Cloud Computing voor de waterschappen

Cloud Computing voor de waterschappen Een notitie in opdracht van het i-Platform

Versie: 1.0 Concept Publicatiedatum: 28 oktober 2013 Auteur: Peter de Leeuw Ons kenmerk:

Cloud computing voor de waterschappen

Versiehistorie Versie

Status

Datum

Auteur

Toelichting

1.0

Concept

20131028

P. de Leeuw

Ter bespreking in het i-Platform

Colofon

Titel: Cloud computing voor de waterschappen Auteur: Peter de Leeuw Het Waterschapshuis, 28 oktober 2013 Stationsplein 89, 3818 LE Amersfoort Postbus 2180, 3800 CD Amersfoort T: 033 460 31 00, F: 033 460 31 01 www.hetwaterschapshuis.nl, [email protected]

Pagina 2 van 58


Inhoud

1

Managementsamenvatting

5

2

Voorwoord

5

2.1

De opdracht

5

2.2

Doelgroep

6

2.3

Aanwijzingen voor de lezer

6

3

Inleiding

6

Deel 1

7

4

Definitie van cloud computing

7

5

De achtergronden van cloud computing

8

5.1

Standaardisatie en virtualisatie

8

5.2

Lagere kosten en meer capaciteit

8

5.3

Invloed van het ict-aanbod in de consumentenmarkt

8

5.4

Mobiel werken wordt dominant

8

6

Cloud Computing begrippen

9

6.1

Basisbegrippen

9

6.2

Wat is een hosted service?

9

7

Wat is Cloud Computing

12

7.1

De standaard definitie van Cloud Computing

12

7.2

Vijf essentiële eigenschappen

12

7.3

Drie leveringsmodellen

13

7.4

Vier typen cloud

14

7.5

Het verschil tussen een hosted service en een cloud service

15

8

Veiligheid in de cloud

16

8.1

Wet- en regelgeving

16

8.2

Gegevens in de cloud

17

8.2.1

Een risicoanalyse is noodzakelijk

18

8.3

Risico’s cloud computing versus andere computersystemen

19

8.4

Risicobeheersing en afnamemodellen

19

8.5

Classificatie van gegevens

20

Pagina 3 van 58


Deel 2

22

9

Architectuur en cloud computing

22

9.1

De architectuur in de traditionele IT en in de cloud

22

9.2

Cloud computing heeft gevolgen voor de bestaande ICT architectuur en het IT-beheer

27

9.3

Integratie van bestaande IT met Cloud Computing

32

10

Voorbeelden van cloudplatforms

39

11

Cloud computing, overheidsbeleid en strategie

42

11.1

EU-beleid ten aanzien van cloud computing

42

11.2

NL-beleid ten aanzien van cloud computing

45

11.3

Waterschapsbeleid ten aanzien van cloud computing

46

11.4

Transformatiepaden naar de cloud, een toekomstscenario

47

11.5

Slimmer samenwerken in de cloud

48

11.6

Opties voor de toekomst

50

11.7

Een WaterschapsCloud

50

11.8

De OverheidsCloud

54

12

Conclusies en aanbevelingen

54

13

Documentatielijst

57

Samensteller: Peter de Leeuw, programmamanager Architectuur en Standaarden, Het Waterschapshuis. In samenwerking met Cor Moelker, waterschap Scheldestromen, Paul van der Star, waterschap Brabantse Delta. Met dank aan de collega-architecten van de VNG, IPO, Rijk, RWS CIV (voorheen DID), de Manifestgroep, ICTU en Logius voor het delen van informatie. Amersfoort, 28 oktober 2013 Disclaimer: Voor de samenstelling van dit document is gebruik gemaakt van informatie uit openbare bronnen, van collega-architecten van verschillende organisaties en van berichtgeving in de media. Mocht desondanks iemand rechten hebben op gebruikte informatie, foto's of afbeeldingen neem dan contact met de samensteller. Een overzicht van de geraadpleegde openbare bronnen is opgenomen in de documentatielijst.

Pagina 4 van 58


1 Managementsamenvatting Waterschappen maken gebruik van cloud computingdiensten. Dit gebruik zal toenemen waardoor het IT landschap in de waterschapssector gaat wijzigen. Door standaardisatie van componenten, services en interfaces kunnen de waterschappen maximaal nut halen uit de onderlinge samenwerking op lokaal, regionaal en landelijk niveau. Een cloud is een voorziening die stapsgewijs kan worden opgebouwd waarbij geleerd moet worden van ervaringen van de gebruikers en de beheerders. Het formuleren van een cloudbeleid en een cloudstrategie kan daarbij richting geven aan de door het waterschap gewenste ontwikkelingen. Waterschappen blijven verantwoordelijkheid voor de beveiliging van de eigen data ook al staan de data in de cloud. In het eerste deel van de notitie wordt het concept cloud computing gedefinieerd, worden de cloud computing begrippen toegelicht. Dit deel wordt afgesloten met de beveiligingsaspecten van de informatievoorziening, waar cloud computing onderdeel van uitmaakt. Het tweede deel van de notitie beschrijft de architectuur van cloud computing en de cloud computing strategie en beleid van de Europese en Nederlandse overheden. Op basis van de beschreven ontwikkelingen en mogelijkheden wordt deel 2 afgesloten met enkele conclusies en aanbevelingen.

2 Voorwoord Deze notitie over cloud computing is opgesteld op verzoek van het i-Platform. De opdracht bestond uit twee delen. Het eerste deel betrof de definitie van de cloud, zodat alle waterschappen hetzelfde onder cloud verstaan. Het tweede deel van de opdracht had betrekking op de architectuur van de cloud en richtlijnen voor het veilige gebruik ervan.

2.1 De opdracht De opdracht luidde als volgt: Deel 1 Definitie cloud 

Definieer wat de waterschappen onder cloud verstaan. (Cloud servicemodellen, cloud implementatiemodellen etc),



Werk een cloud-beleid uit dat toepasbaar is voor de waterschappen. In dit beleid wordt aandacht geschonken aan de aspecten:



o

Locatie van data, lokaal bij een waterschap of niet lokaal;

o

Integratie van Cloud en niet-Cloud applicaties;

o

Veiligheid van de Cloud;

o

etc.

Ontwikkel zodanige hanteerbare toetsingscriteria zodat een waterschap zelf de afweging kan maken om gebruik te maken van de cloud.

Pagina 5 van 58


Deel 2 Architectuur en cloud 

Definieer de architectuur voor het gebruik van zogenaamde cloud-toepassingen waarbij de gegevensregistraties bij de individuele waterschappen, dan wel in de cloud staan. Ieder waterschap dient hierin een vrije keuze te hebben.



Werk verder de architectuurbeschrijving concreet uit voor afzonderlijke applicaties zoals ZInfo, Vangstregistratie.nl , E-HRM e.d.. Geef per applicatie aan wat er moet veranderen aan de huidige situatie om aan de beschreven architectuur te voldoen. Stel daar richtlijnen op waaraan toekomstige programmatuur aan moet voldoen.



Sluit bij de architectuurbeschrijving aan het enterprice service bus concept.



Neem bij de architectuurbeschrijving richtlijn op voor de beveiliging van de cloudtoepassingen.

2.2 Doelgroep Dit document is bedoeld voor de CIO’s, managers ICT/ I&A / informatievoorziening, architecten, ICT- en business consultants/adviseurs van de waterschappen.

2.3 Aanwijzingen voor de lezer Cloud computing is in volle ontwikkeling. Dit houdt het risico in dat de informatie in dit document snel achterhaald kan zijn door actuele ontwikkelingen. Check bij hergebruik van de informatie daarom de laatste ontwikkelingen, bijvoorbeeld via de links in de bijlage. De informatie en communicatie technologie (information and communication technology, kortweg ICT, IT of technology) kent een uitgebreid jargon met veelal Engelstalige begrippen en afkortingen. Achter een Nederlandstalig begrip wordt in dit document tussen ronde haakjes het Engelstalig equivalent gegeven en omgekeerd, zoals in de zin hiervoor. [Tussen rechte haken staan nadere toelichtingen of voorbeelden, zoals in deze zin gedemonstreerd wordt.] In de bijlage is een documentatielijst opgenomen en een verwijzing naar een aantal interessante links over het onderwerp cloud computing..

3 Inleiding Cloud computing is in de basis niets anders dan het gebruik maken van diensten die aangeboden worden via het internet. Het gebruik kun je eenvoudig zelf regelen en je betaalt naar het gebruik dat je er van maakt. Cloud computing is een verzamelnaam voor technologieën en diensten die gericht zijn op het gebruik van applicaties, rekenkracht en opslag op afstand via het Internet. Als je in Google ‘Cloud Computing’ invult als zoekterm dan krijg je op dit moment binnen een seconde ongeveer 233.000.000 resultaten. Het lijkt op de zoveelste hype in de ICT. Dat is het ook, maar het Internet in combinatie met cloud computing, mobiel werken, social media/social business en big data heeft ook verstrekkende gevolgen voor de maatschappij, de burgers, de bedrijven en de overheid.

Pagina 6 van 58


Cloud computing kan de waterschappen voordelen bieden maar er zijn ook risico’s aan verbonden onder andere op het gebied van informatieveiligheid. Het kiezen voor cloud computing gaat dan ook om het maken van verantwoorde keuzes. Veel organisaties maken al gebruik van clouddiensten zonder een bewust beleid te hebben. De drempel voor medewerkers om ook zakelijke informatie in de cloud te plaatsen is erg laag en dit gebeurt dan ook op grote schaal. Denk bijvoorbeeld aan het gebruik van dropbox of skydrive voor het delen van vergaderstukken, wetransfer voor het overzetten van grote bestanden, projectplace voor projectadministratie en yammer voor bedrijfsberichten die het mogelijk maken op zeer eenvoudige wijze documenten onafhankelijk van plaats, tijd of apparaat uit te wisselen tussen collega’s onderling of zelfs met externe contacten. Een van de belangrijkste redenen voor bedrijven om in te zetten op cloud computing is de mogelijkheid om de kosten van de aanschaf en het beheer van soft- en hardware terug te brengen en om te zetten in operationele kosten. Alleen betalen voor het gebruik van de software en hardware en niet voor het bezit ervan, waardoor de kosten een stuk lager kunnen uitvallen. Gezien de snelle ontwikkelingen en het groeiend aanbod aan clouddiensten is het aan te bevelen om als organisatie een cloudbeleid te formuleren om bewuste afgewogen keuzes te kunnen maken. Volgens de Europese Commissie is een belangrijk voordeel van cloud computing dat bedrijven geen dure servers of dataopslagsystemen hoeven aan te schaffen en te onderhouden. Volgens 80 procent van de bedrijven die clouddiensten afnemen bespaart dit tussen 10 en 20 procent op ICTkosten, stelt de commissie. Een op de vijf bedrijven spreekt zelfs van een besparing van meer dan 30 procent. Naast lagere kosten voor ICT, spaart cloud computing ook kantoorruimte uit en hebben bedrijven minder ict'ers nodig. Maar er bestaan ook veel onzekerheden, waarvan als belangrijkste de informatieveiligheid in de cloud wordt genoemd. Omdat clouddiensten Internet gebaseerde diensten zijn gelden hiervoor dezelfde maatregelen zoals die in de Baseline Informatiebeveiliging Waterschappen en door het Nationaal Cyber Security Centrum (NCSC) worden aanbevolen. Maar voor alles, ook voor cloud computing, geldt: maak een risico-analyse! Overigens gelden de risico’s van cloud computing ook en wellicht in sterkere mate voor de eigen ICT-voorzieningen. Zonder beleid wordt het lastig om ontwikkelingen bij te sturen of, waar nodig, terug te draaien is. Het is daarom zaak zo vroeg mogelijk bewuste keuzes te maken, die vast te leggen en te communiceren naar alle betrokkenen.

Deel 1

4 Definitie van cloud computing In dit deel van de notitie worden de basisconcepten van cloud computing beschreven en toegelicht. Het deel wordt afgesloten met een overzicht van de beveiligingsaspecten van cloud computing

Pagina 7 van 58


5 De achtergronden van cloud computing Vanaf de jaren ’60 van de vorige eeuw waren computers alleen beschikbaar in rekencentra. Gebruikers konden de computer benaderen via werkstations. Later zorgden de opkomst van de PC en (lokale) netwerken voor een enorme verspreiding van ICT. Organisaties schaften zelf hardware en software aan en zorgden ook zelf voor het beheer ervan. Dat was noodzakelijk, omdat goedkope en betrouwbare bandbreedte en netwerken niet beschikbaar waren. Sinds begin jaren ’90 van de vorige eeuw is er een doorlopende ontwikkeling geweest in de richting van ‘computers als openbare voorziening’. Hieraan lag een viertal trends ten grondslag.

5.1 Standaardisatie en virtualisatie ICT en internettechnologie zijn steeds meer gemeengoed (commodity) en raken steeds meer gestandaardiseerd. Door die standaardisatie kunnen allerlei faciliteiten op één standaard manier benaderd worden: met een browser, via het internet. Ook zijn de hardware en de besturings- en toepassingssoftware technisch van elkaar gescheiden, zodat de software niet meer afhankelijk is van specifieke hardware. Dit geeft de leverancier veel vrijheid om de voor de dienstverlening benodigde software zo efficiënt mogelijk te verdelen over de beschikbare hardware. Dat is van groot belang voor het bieden van kostenvoordeel en elasticiteit aan de gebruikers van de dienst. Deze ontkoppeling van hardware en software wordt virtualisatie genoemd.

