Manifesto Rijkscloud (versie 0.6)

Martin van den Berg en Daan Rijsenbrij1, 17 februari 2012

De Nederlandse overheid kiest voor een private cloud. Wij hebben op 19 juni een 0.3 versie van dit Manifesto uitgebracht waarin wij een aantal kritische kanttekeningen hebben geplaatst bij de beoogde cloudstrategie. In deze versie zetten we (wellicht ten overvloede) nog eens op een rij wat cloud computing is. Daarnaast geven we, gekoppeld aan mogelijke risico’s, suggesties voor implementatie van de rijkscloud.

Inleiding

De Nederlandse overheid kiest voor een private cloud. In de brief van minister Donner aan de Tweede Kamer van 20 april 20112 valt te lezen dat het kabinet heeft gekozen ‘voor een aanpak waarbij de mogelijkheden van cloud computing gericht in gesloten vorm worden ingezet met als doel hogere prestaties tegen lagere beheerkosten en een groter gebruikersgemak’. In dezelfde brief is te lezen dat de scope in eerste instantie wordt beperkt tot het Rijk, dus de departementen. De gesloten rijkscloud zal in eigen beheer worden ingericht als een voorziening die generieke diensten levert binnen de rijksdienst.

Tot slot vermeldt de brief aan de Tweede Kamer dat deze cloudstrategie in de loop van de komende maanden nader zal worden uitgewerkt. Tot op dit moment (januari 2012) zijn er geen publiektoegankelijke documenten waarin nadere uitwerkingen te vinden zijn of het moet de meer generieke I-strategie Rijk3 zijn die op 15 november 2011 is uitgekomen en waarin een aantal malen wordt verwezen naar de de cloudstrategie van het Rijk.

Wij hebben op 19 juni een 0.3 versie van dit Manifesto uitgebracht waarin wij een aantal kritische kanttekeningen hebben geplaatst bij de beoogde cloudstrategie. Ons doel, als digitale architecten, is de Nederlandse overheid te behoeden voor valkuilen bij de realisatie en suggesties te doen voor vervolgstappen.

Inmiddels hebben wij op de 0.3 versie een ware vloedgolf van reacties mogen ontvangen. Naast de commentaren in Via Nova Architectura kregen wij veel emails en hebben flink wat mondelinge discussies gevoerd. Dit onderwerp maakte flink wat tongen los. Althans medio 2011. Begin januari 2012 lijkt het alsof de cloud compleet is overgewaaid en iedereen weer overgegaan is tot de orde van de dag. Toch hebben wij gemeend een 0.6 versie uit te brengen. Een versie waarin wij de rijkscloud positioneren als een middel dat stapsgewijs tot stand kan komen. In deze versie zetten we (wellicht ten overvloede) nog eens op een rij wat cloud computing is. Daarnaast geven we, gekoppeld aan mogelijke risico’s, suggesties voor implementatie van de rijkscloud.

Ook voor commentaar op deze 0.6 versie houden wij ons aanbevolen: daan@rijsenbrij.eu en martin.vanden.berg@sogeti.nl.

Wat is cloud?

NIST4 definieert cloud computing als een model om op afroep op een gemakkelijke manier via een netwerk toegang te krijgen tot een gedeelde verzameling van configureerbare computer resources (bijvoorbeeld netwerken, servers, opslag, applicaties en diensten) die snel kunnen worden geleverd en vrijgegeven met minimale inspanning of interactie met leveranciers.

NIST onderkent vijf essentiële karakteristieken van cloud computing:

  • Online self-service.
    Een gebruiker moet zelf zonder tussenkomst van de leverancier diensten kunnen oproepen.
  • Brede netwerk toegang.
    Diensten zijn beschikbaar via het netwerk en kunnen via allerlei devices worden aangeroepen.
  • Resource pooling.
    Computer resources kunnen bij elkaar worden gebracht zodat deze dynamisch gedeeld kunnen worden tussen diverse gebruikers afhankelijk van de behoefte.
  • Rapid elasticity.
    Diensten kunnen snel en op een elastische manier beschikbaar worden gesteld. Met andere woorden: resources kunnen snel worden op- of afgeschaald.
  • Measured service.
    Het gebruik van resources kan worden gemeten onder andere als basis voor besturing, afrekening en rapportage.

NIST onderscheidt vier cloud implementatiemodellen: public, private, community en hybride. Een public cloud is een verzameling resources die in principe voor iedereen toegankelijk is. Een private cloud is een verzameling resources die slechts voor één of een beperkt aantal organisaties toegankelijk is. Een community cloud is een verzameling resources die toegankelijk is voor meerdere organisaties die samen een bepaalde community vormen en een gemeenschappelijk doel hebben. Voorts hebben de leden van de community vergelijkbare security, privacy en compliancy vereisten. De rijkscloud is een goed voorbeeld van een community cloud. Een hybride cloud is een verzameling van resources uit public, private en/of community clouds die met elkaar verbonden zijn via bepaalde technologie of standaarden en het mogelijk maken data en/of applicaties te porten. Een voorbeeld van een hybride cloud is indien een organisatie voor bepaalde verwerkingen gebruik maakt van een eigen private cloud, en indien deze verwerkingen een bepaalde belasting te boven gaan, uitwijkt naar een public cloud.

