Dat ook de Hogeschool Rotterdam steeds afhankelijker wordt van softwareleveranciers, brengt serieuze risico’s met zich mee. Hoe voorkom je dat bedrijven zich met ons werk bemoeien? Of de hoofdprijs gaan rekenen?

Stel je voor dat een fabriek zijn machines, fabriekshal en magazijn allemaal van één leverancier huurt. Wordt het dan niet heel gemakkelijk en aantrekkelijk voor die leverancier om na een tijdje de huurprijs flink op te schroeven? Als er ook nog eens weinig of geen concurrerende leveranciers zijn, maakt de afhankelijkheid van die ene partij de fabriek kwetsbaar.

Steeds meer Microsoft

De digitale infrastructuur van de Hogeschool Rotterdam komt steeds dichter in de buurt van dit voorbeeld – net zoals die van andere hogescholen trouwens. Er zijn dan wel meerdere aanbieders, zoals de specialistische software Osiris van CACI en de algemene software van Microsoft, maar van die twee leveranciers is de HR sterk afhankelijk.

Digitale tekstverwerking (Word), cijferanalyse (Excel), e-mail (Outlook) en samenwerken en overleggen (Teams): vrijwel alle basale digitale productiemiddelen komen van Microsoft. Ook het beheer van de servers van de HR draait op software van Microsoft, net als de computers die medewerkers thuis gebruiken. Vanaf 2018 is de HR ook steeds intensiever de opslagruimte van dit bedrijf gaan gebruiken (OneDrive). Sindsdien staan dus ook de resultaten van onze digitale noeste arbeid ‘in de cloud’ van Microsoft.

Gevaar van spionage?

De enige min of meer serieuze concurrent van Microsoft is Google. Maar dat is ook een Amerikaanse firma, die net als Microsoft onder Amerikaanse wetgeving valt en als het moet, zo is de vrees, ‘onze’ data aan de Amerikaanse overheid zal moeten overhandigen zodra een inlichtingendienst of opsporingsclub daarom vraagt.

Levert dat niet het gevaar op van spionage? Dat vroeg VVD-Kamerlid Hatte van der Woude maandag aan de minister van Onderwijs, naar aanleiding van een bericht in Het Financieele Dagblad over toenemende afhankelijkheid van Amerikaanse clouddiensten in het onderwijs.

Steeds meer studentgegevens in Amerikaanse cloud

Zondag meldde het FD (inlog) op basis van nog niet gepubliceerd Duits onderzoek dat maar liefst driekwart van alle Nederlandse studentgegevens in beheer is van Microsoft en Amazon. In 2015 was dat nog 25 procent, zo zou volgens het FD uit het onderzoek blijken. Een cijfer plakken op hoeveel data bij welk bedrijf in de cloud staat is behoorlijk ingewikkeld. Los van het precieze percentage echter, staat wel vast dat de afhankelijkheid van softwareleveranciers ook op de HR toeneemt.

Die afhankelijkheid is een veel groter probleem dan spionage, omdat we door die afhankelijkheid niet kunnen kiezen voor andere aanbieders, die bijvoorbeeld (als ze zouden bestaan) minder spionagegevoelig zijn.

Afhankelijkheid neemt ook op de HR toe

We kunnen niet zomaar van Microsoft af. De Hogeschool Rotterdam zoals we die vandaag de dag kennen stopt direct met functioneren als we alle software van Microsoft – figuurlijk gesproken – het raam uit zouden gooien. Tijdens de coronalockdowns stopte het onderwijs nou juist niet, dankzij de producten van Microsoft.

Diezelfde afhankelijkheid geldt voor Osiris, het studentinformatiesysteem dat qua software het hart van het onderwijs vormt. Dit systeem, dat onderwijsdata verzamelt van studenten en docenten, is zo belangrijk voor de hogeschool dat overstappen op één van de weinige concurrenten die er zijn volgens IT’ers een zeer complexe en intensieve miljoenenoperatie zou opleveren die op deze hogeschool zijn weerga niet kent. Niet alleen zouden alle gebruikers anders moeten leren werken, ook de talloze IT-systemen die verknoopt zijn met Osiris zouden overhoop moeten.

Afspraken over opslag van data

Vanaf 2023 draait ook Osiris in de cloud. De HR kan niet anders dan meeverhuizen naar de cloudversie van Osiris, waarbij voortaan ook de data-opslag door CACI zal worden geregeld. Het is niet dat de HR dat niet wil, benadrukken IT’ers, maar een echte keus is er ook niet.

Van tevoren is overeengekomen dat de Osiris-data op Nederlanse servers komt te staan, zegt een woordvoerder van de HR desgevraagd. Maar omdat je de data van Osiris absoluut niet wilt kwijtraken is er ook een back-up geregeld. Door wie? Door Microsoft natuurlijk. Als er brand uitbreekt op de Nederlandse servers, toont Microsoft zich weer onmisbaar.

Van tevoren is overeengekomen dat de Osiris-data op Nederlanse servers komt te staan

Ook met Microsoft zijn afspraken gemaakt. Het bedrijf moet alle data binnen Europese landsgrenzen opslaan, zo sprak Surf recent namens alle Nederlandse onderwijsinstellingen met Microsoft af. Privacy officers en cybersecurity experts zitten er bovenop. Een specialistisch bedrijf uit Den Haag, Privacy Company, controleert of Microsoft zich aan de afspraken houdt.

