Noem het maar een managementuitdaging. Want dat is dat hele cloudgedoe, uiteindelijk. Geen technisch probleem, maar een besturingsprobleem. Om het juiste buzz-word te gebruiken: cloud computing is een governanceprobleem en een hele grote.

Vraag een IT manager: “Doen Jullie Al Aan de Cloud?”, dan is het antwoord meestal iets van “we kijken er naar”, of “op dit moment niet, wellicht later”. 68% van de CIO’s zegt dit, meldt de Automatiseringsgids. Het argument bij uitstek van de IT-manager is de twijfel over de veiligheid van de cloud en over de volwassenheid van de technologie. Zo, voorlopig zijn we klaar; het is niet veilig en het is niet goed.

Maar neem je de moeite om verder te kijken in de organisatie, dan zie je waarschijnlijk een heel ander verhaal. Bij steeds meer organisaties kopen mensen van ‘de business’ diensten uit de cloud in, zonder het aan IT te vertellen. HR doet een paar eHRM applicaties, sales gebruikt Salesforce, bij de boekhouding hebben ze een stukje Twinfield en ga zo maar door.

Gartner stelt dat één op de vijf organisaties over twee jaar geen IT spullen meer heeft, en alles in de cloud doet. Dit is wel een memorabele misser van Gartner; geen enkele organisatie zal zijn bestaande spullenboel versneld afschrijven en binnen twee jaar alles kunnen migreren.

Toch is dit bericht, voor de IT-ers die Gartner geloven, zeer zorgelijk. Als het waar is wat ze zeggen, ook als het iets langzamer gaat, dan betekent dat voor de meeste IT-ers ontslag, feitelijk. Het is dan ook logisch dat de IT niet staat te popelen om in de cloud te duiken; als een kalkoen die over het kerstdiner adviseert. Het IT management zit met de kop of met de hakken in het zand.

Dat is nergens voor nodig.

De cloud brengt ons terug naar de eilandautomatisering zoals we die in de jaren ’90 kenden. Voor wie dat niet meegemaakt heeft: bij eilandautomatisering heeft iedere afdeling in de organisatie allerlei eigen spulletjes, die ze zelf hebben gekocht. Had je software nodig, dan kocht je dat en installeerde het op je pc. Of je leende het van een familielid of een vriend bij een ander bedrijf.

De nadelen van eilandautomatisering spelen bij de cloud ook. De productselectie geeft alleen aandacht aan gebruikersbeleving en negeert zo’n beetje alle andere ‘kwaliteitsattributen’ die we in de IT kennen, zoals schaalbaarheid, migreerbaarheid en veiligheid. De business denkt vooral na over hoe je de cloud in gaat, maar hoe je er ooit weer uit komt is niet aan de orde. Dan ga je niet de cloud maar de mist in, uiteindelijk.

De business mist de kennis en ervaring om de kwaliteit te beoordelen. Nu zijn er cloud aanbieders die van alles goed doen. Dat benadrukken ze ook in glimmende folders: goede beveiliging op de servers, maandelijkse pentests, sterke crypto en Intrusion Prevention, allemaal zaken die de meeste organisaties zelf niet op orde hebben, zitten volgens de marketing in het pakket. Dus, is de redenatie van de business, zij kunnen het wel, en onze eigen IT niet.

Daar is nogal wat op af te dingen. Ten eerste vergelijk je een folder van een leverancier met de dagelijkse realiteit van je eigen IT. Dat is al een lastige. En wat is ‘van alles’, is dat hetzelfde als ‘alles’? Om dat te kunnen beoordelen moet je het geheel kunnen overzien, en weten wanneer de beveiligingsarchitectuur compleet is. Sterke crypto heeft bijvoorbeeld weinig zin als er een groot gat in de applicatie zit. De benodigde kennis daarvoor is in de IT al schaars, en het is vrijwel uitgesloten dat de mensen die voor hun eigen eilandje iets kopen, dit kunnen overzien. Kortom, hier komen ongelukken van. Je ziet de post-its met wachtwoorden van cloudapplicaties al weer verschijnen op de hoeken van de beeldschermen. Er is ook al een term voor aangeschafte cloudapplicaties die toch maar niet gebruikt worden: Shelfware as a Service.

