Grote ict-bedrijven als Google en Microsoft willen al onze data ‘ergens op internet’ opslaan. Dat is een gevaarlijke ontwikkeling. Bedrijven en consumen-ten doen er goed aan hun data zelf op te slaan op hun eigen infrastructuur. door: Andre van Cleeff, Wolter Pieters en Roel Wieringa
De afgelopen jaren hebben bedrijven als Microsoft, Google en Amazon technologie ontwikkeld om duizenden computers aan elkaar te koppelen, met één gigantische ‘wolk’ van machines als resultaat. Wie data-opslag of rekenkracht nodig heeft, trekt de creditcard en kan meteen aan de slag met een stukje van deze machine. Door schaal-voordelen is deze technologie – cloud com-puting – erg goedkoop en ook zeer eenvou-dig in het gebruik. Iedereen die gebruik maakt van Gmail en Twitter, of boeken bestelt Amazon, maakt al gebruik van cloud computing.
Helaas is er wel een keerzijde: niemand weet hoe veilig deze systemen precies zijn. Zeker is in elk geval dat ze nieuw, gericht op lage kosten en zeer complex zijn. Om een indruk te geven van de schaal: in de nieuwe data-centers van Microsoft en Google worden computers per container naar binnen gere-den. Deze systemen vormen op hun beurt de basis voor weer andere systemen, met wereldwijde vertakkingen, waardoor een onontwarbare kluwen aan systemen ont-staat die niet te begrijpen is – niet door mensen en ook niet door computerprogram-ma’s.
Het is dan ook niet verwonderlijk dat er af en toe iets misgaat. Bijvoorbeeld op 24 februari vorig jaar, toen Google’s webmail applicatie Gmail werd getroffen door een wereldwijde storing. Deze ontstond na het uitvoeren van wat Google routine onderhoud noemde in een niet nader gespecificeerd datacenter. Een programma dat e-mailbe-standen geografisch dicht bij de gebruiker moet houden, bleek een zijeffect te hebben, waardoor Google’s datacenters wereldwijd overspoeld werden met data, totdat zij niet meer functioneerden. Gmail was enige uren onbereikbaar door dit probleem.
De gevolgen kunnen overigens veel erger zijn. Op 8 juni werd het Britse bedrijf VAServ, dat websites aanbiedt, aangevallen door hackers. Gebruikmakend van een lek in de virtualisatietechnologie (een essen tieel onderdeel van cloud computing) werd de volledige infrastructuur met honderd duizend websites erop verwoest. Backups waren niet gemaakt en de klanten zijn al hun data kwijt.
Nu zijn email en websites nog beperkte en in zekere zin vrij onschuldige toepassin gen, maar ictbedrijven staan in de rij om ook kritischere applicaties met vergelijk bare technologie aan te gaan aanbieden. Sinds een paar jaar kunnen bedrijven met Google Docs hun documenten door Google laten beheren, of hun klantenbestand bij Salesforce.com. Microsoft heeft een appli catie ontwikkeld met de naam HealthVault die medische gegevens kan opslaan. In zulke gevallen volstaat ook het maken van een backup niet meer: wanneer de compu ters van een ziekenhuis of van een energie bedrijf niet meer werken, kunnen levens bedreigende situaties ontstaan.
Marktwerking
Normaal gesproken kunnen bedrijven en consumenten de (markt)risico’s afwegen en verantwoorde beslissingen nemen over wanneer een technologie veilig kan worden ingezet.
Helaas werkt de markt bij cloud computing niet zo goed. Hiervoor zijn drie redenen: de markt heeft gebrek aan informatie, begrijpt de risico’s niet en is als gevolg daarvan onvoldoende kritisch.
Voor wat het gebrek aan informatie betreft, de technologie is niet vrijelijk beschikbaar en kan daarom moeilijk door buitenstaan ders worden geëvalueerd. Als je een systeem wilt onderzoeken op veiligheid, dan moet je het wel eerst hebben. Het kraken van de OVchipcard door beveiligingsonderzoekers is bijvoorbeeld alleen mogelijk wanneer je een OVchipcard hebt. Maar een fundamen tele eigenschap van cloud diensten is dat je ze nergens kunt kopen, en ook de software waarmee die diensten geleverd worden, moeilijk kunt onderzoeken. Buiten de leve rancier is er feitelijk niemand die weet hoe deze precies werkt en de aanbieder heeft er
belang bij om problemen te verdoezelen. Dit doet vermoeden dat de gemelde problemen in de media slechts het topje van de ijsberg zijn.