Maar ondertussen is de afhankelijkheid van één partij alleen maar toegenomen.

Zoom bemoeide zich met onderwijszaken

Wat zijn de risico’s daarvan? Eén is de inmenging van softwareleveranciers in het werk van onderwijsinstellingen. Het FD noemde zondag als voorbeeld het Amerikaanse bedrijf Zoom, dat in 2020 verbood de eigen videodienst te gebruiken voor een gastoptreden van een omstreden Palestijnse spreker op verschillende universitaire symposia. Ook YouTube zou de videoverbinding van dat gastoptreden vervolgens hebben verstoord.

Voor Anjo van Kelckhoven, chef IT-zaken bij deze hogeschool, is deze episode het schrikbeeld van hoe onze afhankelijkheid van bepaalde bedrijven, de onafhankelijkheid van onderwijsinstellingen kan ondermijnen. ‘Het risico is dat commerciële leveranciers zich een mening vormen over hoe wij hun software gebruiken. Terwijl het juist van groot belang is dat onderwijs- en onderzoeksinstellingen hun autonomie borgen zodat ze onafhankelijk kunnen blijven werken.’ Terwijl er voor Zoom talloze alternatieven zijn, waar je bovendien vrij gemakkelijk naar kunt overstappen, is dat voor de Microsofts van deze wereld een stuk ingewikkelder, zegt Van Kelckhoven erbij.

Risico van prijsopdrijving

Het andere risico, ook bepaald niet hypothetisch, ligt in de prijs die we voor producten betalen. Als een aanbieder feitelijk een monopolie heeft, kan het de prijzen opdrijven tot ver voorbij het betamelijke (denk even aan de olieprijs), zonder dat de afnemer er iets aan kan doen.

‘We zien helaas dat er in de onderwijsmarkt leveranciers zijn die na een overname ineens alleen nog op de winstmarges letten’, zegt Van Kelckhoven. ‘De nadruk verschuift dan van publieke waarden naar aandeelhouderswaarde.’

Dat kan betekenen dat partijen waarvan je afhankelijk bent, ineens de hoofdprijs gaan rekenen. Het enige dat je kunt doen is hopen dat bedrijven waarvan de HR nu afhankelijk is niet hetzelfde doen.

Onderwijswaarden vastleggen

Hoe komen we hiervan af? Onderwijsinstellingen en juristen hebben samen met leveranciers van onderwijssoftware een werkgroep opgezet waarin ze basale publieke onderwijswaarden hebben uitgewerkt tot een raamwerk voor softwareleveranciers.

Een belangrijke waarde is natuurlijk dat software veilig en privacyvriendelijk moet zijn, maar ook dat de data aan docenten en onderzoekers toebehoren. Softwareleveranciers moeten data zien zoals een bank het geld ziet van haar klanten: ze mogen erop passen, maar het is niet van hen, zo schrijft de werkgroep, die zich het Trust Framework noemt. Door onderwijswaarden expliciet te maken, kunnen Zoom-achtige kwesties wellicht worden voorkomen.

Alleen als softwareleveranciers onderdelen van een dergelijk raamwerk in hun contract dulden, zijn ze ook verplicht zich eraan te houden. Toch ziet Van Kelckhoven, lid van de werkgroep, dat er veel interesse is bij verschillende softwareleveranciers. ‘Niet alleen onder de startups, al is het natuurlijk wel makkelijker om dit soort publieke waarden te verankeren in een startend bedrijf dan in de grote gevestigde orde.’

Marktmacht breken

Een echte oplossing is natuurlijk een goed functionerende softwaremarkt, waarin je gemakkelijk naar een andere partij kunt overstappen wanneer het je uitkomt. Alleen dan neemt die fundamentele digitale afhankelijkheid af.

Die wereld is gezien de huidige mate van afhankelijkheid misschien moeilijk voorstelbaar, maar toch werken mensen eraan. Door het ontwikkelen van softwarestandaarden, bijvoorbeeld, zodat programma’s beter met elkaar kunnen communiceren. Dat maakt het makkelijker om het ene programma voor het andere in te wisselen, zonder dat je hele IT-landschap overhoop moet.

Door het ontwikkelen van softwarestandaarden, bijvoorbeeld, zodat programma’s beter met elkaar kunnen communiceren.

Tegelijkertijd kunnen ook de wensen van hogescholen en universiteiten nog wel wat gestandaardiseerd worden. Nu nog kopen instellingen soms een perfect sluitend maatpak, qua software. Maar omdat het ontwikkelen van software zo duur is, kunnen eigenlijk alleen de grote, gevestigde bedrijven dit maatwerk op massale schaal leveren.

Als instellingen zich tevredenstellen met massageproduceerde, gestandaardiseerde ‘confectie’, ontstaat ook meer ruimte voor concurrentie. In dat opzicht staan we pas aan het begin van de digitale revolutie. 

Tekst: Olmo Linthorst
Illustratie: Bart Zwart

Profielen, het onafhankelijke nieuwsmedium van de Hogeschool Rotterdam, deelt wekelijks artikelen op Linkedin. Ben jij onze nieuwe connectie?