IT-Infra 1 - jan/feb 2014 by Hage Grafische Vormgeving

www.it-infra.nl

waarin opgenomen:

vakblad voor netwerk-, storage- en serviceprofessionals

nr. 1 / januari/februari 2014

Kop 70 voor dossier IT-security Kop_Onderkop voor duiding

Met techniek alleen redden we het niet

SERVICEMANAGEMENT VAN PROCESSEN NAAR DIENSTEN NGN ONDER NGI-PARAPLU WORKSHOP BOOTSTRAP GETEST CLOUDGEBASEERDE BESTURINGSSYSTEMEN

AutomatiseringGids en Nyenrode Business Universiteit presenteren:

Masterclass Enterprise Architectuur Praktische masterclass over alle relevante en actuele aspecten in enterprise architectuur. angt u p ontv o o fl a Na deelrdevol a a w n ee at van ertifica ess c e m a n in de Bus Nyenro rsiteit Unive

Dinsdag 25 maart, 16.00 – 19.30 uur

WIE bepaalt de architectuur? Rene Kint, Zelfstandig IT-architect, Partner Liquet BV Dinsdag 1 april, 16.00 – 19.30 uur

Agile Architectuur

Daan Kalmeijer, Expert Consultant Enterprise Architectuur, Inspearit

Wilt u in een korte tijd grondig bijgepraat worden over de meest relevante inzichten in enterprise-architectuur? In zes bijeenkomsten presenteren AutomatiseringGids en Nyenrode Business Universiteit een heldere update over dit interessante en snel veranderende vakgebied. Zes Nederlandse topsprekers – een mix van gevestigde experts en aanstormend architectuurtalent – geven hun visie op het vak en vertellen vanuit hun ervaring over de belangrijkste principes en inzichten van enterprise architectuur. Aansprekend, concreet en helder. Voor IT-architecten die op zoek zijn naar de nieuwste inzichten. Voor IT-managers die hun organisatie écht vooruit willen helpen. Voor IT-professionals met ambitie.

André Anker, Senior Bedrijfsarchitect bij UWV Klant en Service “ De masterclass Enterprise Architectuur geeft inzicht in de rol die een enterprise architect speelt bij verandertrajecten. Verschillende sprekers belichten deze rol ieder vanuit een ander perspectief. Daarbij wordt hoofdzakelijk geput uit de ervaring die de sprekers hebben opgedaan in hun inzit bij verschillende organisaties. De masterclass heeft daardoor een het pragmatische opzet. Hierdoor is er met de spreker goed te discussiëren over verschillende situaties die zich in de dagelijkse praktijk voor doen. De opgedane leerstof is hierdoor de volgende dag alweer toe te passen op het werk.”

LET OP:

Slechts een beperkt aantal plaatsen beschikbaar! Schrijf snel in. Kijk op www.nyenrode.nl/mea voor meer informatie.

Dinsdag 8 april, 16.00 – 19.30 uur

Infrastructuurarchitectuur: Focus op functionaliteit Daniël Jumelet, Managing Consultant Business Infrastructure, BiZZdesign Dinsdag 15 april, 16.00 – 19.30 uur

Business Architectuur in de praktijk Niels Klinkenberg, Adviseur en docent, Niels Klinkenberg Advies BV Dinsdag 22 april, 16.00 – 19.30 uur

ICT-architectuur – back to reality Gert Florijn, Principal Adviseur, M&I Partners Dinsdag 13 mei, 16.00 – 19.30 uur

Werken onder architectuur: lessen uit een succesvol Enterprise Architectuur traject bij ABN AMRO Wouter Schmitz, Hoofd architectuur, ABN AMRO NL

IT-Infra is een uitgave van BIM Media. Het is tevens het ledenblad van de NGN (Netwerk Gebruikersgroep Nederland). hoofdredacteur: Wijnand Westerveld, w.westerveld@bimmedia.nl, (070) 304 68 19 redactiesecretariaat: Anita Arends, a.arends@bimmedia.nl, (070) 304 68 40 redactieadres: itinfra@bimmedia.nl adviseurs en vaste medewerkers: Hans Bezemer, Simon Bos, Ron Onrust, Wim Verveen uitgever: Arjan Kors, a.kors@bimmedia marketing / evenementen: Maarten Snel, m.snel@bimmedia.nl advertenties: accountmanagers: Ranou Hira, r.hira@bimmedia.nl, 06-51612019; Richard Heemskerk, r.heemskerk@bimmedia.nl 06-51587299 aftersales: Hans Spuijman, Astrid van Veen; mos@bimmedia.nl vormgeving: Hage Grafische Vormgeving, www.barryhage.nl drukker: DeltaHage, Den Haag webbeheer: Malengo, Groningen abonnementen en administratie: IT-Infra verschijnt tien keer per jaar. De abonnementsprijs bedraagt € 219,50 per jaar (exclusief 6% btw en inclusief verzend- en administratiekosten). Losse nummers: € 24,50. Prijswijzigingen voorbehouden. Abonnementen kunnen worden opgegeven bij BIM Media Klantenservice, postbus 16262, 2500 EA Den Haag o.v.v. ‘IT-Infra’. Telefoon: (070) 304 67 77, e-mail: bimmedia@bimmedia.nl. Een abonnement kan op ieder gewenst tijdstip ingaan en geldt tot wederopzegging, tenzij anders overeengekomen. De minimumlooptijd van een abonnement is één jaar. Partijen kunnen schriftelijk opzeggen tegen het einde van de abonnementsperiode, met inachtneming van een opzegtermijn van twee maanden. Wij verwerken uw gegevens voor de uitvoering van de (abonnements)overeenkomst en om u van informatie te voorzien over BIM Media bv en zorgvuldig geselecteerde andere bedrijven. Als u geen prijs stelt op deze informatie, kunt u dit schriftelijk melden bij BIM Media, postbus 16262, 2500 EA Den Haag. Voor informatie over onze leveringsvoorwaarden kunt u terecht op www.bimmedia.nl. Vanwege de aard van de uitgave, gaat BIM Media uit van een zakelijke overeenkomst; deze overeenkomst valt onder het algemene verbintenissenrecht. ISSN 1567-5963 © 2014 BIM Media, Den Haag Alle rechten voorbehouden. Behoudens de door de Auteurswet 1912 gestelde uitzonderingen, mag niets uit deze uitgave worden verveelvoudigd (waaronder begrepen het opslaan in een geautomatiseerd gegevensbestand) en/of openbaar gemaakt door middel van druk, fotokopie, microfilm of op welke andere wijze dan ook, zonder voorafgaande schriftelijke toestemming van de uitgever. De bij toepassing van art. 16b en 17 Auteurswet 1912 wettelijk verschuldigde vergoedingen wegens fotokopiëren, dienen te worden voldaan aan de Stichting Reprorecht, Postbus 3060, 2130 KB Hoofddorp, telefoon (023) 799 78 10. Voor het overnemen van een gedeelte van deze uitgave in bloemlezingen, readers en andere compilatiewerken op grond van art. 16 Auteurswet 1912 dient men zich te wenden tot de Stichting PRO, Postbus 3060, 2130 KB Hoofddorp, telefoon (023) 799 78 09. Voor het overnemen van een gedeelte van deze uitgave ten behoeve van commerciële doeleinden dient men zich te wenden tot de uitgever. Hoewel aan de totstandkoming van deze uitgave de uiterste zorg is besteed, kan voor de afwezigheid van eventuele (druk)fouten en onvolledigheden niet worden ingestaan en aanvaarden de auteur(s), redacteur(en) en uitgever deswege geen aansprakelijkheid voor de gevolgen van eventueel voorkomende fouten en onvolledigheden.

COMMENTAAR

COLOFON

‘t Draait om de klant

IT zal de business de komende jaren ingrijpend veranderen. Dat hebben we in de IT-wereld vaker gehoord, maar nu is er écht iets gaande. Daarbij speelt de ‘klant’ de hoofdrol. De consument met tablet en smartphone die onbeperkt gebruikmaakt van een niet aflatende stroom nieuwe apps. Goedkoop en soms verrassend functioneel. Die consument is dé bepalende factor in de huidige ontwikkeling. Het individu dat zich niet bekommert om ‘proprietary versus open’; voor wie ‘compatibiliteit van gegevens’ geen issue is; dat geen moeite heeft met hardware als een ‘black box’ waar je zelf niets aan mag veranderen; dat geen vraagtekens zet bij het gebruik van diensten waarvan niemand de herkomst weet of zich afvraagt wie ze levert en voor wie security geen primair aandachtsgebied is. ‘Geen omgeving waar je cruciale bedrijfsprocessen mee zou willen ondersteunen,’ zal elke rechtgeaarde IT’er nu meteen zeggen. Maar het is wél de omgeving waar klanten, zowel het individu als bedrijven en organisaties, krijgen wat zij willen: een snelle service zonder poespas en vooral zonder beperkingen. Precies dát is de reden dat bedrijfsprocessen zich de komende jaren steeds meer in die omgeving zullen afspelen. Gericht op afnemers die op maat bediend willen worden – of het nu om een supermarktketen, een personenvervoerder of een productiebedrijf

Voor individu is security geen primair aandachtsgebied gaat. Het primaire proces is in de toekomst niet de logistieke bevoorradingsketen, niet het ‘op de rails houden’ van treinstellen, of het op voorraad produceren van onderdelen. Er is voor elke onderneming maar één primair bedrijfsproces en dat is het bedienen van de klant met diensten die zo veel mogelijk op persoonlijke voorkeuren zijn afgestemd. Die processen zullen zich voor een belangrijk deel buiten de muren van de eigen organisatie afspelen, ondersteund door IT die razend goedkoop is en vanuit een cloudomgeving wordt gefaciliteerd. En de eigen interne IT-organisatie? Die zal in het kielzog van de ‘naar buiten’ schuivende bedrijfsprocessen ook steeds meer buiten de muren van de eigen organisatie worden opgetuigd. Simpelweg omdat ‘de klant’ zich ook buiten de eigen organisatie bevindt. En de klant, daar draait het allemaal om.

Wijnand Westerveld

Hoofdredacteur (w.westerveld@bimmedia.nl)

IT-Infra JANUARI/FEBRUARI 2014

INHOUD

DOSSIER SECURITY

Beveiligen is bewegen Waterdichte IT-beveiliging

is een illusie en we verliezen steeds meer controle. Tijdens de RSA-conferentie werd een strategie van aanpassing en van constante beweging uiteengezet.

Erkend Netwerk Professionals

Op het terrein van IT-security blijft de gebruiker verreweg de zwakste schakel.

Met techniek alleen redden we het niet

IT-security draait om meer dan firewalls en virusscanners. Het gaat vooral om beleid en om

permanente alertheid.

Geef bestanden een bodyguard

Steeds meer beveiligingsbedrijven komen met oplossingen om

SERVICEMANAGEMENT

Van processen naar diensten

IT-dienstverleners reageren vaak

de interne bestanden afzonder-

traag op de melding van een pro-

lijk te beschermen.

bleem en de communicatie laat te

wensen over. Waarom?

Pas op voor ‘Het Nieuwe Lekken!’

Medewerkers krijgen met ‘Het Nieuwe Werken’ veel vrijheid, maar ze zijn zich meestal niet bewust van de nieuwe risico’s. Toch is mobiel werken relatief eenvoudig veiliger te maken.

GETEST

Cloudgebaseerde besturingssystemen

Google met Chromium en Mozilla met Firefox OS proberen het cloudOS nieuw leven in te blazen, in deze nog nieuwe markt.

JANUARI/FEBRUARI 2014 IT-Infra

40 TOOLBOX

Handige apps voor de zakelijke werkplek

Security is in de cloud een heikel

36 DRUKWERK

Boek Informatie management

Het boek Informatiemanagement

NGN

Portret Jonathan Cohen

De 64-jarige Cohen, werkzaam

punt. Gelukkig zijn er gratis tools die

van Roel Grit biedt in klare taal een

bij jnc-ict, verlegde zijn

de security verbeteren en onafhanke-

helder overzicht van het vakgebied

werkterrein als systeem

lijker maken van één partij.

informatiemanagement.

beheerder naar particulieren.

WORKSHOP

COLUMNS 23 IT Matters - Hans Bezemer

45 Experience Matters - John Vanderaart

rol bij het ontwikkelen van

Bootstrap: framework voor webdevelopment

Aandacht voor interactieve formulieren, met behulp van een sterk visuele validatie-routine en enkele speciale veldtypes.

Stand van zaken examensoftware

De NGN speelt al een tijdje een examensoftware. Beheerders, lid van deNGN, konden de software testen. IT-Infra JANUARI/FEBRUARI 2014

KORT

Bittorrent als alternatief voor cloud Bittorrent, het bedrijf achter het populaire peer-to-peer-netwerkprotocol, werkt aan een alternatief voor cloudcomputing. Het idee is dat gevoelige gegevens in het huidige cloudmodel opgeslagen worden op servers waar de eigenaar van de gegevens geen directe controle over heeft. Het nieuwe protocol voor bestandssynchronisatie waar Bittorrent aan werkt maakt de cloudproviderindustrie werkloos door dezelfde functionaliteit te verzorgen vanuit de eigen rekencentra. De manier waarop dat gebeurt heeft veel gelijkenis met de Bittorrent-netwerken waar nu bestanden over worden uitgewisseld – legaal of illegaal – zonder tussenkomst van een centrale server. De bedenkers zien als voordeel dat organisaties niet meer afhankelijk zijn van de al dan niet gefingeerde betrouwbaarheid van de clouddienstverleners en hun medewerkers, maar wijzen ook op de betere controle op de praktijken van NSA en andere overheidsgestuurde inlichtingendiensten. Ongemerkt opvragen van gegevens kan niet meer. Een nadeel van de aanpak kan zijn dat voor de uitwisseling van de gegevens de beide computers wel tegelijk online moeten zijn. Bittorrent heeft het nieuwe protocol Bittorrent Sync inmiddels in een bèta-testversie beschikbaar.

Apple Mac viert dertigste verjaardag

In Cupertino, in het hart van Silicon Valley, is een bijzondere verjaardag gevierd. Jarige job was de Macintosh, de computer waar Apple beroemd mee werd: de ‘Mac’ werd 30. De Mac beleefde in 1984 een vliegende start door de reclamespot ‘1984’ van regisseur Ridley Scott. Die werd op 22 januari uitgezonden tijdens een pauze in de Super Bowl, de finale van het American Foot ball, doorgaans een van de best bekeken tv-pro gramma’s in de VS. Het filmpje maakte de tongen flink los, omdat Apple daarin de oorlog verklaarde aan ‘Big Brother’, computergigant IBM. Twee dagen na het spotje presenteerde Apple-op richter Steve Jobs de Macintosh 128k, genoemd naar de 128 kilobyte aan geheugen. Het was de eerste thuiscomputer met een grafische interface en een muis. Waar tot dan toe alle commando’s gegeven werden via het toetsenbord, kon je op de Mac met de muis icoontjes aanklikken. Ook knippen en plakken van stukjes tekst was ineens een fluitje van een cent. In Nederland kostte het apparaat destijds het enor me bedrag van 7000 gulden (ruim 3100 euro). Het schermpje, 9 inch (22 centimeter) in diagonaal, was zwart-wit. En op de binnenkant van de behuizing stonden de handtekeningen van de ontwerpers.

Na muisarm is nu ‘app-rug’ in opkomst Het veelvuldig staande checken van mail en sociale netwerken geeft aanleiding tot klachten in nek, rug en schouders, zo is nu wetenschappelijk bewezen. Het onderzoek naar de nieuwste technologieziekte werd uitgevoerd door de Universiteit van

Queensland en werd opgepikt door Webwereld. Gedurende lange tijd de nek in een sterk gebogen houding dwingen, levert veel spanning en inflexibiliteit op in de rug en schouderpartij en daarmee ontstaan makkelijk RSI-achtige klachten. Bovendien, zo constateerden de onderzoekers, levert het al lopend communiceren via tekstge-

baseerde apps een gevaar in het verkeer op. De gebogen houding vermindert het functioneren van het evenwichtsorgaan waardoor een slingerende tred ontstaat. Ook neemt de loopsnelheid flink af. Wie lopend tekstjes componeert loopt ook makkelijker tegen obstakels op of struikelt over oneffenheden in de weg. De onderzoekers lieten voor

“Veel succesvolle startersbedrijven in de VS hebben geen interne afdeling automatisering meer, maar betrekken alle IT uit de cloud” Carl Herberger, vicepresident van Radware, tijdens een seminar over security bij Pinewood in Delft 6

JANUARI/FEBRUARI 2014 IT-Infra

Microsoft volgt Amazon met prijsverlaging clouddiensten In reactie op een prijsverlaging van Amazon voor zijn cloudopslagdiensten, heeft Microsoft zijn tarieven ook verlaagd. Amazon kondigde einde half januari aan dat het de tarieven voor zijn S3 Simple Storage Service en EBS Elastic Block Store met respectievelijk ruim 20 en 50 procent zou verlagen. Microsoft verlaagde daarop zijn prijzen voor zijn Locally Redundant Disks/Page Blobs Storage met 28 procent. Voor Azure Storage-transacties zijn de prijzen zelfs gehalveerd. Daarmee houdt Microsoft zich aan zijn belofte, dat het de prijzen van Amazon’s Web Services (AWS) zal evenaren of er onder zal gaan zitten. Amazon is wereldwijd marktleider waar het clouddiensten betreft.

‘Apple beschermt klant het best' het onderzoek 26 proefpersonen een traject lopen terwijl al dan niet activiteiten op een smartphone werden uitgevoerd.

‘Aantal meldingen internetfraude verdrievoudigd Bijna 28.000 Nederlanders hebben vorig jaar bij de Fraudehelpdesk melding gemaakt van (een poging tot) internetoplichting. Het jaar ervoor (2012) waren dat negenduizend mensen. In 22.000 gevallen ging de melding over phishing: via een e-mail proberen aan banken identiteitsgegevens te komen. De overige zesduizend meldingen hadden betrekking op zo-

genoemde voorschotfraude. In sommige gevallen raken slachtoffers vele honderdduizenden euro’s kwijt. Een uitschieter was een makelaar uit het oosten van het land die 86.000 euro verloor aan een ‘miljoenenproject’ in Zuid-Afrika, waar hij twee keer naartoe reisde. De fraudehelpdesk denkt overigens slechts 10 procent van de oplichtingszaken aangemeld te krijgen. (anp)

Update Windows 8.1 eist minder geheugen’ De nieuwe update van Windows 8.1 die medio maart uitgebracht zal worden, vereist minder geheugen en diskruimte waardoor

het besturingssysteem ook op goedkopere hardware kan draaien, aldus nieuwsdienst ZDNet. Microsoft zelf laat zich hierover niet uit. Ook niet over de publicatiedatum van Windows 8.1 update 1. Die zou 11 maart zijn, nota bene dezelfde dag dat de maandelijkse patchronde uitkomt. Verwacht wordt dan ook dat de update via Windows Update onder gebruikers van Windows 8.1 wordt verspreid. Als de update inderdaad minder geheugen en diskruimte in beslag neemt, wordt het besturingssysteem beter geschikt voor minder krachtige tablets. Daardoor zou Microsoft beter moeten kunnen opboksen tegen Android.

