Via 22 vragen naar een autonomiescore

Universiteit Utrecht spreekt over digitale autonomie. Wat verstaan jullie daaronder?

⚆ Tim: Dat we geen last hebben van beïnvloeding van buitenaf op hoe we onderwijs en onderzoek doen. En dat we op ieder moment vrij zijn om over te stappen naar een andere leverancier.
⚈ Marije: We hebben er een mooie volzin voor. Het is ons vermogen om

‘zelfstandig richting te geven aan onderwijs en onderzoek, vrij van ongewenste technologische beïnvloeding, bescherm tegen geopolitieke risico’s, en met de mogelijkheid om op elk moment van leverancier te wisselen.’ 

Dat vat het goed samen.

Waarom is digitale autonomie belangrijk?

⚈ Marije: Er zijn meerdere redenen waarom we ermee bezig zijn. De eerste is geopolitiek, meer specifiek het bewind van Trump en zijn connectie met big tech. We beseften dat we kwetsbaar zijn en bepaalde typen onderzoek kwamen onder druk te staan, zoals onderzoek naar diversiteit en duurzaamheid. Een tweede reden is financieel: voor een aantal grotere systemen zijn we zó afhankelijk van leveranciers aan het worden, dat ze makkelijk hun prijzen kunnen verhogen.
⚆ Tim: Een derde reden is de onrust in de academische gemeenschap. Hoogleraren José van Dijck en Albert Meijer spraken in een open brief hun zorgen uit over de toenemende afhankelijkheid van big tech. Die brief is inmiddels een kleine 500 keer ondertekend. Iets vergelijkbaars speelt bij andere universiteiten.

Vindt het College van Bestuur digitale autonomie ook belangrijk?

⚈ Marije: Ja, het is zeker een belangrijk onderwerp voor ons bestuur. Margot van der Starre – onze bestuurder die dit in portefeuille heeft – zit bovendien in de landelijke commissie Digitale Autonomie Universiteiten, samen met bestuurders uit Groningen en Nijmegen en met vertegenwoordigers van SURF en het Rijk.

Universiteit Groningen wil in 2030 niet meer afhankelijk zijn van big tech. Heeft Universiteit Utrecht ook zo’n stip op de horizon? 

⚈ Marije: Nee, en dat is bewust. We willen vooral keuzes kunnen maken. Misschien hoeven we niet compleet van big tech af, maar vooral bij systemen waar we risico’s lopen.
⚆ Tim: Daarom was er een instrument nodig om te kunnen nagaan waar de risico’s zitten. Het is makkelijk om te zeggen: we gaan alles zelf doen, of alles gaat open source, of alles uit de Verenigde Staten gaat de deur uit – maar dat is te kort door de bocht. Ja, er zijn problemen met onze digitale autonomie, maar er zijn ook dingen prima zoals het nu is. Bijvoorbeeld omdat overstappen naar een andere leverancier geen groot probleem is, mocht dat nodig zijn.

Dat instrument is het Utrecht University Digital Autonomy Assesment Framework. Een hele mond vol. Wat is het?

⚈ Marije: Het is een tool, een soort meetlat, om verschillende aspecten van digitale autonomie te beoordelen. Denk bijvoorbeeld aan geopolitieke ontwikkelingen, de afhankelijkheid van een leverancier, de exporteerbaarheid van data en de gevoeligheid van gegevens. Iedereen kan die tool overigens gebruiken, hij staat online.

Hoe werkt het?

⚈ Marije: Met de tool scoor je telkens één applicatie. Je beantwoordt daarvoor 22 vragen via een vijfpuntsschaal.
⚆ Tim: Er is ook een quick scan optie voor een snelle eerste beoordeling, dan doorloop je negen vragen.
⚈ Marije: In de kern komen de vragen neer op: (1) welke risico’s loop je, (2) wat kun je doen om risico’s te verminderen en (3) hoe belangrijk zijn de applicatie en gegevens voor je organisatie? 
⚆ Tim: Dat klinkt makkelijker dan het soms is. Want voor bepaalde informatie moet je bijvoorbeeld naar een collega van inkoop om het leverancierscontract te doorgronden.
⚈ Marije: Als je alles hebt ingevuld, krijgt de applicatie een autonomiescore. Daarmee valt de applicatie in een van vier mogelijke kwadranten: optimaal, beheersbaar, aandachtspunt of kritiek.
⚆ Tim: Daarnaast krijg je inzicht in stappen om afhankelijkheden te verminderen. Dat hoeft niet altijd een grote verandering te zijn, zoals de overstap naar een andere leverancier. Het kan ook om kleine verbeteringen gaan, zoals het inrichten van een goede back-up op eigen locatie, het opstellen van een exit-plan of het verbeteren van de interne kennis. Digitale autonomie wordt op deze manier concreet en hanteerbaar.

Gaan jullie dit voor alle applicaties bij de Universiteit Utrecht invullen?