Het tweede probleem is de ‘bewezen’ betrouwbaarheid van de technologie. Google werkt toch best aardig? Inderdaad, er zijn de afgelopen jaren betrekkelijk weinig proble-men geweest, er lijkt weinig data verloren gegaan. Echter, de aard van de technologie (grootschalig, gecentraliseerd, nieuw) is zodanig dat er altijd een kleine kans is op een grote catastrofe. Hoe groot die kans is, weet niemand. Bij een vergelijkbare techno-logie als kernenergie duurde het decennia voordat de eerste grote ramp (Tsjernobyl) zich voordeed.
Bedrijven en consumenten zijn simpelweg niet in staat om met dergelijke risico’s om te gaan. Uiteraard hebben de leveranciers van cloud diensten een afdeling risicobeoorde-ling, waar hoogopgeleide en duurbetaalde experts berekenen wat de kans is dat gege-vens verloren gaan of in verkeerde handen komen, en wat dat kan kosten. Maar hoe kun je het risico inschatten van een tech-nologie die nog maar een paar jaar bestaat, en waarvan je de afhankelijkheden niet kent? Risicoberekeningen worden dus uit de losse pols gedaan. Alleen al daarom zullen er altijd bedrijven zijn die ‘teveel’ risico nemen.
Certificaten zeggen niets
Daarnaast worden klanten op allerlei manie-ren verleid (we zouden zelfs kunnen zeggen misleid) om tot aanschaf over te gaan. Zeker in de recessie zijn velen vatbaar voor de ver-lokkingen van cloud computing, zoals lage kosten. Allereerst wordt door de leveran-ciers geschermd met certificaten die de vei-ligheid zouden moeten aantonen. Zo melden bijvoorbeeld Microsoft en Salesforce trots dat hun online diensten een zogenaamd SAS70-certificaat hebben dat de veiligheid en betrouwbaarheid van hun systemen zou moeten aantonen. Helaas zeggen deze cer-tificaten weinig tot niets. Feitelijk geven ze slechts aan dat het bedrijf zich houdt aan zijn eigen normen, en niemand weet of deze goed genoeg zijn. Voor degene die de dienst aanschaft, is dat vaak ook niet zo
belang-Cloud Computing
gooi eigen servers en pC’s niet weg
Het is tijd voor een kritische houding ten opzichte van cloud technologie en de boter-zachte garanties van de veiligheid ervan
rijk: wanneer een enkele systeembeheerder bij een bedrijf een fout maakt en data ver-liest, krijgt hij de schuld – maar wanneer hij dezelfde taak uitbesteedt aan een gecer-tificeerd bedrijf en duizenden andere bedrij-ven hetzelfde probleem ondervinden, zijn de gevolgen gewoon minder ernstig voor hem. Twijfels worden verder contractueel wegge-nomen door een service level agreement af te sluiten met de leverancier, waardoor deze zich verplicht om de dienst te leveren tegen een bepaald niveau van beschikbaarheid. Echter, er is vaak geen gegronde reden om aan te nemen dat de leverancier zich hieraan kan houden, want de leverancier weet zelf niet eens hoeveel risico hij neemt.
Ook voor dit argument is een oplossing: Er wordt een beroep gedaan op het vertrou-wen in de leverancier. Ray Ozzie, de Chief Software Architect van Microsoft ver-woordde het als volgt: ‘Cloud computing komt er op neer dat je moet afwegen of de leverancier meer te verliezen heeft dan jij
als het systeem in elkaar stort.’1 Dit
argu-ment wordt vaak aangevuld met de toevoe-ging dat de leverancier veel meer verstand heeft van ict dan de klant en daarom voor een betere beveiliging kan zorgen. Immers Google en Microsoft hebben zoveel slimme mensen in dienst, terwijl de klant het zelf moet doen met een paar
systeembeheer-ders die twee cursussen Windows hebben gevolgd. Echter, dit zegt niets over de risi-co’s die genomen worden, en er zijn redenen om aan te nemen dat grote gespecialiseerde bedrijven meer risico nemen.
