Cloud Research

We worden een gereguleerde sector

Het zal niet iedereen opgevallen zijn, maar onze sector heeft een slechte zomer gehad. We groeien nog steeds hoor, en de zaken gaan goed, maar vanuit Brussel komt het ene hoofdpijndossier na het andere op ons af.

De nieuwe Copyright-directive, die gaat vragen om uploadfiltering. Hoe moet dat worden geïmplementeerd? En wat wordt de rol van hosters in dit proces? En wat betekent deze ontwikkeling voor ons zelfregulerend Notice-and-Takedown proces? Dit gaat nog een hele lastige worden de komende maanden.

{‘We gaan te maken krijgen met steeds strakkere richtlijnen, die bepalen wat we wel en niet mogen doen en

hoe we het mogen doen’

Dan E-evidence. Een voorstel dat het mogelijk maakt aan opsporingsinstanties uit de hele EU om zonder tussenkomst van de landelijke (Nederlandse) autoriteiten data op te vragen en zelfs taps te plaatsen bij service providers van een ander land. Natuurlijk is iedereen het erover eens dat het huidige proces waarmee het tot 10 maanden kan duren voordat de politie van het ene land data krijgt dat in een ander land is opgeslagen verbeterd moet worden. Maar men gaat er wel heel gemakkelijk vanuit dat alle EU-landen dezelfde soort wetgeving hebben en allemaal even respectvol omgaan met de rechten van burgers. Dat is niet het geval. Een Nederlands bedrijf gaat straks een bevel krijgen om data te overhandigen aan, bijvoorbeeld, de Hongaarse autoriteiten, zonder enige garantie dat het misdrijf dat onderzocht wordt ook in Nederland strafbaar is (belediging van de Hongaarse president?). Wij hebben daar moeite mee. Maar het is verre van duidelijk of het ons nog lukt om een paar basisgaranties in de wetgeving te krijgen voordat deze aangenomen wordt. Nog een? De cybersecurity-wetgeving die het Nederlandse parlement dit najaar moet goedkeuren, ook een rubber-stamp van een Brussels besluit. Onder de termen van deze wet krijgt een hoster straks welgeteld EEN uur om bepaalde content te verwijderen, op straffe van forse boetes. Hoe moet een kleine hoster hier in hemelsnaam aan voldoen? Niemand die het weet. Wordt ook niet over nagedacht.

Dit zijn een paar voorbeelden. Er komt meer aan.

De grote lijn van wat er gebeurt, is dat we in een overgangsperiode zitten. We waren lang een hele vrije, zelfregulerende industrie, waar weinig toezicht op was en die zelf de meeste dossiers wist aan te pakken. Niet altijd even succesvol, en sommige dossiers waren hardnekkig, maar in de grote lijnen is het ons gelukt om een sterke hostingindustrie op te bouwen die haar verantwoordelijkheden neemt en een positieve bijdrage aan de samenleving levert.

De EU ziet dit anders. We gaan een gereguleerde industrie worden, vergelijkbaar met de telecomsector. We gaan te maken krijgen met steeds strakkere richtlijnen, die bepalen wat we wel en niet mogen doen en hoe we het mogen doen. En er is niet heel veel dat we hieraan kunnen veranderen.

Onze eigen lobbyactiviteiten richten zich voornamelijk op Den Haag. Daar hebben we goede contacten met ministeries en kamerleden. Het probleem is dat we eigenlijk al te laat zijn als een voorstel in Den Haag aankomt. De besluiten worden in Brussel genomen. Willen we invloed hebben op wat er besloten wordt, moeten we een stap eerder aanwezig zijn. We hebben met bijvoorbeeld CISPE, de Europese vereniging, wel wat toegang daar, maar een echte lobby in Brussel kost gewoon heel veel geld.

Zijn wij bereid om net als andere, meer volwassen sectoren, in de buidel te tasten om een sterke lobby in Brussel op te zetten? Dat is de discussie die we de komende maanden zullen moeten voeren. Als we het niet doen zullen we vrees ik de komende jaren vaker slecht nieuws vanuit de Europese hoofdstad krijgen.