Apple behoort samen met Microsoft en Target, tot de website-exploitanten die de meeste zorg dragen dat gegevens niet in verkeerde handen vallen. Toys‘R’Us behoort tot de slechtst scorende e-commercebedrijven. De websites van zo’n honderd bedrijven werden door onderzoekers van wachtwoordbeheerder Dashlane onderzocht. De manier waarop de website-exploitanten omspringen met het accepteren, het beheer en het versturen van wachtwoorden werd op 24 punten beoordeeld. Alleen Apple kreeg de maximale score. Target, in het nieuws vanwege een grote hack waarbij veel gegevens vrijkwamen, doet er toch alles aan om zijn zaken op orde te houden. Dat mag afgeleid worden uit de derde plaats. IT-Infra JANUARI/FEBRUARI 2014

DOSSIER SECURITY

Waterdichte IT-beveiliging is een illusie uit de vorige eeuw en we verliezen steeds meer controle. Wat doe je dan? Want IT moet wel ‘safe’ zijn. Tijdens de RSA-conferentie werd een strategie van aanpassing en van constante beweging uiteengezet. Bart Smith

Beveiligen is

Aanvallers hebben verschillende

eel van de huidige beveiliging van IT-systemen is zo’n tien jaar oud. Dat is een probleem, aldus keynotespreker Joshua Corman, directeur Security Intelligence bij Akamai Technologies, want zonder adequate basis is elke securityvoorziening nutteloos. Hij schetste dat je een securitystructuur kan zien als een pyramide (figuur 1). Aan de top de leuke tools en apparaten om nieuwe aanvallen af te slaan, methodes en technieken die IT-securityprofessionals begrijpen en waar budget voor is. Helaas heb je niets aan een goed georganiseerde ‘top’ als de onderliggende lagen niet goed zijn ingericht. En juist daarop heeft de securityprofessional doorgaans weinig of geen invloed, omdat de basis van de piramide onder verantwoordelijkheid van de CIO of CTO ligt. Zij beslissen over de investeringen in de verdedigbare infrastructuur. Maar er zijn manieren – bijna trucs eigenlijk – om toch invloed te krijgen. Samen met beveiligingsexpert David Etue gaf Corman tijdens de RSA-conferentie een serie tips om als verantwoordelijke voor IT-security toch invloed te krijgen. De eerste was om te 8

JANUARI/FEBRUARI 2014 IT-Infra

blijven hameren dat de status-quo van security en bescherming van privacy altijd achter de feiten aanloopt en dat er dagelijks nieuwe bedreigingen bij komen. Herhaling is per slot van rekening de kracht van ‘reclame’. Minder direct, maar wellicht wel effectiever, is het om de compliancy-eisen te ‘misbruiken’. De financiële wereld eist bijvoorbeeld in zijn beveiligingsstandaard PCIDSS (figuur 2) dat er voor twaalf aandachtsgebieden beheertools worden gebruikt, de zogeheten ‘dirty dozen’. “Verspreid daarom als het even kan creditcardgegevens tussen al je data. Dan is het verplicht om die twaalf tools te implementeren voor de gehele ITinfrastructuur”, aldus Etue. In het verlengde daarvan adviseerde hij collega’s uit het pri-

maire proces om waar mogelijk samen te werken met partijen die strenge veiligheidseisen stellen, want dat schept verplichtingen op het terrein van security. Nog een tip: probeer wensen op het terrein van security als eis in een request for proposal te zetten, in de hoop dat de afdeling inkoop – dat geen verstand van IT-security heeft – ze één op één overneemt. “Is een concurrent aangevallen? Dien dan snel een verzoek in om de security te mogen aanpassen met het argument ‘anders gebeurt ons hetzelfde’.” Daarnaast biedt ook het College Bescherming Persoonsgegevens (CBP) aanknopingspunten met zijn ‘Richtsnoeren beveiliging van persoonsgegevens’ die een jaar geleden

Veel van de huidige beveiliging van IT-systemen is zo’n tien jaar oud. Dat is een probleem

bewegen

gezichten

tegenmaatregelen omgevingsbewustzijn

operational excellence

verdedigbare infrastructuur

Figuur 1: Securitystructuur als pyramide

werden gepubliceerd. Het CBP stelt daarin dat persoonsgegevens moeten worden beveiligd volgens ‘standaarden, methoden en maatregelen die in het vakgebied informatiebeveiliging gebruikelijk zijn’. Met andere woorden, als een organisatie geen verdedigbare infrastructuur heeft en persoonsgegevens verwerkt – en dat is eigenlijk elke organisatie – dan kan dit conflicteren met de privacywetgeving. En handelen in strijd met de wet willen de meeste managers niet, onder meer vanwege mogelijke imagoschade

De Dirty Dozen oftewel de PCI-DSS: 1. AntiVirus 2. FireWall 3. IDS/IPS (Intrusion Detection System / Intrusion Protection System) 4. Web Application Firewall 5. Log Management 6. File Integrity 7. Disk Encryption 8. Vulnerability Assessment 9. MultiFactor Authentication 10. Anti-SPAM 11. VPN 12. SIEM (security Information & Event Management) Figuur 2: Payment Card Industry Data Security Standards

en boetes. De ‘privacy officer’ kan die wettelijke verplichting prima uitleggen aan het management en het is vervolgens aan hen om maatregelen te nemen. Mochten bovengenoemde methoden bij het management onverhoopt niet tot meer aandacht voor privacy en IT-security leiden, dan zijn er nog altijd de reële bedreigingen. Zo noemde Corman onder andere de tool MetaSploit: een hulpmiddel dat kwetsbaarheden in een systeem blootlegt. Een tool ook waar iedereen zonder enige ervaring mee kan

werken. “Een tool voor scriptkiddies waarmee je in élk netwerk kan inbreken. En MetaSploit publiceert meer dan één kwetsbaarheid per dag! Jaar in jaar uit. Met andere woorden: íedereen die op je (wireless)netwerk komt en met MetaSploit aan de gang gaat, kan je infrastructuur beschadigen. Dát is de minimale ondergrens waartegen we ons moeten verdedigen. Als we onze verdedigbare infrastructuur niet tegen MetaSploit kunnen verdedigen, dan hebben maatregelen hoger in de beveiligingspiramide weinig nut.” IT-Infra JANUARI/FEBRUARI 2014

DOSSIER SECURITY

Aanval op bankenwereld In 2012 wisten de hackersgroepen Anon en LulzSec de websites van Visa, PayPal en andere financiële instellingen met eenvoudige midde len (lage kosten) te defacen. De publi citaire impact was gigantisch en de instellingen leden fors gezichtsver lies. Na veel inspanningen en tegen hoge kosten is daarna een aantal leden van Anon opgepakt, vooral als signaal om te laten zien dat er met banken niet gesold kan worden. Pijnlijk blijft dat ondanks signifi cante uitgaven aan compliancy en auditing de hack niet voorkomen werd. Met eenvoudige tools voor websecurity- en anti-DoS waren de hackers waarschijnlijk niet binnen gekomen.

Classificeren

Een belangrijk aspect van privacybescherming en IT-security is dat we het niet meer vanuit één perspectief kunnen benaderen. Na de onthullingen van Edward Snowden mag het duidelijk zijn dat niemand zich tegen spionage door de NSA kan beveiligen. Maar is dat je primaire vijand? Aanvallers hebben verschillende gezichten. Het kan de NSA zijn, maar ook de Russische maffia, de Chinese overheid of toch een scriptkiddie. We kunnen ons nooit tegen álles verdedigen en dus moeten we het slimmer aanpakken. Dat begint met een risico-analyse. Joshua Corman en David Etue adviseren daarom te kijken vanuit het ‘perspectief van de aanvaller’ en bieden daarvoor een model. Zoals een professionele voetbalcoach altijd de vorige wedstrijden van de tegenstander zal analyseren, zo raadden zij aan om de potentiële aanvallers te classificeren en te analyseren (figuur 3 en 4). Er is een sterke relatie tussen de aanvaller (en hun doelwit) enerzijds en anderzijds de aanvalsmethode. Ofwel, als je hebt bepaald wie je potentiële aanvallers zijn, dan weet je waarschijnlijk welke methoden ze gaan gebruiken. Voor een goede risico-analyse adviseren 10 JANUARI/FEBRUARI 2014 IT-Infra

MetaSploit is een tool dat kwetsbaarheden in een systeem blootlegt en waar iedereen zonder enige ervaring mee kan werken

Corman en Etue te bedenken hoe een potentiële aanvaller zou kunnen calculeren. Daartoe is het volgende relevant: • De kosten van de aanval, zoals onderzoek, reiskosten voor social engineering (vertrouwelijke informatie bij mensen loskrijgen), inbreken, afschermen tegen ontdekking, verdiepen van de aanval, risico om opgepakt te worden. • De waarde die met het primaire proces gemoeid is. Bijvoorbeeld een mensenleven voor een ziekenhuis of een productie methode voor een fabrikant. • De kans op een succesvolle aanval. Omdat de waarde die met het primaire proces gemoeid is niet kan worden veranderd, moet de verdediging zich richten op het verhogen van de kosten van een aanval of op het verlagen van de kans op een succesvolle aanval.

Kosten

Natuurlijk zal het budget voor IT-security niet oneindig groeien. Volgens analisten is het reëel ervan uit te gaan dat maximaal 12 procent van het IT-budget voor privacy en security beschikbaar zal zijn. In de praktijk zal dat percentage doorgaans lager liggen, zo verwacht men. Dus ook hier is creativiteit geboden. Bijvoorbeeld door eens te kijken naar de platforms die in het kader van BYOD worden gebruikt. Want BYOD is vanuit IT-perspectief wellicht gevaarlijk omdat men het moeilijk kan beheren, maar zet je voordelen eens op

een rij. Kijk bijvoorbeeld naar Apple’s iOS. Dat staat alleen signed applications toe en elke app draait in zijn sandbox met Mandatory Access Controls (MAC). Veel veiliger dan Windows met zijn DACLs (Discretionary Access Control List), waarvoor elke maand een serie patches wordt uitgebracht. Om nog maar te zwijgen over de applicaties als Flash, Java en Acrobat. Er is nog nooit een virus-aanval van betekenis op iOS geweest en ook op Android komen maar een paar families malware voor. De onveiligheid van deze platforms lijkt veel groter dan de bedreiging in werkelijkheid is. Dat veel IT’ers BYOD als een groot gevaar zien, komt waarschijnlijk door geringe kennis van bovengenoemde platforms. Durf ook eens naar gratis software te kijken. Gratis kan in de ogen van veel IT’ers nooit goed zijn, maar gratis pakketten komen in tests vaak als besten uit de bus. Bij een aanval op de New York Times in 2012 bleek dat Symantec AV slechts 1 van de 45 malwares had herkend. Dat roept de vraag op waarom we toch blijven geloven in dure antivirus pakketten.

Open source

In Nederland is nog een redelijke terughoudendheid bij het gebruik van opensourcesoftware. Maar alle grote cloudproviders draaien op open source: Facebook, Google, iCloud et cetera. Kijk daarom eens op open source repositories als Git-Hub. Daar zijn allerlei opensource-security(management) tools beschikbaar. Als open source de enige

DOELWIT pincode bank/creditcard | eigenschappen website | Intellectueel Eigendom | persoonsgegevens/identiteit (IT-)infrastructuur | primaire processen

GEVOLG (IMPACT) reputatie | individu | vertrouwen | integriteit ( juist, volledig, tijdig) | beschikbaarheid

aanvaller

motivatie

doelwit

gevolg

methode

ziekenhuis

scriptkiddie

prestige

persoonsgegevens

reputatie

SQLi, MetaSploit

school

student

eigenbelang

cijfers

integriteit

autorisatie, MetaSploit

hoogheemraadschap

staat

militair, politiek

sluizen, gemalen

doden, vertrouwen

SCADA malware

fabrikant

concurrent

industrieel

productie methode

Intellectueel Eigendom

rootkit, sociaal

IT-provider

auditor

winst

beheersmaatregelen

schijnzekerheid

checklist

Figuur 4: Analyse potentiële aanvallers

betaalbare manier is, dan moeten we wellicht bij onszelf te rade gaan of we onze vooroordelen over de implementatie van open source opzij moeten zetten.

Endpoint-security

Hackers hebben het vooral op applicaties of op data gemunt, bijvoorbeeld met SQL injec tion. Aanvallen op applicaties die gegevens in een database opslaan, blijven zich herhalen. We hebben daar ‘endpoint-security’ en ‘netwerk-security’ tegen in stelling gebracht. Maar wat als de controle over het netwerk verdwijnt, zoals bij SaaS, PaaS en IaaS (de SPIstack)? Dan moeten we op zoek naar een alternatief voor netwerk-security. Gelukkig ko-

men er steeds meer software-based firewalls. Goedkoop, soms zelfs gratis, misschien iets minder goed dan een hardware-oplossing, maar het securitybudget dat vrijkomt kan worden ingezet voor de broodnodige applicatie- en data-security.

Conclusie

IT-security is in beweging en wij moeten meebewegen. Durf vraagtekens te zetten bij de adviezen van uw security vendor en bij die van een auditor. Zij hebben immers een winstoogmerk en de vraag is of daarbij altijd uw belang voorop staat. Denk daarom vooral zelf na en blijf de beveiliging van je organisatie regelmatig beschouwen vanuit

het perspectief van een aanvaller. Gebruik checklists en best practises als middel, niet als doel. Investeer in kennis over de laatste technologieën. Wees niet bang voor gratis oplossingen en zie open source als een kans. Verschuif je aandacht van netwerken endpoint-security naar data- en applicatiesecurity. Bart Smith (bart.smith@ngn.nl) is enterprise-architect en lid van Ngi-NGN. @joshcorman @djetue

reageren? www.ngn.nl/ITInfra20140108 IT-Infra JANUARI/FEBRUARI 2014 11

DOSSIER SECURITY

Martijn Bellaard ICT-architect

Roel van Bueren Microsoft-specialist ROVABU Networks bv

Erkend Netwerk Professionals:

‘De wereld vera Op het terrein van IT-security blijft de gebruiker verreweg de zwakste schakel. “Zolang er gebruikers zijn is IT niet veilig.”

Alex de Jong Freelance consultant, trainer en auteur; specialist in Microsoft-producten

Frank Korpershoek ICT-consultant Interexperts

Ruben Spruijt Technology officer bij PQR; MVP, CTP, ENP, vExpert

Alex Warmerdam eigenaar WarMass Automatiserings Consultants

In deze rubriek geeft een aantal ‘Erkend Netwerk Professionals’ (ENP) zijn visie. De titel ENP komt personen toe met een hoog kennis niveau, die hun kennis inzetten voor de NGN. Kijk voor meer informatie over ENP’ers op www.ngn.nl/enp.

12 JANUARI/FEBRUARI 2014 IT-Infra

Beveiligingsgoeroe Bruce Schneier zegt over IT-security: “We are getting better, but we’re getting worse faster.” Herkennen jullie dat beeld? Wordt het ondanks verbeterde tools toch steeds lastiger om een IT-omgeving te beschermen? Bellaard: “De wensen van gebruikers worden anders en dat maakt het lastiger. In het verleden was een werkende pc met daarop software de norm. Tegenwoordig wil een gebruiker overal werken en wil hij de mogelijkheid hebben verschillende tools te installeren. Dit maakt het beveiligen van een werkstation lastig. De wereld verandert te snel.” Korpershoek: “Vroeger kon je door het tegenhouden van een bepaald protocol of adres je netwerk dichttimmeren. Dat is nu niet meer voldoende. Niet alleen vindt zo goed als alle communicatie via hetzelfde protocol plaats, ook met het blokkeren van adressen kom je niet ver meer. Nu moet je via deep packet inspection kijken van welke diensten of informatie er gebruik gemaakt wordt. Tools zijn weliswaar steeds beter in staat dit soort diensten aan gebruikers te koppelen, maar als die gebruikers vervolgens slordig omspringen met hun credentials, zijn we weer terug bij af.” Spruijt: “Ja, want de zwakste schakel zijn wij, de business consumers, die gebruik maken van een diversiteit aan applicaties en mobiele devices. Soms controleren leveranciers zoals Apple, Google en Microsoft welke applicaties er in de mobiele applicatiestore geplaatst mogen worden, maar soms ook niet. Dat stelt IT-beveiligers voor extra uitdagingen.”

De laatste tijd lijkt IT-security vooral over bescherming van privacy te gaan. Merken jullie dat er vanuit bedrijven en organisatie meer aandacht voor privacy is? Bellaard: “Nee, ik merk dat privacy een onderdeel van security is geworden, maar niet dat alle aandacht uit gaat naar privacy. De hoeveelheid aandacht voor privacy hangt samen met het type organisatie. In zorg en onderwijs is er logischerwijs veel aandacht voor privacy. Bij productiebedrijven zie je dat dit veel minder de aandacht heeft en dat de primaire aandacht naar de productieondersteunende systemen of de R&D-afdeling gaat. Pas als ik over het monitoren van gebruikers begin, komt er een discussie over privacy.” Korpershoek: “Het is vreemd om te zien dat Snowden meer kan losmaken dan jarenlang regelmatig een privacylek wegens slordigheid. Nu de NSA met ons mee blijkt te kijken, staan vele bedrijven en overheden opeens op hun achterste benen. Het lijkt mij dat zij zich geen zorgen maken over onze privacy, maar hooguit bang zijn dat gevoelige informatie in verkeerde handen valt.” Spruijt: “Privacy is zeker een onderwerp van gesprek en heeft meer aandacht dan voorheen. Tijdens rondetafelsessies bij onze relaties gaat het vaak over BYOD, security en mobiele gebruikers. En over de impact van mobiele devices en applicaties op security.” Security-experts waarschuwen eigenlijk voortdurend. Leveranciers van security-

ndert te snel’

Signaleren jullie beweging in de uitgaven voor IT-security en privacy? Bellaard: “Ik merk wel een verandering. Security is niet langer een puur technische aangelegenheid, maar wordt steeds meer ook een item voor het management.” Korpershoek: “Nee, niet. Zodra er weer eens iets serieus in de media verschijnt, schrikt iedereen even wakker, om vervolgens weer tot de orde van de dag over te gaan.” Spruijt: “Ik zie wel dat er meer aan uitgegeven wordt. Ik ken verschillende organisaties die vanwege security-problemen in het nieuws zijn gekomen. Voor deze organisaties is het intern makkelijker om meer budget voor security vrij te maken.” Maken concepten als cloud de beveiliging van IT makkelijker of juist moeilijker?

“De onthullingen van Snowden zetten je wel aan het denken... Wie kun je nog vertrouwen?” software doen dat ook. Maar het is hun business, dus hoe betrouwbaar zijn hun waarschuwingen. Hoe veilig is IT volgens jullie? Bellaard: “Zolang er gebruikers zijn is IT niet veilig. Security-tools worden weliswaar steeds beter, maar het grootste gevaar zit nog altijd tussen de rugleuning en het toetsenbord. Het enig dat helpt is training. Juist hierin wordt nog te weinig geïnvesteerd. Een organisatie koopt liever een security-appliance dan dat ze gebruikers herhaaldelijk trainen. Ik ben soms verbaasd hoe makkelijk ik informatie loskrijg bij gebruikers.” Korpershoek: “De dagelijkse stroom aan security gerelateerde berichten toont aan dat de IT nog lang niet veilig is. Het zal nog

een tijd duren voordat dat wel het geval is, ben ik bang. Denk hierbij ook even aan de zwakste schakel. Dat is wat mij betreft al jaren de gebruiker. De gebruikers zijn zogenaamd zo handig door thuisgebruik van computers, iPad’s, et cetera, maar zolang we de gebruikers geen fatsoenlijke opleiding geven, blijven zij de zwakste schakel.” Spruijt: “I am convinced that there are only two types of companies: those that have been hacked and those that will be. Dat zei voormalig FBI-directeur Robert S. Mueller. Nu kun je je afvragen of organisaties als FBI te vertrouwen zijn, maar de opmerking van Mueller geeft in mijn ogen wel antwoord op de vraag. De waarschuwingen dat security een serieuze zaak is, dat is realiteit voor de meeste organisaties nu en in de toekomst.”

Bellaard: “Beiden. Moeilijker, omdat de informatie nu bij een provider staat en je niet langer de controle hebt. Makkelijker, omdat het beveiligen van de server nu de taak is van de provider.” Korpershoek: “In zekere zin wordt het makkelijker. De partij waar je je clouddiensten inhuurt, is over het algemeen verantwoordelijk voor de veiligheid van de dienst. Het belang van die cloudleverancier om de dienst veilig te houden, is dusdanig groot dat deze er serieus mee zal moeten omgaan. Maar er zullen ongetwijfeld ook cloudcowboys zijn die in de hype een graantje mee willen pikken. Let dus goed in wiens handen je je IT legt.” Spruijt: “Public cloudcomputing heeft alles met ontzorgen en vertrouwen te maken. Maar de onthullingen van Edward Snowden zetten je wel aan het denken... Wie kun je nog vertrouwen?”

reageren? www.ngn.nl/ITInfra20140112 IT-Infra JANUARI/FEBRUARI 2014 13

DOSSIER SECURITY

Met techniek alleen redden we het niet IT-security draait om meer dan firewalls en virusscanners. Het gaat vooral om beleid en om permanente alertheid. “IT-

dienstverleners zouden hun krachten moeten bundelen.” Wijnand Westerveld

et is door de onthullingen van Edward Snowden wat ondergesneeuwd, maar de NSA was niet de enige organisatie die vorig jaar over de schreef ging. Begin van de zomer waren verschillende ‘partijen’ bijzonder actief met omvangrijke Ddos-aanvallen op banken. Steeds opnieuw bleek het betalingsverkeer van onder meer ING, SNS en de Rabobank verstoord te worden. Daarna was Schiphol doelwit en vervolgens werden KLM en de NS onder vuur genomen. Over de vraag welke organisaties achter die aanvallen zaten, kan alleen gespeculeerd worden. Vast staat echter dat het geen individuen zijn die vanuit een zolderkamer proberen hoever ze kunnen komen. Het gaat om goed georganiseerde groepen, wellicht gefaciliteerd door vreemde overheden. Het gaat

ook niet meer om lukrake pogingen. ‘Target by opportunity’ maakt plaats voor ‘target by choice’ aldus een insider voor wie het gedurende deze serie aanvallen ‘all hands on deck’ was. De gerichte DDos-aanvallen kunnen enorme schade aanrichten. De site van de New York Times is na een aanval twee dagen uit de lucht geweest, de Arabische oliemaatschappij Aramco moest binnen een week dertigduizend disks vervangen omdat die geïnfecteerd waren en tickets boeken via de website van vervoersmaatschappijen verliep moeizaam.

