Het zijn barre geopolitieke tijden en het drukt ons met de neus op onze internationale afhankelijkheden. Eén gevolg van bijna 250 dagen Trump is dat in Nederland de roep om “digitale autonomie” is gegroeid. Nederlandse overheidsorganisaties maken massaal gebruik van Microsoft 365 in de publieke cloud; een compleet samenwerkingsplatform, met alle data in Microsoft datacenters in Nederland en andere EU-landen. En waar non-compliance van document-, mail en chat-opslag met archiveren-by-design moet worden bestreden (waarom?) biedt Microsoft Purview veelal passende oplossingen. Vergelijkbare platforms met zoveel functionaliteit zijn ver te zoeken en het is op afstand moeilijk om hype van realiteit te scheiden. Daarom wilde ik rechtstreeks van de bron weten wat het veel genoemde Nextcloud te bieden heeft op mijn favoriete terrein: recordsmanagement en compliance. Ik sprak daarom deze zomer een paar keer met Jos Poortvliet, director communications en mede-oprichter van Nextcloud. Nextcloud is gevestigd in Berlijn en beschikt over zo’n 150 medewerkers.
Server en cloud
OK, Nextcloud dat klinkt voor de leek als net zoiets als de publieke cloudoplossingen van Microsoft. In de publieke cloud van Microsoft huur je met je licentie zowel de software als de opslagruimte voor je data. Nextcloud is een opensource platform, in tegenstelling tot Microsoft 365. Het andere kenmerkende verschil is wel dat je Nextcloud zal moeten (laten) installeren èn onderhouden op een server, van je eigen organisatie of in beheer bij een hosting provider. Waarmee volstrekte autonomie mogelijk is voor de data. In theorie – in uitzonderlijke omstandigheden – zouden alleen toekomstige software updates en patches dus onthouden kunnen worden. In die zin is het meer vergelijkbaar met SharePoint Server, maar dan in een suite die vergelijkbaar is met Microsoft 365, Teams èn SharePoint Online. Want Nextcloud heeft uitgebreide functionaliteit voor samenwerking aan documenten en in teams, (video-) vergaderen, chat, bestandsopslag, het automatiseren van werkstromen, etc.
Documentmanagement
Wat documentbeheer aangaat zijn er versiebeheer opties die vergelijkbaar zijn met SharePoint Online, waarbij bijvoorbeeld ingesteld kan worden òf en wanneer oude versies worden verwijderd. Een versie handmatig van een naam voorzien is niet mogelijk in SharePoint, maar zou fileshare-migranten wellicht kunnen aanspreken. Ook in metadatabeheer is voorzien en kunnen op verschillende autorisatieniveaus tags worden aangemaakt, eventueel met waardenlijsten. De waarden in de tags kunnen verbonden worden met triggers in werkstromen voor bijvoorbeeld goedkeuring. Automatisch metadateren is mogelijk op basis van autorisatiegroepen, (nog) niet op basis van teams. Poortvliet laat me de verschillende interfaces zien voor zowel inrichting als gebruik en die zien er allebei gebruikersvriendelijk uit.
Recordsmanagement
Nextcloud heeft een app-model voor aanvullende eigen en 3dparty functionaliteiten, vergelijkbaar met Microsoft 365. Er is een ‘Retentie’ app. Nadere beschouwing en demonstratie door Poortvliet leert mij dat die app in staat is regels voor verwijdering te creëren, bijvoorbeeld op basis van de eerder genoemde tags en een termijn. Ook Talk, de chat applicatie in Nextcloud, heeft een verwijderfunctie die naar wens centraal kan worden geregeld.