Maar waarom doet de business dit dan toch? Wij IT-ers hebben verdorie de afgelopen tien jaar al die wildgroei teruggeduwd en nu doen ze het weer!

De cloud is goedkoop, dat is waar. Maar dat is niet de voornaamste drijfveer om maar van alles voor je eigen eilandje te gaan kopen. De voornaamste ‘business driver’ is ‘agility’. Ik druk het even uit in de geheimtaal van het management, ja. Agility wil zeggen dat je sneller over nieuwe spullen kunt beschikken, ook over spullen die niet in de schaalgrootte van de organisatie passen. Als je met twee boekhouders bent, dan kun je misschien na veel gedoe een simpel pakketje aanschaffen, maar dat zal wel een kale bedoening worden. Voor iets luxueuzers is al snel een hele server nodig en dan wordt het te moeilijk en te begrotelijk en dan mag het niet.

Dit speelt ook in grotere organisaties. De IT is onder druk van bezuinigingen met allerlei consolidatie en standaardisatie gaan uitblinken in eenheidsworst: het hele bedrijf mag maar één boekhoudpakket gebruiken. Terwijl er vaak toch meerdere soorten boekhouding zijn, maar de interne IT is zelden groot genoeg om specialisten in twee verschillende CRM-applicaties zinvol aan het werk te houden. Nou ja, of ze willen dat gewoon niet betalen. Het gaat dus ook om de kwaliteit van de beschikbare specialisten. Agility was een van de voornaamste drivers voor de outsourcingsmode van een paar jaar terug. Outsourcing is het niet geworden, vooral omdat blijkt dat je dan niet één, maar verschillende ivoren torens hebt, die onderling lopen te soebatten waardoor alles nog erger wordt.

De ivoren toren van de jaren 70 is na 2000 weer in ere hersteld: de IT is ongenaakbaar, autoritair en onnoemelijk traag. Bij de ABN/AMRO duurde het heel veel langer om Internet Explorer 5.5 of XPSP2 uitgefaseerd te krijgen dan om de bank te koop te zetten, te verkopen, te splitsen, failliet te laten gaan en te nationaliseren.

Security is gekaapt om de nering en het werkcomfort van de IT veilig te stellen, meer dan de veiligheid van de organisatie. Omwille van de security mogen gebruikers niets meer lokaal installeren, wat ook afgedwongen wordt door het besturingssysteem, dus als business heb je maar te slikken wat IT doet. En bovenal, niet doet. Want de installatie van een nieuwe browser is afhankelijk van een nieuw service pack. Nou, en dat is dus onveilig. De IT doet niets omdat iets repareren wat nu al stuk is, misschien iets anders stuk zou kunnen maken, maar ze weten niet wat. En voor dat niets doen en niet weten willen ze ook nog salaris.

De business ziet dat je in de cloud zonder gedoe en gezeur twee verschillende boekhoudpakketten kunt gebruiken en dat IT daar niets tegen kan doen. En doet het dan ook.

De CIO die zegt dat er geen cloudapplicaties worden gebruikt omdat ze nog niet veilig en volwassen zijn, is de kruidenier die stelt dat de concurrerende supermarkt slechtere waren verkoopt. Nu is het uitstekend dat de kruidenier gelooft in zijn eigen winkel. Maar als zijn klanten steeds vaker naar de supermarkt gaan, moet de kruidenier toch eens heel erg goed gaan nadenken.

De IT kan de cloud computing-hype ook negeren. Gewoon wachten tot het overgaat. De outsourcingshype ging ook over. Uiteindelijk zullen de ontwikkelingen wel weer bij elkaar komen en zullen bedrijven naar een hybride model gaan. Sommige dingen zullen in de cloud terechtkomen, andere in India en ook nog van alles in het eigen rekencentrum. De interne IT zal de regie hebben en de kwaliteit bewaken. De IT afdeling zal dan wel anders moeten zijn dan we nu gewend zijn, en beveiliging ook.

