke AI-diensten, persoonlijke apparaten en toepassingen die niet centraal door de IT-afdeling werden goedgekeurd. Dat kan leiden tot schaduw-IT en datastromen waarop de organisatie onvoldoende zicht heeft.

Voor onderzoeksorganisaties kan dat bijzonder gevoelig zijn wanneer datasets persoonsgegevens, vertrouwelijke onderzoeksresultaten of intellectueel eigendom bevatten.

Tegelijk worden de regelgevende vereisten uitgebreider. Europese regelgeving zoals de GDPR, NIS2 en de AI Act verhoogt de aandacht voor gegevensbescherming, cybersecurity en de governance van AI-systemen.

Daarmee wordt de beveiliging van onderzoeksomgevingen niet uitsluitend een taak voor de IT-afdeling. Ook directie, onderzoekers, compliance-verantwoordelijken en externe partners worden betrokken bij de manier waarop data worden opgeslagen, verwerkt en gedeeld.

Verspreide datasets bemoeilijken controle

SoftwareOne identificeert verschillende problemen die regelmatig terugkomen binnen onderzoeksomgevingen.

Zo kunnen meerdere kopieën van dezelfde datasets verspreid raken over desktops, laboratoriumsystemen en verschillende cloud-omgevingen. Dat maakt het moeilijker om toegangsrechten, versies en bewaartermijnen centraal te beheren.

Ook tijdelijke toegangsrechten kunnen na afloop van een onderzoeksproject actief blijven. Wanneer externe onderzoekers, leveranciers of partners toegang behouden, vergroot dat het aantal potentiële toegangspunten tot gevoelige informatie.

High-performance computing-omgevingen vormen een bijkomende uitdaging. Die infrastructuur is vaak specifiek opgebouwd rond maximale rekenprestaties en kan daardoor buiten de reguliere beveiligings- en audit-processen vallen.

Volgens SoftwareOne ligt het probleem daarom niet noodzakelijk bij een tekort aan afzonderlijke security-producten maar bij een IT-architectuur die niet ontworpen is voor hedendaagse onderzoeksprocessen.

Data blijven binnen gecontroleerde omgeving

Een mogelijke aanpak is een Trusted Research Environment of TRE.

Het uitgangspunt daarvan is dat gevoelige onderzoeksdata niet voortdurend worden gekopieerd en verplaatst tussen onderzoekers, apparaten en externe systemen. Onderzoekers krijgen in plaats daarvan toegang tot een gecontroleerde omgeving waarin de gegevens blijven staan.

Een dergelijke omgeving omvat doorgaans een virtuele onderzoekswerkplek met vooraf goedgekeurde software en rekenkracht.

Daarnaast wordt de opslag centraal beheerd met onder meer versiebeheer, lifecycle management en logging. Ook voor het invoeren en uitvoeren van gegevens wordt in gecontroleerde processen voorzien.

Data of resultaten kunnen de omgeving bijvoorbeeld pas verlaten nadat automatische of menselijke controles zijn uitgevoerd.

Security en gebruiksgemak combineren

Een TRE moet daarmee niet alleen het risico op datalekken verkleinen. Het model kan ook de operationele complexiteit voor onderzoekers verminderen.

Wanneer onderzoeksomgevingen volgens een gestandaardiseerde architectuur worden opgebouwd, kunnen nieuwe projecten op dezelfde technische basis worden gestart. Security- en compliance-controles hoeven daardoor niet bij ieder project opnieuw volledig te worden ontworpen.

Logging en audit-informatie kunnen bovendien centraal worden bijgehouden. Dat kan relevant zijn wanneer organisaties aan auditors, overheden, subsidieverstrekkers of onderzoekspartners moeten aantonen welke controles op data en toegang werden toegepast.

SoftwareOne wijst daarbij onder meer op cloud-gebaseerde TRE-architecturen op AWS. Cloud-infrastructuur maakt het mogelijk om rekenkracht en onderzoeksomgevingen volgens de behoeften van projecten op- en af te schalen.

Onderzoekers kunnen via self-service toegang krijgen tot vooraf geconfigureerde werkplekken terwijl IT-teams centraal de beveiligings- en governanceregels beheren.

Gefaseerde invoering

De invoering van een Trusted Research Environment hoeft volgens SoftwareOne niet noodzakelijk als één omvangrijk transformatieproject te worden uitgevoerd.

Organisaties kunnen beginnen met een beperkt aantal onderzoeksprojecten of datasets waarvoor beveiliging en compliance bijzonder belangrijk zijn.

Op basis daarvan kan een gestandaardiseerde referentie-architectuur worden ontwikkeld waarop vervolgens bijkomende onderzoeksprojecten worden aangesloten.

De uitdaging bestaat daarbij niet alleen uit technologie. Onderzoekers, IT-teams en bestuur moeten ook afspraken maken over onder meer toegangsrechten, software-gebruik, datadeling en het exporteren van onderzoeksresultaten.

Naarmate onderzoeksdata belangrijker worden voor zowel wetenschappelijk onderzoek als economische en strategische belangen zal de architectuur waarin die informatie wordt verwerkt daarmee een steeds belangrijker onderdeel van het onderzoeksbeleid worden.