Naast de vier cloudmodellen maakt NIST onderscheid tussen drie servicemodellen.

  • SaaS: Software as a Service.
    Hierbij gaat het om het beschikbaar stellen van applicatiefunctionaliteit op infrastructuur ergens in de cloud. De functionaliteit is voor een gebruiker toegankelijk via allerlei devices met een dunne clientinterface, bijvoorbeeld een webbrowser. De onderliggende infrastructuur wordt beheerd door de SaaS-leverancier. Bekende leveranciers zijn Salesforce (CRM-functionaliteit) en Google (Officefunctionaliteit).
  • PaaS: Platform as a Service.
    Dit gaat over het beschikbaar stellen van programmeertalen en –tools waarmee de gebruiker zelf applicaties kan ontwikkelen en implementeren op de cloudinfrastructuur van de PaaS-leverancier. Microsoft met zijn Azure-platform is een voorbeeld hiervan.
  • IaaS: Infrastructure as a Service.
    Dit betreft het beschikbaar stellen van infrastructuurachtige services zoals verwerkings-, opslag- en netwerkcapaciteit waarop een gebruiker eigen operating systems en applicaties kan implementeren. Amazon is een typisch voorbeeld hiervan, zij biedt een verwerkingsservice in de vorm van EC2 (Elastic Compute Cloud) en een opslagservice S3 (Simple Storage Service).

Wat is de Rijkscloud?

De rijkscloud is in onze ogen een mooi voorbeeld van een community cloud. In feite een private cloud die toegankelijk is voor en diensten levert aan een gesloten groep organisaties, lees Nederlandse overheidsinstellingen, die een gemeenschappelijk doel hebben.

Risico’s Implementatie Rijkscloud

Wij zien 6 cruciale risico’s.

1. De Rijkscloud komt niet van de grond

Wanneer en waar te starten met de rijkscloud? Wachten lijkt geen optie, want gebruikers weten zelf al de weg naar de cloud te vinden. Waar dan te beginnen? Met het transformeren van de eigen datacenters naar een private cloud of het aanbieden van public cloud services zoals email? Of beiden? Een heldere roadmap is vereist. Geen simpele roadmap specifiek voor de cloud, maar een roadmap waarin de stappen naar de cloud een integraal onderdeel vormen van de I-strategie Rijk.

2. De Rijkscloud is niet veilig

Als de rijkscloud wordt ingericht zonder na te denken over de consequenties voor beveiliging en continuïteit van gegevens, loopt de overheid ongewenste risico’s voor verlies of misbruik van data. Een gedegen beveiligingsbeleid gekoppeld aan dataclassificaties is vereist en een verplicht onderdeel bij het inrichten van de rijkscloud. Hierbij dient ook de belendende uitdaging ‘de privacy’ te worden meegenomen.

Wij zien nu al dat ook de overheid moeite heeft de public cloud buiten de deur te houden, omdat eindgebruikers steeds meer de macht krijgen om zaken zelf te regelen. Immers veel social media-functionaliteiten zitten vaak in public clouds en de scheiding tussen zakelijk en privégebruik van IT verdampt steeds meer. Om de veiligheid toch te borgen kan wellicht worden overgegaan naar een tussenvorm waarin public clouddiensten worden aangeboden via de rijkscloud, die als een soort broker de veiligheid en privacy van gegevens garandeert.

3. Implementatie van de Rijkscloud loopt uit de hand

Dit is het geval indien de inrichting van de rijkscloud veel meer kost dan begroot en de implementatie veel langer duurt dan voorzien. Dit is een risico dat niet zozeer met cloud computing samenhangt, maar meer met de manier waarop initiatieven worden gebundeld en uitgevoerd in programma’s en projecten. Natuurlijk kan en moet een cloud worden gezien als een verzameling diensten. Door te beginnen met een beperkte set aan diensten kunnen de implementatierisico’s sterk worden beperkt. Daarbij is het raadzaam om vooraf, samen met architecten, een dienstenportfolio te ontwerpen van mogelijke clouddiensten te leveren vanuit de rijkscloud.

Een ander facet van de rijkscloud bestaat uit het ontwerpen en bouwen van een infrastructuurplatform dat de diensten kan leveren. Het is zeer belangrijk om dit infrastructuurplatform goed te architectureren rekening houdend met de ongetwijfeld hoge eisen die gesteld worden aan betrouwbaarheid, beschikbaarheid, veiligheid, performance en natuurlijk schaalbaarheid. Het is zeer aan te bevelen hier kundige en ervaren infrastructuurarchitecten bij te betrekken die zowel oog hebben voor de functie (de diensten) als de constructie van die infrastructuur.