Oorlog

Volgens Carl Herberger, vicepresident security solutions bij de firma Radware, is het oorlog in cyberspace. Herberger was onlangs

Carl Herberger, vicepresident security solutions Radware:

‘Als de cloudaanbieder plat gaat, ligt ook jouw business stil’

14 JANUARI/FEBRUARI 2014 IT-Infra

te gast bij de securiy-expert Pinewood uit Delft, die dit jaar haar twintigjarig bestaan viert. Ter ere daarvan organiseert het bedrijf dit jaar twintig evenementen rond security waarvan de sessie met Herberger de eerste was. Volgens Herberger zal de cyberoorlog steeds ernstiger gevolgen krijgen. Enerzijds omdat cybercriminelen steeds geavanceerder methoden gebruiken, en er naar alle waarschijnlijkheid overheden bij betrokken zijn, maar ook omdat de maatschappij steeds afhankelijker wordt van technologie. “Er is geen weg terug. Als banken worden aangevallen en men geen geld meer kan pinnen, is

De maatschappij wordt steeds afhankelijker van technologie. “Er is geen weg terug. Als banken worden aangevallen en men geen geld meer kan pinnen, is er geen alternatief in de vorm van een bankkantoor waar je aan de balie geld kan halen. Die zijn er haast niet meer.”

er geen alternatief in de vorm van een bankkantoor waar je aan de balie geld kan halen. Die kantoren zijn er haast niet meer.” In het verlengde van die opmerking verwees hij naar een aantal nieuwe bedrijven in de VS, succesvolle startups die gemeen hebben dat ze zonder interne IT-afdeling werken, maar alle IT-faciliteiten van cloudaanbieders betrekken. “Vanuit kostenoogpunt is dat heel

aantrekkelijk, maar tegelijkertijd heb je geen enkele invloed op de beveiliging van systemen. Als de cloudaanbieder plat gaat, ligt ook jouw business stil.”

dienstverleners worden steeds meer geconfronteerd met zogeheten distributed attacks. Dat zijn kleine, niet zo makkelijk herkenbare aanvallen, vanuit verschillende servers en daarmee veel minder herkenbaar dan een massieve DDos-aanval. Maar is een aantal van die kleine attacks eenmaal binnen in jouw serveromgeving actief, dan hergroeperen ze zich ineens tot een massieve attack. Knappe cloudprovider die dan al z’n systemen in de lucht weet te houden." Volgens Herberger zouden IT-dienstverleners onderling veel opener over dit soort aanvallen moeten praten. “Als ze hun krachten bundelen, zijn ze tot veel meer in staat dan nu het geval is. Maar ze zien elkaar meer als concurrent dan als partijen die gezamenlijk hetzelfde probleem hebben en dat het beste ook samen kunnen oplossen.” Volgens Hans Doornbosch, oprichter en directeur van Pinewood, zijn er wel degelijk goede IT-beveiligingsmaatregelen te nemen. “Zolang men maar beseft dat we het met techniek alleen niet redden. Een firewall en een virusscanner is niet genoeg. Er moet een IT-securitybeleid zijn en dat beleid moet je ook regelmatig goed tegen het licht houden, want de ontwikkelingen op dit vlak gaan snel. Heel snel.”

Van klein naar massief

Dat die kans klein is omdat cloudomgevingen per definitie goed beveiligd zijn, trekt Herberger op z’n minst sterk in twijfel. “ITIT-Infra JANUARI/FEBRUARI 2014 15

DOSSIER SECURITY

Geef bestanden een bodyguard Klassieke securitymaatregelen als firewalls en intrusion detection zijn niet afdoende om ‘vreemde ogen’ te weren. Steeds meer

beveiligingsbedrijven komen daarom met oplossingen om de interne bestanden afzonderlijk te beschermen. Peter de Koning

en Europese autofabrikant ontwerpt zijn modellen met behulp van computer aided design (CAD). Is een ontwerp gereed, dan verstuurt het concern de bestanden naar toeleveranciers zodat deze er prototypes van kunnen maken. Iedere keer als men echter bestanden had verstuurd, was het ontwerp kort daarna ook in auto’s van bepaalde Chinese fabrikanten terug te zien. Soms nog voor de Europese auto’s daadwerkelijk op de markt waren gebracht. Het was duidelijk dat Chinese fabrikanten deze ontwerpen te pakken kregen en razendsnel gebruikte voor hun eigen activiteiten. Maar waar werden deze bestanden nu precies gestolen? Hier kon men niet precies achter komen en dus ook de diefstal niet voorkomen.

File level security

Tot men koos voor ‘file level security’, een manier van beveiligen die onder meer wordt geleverd door het Israëlische bedrijf Covertix. Het bedrijf heeft een eigenzinnige kijk op data loss prevention (DLP). Bij traditionele DLP-oplossingen scant men het uitgaande dataverkeer. Daarbij wordt gezocht naar specifieke woorden, gegevenstypen of combinaties daarvan. Die gegevenstypen kunnen bijvoorbeeld betrekking hebben op rekeningnummers, Burger Service Nummers en dergelijke. Dit terwijl de woorden waarop wordt gescand zelf opgegeven kunnen worden en bijvoorbeeld de benamingen kunnen zijn van prototypes, prospects of R&D-projecten. 16 JANUARI/FEBRUARI 2014 IT-Infra

“Traditionele DLP zit op papier goed in elkaar, maar kent in de praktijk een aantal belangrijke nadelen”, zegt Yoran Sirkis, chief executive officer van Covertix tijdens een bezoek aan Nederland. Hij was in ons land om samen met businesspartner TecHarbor een aantal Nederlandse bedrijven te bezoeken. “Misschien wel het belangrijkste probleem is dat al het uitgaande verkeer gescand moet worden. Dat vergt veel rekencapaciteit, want we zullen een behoorlijke lijst met keywords moeten hanteren om tot een behoorlijke bescherming te komen. En zelfs als we al het uitgaande verkeer op al die keywords scannen, moeten we nog maar afwachten of we alle documenten en bestanden kunnen opvangen waarvan we als bedrijf vinden dat het niet buiten ons bedrijf terecht had mogen komen. Er zijn simpelweg teveel mogelijkheden om detectie door een DLP-systeem te voorkomen.” Covertix kiest daarom voor een andere aanpak. Het heeft technologie ontwikkeld waarmee zij bestanden en documenten zelf kunnen beschermen. De security zit dan dus

niet zozeer in het afschermen van het netwerk of het scannen van het dataverkeer, maar puur in het bestand zelf. Sirkis: “Deze aanpak wordt ook wel vergeleken met een bodyguard. De beveiligingsmaatregelen zijn embedded in het bestand en maken het mogelijk de toegang tot de file te reguleren. Maar het bevat bijvoorbeeld ook de vraag of een bestand mag worden geprint, wanneer het mag worden geopend, op welke systemen het mag worden bekeken, tot welke datum een bestand mag worden gebruikt, enzovoorts.” In het geval van de hiervoor genoemde

“Traditionele DLP zit op papier goed in elkaar, maar kent in de praktijk een aantal belangrijke nadelen”

Europese autofabrikant was het mogelijk de verzonden CAD-bestanden te voorzien van restricties, die bepalen dat de bestanden alleen op bepaalde werkstations kunnen worden geopend en dan bovendien alleen maar op bepaalde locaties (domeinen) van de toeleverancier. Daarnaast is het nu alleen nog mogelijk om deze files te openen met specifieke applicaties en bovendien alleen gedurende bepaalde uren van de werkdag. Ten slotte is aan de CAD-bestanden een soort uiterste houdbaarheidsdatum meegegeven: na die datum kunnen de bestanden helemaal niet meer worden geopend, ook niet met de eerder genoemde geautoriseerde applicaties en ook niet op voorheen toegestane domei-

nen of computersystemen. De bestanden kunnen nog steeds gestolen worden, alleen is de toegang nu strikt gereguleerd.

Envelop

Centraal bij Covertix staat een aanpak die luistert naar de naam ‘SmartCipher’. Dit is een technologie, die het mogelijk maakt om een serie door de gebruiker te definiëren policies aan een bestand of document toe te voegen. Deze policies worden volledig met het bestand geïntegreerd en blijven dus verbonden aan deze file, ook als deze verzonden worden en buiten de firewall terecht komen. Er is ook geen verbinding nodig tussen bestand en bijvoorbeeld een centrale

server, want alle policies zitten in de file zelf. De policies stellen een gebruiker in staat om een bestand met derden te delen, zonder dat hij zich zorgen hoeft te maken over misbruik. Of over het opslaan in bijvoorbeeld als onveilig beschouwde locaties. ‘Out of the box’ kunnen gebruikers meer dan 35 policies toepassen op een bestand, waarbij het bovendien mogelijk is om watermerken aan een file toe te voegen, waardoor altijd achterhaald kan worden wie een bestand heeft geopend of gebruikt. De policies kunnen zeer nauwkeurig rechten omschrijven. Sirkis noemt als voorbeeld dat het heel goed mogelijk is om vast te leggen dat een bestand enkel mag worden afgedrukt wanneer de applicatie waarmee men dit wil doen is geïnstalleerd op een apparaat dat via wifi is verbonden aan één specifiek basisstation in een gebouw. En dan bijvoorbeeld alleen nog maar op dinsdagmiddag 19 november tussen 14.00 en 15.00 uur. Sirkis gebruikt als analogie voor deze technologie het woord ‘envelop’. “We kunnen informatie in een envelop stoppen, deze dicht plakken en vervolgens versturen. Wie de envelop mag openen, waar, wanneer en hoe kunnen we zeer nauwkeurig vastleggen. In de praktijk heeft deze envelop een omvang van slechts 16 k. Dat is de extra ruimte die nodig is om de policies voor een bestand vast te leggen en dat is dus tevens de overhead die door het toepassen van deze technologie per bestand ontstaat.” Een bestand wordt door het integreren IT-Infra JANUARI/FEBRUARI 2014 17

vak visie voorsprong >

AG-BOEKENREEKS VOOR AMBITIEUZE IT-PROFESSIONALS Business Business Logic Logic Management Management Piet Koorevaar en Peter Noordam Piet Koorevaar en Peter Noordam ISBN 978 90 12 58554 5

ISBN 978 90 12 58554 5 Business Logic Management E 29,95 Piet Koorevaar en Peter Noordam Voor wie succesvol wil blijven, is een integrale benadering van informatiemanagement en Voor wie succesvol wil blijven, is een integrale benadering van informatiemanagement en business proces management noodzakelijk. Dit boek behandelt beide werelden in ISBN 978 proces 90 12 58554 5 business management noodzakelijk. Dit boek behandelt beide werelden in samenhang. Het reikt managers complete oplossingen aan voor de positie, de vormgeving, samenhang. Het reikt managers complete oplossingen aan voor de positie, de vormgeving, de inrichting en het bestuur van dit gecombineerde managementgebied, en geeft antwoord de inrichting en het bestuur van dit gecombineerde managementgebied, en geeft antwoord op vele nieuwe vraagstukken op deze terreinen. op vele nieuwe vraagstukken op deze terreinen. Voor wie succesvol wil blijven, is een integrale benadering van informatiemanagement en business proces management noodzakelijk. Dit boek behandelt beide werelden in samenhang. Het reikt managers complete oplossingen aan voor de positie, de vormgeving, de inrichting en het bestuur van dit gecombineerde managementgebied, en geeft antwoord op vele nieuwe vraagstukken op deze terreinen.

Big Big Data Data Tom Breur Tom Breur ISBN 978 90 12 58567 5 ISBN 978 90 12 58567 5 Big Data E 29,95 Tom Breur Big Data is dé business intelligence (BI) trend van de laatste jaren. Hoe ga je als bedrijf om Big Data is dé business intelligence (BI) trend van de laatste jaren. Hoe ga je als bedrijf om met aanwezige informatie? Welke kansen biedt het? En hoe gebruikt u data? Dit boek geeft ISBN 978 90 12 58567 5 met aanwezige informatie? Welke kansen biedt het? En hoe gebruikt u data? Dit boek geeft u inzicht in de laatste technologische mogelijkheden, trends, privacy, ROI en over het u inzicht in de laatste technologische mogelijkheden, trends, privacy, ROI en over het verbeteren van de kwaliteit van data en data-analyse. Daarnaast helpt verbeteren van de kwaliteit van data en data-analyse. Daarnaast helpt dit boek bij het opstellen van een goede datastrategie. dit boek bij het opstellen van een goede datastrategie. Big Data is dé business intelligence (BI) trend van de laatste jaren. Hoe ga je als bedrijf om met aanwezige informatie? Welke kansen biedt het? En hoe gebruikt u data? Dit boek geeft u inzicht in de laatste technologische mogelijkheden, trends, privacy, ROI en over het verbeteren van de kwaliteit van data en data-analyse. Daarnaast helpt Het bo ek dit boek bij het opstellen van een goede datastrategie.

gratis i

nkijken

Ga nu n onze w aar ebsite! AG-reeks: boeken geselecteerd door de AG-redactie AG-reeks: boeken geselecteerd door de AG-redactie

Voor IT-managers, -professionals en algemeen managers Voor IT-managers, -professionals en algemeen managers selecteert de AG-redactie ieder jaar een aantal managementselecteert de AG-redactie ieder jaar een aantal managementboeken die op allerlei niveaus helpen bij de dagelijkse beboeken die op allerlei niveaus helpen bij de dagelijkse bedrijfsvoering. Door in te gaan op actuele onderwerpen, trends, drijfsvoering.boeken Door in tegeselecteerd gaan op actueledoor onderwerpen, trends, AG-reeks: de AG-redactie innovatie en hele praktische tools, tricks, tips en innovatie en hele praktische tools, tricks, tips en Voor IT-managers, -professionals en algemeen managers

actielijsten of stappenplannen. De geselecteerde titels zijn actielijsten of stappenplannen. De geselecteerde titels zijn helder geschreven door toonaangevende ICT-leaders op een helder geschreven door toonaangevende ICT-leaders op een specifiek werkgebied. En bijzonder aan te raden voor wie zichspecifiek werkgebied. En bijzonder aan te raden voor wie zichzelf en het bedrijf of opdrachtgever verder wil helpen. zelf en het bedrijf of opdrachtgever verder wil helpen.

selecteert de AG-redactie ieder jaar een aantal management-

helder geschreven door toonaangevende ICT-leaders op een

boeken die op allerlei niveaus helpen bij de dagelijkse be-

specifiek werkgebied. En bijzonder aan te raden voor wie zich-

actielijsten of stappenplannen. De geselecteerde titels zijn

zelf en het bedrijf of opdrachtgever verder wil helpen. Bestellen gratis inkijken? Ga naar automatiseringgids.nl/AGreeks Bestellen of ofinnovatie gratis inkijken? Gatricks, naar en hele praktische tools, tips enautomatiseringgids.nl/AGreeks drijfsvoering. Door in te gaan op actuele onderwerpen, trends,

van deze gebruiksregels dus gewijzigd. Loopt een bedrijf daarmee niet het gevaar dat antivirussoftware ‘ziet’ dat bijvoorbeeld een Word-bestand of PDF door de SmartCiphersoftware is aangepast? “Nee, dat gebeurt niet”, zegt Sirkis. “We vliegen – zoals wij dat noemen – onder de radar doordat we deze technologie toepassen op een niveau tussen de hardware en de applicatiesoftware. Daar scant een antivirusprogramma niet. Hoe we dat precies doen, wordt beschermd door een patent, dus daar kan ik niet al te veel technische details over geven.” Welke documenten of bestanden kunnen we nu het beste met deze technologie beschermen? “In principe kan ieder type bestand met SmartCipher worden beschermd. Het merendeel van onze klanten gebruiken deze aanpak om hun meest gevoelige informatie te beschermen. Het is een methode die vooralsnog wordt toegepast op het niveau van directies en boardrooms. Maar ook advocatenkantoren werken er mee en bijvoorbeeld R&D-medewerkers die gevoelige intel lectual property willen beschermen. Een use case die ik ook veel tegenkom, is bij fusies en overnames. De contracten en financiële voorstellen kunnen hiermee uitstekend uit het zicht van onbevoegden worden gehouden.”

Praktijk

Hoe kunnen gebruikers deze technologie nu in de dagelijkse praktijk toepassen? Het startpunt is dat men een aantal mappen of directories aanmaakt waarop bepaalde

policies van toepassing worden verklaard. Ieder bestand of document dat vervolgens in deze directory wordt geplaatst, erft automatisch deze attributen. Wordt een bestand verplaatst, dan blijven de policies bij de file. Hetzelfde geldt als een beschermd bestand of als getallenreeksen uit bijvoorbeeld een beschermde spreadsheet worden gekopieerd. “Het hele beschermingsproces is voor de eindgebruiker volledig transparant”, meent Sirkis. “Hij hoeft hier geen extra handelingen voor uit te voeren. Dat is een bewuste keuze omdat anders de kans (te) groot is dat eindgebruikers de bescherming vergeten of vanwege bijvoorbeeld snelheid niet wensen toe te passen. Het volstaat bij SmartCipher om het bestand in de daarvoor bestemde map op te slaan.” Om vervolgens met deze bestanden te kunnen werken, hanteert Covertix twee methoden. De eerste maakt gebruik van zogeheten agent-software, de tweede aanpak is ‘agentless’. In het eerste geval zal de apparatuur, die de ontvangende gebruiker toepast, voorzien moeten zijn van speciale agent-software. Ontbreekt deze software, dan zal de ontvanger niet in staat zijn iets met het bestand te beginnen. De agent kan echter altijd van een specifieke locatie op internet worden gedownload of kan door de verzendende partij worden meegestuurd. Het is echter ook mogelijk om zonder speciale agent-software te werken. In dat geval zijn alle bestanden echter ‘view only’

en is bewerken of wijzigen onmogelijk. Wel is het mogelijk om in ‘view only mode’ notities toe te voegen. Hiertoe is het wel nodig dat de identiteit van de gebruiker die een bestand bekijkt, is vastgesteld. “Stel dat een directeur tijdens een vakantie een belangrijk document in view only mode krijgt toegestuurd. Hij ontvangt dan niet het bestand zelf, maar slechts een link naar het bestand. Vervolgens kan hij na authenticatie dit bestand gewoon in een internetcafé of desnoods op een geleende tablet lezen en notities aan het bestand toevoegen. Eenmaal terug op kantoor kan hij – bijvoorbeeld tijdens een vergadering – opnieuw inloggen en deze notities weer bekijken”, zegt Sirkis. De technologie van Covertix kan zowel on-premise als vanuit de cloud worden gebruikt. “Een interessante mogelijkheid bij gebruik van SmartCipher als cloudservice is dat hiermee een workflow kan worden geautomatiseerd, dat bestanden automatisch beschermt en vervolgens in een account bij Dropbox, Skydrive of Box plaatst. Op die manier kunnen we cloudstorage, die eigenlijk bedoeld is voor consumenten, ook voor zakelijke doeleinden inzetten, zonder dat we als bedrijf daarmee security-problemen over ons afroepen”, besluit Sirkis.

Peter de Koning (itinfra@bimmedia.nl) is redactie medewerker IT-Infra JANUARI/FEBRUARI 2014 19

DOSSIER SECURITY

“We vliegen onder de radar doordat we deze technologie toepassen op een niveau tussen de hardware en de applicatiesoftware”

DOSSIER SECURITY

Pas op voor Medewerkers krijgen met ‘Het

Nieuwe Werken’ veel vrijheid, maar

ze zijn zich meestal niet bewust van de nieuwe risico’s. Dit kan leiden tot onbewust lekken van informatie, met alle mogelijke gevolgen van

dien. Toch is mobiel werken relatief eenvoudig veiliger te maken.

ind oktober 2013 presenteerde minister Opstelten de Nationale Cyber security Strategie 2014-2016. De regering streeft ernaar dat we in Nederland op een veilige manier optimaal gebruikmaken van de voordelen van digitalisering. Het is veelzeggend dat de overheid digitale veiligheid de komende jaren tot speerpunt maakt. Wat geldt voor de Nederlandse samenleving als geheel, geldt ook voor organisaties. Gevoelige informatie kan in verkeerde handen komen of op straat komen te liggen – zeker nu we steeds vaker mobiel werken. De kans lijkt misschien klein, maar het gebeurt vaker dan we denken. En áls het gebeurt zijn de gevolgen groot. Denk aan financiële gevolgen en reputatieschade.