5.2 Lagere kosten en meer capaciteit Bandbreedte van netwerkverbindingen is steeds goedkoper, betrouwbaarder en breder beschikbaar gekomen. Processors (het hart van computers) worden nog steeds sneller, goedkoper en kleiner. En ten slotte worden ook de kosten van gegevensopslag steeds lager.

5.3 Invloed van het ict-aanbod in de consumentenmarkt Nieuwe technologieën vinden hun weg vaak eerder naar de consumentenmarkt, waar de schaalgrootte enorm is en de concurrentie groot (denk aan Hotmail en Facebook). De webbrowser is de standaard ingang geworden om reizen te plannen, geld over te maken of tweedehands spullen te (ver)kopen. Gebruikers eisen in de werkomgeving hetzelfde gemak als thuis. Zij willen ook onderweg bij werkdocumenten kunnen, formulieren digitaal invullen en online berichten op het prikbord kunnen plaatsen. Het ICT-aanbod op de consumentenmarkt is steeds meer bepalend voor de zakelijke ICT-voorzieningen.

5.4 Mobiel werken wordt dominant Maar liefst 66 procent van alle werknemers maakt gebruik van twee of meer mobiele apparaten voor werkdoeleinden. Dit heeft verstrekkende gevolgen. De grens tussen werk en privé vervaagt, voor zowel werknemers als de klanten die zij bedienen, aldus Verizon. “Bedrijven zullen in 2013 moeten voorzien in deze vraag naar meer efficiëntie en hogere productiviteit en moeten dit aspect een hogere prioriteit geven. ICT-afdelingen zullen een sleutelrol vervullen in het stillen van de groeiende honger naar professionele mobiliteit op persoonlijk niveau." Daarom zullen steeds meer bedrijven eigen ‘clouds’ ontwikkelen, waarin alle bedrijfsapplicaties worden opgenomen die werknemers nodig hebben om effectiever te werken. Bedrijven zullen daarnaast sneller inspringen

Pagina 8 van 58


op de problemen die werknemers kunnen hebben met de scheiding van werk en privé. Er zal een beroep worden gedaan op speciale technologie voor het beheer van mobiele apparatuur en interne app-stores met zakelijke toepassingen om een veiligere, mobiele werkomgeving te creëren. Deze trends brachten nieuwe mogelijkheden voor het gebruiken en aanbieden van ICT: van individueel beheerde software, platforms en infrastructuur naar diensten die via internet zijn te benaderen en worden geleverd door gespecialiseerde aanbieders. Cloud computing is daarmee niet de zoveelste nieuwe hype, maar een fundamentele ontwikkeling die mogelijk is geworden door enkele al langer bestaande ontwikkelingen.

6 Cloud Computing begrippen 6.1 Basisbegrippen De informatie en communicatie technologie (information and communication technology, kortweg ICT of technology) kent een uitgebreid jargon met veelal Engelstalige begrippen en afkortingen. Om begripsverwarring te voorkoming begint deze notitie met een korte toelichting op een aantal begrippen zoals die in deze notitie worden gebruikt. ICT wordt aan gebruikers beschikbaar gesteld door middel van ICT-diensten (ICT-services of kortweg services). Voorbeelden van ICT-diensten zijn de elektronische post verzorging (e-mail services), website diensten, computerprogrammatuurdiensten (software services) gegevens, gegevensopslag en gegevensbeheer diensten (data, datastorage of storage en datamanagement services), computer- en communicatienetwerkd4iensten (computer and communication network services, ook wel infrastructure services genoemd). Een service provider is een leverancier van ICT-diensten. Een server is een computer die services levert aan andere computers of aan gebruikers (users).

6.2 Wat is een hosted service? Een traditionele ICT-, IT- of automatiseringsafdeling binnen een organisatie beheert en exploiteert in huis, in het eigen gebouw (on premises) een eigen gegevenscentrum (data center) met een aantal eigen servers (een serverpark of serverfarm) waarop men zelf de software installeert en beheert (on-premises software, on-prem software of ‘shrinkwrap’ software). Verder beschikt de traditionele IT-afdeling over een eigen netwerk met communicatievoorzieningen, computers, laptops, tablets en smartphones om ICT-diensten beschikbaar te stellen aan alle medewerkers. De IT-afdeling zorgt ook voor de aanschaf en het onderhoud van de gebruiksrechten (licenties) voor de programmatuur. De medewerkers werken op apparatuur die de IT-afdeling ondersteunt en beschikbaar stelt. De IT-afdeling installeert de benodigde programmatuur (software) en distribueert deze naar de computers, laptops en smartphones van de medewerkers. Daarnaast zorgt de IT-afdeling voor de beveiliging van de informatievoorziening en ziet ze er op toe dat alleen gebruikers met de juiste rechten en bevoegdheden bij bepaalde gegevens kunnen komen. Al vanaf het begin van het commerciële gebruik van computers maken organisaties gebruik van de diensten van commerciële leveranciers. In het verleden bijvoorbeeld om rekencapaciteit te huren

Pagina 9 van 58


op mainframe computers of om reserve kopieën (backups) te maken om in noodgevallen herstel (recovery) operaties uit te kunnen voeren. Je maakt dan als betalende gast gebruik van de computerinfrastructuur van een externe leverancier, die als gastheer (host) optreedt. Zo’n dienst wordt een hosted service genoemd. De dienst kan op verschillende manieren geleverd worden: via een directe netwerkverbinding of via het Internet. Je kunt daarbij gebruik maken van de servers van de providers of eigen servers in beheer geven en plaatsen bij de externe providers. Ook de computer/server die de dienst levert wordt een host genoemd. Het buiten de deur plaatsen van ICT-diensten wordt outsourcing genoemd, de dienstverlener een hosted of outsourced service provider. Bij hosted services gaat het typisch om de klasse van bedrijfsapplicaties die buiten de deur worden gezet op daarvoor toegewezen en gereserveerde (dedicated) servers van de service provider of van de organisatie(s) die de dienst afneemt/afnemen. De hosted service kan daarbij gedeeld worden door meerdere partijen, zoals dat bijvoorbeeld bij Z-info het geval is. Elk waterschap maakt gebruik van een of meer hosted services zoals bijvoorbeeld voor website hosting, email hosting, backups, data warehousing of zet applicaties op afstand bij een service provider (remote facility) zoals in het onderstaande voorbeeld van Z-info..

Pagina 10 van 58


Pagina 11 van 58


7 Wat is Cloud Computing De Cloud (Nederlands: wolk) staat voor de wolk van netwerken en computers die schuil gaat achter het Internet. De gebruiker weet niet op hoeveel en op welke computers de applicaties die hij gebruikt draait en waar deze staan. Cloud computing is het gebruik maken van standaard ICT-diensten via het internet zoals je water uit de kraan gebruikt of elektriciteit uit een stopcontact. Je neemt probleemloos af wat je nodig hebt en wanneer je het nodig hebt en betaalt voor wat je gebruikt. De leverancier zorgt voor een veilige, bedrijfszekere levering. Je hebt geen zorgen over zijn netwerk en apparatuur en je hoeft daarin ook niet zelf te investeren. Cloud computing biedt financiële, beheersmatige en technische voordelen ten opzichte van de traditionele IT..

7.1 De standaard definitie van Cloud Computing De standaard definitie van cloud computing, die we ook hier gebruiken, is de definitie van het National Institute of Standards and Technology (NIST) (Mell & Grance, September 2011), een USA overheidsinstituut: “Cloud computing is een model om op afroep op een gemakkelijke manier via een netwerk onbeperkt toegang te krijgen tot een gedeelde verzameling van configureerbare computermiddelen (bijvoorbeeld netwerken, servers, opslag, toepassingen/applicaties en diensten) die snel kunnen worden geleverd en vrijgegeven met een minimale beheersinspanning of tussenkomst van de leveranciers. Dit cloudmodel bestaat uit vijf essentiële eigenschappen, drie servicemodellen en vier cloudtypen”. Samengevat zegt deze definitie Cloud computing is het gebruik maken van kant-en-klare ICT diensten van externe leveranciers via het Internet en daarvoor naar gebruik betalen.

7.2 Vijf essentiële eigenschappen Een clouddienst wordt gekenmerkt door vijf essentiële eigenschappen. Deze karakteristieken kunnen gebruikt worden als checklist om te zien of je te maken hebt met een echte cloud service of een hosted service. Een service is een cloud service als de service de volgende vijf eigenschappen heeft: 

On-demand Self-service: Een gebruiker kan diensten naar behoefte inzetten, zonder tussenkomst van de verschillende leveranciers.



Broad Network Access:.Diensten zijn breed toegankelijk via het netwerk voor gebruikers via browsers, mobiele telefoons, laptops, tablets en werkstations;



Resource Pooling: Cloud diensten delen ICT-bronnen (resources). Een clouddienst wordt door veel gebruikers gedeeld en resources worden naar behoefte toegewezen als er om gevraagd wordt. De gebruikers heeft geen zicht op de plaats waar de applicaties draaien en waar de computers staan of welke resources (servers, opslag, netwerken etc.) er worden

Pagina 12 van 58


ingezet maar kan dit naar behoefte wel op een hoger niveau aangeven, bijvoorbeeld in welk land of welk datacenter zijn gegevens staan; 

Rapid Elasticity: De benodigde capaciteit is snel elastisch schaalbaar, flexibel inzetbaar. Het gebruik past zich snel aan de zich wijzigende behoefte. Voor de gebruiker lijkt het of er een onbeperkte hoeveelheid aan resources ter beschikking staat;



Measured Service: Het verbruik wordt gemeten en om de resource behoefte automatisch te kunnen aanpassen, om het verbruik zichtbaar te maken voor de gebruikers en de leveranciers en om de diesnten af te kunnen rekenen op basis van het gebruik.

7.3 Drie leveringsmodellen Cloud computing biedt naast de traditionele, door de organisatie zelf beheerde, IT drie nieuwe leveringsmodellen (service models). Deze servicemodellen voorzien in het bieden van IT-diensten als aanvulling op de bestaande IT-voorzieningen of als een (gedeeltelijke) vervanging hiervan. Er worden drie service modellen onderscheiden: 

Software as a Service (SaaS). De gebruiker maakt gebruik van de door een leverancier aangeboden diensten die draaien op een cloud infrastructuur. De applicatie kan via allerlei apparaten benaderd worden via bijvoorbeeld een webbrowser of een app. De gebruiker van deze dienst heeft geen controle op de onderliggende infrastructuur, netwerk, servers, operating system, opslag of functionaliteiten met uitzondering van enkele gebruikersspecifieke instellingen. Voorbeelden zijn: Basecamp, Dropbox, Google Apps, Microsoft Office 365, Salesforce.com, LinkedIn, Facebook.



Platform as a Service (PaaS). Een door de leveranciers aangeboden platform waarop de gebruiker de door hem ontwikkelde of aangekochte software kan draaien die gebruik maken van door de leverancier op dat platform ondersteunde programmeertalen, bibliotheken, diensten en gereedschappen. De gebruiker van deze dienst heeft geen controle op de onderliggende cloud infrastructuur maar wel over de applicaties en configuratiesettings van de hostingomgeving waarin deze draaien. Voorbeelden zijn: Appian, Cordys, Microsoft Windows Azure, Tibco Silver.



Infrastructuur as a Service (IaaS). Deze dienst levert processorcapaciteit, opslag, netwerkfaciliteiten en andere fundamentele computerresources zoals operating systems waarop de gebruikers zelf software kan installeren en draaien. De gebruiker heeft geen controle over de onderliggende infrastructuur maar heeft wel de controle over de operating systems, de opslag en de uitrol van applicaties en mogelijk de beperkte controle over bepaalde netwerkcomponenten zoals bijvoorbeeld de host firewalls. Voorbeelden zijn: Amazon EC2 & S3, GoGrid en Rackspace Cloud.

In onderstaande figuur worden typische voorbeelden gegeven van SAAS, PAAS, en IAAS diensten voor gebruikers.

Pagina 13 van 58


Figuur 1: Voorbeelden van beschikbare diensten voor Cloud-gebruikers (NIST SP 500-292)

7.4 Vier typen cloud

Met ‘de cloud’ wordt meestal de verzameling van openbare voor iedereen toegankelijk cloud computing diensten bedoeld. Om verwarring met andere cloud-varianten te voorkomen wordt dit de public cloud genoemd. Naast de public cloud worden er nog drie typen onderscheiden: de private cloud, de community cloud en de hybrid cloud als combinatie van twee of meer cloudtypen.

Pagina 14 van 58




Private cloud. De cloudinfrastructuur is beschikbaar voor het exclusieve gebruik door een enkele organisatie. De omgeving kan in eigendom zijn, beheerd en geëxploiteerd worden door de organisatie zelf, een derde partij, of een combinatie en de omgeving kan zijn ingericht bij de organisatie zelf of extern. Bijvoorbeeld een cloudomgeving voor één waterschap.



