Cloud Works 11/2016

Alles over innovatie in ICT

Jaargang 7, nr. 11 / 2016

Event

OutSystems geeft startschot voor digitale revolutie IT-Security

Strategie

Meer dan ooit regeert de angst voor nieuwe dreigingen

Nederlandse datacenter-industrie aan vooravond van nieuw tijdperk

En verder OVH opent in 2017 eigen Nederlands datacenter | The Datacenter Group lanceert multivendor hostingplatform | Het drieluik van privileged accountmanagement | Drie bepalende oorzaken waarom ERP niet meer werkt | Informatiebeveiliging in de praktijk: Mission (Im)Possible? | www.cloudworks.nu In samenwerking met

CA PUB BLIC SECT LOU LOU S CA SIN TAR S CA SECT USI • BE SEC OUD • BE S CA OR • I SE LIC S OR D D SE ESS T-U SE O NE ST TO PR ST SE B R S E S P E CA PUB SEC CTO • B TAR ROD PRI CAS P • PRI • B S C CLO R • B ODU CLO PUB S SE LIC TO R ES T-U U VA E BE VA ES ASE UD ES CT UD LI T C T P S T CA PUB SEC R • • BE CL P • T • E S UBL T C E S T CL PR STA T BU • B STA C SE LIC TO BE ST OU BE BE ECT IC LO EC OU IVA RT S ES RT I T U T D S CA PUB SEC R • T C CLO ST ST C ST B OR SEC D P OR D ST TE S -UP NESS BU SE LIC TO BE LO UD AR LO US • B TO RO • B AR EC • B C SIN S U T U T T R BU PUB SEC R • T CL D S STAR -UP D P INES EST • B DUC EST -UP OR EST ASE E SIN LIC TO BES OU TAR T- • B RO S C BU ES T • BU • B • B CLO PU SE ESS SEC R • T C D S T-U UP • EST DUC ASE SINE T CL BES SINE EST EST UD B CT C TO BE LO TA P • B C T PR SS OU T SS C BU PR B E L • L S U R O A BU R • SE P R • T CL D S T-U BES ST C OUD BES IVAT CAS D ST USI CAS OUD SINE O SIN BE UB BES OU TAR P • T C LO PR T B E S E P AR NES E P P SS R • B ESS ST B LIC T CL D S T-U BES LOU UD P ODU USI ECT UBL T-UP S CA UBL OD C ES CA US SEC OU TAR P • T C D P RO CT NES OR IC S • B SE IC S UCT PU T CL SE P INES TO D S T-U BES LOU ROD DUC • B S C • BE ECT EST PRI ECT BL OU RI S C R • TAR P • T C D P UC T ES ASE ST OR C VA OR T T CA IC SE D PR VATE ASE BES T-U BES LOU ROD T • • BE BU PR BUS • B LOUD E S EC SE CT O S PU T C P • T C D UC BE ST SIN IVA IN ES P T T P D E S T R E B L P L ST RIV OR • UCT CTO BLI OU BES OU ROD T • T B US ESS E S SS CLO OD AR AT B • R C S D T C D UC BES USI INE CA ECT CAS UD UCT S P • T E B E E T L R SE -UP SE ST EST BES CTO AR OU OD T • T B NES SS C SE P OR E P STA CT • CT CL B T R T-U D U BE US S C AS RI • B UB R P C S I T O O B ST R • EST OR • UD USIN BUSI • BE P • ROD T • T B NES ASE E PR VATE EST LIC S AR BE C B ST ES NE ST BE U BE US S C PR IV S BU EC L E A S C S I A E T PR -UP ST B OUD ST B RT- S CA SS C CLO T CL T • T B NES ASE IVAT TE S CTO SINE T IVA • B US P US UP SE AS UD OU BE US S C PR E S EC R • SS S I SE TE S EST INES ROD INES • BE PRI E PU STA D P T B NES ASE IVAT ECT TOR BES CT EC C S UC S ST VAT BL RT RO US S C PR E OR • T S L C T B B O I CL R • TOR OUD ASE • B CASE CLO E SE IC SE UP • DUC NES ASE IVAT ECT • BE EST OU BE • PR PU EST PU UD CTO CTO BE T • S CA PRI E S OR ST BU B D S CA PR T C EST OD BLI BU BLI PRO R • R • ST C BES SE VAT ECT • BE BUS SE OD LO B UC C S SIN C S D BE B LO T B PR E S OR ST IN U U T BE PRIV UCT UD S SIN • B ECTO ESS ECT CT ST B EST UD USIN IVAT ECT • BE BUS E ST AT • TA ES ES R CA OR • B U CLO PR ES E S OR ST IN S S CA BUS E SE BEST RT-U CA T BU • BE SE P • BE EST INE UD ODU S CA ECT • BE BUS E SE IN CT B P SE SIN ST RI ST BU SS ST CT SE OR ST IN PU ESS OR US • B PU ES CL VAT CL SIN CA ART • B PR • B BU E BL • INE EST BLI S C OU E OU ES SE -UP ES IV ES SIN T AT T IC SS D S C AS D E E E

SCHRIJF NU IN VOOR DE EUROCLOUD NEDERLAND AWARDS

2017!

Ook dit jaar reikt EuroCloud NL in samenwerking met CloudWorks de EuroCloud Nederland Awards uit. Noteer alvast 28 maart in uw agenda Categorieën • Best Business Case Private sector • Best Business Case Public sector • Best Cloud Start-up • Best Cloud Product De winnaars dingen ook deze keer weer mee naar de EuroCloud Europe Awards Kijk op www.eurocloudnl.eu voor meer informatie

Cloud talk

Robbert Hoeffnagel

Security-verzekering Het is een kwestie van tijd voordat Europa en ons eigen land te maken krijgt met de massale DDoS-aanvallen die onlangs de Amerikaanse provider Dyn platlegde. Hoe lang duurt het voordat er slachtoffers vallen door dit soort aanvallen? Want straks is het een ziekenhuis. Of een waterkering in Zeeland tijdens een vliegende december-storm. Of Schiphol.

De vraag is of overheden hier moeten ingrijpen. De risico’s die we als maatschappij en bedrijfsleven lopen worden immers wel heel erg groot.

Maar kan de overheid eigenlijk wel iets doen? Misschien wel. Want waarom staan we eigenlijk toe dat slecht beveiligde apparaten die aan internet worden gekoppeld in de EU verkocht mogen worden?

We hebben wel regels als het gaat om de elektrische veiligheid van een apparaat - we willen immers niet onder stroom staan - maar als het gaat om security stellen we eigenlijk geen enkele eis.

Er wordt al gekeken naar het uitbreiden van het Europese systeem voor energielabeling van huishoudelijke apparaten richting IoTapparaten en hun security. Daarmee komt zeker meer duidelijkheid over de veiligheid van die internet-enabled koelkast of webcam.

Aan de andere kant: als u op AliExpress voor 5 euro (inclusief verzendkosten) een internet-enabled security-camera kunt kopen en u vergelijkt dat met 35 euro voor een vergelijkbaar apparaat bij een lokale elektronicawinkel, dan is de keuze snel gemaakt. Prijs wint het dan (te) vaak van security. En werkt het labeling-systeem natuurlijk ook niet.

Minstens zo interessant is de vraag welke rol ISP’s in dit opzicht kunnen spelen. Zij beheren immers het netwerk waarmee wij als consumenten maar ook als bedrijven contact met internet maken.

Zouden zij niet veel meer kunnen inzetten op managed security services - zowel voor bedrijven als voor consumenten. En dan niet als een door de overheid opgelegde maatregel, maar simpelweg als een door de afnemer betaalde dienst. En met voldoende keuzevrijheid: wat wil ik als persoon of als bedrijf zelf regelen op security-gebied en wat laat ik over aan een externe partij? Doe ik alles zelf, dan neem ik een goedkoper abonnement, maar krijgt de ISP wel het recht om mijn goedkope, maar slecht beveiligde security-camera van het netwerk te halen. Wil ik antivirus en antimalware via mijn ISP regelen, dan betaal ik iets meer. En wil ik bij wijze van spreken mijn gehele security-aanpak aan mijn ISP overlaten, dan betaal ik daar beduidend meer voor.

Ik weet het: hier zitten tal van haken en ogen aan vast. Aansprakelijkheid bijvoorbeeld. Maar er zijn ook tal van technische vragen.

Dit is dan ook vooral een suggestie om de discussie op gang te brengen. Want zoals we het tot nu toe op security-gebied hebben aangepakt... tja, dat model werkt duidelijk niet meer.

Als ondernemer maar ook als consument wil ik simpelweg van dit ‘gedoe’ af. Liefst zou ik een verzekering kopen die alles rond IT-security voor mij regelt: techniek, aansprakelijkheid, herstelschade mocht het toch een keer fout gaan enz. Wie ontwikkelt die voor mij?

Robbert Hoeffnagel, hoofdredacteur CloudWorks

Colofon In CloudWorks staat innovatie centraal. Met traditionele ICT-omgevingen is het steeds moeilijker om de business goed te ondersteunen. Innovatieve oplossingen op het gebied van bijvoorbeeld cloud computing, mobility, Big Data, software defined datacenters en open source kunnen echter helpen om de IT-omgeving ingrijpend te moderniseren en klaar te maken voor de toekomst. Vragen over abonnementen: abonnementen@fenceworks.nl.

Uitgever Jos Raaphorst 06 - 34 73 54 24 jos@fenceworks.nl Twitter: https://twitter.com/RaaphorstJos LinkedIn: nl.linkedin.com/pub/dir/Jos/Raaphorst

Hoofdredacteur Robbert Hoeffnagel 06 - 51 28 20 40 robbert@fenceworks.nl Twitter: https://twitter.com/rhoeffnagel LinkedIn: nl.linkedin.com/in/robberthoeffnagel Facebook: https://www.facebook.com/ robbert.hoeffnagel Advertentie-exploitatie Mike de Jong 06 - 10 82 59 93 mike@fenceworks.nl Eindredactie/traffic Ab Muilwijk

Vormgeving Studio Kees-Jan Smit BNO Druk ProFeeling Kennnispartners BTG, CAA, Data Centre Alliance, EuroCloud Nederland, FHI, Green IT Amsterdam, ISPConnect, NEN, SaaS4Channel ©2016. CloudWorks is een uitgave van FenceWorks BV. www.fenceworks.nl

CloudWorks - nr. 11 / 2016

3

8

Uitkomsten Nationale IT-Security Monitor 2016: meer dan ooit regeert de angst voor nieuwe dreigingen Met de Nationale IT-Security Monitor houdt Pb7 Research in samenwerking met Infosecurity Magazine de vinger aan de pols van de Nederlandse IT-security markt. Net als in de vorige edities hebben we onderzocht wat de belangrijkste trends en investeringen zijn op het gebied van IT-beveiliging in de zakelijke markt. In de zomer van 2016 heeft Pb7 Research daarvoor 219 bedrijven met 50 of meer medewerkers ondervraagd met behulp van een web gebaseerde panel survey.

Het onderzoek is dit jaar mede mogelijk gemaakt dankzij de steun van Platinum sponsors Sogeti en IBM en Gold sponsors TSTC en Sophos.

28

De opkomst van het micro datacenter Om micro datacenters kunnen we niet meer heen. Maar waarom is dat? CloudWorks ging in gesprek met Bas Jacobs, Product Manager bij Minkels. Hij gaat in op de ontwikkelingen in de micro datacentermarkt en belicht enkele ‘drivers’ die van invloed zijn op de marktvraag.

En verder 6 Legal Look 7 Gregor Petri over Das Model 15 Blog ISPConnect

26

OVH opent in 2017 eigen Nederlands datacenter

16 The Datacenter Group lanceert multivendor hosting-platform

Het gaat hard met OVH. Het Franse concern - actief met Infrastructure as a Service of zoals ze zelf zeggen: Digital as a Service - heeft een investeringsprogramma van liefst 1,5 miljard euro gelanceerd. Dat willen zij onder andere gebruiken om de komende vijf jaar achttien nieuwe datacenters te lanceren. In 2017 opent het bedrijf een eigen datacenter in de omgeving van Amsterdam. Een ‘must have’, vertelde VP sales en marketing Alexandre Morel tijdens de OVH Summit die onlangs in Parijs werd gehouden.

18 Huawei zet vol in op NB-IoT

Cloudpath ontlast IT-afdelingen bij uitrol en beheer veilige WiFi toegang

De mobiele IT-gebruiker opent nu 6 keer meer webpagina’s en activeert 14 keer meer megabytes aan applicaties dan in 2013. Het doorslaande succes van BYOD (Bring your own Device) zadelt IT-afdelingen op met nog meer beheertaken. De connecties naar de mobiele apparaten; het bereik van de draadloze netwerken; de aansluitingen op het internet in samenhang met de applicaties: het vraagt allemaal om aanpassing vanwege de veranderende eisen van de gebruikers.

IT-afdelingen lopen regelmatig achter de feiten aan. Het beheer van de mobiele netwerkinfrastructuur slokt hun capaciteit op. Onbeperkt mobiel IT-gebruik op basis van een veilige, op BYOD toegesneden WiFi architectuur: wie wil het niet? Brocade Ruckus Cloudpath wijst ITafdelingen de weg naar zorgeloze zekerheid in mobiel werken.

4

12

Alles over innovatie in ICT

20 Het drieluik van privileged account management 22 Waar mensen geboren zijn om regels te breken, zijn machines gemaakt om regels te volgen

30

24 OutSystems geeft startschot voor digitale revolutie op drukbezocht NextStep 33 Blog bouwen aan de toekomst 34 Drie bepalende oorzaken waarom ERP niet meer werkt

Nederlandse datacenter-industrie aan vooravond van nieuw tijdperk

36 Informatiebeveiliging in de praktijk: Mission (Im)Possible?

Als de Noren tientallen meters onder de grond CO2neutrale datacenters bouwen, Fransen maar liefst 1,5 miljard euro investeren in datacenters voor het huisvesten van watergekoelde servers en in de UK de eerste datacenters verschijnen die zich uitsluitend richten op het faciliteren van Open Compute-hardware, dan zal het duidelijk zijn dat we aan de vooravond staan van een nieuw tijdperk in de datacenter-industrie. Voor Nederland is het daarom belangrijker dan ooit om vol gas te geven en fors te investeren in nieuwe kennis.

40 Nieuws van EuroCloudNL

39 Blog Emerson Network Power

42 Blog BTG

www.cloudworks.nu CloudWorks - nr. 11 / 2016

5

Legal Look

Tune into the Cloud

Mr. V.A. de Pous

Gregor Petri

Das Model

Meldplicht Moet cybercrime worden gemeld?

Een advocaat en oud-officier van justitie haalde onlangs de voorpagina in het Financieele Dagblad. Hij adviseert cliënten met regelmaat cybercrime niet te melden. Het betreft ronduit slechte informatievoorziening, zowel van de geïnterviewde als de redactie, omdat de artikelen de lezer gemakkelijk op het verkeerde been zet. Cybercriminaliteit hoeft namelijk niet op grond van het Nederlandse recht - aan wie dan ook - te worden gemeld.

Niet aan het Openbaar Ministerie, niet aan een toezichthouder, zoals Autoriteit Persoonsgegevens, en bijvoorbeeld niet aan het Nationaal Cyber Security Centrum; het publiek-private samenwerkingsverband dat onder het ministerie van Veiligheid en Justitie valt. De uitspraak suggereert ten onrechte het bestaan van een dergelijk algemeen voorschrift. We moeten de discussie dus zuiver voeren. Het niet-melden van cybercriminaliteit als zodanig leidt niet tot risico voor het bestuur van een organisatie; het niet melden van een meldplichtig incident wel. Nog een punt, waar in het FD aan voorbijgegaan wordt. Een wettelijke meldplicht voor een digitaal incident, inclusief voor een lek van persoonsgegevens, kan te maken hebben met criminaliteit. Dat hoeft echter nadrukkelijk niet het geval te zijn. USB-sticks worden verloren, een officier van justitie zet een PC bij het oud vuil, er gaat iets mis met een software patch, een gemeenteambtenaar stuurt persoonsgegevens naar een verkeerd mailadres, en wat dies meer zij. Vaak ontbreekt opzet en is er geen sprake van cybercrime.

Kent Nederland wettelijke meldplichten?

Inmiddels zijn er in Nederland allerlei wettelijke meldplichten van kracht of staan voor de deur, vooral in relatie tot ICT-gerelateerde incidenten. Denk aan - een vermoeden van - een lek van persoonsgegevens, een veiligheidsinbreuk of integriteitsverlies. Je kunt zelfs spreken van een stevige legislatieve trend in de informatiemaatschappij. Sommige zijn smal (sectoraal); andere breed (voor alle organisaties). Daarnaast kenden we al meldplichten voor andersoortige voorvallen, zoals vastgelegd in de Wet financieel toezicht: incidenten die betrekking hebben op integere bedrijfsvoering.

Doorredenerend komen we overigens hier - mede - uit op computercriminaliteit in soorten en maten. Goed om te weten: bij de meeste meldplichten gaat het primair om het beperken van schade en vervolgens om het stimuleren van vertrouwen in een bepaalde sector of, breder, de samenleving. Voor de Wet

6

Alles over innovatie in ICT

meldplicht datalekken is dat niet anders. Daar komt nog bij dat ook het algemeen belang een zaak van gewicht is. De informatiesamenleving heeft juist dringend behoefte aan meer vertrouwen van de burger.

Wat is het echte risico?

De diverse meldingen (wanneer moet wat door wie worden gemeld) verschillen onderling inhoudelijk. Dat geldt ook voor de te volgen procedure (aan welke toezichthouder en/of andere partij moet er op welke wijze en binnen welke termijn worden gemeld).

