Is Google Drive veilig voor bedrijfsgegevens?
Google Drive is technisch goed beveiligd: bestanden worden onderweg en op de servers van Google versleuteld met AES-256. De vragen die een bedrijf zich stelt, gaan over iets anders: wie de sleutels heeft, wat Google met de gegevens doet, waar ze staan en wie toegang heeft tot de accounts. Standaard beheert Google de sleutels. Versleuteling aan de kant van de klant bestaat, maar alleen in de duurste formules. Deze gids legt uit hoe veilig Google Drive is en wat je zelf moet regelen.
Of: waarom de kluis zelden het probleem is, en de sleutel bijna altijd
„Is Google Drive veilig?” is een vraag met twee antwoorden. Het datacenter van Google is waarschijnlijk beter beveiligd dan de kast in je kantoor. Wat er met je account gebeurt, hangt van jou af. Wie de drie grote opslagdiensten bekijkt op veiligheid, kijkt dus naar twee dingen: wat Google doet, en wat je zelf instelt. Google beschrijft zijn kant in de hulppagina over versleuteling in Drive.
Kort: de techniek is in orde. Het risico zit in wachtwoorden, gedeelde links en de vraag wie de sleutels heeft.
Google Drive en privacy: wat Google doet
Versleuteling
Alle bestanden die je naar Drive oplaadt of in Google Docs maakt, worden onderweg en op de servers versleuteld met AES-256. Dat beschermt tegen iemand die het verkeer onderschept of een schijf uit een datacenter haalt. Het beschermt niet tegen Google zelf: Google beheert de sleutels, en kan je bestanden dus technisch lezen, bijvoorbeeld om ze te doorzoeken of een voorbeeld te tonen.
Versleuteling aan de kant van de klant
Google biedt ook versleuteling aan de kant van de klant: dan beheer je zelf de sleutels, en zijn je bestanden onleesbaar voor de servers van Google. Die optie bestaat alleen in Enterprise Plus, Frontline Plus en enkele formules voor onderwijs, niet in Business Starter, Standard of Plus.
Reclame
Google zegt dat er geen reclame is in de kerndiensten van Google Workspace, zoals Gmail en Drive, en dat het de gegevens daarin niet verzamelt, scant of gebruikt voor reclame. Dat geldt voor Workspace, de zakelijke dienst.
Waar de gegevens staan
Met Business Standard en Business Plus kies je één gegevensregio voor de hele organisatie: de Verenigde Staten, Europa of geen voorkeur. Business Starter heeft die keuze niet. Google blijft wel een Amerikaans bedrijf, dat onder de CLOUD Act valt.
Wat je zelf instelt
- Tweestapsverificatie: een beheerder kan ze voor iedereen verplichten. Doe dat.
- Gedeelde links: beperk wie „iedereen met de link” mag gebruiken, en kijk geregeld na wat er openbaar gedeeld is.
- Vertrekkende medewerkers: zet hun account meteen uit, en draag hun bestanden over voor je het verwijdert.
- Een zakelijk account: een gratis Google-account is een consumentenaccount, zonder beheerder en zonder zakelijke afspraken over gegevensverwerking.
Duw het beeld van de kluis één stap verder. De deur van Google is zwaar en goed gemaakt. Wie de sleutel in het slot laat zitten, of een kopie geeft aan een vroegere stagiair, heeft aan die deur weinig.
Kmo-Kristof: Google heeft betere beveiliging dan wij ooit zullen hebben.
Security-Sofie: Klopt. Hoeveel van jullie accounts hebben tweestapsverificatie?
Kmo-Kristof: Dat moet ik nakijken.
Security-Sofie: Dat is het deel van de beveiliging dat niet van Google is.
De veiligheid van OneDrive
Ook bij Microsoft staat niet alles standaard aan. Wat je daar instelt, lees je bij de veiligheid van OneDrive.
De veiligheid van Dropbox
Dropbox biedt versleutelde teammappen in zijn duurdere formules. De rest staat bij Dropbox en de veiligheid van je bestanden.
Wat de formules kosten
Welke formule gegevensregio’s bevat en wat ze kost, staat bij de prijzen van Google Workspace.