Zwakste schakel

De cijfers over ‘cyberbewustzijn’ waarop de Cybersecurity Strategie mede is gebaseerd, liegen er niet om. Ze tonen de mens als zwakke schakel. Enkele feiten: • 46 procent van de Nederlanders gebruikt voor meerdere accounts hetzelfde wachtwoord, 5 procent doet dat zelfs voor alle accounts • Ongeveer een derde van de Nederlands werknemers gaat onveilig om met wachtwoorden: zij mailen bijvoorbeeld wachtwoorden naar zichzelf of schrijven ze ergens op waar ze eenvoudig terug te vinden zijn (ook voor anderen) • Met name in vitale sectoren (zoals de energie-, water- en transportsector) is steeds 20 JANUARI/FEBRUARI 2014 IT-Infra

Helmer Berkhoff

minder aandacht voor digitale veiligheid: in 2012 kreeg 80 procent van de medewerkers een instructie, in 2013 nog maar 68 procent • 40 procent van de lager opgeleide medewerkers in vitale sectoren die een laptop heeft, kreeg géén instructie over veilig werken

Mobiel werken

De meeste kantoren zijn redelijk tot goed beveiligd, vooral als medewerkers toegang hebben tot gevoelige informatie. Toegangscontrole, pasjes, persoonlijke wachtwoorden, veilige netwerken, strategische plaatsing van beeldschermen ten opzichte van ramen om meekijken te voorkomen en soms zelfs folie op de ramen. Zodra de medewerkers het kantoor verlaten, vallen al deze maatregelen weg. Maar iedereen kan nog wel gewoon doorwerken op laptop, mobiel of tablet. Wie let er dan op de veiligheid?

Regelgeving

De verantwoordelijkheid voor veilig mobiel werken ligt uiteindelijk bij de bestuurders van organisaties. Ook al is dat (nog) niet wettelijk geregeld, terwijl op arbogebied wel van alles is geregeld voor thuiswerken. Denk aan

‘Het

Nieuwe Lekken!’

regels voor het faciliteren van laptopsteun, muis en toetsenbord. In het verlengde daarvan horen ook maatregelen voor veiligheid en privacy. De Cybersecurity Strategie neemt hierop een voorschot en benadrukt dat organisaties verantwoordelijkheid moeten nemen voor ‘goed huisvaderschap’, ofwel adequate maatregelen moeten nemen. Dat hoeft niet ingewikkeld te zijn. Bijvoorbeeld: een medewerker werkt in het openbaar vervoer aan een offerte. Toevallig kan iemand van de concurrent meekijken en heeft zo inzicht in het aanbod. Dit is eenvoudig te voorkomen met een privacyfilter voor het beeldscherm. Dat is een filter voor over het beeldscherm, dat de kijkhoek aanzienlijk verkleint, waardoor meekijken nagenoeg onmogelijk wordt.

Bewustzijn creëren

Bij openbare wifi is slechts een beperkt deel van de verbinding versleuteld

Minstens zo belangrijk als maatregelen om veiligheid en privacy te garanderen, is bewustzijn creëren bij medewerkers. Hoe zorg je ervoor dat ze verantwoord en veilig werken als ze thuis zijn of onderweg? Hoe blijft gevoelige, vertrouwelijke informatie beschermd? Vaak hebben organisaties wel richtlijnen, maar zijn ze onvoldoende bekend of te ingewikkeld. Veel werknemers handelen er in elk geval niet naar. Onderstaande checklist met drie standaardvragen werkt eenvoudig: 1) Wie kan er meekijken of -luisteren? 2) Welk type informatie wil ik raadplegen? 3) Hoe veilig is de verbinding die ik gebruik?

IT-Infra JANUARI/FEBRUARI 2014 21

DOSSIER SECURITY

Security by Design • Personeel Wat moeten medewerkers weten, kun nen en hebben om verantwoord om te gaan met gegevens waar ze toegang toe hebben? Denk ook aan workshops of trainingen voor leidinggevenden over hoe ze de juiste instructies kun nen geven aan medewerkers en hoe ze hen kunnen instrueren, motiveren en controleren. • Processen Maak afspraken over naleving van instructies, bijvoorbeeld bespreekbaar maken in functioneringsgesprekken. Ook afspraken over toegangsverlening en dataclassificatie horen daarbij: wie mag welk type data op welke locatie bekijken?

• Producten Welke tools en apps stellen we be schikbaar? Welke netwerkkoppelingen zijn toegestaan? Hoe regelen we de beveiliging? Bijvoorbeeld een firewalloplossing voor thuiswerken, een privacyfilter op het beeldscherm van mobiele apparaten, of alleen appara ten verstrekken met een schakelaar om onveilige verbindingen (als bluetooth) in één keer uit te zetten. • Partners Welke eisen stellen we aan partners en leveranciers op het gebied van veilig mobiel werken en hoe controleren we ze? Welke diensten beleggen we elders en wat houden we in huis?

Is het netwerk met de naam ‘Gratis Starbucks wifi’ wel het netwerk van Starbucks? De eerste twee vragen zijn het meest aan de orde. Het raadplegen van vertrouwelijke informatie in een publieke gelegenheid kan al snel leiden tot onbewust en onbedoeld ‘lekken’ van informatie wanneer de gebruiker zich er niet van vergewist wie er nog meer kan meekijken op het beeldscherm (‘shouldersurfing’). Bij de derde vraag is van belang te weten dat bij (gratis) openbare wifi slechts een beperkt deel van de verbinding versleuteld is – ook bij het gebruik van een VPN-verbinding. Het mobiele apparaat is voor kwaadwillenden vanaf dat open wifinetwerk te bereiken. Bovendien weten argeloze gebruikers niet zeker of ze met het juiste netwerk een verbinding maken. Iedereen kan zijn wifi-netwerk immers een zelfgekozen naam geven. Is het netwerk met de naam ‘Gratis Starbucks wifi’ wel het netwerk van Starbucks? 22 JANUARI/FEBRUARI 2014 IT-Infra

Een open wifi-netwerk is dus niet de juiste verbinding om gevoelige informatie te versturen. Ook een bluetooth-verbinding is onveilig en moet na elk gebruik worden afgesloten. Het is van belang dat medewerkers en managers dit soort zaken bespreken om het bewustzijn te vergroten, bijvoorbeeld tijdens voortgangs- of functioneringsgesprekken.

Security by Design

Bij veilig mobiel werken hoort een totaalaanpak: niet alleen aandacht voor technische oplossingen, óók voor gedrag van medewerkers en externen, en voor processen. Het gaat erom dat je beveiliging niet achteraf ‘als een sausje over je dienst giet’. Wij geloven in het principe van Security by Design: al bij het ontwerp van een nieuwe ICT-dienst moet gekeken worden naar de vier aspecten ‘Personeel’, ‘Processen’, ‘Producten’ en ‘Partners’

(zie kader). Dit sluit overigens aan bij de Cybersecurity Strategie, die ook nadrukkelijk aandacht besteedt aan Security by Design.

Minder risico, minder kosten

Organisaties die inzetten op Security by Design lopen minder risico op financiële schade of reputatieschade, terwijl ze wél profiteren van de voordelen van flexibel, mobiel werken. Uit onderzoek blijkt bovendien dat organisaties hierdoor kosten kunnen besparen en de Total Cost of Ownership (TCO) van ICT-oplossingen kunnen reduceren. Verder sluiten ze aan bij de Nationale Cybersecurity Strategie waarin de regering de zorgplicht van organisaties benoemt en stelt dat digitale veiligheid alleen is te waarborgen door privaat-publieke samenwerking. Tot slot voldoen organisaties aan weten regelgeving als ze zorgen voor digitale veiligheid. Zo moeten persoonsgegevens wettelijk goed beveiligd zijn. Mogelijke boetes – wetgeving is in de maak – liggen tussen de 450.000 euro en maximaal 2 procent van de jaaromzet.

Helmer Berkhoff (helmer.berkhoff@kpn.com) is senior business consultant security & compliance bij KPN Consulting. Hij is betrokken bij diverse security-, migratie- en verandertrajecten, zowel binnen de overheid (gemeenten en ministeries) als bij commerciële bedrijven (bijvoorbeeld het opzetten van PKI-omgevingen voor banken). Vooral de niet-technische aspecten van informatiebeveiliging (menskant en bewustzijn) hebben zijn aandacht.

lexplekken, het klinkt veel CIO’s nog steeds als modern in de oren. Maar laat ik u meteen uit de droom helpen: het is een volledig achterhaald concept. Niet in de laatste plaats, omdat het op veel (flex)plekken voor problemen zorgde. Maar als u er dan toch ingetuind bent, kun je net zo goed meedoen met dit spelletje: heeft u De Slechtste Flexplek van Nederland? Als uw piekbezetting meestal onder de 90 procent ligt, doet u niet meer mee, want dan is er niet veel aan de hand. Ziet u regelmatig door het hele gebouw wanhopige mensen tervergeefs zoeken naar een maagdelijk zwart beeldscherm, dan zit u nog in de race. U krijgt pluspunten als elke afdeling zijn ‘eigen’ flexplekken heeft, want dan weet u zeker dat u inefficiënt bezig bent. Bonuspunten als bepaalde ‘flexplekken’ de hele dag gereserveerd zijn voor bepaalde personen, zodat ze zeker 60 procent van de tijd gegarandeerd niet gebruikt worden. Superplus-bonuspunten als u dat aantal gereserveerde werkplekken als gevolg van de schaarste voortdurend uitbreidt. Als u om de gevolgen van de schaarste tegen te gaan een soepel BYOD-

Bonuspunten als ‘flexplekken’ de hele dag gereserveerd zijn policy hebt, zodat fervente Linux- en Apple-adepten via de wifi in de kantine nog enig nuttig werk kunnen verrichten, bent u ook af. Pluspunten als u de wifi wel aan hebt staan, maar al jarenlang niemand laat inloggen. Bonuspunten als elke werkplek toegankelijke, extra netwerkaansluitingen heeft, die gewoon niet werken. Superplus-bonuspunten als uw netwerkaansluitingen permanent blokkeren als iemand met een verkeerd MAC-adres een kabeltje aansluit, zodat een argeloze bezoeker in no-time hele kantoortuinen lam kan leggen. Is iemand uren aan het vergaderen terwijl ‘zijn’ pc stationair blijft draaien? U valt alweer in de prijzen! Biedt u zelfs geen externe webmail-faciliteiten aan, zodat medewerkers niet fatsoenlijk thuis kunnen werken? Alweer kassa! Gefeliciteerd, u heeft gewonnen! Hierbij een professioneel dartboard voor bij de koffieautomaat. Dan hebben uw medewerkers iets om de tijd mee door te komen. Want werken, dat zal wel niet lukken... Hans Bezemer Bezemer is configuratiemanager bij Ordina (thebeez@xs4all.nl).

IT-Infra JANUARI/FEBRUARI 2014 23

COLUMN IT MATTERS

De Slechtste Flexplek

ingezonden mededeling

Cloud brengt IT’er Een van de misvattingen van cloud is dat er sec gekeken wordt hoe cloud de technologische infrastructuur kan veranderen en goedkoper kan maken. Maar om bestaande businessprocessen te ondersteunen heb je niet persé cloud nodig. Wat cloud vooral kan bereiken is helpen bij het transformeren van de business zelf. Dat betekent wel dat IT’ers in een omgekeerde wereld de magie van vroeger moeten hervinden. Tegenwoordig zetten gebruikers en klanten de toon. Ze beschikken over de nieuwste tablets en smartphones, kiezen zelf hun apps en bepalen hoe zij ze willen gebruiken. Vroeger was IT ‘magie’ en van die magie uit het verleden is niets meer over. Dat is een onomkeerbaar proces. De vraag is niet óf het met cloud zo’n vaart zal lopen, de vraag is óf we voldoende onderkennen hoe snel de IT-wereld aan het veranderen is en hoe de wereld als geheel aan het veranderen is. Daarin spelen cloud, mobility, big data en social media een belangrijke rol. Die vier creeren een totaal nieuw speelveld voor de business. De wereld wordt steeds digitaler, IT wordt steeds vaker ‘sensorbased’ en het primaire aandachtsgebied van bedrijven verschuift naar de buitenwereld.

Technologie gericht op buiten in plaats van binnen Enkele voorbeelden van dat nieuwe aandachtsgebied: de patiënt die met een chip op afstand wordt

gemonitord krijgt automatisch een dringend verzoek om de huisarts te bezoeken omdat zijn bloeddruk te lang te hoog is. Banken sluiten steeds meer kantoren omdat klanten mobiel bankieren. In de muziekindustrie en de boekenbranche hebben we hetzelfde zien gebeuren. Die ontwikkeling zet zich in veel meer sectoren door. In essentie gaat het hier dus om het aanpassen van het businessmodel en dat is geen kwestie van even een knop omzetten, dat is een mindshift. En een roadmap voor cloud, kan dus eigenlijk niet zonder roadmap voor het bedrijf als geheel dat zich meer en meer naar buiten richt. En passen in die roadmap nog verticale silo’s voor Microsoft, Oracle, SAP, Unix , het netwerk en andere applicaties die zijn gericht op interne bedrijfsprocessen in plaats van op de klant? Cloudcomputing is een van de enabelers van nieuwe businessmodellen en verdienmodellen, zonder dat daarvoor de ‘on premise IT’ op de schop moet. Het bedrijf moet doordraaien terwijl het groeit naar die ‘nieuwe wereld’. Hóe zo’n nieuwe cloudomgeving met de bestaande IT geïntegreerd wordt hangt af van het transitiemodel dat een bedrijf kiest. Je hebt eerst de transitie naar een business service model, daaruit volgt de applicatietransitie zeg maar de vraag welke diensten je wilt leveren, dat bepaalt welk deliverymodel je nodig hebt. Pas daarna kan je IT-keuze’s gaan maken en komt de IT-transitie aan de orde. IT-technisch is dat laatste stuk wellicht het

r back in business meest interessante maar er moet een herdefiniëren van de business aan vooraf gaan.

Convergentie, software business roadmap

defined

Aan de ene kant zijn veel IT’ers nu bezig met het stroomlijnen van het IT-fundament. Integratie van storage, networking en servers, het ontwikkelen van een meer op software gebaseerde benadering van de infrastructuur, zoals HP die aanbiedt met zijn converged infrastructure. En dat kun je on premise doen, je kunt het afnemen als een service ofwel in een virtual private cloud onderbrengen. Afhankelijk van de vraag hoe specifiek een bepaalde toepassing is, zal men kiezen voor een dedicated cloud-service die in een private cloud wordt ondergebracht, of voor diensten uit een publieke cloudomgeving. Hoe dan ook, er ontstaat een situatie waarin bedrijven hun eigen IT combineren met toepassingen die ze uit ‘de cloud’ betrekken. Zo ontstaat een hybride cloud-omgeving waarin on premise IT gecombineerd is met zowel private- als publieke cloud. Het fundament. De grootste toegevoegde waarde van cloudcomputing is vervolgens, dat het de business verder zal transformeren. Dus accepteer een managementopdracht om cloud toe te passen ente besparen op budgetten voor operationele IT, maar dring wel aan op een bredere discussie. Waarin je als IT’er de tech-

nologische stand van zaken in een volwassenheidsmodel kunt afzetten tegen de business processen van het bedrijf. Een ‘unique selling point’ van de IT. Met de IT-Business gerelateerde cloudbenadering helpt IT het bedrijfsmanagement aan een toekomstperspectief dat zij nu nog niet hebben, waarbij niet alleen de IT, maar het bedrijf als geheel wordt meegenomen. En die cloud-roadmap brengt dus de IT’er letterlijk, back in business.

foto: Dhr. C. Esser Cloud Specialist & Team leader at HP

SERVICEMANAGEMENT

Van processen naar die

Waken voor ‘valstrik van de specialisering’ IT-dienstverleners reageren doorgaans traag op de melding

van een probleem en de communicatie van de klantenservice laat te wensen over. Waarom laten IT-leveranciers het op dit terrein afweten? Gökhan Tuna

ovenstaande bevindingen komen uit het ‘Rackspace IT Industry Service Report’ dat ingaat op de kwaliteit van dienstverlening. Het toont aan dat de meest gehoorde klachten over IT-leveranciers niet van technische, maar juist van communicatieve aard zijn. Het onderzoek laat zien dat ‘satisfactory service’ niet langer goed genoeg is. Sterker nog, zeven van de tien bedrijven is van IT-leverancier gewisseld in verband met slechte service. De uitkomst van het rapport legt bloot dat IT-leveranciers vaak te veel een interne focus hebben. Daardoor ontstaat er een kloof tussen IT-leverancier en klant: men is niet op de hoogte van elkaars business en belangen. Het gevolg daarvan is dat dienstverlening van IT-leveranciers niet, of onvoldoende aansluit bij de verwachtingen van de klant. De interne focus van IT-leveranciers is terug te voeren op de ‘historie’ waar IT zich als specialisme ‘achter de schermen’ heeft ontwikkeld. IT draaide aanvankelijk om het beheer van grote en logge mainframes, die hele specifieke rekentaken vervulden, voor een select aantal gebruikers. Inmiddels gebruikt iedereen op grote schaal IT-toepassingen en maakt IT integraal onderdeel uit van de bedrijfsvoering van organisaties. Maar ondanks dit intensieve gebruik van IT weten ITdienstverleners onvoldoende aan te sluiten bij de wensen en eisen die klanten voor hun dagelijkse bedrijfsvoering hebben. De kern van dit probleem is dat elke IT-leverancier een eigen specialisme heeft. Voor de uitleg 26 JANUARI/FEBRUARI 2014 IT-Infra

hiervan moeten we terug naar de periode van de Industriële Revolutie.

Valstrik van de specialisering

Hedendaagse bedrijven hebben veelal een piramidestructuur als organisatievorm. Dat vindt zijn oorsprong in de Industriële Revolutie. Henry Ford heeft een belangrijke bijdrage geleverd aan de Industriële Revolutie door massaproductie aan de lopende band toe te passen bij het fabriceren van auto’s. De T-Ford die in 1908 voor het eerst op de markt kwam, is één van de grootste successen in de auto-industrie. Ford wist de productie te reduceren tot series van kleine handelingen, die gecombineerd een complex product, een auto, voortbrachten. Binnen de IT-dienstverlening heeft zich een vergelijkbare ontwikkeling afgespeeld. Om een veelheid van diensten te kunnen aanbieden, wordt het proces opgesplitst in verschillende onderdelen. Met andere woorden: er ontstaat een taakverdeling. Een individu is namelijk onmogelijk in staat om kennis te hebben van alle aspecten van de IT-dienstverlening. Een verdeling van taken

zorgt er voor dat er specialisatiegebieden ontstaan in de IT-organisatie. Zo krijg je teams van specialisten voor bijvoorbeeld infrastructuur, applicatiebeheer, security. Elk team heeft een leidinggevende die verantwoordelijk is voor de prestaties van het eigen team. Uiteraard valt deze weer onder de ITmanager of Chief Information Officer (CIO). Dit opsplitsen heeft een gevaar in zich. De cultureel antropoloog en filosoof Ton Lemaire noemt dit de ‘valstrik van de specialisering’ in zijn boek ‘De val van Promotheus’ (2010). Lemaire schrijft: “Een toename van kennis van deelgebieden is omgekeerd evenredig met de kennis van het geheel in zijn eenheid.” Simpel gezegd: hoe specialistischer iemand wordt, hoe verder men van de dienstverlening als geheel komt te staan. De valstrik van de specialisering kan daarom een negatief effect hebben op het functioneren van een IT-leverancier. Dit uit zich enerzijds in een mismatch tussen verwachtingen van klanten en dienstverlening, maar heeft anderzijds ook impact op de organisatie van de IT-leverancier. Daarbij springen drie aspecten in de dagelijkse praktijk bij de IT-leverancier er uit:

Elk specialisatiegebied isoleert zich tot de eigen operatie, waardoor men niet meer de samenwerking opzoekt

Iemand anders werk doen

De specialisatiegebieden van de IT-organisatie kunnen een ‘silo-effect’ creëren: elke afdeling of team focust zich op de eigen werkzaamheden, waardoor ze als aparte silo’s opereren. Elk specialisatiegebied isoleert zich tot de eigen operatie, waardoor men langzamerhand niet meer in staat is om de samenwerking op te zoeken. Dit effect wordt bijvoorbeeld zichtbaar wanneer een centrale servicedesk verantwoordelijk is voor het aannemen van calls. De servicedesk routeert de calls vervolgens naar specialisatiegebieden. De medewerkers van de specialisatiegebie-

SECTIE X

ensten

den kunnen zich blindstaren op het primaire beheer van de eigen silo. Als ze naast beheerwerkzaamheden ook calls moeten oplossen, krijgen ze naar hun idee het gevoel dat ze andermans werk zitten te doen door deze calls op te lossen.

Geen zicht op belangen van de klant

Om de verwachtingen van de klant zo goed mogelijk te managen worden SLA’s opgesteld door de IT-leverancier. De valstrik van de specialisering kan echter voor een mismatch zorgen, omdat bij het opstellen van de SLA vaak geredeneerd wordt vanuit de speciali-

Waar restaurants hun aanbod aan keuzes helder weergeven op een menukaart, zouden IT-leveranciers hetzelfde moeten doen.

IT-Infra JANUARI/FEBRUARI 2014 27

SERVICEMANAGEMENT

IT-dienstverleners weten onvoldoende aan te sluiten bij de wensen en eisen die klanten voor hun dagelijkse bedrijfsvoering hebben

satie van de IT-leverancier. Stel dat er een SLA wordt opgesteld die een uptime garandeert van 99% in een 24/7 servicewindow. Stel dat de klant de applicatie slechts tijdens kantooruren gebruikt. Dan heeft men er veel meer aan als de SLA garanties biedt tussen 9.00 en 17.00 uur in plaats van een 24/7 dienstverlening.

Projecten in de knel

Specialisering betekent dat IT-medewerkers verantwoordelijk worden voor het beheer van hun silo’s. Dat is hun kerntaak. Daar worden ze op geselecteerd, getraind en uiteindelijk zelfs beoordeeld. Maar men maakt vaak ook deel uit van projectteams die juist als taak hebben de gehele dienstverlening uit te breiden en te verbeteren. Projectteams worden meestal in de opstartfase samengesteld, waarbij projectactiviteiten verricht moeten worden door medewerkers die geen onderdeel zijn van het projectteam. Hierdoor krijgen ze het gevoel dat ze projecttaken moeten uitvoeren in de tijd die ze horen te besteden aan het beheer van hun silo. Ook dan krijgen medewerkers het gevoel dat ze andermans werk doen.

Van controleren naar leveren

Een manier om de valstrik van de specialisering te doorbreken is door de gemeenschappelijke noemer tussen de klant en de IT-leverancier te vinden. Het klinkt als een open deur, maar het magische woord hierbij is ‘dienstverlening’. Vaak lukt het IT-leveran28 JANUARI/FEBRUARI 2014 IT-Infra

ciers niet om helder en eenvoudig uit te leggen aan (potentiële) klanten wat hun dienstenaanbod is. Wat bieden ze concreet aan de klant, welke toegevoegde waarde heeft dit en wat zijn de randvoorwaarden om de diensten te leveren? De antwoorden op deze vragen zouden in een duidelijk overzicht, te allen tijde beschikbaar moeten zijn voor de klant. Tevens moet het opgesteld zijn in taal die aansluit bij de belevingswereld van de klant. Dat betekent dus geen ingewikkelde SLA-terminologieën die beredeneerd zijn vanuit de IT-managementliteratuur. Waar restaurants hun aanbod aan keuzes helder weergeven op een menukaart, zouden ITleveranciers hetzelfde moeten doen in een ‘servicecatalogus’. De valstrik van de specialisering heeft niet alleen effect op de kloof tussen klant en IT-leverancier, maar ook op de onderlinge samenwerking van de beheersilo’s. De servicecatalogus moet daarom niet alleen als een middel gezien worden om de kloof tussen klant en leverancier te dichten. De diensten moeten uiteindelijk vertaald worden naar handelingen en werkzaamheden voor de beheersilo’s. Of eigenlijk moet het juist precies andersom: elke taak of handeling vanuit een specialisatiegebied, moet gerelateerd kunnen worden aan een dienst voor de klant. De handelingen van de medewerkers kunnen voor beheerdoeleinden zijn, zoals het in stand houden van de afgenomen diensten. Beheerprocessen per silo zijn noodzakelijk om de huidige dienstverlening

te waarborgen. Maar even belangrijk zijn de werkzaamheden voor projecten, oftewel de basis om nieuwe diensten, of aanvullingen op bestaande diensten, aan te bieden. Op deze manier zal de focus van specialistenteams zich verplaatsen van een interne kijk, naar de noodzakelijke samenwerking met andere specialistenteams. In plaats van te denken in frameworks voor kwaliteit- en beheeraspecten voor de eigen silo, zullen specialistenteams meer nadenken over de vraag hoe zij toegevoegde waarde kunnen leveren ten aanzien van het dienstenaanbod. Automatisch is de volgende stap dat beheersilo’s de samenwerking met elkaar opzoeken om die toegevoegde waarde daadwerkelijk te creëren. Om in de toekomst goede service te blijven leveren, zullen de beheersilo’s zich moeten ontwikkelen tot teams die waarde creëren voor de diensten van de IT-leverancier.

Gökhan Tuna (g.tuna@topdesk.com) is werkzaam als Service Management Consultant bij TOPdesk, waarvoor hij het klanttevredenheidsonderzoek heeft opgezet en deze bij verschillende organisaties heeft uitgevoerd. Naast zijn projecten bij uiteenlopende organisaties geeft hij regelmatig presentaties over dienstverlening in de vakgebieden ICT en Facility Management.

Ongetwijfeld de toekomst, maar de weg is lang

In de internetwolk draaiende besturingssystemen zijn niet nieuw, maar erg succesvol waren ze tot

nu toe niet. Traditionele besturingssystemen zoals Linux, Mac OS of Windows krijgen trouwens zelf ook steeds meer cloud-trekjes. Google met Chromium en Mozilla met Firefox OS proberen het

cloud-OS nieuw leven in te blazen, maar er zijn ook enkele kleinere, vooral Europese spelers actief in deze nog in de kinderschoenen staande markt. Jozef Schildermans

et idee van een centraal draaiend besturingssysteem en computers (of andere apparaten) die er via een virtuele desktop gebruik van maken, is natuurlijk allesbehalve nieuw. Alle computers werkten ooit op die manier. Pas met de komst van de home- en daarna de personal computer, raakte het lokaal draaiende besturingssysteem ingeburgerd. En ook in het pc-tijdperk kennen we al de virtual desktop infrastructure (VDI) met centrale servers, virtualisatiesoftware en al dan niet virtuele terminals. Maar dat is grotendeels een LAN-gebaseerde technologie, die doorgaans bedrijfseigen soft- en hardware gebruikt. Ondertussen is het internet algemeen verspreid, betaalbaar en redelijk betrouwbaar geworden. Dus kan het concept van een centraal besturingssysteem en webdesktops opnieuw van onder het stof worden gehaald en volledig worden losgekoppeld van specifieke soft- of hardwarevereisten. Eén van de eersten om dit te doen was de Ameri-

kaan Donald Leka, die in 2001 TransMedia oprichtte voor de commercialisatie van zijn Glide OS, een ‘closed source’ crossplatform webbesturingssysteem dat initieel Flash-gebaseerd was, maar daarna werd geporteerd naar html5. Glide OS kreeg een

principe capabel genoeg om als ‘webtop’ te fungeren. Wat er aan de serverkant draait, laat ons in principe koud. We zijn vooral geïnteresseerd in de geboden functionaliteit. Zo komen we bij een eerste voordeel van cloudgebaseerde besturingssystemen:

voorlopig niet op spelen, al is dat in een professionele omgeving natuurlijk niet erg belangrijk. Maar ook voor gespecialiseerde software die performante hardware vereist (bijvoorbeeld CAD/ CAM of 3D-modelling) heb je nog een traditionele pc nodig. Als ge-

Het concept van een centraal besturingssysteem en webdesktops kan opnieuw van onder het stof worden gehaald heel goede pers, maar vond nooit een groot publiek. Na vier versies stopte de ontwikkeling van Glide OS in 2010.

Voordelen

De mislukking van Glide OS weerhoudt anderen, zoals Google en Mozilla, er niet van om te proberen een succesvol cloud-OS te ontwikkelen. De informatica lijkt er vandaag in elk geval meer klaar voor te zijn dan in 2001. Elke moderne html5gebaseerde webbrowser is in

ze zijn in principe multi- en cross-platform. Moderne browsers draaien ook redelijk vlot op goedkope of zelfs verouderde hardware, dus er is ook een efficiëntie-, milieu- en besparingsaspect (net zoals dat het geval is voor VDI’s).

Nadelen

Naast de voor de hand liggende voordelen, hebben besturings systemen die volledig in de cloud draaien ook nadelen. Ingewikkelde 3D-games kun je er

bruiker van een cloud-OS ben je uiteraard erg afhankelijk van de stabiliteit en de prestaties van de internetverbinding. Mogelijk het grootste (potentiële) nadeel heeft betrekking op de privacy, het eigendom van digitale gegevens en allerlei licentiebeperkingen. Klassieke besturingssystemen leggen gebruikers via hun licentievoorwaarden verschillende beperkingen inzake gebruik op. Leveranciers willen zich immers juridisch indekken tegen mogeIT-Infra JANUARI/FEBRUARI 2014 29

GETEST SECTIE X

Cloudgebaseerde besturingssystemen

SECTIE X GETEST

lijk misbruik door klanten van hun soft- en hardware. Maar bij een klassieke pc heeft de producent nauwelijks inzage in wat een gebruiker allemaal uitvoert. De licentiebeperkingen zijn er dus vooral om de juridische afdeling gerust te stellen. Bij een cloud-OS liggen de zaken anders. Het besturingssysteem draait immers grotendeels op internetservers die onder de verantwoordelijkheid van de fabrikant vallen. De gebruikersdata bevinden zich ook in de cloud. De juridische aansprakelijkheid van de producent is dus groter dan bij een lokaal draaiend besturingssysteem. Maar de producent heeft ook veel meer inzage in wat een gebruiker allemaal uitvoert, doorstuurt en opslaat. In de kleine lettertjes van de besproken producten staat daarom bijna overal dat de leverancier zich het recht voorbehoudt om gegevens te verwijderen of een account af te sluiten indien zijn software voor onwettelijke of ‘onfatsoenlijke’ doeleinden wordt gebruikt. Die bepalingen zijn zeer ruim opgevat. Bij een discussie heeft u als gebruiker zo goed als geen verweer. Daar komt nog bij dat voor de VSgebaseerde producten de Amerikaanse rechtsregels en ook de Patriot Act gelden. Uw gegevens zijn dan in principe niet beveiligd tegen inzage door de Amerikaanse overheid. Mochten, zoals veel specialisten denken, cloudbesturingssystemen ooit de norm worden, dan zal de ‘surveillance society’ wellicht nog dwingender worden dan vandaag al het geval is…

Schildermans (jozef@datatestlab.be) is werkzaam bij Data TestLab. 30 JANUARI/FEBRUARI 2014 IT-Infra

Google Chrome OS en Chromium OS Chromium OS is de open source-versie van Google Chrome OS. Chrome OS is al leen verkrijgbaar in combi natie met Chromebooks van Google’s hardware-partners, zoals Acer, HP of Samsung. Softwarematig zijn Chrome OS en Chromium OS praktisch identiek. Het besturings systeem bestaat essentieel uit een browser (Chrome) die een mediaspeler en een bestands verkenner bevat. Twee jaar 100 GB gratis cloudopslag is inbegrepen in de prijs van elke Chromebook. Een aantal van de gebundelde webapps werkt ook offline: Gmail, Google Docs, Calendar, Scratchpad en Files voor het afspelen van lokale mediabestanden of het bekijken en beperkt bewer ken van foto’s. In de Chrome Web Store bevinden zich nog andere webapps met offlineondersteuning. Chromebooks bevatten enkele specifieke toetsen waarmee u snel een Google Search kunt uitvoeren of een al dan niet gedeeltelijke afdruk van het scherm kunt maken. Chromium OS komt ge bundeld met verschillende Google webapps: Gmail voor e-mail, Calendar voor agenda, Scratchapd voor notities, Docs, Sheets en Slides voor kantoor documenten, Files voor het beheren van lokale en cloud bestanden (en voor fotobe werking), Google+ Hangouts en Google Talk voor chatten en telefoneren (elke Chrome book heeft een webcam en microfoon), Google Play Music voor het organiseren en afspelen van muziek, Google

Cloud Print voor afdrukken en Chrome Remote Desktop voor het op afstand gebruiken van software en bestanden op uw andere computers. Bijkomen de apps kunt u installeren via

de Chrome Web Store. Bestanden worden standaard bij Google Drive in de cloud opgeslagen, maar u kunt ze ook lokaal bewaren in de Downloads-folder of op een

USB-schijf of SD-geheugen kaart. Via uw Google Account en Chrome Sync worden bookmarks, browsergeschie denis, thema’s, extensies en instellingen automatisch tussen al uw apparaten gesynchroniseerd. U kunt dit per apparaat ook apart instel len en bijvoorbeeld thema’s uitsluiten van de synchroni satie. Via Google Drive zijn uiteraard al uw bestanden bereikbaar op verschillende apparaten. Anoniem browsen kan desgewenst via de Incognito Mode.

Beveiliging

Google heeft ook aan de beveiliging gedacht. Elke Chromebook heeft een ingebouwde TPM (trusted platform module)-beveili gingschip. Via ‘Verified Boot’ controleert de Chromebook dat er niet geknoeid is met het lees-schrijfgedeelte van de Linux-gebaseerde firm ware. Hiervoor wordt een ingebakken 8192-bit RSAbeveiligingssleutel gebruikt. Antimalwarebescherming is geïntegreerd. Alle software wordt wanneer nodig (nieuwe versie, herstel van een beveili gingsprobleem) automatisch vernieuwd via de Chrome auto-updater. De eigenaar van de Chromebook bepaalt of er andere gebruikers toe gelaten zijn op zijn systeem, maar alle gebruikersdata wordt versleuteld opgesla gen met behulp van Linux eCryptfs, waarvan de sleutels hardwarematig beschermd zijn met behulp van de inge bakken TPM-chip. Er is ook een

(uitschakelbare) ‘Guest Mode’ zonder encryptie, maar die bewaart niets: wanneer de Chromebook wordt herstart, zijn alle tijdens de gebruiks sessie gecreëerde gastge gevens verdwenen. Via de ‘developer switch’ kunt u deze beveiligingen desgewenst uitschakelen, bijvoorbeeld als u uw eigen ‘build’ van Chro mium OS wilt installeren. Dit gebeurt dan uiteraard geheel op eigen risico.

Oordeel

Chrome/Chromium OS staat nog in de kinderschoenen, maar is ook vandaag de dag zeker productief inzetbaar voor intensieve gebruikers van Google Apps. Tegen over de in 2009 geïntrodu ceerde versie, is de interface trouwens al flink verbeterd. De overlappende vensters, doorzichtige tabs en een soort startknop komen voor ver stokte Windows-gebruikers (XP/Windows7) erg vertrouwd over. Hier geen tegels of apps die verplicht het volledige scherm gebruiken. Product: Chromium OS 29.0.1547.74 Producent: Google, http://www.chromium.org/ chromium-os Prijzen: Standaard gebundeld met Google Chromebooks. HP Chromebook 14: 329 euro. Samsung Chromebook: 299 euro. Twee jaar lang gratis 100 GB Google Drive opslag inbegrepen. Ondersteunde platformen: Niet afzonderlijk verkrijgbaar.

CloudTop is een nieuw webgebaseerd besturings systeem van het Zweedse bedrijf Xcerion, dat SaaSsoftware en cloudopslag diensten levert à la Dropbox. Het is momenteel voor iedereen beschikbaar in een vroege alpha-versie. Cloud Top gebruikt logischerwijze CloudMe als opslagmedium. Gebruikers krijgen bij CloudMe overigens 3 GB gra tis opslagruimte. Voor méér moet u betalen, bijvoorbeeld 60 euro per jaar voor 25 GB opslag. De inhoud van die cloudschijf is in CloudTop bereikbaar via een op Win dows Verkenner gelijkende ‘Document Explorer’. CloudTop is ontwikkeld met het XIOS/3 cloudcomputingplatform van Xcerion en dient ook als showcase voor dit platform. XIOS/3 draait overigens op Ubuntu. De clientinterface is ontwik keld in html5. CloudTop ondersteunt meerdere talen, waaronder Nederlands.

System Manager

De pictogram- en venster gebaseerde interface komt erg vertrouwd over: er is

bijvoorbeeld een startknop die toegang geeft tot alle apps. Op een zijbalk kunt u allerlei gadgets zoals een klok kwijt. Zoals het een ‘echt’ besturingssysteem betaamt, is er zelfs een ‘System Manager’ die een overzicht geeft van draai ende applicaties en proces sen. Ook is er een ‘Control Panel’ waar u onder andere gebruikers en gebruikers groepen kunt beheren, start applicaties kunt configure ren, desktopthema’s kunt kiezen en andere systeem taken zoals het beheren van de geïnstalleerde apps kunt uitvoeren. Standaard zijn webapps geïnstalleerd voor e-mail, multimedia, twitter, chat, geolocatie (Google Maps), zoeken (Google Search), Wikipedia en tekstverwer king (Zoho Writer). U krijgt ook een notitieboekje en een telmachine. Nieuwe apps vindt u in de CloudTop Marketplace, al is het aan bod momenteel beperkt tot een veertigtal apps. De helft daarvan zijn eenvoudige games.

IT-Infra JANUARI/FEBRUARI 2014 31

SECTIE X

CloudTop

SECTIE X GETEST

» vervolg CloudTop

Mozilla Firefox OS

CloudTop werkt verrassend vlot. Wij hebben het getest in verschillende browsers en op verschillende apparaten, waaronder ook tablets. De CloudTop-versie van Zoho Writer is bijvoorbeeld heel responsief: typen of knippen en plakken werkt zonder hinderlijke vertragingen.

Firefox OS - officieel Boot to Gecko (B2G) OS genaamd - is een open source Linuxgebaseerd besturingssy steem van Mozilla waarop html5-webapps draaien. Dit cloud-OS heeft drie software lagen: Gonk, Gecko en Gaia. Gonk is de Linux-kernel met de hardware abstraction layer (HAL). Sommige onderdelen van de HAL, zoals de gps- en camerabesturingen, wor den overigens gedeeld met Android OS. Gecko is een cross-platform open source lay-out ‘rendering engine’ die door browsers zoals Firefox wordt gebruikt voor het ontwikkelen en uitvoeren van webapps. De oorsprong van Gecko gaat overigens terug tot Netscape Navigator, in de tweede helft van de jaren ne gentig van de vorige eeuw de populairste webbrowser. Gaia ten slotte is de GUI (Graphical User Interface) van Firefox OS, die volledig geschreven is in html5, CSS en JavaScript. Gaia gebruikt uitsluitend standaard web-api’s en kan dus in principe ook worden gebruikt op andere bestu ringssystemen of met andere webbrowsers.

Schoonheidsfoutjes

Uiteraard zitten er nog en kele schoonheidsfoutjes in deze alpha-versie. Als u Zoho bijvoorbeeld afsluit door op de rode ‘X’ in de vensterrand te klikken, wordt uw tekst niet bewaard. U krijgt ook geen vraag om dit te doen. U dient expliciet ‘File’, ‘Save’ te kiezen of u bent alles kwijt. Niet echt handig. Op een be paald moment was ons do cument ook verdwenen: we zagen de bestandsnaam nog wel in CloudMe en konden de bestandseigenschappen opvragen, maar openen, emailen of downloaden lukte niet meer. We kregen steeds de foutmelding ‘ongeldige url’. Pas nadat we CloudTop herstart hadden, slaagden we er opnieuw in onze tekst te openen. Maar goed, we

32 JANUARI/FEBRUARI 2014 IT-Infra

bekeken een alpha-versie die zeker niet voor produc tiedoeleinden geschikt is.

Oordeel

CloudTop is, ondanks zijn alpha-status, al behoorlijk functioneel en kan bij voorbeeld in positieve zin de vergelijking doorstaan met Google Chrome OS. Als proof of concept is het ook nu al een indrukwekkende demonstratie van wat er allemaal mogelijk is met een browser-gebaseerd bestu ringssysteem. Product: CloudTop Cloud Web Desktop 3.52 Alpha Frankfurt Producent: Xcerion, https:// cloudtop.com/ Prijzen: 3 GB CloudMe opslagruimte gratis. 25 GB kost 4,90 euro per maand. 100 GB zonder limieten op de bestandsomvang kost 14,90 euro per maand. Ondersteunde platformen: Recente webbrowser met html5-ondersteuning.

Smartphones

Initieel zullen Firefox OSsmartphones alleen in opko mende of verarmde markten zoals Brazilië, Portugal, Polen en Spanje verkrijgbaar zijn. De Chinese fabrikant ZTE heeft een Firefox OS-smart phone in de vorm van de Open, die in Spanje door Telefonica op de markt is gebracht. Alcatel Mobile,

GeeksPhone, LG en Huawei brachten ondertussen ook Firefox OS-smartphones op de markt. Firefox OS heeft een permanente internetverbin ding nodig en is in dat opzicht dus wel degelijk een cloud-OS. Firefox OS is overigens ook niet gebonden aan mobiele hardware: niets staat in de weg dat het op termijn ook beschikbaar zal komen op tablets, netbooks of andere hardware. De huidige versie is echter geoptimaliseerd voor smartphones. De interface lijkt enigszins op vroegere versies van Android OS, met onderaan een softmenu voor het activeren van

naar het hoofdscherm terug te keren, maar ook een knop die de kijkrichting van het scherm manueel wijzigt, want de goedkope hardware zal geen draaisensor bevatten.