Hierdoor trekken verwarring en aansprakelijkheid waarschijnlijk gelijk op met de stijging van deze categorie juridische verplichtingen, terwijl de administratiefrechtelijke boetes, die toezichthouders kunnen opleggen, ook nog eens recent fors verhoogd zijn. Over serieuze risico’s gesproken. Zelfs kunnen er digitaal-gerelateerde meldplichten uit overeenkomsten (onbenoemd en benoemd) ontstaan tegenover een contractspartij, alsook uit onrechtmatige daad, jegens een individu of organisatie die schade leidt door een dergelijk incident. Een en ander vraagt om een integrale juridischbeleidsmatige aanpak van zowel (i) informatietechniek als (ii) bedrijfsinformatie per organisatie. Ook de wetgever kan beter zijn best doen. Eén maatregel, die zover bekend nergens op de agenda staat, betreft het opstellen van gedegen kwaliteitsnormen voor digitale technologie - in het bijzonder softwarecode - en de wettelijke borging ervan.

Mr.V.A. de Pous is bedrijfsjurist en industrie-analist. Hij houdt zich sinds 1983 bezig met de juridische aspecten van digitale technologie en informatiemaatschappij en is medewerker van uitgeverij FenceWorks.

Tune into: direct container costing

Het is de dag waarvan je wist dat hij komen zou, namelijk de dag dat IT-kosten eindelijk de overstap maken van de indirecte overhead kostenplaats naar de direct toerekenbare kosten. Dit was natuurlijk te verwachten nu digital business steeds meer de norm wordt. Maar de werkelijke overgang kan toch nog iets langer duren dan we misschien verwachten. Om de overstap te maken is namelijk - zoals de Amerikanen zo mooi verwoorden - een perfect storm nodig, waarbij alle ingrediënten op het juiste moment samenkomen. Een aantal van die ingrediënten is zonder meer al aanwezig.

Zo zien we - naarmate producten zelf en de manier van aanbieden en leveren steeds digitaler wordt - dat het aandeel van IT in de totale kosten stijgt waardoor de behoefte om deze direct per product toe te kunnen rekenen toeneemt. Tegelijkertijd komt de verantwoordelijkheid voor deze IT-kosten ook steeds meer bij de line of business afdelingen terecht. Zo signaleerden we al jaren geleden dat de chief marketing officer in veel bedrijven meer geld aan IT mag besteden dan de CIO. En ook met de kosten van het internet of things en smart machines zien we de verschuiving naar de lijn organisatie.

Op technisch gebied kunnen we dankzij de introductie van containers individuele microservices identificeren en uiteindelijk de daarmee samenhangende kosten toerekenen aan de individuele producten of services die er gebruik van maken. Net zoals we in een fietsenfabriek de kosten van wielen, zadels en versnellingen direct toerekenen aan iedere geproduceerde fiets en niet als een soort rol-, zit- en acceleratie-toeslag doorbelasten middels een percentage van de framekosten. Wat hierbij helpt is dat we software containers per gebruik kunnen opstarten en ook weer stoppen.

En dat is nu net het key verschil tussen directe kosten (zoals het monteren van een wiel) en indirecte kosten (zoals de verlichting of de verwarming van de fabriekshal).

Het schedulen van al die containers is daarmee overigens een uitdaging die qua complexiteit prima vergelijkbaar is met het plannen van de productie in een moderne fietsenfabriek: namelijk knap lastig. Zeker als we ook aan een zekere mate van lange termijnplanning en taakstellende kostprijs calculatie willen gaan doen. Het achteraf uitrekenen wat het leveren van een product of service gekost heeft is nog relatief eenvoudig, namelijk simpelweg het optellen van de individuele kosten van alle gebruikte resources.

Maar als we vooraf een target kostprijs (wat zou dit product of deze service mogen kosten) willen bepalen, dan lopen we al snel vast als we geen model hebben dat gebruikt kan worden om die service te beschrijven. In productieomgevingen kennen we deze modellen al heel lang onder de naam bill of material of receptuur, in de cloud wordt vaak de term service blue print gebruikt, maar qua volwassenheid en acceptatie hiervan zijn we nog wel even verwijderd van een model van het jaar verkiezing.

Voor zinnige directe kosten is het daarnaast nodig dat we een service op basis van de individuele, gebruikte containers met onze public cloud providers kunnen afrekenen. Bij een functie platform (fPaaS) zoals Lambda van AWS zien we dat dit al gerealiseerd is, daar rekent de gebruiker af per aangeroepen functie (in miljoensten van centen) en voor de duur en omvang van het gebruikte geheugen (in tienden van seconden). Maar bij veel van de huidige container services wordt er een soort flat fee gerekend per onderliggende VM, ongeacht hoeveel en welke soort services er daadwerkelijk worden aangeroepen. Dat is het toch een beetje als een fietsenfabriek die zijn leverancier niet afrekent per wiel, maar per machine die wielen produceert, ongeacht hoeveel wielen worden afgenomen.

Het nummer ‘Das Model’ uit 1978 over een catwalk beauty parade van de Duitse band Kraftwerk kwam in 1981 uit als Engelstalige B-kant van ‘Computer Love’, maar de markt promoveerde het zelf tot A-kant, waardoor het al snel de nummer 1 positie in de UK singles top 75 bereikte.

Daarmee is de weg ook vrij om van het budget gestuurd managen van IT af te stappen. Voor digitale business is dat namelijk even inefficiënt als de budgetgestuurde fietsenfabrieken in de voormalige Sovjet Unie, die vaak al in oktober de productie voor de rest van het jaar stil moesten leggen omdat het budget voor zadels, banden of zelfs fietsbellen uitgeput was.

CloudWorks - nr. 11 / 2016

7

IT-security is zichtbaarder dan ooit door de opkomst van ransomware aan de ene kant en de meldplicht van datalekken aan de andere kant.

Kijken we naar het type veiligheidsincidenten dat plaatsvindt ook buiten IT, dan zien we dat malware het vaakst tot incidenten leidt, maar dat schade veelal voorkomen wordt. De impact van ‘analoge’ incidenten is meestal nog altijd groter dan de impact van digitale incidenten.

Toch is het aantal bedrijven dat schade lijdt door IT-securityincidenten aanzienlijk. Vooral het fysieke verlies van informatiedragers leidde het afgelopen jaar vaak tot schade. Maar inmiddels heeft ook ransomware al bijna 1 op de 10 bedrijven benadeeld. Opvallend is ook dat meer dan 40% van de organisaties zegt te maken te hebben gehad met DDoS-aanvallen.

Figuur 3: Geformuleerd Beleid Op welke gebieden heeft uw organisatie beleid geformuleerd op het gebied van IT-beveiliging?

Figuur 1: Incidenten Met welke van de volgende incidenten heeft uw organisatie de afgelopen 12 maanden te maken gehad?

Om wat meer achtergrond te krijgen bij het IT-securitybeleid hebben we de securitybeslissers een aantal stellingen voorgelegd.

En ook daar zien we interessante verschuivingen ten opzichte van de resultaten van vorig jaar. In 2015 was het aantal organisaties dat IT-beveiliging zag als een noodzakelijk kwaad aan het afnemen (35% eens). Organisaties begonnen IT-beveiliging te zien als een kans om processen te optimaliseren en om succesvol nieuwe producten te kunnen lanceren. Een jaar later zien we dat het idee van ‘noodzakelijk kwaad’ een sterke comeback maakt, ten koste van beide andere gezichtspunten.

Uitkomsten Nationale IT-Security Monitor 2016:

Meer dan ooit regeert de angst voor nieuwe dreigingen Met de Nationale IT-Security Monitor houdt Pb7 Research in samenwerking met Infosecurity Magazine de vinger aan de pols van de Nederlandse IT-security markt. Net als in de vorige edities hebben we onderzocht wat de belangrijkste trends en investeringen zijn op het gebied van IT-beveiliging in de zakelijke markt. In de zomer van 2016 heeft Pb7 Research daarvoor 219 bedrijven met 50 of meer medewerkers ondervraagd met behulp van een web gebaseerde panel survey. Het onderzoek is dit jaar mede mogelijk gemaakt dankzij de steun van Platinum sponsors Sogeti en IBM en Gold sponsors TSTC en Sophos.

In de Nationale IT-Security Monitor van vorig jaar constateerden we dat de inspanningen om IT veilig te houden steeds meer werden ingegeven door het gebruik van relatief nieuwe technologieën, met het gebruik van cloud en mobiele apparaten voorop. Maar ook de aandacht voor compliance in verband met de voorbereidingen op de Algemene Data Protectie Verordening en de Meldplicht Datalekken, hield de gemoederen stevig bezig. Langzaam begon het imago van IT-beveiliging te kantelen: IT-security is niet alleen een noodzakelijk kwaad, maar ook een groot zakelijk belang in de digitaliseringsslag waar veel organisaties zich voor zien staan.

Dreigingsbeeld Nu, 12 maanden later, blijkt dat er in een jaar veel kan gebeuren. Het zakelijk belang wordt alsmaar groter, maar dan vooral doordat meer dan ooit de angst - wederom - regeert. De dreigingen zijn groter, de bedreigers beter georganiseerd en de impact

8

Alles over innovatie in ICT

Figuur 4: Stellingen rond IT-securitybeleid Als we naar de incidenten kijken vanuit het oogpunt van dataverlies, valt de menselijke invloed op. Dataverlies komt het meest voor doordat medewerkers informatiedragers verliezen door onhandigheid of diefstal. Gebruikers veroorzaken vaker schadelijke incidenten dan cybercriminelen. En hoewel de aard van het dataverlies willekeurig is bij het verlies van informatiedragers, is de impact groot, vooral sinds de Meldplicht Datalekken en de Algemene Data Protectie Verordening.

Het ‘goede’ nieuws is dat de bereidheid om te investeren in IT-beveiliging hierdoor sterk is toegenomen, terwijl we vorig jaar een duidelijke afvlakking moesten constateren. Vorig jaar gaven de securitybeslissers aan dat van elke IT-euro 8 cent naar IT-beveiliging gaat. Dit jaar is dat gestegen tot 11 cent en voor het komend jaar verwacht men dat de uitgaven nog eens met 19% gaan stijgen.

Bent u het eerder eens of oneens met de volgende stellingen met betrekking tot de organisatie en beleid van IT-beveiliging?

Beleid Op het gebied van beleid zijn enkele opvallende verschuivingen waarneembaar. De sterkste groei zien we op het vlak van de Algemene Data Protectie Verordening, wat logischerwijs voortvloeit uit het naderbij komen van deze verordening. Een andere opvallende verschuiving is dat steeds meer organisaties IT-security vast zijn gaan leggen in de software ontwerpregels en dat wellicht daardoor iets minder bedrijven aangeven securitybeleid te hebben rond het testen van nieuwe oplossingen. Security wordt vaker ‘meegebakken’.

Investeringen We zien een toenemende bereidheid om in IT-beveiliging te investeren. Organisaties geven aan ook op meer gebieden prioriteit te geven dan vorig jaar (figuur 5). Net als vorig jaar, geven veel organisaties vaak prioriteit aan netwerkbeveiliging, gevolgd door databeveiliging. Dit jaar zien we dat netwerkbeveiliging opnieuw een flinke impuls krijgt en dat daarnaast op drie gebieCloudWorks - nr. 11 / 2016

9

IT-security den de aandacht sterk is toegenomen, waaronder het investeren in medewerkersbewustzijn.

Opvallend is verder dat de investeringen in mobiele security en preventie en risicobeheer minder aandacht krijgen dan vorig jaar.

Toch, als we naar de verwachte toename in uitgaven kijken, zien we dat er beduidend meer bedrijven meer gaan uitgeven aan mobiele beveiliging dan dat er bedrijven zijn die er minder in gaan investeren. De sterkste groei kunnen we het komend jaar verwachten in netwerkbeveiliging en vooral medewerkersbewustzijn.

Figuur 5: Prioriteiten en investeringen Links:Welke van de volgende investeringen hebben prioriteit in de komende 12 maanden?

Rechts: In welke mate verwacht u dat de investeringen op deze gebieden in de komende 12 maanden toe- dan wel afnemen?

vraagde organisaties is de directie actief betrokken bij de aanpak.

Het afgelopen jaar is de meeste vooruitgang geboekt op het vlak van de meldplicht datalekken en het opstellen van een privacy strategie. Toch geldt ook daar dat minder dan één op de drie organisaties gereed is.

Cloud en Mobiel Het blijft ook in 2016 voor veel organisaties een uitdaging om grip te krijgen op veiligheid in de cloud en met mobiele apparaten.

De manier waarop organisaties veilig cloudgebruik proberen te realiseren, is sterk in ontwikkeling. Identiteitsbeheer is inmiddels de belangrijkste maatregel om grip te krijgen. De snelste groei komt uit encryptie, waarbij organisaties zelf het sleutelbeheer zeggen te doen. Vorig jaar was dit nog vrij uitzonderlijk, maar nu maakt één op de vier organisaties er al gebruik van.

Ook op het gebied van mobiele apparaten zien we dat het aantal maatregelen toeneemt. Het gebruik van antimalware neemt toe tot 40%, encryptie tot 34%. Ook richt men zich sterker op gedrag van gebruikers met betrekking tot bijvoorbeeld wachtwoorden en bij verlies (30%) en wordt toegang tot bedrijfsdata vaker beperkt (39%).

Figuur 7: Veilig cloudgebruik Welke maatregelen heeft u genomen om veilig cloudgebruik te waarborgen?

{

‘ Weten waar je waarde ligt en waar de markt het verschil kan maken, is belangrijker dan ooit’

2016 is niet alleen het jaar van de ‘angst’. In de Nationale IT-Security Monitor constateren we ook dat de aandacht voor het gedrag van de gebruiker/medewerker sterk is toegenomen.

Al jaren weten we dat gebruikersgedrag de oorzaak is van veel security incidenten. Maar in 2016 sturen we geen e-mails meer rond met gedragsregels, maar investeren organisaties daadwerkelijk in training. Het besef dat gebruikers fouten zullen blijven maken, wordt verder aangepakt door ruimere investeringen in databeveiliging. Vooral encryptie lijkt een stevige doorbraak te hebben gemaakt.

Datalekken en compliance

Hoewel de CISO in de ban is van nieuwe en groeiende bedreigingen, zal deze moeten waken om terug te vallen op een reactieve houding, waarbij de agenda bepaald wordt door de dreiging van de dag. De CISO kan en mag niet voorbij gaan aan de digitaliseringsslagen die binnen de eigen organisatie plaatsvinden. Te allen tijde moet voorkomen worden dat nieuwe toepassingen en digitale diensten met onvoldoende voorbereiding de wereld worden ingestuurd. De aandacht van de CISO op deze plek, is cruciaal en mede bepalend voor het succes van digitalisering.

In 2018 wordt de Algemene Data Protectie Verordening van kracht. Zoals verwacht is nog niet iedere organisatie klaar met de voorbereidingen. Het aantal organisaties dat diverse benodigde maatregelen heeft genomen, is sterk toegenomen, maar de realiteit is desondanks dat veel organisaties onvoldoende prioriteit hebben gegeven en behoorlijk achterlopen.

Het is dan ook belangrijk dat de CISO gaat bepalen waar zijn aandacht het verschil kan maken en waar hij juist over onvoldoende schaal en kennis beschikt om de organisatie veilig te houden.

Weten waar je waarde ligt en waar de markt het verschil kan maken, is belangrijker dan ooit.

*Percentage bedrijven met toename minus het percentage bedrijven met een afname

Figuur 6: Gereedheid met betrekking tot Algemene Data Protectie Verordening In welke mate voldoet uw organisatie aan de volgende eisen van de Europese Dataprotectie Verordening?

Bijna de helft (45%) geeft aan dat de directie wel bekend is met het thema, maar er geen prioriteit aan geeft. Als men er al prioriteit aan geeft, wordt het gedelegeerd naar IT. Slechts bij 9% van de onder-

10

Alles over innovatie in ICT

Analyse Nederlandse organisaties bevinden zich massaal in een digitaliseringsslag. IT-onderwerpen als cloud, Big Data en Internet der Dingen worden door bedrijven omarmd en worden ingezet om processen te transformeren, nieuwe producten en diensten in de markt te zetten en om anders te communiceren met de klant. Hoe belangrijk het ook is om boven op deze ontwikkelingen te zitten vanuit een security-perspectief, de CISO heeft in 2016 andere problemen aan zijn hoofd.

Zoals 2015 het jaar van compliance met data wet- en regelgeving had moeten zijn, maar het toch vaak niet werd, zo is 2016 niet het jaar van de digitalisering geworden. Meer dan ooit regeert de angst voor nieuwe dreigingen. CISO’s moeten grip krijgen op de doorbraak van ransomware en alsmaar complexere aanvallen van steeds beter georganiseerde cybercriminelen en van meer en minder bevriende naties. De uitdaging om alle bedreigingen het hoofd te bieden, is groter dan ooit en groeit veel organisaties ook daadwerkelijk boven het hoofd.

67% van de bedrijven heeft mobiele data niet beveiligd, hoort u daar ook bij?

Krijg de controle over gebruikers, devices en toegangen.

Voorkom identiteitsfraude, ongewenste toegang tot data en applicaties, inefficëntie en hoge kosten.

Begin goed bij de basis met hybride Identity & Access Management.

Peter Vermeulen, directeur Pb7 Research

IonIT adviseert, ondersteunt en begeleidt u graag!

WWW.IONIT.NL CloudWorks - nr. 11 / 2016

11

Markt Het gaat hard met OVH. Het Franse concern - actief met Infrastructure as a Service of zoals ze zelf zeggen: Digital as a Service - heeft een investeringsprogramma van liefst 1,5 miljard euro gelanceerd. Dat willen zij onder andere gebruiken om de komende vijf jaar achttien nieuwe datacenters te lanceren. In 2017 opent het bedrijf een eigen datacenter in de omgeving van Amsterdam. Een ‘must have’, vertelde VP sales en marketing Alexandre Morel tijdens de OVH Summit die onlangs in Parijs werd gehouden.

Investeringsprogramma van 1,5 miljard voor internationale expansie

OVH opent in 2017 eigen Nederlands datacenter

OVH bouwt zijn eigen servers, die standaard van waterkoeling op de processor zijn voorzien.

12

Alles over innovatie in ICT

Nederlanders die op weg naar hun zomervakantie de Noord-Franse stad Roubaix op de grens met België passeren, zullen zich niet altijd realiseren dat hier een van ’s werelds modernste datacenters staat.