Maar uit de demo blijkt ook dat retentie, in de zin van behoud van informatie en documenten en voorkoming van vroegtijdige verwijdering niet beschikbaar is in Nextcloud. Ook het kwalificeren van informatie als ‘record’, waarbij het de gebruiker beperkt wordt – tot onmogelijk wordt gemaakt – wijziging of verwijdering uit voeren en het item onder beheer van centrale autoriteiten zoals informatiebeheerder of recordsmanager komt te vallen – is niet out-of-the-box beschikbaar. Vernietiging, als in Archiefwettelijke zin, waarbij een geplande verwijdering uitsluitend op basis van goedkeuring door een autoriteit, meestal periodiek en gecontroleerd en voorzien van bewijs achteraf kan plaats vinden is niet mogelijk. Zoals we kunnen weten uit implementaties bij overheidsorganisaties, uit documentatie en blogs, zijn al deze functionaliteiten wel aanwezig in Microsoft Purview. Zij het dat de organisatie voor de complete functionaliteit in de buidel zal moeten tasten voor E5 licenties.
Poortvliet beschrijft en demonstreert beschikbare mogelijkheden en bouwblokken uit verschillende apps in Nextcloud, zoals de werkstroom functies, die samen een dergelijke recordsmanagement en vernietigingsfunctionaliteit zouden kunnen creëren. Dat ‘alles kan’ en ook gebouwd kan worden in opensource componenten is mij duidelijk, maar biedt evenwel geen samenhangende oplossing. Poortvliet geeft aan dat het toevoegen van zo ’n oplossing in Nextcloud zou kunnen bestaan uit een eigen toevoeging aan het premium licentietype, ofwel als 3dparty app van een partner leverancier.
Classificatie
Ook wordt de Nextcloud tag functionaliteit toegepast voor classificatie, vergelijkbaar met de vertrouwelijkheidslabels (sensitivitylabeling) uit Purview. Vertrouwelijkheidsniveaus kunnen opgetuigd worden met beperkingen tegen onder andere delen en download. Samen met de watermerk functionaliteit zag dat er redelijk compleet uit in Poortvliets demo en zou een toets aan de hand van de BIO interessant kunnen zijn. Hoewel het mij als consultant nog steeds kan amuseren dat BIO-compliant inrichting van classificatie in Purview wel eens wordt afgewezen als ‘te beperkend voor gebruik’. Overheidsregels voor classificatie – of bijvoorbeeld voor mailbox-archivering – zouden wel eens wat meer vanuit realisme mogen worden opgesteld èn getoetst.
Meer compliance
Aan bespreking van andere compliance wensen ben ik met Poortvliet nog niet toegekomen. Natuurlijk staat voorkoming van data lekken en privacy van burger gegevens terecht volop in de belangstelling en worden opties voor Data Loss Prevention uit Purview, hoewel er vet voor wordt betaald in licentiekosten, te weinig ingezet, onder andere door gebrek aan kennis. Iedere samenwerkingsoplossing moet over vergelijkbare functionaliteiten kunnen beschikken. Ik denk ook aan eDiscovery, een andere feature in Purview, die vanwege de informatievergaring vanuit WOO-verzoeken in de belangstelling staat. Volgens Poortvliet staan deze functies wel op het vizier – en, afhankelijk van de concrete vragen van klanten zullen deze mogelijkheden in de komende nieuwe versies vorm gaan krijgen.
Concurrentie
Het is hoopgevend dat er meer geloofwaardige uitdagers komen in de markt voor samenwerkingsplatforms voor de Nederlandse overheid. Want natuurlijk is het pijnlijk dat overheidstenders schaamteloos de markt bevragen op ‘platforms’, maar dat die dan wel ‘Microsoft’ en oja ook ‘E5 licenties’ moeten kunnen leveren. Microsoft is met Microsoft 365 sinds 2011 in die markt en bouwt daarin met Purview (vh Compliance Center) al ruim tien jaar aan zijn compliance portfolio, waaronder dus voortdurende vernieuwing van recordsmanagement- en andere compliance functionaliteiten. Nextcloud heeft met klanten als Duitse deelstaat Sleeswijk Holstein wellicht nog geen Nederlandse roem, maar met “digitale souvereiniteit” absoluut een troef in handen.
Met dank aan Jos Poortvliet voor de gesprekken, schermafdrukken & meelezen!
AI-verklaring: deze blog tekst is absoluut zonder AI hulp tot stand gekomen.
Afbeelding in kop: Berlijn 2021 (foto Eric Burger, kunstenaar onbekend)