Het ultieme argument is tenslotte een visie: In de toekomst worden ict-diensten net zo gewoon als stroom: U kiest een afnemer, betaalt de kosten en krijgt de diensten thuis geleverd. Waar deze worden gepro-duceerd en hoe deze zijn opgebouwd, is dan niet meer belangrijk. Echter, deze vergelij-king gaat niet op: Een stroomleverancier beïnvloedt alleen de beschikbaarheid van stroom, maar een ict-leverancier bepaalt ook de vertrouwelijkheid en integriteit van alle data. Data kan verloren gaan, openbaar worden gemaakt (privacyverlies!) of wordt gewijzigd zonder dat u er controle op heeft. En in dat geval heeft veranderen van leve-rancier geen zin meer.
dus..
Kortom, het is tijd voor een kritische hou-ding ten opzichte van deze cloud techno-logie en de boterzachte garanties van de veiligheid ervan. In de afgelopen decennia heeft het internet zijn status als betrouw-baar communicatiemiddel bewezen. Deze betrouwbaarheid berust mede op de decen-trale structuur, waarbij een storing op een
enkele plaats opgevangen kan worden. Cloud computing lijkt een stap terug – naar een gecentraliseerde architectuur met een waarschijnlijk zeer beperkt incasseringsver-mogen voor verstoringen.
Het past daarmee in het rijtje van medicij-nen en kerncentrales: allen hebben evidente voordelen, de risico’s zijn lastig in te schat-ten en de impact kan enorm zijn.
Leveranciers en wetenschappers staan daarom voor de uitdaging om aan te tonen dat deze technologie veilig is of veilig gemaakt kan worden, en de overheid staat voor de vraag of hiervoor misschien wel regelgeving nodig is.
Totdat het zover is moeten bedrijven en con-sumenten niet teveel vertrouwen op deze technologie en vooral hun eigen servers en pc’s behouden.
André van Cleeff is promovendus en Wolter Pieters is postdoc onderzoeker, beiden op het gebied van ict-beveiliging. Roel Wieringa is hoog-leraar informatiesystemen. Allen zijn verbonden aan de Universiteit Twente. Ze schijven dit artikel op persoonlijke titel.
De artikelen voor Deze eDitie werDen geschreven Door:
André vAn CLeeff, WOLter pieters,rOeL WieringA
Het artikel ‘Gooi eigen servers en pc’s niet weg’ is geschreven door: André van Cleeff (promoven-dus), Wolter Pieters (postdoc onderzoeker), beiden werkzaam op het gebied van ict-beveiliging en Roel Wieringa (hoogleraar informatiesystemen). Allen zijn verbonden aan de Universiteit Twente. Ze schreven dit artikel op persoonlijke titel.
MArtine JOOsten
Martine Joosten is consultant bij Kepner-Tregoe Nederland en schreef de column over de toenemende complexiteit van techniek en de waarde van kennis: ‘Help, de techniek wordt te complex!’.
COk de ZWArt
Cok de Zwart schreef voor deze editie ‘De Essentials van cloud com-puting’. Hij is journalist/uitgever bij Uitgeverij TIEM.
JOOst vAn BiLsen
Het artikel ‘Businesscases in een recessie: van LEAN naar kien’ is van de hand van Joost van Bilsen. Hij is oprichter van Business Case Entrepreneurs.
itsM survey 2009 COMMissie
De ITSM Survey 2009 is onder aansturing van de researchboard uitgevoerd door de ITSMF-leden: Huub Hopman (Achmea IT), Corné van Zandvoort (Univé-VGZ-IZA-Trias) en Harrie Kisters (Gartner Nederland BV). Ze schreven ook het artikel over dit onderzoek.
ArJen drOOg en JAn sOnneveLd
De bijdrage ‘De beste strategieën voor succes-volle ict-dienstverle-ning’ is geschreven door Arjen Droog en Jan Sonneveld. Droog is interim-manager en adviseur en marketingmanager ITSMF Benchmarking. Sonneveld is voorzitter van de Benchmarking-commissie van ITSMF Nederland. Jan is initiatief-nemer van ITSMF Benchmarking.
BOB HOtHO, gert den HertOg
Ir. B.R. (Bob) Hotho (1970) werkt bij M&I/ Partners. Ir. G. (Gert) den Hertog (1960) is sinds 2005 als principal adviseur verbonden aan hetzelfde bedrijf. Samen schreven ze het artikel ‘Stop dat project!’
LeO kLAver
Het interview met René Olde Olthof, manager it-operations transavia.com is geschreven door Leo Klaver. Leo is uitgever/journalist bij Uitgeverij TIEM.
ed Lute
Ed Lute schreef de bijdrage waarin Mproof en ADV toelichten hoe klanttevredenheid gemeten kan worden. Ed is uitgever/journalist bij Uitgeverij TIEM.
pAuL LeenArds
De column op de voorpagina is van de hand van Paul Leenards. Paul is bestuurslid ITSMF en verantwoor-delijk voor content development.