Roubaix - voor veel mensen uitsluitend bekend vanwege de wielerklassieker Parijs-Roubaix ofwel de Hel van het Noorden - is tevens de plaats waar het hoofdkantoor van OVH staat. Opgericht in 1999 door Octave Klaba is het bedrijf inmiddels uitgegroeid tot een van grootste colo’s, hosting- en cloud-bedrijven van Europa. Klaba is van oorsprong Pools, maar besloot in Lille naar de universiteit te gaan. Tijdens zijn studie begon hij OVH als webhosting-bedrijf - de letters staan voor On Vous Hebergé ofwel Wij zullen u Hosten. Inmiddels typeert Klaba zijn bedrijf liever als een aanbieder van infrastructuurdiensten ofwel: Digital as a Service.

Snelle groei De groei van het bedrijf is de afgelopen jaren indrukwekkend geweest. Men heeft inmiddels meer dan 260.000 fysieke servers geplaatst, verdeeld over 17 datacenters in Frankrijk en Canada. In dit laatste land is men onder andere de partner van telco Roger Communications voor het realiseren van diens public cloud-plannen gericht op het Canadese bedrijfsleven. De 260.000 servers ‘hosten’ 140.000 virtual machines in een publieke cloud-omgeving en dat aantal groeit iedere dag weer verder. De bandbreedte die men voor klanten beschikbaar heeft, is 7,5 Tbps.

Daarmee is de groei echter nog niet afgelopen. OVH heeft een ambitieus groeiprogramma aangekondigd waarin het

Octave Klaba van OVH introduceert een serie voor mobile hosting.

{

‘ Men heeft inmiddels meer dan 260.000 fysieke servers geplaatst, verdeeld over 17 datacenters in Frankrijk en Canada’

1,5 miljard euro investeert. Een aanzienlijk deel van dit bedrag komt uit de eigen middelen van OVH, vertelde CEO Laurent Allard tijdens de OVH Summit. Dit geld moet men uiteraard eerst verdienen en dat verklaart volgens Allard ook het feit dat men deze uitgaven uitsmeert over een periode van 5 jaar. Maar men doet ook een beroep op externe financiering. Twee investeringsmaatschappijen - KKR en TowerBrook Capital Partners - hebben een belang in OVH genomen en tellen daar 250 miljoen euro voor neer. Hoe groot het belang van beide investeerders is, wil men niet aangeven. Wel is duidelijk dat de familie van oprichter Octave Klaba nog altijd over een meerderheidsbelang beschikt.

Overigens ligt de omzet van OVH inmiddels ruim boven 300 miljoen euro. Men verwacht dat het huidige groeitempo circa 30 procent per jaar - zal aanhouden waardoor men in 4 tot 5 jaar door de grens

van een miljard euro omzet verwacht te gaan. Die groei zal autonoom worden gerealiseerd, verklaarde Allard in Les Docks.

Er zijn geen plannen om te groeien via overnames, stelde hij.

Extra datacenters De investeringsplannen van OVH hebben met name betrekking op het wereldwijd openen van tien extra datacenters. Daarmee wil men uitgroeien tot een wereldwijde aanbieder van diensten op het gebied van Infrastructure as a Service en cloud.

Een van die datacenters komt te staan in de omgeving van Amsterdam. Volgens VP Sales en Marketing Alexandre Morel groeit het bedrijf al een aantal jaren sterk in Nederland en wil men door middel van een eigen datacenter de activiteiten in de Nederlandse markt verder uitbreiden.

Bovendien noemt hij een aanwezigheid in Amsterdam een ‘must have’ gezien het grote aantal bestaande en potentiële klanten dat zich in ons land bevindt.

CloudWorks - nr. 11 / 2016

13

Markt

Blog ISPConnect

Eerder al betrad OVH de Amerikaanse markt. Dat gebeurde in Virginia, in een streek waar ’s werelds grootste concentratie aan datacenters staat. Op die manier wil men enerzijds bestaande internationale klanten ook in de VS kunnen ondersteunen, terwijl men anderzijds ook met een schuin oog kijkt naar puur Amerikaanse klanten. Overigens heeft OVH goed nagedacht over de aanwezigheid in Amerika. Allard: “We willen geen problemen met de Patriot Act. Daarom hebben we onze Amerikaanse activiteiten ondergebracht in een aparte Amerikaanse onderneming.

Het zijn dus juridisch gescheiden ondernemingen. Voor bedrijven die willen dat wij hen ook in de VS van datacenter-diensten voorzien, geldt dat zij daarvoor een apart contract met deze Amerikaanse onderneming moeten afsluiten. Voor alle andere landen geldt dat dit in principe allemaal via een en hetzelfde contract kan worden geregeld.”

Nieuwe producten OVH organiseert inmiddels al weer geruime tijd een jaarlijks event waar klanten en partners bij elkaar komen. Doel is onderling netwerken, maar uiteraard grijpt het bedrijf de gelegenheid ook aan om nieuwe producten en diensten aan te kondigen. Dit jaar had Klaba op dit gebied een lange lijst af te werken. Zo besprak hij een nieuwe Cloud Desktop die tevens in een variant komt die Big data en HPC-taken ofwel high-performance computing aan kan.

Deze Cloud Desktop for HPC and Big Data maakt hiertoe overigens gebruik van GPU’s ofwel graphical processing units.

Voor klanten is nu een gratis te gebruiken SSL Gateway beschikbaar. Verder introduceerde hij een aantal diensten voor mobile hosting waardoor app-bouwers een groot deel van de backend van hun mobiele app in een paar uur tijd kunnen regelen. Ook ging Klaba in op nieuwe hybride cloudtoepassingen en vRack en een samenwerking met Equinix rond Cloud Exchange.

CEO Allard had daarvoor al aan gekondigd dat er een nieuwe versie beschikbaar komt van OVH Marketplace. Deze is voor OVH-klanten gratis te gebruiken en biedt de mogelijkheid om extra cloud services via een portal af te nemen. Deze portal biedt tevens tal van diensten voor het regelen van SLA’s en billing. Interessant is dat OVH in deze portal Algolia heeft geïntegreerd. Deze

14

Alles over innovatie in ICT

Als hosting en cloud industrie moeten we meer aandacht besteden aan het MBO onderwijs. De grootste bedreiging voor de verdere groei van de cloud-industrie zit hem in het vinden van voldoende goed opgeleide mensen. Die zijn lastig te vinden, nu al. Voor elke starter op de IT-arbeidsmarkt staan maar liefst 13 vacatures open op dit moment. En dat gaat alleen maar erger worden als we er zelf niet wat aan doen.

OVH’s Laurent Allard tijdens de lancering van de vernieuwde OVH Marketplace waarin de Algolia zoekmachine is geïntegreerd.

{

‘ Daarnaast heeft OVH aan de wieg gestaan van Cloud Infrastructure Services Providers in Europe (CISPE)’

eveneens Franse firma houdt zich bezig met het ontwikkelen van algoritmes, search engines en tools voor text mining en zet dat in de markt onder de noemer ‘hosted cloud search as a service’. Zowel Algolia als OVH zien hierin een goede optie om op een intuïtieve manier te kunnen zoeken in grote hoeveelheden data. Zoals alle info die in OVH Marketplace beschikbaar is over het grote aantal apps en services dat hierin beschikbaar is.

CISPE Daarnaast heeft OVH aan de wieg gestaan van Cloud Infrastructure Services Providers in Europe (CISPE). Dit is een samenwerkingsverband van Europese technologiebedrijven in landen als Bulgarije, Duitsland, Finland, Frankrijk, Italië, Nederland, Noorwegen, Polen, UK en Zwitserland.

Deze organisatie richt zich vooral op het verbeteren van de toegang van met name MKB-bedrijven tot cloud en andere digitale producten en diensten. Men heeft inmid-

dels een Europese gedragscode rond databescherming gepresenteerd. Dit vormt een van de kernactiviteiten van CISPE: iedere cloud provider in Europa kan lid worden, mits de producten en diensten voldoen aan de privacy- en veiligheidseisen die in de gedragscode zijn vastgelegd.

In dit kader is het ook interessant om te zien hoe OVH zijn Summit-event aangreep voor het introduceren van een zogeheten ‘Bug Bounty Program’. Developers en hackers worden hierbij uitgenodigd om de code die OVH gebruikt in zijn diensten te onderzoeken op fouten en bugs. Voor de meldingen van eventuele bugs betaalt het Franse concern bedragen die variëren van 50 tot 10.000 euro. Overigens gaf een woordvoerder aan dat er voorlopig geen openbare lijst met bugs zal worden gepubliceerd.

Robbert Hoeffnagel

MBO onderwijs Om de situatie even heel kort te schetsen: er is een mismatch tussen wat de scholen aan jonge mensen leren en waar de industrie behoefte aan heeft. Dat is niet alleen bij ons, hetzelfde probleem speelt overal in Europa, en het is niet makkelijk op te lossen. Het is niet dat de scholen niet willen of dat leraren niet deugen. Overgesimplificeerd heeft het te maken met het feit dat het tijd kost om lesstof over een nieuwe technologie in de lesprogramma’s te krijgen, en wel zoveel dat nieuwe stof die toegevoegd wordt aan de curricula waarschijnlijk al achterhaald is op het moment dat de scholen ermee aan de slag gaan. En dit is structureel.

De scholen willen niets liever dan hun studenten succesvol zien worden. Het is aan ons, als sector, om ook onze verantwoordelijkheid te nemen. Om met de scholen te praten, om te helpen, om programma’s met ze op te zetten, om stageplaatsen te bieden, om mee te doen met de programma’s die anderen hebben opgezet en om de kennis die wordt overgedragen actueel te houden. Dit is niet een oproep om sociaal bewogen te zijn, het is eigenbelang. We hebben een sterk onderwijs nodig die de juiste mensen aanlevert. En dat zullen we alleen maar krijgen als we zelf ook de handen uit de mouwen steken om het te laten gebeuren.

Het probleem speelt in mindere mate op WO niveau, en het HBO kan ook redelijk mee. Maar er stromen niet genoeg studenten de arbeidsmarkt op vanuit het WO en HBO. Er wordt gevochten om studenten die met een Network en Systems Engineering masters de arbeidsmarkt op komen. Ook voor de HBO afgestudeerden staan de werkgevers in de rij. MBO CV’s worden door veel werkgevers, onterecht, nauwelijks serieus genomen.

Als brancheorganisaties nemen wij hier het voortouw in.

Wij zijn aan de slag met het onderwijs, en we gaan steeds meer doen. Er is een kloof, de wereld is niet vomaakt, maar het is in ons aller belang om samen te werken om hem te dichten.

Simon Besteman is directeur van ISPConnect, simon@ispconnect.nl, @ispconnect.

Terwijl een aanzienlijk deel van het werk bij een cloud provider of webhoster uitdagend werk op MBO niveau is. Voor beheer hoeft iemand niet in de breedte inzetbaar te zijn maar diegene moet wel in staat zijn om op een redelijk nauw gedefinieerd terrein lekker de diepte in te gaan. Perfect MBO werk eigenlijk.

Toch blijven CV’s van MBO’ers links liggen. Werkgevers betalen meer voor een HBO’er die statistisch gezien minder lang bij het bedrijf zal blijven omdat ze geen vertrouwen hebben in het MBO onderwijs. Dat is zonde. En op termijn werkt het averechts. We hebben de jeugd die vanuit het MBO komt nodig om de groei voor het komend decennium en daarna te borgen, en zij hebben ons nodig voor een goede, leuke baan.

CloudWorks - nr. 11 / 2016

15

Webportal Cloudscanner moet inkopen cloud-diensten drastisch vereenvoudigen

The Datacenter Group lanceert multivendor hosting-portal Op papier is het afnemen van een hosting-dienst erg eenvoudig. Maar wat als er aan die ene cloud service extra diensten rond storage, connectiviteit of security moeten worden toegevoegd? Dan blijkt het aanschaffen en goed op elkaar afstemmen van al dit soort services zo eenvoudig nog niet. The Datacenter Group verwacht dit probleem te kunnen oplossen met de lancering van Cloudscanner. Dit is een dienst die zich wellicht nog het beste laat omschrijven als een multivendor portal om het afnemen, beheren en afrekenen van hosting-diensten drastisch te vereenvoudigen.

Er is zo langzamerhand geen organisatie in Nederland meer te vinden die niet op een of andere manier met cloud en hosting aan de slag is. Soms gaat het enkel om Office 365. In andere gevallen om een als SaaS afgenomen boekhouding. Of anders om branchesoftware die uitsluitend nog in gehoste vorm beschikbaar is. Maar ook IaaS- en PaaS-diensten vinden inmiddels volop aftrek.

Hoewel van een massale migratie richting de cloud vaak nog geen sprake is - PostNL lijkt tot nu toe een uitzondering te zijn - zien we wel steeds meer bedrijven die voor een cloud first-strategie kiezen. Anders gezegd: ieder nieuw IT-project wordt in principe als cloud service opgezet en alleen in uitzonderingsgevallen wordt nog eigen software en hardware aangeschaft.

Uitleg over het platform Cloudscanner

16

Alles over innovatie in ICT

Nieuwe fase Daarmee betreden we ook een nieuwe fase in het proces van cloud-adoptie. Ging het tot voor kort vaak om redelijk geïsoleerde services, nu zien we dat rondom een cloud-applicatie een meer volwassen gehoste IT-omgeving opgezet moet worden.

Dat vraagt vaak om duidelijke keuzes. Aan een ontwikkelplatform voor developers stellen we immers andere eisen dan aan een SaaS-oplossing waarbij cloud-storage voor bijvoorbeeld back-up en archivering nodig is. Ook dienen vaak keuzes gemaakt te worden ten aanzien van connectiviteit en security.

In de praktijk komen veel bedrijven tot de ontdekking dat deze manier van afnemen van gehoste IT-componenten zo eenvoudig nog niet is. Wie het ontwikkelplatform als SaaS-applicatie afneemt, zal dan al snel vaststellen dat het voor een bepaalde periode inkopen van server- en storage-capaciteit vaak handmatig moet gebeuren. Er zijn nauwelijks aanbieders van cloud services of gehoste applicaties en diensten te vinden die naast het eigen productaanbod ook de overige componenten van een gehoste IT-omgeving aanbieden.

Portal In deze behoefte wil de The Datacenter Group voorzien met de lancering van Cloudscanner. Tijdens de introductie begin oktober in het Muziekgebouw aan ’t IJ in Amsterdam demonstreerde The Datacenter Group-oprichter en CEO Siemon van den Berg de functionaliteit van Cloudscanner. Hoewel de dienst nog in beta verkeert, werd duidelijk hoe dit platform afnemers van cloud services probeert te helpen om een volwaardige gehoste IT-omgeving te creëren. Daarbij kan gekozen worden uit een aantal categorieën als het gaat om IT-diensten - van servers tot dataopslag en van connectiviteit tot beveiliging. Per categorie biedt het platform inmiddels de diensten van een flink aantal aanbieders. Op die manier kan een keuze worden gemaakt die past bij de behoefte van de afnemer. Dat geldt voor servers die door middel van sliders van een groter of kleiner werkgeheugen kunnen worden voorzien, maar ook voor bijvoorbeeld netwerkverbindingen in tal van soorten en maten. Een soort booking.com voor de cloud.

Directeur Siemon van den Berg van The Datacenter Group en Cloudscanner tijdens de lancering van Cloudscanner, een nieuw platform voor cloud services en gehoste applicaties

Een belangrijk punt in de demo was de zogeheten ‘billing’. Met andere woorden: hoe regelt Cloudscanner de manier waarop de klant afrekent voor de gekochte diensten? Een IT-afdeling gaat per ingekochte cloud service een overeenkomst aan met de feitelijke leverancier. Cloudscanner zorgt echter wel voor een totaaloverzicht zodat de afnemer per project inzicht heeft in alle aangeschafte diensten. Hiertoe biedt Cloudscanner de mogelijkheid om meerdere projecten aan te maken, waarbij per project een separaat

{

‘ Er werd duidelijk hoe deze portal afnemers van cloud services probeert te helpen om een volwaardige gehoste IT-omgeving te creëren’

overzicht van afgenomen diensten en de kosten daarvan wordt opgesteld. Deze - zeg maar - administratieve functionaliteit zal de komende tijd verder uitgebouwd worden.

White label platform De lijst met cloud providers telt inmiddels meer dan 30 aanbieders waaronder Microsoft (Azure), TransIP, CloudVPS, Mtel, Onepoint, IS Group en OGD. Samen zijn al deze aanbieders goed voor zo’n 25.000 IT-producten en -diensten die via het platform van Cloudscanner door middel van een slim filtersysteem gevonden en afgenomen kunnen worden.

Overigens is Cloudscanner in twee smaken beschikbaar. Dat is allereerst het Cloudscanner-platform zelf. Hier kan een IT-afdeling zelf gehoste diensten afnemen. Maar de portal is ook beschikbaar in een white label-versie. Daarmee kunnen organisaties zelf in hun eigen look and feel een platform creëren waarmee zij vervolgens de producten en diensten van Cloudscanner aan hun eigen klanten kunnen aanbieden. Geïnteresseerden kunnen via www.cloudscanner.nl een gratis demo aanvragen.

Robbert Hoeffnagel CloudWorks - nr. 11 / 2016

17

Conferentie Combineert Boudica-chips met LiteOS en developer-programma

Huawei zet vol in op NB-IoT

Toch lijkt het tot nu toe niet goed te lukken om technische faciliteiten (zeg maar: de netwerkinfrastructuur) en businessdoelstellingen - bijvoorbeeld: meer omzet per reiziger of het terugdringen van files - met elkaar te verbinden. Het lijkt op een kip-en-ei-kwestie: er is een infrastructuur beschikbaar maar men weet niet zo goed welke applicaties daarvan gebruik moeten maken. In andere gevallen heeft men wel interessante ideeën voor applicaties, maar ontbreekt het aan een adequate infrastructuur.