4. De Rijkscloud is te duur

Het risico bestaat dat de diensten die geleverd worden vanuit de rijkscloud fors duurder zijn dan vergelijkbare diensten van public cloud dienstverleners en ook duurder dan wat gebruikers voorheen betaalden voor eigen oplossingen. Dit heeft vooral te maken met prijsstelling van een diensteninfrastructuur. Als deze infrastructuur vanaf het begin kostendekkend moet zijn bestaat het risico dat de prijzen van diensten te hoog worden waardoor toetreding voor gebruikers niet lucratief is. Het is dus belangrijk om zeker in het begin dermate aantrekkelijke tarieven te hanteren dat gebruik van de rijkscloud sterk wordt geëntameerd zodat volume wordt opgebouwd en de infrastructuur op termijn vanzelf kostendekkend wordt en wellicht de tarieven zelfs omlaag kunnen. Daarbij moet de overheid zich realiseren dat de tarieven vergeleken zullen worden met aanbieders van public clouddiensten. Ook al biedt de rijkscloud de overheidscommunity private diensten in een veilige omgeving, de publieke dienstverleners liggen op de loer en zullen zich onderscheiden met aantrekkelijke tarieven in een wellicht ook steeds veiligere omgeving. Maar met de schaalgrootte van de Nederlandse overheid moet het mogelijk zijn op termijn concurrerende tarieven te vragen voor diensten uit de rijkscloud.

5. De Rijkscloud wordt niet of nauwelijks gebruikt

Een ander soort risico is dat beoogde gebruikers van de rijkscloud geen noodzaak voelen om diensten vanuit de rijkscloud af te nemen: ze hebben nog eigen voorzieningen en/of bovendien blijken de diensten uit de rijkscloud niet te voldoen aan de eisen en wensen van die gebruikers. Dit risico hangt samen met het vorige risico, maar voegt nog een extra element toe namelijk het besef bij gebruikers dat een groot deel van de IT-voorzieningen niet uniek hoeft te zijn, maar zoveel mogelijk standaard kan worden afgenomen en gebruikt. Bij veel organisaties, ook bij de overheid, zijn er nog veel gebruikers die heel specifieke wensen hebben ten aanzien van IT, gebruikers die menen dat zij uniek zijn!. Gebruikers beseffen echter nog onvoldoende dat ze daar wel de hoofdprijs voor betalen. Hier is een duidelijke visie vereist welke IT van een gebruikersorganisatie uniek is en welke niet. Architecten bij overheidsdiensten dienen hier een voortrekkersrol in te vervullen. Zij kunnen de portfolio aan gewenste diensten van hun organisatie in kaart brengen en aangeven welke van deze diensten als een commodity worden beschouwd (en waar dus standaarddiensten voor worden ingekocht) en welke wel specifiek zijn (en eigen voorzieningen nodig blijven). Ook het cultuuraspect speelt hier een rol bij. Hiermee bedoelen we de benodigde omslag in denken bij gebruikers én IT’ers dat veel IT helemaal niet uniek is. Daar moeten we vanaf!

6. Diensten van de Rijkscloud zijn lastig te integreren

Uiteindelijk moeten de diensten van de rijkscloud geïntegreerd kunnen worden in de specifieke eigen informatievoorziening van gebruikers van de rijkscloud. Als dat niet of heel lastig mogelijk is, is de kans groot dat weer teruggegrepen wordt naar eigen oplossingen. Ook hier kan de architectencommunity van het Rijk een belangrijke rol spelen door bij het ontwerp van de rijkscloud architecten van gebruikers én de rijkscloud bij elkaar te brengen en gezamenlijk te laten nadenken over de opbouw van het dienstenportfolio en het kiezen van standaarden en interfaces opdat aangeboden diensten naadloos kunnen worden geïntegreerd in de informatievoorziening van een individuele organisatie. Ook hier geldt: de rijkscloud is een voorziening die stapsgewijs kan worden opgebouwd waarbij geleerd moet worden van ervaringen van gebruikers en de beheerders van de rijkscloud.

Referenties

  1. Leden van de PON-werkgroep ‘Outsourcing onder Architectuur’.
  2. Tweede Kamer, vergaderjaar 2010-2011, 26 643, nr. 179.
  3. Kamerbrief I-strategie Rijk, 15 november 2011, kenmerk 2011-2000509680
  4. Peter Mell en Timothjy Grance, The NIST (National Institute of Standards & Technology) Definition of Cloud Computing, September 2011. Special Publication 800-145.

Opmerking

Je moet lid zijn van Via Nova Architectura om reacties te kunnen toevoegen!

Wordt lid van Via Nova Architectura

Sponsoren

Sessies

15-02: GIA sessie over digitale transformatiespel meer...

19-03: NAF Insight met Jeanne Ross meer...

Advertenties

Je kunt hier adverteren

© 2018   Gemaakt door Stichting Digital Architecture.   Verzorgd door

Banners  |  Een probleem rapporteren?  |  Algemene voorwaarden