Community cloud. De cloudinfrastructuur is beschikbaar voor het exclusieve gebruik door een gemeenschap van gebruikers van organisaties die gemeenschappelijke belangen hebben (bijvoorbeeld gelijke missie, beveiligingseisen, beleid en wettelijke regels). De omgeving kan in eigendom zijn, beheerd en geëxploiteerd worden door een of meer van de aangesloten organisaties zelf, een derde partij, of een combinatie en de omgeving kan zijn ingericht bij een of meer organisaties zelf of extern. Bijvoorbeeld een cloudomgeving voor een groep waterschappen, belastingkantoren en of laboratoria die diensten delen.



Public cloud. De cloudinfrastructuur is voor iedereen beschikbaar. De omgeving kan in eigendom zijn, beheerd en geëxploiteerd worden door een bedrijf, een organisatie, een instelling, de overheid of een combinatie hiervan. De infrastructuur wordt door de leverancier van de dienst geregeld.In de public cloud vind je diensten als als dropbox, datumprikker, wetransfer, linkedin, facebook, apps,



Hybrid cloud. De cloudinfrastructuur is samengesteld uit twee of meer van de genoemde (private, community of public) cloud infrastructuren die zelfstandig bestaan maar aan elkaar gekoppeld worden door standaard of maatwerk technologie waardoor het mogelijk wordt om gegevens en applicaties overdraagbaar te maken tussen de clouddiensten.

7.5 Het verschil tussen een hosted service en een cloud service Strikt genomen vormen cloud services een subset van de hosted services. Het zijn hosted services die via het Internet worden geleverd. Maar er is meer. Niet elke dienst die via het Internet wordt geleverd is in de basis als een cloudoplossing ontwikkelt. Laten we de email als voorbeeld nemen. Traditioneel maakten grote bedrijven gebruik van oplossingen als Microsoft Exchange en IBM Lotus Notes die ze lokaal (in het eigen gebouw, op eigen terrein, local, on premises) in het eigen datacenter installeerden. Middelgrote bedrijven besteden de dienst vaak uit een hosted serviceprovider. Het verschil tussen de local en de hosted oplossing (solution) was letterlijk een verschil in de plaats waar de servers stonden, functioneel was de oplossing voor de gebruiker hetzelfde. In een latere stap werden email-berichten ook via een webmail oplossing aangeboden. Het zou misleidend zijn om oplossingen als outlook webmail cloud-oplossingen te noemen omdat de software in de basis voor een bedrijfsnetwerk zijn ontworpen met bijbehorende aanschafprijzen en gebruiksrechten op basis van aantallen gebruikers in plaats van op basis van het werkelijke gebruik. De traditionele bedrijfssoftware biedt ook niet de eigenschappen die je van een cloudoplossing verwacht: een op samenwerking gebaseerde, slimme, eenvoudige, overal te gebruiken toepassing, geschikt voor elk apparaat met een Internet-verbinding.

Pagina 15 van 58


Een voorbeeld: Microsoft biedt maildiensten in verschillende smaken aan. Bedrijven die hun mail volledig in eigen beheer willen houden kunnen een lokale Exchange server installeren. De Europese servers voor de clouddienst Office 365 staan in Ierland maar het is ook mogelijk de dienst af te nemen bij een Nederlandse provider als KPN. Het Waterschapshuis maakt gebruik van de Europese dienst van Microsoft. Dit levert voor 60 gebruikers een meetbare jaarlijkse besparing op van € 5.000. Daarbij komt nog de vereenvouding van het licentiebeheer en het directe overzicht van je licentiegebruik en de (maandelijkse) kosten. In vergelijking met gebruikerstoepassingen (applicaties of kortweg apps) die vanaf de start als cloud-oplossingen zijn ontwikkeld, zoals DropBox, Twitter, Facebook, YouTube, Google Maps, Gmail en Google Docs, raken de traditionele interne oplossingen (local en hosted services) achterop in acceptatie door de gebruikers en in de samenwerkingsmogelijkheden die er worden geboden. Cloud gebaseerde oplossingen zijn vaak wereldwijde standaard toepassingen met een enorme technische infrastructuur. Een interne bedrijfstoepassing via het Internet of hosting partner ontsluiten maakt van die oplossing dus nog geen ‘echte’ cloud-oplossing. Echte cloudoplossingen voldoen, volgens de NISTdefinitie, aan de vijf karakteristieken: 

On-demand self-service



Broad network access



Resource pooling



Rapid elasticity



Measured service

8 Veiligheid in de cloud 8.1 Wet- en regelgeving Elke organisatie en zeker een overheidsorganisatie als een waterschap, moet voldoen aan relevante wet- en regelgeving, ook als uw organisatie gebruik maakt van clouddiensten. Voorbeelden hiervan zijn: 

Wet Bescherming Persoonsgegevens (Wbp);



Archiefwet;



Wet veiligheidsonderzoeken;



Telecommunicatiewet;



Wetsvoorstel Computercriminaliteit (WCC);



Wet Openbaarheid Bestuur (WOB);



Wet Elektronisch Bestuurlijk Verkeer;



Baseline informatiebeveiliging waterschappen 2013.

Gebruik maken van clouddiensten kan diep ingrijpen op de informatiehuishouding van een waterschap. Schakel zo nodig juridische expertise in en leg overeengekomen afspraken altijd

Pagina 16 van 58


helder en eenduidig vast in contracten en/of SLA’s met de cloudleverancier. Een risicoanalyse kent veel aspecten, Het Nationaal Cyber Security Centrum (NCSC) onderkent 24 risico’s.

8.2 Gegevens in de cloud Kenmerkend voor cloud computing is dat de gegevensverwerking plaats kan vinden op servers die in de hele wereld kunnen staan. Op een gegeven tijdstip kunnen gegevens aan de ene van wereld opgeslagen zijn, maar een paar uur later kan dat aan de andere kant van de wereld zijn. Ook is er geen zicht op het gegevenstransport over de netwerken van de providers. Organisaties en bedrijven die gegevens van klanten toevertrouwen aan de cloud, blijven zelf verantwoordelijk voor die gegevens. Dat zegt het College Bescherming Persoonsgegevens (CBP) in de “Zienswijze inzake de toepassing van de Wet bescherming persoonsgegevens bij een overeenkomst met betrekking tot cloud computing diensten van een Amerikaanse leverancier”. De zienswijze van het CBP heeft betrekking op de situatie van een in Nederland gevestigd bedrijf of organisatie die gebruik maakt van de cloud computing diensten (onder meer e-mail, agendabeheer, groepsdiscussies en relatiebeheer) van een leverancier die gevestigd is in de Verenigde Staten (VS). [Er zijn verschillende manieren om te checken waar de mailserver staat van de mailadressen die u gebruikt. Kijk eens op de website http://www.waarismijndata.nl/. Na het ingeven van een mailadres ziet u welke server er wordt gebruikt. Als die in de USA of Groot-Brittannië staat dan krijgt u een waarschuwing. Het is voldoende het deel van het e-mailadres in te geven dat begint met het @-teken.] Aanbieders van bijvoorbeeld online opslagruimte of beheersoftware zijn vaak Amerikaanse bedrijven die gegevens moeten afstaan als de Amerikaanse overheid daarom vraagt. De Europese regels staan dat niet toe. Zulke bedrijven beloven vaak zich ook aan de Europese regels te houden, maar Nederlandse bedrijven moeten er zelf op toezien dat dit werkelijk gebeurt, aldus het CBP. In zijn zienswijze benadrukt het CBP dat een belangrijk uitgangspunt is dat Nederlandse bedrijven of organisaties die clouddiensten afnemen bij een Amerikaanse aanbieder eindverantwoordelijk zijn voor de naleving van de Wet bescherming persoonsgegevens (Wbp). Bij het sluiten van een overeenkomst voor clouddienstverlening zal een bedrijf of organisatie zich dan ook moeten vergewissen dat de toepasselijke wettelijke regels zijn afgedekt. Zo nodig moeten zij aanvullende afspraken in de overeenkomst met de Amerikaanse aanbieder van de clouddiensten opnemen. In ieder geval geldt dat voor de beveiliging van de in de cloud verwerkte persoonsgegevens. De VS wordt niet aangemerkt als een land met een ‘passend beschermingsniveau’ omdat er geen algemene wetgeving voor de bescherming van persoonsgegevens bestaat. Ter bevordering van de handelsrelaties tussen de VS en de EU en zonder afbreuk te willen doen aan het beschermingsniveau van persoonsgegevens, is daarom in 2000 het VS-EU Safe Harbor Framework tot stand gekomen, dat door de Europese Commissie bij beschikking is aangemerkt als ‘passend beschermingsniveau’. Safe Harbor Principles Doorgifte van persoonsgegevens naar de VS is mogelijk als de betreffende Amerikaanse

Pagina 17 van 58


clouddienstverlener zich heeft verplicht tot naleving van de zogeheten Safe Harbor Principles (Veilige Haven Beginselen). De Europese Commissie heeft namelijk bepaald dat in dat geval sprake is van een ‘passend beschermingsniveau’. Het CBP benadrukt in zijn zienswijze dat hierdoor doorgifte weliswaar mogelijk is, maar dat dit echter niet garandeert dat de daadwerkelijke verwerking van persoonsgegevens in de VS ook voldoet aan alle eisen van Europese inclusief Nederlandse privacywetgeving. Voor naleving van de wet blijft de Nederlandse afnemer van clouddiensten verantwoordelijk, aldus het CBP. Naleving van de Safe Harbor Principles betekent dus uitsluitend dat doorgifte van persoonsgegevens naar de VS plaats kan vinden, en garandeert niet dat de verwerking van de persoonsgegevens in de VS voldoet aan alle eisen uit de richtlijn 95/46/EG. Europese privacytoezichthouders Clouddienstverlening is in opkomst en staat sterk in de belangstelling, onder meer vanwege de schaalvoordelen en mogelijkheden voor innovatieve dienstverlening. In juli 2012 hebben de gezamenlijke Europese privacytoezichthouders een opinie aangenomen over privacykwesties rondom cloud computing. De zienswijze van het CBP is gebaseerd op de opinie. Hierin wordt cloud computing gedefinieerd als de verzamelnaam voor technologieën en diensten die gericht zijn op het gebruik van IT-applicaties, rekenkracht en opslag op afstand via internet. 8.2.1 Een risicoanalyse is noodzakelijk Om invulling te geven aan zijn verantwoordelijkheid voor naleving van de Wbp, zal de verantwoordelijke ten eerste een risicoanalyse uit moeten voeren om vast te stellen of, en onder welke voorwaarden, er in zijn specifieke situatie gebruik kan worden gemaakt van cloud computing. De risicoanalyse geeft niet alleen inzicht in de risico's, maar ook in de aanvullende maatregelen die moeten worden getroffen om te waarborgen dat de betreffende verwerking van persoonsgegevens in de cloud voldoet aan de Wbp. Ten tweede zal de verantwoordelijke moeten kiezen voor een cloud-dienstverlener die voldoende waarborgen biedt, en zal hij de noodzakelijke afspraken moeten vastleggen in het bewerkerscontract. Een aandachtspunt is de aansprakelijkheid voor eventuele inbreuken op de bescherming van de persoonlijke levenssfeer. Artikel 49 Wbp stelt de verantwoordelijke aansprakelijk voor de schade of het nadeel dat voortvloeit uit niet-naleving van de Wbp, en stelt de bewerker aansprakelijk voor de schade of het nadeel voor zover ontstaan door zijn werkzaamheid. Het is noodzakelijk om deze aansprakelijkheid te concretiseren in het bewerkerscontract, en op voorhand duidelijk vast te stellen welke natuurlijke of rechtspersoon in welke gevallen en in welke mate aansprakelijk is.

Tot slot wijst het CBP op het voornemen van de regering om de zogenoemde 'brede meldplicht' voor datalekken in het leven te roepen. Voor aanbieders van openbare elektronische communicatiediensten is een dergelijke meldplicht nu al opgenomen in artikel 11.3a van de Telecommunicatiewet (de zogenoemde 'smalle meldplicht'). De brede meldplicht richt zich tot de

Pagina 18 van 58


verantwoordelijke. Bij verwerking door een bewerker draagt de verantwoordelijke zorg dat de bewerker 'de verplichtingen nakomt die op de verantwoordelijke rusten ten aanzien van de verplichting tot melding van [datalekken]'. De afspraken die de verantwoordelijke met de bewerker maakt over de nakoming met de meldplicht moeten schriftelijk of in een andere, gelijkwaardige vorm worden vastgelegd. De eisen uit het wetsvoorstel zijn integraal van toepassing op verwerking van persoonsgegevens in de cloud en op verwerking door sub-bewerkers. Het verdient aanbeveling om hier bij het afsluiten van overeenkomsten met aanbieders van cloud-diensten nu reeds rekening mee te houden.

8.3 Risico’s cloud computing versus andere computersystemen De volgende drie dimensies bepalen de risico’s van een computersysteem:

• Uitbreidbaarheid – de mate waarin nieuwe code kan worden toegevoegd aan een systeem. Alle computersystemen hebben een bepaalde graad van uitbreidbaarheid. Besturingssystemen kunnen eenvoudig nieuwe code accepteren in de vorm van bijvoorbeeld device drivers en patches. Nieuwe code brengt nieuwe risico’s met zich mee.