Nieuwe aanpak

Lancering tijdens de Huawei Connect-conferentie in Parijs van de Lab as a Service

Huawei duikt nu in dit gat met een aanpak waarbij men nadrukkelijk beide thema’s aan elkaar koppelt. Dat bleek tijdens Huawei Connect, een conferentie die het concern onlangs in Parijs organiseerde. Tijdens dit event werd volop aandacht besteed aan concepten als een ‘digital airport’, ‘smart school bus’ en ‘digital manufacturing’. In alle gevallen werden techniek en business nadrukkelijk aan elkaar gekoppeld. Neem bijvoorbeeld een digitaal vliegveld. Dit is uitgewerkt tot een concept waarbij alle denkbare activiteiten van het vliegveld zijn gedigitaliseerd. Zeg maar: van het bewaken van de asfaltconditie van de starten landingsbanen tot de narrowcastingterminals waarop reisinfo en commerciële boodschappen zijn te zien tot inzicht in de feitelijke reizigersbewegingen door de terminals. Al dit soort info wordt verzameld en kan op basis van analytics worden ingezet om het functioneren van het vliegveld verder te verbeteren.

geheten ondersteuning van developers van IoT- en Smart City-applicaties

Optimaal benutten Huawei zet fors in op Internet of Things en Smart Cities. Het concern is al vele jaren actief met netwerkapparatuur voor telco’s, maar zet nu meer en meer in op de applicaties die data door deze infrastructuur sturen.

Internet of Things-projecten spelen hierbij een hoofdrol. Het concern heeft hier nu een aantal troeven voor bij elkaar gebracht: het in eigen beheer ontwikkelde LiteOS besturingssysteem, de Boudica-processoren en een programma dat developers en partners ondersteunt bij het ontwikkelen van nieuwe IoT-applicaties.

Internet of Things en Smart Cities. Het zijn twee fenomenen die continu in de aandacht staan, maar die tegelijkertijd vaak redelijk abstract blijven. Het zijn bovendien niet zozeer IT-onderwerpen als wel businessthema’s. Toch zien we dat de technische infrastructuur vaak redelijk gemakkelijk ontwikkeld kan worden, maar dat het vaak

18

Alles over innovatie in ICT

ontbreekt aan duidelijke ideeën over de vraag wat we dan precies met die infrastructuur gaan doen.

Infrastructuur-denken Zo zien we dat veel Smart City-projecten blijven hangen in ‘infrastructuur-denken’.

Ook veel Internet of Things-projecten

worden vooral technisch ingestoken en komen daardoor niet of slechts moeizaam van de grond. Dat is opmerkelijk, aangezien veel van dit soort projecten wel degelijk belangrijke business-voordelen kunnen bieden. Een vliegveld dat door middel van iBeacons of andere sensoren een duidelijk beeld heeft van de loop van reizigers door het shopping-gedeelte kan daar commercieel veel voordeel van hebben. Hetzelfde geldt voor een stad met veel verkeersopstoppingen als gevolg van - bijvoorbeeld - een niet goed ontsloten havengebied. Het consequent meten van verkeersstromen maakt vaak duidelijk hoe dit soort problemen opgelost kunnen worden.

Huawei ontwikkelt zich meer en meer van een ‘pure play’ aanbieder van technologie voor het creëren van een netwerkinfrastructuur tot een partij die helpt om deze infra ook nog eens optimaal te benutten.

Daartoe heeft het concern een aantal nieuwe mogelijkheden gecreëerd.

Allereerst gaat het dan om narrow-band IoT (NB-IoT). Dit is de netwerktechnologie die wat Huawei betreft de basis vormt voor veel IoT- en Smart City-projecten.

Een cruciale vraag die bij ieder IoT-project beantwoord dient te worden is: hoe kunnen we de voor dit project relevante sensoren op een energie-efficiënte manier inzetten?

Dat stelt eisen aan de connectiviteit (zeer kleine hoeveelheden data versturen) en de sensoren. Een belangrijke stap hierbij is de

Huawei’s EMEA-topman Vincent Pang geeft uitleg over de ondersteuning die het concern gaat geven aan developers

nieuwe Boudica-processor die Huawei via de overname van het Britse Neul in bezit heeft gekregen. Deze chip kent een zeer laag energieverbruik en kan daardoor jarenlang op een enkele batterij functioneren.

Een belangrijk voordeel bij veel IoT- en Smart City-projecten.

Developers Een tweede element in de aanpak van Huawei is LiteOS. Dit is een besturingssysteem van Huawei dat IoT-apparaten aanstuurt. Daarmee is LiteOS dus het platform waarop IoT-applicaties ‘draaien’.

Wat die applicaties betreft kwam Huawei in Parijs met een belangrijke verrassing: het concern gaat de komende jaren fors investeren in de relatie met applicatieontwikkelaars. Dat is een interessante zet, aangezien veel aanbieders van infrastructuurtechnologie hier tot nu toe weinig aandacht aan besteden. Huawei ziet dit anders. Het bedrijf wil graag nauw samenwerken met developers om de applicaties te ontwikkelen die de eerder beschreven catch-22 kunnen doorbreken.

Het zijn - naast een goed gedimensioneerde infrastructuur - immers de applicaties die in belangrijke mate het succes van een IoT- of Smart City-project bepalen.

Ecosysteem Organiseerde Huawei al eerder een developer conference in Shanghai, nu heeft men een developer-programma ontwik-

keld om ontwikkelaars van IoT- en Smart City-applicaties naar zich toe te trekken.

Allereerst heeft men een investeringsprogramma aangekondigd voor het zogeheten ecosysteem van partners in deze markten. Hiervoor is een bedrag van 75 miljoen euro beschikbaar. Dit geld kan onder andere worden gebruikt om partners te ondersteunen bij het geschikt maken van applicaties of cloud services voor IoT- of Smart City-projecten.

Daarnaast wil Huawei graag developers ondersteunen. Hiertoe is een zogeheten Lab as a Service-programma ontwikkeld. Deze service maakt het ontwikkelaars mogelijk om gebruik te maken van Huawei’s datacenter-infrastructuur om applicaties te ontwikkelen en te testen.

Dit programma is weliswaar nog niet beschikbaar in Nederland, maar geeft wel een duidelijk signaal af over de richting waarin Huawei momenteel werkt. Tot voor kort richtte het concern zich vooral op de netwerkinfrastructuur. ‘Pipes’ noemde men dat. Inmiddels gaat men een stap verder en kijkt men vooral naar projecten die vallen onder de noemer ‘Pipes+’. Met andere woorden: veel aandacht voor de netwerkinfrastructuur, maar ook voor de applicaties die gebruik maken van deze infrastructuur.

Robbert Hoeffnagel CloudWorks - nr. 11 / 2016

19

PAM Gebruikersaccounts met bijzondere privileges vertegenwoordigen binnen elke organisatie de sleutel tot de kluis. Beheerders hebben deze accounts bijvoorbeeld nodig voor het installeren van software-updates en het resetten van wachtwoorden. Privileged accounts bieden vaak onbeperkte toegang tot systemen en data en dat brengt risico’s met zich mee. Als accounts bijvoorbeeld onbeheerd blijven, kunnen onbevoegden volledige controle over computersystemen krijgen.

Het drieluik van privileged account management

Succesvol privileged account management (PAM) vraagt om een plan. Drie controlemechanismen blijken hiervoor cruciaal te zijn: veilige en gecontroleerde toegang tot privileged accounts, het ‘least privileged access’principe en registratie plus monitoring.

Beveilig en controleer de toegang tot privileged accounts Het terugdringen van de risico’s rond privileged accounts vraagt om een betrouwbaar overzicht van alle accounts met bijbehorende eigenaars. De wachtwoorden voor privileged accounts zijn vaak hard gecodeerd in diverse scripts en applicaties. Dit betekent dat je alleen een goed overzicht krijgt van mogelijke kwetsbaarheden als je beschikt over een uitgebreide lijst van privileged accounts met de gekoppelde personen en systemen.

Kijk hiervoor eerst naar de toegangsrechten voor externe partijen, zoals leveranciers.

Het is natuurlijk erg riskant om waardevolle aanmeldingsgegevens toe te vertrouwen aan mensen buiten je organisatie. Zij hebben echter mogelijk op afstand toegang nodig tot je infrastructuur. In dat geval kan een speciale reeks van toegangsrechten aan hen verleend worden. Als het je niet lukt om speciale toegangsrechten voor externe partijen en privileged accounts voor je eigen medewerkers te creëren, kan dit resulteren in beveiligingsrisico’s als virusinfecties of onbevoegde toegang.

Florian Malecki

20

Alles over innovatie in ICT

Je hebt in elk geval een veilige locatie nodig voor de opslag van aanmeldingsgegevens, het liefst beschermd met encryptie en diverse authenticatieniveaus. Vervolgens moet je voorkomen dat gebruikers hun gegevens delen en individuele verantwoordelijkheid waarborgen door strikte regels voor wachtwoorden. Dit handmatig te doen vraagt veel tijd en zorgt vaak voor fouten. Organisaties die een hoge prioriteit toekennen aan de beveiliging van privileged accounts, maken daarom vaak gebruik van ‘privileged password safe’-technologie. Dit beveiligt niet alleen de gegevens van privileged accounts

met een aantal beveiligings- en authenticatielagen, maar het zorgt er ook voor dat zij altijd op een gecontroleerde manier toegankelijk blijven voor bevoegden.

Het ‘least privileged access’-principe Best practices voor de beveiliging en de wet- en regelgeving vereisen vaak dat gebruikers individueel verantwoordelijk worden gehouden. Organisaties moeten daarom precies weten wie toegang heeft tot wat en wanneer, en gebruikers enkel toegang verschaffen als ze anders hun werk niet kunnen doen. Dit maakt het mogelijk om (opzettelijke) schadelijke activiteiten te beperken tot een minimum.

Voor het ‘least privileged access’-principe moeten eerst de rollen binnen je organisatie in kaart worden gebracht. Er zijn drie manieren om rollen te identificeren: top-down, waarbij gebruikers rollen krijgen toegewezen op basis van hun functie, bottom-up, waarbij gebruikers een rol krijgen aangewezen op basis van een gemeenschappelijke set van bronnen waar ze toegang voor nodig hebben, en op basis van gelijkenis, waarbij er voor medewerkers die dezelfde taken uitvoeren en dezelfde toegangsrechten hebben een speciale rol wordt aangemaakt. Omdat rollen en toegangsrechten voortdurend veranderen, is het van cruciaal belang om alle rollen en toegangsrechten voortdurend opnieuw te evalueren en waar nodig wijzigingen aan te brengen, het liefst tenminste één keer per jaar. Als je organisatie echter snel groeit, kan het nodig zijn om vaker evaluaties uit te voeren.

{

Wees voorzichtig en definieer de rollen en toegangsrechten niet te fijn. Anders groeit het verlenen en beheer van toegangsrechten uit tot een bottleneck voor de organisatie zonder nog toegevoegde waarde te leveren. Het gebruik van accounts met zo min mogelijk toegangsrechten kan dus behoorlijk complex uitpakken en niet alle systemen bieden interne ondersteuning voor dit proces. Als oplossing kunnen organisaties gebruikmaken van externe oplossingen voor het delegeren van taken op het gebied van toegangsbeheer. Deze moeten vaak worden toegepast op systemen die geen interne mogelijkheid bieden voor het delegeren, bijvoorbeeld Unix of Linux.

Registratie en monitoring Het is niet voldoende om te bepalen wat gebruikers wel en niet mogen doen. De eerste stap is om te bepalen welke soorten activiteiten je in kaart wilt brengen en laten rapporteren. De volgende stap is om vast te stellen hoe deze rapportage aangeleverd kan worden. Welke logbestanden moet je verzamelen om een compleet en accuraat rapport samen te stellen, en hoe breng je deze informatie in verband met individuele gebruikers?

Hoewel password safe-technologie hierbij kan helpen, zou je gebruik moeten maken van een oplossing voor sessiebeheer om te achterhalen wat gebruikers precies met hun speciale toegangsrechten doen. Een absoluut waterdicht systeem is er niet. Dit is ook niet gewenst. Het doel moet uiteindelijk zijn ICT-systemen open en flexibel te houden om de business in het digitale tijdperk te ondersteunen. Het beheer van toegangsrechten in het algemeen en het beheer van privileged accounts in het bijzonder spelen hierbij een centrale rol. Terwijl het perfecte systeem niet bestaat kom je met het hierboven geschilderde PAM-drieluik al een heel eind.

Florian Malecki is International Product Marketing Director SonicWall

‘ Het doel moet uiteindelijk zijn ICT-systemen open en flexibel te houden om de business in het digitale tijdperk te ondersteunen’ CloudWorks - nr. 11 / 2016

21

Visie Waar mensen geboren zijn om regels te breken, zijn machines gemaakt om regels te volgen

Kunstmatige Intelligentie

vormen, bijvoorbeeld financiële beloningen, additionele trainingen of een functie op een volgend niveau binnen de organisatie.

Laat dit vanuit het hoogste niveau binnen de organisatie gecommuniceerd worden en door medewerkers worden gefilterd.

Hoe sterker het managementteam dat het nieuwe operationele model implementeert, des te groter de kans op succes.

Naast beloningen, moeten er voor de medewerkers hulpmiddelen beschikbaar zijn om te kunnen slagen - financiering, tijd, technologie of ondersteuning vanuit het management.

2. B ereidheid om aan te passen en te innoveren

Terugkijkend op het pre-industriële tijdperk, zijn de benodigde vaardigheden van een beroepsbevolking onherkenbaar veranderd. De technologie heeft die processen vaak geautomatiseerd. Bovendien is de tijdsbesparing toegenomen, waardoor menselijke arbeid voor andere taken is ingezet. Nu is met de opkomst van Kunstmatige Intelligentie wederom het werkleven van de beroepsbevolking aan het veranderen.

Het debat gaat niet langer over machine versus mens, maar over machine en mens wat de weg vrij maakt voor nieuwe rollen, met de focus op hoe mensen naast machines kunnen werken en deze kunnen beheren voor maximale effectiviteit en productiviteit. De verandering in arbeidsdynamiek wordt door het laatste onderzoek van Gartner onderschreven. Dit rapport geeft aan dat tegen 2030 de uitgaven aan virtueel talent 10% hoger zullen zijn dan die aan menselijk personeel.

22

Alles over innovatie in ICT

Met de diepgaande krachten van technologische verandering die de manier waarop mensen werken beïnvloedt, zijn er vier essentiële vaardigheden om in de nieuwe wereld vooruit te gaan.

1. Leiderschap en vertrouwen om verandering aan te sturen Zoals met ieder nieuw systeem of zelfs werknemer, wordt het uiteindelijke succes voornamelijk gedreven door management.

Kunstmatige Intelligentie en automatisering

binnen een organisatie zullen slechts zo succesvol zijn, als het team dat er verantwoordelijk voor is.

Succesvol leiderschap heeft bovendien te maken met werknemers opleiden op het gebied van hoe automatisering en het huidige operationele model te herzien, met meer plezierige, strategische en creatieve functies als gevolg. Aantonen hoe de samenwerking tussen mensen en machines de productiviteit en omzet kan verhogen, is eveneens essentieel. Het management moet de veronderstelling dat automatisering op grote schaal ontslagen en andere problemen veroorzaakt, tegenspreken.

Zodra de juiste technologie eenmaal aanwezig is, moet het personeel gestimuleerd worden om aan een soepele transitie mee te werken. Incentives zijn er in vele

Leiderschap kan de weg vrij maken. Echter is succes grotendeels afhankelijk van de bereidheid van ieder individu om zich aan te passen. Degenen die bereid zijn om verandering te omarmen en hun vaardigheden te actualiseren om op die manier aan de vereisten van nieuwe functies te kunnen voldoen, halen de beloningen binnen.

Binnen de IT-afdelingen moeten in het bijzonder de IT-managers gaan nadenken over hoe zich aan de geautomatiseerde processen aan te passen, in plaats van hoe hun functies rondom de verminderde capaciteit van handarbeiders te organiseren.

Een grote aanpassing in mentaliteit en dat leidt tot grotere kansen voor meer hoogopgeleide en gevarieerdere functies.

De aanpassing kan bijdragen aan de verandering van IT als onderdeel in de backoffice, naar een strategische afdeling binnen de organisatie. Een IT-medewerker die bijvoorbeeld nieuwe algoritmen of systematische verbeteringen ontwikkelt, heeft de potentie om een onderneming compleet te transformeren. Hierdoor verandert IT van een kostenpost naar een winstgevende afdeling.

Ondanks dat iedere vorm van herstructurering onvermijdelijk te maken krijgt met een mate van verzet, heeft het nieuwe model op termijn de potentie om veel grotere voordelen voor het gehele personeelsbestand te leveren.

Onthoud dat vaardigheden van mensen zich ontwikkelen en niet statisch zijn.

Iedere nieuwe technologische ontwikkeling creëert functies die in het verleden nog niet bestonden. De Twitter- en Facebookrevolutie hebben bijvoorbeeld geleid tot tienduizenden nieuwe sociale media-experts en gezorgd voor een nieuwe zakelijke behoefte.

3. R obots en geautomatiseerde systemen beheren Kunstmatige Intelligentie en geautomatiseerde systemen beheren, is op vele vlakken verschillend van mensen managen. Voor werknemers betekent dit dat zij aan nieuwe collega’s die geen mensen zijn, moeten wennen.

Machines hebben een onverslaanbaar geheugen en de capaciteit om grote hoeveelheden informatie te verwerken, maar komen niet in de buurt van menselijke creativiteit en vindingrijkheid.

Waar mensen geboren zijn om regels te breken, zijn machines gemaakt om regels te volgen - samenwerkend, schept dit een ongekende versnelling in productiviteit.

De kwaliteit van de uitkomst is vaak net zo goed als die van de briefing en doelstellingen - zoals dit ook het geval is bij mensen managen. Door dit in de context te plaatsen van de automatische en robotische systemen, zal het een essentiële vaardigheid worden.

Geautomatiseerde systemen vragen mensen om alle onderhoudstaken vast te leggen en accurate dossiers te maken, voor een grote hoeveelheid processen die momenteel handmatig worden uitgevoerd èn nu nog weinig bijgehouden informatie opleveren.

Wanneer deze data in de toekomst wordt geanalyseerd, kunnen patronen op een structureel niveau vanaf de basis worden herkend, waardoor terugkerende problemen voorkomen kunnen worden.