Oordeel

Functioneel stelt de eerste versie van Firefox OS niet veel voor. Het is in zijn huidige in carnatie een basisbesturings systeem voor zeer goedkope smartphones. Dankzij zijn Linux-kernel kan Firefox OS in theorie goed beveiligd worden. Of dit in de praktijk ook voldoende zal gebeuren valt af te wachten.

Cloudbesturingssystemen mogen dan wel de toekomst zijn, de

huidige generatie is nog erg primitief en nauwelijks bruikbaar voor productiewerk. Van de bekeken producten zien vooral

Chromium OS / Chrome OS en CloudTop er veelbelovend uit.

Andere cloudbesturingssystemen Dit is zeker geen volledig overzicht van wat er allemaal be weegt in de sector van de cloud-OS’en. Het Zweedse Cloudo ontwikkelde in 2008 een gelijknamig cloudbesturings systeem volledig gebouwd in LAMP-technologie (Linux, Apache, MySQL, php). Cloudo (beta.cloudo.com) is nu nog altijd in bètaversie, die qua concept de vergelijking kan doorstaan met CloudTop. Maar wel zijn er momenteel bijna geen apps voor beschikbaar.

Product: Firefox OS (B2G) 1.2 Producent: Mozilla, www.mozilla.org Prijzen: Gratis. Ondersteunde platformen: ARM, x86.

de bel-, sms-, sociale netwer ken- en browser-apps. En verschuifbare desktops met pictogrammen voor geïnstal leerde webapps, linkpagina’s zoals ‘Everything’ met verwij zingen naar mobiele versies van sociale netwerken, zoals Facebook, en een zoekdia loog. Operatoren kunnen deze linkpagina’s gebruiken om bepaalde eigen inter netdiensten te bundelen, of gebruikers om te leiden naar webwinkels die de operatoren voor een dergelijke link heb ben betaald. De Firefox OSsmartphones hebben in prin cipe drie hardwareknoppen, waaronder een homeknop om

Het Spaanse (Catalaanse) bedrijf eyeOS s.l. verkoopt eyeOS aan derde partijen zoals SAP, Mitsubish Electric, Adif en Neonetz om er hun eigen applicaties mee te virtualiseren. eyeOS ontstond in 2005 als een opensource-webtop ge schreven in php, xml en JavaScript, maar in 2011 brachten de oorspronkelijke ontwikkelaars een commerciële Professional Edition uit. SilveOS is volledig in Microsoft Silverlight 4 geschreven en emuleert de interface van Windows 7. Dit freeware cloud-OS start erg snel op en is handig in bijvoorbeeld een cybercafé. Het draait in de security box van Silverlight en heeft dus geen toegang tot de lokale machine. Het bestaat ook in een touch-versie voor Windows Phone. QubeOS is een commercieel html5-gebaseerd cloud-OS met Italiaanse roots. ZeroPC van het Amerikaanse bedrijf ZeroDesktop Inc. is een commerciële webtop ontwikkeld in Java.

IT-Infra JANUARI/FEBRUARI 2014 33

SECTIE X

Conclusie

SECTIE X TOOLBOX

Handige apps voor de

Security is in de cloud een heikel punt. Hoe dan ook vertrouwt u data toe aan diverse aanbieders. Gelukkig zijn er gratis tools die de security verbeteren en onafhankelijker maken van één partij. Marcel Beelen

Cloudfogger v1.4

loudfogger is een gratis download die u na installatie twee keuzes geeft. Als losstaande tool versleuteld Cloudfogger bestanden op één computer. Door simpelweg een map in te stellen, worden alle bestanden daarin versleuteld op de harde schijf. Cloudfogger herkent de standaard synchronisatiemappen van Dropbox, Skydrive, Sugarsync, Box.com, Google Drive en meer, en voegt deze automatisch toe. Kiest u voor een (eveneens gratis) account bij Cloudfogger, dan zijn versleutelde bestanden vanaf meerdere computers te gebruiken. Deze tweede keuze is noodzakelijk

indien u de versleutelde bestanden bewaart in de cloud. Alleen dan worden de databestanden gesynchroniseerd van de ene machine naar de cloud en naar alle andere devices. Het product is te downloaden voor Windows, Mac OS X, Android en iOS. Omdat bestanden lokaal versleuteld worden, is het van en naar de cloud kopiëren automatisch versleuteld en bevat ook de opslag in de cloud alleen versleutelde bestanden. Als u lokaal bent ‘ingelogd’ in de Cloudfoggerapp, worden de versleutelde bestanden automatisch gedecodeerd en gecodeerd bij het openen, respectievelijk bewaren, ervan. Naast het

versleutelen van inhoud van mappen, is het handig via het snelmenu van een bestand, dit meteen te versleutelen om het mee te nemen op bijvoorbeeld een USB-drive. Cloudfogger versleuteld bestanden met 256-bit AES. Elk bestand krijgt zijn eigen AES-sleutel, dat met RSA-versleuteling in de header van het bestand wordt bewaard. Door de toevoeging van RSA-sleutels wordt het mogelijk de bestan-

open je de kluis voor toegang tot alle andere wachtwoorden. De wachtwoorden worden bewaard in een versleutelde database (of indien gewenst meerdere) die te verplaatsen zijn naar andere systemen. U kunt er ook voor kiezen de

database op een USB-drive te bewaren en die steeds mee te nemen. De database wordt versleuteld met een sleutel die is afgeleid van het master password, maar wordt zelf niet bewaard in de database. Er is een Password Safe-versie voor Windows (3.32) en voor Linux (0.92 bèta). YubiCo is de sponsor van Password Safe. Het verkoopt hardwarematige sleutels en ondersteunt allerlei password managers,

den te delen met anderen. De cloudservers van Cloudfogger zijn niet noodzakelijk om uw bestanden te decoderen, dat kan altijd met de lokale client. De bedoeling is om er ook een betaalversie van te maken, maar voor alle huidige gebruikers is en blijft het gratis. Dus misschien is het slim alvast een account te maken. Het is een beetje twijfelachtig dat Cloudfogger in 2013 stil is geweest: er is geen nieuws, blogbericht en nieuwe release te vinden. Alles stamt uit 2012, zelfs het copyright van de webpagina’s. Licentie: gratis Info: www.cloudfogger.com

Password Safe

assword Safe is een handige tool die al sinds 2002 bestaat. Het product is open source en gratis. Als u vele wachtwoorden heeft, is het bewaren ervan in een password manager een alternatief voor het op een blaadje schrijven. Password Safe houdt alle gebruikersnaam/ loginnaam- en password-combinaties bij in een versleutelde database. Met het master password van Password Safe

34 JANUARI/FEBRUARI 2014 IT-Infra

waaronder Password Safe. De sleutel vormt een extra methode voor authenticatie voor de toegang tot de database van Password Safe. De YubiKey genereert een one-time password om in te loggen. U kunt twee YubiKeys kopen met dezelfde challenge-responserechten om een back-up te creëren van de sleutel. Licentie: open source Info: http://passwordsafe.sourceforge. net en www.yubico.com

SECTIE X

zakelijke werkplek Boxcryptor

oxcryptor lijkt heel veel op Cloudfogger. Ook hier wordt een map aangewezen waarin alle bestanden individueel worden versleuteld met 256-bit AES en RSA-sleutels in de header van de bestanden. En om de bestanden te kunnen ontsleutelen, is de software op alle clients noodzakelijk. Er is een clientapp voor Windows, Mac OS X, Android en iOS. Extra is de Windows RT client-app en de Google Chrome plug-in. Het Duitse Boxcryptor geeft echter veel meer vertrouwen dan het eveneens Duitse Cloudfogger. De site van Boxcryptor is actueel, met veel nieuws, veel referenties en een overzicht van de medewerkers van het

bedrijf. Ook vindt u er veel meer achtergrondinformatie over het product, inclusief educatieve video’s. Het gevolg van deze professionaliteit is dat het product en de dienst niet gratis zijn. Boxcryptor is alleen gratis voor individueel (niet-commercieel) gebruik. Deze gratis versie is beperkt tot één clouddienst (dus bijvoorbeeld alleen Dropbox) en mag maar met twee devices gebruikt worden. Boxcryptor werkt met een ‘Key Server’ die zorgdraagt voor authenticatie, het registreren van de devices, maar vooral ook voor speciale functies die alleen in de betaalversies beschikbaar zijn. De Unlimited Personalversie kost 36 euro per jaar

en verwijdert de limieten van één provider en twee devices. Bovendien is het mogelijk individuele bestanden te versleutelen. De Unlimited Business-versie breidt de dienst uit met multi-usermogelijkheden: bestanden delen tussen gebruikers en groepen en is bedoeld voor commercieel gebruik. Deze versie kost 72 euro per jaar. Voor bedrijven bestaat er ook nog een Company Package. Dit abonnement kan per

zoals een smartcard of token. De open source OpenAM is bedoeld voor authenticatie en autorisatie en biedt identity services voor een transparante single sign-on-oplossing om allerlei webtoepassingen te integreren. Forgerock heeft tevens een open source Open Identity Stack in ontwikkeling, waarin we naast OpenAM ook OpenIDM vinden met onder meer password management en identiteitsynchronisatie en OpenDJ als directory server. OpenAM is de doorstart van Sun’s OpenSSO, dat door Oracle is stopgezet nadat de

overname van Sun in 2010 was afgerond. AM is een afkorting voor Access Management: het beheren van toegang tot applicaties. OpenAM kent authenticatie-modules die communiceren met allerlei systemen die identiteiten beheren, zoals LDAP- directories, relationele databases, RADIUS, Windows-authenticatie, onetime password services en meer. Met OpenAM kunnen al deze authenticatie-services met elkaar gekoppeld worden. De Sun-historie zien we nog terug in het feit dat de Java Development Kit nodig is,

maand of per jaar worden afgesloten voor vijf, tien of meer gebruikers. Extra in die versie is een overkoepelende factuur, gebruikersbeheer met beleidsinstellingen, een password-reset- functie en een master key voor het bedrijf. Zonder de Key Server is het nog steeds mogelijk met de lokale Boxcryptor-app de bestanden te decoderen en te openen, maar verliest u de eerder genoemde extra functies. U maakt uzelf dus niet afhankelijk van de clouddienst van Boxcxyptor om bij uw bestanden te kunnen. Licentie: gratis voor niet-commercieel gebruik Info: www.boxcryptor.com

OpenAM 11.0.0

aar Password Safe uw kluis vormt voor alle loginnamen en bijbehorende wachtwoorden, is een single sign-on-(SSO)-oplossing bedoeld om in alle systemen in te loggen met maar één loginnaam en wachtwoord. Dit verhoogt het gebruikersgemak enorm, maar er is een risico dat door het hebben van één wachtwoord (eigenlijk één identiteit) een mogelijke hacker meteen in alle systemen kan als dit wachtwoord lekt. SSO moet dus altijd gecombineerd worden met een extra manier voor authenticatie,

omdat OpenAM een Java-webapplicatie is. Verder vereist OpenAM een Apache httpserver en Apache Tomcat (als webcontainer). Licentie: open source Info: http://openam.forgerock.org/

marcel.beelen@eversa.nl

IT-Infra JANUARI/FEBRUARI 2014 35

De NGN (Netwerk Gebruikersgroep Nederland) is een vereniging voor IT-professionals en systeembeheerders (033-2473476 / info@ngn.nl).

NGN PORTRET

“

foto: ron onrust

k ben niet de gemiddelde systeembeheerder, hoor.” Jonathan Cohen heeft zijn werkterrein voor een deel verlegd naar particulieren en dat maak je inderdaad niet vaak mee. Maar beheren doet hij iedere dag. Al betekent het ook dat hij coax- en netwerkbekabeling aanlegt, voor particulieren en bedrijven. Zijn kennis heeft hij vooral in de praktijk opgedaan. “Van huis uit ben ik historicus,” zo vertelt hij, “ik was gespecialiseerd in oude boeken en manuscripten, Hebraica en Judaica. Bij het veilinghuis Christie’s heb ik de afdeling ‘Hebraica en Judaica’ opgezet en reisde ik Europa door om boeken te taxeren. Later was ik actief als zelfstandig consultant voor Hebraica en Judaica. Ik adviseerde grote verzamelaars en beheerde hun collecties. Maar toen sloeg de crisis toe en konden velen hun dure hobby, het verzamelen van boeken, niet meer bekostigen. De markt stortte in en ik moest op zoek naar ander werk. Als consultant was ik gebruiker van automatisering en ik merkte dat ik daar veel affiniteit mee had. Ik heb toen mijn MCSE gehaald en kon toen aan de slag als systeembeheerder bij de KVB, de Koninklijke Vereniging voor het Boekenvak, een club waar toen nog alle uitgevers en boekhandelaren in Nederand verplicht lid van waren. Toen de KVB, als gevolg van Europese regelgeving, slonk tot anderhalve werkplek ben ik voor mezelf begonnen.” Aanvankelijk zijn het vooral kleine bedrijven met Active Directorynetwerken die klant worden van Cohen. De tandartspraktijk en de wijnhandel om de hoek zijn klant, zoals veel bedrijven 36 JANUARI/FEBRUARI 2014 IT-Infra

Jonathan Cohen Leeftijd: 64 jaar Bedrijf: jnc-ict Thuissituatie: getrouwd, twee kinderen Favoriete tools: voor Active Directory-bedrijfsnetwerken DameWare, en verder de tools in Windows, zoals nslookup, ipconfig en ping Favoriete link: www.theregister.co.uk

De tandartspraktijk en de wijnhandel om de hoek zijn klant

uit de buurt. Inmiddels zijn de Active Directory-klanten bijna allemaal verdwenen, vaak ook als gevolg van zijn eigen adviezen. “Ik kan klanten met maar een paar werkplekken toch niet meer vertellen dat ze weer een nieuwe server moeten neerzetten? Dus veel van die infrastructuur verdwijnt naar de cloud en meestal adviseer ik een kleine NAS, al merk ik dat mensen dol zijn op Dropbox. En daarmee verdwijnen veel van mijn vroege netwerkbeheerwerkzaamheden.”

Particulieren

En dus koos Jonathan Cohen ervoor om zijn werkzaamheden ook naar particulieren te

verleggen. Hij heeft er flyers voor laten drukken, die hij in de buurt in de brievenbussen laat doen. “Ik had het niet verwacht, maar die worden door mensen lang bewaard. Laatst werd ik gebeld door iemand die ruim een jaar geleden van mij een folder had gehad.” En zo is hij niet alleen met pc’s, maar ook met televisies bezig. “Ik kom heel vaak bij mensen voor wie de televisie nog het belangrijkste is. Als het internet het niet doet, dan kan dat wel wachten, maar als de tv het niet doet is het huis te klein. Ja, daar verbaas ik me over.”

Vraagbaak

Jonathan is sinds het jaar 2000

lid van de NGN. Hij waardeert de NGN vooral als vraagbaak. “Laatst zat ik met een vraag, ik stelde hem online en kreeg heel snel en goed antwoord. Maar ik moet ook mijn complimenten een keer overbrengen over de nieuwsbrief. Ik vind het heel efficiënt hoe het nieuws wordt gebundeld, zodat ik zelf niet alles hoef te lezen.” Een bijeenkomst heeft hij in al die dertien jaar nog nooit bezocht. “Misschien komt dat er dit jaar eens van,” zegt hij met een glimlach.

Waterlooplein

Zijn werkterrein is Amsterdam, en de meeste klanten zijn ‘binnen vijfhonderd meter hiervandaan’ te vinden, zo zegt

hij. Jonathan werkt vanuit huis, en hij woont vlakbij het Waterlooplein, met een fantastisch uitzicht over de Nieuwe Herengracht en de Hortus. En dus loopt privé en werk op een natuurlijke manier in elkaar over. Hij kan bovendien zo aan de slag als gids, want hij weet veel te vertellen over Amsterdam. “Wist je dat de panden op deze hele hoek zijn afgebroken voor de bouw van de metro, zijn opgeslagen en weer opnieuw zijn opgebouwd?” Als hobby heeft hij sloeproeien. De sloep van de vereniging ligt op het terrein van de Marine in Amsterdam. “Je blijft er lekker door in beweging,” zegt hij, en de geestdrift komt goed los als hij

vertelt van het sloeproeien van Harlingen naar Terschelling. Tot slot nog een anekdote uit zijn werk? Die heeft hij niet echt. “Nou ik heb het één keer meegemaakt in een groot kantoor, jaren geleden, waar van die grote, dure HP-netwerkprinters stonden, dat een vrouw uit pure frustatie tegen zo’n printer stond te schoppen. Nog hard ook. Daar stond ik wel van te kijken.” Ron Onrust Onrust is freelancejournalist en verzorgt twee keer per week de elektronische NGN Nieuwsbrief.

reageren? www.ngn.nl/ITInfra20140136

Er is wat te vieren! Het zal je vast niet ontgaan zijn dat Ngi en NGN op 1 januari zijn samengegaan en per die datum één vereniging vormen. Daarom worden alle Ngi-NGN-leden uitgenodigd voor het jaarcongres 2014 van Ngi-NGN op donderdag 6 maart. Er wordt op een feestelijke manier afgetrapt om zo de samenwerking te onderstrepen en er is volop gelegenheid om met elkaar kennis te maken. Het congres vindt plaats op de Creative Campus in Almere. De campus wordt geroemd als ‘creatieve hotspot’. De wereld van gaming, media, advies en kennis voelt zich tot de campus aangetrokken. Een uitgelezen plek dus voor ons congres met als thema: ‘De Informatieprofessional 3.0’. Dit thema heeft geholpen de samenwerking vorm te geven. Als IT’er gezien worden als ideale businesspartner vergt inlevingsvermogen, proactiviteit en communicatieve vaardigheden. Dit jaarcongres moet inspireren en de inhoudelijke vakkennis actualiseren. Na de plenaire opening worden twee tracks aangeboden met als thema ‘Open/Big Data’ en ‘Security/ databeveiliging’. Beide tracks zijn multidiciplinair opgebouwd en verschillende inleiders zullen zich in diverse sessies buigen over de vraag wat je ermee kan, waarom je er iets mee zou willen en op welke manier dat in de praktijk werkt. Voor iedereen is er

een invalshoek waar je als professional iets mee kunt. In de middag gaan Rik Maes, Erik de Vries en Wouter Bronsgeest dieper in op de Informatieprofessional 3.0 en het boek wat in samenwerking met onze verenigingen hierover is geschreven. De hedendaagse IT’er dient nog steeds zijn of haar vakgebied uitmuntend te beheersen en toe te kunnen passen. De IT’er van de (nabije) toekomst dient bij het aanwenden van zijn kennis en ervaring vooral vanuit de business te denken. Als de IT’er denkt en handelt in termen van businesswaarde dan wordt hij of zij gezien als businesspartner. Dit vergt bovendien inlevingsvermogen, proactiviteit en communicatieve vaardigheden om de dialoog met de business te kunnen voeren. Dit alles maakt de IT’er de Informatieprofessional 3.0 die de business zo heel hard nodig heeft. Als extra krijgen alle bezoekers aan het congres het boek De Informatieprofessional 3.0 gratis mee, de eerste uitgave van Ngi-NGN. Het volledige programma van het jaarcongres is te vinden op www.ngi-ngn.nl en de websites van Ngi en NGN. Daar kunt u zich nu al inschrijven voor deze bijeenkomst. Voor alle leden van Ngi-NGN zijn geen kosten verbonden aan deelname.

IT-Infra JANUARI/FEBRUARI 2014 37

NGN NIEUWS

Eerste Ngi-NGN Congres 6 maart

NGN NIEUWS

De NGN en examensoftware De NGN speelt al een tijdje een rol bij het

ontwikkelen van examensoftware. Beheerders, lid

van de NGN, konden hun wensen duidelijk maken,

kregen in een vroeg stadium informatie en konden de software testen. Wat is de stand van zaken nu?

angzaam komt er verbetering in de software die Cito gebruikt voor de digitale examens. In 2012 botsten de beheerders in het onderwijs, verenigd in de NGN, met Cito. De media gaven de beheerders de schuld van problemen, terwijl de problemen volgens de beheerders vooral terug te voeren waren op de software van Cito. Gelukkig startte er een dialoog tussen de beheerders, verzameld in NGN, en Cito. Dat resulteerde vorig jaar in

een redelijk positief persbericht van NGN, waarin stond: “Digitale examens op middelbare scholen zijn de afgelopen weken veel soepeler verlopen dan vorig jaar.” Om de scholen te ondersteunen ontwikkelde NGN-lid Roel van Bueren een MSI-installer die het installatieproces van ExamenTester automatiseerde.

