Cloud verandert op details veel

Cloud computing is bezig aan een opmars. De beloftes zijn groot, maar worden die ook waargemaakt? Cloud is vooral standaardwerk: “Je moet je dus meer schikken”. Bovendien werpen recente internationale ontwikkelingen een schaduw op de cloud.

Vormt de cloud niet de grootste verandering in het ICT-landschap tot op heden? Nee, de cloud verandert eigenlijk niet veel, juridisch gezien, weet Jan-Paul Agema, Head of Legal Affairs bij T-Systems Nederland. Maar op details verandert er wel veel door de cloud, voegt hij toe. Agema, met in zijn verleden praktijkervaring op het gebied van IT-beheer, schijnt zijn licht op recente ontwikkelingen voor cloud computing.

Het Nieuwe Uitbesteden

Op afstand beschouwd, valt cloud te zien als een nieuwe vorm van uitbesteding. Een organisatie laat bepaalde IT-functies verzorgen door een externe partij; een dienstverlener, een hoster, een outsourcer. “Wij bedienen de grootzakelijke markt en dat zijn bijna allemaal maatwerkcontracten”, begint Agema. “Zeker de eerste en tweede generatie outsourcing, die waren absoluut maatwerk met navenante contracten.”

“Nu met cloud is dat vooral standaardwerk, dus met standaardvoorwaarden en standaardcontracten.” De écht grote klanten met internationaal bereik kunnen misschien nog wel naar eigen wens afdwingen, maar de regel is standaardwerk. “Bijvoorbeeld voor aansprakelijkheid; die is beperkter want anders is cloud niet haalbaar qua schaalgrootte en dus kosten.” Die haalbaarheid geldt dan voor de aanbieder. Voor de afnemer is het kiezen of delen. “Je moet je meer schikken, naar de cloudpartij en diens aanbod plus voorwaarden daarvoor.”

Inventaris en inschatting vooraf

Tegenwoordig zijn we, afhankelijk van de gehanteerde definitie, aanbeland bij de derde of vierde generatie outsourcing. Dit is dan gekeken naar de grote golfbewegingen van uitbestedingen, niet naar specifieke outsourcingsoperaties van individuele organisaties. Sommige daarvan kunnen immers al verder - of juist minder ver - zijn wat betreft hun uitbesteding en verlenging of overheveling daarvan.

In grote lijnen geldt voor cloudgebruik hetzelfde advies als voor uitbesteding: bezint eer ge begint. “Kijk voordat je een besluit neemt over de cloud of je applicatie daar bij past”, geeft jurist Agema een basaal en zinnig IT-advies. “Kijk of het technisch past en of het juridisch past.” Goede inschatting van (compliancy) risico’s en bedrijfsimpact is hierbij van groot belang. “Bijvoorbeeld als het bedrijfskritiek is: dus applicatie down betekent het hele bedrijf plat.”

Pas op voor lock-in

Groot belang van applicaties voor bedrijven hoeft niet automatisch het vermijden van de cloud te betekenen. Het moet wel aanzetten tot doorvragen, voor beter besef en eventueel te nemen maatregelen. “Hoe snel kun je in geval van problemen bij je data komen? En in wat voor vormen?” Het belang van datastructuren en bestandsformaten speelt bij uitwijk of overstap naar een andere aanbieder. Agema poneert basale maar belangrijke business- en IT-gedreven vragen. Toegang tot gegevens is van belang voor de bedrijfscontinuïteit. Maar minstens zo belangrijk is toegang tot bedrijfsdata in een formaat waar de organisatie mee kan werken.

Critici van cloud computing waarschuwen wel dat het een nieuwe vorm van vendor lock-in kan zijn. “Als klant moet je heel erg oppassen”, beaamt Agema. Dat geldt natuurlijk ook voor huidige outsourcing. “Waar ligt het eigenaarschap van de data, de informatie?”, is een cruciale vraag. “Laat staan waar het eigenaarschap ligt van de gebruikte applicatie.”

De keten doorlichten

Een actuele vraag met betrekking tot cloud computing is de lokaliteit van informatie. “Waar staat je data? Het gaat dan niet eens zozeer om welk land, maar ook om wiens datacenter.” Agema legt uit dat cloudaanbieders niet altijd zelf datacenters hoeven te hebben. Zij kunnen ook gebruik maken van ‘onderaannemers’. Wat gebeurt er wanneer die een probleem hebben, zoals een storing, datalekkage of een faillissement? Hoe zit het dan met melding, aansprakelijkheid en verantwoordelijkheid?