Wanneer het IT-personeel samenwerkt met machines, komt de focus te liggen op voorlopen op problemen, in plaats van incidenten op een reactieve wijze te managen. Dit voorkomt dat de problemen terugkeren. Daarbij worden prestaties van de organisatie fundamenteel verbeterd.

ligentie is een Data Wetenschapper - tien jaar geleden bestond die rol nog niet (in ieder geval niet onder deze titel). De vraag naar commercieel slimme data-analisten overstijgt al snel het aanbod. Bedrijven zoals Microsoft en Google nemen dit soort specialisten massaal in dienst.

Een ander voorbeeld is de vraag naar kandidaten binnen Kustmatige Intelligentieorganisaties die vaardigheden in wiskundige logica met toegepaste filosofie combineren.

In feite zetten zij menselijke wijsheid en kennis om in een formule die machines kunnen begrijpen.

Hoewel dit de status quo tal van uitdagingen biedt, brengt automatisering gedreven door Kunstmatige Intelligentie grote voordelen voor zowel werknemers als organisaties.

Echter moet het senior management de transitie van het personeelsbestand begeleiden, ondersteunen en financieren om de grootste beloningen te krijgen.

Grote mate van vooruitgang en vrijheid De organisaties die tijd en geld investeren in de vooruitgang van organisaties en werknemers op de lange termijn, zijn de bedrijven die er financieel gezien de grootste vruchten van plukken. De individuen binnen organisaties die het meest bereid zijn om met machines te werken en nieuwe vaardigheden te ontwikkelen, zullen waarschijnlijk degenen zijn die hun carrière naar een hoger niveau tillen.

Ieder tijdperk van technologische verandering heeft met verzet te maken gehad.

Uiteindelijk heeft het een grote mate van vooruitgang en vrijheid voor de beroepsbevolking en werkgevers betekend. Dat laatste verliezen we niet uit het oog.

Frank Lansink, CEO IPsoft Europe

4. Data-analyse Door de introductie van Kunstmatige Intelligentie volgt de introductie van de ‘IT Data Intelligence Officer’. Hoogopgeleide werknemers zullen in staat zijn om grote hoeveelheden data die voortkomen uit de geautomatiseerde procedures, te filteren en te interpreteren om die gegevens naar waardevolle intelligentie te transformeren.

De mogelijkheid om het grotere geheel te zien, trends en mogelijkheden te ontdekken, worden een kerncompetentie binnen de IT, omdat het de verschillende capaciteiten van zowel mensen als machines maximaliseert.

Een geliefde nieuwe functie binnen de technologie en vooral Kunstmatige IntelCloudWorks - nr. 11 / 2016

23

Event

OutSystems geeft startschot voor digitale revolutie op drukbezocht NextStep

Softwareleverancier OutSystems demonstreerde op 12 oktober tijdens zijn drukbezochte klantenevent NextStep Benelux 2016 hoe bedrijven een revolutionaire digitale transformatie kunnen doormaken. Tegen een indrukwekkend 3D-decor hoorden bezoekers van het event uit eerste hand hoe bedrijven met het nieuwe low-code ontwikkelplatform OutSystems 10 in een paar weken tijd enterprise grade mobiele native apps bouwden, en het speelveld compleet om wisten te gooien.

OutSystems, leverancier van het gelijknamige enterprise Rapid Application Delivery (RAD) platform, kan terugkijken op een geslaagd evenement. Met ruim 500 CIO’s, partners en IT-professionals had NextStep Benelux 2016 de grootste opkomst in zijn geschiedenis. Los nog van de keynotes en andere inspirerende sprekers was dé publiekstrekker OutSystems 10, het gloednieuwe low code-platform waarmee geavanceerde native mobile apps gemaakt kunnen worden. Live on stage werden een aantal sterke staaltjes getoond.

De interesse in low-code platformen neemt sterk toe, zo ook in OutSystems, vertelde Willem van Enter, algemeen directeur Benelux bij OutSystems in zijn welkomstwoord. “De omzet van OutSystems is in Nederland het afgelopen jaar met maar liefst 280 procent gestegen. We zien een toegenomen behoefte bij bedrijven om enterprise grade native mobiele applicaties te bouwen. Apps die geïntegreerd kunnen worden met legacy systemen, en die in een tijdspanne van weken in plaats van maanden kunnen worden ontwikkeld en gelanceerd, en daarnaast bliksemsnel kunnen worden opgeschaald. Met OutSystems 10 bieden wij de oplossing voor alle bedrijven die worstelen met deze uitdagingen.”

Native mobile apps Keynote tijdens het event kwam van OutSystems-CEO Paulo Rosado. Hij deed onder andere uit de doeken hoe OutSystems 10 het levenslicht zag. “Zo’n twee en een half jaar geleden zagen we een grote toename in vraag naar Tier 1 native mobiele applicaties waarmee bedrijven met klanten kunnen interacteren. We bouwden die applicaties zelf om aan de vraag te kunnen voldoen, maar waren hier ook veel tijd aan kwijt. We wilden een oplossing bieden waar bedrijven zelf mee aan de slag kunnen.”

De grootste uitdaging daarbij was het mogelijk maken van het ontwikkelen van native apps die volledig gebruik kunnen maken van de functionaliteiten van de devices en daardoor ook offline kunnen werken. “In mei 2016 lanceerden we OutSystems 10 in Lissabon en startten we een early developers program. Inmiddels zijn er meer dan vijftig klanten live met het platform en dit aantal groeit hard. De positieve feedback die we krijgen van gebruikers is overweldigend en er zijn een aantal werkelijk verbluffende nieuwe apps ontwikkeld.”

Aansluitend aan de keynote volgde een live demo op het podium, zodat het publiek kon zien hoe eenvoudig en snel je een mobiele app kunt bouwen met OutSystems 10. Door middel van model gedreven ontwikkeling kun je binnen een half uur een native app ontwikkelen die ook offline werkt, met functionaliteiten als swipen en koppelingen met andere applicaties op het device en de app vrijwel volledig geautomatiseerd aanbieden bij de app store. Tijdens

24

Alles over innovatie in ICT

hands-on technologiesessies konden de aanwezige ontwikkelaars op NextStep van dichtbij ervaren hoe OutSystems 10 werkt.

Inspirerende klantverhalen Verschillende gerenommeerde klanten van OutSystems waren aanwezig op NextStep Benelux om te vertellen over de baanbrekende systemen die ze met het platform hebben ontwikkeld.

Een van hen was RET. Het Rotterdamse vervoersbedrijf ging een strategische samenwerking aan met OutSystems en realiseerde een digitale transformatie. RET startte om met OutSystems agile en scrum te werken en ontwikkelde tot nu toe maar liefst twaalf applicaties, waaronder een mobiele applicatie voor veiligheid in het openbaar vervoer, en een online HR systeem. Eén van de meest aansprekende applicaties was het zogenoemde DigiCall systeem.

Dit is een op Internet of Things gebaseerde maintenance-applicatie waarmee het onderhoud van materieel van RET kan worden gemanaged. In het systeem wordt regulier onderhoud ingepland, en op basis van online en realtime technische data kunnen storingen aan voertuigen eerder worden gesignaleerd. Voertuigen kunnen hierdoor preventief naar binnen worden gehaald voor reparatie zodat het aantal voertuigdefecten vermindert. Dit zorgt voor een aanzienlijke daling in onderhoudskosten, het efficiënter kunnen inzetten van materieel en minder vertragingen in het vervoer.

{

‘ Tijdens NextStep werden de meest succesvolle OutSystems-projecten van het afgelopen jaar geëerd’

Een andere klant die aanwezig was op NextStep was groente- en fruitgroothandel Frankort en Koning. Dit bedrijf had al eerder met het RAD-bijltje gehakt, maar na een evaluatie van het bestaande systeem, kwam het tot de conclusie dat er meer te halen viel op operationeel vlak. Frankort en Koning ontwikkelde met OutSystems een ERP-systeem dat in dienst stond van zijn werkzaamheden, in plaats van deze te dicteren.

Woningnet en OutSystems-partner COOLProfs deden in een gezamenlijke sessie uit de doeken hoe ze door middel van co-sourcing een woningbemiddelingsapplicatie ontwikkelden, en over de struikelblokken die ze in dit proces tegenkwamen. Want gezamenlijke verantwoordelijkheid is gemakkelijker gezegd dan gedaan.

Tijdens NextStep werden tijdens een award-uitreiking de meest succesvolle OutSystems-projecten van het afgelopen jaar geëerd.

RET won de award voor Most Scalable Project en Frankort en Koning voor Mission Critical Project. Verder won de financiële instelling Crédit Agricole de prijs voor Fastest Delivered Project, won het 400 jaar oude op- en overslagbedrijf Vopak Most Innovative Company, en ging energieleverancier Eneco naar huis met de Best Skilled Company Award.

CloudWorks - nr. 11 / 2016

25

Mobiel werken BYOD vereist intelligente netwerken

Cloudpath ontlast IT-afdelingen bij uitrol en beheer veilige WiFi toegang voor WiFi gebruik. Mobiele en de formele IT-gebonden (vaste en draadloze) toestellen komen samen in één veilige, schaalbare en bedieningsvriendelijke netwerkomgeving.”

Geïntegreerd beheerplatform

De mobiele IT-gebruiker opent nu 6 keer meer webpagina’s en activeert 14 keer meer megabytes aan applicaties dan in 2013. Het doorslaande succes van BYOD (Bring your own Device) zadelt IT-afdelingen op met nog meer beheertaken. De connecties naar de mobiele apparaten; het bereik van de draadloze netwerken; de aansluitingen op het internet in samenhang met de applicaties: het vraagt allemaal om aanpassing vanwege de veranderende eisen van de gebruikers. IT-afdelingen lopen regelmatig achter de feiten aan. Het beheer van de mobiele netwerkinfrastructuur slokt hun capaciteit op. Onbeperkt mobiel IT-gebruik op basis van een veilige, op BYOD toegesneden WiFi architectuur: wie wil het niet? Brocade Ruckus Cloudpath wijst IT-afdelingen de weg naar zorgeloze zekerheid in mobiel werken.

Met de brede acceptatie van Gigabit WiFi komen ook de intelligente netwerkarchitecturen in beeld. De eerste praktijkproeven leerden, dat een overdosis aan bandbreedte op zich niet volstaat om de groei van het aantal mobiele IT-gebruikers op te vangen.

In onze ’digital first’ maatschappij ligt de focus op de gebruikers en hun mogelijke ’business’ en niet op de structuur en eventuele beperkingen van het mobiele netwerk. We verwachten dat die zich aanpast aan de gewijzigde vraag naar connectiviteit met informatiebronnen, ongeacht waar die zich bevinden. We willen productief, maar ook veilig, overal en op elk tijdstip mobiel kunnen werken, niet gehinderd door lastige inlogprocedures van IT-afdelingen. Met nu al 5 miljard mobiele gebruikers wereldwijd en een verwachte

26

Alles over innovatie in ICT

groei in de komende 5 jaar van 18 keer het huidige volume van het mobiele dataverkeer, is het duidelijk dat IT-afdelingen van bedrijven hun handen vol hebben aan het optimaal benutten van de beschikbare technologie. Inzicht in het gebruik van mobiele apparaten, het beslag op systeembronnen, de capaciteitsplanning en de karakteristieken van draadloze transmissie vraagt om geautomatiseerde beheerfunctionaliteit, ondergebracht in intelligente netwerken. WiFi-netwerken vormen de haarvaten van de digitale samenleving. Er zijn er te veel en ze zijn te belangrijk om ze nog handmatig te laten beheren.

Misvatting beveiligingsrisico’s “Het is een misvatting om te denken dat open WiFi netwerken of andere vormen van draadloze communicatie altijd beveiligingsrisico’s met zich meebrengen voor de IT-infrastructuur van een onderneming of een overheidsinstantie”, zegt Spencer Hinzen, directeur Business Development bij Brocade. “Het is waar dat je aanvullende factoren in overweging moet nemen naast capaciteit.

Die is al gauw te gering wanneer je een draadloos netwerk in een openbare ruimte of een onderwijsinstelling uitrolt, met veel tegelijkertijd aangesloten mobiele gebruikers, die allemaal met hun eigen specifieke apparaten veilige en betrouwbare internettoegang tot de voor hen belangrijke informatiebronnen willen. Voor deze complexe omgevingen is Cloudpath gemaakt. Een cloudgebaseerde WiFi oplossing met ingebouwde beheerfunctionaliteit en gebruikvriendelijke ’doe-het-zelf’ instelmogelijkheden. Daarmee overbruggen we de kloof die gaapt tussen de strenge beveiligingsprocedures voor toegang tot bedrijfsnetwerken en de persoonsgebonden (BYOD) apparaten, die vragen om eenvoudige instellingen

Met de nieuwe versie ES 5.0 van Cloudpath krijgen IT-organisaties of -afdelingen, ongeacht hun grootte, de middelen om volledige BYOD-functionaliteit op te nemen in één beheerplatform, met daarin geïntegreerd de gangbare IT-beveiligingsprocedures en de beleidsregels van een organisatie. Volgens cijfers van IDC zal in de Verenigde Staten het aantal mobiele werkers toenemen van 96 miljoen in 2015 naar 105 miljoen in 2020. IDC’s analist Nolan Green ziet dat die toename ondernemingen dwingt tot het invoeren van BYOD beleid in hun organisatie. “Bij de projectuitrol hebben organisaties moeite met de beveiliging van verbindingen tussen apparaten en het netwerk. Zeker wanneer een IT-afdeling met een kleine bezetting zo veel mogelijk taken verricht. Dergelijke IT-afdelingen zoeken naar oplossingen die naast de aansluitmogelijkheden voor mobiele werkers ook voorziet in een ondernemingsgericht niveau van beveiliging.”

Cloudpath software werkt met zowel vaste als draadloze netwerken, met netwerk firewalls, de besturingssystemen van de aangesloten apparaten en andere gangbare methoden voor het naleven van beveiligingstandaarden.

•H echte integratie met Brocade ICX netwerk switches door de configuratie opties in Cloudpath software voor het dynamisch afdwingen van toegangsregels (Change of Autorization: CoA) en het controleren op web authenticiteit voor aansluitingen via een vaste verbinding.

Spencer Hinzen, directeur Business Development bij Brocade

Ook in Europa streven veel organisaties naar een probleemloze uitrol van BYOD in samenhang met gemeenschappelijke richtlijnen voor zowel vaste als draadloze verbindingen, alsmede bedrijfsbrede regels voor de beveiliging van en het gebruik van internetverbindingen. Dikwijls zijn IT-afdelingen niet in staat dergelijke projecten naar tevredenheid uit te voeren vanwege de complexiteit van de hedendaagse beveiligingsinfrastructuur. De software van Cloudpath vergemakkelijkt de uitrol en het beheer voor de kleinere IT-teams en maakt de functionaliteit van moderne en robuuste beveiligingsprincipes ook voor hen toegankelijk.

De belangrijkste vernieuwingen in Cloudpath ES 5.0 op een rij: • Centraal beheer van de beveiliging en de bedrijfsvoorschriften met behulp van software die voorziet in het gebruik van een vereenvoudigde Public Key Infrastructure (PKI), gebaseerd op industriestandaard x.509 digitale certificaten.

• Snelle en betere faciliteiten voor eindgebruikers om binnen 10 seconden met hun apparaten in te loggen. Ze hoeven geen toegangscodes te onthouden en niet opnieuw in te loggen wanneer ze tussen verschillende netwerken schakelen.

• Lagere operationele IT-kosten en software licentiekosten dankzij een op de gebruiker gebaseerde licentie, betere netwerkplanning en het in bedwang houden van de kosten wanneer het aantal apparaten per aangesloten persoon toeneemt.

• Moeiteloze integratie met de bestaande infrastructuur omdat

Bij het Britse opleidingsinstituut The Flyde College (B&FC) in Blackpool vormde de introductie van Chromebook laptops als leermiddel voor de studenten de aanleiding om de totale netwerkinfrastructuur te vernieuwen. B&FC was er veel aan gelegen om het netwerk met de onderwijssystemen en de openbare WiFi-aansluitingen zo goed mogelijk te laten beveiligen. Nieuwe wetgeving in het Verenigd Koninkrijk maakt het opleggen van enorm hoge boetes mogelijk wanneer een instelling aansprakelijk wordt gesteld voor datalekken. Met Cloudpath zijn 22.000 studenten van B&FC verzekerd van WiFi-toegang met een minimale belasting van de IT-staf van het instituut en een maximale beveiliging van de digitale voorzieningen.

CloudWorks - nr. 11 / 2016

27

Markt

De opkomst van het micro datacenter Om micro datacenters kunnen we niet meer heen. Maar waarom is dat? CloudWorks ging in gesprek met Bas Jacobs, Product Manager bij Minkels. Hij gaat in op de ontwikkelingen in de micro datacentermarkt en belicht enkele ‘drivers’ die van invloed zijn op de marktvraag.

Driver – 1: Internet of Things (IoT) Internet of Things (IoT) verandert het datalandschap volledig. Bas Jacobs: “In 2014 waren er wereldwijd nog 14 miljard connected devices. In 2020 zullen dat er 50 miljard zijn (Bron: Cisco). Ook de wereldwijde micro datacentermarkt krijgt hierdoor een boost: van 1,7 miljard dollar in 2015 naar 6,3 miljard dollar in 2020.

Centrale afhandeling van data voldoet voor IoT niet, vanwege onder meer low latency (edge analytics) eisen. IoT vereist dus lokale afhandeling van deze data met bijvoorbeeld micro datacenters.”

Driver – 2: adoptie van de cloud Een andere trend die van invloed is op de micro datacentermarkt, is de adoptie van de cloud. “Steeds meer applicaties belanden in de cloud. Denk aan kantoorautomatisering, maar ook aan CRM- en ERP-systemen.

Dat betekent dat je je datacenter in veel gevallen kunt verkleinen, omdat je gewoon minder fysieke hardware nodig hebt.