• Toegankelijkheid – het gemak waarmee toegang kan worden verkregen tot het systeem. Hoe eenvoudiger het is om toegang te krijgen, hoe makkelijker het is om misbruik te maken van het systeem. “Het enige veilige systeem is een computer, ingepakt in een laag van zes meter gewapend beton, die uitstaat.”

• Complexiteit – de complexiteit van het systeem in termen van code en componenten. Het aantal regels code bepaalt het aantal zwakke punten in een systeem. Het aantal componenten bepaalt de beheerbaarheid. Als we cloud computing tegen deze dimensies aanhouden dan zien we dat met name de toegankelijkheid en complexiteit hoog scoren. Cloud computing kent ook beveiligingsvoordelen. Door de schaalvoordelen zijn beveiligingsmaatregelen goedkoper te implementeren. Ook kunnen cloud providers beveiligingsmiddelen sneller en dynamischer inzetten. Tot slot beschikken cloud providers vaak over diep inhoudelijke beveiligingskennis die aan de afnemerszijde ontbreekt.

8.4 Risicobeheersing en afnamemodellen Naast de eerder besproken leveringsmodellen, SAAS, PAAS en IAAS, kunnen we ook onderscheid maken naar verschillende typen afnamemodellen die voor de waterschappen interessant kunnen zijn. Deze modellen zijn: 

Zelfstandige inkoop public cloud – Hierbij neemt een individueel waterschap clouddiensten af van een cloud provider. Deze diensten biedt de cloud provider ook aan derden aan. De ingezette resources worden altijd met derden gedeeld.



Gezamenlijke inkoop public cloud – Dit is hetzelfde afnamemodel maar de inkoop geschiedt door een groep van waterschappen. Deze vorm van afname kan zorgen voor een betere onderhandelingspositie ten opzichte van de cloud provider. Dit kunnen ad hoc combinaties

Pagina 19 van 58


zijn van waterschappen zoals regionale samenwerkingsverbanden of waterschappen die op een bepaald gebied hetzelfde doel nastreven. Ook is het mogelijk dat bijvoorbeeld op generieke vlakken een gemeenschappelijke regeling zoals Het Waterschapshuis optreedt als inkoper namens alle (aangesloten) waterschappen. 

Gezamenlijke inkoop community cloud – De inkoop vindt hier net als in het vorige model gezamenlijk plaats, echter de resources die door de cloud provider worden ingezet, zijn in belangrijke mate exclusief toegewezen aan de afnemende waterschappen. Er is maar zeer beperkt sprake van het delen van resources buiten het consortium. In dit model kan ook een waterschap zelf optreden als cloud provider voor andere deelnemende waterschappen.



Individuele inkoop private cloud – Volgens de definitie is hier eigenlijk geen sprake van cloud computing omdat de resources niet worden gedeeld met andere partijen.

Bij gezamenlijke inkoop kan de inkoopcombinatie door de sterkere onderhandelingspositie stringentere eisen stellen. Bij gezamenlijke inkoop van private cloud diensten kunnen door het exclusieve karakter de meeste eisen worden gesteld.

8.5 Classificatie van gegevens Om vast te stellen welke data in de cloud geplaatst kan/mag worden, moet bekend zijn over welke data de organisatie beschikt en welke betrouwbaarheidseisen daar aan zijn gesteld. Deze betrouwbaarheidseisen kunnen op basis van de risicoafweging worden bepaald. Het gaat daarbij om de begrippen Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV). De informatie en informatiesystemen kunnen dan worden voorzien van het juiste beveiligingsniveau. Om deze BIVclassificaties eenduidig te kunnen bepalen moet de organisatie over heldere richtlijnen beschikken zoals aangegeven in de Baseline Informatiebeveiliging Waterschappen, Strategisch en Tactisch normenkader, WS versie 1.0. Hierbij zijn wet- en regelgeving en de betrouwbaarheidseisen die uw organisatie aan deze gegevens stelt, een belangrijk uitgangspunt. Vervolgens moet er op basis van de toegekende BIV-classificatie vastgesteld worden welke data wel en welke niet in de cloud geplaatst mogen worden. Het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Veiligheid en Justitie biedt in het document ‘Cloudcomputing & security beveelt aan om daarnaast in kaart te brengen welke processen, procedures en maatregelen door de cloudleverancier minimaal geïmplementeerd moet zijn, zodat u blijft voldoen aan geldende wet- en regelgeving, standaarden, richtlijnen, gedragscodes en certificeringen. Zorg dat u antwoorden krijgt op onderstaande, niet eindige lijst, met vragen op het moment dat u gebruik gaat maken van clouddiensten: 

Hebt u inzicht welke beperkingen gelden voor de gegevens die u in de cloud gaat onderbrengen?



Kunt u aangeven in welke rechtsgebieden uw gegevens wel en in welke juist niet mogen



Mogen persoonsgegevens worden doorgegeven naar of verwerkt worden in landen buiten



Indien persoonsgegevens buiten de EU worden verwerkt, in hoeverre worden die gegevens

worden opgeslagen? de EU? dan in de praktijk daadwerkelijk beschermd door het Europese recht?

Pagina 20 van 58




Moeten medewerkers van de cloudleverancier geheimhoudingsverklaringen ondertekenen, een Verklaring Omtrent het Gedrag (VOG) overhandigen, AIVD of MIVD36 gescreend zijn?

Op het moment dat de classificaties en de bijbehorende maatregelen zijn vastgesteld, weet u hoe uw gegevens moet worden behandeld en beschermd. Als u gebruik gaat maken van clouddiensten, moet dit beveiligingsniveau natuurlijk gewaarborgd blijven en mag het niet in gevaar worden gebracht. Om inzicht te verkrijgen of de cloudleverancier kan voldoen aan uw eisen, moet de cloudleverancier inzicht geven in zijn bedrijfsvoering. Voor alle diensten die gebruik willen maken van openbare of hybride (mix tussen private, community en public) clouddiensten moet er vooraf een risicoanalyse worden uitgevoerd door de eigenaar van de dienst samen met een van de adviseurs informatiebeveiliging van het waterschap. Op basis van de risicoanalyse kan worden afgewogen in hoeverre het gebruik van deze clouddiensten risico’s meebrengt voor het waterschap en onder welke eventueel aanvullende voorwaarden een clouddienst (toch) ingezet kan worden. Vanwege het specifieke karakter van cloud computing diensten zullen in deze risicoanalyse de volgende tien beveiligingsaspecten expliciet meegenomen moeten worden. 1. naleving van wet- en regelgeving (ten aanzien van WBP, beveiligingsbeleid leverancier, partners) 2. beheersbaarheid van processen en systemen (afstaan van controle en beheer(s)mogelijkheden aan de leverancier, afsluiten contract en SLA, eigenaarschap software) 3. gegevensbescherming (locatie gegevens, vermenging gegevens met die van anderen, versleuteling van gegevens, etc ) 4. relatie tot de leverancier (mogelijkheid tot vendor lock-in, exit-clausule voor het geval de leverancier failliet gaat.) 5. beschikbaarheid van de clouddienst (beschikbaarheid van en via het internet) 6. beheer van gebruikers (toegangscontrole is extra belangrijk gezien het open karakter van cloudcomputing diensten) 7. beheer van (beveiligings)incidenten (aansluiting bij eigen incidentbeheerproces) 8. wijzigingsbeheer (hoe worden wij op de hoogte gebracht als een leverancier zijn clouddienst aanpast, hoe worden storingen bij wijzigingen voorkomen?) 9. back-up en recovery (als er bij de leverancier iets misgaat, zijn we dan onze data kwijt?) 10. transparantie (vaak is aanvullende informatie nodig om een goede risicoafweging te kunnen maken, zoals informatie over met welke software er gewerkt wordt of aansprakelijkheidsissues .)

Pagina 21 van 58


Deze tien punten zijn uitgebreid beschreven in het document ‘Cloudcomputing & Security van het Nationaal Cyber Security Centrum. Dit document1 dient dan ook gebruikt te worden bij de risicoanalyse.

Deel 2

9 Architectuur en cloud computing In de architectuur in de digitale wereld wordt op basis van de visie en de missie van een organisatie een aantal principes beschreven voor de inrichting van processen, de informatievoorziening, de applicaties, de data en de technische infrastructuur. Architectuurprincipes zijn uitgangspunten die richting geven bij besluiten over de ICT-voorzieningen van een waterschap. Een goede set architectuurprincipes voorkomt ad-hoc besluiten die achteraf niet blijken te passen in de langere termijnstrategie van het waterschap. Daarmee is direct duidelijk dat architectuurprincipes niet uitsluitend technisch van aard zijn, maar zeer zeker ook strategisch en ‘politiek’. De cloud wordt vaak gezien als hét nieuwe architectuurprincipe. Maar clouddiensten verhouden zich lang niet altijd met geaccepteerde architectuurprincipes. Gezegd zou kunnen worden dat ‘de cloud’ zelf een belangrijk nieuw architectuurprincipe is voor wie goede redenen heeft om cloud-diensten te (gaan) gebruiken.

9.1 De architectuur in de traditionele IT en in de cloud De architectuur in de digitale wereld wordt in logische lagen opgebouwd. Afhankelijk van de toepassing ervan worden er meer of minder lagen onderscheiden. In de WILMA, de referentiearchitectuur van de waterschappen, bestaat de eenvoudigste indeling uit drie lagen: 

De bedrijfsarchitectuur, richt zich op de producten en diensten die worden geleverd en de processen waarmee deze producten en diensten worden voortgebracht.



De informatiearchitectuur, richt zich op de informatievoorziening in termen van gegevensbeheer, gegevensuitwisseling en procesondersteuning door informatiesystemen.



De technische architectuur, richt zich op de technische infrastructuur, de hardware bestaande uit computers, servers, gegevensopslag en netwerken, waarop de software, de applicaties, draaien.

1

Zie met name hoofdstuk 4 en bijlage E van het document ‘Cloudcomputing & security’.

Pagina 22 van 58


Vaak worden applicaties en/of data weergegeven in een aparte laag zodat er een vier- of vijflagen model ontstaat met een proceslaag, een informatielaag, een applicatielaag/datalaag en een technieklaag. In een service oriented architectuur (SOA), zoals beschreven in de Visie op ICT (2007) van de waterschappen, worden de lagen opgebouwd uit componenten die functionele en technische diensten (functional en technical services) aan elkaar en aan de gebruikers leveren om hun processen uit te voeren. De communicatie tussen de componenten gebeurt door middel van berichten. Om het transport van de services en berichten te faciliteren kan men gebruik maken van een voorziening die Enterprise Serve Bus (ESB) wordt genoemd. Met een ESB worden de componenten onderling verbonden. Producten waarmee zo’n verbindende laag (integration layer) kan worden vormgegeven wordt middle ware genoemd, de middle ware verbindt hardware en software componenten. In onderstaande figuur worden de processen (in rood) ondersteund door applicatie services (groen) en die de beschikbare databronnen (grijs) gebruiken. De services zijn verbonden via een generiek koppelvlak (de gele kolom).

Pagina 23 van 58


In de standaard SOA Referentie Architectuur2 wordt de lagen structuur uitgebreid met een services-laag en een service component-laag met daaronder een operationele systemenlaag bestaande uit de applicatie- en datacomponenten (registries of registraties) en de technischisch componenten uit de technische laag. Door het toevoegen van een service-laag en een service componentenlaag wordt het geheel flexibeler en eenvoudiger aanpasbaar aan wijzigende eisen van gebruikers. Een gebruiker maakt gebruik van diensten en de dienstenleverancier levert die diensten. De services-laag ontkoppelt de dienstengebruiker en de leverancier van diensten. In de achtergrond kunnen er applicaties en (data)registraties worden vervangen zonder dat de geleverde dienst hoeft te worden gewijzigd. Het bevordert de mogelijkheid tot hergebruik van componenten en het delen van componenten door meerdere gebruikers door hen toegang te geven tot bestaande diensten.

2

Open Group Standard SOA Reference Architecture 2011

Pagina 24 van 58


In de SOA referentie architectuur worden vier ondersteunende lagen onderscheiden: 

de integratie-laag (ESB),



een Quality of Service laag (QoS layer) voor het beheer en beveiliging,



een Informatielaag/(meta) Data Architectuur en Business Intelligence-laag en



een Governance-laag (guidelines, standards, service register en repositry, business rules manager, change control manager etc.),

in totaal negen lagen. Op elke laag worden specifieke bouwstenen onderkent (ABB’s of architectual building blocks). De gebruikerslaag, de business proceslaag en de serviceslaag zijn de zorg van de afnemer van diensten, de business. Voor het business proces management zijn een SOA architectuur en het gebruik van een Enterprise Service Bus hulpmiddlen om bedrijfsprocessen te optimaliseren. Processen kunnen eenvoudiger en sneller worden aangepast aan gewijzigde omstandigheden zonder veel aan de onderliggende lagen te hoeven veranderen. De onderliggende lagen, services, service components en operational systems zijn niet de zorg van business maar de zorg van de diensten leverancier. Gebruikers en leveranciers hoeven niet in de zelfde organisatie te zitten. Met het gebruik van een SOA-architectuur binnen één organisatie en het delen van een SOA-architectuur tussen verschillende organisaties is de basis gelegd voor cloud computing en Software as a Service (SaaS). De service-laag is de ontkoppelingslaag tussen de gebruiker en de service provider.

Pagina 25 van 58


Een cloud service heeft twee interfaces: 

een functionele interface voor de gebruiker van de functionaliteit en



een managementinterface om de dienst te kunnen afnemen en het gebruik te kunnen monitoren en meten.

Figuur 2: Cloud Service Interfaces

Via deze interfaces kunnen de resources van de cloud service worden benaderd. In een SOA architectuur kan dit als volgt worden ingepast:

Figuur 3: Resource Environment in SOA

Pagina 26 van 58


9.2 Cloud computing heeft gevolgen voor de bestaande ICT architectuur en het ITbeheer Maakt een organisatie gebruik van cloud computing dan levert de service provider Internetgebaseerde Saas, PaaS en/of IaaS services (data, applicatie, platform en infrastructuur diensten). In een organisatie kan dat een interne of een of meer externe leverancier(s) zijn. Een gebruiker in een organisatie heeft in zijn gebruikersomgeving alleen toegang tot die services waarvoor hij de juiste autorisatie heeft. Een gebruiker ziet alleen beschikbare services. Wie die services levert is niet van belang. Sommige services worden vanuit de traditionele eigen ITomgeving of via hosted services verzorgt anderen via een SaaS, PaaS of IaaS service provider, zoals onderstaande figuur laat zien.

Delen van de operationele systemen staan in eigen huis, andere delen bij een of meer hosted/outsourced service providers of ergens in de cloud bij een of meer cloud service providers. Het is de taak van de IT-afdeling van de organisatie om de verscheidenheid aan diensten transparant als services aan te bieden aan de eindgebruikers in de organisatie.

Pagina 27 van 58 Figuur 4: Eigen diensten in combinatie met diesnten van derden


Organisaties krijgen te maken met hybride cloudomgevingen en gedistribueerde services. Een deel van de services komt uit de bestaande IT-infrastructuur of private cloudomgeving van de eigen organisatie een ander deel kan uit een community cloud of de public cloud komen. Voor de gebruiker is het een transparante werkomgeving waarop hij kan werken nadat hij door de authenticatie controle (is hij wel wie hij zegt dat hij is?) en autorisatie-controle (mag hij wel datgene doen wat hij wil doen?) is gekomen. Wanneer een organisatie gebruik gaat maken van clouddiensten van service providers dan neemt de complexiteit van de ICT in eerste instantie beduidend toe. Voor de ICT architectuur betekent dit namelijk dat er naast de stapel (stack) aan traditionele IT er een stapel IAAS, PAAS en SAAS oplossingen komt te staan. Meer delen van de ICT worden daarbij door derden ingevuld en beheerd.

Pagina 28 van 58


Figuur 5: Data, Applications, Platforms, and Infrastructure

De complexiteit neemt verder toe naarmate meer verschillende services providers worden ingezet. Hoe hiermee om te gaan? Als we kijken naar de Cloud Computing Referentie Architectuur van de NIST in onderstaande figuur dan kunnen we vier rollen onderscheiden: de Cloud Consumer, de Cloud Provider, de Cloud Auditor en de Cloud Broker, die allen gebruik maken van een Cloud Carirer.

Pagina 29 van 58


Figuur 6: NIST Cloud Computing Reference Architecture

Een gebruiker (Cloud Consumer) maakt gebruikt van allerlei cloud services die geleverd worden door een verschillende Cloud (service) Providers. De service providers leveren hun diensten door gebruik te maken van een Cloud Carrier die het transport verzorgd van en naar de gebruiker. Om de complexiteit voor de gebruiker te ondervangen kan e gebruik gemaakt worden van een Intermediary Cloud Provider of van een een Cloud Broker die er voor zorgt dat een gebruiker niet met veel verschillende providers zaken moet doen. De Cloud Broker handelt het verkeer van en naar de verschillende service providers af. Als een gebruiker door de toegangscontrole is gekomen, dan is bekend wie hij is en wat hij mag. De cloud broker ziet er op toe dat de gebruiker alleen toegang krijgt tot die diensten waartoe hij gerechtigd is en regelt de toegang tot de verschillende cloudomgevingen.

Pagina 30 van 58


De in de bovenstaande figuur aangegeven koppelingen of API’s (application programming interfaces) zijn Cloud API’s of Web service API’s. Web service API’s zijn berichten die op basis van het http-protocol over het Internet worden verstuurd, waarbij een bericht bestaat uit een envelop en een inhoud:

Figuur 7: Web Service APIs

Pagina 31 van 58


9.3 Integratie van bestaande IT met Cloud Computing Het gebruik van open standaarden is noodzakelijk om te voorkomen dat de situatie ontstaat dat een organisatie afhankelijk wordt van de diensten van één specifieke leverancier (vendor lock-in). Veel organisaties en overheden zien het integreren en koppelen van verschillende diensten van verschillende leveranciers (interoperability) en het verplaatsen van data en mogelijk applicaties van de ene naar de andere service provider (portability) als een groot probleem. Naast het kunnen veranderen van leverancier voor bepaalde diensten moet het ook mogelijk zijn om eigen ITdiensten te integreren met en/of te vervangen door cloud diensten. Een belangrijke vereiste om dit probleem op te lossen is dat er gebruik wordt gemaakt van open standaarden. De SOA en Cloud Computing architectuur opgebouwd uit standaard componenten (building blocks) en standaard koppelvlakken (interfaces) verminderen de integratie-problemen en vereenvoudigen te uitwisselbaarheid van diensten. Het maakt de informatiesystemen flexibeler en uitbreidbaar. Veel van die componenten zijn bij verschillende leveranciers van de plank te koop (of-the-shelf). De Open Group heeft een gedistribueerd model opgesteld, het Distributed Computing Reference Model (DCRM)3, dat de interfaces tussen de technische componenten beschrijft gebaseerd op de constatering dat een informatie systeem in de traditionele IT en in cloud computing een aantal steeds terugkerende technische componenten bevat namelijk data, applicaties, platform, en infrastructuur componenten, waarbij: 

Data de door een computer verwerkbare representatie is van informatie die in een opslagapparaat (storage) wordt vastgehouden;



Applicaties software programma’s zijn die functie uitoefenen die relevant zijn voor de bedrijfsvoering;



Platforms programma’s zijn die applicaties ondersteunen en algemene functies uitoefen die niet gerelateerd zijn aan de bedrijfsvoering;



Infrastructuur de verzameling fysieke processorcapaciteit, dataopslag en communicatiemiddelen is.

De applicatie, platform, en infrastructuur componenten kunnen traditionele IT-bedrijfsmiddelen zijn of cloud middelen (resources) zoals software applicatie programma’s (SaaS), software applicatie platforms (PaaS), and virtuele processorcapaciteit and data stores (IaaS).

3

Open Group Cloud Computing Portability and Interoperability, April 2013

Pagina 32 van 58


Bovenstaande figuur laat zien dat de applicatie data/applicaties/platforms/infrastructure stack is zowel aanwezig in de bestaande bedrijfssystemen als in cloud oplossingen als in gebruikersapparaten (user devices).

Applicatie data wordt in dit model als een op zichzelf staande component beschouwd, denk hierbij aan Relational Database Management Systems (RDBMS), die data voor allerlei andere applicaties beheren. Steeds meer data moet extern worden gepubliceerd, cloud computing is daarvoor een hulpmiddel evenals voor het onderling delen van data in een ketensamenwerking. De focus verschuift van het eigenaarschap van de data naar de toegankelijkheid van de data. Cloud computing faciliteert ook de verwerking van Big Data, grote hoeveelheden data die de interne capaciteit van IT-infrastructuur overschrijden. Denk hierbij bijvoorbeeld aan de opslag van sensordata en de analyse daarvan. Ook worden er wereldwijd steeds meer apparaten aan het Internet verbonden (‘the Internet of Things’) waardoor de hoeveel te verwerken data enorm zal toenemen. Een applicatie interpreteert data door middel van een datamodel waarin de structuur van de data is beschreven en dat informatie bevat over die data (meta data). Een applicatie kan in dit verband verschillende vormen hebben: 

een cloud SaaS service



een bedrijfsapplicatie service



een compositie (samenstelling) van een cloud en bedrijfsapplicatie services

Pagina 33 van 58




een applicatieprogramma die op een server draait



een programma op een personal computer of mobiel apparaat (ook wel apps genoemd)



een webpagina of set van webpagina’s ingeladen in een computer of mobiel apparaat (web pagina’s worden gedownload van van servers kunnen Javascripts bevatten om complexe processen uit te voeren evenals HTML om informatie te tonen)



in een SOA architectuur bestaan applicaties uit een verzameling services. Deze kunnen als service composities zijn geprogrammeerd bijvoorbeeld door gebruik te maken van de OASIS standard Web Services Business Process Execution Language (WS-BPEL).

Een platform kan een PaaS service zijn of een operating system platform op een server, PC, of mobiel apparaat zijn. Het is een veerzameling hard- en software die applicaties ondersteund. Traditionele software omvat de hele stack in ‘informatie silo’s’, met de komst van Object Oriented en later Service Orientented Architecturen konden monolitische applicaties worden opgesplitst is los gekoppelde services. Er wordt inmiddels veelvuldig gebruik gemaakt van allerlei mobiele apparaten met web applicaties (apps) gebaseerd op webpagina’s met JavaScript, HTML. Een platform levert diensten als: 

Data storage en retrieval, inclusief data management en zoeken



Data synchronisatie



Process scheduling, includsief management van tasks en threads



Communicatie tussen processen



Mens-computer interface, inclusief via webpages



Identity management



Access control



Application access rights management naar control application-platform service access



Service discovery



Service subscription



Service tenancy allocation and binding



Service composition



Component en service templates en certification



Transactionality



Support voor client-side processing



Configuratie en management van cloud resources, inclusief load balancing en multiplexing,



Software development



Security configuratie en management



Semantic translation

policy management en scaling

Infrastructuur kan bestaan uit cloud IaaS services, hardware in servers, PCs and mobiele apparaten (mobile devices) en gevirtualiseerde hardware resources in bedrijfsomgevingen. Een cloud infrastructure service maakt meestal gebruik van een virtuele laag om hardware componenten als cloud resources beschikbaarbaar te maken.

Pagina 34 van 58


Omdat de data/applicatie/platform/infrastructuur stacks in de praktijk parallel zullen voorkomen hebben we te maken met koppelingen op en tussen de verschillende niveaus in de stak. In het Distributed Computing Reference Model (DCRM) wordt dat als volgt weergegegeven:

Figuur 8: Distributed Computing Reference Model

Management Systems and Marketplaces vormen een apart soort applicaties en worden in het model apart weergegeven vanwege hun specifieke relatie met platforms en de infrastructuur. In de volgende plaat worden de gebruikers van de componenten weergegeven.

Pagina 35 van 58


Een organisatie maakt gebruik van een of meer Management Systems om de clouddiensten en de interne IT-diensten te beheren en te beheersen. In de ideale situatie gebruik je één systeem om alle resources te managen Een cloud Marketplace is een omgeving waarin leveranciers (publicers) hun clouddiensten publiceren en waarvan inkopers (procurers) gebruik maken om clouddiensten in te kopen. Management systems koppelen met management interfaces naar applicaties, platforms en infrastructuur. In onderstaande figuur is een aantal typische gebruikers van de verschillende componenten weergegeven. Gebruikers gebruiken applicaties, systeembeheerders beheren de systemen, ontwikkelaars ontwikkelen software op basis van platforms en en leveranciers en inkopers kopen en verkopen diensten:

Figuur 9 Human Actors

Pagina 36 van 58


Een gebruiker maakt gebruik van een applicatie, die op zijn beurt weer gebruik kan maken van achterliggende applicatie services, data en platform services. Een gegevensbeheerder kan bijvoorbeeld gebruik maken van een specifieke applicatie om gegevens te beheren. Een vergunningverlener maakt gebruik van een applicatie om vergunningen te verlenen. De rol van applicaties kan als volgt worden weergegeven:

Figuur 10: Applications

Pagina 37 van 58


Een voorbeeld om de rol van applicaties toe te lichten is het Online Shopping Application voorbeeld in figuur 11. Het voorbeeld laat zien hoe het model kan worden toegepast om een use case 4 te specificeren.

Figuur 11: Online Shopping Application voorbeeld

In het DCRM worden systemen benaderd en wordt informatie uitgewisseld tussen componenten over het bedrijfsnetwerk en het obenbare Internet. Het moet op een zodanige wijze worden ingericht dat:  Systemen alleen door geautoriseerde personen kunnen worden benaderd;  Information niet gelezen of veranderd kan worden tijdens het transport;  Systemen niet uitgeschakeld kunnen worden door Denial of Service (DOS) aanvallen.

4

Een use case in software engineering en systems engineering is een beschrijving van een gedrag van een systeem, dat reageert op een verzoek dat stamt van buiten het systeem. Met andere woorden, de use case beschrijft "wie" met het betreffende systeem "wat" kan doen.