Pilot met Facet

Dit schooljaar is er nieuwe examensoftware van het CVE,

anaf de jaarwisseling zijn NGN en Ngi officieel één vereniging. NgiNGN is de grootste beroepsvereniging voor IT-professionals. De dienstverlening blijft ongeveer hetzelfde; IT-Infra blijft voortbestaan en ook de NGN-nieuwsbrief blijven de leden ontvangen. Nieuw is het feit dat NGN nu een SIG (Special Interest Group) is van Ngi-NGN. Het heeft dus geen bestuur meer, maar coördinatoren. En NGN brengt nog twee andere SIG’s mee naar Ngi-NGN; de ‘Common SIG’ en de ‘IT-Beheer in het onderwijs SIG’.

NGN SIG

NGN SIG houdt zich bezig met kennisdeling en ondersteuning van IT-professionals die werkzaam zijn als netwerk-, systeemen applicatiebeheerders. Activiteiten en evenementen worden afgestemd op de actuele situatie. Denk aan netwerkonder-

38 JANUARI/FEBRUARI 2014 IT-Infra

‘Facet’ genaamd, en ook dit keer werden NGN-onderwijsbeheerders vanaf een vroeg stadium op de hoogte gehouden van de voortgang. CVE deed in een presentatie in september 2013 diverse toezeggingen, zoals een MSI voor het installeren. Diverse NGN-beheerders gaven zich op voor een test, een pilot van de software. Uit de discussie in Yammer blijkt dat er nog veel problemen zijn met Facet, en dat scholen zich daarom terugtrekken, zoals die van Henny Nekkers en Maurice Heeren. Volgens Nekkers waren er problemen met tokens en mandatory profiles, en deden de problemen met het importeren van leerlinggegevens Facet uiteindelijk de das om. “Onder tijdsdruk is er deze week toen

maar besloten om af te zien van deelname aan deze pilot.” Maurice Heeren schrijft: “Wij zijn ook afgehaakt. We hebben ook gedoe gehad met de tokens. Bij ons lukte ook het importeren van de leerlinggegevens niet.”

Langzaam beter

Het Corlaer College in Nijkerk doet ook mee met de pilot, maar ondervindt niet dermate grote problemen dat het reden ziet om af te haken. Beheerder Rob de Groot was ook aanwezig bij alle overleg tussen Cito, CVE en NGN. “Tot dusverre zijn de verwachtingen niet waargemaakt. De MSI voor het installeren is beloofd, maar is er nog niet. Ook de problemen die anderen hebben, zoals het exporteren van de leerlinggege-

Ngi-NGN in 2014: NGN steuning, serverbeheer, applicatiebeheer, wifi, security, virtueel werken en Bring Your Own. Tom Dalderup, samen met Lex Schampers, Marcel Kouwenberg en Bert van den Berg coördinator, licht toe: “NGN zal meer de werkwijze van Ngi gaan hanteren: kleinschaliger evenementen met meer ledenparticipatie. Daardoor zijn de evenementen veel goedkoper en worden er dus meer georganiseerd. Dat is een uitdaging, omdat het gemiddelde NGN-lid meer gewend is om te consumeren. Daarnaast gaan we meer de overlap met Ngi zoeken. Ngi is goed regio-georiënteerd en we gaan binnen de NGN SIG die regio’s actief promoten. Aan de hand van de woonplaats is ieder lid automatisch

ingedeeld in een regio. Leden kunnen dan bij regio-evenementen met elkaar in contact komen. De huidige NGN-site en het Yammer-deel gaan op in Socious, dat in maart live gaat. Of dan ook de huidige website verdwijnt is nog onduidelijk, omdat nog niet alle functionaliteit in Socious is gebouwd. De focus van de NGN SIG blijft bij de techniek liggen, maar er zal zeker ook aandacht worden besteed aan de voortdurende verandering van ons vak en de sociale vaardigheden die een beheerder machtig moet zijn.”

Common SIG

Common SIG organiseert activiteiten op het gebied van IBM Power Systems en IBM

vens uit het administratiepakket en het importeren in Facet, herkennen we. Zoveel administratiepakketten voor scholen zijn er niet, dus je zou zeggen dat Cito gemakkelijk contact met die partijen kan maken, zodat exportbestanden voor scholen beschikbaar worden. Maar je moet nog veel handmatig aanpassen voor het importeren. Je moet Facet gebruiken voor de rekentoets, minitoetsen en proefexamens, maar bij calamiteiten kun je terugvallen op de oude ExamenTester. Voorlopig gaan wij nog verder met Facet. Volgend jaar is er immers geen alternatief meer.”

De verwachtingen omtrent de nieuwe examensoftware ‘Facet’ zijn voorlasnog niet waargemaakt.

N brengt drie SIG’s mee i (vroeger bekend als AS/400). Daarnaast wil de Common SIG de bekendheid van deze systemen vergroten. Common SIG is de Nederlandse contactorganisatie voor Common Europe. Rob Freeling, samen met Koos Jacobs coördinator: “Wij zien zowel aansluiting met Ngi als NGN. Onze bedrijfsleden zaten vroeger meer op het managementniveau, maar op bijeenkomsten zijn juist veel systeembeheerders en applicatieontwikkelaars. Binnen de NGN was Common een beetje het contact met de voormalige Common-leden verloren. Als SIG van Ngi-NGN worden we weer meer duidelijk een eenheid. Als je jezelf in 2015 moet aanmelden voor een SIG, dan wordt ook beter duidelijk wie er echt

kiest voor Common. Sinds kort hebben we ook de contacten met Common Europe en Common België aangehaald. Al met al gaan we als Common SIG een interessant en uitdagend jaar tegemoet.”

IT-beheer in het onderwijs

Deze SIG wil zich gaan inzetten voor kennisdeling en ondersteuning van de IT-beheerders in het onderwijs. Daarbij is er speciale aandacht voor het gezamenlijk naar buiten treden namens deze beroepsgroep naar aanbieders van middelen die onderwijsbreed worden ingezet, zoals digitale examenmogelijkheden en op onderwijs gerichte softwareapplicaties. Coördinator Leon van de Moosdijk: “De ge-

reageren? www.ngn.nl/ITInfra20140138

schiedenis van deze SIG begint bij de examensoftware. De acties die de NGN daaromheen ontplooide, maakten duidelijk dat er veel leden van de NGN in het onderwijs werkzaam zijn. Zo’n 300 tot 350, dat is toch een zesde van het totale ledenaantal van de NGN. Daarmee is de SIG mogelijk een goed idee. Dit jaar moet duidelijk worden of er voldoende potentieel bestaat om deze SIG meer ruggengraat te geven. Leden moeten activiteiten ontplooien en er moet een clubgevoel ontstaan. We gaan ook kijken of we leveranciers als Schoolmaster of Simac kunnen interesseren voor zo’n SIG. Het is ook interessant om te zien welke leden van Ngi in het onderwijs actief zijn, om daar een aansluiting bij te zoeken. Ik doe een oproep aan leden die in het onderwijs werkzaam zijn: wordt actief in deze SIG en organiseer bijvoorbeeld een bijeenkomst.”

IT-Infra JANUARI/FEBRUARI 2014 39

SECTIE X WORKSHOP

Bootstrap Webdevelopment In de serie over Bootstrap (getbootstrap.com) nu aandacht voor interactieve formulieren. We doen dat met behulp van een sterk visuele validatie-routine en enkele speciale veldtypes. Ook worden extraâ&#x20AC;&#x2122;s op en rond de styling van de velden behandeld. Tevens wordt alvast rekening gehouden met injecties door hackers. John Vanderaart

<form class="form-horizontal" role="form" name="Formulier" id="Formulier"> <div class="row"> <div class="col-lg-3"> <div class="form-group" id="gpVoorletters"> <label class="col-lg-4 control-label" for="Voorletters">Voorletters</label> <div class="col-lg-8"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-user"></span></span> <input class="form-control" type="text" size="10" maxlength="10" name="Voorletters" id="Voorletters" placeholder="voorletter" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpVoorletters"></span> </div> </div> </div> <div class="col-lg-3"> <div class="form-group" id="gpTussenvoegsel"> <label class="col-lg-4 control-label" for="Tussenvoegsel">T ussenvoegsel</label> <div class="col-lg-8"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-user"></span></span> <input class="form-control" type="text" size="10" maxlength="10" name="Tussenvoegsel" id="Tussenvoegsel" placeholder="tussenvoegsel" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpTussenvoegsel"></span> </div> </div> </div> <div class="col-lg-6"> <div class="form-group" id="gpAchternaam"> <label class="col-lg-2 control-label" for="Achternaam">Achternaam</label> <div class="col-lg-10"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-user"></span></span> <input class="form-control" type="text" size="40" maxlength="40" name="Achternaam" id="Achternaam" placeholder="achternaam" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpAchternaam"></span> </div> </div> </div> </div> <div class="row"> <div class="col-lg-6"> <div class="form-group" id="gpStraatnaam"> <label class="col-lg-2 control-label" for="Straatnaam">Straatnaam</label> <div class="col-lg-10"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-road"></span></span> <input class="form-control" type="text" size="40" maxlength="40" name="Straatnaam" id="Straatnaam" placeholder="straatnaam" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpStraatnaam"></span> </div> </div> </div> <div class="col-lg-3"> <div class="form-group" id="gpHuisnummer"> <label class="col-lg-4 control-label"

Afbeelding 1 40 JANUARI/FEBRUARI 2014 IT-Infra

for="Huisnummer">Huisnummer</label> <div class="col-lg-8"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-road"></span></span> <input class="form-control" type="number" size="10" maxlength="10" name="Huisnummer" id="Huisnummer" placeholder="huisnummer" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpHuisnummer"></span> </div> </div> </div> <div class="col-lg-3"> <div class="form-group" id="gpToevoeging"> <label class="col-lg-4 control-label" for="Toevoeging">Toevoeging</label> <div class="col-lg-8"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-road"></span></span> <input class="form-control" type="text" size="10" maxlength="10" name="Toevoeging" id="Toevoeging" placeholder="toevoeging" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpToevoeging"></span> </div> </div> </div> </div> <div class="row"> <div class="col-lg-3"> <div class="form-group" id="gpPostcode"> <label class="col-lg-4 control-label" for="Postcode">Postcode</label> <div class="col-lg-8"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-home"></span></span> <input class="form-control" type="text" size="10" maxlength="10" name="Postcode" id="Postcode" placeholder="postcode" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpPostcode"></span> </div> </div> </div> <div class="col-lg-6"> <div class="form-group" id="gpPlaatsnaam"> <label class="col-lg-2 control-label" for="Postcode">Plaatsnaam</label> <div class="col-lg-10"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon glyphicon-home"></span></span> <input class="form-control" type="text" size="40" maxlength="40" name="Plaatsnaam" id="Plaatsnaam" placeholder="plaatsnaam" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpPlaatsnaam"></span> </div> </div> </div> <div class="col-lg-3"> </div> </div> <div class="row"> <div class="col-lg-12"> <div class="form-group" id="gpEmailadres"> <label class="col-lg-1 control-label" for="Emailadres">Emailadres</label> <div class="col-lg-11"> <div class="input-group"> <span class="input-group-addon"><span class="glyphicon

e enkele ASP-listing die deze keer wordt gepresenteerd, is direct afgeleid van de ASP-listings die we u eerder hebben getoond. Vandaar dat we die enkele ASP-listing meteen presenteren (afbeelding 1), om daarna stapsgewijs de

veranderingen door te nemen. Die nieuwe onderdelen zijn vet afgedrukt. In de ASP-listing komt de functie ‘doeFormulier()’ veelvuldig terug. Deze functie wordt aangeroepen als er op de knop – waarvan thans een ‘button’ is gemaakt – wordt ge-

glyphicon-envelope"></span></span> <input class="form-control" type="email" size="60" maxlength="60" name="Emailadres" id="Emailadres" placeholder="emailadres" onkeypress="if (event.keyCode == 13) { doeFormulier(); }" /> </div> <span id="hpEmailadres"></span> </div> </div> </div> </div> <div class="row"> <div class="col-lg-4"> </div> <div class="col-lg-4"> <center><button type="button" class="btn btn-info" onclick="doeFormulier();" >VERSTUUR</button></center> </div> <div class="col-lg-4"> </div> </div> </form> <script language="javascript"> function checkLeeg(veldnaam) { if ( Formulier.elements[veldnaam].value.length == 0 ) { $("#gp" + veldnaam).addClass( "has-error" ); $("#hp" + veldnaam).addClass( "help-block" ); $("#hp" + veldnaam).text( veldnaam + " verplicht..." ); return false; } else { $("#gp" + veldnaam).removeClass( "has-error" ); $("#hp" + veldnaam).removeClass( "help-block" ); $("#hp" + veldnaam).text( "" ); return true; } } function valideerFormulier() { var Akkoord = true; var Emailregex = /^[a-z-_0-9\.]+@[a-z-_0-9\.]+\.[a-z]{2,4}$/i; if (checkLeeg("Voorletters") == false) {Akkoord = false; } if (checkLeeg("Achternaam") == false) {Akkoord = false; } if (checkLeeg("Straatnaam") == false) {Akkoord = false; } if (checkLeeg("Huisnummer") == false) {Akkoord = false; } if (checkLeeg("Postcode") == false) {Akkoord = false; } if (checkLeeg("Plaatsnaam") == false) {Akkoord = false; } if (checkLeeg("Emailadres") == false) {Akkoord = false; } else { if (! Emailregex.test(Formulier.elements["Emailadres"]. value)) { $("#gpEmailadres").addClass( "has-error" ); $("#hpEmailadres").addClass( "help-block" ); $("#hpEmailadres").text( "E-mailadres niet correct..." ); Akkoord = false; }

klikt én als er in een veld op de ‘enter’-toets wordt gedrukt. Dat laatste wordt afgevangen met de volgende instructie die we in de ‘input’-tags opnemen: ‘onkeypress="if (event. keyCode == 13) { doeFormulier(); }"’. Als er in het invoerveld op een willekeurig toets wordt

else { $("#gpEmailadres").removeClass( "has-error" ); $("#hpEmailadres").removeClass( "help-block" ); $("#hpEmailadres").text( "" ); } } return Akkoord; } function veldNetjes(veldnaam, letters) { var Origineel = new Array(); var Nieuw = new Array(); var Aantal = 12; Origineel[ 0] = "#" ; Nieuw[ 0] = ""; Origineel[ 1] = "$" ; Nieuw[ 1] = ""; Origineel[ 2] = "%" ; Nieuw[ 2] = ""; Origineel[ 3] = "&" ; Nieuw[ 3] = ""; Origineel[ 4] = "/" ; Nieuw[ 4] = ""; Origineel[ 5] = ":" ; Nieuw[ 5] = ""; Origineel[ 6] = ";" ; Nieuw[ 6] = ""; Origineel[ 7] = "<" ; Nieuw[ 7] = ""; Origineel[ 8] = "=" ; Nieuw[ 8] = ""; Origineel[ 9] = ">" ; Nieuw[ 9] = ""; Origineel[10] = "?" ; Nieuw[10] = ""; Origineel[11] = "\\" ; Nieuw[11] = ""; Origineel[12] = "^" ; Nieuw[12] = ""; inhoud = Formulier.elements[veldnaam].value; inhoud = inhoud.replace(/[\u0080-\uffff]/g, ""); inhoud = inhoud.split(String.fromCharCode(34)).join(""); inhoud = inhoud.split(String.fromCharCode(39)).join(""); inhoud = inhoud.split(String.fromCharCode(96)).join(""); for (Teller =0; Teller <= Aantal; Teller++) { inhoud = inhoud.split(Origineel[Teller]).join(Nieuw[Teller]); } switch(letters) { case "niets": Formulier.elements[veldnaam].value = inhoud; break; case "klein": Formulier.elements[veldnaam].value = inhoud.toLowerCase(); break; case "groot": Formulier.elements[veldnaam].value = inhoud.toUpperCase(); break; } } function doeFormulier() { veldNetjes("Voorletters", "niets"); veldNetjes("Tussenvoegsel", "niets"); veldNetjes("Achternaam", "niets"); veldNetjes("Straatnaam", "niets"); veldNetjes("Huisnummer", "niets"); veldNetjes("Toevoeging", "niets"); veldNetjes("Postcode", "groot"); veldNetjes("Plaatsnaam", "groot"); veldNetjes("Emailadres", "klein"); if (valideerFormulier() == true) { alert("OK"); } else { alert("ERROR"); } } </script>

IT-Infra JANUARI/FEBRUARI 2014 41

SECTIE X

aan de hand van een framework (deel 3)

WORKSHOP

Functie valideerFormulier()

Aan het werk met het nieuwe interactieve formulier. Het enige dat opvalt zijn de iconen aan de linkerkant van de invoervelden. En misschien de layout van het veld ‘Huisnummer’. Afbeelding 2

Nee, dat is niet helemaal goed gegaan. Het interactieve formulier heeft de inhoud van de velden beoordeeld en gaat niet akkoord. Met als gevolg een nieuwe styling en de nodige foutmeldingen. Afbeelding 3

Dit is het resultaat van de extra controle van het invoerveld ‘Emailadres’. We willen namelijk zeker weten dat het een correct e-mailadres is dat ook daadwerkelijk kan worden gebruikt. Afbeelding 4

De Bootstrap-website vertelt wat meer over de zogeheten ‘Validation states’. Prima te gebruiken om aan te geven dat een formulier niet correct is ingevuld.

Afbeelding 5

gedrukt, dan controleren we of de code ‘13’ (is ‘enter’) wordt doorgegeven. Zo ja, dan gaan we naar de functie ‘doeFormulier();’ (afbeelding 2). Als de functie ‘doeFormulier()’ wordt aangeroepen, dan worden één voor één de formuliervelden gecontroleerd en eventueel aangepast met de functie ‘veldNetjes()’, 42 JANUARI/FEBRUARI 2014 IT-Infra

Maar daarmee zijn we er nog niet, want achter de functie ‘valideerFormulier()’ gaat intussen nog wel het een en ander schuil. Zoals bijvoorbeeld het veranderen van de stijl van de ‘input’-tag(s) en de getoonde foutmelding(en). De velden die verplicht moeten worden ingevuld, worden één voor één geëvalueerd met behulp van de functie ‘checkLeeg()’, die als parameter de veldnaam van dienst meekrijgt. Aan de hand van die veldnaam wordt niet alleen in het invoerveld gekeken, maar worden ook de nodige stijleigenschappen aangepast en wordt – indien nodig – de fouttekst geplaatst. Het aanpassen van de stijleigenschappen geschiedt met behulp van een ‘addClass’ of een ‘removeClass’. En als u per – laten we zeggen – ‘invoerveldblok’ kijkt hoe dat is doorgevoerd, dan is de prefix ‘gp’ gebruikt om de invoergroep aan te duiden en de prefix ‘hp’ om de plek voor de foutmelding te bepalen. Met voor het invoerveld ‘Emailadres’ een extra uitzondering, want die moet zodanig zijn uitgevoerd dat het een écht e-mailadres is (afbeelding 4). Moeten we het nog even over de classes ‘has-error’ en ‘help-block’ hebben. Welnu, die komen standaard met het framework Bootstrap mee (afbeelding 5).

Functie veldNetjes()

De functie ‘veldNetjes()’ is al even genoemd. Deze functie krijgt twee parameters mee: de veldnaam én een codering die bepaalt of het veld al of niet moet worden omgebouwd naar hoofdletters of kleine letters. Maar dat is nog niet alles, want voordat er sprake is van hoofdletters en kleine letters, gaan we wat ongewenste leestekens uit het veld weghalen. We doen dat uiteraard om JavaScript-, VBScript- en SQL-injecties te voorkomen die met steeds grotere regelmaat door hackers worden ‘ingeschoten’! Kijkt u daarom nóg eens naar de onderstaande JavaScript-regels: inhoud = Formulier.elements[veldnaam].value;

waarover dadelijk meer. Meteen daarna is het de beurt aan de functie ‘valideerFormulier()’ die gaat controleren of het formulier netjes is ingevuld. Zo ja, dan volgt een akkoord. Zo nee, een error (afbeelding 3). Waarmee het interactieve aspect van de ASP-listing reeds getoond is! Inderdaad, zo eenvoudig kan het zijn.

Hierboven wordt de inhoud van het doorgegeven veld overgeheveld naar de variabele ‘inhoud’. Dat aan de hand van de naam en de elementenlijst van het formulier. inhoud = inhoud.replace(/[\u0080-\uffff]/g, "");

Hierboven worden alle niet-ASCII tekens uit de variabele inhoud gehaald. De niet-ASCII

tekens zijn de tekens waarvan de ASCII-waarde groter is dan 127. Zoals u ziet, houden we meteen rekening met Unicode, want we tellen door tot 65535. inhoud = inhoud.split(String.fromCharCode(34)).join(""); inhoud = inhoud.split(String.fromCharCode(39)).join(""); inhoud = inhoud.split(String.fromCharCode(96)).join(""); Hierboven een foefje met ‘split’ en ‘join’, waarmee we enkele en dubbele aanhalingstekens uit de variabele inhoud weghalen. Zo pakken we in één keer alle tekens die weggehaald moeten worden!

Op dit moment zien we een aantal leestekens die beslist niet mogen worden doorgedrukt naar de achterliggende database. Die tekens gaan we dan ook met behulp van de functie ‘veldNetjes()’ weghalen. Afbeelding 6

for (Teller =0; Teller <= Aantal; Teller++) { inhoud = inhoud.split(Origineel[Teller]). join(Nieuw[Teller]); } En hierboven nog een constructie die over de arrays ‘Origineel’ en ‘Nieuw’ loopt. Op die manier verwijderen we zowel verdachte als ongewenste tekens uit de variabele ‘inhoud’ (afbeelding 6 en 7). Uiteraard is de functie ‘veldNetjes()’ nog te verfijnen, maar het gaat alvast even om het idee. Immers, de hier getoonde methode is in principe afdoende om alle injecties tegen te gaan.

Met hier het resultaat van de functie ‘veldNetjes()’. Alle ongewenste leestekens zijn weggehaald en worden dus niet meegestuurd naar de webserver. Afbeelding 7

Glyphicons

Dan de iconen, oftewel de ‘Glyphicons’, die Bootstrap ter beschikking stelt (afbeelding 8). Welnu, door het toevoegen van een overkoepelende ‘div’ (met als class ‘input-group’), kunnen we via een of meer ‘span’s’ (voorzien van de class ‘input-group-addon’) grafische elementen aan een ‘input’-tag toevoegen. Dat kan zowel voor als na de ‘input’-tag gebeuren. De verwijzingen die u voor de iconen kunt gebruiken, zijn terug te vinden op de website van Bootstrap: getbootstrap.com. Opgemerkt dat u niet alleen iconen kunt toevoegen, maar ook gewone leestekens.

Types voor ‘input’

Dan de speciale types die u in een invoerveld kunt gebruiken. In de getoonde ASP-listing gebruiken we ‘text’, ‘number’ en ‘email’. Dat maken we even compleet door te stellen dat Bootstrap déze invoertypes ondersteunt: ‘text’, ‘password’, ‘datetime’, ‘datetime-local’, ‘date’, ‘month’, ‘time’, ‘week’, ‘number’, ‘email’, ‘url’, ‘search’, ‘tel’, and ‘color’. Waar mogelijk

Dankzij de ‘Glyphicons’ die Bootstrap ter beschikking stelt, kunt u gebruikmaken van een snelle en overkoepelende selectie iconen. Mooi gemaakt en dus professioneel ogend. Afbeelding 8

moet u zeker gebruikmaken van deze invoertypes, want het kan veel (validatie)fouten voorkomen.

Doorsturen met Ajax

Dat is het voor deze keer. De gegevens die op het aangemaakte formulier staan, worden nog niet doorgedrukt naar de webserver.

Daarmee gaan we ons de volgende keer bezighouden en we zullen dat met behulp van een Ajax-aanroep gaan regelen. Ook gaan we aan de slag met cookies. Die zorgen voor een snellere manier van invoeren.

john@vanderaart.nl IT-Infra JANUARI/FEBRUARI 2014 43

DRUKWERK Informatie management Auteur: Roel Grit Uitgave: 2012, vierde druk Doelgroep: Strategisch en tactisch management, IT-management, beleids-, service- en informatiemanagers, studenten. Uitgever: Wolters-Noordhoff ISBN: 9789001809751 Taal: Nederlands Bladzijden: 266

We krijgen veel informatie via allerlei kanalen aangeboden. Zonder informatie kunnen we niet, want met de verkregen informatie nemen we beslissingen. Een automobilist neemt op basis van de verkeersinformatie, de matrixborden en zijn navigatiesysteem een beslissing om een andere (filevrije) route te nemen. Dat deze informatie betrouwbaar moet zijn ervaart hij dagelijks, want vaak belandt hij alsnog in een file. In het bedrijfsleven is het niet anders. Een verkoopmanager beslist op basis van informatie uit het verkoop-informatiesysteem, de financiële informatie en beleidsinformatie om een nieuwe medewerker aan te nemen. Ook hij gaat af op zijn ervaring en intuïtie en zal nuancering aanbrengen bij de juistheid van de informatie. Informatie moet dus betrouwbaar zijn en goede gemanaged worden. Het managen van informa44 JANUARI/FEBRUARI 2014 IT-Infra

tie gebeurt op verschillende niveaus. In de privésituatie ben je je eigen informatiemanager. Jij bepaalt namelijk zelf welke informatie voor jou van belang is om beslissingen te nemen. In het bedrijfsleven hebben we de informatiemanager. Deze persoon bepaalt namens een doelgroep, klant en gebruikers in een organisatieonderdeel, welke informatie voor hen van belang is om beslissingen te nemen. De manier van verwerken en uitwisseling van gegevens tot informatie gaat tegenwoordig alleen nog maar met de informatie- en communicatietechnologie (ICT). De ICT neemt dan ook een prominente plaats in ons leven. De belangrijkheid tot het managen van informatie neemt toe. Het vakgebied informatiemanagement is nog relatief jong, maar zal steeds belangrijker worden.

Geworstel

Elke zichzelf respecterende organisatie heeft tegenwoordig een informatiemanager. Een goede ontwikkeling, maar ik zie echter ook veel geworstel met de invulling ervan. Een (vaak) gewezen manager krijgt deze rol. Er worden geen trainingen gegeven en soms dwingt het verwachtingspatroon de persoon in een ongewenste rol van bijvoorbeeld servicemanager. Graag zou ik hen het boek In formatiemanagement van Roel Grit willen aanraden. In klare taal wordt een helder overzicht gegeven van het vakgebied informatiemanagement. Het is geschreven vanuit het perspectief van de klant, de gebruiker. Het is bedoeld om toekomstige informatiemanagers vertrouwd te maken met het vakjargon en

de gebruikelijke hulpmiddelen. Het kleurrijke boek heeft drie delen: een theoretisch, praktisch en een algemeen deel dat onder andere verwijst naar bronnen en de gerelateerde website van Wolters-Noordhoff. In het theoretisch deel komen de gebruikelijk onderwerpen aan bod, zoals hardware, software, netwerken, internet, opslag en het gebruik van gegevens. Allemaal met korte zinnen in Jip-en-Janneketaal uitgelegd. In het praktische deel kan men aan de slag met een informatieplan, informatievooronderzoek, een functioneel ontwerp, enzovoort. Het boek is primair bestemd voor het HBO. Dit betekent dat er veel vragen en opdrachten in voorkomen. Extra opdrachten, oefentoetsen, checklists et cetera staan op de website. Er blijft ten aanzien van een boek over informatiemanagement altijd wat te wensen. Jammer is bijvoorbeeld dat het geschrevene zo snel verouderd. Hoewel het boek nauwelijks twee jaar in de winkel ligt, zijn gebruikte termen en de laatste stand van de techniek al weer gedateerd. Een hoofdstuk over SQL is nuttig, maar mijn ervaring zegt dat er weinig mee wordt gedaan. Het boek geeft feitelijke kennis. Prima, maar zaken zoals een bedrijfscultuur, weerstand in een organisatie en de taalbarrière tussen ICT en de gebruiker blijven ongenoemd. Zaken waarmee de informatiemanager wel te maken krijgt. Desondanks beveel ik het iedere (startende) informatiemanager aan. Simon Bos Bos is interim-manager in de ICT (simon@boscohen.nl; @bos_simon).

Handboek management modellen Subtitel: Een praktisch overzicht van de meest gebruikte modellen Auteur: Tom Willem den Hoed Uitgave: 2013 Doelgroep: Managers, studenten en consultants Uitgever: Van Haren Publishing ISBN: 9789087537470 (e-boek: 9789087537579) Taal: Nederlands Bladzijden: 541

Volgens Hayes (2010) is een model een versimpeling van de werkelijkheid. Des te eenvoudiger het model, des te minder omvattend en accuraat het is. Meerdere modellen zijn soms nodig om een situatie te duiden. Een bijna onuitputtelijke bron is dit handboek over managementmodellen. Geclusterd naar beschrijvende- , analyse-, proces-, business-, bedrijfs- en prestatiemanagementmodellen. Het boek bestaat uit twee delen. In deel 1 komen de verschillende aspecten van een bedrijfskundige analyse aan bod. Bijvoorbeeld wat een model is en hoe deze op een praktische wijze is toe te passen. Met deze informatie kan een doelgerichte keuze van modellen worden gemaakt. In deel 2 worden de meest bekende modellen toegelicht.

Like This

Tips voor testers

Subtitel: De route naar een geslaagde social media bedrijfsstrategie Auteur: Laura Hamer Uitgave: 2013 Doelgroep: Strategisch en tactisch management, communicatiemedewerkers, consultants, beleidsmedewerkers en implementatiemanagers Uitgever: Academic Service ISBN: 9789462200012 Taal: Nederlands Bladzijden: 161

Subtitel: 101 adviezen uit de praktijk Redactie: Ronald Sterk Uitgaven: 2013 Doelgroep: Technisch en functioneel beheerders, IT-managers, opdracht gevers, testanalisten, testmanagers, testconsultants, testengineers, IT-studenten. Uitgever: Siemes/Anderis Taal: Nederlands Bladzijden: 195

Een fleurig doe- en studieboek dat helder uitlegt wat het begrip sociale media inhoudt. Het biedt een handleiding om als organisatie deel te gaan nemen aan sociale media. Het boek is opgebouwd uit drie delen. In deel 1 wordt de achtergrond van het succes van sociale media uitgelegd, zodat de meerwaarde duidelijk wordt. Deel 2 neemt de lezer mee met de Social Media Roadmap. Een hulpmiddel om te bepalen waar een organisatie zich bevindt in het sociale medialandschap en waar zij zich wenselijk zou moeten bevinden. Deel 3 is een compleet werkboek om zelf aan de slag te gaan met visie, strategie en operatie om de mediakansen te benutten.

Een boek ván testers, vóór testers. Testorganisatie Anderis heeft hiermee een podium gecreëerd voor testers in de brede zin van het woord. Zo’n tachtig professionals en testautoriteiten geven tips uit de praktijk. Allen bekend met de belangrijkste testtechnieken en testmethoden. Zij realiseren zich vaak dat de theorie weliswaar nuttig is, maar dat de praktijk vaak weerbarstig kan zijn. Uit meer dan tweehonderd inzendingen zijn de beste tips geselecteerd. Veel tips slaan op het belang van goede communicatie in een testtraject, over automatisering en over het toepassen van testmethodieken. Het boek is een handig naslagwerk en slaat een brug tussen de theorie en de praktijk.

k heb allerlei besturingssystemen draaien. Zelfs nog Windows 98, maar dat loopt wel – bij gebrek aan nieuwe drivers – op oude hardware. Dat is niet meer van deze tijd, maar het gaat even om het idee. Wie intussen de berichtgeving omtrent Windows XP volgt, constateert dat dit besturingssysteem dood wordt gewenst. Niet alleen door Microsoft, maar ook door de banken die min of meer eisen dat u zich goed beveiligd op internet begeeft. En geloof me, als u vanaf een computer met Windows XP internetbankiert, dan hoeft u in geval van elektronische diefstal echt niet meer op enige bancaire coulance te rekenen! Ook grappig zijn de cijfers die percentage-gewijs aangeven hoe het staat met de geïnstalleerde besturingssystemen. Als we die cijfers moeten geloven, dan is het aantal pc’s met Windows XP in de afgelopen maanden meer dan drastisch gekelderd. Gelooft u dat? Ja, Windows XP moet dóód! En wel meteen in 2014. Dat met die banken heeft natuurlijk alles te maken met de overgang naar IBAN en SEPA. Vooral dat SEPA zal nog wel wat problemen opleveren, want dat is een nieuw alles-in-éénbestandsformaat dat internationaal

... en wel meteen in 2014 bankieren sterk gaat vereenvoudigen. Gelooft u dat? Zoals altijd bij een dergelijke introductie zijn er lekken die de bedenkers nog niet konden bedenken en daar zullen hackers gebruik van maken. Met als voornaamste doel het overhevelen van geld van uw rekening naar een in Verweggistan. En wil je de schade vergoed krijgen? Dan kun je het schudden in geval van een Windows XP-computer. Het grappige is dat veilig internetbankieren niet eens zo moeilijk is. Als er wordt gezorgd voor een twee-weg-verificatie via een ander medium dan de computer, dan opeens is het vrij waterdicht. Zoals bijvoorbeeld een te beantwoorden whatsappbericht naar de (niet via uw servicepagina in te stellen en te veranderen) mobiele telefoon van dienst. Van mijn part een ouderwets sms’je of een telefoontje... Allemaal automatisch, zonder mankracht. Nu reeds het zieligste geval van 2014 is de persoon die z’n nieuwe Windows 8-pc vanaf het Windows XP-platform bestelt en bij het telebankieren wordt gehackt. Ik corrigeer mezelf dan ook door te stellen dat Windows XP reeds dóód is! John Vanderaart john@vanderaart.nl

IT-Infra JANUARI/FEBRUARI 2014 45

COLUMN EXPERIENCE MATTERS

Windows XP moet dóód!

KORT

Printen grachtenpand begonnen

Architectenbureau DUS is begonnen aan het printen van een grachtenpand van bio-plastic. De architecten maakten zelf, met hulp van de internetgemeenschap, een levensgrote versie van de Ultimaker, een doe-het-zelfprinter van Nederlands fabricaat. De 3,5 meter hoge versie, genaamd KamerMaker XL, staat nu in een zeecontainer aan het Buiksloterkanaal in Amsterdam de eerste onderdelen voor ‘s werelds eerste 3D-geprinte huis te maken. Sponsor Henkel levert het bio-plastic waarvan iedere kamer apart gemaakt wordt. Alle ruimten hebben een eigen ontwerp en thema (bijvoorbeeld ‘smart data’) en worden uitgebreid getest voor het huis door bouwbedrijf Heijmans in elkaar gezet wordt. Op 2 maart wordt een expositie op het werkterrein geopend; over een jaar of drie is het huis klaar. Ook andere groepen als de University of Southern California zijn in de race voor ‘s we relds ‘eerste 3D-geprinte huis’.

iPhone 6 krijgt 5,7 inch scherm Apple zou werken aan nieuwe iPhones, met schermgroottes van 4,7 en 5,7 inch. Dat concludeert de nieuwssite TechRadar op basis van meldingen uit China, waar Apple zich zou oriënteren op mogelijkheden om LCD-schermen van de genoemde afmetingen in te kopen. Volgens de site QQ.com zou het 4,7 inch scherm een resolutie van 1136 x 640 beeldpunten bieden en bedoeld zijn om te worden verwerkt in een iPhone 6. Geruchten als deze steken met enige regelmaat de kop op, mede ingegeven door de gedachte dat Apple uiteindelijk het succes dat concurrent Samsung met zijn grote modellen oogst, niet kan blijven negeren. Samsung gaat inmiddels al tot 6,3 inch (Galaxy Mega). Het huidige topmodel uit de iPhone-lijn, de 5s, biedt de gebruiker een scherm met een diagonaal van 4 inch.

Microsoft houdt vinger aan de pols bij XP Microsoft zal ook na 8 april op alle systemen met Windows XP gereedschap actief houden om ze te controleren op besmetting. Het gaat om Malicious Software Removal Tool (MSRT) van Windows XP die nog tot 14 juli 2015 actief blijft. Eerder werd al bekend dat Microsoft Security Essentials tot die datum het antimalwaregereedschap Security Essentials onderhoudt. Het besluit ook MSRT in leven te houden, is wellicht ingegeven door de vrees bij Microsoft dat de aandacht van hackers voor de niet langer gepatchte systemen flink zal toenemen. Een massale infectie die weer gebruikt kan worden om op grote schaal an46 JANUARI/FEBRUARI 2014 IT-Infra

dere systemen aan te vallen, kan Microsoft veel negatieve publiciteit opleven. Hoewel Microsoft er alles aan doet doet gebruikers van XP-systemen te bewegen over te stappen naar een moderner besturingssysteem, is wel duidelijk dat dat niet gaat lukken voor 8 april. Een deel van de XP-systemen blijft mogelijk nog jaren in gebruik met alle beveiligingsrisico’s van dien.

Hackers luisteren af via Chrome Gebruikers van Chrome moeten rekening houden met de mogelijkheid dat ze door hackers worden afgeluisterd. Door een fout in de beveiliging van Googles browsersoftware kunnen hackers een eenmaal geopende microfoon-verbinding ongemerkt openhouden; ook nadat de gebruiker de website waarop hij het microfooncontact toestond heeft verlaten. De truc bestaat eruit dat de hacker het eenmaal verkregen recht op toegang tot het microfoonsignaal weet vast te houden door het over te dragen aan een verborgen pop-up die wel blijft openstaan. Zo‘n pop-up (of juister ‘pop-under’) kan worden verborgen door deze schuil te laten gaan achter het primaire browservenster. Doordat ze nauwelijks wordt opgemerkt kunnen hackers ongemerkt meeluisteren naar conversaties en telefoongesprekken die in de directe omgeving van de computer plaatsvinden. Het lek werd ontdekt door ontwikkelaar Tal Ater. Hij meldde de ‘exploit’ aan Google. Daar werd een patch ontwikkeld, maar die werd tot Aters verbazing niet verspreid. Voor Ater was Google’s bureaucratische uitstel van actie reden om de gebruikersgemeenschap te waarschuwen.

SERVICE

AGENDA

6 maart Ngi-NGN Jaarcongres Almere Info: www.ngn.nl

10 april Acces Update Houten Info: www.ag-events.nl

25 maart Hét Limburgs ICT-event The Happy User Bussum Info: www.ngi.nl

13 mei Keller Seminar 2014: Gemeentelijke ICT de deur uit Den Haag Info: www.ag-events.nl

ADVERTEREN

IT-Infra is een praktisch en onafhankelijk IT-vakblad gericht op netwerk-, storage- en service professionals. IT-Infra signaleert trends en bespreekt belangrijke ontwikkelingen aan de hand van cases, beschrijvingen en analyses door toonaangevende mensen uit de branche en gebruikersverenigingen. Meer info: www.bereikdeict.nl

PUBLICEREN IN IT-INFRA

Wilt u ook uw kennis en expertise uitdragen aan een breed lezerspubliek binnen service management, storage en IT-beheer? Neem contact op met hoofdredacteur Wijnand Westerveld (w.westerveld@bimmedia.nl). U krijgt dan aanwijzingen over hoe u uw artikel zo goed mogelijk op onze lezers kunt afstemmen. De redactie wil ‘niet-gekleurde’, praktisch toepasbare artikelen. Vooral afnemers van ICT-diensten worden uitgenodigd te publiceren. Tips en aanwijzingen voor het schrijven van een artikel kunt u ook vinden op www.it-infra.nl.

THEMA'S EN DEADLINES 2014 NR. DOSSIER

DEADLINE KOPIJ

VERSCHIJNING

3 Mobility: wat komt er op ons af?

11 maart

17 april

2 DevOps: sneller en beter ontwikkelen 4 BYOD: omgaan met vreemde devices

5 ID-Management: wie, wat, waar en hoe? 6 Storage: wordt straks alles flash? 7 Printers: het kan vaak goedkoper 8 Cloudcomputing 9 IT en het mkb 10 Social media

11 februari 8 april 6 mei 1 juli

29 juli

26 augustus

23 september 21 oktober

20 maart 15 mei

12 juni

7 augustus

4 september 2 oktober

30 oktober

27 december IT-Infra JANUARI/FEBRUARI 2014 47

Voelt u zich gevangen in de kosten van storage-hardware? Herwin uw vrijheid met de storage-virtualisatiesoftware van DataCore. Waarom zou u gebonden blijven aan één leverancier van storage-oplossingen en diens functiereeks terwijl het mogelijk is om vrijelijk alle gewenste storage-voorzieningen aan te schaffen tegen de beste prijs, wanneer u die maar nodig hebt? Waarom zou u specifieke hardware aanschaffen om alleen maar over een benodigde softwarefunctie te kunnen beschikken? Met de storage-virtualisatiesoftware van DataCore betaalt u slechts één keer. De software gaat vervolgens mee met alle generaties storage-voorzieningen die komen en gaan. SANsymphony-V zorgt daarnaast voor drastische prestatieverbeteringen en biedt u de mogelijkheid om uw bestaande opslagruimte volledig te benutten. Met de storage-virtualisatiesoftware van DataCore profiteert u bovendien van centraal en uniform beheer van al uw investeringen in storage, verbeterde uptime en – nog het mooiste van allemaal – forse kostenbesparingen. Meer informatie over hoe u uw storage-voorzieningen beter kunt benutten is beschikbaar op www.datacore.com/en/stop-fighting-your-storage-hardware.aspx