De ontwikkeling daarnaartoe kan maar zo tien jaar duren, net als de eilandautomatisering die begon met Windows for Workgroups en eindigde min of meer met Windows XP. Dat waren tropenjaren. In plaats van de klanten beter te bedienen gingen we ze bestrijden, met als gevolg veel stress en kwaaie koppen. Het netto resultaat is dat de meeste gebruikers anno 2010 vrijwel dezelfde IT-functionaliteit hebben als in 1996.

De uitdaging voor IT op dit moment is om de regie, feitelijk de makelaarsrol, naar zich toe te trekken. Gebruik de regie nu al om de balans tussen agility en kwaliteit te vinden, niet om de deur voor de concurrentie dicht te houden. Anders raak je de controle snel weer kwijt. Bepaal waaraan cloud applicaties moeten voldoen om goed genoeg te zijn, help de business kiezen of zoek ze zelf, en zorg voor migreerbaarheid, integratie en beveiliging.

De cloud systemen zelf worden door de leverancier beveiligd, dan vraag je om de testrapporten en auditorsverklaringen. Beveiliging van de cloud applicatie is echter niet hetzelfde als beveiliging van jouw informatie, al staat-ie daar. Security krijgt de uitdaging om de cloud, interne en externe leveranciers in één virtuele perimeter te vangen, zodat de eigen middelen daadwerkelijk voor eigen gebruik alleen zijn. De grote beveiligingslast komt op het stuk tussen de applicatie buiten de deur en de eigen systemen. Dit stuk is complex en je moet het zelf doen. Je bent er nog lang niet met een SSL-VPN. Contracten en procedures helpen ook niet; stukken papier vangen geen bad guys.

Het gaat bij de cloud om webapplicaties waarbij iedereen aan de voordeur kan rammelen, dus het aanloggen wordt veel belangrijker dan bij interne systemen. Wil je cloud applicaties beveiligen, dan zul je als vanzelf uitkomen op sterke authenticatie. En omdat je het hebt over meerdere cloud applicaties, dan praat je automatisch over federatie – je kunt moeilijk gebruikers voor iedere cloud applicatie een nieuw pasje geven, toch? Single Sign On naar de cloud is bovendien wel zo kosteneffectief. Ook zul je waarschijnlijk een soort ‘Cloud Portal’ opstellen, als een gezamenlijke presentatielaag. Je wil niet dat iedereen de cloud-URL’s gewoon op de desktop zet, en zelf verandert als je – heel Agile – van cloudleverancier wisselt? En zodra je cloud applicaties gaat integreren met eigen applicaties of met elkaar, moet je deze web services beveiligen. Ze zitten in tal van https-domeinen, dus je zult diep in de WS-Security en OAuth moeten duiken om hier de juiste antwoorden voor te vinden.

Last but not least zul je de security monitoring ergens moeten integreren; de enige plek waar je de bewaking kunt bedienen, is vanuit de eigen organisatie. Natuurlijk wil je de applicaties zelf ook weer in de cloud kunnen draaien (SIEM as a Service?), en de datastroom naar buiten kunnen richten in plaats van naar binnen. Het werk blijft echter hoe dan ook binnen. IT en Security hebben dus andere kennis en een andere inrichting nodig dan nu. Dat kost tijd, en anders héél veel geld. Je snapt wellicht dat de cloud niet gratis zal zijn in de praktijk. Voor niets gaat immers alleen de zon op. Het kan wel behoorlijk wat goedkoper zijn dan sommige interne IT clubs. Er zijn er die 60.000 euro per jaar rekenen voor een eenvoudige bladeserver zonder stroom, netwerktouwtje of besturingssysteem. Tja, dan gaan je klanten wel lopen.

Ik wist niet dat ik het ooit nog eens serieus ging opschrijven, maar Gartner heeft op één punt wel gelijk. Gartner stelt namelijk dat het tijd is om als IT een strategie op te stellen voor cloud gebruik en de hakken uit het zand te halen. Het IT-management kan zich een aantal zware jaren besparen, door nu al de regie te nemen. Bedenk daarbij dat hoewel de cloud hype vast wel weer overwaait, de klant ontevreden blijft als we de cloud net zo klantonvriendelijk verpakken als we met de rest van de IT hebben gedaan.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns