Explosieve transformatie

he t va k bl a d ov er c l ou d c omp u t ing

w w w.c l ou dwor k s .n u

Jaargang 4, nr.6 / 2013

Macaw over werkplekken in de cloud:

‘E xplosieve transformatie’ VMware-onderzoek: Nederlandse werknemer eist BYOD

Digital Realty investeert in nieuwe datacenterconnectiviteit in Europa

En verder Goede security absolute noodzaak voor Analytics as a Service | Cloud Benchmark – Reisbranche | Quint ontwikkelt Cloud Readiness Assessment | McAfee kiest voor whitelisting | Falkplan-Andes vergroot via cloud grip op werkprocessen | Huawei lanceert microDC’s in Nederland | EMC: software defnied storage | www.cloudworks.nu

Cloud talk

Wel of niet?

48%

van de Nederlandse organisaties verwacht binnen twee jaar over volledige digitale werkplekken in de cloud te beschikken.

Zo blijkt uit onderzoek dat analistenbureau Pb7 Research in opdracht van Macaw heeft uitgevoerd.

In deze editie van CloudWorks maken we een behoorlijk uitgebreide tocht door de cloud-wereld. Praktijk, visie, analyse, assessment, marktonderzoek, technologie – het komt allemaal aan de orde. Laten we er drie artikelen uitlichten die u zeker niet mag missen. Allereerst de Nationale EuroCloud Monitor. Peter Vermeulen van onderzoeksbureau Pb7 vraagt zich in dit artikel af of de klad zit in de cloud voor system integrators? Bij steeds meer system integrators begint namelijk twijfel te ontstaan over de opkomst van cloud computing, zo heeft hij vastgesteld. Ze zijn de afgelopen jaren gaan investeren in een cloudaanbod. Maar als men eenmaal aanklopt bij die grote klant, onder het mom van ‘we moeten toch eens over de cloud praten’, dan blijft het uiteindelijk toch vaak bij praten. Wordt het tijd om de ambities bij te stellen of is er iets anders aan de hand? Op pagina 22 en verder leest u het antwoord op deze en andere vragen. Zeker niet minder interessant is het artikel ‘Huawei lanceert microDC’s in Nederland’. De Chinese fabrikant van telecom- en IT-apparatuur betreedt de Nederlandse datacentermarkt met een zogeheten microDC ofwel een ‘micro-datacenter’ dat bedoeld is voor plaatsing in branche- en regiokantoren. Wat beheer en operatie betreft zijn deze oplossingen bedoeld om volledig zelfstandig te functioneren. De microDC’s maken deel uit van een breed productportfolio van Huawei dat loopt van de volledige technische infrastructuur van grote datacenters tot datacenters in container-formaat. Dit soort

systemen zijn ideaal voor organisaties die in lokale kantoren reeds de nodige cloud services afnemen. Meer op pagina 28 en 29. Ten slotte starten we in deze editie van CloudWorks met een drieluik over een cloud checklist voor organisaties die willen vaststellen of invoeren van cloud services nu wel of niet is voor hen. Het gaat om een Cloud Readiness Assessment die is ontwikkeld door Quint Wellington Redwood. Het idee achter deze checklist is dat steeds meer organisaties de mogelijkheden onderzoeken die cloud computing biedt. Zowel business- als IT-medewerkers hebben zich uitgebreid georiënteerd op het aanbod van verschillende providers, waarbij in de praktijk blijkt dat vooral naar SaaS- en IaaS-oplossingen wordt gekeken – voor PaaS is vooralsnog wat minder aandacht maar dit zal in de komende jaren zeker gaan veranderen. Maar wat is nu precies de impact van cloud computing op de organisatie en is de organisatie daar wel op voorbereid en toegerust? We bieden echter deze maand nog meer: de migratie van FalklandAndes naar de cloud-oplossing van Visma bijvoorbeeld, maar ook Cisco’s aanpak van de security van the internet of everything, de resultaten van Macaw’s onderzoek naar werkplekken vanuit de cloud, we bekijken EMC’s ViPR-aanpak rond software defined storage en laten we ook het artikel van T-Systems over Big Data en security niet vergeten. Complexe materie, maar zeer interessant. Robbert Hoeffnagel

Colofon CloudWorks maakt onderscheid tussen feit en fictie op het gebied van cloud computing en helpt organisaties om cloud computing optimaal in te zetten. Toezending van CloudWorks vindt plaats op basis van abonnementen en controlled circulation. Vraag uw abonnement aan via [email protected] Uitgever: Jos Raaphorst [email protected] Hoofdredacteur: Robbert Hoeffnagel [email protected] +31 651 282 040

Redactie Hans Lamboo

De redactie noch de uitgever aanvaarden enige aansprakelijkheid voor de inhoud van artikelen van derden, ingezonden mededelingen, advertenties

Advertentie-exploitatie: Will Manusiwa, senior accountmanager [email protected] + 31 (0)6 38 06 5775

en de juistheid van genoemde data en prijzen. Het kopiëren of overnemen van artikelen, geheel of gedeeltelijk, wordt aangemoedigd, maar is uitsluitend toegestaan na schriftelijke toestemming van de uitgever en onder vermelding van: ‘Overgenomen uit

Vormgeving: Studio Kees-Jan Smit BNO

CloudWorks, de publicatie over cloud computing’, plus jaargang en nummer. © Copyright 2013 FenceWorks BV.

Druk: Control Media Kopij kan worden ingezonden in overleg met de redactie. Geplaatste artikelen vertegenwoordigen

CloudWorks is een uitgave van FenceWorks BV Maredijk 17 2316 VR Leiden

niet noodzakelijkerwijs de mening van de redactie.

CloudWorks - nr. 6 / 2013

3

inhoud Inhoud

11 30 36

Cloud Readiness Assessment Steeds meer organisaties onderzoeken de mogelijkheden die cloud computing ze biedt. Zowel business- als IT-medewerkers hebben zich uitgebreid georiënteerd op het aanbod van verschillende providers, waarbij in de praktijk blijkt dat vooral naar SaaS- en IaaS-oplossingen wordt gekeken – voor PaaS is nog wat minder aandacht. Maar wat is nu precies de impact van cloud computing op de organisatie en is de organisatie daar wel op voorbereid en toegerust? In een drieluik zal verder op deze vragen worden ingegaan. Deel 1 in een serie van 3 artikelen.

Explosieve transformatie Steeds meer bedrijven hebben tegenwoordig het karakter van een projectgedreven organisatie. Werkplekken dienen dan ook veel flexibeler te kunnen worden ingezet. Een nieuwe werkplek moet zeer snel gerealiseerd worden, maar ook weer gemakkelijk verwijderd kunnen worden, terwijl de functionaliteit volledig moet zijn afgestemd op samenwerken in teams. Uit onderzoek dat Pb7 Research in opdracht van Macaw heeft uitgevoerd, blijkt niet alleen dat veel bedrijven momenteel hard over dit onderwerp nadenken, maar geeft ook duidelijk aan dat er rond de werkplek enorme veranderingen plaatsvinden.

Tijdens de beurs Infosecurity Europe 2013 werden de resultaten bekend van een onderzoek naar het resultaat van projecten op het gebied van Big Data. Veel Big Data-projecten dreigen te mislukken door problemen rond security. Dat is onnodig, stelt Patrick de Goede van Eijk van T-Systems , als we maar goed weten wat we op security- en privacy-gebied moeten regelen.

Goede security absolute noodzaak voor Analytics as a Service

6 Cloud Benchmark Compuware/CloudWorks: reisbranche 7 VMware-onderzoek: Nederlandse werknemers kiezen hun eigen IT-aanpak 16 Digital Realty investeert in nieuwe datacenterconnectiviteit in Europa 19 McAfee kiest voor whitelisting 22 Nationale EuroCloud Monitor: Zit de klad in de Cloud voor System Integrators? 26 Falkplan-Andes vergroot via cloud grip op werkprocessen 28

Huawei lanceert microDC-oplossingen

32

Brocade streeft naar datacenter op aanvraag

34 EMC World 2013 in teken van software defined storage 44 Opleidingsinstituut TSTC: Security start bij mensen 50

Nieuws van DHPA

52

EurcloudNL-nieuws

54

The Legal Look

www.cloudworks.nu

4



Go! 5

Onderzoek

Strategie door de redactie

De Cloud Benchmark – Powered by Compuware

Vakantie: Belang van online boeken neemt toe In totaal gaat ongeveer tweederde van de Nederlandse bevolking op zomervakantie dit jaar, dat zijn zo’n 10,5 miljoen Nederlanders. Het aantal Nederlanders met vakantieplannen is daarmee met ongeveer 300.000 gedaald ten opzichte van vorig jaar (-3%). Bijna 60 procent van alle zomerplannen voor een binnen- of buitenlandse reis is begin april al vastgelegd in een boeking. Een kwart van de vakantiegangers moet nog boeken en 15 procent gaat naar verwachting op de bonnefooi. Dit blijkt uit onderzoek dat NBTC-NIPO Research medio april heeft uitgevoerd naar de vakantieplannen van de Nederlandse bevolking. Reizen blijft met een omzet van e 1,9 miljard in 2012 (een groei van 3% ten opzichte van 2011) echter verreweg het grootste segment binnen de online thuiswinkelmarkt. Om die laatste twijfelaars toch over de streep te trekken is een goede online infrastructuur onontbeerlijk.

Interessant om te zien is dat de beschikbaarheid van de sites via de twee browsers elkaar niet veel ontlopen. De opvallende verschillen zitten met name in de laadtijd per type browser van de sites van Center Parcs, Thomas Cook en Zoover. De ondergrens van de gemiddelde laadtijd van een site is 2 seconden, vanaf dan beginnen bezoekers een pagina te verlaten met de daarmee gepaard gaande potentiële omzet. Het is voor deze reisaanbieders dus de moeite waard om de webprestaties via Internet Explorer nog eens tegen het licht te houden.

Internet Explorer Avg Response Time Availab. (sec) (%)

Firefox Avg Response Time Availab. (sec) (%)

Center Parcs_HP-IE-Travel-NL 5,033 D-REIZEN.NL_HP-IE-Travel-NL 2,423 ERTUSSENUIT.COM_HP-IE-Travel-NL 1,592 Expedia Inc_HP-IE-Travel-NL 3,663 Holidaybreak Plc_HP-IE-Travel-NL 0,222 HOTELSPECIALS.NL_HP-IE-Travel-NL 2,917 JIBA.NL_HP-IE-Travel-NL 2,735 OAD.NL_HP-IE-Travel-NL 1,776 Sunweb_HP-IE-Travel-NL 2,272 Thomas Cook Group PLC_HP-IE-Travel-NL 4,963 Vakantieveilingen.nl_HP-IE-Travel-NL 12,098 Zoover Sites_HP-IE-Travel-NL 3,78

Center Parcs_HP-FF-Travel-NL D-REIZEN.NL_HP-FF-Travel-NL ERTUSSENUIT.COM_HP-FF-Travel-NL Expedia Inc_HP-FF-Travel-NL Holidaybreak Plc_HP-FF-Travel-NL HOTELSPECIALS.NL_HP-FF-Travel-NL JIBA.NL_HP-FF-Travel-NL OAD.NL_HP-FF-Travel-NL Sunweb_HP-FF-Travel-NL Thomas Cook Group PLC_HP-FF-Travel-NL TUI Group_HP-FF-Travel-NL Zoover Sites_HP-FF-Travel-NL

99,86 100 100 100 99,58 100 100 99,72 100 96,77 100 99,3

De Cloud Benchmark De Cloud Benchmark is een gezamenlijk initiatief van CloudWorks en Compuware en wordt maandelijks gepubliceerd. Hierbij wordt gebruik gemaakt van de technologie van Compuware voor ‘application performance monitoring‘ (APM). APM-tools maken het mogelijk om een goed inzicht te krijgen in de prestaties van cloud services zoals deze door de gebruiker worden ervaren. Niet de beschikbaarheid of prestaties van de individuele 6

In het benchmarkonderzoek van deze maand maken we onderscheid tussen de prestaties van de Back Bone (BB) van Internet Explorer-gebruikers en Firefox-gebruikers. De meeste Nederlandse internetgebruikers surfen nog steeds met Internet Explorer (IE), maar het aandeel neemt snel af, in het voordeel van andere browsers.


3,202 2,1 1,197 3,573 0,322 3,288 2,488 2,319 2,266 2,432 1,89 2,824

99,86 100 99,86 99,86 99,58 99,86 100 99,72 100 97,61 100 99,72

systemen en componenten die bij het gebruik van een cloud-dienst worden toegepast staan hierbij centraal, maar de ervaring van de eindgebruiker die deze volledige keten - inclusief de ‘last mile’ - benut. Kijk voor meer informatie op www.compuware.com/apm.

BYOD wordt dwingende eis en ‘off-radar’ cloud-gebruik groeit naar 9 ton per bedrijf

Toch al geen fans van hiërarchische verhoudingen, proberen Nederlandse werknemers steeds meer grip op hun eigen IT-omgeving te krijgen. Dat blijkt uit onderzoek dat VMware heeft laten uitvoeren. Het kunnen gebruiken van eigen ‘endpoint devices’ is zo langzamerhand uitgegroeid tot een min of meer dwingende eis, terwijl de kosten voor de zonder medeweten van de IT-afdeling aangeschafte cloud services zijn inmiddels toegenomen tot 900.000 euro per bedrijf.

Nederlandse werknemers kiezen hun eigen IT-aanpak Onderzoek van VMware laat zien dat een derde van de Nederlandse IT-beslissers het vermoeden heeft dat medewerkers van hun organisatie cloud-diensten hebben aangeschaft, zonder toestemming van de ITafdeling. Het bedrijf noemt dit ‘off-radar cloud services’. Dat is volgens deze aanbieder van virtualisatie- en andere cloudtechnologie echter niet enkel een negatieve trend. Veel organisaties vinden namelijk dat deze besteding - in 2012 gemiddeld 1,6 miljoen euro per bedrijf in Europa en gemiddeld 940.000 euro per bedrijf in Nederland - belangrijke voordelen oplevert voor het bedrijf.

Off-radar Maar liefst tweederde (67 procent) van de Nederlandse respondenten stelt dat zij hierdoor sneller in staat zijn te reageren op klantvragen en bijna een derde (32 procent) geeft aan dat het voordelig is voor groei en innovatie. Meer dan de helft van de Nederlandse respondenten (52 procent) is van mening dat de aangeschafte cloud-dienst een oplossing betreft die niet door de IT-afdeling wordt aangeboden. Hoewel deze cloud-uitgaven nuttig zijn, zorgen ze echter ook voor een verhoogd beveiligingsrisico (volgens 40 procent). Dit zorgt voor een conflict tussen de groeiende vraag naar IT-flexibiliteit en CloudWorks - nr. 6 / 2013

7

Strategie de noodzaak van de IT-afdeling om de controle te behouden en de beheerlast te verminderen. Het onderzoek, uitgevoerd door Vanson Bourne in opdracht van VMware, onderzocht ook de standpunten en meningen van 3000 kantoormedewerkers in heel Europa over de manier waarop zij gebruik maken van cloud-producten en -diensten om effectief te werken. In Nederland geeft 33 procent van de kantoormedewerkers aan dat zij zonder toestemming van de ITafdeling cloud-diensten zouden aanschaffen of gebruiken om een klus gedaan te krijgen en 27 procent geeft aan dat ze dat al daadwerkelijk hebben gedaan. Dit is het laagste percentage van alle onderzochte Europese landen (Europese gemiddelde: 45 procent). Europese kenniswerkers zijn de grootste ‘schaduw’- of off-radar cloudgebruikers: 58 procent van hen zegt dat zij deze diensten zouden gebruiken zonder toestemming van de IT-afdeling.

“Het onderzoek toont een enorm bedrag aan ‘off-radar’ cloud-uitgaven binnen het Europese bedrijfsleven, maar het is niet per se geld dat wordt verspild. Kantoormedewerkers omzeilen vaak de IT-afdeling voor de aanschaf van cloud-diensten om effectiever te werken voor het welzijn van het bedrijf”, zegt Marc Groetelaars, Regional Director Benelux bij VMware. “De IT-afdeling heeft een omslagpunt bereikt waarop het niet langer een optie is ‘off-radar’ cloud-uitgaven te negeren. ITbeslissers moeten het omarmen en medewerkers de flexibiliteit bieden die ze nodig hebben, terwijl ze het daarnaast beheren op een veilige manier voor de business.”

Geheime clouds In Nederland heeft 16 procent van de ondervraagde kantoormedewerkers dergelijke cloud-producten gedownload en er ook voor betaald. Ze geven toe meer dan 3300 euro uit te geven aan de zogenoemde geheime clouds, het hoogste bedrag in

Europa, gevolgd door Italië (2884 euro) en Frankrijk (2552 euro). Bijna een op de vijf (19 procent) van de Nederlandse medewerkers heeft meer dan 5000 euro per persoon uitgegeven in 2012. Het onderzoek benadrukt waarom werknemers het IT-protocol omzeilen - maar brengt ook in kaart hoe zij dit doen. Motivaties van de Nederlandse respondenten zijn onder meer het vinden van snellere en efficiëntere manieren van werken (27 procent) en het beter kunnen bijdragen aan de business dankzij deze cloud-diensten (23 procent). Velen van hen (60 procent) betalen de diensten hetzij via hun afdelingsbudget (52 procent), declaraties (33 procent) of de bedrijfscreditcards (23 procent).

Geld besparen Uit het onderzoek blijkt ook dat IT-beslissers van plan waren om 29 procent van deze cloud-toepassingen en -diensten toch al te implementeren. Dit zou erop kunnen

wijzen dat door deze bestedingen van de business de IT-afdeling geld uit haar eigen budget bespaart, maar niet de organisatie als geheel. Het lijkt er dus op dat er veel te winnen is met een betere afstemming tussen de business units en de centrale IT-afdeling en het opnemen van de eisen van werknemers binnen de toekomstige IT-strategie. “Terwijl velen binnen Europese bedrijven de voordelen van ‘off-radar’ cloud-uitgaven erkennen, moet er wel actie worden genomen,” vervolgt Groetelaars. “Bijna de helft van de IT-beslissers vraagt om meer dialoog met de betrokken afdelingen. Het is geweldig dat werknemers het initiatief nemen om innovatie en groei te stimuleren, maar daar zouden ook nadelen aan kunnen zitten. Door een proactieve benadering van de IT-afdeling en het juiste niveau van beheer, beveiliging en zichtbaarheid, kunnen de geheime clouds uitgroeien tot een concurrerende differentiator in plaats van tot een bedreiging voor de business.”

Eigenwijze werknemers Wanneer gekeken wordt naar de geheime cloud-investeringen, dan vermoeden IT-beslissers dat de volgende afdelingen de grootste scahduw cloud-gebruikers zijn: 1. Marketing / reclame / communicatie (49 procent) 2. Sales (35 procent) 3. R esearch / productontwikkeling (31 procent) 4. L ogistiek (31 procent) Meest gebruikte oplossingen De top vijf van cloud-producten en -diensten die door kantoormedewerkers (betaald of gratis), zonder officiële toestemming van de IT-afdeling worden aangeschaft, bestaat uit onderstaande lijst. Dit toont aan dat er beveiligingsrisico’s zijn en dat de ITafdeling zich hiervan bewust moet zijn, ongeacht de kosten voor het bedrijf. 1. Data en file sharing (67 procent) 2. Cloud-gebaseerde e-mail (47 procent) 3. Instant messaging (40 procent) 4. Video conferencing (29 procent) 5. E nterprise sociale netwerken (28 procent) 8


Ontslag nemen om BYOD De Europese werknemer heeft daarmee beduidend meer invloed gekregen op de eigen IT-omgeving. Hoe zich dit de komende jaren zal ontwikkelen, moet worden afgewacht. Steeds meer IT-afdelingen lijken te voelen voor een aanpak waarbij off-radar cloud services niet alleen gedoogd worden, maar waar men tevens serieuze ondersteuning voor gaat leveren. Of anders – bijvoorbeeld omdat de gekozen cloud-dienst wat betreft security of compliance echt niet acceptabel is – kiest men meer op enterprise-omgevingen gerichte alternatieven, die wél in de bedrijfsprocessen in te passen zijn. Belangrijk hierbij is uiteraard ook de vraag hoe een IT-afdeling omgaat met het fenomeen ‘Bring Your Own Device’. Waar de security- en compliance-kant van het gebruik van eigen apparatuur nog onderwerp van stevige discussie is, stellen de werknemers zich – zo blijkt uit het onderzoek van VMware – inmiddels redelijk hard op. Eigen apparaten kunnen gebruiken is eerder een eis dan een wens. Sterker nog: als een bedrijf BYOD weigert of frustreert is dit voor een groeiend aantal werknemers een reden om bij hun werkgever op te stappen. Die houding is vooral ingegeven door de overtuiging van werknemers dat hun werkgever hen niet van de juiste mobiele tools en applicaties voorziet. Tweederde van de Europese kantoorwerkers is die mening toegedaan. Hierdoor kunnen zij naar hun eigen mening niet voldoende productief en efficiënt werken. Bovendien heeft 63 procent van de ondervraagde kantoorwerkers niet het gevoel dat de IT-afdeling van hun werkgever hen voldoende faciliteiten biedt om onderweg effectief te kunnen werken. Voor bijna vier op de tien kantoorwerkers is het heel duidelijk: als zij hun zelf gekozen apparaten niet voor werkdoeleinden mogen gebruiken, dan kijken zij liever uit naar een andere baan, dan dat zij zich daar bij neerleggen.

Dilemma Daarmee heeft hun IT-afdeling echter wel een groot probleem. Zij zijn namelijk in veel gevallen helemaal niet CloudWorks - nr. 6 / 2013

9

Strategie

Strategie

in staat om aan de eisen van werknemers op dit gebied tegemoet te komen. Uit het onderzoek blijkt dat bijna de helft van de ondervraagde IT-beslissers deze mening is toegedaan. Daar staat echter tegenover dat de business wél tot het inzicht is gekomen dat een goed opgezette BYOD-strategie niet alleen tot een betere productiviteit van de werknemers leidt, maar dat dit tevens een grotere tevredenheid onder medewerkers tot gevolg heeft. De business wil rond BYOD dus graag actie ondernemen en dat zien we dan ook terug in de plannen van IT-afdelingen. Bijna driekwart van de IT-beslissers is dan ook bezig om een BYOD-beleid te implementeren of heeft hier inmiddels concrete plannen voor ontwikkeld. Daarbij geeft interessant genoeg een derde aan dat dit gebeurt omdat de organisatie talentvolle medewerkers wil aantrekken of behouden. Het besef dat er een duidelijke relatie is tussen een weldoordacht BYOD-beleid en succesvolle medewerkers is dus aan het doordringen. Meer dan de helft van de IT-beslissers ziet werknemers inmiddels als mobiele medewerkers en niet meer als werknemers die altijd vanuit een vaste kantoorlocatie werken. IT-systemen en -policies worden dan ook ontwikkeld met die mobiliteit in gedachte.

Veel gevoelige corporate data op privé-apparaten Bijna tweederde van de in dit onderzoek ondervraagde IT-beslissers is er inmiddels van overtuigd dat werknemers bedrijfsgegevens opslaan op eigen apparaten. De helft van deze IT-beslissers gaat er bovendien van uit dat deze bedrijfsinformatie commercieel gevoelig van aard is. Die overtuiging lijkt terecht, want van de ondervraagde kantoormedewerkers is slechts een derde de mening toegedaan dat de gegevens die zij op hun eigen apparaten opslaan uitsluitend voor persoonlijk gebruik zijn en geen commercieel karakter hebben. Andere interessante gegevens: Meer dan de helft van de werknemers heeft zich afgevraagd of het wel 10


door Alfred de Jong Drieluik over cloud checklist van Quint voor organisaties

een goed idee is om bedrijfsdocumenten bij gratis online cloud-diensten te plaatsen. Vier op de tien heeft dit desondanks gedaan. Bijna 45 procent van het senior management van organisaties is zich bewust van het feit dat commercieel gevoelige gegevens op gratis cloud services staan, maar maakt zich hier desondanks geen zorgen over of geven er geen prioriteit aan om dit te herstellen. Acht van de tien werknemers die tegenover hun baas hebben toegegeven dat zij bedrijfsgegevens met een privé-apparaat hebben benaderd en bekeken, geven aan dat zij hiervoor niet gestraft zijn. In Nederland ligt dit percentage zelfs op 91 procent.

Cloud Readiness Assessment Steeds meer organisaties onderzoeken de mogelijkheden die cloud computing ze biedt. Zowel business- als IT-medewerkers hebben zich uitgebreid georiënteerd op het aanbod van verschillende providers, waarbij in de praktijk blijkt dat vooral naar SaaS- en IaaS-oplossingen wordt gekeken – voor PaaS is vooralsnog wat minder aandacht maar dit zal in de komende jaren zeker gaan veranderen. Maar wat is nu precies de impact van cloud computing op de organisatie en is de organisatie daar wel op voorbereid en toegerust? In een drieluik zal verder op deze vragen worden ingegaan. Dit is deel 1.

Een groeiend aantal organisaties heeft zich uitgebreid geïnformeerd over diensten, producten en leveranciers op het gebied van cloud computing. Vaak stellen ze de stap naar de cloud uit tot het moment dat een contract afloopt en vragen de leverancier naar mogelijkheden van leveringsmodellen rond cloud computing. Het vergelijken van de bekende licentiemethodiek met alternatieven uit de cloud is echter niet eenvoudig, omdat het afnemen van clouddiensten een heel nieuw spectrum aan vraagstukken introduceert op het gebied van governance, security, architectuur, compliance, en juridische zaken – om nog maar te zwijgen van de operationele aspecten. Zo kan een organisatie onbedoeld terechtkomen in de situatie CloudWorks - nr. 6 / 2013

11

Strategie van multi-sourcing, bijvoorbeeld doordat een leverancier blijkt de SaaS-oplossing niet zelf te leveren maar dat via een partner of broker te doen – terwijl daarnaast andere vendors dat wel zelf doen en weer andere software alleen on-premise beschikbaar stellen. Dit heeft grote impact op het up & down scalen van licenties en capaciteit, en vraagt om een geheel ander doorbelastingsmodel binnen de eigen organisatie; bij de ene organisatie zal de business ‘aan de knoppen zitten’, bij een andere zal dat de IT-afdeling zijn. De kosten moeten ergens terecht komen – forecasting wordt zo opeens een vaag begrip. Vooral cloud storage is wat dat betreft een aandachtsgebied: de aanbieders hanteren een scala aan lastig vergelijkbare pricingmodellen. Er is sprake van verschillende leveringsmodellen, soms op basis van gebruikte ruimte, opslagcapaciteit, bandbreedte en wel of geen back-up- en restore-voorzieningen. In de traditionele outsourcing zijn de kostenmodellen inzichtelijker, maar bij cloud computing toepassingen is dat op dit moment nog niet het geval. De procesvolwassenheid en het dienstenportfolio bevinden zich nog niet in alle gevallen op een werkbaar niveau en zijn nog te veel gedifferentieerd. De facturen lopen bijvoorbeeld nog niet bij alle aanbieders helemaal synchroon met het op- of afschaalmoment. De afnemer van de clouddienst heeft daar geen invloed op; zo kan de klant zich plotseling geplaatst zien voor een opgebruikt opslagquotum terwijl hij toch van de cloudleverancier mag verwachten tijdig te worden geïnformeerd als het plafond in zich komt.

Cloud Readiness Assessment

Cloud computing is duidelijk een groeimarkt, waarin nog lang niet alles is uitgekristalliseerd en er nog sprake is van een wildgroei aan leveranciers. Best practices uit de traditionele sourcingwereld zijn lastig toepasbaar, er is sprake van hybride sourcing-modellen, verschillende prijs- en doorbelastingsmodellen en nieuwe technologieën waar organisaties nog helemaal niet over hebben nagedacht, maar wel graag mee willen nemen in het sourcing-beleid. Uit diverse praktijkcases is gebleken dat de sourcingbeleidskaders en de sourcingstrategie verrijkt moeten worden met additionele informatie gericht op cloudopties, om een gedragen besluit te kunnen nemen.

De cloud checklist van Quint kijkt naar sourcingstrategieën vanuit zes perspectieven.

Het door Quint ontwikkelde Cloud Readiness Assessment helpt organisaties zicht te krijgen op de nieuwe vraagstukken en vast te stellen in hoeverre men is toegerust om aan de slag te gaan met cloud computing.

{

Best practices uit de traditionele sourcingwereld zijn lastig toepasbaar

12


Het Cloud Readiness Assessment geeft inzicht in de (on)mogelijkheden van de organisatie waar het om cloud computing gaat. Naast de organisatorische aspecten is er ruim aandacht voor security en architectuur aspecten.

Figuur 1. Het Cloud Readiness Assessment van Quint Wellington Redwood kijkt naar sourcingstrategieën vanuit zes perspectieven.

• HRM-aspecten. Bij invoering van cloud computing zullen er naar verwachting steeds minder technische werkplekbeheerders nodig zijn. In een cloudomgeving wordt alles gevirtualiseerd en centraal aangestuurd. Het technische beheer vindt plaats bij de cloudleverancier en verplaatst zich dus naar achter de muren van het datacenter. Kijkend naar de nabije toekomst zal 90 procent van de medewerkers voldoende hebben aan een browser op hun device en dit is prima op afstand te beheren. Vanuit HRM-optiek zal hier dus aandacht aan besteed moeten worden door bijvoorbeeld omscholingstrajecten of afvloeiingsregelingen te initiëren. • ICT-services. De beheerprocessen verplaatsen zich van het traditionele technisch beheer naar functioneel beheer, een meer tactische functie. ICT-services worden steeds mee-gemonitord en op afstand uitgevoerd. Traditionele diensten als backup en restore worden geautomatiseerd; alleen de legacy-systemen worden nog op locatie beheerd, totdat die ook zijn omgezet naar de nieuwe cloudomgeving. • Legal & Inkoop. Een cloudcontract bevat andere componenten dan een traditioneel sourcingcontract. Het zwaartepunt ligt vooral bij afspraken omtrent beschikbaarheid en continuïteit, wat toch nog steeds als één van de belangrijkste aandachtspunten (lees weak spots) van cloud computing kan worden gezien. Cloud-gerelateerde contracten zijn anno 2013 al sterk aangepast en beter toegesneden op het bedrijfsleven, daar waar een paar jaar geleden nog echt van ‘consumentencontracten’ sprake was. Legal & Inkoop blijven ook in cloud-gerelateerde situaties zeer

{

Er is momenteel sprake van een overgangsfase

belangrijke aspecten om grip op te houden en sturing op te geven. • Finance. Hierbij gaat vooral om het abonnementsmodel en de afwijkende manier waarop de verrekening van ontvangen diensten verloopt. Hoe kan de organisatie zeker weten dat de vastgelegde diensten daadwerkelijk zijn ontvangen? Stemt de daadwerkelijke levering overeen met de factuur? Alhoewel de ‘billing’-systemen en de wijze van rapporteren steeds meer geautomatiseerd zijn, vraagt dit onderwerp nog steeds om een scherpe maandelijkse analyse. Het vergelijken van de factuur met de daartegenover staande rapportage blijft een belangrijke aandachtspunt, om te voorkomen dat er te veel of (soms) te weinig wordt betaald voor datgene wat is geleverd. • Architectuur en Security. Met de opkomst van cloud computing wordt het belang van een goed ingerichte architectuurfunctie en dito securitydiensten cruciaal. Het behouden van inzicht, overzicht en samenhang is belangrijker geworden, om grip te houden op de geheel of gedeeltelijk buiten de deur geplaatste ICT-omgeving. Continuïteit vraagt om continue aandacht, maar security management zeker ook, gezien de toename van devices en hierop geplaatste bedrijfsdata. Zowel eindgebruikers als cloudleveranciers hebben een verantwoordelijkheid om bedrijfsdata af te schermen en te voorkomen dat content op straat komt te liggen. Beide onderwerpen zijn sterk aan elkaar gerelateerd, want zonder een duidelijk onder architectuur ontwikkeld ICT-landschap kan nooit professioneel security management worden uitgevoerd. Hoewel hier als vijfde punt genoemd, beweegt het zwaartepunt zich daarnaartoe. • Regiemodel. Dat is aan het veranderen: richting dedicated cloud wordt het een stuk simpeler. Waar nu meerdere contactpersonen vanuit de klanten leverancierszijde betrokken zijn, zal dat in een cloudomgeving veel simpeler gaan worden. In principe is de cloudomgeving van de leverancier een ‘black box’ en heeft de eindgebruikersorganisatie daar geen toegang toe. Afspraken omtrent de dienstenafname worden in principe met een minimaal aantal vertegenwoordigers van de cloudleveranciergemaakt. Dit is voor veel bedrijven die een traditioneel sourcingmodel hebben gehanteerd nog een lastig te hanteren en vooral te accepteren model. De communicatie wordt simpeler, alsmede de manier waarop de diensten worden afgenomen. De enige randvoorwaarde is dat de gecontracteerde diensten stabiel zijn en afname kan worden gegarandeerd.

Volwassenheid Er is momenteel sprake van een overgangsfase en het zal nog wel enige tijd duren eer organisaties zullen kunnen zeggen dat

ze helemaal overgestapt zijn naar cloud computing. Hierbij moet worden aangetekend dat er groot verschil bestaat tussen de mogelijkheden van een greenfield en een bestaand bedrijf. Een startende ondernemer die binnen drie jaar wil groeien naar 500 fte’s op basis van autonome groei, kan het best 99 procent van zijn IT uit de cloud halen. Maar bestaande bedrijven hebben zoveel legacy of applicaties die niet naar de cloud te brengen zijn, dat ze lang zullen zijn aangewezen op een hybride omgeving. Daarbij is goede governance heel belangrijk. In het Cloud Readiness Assessment wordt gekeken naar de volwassenheid van de huidige IT-omgeving, zowel infrastructuur als applicaties en informatiearchitectuur. Zo wordt in kaart gebracht wat de organisatie in huis heeft en waar de systemen op draaien – maar ook wat er naar de cloud zou kunnen en wat on-premise moet blijven. Aan de hand daarvan kan worden vastgesteld wat het actuele volwassenheidsniveau is.

Vier niveaus Om in beeld te krijgen wat het vertrekpunt is waar rekening mee gehouden moet worden, onderscheiden we vier verschillende volwassenheidsniveaus . Het eerste niveau ‘Basic’ geldt voor veel organisaties met de nodige legacy in huis, die nog niet naar clouddiensten om te zetten is. Deze organisaties zijn vaak redelijk wat IT-budget kwijt voor het instandhouden van hun automatiseringsomgeving. Het niveau daarboven is ‘Standardized’. Organisaties op dat niveau zijn dusdanig gestandaardiseerd dat de werkplekvoorzieningen en communicatiemiddelen redelijk op orde zijn. Het derde niveau is ‘Rationalized’, waar organisaties in staat zijn een nieuw stuk technologie te incorporeren in hun IT-omgeving en tot een werkbaar geheel te komen. Het vierde en hoogste niveau is ‘Dynamic’. Op dit volwassenheidsniveau is de techniek volledig geadopteerd en onderdeel van de architectuur en zijn de medewerkers in staat die techniek toe te passen. In de Dynamic-situatie heeft IT aantoonbaar toegevoegde waarde voor de business en levert eerder geld op dan dat ze geld kost. De cloud checklist maakt duidelijk of een organisatie in staat is om diensten uit de cloud te adopteren en gaan gebruiken, vandaar het gebruik van de term ‘readiness’. Het gaat nadrukkelijk niet alleen om het aanbieden van de middelen maar juist op het daadwerkelijke gebruik ervan.

Verschillende perspectieven HR Het is voor de meeste organisaties erg moeilijk de effecten van cloud in de personele sfeer in te schatten. Veel organisaties kunnen dat niet zelf. Om de impact te kunnen bepalen is bepaalde kennis en kunde nodig, die meestal niet aanwezig is bij de afdeling HR, P&O of IT-management. Door het doen van diepte-interviews met diverse functionarissen uit verschillende niveaus kan Quint wel aangeven wat het effect ervan zou zijn op bijvoorbeeld lokale IT-medewerkers. Dat genereert awareness: de organisatie wordt zich bewust van hetgeen er daadwerkelijk te gebeuren staat, bijvoorbeeld dat de IT-afdeling straks helemaal CloudWorks - nr. 6 / 2013

13

Strategie geen bemoeienis meer met deze dienst heeft. De organisatie realiseert zich dat een stuk controle uit handen wordt gegeven aan derden. Dat is meestal de grootste hindernis die moet worden overwonnen eer het besluit valt om de dienst uit de cloud te gaan betrekken. Een veel gehoord argument is dat de betrokken technische ITmedewerkers daardoor hun focus kunnen gaan verleggen naar tactisch niveau. Maar dat is vaak helemaal niet mogelijk. Quint heeft daarom - zeker in hybride situaties - een iets andere aanvliegroute gekozen voor de regieorganisatie, waarbij de nadruk ligt op het coachen van mensen die daarin een rol gaan spelen. De hele organisatie zal zich bewust moeten zijn van het feit dat er achter de IT-afdeling een hybride model zit. Dat betekent bijvoorbeeld dat een MS Exchange-beheerder niet langer nodig is – en dat deze dus moet worden omgeschoold of een andere taak toebedeeld moet krijgen. In de hybride omgeving is minder technisch beheer nodig; het accent ligt hier meer op functioneel beheer van bijvoorbeeld de Exchange-omgeving. Vooral bij organisaties waar mensen al lang in dienst zijn is dat een lastige en pijnlijke discussie. Binnen grote organisaties ontstaat een CIO-office, een ingedikte IT-organisatie waar samen met de business op tactisch en strategisch niveau wordt gekeken naar de informatieplanning op termijn. De rol van IT is daar helemaal veranderd in een functie zonder technisch beheer. Maar er blijven altijd systemen draaien die een cruciaal onderdeel vormen van het primair proces, en die draaien op een antiek operating system, of een applicatie die niet te virtualiseren is. Dat verschijnsel zal zich altijd nog voordoen bij middelgrote en grote organisaties. ICT-services Zoals gezegd verlegt de focus zich van technisch naar functioneel beheer. Niet alle organisaties beschikken echter over een goed ontwikkelde functie voor functioneel beheer. Dat is een groot zorgpunt. In de praktijk staat functioneel beheer heel ver af van IT; soms is de functie ondergebracht bij de business, soms iets meer bij IT en is het niet eenduidig ingericht. Bij cloud computing wreekt die onvolwassenheid zich, want daarin speelt functioneel beheer een zeer belangrijke rol. Niet alle diensten die uit de cloud worden afgenomen zijn immers standaarddiensten. Bovendien bieden veel cloudoplossingen, bijvoorbeeld van Salesforce, de mogelijkheid een gecustomiseerde omgeving te ontwikkelen. Iemand binnen de organisatie zal dat dus moeten doen. Soms is dat ook hard nodig, omdat salesprocessen bij elk bedrijf nu eenmaal anders kunnen zijn. Daarmee doet zich overigens de kans op een lock-in situatie voor, doordat in Salesforce ontwikkelde omgevingen niet zo maar naar bijvoorbeeld een Microsoft CRM-omgeving zijn over te zetten. Dat vraagt om goed functioneel beheer en nauwkeurige documentatie van aanpassingen. Er ligt daarbij ook een taak voor de architect: het ontwikkelen van applicaties in een omgeving waarin de informatiearchitectuur niet goed is vastgelegd, leidt tot ernstige problemen. Het is dus steeds belangrijker om tevoren te onderzoeken of en hoe een standaardapplicatie kan worden aangepast. Een beheerframework als ASL kan daarbij tot

14


steun dienen. Quint gebruikt eigen varianten van ASL en ITIL, die zijn aangepast aan de ervaringen uit de eigen praktijk. Legal & Inkoop Het is belangrijk te realiseren dat legal & inkoop meer behelst dan het trekken van een creditcard, het kiezen van de dienst en de abonnementsvorm, en het voor akkoord aanvinken van de algemene voorwaarden. Daarbij speelt de omvang van de organisatie ook een rol. Een grote organisatie die een contract wilde sluiten met Google, kreeg daartoe een consumentencontract voorgelegd. Pas na maanden juridische touwtrekkerij werd een meer bedrijfsgeoriënteerd contract gesloten. Een bedrijf dat een clouddienst van Microsoft wil afnemen, krijgt op de website een standaardcontract voorgeschoteld, waarin vastgelegd is wat het beschikbaarheidspercentage is; de klant kan een keuze maken over het af te nemen aantal licenties, over de manier waarop er wordt afgerekend en aangeven dat Microsoft moet controleren of er wel of niet van de licenties gebruik gemaakt is. Vervolgens kunnen afspraken gemaakt worden over hoe en waar de storage plaatsvindt. Dat klinkt wellicht erg beperkt, maar daardoor is het ook goedkoper. Daar zit het verschil: de dienst is meer een eenheidsworst en dat heeft zo z’n voordelen. Voor acht van de tien bedrijven is daar niets mis mee. Wil de klant toch per se afspraken maken over een sterk afwijkende systeemomgeving, dan wordt het een reputatiekwestie: de vraag is dan hoe graag Microsoft het betreffende bedrijf als klant wil. Bij de afname van Office is een aantal variaties mogelijk, maar uiteindelijk krijgt de organisatie toch via een standaardabonnement geleverd. Voor Legal & inkoop valt er dus nauwelijks eer te behalen.

{

Er ligt daarbij ook een taak voor de architect: het ontwikkelen van applicaties in een omgeving waarin de informatiearchitectuur niet goed is vastgelegd, leidt tot ernstige problemen

Het volgende deel gaat dieper in op de aspecten Finance, Architectuur en Security. Alfred de Jong ([email protected]) is Managing Consultant Architectuur & Innovatie en verantwoordelijk voor de Security Advisory van Quint Wellington Redwood, het adviesbureau dat zich richt op het grensvlak van organisatie en IT.

Een praktijkvoorbeeld: Office 365 Het gebruik van Microsoft Office uit de cloud neemt snel toe. Organisaties starten over het algemeen met de overstap naar Exchange Online – hetgeen niet meer behelst dan dat de mailboxen in de cloud zijn ondergebracht en de gebruikers werken met de Outlook-client. Die stap is redelijk gemakkelijk maken. De volgende stap is het naar de cloud brengen van SharePoint. Dat is al een stuk minder gemakkelijk vooral vanuit dataperspectief: waar komen de data fysiek te staan en is het wel toegestaan de data te delen via het web. Als die stap met goed gevolg is gezet volgt Office zelf. Er is wel al meer belangstelling voor Microsofts collaboratie- en communicatieomgeving Lync, maar dat stelt eisen aan de apparatuur on-premise, zoals werkplekken en telefooncentrale. CloudWorks - nr. 6 / 2013

15

Datacenter

Sterke groei cloud-services vergroot belang datacenters

Digital Realty investeert in nieuwe datacenterconnectiviteit in Europa

Robert Bath ervaart dagelijks wat de populariteit van de cloud betekent voor een leverancier van datacenters. “Enterprises maken steeds vaker gebruik van services op basis van cloud-diensten. Deze ontwikkeling zorgt voor groeiende druk op de eigenaren en beheerders van datacenters. Zij dienen er immers voor te zorgen dat de benodigde capaciteit, flexibiliteit en continuïteit gewaarborgd is voor de service providers die de eindgebruikers bedienen, terwijl het voor hun eigen business van groot belang is dat de dienstverlening efficiënt wordt aangeboden en de kosten beheersbaar blijven.” Door te investeren in connecties tussen verschillende datacenters kan de totale capaciteit optimaal benut worden en is de operator of de eigenaar maximaal flexibel.

On demand service modellen

door de redactie Steeds meer zakelijke gebruikers beschouwen de cloud als een van de belangrijkste strategische business tools. Dit heeft tot gevolg dat de kwaliteit van datacenters van steeds groter belang wordt voor de aanbieders van cloud- en SaaS-services. Digital Realty verbindt haar datacenters zodanig met elkaar dat maximale betrouwbaarheid ontstaat. Zo moet op termijn een pan-Europees grid ontstaan tussen de centra van deze datacentereigenaar. CloudWorks sprak met Robert Bath, vice president Engineering bij Digital Realty.

“Service providers die cloud-diensten aanbieden, maken steeds vaker gebruik van on demand service modellen die snel schaalbaar moeten zijn”, herkent Bath in de markt. “Omdat de eindgebruikers steeds strengere eisen stellen aan beschikbaarheid, continuïteit en het algemene serviceniveau, wordt de samenwerking tussen deze carriers en de eigenaren van datacenters steeds intensiever.” Deze ontwikkeling veroorzaakt tevens een enorme golf aan nieuwe uitdagingen voor organisaties. “Iedereen worstelt met het managen van de datavloed”, stelt Bath. Centraal daarbij staat de beschikbaarheid van bandbreedte, glasvezel en netwerkconnectiviteit. Digital Realty, een van de grootste aanbieders van datacenters ter wereld, ontwikkelde een pan-Europees initiatief dat ervoor moet zorgen dat de belofte ‘cloud’ realiseerbaar is. “We investeren zwaar in de connectiviteit tussen onze verschillende datacenters. Aan de hand van de specifieke behoeftes van een aanal klanten van Digital Realty in het Verenigd Koninkrijk hebben we een eigen oplossing ontwikkeld. De klanten die hierbij worden bediend, bieden cloud of virtualisatie services aan of maken er intensief gebruik van.”

Enquête naar wensen Een uitgebreide enquête onder bestaande en toekomstige klanten van Digital Realty, waarbij werd onderzocht welke eisen ze stellen aan de connectiviteit binnen een

16


cloud- of virtualisatie omgeving, leidde tot de volgende resultaten: • Hoge betrouwbaarheid en beschikbaarheid van het netwerk is absoluut noodzakelijk • Flexibiliteit en schaalbaarheid als het gaat om bandbreedte wordt als zeer belangrijk ervaren • Flexibiliteit van (te gebruiken) protocollen is belangrijk • On-demand of just-in-time gebruik moet mogelijk zijn • Managed platforms en convergentie tussen verschillende netwerken • Invloed op het ontwerp van het netwerk of zelfs maatwerk bij de bouw ervan Ondernemingen die al of niet gefaseerd overstappen op de cloud, bouwen een grote afhankelijkheid op van het externe management van hun netwerk. Haperingen of problemen bij hun service provider zullen direct grote invloed hebben op hun business. “Het is dus zaak de hoogst haalbare beschikbaarheid aan te bieden, in combinatie met flexibiliteit”, licht Bath toe. “Het goed en effectief functioneren van dit model is afhankelijk van een aanbieder die maximaal schaalbare bandbreedte biedt tussen op verschillende geografisch van elkaar gescheiden datacenters en naar de klant.” De geografische afstand tussen datacenters is van belang in geval van uitval. Bijvoorbeeld als gevolg van weersomstandigheden of het wegvallen van power. Het vermogen om virtualisatie of virtual desktop SaaS-applicaties te ondersteunen voor de serviceproviders die Digital Realty in de buurt van Londen bedient, maakt het noodzakelijk de datacenters op een wijdvertakte manier met elkaar te verbinden. “Deze datacenters liggen bijna allemaal in een ring rond de stad,” legt Bath uit. “Door ze met een fibernetwerk te verbinden, is de beschikbaarheid groot en de latency extreem laag.” Het netwerk ligt niet alleen tussen de verschillende datacenters, maar verbindt deze ook met het front-office in het hart van Londen. “Op die manier kunnen we continu de benodigde bandbreedte en capaciteit leveren die nodig is voor alle cloud-diensten die nu en in de toekomst worden aangeboden in Greater London.”

Digital Universe Study Het is hierbij van groot belang rekening te houden met de toekomstige datagroei.

Volgens de Digital Universe Study van IDC zal het digitale universum elke twee jaar verdubbelen. We genereren dit jaar wereldwijd twee zetabytes aan data, terwijl dit vorig jaar ‘slechts’ een zetabyte was. “Daarom verbaast het ons niet dat in een rapport van IBM gemeld wordt dat inmiddels twee derde van de kleine en middelgrote ondernemingen al cloud services geïmplementeerd hebben of dit in de nabije toekomst zullen doen. Van die laatste groep heeft 45 procent de intentie er in de komende twee jaar mee te beginnen.” Eigenaren of beheerders van datacenters die hun klanten kunnen voorzien in een compleet aanbod aan glasvezel- en netwerk connectiviteit services tussen hun locaties hebben daarmee een onderscheidende voorsprong. Door een goede verbinding tussen de locaties is het immers mogelijk tegen lagere (operationele) kosten te werken.

Convergentie in netwerken en services De beweging naar een convergent netwerk, waarbij aan de ene kant data en communicatie (Ethernet, IP en Multiprotocol Label Switching – MPLS) en aan de andere kant dataopslag (via glasvezel) worden verzorgd volgens hetzelfde netwerkprotocol, wordt steeds attractiever voor klanten van datacenters. Het biedt hen immers: • Lagere kosten, onder meer omdat er geen noodzaak meer is voor softwaremanagement en hardware-replicatie • Betere beschikbaarheid en betrouwbaarheid • Betere performance van het netwerk Bath voegt eraan toe dat de behoefte aan server-virtualisatie deze trend voedt. “Ondernemingen die zich bezighouden met het aanbieden van netwerk-gebaseerde back-up en/of replicatie-services (zowel synchroon als asynchroon) consolideren hun netwerken steeds vaker naar een Ethernet-backbone.” Voor een partij als Digital Realty betekent dit dat een set van geografisch gescheiden datacenter-locaties,die door een protocolonafhankelijk netwerk met lage latency en hoge bandbreedte met elkaar verbonden zijn, het klanten mogelijk maakt virtual desktop, virtualisatie en services op het gebied van data-replicatie te gebruiken CloudWorks - nr. 6 / 2013

17

Datacenter of aan te bieden. Een lage latency wordt door gebruikers geëist van hun service provider – die de wens vervolgens bij de eigenaar van het datacenter neerlegt. De eisen die het goed uitvoeren van synchrone data-replicatie stelt en de beperking van latency die voor veel services noodzakelijk is, beperken de maximale afstand tussen een hoofddatacenter en de datacenters die al backup-locatie dienen tot ongeveer 80 kilometer. Bath: “Wordt de afstand groter, dan zal het signaal vertraging oplopen in het optische netwerk en is kostbare ‘regeneratie’ of versterking van het signaal noodzakelijk.”

Londen als hub Als Europese hub voor het merendeel van de wereldwijd opererende financiële ondernemingen, is Londen ook de plaats waar veel van deze firma’s hun datacenters hebben. Het hoofddatacenter ligt dan meestal binnen de ringweg, de backuplocaties liggen daarbuiten. Regelgeving, met name binnen financiële

Security sector, resulteerde in een explosieve toename van data management. Vooral firma’s die actief zijn in investment services of het handelen in financiële producten kregen er volop mee te maken. Het resultaat is een substantiële toename van het dataverkeer en data-opslag voor die organisaties. Volgens Bath leidde die ontwikkeling ertoe dat de traditionele constructie van een primair datacenter en een uitwijk- of backuplocatie niet meer voldeed. “Het beperkt de flexibiliteit, tenzij je investeert in zoveel capaciteit dat je plotselinge pieken kunt opvangen. Die capaciteit blijft dan echter vaak onbenut.” Het onderling verbinden van de locaties van Digital Realty neemt die problemen weg.

Capaciteitsplan De eerste fase van het connectie- en capaciteitsplan wordt afgerond in november van dit jaar. Dan zullen de netwerken in Londen met elkaar verbonden zijn. Het is echter de bedoeling het netwerk in de loop van de komende jaren te vergroten en ook

de datacenters in Dublin, Amsterdam en Parijs direct met elkaar te verbinden. “Deze oplossing zorgt voor snel schaalbare en kostenefficiënte communicatie tussen elk van de datacenters. Nieuwe glasvezelverbindingen tussen dit netwerk en een (nieuwe) klant kunnen we straks configureren binnen 15 werkdagen, voor een vaste prijs. Elk van de locaties biedt synchrone replicatie of mirroring. In de praktijk blijken dat sterk gevoelde wensen te zijn bij onze klanten.” Resumerend stelt Bath dat het connectiviteitsplan Digital Realty in stelt staat de klanten een flexibel netwerk aan te bieden met bijna ongelimiteerde bandbreedte, dat geen enkel protocol dwingend voorschrijft, noch kosten in rekening bij het wisselen van een protocol door de klant. Ook zijn alle diensten carrier onafhankelijk. Het netwerk zal hoge beschikbaarheid koppelen aan configuratie middels software, dus niet door technici. En ten slotte zullen weinig terugkerende en incidentele kosten zijn bij deze propositie.

Beveiliging van endpoints kan naar veel hoger niveau

McAfee kiest voor

whitelisting door de redactie

Traditionele beveiligingsmethoden voldoen niet meer om de cybercriminelen bij te houden – laat staan voor te blijven. Maar ook het aantal apparaten – endpoints – dat beveiligd dient te worden, groeit klassieke security-methodieken boven het hoofd. McAfee introduceert daarom nu een andere aanpak, die gebaseerd is op ‘whitelisting’ van applicaties. Daarbij biedt McAfee met een nieuwe versie van zijn oplossing voor het beheer van mobiele apparaten ook meer grip op BYOD binnen organisaties.

Iedere dag worden er meer dan 100.000 nieuwe malware-varianten gedetecteerd. Dat zijn er maar liefst 69 per minuut of ruim één per seconde. De dreigingen blijven dus toenemen en dat zal voorlopig alleen nog maar sneller gaan. Commerciële tools om zelf malware te creëren – makkelijk en snel, zonder al te veel technische kennis – maken het in feite voor iedere (cyber)crimineel mogelijk om phishing, spam of botnets in te zetten tegen een bedrijf of organisatie. En als de potentiële opbrengst maar hoog genoeg is, worden er speciale, doelgerichte en persistente aanvalsvormen ingezet – niet zelden met succes. Het resultaat van al deze aanvallen is dat organisaties hun handen vol hebben aan beveiliging. Daar komt nog eens bij dat de BYOD-trend geheel nieuwe uitdagingen met zich meebrengt op het gebied van beveiliging en beheer. De explosie van het aantal verschillende mobiele apparaten dat toegang heeft tot zowel persoonlijke als zakelijke informatie, heeft er al voor gezorgd dat mobiele apparaten het belangrijkste nieuwe doelwit zijn geworden voor cybercriminelen. Dat betekent dat bedrijfssystemen potentieel gevaar lopen wanneer besmette mobiele apparaten verbinding maken met het bedrijfsnetwerk.

18


Vier fasen Een malware-aanval kent vier verschillende fasen. Om te beginnen moet de malware op de een of andere manier in contact worden gebracht met de gebruiker. Vervolgens moet de malware toegang krijgen tot het systeem, waarna er bestanden op worden geplaatst en systeeminstellingen worden gewijzigd. Allemaal zonder dat de gebruiker daar iets van merkt. Op de derde plaats zorgt de malware ervoor dat het als het ware ‘onzichtbaar’ wordt voor het systeem en – bij geavanceerde technieken – zelfs voor eventueel geïnstalleerde beveiligingssoftware. Tot slot gaat de malware daadwerkelijk aan de slag, bijvoorbeeld om informatie te stelen en door te sluizen naar een voor de cybercrimineel toegankelijke locatie. Om systemen effectief te kunnen beveiligen, moet beveiligingssoftware in al deze vier fasen actief zijn. Bijvoorbeeld door te filteren op links in spam-mails of social media-berichten die leiden naar besmette websites. Een systeem als McAfee’s op cloud gebaseerde Global Threat Intelligence (GTI) controleert voortdurend de reputatie van websites, IPadressen, links en dergelijke en geeft een waarschuwing wanneer een gebruiker een verdachte link of website probeert te CloudWorks - nr. 6 / 2013

19

Security openen (fase 1). Zo kan in veel gevallen al worden voorkomen dat malware op een systeem of netwerk belandt. Tegelijkertijd moet in real-time gemonitord worden op verdachte activiteit op het systeem, die kan duiden op malware die zich ergens tracht te nestelen (fase 2). Maar er is intussen zeer geavanceerde malware die zich weet te verbergen op een niveau onder het besturingssysteem (fase 3). Deze zogenaamde ‘rootkits’ zijn onzichtbaar voor traditionele beveiligingssoftware, omdat ze geladen worden nog voor het opstarten van Windows, op een moment dat traditionele virusscanners nog niet actief zijn. De door McAfee en Intel gezamenlijk ontwikkelde DeepDefender-technologie is echter in staat om systemen ook effectief tegen dergelijke rootkits te beschermen, zoals ook blijkt uit tests door gerenommeerde testorganisaties, waaronder AV-Test en NSS Labs. Tot slot moet de beveiligingssoftware natuurlijk ook voortdurend alert zijn op de activiteiten waarvoor de malware eigenlijk is ontwikkeld: het verzamelen en doorzenden van logingegevens, financiële informatie of andere bedrijfskritische gegevens (fase 4), het beschadigen van bestanden of het platleggen van informatiesystemen.

Meer systemen om te beschermen De complexiteit rondom het beschermen in deze vier aanvalsfasen neemt toe, doordat het aantal verschillende endpoints binnen organisaties sterk groeit. Enkele jaren geleden ging het voornamelijk om het beveiligen van de desktop-pc of laptop, maar intussen hebben we het over een veel grotere verscheidenheid aan systemen. Endpoints worden op dit moment ingedeeld in de volgende categorieën: de werkplek, het datacenter en mobiele apparaten of apparaten met één functie (bijvoorbeeld opslagsystemen of medische apparaten). Op de werkplek hebben we het onder andere over desktops, laptops/ultrabooks en verwisselbare opslagmedia (bijvoorbeeld USB-sticks). Dit zijn de systemen die over het algemeen het meest kwetsbaar zijn en zijn dus ook het belangrijkste doelwit van aanvallen. Maar ook systemen in het datacenter lopen risico’s, van servers (fysieke of virtuele) tot databases en opslagsystemen. Al deze zakelijke endpointsystemen bevatten informatie die van groot belang

20


is voor een organisatie en die dus goed beveiligd moet worden. Dan is er BYOD: voor steeds meer organisaties is dit een centraal onderdeel van de IT-strategie en vereist specifieke beveiligingsmaatregelen om ervoor te zorgen dat zowel persoonlijke als bedrijfsinformatie goed beschermd is. De uitdaging daarbij is dat de gebruikers van smartphones en tablets graag keuze en flexibiliteit willen in het type apparaten dat ze gebruiken, terwijl de IT- en beveiligingsafdeling de juiste balans moet zien te vinden tussen beveiliging en productiviteit. Daarnaast zien we dat ook steeds meer apparaten met één enkele functie verbonden zijn met het netwerk en dus ook beveiligd moeten worden. Naarmate meer en meer endpoints worden aangesloten op het netwerk, moeten organisaties nieuwe manieren vinden om al deze apparaten effectief en efficiënt te beveiligen.

Zwart versus wit Tot nu toe maken de meeste beveiligingsoplossingen gebruik van ‘blacklisting’ waarbij continu een database wordt bijgehouden met informatie en karakteristieke kenmerken van bekende malware. Voordat een toepassing op een systeem gestart kan worden, controleert de beveiligingssoftware of het deze kenmerken tegenkomt in de bewuste toepassing. Zo ja, dan wordt voorkomen dat de toepassing start en worden de gebruiker en de IT-afdeling gewaarschuwd. Blacklisting was lange tijd een goede beschermingsmethode, maar de ontwikkeling van nieuwe malware gaat intussen dusdanig snel dat het bijhouden

en distribueren van blacklisting-gegevens niet langer de meest effectieve oplossing is. Het is beter om het goedkeuringsproces voor toepassingen om te draaien. Dus niet langer controleren of een toepassing te vinden is in een lange lijst met geblokkeerde toepassingen, maar juist alleen die toepassingen toestaat die expliciet zijn opgenomen in een zogenaamde ‘whitelist’. Voor veel organisaties is whitelisting een veel veiligere en zinvollere beveiligingsmethode, omdat het aantal toepassingen dat binnen een organisatie nodig is voor de bedrijfsprocessen, vrij beperkt is. Het is dus relatief eenvoudig om een database met bekende, goedgekeurde toepassingen op te stellen en bij te houden. Een toepassing die niet in deze database voorkomt, kan niet worden gestart. Dat geldt dus ook voor malware-applicaties. Een enorm pluspunt is daarbij het feit dat systemen ook beschermd zijn tegen nieuwe, onbekende malware. Bij blacklisting moet eerst gewacht worden tot er een update van de malwaredatabase beschikbaar is en vervolgens moet deze op alle systemen worden geïnstalleerd. Tot die tijd heeft de malware echter min of meer vrij spel en kan het de nodige schade aanrichten.

omvang blijven toenemen, waardoor het meer tijd en capaciteit kost om deze telkens te raadplegen. McAfee biedt in zijn nieuwe Complete Endpoint Securuty-suites daarbij de mogelijkheid om applicaties dynamisch op de whitelist te zetten indien een eindgebruiker deze nodig heeft. Daarbij kan gekozen worden voor automatische goedkeuring van whitelist-verzoeken (waarbij uiteraard wel audit-gegevens worden bijgehouden) of voor een benadering waarbij via het beheersysteem eerst toestemming moet worden gegeven voor installatie van een nieuwe toepassing.

Eenvoudiger beheer Om het beheer van de beveiliging binnen de hele organisatie eenvoudiger, effectiever en goedkoper te maken, is in de

McAfee Complete Endpoint Protectionsuites het beheer van alle endpoints bijeengebracht in één beheerplatform. Voor de IT- of beveiligingsafdeling betekent dit geen aparte consoles meer voor de servers, voor de pc’s en laptops, voor de smartphones en tablets en dergelijke. Ook vanuit administratief oogpunt is dit een flinke stap vooruit, omdat het niet meer nodig is om voor al deze platforms aparte producten en -licenties aan te schaffen. McAfee’s ePolicy Orchestrator (ePO) is daarbij een belangrijk hulpmiddel. ePO helpt organisaties bij het vastleggen van de bedrijfsregels op het gebied van digitale beveiliging en zorgt ervoor dat deze regels automatisch worden afgedwongen op de verschillende endpoint-systemen.

De nieuwe Real Time for ePolicy Orchestrator-software zorgt daarbij voor een aanzienlijke versnelling in het herkennen van verdacht verkeer en maakt het mogelijk om snel en adequaat te reageren wanneer afwijkingen worden gedetecteerd. Het resultaat is een beveiligingsbeheersysteem waarmee bedrijven razendsnel informatie kunnen verzamelen over elke endpoint binnen het bedrijfsnetwerk – mobiel of vast – en makkelijk beveiligingssoftware kunnen distribueren of updaten. Zo biedt McAfee met het bijeenbrengen van al deze beveiligingstools in één complete en gemakkelijk te beheren suite, waarmee organisaties effectieve tegenmaatregelen in huis halen alle vier fasen van een malware-aanval.

Naast het pure beveiligingsaspect heeft whitelisting nog andere voordelen. Zo heeft de IT-afdeling hiermee meteen een prima middel in handen om het gebruik van niet-geautoriseerde toepassingen door gebruikers tegen te gaan. De prestaties zijn bij gebruik van de whitelisting-methode ook veel beter, omdat de blacklists met malware-kenmerken aanzienlijk in CloudWorks - nr. 6 / 2013

21

Marktonderzoek Nationale EuroCloud Monitor:

Zit de klad in de Cloud voor System Integrators?

{

door Peter Vermeulen Bij steeds meer system integrators begint twijfel te ontstaan over de opkomst van cloud computing. Ze zijn de afgelopen jaren gaan investeren in een cloudaanbod, verleidt door de torenhoge groeipercentages die onderzoeken als de Nationale EuroCloud Monitor opleveren. Maar als men eenmaal aanklopt bij die grote klant, onder het mom van ‘we moeten toch eens over de cloud praten’, dan blijft het uiteindelijk toch vaak bij praten. Wordt het tijd om de ambities bij te stellen of is er iets anders aan de hand?

Terwijl de system integrator zit te wachten op de actie, zien leveranciers van IaaS en SaaS hun omzet nog altijd gestaag groeien. Groeipercentages van tussen de 20 en 60 procent zijn nog altijd gemeengoed. Inmiddels geven Nederlandse bedrijven dit jaar naar de verwachting van Pb7 bijna een half miljard euro uit aan (publieke) cloud-oplossingen. Daarmee komen de cloud-uitgaven op zo’n 5 procent van de totale IT-uitgaven (hardware, software plus IT-diensten). Hoewel de invloed van cloud computing snel toeneemt, gaat het dus vooralsnog om ‘slechts’ een zeer beperkt deel van de IT-uitgaven. Aangezien bovendien een aanzienlijk deel van die uitgaven niet uit het IT-budget komt, is de invloed van de interne IT-afdeling op public cloud computing vooralsnog beperkt en heeft men geen haast met het oplossen van eventuele integratie-uitdagingen die de gebruiker zich op de hals haalt.

Daarmee komen de cloud-uitgaven op zo’n 5 procent van de totale IT-uitgaven.

Teen in het water Waar IT wel met de cloud bezig is, gaat het grotendeels om private cloud-projecten, waar de voorkeur van grote bedrijven voorlopig naar uitgaat, en wordt meestal maar een kleine teen in het publieke cloud-water gehangen. Op het gebied van ontwikkelen en testen vindt een sterke verschuiving plaats, maar het gebruik van publieke cloud als productieomgeving is nog beperkt en het gebruik van cloud als centrale productieomgeving lijkt voor de meeste organisaties nog ver weg. In de tussentijd zijn grote bedrijven vooral aan het nadenken over hoe ze hun datacenter nog kosten-efficiënter en flexibeler kunnen inrichten nu ze de eerste grote virtualisatieslag of –slagen achter de rug hebben. In andere woorden: hoe kunnen we het beheer verder automatiseren en het gebruik vereenvoudigen

en aldus private cloud computing realiseren? We zien hier momenteel weinig disruptieve cloud-bewegingen met groeipijnen waar snel ‘dokter’ system integrator naar moet kijken, maar een redelijk hanteerbare evolutie richting het datacenter van de toekomst, waar de BHV-er, bij wijze van spreken, mee uit de voeten kan. Op het moment raken de verspreide SaaS-toepassingen, IaaSinitiatieven en de private cloud-ambities binnen de meeste organisaties elkaar niet of nauwelijks. Als gevolg daarvan is de integratieproblematiek tot nog toe maar in beperkte mate aanwezig. Opvallend is wel dat veel organisaties het zwaartepunt van de aandacht van SaaS en/of IaaS aan het verschuiven zijn naar PaaS (Platform as a Service). Vooralsnog is de boodschap vooral dat nieuwe applicaties voornamelijk uit de cloud zullen komen. Op zich is dat niet de minste constatering, want cloud eist daarmee een centrale rol op in de innovatie van – en met - IT. Desalniettemin blijft de rol van de system integrator in dit verhaal nog steeds beperkt. Hoe graag deze ook aan de slag wil als cloud integrator, aggregator, orchestrator of ‘gewoon’ als broker – en analistenrapporten beloven dat de markt er komt omdat alle system integrators en ook telco’s er op inzetten – blijken er maar weinig organisaties echt op ze te zitten wachten.

Maar het heeft ook te maken met een andere benadering van IT door de CIO. Waar de CIO 5 tot 10 jaar geleden nog de regie uit handen gaf door grote projecten en hele beheerpercelen in zijn geheel uit te besteden, wordt van de CIO nu verwacht dat deze de touwtjes in handen houdt. Hij of zij hoeft niet per se alles zelf te doen, maar dient duidelijk de regie te voeren. Dat gebruikers met BYOD steeds meer invloed hebben op de IT die ze gebruiken en business managers steeds vaker eigen budgetten voor IT-investeringen aanwenden, vaak uit de cloud, vergroot alleen maar het gevoel van urgentie omtrent de regie. Regisseren neemt het stokje over van dicteren. De integrator van dit decennium is de CIO, niet de system integrator. IT is te belangrijk en te complex geworden om aan een buitenstaander over te laten. IT afdelingen proberen naast de regie ook weer meer strategische kennis in eigen huis op te bouwen en een enkeling kiest er zelfs weer voor om zoveel mogelijk in eigen huis te doen (wat uiteindelijk toch te duur blijkt te zijn). Voorlopig lijkt de behoefte aan cloud integratie en brokering in al zijn vormen niet bijzonder groot te worden. Natuurlijk is het handig als je verschillende cloudtoepassingen bij een enkele leverancier kan afnemen, maar zolang het aantal cloudapplicaties in het niet blijft vallen bij de hoeveelheid applicaties die niet uit de cloud komen, ziet een CIO weinig in een broker.

Urgentie Het is maar de vraag of dat heel snel verandert. Voor grote bedrijven geldt dat ze niet van de ene op de andere dag alle legacy-omgevingen kunnen - laat staan willen - migreren naar de cloud. Om een dergelijke grote verandering te bewerkstelligen, hebben grote ondernemingen minimaal 5, maar waarschijnlijk eerder 10, jaar nodig. Terwijl aan de ene kant de urgentie erkend wordt om cloud op de agenda te zetten, heeft er eigenlijk niemand echt haast.

22


Het tij keert En toch gaat het tij een beetje keren. In de Nationale EuroCloud Monitor constateerden we al eerder dat de hoeveelheid gebruikte cloud-toepassingen sterk toeneemt. Met deze toename wordt het steeds moeilijker om goed zicht te houden op alle publieke cloud-oplossingen (toegangsbeheer, beveiliging, compliance, billing, doorbelasting, enz.) en neemt bovendien de behoefte toe om op een steeds dieper niveau te integreren met andere cloud CloudWorks - nr. 6 / 2013

23

Marktonderzoek en legacy-applicaties. Ook zullen steeds meer organisaties het gebruik van IaaS naar een volgend niveau willen brengen en de afhankelijkheid van een enkele IaaS-leverancier verruilen voor een capaciteitsbroker of –marktplaats. We staan pas aan het begin van de wereld van de cloud broker en de contouren worden maar langzaam duidelijk. Hoewel de ultieme (cloud) broker de CIO zal blijken te zijn die allereerst behoefte heeft aan platforms en tools, ontstaat er toch steeds meer ruimte voor specifieke brokermodellen. Denk bijvoorbeeld aan een IaaS broker die op het juiste moment tegen de juiste prijs de juiste hoeveelheid capaciteit inkoopt en garandeert. Denk aan brokers die zich specialiseren in een bepaald segment, zoals het onderwijs, de zorg of logistiek. Of denk, ondanks de huidige wildgroei, aan leveranciers die een totaaloplossing plus appstore voor de werkplek uit de cloud aanbieden – het meest concrete aanknopingspunt voor veel systems integrators. En dan blijven er vast nog één of twee duizenddingendoekjebrokers over die vooral als distributeur een rol in de keten weten op te eisen. Ben je een system integrator die zich op grote organisaties richt? Reken je niet te snel rijk aan de kansen die de cloud biedt, kijk wat minder naar wat de concurrentie doet en blijf vooral constant in gesprek met je klanten op zoek naar waar je echt wat kan toevoegen. Cloud is daarbij geen toverwoord, dus laat het rustig, waar nodig, onder de motorkap verdwijnen.

Over de Nationale EuroCloud Monitor Onafhankelijk IT onderzoeksbureau Pb7 Research heeft in opdracht van de Stichting EuroCloud Nederland en in samenwerking met het vakblad CloudWorks in de eerste helft van oktober 2012 262 IT-beslissers en -beïnvloeders van Nederlandse organisaties ondervraagd. Met het terugkerend, onafhankelijk onderzoek naar het gebruik van cloud computing in Nederland wordt een vinger aan de Nederlandse cloud-pols gelegd. Bovendien wordt met de resultaten de dialoog aangegaan met leveranciers, beleidsmakers en vooral (potentiële) zakelijke gebruikers op een nieuw blog. Het onderzoek en de dialoog richt zich op vragen waar organisaties zich voor gesteld zien: Wat is de business case? Wat zijn de kosten en de baten? Wat zijn de risico’s en hoe maak ik ze beheersbaar en/of aanvaardbaar? Het onderzoek en het blog worden gefinancierd door sponsoring vanuit KPN IT Solutions, Telecity Group Nederland, Claranet en Exact.

{

We staan pas aan het begin van de wereld van de cloud broker en de contouren worden maar langzaam duidelijk.

24


Praktijk Expert in geografische data en applicaties vindt route naar de cloud met Visma.net

Falkplan-Andes vergroot via cloud grip op werkprocessen door de redactie Falkplan-Andes ondersteunt steeds meer van zijn processen vanuit de cloud. Daarbij maakt het bedrijf in toenemende mate gebruik van Visma.net. Met deze cloudoplossing beschikt Falkplan-Andes niet alleen over alle administratieve functionaliteit die het nodig heeft, maar kan het bedrijf ook de efficiëntie van en controle over zijn processen verhogen door business process automation. Dashboards met real-time financiële gegevens bieden bovendien waardevolle stuurinformatie die te allen tijde gecheckt kan worden via pc, tablet of smartphone.

Falkplan-Andes ontwikkelt zich van een traditionele kaartenmaker tot een bedrijf dat zich ook in de digitale wereld staande houdt. “We lopen graag vooruit op ontwikkelingen en blijven niet vastgeroest zitten”, zegt Edwin Lammers, controller bij FalkplanAndes. De organisatie bestaat tegenwoordig uit vier bv’s. Falkplan maakt nog steeds landkaarten, maar richt zich sinds de opkomst van routeplanners meer op recreatiekaarten. Een spin-off van Falkplan is Route.nl, een website voor de recreatieve fietser met diverse fietsroutes maar ook de mogelijkheid om zelf een route te plannen. Andes is daarnaast een bedrijf dat geografische data en software aan bedrijven levert, terwijl MapCreator software biedt voor het maken van kaarten. De vier bv’s opereren zelfstandig. Alleen IT, HR en de financiële administratie zijn centraal georganiseerd.

Nieuwe generatie bedrijfssoftware Vanuit zijn streven naar vernieuwing schuwt Falkplan-Andes ook de overstap naar de cloud niet. “We zijn bezig om een deel van onze primaire bedrijfsprocessen over te brengen naar de cloud. Met Andes hebben we al de eerste stap gezet: de software die klanten gebruiken om kaarten te maken, staat inmiddels online”, aldus Lammers. Ook met de financiële administratie is het bedrijf de weg naar de cloud ingeslagen. Sinds enkele maanden gebeurt de administratie van MapCreator in Visma.net van Visma Software. Deze bedrijfssoftware draait in het eigen datacenter van deze aanbieder en wordt als Software as a Service geleverd. Ook de financiële administraties van de andere drie bv’s gaan zo snel mogelijk over. Lammers: “Visma.net is een echte cloudoplossing: niet een doorontwikkeling van bestaande software, maar een nieuwe generatie. Dat zie je bijvoorbeeld terug in het gemak waarmee je koppelingen kunt realiseren met web- en andere applicaties. Dat speelt bij ons onder meer een rol met het oog op de webshop van Falkplan. Zo is het belangrijk dat er een goede koppeling komt met het logistieke systeem van het Centraal Boekhuis, dat onze kaarten verspreidt. Handig is ook dat Visma.net standaard kant-en-klare koppelingen biedt met applicaties van alle grootbanken. Daarmee kunnen we bankmutaties direct in onze administratie verwerken.” Een groot voordeel noemt Lammers het feit dat Falkplan-Andes nu geen omkijken meer heeft naar software-updates en ook zelf niet hoeft te investeren in hardware. “De laatste keer dat we onze servers moesten updaten, heeft dat ons tonnen gekost. Ik betaal liever maandelijks een klein bedrag dan in één keer zo’n grote investering te doen. Cash is king, zeker in deze tijd”, aldus Lammers.

26


Kosten besparen Dat zijn echter allemaal redelijk standaard voordelen van het werken uit de cloud. Interessant, vindt Lammers, maar nog veel belangrijker is het efficiencyvoordeel dat Falkplan-Andes kan behalen door processen geautomatiseerd te laten verlopen. “Het is bijvoorbeeld mogelijk om de verwerking en autorisatie van inkomende facturen te automatiseren. Het scannen van facturen en deze omzetten naar digitale boekingsdocumenten die vervolgens een vast verwerkingsproces ingaan, is een proces dat we nog moeten realiseren. Maar zodra dat een feit is, gaan we iedere dag tijd en dus geld besparen”, zegt Lammers. Het op deze manier automatiseren van processen biedt Falkplan-Andes naast meer efficiëntie ook meer controle over de gang van zaken binnen het bedrijf. “Je weet wat er gebeurt en kunt het proces volgen.” Een andere manier waarop Visma.net voor meer controle zorgt, is de mogelijkheid om te bepalen wie wat mag doen, op basis van zijn of haar functie. “We willen bijvoorbeeld regelen dat medewerkers zelf wel verkoopfacturen mogen maken in Visma. net, maar dat deze niet meer de deur uit gaan of geboekt worden zonder controle door iemand van de administratie. Zo voorkomen we fouten door mensen die administratief niet onderlegd zijn.” Binnen enkele maanden wil Falkplan-Andes de verkoopfacturen ook koppelen met pdf’s van de bijbehorende contracten. “Nu hebben we een contractadministratie in Excel en een digitaal archief waarin we contracten op nummer kunnen zoeken. Straks klikken we vanuit de factuur door naar het contract. Dan kunnen we bijvoorbeeld direct zien of verkopen in de goede periode worden gefactureerd.”

Real-time stuurinformatie Heel belangrijk voor Falkplan-Andes is dat het bedrijf met Visma.net snel en eenvoudig in de behoefte aan stuurinformatie kan voorzien. Dit met behulp van functionaliteit voor business intelligence. Lammers: “We kunnen bijvoorbeeld debiteuren-, crediteuren- en bankgegevens in de vorm van dashboards presenteren aan de directie. De informatie wordt zowel in overzichten als grafisch weergegeven en biedt direct helder inzicht in de stand van zaken. De informatie is ook altijd actueel, want de dashboards worden in real-time bijgewerkt met gegevens uit de administratie. Onze directieleden kunnen overal en altijd inloggen via hun pc, tablet of smartphone om een goede indruk van onze financiële situatie te krijgen.” CloudWorks - nr. 6 / 2013

27

Markt Chinese telecom- en IT-gigant betreedt Nederlandse markt voor computerruimtes

Huawei lanceert microDC’s in Nederland door Robbert Hoeffnagel De Chinese ICT-dienstverlener Huawei betreedt de Nederlandse markt met een zogeheten microDC. Het gaat om ‘micro-datacenters’ die bedoeld zijn voor plaatsing in branche- en regiokantoren. Wat beheer en operatie betreft zijn deze oplossingen bedoeld om volledig zelfstandig te functioneren of als onderdeel van een uitgebreid WAN-netwerk. De microDC’s maken deel uit van een breed productportfolio van Huawei dat loopt van de volledige technische infrastructuur van grote datacenters tot datacenters in container-formaat. In de visie van Huawei biedt de microDC belangrijke kostenvoordelen, terwijl de beschikbaarheid van bedrijfskritische applicaties hiermee beter gegarandeerd kan worden. “Huawei is natuurlijk geen onbekende partij in Europa”, zegt Leon Lips, solution manager Datacenters bij Huawei Enterprise Business Group in Amsterdam. “Veel mensen kennen ons echter vooral als fabrikant en leverancier van telecomproducten.” Tijdens de in maart van dit jaar gehouden Cebit-beurs in Hannover bleek echter hoe veel breder het productportfolio is. Op de stand was een volwaardige infrastructuuroplossing voor gebruik in enterprise en commerciële datacenters te zien, werden demo’s verzorgd van een combinatie van software voor datacenter infratstructure management (DCIM) en netwerkmanagement en stond een serie kleine kabinetten opgesteld die bedoeld zijn voor gebruik in een kantooromgeving. Daarnaast viel op dat ook een datacenter-in-een-container als mogelijke oplossing niet ontbrak. Lips: “Op de Cebit werd al duidelijk dat al deze producten de komende tijd richting de Nederlandse markt komen. Als eerste lanceert Huawei nu zijn microDC’s in ons land. In feite gaat het om een all-in-one box die nadrukkelijk inspeelt op de ontwikkeling van de IT-behoeften van branch offices en regiokantoren. Waar eindgebruikers in regionale kantoren in de jaren tachtig

28


en negentig nog vooral moesten werken met personal computers, wil men tegenwoordig veel liever aan de slag met tablets en andere mobiele apparatuur. Dat vraagt in een ‘branch office’ om een geheel andere en bovendien zeer betrouwbare IT-aanpak.”

Volledig geïntegreerd In een regiokantoor bestaat met name behoefte aan een volledig geïntegreerde oplossing die een groot aantal voorheen gescheiden functies in zich draagt. Al die functies vroegen voorheen om eigen hardware die allemaal los van elkaar beheerd diende te worden. De microDC van Huawei brengt al deze functies samen in één ‘micro-datacenter’. Denk dan aan functies als DHCP, een telefooncentrale, file servers, wifi, VDI voor het streamen van applicaties naar pc’s en mobiele apparaten, power, koeling, beheer, backup, security, camerafuncties en dergelijke. MicroDC’s passen in een IT-architectuur waarbij een hoofdrol is weggelegd voor het centrale datacenter van de organisatie. Hier draaien grote legacy-applicaties, maar kunnen bijvoorbeeld ook private cloud services beschikbaar zijn. Sommige taken zullen bij grote gebruikersorganisaties ook via regionale datacenters worden afgehandeld, die op hun beurt weer samenwerken met de ITsystemen in de branch offices. “Deze structuur is op zich overzichtelijk, maar levert voor ITen facilitaire afdelingen wel de nodige hoofdbrekens op”, stelt Lips. “Met name als het gaat om het beheren van de dagelijkse operatie leveren de IT- en de power & cooling-systemen die opgesteld staan in de regiokantoren bij een traditionele aanpak steevast problemen op. Doordat deze kantoren niet over eigen IT-medewerkers beschikken en het vaak ontbreekt aan goed geïntegreerde tools voor het beheren van applicaties, IT-hardware en de veelheid aan power & cooling-apparaten verloopt het beheer veelal rommelig. Dat kost niet alleen onnodig veel geld doordat bij storingen medewerkers van de centrale IT-afdelingen naar een regiokantoor moeten afreizen, maar kan ook zomaar de beschikbaarheid van bedrijfskritische applicaties in gevaar brengen. Dit is precies het probleem dat Huawei met de microDC wil oplossen.”

Opbouw microDC Een microDC bestaat uit een standaard rack, waarin een groot aantal IT- en facilitaire functies zijn samengebracht. Het rack is voorzien van een eigen en volledig uitontwikkelde facilitaire laag. Hierin is plaats voor een eigen koeling, een power distribution unit, een UPS, een of meer batterijen en bekabeling. Daarnaast is het rack voorzien van de nodige sensoren voor omgevingsmetingen: rook, temperatuur, luchtvochtigheid en lekwater, terwijl ook voorzien is in een dome-camera. Op de IT-laag kent de microDC een of meer servers, de nodige storagecapaciteit, netwerkverbindingen, een firewall, een wireless access point en een PABX ofwel telefooncentrale. Waar andere aanbieders van dit soort oplossingen het hierbij laten, gaat Huawei nog een aantal stappen verder. De IT-laag is namelijk aangevuld met een aantal stanaard IT-applicaties als file sharing, een print server, videobewaking, kantoorautomatisering en ondersteuning van VDI (virtual desktop intercace voor het

‘streamen’ van applicaties naar pc’s en mobiele appateren). De microDC is bovendien voorzien van software die zorgt voor het beheer van het rack en de IT-systemen die hierin zijn geplaatst, en die tevens gebruikt kan worden voor compliance-doeleinden. Ook is voorzien in software voor bijvoorbeeld het beveiligen van de gegevens die de gebruikers van een branch office op de IT-apparatuur in het microDC opslaan. Het beheer van zowel de microDC als alle IT-apparatuur is geïntegreerd in een grafische managementinterface.

Praktijkervaring “Huawei heeft inmiddels eerste klanten in Europa voor deze microDC’s. Een voorbeeld is de Franse supermarktketen Auchan. Bovendien heeft het concern in China ook reeds de nodige klanten voor deze manier van werken gewonnen. Daarbij zitten ook hele grote omgevingen, wat wel aangeeft dat deze manier van werken niet alleen goed werkt op het niveau van het regiokantoor, maar ook de IT-afdelingen van grote organisaties helpt om de beheerlast terug te dringen.” Een mooi voorbeeld van deze laatste aanpak is het Chinese bedrijf S.F. Express. Dit logistieke concern kent een omzet van circa 3 miljard euro en telt maar liefst 2854 regiokantoren op zo’n 2000 locaties verspreid over geheel China. Met dit soort getallen is het gemakkelijk voor te stellen dat er grote operationele problemen kunnen ontstaan, om nog maar te zwijgen van het in gebruik nemen van alle noodzakelijke IT-apparatuur en power & cooling op iedere individuele vestiging. Vandaar dat S.F. Express gekozen heeft voor microDC’s van Huawei die snel en gemakkelijk uit te rollen bleken – ook als het om grote aantallen gaat. “Doordat de microDC’s volledig gestandaardiseerd en uitontwikkeld zijn, is Huawei in staat om een regiokantoor zeer snel van een microDC te voorzien”, vertelt Lips. “Waar bij een traditionele oplossing voor een branch office al gauw dertig dagen nodig zijn voor het aanleggen en installeren van alle benodigde IT- en facilitaire systemen, is Huawei in staat om de microDC in maximaal een dag te plaatsen en in gebruik te stellen.”

Seminar Huawei en microDC’s Huawei organiseert begin juli 2013 in Amstelveen een speciaal seminar over microDC’s. Tijdens dit event gaan medewerkers van het concern dieper in op: • d e positie die microDC’s innemen binnen de IT-aanpak van bedrijven en overheidsinstellingen • d e opbouw en architectuur van de microDC • d e technologie die Huawei in deze oplossingen toepast • e en kostenvergelijking tussen een microDC en een meer traditionele aanpak voor branch offices • d e beheer-tools die standaard bij deze oplossingen worden meegeleverd • e n de manier waarop deze oplossingen reeds in landen als Frankrijk worden toegepast Aanmelden voor deelname kan via www.datacenterworks.nl/huawei CloudWorks - nr. 6 / 2013

29

Onderzoek Conclusie onderzoek Macaw naar werkplekken uit de cloud:

Explosieve transformatie door Robbert Hoeffnagel Steeds meer bedrijven hebben tegenwoordig het karakter van een projectgedreven organisatie. Werkplekken dienen dan ook veel flexibeler te kunnen worden ingezet. Een nieuwe werkplek moet zeer snel gerealiseerd worden, maar ook weer gemakkelijk verwijderd kunnen worden, terwijl de functionaliteit volledig moet zijn afgestemd op samenwerken in teams. Uit onderzoek dat Pb7 Research in opdracht van Macaw heeft uitgevoerd, blijkt niet alleen dat veel bedrijven momenteel hard over dit onderwerp nadenken, maar geeft ook duidelijk aan dat er rond de werkplek enorme veranderingen plaatsvinden.

Het zijn met name ontwikkelingen als cloud en virtualisatie die – technisch gezien – deze snelle veranderingen mogelijk maken. Onderzoeker Peter Vermeulen van Pb7 Research spreekt in zijn rapportage ‘Slimme Werkplekken in de Cloud’ van een ‘explosieve transformatie’. Pb7 heeft dit onderzoek uitgevoerd in opdracht van de in het Microsoft-platform gespecialiseerde ITdienstverlener Macaw in Schiphol-Rijk.

houdingen, gaan we steeds meer over op een aanpak waarbij sprake is van ‘empowerment’ van medewerkers. Zij werken steeds minder in opdracht van een afdelingshoofd, maar maken daarentegen meer en meer onderdeel uit van teams die gezamenlijk en vaak ook nog eens vanaf verschillende locaties projecten uitvoeren. Daarvoor heeft die werknemer – misschien kunnen we maar beter consequent gaan spreken van ‘medewerker’ – dus ook hele andere tools nodig dan de werkplek van de werknemer in traditioneel georganiseerde ondernemingen.

Realistische verwachtingen Interessant is het feit dat IT-beslissers een realistisch beeld hebben van de voordelen van het werken vanuit de cloud. Men verwacht niet direct - zeg maar - ‘dramatische’ voordelen te behalen. Men is er daarentegen wel van overtuigd dat cloud- en virtualisatieoplossingen soms voor kleine en vaak ook voor substantiële productiviteitsverbeteringen op de werkplek kunnen leiden. In figuur 3 is een aantal stellingen weergegeven, met daarbij het antwoord van IT-beslissers op de vraag of zij deze toepassingen zien als een manier om de productiviteit te verhogen. Figuur 4. In welke mate zijn IT-beslissers het eens met de volgende stellingen omtrent het gebruik van cloud-oplossingen voor de werkplekomgeving?

vast aan dat wat men kent en waagt de stap naar werkplekken in de cloud liever niet. Interessant is ook dat een aantal ITbeslissers uitgerekend de IT-afdeling als struikelblok ziet op weg naar werkplekken in de cloud, hoewel ook acceptatie door de business-organisatie nog met enige regelmaat als een probleem wordt ervaren.

Figuur 3. In welke mate werken deze toepassingen productiviteitsverhogend?

Figuur 1. In welke mate maken IT-beslissers gebruik van de volgende virtualisatie en/of cloudoplossingen ten behoeve van de werkplek van kenniswerkers?

In figuur 1 is goed te zien hoe snel de veranderingen rond de digitale werkplek gaan. Of we het nu hebben over self-service op het gebied van P&O, werkplekvirtualisatie op basis van VDI-technologie, organisatiebrede intranetten, bestandsdeling via internet of kantoorautomatisering vanuit de cloud – het zijn allemaal componenten van de moderne werkplek die niet alleen nu al veelvuldig worden toegepast, maar waarvan de groei in acceptatie en gebruik de komende jaren nog heel snel zal doorgroeien.

Anders werken Dat is ook logisch, want het Nederlandse bedrijfsleven verandert zelf ook heel snel als het om de manier van werken gaat. Voor zover we in dit land al goed waren in hiërarchische ver-

30


Figuur 2. In welke mate zijn IT-beslissers het eens met de volgende stellingen omtrent het gebruik van cloud-oplossingen voor de werkplekomgeving?

Het is dan ook niet verwonderlijk dat uit het onderzoek van Macaw naar voren komt dat IT-beslissers veel voordelen zien in het gebruik van een werkplek in de cloud. Figuur 2 geeft hier een duidelijk beeld van. Of het nu gaat om het op ieder denkbaar apparaat ontsluiten van informatie via de cloud, sneller en efficiënter samenwerken of een betere afstemming van vraag en aanbod als het gaat om capaciteit - het zijn allemaal stellingen waar IT-beslissers het in overgrote mate mee eens zijn. Het aantal mensen met twijfels over dit soort uitspraken is inmiddels ver in de minderheid en zelfs al onder de tien procent gezakt.

De meest opvallende score hierbij is wellicht wel die rond applicatievirtualisatie. Veelal wordt dit fenomeen vooral gezien als een manier om aan de IT-zijde van het bedrijf tot gemakkelijker beheer en mede daardoor tot lagere kosten te komen. Kennelijk zien IT-beslissers in het kunnen aanbieden van gevirtualiseerde applicaties echter ook duidelijke winst voor de eindgebruiker. Het kunnen beschikken over een nieuwsportal, maar bijvoorbeeld ook mail en messaging vanuit de cloud en uiteraard een portal voor het kunnen aanmaken, volgen en beheren van projecten scoren goed. Misschien nog wel de belangrijkste onderstreping van het enthousiasme van IT-beslissers voor werkplekken uit de cloud is wel de score op exact die stelling: een volledig digitale werkplek in de cloud wordt overduidelijk gezien als een groot goed als het gaat om productiviteitsverbetering.

Toch gaat het nu hard met de acceptatie en het daadwerkelijk in gebruik nemen van volledige digitale werkplekken. Liefst 48 procent van de ondervraagde IT-beslissers verwacht dan ook binnen twee jaar volledig te zijn overgestapt. Daarbij worden echter wel degelijk eisen gesteld aan die digitale werkplek. Een goede werkplek in de cloud, zo stelt Vermeulen in zijn onderzoek, dient een geïntegreerde totaaloplossing die via ieder denkbaar apparaat benaderbaar is. Charl Chutten, als accountmanager cloud werkzaam bij Macaw: “Het onderzoek laat heel goed zien dat Nederlandse IT-beslissers overtuigd zijn van de voordelen van cloudoplossingen voor de productiviteit van de kenniswerker. Zij voegen bovendien de daad bij het woord. Driekwart van de Nederlandse organisaties is inmiddels projectgedreven. Waar de inmiddels traditionele client/server omgeving te rigide is, biedt virtualisatie en vooral cloud de flexibiliteit in gebruik en functionaliteit die een projectgedreven organisatie nodig heeft.”

Client/sever te rigide Zijn er dan helemaal geen problemen als het om digitale werkplekken gaat? Die zijn er nog wel degelijk. Er zijn nog altijd voldoende IT-beslissers die liever kiezen voor de traditionele manier van werken (zie figuur 4). Nog altijd eenvijfde houdt CloudWorks - nr. 6 / 2013

31

Technologie Combinatie

door Eric van Gend

figuur 1. Architectuur van het datacenter op aanvraag.

Datacenters zijn ontworpen in het pre-Big Data- en pre-virtualisatietijdperk. Om het datacenter geschikt te maken voor de toekomst en om de ware lawine aan data aan te kunnen, is een radicale transitie nodig, vindt Eric van Gend van Brocade. Hoe komt een ‘datacenter op aanvraag’ ook on-demand beschikbaar voor iedereen?

in staat stellen een ‘on-demand’ datacenter te bouwen. Zo’n datacenter is berekend op de toegenomen marktdruk en bestaat uit vier lagen (zie figuur 1).

1. Fysieke infrastructuur

Nieuwe architectuur nodig

Datacenter op aanvraag Nog geen twintig jaar geleden werden IP-netwerken geïntroduceerd. Tot op de dag van vandaag zien deze netwerken er nagenoeg hetzelfde uit en gebruiken zij veelal het Spanning Tree Protocol (STP). In vergelijking met twintig jaar geleden zijn de apparaten die gebruikmaken van IP-netwerken echter wel degelijk nogal veranderd. Een smartphone heeft al meer opslag- en rekencapaciteit dan de sterkste server in de jaren negentig. De consequentie is dat die apparaten zo ongelooflijk veel verkeer genereren op dat netwerk uit de jaren negentig, dat het slechts een kwestie van tijd is totdat dit tot problemen gaat leiden. Zeker als we naar de datacenters van vandaag kijken, nemen dichtheid, omvang en complexiteit exponentieel toe. IDC verwacht dat de hoeveelheid servers de komende jaren zal vertienvoudigen, de hoeveelheid informatie zal vervijftigvoudigen en het aantal werknemers in de datacentersector met een factor 1,5 zal groeien. Gartner voorspelt dat tachtig procent van het verkeer in datacenters over een jaar tussen applicaties zal zijn (oostwest verkeer).

32


Transitie De transitie van datacenters naar een andere, grotere en meer complexe rol heeft drie belangrijke oorzaken. Ten eerste worden datacenters steeds compacter door virtualisatie. Deze trend was in eerste instantie gedreven door kostenreductie. Je kunt immers een fysieke server met virtualisatie opdelen in bijvoorbeeld vier of meer virtuele servers. Applicaties maken graag gebruik van verschillende virtuele servers die op hun beurt weer op verschillende fysieke servers geïnstalleerd kunnen zijn. Daarbij genereren deze applicaties zogenaamd oost-west verkeer binnen een datacenter. Tel daarbij op dat verschillende klanten virtuele servers van verschillende leveranciers gebruiken – alle met hun eigen VLAN’s – en de uitdaging voor het aloude Spanning Tree-protocol is daar. Ten tweede kiezen bedrijven er steeds vaker voor hun applicaties in een datacenteromgeving onder te brengen. Met de komst van snellere netwerken, meer (virtuele) datacentercapaciteit en een gedegen beveiliging is de drempel veel

lager geworden. Bedrijven als Microsoft, Google en SAP springen daar weer op in en ontwikkelen cloud-versies van bedrijfskritische applicaties. Door virtuele apparaten in te zetten, kan de gebruiker de functies ervan naar behoefte gebruiken, waar hij zich ook bevindt. Een bedrijf brengt zijn IT onder bij een aanbieder van cloud-diensten of binnen een private cloud. Bij zo’n outsourcingtraject volgen de netwerkfuncties de werklast in de cloud. Ten derde moeten serviceproviders steeds meer gebruikers, apps en data verwerken en verschuiven binnen het datacenter. Dit vereist een zeer ‘elastisch en schaalbaar’ datacenter. Gevirtualiseerde machines zorgen voor die elasticiteit, waardoor aanbieders beter kunnen inspelen op de behoefte van de klant, on-demand.

Nieuwe opbouw De vraag is hoe datacenters nu en in de toekomst inspelen op deze trends en ontwikkelingen. Hiervoor is een radicale nieuwe opbouw nodig. Er zijn nu eerste technologieën beschikbaar die organisaties

De fysieke infrastructuur zorgt voor rekenkracht, opslag, netwerken en bepaalde diensten, zoals beveiliging. Naast deze bovenlaag van fysieke infrastructuur is een virtuele of logische laag nodig. Die is goed geïntegreerd in het serverdomein met hypervisor-technologie. Hetzelfde concept wordt nu toegepast op zowel opslag als netwerk met technologieën als overlaynetwerken met tunneling-technologie.

2. Virtuele infrastructuur Naast de fysieke laag van een datacenter zien we een ware virtualisatierevolutie: met virtuele routers en switches. Deze Network Function Virtualization (NFV) vertegenwoordigt een ontwikkeling naar software- of VM-gebaseerde standaarden voor datacenterdiensten. Klanten kiezen voor de kostenvoordelen en de flexibiliteit van software in plaats van door te gaan met het inzetten van gespecialiseerde, op maat gebouwde apparaten voor diensten als Application Delivery Controllers (ADC’s). Dit speelt vooral voor de cloudarchitectuur. In de cloud willen klanten met een muisklik diensten aan- en uitzetten in plaats van fysieke hardware-installaties en bewegingen dichtbij de applicatie of gebruiker van de dienst.

3. Controlelaag Bovenop de fysieke en virtuele laag komen de controllers voor het netwerk, de servers en de opslag van data. Bijvoorbeeld

de netwerkcontroller. Deze is geïmplementeerd in software, controleert de status van het netwerk en biedt goed gedefinieerde API’s om programmatische controle van het netwerk mogelijk te maken. De complete architectuur is gebouwd rondom applicaties die direct van invloed zijn op de onderliggende infrastructuur. Dit garandeert de best mogelijk applicatieuptime, -prestaties en -beveiliging. Maar voordat we gaan evolueren, dienen we te controleren of het fundament van het datacenter – het netwerk – nog voldoet aan de toekomstige eisen.

Het datacenter van de toekomst is een combinatie van de meest waardevolle aspecten van fysieke en virtuele netwerken. Zo’n datacenter levert netwerkcapaciteit daar waar en wanneer dat nodig is. Alleen dan is de adoptie van Software Defined Networking (SDN) te versnellen. Hiermee kunnen bedrijven hun IT flexibeler inzetten, de complexiteit reduceren en de mate van virtualisatie binnen datacenters naar nieuwe niveaus brengen. De hierboven beschreven strategie vertegenwoordigt een belangrijke evolutie in de netwerkwereld in de richting van een sterk gevirtualiseerde, open en flexibele netwerkinfrastructuur. Met een infrastructuur die fysieke en virtuele netwerkelementen combineert, kan een klant sneller en makkelijker de computing-, netwerk-, storage- en servicescapaciteiten leveren, die nodig zijn voor hoogwaardige applicaties. Het voordeel van het inzetten van een private of publieke cloud op basis van OpenStack is de hoge mate van flexibiliteit en controle die dit biedt bij de levering van essentiële componenten binnen een open cloud-architectuur. Dit soort open initiatieven stelt klanten in staat om maximaal te profiteren van hun IT-investeringen zonder de risico’s van een vendor- of technologie-lock-in, die horen bij merkgebonden platforms.

4. Regielaag Ten slotte moet de gehele datacenteromgeving ‘geregisseerd’ worden. Bij Brocade noemen we dat ‘orchestration frameworks’. Deze frameworks staan aan de basis van een snelle en complete voorziening van virtuele datacenters. Voor het regisseren van netwerkarchitectuur en -componenten werkt Brocade met VMware op vCloud Director en met de OpenStackcommunity. OpenStack is een ‘cloudoperating system’ waardoor verschillende softwareoplossingen van diverse leveranciers in een datacenter met elkaar kunnen communiceren. Hierdoor wordt de gehele datacenteromgeving centraal gemanaged. Op basis van OpenStack heeft Brocade een Fabric-plug-in ontwikkeld. Deze maakt het mogelijk capaciteit in de cloud beschikbaar te stellen op het moment dat klanten daar behoefte aan hebben. Dit is een essentieel deel van de ‘datacenter-opaanvraag’-strategie. In dit licht is het ook belangrijk te vermelden dat Brocade lid is geworden van het Red Hat OpenStack Cloud Infrastructure Partner Network.

Nog een voordeel van deze opzet is de sterk verbeterde ROI. Dit komt door schaalvergroting, grootschalige multitenancy en tijdsen geldbesparing. Zo maakt virtualisatie het aantal gebruikers, applicaties en serviceproviders mogelijk op een schaal die hiervoor ongekend was. Deze opzet maakt bovendien het on-demand aanbieden van diensten eenvoudiger. De cyclus van engineering van nieuwe diensten naar het aanbieden ervan wordt sterk gereduceerd. Diensten zijn door middel van templates op te zetten en te automatiseren, en kunnen worden aangeboden aan klanten met de klik van een muis. Daarnaast zijn door middel van orkestratie zelfservicemodellen te creëren, wat de operationele overhead vermindert en de introductietijd van dagen en weken beperkt naar minuten en zelfs seconden. De nieuwe opzet van een datacenter, zoals hierboven weergegeven, reduceert ten slotte de operationele kosten aanzienlijk. Eric van Gend is sales manager Ethernet Fabrics EMEA North CloudWorks - nr. 6 / 2013

33

Technologie Figuur 1. Schematische weergaven van de

Op weg naar software defined multi-vendor storage

ViPR software defined storage-aanpak die EMC onlangs heeft gelanceerd.

EMC lanceert ViPR

zeer interessant is voor de vele storage startups en ontstaat tevens een situatie waarbij een fabrikant die niet mee doet wel eens iets uit te leggen kan hebben aan zijn klanten.

Pivotal Labs

door Robbert Hoeffnagel Is daarmee voor iedereen volledig duidelijk wat ViPR is en welke rol het als software defined storage-platform in een al of niet op cloud computing gebaseerde infrastructuur kan spelen? Dat is niet per definitie het geval. Zeker niet omdat ViPR in veel opzichten veel weg lijkt te hebben van een aanpak die simpelweg multi-vendor storage management mogelijk maakt. Of is er meer aan de hand?

EMC introduceerde tijdens EMC World 2013 ViPR. Het concern stelt hiermee als een van de eerste aanbieders een software defined storage-platform te kunnen aanbieden. Software defined storage klinkt als een logisch verlengstuk op ontwikkelingen als software defined networking, maar reacties uit de markt laten zien dat er nog veel onduidelijkheid bestaat over dit fenomeen.

‘Abstract – pool – automate’ Heel belangrijk bij deze aankondiging is het feit dat gebruik kan worden gemaakt van bestaande én nieuwe storage-systemen. Hierop wordt vervolgens het idee van wat wel genoemd wordt ‘abstract – pool – automate’ toegepast. Dat is precies van ViPR belooft te doen. Door het abstraheren van het ‘control path’ van de onderliggende fysieke hardware kan het beheer van tal van verschillende soorten en typen opslagsystemen via één gemeenschappelijke interface worden geregeld. Topman Joe Tucci noemde EMC tijdens EMC World 2013 van ‘a federation of independent businesses’ en doelde daarmee op de los van elkaar opererende bedrijven RSA (security), EMC (storage en cloud), VMware (virtualisatie en cloud) en Pivotal (realtime analytics en Big Data).

Voldoen traditionele storage-architecturen de komende jaren nog wel? Belangrijkste reden voor die vraag is de ongekende groei van de hoeveelheid data die organisaties vastleggen. EMC stelt dat een gemiddeld datacenter straks zomaar honderden petabytes of meer aan gegevens moet vastleggen en ontsluiten. Nee, stelt het concern, dan voldoen bestaande storage-infrastructuren niet meer, want de kosten en complexiteit van beheer zullen dan nauwelijks nog te dragen zijn. Dus moet het anders. Maar hoe?

Control en data planes Met ViPR begeeft EMC zich op het pad van almaar verdergaande virtualisatie van de hardware-laag in het datacenter. Daar wordt nu ook het storage-apparaat aan toegevoegd. Waarom is dat een verbetering? De belangrijkste reden hiervoor is volgens het bedrijf de scheiding die wordt aangebracht tussen de storageinfrastructuur en de data zelf. Daar heeft men nu twee aparte beheermechanismen voor ontwikkeld, een zogeheten ‘control plane’ voor de storage-infrastructuur en een ‘data plane’ voor de opgeslagen data. De control plane maakt gebruik van bestaande storage-infrastructuren voor traditionele workloads, maar biedt ook de nieuwe

34


zogeheten ViPR Object Data Services voor nieuwe workloads die gebruik maken van Amazon S3 public cloud storage of die bereikbaar zijn via HDFS (ofwel Hadoop’s file system) API’s. Deze Object Data Services kunnen geïntegreerd worden met OpenStack via Swift en kunnen draaien met enterprise of commodity storage.

Het is daarmee dus mogelijk om ‘pools’ te gaan maken waarin tal van verschillende storage-apparaten een plaats kunnen krijgen. Dit wordt vervolgens een virtuele storage pool die beheerd kan worden via policies, profiles en dergelijke. ViPR biedt verder een API die gebruikt kan worden om het beheer van deze virtuele storage pools aan te pakken en te automatiseren. Want dat laatste is gezien de verwachte groei van de hoeveelheid data die we in datacenters vastleggen natuurlijk zo langzamerhand wel pure noodzaak geworden. In figuur 1 is dit schematisch weergegeven.

Multi-vendor Het is – zoals gezegd - mogelijk de control plane van de data plane te ontkoppelen. Zo kan het control plane ook alleen gebruikt worden om de onderliggende intelligentie van storage arrays te beheren via policy based-automatisering. Dit is, zo stelt EMC, een geheel nieuwe benadering voor het virtualiseren van storage.

Oud en nieuw Interessant is verder dat ViPR objecten kan beschouwen als bestanden. Bovendien biedt het optimale toegang tot bestanden zonder vertraging die wordt veroorzaakt door object storage. De oplossing kan volledig op basis van software worden geïmplementeerd en draait op EMC-, niet-EMC- en commodityhardware. EMC ViPR kan worden geïntegreerd met VMware’s software-gedefinieerde datacenter dankzij de standaard API’s. Daarnaast kan het worden toegevoegd aan virtuele omgevingen van Microsoft en OpenStack.

Daarmee lijkt EMC een interessante aanpak te introduceren, waarbij ook nog eens een multi-vendor strategie wordt gevolgd. Tot nu toe is dat beperkt tot NetApp, maar er zullen ongetwijfeld andere fabrikanten volgen. Bovendien pakt het EMC het op geheel eigen wijze aan door ViPR ook de bestaande storageinfrastructuur van eigen makelij te laten ondersteunen. Het is dus niet zo dat ViPR uitsluitend werkt nadat de bestaande storageinfrastructuur voor veel geld is vervangen door een geheel nieuwe set van opslagsystemen. Ook een punt van aandacht: EMC is van plan de broncode van ViPR vrij te geven als open source. Geeft het concern daarmee een potentieel kroonjuweel weg? Of zit de waarde van ViPR juist in dat open karakter waardoor zoveel mogelijk vendoren kunnen aansluiten? Hoewel de belangrijkste concurrenten wellicht zullen aarzelen om aan te sluiten, is dit wel een strategie die

ViPR was niet het enige opmerkelijke nieuws tijdens de internationele gebruikersconferentie van EMC. Daarbij kwam natuurlijk ook nog een van de eerste optredens van Paul Maritz als de nieuwe CEO van het al even nieuwe Pivotal. Dit is opnieuw een spin-off van EMC, net als eerder RSA en VMware. Het doel van dit bedrijf, waarin een aantal producten en technologieën van zowel EMC als VMware zijn samengebracht, is ‘Big & Fast Data’, zoals het bedrijf dat noemt. Naast EMC en VMware doet ook General Electric mee in dit bedrijf. Met name de voorbeelden die genoemd worden om de belangstelling van GE duidelijk te maken, geven het werkgebied van Pivatol Labs goed aan: het razendsnel verzamelen en analyseren van massale hoeveelheden data. Een van die GE-voorbeelden is deze. De motor van een passagiersvliegtuig dient na een vast aantal vlieguren onderhoud te krijgen. Door het ontbreken van meetdata halen technici zo’n motor volledig uit elkaar – alsof deze geheel kapot zou zijn. Dat is natuurlijk niet zo, maar ieder onderdeel dient gechecked te worden: heel of stuk? Zo bouwt men die motor weer op.

Abonnementen Dat is uiteraard een kostbare vorm van onderhoud. Waarom niet sensoren op tal van plaatsen in die motor aanbrengen en continu meten hoe de motor zich gedraagt? Al die data wordt tijdens vliegen, taxieën noem maar op continu vastgelegd en geanalyseerd. Op die manier is op het moment van onderhoud niet alleen volstrekt duidelijk welk onderdeel stuk is en welke niet, maar er ontstaan ook mogelijkheden voor nieuwe business modellen. Waarom zou de KLM straks nog een motor kopen als GE de vliegtuigmaatschappij – bijvoorbeeld - ook een abonnement op een bepaald aantal gegarandeerd storingsvrije vlieguren kan leveren? Hoeft de KLM geen miljoenen in één keer meer te investeren, terwijl voor de motorenfabrikant eveneens volstrekt nieuwe diensten en inkomstenbronnen mogelijk worden. Is Pivotal al zover? Nee, men is nu hard bezig de bestaande tools die men van EMC en VMware overneemt – denk aan VMware’s Cloud Foundry PaaS, SpringSource, Gemstone, EMC’s Greenplum en de Pivotal ontwikkelgroep en bijvoorbeeld Cetas (big data analytics) – bij elkaar te brengen. VMware’s Paul Maritz stapt over naar Pivotal en gaat hier een startup van 1400 man leiden. Die zijn nu begonnen aan een enorme race naar de markt waar ook al de nodige andere leveranciers actief zijn. Denk alleen al aan SAP’s HANA-platform dat ook nadrukkelijk een rol ambieert in de markt voor realtime analytics voor ‘the internet of things’. Of zoals GE het noemt: the industrial internet. CloudWorks - nr. 6 / 2013

35

Security Traditionele security-mechanismes zijn hier niet op toegesneden, stellen de onderzoekers van CSA’s Big Data Working Group. Die zijn gericht op statische gegevens en niet op streaming data. Een fenomeen als ‘provenance’ laat zich bijvoorbeeld niet of nauwelijks overbrengen naar een cloud-omgeving en tools die bedoeld zijn om afwijkingen in datasets op te sporen, zullen in veel gevallen veel te veel ‘false positives’ opleveren. Bovendien vereist het streaming karakter van Big Data-projecten dat security-maatregelen realtime kunnen worden uitgevoerd. De werkgroep heeft de tien belangrijkste problemen op het gebied van security, privacy en Big Data in kaart gebracht. Laten we deze tien punten eens nader bekijken.

1. V eilige verwerking van gegevens in een gedistribueerd programming framework Gedistribueerde programming frameworks maken gebruik van parallellisatiemechanismen bij het verwerken van massale hoeveelheden data. Een bekend voorbeeld is MapReduce. Hierbij wordt een input file gesplitst in meerdere brokken. In de eerste fase van verwerking wordt voor iedere brok data een zogeheten Mapper gebruikt om de gegevens te lezen, een bewerking uit te voeren en een serie key/value pairs voort te brengen. In de volgende fase combineert een zogenaamde Reducer de values die bij iedere key horen en genereert daarmee het resultaat. Om deze operatie veilig uit te voeren, zijn twee attack prevention-maatregelen nodig: het beveiligen van de mappers en het beveiligen van de data als een ‘rogue mapper’ wordt ontdekt. Een ‘untrusted mapper’ kan verkeerde resultaten opleveren, waardoor ook het geaggregeerde resultaat fout zal zijn.

2. Security best practices voor niet-relationele data stores

Beveiliging en privacy hebben grote impact op slagen van Big Data

Goede security absolute noodzaak

voor Analytics as a Service

NoSQL-databases hebben niet-relationele data stores populair gemaakt. De onderzoekers stellen dat er veel ontwikkelingswerk plaatsvindt rond de security-infrastructuur voor dit soort data stores. Er is echter nog geen sprake van een volwassen aanpak als het gaat om bijvoorbeeld NoSQL injections. Security maakte zeker niet altijd onderdeel uit van NoSQL-producten. Ontwikkelaars implementeren security van een NoSQL-omgeving veelal in een middleware-laag, maar NoSQL-databases dwingen security niet expliciet in de database zelf af. Dat is een probleem, zeker als we NoSQL-databases ook nog eens gaan clusteren. Er zal dus zeer goed gekeken moeten worden naar de security-maatregelen die in de genoemde middleware-laag zijn opgenomen.

3. Veilige opslag van gegevens en veilige transactielogging

door Patrick de Goede van Eijk Tijdens de beurs Infosecurity Europe 2013 werden de resultaten bekend van een onderzoek naar het resultaat van projecten op het gebied van Big Data. Veel Big Data-projecten dreigen te mislukken door problemen rond security. Dat is onnodig, stelt Patrick de Goede van Eijk van T-Systems, als we maar goed weten wat we op security- en privacy-gebied moeten regelen. 36


De druk bezochte Britse editie van Infosecurity vormde een mooie gelegenheid om de bezoekers te ondervragen over hun belangrijkste ervaringen met een van de belangrijkste thema’s van dit moment: Big Data. Liefst 76 procent van de ondervraagde managers (IT en business) gaf aan dat men grote zorgen heeft over de vraag of security bij Big Data-projecten wel afdoende is geregeld? Die zorgen bleken zo groot dat meer dan de helft security-problemen als belabgrijkste aangaf waarom men nog niet met Big Data aan de slag is gegaan.

De Cloud Security Alliance (CSA, www.cloudsecurityalliance. org) heeft inmiddels veel nuttig werk op dit gebied verricht. Erg nuttig is bijvoorbeeld de whitepaper ‘Top Ten Big Data Security and Privacy Challenges’. In dit document wordt het security- en privacy-probleem kernachtig geformuleerd: ‘Security and privacy issues are magnified by velocity, volume, and variety of big data, such as large-scale cloud infrastructures, diversity of data sources and formats, streaming nature of data acquisition and high volume inter-cloud migration’.

Het aantal data- en transactielogs neemt bij Big Data-projecten een dermate omvang aan dat het voor een IT-afdeling niet meer te doen is om handmatig bij te houden waar deze logbestanden zich bevinden. Dit zal dus via een vorm van ‘auto-tiering’ moeten worden geregeld. Daar bestaan inmiddels oplossingen voor, maar die houden veelal weer niet bij waar de data zelf is opgeslagen. De CSA-werkgroep noemt een voorbeeld van een bedrijf waar data afkomstig van verschillende divisies bij elkaar gebracht wordt. Sommige logdata wordt echter nauwelijks opgevraagd, terwijl andere loggegevens voortdurend worden geraadpleegd. Een oplossing voor auto-tiering zal de zelden geraadpleegde logdata verplaatsen naar een ‘lower tier’. Vaak heerst daar ook CloudWorks - nr. 6 / 2013

37

Security

Column

een minder streng security-regime. Met andere woorden: autotiering van logdata kan een oplossing zijn, mits een duidelijk beeld bestaat van de verschillende tiers en bijbehorende securitymaatregelen.

4. V alidatie en filtering van gegevensinvoer vanaf endpoint devices Een belangrijk probleem bij veel Big Data-projecten is: kunnen we de data die wordt toegevoegd vertrouwen? Met andere woorden: input validatie. Hoe kunnen we vaststellen dat de data correct is en hoe filteren we malicious gegevens uit de datastroom? Dit wordt – met dank aan BYOD – een steeds actueler probleem. De algoritmes om deze vaststelling en filtering te doen, ontbreken nog grotendeels.

8. Fijnmazige access control Een lastig probleem bij grote datasets is het beantwoorden van de vraag wie welke data mag inzien. De CSA-onderzoekers hebben vastgesteld dat in veel gevallen toegang tot veel gegevens afgeschermd wordt zonder dat daar een duidelijke reden voor is. Veelal blijkt dan dat het aan de juiste tools ontbreekt om zeer fijnmazig te kunnen instellen welke gegevens door wie mogen worden gezien of gebruikt. Juist de veelheid aan maatregelen, wetgeving en afspraken maken dit lastig. Vaak gelden juridische regels, branche-afspraken, samenwerkingsovereenkomsten tussen bedrijven en dergelijke. Er dienen tools te komen waarin de impact van al dit soort relevante governance-systemen kan worden geregeld en beheerd.

9. Fijnmazige mogelijkheden voor auditing 5. Realtime monitoring van security en compliance Realtime security monitoring is altijd al een lastig probleem geweest. De hoeveelheid alarmeringen is in veel gevallen te groot voor mensen om te verwerken, waardoor veel van deze alerts simpelweg worden weggeklikt. Bij Big Data wordt dit alleen nog maar erger. Aan de andere kant kunnen Big Data-technieken ook helpen om grip op dit probleem te krijgen, juist omdat veel Big Data-technologie op het razendsnel verwerken van grote hoeveelheden gegevens is gericht. Waardoor de interessante situatie ontstaat dat Big Data-technieken gebruikt kunnen worden om afwijkingen te vinden in de enorme gegevenstromen die met Big Data gepaard gaan. Hierdoor kan het op termijn mogelijk worden om veel sneller en gemakkelijker antwoord te krijgen op vragen als ‘Hebben we een overtreding van compliance-standaard ABC doordat zich actie XYZ voordoet?’

6. S chaalbare en eenvoudig samen te stellen data mining en analytics met behoud van privacy Veel criticasters van Big Data zien in de opkomst van dit soort technieken vooral een bedreiging: minder privacy, opdringerige marketingacties, problemen met mensenrechten. Ook anonimiseren van data is niet voldoende om de privacy van mensen veilig te stellen. Toen Amazon onlangs een set met geanonimiseerde zoekresultaten publiceerde die voor academische doeleinden waren gebruikt, bleek het zeer eenvoudig om aan de hand van de zoekacties de personen in kwestie te vinden. Er zullen dus duidelijk richtlijnen en aanbevelingen moeten komen hoe onbedoelde inbreuk op privacy kan worden voorkomen, juist ook bij het samenvoegen van datasets. Belangrijk hierbij is te beseffen dat datasets continu worden bekeken en geanalyseerd. Er is maar één analist nodig die bewust een dataset misbruikt en de privacy van grote aantallen personen loopt gevaar.

7. T oegangscontrole en communicatie op basis van encryptie Zonder versleuteling kan niet worden gegarandeerd dat gegevens veilig worden verzameld en slechts toegankelijk zijn voor de partij die hiertoe geautoriseerd is. Hierbij dient de data versleuteld te worden op basis van access control policies. We kunnen hierbij werken met hulpmiddelen als ‘attribute based encryption’ (ABE), maar dit soort technieken zijn nog niet ver genoeg ontwikkeld. Het ontbreekt in veel gevallen nog aan functionele rijkdom, schaalbaarheid en efficiency.

38


Hoewel we bij Big Data proberen te werken met realtime security, zal dit in de praktijk niet altijd lukken. Er kan een tot dan toe onbekende type aanval worden gebruikt of er is sprake van een ‘true positive’ die over het hoofd is gezien. In dat geval zal achteraf uitgezocht moeten worden wat er precies is gebeurd. Dit soort audit-informatie is bovendien bedoeld om te onderzoeken wat de bedrijfseconomische en juridische gevolgen zijn. We worden bij een probleem bovendien geacht uit te leggen waarom een bepaalde compliance-standaard is overtreden en hoe dit in de toekomst voorkomen zal worden.

10. Data provenance Waar komt een bepaald gegeven vandaan? Het vastleggen en analyseren van dit soort metadata zal steeds resource-intensiever worden naarmate de hoeveelheid data die we verzamelen verder groeit. Toch is het van cruciaal belang dat hier goede tools voor worden gebruikt. Deze metadata is bijvoorbeeld van groot belang om de waarde van bepaalde datasets te kunnen vaststellen voordat deze worden gebruikt.

Bewust worden Big Data biedt bedrijven en overheidsinstellingen enorme mogelijkheden. Maar de zorgen die de ondervraagde IT- en business managers tijdens Infosecurity Europe 2013 aangaven, zijn natuurlijk wel zeer terecht. Daarbij gaat het er zeker niet ‘alleen maar’ om hoe wij cybercriminelen kunnen tegenhouden die hun oog om grote data stores hebben laten vallen. Het is van cruciaal belang dat wij zekerheid hebben over de herkomst en de kwaliteit van de gegevens, terwijl wij ons bovendien te houden hebben aan weten regelgeving op het gebied van privacybescherming. Maar ook governance-afspraken en bijvoorbeeld commerciële afspraken tussen bedrijven over het gebruik van gedeelde informatie moet goed en aantoonbaar geregeld zijn. Nu veel organisaties hun eerste stappen op het gebied van Big Data en Analytics as a Service zetten, is het dan ook van groot belang dat zij zich bewust zijn van de vele security-aspecten die hierbij spelen. Patrick de Goede van Eijk is enterprise architect en solution expert bij T-Systems.T-Systems heeft samen met Hadoop-specialist Cloudera en SPLUNK een Analytics as a Service-oplossing ontwikkeld die tegemoet komt aan de Europese weten regelgeving op het gebied van privacybescherming.

Running on Empty door Gregor Petri Het ‘Running on Empty’-gevoel (Jackson Browne, 1977*) van ‘de tank is leeg, maar we moeten nog even door’ zal veel IT dienstverleners en outsourcing providers bekend in de oren klinken. ‘De nieuw brandstof heet cloud, maar onze motor loopt er nog niet op’. Daarnaast vinden velen het niet eerlijk dat hun dienstverlening (denk: auto met chauffeur) door veel klanten wordt vergeleken met de prijs van een losse inbouwmotor (denk: self-service cloud). Oorzaak hiervan is ook dat het management van veel gebruikersorganisaties in verwarring is over het verschil. Management snapt prima dat Service Level Agreements (SLAs) op hardware, zoals bijvoorbeeld servers, niet betekenen dat de leverancier ervoor zorgt dat de applicaties blijven lopen als er iets mis is met de hardware. Hiervoor moeten organisaties zelf backups maken, procedures schrijven, uitwijk regelen, enzovoorts. Maar veel beslissers lijken wel dat idee te hebben bij cloud-SLA’s. Terwijl de SLA op Cloud Infrastructure as a Service toch veel meer vergelijkbaar is met een hardware-SLA dan met een outsourcing -SLA. Net als de ‘Unnamed Hero Roadies’ die Browne bezingt op ‘Running on Empty’ in het onvergetelijke ‘The Load Out’, zijn er ook in de IT honderden ‘Unnamed IT Ops Heroes’, die achter de schermen zorgen dat de applicaties blijven functioneren. Niemand denkt dat deze allemaal naar huis kunnen als de kwaliteit van de hardware maar iets beter was, maar velen hebben wel die onrealistische verwachting van betere cloud-SLA’s.

de promotie. Tot op zekere hoogte heel vergelijkbaar met de shift van licenties naar services in het verdienmodel van IT. De dienstverleners die vandaag het meeste worstelen met deze drastische veranderingen zijn de telecombedrijven. Zij zien hun klanten massaal overstappen op Over The Top (OTT) diensten als WhatsApp, Skype en Facetime. Hun pogingen om klanten nog even te laten blijven, verlopen een stuk minder soepel als de overgang van Browne’s roadie-nummer in zijn klassieker ‘Stay’. Het refrein hiervan – “Oooh, Won’t you stay… Just a little bit longer!” - lijkt verdacht veel op het thema van een groot aantal telco- en outsourcing-proposities. Voor ons - in 1977 – was Stay overigens het ultieme nummer, dat we eindeloos bleven draaien en waarvan we vonden dat het onze generatie definieerde. Wisten wij veel dat het eigenlijk een cover was van een Doo-Wop nummer uit 1954. En dat geldt tot op zekere hoogte ook voor cloud computing, nieuwe ideeën die de wereld voor altijd zullen veranderen. Maar nu ook weer niet zo nieuw. * Running on Empty (1977) is het 5e album van singer-songwriter Jackson Browne. Hoewel het combi-nummer ‘The Load Out/Stay’ in Nederland nooit als single is uitgebracht, staat het toch regelmatig in de bovenste regionen van de jaarlijkse Top 2000. Gregor Petri (@gregorpetri) is Research Director bij Gartner en houdt zich daar bezig met thema’s als cloud computing en cloud services brokerage. In deze gastcolumn deelt hij zijn persoonlijke kijk op recente ontwikkelingen.

Dat neemt niet weg dat cloud het business model van IT net zo drastisch overhoop zal halen als downloading de muziekindustrie heeft veranderd. In 1977 verdienden artiesten hun geld met albums, terwijl concerten grotendeels promotie waren. Vandaag wordt het echte geld verdien met concerten en zijn downloads CloudWorks - nr. 6 / 2013

39

Security beschermd moeten kunnen worden. Daarnaast is het in de visie van Cisco van cruciaal belang dat security services in de netwerk core de de cloud-laag aanwezig zijn.

Cisco ontwikkelt veilige architectuur voor gecombineerde machine/people communicatie

Securing the internet of everything

figuur 1

Dat gebeurt op basis van de in figuur 1 weergegeven architectuur. Deze architectuur bestaat uit vier lagen. De eerste laag bestaat uit embedded systemen, sensoren, actuators en dergelijke. Op deze laag bevindt zich een zeer gevarieerd gezelschap van apparaten, met allerlei cpu-types, OS’en, geheugenstructuren en -omvangen en dergelijke. Veel van die apparaten zijn zeer goedkoop en verrichten slechts één functie.

door Robbert Hoeffnagel The internet of things is momenteel ongekend populair, maar wordt tegelijkertijd eigenlijk al weer ingehaald door zijn opvolger: the internet of everything. Want machine-to-machine communicatie gaat mer en meer gecombineerd worden met machine-to-people communicatie en people to people communicatie. Cisco ontwikkelt een securityarchitectuur om deze mix aan communicatievormen goed te kunnen beveiligen. Is de kreet ‘the internet of everything’ een semantisch grapje van een overijverige marketeer? Of gaat het werkelijk om iets anders dan ‘the internet of things’? Als we mensen als senior vice president van Cisco Carlos Dominquez mogen geloven, gaat het wel degelijk om een substantieel verschil. Bij the internet of things draait het allemaal om machine to machine communicatie. Alle apparaten zijn voorzien van een IP-adres en sturen en ontvangen via internet berichten van en naar andere met internet verbonden apparaten.

Alles en meer The internet of everything gaat een duidelijke stap verder. Want dan hebben we het over machine to machine plus machine to people communicatie. Anders gezegd: het gaat dan dus ook om machines die via internet berichten sturen aan mensen. Waarbij die mensen natuurlijk ook weer berichten terug gaan sturen of zelf het intitiatief nemen

40


tot een communicatiesessie. Bovendien rekent Cisco ook people to people communicatie tot het internet of everything. In feite dus een volledige vermenging van communicatie tussen mens en mens, mens en machine, en machine en machine. Dat levert enorme kansen op, maar zeker ook niet te onderschatten uitdagingen. De eerste is natuurlijk de massaliteit. We hebben het – letterlijk – over vele tientallen, zo niet honderden miljarden apparaten en – vooral - apparaatjes. Want we hebben het natuurlijk niet alleen maar over de spreekwoordelijke koelkast-met-internetverbinding, maar ook over miniscule sensoren die de toestand van een machineonderdeel of een pacemaker doorsturen.

Vijf kenmerken Hierbij is het belangrijk om te beseffen dat vijf kenmerken the internet of everything definiëren:

Uitdagingen

• Uniek internet-adres: ieder aangesloten apparaat beschikt over een eigen uniek internet-adres dat gebruikt kan worden om dit object of device te identificeren, zodat deze met andere apparaten kan communiceren. • Unieke locatie: een unieke locatie kan zowel een vaste locatie als een mobiele locatie zijn, maar belangrijk is dat er een unieke locatie voor ieder apparaat bekend is binnen het netwerk waarin dit device of object is opgenomen. • Er is sprake van door het aangesloten apparaat of device gegenereerde of verwerkte informatie: de hoeveelheid informatie waar we het hier over hebben, zal de door mensen voorgebrachte informatie al snel gaan overstijgen. • Complexe nieuwe voorzieningen voor security, analytics en beheer: nieuwe applicaties en systemen die in staat zijn gegevens te verwerken zullen het

mogelijk maken om netwerken van met elkaar verbonden apparaten te formeren. • Tijd en locatie worden steeds belangrijker: alleen al vanwege de enorme hoeveelheden data die verzameld kan worden, is het van cruciaal belang dat deze data gekoppeld kan worden aan het juiste moment en de juiste plek. Lukt dat, dan zijn ongekende verbeteringen mogelijk in vrijwel ieder proces en ieder apparaat of systeem. Het zal echter niemand verbazen dat dit internet of everything ook een zeer interessant doelwit voor aanvallen oplevert. Dat gebeurt nu al en dat zal in de toekomst alleen maar erger worden. Het is dus van cruciaal belang dat security zeer veel aandacht krijgt, maar dan wel zo dat daarmee het internet of everything ook weer niet onbruikbaar wordt. Binnen Cisco wordt hier hard over nagedacht en vindt ook al veel productontwikkeling plaats.

De uitdaging rond deze apparaten zijn groot. Denk aan: • moet klein en goedkoop zijn • niet of nauwelijks sprake van fysieke security • dient ‘in het veld’ autonoom te functioneren • moet geïnstalleerd kunnen worden voordat het netwerk beschikbaar is • moet na installatie remote beheerd kunnen worden • het apparaat is wellicht niet in staat te werken met traditionele security-algoritmen Het enorme aantal apparaten en de ongekende variatie in soort en type stelt nogal wat eisen aan de multi-service edge van de internet of everything-architectuur. Deze ‘multi-service edge’ omvat die delen van het netwerk waar de communicatie met de endpoint devices plaats vindt. Hier zal support moeten bestaan voor een reeks van protocollen en technieken, zowel draadloos als vast, als Zigbee, IEEE 802.11, 3G en 4G. De veelheid aan protocollen die hier een rol speelt, stelt extra eisen omdat lang niet ieder protocol (voldoende) aandacht heeft voor security. In dat geval zullen ‘van huis uit’ onbeschermde endpoints via security services

Op deze manier kan het internet of everything beschermd worden tegen een veelheid aan aanvalsmethoden. Denk aan Denial of Service, Man in the Middle, Component and Endpoint Exploitation, spoofing en Confidentiality Compromises. De beste tegenmaatregelen hier zijn redelijk vergelijkbaar met het ‘gewone’ internet: krachtige encryptie, het gebruik van goed gedefinieerde en vast te stellen identiteiten en rechtenschema’s, maar ook met kennis van zaken opgestelde policies die access control regelen.

Beperkte resources Dé grote uitdaging van het internet of everything zit ‘m in het feit dat een uitgebreide security-architectuur moet worden geïmplementeerd op een platform dat bijna per definitie slechts over zeer beperkte resources beschikt. Meer specifiek zal gezorgd moeten worden dat: • veilige authenticatie mogelijk is op meerdere netwerken • data beschikbaar is voor endpoint devices • toegang tot data geprioriteerd kan worden • privacy kan worden gewaarborgd • krachtig authenticatie en gegevensbescherming niet gvecompromiteerd kunnen worden • de service en de data beschikbaar zijn en blijven Ten slotte nog een laatste punt dat om aandacht vraagt. Stel dat een industrieel proces afhankelijk is van een continue stroom van temperatuurmetingen. De sensoren die deze waarde vaststellen en doorsturen, kunnen via een DoS-aanval onbereikbaar worden. De software die de meetwaarden van deze sensoren verzamelt, zal in staat moeten zijn om te herkennen dat op het moment dat de sensoren geen data meer doorsturen er sprake is van een incident dat een bepaalde reactie moet uitlokken. Er zal dan een ‘safe shutdown’ moeten worden gestart. Gebeurt dit niet, dan kan een ingrijpend industrieel ongeluk plaatsvinden. Security op zich is dus nie voldoende, er zal bovendien de nodige intelligentie toegevoegd moeten worden, zodat de reactie op een security-incident eveneens zoveel mogelijk geautomatieerd kan worden. CloudWorks - nr. 6 / 2013

41

Security Vier redenen om het beheer van bestandsuitwisseling te verbeteren

door Matt F. Hamburg Het is voor elke organisatie noodzakelijk het proces van bestandsuitwisseling veilig en betrouwbaar te beheren, te besturen en te automatiseren. Een ongecoördineerde aanpak brengt immers de beveiliging en beschikbaarheid van kritieke gegevens in gevaar. Een file exchange strategy bestaat uit meerdere componenten. De meeste organisaties krijgen te maken met uitdagingen van person-to-person bestandsuitwisseling. Daarnaast zien we dat B2B, system-tosystem en system-to-person bestandsuitwisseling belangrijker wordt en we steeds vaker te maken krijgen met veiligheidsproblemen.

De traditionele tools en processen voor bestandsuitwisseling zorgen niet voor de noodzakelijke mate van controle over de inhoud en de toegang. Het gevolg is een veel hogere kans op data-inbreuk, een inefficiënte of langzame data-uitwisseling en verminderde productiviteit van werknemers.

Snelheid, betrouwbaarheid, kosten De meeste organisaties maken tegenwoordig gebruik van onder andere e-mail, FTP, scripting, cloud-based document repositories, SharePoint, Dropbox, USB-sticks en webmail om bestanden te verzenden. Dat kan een aantal problemen met zich meebrengen: • gebrek aan controle over de verzonden bestanden; • gebrek aan rapportagemogelijkheden; • geen inzicht in het overdrachtsproces; • het is onmogelijk toegang of toestemming af te dwingen over de inhoud. Om deze problemen te overwinnen, moeten organisaties: • IT-, beveiligings- en compliance-beleid binnen de hele organisatie en voor elke soort filetransfer uitvoeren; • data-overdrachtsprocessen en workflows automatiseren om zo de efficiency te verbeteren; • oude en onveilige scripts vervangen die kunnen leiden tot schendingen van het beleid; • eenvoudige person-to-person bestandsoverdracht mogelijk maken.

42


Organisaties hebben een beheersbare oplossing nodig voor bestandsoverdracht, die de problemen met de huidige processen en workflows de baas is. Een oplossing die organisaties in staat stelt de uitwisseling van bestanden en gegevens te beheren en te regelen. Een dergelijke oplossing moet: • volledige administratieve controle bieden over hoe en waar de inhoud wordt verzonden; • weten wie toegangsrechten heeft tot de verzonden bestanden; • de bestanden volledig en gedurende de gehele levenscyclus versleutelen; • de mogelijkheid bieden risico’s te verminderen; • de kosten van bestandsoverdracht zo laag mogelijk houden. De overdracht van bestanden tussen systemen en applicaties achter de firewall van het bedrijf, tussen de interne systemen en die van zakelijke partners of gebruikers, is een essentieel onderdeel van de communicatiestroom van elke organisatie. Aangezien het overgrote deel

van de bits die door bedrijfsnetwerken stroomt afkomstig is van bestanden, zijn er vier redenen waarom alle organisaties hun bestandsoverdracht op de juiste wijze moeten beheren:

1. Om de corporate governance te verbeteren De corporate governance van de informatieoverdracht is absoluut essentieel en wordt steeds belangrijker door verscherpt toezicht van de overheid. Wettelijke en andere eisen, zoals HIPAA, SarbanesOxley, PCI DSS, Bazel II en de GrammLeach-Bliley Act, vereisen dat organisaties hun informatieoverdracht goed beheren. Een deugdelijk proces van gegevensoverdracht moet voldoen aan de volgende specifieke eisen: • Administratieve controle, zodat IT of een andere bedrijfsafdeling de informatiestroom in een bedrijf kan beheren. • Compliance auditing en rapportage, zodat de informatie wordt verzonden in overeenstemming met het bedrijfsbeleid en wettelijke vereisten. • Inzicht in bestandsoverdracht, zodat, zoals eerder genoemd, de overdracht van bestanden zolang ze bestaan, kan worden gevolgd en gecontroleerd. • Zeer veilige processen van bestandsoverdracht om de kans op een datainbreuk te minimaliseren en controle en toegankelijkheid van de gegevens zo lang mogelijk uitvoerbaar te maken. In principe gaat corporate governance over het verminderen van bedrijfsrisico’s. Elk systeem om bestanden te verzenden moet het risico van inbreuk op data, of andere problemen zo veel mogelijk minimaliseren.

2. Om zakelijke processen en workflows te verbeteren Een andere belangrijke reden om een veilige beheerde oplossing voor bestandsoverdracht te implementeren, is het verbeteren van het beheer en de efficiëntie van workflowprocessen voor dataoverdracht. Met een krachtig beheerde oplossing voor bestandsoverdracht, kunnen complexe, onveilige en moeilijk te onderhouden scripting processen worden vervangen. Deze stap maakt het mogelijk workflows in een organisatie te automatiseren, zodat ze betrouwbaarder worden. Hierdoor verbeteren de compliance en governance-mogelijkheden via deze werkprocessen.. Bovendien kan een robuuste MFT (Managed File Transfer)oplossing de productiviteit verhogen door: • het automatiseren van handmatige en arbeidsintensieve processen; • vereenvoudigde creatie van complexe, omvangrijke en logische workflows; • het uitvoeren van schema-, gebeurtenisof vraaggestuurde processen; • integratie met bijlagen, scripts en applicaties van derden om workflows te controleren.

3. Om alle soorten bestanden en alle data-overdracht op een veilige, betrouwbare en gegarandeerde manier af te leveren Een passend beheer van de bestandsoverdracht tussen applicaties of individuen is essentieel om belangrijke informatie veilig en betrouwbaar over te brengen. MFT dwingt een organisatie een consistent beleid te voeren op het

gebied van IT, beveiliging en compliance. Ook biedt het rapportage- en analysemogelijkheden voor het meten van prestaties om zo te zorgen dat aan SLA’s (Service Level Agreements) wordt voldaan. Tevens maakt MFT businessto-business, multiprotocol verbindingen mogelijk. Zonder MFT: • is de inhoud in de meeste gevallen niet gecodeerd; • is er geen bewijs dat de inhoud daadwerkelijk is ontvangen; • kan de inhoud niet worden gevolgd nadat deze is verzonden; • is er geen controle over de tijd dat de verzonden inhoud toegankelijk is; • kunnen toegangsrechten niet worden vastgesteld voor de inhoud die wordt verzonden; • is er geen audit trail voor de levering van informatie. Kortom, zonder een deugdelijk file transfer-mechanisme is er weinig controle over of inzicht in het verzendproces van bestanden.

De gevolgen van het gebruik van e-mail als systeem om bestanden uit te wisselen, zijn divers en bestaan onder andere uit: • hogere IT-kosten om aan de snel groeiende eisen van dataopslag te voldoen; • verloren tijd om mailboxen te legen om onder de dataquota te blijven; • langzamere aflevering van berichten; • gestegen downtime van de e-mailserver; • meer nachtelijke back-ups; • meer benodigde tijd om een gecrashte e-mailserver te herstellen.

MOVEit Een goed file transfer systeem, waarin een e-mail client plug-in, of een interface ‘in the cloud’ geïntegreerd is, zal leiden tot een snellere aflevering van e-mails, een grotere betrouwbaarheid van de emailserver en lagere opslagkosten. Speciaal voor ICT-afdelingen van overheden en bedrijven biedt SCOS Software te Hoofddorp een geïntegreerde veilige filesharing-oplossing voor bedrijven aan: MOVEit DMZ en MOVEit Central.

4. Om e-mailsystemen te ontlasten Een andere belangrijke reden om een goed beheerde bestandsoverdrachtoplossing te implementeren, is het verlichten van de enorme belasting op e-mailsystemen. Tegenwoordig wordt voor het verzenden van bestanden tussen personen onderling meestal e-mail gebruikt. Het resultaat is dat meer dan 95% van de bits in e-mail systemen uit meegestuurde bestanden bestaat en niet uit e-mailberichten zelf.

Matt F. Hamburg is manager Business Development bij SCOS Software bv


43

Security Opleidingsinstituut TSTC:

Security start bij mensen

gewenste kennis. Daarmee wordt een voor de security-sector belangrijke uitdaging zichtbaar: het samenbrengen van de wereld van de technische (security) specialist en van de meer tactisch/ strategische business georiënteerde security manager of CISO. Opmerkelijk hierin is de ontwikkeling van de door TSTC oorspronkelijk voor systeem- en netwerkbeheerders geadopteerde Certified Ethical Hacker-training. In een willekeurige planning in 2013 zitten de IT security manager, penetratietester, applicatiebeheerder en IT auditor zij-aan-zij om een week lang te leren tegen wie zij daadwerkelijk gezamenlijk ten strijde trekken. Gedurende een week cursus blijkt hoe ver de beleving van het ene vakgebied soms afstaat van het andere en welke vooroordelen er leven over de diverse functies – ‘Onze security manager weet niet waar hij over praat, hij snapt niks van techniek’ tot ‘Security heeft maar weinig met techniek te maken, als er maar een gedegen beleid aanwezig is.’

gelegenheid op een uitdagender niveau te trainen met ruimte voor interactie, cases en hands-on laboefening. Bijkomend voordeel is dat er in veel gevallen direct aansluitend op de training examen kan worden gedaan wat de kans van slagen aanzienlijk blijkt te vergroten. De groepsgrootte blijft beperkt tot maximaal tien cursisten.

Aan het eind van de week groeit het eenduidige besef dat security door de zwakste schakel in de organisatie wordt beïnvloed en dat er dus, zowel beleidsmatig als technisch, werk aan de winkel is om alle neuzen de juiste kant op te krijgen.

De enige sector die wat achterblijft is het Midden- en Kleinbedrijf. Security blijft daar nog vaak beperkt tot een virusscanner en een firewall. Training wordt veelal als te kostbaar beschouwd en krijgt weinig prioriteit. Dit terwijl de gevolgen van een security-incident in verband met beperkte reserves en uitwijkmogelijkheden voor het MKB soms groter zijn dan voor grotere organisaties. Dit werd pijnlijk zichtbaar bij de recente cyberaanvallen op iDeal die volgens branchevereniging thuiswinkel.org webwinkeliers tientallen miljoenen omzetverlies toebrachten. Training lost uiteraard niet alles op, maar vergroot het bewustzijn van de noodzaak om risico’s in kaart te brengen en security een dagelijks onderdeel van de business te laten zijn. Uit veel praktijkgevallen blijkt dat het niet de zogenaamde ‘Advanced Persistent Threats’ zijn waar kleine organisaties zich tegen moeten wapenen maar met name relatief goed te voorkomen aanvallen die gebruik maken van bijvoorbeeld SQL injection of Cross-Site Scripting. Trainingen zijn daarbij een logisch middel om het kennis- en bewustzijnsniveau te vergroten en de juiste acties te ondernemen om een organisatie hiertegen te beveiligen.

Nooit uitgeleerd TSTC kent een groot aantal terugkerende cursisten. Het opdoen van nieuwe security kennis en het behalen van nieuwe certificeringen blijkt voor veel deelnemers een periodiek karakter te hebben. Bij de ene cursist komt dit voort uit gezonde, persoonlijke ambitie, bij de ander heeft het te maken met de eisen die certificerende instanties als ISC2 (CISSP) en ISACA (CISA, CISM, CRISC) stellen omtrent ‘Continuing Education’ om de behaalde security certificering te behouden. De kritische succesfactoren blijven volgens de TSTC kwaliteit en een heldere eigen filosofie. In lastige economische tijden trachten steeds meer ‘massa opleiders’ en nieuwe toetreders een graantje van de groeiende security opleidingsmarkt mee te pikken.

door Roderick Commerell In de Maslow-pyramide staat de behoefte aan veiligheid en zekerheid net boven die van eten, drinken en slaap. Nog voordat we bemind en gerespecteerd willen worden, is er de behoefte aan een gevoel van veiligheid. Wellicht verklaart dit de explosieve groei in vraag naar - en dus ook aanbod van - security-oplossingen. Security start echter bij mensen en dus is goed opleiden van cruciaal belang. Waar de media ons confronteren met de ene na de andere geslaagde cyberaanval, is er een bloeiende security-industrie ontstaan die allerhande antwoorden biedt om het gevoel van ongehagen weg te nemen. Opleidingsinstituut TSTC (voluit: Tshukudu Technology College) constateerde deze ontwikkeling al in een vroeg stadium en legt onder het motto ‘Security start bij mensen’ door middel van kwaliteitstraining de nadruk op de individuele mens. Zij zijn immers de essentiële schakel in zowel de succesvolle implementatie en het beheer van technische security oplossingen als in de planning, uitvoer en naleving van security beleid. Kennis maakt het verschil tussen achter de feiten aanlopen en met alle winden meewaaien of weten wat men doet en proactief voorbereid zijn op een incident.

de verschillende leveranciers vaak door marketing doorspekte eigen certificeringstrajecten aanboden, besloot TSTC als één van Europa’s eerste opleiders te starten met de toen nog relatief onbekende titel ‘Certified Ethical Hacker’ (CEH). Het idee hierachter was om de MCSE’ers en CCNA’ers uit die tijd een training te bieden waarin zij konden ervaren hoe gemakkelijk hackers misbruik kunnen maken van hun werk en hoe zij hun IT-omgeving zelf kunnen testen op kwetsbare plekken.

Strategische keus

Na de introductie van CEH breidde TSTC het portfolio stapsgewijs uit tot een organisatiebreed cursusprogramma op het gebied van security van inmiddels ruim dertig titels als CISSP, CISA, ISO 27005: Certified Risk Manager, Computer Hacking Forensic Investigator en Introductie SCADA beveiliging.

TSTC maakte in 2006 de strategische beslissing om naast trainingen rond ICT-beheer (Microsoft, Linux, Cisco) ook een vendoronafhankelijk programma securitytrainingen uit te rollen. Waar

Met het meer volwassen worden van de markt constateren wij een steeds grotere differentiatie in functies en de bijbehorende

44


Om deze concurrentie voor te blijven, steekt TSTC als specialist veel tijd in de ontwikkeling en uitrol van nieuwe trainingen en het monitoren van bestaande titels. De kwaliteit van de trainer bepaalt in de kern de kwaliteit van een training en daarbij de meerwaarde van klassikale bijeenkomsten boven het goedkopere alternatief van zelfstudie. Docenten worden geselecteerd aan de hand van drie pijlers: actuele praktijkervaring, didactische vaardigheden en kennis van certificeringseisen. Daarnaast beschikt de opleider over gekwalificeerd personeel dat cursisten kan adviseren bij hun persoonlijke ontwikkeling op lange termijn en hen helpt bij het uitstippelen van logische opleidingstrajecten. Een bekend issue bij klassikaal opleiden is het niveauverschil tussen cursisten onderling dat resulteert in een relatief laag niveau van kennisoverdracht om de hele groep ‘erbij te kunnen houden’. Om dit te voorkomen en de trainingen compact aan te bieden (gemiddeld drie tot vijf dagen), start TSTC trainingen met een persoonlijk intakegesprek en een begeleide zelfstudieperiode voorafgaand aan de klassikale cursus. Niveauverschillen worden zo verkleind en trainers krijgen de

Brede markt De behoefte aan security kennis strekt zich volgens TSTC uit over zowel de publieke- als private sector. Binnen alle lagen van de overheid constateert de opleider een behoefte aan standaardisatie en normering wat de vraag naar relevante certificeringen vergroot. Ook van externen die actief zijn in de publieke sector wordt steeds meer verwacht dat zij beschikken over internationaal erkende security titels. De tijd van zomaar wat doen lijkt hiermee definitief achter ons te liggen.

Toekomst TSTC ziet kansen in meer specialistische, korte cursussen op specifieke security-terreinen. Veel cursisten die de meer generieke trainingen hebben afgerond en de bijbehorende bekende certificeringen hebben behaald, geven aan behoefte te hebben aan verdieping en praktijkoefening. Korte vervolgtrainingen onder leiding van praktijkexperts kunnen in deze behoefte voorzien. Te denken valt aan trainingen over het beveiligen van mobile devices, compliance issues van cloud computing, een verdieping in encryptie en het geavanceerd penetratietesten van webapplicaties. De markt voor de bestaande trainingen en certificeringen lijkt echter nog lang niet verzadigd. Veel bedrijven onderkennen pas sinds kort de kloof tussen aanwezige kennis en de bedreigingen van cybercriminaliteit voor het imago en de toekomst van de organisatie. Nu steeds meer onderkend wordt dat de ontwikkelaar, tester, beheerder, manager en eindgebruiker elk hun eigen minimale security niveau nodig hebben, ligt er nog een grote potentiële markt voor het opleiden. Roderick Commerell is account manager Opleidingen TSTC CloudWorks - nr. 6 / 2013

45

{

Softwareontwikkeling Trend Micro over Deep Discovery en het SIEM-platform van Kahuna

Albert Kramer, Technical Manager

Wij zorgen ervoor dat overal dezelfde beveiligingsregels gelden.

Continental Europe

Het wapen tegen gerichte aanvallen door Teus Molenaar Digicriminelen hebben het steeds vaker gemunt op heel specifieke gegevens van specifieke personen. De aanvallen vinden op hoog niveau plaats en firewall en Intrusion Prevention Systems hebben het nakijken. Deep Discovery van Trend Micro pakt ze wel aan. Dit product past goed in het Security Information en Event Management (SIEM)-platform van Kahuna.

Voor dit type bedreigingen heeft Trend Micro vorig jaar Deep Discovery op de markt gebracht. Prompt won dit product in maart van dit jaar de prijs voor het best product van het Britse tijdschrift Network Computing Magazine.

{

Het helpt niet om met black lists te werken.

46

Albert Kramer, Technical Manager Continental Europe, en Tonny Roelofs, Country Manager Nederland (beiden bij Trend Micro) vertellen dat de cyberaanvallen steeds slimmer en meer gericht zijn. Dergelijke aanvallen vormen een grote uitdaging voor overheid en bedrijfsleven. Zij zijn erop gericht zich ‘onder de radar’ binnen te dringen, systemen te infecteren via een zero daybeveiligingslek en liggen in het netwerk te wachten tot ze uiteindelijk worden ontdekt. Maar intussen verzamelen en versturen ze gevoelige informatie.


Opvallend gedrag en verkeer Het duo van Trend Micro vertelt hoe hun oplossing de cyberdieven te slim af is. “Het helpt niet om met black lists te werken. Enerzijds omdat die exploits nog niet bekend zijn bij de leveranciers en ze dus ook niet op black lists voorkomen; anderzijds omdat je tegenwoordig wel een supercomputer nodig hebt om alle exploits op te sporen. Dat werkt niet. Natuurlijk moet je een firewall en dergelijke in stand houden, maar er is een aanvulling nodig. Juist voor die stiekeme aanvallen. Wij analyseren het verkeer in het bedrijfsnetwerk. Het verkeer koppelen we aan het gedrag van de gebruikers.

Daaruit kun je afleiden of het al dan niet normaal is dat iemand bepaalde informatie naar buiten stuurt.” Ook whitelisting, dat alleen als goed bekend staande toepassingen toegang geeft tot het systeem, faalt bij zero-day aanvallen, omdat op dat moment immers niet bekend is dat die als ‘goed’ te boek staande toepassing toch een lek heeft. Deep Discovery, zo vertellen zij, kan zijn werk zo goed doen, omdat het wordt gevoed door het Smart Protection Network van Trend Micro. Deze cloudinfrastructuur van de beveiligingsspecialist speurt voortdurend internet af op zoek naar nieuwe bedreigingen. Daarbij spelen de drie V’s van big data een rol: volume, variety en velocity. Het gaat immers om grote hoeveelheden, een grote verscheidenheid en om snelheid. Hoe eerder malware wordt ontdekt, hoe beter.

dat daar de sandbox voor is uitgevonden; het speelterrein waar je verder niemand kwaad doet. “Als er een executable binnen komt, dan leiden we hem naar een gebied waar we eerst goed nagaan wat het bestand doet. Welke wegen hij wil afleggen, waar het zich wil nestelen, enz. Pas als we niets ongewoons merken, mag het bestand door naar het opgegeven adres in het netwerk. Dat gebeurt natuurlijk allemaal volledig automatisch. Dit alles om te voorkomen dat malware het bedrijfsnetwerk op komt.”

Flexibel datacenter Steeds meer bedrijven willen hun datacenter flexibel maken: open afschalen naar behoefte. Kramer en Roelofs

“Wij verzamelen enorm veel bedreigingsspecifieke data, gebruiken analysesoftware om te identificeren, correleren en de nieuwe bedreigingen te analyseren. Dit levert kennis op die we meteen kunnen inzetten voor al onze producten. Via onze cloud-infrastructuur updaten we onze producten op die manier voortdurend.”

Sandboxing Ondanks alle voorzorgen en de zucht naar actualiteit, kan het natuurlijk gebeuren dat een bestand nog niet als bedreigend te boek staat. Kramer vertelt

Tonny Roelofs, Country Manager Nederland

vertellen dat ‘de cloud’ hier een oplossing biedt. “Geautomatiseerde systemen zijn in toenemende mate hybride: een deel on premise en een deel in de cloud, bij een hostingbedrijf. In het eigen datacenter zit alles veilig achter de firewall en andere beveiligingsmaatregelen. Maar wat gebeurt er als een server ineens naar de de cloudprovider gaat. Dan verhuist de server, inclusief alle data, naar een heel ander beveiligingsdomein; dan valt alle beveiliging die je in eigen huis hebt, weg. Daarom moet je een host dusdanig beveiligen dat het niet uitmaakt waar de data staat. Security is nodig onafhankelijk van waar gegevens staan opgeslagen. Daarvoor hebben we Deep Security in het leven geroepen.”

Voor de ontwikkeling van dit product werkt Trend Micro nauw samen met onder meer VMware om ook virtuele servers die bescherming te kunnen bieden die ze nodig hebben. Deep Security is een centraal beheerd platform om beveiligingsactiviteiten te vereenvoudigen en regelgeving te kunnen naleven. Vooral voor virtualiserings- en cloud-projecten. “Wij zorgen ervoor dat overal, ook in jouw cloud-omgeving, dezelfde beveiligingsregels gelden en worden toegepast. Het mooie is dat al onze producten op één beheerplatform draaien, zodat de beheerkosten binnen de perken blijven. Ook past het goed in de structuur die Kahuna biedt; alle gegevens uit onze systemen, zijn terug te vinden in de overzichtelijk rapportages van Kahuna.”

Veel geïnvesteerd Zoals Gartner onlangs in zijn rapport ‘Market Share Analysis: Security Software, Worldwide, 2012’, al aangaf, heeft Trend Micro het afgelopen jaar heel veel geïnvesteerd in de optimalisering van zijn beveiligingsproducten. “Het bedrijf heeft in 2012 veel geld gestoken in versnelling van verbreding van het portfolio”, meldt Gartner. “Vooral op het gebied van beveiliging van het cloud- en virtualisatieplatform. En met zijn producten voor ‘advanced threat protection’ (ATP).” Uit het rapport blijkt overigens dat wereldwijd de totale uitgave aan beveiligingsproducten is gestegen tot 19,2 miljard dollar; een stijging met 7,9 procent ten opzichte van het voorgaande jaar. Nu Trend Micro zijn portfolio duchtig heeft opgefrist en aangepast aan de hybride omgevingen van tegenwoordig, gaat het bedrijf vol vertrouwen de markt op. “Dat doen we onder meer samen met Amazon, Cisco, en Citrix. CloudWorks - nr. 6 / 2013

47

Security Visie Sophos op moderne en effectieve security

IT én medewerkers samen verantwoordelijk voor IT-beveiliging

Vol overgave storten veel organisaties zich op nieuwe technologie, zoals mobile computing, cloud computing en sociale media. De mogelijkheden zijn legio, maar de risico’s helaas ook. Criminelen zoeken de kwetsbaarheden op en het is heus niet alleen aan de IT-afdeling om misbruik te voorkomen. Een grote verantwoordelijkheid ligt bij medewerkers zelf.

De verwachtingen van de medewerkers in combinatie met een forse toename van het aantal cyberaanvallen, vereisen een nieuwe benadering. De tijd is voorbij dat organisaties de verantwoordelijkheid voor de beveiliging volledig bij de IT-afdeling konden neerleggen. Veel organisaties gebruiken firewalls, virusscanners, spam-, phishingen rootkitfilters. Deze tools zijn weliswaar IT-gerelateerd, maar de

En vergeet de gevaren van mobiele malware niet, schadelijke software om processen te verstoren en/of toegang te krijgen tot gevoelige informatie of computersystemen. Mobiele malware is aan een enorme opmars bezig en zelfs voor kenners vaak moeilijk te herkennen vanwege de slinkse wijze waarop deze verpakt wordt, bijvoorbeeld als onschuldig ogende app.

problemen die ze moeten voorkomen zijn voornamelijk businessgerelateerd. Het is daarom van groot belang dat business- en ITmanagement gezamenlijk de verantwoordelijkheid nemen voor het beveiligingsbeleid.

Risicomanagement Risicomanagement is daarbij de eerste noodzakelijke stap. Het is vanuit zowel praktische als kostentechnische overwegingen vrijwel ondoenlijk om alles 100% te beveiligen. En dat is ook niet nodig: niet alle data zijn zo waardevol dat daarop het allerhoogste niveau van beveiliging moet worden losgelaten. Daarom moet eerst worden vastgesteld welke informatie, kennis, databases en patenten de core assets van de onderneming vormen en dus beschermd moeten worden. Daarna dienen de risico’s in kaart te worden gebracht en op basis van deze analyse kan vervolgens een overkoepelend beveiligingsbeleid ontwikkeld worden. Pas dan volgt de invulling van het beleid met concrete tools.

Centralisatie en integratie Gezien de vele nieuwe technologische ontwikkelingen en bijbehorende risico’s, volstaat het niet om een nieuwe tool aan te schaffen voor elk gevaar dat opdoemt. Dat leidt tot een onoverzichtelijk woud van toepassingen die met elkaar conflicteren of slechts gedeeltelijk op elkaar aansluiten. De huidige trends vragen om een holistische visie en een gecentraliseerd, geïntegreerd beveiligingssysteem dat alle onderdelen van het IT-landschap omvat, inclusief sociale media, mobiele apparaten en cloud services. Een systeem dat beveiliging automatisch regelt en zodanig afdwingt dat gebruikers er geen last van hebben.

48


Mobile computing IT-beheerders weten zich vaak geen raad met ontwikkelingen met mobile computing en ‘consumerisation of IT’. Medewerkers kunnen bedrijfskritische informatie en applicaties altijd, overal en vanaf elk mobiel apparaat benaderen. Zonder gedegen wachtwoordbeveiliging kan verlies of diefstal van het apparaat echter grote risico’s met zich meebrengen.

door de redactie

In het verleden probeerden IT-afdelingen de gevaren buiten de deur te houden door de toegang tot bedrijfsinformatie van buitenaf volledig te blokkeren. Deze benadering is nu niet meer houdbaar. Medewerkers verwachten dat ze anytime, anywhere, anyplace kunnen werken en toegang hebben tot alle benodigde informatie.

Het succes van het beveiligingsbeleid staat of valt bovendien met inzicht en discipline bij gebruikers. Ook op dat gebied valt nog de nodige winst te behalen, toont onderzoek van leverancier van beveiligingssoftware Sophos. Daaruit blijkt dat 48% van de ondervraagde IT-professionals minstens eenmaal per week beveiligingszaken moet herstellen vanwege onoplettendheid van eindgebruikers.

Ander onderzoek van Sophos toont dat van 500 ondervraagde smartphonebezitters maar liefst 33% geen wachtwoord had ingesteld. 13% gaf ook nog eens toe hun smartphone eens of vaker te zijn kwijtgeraakt. Het meest doeltreffende recept voor de beveiliging van mobiele apparatuur telt vier ingrediënten: moeilijk te kraken wachtwoorden, data encryptie, patching en gebruikerseducatie. De mogelijkheid om mobiele apparaten centraal te beheren en op afstand te lokaliseren, te blokkeren en te wissen, is essentieel.

Sociale media Een andere uitdaging voor de IT-afdeling vormen sociale media. Deze bieden cybercriminelen legio mogelijkheden om organisaties aan te vallen. Door zwakke wachtwoorden kunnen accounts gemakkelijk worden gekaapt. Gebruikers van sociale media moeten zich bewust worden van het belang van sterke wachtwoorden die moeilijk te kraken zijn. Daarnaast ligt er een taak om gebruikers te attenderen op de gevaren die het klikken op links en advertenties en het downloaden van apps met zich meebrengen.

Criminele netwerken Cybercriminelen maken dankbaar gebruik van de beveiligingslekken die vaak ontstaan bij de opkomst van nieuwe technologie. Ze gaan daarbij steeds professioneler te werk. We hebben te maken met internationale, commerciële criminele netwerken die innovatieve tools ontwikkelen en wereldwijd verspreiden. Inmiddels is een derde van alle malware voor 700 tot 2000 dollar online te koop. We zullen de komende jaren dan ook een grote toename zien van uiterst geavanceerde aanvallen. Het is daarom van cruciaal belang dat organisaties zich van alle gevaren bewust zijn en preventieve maatregelen nemen.

Handen ineenslaan Om de cyberrisico’s het hoofd te bieden, moeten IT en business dus de handen ineenslaan. Een reële inschatting van de risico’s, het optuigen van een gecentraliseerde beveiligingssysteem en bewustwording bij de medewerkers zijn daarbij de kernpunten.

Cloud computing Ook cloud computing stelt IT-afdelingen voor grote uitdagingen. Het kan belangrijke voordelen opleveren, zoals schaalbaarheid, flexibiliteit en besparing, maar er kleven enkele belangrijke risico’s aan. Een van de privacyaspecten heeft te maken met de Amerikaanse Patriot Act. Veel Europese klanten van Amerikaanse cloudleveranciers beseffen niet dat hun data kunnen worden opgevraagd door de autoriteiten in de VS, als deze daartoe aanleiding zien. Dat geldt zelfs als de gegevens zijn opgeslagen op systemen die zich fysiek in de EU bevinden. Daarnaast is ook beveiliging cruciaal bij cloud computing. Er zijn spraakmakende voorbeelden waarbij clouddiensten ten prooi vielen aan hackers. Een dataopslagservice als Dropbox, die binnen veel bedrijven al ’common practice’ is, kan een potentieel gevaar vormen. Belangrijke advies is om data die in de cloud worden opgeslagen, automatisch te versleutelen. Hierdoor ligt de verantwoordelijkheid voor encryptie niet bij individuele gebruikers. Zorg wel dat de sleutels voor en- en decryptie binnen de organisatie blijven. CloudWorks - nr. 6 / 2013

49

Nieuws

Nieuws van DHPA Hostingbranche groeit Het gaat goed met de hostingbranche en met de DHPA. Ondanks de berichten over de crisis groeit de Nederlandse online sector stevig door. In een recent internationaal onderzoek over de datacentersector bleek Nederland voor de tweede keer op rij de sterkste groeier in co-locatie. Er is groeiende aandacht voor de economische rol en betekenis van de hostingsector, de samenwerking met het onderwijs, het borgen van vertrouwen en de bestrijding van cybercrime. De DHPA telt nu 31 deelnemers en 22 zakelijke partners en wordt steeds vaker betrokken bij initiatieven in Nederland rond de diverse online beleidsthema’s.

DHPA bij Europadag op ministerie van Economische Zaken, Landbouw en Innovatie Begin mei nam de DHPA deel aan Europadag, georganiseerd door het ministerie van Economische Zaken, Landbouw en Innovatie en ECP | Platform voor InformatieSamenleving. Minister Kamp en EU-commissaris Kroes spraken over het belang van de digitale economie en digitale infrastructuur voor Nederland en Europa. Zij stonden beiden uitvoerig stil bij het belang van een degelijke internetinfrastructuur en de sterke positie van Nederland op het gebied van connectiviteit, datacenters en hosting. Minister Kamp noemde met name de rol en uitgangspositie van de online infrasector voor de Europese e-commerce en e-payments. Ook kwamen cybersecurity, ICT-onderwijs en de arbeidsmarkt aan bod.

DHPA-onderzoek De DHPA is momenteel volop bezig met de uitvoering van zijn jaarlijkse onderzoek naar de macro-economische rol en betekenis van de internet-infrastructuursector. Dat gebeurt in samenwerking met AMS-IX, ECP | Platform voor InformatieSamenleving en de Rabobank. Als metafoor is gekozen voor Schiphol en de Rotterdamse haven als hubs van fysiek transport.

Onderzoeksvraag is wat het effect is van de aanwezigheid van een sterke online infrastructuursector voor Nederland en Europa? Het daadwerkelijke onderzoek vindt plaats rond de zomer en het de DHPA presenteert het aan de minister van EL&I op het ECPjaarcongres in november 2013.

NFIA-rapport: ‘Strategisch aanvalsplan Digital gateway to Europe’ Onlangs nam de DHPA deel aan een bijeenkomst van het NFIA (Netherlands Foreign Investment Agency). Aanwezig waren vertegenwoordigers en directieleden van onder meer het ministerie van EL&I, VNO-NCW, CIO platform, Nederland ICT, Cap Gemini, IBM, AMS-IX, Stedenlink, SURFsara en anderen. Zij spraken over het initiatief Digital Gateway to Europe dat is gericht op het aantrekken, vasthouden en uitbouwen van buitenlandse ICT-investeringen in Nederland. In eerste aanzet en naar aanleiding van de discussie lijkt de keuze te vallen op de focusgebieden cloud computing / datacenters, gaming en cyber security.

Handleiding en flowchart NTD in samenwerking met ICTrecht Naar aanleiding van de recente discussie over de Notice to Takedowns (NTD) en input van onder meer Bits of Freedom is door ICTrecht en de DHPA een handleiding gemaakt voor toepassing van de NTD voor servicedesks. De handleiding is voorzien van een bijbehorende flowchart en is te vinden op de DHPA-website in de sectie ‘Notice en takedown’. De rol van de NTD wordt steeds belangrijker. Zo wordt de NTD specifiek in de nieuwe cyber security-richtlijnen genoemd. Het is dus zaak deze procedure correct toe te passen en deze heldere documentatie en instructie kan daar zeker bij helpen.

Belangrijke data: 5 september 2013 Derde DHPA-deelnemersbijeenkomst en -jaarvergadering 14 november 2013 ECP Jaarcongres met presentatie van DHPA-onderzoek 28 november 2013 Vierde DHPA-deelnemersbijeenkomst Meer informatie op www.dhpa.nl

Van 1 tot 100 m2 Gegarandeerd klaar voor de cloud! www.profitbox.nl 50



51

Nieuws

Nieuws

van EuroCloud

Cloud computing scoort The Cloud ontwikkelt zich verder, net als EuroCloud. In de afgelopen drie jaar heeft cloud computing voet aan de grond gekregen in Europa. De enorme kansen en mogelijkheden die het brengt voor het bedrijfsleven en de samenleving worden op de Europese markten meer en meer onderkend. De overgang van cloud computing van hype naar echte business is in volle gang, samen met de aanpassing van het wettelijk kader door overheidsinstanties op Europees niveau. De sterke groei van het EuroCloudnetwerk werd zeker gesteund door deze trend, terwijl ook het netwerk van EuroCloud zelf daar sterk aan heeft bijgedragen door een leidende rol te spelen in de bewustwording en het vertrouwen van klanten in cloud computing. EuroCloud zal dit beslist blijven doen, omdat wij vinden dat dit de grootste meerwaarde is die wij kunnen bieden aan de leden van onze sector en de gehele markt. Terwijl de mogelijkheden van cloud computing inmiddels worden onderkend, komt er een nieuwe golf van cloud-gebaseerde innovaties aan die de samenleving en het bedrijfsleven op bijna alle terreinen van leven en werken zullen veranderen. De recente verhuizing van het hoofdkwartier van EuroCloud van Parijs naar Luxemburg en de invoering van nieuwe statuten zetten de juiste condities voor onze verdere ontwikkeling. Onder het voorzitterschap van EuroCloud-oprichter Pierre-José Billotte en met de ondersteuning door de Board of Directors heeft EuroCloud zich in slechts drie jaar, vanuit haar primaire visie om Europa’s stem en gezicht voor cloud computing te zijn, ontwikkeld tot een organisatie met dekking in 31 landen en

52


met 21 operationele nationale entiteiten. Als erkenning voor deze prestatie werd PierreJosé Billotte unaniem verkozen tot honorair President van EuroCloud Europa op onze algemene vergadering in januari dit jaar. De sterke groei heeft ons nu op het punt gebracht waarop het de uitdaging is voor de nieuw verkozen Executive Board om de interne organisatie te versterken en de bereikte resultaten te consolideren en uit te breiden, en voor EuroCloud om nieuwe werkgebieden te betreden. De eerste maanden na de General Assembly in januari van dit jaar zijn voor de nieuwe Board extreem druk geweest. De eerste zichtbare resultaten zijn te zien in de vestiging van allianties op een wereldwijd niveau – met de Software & Information Industry Association (SIIA) in de US en het Chinese Institute of Electronics (CIE), wat heeft geleid tot het wederzijds bezoek van delegaties. Voorts is de verhuizing van EuroCloud naar Luxemburg voltooid, is het aanbod voor de nieuwe categorie van ondersteunende leden en sponsors ontwikkeld, en draagt EuroCloud bij aan de realisatie van de Europese cloud-strategie bij ETSI, ENISA en verschillende Special Interest Groups van de Europese Commissie, om maar wat te noemen. Er zullen genoeg onderwerpen en materiaal te communiceren zijn voor onze toekomstige nieuwsbrieven. We houden u op de hoogte over de geboekte voortgang. Door Bernd Becker, President EuroCloud Europe

Wilt u meedingen naar de Europese EuroCloud Awards? Stuur uw cases in voor de EuroCloud Nederland Awards Net als de afgelopen twee jaar reikt EuroCloud Nederland awards uit voor de beste business cases op het gebied van cloud computing. De winnaars zullen in de tweede helft van juni bekend worden gemaakt op de feestelijke Award-uitreiking. De winnaars dingen tevens mee naar de Europese EuroCloud Awards. Deze worden in het najaar uitgereikt tijdens de EuroCloud conference. Programma, plaats en tijd worden nog bekend gemaakt. Volg ons op @eurocloudnl om op de hoogte te blijven. Kijk voor meer informatie en voor inschrijving op onze website of stuur een mail naar [email protected].

Congres Trust & Security verplaatst naar september Onder leiding van bestuurslid Hans Timmerman heeft EuroCloud Nederland twee roundtables gehouden over ‘Trust & Security’. Op 22 mei wilden we de uitkomsten presenteren en met u bespreken. Die datum bleek zo vlak naar de vakanties en feestdagen wat minder geschikt. We komen met een nieuwe datum.

Meld u nu aan als partner of sponsor, en blijf op de hoogte!

EuroCloud Congress & Awards 2013 Zet maar vast in uw agenda: het jaarlijkse EuroCloud Congres en de uitreiking van de EuroCloud Awards 2013 vinden plaats in Luxemburg, op 15 en 16 oktober 2013. Dit jaar zal het evenement het grootste zijn tot dusverre, met topsprekers. een galadiner en een vol tweedaags programma over onderwerpen zoals strategieën, innovaties en overheidsbeleid. Potentiële sprekers, sponsors en deelnemers kunnen zich aanmelden op de speciale congreswebsite: www.eurocloudcongress.org

Frits Veltink (SaaSEnergy) namens EuroCloud Europa liaison met SIIA EuroCloud en SIIA (de Software & Information Industry Association) zijn een partnership aangegaan. Beide organisaties willen Europese SaaS en cloud providers helpen hun kennis van de US markt te helpen uitbreiden en andersom, Amerikaanse SaaS en Cloud providers op weg helpen op de Europese markt. Er zullen onder meer gezamenlijke werkgroepen worden opgezet om wereldwijde topics op het gebied van Trust, Security & Compliance en andere relevante onderwerpen te adresseren teneinde de internationale acceptatie van SaaS en cloud services te bevorderen. Frits Veltink, met zijn bedrijf SaaSEnergy partner van EuroCloud Nederland onderhoudt namens EuroCloud Europa de contacten met SIIA.

Met een aantal inspirerende bijeenkomsten in Nederland en andere landen, en een groeiende Europese organisatie met een vertegenwoordiging in meer dan 25 landen, is EuroCloud binnen twee jaar een belangrijk kennisnetwerk geworden op het gebied van cloud computing en Software as a Service (SaaS). Daarnaast biedt EuroCloud een uitstekend platform voor netwerken met zowel leveranciers als gebruikers van cloud computing. Naast een actief bestuur hebben inmiddels al meerdere bedrijven zich ingezet voor EuroCloud door een financiële bijdrage te geven of middelen beschikbaar te stellen. Heeft u vragen of – nog beter – wilt u zich aanmelden als (Junior) Partner, stuur dan een mail naar [email protected]. EuroCloud NL Theo Loth +31 87 87 65 65 6 [email protected] www.eurocloudnl.eu

www.eurocloudnl.eu CloudWorks - nr. 6 / 2013

53

Rubriek

Bent u veilig in de CLOUD?

The Legal door mr. Victor A. de Pous

Look

> Krijgt Nederland een eigen Patriot Act?

> Hoever gaat onze justitiële arm reiken?

De relatie tussen ICT en strafrecht getuigt van oudsher van spanning, waarbij telkens de vraag rijst of het bestaande materiële (welke strafbare feiten) en formele (bevoegdheden voor politie en justitie) recht voldoende is om nieuwe vormen van misbruik en maatschappelijk ongewenst gedrag aan te pakken. Met cloud computing is dat niet anders. Recent wezen onderzoekers terecht op een uiterst belangrijk gevolg. Het verwerken van informatie in de cloud leidt tot ‘verlies van locatie’ (ICT-ers wisten natuurlijk al dat het karakter van gegevensverwerking van statisch naar dynamisch wijzigt). Dat vormt voor een fundamentele uitdaging voor de territoriaal georiënteerde strafvordering.

Verdachten van het bezit en de handel in kinderpornografie of van terroristische activiteiten kunnen straks verplicht worden mee te werken aan het openen van versleutelde bestanden op hun computer. Dat betreft een ronduit forse breuk met de huidige praktijk omdat veel landen het rechtsbeginsel dat verdachten in principe niet verplicht kunnen worden mee te werken aan hun eigen veroordeling, hoog in het vaandel hebben staan. Juristen spreken van het nemo-tenetur-beginsel. Voor Opstelten ligt de rechtvaardiging verdachten tot medewerking te verplichten in de aard van het strafbare gedrag dat de geestelijke gezondheid en lichamelijke integriteit van slachtoffers ernstig kan aantasten. Ook redeneert hij dat een verdachte die zich zo heeft ingespannen om zijn activiteiten te verhullen, ‘rekening moet houden met de inzet van zwaardere middelen door de overheid om de burgers te beschermen’.

Volgens minster Opstelten (Veiligheid en Justitie) is bestaande wetgeving verouderd en biedt onvoldoende mogelijkheden om bijvoorbeeld versleuteling van gegevens ongedaan te maken, illegale acties op Internet aan te pakken of kinderpornografie online te bestrijden, zo blijkt uit een nieuw wetsvoorstel dat voor commentaar is rondgestuurd. De bewindsman wil politie en justitie op afstand, zelfs grensoverschrijdend, onderzoek laten doen in computers van criminelen en - indien nodig - gegevens overnemen of ontoegankelijk maken.

> Wat behelzen de nieuwe voorstellen? Het betreft het zogeheten ‘onderzoek in een geautomatiseerd werk’ dat opsporingsambtenaren ruimte geeft verschillende onderzoekshandelingen toe te passen bij opsporing van ernstige delicten. Daarbij gaat het niet alleen om (i) het ontoegankelijk maken of het overnemen van gegevens, zoals kinderpornografie of opgeslagen email-berichten met informatie over misdrijven, maar ook om (ii) het aftappen van communicatie of observatie. Een vergelijking met de omstreden Patriot Act dringt zich op, hoewel er wel ‘strikte waarborgen’ voor de toepassing van de nieuwe bevoegdheid gaan gelden, zoals een voorafgaande rechterlijke toetsing, certificering van de software die wordt gebruikt en de logging van gegevens.

54

Het decryptiebevel betekent een verregaande uitbreiding van de bevoegdheden van politie en justitie om toegang te krijgen tot afgeschermde gegevens, waarbij de bewindsman tegemoet komt aan de wens van Tweede Kamerleden en het opsporingsapparaat. De nadruk en rechtvaardiging van deze maatregel ligt kennelijk vooral in het domein kinderpornografie. Over terrorismebestrijding wordt nauwelijks gesproken. Andere tijden kunnen inderdaad om andere normen vragen. Dat geldt ook voor het onderzoek doen buiten de eigen landsgrenzen of het plaatsen van malware op systemen van anderen. Op afstand werken, aftappen, ‘terughacken’ en toegang tot versleutelde informatie getuigen op voorhand niet van onredelijkheid of disproportionaliteit, maar de omstandigheden in het concrete geval en de toetsing behoren wel de doorslag te geven. Voorzichtigheid is geboden.

SECURING THE CLOUD WITH VMWARE VSPHERE De cloud kan een enge plek zijn en met 80% van de cloud werkend op Vmware’s vSphere producten dient u klaar te zijn om die omgeving veilig te houden. Volgens een recent onderzoek van IBM, vindt 77% van de respondenten dat de cloud het beschermen van Privacy moeilijker maakt en 50% zorgen heeft over de inbreuk op de gegevensbeveiliging of dataverlies. TSTC levert een antwoord: Als u gebruikt maakt van VMware vSphere om de cloud te beheren, leert u bij ons wat u nodig heeft om de cloud veilig te houden (zowel private als public cloud). Onze gedetailleerde security aanbevelingen helpen u op weg om de meest veilige virtuele omgeving te ontwikkelen.

Met een unieke 100-procent-slagingsgarantie kan elke certificering worden behaald bij TSTC, zonder extra kosten voor eventueel benodigde herexamens of het opnieuw volgen van een training. We doen er alles aan onze cursisten uitvoerig op te leiden en te voorzien van de informatie die ze nodig hebben om in de praktijk een verschil te kunnen maken! Voor een totaal overzicht van alle TSTC trainingen kijk op www.TSTC.nl Wilt u graag persoonlijk contact met een van onze opleidingsadviseurs neem gerust contact met ons op: 0318 581 480

TSTC TRAININGEN:

Certified Ethica

l Hacker (CEH) Certified Securit y Licensed Penetra Analyst / tion Tester (ECSA - LPT) Certified Virtuali zation Security Expert (CVSE) Cloud Security Audit and Compliance

of the Year ATC

TSTC Plesmanstraat 62 3905 KZ VEENENDAAL

Mr.V.A. de Pous is bedrijfsjurist en industrie-analist. Hij houdt zich sinds 1983 bezig met de juridische aspecten van digitale technologie en informatiemaatschappij en is medewerker van uitgeverij FenceWorks.

CloudWorks - nr. 6 / 2013 Adv-TSTC-1nov.indd 1 WMPro-01-2013-Lloyd.indd 11

11/2/12 2:42 2:32 PM PM 2/26/13

WE’VE GOT OUR HEADS AROUND THE CLOUD

A FUTURE-PROOF HOME FOR YOUR IT SYSTEMS

CONNECT, TRANSACT AND GROW Join your community

Meer info:

interxion.com

Explosieve transformatie

Recommend Documents