Cloud Computing.
Waarom een taxi kopen als je alleen vervoer nodig hebt? De meeste aspecten van cloud computing behandelt door een keur aan auteurs. Bestel dit bij Uitgeverij TIEM pas verschenen boek.
www.uitgeverijtiem.nl
Waarom een taxi kopen als je alleen vervoer nodig hebt?
cloud computing. iedereen heeft het erover, maar wat is het nu en welke mogelijkheden biedt het? het is hoog tijd voor een goed boek met antwoorden over dit fenomeen. op heldere wijze ontsluiten achttien experts hun kennis over dit onderwerp. een kijkje in de techniek wordt afgewisseld met een meer strategische verhandeling, waarna u een concreet stappenplan voor mogelijke toetreding tot de cloud krijgt aangereikt. na lezing bent u helemaal ingewijd in de wereld die cloud computing heet.
natuurlijk is er nog veel te verbeteren en zijn er nog onbeantwoorde vraagstukken. maar de experts tonen ook aan dat betrouwbare ict nu voor iedereen betaalbaar en bereikbaar is, via cloud computing. het is niet langer nodig grote investeringen te doen. want inderdaad: waarom een taxi kopen als je alleen vervoer nodig hebt?
over Cloud Computing
o v e r C l o u d C o m p u t in g – W aa rom e en t axi k op en a ls je a lle en v er vo er n od ig h eb t?
over Cloud Computing
www.uitgeverijtiem.nl
rugdikte: nu 12,5mm
7506_boek_cloud_computing_cover_16.indd 1 30-11-2009 11:14:06 Waarom een taxi kopen als je alleen vervoer nodig hebt?
over
cloud computing
BESTEL NU!
WWW.UITGEVERIJTIEM.NL
www.uitgeverijtiem.nl
7790_ad_cloud_comput_tiem_185x88_10.indd 1 07-12-2009 15:55:43
over één ding zijn alle serieuze onder nemers het eens: de beste beslissingen maak je op basis van volledige en betrouwbare infor matie: de intelligentie van de business. hoe je die informatie verkrijgt, is weer een heel andere kwestie. sinds business intelligence (bi) een vakgebied is geworden, zijn er vele methodieken, hulpmiddelen, totaaloplossin gen en wat al dies meer zij ontwikkeld. niet altijd leverden de vaak flinke investeringen in het verleden het beoogde rendement op. mede door die harde lessen zijn de inzichten op het gebied van bi voortgeschreden. dit boek biedt een overzicht van de laatste stand van zaken. negentien experts laten hun licht schijnen op hun vakgebied en begeleiden de lezer op die veeleisende maar lonende reis van ruwe data naar bruikbare stuur informatie. met andere woorden: data is zilver, informatie is goud.
Data is zilver, informatie is goud
214 pagina’s/ Prijs: € 26,50 (excl. € 2,60 verzendkosten) bestellen doet u op www.uitgeverijtiem.nl
rugdikte: nu 13,9mm
Data is zilver, informatie is goud
Over één ding zijn alle serieuze ondernemers het eens: de beste beslissingen maak je op basis van volledige en betrouwbare informatie: de intelligentie van de business. Hoe je die informatie verkrijgt, is weer een heel andere kwestie. Sinds business intelligence (BI) een vakgebied is geworden, zijn er vele methodieken, hulpmiddelen, totaaloplossingen en wat al dies meer zij ontwikkeld. Niet altijd leverden de vaak flinke investeringen in het verleden het beoogde rendement op. Mede door die harde lessen zijn de inzichten op het gebied van BI voortgeschreden. Dit boek biedt een overzicht van de laatste stand van zaken. Negentien experts laten hun licht schijnen op hun vakgebied en begeleiden de lezer op die veeleisende maar lonende reis van ruwe data naar bruikbare stuurinformatie. Met andere woorden: data is zilver, informatie is goud. over business intelligence
o v e r b u s in es s in te l l ig e n c e – D ata is zil ve r, in fo rm ati e is g ou d
over business intelligence
www.uitgeverijtiem.nl
7811_boek_business_intelligence_cov_12.indd 1 14-01-10 16:52
over
business intelligence
Nieuw boek
www.uitgeverijtiem.nl
7873_ad_bi_bpm_184x164_10.indd 1 25-01-10 11:32