⚆ Tim: Voor de belangrijkste wel. Veel van onze applicaties – ongeveer 500 tot 600 – zijn beschreven in LeanIX. Dat is een platform voor enterprise-architectuur. De informatie die daar over applicaties in staat, gaat momenteel nog niet over digitale autonomie. Dat gaan we aanvullen.
⚈ Marije: We gebruiken trouwens meer applicaties dan nu in LeanIX staan, maar die worden zeer kleinschalig gebruikt of we hebben er centraal onvoldoende zicht op. Maar de grote, belangrijke applicaties zijn wel in beeld.
⚆ Tim: We hebben onze aanspreekpunten bij de centrale diensten en faculteiten gevraagd om de tool in vullen voor de belangrijkste applicaties in hun pakket. 
⚈ Marije: Bijvoorbeeld bij de Faculteit Diergeneeskunde, waar ik ook werkzaam ben als hoofd IT, hebben we A-, B- en C-applicaties. Van A- en B-applicaties vinden we het erg als ze uitvallen, die gaan we scoren. Denk aan het patiëntinformatiesysteem. Een voorbeeld van een C-applicatie is de beeldbank van onze communicatie-afdeling. Vervelend als die uitvalt, maar niet bedreigend voor het voorbestaan van de faculteit.
⚆ Tim: Rond de zomer verwachten we de informatie van alle diensten en faculteiten te hebben verzameld.
⚈ Marije: Vanuit daar gaan we verder kijken. We gaan niet meteen 500 applicaties autonoom maken, misschien is dat ook niet nodig. Onderdeel van mijn opdracht als kwartiermaker is een adviesrapport op te leveren met een voorstel voor het vervolg. 

Is dit onderdeel van een bredere aanpak?

⚈ Marije: Jazeker. Onze kwetsbaarheden in kaart brengen is onderdeel van het aandachtsgebied Denken, het legt een basis om verstandige keuzes te maken. Onder de noemer Doen zijn we onder andere bezig met open source pilots, bijvoorbeeld met Nextcloud en Proxmox (open source server virtualisatie, red.) Daarnaast werken we aan Draagvlak; we leggen op allerlei manieren contact met collega’s en studenten over dit onderwerp. Tot slot is er nog Delen, dat houdt onder meer in dat we gezamenlijk optrekken met collega-instellingen, UNL en SURF.
⚆ Tim: Onze aanpak is ook online te vinden.

Terug naar de tool, hoe is die tot stand gekomen?

⚆ Tim: We hebben veel gesprekken gevoerd binnen de universiteit, digitale autonomie heeft namelijk veel facetten. We hebben nuttige feedback ontvangen, ook vanuit een peergroep met andere universiteiten. Tegelijkertijd wilden we vaart maken: niet hele grote groepen mensen belasten en talloze reviews doen. We zien de huidige tool als een eerste versie, een soort Minimal Viable Product. 
⚈ Marije: 

Het is een hulpmiddel, een poging digitale autonomie meetbaarder te maken dan alleen ons onderbuikgevoel.

⚆ Tim: We hebben de tool meteen naar buiten gebracht. Het is open source; mensen kunnen de meetlat inzien, hergebruiken en verbeteren. We krijgen veel positieve feedback op die aanpak.
⚈ Marije: We zetten bewust dingen meteen op internet, omdat digitale autonomie niet alleen iets is van Universiteit Utrecht. We delen graag wat we doen, vanuit de gedachte dat als anderen dat ook doen, we samen sneller meer digitaal autonoom worden. Bijvoorbeeld Universiteit Maastricht weet veel over digitale autonomie en inkoop, daar kunnen wij weer van profiteren.

Hoe is er op de tool gereageerd?

⚈ Marije: Over belangstelling hebben we niet te klagen, we zouden een aardig deel van onze tijd kunnen vullen met het geven van interviews en presentaties.

⚆ Tim: 

Er is niet alleen belangstelling vanuit het onderwijs, maar ook van gemeenten, ministeries, waterschappen en anderen.

⚈ Marije: Belangrijker is dat de tool voor ons ook is bedoeld om met andere organisaties over hetzelfde te kunnen praten. Dat lijkt te lukken. Andere universiteiten hebben de meetlat omarmd en gaan ook risico’s in kaart brengen. Daarna leggen we de uitkomsten bij elkaar. Daar waar we dezelfde problemen hebben, kunnen we gezamenlijk optrekken.

Hebben jullie doorontwikkelwensen voor de korte termijn?

⚆ Tim: Dat uitkomsten automatisch naar LeanIX of andere externe tools kan worden geëxporteerd, dat is nu nog niet zo.
⚈ Marije: We willen ‘m graag Engelstalig maken, ook in Europa is belangstelling.

En als je mag dromen over de lange termijn?

⚆ Tim: Dan hoop ik dat dit een stap is op weg naar een Europese, breed gedragen standaard om over digitale autonomie te praten. Het hoeft niet per se deze meetlat te zijn, maar wel dat we allemaal met een vergelijkbare standaard werken.
⚈ Marije: We denken al snel dat we als faculteiten, universiteiten, onderwijsinstellingen of overheden heel verschillend zijn. Maar we hebben ook veel overeenkomsten. Als we samen optrekken, komen we veel verder. Ik hoop dat deze tool daaraan bijdraagt.