Pagina 38 van 58


Alle interfaces die via het HTTP protocol communiceren zijn kwetsbaar voor de normale webveiligheidsrisico’s. Dit betekent dat de beveiliging op elk niveau, in en tussen elke laag, voor elk component en elke interface op orde moet zijn zoals dat bijvoorbeeld in het formele NISTmodel in figuur 12 is aangegeven.

Figuur 12 Formeel Model – NIST Security Reference Architecture

10 Voorbeelden van cloudplatforms Een cloud computing architectuur is gebaseerd op het virtualisatieconcept, dat breed wordt toegepast door de waterschappen, en op het serviceconcept van een SOA architectuur. De Visie op ICT (2007) waarin de SOA architectuur in combinatie met een enterprise service bus (esb) is beschreven blijft actueel, ook nu de aandacht zich in de markt richt op het cloud computing concept. Inmiddels zijn er veel meer volwassen producten op de markt dan in 2007 het geval was. Zonder compleet te willen zijn, enkele bekende voorbeelden van beschikbare producten en platforms. Windows Azure is het public cloud computing platform van Microsoft voor de ontwikkeling van Azure applicaties. Microsoft System Center 2012 en Windows Server 2008 R2 zijn private cloud producten. Met deze twee onderdelen kunnen IT professionals op één plek met dezelfde tools zowel private als public cloud services beheren, beschikbaarstellen en monitoren. Met System Center 2012 kunnen

Pagina 39 van 58


beheerders risico’s of problemen detecteren en oplossen. Windows Server levert verschillende serverrollen voor een private cloud oplossing.

Figuur 13 Het Microsoft Private Cloud Referentiemodel

De Oracle Service Bus levert een configuratie-gebaseerde integratieoplossing voor public cloud, private cloud, en on-premises applicaties. Oracle levert met Oracle Cloud een verscheidenheid aan abonnementsdiensten zoals Oracle Cloud Platform as a Service (PaaS) met Oracle WebLogic Server en Oracle Database Cloud Service, Oracle Cloud Software as a Service (SaaS) met ERP, Sales Customer Service and Support Human Capital Management services.

IBM SmartCloud is een familie van cloud computing producten en services om public, private and hybrid clouds te bouwen. IBM Cloud (ook bekend als IBM SmartCloud Enterprise) is door IBM gehoste IaaS oplossing, die o.a. geintegreerd kan worden met IBM WebSphere Cast Iron.

Pagina 40 van 58


IBM WebSphere Cast Iron is een configuratie-gebaseerde integratieoplossing om alle cloud applications, on-premises applicaties en hybride combinaties te integreren.

MuleSoft biedt een opensource platform met de Mule ESB5 en de Mule

CloudHub.

CloudHub is een integration platform as a service (iPaaS) voor hybrideomgevingen waarmee SaaS en on-premises applicaties kunnen worden geïntegreerd.

Red Hat levert met Red Hat JBoss een familie aan opensource producten en services voor het ontwikkelen van cloudtoepassingen zoals het JBoss Middleware en het JBoss Enterprise Application Platform.

Mendix Enterprise App Platform Levert producten om snel, zonder te coderen cloudapplicaties te ontwikkelen. 5

Recent heeft Wetterskip Fryslân een traject afgesloten waarin vijftien esb’s werden beoordeeld. Met vijf esb’s is een proof of concept uitgevoerd. Onderdeel van de vergelijking was de total cost of ownership over een periode van vier jaar. De keuze is gevallen op de Mule ESB die ook gebruikt wordt door een aantal grote gemeenten zoals Den Haag en Rotterdam.

Pagina 41 van 58


11 Cloud computing, overheidsbeleid en strategie Steeds meer nationale overheden, zoals de USA, Australië, Japan, Duitsland, Frankrijk, het Verenigd Koninkrijk en bedrijven omarmen een ‘cloud-first’ strategie. Voor overheden gelden hiervoor als belangrijkste criteria het het stimuleren van (overheids)innovatie, het verminderen van de kwetsbaarheid van de informatievoorziening bij calamiteiten en de significant lagere investeringskosten in ICT-oplossingen. In Europees verband is er een cloud-strategie afgesproken. De vier hoofdpunten van de Europese strategie voor cloud computing zijn: 

Garanderen dat de gebruiker zijn data van de ene cloud naar de andere kan verplaatsen of geheel kan terugtrekken.



EU-certificering van betrouwbare cloudproviders.



Modelcontracten voor cloud computing waarin wettelijke voorwaarden duidelijk zijn vermeld.



Een Europees partnerschap tussen overheid en ict-bedrijfsleven dat de behoeften in de markt inventariseert. Dit geeft Europese ict-bedrijven een voorsprong op de concurrentie, vooral uit de VS

Ook in Nederland werken verschillende overheden en overheidsdiensten aan de uitwerking van een cloud-beleid of cloudstrategie en de inzet van cloud computingdiensten. De waterschappen volgen de ontwikkelingen. Ze maken momenteel nog maar in beperkte mate gebruik van cloud diensten.

11.1 EU-beleid ten aanzien van cloud computing

De Europese Commissie heeft in september 2012 een rapport uitgebracht met als titel Unleashing the Potential of Cloud Computing in Europe. De hierin beschreven Europese Cloud Strategie kent drie actiepunten: 

kappen in het woud aan standaarden;



een Europese markt met veilige en eerlijke contractvoorwaarden;



een European Cloud Partnership (ECP) in samenwerking met het bedrijfsleven om innovatie en economische groei vanuit de publieke sector te stimuleren.

Het European Cloud Partnership (ECP) is in november 2012 opgericht. Ter ondersteuning hiervan is een European Cloud Platform opgezet en het project Cloud for Europe (C4E). Het ECP brengt industrie en de publieke sector samen om een Europese Digitale Interne Markt te creëren. De Steering Board adviseert de Europese Commissie over hoe cloud computing voor een versterking van de Europese economie kan zorgen. De board wordt voorgezeten door Hendrik Ilves, de president van Estland, en bestaat uit vertegenwoordigers van de ICT- en telecomindustrie en de overheden. De focus is gericht op: 

Het creëren van een veilige cloud computing omgeving



Het ontwikkelen van modelcontracten voor cloud computing

Pagina 42 van 58




Cloud beveiligings standaarden



Cloud Software initiatieven

C4E-project met 23 partners uit 11 landen en een budget van € 13,6 miljoen is in juni 2013 gestart en loopt tot november 2016. Het doel van dit project is om een duidelijk beeld te vormen van de eisen die de publieke sector stelt aan cloud computing, de obstakels te identificeren die het gebruik van cloud computing in de weg staan, diensten te definiëren die daar last van hebben en het aanbesteden van onderzoek om innovatieve oplossingen voor cloud diensten te vinden. De Nederlandse partners in dit project zijn het ministerie van Economische Zaken en de Belastingdienst van het ministerie van Financiën.

De ENISA, European Network and Information Security Agency houdt zich bezig met de beveiligingsaspecten van cloud computing. In de werkgroep Cloud Security and Resilience Working Group wordt er gewerkt aan de volgende onderwerpen: Cloud computing en EU cyber security strategie:  Incident meldingen (NIB-richtlijn)  Monitoren veiligheid  Risicoanalyses Overheids Cloud computing:  (Nationale) overheids cloud, implementatie en planning  Nationale cloud computing strategie  Overheids app stores  Standaarden

ENISA Cloud beveiligingsstandaarden. In maart 2013 heeft de ENISA het conceptdocument ‘Security standards for cloud usage’ gepubliceerd. Het onderzoek beperkt zich tot standaarden boven de transportlaag. De standaarden worden voor de gebruiker van cloud computing diensten (de cloud user) in samenhang met zeven (high level) use cases beschreven: 

UC1 (Selecteren cloud service)



UC2 (Contract afsluiten)



UC3 (Migreren en integreren)



UC4 (Operationeel / beheer)



UC5 (Monitoren)



UC6 (Audit/inspectie)



UC7 (Exit/migratie)

Voor een auditor zijn met name de use cases UC1 en UC6 van belang.

Pagina 43 van 58


De standaarden worden in het rapport gemapt op de use cases en op de toepassingsgebieden: IaaS, PaaS, SaaS, faciliteiten en organisatie en mate van de openheid, de adoptie en de certificering van de standaarden. Belangrijke conclusies zijn dat er nog geen standaarden zijn op gebied van de bescherming van persoonlijke gegevens en dat er nog maar weinig standaarden bestaan voor de use cases UC2, UC3, UC4, UC5 en UC7.

Wereldwijd houden er ongeveer 20 organisaties zich bezig met de (technische) standaardisatie van het cloud landschap. In Europees verband is dat de ETSI (European Telecommunications Standards Institute). De ETSI werkgroep Cloud Standards Coordination (CSC) heeft in een interim rapport, V0.0.4, 28 juni 2013, verschillende gebruikersrollen en use cases beschreven. Naast de rollen van cloud service user en cloud service provider wordt de rol van cloud service partner (als ondersteuner bij het gebruik van clouddiensten) en de rol van overheidsautoriteit (wet- en regelgeving, toezicht, stimulerende maatregelen) onderscheiden. Een partij (een organisatie, bedrijf of persoon) kan in verschillende rollen acteren. [Service Level Agreement (SLA), Interoperability en Security. Een SLA is van belang in drie fasen: bij de verwerving (acquisitie) van een cloud dienst, zolang de dienst gebruikt wordt en bij de beëindiging van het gebruik. In het definitieve rapport wordt een voorbeeld use case beschreven voor het laten ontwikkelen van app gebaseerd op een cloud-dienst voor je eindgebruikers. Voorbeelden van use cases die worden uitgewerkt zijn een interoperability use case “Cloud bursting scenario” en een data portability vraagstuk in de use case “Changing Cloud Vendor”. In het cloud bursting scenario worden meerdere cloud-omgevingen geïntegreerd, denk bijvoorbeeld aan een private-cloud omgeving met operationele virtual machines (VMs) die met public IAAS services wordt uitgebreid met extra rekenkracht (toevoegen van een extra VMs) om het cluster te vergroten of om die minder kwetsbaar te maken. De use case “Changing Cloud Vendor” betreft de verandering van cloud leverancier (cloud vendor). Standaardisatie is noodzakelijk om lock inn situaties te voorkomen. Dit betekent dat er data van A naar B moeten kunnen worden verplaatst op een gestandaardiseerde manier. Dat kan zijn: een service op SAAS niveau, een applicatie op PAAS niveau of de content van servers en storage op het IAAS niveau. Aandachtspunten hierbij zijn standaarden voor de applicatie specifieke data, het data format en de configuratie gegevens (-interoperabiliteit tussen A en B).] Het CIRRUS-project is een gezamenlijk initiatief van de Europese Commissie en de industrie en adviseert de Europese Commissie, ETSI en ENISA bij het implementeren van de Europese Cloud Strategie. Het centrale probleem voor dit project is het gebrek aan vertrouwen dat

Pagina 44 van 58


het gebruik van cloud diensten beperkt. De nadruk ligt op datasecurity en privacy. Het CIRRUSproject is een jaar geleden gestart en loopt tot 1 oktober 2014.

11.2 NL-beleid ten aanzien van cloud computing Naar aanleiding van de motie Van der Burg c.s. (TK 26643, nr. 157) heeft minister Donner in april 2011 in een brief aan de Tweede Kamer zijn Cloudstrategie voor de Rijksoverheid gepresenteerd. Doordat de huidige ‘open’ Cloud toepassingen nog niet voldoen aan de specifieke wensen en verantwoordelijkheden van de Rijksoverheid is er gekozen om in te zetten op een Gesloten RijksCloud (GRC) in eigen beheer. Vanuit het Rijk is vooral de overweging dat men eerst het eigen shared service center goed wil inrichten en consolideren, en pas daarna de samenwerking met anderen wil aangaan. [De inrichting van een Gesloten RijksCloud heeft tot doel om lagere beheerskosten en een groter gebruikersgemak te bewerkstelligen en tegelijkertijd de informatieveiligheid te garanderen en risico’s te minimaliseren. In het kader van het Uitvoeringsprogramma Compacte Rijksoverheid wordt er gewerkt aan het aanbieden van generieke voorzieningen die Rijksbreed via een beveiligd netwerk worden aangeboden. Door afstemming in het interdepartementale overleg van CIO’s (ICCIO) wordt zoveel mogelijk hergebruik van voorzieningen gerealiseerd, zo een efficiëntieslag gemaakt en bovendien invulling gegeven aan het uitgangspunt ‘Cloud First’. Concreet wordt er gewerkt aan een consolidatie van de verschillende datacenters en netwerken en is er tevens ingezet op gezamenlijke voorzieningen voor de digitale werkplekken, e-mail, samenwerkingsmogelijkheden en open data. Doelstelling is de totstandkoming van een Rijksbrede ICT-infrastructuur, ondergebracht in vijf (dubbel uitgevoerde) ICT-datacenters en verspreid over Nederland. Dat is kostenefficiënter, effectiever en uniformer. Dit programma is opgesplitst in vier zelfstandige projecten die worden uitgevoerd door Dienst Uitvoering Onderwijs (DUO), het samenwerkingsverband RWS/DJI, SSC-IT en de Belastingdienst. Na DUO heeft nu ook het samenwerkingsverband RWS/DJI haar aanbesteding succesvol afgerond.] Het Bureau Forum Standaardisatie van Logius is een afstemmingsoverleg gestart met als onderwerp standaarden voor de cloud. In dit overleg, waarin HWH vertegenwoordigd is, wordt onder andere gesproken over het opstellen van een gezamenlijke factsheet over cloud computing. De dienst digitale overheid van Logius werkt aan de ontwikkeling van een Rijksoverheid netwerkinfrastructuur (R)ON2.0. Het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Veiligheid en Justitie heeft in januari 2012 een whitepaper gepubliceerd met als titel Cloudcomputing & Security. Ook de Defensie Materieel Organisatie van het ministerie van Defensie heeft een notitie in voorbereiding met als titel Visie NII Cloudarchitectuur. Het CIV van Rijkswaterstaat heeft in november 2011 een cloud-first advies geformuleerd. Rijkswaterstaat (RWS), de Dienst Justitiële Inrichtingen (DJI) en een aantal andere onderdelen van de Rijksoverheid brengen hun ICT-infrastructuur onder in twee datacenters. Hiertoe hebben RWS en Equinix Nederland onlangs een contract afgesloten. Het is de tweede overeenkomst in het kader van het Programma Consolidatie Datacenters van het Rijk.