Simon Besteman is directeur van ISPConnect

ReStructure-onderzoeksproject brengt mogelijkheden in kaart

Grote kansen voor tweedehands datacenterapparatuur

Kunnen we een betrouwbare datacenterinfrastructuur creëren als we niet alleen hagelnieuwe apparatuur gebruiken maar ook tweedehands systemen en componenten? Jaak Vlasveld, directeur van Green IT Amsterdam en trekker van het onderzoeksproject ‘ReStructure’, denkt van wel. Maar dan moeten we wel zorgen dat we goed begrijpen hoe een markt voor gebruikte datacenter-apparatuur werkt.

Het zij u vergeven als u nog nooit serieus nagedacht heeft over tweedehands apparatuur voor uw datacenter. En mocht u dit al eens overwogen hebben, dan is de kans groot dat u dit idee weer snel terzijde hebt gelegd. Het valt immers niet mee om de weg te vinden in de markt voor gebruikte systemen en installatie. Het ontbreekt aan transparantie (wie levert wat?), hoe zit het nu precies met service en onderhoud, hoe kunnen we op verantwoorde wijze vaststellen in welke conditie een tweedehands apparaat zich bevindt en - zeker als er software bij betrokken is - hoe zit het eigenlijk met licenties en gebruiksrechten?

Doorzettingsvermogen

Dit is zeker geen uitputtend lijstje met vragen, maar het geeft een aardige indruk van het doorzettingsvermogen dat een datacenter manager moet hebben om daadwerkelijk gebruikte producten of apparaten aan te schaffen. “Dat is zonde”, meent Jaak Vlasveld. Hij is directeur van de stichting Green IT Amsterdam en vanuit die functie nauw betrokken bij het onderzoeksproject ReStructure. Andere deelnemers aan dit onderzoeksproject zijn SURFsara, Sims Recycling Solutions en Aliter Networks.

Wie het verslag van dit inmiddels afgeronde researchproject leest, zal onmiddellijk het motto van dit onderzoek zien: ‘Towards a truly Circular Model for Data Center Equipment’. Daar slaat die typering ‘zonde’ van Vlasveld ook op: eenmaal niet meer in gebruik wordt veel apparatuur in een datacenter simpelweg afgevoerd. Soms naar een recyclingbedrijf, maar veelal simpelweg richting afval. “Zonder dat we eigenlijk onderzoeken of deze apparatuur een tweede leven zou kunnen gebruiken”, constateert Vlasveld. “Dat is opmerkelijk.

De onstuimige groei die websites als Marktplaats en Peerby doormaken, geeft wel aan dat steeds meer consumenten niet per se een nieuw product aanschaffen als zij - bijvoorbeeld - in huis gaan klussen. In veel gevallen blijkt een tweedehands product net zo goed als een nieuw aangeschaft apparaat. Wie kijkt naar de kosten en baten zou met een tweedehands product zelfs wel eens veel beter uit kunnen zijn.”

Segmenteren

Cruciaal - ook voor de consument - is natuurlijk dat het aangeschafte tweedehands product in goede staat is. Een gebruikte boormachine kunnen we nog wel even testen voordat we deze kopen. Maar een chiller? Of een stroomverdeler? Netwerkkabels? Dan wordt het vaak lastiger.

Daar komt nog bij dat de term ‘tweedehands’ wel erg algemeen is, meent Vlasveld. “Sommige gebruikte producten kunnen - zoals die boormachine - door de nieuwe eigenaar direct weer in gebruik worden genomen. Maar in andere gevallen is meer nodig, een revisie bijvoorbeeld. Daarom hebben we in het ReStructureonderzoek een analyse van de markt voor gebruikte datacenterapparatuur gemaakt en deze in een aantal segmenten ingedeeld.”

Vier soorten hergebruik

Deze verdeling is te zien in de figuur op pagina 10. “We maken onderscheid in vier soorten hergebruik: reuse, refurbish, remanufacture en recycle. Afhankelijk van de vraag in welke groep een tweedehands product zich bevindt, zien wij kansen. Soms moet het apparaat alleen gecheckt worden op compleetheid, in andere gevallen is een kleine reparatie nodig. In weer andere gevallen dient het product gerefurbished te worden voordat het weer door een nieuwe eigenaar in gebruik kan worden genomen.”

{‘Het ontbreekt vaak nog aan kennis om lifecyclekosten te berekenen’

Allereerst de groep ‘reuse’. Denk hierbij aan IT-hardware, racks en kabinetten, kabels en dergelijke. “Hier volstaat veelal een controle op compleetheid en op functioneren. Bij IT-hardware komt wellicht nog een extra stap kijken, aangezien zich op servers en op storageapparaten natuurlijk software of data kan bevinden. Er zal een check moeten plaatsvinden of deze geheel verwijderd zijn. Of dat het apparaat inclusief software mag worden verkocht.”

Garanties

Hoe zit dit - zeg maar - logistiek in elkaar? De producten zullen verzameld en opgehaald moeten worden. Vervolgens dient de genoemde controle op compleetheid en functioneren te worden gedaan. Complete en naar behoren functionerende producten kunnen direct door richting een nieuwe gebruiker. Is een mankement vastgesteld of ontbreekt een onderdeel, dan zal dit eerst gerepareerd en compleet gemaakt dienen te worden. Een vraag hierbij is natuurlijk wel: wie garandeert dat het product compleet is en goed functioneert?

In de groep ‘refurbished’ komen we in principe dezelfde productgroepen als bij reuse tegen. Alleen gaat het nu om producten en apparaten die - voordat ze weer gebruikt kunnen worden - eerst gereviseerd moeten worden. Met andere woorden: de systemen dienen gedemonteerd te worden, gecontroleerd en bijvoorbeeld schoongemaakt, waarna alles weer kan worden gemonteerd. Hierna kan het product of apparaat worden overgedragen aan een nieuwe eigenaar.

Stap verder

De groep ‘remanufacture’ gaat nog een stap verder. We zien hier als

nieuwe productgroep ook IT-componenten staan. In deze groep gaat het om producten en apparaten die gedemonteerd worden, waarna de diverse componenten - na controle op functioneren en dergelijke - weer als basis dienen voor een nieuw apparaat. Vaak zal het dus gaan om geheel nieuwe apparaten en niet zozeer om het opnieuw samenstellen van het oorspronkelijke systeem.

Tenslotte ‘recycling’. Gaat het in de vorige groep om het tot een aantal componenten of onderdelen terugbrengen van een apparat, bij recycling gaan we nog een stap verder. In deze groep wordt vooral gekeken naar het terugwinnen van materialen en grondstoffen.

Track & trace

“De tweedehandsmarkt is tot nu toe verre van transparant”, zegt Vlasveld. “Daarmee bedoel ik dat er voor zowel partijen die apparatuur willen aanbieden als datacenters die gebruikte apparaten zouden willen afnemen weinig duidelijkheid bestaat. Als ik gebruikte apparatuur wil verkopen, hoe doe ik dat dan? Of als ik ‘2nd user equipment’ wil aanschaffen waar kan ik dat dan doen? Wie controleert de apparatuur op compleetheid en correct functioneren? Hoe zit het met service en support?”

In het ReStructure-project is hiervoor een model ontwikkeld. Centrale rol in dit model is weggelegd voor een track & tracesysteem. Hiermee kunnen producten en de componenten waaruit deze zijn opgebouwd worden gevolgd. “Het is de bedoeling dat dit gebeurt gedurende alle stadia waaruit de levenscyclus van het product of apparaat bestaat. Met dit track & trace-systeem kan worden vastgelegd en gecommuniceerd in welke mate de producten en hun componenten worden hergebruikt.”

Ladder

“Binnen de ICT- en datacentersector wordt traditioneel echter weinig informatie gedeeld. Dat begrijp ik wellicht nog wel vanuit concurrentieoogpunt, maar wie hergebruik van elektronische apparatuur nastreeft kijkt daar natuurlijk anders naar. Bovendien speelt hier mee dat leveranciers vaak grote aantallen verschillende modellen leveren, waarbij deze modellen elkaar ook nog eens heel snel opvolgen. Daarnaast constateer ik dat de expertise en de data die nodig is voor het calculeren van de lifecycle-impact nog niet erg ontwikkeld is.”

{‘Centrale rol in dit ReStructure-model is weggelegd voor een track & trace-systeem’

Dat maakt het lastig dit soort info in een model op te nemen. “Maar er is wel een alternatief. Dat is de zogeheten ‘ladder van circulariteit’. Daarmee zetten we als het ware inspanning en opbrengst om tot hergebruik en circulariteit te komen tegen elkaar af. Dat gebeurt aan de hand van negen begrippen die alle beginnen met de letter ‘R’:

Refuse Reduce Redesign Reuse Repair Refurbish Remanufacture Re-purpose Recycle Recover (met name energie)

Hoe hoger de trede van de ladder (gemeten vanaf de onderste trede ofwel Recover) hoe beter het hergebruik van grondstoffen is, legt Vlasveld uit. “Een datacenter manager kan aan de hand van deze ladder dus bepalen hoe de balans is tussen de inspanning die hij moet leveren en de (circulaire) opbrengst die daarmee wordt gerealiseerd. Naarmate we meer ervaring en kennis opdoen en er meer consensus ontstaat over de manier waarop lifecycle-kosten berekend dienen te worden, kunnen we in de toekomst binnen het track & trace-systeem veel nauwkeuriger berekeningen maken over de vraag wat de impact van hergebruik zal zijn.”

Resultaten

Het ReStructure-project is zonder twijfel ambitieus te noemen. Het creëren van de keten van partijen om hergebruik van datacenterapparatuur op grotere schaal mogelijk te maken is niet eenvoudig. “Toch hebben we een aantal interessante resultaten bereikt”, stelt Vlasveld.

Allereerst heeft een groep van bedrijven en organisaties aan het onderzoek deelgenomen. “Samen vullen zij een groot deel van de benodigde keten in. Bovendien is er nu duidelijk sprake van onderling vertrouwen. We hebben ook goed in beeld welke rollen er in deze keten vervuld dienen te worden, welke verantwoordelijkheden daarmee gemoeid zijn en welke activiteiten daarbij behoren.” “Ook is een business model ontwikkeld dat als basis voor deze keten kan dienen. Dat biedt een fundament voor een verdienmodel. Want iedere onderneming die in deze keten deelneemt wil graag aan circulariteit werken, maar wil natuurlijk ook simpelweg geld verdienen.”

Heel belangrijk is verder dat ook de specificaties voor het genoemde track & trage-systeem zijn vastgesteld. Daarbij is ook duidelijk welke product- en componentcategorieën via dit systeem gevolgd dienen te worden.

Roadmap

Het blijft bij ReStructure echter niet alleen bij het opzetten van een model. De roadmap van het project voorziet tevens in een pilotproject, waarbij een eerste afnemer van tweedehands apparatuur wordt samengebracht met een leverancier van overtollig geworden datacenterapparatuur. De zogeheten ‘launching customer’ wordt binnenkort bekend, de partij die overtallige DC-apparatuur zal aandragen is SURFsara.

“Daarbij gaan we ook daadwerkelijk gebruikmaken van het track & trace-systeem. De database die hiervoor nodig is, wordt momenteel ingericht. Zodra de pilot start, zullen we - in eerste instantie uiteraard op kleine schaal - producten en componenten identificeren en via het systeem volgen.”