De hoofdjurist van T-Systems pleit dan ook voor een meer zakelijke aanpak, waarbij van tevoren vanuit business-perspectief wordt gekeken naar cloudgebruik. “Wat is de financiële gezondheid van de aanbieder? Hoe zit zijn businessmodel in elkaar? Heeft hij een eigen datacenter?” Vervolgens is het zaak de eigen behoeften af te stemmen op de antwoorden op deze en soortgelijke vragen.

Continuïteit in bredere zin

Vragen die in de publieke sector heel gewoon zijn, weet Agema. Zoals: wat is de solvabiliteit? “Dat kom ik in de private sector zelden tegen.” Uiteindelijk gaat het de cloudafnemer wel om de continuïteit van de eigen organisatie. Natuurlijk, daar zijn aansprakelijkheidsclausules voor af te sluiten. Agema ziet echter veel meer nut in goed denkwerk en clausules vooraf.

“Het is beter om afspraken te maken voor performance-garanties, inclusief bijvoorbeeld dienstengaranties van een moederbedrijf.” Laatstgenoemde kan helpen als een dochteronderneming problemen heeft, zoals systeemuitval of erger. “Dit wil niet zeggen dat ik tegenstander ben van een goede aansprakelijkheidsregeling, maar het is uiteindelijk een laatste middel.”

Wat is bedrijfskritiek?

Naast bedrijfskritieke applicaties hebben organisaties in de praktijk nog vele andere toepassingen die in mindere mate bedrijfskritiek zijn. Ook daarvoor luidt Agema’s advies: heel goed kijken en dan afwegen welke applicaties geschikt zijn voor uitbesteding naar een cloud. Daarbij gaat het om zowel het soort applicatie als ook het daadwerkelijke gebruik daarvan.

Wat is precies de gehanteerde definitie van bedrijfskritiek? De snelle opkomst in de afgelopen jaren van CRM (customer relationship management) in de cloud is een teken van verschuivende definities. CRM is misschien niet bedrijfskritiek in de traditionele zin, maar een bedrijf lijdt wel als een complete salesafdeling met losse handen zit doordat hun online-CRM niet toegankelijk is. Toch is CRM lang niet altijd meer puur een lokaal draaiende oplossing.

Controleer de verbinding

Een vaak overzien maar cruciaal element bij een besluit voor cloud te gaan, is de internetverbinding van de klant. “Als je uitbesteedt, kijk goed naar het geheel”, benadrukt Agema. Hij geeft als bewust overdreven voorbeeld: “Als je een 99,99 procent SLA hebt voor je cloud, maar een DSL-verbinding zonder SLA, tsja.” Die discrepantie in servicelevels kan een organisatie lelijk opbreken. “Ik denk dat er bij veel bedrijven nog een discussie is of cloud nou IT is of onder telecom valt. Voor een jurist is dat niet ter zake. Voor mij is dat slechts een stammenstrijd.”

Het is dus wel zaak de benodigde elementen op elkaar af te stemmen. Dat afstemmen hoeft niet perse een opwaartse beweging te zijn: service level agreements (SLA’s) met 99,99 procent uptime voor én cloud én connectie, enzovoorts. Minder kan mogelijk ook. “Dat hangt af van je applicatie. Je kunt je afvragen of 99,99 procent het je waard is.”

Daarnaast is de oude IT-wijsheid van failover van toepassing. Neem bijvoorbeeld een tweede lijn waarlangs je bij een storing het cloudverkeer van bedrijfskritieke applicaties en bepaalde werknemers kunt laten gaan. Die back-up verbinding mag best wat langzamer zijn dan de hoofdlijn. Beter iets dan niets. “Hoe belangrijk is je applicatie en hoe belangrijk is je verbinding?”

‘Je kunt niet achterover leunen’

Overigens bestaat er nog een andere optie die de noodzaak vermindert om zelf alles te controleren en af te stemmen. “Wat wel vaker gebeurt, is de end-to-end verantwoordelijkheid bij één partij neerleggen.” Dat kan dan een aanbieder zijn die én clouddiensten én eigen datacenters én eigen verbindingen heeft, of laatstgenoemde in eigen beheer aanbiedt. Maar zo’n end-to-end partij kan ook een integrator zijn, stipt Agema aan. Toch ontslaat ook deze vorm van ‘cloudbesteding’ de afnemer niet van eigen verantwoordelijkheid.

“Uitbesteding blijft een zaak van technisch inzicht. Je kunt niet achterover leunen” en het allemaal aan de aanbieder overlaten, waarschuwt Agema. “Na de eerste en tweede generatie outsourcing heb ik een enorme kennisval gezien.” Organisaties die hadden uitbesteed, dachten zonder eigen experts toe te kunnen. Daar zijn de meesten weer op teruggekomen. Wat dit betreft, verandert cloud dus eigenlijk niet zo veel.

Jasper Bakker is journalist