Pagina 45 van 58


[De ICT-infrastructuur van een aantal rijksoverheidsinstellingen wordt ‘gehoused’ in twee datacenters van Equinix: AM2 en AM3 Science Park Amsterdam. Naast de datacenterhousing zal Equinix ook het floormanagement verzorgen voor respectievelijk RWS, DJI, Inspectie SZW Opsporing, Rijksinstituut voor Volksgezondheid en Milieu (RIVM), Koninklijk Nederlands Meteorologisch Instituut (KNMI), Planbureau voor de Leefomgeving (PBL), College ter Beoordeling van Geneesmiddelen (CBG), Centraal Planbureau (CPB) en Sociaal en Cultureel Planbureau (SCP).] Het Kadaster heeft in februari 2013 een interne notitie Beleid cloudcomputing en beveiliging opgesteld. Recent heeft het ook een voorstel geformuleerd voor een cloudstrategie. De Nederlandse Bank maakt afspraken met leveranciers van clouddiensten om deze geschikt ter maken voor de financiële sector. Het IPO heeft een factsheet in voorbereiding die in het najaar 2013 wordt verwacht. De VNG heeft in samenwerking met KING in juni 2011 de notitie Slim samenwerken aan ICT, Cloud computing en shared service centra gepubliceerd.

11.3 Waterschapsbeleid ten aanzien van cloud computing In de notitie Inventarisatie Cloudstrategieën overheden, een publicatie van het ministerie van Binnenlandse Zaken van de Directie Burgerschap en Informatiebeleid van augustus 2013, wordt geconstateerd dat aanbieders van clouddiensten het niet nalaten om alle voordelen die het met zich meebrengt voor het voetlicht te brengen. Hierbij kan gedacht worden aan bijvoorbeeld lagere kosten, het alleen betalen voor gebruik en locatie onafhankelijk werken. Tegelijkertijd brengt cloudcomputing echter ook risico’s met zich mee, onder andere op het gebied van informatieveiligheid. Het kiezen voor cloudcomputing gaat dan ook om het maken van verantwoorde keuzes. De notitie biedt een overzicht van de cloudstrategieën bij de Nederlandse overheden. Over de waterschappen wordt gemeld: De waterschappen hebben tot op heden nog niet ingezet op een gezamenlijke cloudstrategie. De recent vastgestelde Baseline Informatiebeveiliging waterschappen 2013 beveelt de waterschappen aan om specifieke maatregelen te treffen voor het gebruik clouddiensten en het toepassen encryptie voor het transport van data over het Internet. De waterschappen maken nog maar in beperkte mate gebruik van cloud computing diensten, zoals uit een kleine inventarisatie blijkt die naar aanleiding van het schrijven van dit rapport is uitgevoerd. Voor het gebruik van clouddiensten door het waterschap of op eigen initiatief door medewerkers is er meestal nog geen beleid ontwikkeld. Voor een enkele clouddienst is er een SLA afgesloten zoals voor de inzet van mobiele toepassingen in het veld, websites of papierloos vergaderen. De behoefte aan een cloudbeleid en een cloudstrategie is groeiend. Sommige waterschappen werken eraan of hebben een cloudparagraaf opgenomen in het informatiebeleid.

Pagina 46 van 58


De algemene verwachting van de waterschappen is dat cloud computing de komende jaren belangrijker wordt en belangrijke veranderingen te weeg zal brengen in het IT-landschap van de waterschappen en in het beheer daarvan.

11.4 Transformatiepaden naar de cloud, een toekomstscenario De core business van waterschappen is het waterbeheer, niet de ICT. Het algemeen ICT-beleid van de waterschappen is er dan ook op gericht de ICT-ontwikkelingen te volgen en voor de bedrijfsvoering in te zetten op bewezen technologie (proven technology). Omdat cloud computing tot het domein van bewezen technologie is gaan behoren zijn cloud computing oplossingen ook inzetbaar voor belangrijke onderwerpen die de ICT van de waterschappen raken zoals kostenbeheersing, regionale en ketensamenwerking, mobiel, plaatsen tijdonafhankelijk werken en beveiliging. Hiermee zal een geleidelijke transformatie op gang komen van traditionele IT naar cloud computing. Het formuleren van een cloudbeleid en een cloudstrategie biedt de mogelijkheid om ontwikkelingen te bevorderen in de door een waterschap gewenste richting. Bijvoorbeeld in het geval dat er een systeem vervangen moet worden. Een cloud first-strategie, zoals die door veel overheden is geformuleerd, helpt om de nieuwe mogelijkheden van cloud computing bewust in de afwegingen te betrekken. Virtualisatie van de IT infrastructuur vormt de basis van cloud computing. De waterschappen hebben de afgelopen jaren fors geïnvesteerd in de virtualisatie van hun eigen IT-omgevingen. De logische vervolgstap richting cloud computing is de bestaande IT architectuur geleidelijk te veranderen in een Service Oriented Architectuur (SOA) door functionele componenten en services te definiëren. Componenten en services worden losjes gekoppeld (loosely coupled) door gebruik te maken van berichtenverkeer via een Enterprise Service Bus (ESB). De bestaande IT wordt daardoor beter beheersbaar en ook eenvoudiger integreerbaar en inwisselbaar met de cloud services. Deze aanpak, die door een aantal waterschappen wordt gevolgd, voorkomt dat er grote vervangingsinvesteringen gedaan moet worden en biedt de mogelijkheid om kleinschalig te beginnen en snel resultaten te boeken. De bestaand interne IT krijgt door middel van virtualisatie en een SOA-architectuur de mogelijkheid om services te leveren die eenvoudiger geïntegreerd kunnen worden met hosted services en clouddiensten. De eigen ICT-services, hosted services en cloud services kunnen dan op eenzelfde manier en in één digitale werkomgeving worden aangeboden aan de gebruikers. Systeembeheerders kunnen alle services op eenzelfde wijze managen.

Het beheer en het vervangen van componenten in de eigen IT infrastructuur wordt daarmee eenvoudiger. De inrichting van de eigen IT als een private cloud omgeving faciliteert ook het veilige gebruik van bedrijfsapplicaties door de medewerkers op hun eigen mobiele apparaten als smartphones, tablets, notebooks. Gebruikersapparatuur (personal devices)

Pagina 47 van 58


hoeven niet meer door de organisatie ter beschikking te worden gesteld wat aanzienlijk scheelt in de beheer- en onderhoudsinspanningen (Bring Your Own Device, BYOD).

11.5 Slimmer samenwerken in de cloud In de huidige situatie werken de waterschappen samen in wisselende samenstellingen. De volgende figuur brengt een aantal samenverbanden rond laboratoria en belastingkantoren in beeld. Kenmerkend voor de huidige situatie is dat elke organisatie en samenwerkingsverband de beschikking heeft over een eigen IT-afdeling met een eigen datacenter.

Pagina 48 van 58


Pagina 49 van 58


11.6 Opties voor de toekomst Het SOA en cloud computing concept maakt het mogelijk om in een regionaal samenwerkingsverband in een eigen gesloten en beveiligde omgeving resources met elkaar te delen. Dit kan door in eigen beheer of in samenwerking met een service provider een lokale gesloten community cloud in te richten. In de lokale community cloud worden de gedeelde services en resources ondergebracht waartoe gezamenlijk wordt besloten. Dit biedt de mogelijkheid om (een deel van) de infrastructuur, platformen en applicaties samen te delen en gezamenlijk te gebruiken. Op den duur kan (een deel van) de eigen IT resources worden afgebouwd en vervangen door gedeelde resources in de community cloud. Bij de start van de samenwerking in een community cloud beschikken de deelnemende partijen allen over een eigen datacenter. Het gebruik van een gesloten community cloud maakt het mogelijk het aantal datacenters in een lokale samenwerking op termijn terug te brengen naar twee. Deze twee, dubbeluitgevoerde, datacenters kunnen in geval van calamiteiten elkaars taken overnemen. De datacenters kunnen in eigendom zijn, beheerd en geëxploiteerd worden door een of meer van de aangesloten partijen zelf, een derde partij, of een combinatie ervan. Het datacenter kan zijn ingericht bij een of meer van de deelnemende partijen zelf of bij een externe service provider. De huidige wildgroei aan gebruik van apps door de medewerkers en de daaraan gekoppelde beveiligingsrisico’s kan onder controle worden gebracht door de inzet van een Intermediary Cloud Provider of van een Cloud Broker. Er ontstaat dan een hybride cloudomgeving waarin een deel van de services uit de private omgeving komt, een deel uit de gesloten community cloud en een deel, op gecontroleerde wijze, uit de public cloud. Voor de gebruiker wordt de wereld simpeler. Hij logt per werksessie eenmalig in (single sign-on of SSO) op zijn digitale werkplek, het bedrijfsportaal. Hij kan dat doen op een willekeurig device, van hemzelf of van de organisatie. De digitale werkplek is een geïntegreerde werkomgeving. Binnen die werkomgeving kan de gebruiker op een veilige wijze gebruik maken van zowel de bedrijfsapplicaties als van de webapps waarvoor hij geautoriseerd is. In een samenwerkingsverband kan men besluiten zo’n omgeving gezamenlijk op te zetten zodat niet iedere deelnemende partij zelf een veilige toegang tot de public cloud hoeft te regelen. Een belangrijk inrichtingsaspect is dat ieder van de deelnemende partijen te allen tijde de verantwoordelijkheid en controle houdt over de eigen medewerkers en hun toegangsrechten en de controle over de eigen data. De diensten worden gemonitord en het gebruik ervan gemeten. De deelnemende partijen betalen de kosten naar rato van het gebruik.

11.7 Een WaterschapsCloud De regionale gesloten community clouds van regionaal samenwerkende waterschappen kunnen onderling worden verbonden tot een gesloten landelijke community cloud van de waterschappen, een WaterschapsCloud, vergelijkbaar met de Gesloten RijksCloud. De individuele datacenters kunnen in navolging van de Rijksdienst worden geclusterd in paren, twee per regionale samenwerking.

Pagina 50 van 58


Een waterschap kan beleid ontwikkelen om de richting van de ontwikkelingen bewust te sturen en keuzes maken uit de mogelijke resources bijvoorbeeld bij vervanging van onderdelen van de bestaande IT. Bewegingen die men wenst kunnen inzichtelijk worden gemaakt in bijvoorbeeld een matrix zoals hieronder als voorbeeld is weergegeven. Hierin kunnen ook specifieke applicaties, gegevensbestanden, platformen en infrastructuurcomponenten worden opgenomen:

De voordelen van de vorming van een WaterschapsCloud zijn dat lokaal of regionaal ontwikkelde en gebruikte services in breder verband kunnen worden gedeeld waardoor er meer gebruikers zijn voor bepaalde services en er ook meer gebruik van wordt gemaakt waardoor de kosten van een app dalen. Er ontstaat een Waterschap App Store met apps die aan de open standaarden van de waterschappen voldoen en waaruit een waterschap kan kiezen. Leveranciers kunnen apps die aan de eisen voldoen laten opnemen in de Waterschap App Store en hun diensten in de cloud aanbieden. [Voorbeeld: een waterschap zou kunnen besluiten om de IRIS-applicatie in de lokale IT te vervangen en op te splitsen, de database intern in een SOA-architectuur op te nemen en apps te ontwikkelen voor mobiele gebruikers in een private cloud en voor een deel van de functionaliteit gebruik te maken van public cloud services. In een later stadium kan de app breder inzetbaar worden gemaakt door de app beschikbaar te stellen in een community cloud. ] Naast de lokaal en regionaal ontwikkelde cloud services kunnen er ook landelijke cloud services worden ontwikkeld en beschikbaar gesteld in de WaterschapsCloud. Denk aan collectieve voorzieningen die de waterschappen gezamenlijk wensen te ontwikkelen en onderhouden. Een waterschap kan zelf bepalen of, en zo ja wanneer, een lokale clouddienst wordt

Pagina 51 van 58


vervangen door een regionale of landelijke clouddienst en aan welke medewerkers die beschikbaar wordt gesteld. Een waterschap hoeft ook niet mee te doen aan een gezamenlijke ontwikkeling. Als een app beschikbaar komt kan die worden gebruikt. De gebruiker betaalt daarvoor naar het gebruik dat er van wordt gemaakt. Het gebruikstarief kan gedifferentieerd worden naar gebruikers van eigenaren en niet-eigenaren. De WaterschapsCloud maakt gebruik van de gedeelde resources (resource pooling) van de lokale en regionale datacenters en van een gemeenschappelijk koppelvlak waarmee een gedistribueerd landelijk datacenter wordt gecreëerd en resources kunnen worden gedeeld. Het centrale koppelvlak met de bijbehorende governance en beveiliging, de afstemming van standaarden voor componenten, services, interfaces, datamodellen, het beheer en de publicatie van een service catalogus en de Waterschaps App Store, zijn taken die bij voorkeur centraal worden belegd bij de Unie van Waterschappen, Het Waterschapshuis en het Informatiehuis Water. Componenten en services die onderdeel zijn of worden van de WaterschapsCloud kunnen, afhankelijk van de business case en naar behoefte van de waterschappen, lokaal, regionaal of landelijk worden ontwikkeld en beheerd. De keuze van de componenten, en of die lokaal, regionaal of landelijk worden gebruikt, de autorisatie van medewerkers en de controle over de eigen data blijft te allen tijde de lokale verantwoordelijkheid en vrijheid.