Daarnaast neemt IT-miniaturisatie en virtualisatie toe, waardoor nog minder ruimte benodigd is. Hierdoor hebben veel bedrijven genoeg aan een klein en overzichtelijk datacenter dat wel voldoet aan de eisen van

28

Alles over innovatie in ICT

Bas Jacobs

een groot datacenter. Deze bedrijven kiezen ervoor om bedrijfskritische applicaties en informatie – met een hoge betrouwbaarheid en tegen lage kosten – in deze micro datacenters onder te brengen. Ook zie je dat deze kleine datacenters ingezet worden als (ROBO) back-up of fallback.”

Driver – 3: efficiëntie Daarnaast zijn (operationele) kosten een driver voor de groei van de micro datacentermarkt. “Bedrijven die hun IT naar commerciële of cloud datacenters outsourcen, doen dit vaak omdat deze grote datacenters vanwege schaalgrootte zeer energie-efficiënt kunnen werken. Natuurlijk is dat ook positief voor het groene imago van een bedrijf. Ondertussen kunnen zij hun eigen datacenter ook verkleinen, waardoor minder energie wordt verbruikt.

Door standaardisatie van micro datacenteroplossingen zijn de (operationele) kosten daarbij veel voorspelbaarder.”

Driver – 4: exploitatiekosten versus gemak Tot slot ontzorgt een betrouwbaar en kostenefficiënt micro datacenter een IT-manager ook echt. “Neem nu de MatrixCube en de MiniCube. De IT-manager hoeft geen specialist te zijn om een dergelijk micro datacenter samen te stellen. Zowel de MatrixCube als de MiniCube zijn helemaal voorgeconfigureerd en snel in gebruik te nemen; een echte Plug & Play oplossing. Hiervoor hoeft de IT-manager niet na te denken over bijvoorbeeld koeling of monitoring. Hij kan zich dus concentreren op hetgeen waar hij goed in is; informatiemanagement.”

Micro datacenteroplossingen MatrixCube én MiniCube Door de uitbreiding van haar portfolio met de MiniCube en de MatrixCube biedt Minkels een oplossing voor iedere datacentervraag. Beginnend met de compacte MiniCube (enkelracks, tot 4 kW) en de MatrixCube (meerdere racks, 22 kW) en eindigend met complete, modulaire aisle containment-oplossingen.

De MiniCube en de MatrixCube hebben alle facetten van een volwaardig datacenter: behuizing, (nood)stroomvoorziening, monitoring en koeling, in een zo compact mogelijke uitvoering.

Momenteel is de MiniCube volop in ontwikkeling. De MatrixCube is per direct beschikbaar.

MatrixCube – Alle facetten van een datacenter

en kleurverschillen voor A- (zwart) en B-aanvoer (rood).

Row-based koeling Minkels VariCondition DX is een oplossing voor precisiekoeling die specifiek is ontwikkeld voor veeleisende datacenteromgevingen. Zijn energie-efficiëntie draagt bij aan de kostenefficiëntie van de MatrixCube. De energie-efficiënte compressor past de koeling automatisch aan op de daadwerkelijk benodigde koelcapaciteit. Verder maakt de systeemunit gebruik van R410A, een energie-efficiënt koelmiddel.

Kabelmanagement De modulaire Minkels- en Legrandoplossingen voor kabelmanagement zijn geïntegreerd en volledig aangepast op deze kleinschalige datacenteromgeving (bovenop en binnenin de racks), waarbij de nadruk ligt op veiligheid, overzichtelijkheid en gebruiksgemak.

UPS Minkels MatrixCube maakt gebruik van de Legrand DK, een UPS-systeem (Uninterruptible Power Supply) van 6kVA. Deze zeer beproefde en betrouwbare UPS-technologie van Legrand heeft een nominaal vermogen van 6000 VA en een actieve capaciteit van 5400 VA. Deursysteem De Minkels Varicon 19-inch racks in de MatrixCube hebben glazen deuren aan de voor- en achterkant. Dit ondersteunt de strategie van ‘closed loop’ koeling.

Het zorgt voor een afgesloten microklimaat, omdat er geen direct contact is tussen de MatrixCube en de serverruimte zelf.

Power distrubution De hoogwaardige (intelligente) PDU’s van Raritan zijn verticaal gemonteerd, met stroomcapaciteiten van 16A tot 32A

Luchtstroomoptimalisatie Studies van Minkels hebben geleid tot het gebruik van datacenteraccessoirepakketten voor een optimale luchtstroom, die een aanzienlijke bijdrage leveren aan de energie-efficiëntie.

Monitoring De controllers in het monitoring portfolio zijn voorbereid op het aansluiten van een breed assortiment aan sensoren.

De technologie zorgt voor een continue monitoring van de temperatuur, het energieverbruik, de beschikbaarheid en de veiligheid van de in gebruik zijnde MatrixCube. Om de MatrixCube op afstand te kunnen aansturen, kan de controller worden verbonden met een centraal systeem in de cloud.

Zo kan de status van IT-apparatuur in de MatrixCube online worden gecontroleerd. Ook kan het systeem automatisch, 24 uur per dag en 7 dagen per week, vroegtijdig waarschuwingen versturen indien er afwijkingen worden geconstateerd.

CloudWorks - nr. 11 / 2016

29

Strategie Nederlandse datacenter-industrie aan vooravond van nieuw tijdperk:

Geef topprioriteit aan investeren in kennis Als de Noren tientallen meters onder de grond CO2-neutrale datacenters bouwen, Fransen maar liefst 1,5 miljard euro investeren in datacenters voor het huisvesten van watergekoelde servers en in de UK de eerste datacenters verschijnen die zich uitsluitend richten op het faciliteren van Open Compute-hardware, dan zal het duidelijk zijn dat we aan de vooravond staan van een nieuw tijdperk in de datacenter-industrie. Voor Nederland is het daarom belangrijker dan ooit om vol gas te geven en fors te investeren in nieuwe kennis.

Octave Klaba

“Kunnen we het ons veroorloven dat we niet met een eigen datacenter in Nederland aanwezig zijn?”, antwoordde Alexandre Morel op de vraag waarom OVH investeert in een eigen datacenter in Nederland. Morel is als vicepresident verantwoordelijk voor sales en marketing bij deze grote Franse hosting-aanbieder. Zelf spreken ze overigens liever over zichzelf als aanbieder van diensten op het gebied van ‘infrastructure’ (Elders in dit nummer vindt u een uitgebreid artikel over OVH - red.).

Investeringsprogramma Morel stelde zijn retorische vraag in de wandelgangen van OVH Summit, een door ruim 2500 IT- en datacenter-specialisten bezocht event in het hippe Les Docks in Parijs. Daar had de CEO van OVH - Laurent Allard - zojuist uitleg gegeven over het investeringsprogramma dat deze Franse firma voor de komende jaren heeft aangekondigd. Het gaat om een internationaal expansieprogramma, wat wel aangeeft waar de ambities van OVH liggen: van de grootste aanbieder in zijn soort in Europa uitgroeien tot een toonaangevende speler op de wereldmarkt.

Het investeringsprogramma van de Fransen wordt deels uit eigen middelen gefinancierd, maar wordt daarnaast ook mogelijk gemaakt door een investering van twee investeringsmaatschappijen: KKR en TowerBrooks Capital Partners. Deze steken 250 miljoen euro in OVH. De EMEA-directeuren van beide firma’s gaven in Parijs een korte toelichting op hun investering. Die is vooral ingegeven door de grote aandacht die OVH besteedt aan innovatie. Dat klinkt wellicht als ‘marketing speak’, maar wie bedenkt dat het grote datacenter van OVH - in het Noord-Franse Roubaix - een PUE kent van beter dan 1,07 zal snappen dat de Fransen het - zeg maar - ‘niet slecht’ doen. Daarmee scoort het bedrijf namelijk beter dan hyperscale partijen als Google, die er alom om bekend staan zeer geavanceerde datacenters te bouwen.

ontwerpen onze eigen servers die alle zijn uitgerust met een koeltoren op de CPU waarin kanaaltjes zijn geboord waar een vloeistof doorheen wordt geleid. Zo koelen we dus direct bij de bron.”

De oprichter van OVH - de in Polen geboren maar in Frankrijk opgeleide Octave Klaba, heeft als CTO van OVH bovendien besloten dat alle server-hardware op deze manier wordt gekoeld - of het nu gaat om een gehoste high-performance computing (HPC) toepassing voor een universiteit of een kleine website die nauwelijks prestatie-eisen stelt.

De Fransen kennen sowieso een interessante aanpak. Zo faciliteren zij bijvoorbeeld HPC Desktops as a Service voor zeer rekenintensieve toepassingen. Dat gebeurt door middel van VDI-technologie.

Bij gebruik van Virtual Desktop Infrastructure wordt de volledige desktop-omgeving - van besturingssysteem tot applicatie - van datacenter naar de gebruiker gestreamd. Dat gebeurt in de regel vooral voor recht-toe-recht-aan toepassingen als kantoorautomatisering, maar OVH biedt dus ook rekenintensieve desktops aan.

Die zijn bedoeld voor applicaties als videobewerking, Big Data of berekeningen aan wetenschappelijke simulatiemodellen. Dat vereist een technische infrastructuur in en om het datacenter dat in staat is dit soort toepassingen zonder problemen mogelijk te maken, ook als een afnemer van HPC-desktops plotsklaps wil opschalen van 10 naar 500 gebruikers.

Daarmee zijn de Fransen weliswaar niet uniek - er zijn meer aanbieders die dit aan klanten leveren - maar de meeste faciliteiten waar de Nederlandse datacenter-industrie zich op richt zijn op veel minder intensieve applicaties gericht. En kennen dus ook een meer klassieke technische infrastructuur dan dit soort op rekenintensieve toepassingen gerichte datacenters.

OCP-colo Waterkoeling

Alexandre Morel

30

Alles over innovatie in ICT

“Een belangrijke oorzaak voor de lage PUE in Roubaix is het feit dat wij waterkoeling toepassen”, legde Morel in Les Docks uit. “Daarbij hebben we het niet over warmtewisselaars in het rack of iets dergelijks, maar over waterkoeling direct op de IT-hardware. Wij hebben gekozen voor waterkoeling die direct op de processor plaatsvindt. Wij

Dat is echter zeker niet de enige verandering die op de Nederlandse datacenter-industrie afkomt. Wat te denken van de plannen van Aegis Data? Kans is groot dat u deze Britse colo niet kent, maar zij doen wel iets opmerkelijks: het datacenter biedt colo-diensten op basis van Open Compute-hardware. Daarmee zijn de Britten een van de eerste die op deze manier onderscheidend vermogen CloudWorks - nr. 11 / 2016

31

Strategie

Blog bouwen aan de toekomst

aanbrengen ten opzichte van hun concurrenten. Het past bovendien bij de doelstelling van Aegis Data: colo-diensten aanbieden aan bedrijven die applicaties willen onderbrengen die hoge eisen stellen aan IT-performance en de daarbij behorende koeling.

Het bedrijf kent in Surrey inmiddels twee datacenters. De eerste - een redelijk klassiek opgezette faciliteit - is zo goed als vol, het tweede datacenter is volgens OCP-principes gebouwd. Het eveneens Britse Hyperscale-IT - opgezet door de voormalige CTO van het Nederlandse Bookings.com - levert complete racks met servers en andere IT-apparatuur die als geheel op basis van OCP-ideeën zijn gebouwd. De kabinetten zijn daarmee beduidend hoger dan klassieke racks en ook beduidend zwaarder. Ze hebben ook geen verhoogde vloer nodig. Ook dient het gebouw anders ontworpen te worden, bijvoorbeeld om de hogere racks überhaupt in het datacenter te kunnen plaatsen.

OCP Ready-certificering Open Compute kent inmiddels een zogeheten ‘OCP Ready’programma. Dit geeft een overzicht van technische eisen en wensen waaraan een datacenter wat betreft infrastructuur dient te voldoen om OCP-hardware te kunnen faciliteren. Volgens John Laban, de vertegenwoordiger van OCP in Europa - is het de bedoeling dat dit OCP Ready-programma op termijn uitgroeit tot een formele certificering. Volgens Laban is Aegis Data het eerste datacenter in Europa dat geheel volgens OCP-normen is opgebouwd. Hij kent geen andere Europese projecten of plannen om datacenters op deze manier in te richten. Tegelijkertijd noemt hij de positionering van Aegis Data wel ‘slim’. Het zou hem niet verbazen als de komende jaren meer colo’s besluiten om op deze manier onderscheidend vermogen aan te brengen. Hij vraagt zich alleen wel af welke ontwerpers en bouwers van datacenters dan wat betreft kennis klaar zijn om dit soort klanten van dienst te zijn.

Op de site van Hyperscale-IT is overigens een zogeheten ‘OCP Comparison Tool’ beschikbaar, waar een vergelijking kan worden gemaakt tussen het beschikbaar maken van IT-capaciteit op basis van klassieke IT-producten en door OCP-apparatuur toe te passen. Overigens zien we nu ook in Nederland de markt voor OCP-apparatuur langzaam op gang komen. Een van de eerste Nederlandse bedrijven die zich met OCP-hardware bezig houdt,

is CircleB in Amsterdam. Deze firma werkt nauw samen met de Taiwanese fabrikant van hardware Wywinn.

Hoge Noorden Een laatste voorbeeld van nieuwe ideeën op het gebied van ontwerpen en bouwen van datacenters vormt de faciliteit die momenteel wordt gebouwd in de Lefdal-mijn in Noorwegen.

Een opmerkelijk project dat niet voor niets uitgebreid tijdens de keynote op IT Room Infra 2016 aan de orde kwam.

Zoals vaker bij Scandinavische projecten gaat het hier om een nadrukkelijk als ‘groen’ in de markt gezette faciliteit. In de directe omgeving van het terrein staan vier waterkrachtcentrales, waardoor op duurzame wijze stroom kan worden opgewekt. De afstanden tot het datacenter zijn bovendien zo klein dat bij het transport van de energie niet of nauwelijks sprake is van transmissieverliezen.

De PUE is berekend op 1,08, terwijl de faciliteit als CO2-neutraal wordt neergezet. Met de PUE van 1,08 zit de Lefdal-mijn interessant genoeg dus iets hoger dan wat OVH in Roubaix doet op basis van vloeistofkoeling. Ook in Noorwegen wordt waterkoeling toegepast, maar dan via warmtewisselaars waarbij water dat uit de fjord wordt gehaald toegepast wordt om opgewarmde koellucht weer naar een lagere temperatuur terug te brengen. Ook interessant is de claim dat het datacenter van nature ‘EMP-proof’ is.

Kennisontwikkeling In ons land zijn de afgelopen jaren tientallen datacenters gebouwd.

Daar heeft de Nederlandse datacenter-industrie een grote bijdrage aan geleverd. Nederland kon daarmee uitgroeien tot een waar datacenter-land. Daarbij mogen we echter niet uit het oog verliezen dat het - naast de technische kennis en ervaring met het bouwen van datacenters - vooral ook de Amsterdam Internet Exchange (AMS-IX) en aantrekkelijke vestigingsvoorwaarden zijn geweest die dit succesverhaal mogelijk hebben gemaakt. We zien nu echter tal van ontwikkelingen op ons afkomen, waarbij andere landen hun achterstand in hoog tempo aan het inlopen zijn. Er komt nieuwe technologie op ons af - denk aan Open Compute waar veel Nederlandse ontwerpers en bouwers van datacenters nog nauwelijks ervaring mee hebben.

Bovendien is duidelijk dat de eisen en wensen van opdrachtgevers voor datacenters steeds verder worden opgeschroefd. Kunnen concurreren met de hyperscale public cloud-aanbieders die PUE’s halen van 1,1 of 1,2 of beter betekent dat de Nederlandse datacenter-industrie dergelijke waardes moet kunnen evenaren of zelfs beter moet kunnen presteren. Alleen dan kunnen colo’s en hosters een business model hanteren dat hun klanten een concurrerende prijs geeft en henzelf de ruimte biedt voor investeringen.

De Nederlandse datacenter-industrie heeft de afgelopen jaren een enorme vlucht genomen. Andere landen hebben dit gezien en ook daar stort men zich nu op het ontwikkelen van kennis en technologie om van deze lucratieve industrie een graantje mee te pikken.

Alle reden voor de Nederlandse datacenter-industrie dus om vol gas te geven als het gaat om het ontwikkelen van nieuwe kennis en technologie ten aanzien van de technische infrastructuur van datacenters.

Waarom outsourcen bedrijven hun ICT-infrastructuur naar een colocatie datacenter? Eén van de redenen is omdat zij kunnen vertrouwen op de kennis, resources en expertise van een datacenterdienstverlener. Maar voordat een nieuw datacenter, zoals Interxion’s AMS8, deze dienstverlening kan garanderen, moet men er zeker van zijn dat het ontwerp van het datacenter ook daadwerkelijk goed functioneert in de praktijk. AMS8 wordt in drie fasen in gebruik genomen. Nu het moment van ingebruikname van de eerste fase nadert, zoomen we in op het overdrachtsproces van bouw naar operatie. Want daar komen behoorlijk wat kwaliteitschecks, testen en organisatorische dossiers bij kijken.

Van state of the art op papier naar state of the art in praktijk Voordat fase 1 in bedrijf gaat, wordt er aangetoond dat het gebouw functioneert conform ontwerp. Per fase wordt een commissioning uitgevoerd door een onafhankelijke derde partij, de commissioning agent. De complete commissioning bestaat uit meer dan 3.000 deeltesten, verdeeld over 5 levels: Factory Testing, Quality Assurance/ Quality Control, Startup Witness Testing, Functional Performance Testing en Integrated Systems Testing.

De eerste fase van Interxion’s nieuwe datacenter AMS8 bevindt zich op het moment van schrijven in level 4: de functional performance test. Er wordt gekeken of alle systemen los van elkaar goed functioneren. Denk hierbij aan het koelsysteem, de gasblussers en de dieselgeneratoren. Wanneer de commissioning agent heeft aangetoond dat de beoogde functies van het gebouw goed werken, vindt de vooroplevering plaats: de provisional acceptance fase.

Provisional Acceptance Nu komt het laatste level van testen, waarin het integraal functioneren van het datacenter wordt aangetoond. Dat wil zeggen: er wordt gekeken of alle systemen met elkaar functioneren.

Gebeurt er wat er moet gebeuren wanneer een onderdeel uitvalt?

Werken alle redundanties? Blijft de koeling functioneren? In deze fase wordt volledige bezetting gesimuleerd. Met behulp van een loadbank wordt de infrastructuur identiek belast als in de eindsituatie. Het unieke aan deze situatie is dat het Operations Team in principe vrij kan oefenen. Alleen zo kan Interxion haar klanten de allerbeste kwaliteit garanderen.

werk. Dit is een dossier van ongeveer 18 GB met ongeveer 8.000 documenten per fase. De documentatie is er om ervoor te zorgen dat het Operations team volledig vertrouwd is met het gebouw en altijd kan terugvinden wat er waar gebeurd is.

Scheiding tussen bouw en live Wanneer fase 1 uiteindelijk operationeel wordt, ontstaat er een tijdelijke situatie waarin één deel van het datacenter live is, terwijl het andere deel nog in aanbouw is. Dit betekent dat zich op het terrein zowel bouwpersoneel als Interxion klanten begeven. De voorbereidingen op deze situatie zijn in volle gang. Zo is er nu al een fysieke en stofdichte scheiding gemaakt tussen het gebied dat binnenkort live is en de rest van de site, zodat alle betrokken partijen daar alvast aan kunnen wennen. Op dit moment is het al een datacenter clean room area en is iedereen verplicht een overjas en overschoenen te dragen. Indien het een effect heeft op de live-fase, wordt er een zeer streng toegangsbeleid en work permit beleid gevoerd. Dit gaat altijd in zeer nauw overleg met Operations. Security is inmiddels ook aanwezig op de AMS8 locatie. Zo kunnen zij zich, ruim voordat de eerste fase live gaat, het gebouw eigen maken. Ook het bouwpersoneel kan op deze manier alvast kennis maken met de gedeeltelijk operationele situatie die binnenkort ontstaat.

Documentatie

Ieder onderdeel is zowel individueel als integraal getest. Voordat een fase operationeel en beschikbaar is voor de klanten van Interxion, verzekert het Operations team zich er van dat AMS8 zich in dezelfde staat bevindt als de andere datacenters van Interxion. En dat is een state-of-the art datacenter van de beste kwaliteit!

Parallel aan dit traject van testen wordt een Operation & Maintenance dossier gemaakt. Daarin zitten alle gegevens van het gebouw: van tekeningen tot onderhoudscontracten tot revisie-

Rutger Truffino, Project Manager Interxion AMS8 / Managing Partner Brysk

Robbert Hoeffnagel, hoofdredacteur van CloudWorks

32

Alles over innovatie in ICT

CloudWorks - nr. 11 / 2016

33

Visie Veranderende tijden vragen om nieuw type zakelijke software

Drie bepalende oorzaken waarom ERP niet meer werkt

Enterprise Resource Planning. ERP. Het is een term die al meer dan 25 jaar bestaat en in IT-termen is dat een eeuwigheid. Dat is niet per definitie slecht. In een wereld waar marketingjargon en modewoorden de boventoon voeren, toont de leeftijd van dit concept alleen al aan dat het werkt. Of althans heeft gewerkt: ERP heeft het zakelijke software landschap getransformeerd en is nu een markt die naar schatting 40 miljard dollar waard is.

Maar zoals we weten, bieden resultaten uit het verleden geen garanties voor de toekomst. Hoewel ERP in het verleden prima gepresteerd heeft, wil dit nog niet zeggen dat het ook nu de beste manier is voor bedrijven om hun operationele activiteiten te overzien. Voor bedrijven zijn het tegenwoordig dynamische, snel veranderende tijden. Ik denk dat het moment is aangebroken om opnieuw goed na te denken over de werkelijke waarde van ERP voor moderne bedrijven, en hoe verschillende factoren op macroniveau de gehele discussie rond zakelijke applicaties fundamenteel veranderen.

1.

1. De aard van zakendoen is veranderd Gezien de achtergrond van ERP, is het geen verrassing dat de opkomst van de digitale economie (met zijn vele abonnementsvormen) druk uitoefent op deze verouderde technologie. Vergeet niet dat

34

Alles over innovatie in ICT

ERP werd bedacht voor gebruik in de productie- en logistieke sectoren. In zo’n model worden werknemers beschouwd als de factor ‘arbeid’ en zijn daarmee een kostenpost die je het liefst zo laag mogelijk houdt. Tegenwoordig gaat het niet meer om ‘dingen’ die een bedrijf toegevoegde waarde bieden, maar om talent.

De voorbije decennia hebben we wereldwijd een verandering zien voltrekken richting een meer op diensten gebaseerde economie. Maar ook bedrijven die zich niet aan diensten committeren, zijn zich meer op de eigen mensen gaan richten, omdat van personeel de nodige innovatie wordt verwacht.

Als de kern van je waardeketen draait rond het toevoegen van waarde aan fysieke ‘dingen’, dan is het logisch om dit te koppelen met software die finance met supply chain en grondstoffenbeheer koppelt. Maar als de kern van je waardeketen is gebaseerd op intellectueel eigendom, innovatie en/of services (dus je mensen!), dan is het veel logischer om de koppeling van finance met HR als belangrijkste prioriteit te zien.

Als het belangrijkste doel is veranderd, dan moeten ook de tools daarin mee veranderen.

2.

2. De eisen aan verschillende afdelingen zijn veranderd Bestuurders zijn de voorbije jaren strengere eisen gaan stellen aan de functionele afdelingen binnen de organisatie. CEO’s willen in staat zijn om beslissingen te maken gebaseerd op gegevens en dat steeds sneller kunnen doen. Ze verwachten dat afdelingen als finance en HR steeds sneller acteren; zij moeten strategische partners van de business worden.

koppelingen en middleware zijn verweven in een architectuur die nog het meest weg heeft van een lappendeken. Het ERP wordt zo lastig en kostbaar in gebruik en beheer, en is nauwelijks aan te passen. Zulke systemen kunnen het ook verdraaid ingewikkeld en tijdrovend maken om van alle informatie één versie van de waarheid te vinden.

De komst van cloud computing en goedkopere dataopslag maakt dat organisaties kunnen kiezen voor in-memory datastructuren, waarmee ze zowel sneller transactieverwerking kunnen doen als beslissingen maken op basis van data.

Dat kan allemaal in een gebruiksvriendelijk systeem, dat sowieso werkt met maar één versie van de waarheid.

In staat zijn met één goede bron van de waarheid te werken, maakt dat finance

Traditionele ERP-systemen zijn niet geschikt voor de digitale wereld. Ze zijn gebouwd om te werken met een beperkte, maar belangrijke informatieset en verwerken deze informatie grotendeels op transactiebasis. De functionaliteit in deze systemen om rijke, nieuwe datatypes te importeren en externe bronnen te beheren, bestaat simpelweg niet.

De reactie van de traditionele leveranciers op deze missende functionaliteit is altijd geweest om extra onderdelen toe te voegen en proberen deze te integreren. Die toegevoegde delen vragen bij elkaar data op en combineren deze in weer andere tools voor rapportage en analyse. Het eindresultaat is een complexe puzzel waar integraties,

{

en HR ook kunnen samenwerken om gecombineerd meer waarde voor de business te genereren. Het wordt hiermee tijd voor bedrijven om af te stappen van ellenlange vergaderingen, waarin finance en de HR-afdeling zitten te bakkeleien over de verschillende cijfers die ze elk uit hun eigen deel van het ERP-systeem getrokken hebben. In plaats daarvan kijken ze naar dezelfde, consistente cijfers en kan een meeting snel overschakelen naar meer dringende (strategische) agendapunten.

3.

3. De verwachtingen van software zijn enorm gegroeid We komen nu tot de kern van de zaak.

De doorbraak van ERP is één van de belangrijkste technologische gebeurtenissen van dit industriële tijdperk geweest.

En dat raakt de dieper gelegen oorzaak van dit probleem - je kunt de problemen van morgen niet oplossen met de systemen van gisteren.

Rob Cools

De snelheid van zakendoen is in de afgelopen 25 jaar exponentieel toegenomen en vraagt van software om sneller en flexibeler te zijn. Dit zijn voor een modern bedrijf geen wensen, maar eisen waaraan simpelweg moet worden voldaan.

‘ Traditionele ERP-systemen zijn niet geschikt voor de digitale wereld’

CEO’s verwachten meer van de techniek en kiezen vaker voor agressievere, innovatieve groeistrategieën. Een systeem dat er bijvoorbeeld 4 tot 6 maanden over doet om een nieuwe fysieke kantoorlocatie volledig te operationaliseren, kan in deze tijden niets meer beginnen tegen een systeem dat hetzelfde in 30 tot 60 minuten kan.

Niet voor niets verwachten C-level bestuurders dat de fundamentele technologie van hun organisatie deze niet ophoudt vanwege vertragingen en complexiteit, maar het bedrijf helpt vooruit te komen met flexibiliteit en wendbaarheid op snelheid.

Deze drie factoren vragen om een herziening van de processen, methodieken en technologieën die de bouwstenen vormden van ‘oude bedrijven’. Het tijdperk van traditionele ERP-systemen is voorbij.

De snel veranderende eisen van de op talent gebaseerde economie, vragen om zakelijke systemen die zijn ontworpen voor wendbaarheid, voor democratischer besluitvormen en voor de manier waarop mensen tegenwoordig werken.

...

Rob Cools, Product Marketing Director bij Workday

CloudWorks - nr. 11 / 2016

35

Informatiebeveiliging Vervolgstap

Informatiebeveiliging in de praktijk:

De tweede stap in de methodiek is het bepalen van de ‘risk appetite’ van de Board of Directors (hierna: management). Van belang is dat het management van een organisatie aangeeft, hoeveel risico zij bereid is te lopen. Deze ‘risk appetite’ vormt namelijk één van de fundamenten voor de security aanpak. Op basis van deze ‘risk appetite’ kan de CISO zijn gewenste eindstadium van de security bepalen. Wat moet er worden opgelost om na een afgesproken periode op een bepaald ‘rest-risico’ te belanden? Tevens kan de CISO bepalen wat de kosten zijn om de risico’s op die bepaalde waarde te mitigeren.

Mission (Im)Possible?

De vervolgstap is dat wordt bepaald welke risico’s in welke mate en met welk prioriteit moeten worden gemitigeerd. Deze eerste stappen zijn op zich standaard werk voor een CISO en tot zover niets nieuws.

Om de risico’s te mitigeren, wordt gebruik gemaakt van de ISO 27001. Ieder risico valt namelijk binnen één of meerdere ISO domeinen en is met ISO controls in zijn geheel of gedeeltelijk te mitigeren. De hamvraag is nu: hoe kan ik de ISO standaard inzetten tot een pragmatische tool i.p.v. een ‘papieren tijger’ bedoeld voor audits? Deze vraag heb ik beantwoord door de koppeling te maken met het Department of Energy Cyber Security Maturity Model (DoECSM2), waarin ik een volwassenheidsniveau/maturity level koppel aan ieder control van de ISO standaard. In het DoECSM2 zijn niveaus ingedeeld van Maturity Indicator Level (MIL) 0 t/m MIL 3. Zie onderstaand overzicht.

Level Characteristics MIL0 Practices are not performed MIL1 Initial practices are performed but may be ad hoc

Hoe ga ik alle securityrisico’s van de organisatie in kaart brengen en deze mitigeren? Hoe ga ik het hoofd bieden aan de steeds complexere externe en interne dreigingen? Hoe kan ik tegelijkertijd meewerken aan business groei van de organisatie?

Essentiële en herkenbare vragen voor iedere Corporate Information Security Officer (CISO) van een willekeurige organisatie. Is informatiebeveiliging inderdaad een ‘Mission Impossible’ of kan informatiebeveiliging wel degelijk goed functioneren? In dit artikel zal ik bovenstaande vragen beantwoorden en tegelijkertijd toelichten wat mijn aanpak is waardoor een ogenschijnlijke ‘Mission Impossible’ kan worden gewijzigd in een ‘Best Mission Possible’.

Ondanks het feit dat er vele boeken zijn verschenen over informatiebeveiliging, heb ik (als CISO van LeaseWeb) nog geen enkel boek gevonden met een pragmatische aanpak die ik één-op-één kan toepassen. Aangezien ik ook dezelfde vragen tegenkwam in mijn functie, heb ik besloten om op basis van mijn eigen ervaringen/‘best practices’ en gebruik makend van bewezen frameworks een simpele ‘CISO methodiek’ te ontwikkelen.

Deze methodiek begint met een gedegen risico assessment over de gehele breedte van de organisatie. Al het personeel wordt uitgenodigd voor deelname aan risk workshops, waarin het personeel

36

Alles over innovatie in ICT

in teams/afdelingen en d.m.v. brainstorm & discussie sessies de risico’s benoemt. Vervolgens wordt er per risico bepaald wat de waarschijnlijkheid (probablity) en het gevolg (impact) kunnen zijn.

Per risico wordt er dus een ‘risicowaarde’ gegeven. Zie onderstaande tabel.

MIL2 Practices are documented Stakeholders are identified and involved Adequate resources are provided to support the process Standards or guidelines are used to guide practice implementation MIL3 Activities are guided by policy (or other directives) and governance Policies include compliance requirements for specified standards or guidelines Activities are periodically reviewed for conformance to policy Responsibility and authority for practices are assigned to personnel Personnel performing the practice have adequate skills and knowledge

Zoals aangegeven hebben wij nu een overzicht van alle risico’s (afkomstig van de risk assessment workshops) en gecategoriseerd per ISO 27001 domein. Vervolgens gaan wij ieder risico mitigeren met één of meerdere ISO 27001 controls, waarbij ieder control CloudWorks - nr. 11 / 2016

37

Informatiebeveiliging een bepaald maturity niveau (MIL) heeft. Met andere woorden: aan de hand van de verschillende maturity niveaus kan dus worden bepaald in hoeverre een control daadwerkelijk ‘werkt’. Heeft een control een MIL 0, dan betekent dit dat dit control niet aanwezig is en dus geen invloed heeft op het risico. Heeft een control een MIL 3, dan betekent dit dat deze control is gedocumenteerd, regelmatig wordt gecheckt en daadwerkelijk ‘werkt’. Een control met een MIL 3 zal dus het risico aanzienlijk beperken. Op deze manier kunnen alle risico’s en hun controls in kaart worden gebracht en wordt de algemene security posture van de organisatie in één keer duidelijk.

Nadat de maturity van de individuele controls bekend zijn, kan het maturity niveau per ISO domein worden bepaald. Hierdoor kan dus een overkoepelend overzicht worden gegeven van alle 14 ISO 27001 domeinen en hun maturity niveau. Dit overzicht is nodig om te kunnen bepalen wat de huidige en toekomstige/gewenste security posture van de organisatie als geheel is.

Plan van aanpak Nu is het zaak om alle gegevens te combineren en een security plan van aanpak te maken. Dit plan van aanpak zal dus bestaan uit een huidige maturity situatie en de gewenste maturity situatie, op basis van de ‘risk appetite’ van de Board. Vanzelfsprekend zal hier een tijdslijn aan moeten worden gekoppeld. In onderstaande figuren staan voorbeelden van een beginsituatie en van een gewenste eindsituatie (bijvoorbeeld december 2017).

Blog Emerson Network Power Zoals te zien is in deze figuren, variëren de verschillende domeinen qua security maturity enorm, terwijl bij de gewenste eindsituatie alle domeinen op minimaal MIL 2 staan. Het voordeel van dergelijke figuren is dat dit zeer begrijpelijke taal is voor de Board en ook meetbaar is.

Natuurlijk wil iedere CISO binnen een korte periode een eindsituatie bereiken van de Security Maturity die zo hoog mogelijk is (MIL 3), maar dit is niet altijd realistisch. Vandaar dat de CISO deze methodiek stapsgewijs dient in te zetten voor het maximale resultaat. Vanuit mijn eigen ervaring gebruik ik deze methodiek voor een periode van 3 jaar, waarbij ik aan het eind van ieder jaar op een bepaald gemiddelde zit qua security. Het hangt natuurlijk af van de beginsituatie, maar als de begin situatie op een MIL 1 ligt (oftewel security is vooral ‘ad hoc’ en er staat weinig gedocumenteerd), dan is het streven naar MIL 2 binnen een jaar wel haalbaar.

Na twee jaar zou een gemiddelde van MIL 2,5 realistisch zijn en na drie jaar zou ieder domein minimaal op MIL 2,5 moeten staan.

Vanzelfsprekend is het streven MIL 3, maar dat is bijna onmogelijk voor alle domeinen.

Hamvraag Tot slot van deze uitleg, wil ik dan de ‘hamvraag’ beantwoorden: hoe kom ik - als CISO - dan aan die hogere Security Maturity?

Het antwoord is vrij simpel: door ‘gewoon’ security projecten te doen en deze te koppelen aan de verschillende domeinen.

Hierdoor worden de verschillende controls rechtstreeks uitgevoerd, waardoor de risico’s naar beneden gaan en de security maturity van dat desbetreffende domein omhoog gaat. Enkele voorbeelden zijn: nieuwe security policies ontwikkelen en uitvoeren (Policies domein), endpoint encryptie toepassen op alle laptops (Cryptography domein), 2-factor authenticatie invoeren (Access Management domein), Log management en/of SIEM implementeren op het corporate network (Operations Security domein), et cetera.

Het is van belang dat ieder risico dus gekoppeld wordt aan één of meerdere controls, die vervolgens worden verbeterd door één of meerdere security projecten. Ieder project dat een CISO en zijn/ haar team uitvoert moet direct een gevolg hebben voor de maturity van een domein. Als dit niet het geval is, dan is het security project waarschijnlijk niet het juiste project dat bijdraagt aan de mitigatie van de organisatie risico’s.

Possible Door gebruik te maken van deze (eenvoudige) methodiek kan iedere CISO succesvol worden en is security geen Mission Impossible. Vanzelfsprekend is support van het management wel noodzakelijk en zal de verwachting goed moeten worden gemanaged, want de stappen omhoog in de security maturity zullen niet ‘over één nacht ijs’ plaatsvinden, maar geleidelijk verlopen. Het is dus ook essentieel dat er een duidelijke tijdslijn en roadmap moeten worden afgesproken, want dan pas is het een MISSION POSSIBLE! Fred Streefland, IT Security Manager LeaseWeb Global

38

Alles over innovatie in ICT

De eisen die worden gesteld aan een datacenterontwerp, zijn hoog.

Vanzelfsprekend zijn betrouwbaarheid, veiligheid, efficiëntie en flexibiliteit van belang. Maar tegenwoordig moet een datacenter er ook snel staan. Vandaag het budget beschikbaar, morgen een up & running datacenter - bij wijze van spreken, dan. Niet zo verwonderlijk dus, dat modulariteit de laatste tijd steeds meer opduikt in gesprekken, of die nu gaan over een product, een stuk software of een volledig datacenter. Modulair is goed, makkelijk en modern, dus daar moeten we allemaal voor kiezen, toch? Nou, niet helemaal. Want wat voor de een werkt, hoeft voor de ander niet de beste oplossing te zijn.

De rol van prefab modules in het moderne datacenter Een van de definities van een module is: ‘een functioneel onderdeel van een complex systeem dat op een eenvoudige manier interacteert met de rest van het systeem’. Dat modulariteit werken met onderdelen - zo populair is, komt doordat er een groot aantal voordelen bij kan komen. Denk hierbij aan: • ingebouwde redundantie; • schaalbaarheid; • continuïteit van dienstverlening; • snelle reparatietijden; • kortere time-to-market; • meer maatwerkmogelijkheden.

Wat is nu precies een geïntegreerde, modulaire oplossing volgens onze standaarden? Zo’n oplossing bestaat uit op maat gemaakte bouwblokken die vooraf - op een andere locatie - geproduceerd worden. Dat gebeurt in een speciaal daarvoor ingerichte productiefaciliteit die voldoet aan de hoogste kwaliteitsstandaarden. Alle benodigde subsystemen worden ontworpen, volledig geïntegreerd en gebouwd in transporteerbare modules. Op de locatie van het datacenter worden de modules geïnstalleerd en vindt het koppelen van kabels en leidingen plaats. Eenmaal werkend, zijn de modules eenvoudig uit te breiden, zodat ze ook in de toekomst aan alle eisen voldoen. Deze oplossing is in verschillende sectoren toe te passen, zoals telecom, olie en gas, mijnbouw en bij zorginstellingen. Deze geïntegreerde, modulaire oplossing levert zo’n 40% tijdsbesparing op. Hoe het kan dat deze oplossing zo snel up & running is?

De kritische infrastructuur wordt tegelijkertijd gefabriceerd, geïntegreerd en getest met het kiezen van de locatie en het voorbereiden daarvan.

Dat scheelt zomaar een aantal maanden in het totale project.

Tevens wordt er veel tijd bespaard met engineering, logistieke afstemming en inkoop. Door gebruik te maken van vaste partners en een vaste productieomgeving, wordt er tijd gewonnen en worden faalkosten geminimaliseerd.

Maar zoals gezegd, is modulariteit niet het antwoord op alle datacenteruitdagingen. Een hybride vorm - waarbij je traditioneel bouwen combineert met modules - kan net zo effectief zijn. Het bouwen van een datacenter is dus geen zwart/witkwestie: er ligt nog een groot grijs gebied tussenin. Waarin op maat gemaakte aanpassingen een uitkomst kunnen bieden voor elke specifieke behoefte.

Bart Nieuwenhuis, AC Power Sales Manager Benelux bij Emerson Network Power

CloudWorks - nr. 11 / 2016

39

EuroCloud Nieuw EurocloudNL-event:

‘How to avoid Dark Clouds?’

- 16.20 - 17.00 uur: Max Remerie, Programma Manager / Kwartiermaker Nationaal Cyber Testbed van de The Hague Security Delta The Hague Security Delta (HSD) is een beetje de gateway naar Europa aan het worden op het gebied van security innovatie en cyber techniek. Een initiatief is gestart om een testbed voor cyber technieken te ontwikkelen en hiervoor een keurmerk te ontwikkelen. Hoe ziet zo’n testbed eruit en welke kwaliteitsgaranties kunnen we hiermee voor afnemers van beveiligingsoplossingen realiseren?

Na de inleidingen is er rond 17:00 uur een netwerkborrel om in alle rust nog met sprekers en aanwezigen na te praten.

Ook deelnemen?

De cloud is niet alleen een positieve omgeving. In de uithoeken van onze cloud-wereld zijn donkere plaatsen waar op makkelijke wijze zeer twijfelachtige zaken worden verhandeld en as-a-Service worden aangeboden. Wilt u een DDoS aanval bestellen? Er zijn er diverse in de aanbieding. Wilt u een gerichte hack uitvoeren? U wordt op klantgerichte wijze ondersteund.

EurocloudNL organiseert daarom op 21 november een event waar ‘the dark cloud’ centraal staat.

De wereld van cloud is niet anders dan onze normale maatschappij met zijn lichte maar ook donkere kanten. Hoe je daar tegen te beschermen? Hoe kun je zien dat je in een achterbuurt van het internet beland bent? Hoe kun je je infrastructuur robuust genoeg maken om hier weerstand tegen te bieden?

EuroCloud Nederland heeft deskundigen bereid gevonden een korte inleiding te houden en vervolgens hierover van gedachten te wisselen:

40

Alles over innovatie in ICT

Programma - 14.30 - 15.00 uur: Ontvangst - 15.00 - 15.40 uur: Hans Timmerman, CTO Dell EMC De cloud als standaard operation model is een gebruiksvriendelijk platform geworden om allerhande informatiediensten af te nemen. Naast de open witte wereld van legale diensten is er parallel een donkere zijde aanbieders opgestaan die op dezelfde gebruiksvriendelijke manier illegale diensten aanbieden. Van hack tot DDoS aanval, van fishing tot gerichte bedrijfsspionage. Hoe kunnen we in een digitale samenleving en economie ons wapenen tegen die donkere zijde?

- 15.40 - 16.20 uur: Lennert Haagsma, Netwerk Security Analist bij Fox IT Het netwerk is de verbindingscomponent om zowel legale als illegale diensten te leveren en af te nemen. Het is begrijpelijk dat in dat netwerk een bron ligt om het goede en het slechte te herkennen en te scheiden. Wat zijn de ontwikkelingen op dat gebied? Hoe kunnen we steeds beter onze netwerken monitoren en beveiligen?

Wanneer: maandag 21 november 2016 Hoe laat? 14:30 - 18:00 CET Locatie: Jachthuis Beukenrode, Beukenrodelaan 2, 3941 ZP Doorn Ga naar http://bit.ly/2eeJ60r voor gratis registratie

Events 2016/2017 EuroCloudNL organiseert dit najaar en begin volgend jaar weer een aantal events die gericht zijn op kennisdeling en kennisuitwisseling binnen de Nederlandse cloud-markt.

• 8 december 2016: Show Your Cloud Open Telekom Cloud in samenwerking met T-Systems • 24 februari 2017: Sluiting inzenden voor EuroCloud Awards • 28 maart 2017: Uitreiking EuroCloudNL Awards 2017

Nieuw faillissementsrecht legt verregaande verplichtingen op aan cloudleveranciers

Cloud computing in juridisch perspectief 2016 Net als cloudiensten, komen ook de rechtsaspecten van dit leveringsmodel voor technologie en gegevensverwerking goed op stoom. We zien telkens meer wetgeving, vooral in het domein privacy en netwerk- en informatiebeveiliging, inclusief meldplichten voor ICT-gerelateerde incidenten en toenemende bevoegdheden en bemoeienissen van toezichthouders.

Onderbelicht is de vooralsnog schaarse Nederlandse rechtspraak over clould computing. Ook gevolgen van de aankomende herijking van ons faillissementsrecht, mede in relatie tot de versleuteling van informatie van cloudgebruikers en de verplichtingen van cloudleveranciers, blijven grotendeels onder de radar.

Dat blijkt uit het trendonderzoek Cloud computing in juridisch perspectief 2016, dat de Stichting EuroCloud Nederland op de vakbeurs InfoSecurity op 2 november aan de bezoekers heeft aangeboden.

De studie wordt jaarlijks, sinds 2010, uitgevoerd door bestuurslid Mr. Victor de Pous. ‘De rechtsontwikkelingen gaan nu snel. Dat zien we bijvoorbeeld ook bij de normering van grensoverschrijdende gegevensstromen. De Algemene Verordening Gegevensbescherming, het EU-US Privacy Shield, de uitspraak in hoger beroep in de zaak In re Warrant to Search a Certain Email Account Controlled & Maintained by Microsoft Corp, de

EU-Verordening inzake netneutraliteit, de EU-Richtlijn netwerk- en informatiebeveiliging en bijvoorbeeld de EU-Verordening elektronische identiteiten en vertrouwensdiensten zijn, al dan niet mede, exponent hiervan’, aldus De Pous.

Wetsvoorstel versterking rechtspositie curator Ook het autonome Nederlandse recht is van groot belang voor de cloudmarkt.

Zo maakte eind 2012 het ministerie van Veiligheid en Justitie een begin met een herijking van het faillissementsrecht. Het gaat om modernisering, versterking van het reorganiserend vermogen van bedrijven en fraudebestrijding. In het kader van de bestrijding van fraude is op 14 juli 2015 het wetsvoorstel versterking rechtspositie curator bij de Tweede Kamer ingediend, met daarin opgenomen een reeks van maatregelen.

Met betrekking tot het gebruik van digitale technologie algemeen en cloud computing in het bijzonder zijn tenminste twee wettelijke voorschriften relevant. Artikel 105a verplicht de gefailleerde terstond de administratie aan de curator over te dragen met daarbij de noodzakelijke middelen, zoals encryptiesleutels, om de inhoud binnen redelijke termijn leesbaar te kunnen maken. Artikel 105b verplicht derden, die de administratie van de failliet in de uitoefening van hun beroep of bedrijf geheel of gedeeltelijk onder zich hebben, om de administratie desgevraagd aan de curator ter beschikking te stellen.

Verregaande medewerkingsplicht ‘Niet iedereen beseft dat dit wetsvoorstel de rechtspositie van cloudleveranciers (maar bijvoorbeeld ook payroll providers) in alle hevigheid raakt. Het gaat namelijk om verregaande medewerkingsplicht. Daarvoor mag de cloudleverancier weliswaar redelijke kosten aan de curator in rekening brengen, maar als er niets te halen valt, vist deze dienstverlener achter het net en wellicht zelfs tweemaal, omdat er facturen van de klant openstaan’, zegt De Pous. Met het oog op het mislopen van de kosten voor medewerking is van regeringszijde eerder geopperd om de tarieven te verhogen. Deze suggestie verdient geen aanbeveling. Het is onrechtvaardig om alle klanten voor het onzekere voorval by default te belasten.

Encryptie Onderbelicht is tevens het element het verstrekken van encryptiesleutels aan de curator - om, zover noodzakelijk, de inhoud van de administratie binnen redelijke termijn leesbaar te kunnen maken - in het licht van het sterke encryptiebeleid dat Nederland sinds 4 januari 2016 voert. ‘Ons kabinet wenst nadrukkelijk geen beperkende wettelijke maatregelen te nemen ten aanzien van de ontwikkeling, de beschikbaarheid en het gebruik van encryptie binnen Nederland.’ Klare taal. Hoe verhoudt dit standpunt zich met het wetsvoorstel versterking rechtspositie curator?’, vraagt De Pous zich af.

CloudWorks - nr. 11 / 2016

41

Blog BTG Volgens Giarte’s frontman, Marco Gianotten vormt empathie het startpunt van de nieuwe technologiewereld. ‘High tech meets high touch’ is dan ook het thema van zijn onlangs verschenen boek, waarbij hij het emphatisch vermogen van onze organisaties kritisch onder de loep neemt. Kunnen wij onze ICT en de effectiviteit ervan optimaliseren als wij beter in staat zijn om ons in te leven in de wensen en behoeften van onze doelgroepen?

NU:

Cloud MFT € 14,00 (excl. BTW)

/ Maand / User 1TB / Unlimited File Size

Thru side panel for Microsoft Outlook Non-Repudiation

Daarnaast moeten wij ons in toenemende mate beseffen dat onze unieke identiteit en ICT steeds meer met elkaar verweven raakt.

ICT wordt meer en meer onderdeel van ons DNA. De burger in gegevensregie, de patiënt over zijn/haar patiëntendossier zijn enkele thema’s die deze versmelting van identiteit en ICT illustreren. Hiermee dienen wij bewust en goed te leren omgaan en dit vormt dan ook één van onze inhoudelijk strategische BTG-thema’s.

In het kader van dit benodigd, verantwoord ICT-bewustzijn is een optimale verbinding met ICT nodig. Om onze klanten, collega’s en medewerkers in hun functionele behoeften beter te begrijpen, moeten wij als organisaties beter een beroep doen op ons empathisch vermogen. Als we ons goed kunnen inleven in de wensen en behoeften van onze doelgroepen, zijn wij beter in staat om zowel onze ICT, als producten en diensten hierop te laten

42

Alles over innovatie in ICT

Het is aan ons overheden en beleidsmakers duidelijk te maken dat wij in toenemende mate afhankelijk zijn van de continuïteit en beschikbaarheid van mobiele communicatie en vooral wanneer deze onze bedrijfskritieke processen raken. Enterprise mobility is dan ook een absolute ‘must have’, en naast een economische ook een maatschappelijke randvoorwaarde geworden. En dit geldt niet alleen buiten, maar vooral ook binnen de gebouwen waarvoor wij verantwoordelijk zijn.

B2B MFT

Ad Hoc MFT

Als branchevertegenwoordiger namens de zakelijke consument anticiperen wij hierop door midden in de wereld te staan. We bieden een sterk educatief ledenprogramma, gebaseerd op het gezamenlijk opbouwen en delen van kennis en expertise. Zowel nationaal als internationaal laten we onze stem horen in de thema’s die er voor onze leden toe doen. Zo wordt actief deelgenomen aan de totstandkoming van de nieuwe nota Frequentiebeleid en de Strategische nota voor mobiele communicatie, die momenteel door het ministerie van Economische Zaken worden afgerond. Aankomend jaar nemen we deel aan de totstandkoming van het nieuwe omroepbeleid. Daarnaast spreken we ons internationaal uit binnen INTUG en ITU over belangrijke thema’s zoals netneutraliteit, Europese en global roaming en softwarelicentiestructuren. We haken aan bij politici die op Europees niveau beleidsvormend zijn en bij hun politieke ICT-agenda’s.

OpenPGP Mobile File Transfer

Secure Managed File Transfer

Integrated Global File exchange with Salesforce Seamless Enterprise Integration

OWASP

Het idee om hierbij een betere verbinding te zoeken met de kern van ons ICT-bestaan, namelijk onze klanten en medewerkers is geen verkeerde gedachte, want nog te vaak wordt ons verweten dat wij als ICT’ers te technisch en systeemgeoriënteerd denken en handelen en geen vernieuwingstempo kunnen maken. Deze tweeledige verantwoordelijkheid, voor enerzijds de borging van een goede en verantwoorde ICT-continuïteit en anderzijds de ICT-vernieuwingsmotor zijn, is zeker complex maar vormt ook een mooie uitdaging.

aansluiten. Dit komt tevens ten goede aan de kwaliteit van onze werk- en communicatieprocessen.

File-based Automation

Een thema dat ook binnen onze vereniging sterk leeft. Onze ICT-afdelingen voelen deze druk. Enerzijds willen we de continuïteit van onze ICT-voorzieningen zo optimaal mogelijk borgen door middel van efficiënt beheer en life cycle management, anderzijds vragen onze klanten in toenemende mate om doorontwikkeling en innovatie. Dit vaak mede ingegeven door hetgeen men vanuit consumentenoogpunt al veelal tot hun beschikking heeft. Een behoorlijk innovatorsdilemma, waarbij wij ons als ICT’ers moeten afvragen of wij kunnen anticiperen op deze snel veranderende technologieën, markt en klantvragen?

Experts in Managed PCI Compliant File Transfer Software and Solutions for the Enterprise!

MFT: more than File Sharing

Identiteit en ICT

Transport Encryption (“Data-in-Transit”)

Integration and Programmatic File Transfer

Comprehensive File Transfer for the Enterprise Automate, Integrate and Control Secure File Transfer

www.mft.cloud Experts in Managed File Transfer Software and Solutions!

Deze nieuwe realiteit biedt vooral veel nieuwe kansen voor nieuwe dienstverlening en strategische samenwerkingen, tussen markt/leveranciers, overheden en gebruikers. BTG benut deze kansen volop door hiervoor het forum te bieden.

Jan van Alphen is voorzitter van de Branchevereniging voor ICT & Telecommunicatie Grootgebruikers (BTG) en board member van de International Telecommunications Users Group (INTUG)

VIACLOUD BV • BEECH AVENUE 54 • 1119 PW SCHIPHOL-RIJK • THE NETHERLANDS +31 (0)20-6586421 • WWW.VIACLOUD.NL • INFO@VIACLOUD.NL

DCA.1 Tivolilaan Primary power supply Public grid

Secundary power supply 2x electrical power unit

PRO PRI ETA RY FIB E

R

UCT RD IBE F RY TA IE

CT DU

Primary power supply Local Power Generation

PR OP R

DCA.2 Kleefsewaard Secundary power supply Public grid

100% UPTIME,ZERO FAILURE

Since 2010, Data Center Arnhem is an independent data center with two locations in Arnhem. In combination with our own fiberglass ring, a maximum uptime can be guaranteed.

40 Years

The Data Center on the Tivolilaan was built in 1974 as computing center for AkzoNobel. In 2010, the datacenter was taken over and the infrastructure has been renewed.

Fully redundant

DCA has a fully redundant energy provision.

Both the primary and secondary sources are performed double on both locations.

Efficiency

By the use of the newest cooling technology in combination with the cold corridor principle, we achieve a PUE (power usage effectiveness) of 1.23.

Visit Data Center Arnhem We are happy to show you around in one of our data centers. please feel free to contact us to make an appointment for a tour. www.tdca.nl

2 Locations, 2 Networks Arnhem internet Exchange (ARNIX) is the digital junction in the province of Gelderland that provides in a professional and affordable infrastructure.