Doel van deze pilot is uiteraard om kennis en ervaring op te doen. Want daar ontbreekt het momenteel nog duidelijk aan, meent Vlasveld. “Er is nog veel bewustwording nodig. Tegelijkertijd ontbreekt het aan kennis om lifecycle-kosten te berekenen. We moeten dus nog veel met aannames werken. Wij zijn er echter van overtuigd dat er grote kansen liggen als we gebruikte datacenterapparatuur een tweede leven kunnen geven. Er zijn heel veel applicaties en services die helemaal niet ‘the latest and greatest’ hardware nodig hebben. Die kunnen prima en tot in lengte van jaren functioneren op basis van apparatuur die wellicht al een paar jaar oud is. Apparaten en systemen selecteren die wat betreft capaciteit en bijvoorbeeld snelheid optimaal passen bij een applicatie of een service, levert interessante kostenbesparingen op. En voorkomt dat veel apparatuur onnodig richting de vuilnisbelt verdwijnt. Dat scheelt kosten en is pure winst als we kijken naar de impact van datacenters en ICT op milieu en leefomgeving.”

Hoewel niet nieuw, staat DRaaS weer volop in de belangstelling

Disaster Recovery 2.0: bescherm de organisatie tegen het onvoorspelbare

Onvoorspelbaarheid hoort bij het leven. Een overstroming, storm, aardbeving of andere natuurramp kan het openbare en het zakenleven volledig tot stilstand brengen. Veel bedrijven denken dat het hen niet zal overkomen. Zij zijn verzekerd tegen eventuele schade en denken dat ze het daarmee goed hebben geregeld. Een verzekering dekt inderdaad eventuele directe schade, maar dat is nog geen oplossing voor een dringender probleem: langdurige downtime waardoor er geen IT-diensten mogelijk zijn en de totale bedrijfsvoering dus flink wordt aangetast.

Ongeacht de oorzaak - een natuurramp, een technisch probleem of een menselijke fout - uitval van de IT-omgeving heeft ingrijpende gevolgen. Maar de vermeende kosten en complexiteit van disaster recovery-plannen weerhouden bedrijven ervan er concreet mee aan de slag te gaan. Daardoor zijn veel organisaties afhankelijk van gedateerde of niet-geteste processen of - erger nog - hebben ze geen enkel herstelplan.

Wie wel een plan had, hanteert de oude ‘zestien kilometer’-regel die zegt dat twee back-ups ten minste zestien kilometer van elkaar vandaan opgeslagen moeten worden. Maar nu natuurrampen hele steden of zelfs hele regio’s treffen, hebben dit soort regels weinig betekenis meer. Bedrijven moeten nu vertrouwen op de cloud en Disaster

Recovery as a Service (DRaaS) om er zeker van te zijn dat hun applicaties en data goed beschermd zijn.

Uitval kost geld

De gevolgen van een uitval van de IT-omgeving kunnen zeer uiteenlopend zijn. Enerzijds is er uiteraard verlies van arbeidsproductiviteit. Volgens Gartner verliest een organisatie gemiddeld 5.600 dollar voor iedere minuut aan downtime. Naast de interne arbeidsproductiviteit is er de druk op bedrijven om ‘always on’-service te bieden aan klanten. In april 2018 had de Britse bank TSB te maken met een grootschalige en langdurige storing waardoor klanten wekenlang niet konden bankieren via de app of internet. Duizenden klanten maakten meldingen van boetes op betalingen of misbruik van hun bankrekening. Dat leidde tot acht keer meer klanten die de bank de rug toekeerden. De situatie leidde tot een halfjaarverlies van 176,4 miljoen pond.

Ongeplande uitval kan ieder bedrijf op ieder willekeurig moment overkomen. IT-teams moeten daarom een plan ontwikkelen dat voorziet in continue beschikbaarheid van data en een zo laag mogelijke impact van een incident op de totale bedrijfsvoering. Disaster recovery is niet langer ‘nice to have’ of een signaal van overbodige bezorgdheid, maar een harde zakelijke eis.

Veiligheid in de cloud(s)

Disaster recovery is veelal gericht geweest op off-site servers of tapes, afhankelijk van de vraag hoe ver we teruggaan in de tijd. Tegenwoordig biedt de cloud echter een uitstekend alternatief voor deze traditionele middelen. Dat kan door een dienst af te nemen op basis van Disaster Recovery as a Service (DRaaS) of door zelf back-ups in de cloud te plaatsen. Het voordeel van de cloud is, dat een organisatie bij een uitval geen on-premise server hoeft te herstellen en dat IT-teams niet per se naar de recoverylocatie moeten afreizen.

DRaaS is een waardevol cloudmodel. Het concept voorziet in complete disaster recovery door de fysieke of virtuele servers van een organisatie te repliceren. Dankzij DRaaS zijn bedrijfskritische applicaties nagenoeg direct na een incident weer in de lucht te brengen.

Net als andere ‘as a Service’-modellen biedt DRaaS belangrijke voordelen voor ieder type bedrijf. Door de lagere kosten kunnen ook kleinere bedrijven ervan profiteren. Daarnaast zorgt de enorme schaalbaarheid ervoor dat grote bedrijven gemakkelijk capaciteit kunnen afnemen en groei eenvoudig kunnen opvangen.

Verder profiteert ieder type bedrijf van het feit dat beheerders geen kostbare tijd meer kwijt zijn aan eenvoudige back-ups. DRaaS wordt dan ook steeds populairder en groeit naar verwachting jaar op jaar met 25 procent.

Implementeren van DRaaS

Om te komen tot de juiste strategie en de juiste rol van DRaaS, moet een organisatie disaster recovery in de context plaatsen van de totale bedrijfsstrategie. Het beste startpunt is het uitvoeren van een business impact assessment.

Het is onder meer belangrijk te bepalen welke applicaties en bedrijfsprocessen het meest kritisch zijn voor de business. Probeer vast te stellen wat de maximale downtime is voor ieder van die processen. Van daaruit is het mogelijk om in kaart te brengen wat de ideale recovery-doelen zijn voor iedere applicatie en ieder proces.

Het is in dit verband raadzaam om enkele hypothetische scenario’s te doorlopen. Hoeveel dataverlies kunt u aan? Hoe snel moet u weer up en running zijn? Wat kost downtime u in termen van output? Dit type vragen helpt bij het bepalen van de Recovery Time Objectives (RTO’s); de hersteltijddoelstellingen.

Ook compliance is een belangrijke overweging bij het bouwen aan een disaster recovery-strategie. Nu de AVG- en de NIS-richtlijn in werking zijn getreden, moet een organisatie precies weten waar gegevens heengaan als deze gedeeld worden. Iedere betrouwbare serviceprovider heeft dit nu geregeld voor de regio waar hij actief is. Door het juiste platform te kiezen, kan een organisatie gerust zijn dat ze en een goede strategie volgt en voldoet aan wet- en regelgeving.

Disaster recovery 2.0

Wat vaak vergeten wordt, is dat het hebben van een disaster recovery-plan alleen niet genoeg is. Het is ook nodig om de kwaliteit van back-ups regelmatig te testen en ervoor te zorgen dat gegevens goed te herstellen zijn. Een organisatie moet er zeker van zijn dat het plan in de praktijk doet wat ervan verwacht wordt. Het laatste wat u wilt, is erachter komen dat een plan niet helemaal compleet is of - erger - dat niet alle workloads te herstellen zijn.

Het is nu belangrijker dan ooit om werk te maken van disaster recovery. Uitval van IT kan iedereen overkomen. IDC schat dat 80 procent van de bedrijven die geen plan hebben, in zwaar weer komen als het misgaat met hun IT. In het ergste geval is herstel helemaal geen optie. Daarom is een stevig plan voor disaster recovery een absolute vereiste voor iedere organisatie.

Ronald Ooms, Vice President North East EMEA bij Veeam Software