Pagina 52 van 58


De WaterschapsCloud

Pagina 53 van 58


11.8 De OverheidsCloud De onderlinge afstemming tussen de verschillende overheden van landelijke standaarden, interfaces, landelijke component en diensten is een voorwaarde om in de toekomst overheidsdiensten, zoals bijvoorbeeld de aansluiting op basisregistraties of vergunningverleningsen handhavingsdiensten, tussen de overheden te delen in een beveiligde gesloten OverheidsCloud. Door gebruik te maken van dezelfde standaarden lunnen de Rijks- Provincie-, Gemeente- en WaterschapsCloud aan elkaar worden gekoppeld om een Nederlandse OverheidsCloud te vormen met daarin gedeelde diesnten van de Nederlandse overheid. In de OverheidsCloud kunnen de componenten, services en infrastructuur van de digitale overheid worden ondergebracht waarvan de deelnemende overheidspartijen gebruik (moeten) maken. De schaalgrootte die daarmee ontstaat zal de IT-kosten voor de overheden verder kunnen doen dalen dan met een community cloud voor de eigen overheidslaag mogelijk is.

12 Conclusies en aanbevelingen Waterschappen maken gebruik van cloud computingdiensten. Dit gebruik zal toenemen waardoor het IT landschap in de waterschapssector gaat wijzigen. Door standaardisatie van componenten, services en interfaces kunnen de waterschappen maximaal nut halen uit de onderlinge samenwerking op lokaal, regionaal en landelijk niveau. Vanuit de ontwikkelingen en mogelijkheden die in deze notitie zijn geschetst kan een aantal aanbevelingen worden gedaan: 1. Maak bewuste en verantwoorde keuzes, stel een cloudbeleid op, bepaal een cloudstrategie als onderdeel van de I-strategie van het waterschap. 2. Een cloud is een voorziening die stapsgewijs kan worden opgebouwd waarbij geleerd moet worden van ervaringen van gebruikers en de beheerders. 3. Een cloud is een verzameling diensten die aan bepaalde specifieke eisen voldoen. Door te beginnen met een beperkte set aan diensten kunnen de implementatierisico’s sterk worden beperkt. 4. Bepaal welke IT van een gebruikersorganisatie uniek is en welke niet. Bij veel organisaties, ook bij de overheid, zijn er nog veel gebruikers die heel specifieke wensen hebben ten aanzien van de IT, gebruikers die menen dat zij uniek zijn in hun behoefte. Gebruikers beseffen echter nog onvoldoende dat ze daar wel de hoofdprijs voor betalen. Ondersteunende diensten als HR, CRM, Financials, ICT zijn niet uniek, hetzelfde geldt voor veel primaire diensten van een waterschap die vergelijkbaar zijn met die van collega waterschappen. 5. Architecten van de waterschappen dienen een voortrekkersrol in te vervullen. Zij kunnen de portfolio aan gewenste diensten van hun organisatie in kaart brengen en aangeven welke van deze diensten als een gebruiksgoed (commodity) moeten worden beschouwd, en waar dus standaarddiensten voor worden ingekocht, en welke wel specifiek of speciaal zijn en waarvoor eigen voorzieningen nodig blijven. Ook het cultuuraspect speelt hierbij een belangrijke rol bij.

Pagina 54 van 58


6. Laat in de lokale en landelijke samenwerkingsverbanden de architecten gezamenlijk nadenken over de opbouw van een gemeenschappelijk dienstenportfolio en het bepalen van standaarden en interfaces opdat aangeboden diensten naadloos kunnen worden geïntegreerd in de informatievoorziening van een individuele organisatie. 7. Het is raadzaam om, samen met architecten, een dienstenportfolio te ontwerpen zodanig dat duidelijk is welke diensten als eersten in aanmerking komen om te worden verplaatst van een private omgeving naar een locale community cloud, op middellange termijn naar een landelijke community WaterschapsCloud, of eventueel op langere termijn in een OverheidsCloud. 8.

Maak de waterschapsarchitecten verantwoordelijk voor het opstellen en bewaken van de gezamenlijke kaders en richtlijnen voor de ontwikkeling van clouddiensten.

9. Het centrale koppelvlak met de bijbehorende governance en beveiliging, de afstemming van standaarden voor componenten, services, interfaces, datamodellen, het beheer en de publicatie van een service catalogus en de Waterschaps App Store, zijn taken die centraal worden belegd bij de Unie van Waterschappen, Het Waterschapshuis en het Informatiehuis Water. 10. Trek heldere scheidslijnen en beleg afzonderlijke verantwoordelijkheden en bevoegdheden op locaal, regionaal en landelijk niveau. 11. Voor de eigen private IT infrastructuur is de IT-afdeling of de outsource partner van een waterschap de lokale service provider. Lokale service providers werken samen met regionale, landelijke en public service providers om de informatievoorziening van de waterschappen te verzorgen. Sluit met elk van die partijen SLA’s en draag verantwoordelijkheden formeel over tussen de lokale, regionale en landelijke service providers als een lokale dienst wordt vervangen door een regionale, landelijke of public dienst. 12. Componenten en services die onderdeel zijn of worden van een WaterschapsCloud kunnen, afhankelijk van de business case en naar behoefte van de waterschappen, lokaal, regionaal of landelijk worden ontwikkeld en beheerd. 13. De keuze van de componenten, en of die lokaal, regionaal of landelijk worden gebruikt, de autorisatie van medewerkers en de controle over de eigen data blijft te allen tijde de lokale verantwoordelijkheid en vrijheid. 14. Inventariseer de aanwezige informatie en informatiesystemen en voorzie deze van een risicoclassificatie. 15. Bepaal voor welke klasse van gegevens er speciale maatregelen gelden, bijvoorbeeld of en onder welke voorwaarden zij in het publieke domein mogen worden verspreid. 16. Stel een roadmap op waarin de stappen naar de cloud een integraal onderdeel vormen van de I-strategie van het waterschap. Doe dit in samenhang met de lokale en landelijke samenwerkingsverbanden. 17. Bij de consolidatie van de datacenters dient men in het ontwerp rekening te houden met de hoge eisen die gesteld worden aan betrouwbaarheid, beschikbaarheid, veiligheid, performance en schaalbaarheid. Het is aan te bevelen hier kundige en ervaren infrastructuurarchitecten bij te betrekken die zowel oog hebben voor de functie (de diensten) als de constructie van die lokale en landelijke infrastructuur.

Pagina 55 van 58


18. De waterschappen kunnen de public cloud niet buiten de deur te houden omdat eindgebruikers steeds meer de mogelijkheid krijgen om zaken zelf te regelen. Veel social media-functionaliteiten zitten vaak in public clouds en de scheiding tussen zakelijk en privégebruik van IT verdampt steeds meer. Maak om de veiligheid toch te waarborgen gebruik van een tussenvorm waarin public clouddiensten worden aangeboden via een broker of intermediary cloud provider die de veiligheid en privacy van gegevens garandeert. 19. Creëer voor de medewerkers een digitale werkplek waarin de eigen private lokale services, hosted services, community cloud services en public cloud services geïntegreerd worden aangeboden. 20. Zet bedrijf kritische applicaties en bedrijf kritische gegevens niet in een public cloud maar in een gecontroleerde gesloten private of community cloud. 21. Blijf baas over je eigen data en de gebruikersrechten van je eigen medewerkers. 22. Maak formele afspraken met cloud providers. Schakel in verband met de relevante privacy en security wetgeving juridische expertise in en leg overeengekomen afspraken altijd helder en eenduidig vast in contracten en/of SLA’s met de cloudleverancier. 23. Een SLA heeft betrekking op de hele levenscyclus van een clouddienst. Borg dat bij de beëindiging van een service contract de data en eventuele applicaties kunnen worden overgezet naar een andere provider en er geen gegevens verloren gaan. 24. Ben je steeds bewust van de risico’s van het gebruik van publieke aanbieders die zich onderscheiden met aantrekkelijke tarieven in een wellicht steeds veiliger omgeving.

Pagina 56 van 58


13 Documentatielijst

SP800-145 NIST Definition of Cloud Computing, Peter Mell en Timothjy Grance, The NIST (National Institute of Standards & Technology) Definition of Cloud Computing, September 2011. Special Publication 800145. NIST Security Reference Architecture, 16 januari 2013 Open Group Standard SOA Reference Architecture, 2011 Open Group Standard Service-Oriented Cloud Computing Infrastructure (SOCCI) Framework, 2011 Open Group Cloud Computing Portability and Interoperability, April 2013 COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS Unleashing the Potential of Cloud Computing in Europe, Brussels, 27 september 2012 COM(2012) 529 final Factsheet Cloud for Europe project , 6106503 – September 2013 Security standards for cloud usage Overview of security standards relevant for cloud customers DRAFT, Version 0.9, March 2013

Kamerbrief I-strategie Rijk, 15 november 2011, kenmerk 2011-2000509680 Cloudcomputing & Security, Nationaal Cyber Security Centrum, Ministerie van Veiligheid en Justitie, Januari 2012 Baseline Informatiebeveiliging Waterschappen Strategisch en Tactisch normenkader WS versie 1.0, Unie van Waterschappen, oktober 2013 Cloud computing en het Amerikaanse overheidsbeleid, Mr. V.A. de Pous, 19 februari 2013 — in opdracht van Forum en College Standaardisatie (Logius, agentschap van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties) — publicatiedatum 5 maart 2013 Notitie inventarisatie cloudstrategieen overheden Directie Burgerschap en Informatiebeleid, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, 6 augustus 2013 Toekomstig Internet Een verkennend onderzoek naar het toekomstige internet en de gevolgen hiervan op de beleidsterreinen van BZK, Erasmus Universiteit Rotterdam In samenwerking met Center for Public Innovation Rotterdam december 2012 Beleid cloudcomputing en beveiliging bij het Kadaster, 26 februari 2013

Pagina 57 van 58


Microsoft System Center 2012 Overview Datasheet Oracle Service Bus datasheet 2013 MuleSoft CloudHub datasheet 2013

http://www.kennisnet.nl/themas/cloud-computing/ Een Nederlandstalige video met een eenvoudige uitleg van cloud computing geschikt voor bestuurders

http://www.commoncraft.com/video/cloud-computing Een Engelstalige video met een eenvoudige uitleg van cloud computing

http://collaborate.nist.gov/twiki-cloud-computing/bin/view/CloudComputing/WebHome NIST Cloud Computing Collaboration Site

http://cloudcomputing.ieee.org/ Institute of Electrical and Electronics Engineers (IEEE) Cloud Computing Web Portal http://www.cloudforeurope.eu/ Cloud4Europe http://www.cirrus-project.eu/ http://www.cbpweb.nl/Pages/med_20120910-zienswijze-cbp-cloudcomputing.aspx

CPB zienswijze cloud computing www.ncsc.nl Nationaal Cyber Security Centrum http://www.forumstandaardisatie.nl/themas/cloud/ Forum Standaardisatie http://vianovaarchitectura.nl/page/manifesto-rijkscloud

Manifesto Rijkscloud (versie 0.6) Martin van den Berg en Daan Rijsenbrij1, 17 februari 2012 www.bsa.org/cloudscorecard 2013 BSA Global Cloud Computing Scorecard http://technet.microsoft.com/en-us/cloud/hh162047 Microsoft Cloud and Datacenter Solutions Hub http://www-935.ibm.com/services/nl/nl/cloud-computing/ IBM Cloud

http://www.youtube.com/watch?v=njjAclKs9NQ Oracle Cloud

http://www.mulesoft.com MuleSoft Mele ESB en CloudHub

Pagina 58 van 58

Cloud Computing voor de waterschappen

Recommend Documents