Ketenproblematiek en communicerende vaten

Eerder schreef ik over opslag, waarbij keus en inrichting vaak (mede) bepalend zijn voor de prestaties in de keten. Een keus die ook vaak verstrekkende gevolgen heeft omdat het hier meestal om grote investeringen gaat en migreren van de ene oplossing naar de andere veel tijd en geld kost. Een storage architect kan helpen bij het maken van de juiste keus maar deze blijft uiteindelijk afhankelijk van de input die door organisatie gegeven wordt.


En juist daar lijkt het steeds mis te gaan want met confectie in de vorm van virtualisatie denken we wonderen te kunnen leveren maar blijken de onmogelijkheden, in de vorm van capaciteitsmanagement, meer tijd te kosten. Het is dus niet zo zeer de architect die het verschil maakt want het zijn uiteindelijk de processen die de informatie moeten aanleveren. Regeren is nu eenmaal vooruit kijken maar performance testen staan helaas als laatste op de planning, als er überhaupt al aan wordt gedacht.

De valkuilen in Cloud Computing

Cloud computing is een onomkeerbaar proces, een logisch gevolg van de ontwikkelingen in techniek waardoor we steeds meer (keuze)vrijheid krijgen. Maar het is vooral nog een valkuil waarbij de weg terug vaak afgesloten wordt door het gebrek aan standaardisatie. Want ook al zijn de bouwstenen van cloud computing, zoals virtualisatie en Internet, generiek, dat geldt (nog) niet voor de totaaloplossing.


Ramnath K. Chellappa, professor op het gebied van informatiesystemen, definieert cloud computing als volgt: 'Een computerparadigma waarbij de grenzen van de computer worden vastgesteld door het economische aspect, eerder dan de technische limieten.' Indien we deze definitie aanhouden, zijn huidige oplossingen helaas een vendor lock. Want een complete oplossing bestaat namelijk uit meer dan techniek omdat organisaties vaak getrouwd zijn met hun applicaties, processen en informatie die helemaal niet zo standaard zijn. Zo kost migreren van de ene database naar de andere of converteren van documenten bij wisselen van applicaties, platform of leverancier dan ook meer tijd en geld dan alleen wat techniek verplaatsen.

Manier van opslag bepaalt het systeemprestatieniveau

Het is een dooddoener maar de zwakste schakel bepaalt altijd de prestatie en bevindt deze zich steeds vaker onderin de architectuur, daar waar alles opgeslagen wordt. Aandacht is er wel voor de functionele aspecten maar er wordt vergeten dat meten weten is en gissen niet zelden missen. Juiste keus wordt niet alleen bepaalt door de capaciteit in terabytes maar vooral door het aantal lees- en schrijf bewerkingen per seconde (IOPS).

Prestatie van één disk wordt vaak weergegeven in de uitkomst van een berekening tussen toeren, gemiddelde latency en zoektijd. Wanneer individuele disken samengevoegd worden in een logisch volume dan kunnen deze IOPS bij elkaar opgeteld worden. Dus hoe meer disken in een array hoe beter de prestatie, waarbij er afhankelijk van raid-level wel correcties gemaakt moeten worden. Prestatie van het ijzer, de backend, is dus vooral een rekensom die meestal nog wel gemaakt wordt door de leverancier. We kunnen dus met formules in Excel de prestaties aan de onderkant oftewel de backend IOPS vergelijken.

Mobiliteit wordt pas succes met een gerichte aanpak

Consumerization of IT (CoIT) in combinatie met verdergaande mobiliteit zorgt voor populariteit van mobiele apparaten, die tegenwoordig steeds vaker worden meegenomen naar het werk. Dat concept komt me trouwens bekend voor omdat we eerder al de eigen pc mee namen naar een lan-party. En als ik er goed over nadenk is het succes van Microsoft grotendeels gebaseerd op gebruik in de thuismarkt.




Revolutionair van deze mobiele apparaten is dat de gebruikelijke wijze van informatie invoeren wijzigt en ons los maakt van het toetsenbord en de muis op kantoor en thuis. Toegevoegde waarde zit dan ook niet zo zeer in het apparaat zelf maar vooral in de applicaties die gebruikt worden. Dubbel intypen van informatie in velden is niet efficiënt, wel het gebruik van nieuwe mogelijkheden als spraak, camera en beweging. Oplossingen als Google Goggles, Microsoft Kinect Motion en nog vele andere voorbeelden zijn innovatief maar als ze niet aansluiten op de bedrijfsprocessen blijven het speeltjes. Om spiegeltjes en kraaltjes aan de gebruikerskant productief te maken zullen ze dus wel aan moeten sluiten op de architectuur aan de achterkant. Want zonder inpassing hiervan binnen de bedrijfsprocessen zal de productiviteit amper toenemen. Zo gaf Windows met een grafische schil dan wel kleur aan onze werkzaamheden maar uiteindelijk bleven we data nog steeds intypen.

Resocialisatie van sociale media

Gezien de ‘ophef’ over een practical joke met een nagemaakte website en acties om sommige satirische tweets te stoppen is het misschien tijd voor een beschouwing van een modern fenomeen. Eerder heb ik hier al eens over geschreven in ‘Business intelligence in de cloud’, waarbij ik sceptisch was over het gebruik en de populariteit van social media. Dat werd vooral ingegeven door het ontbreken van een aantal zaken, waardoor misbruik op de loer ligt.


Zo laten velen na om de authenticiteit van de zender te bepalen, is de attentiewaarde vaak niet meer dan een ‘selffulfilling prophecy' en heerst er een zekere wetteloosheid. De practical joke die een hoge attentiewaarde kreeg, was een bericht over Van Bemmel dat voor een oplettende lezer duidelijk vals was. Tenminste, als er naar de url gekeken werd, die overduidelijk niet van de Telegraaf was. Een paar dagen eerder publiceerde deze grappenmaker trouwens op dezelfde manier een bericht over Mart Smeets, dat echter niet zoveel aandacht kreeg. Blijkbaar werkt de techniek van framing het best bij politieke figuren, of niemand neemt het Privé-katern van de Telegraaf serieus. Een plaatje zegt nu eenmaal meer dan duizend woorden, dus de kunst van framing is om een beeld te scheppen dat grotendeels ingevuld wordt vanuit het denkraam van de ontvanger. Het is een overtuigingstechniek die niet alleen veel in de politiek gebruikt wordt, maar ook in de reclame. Met de beperking van 140 karakters is Twitter dus een fantastisch middel voor het kaderen van gedachten in één pakkende oneliner. Vroeger, toen we nog geen social media hadden, noemden we dat trouwens soundbites, maar tegenwoordig een tweet.

A fool with a tool: schaken in de cloud

Peter Ambagtsheer maakt in een stuk over Viable System Models de referentie naar schaken en daar kan ik me tot op zekere hoogte wel in vinden. De infrastructuur lijkt tenslotte steeds meer op een schaakbord waar klant koning is, de (bedrijfskritische) applicaties de torens zijn, informatie als dame behandeld wordt en de rest als pionnen gezien worden.

De spelregel dat pionnen, met uitzondering van de eerste zet, maar één veld vooruit mogen gaan zorgt ervoor dat we altijd op achterstand staan. Dit geldt in het bijzonder voor de beveiliging van de infrastructuur en de informatie die hierover getransporteerd wordt en in opgeslagen. We leven nu eenmaal in een wereld die steeds verder digitaliseert, waarin informatie en computers onmisbaar zijn geworden. In een dergelijke wereld is het natuurlijk niet vreemd dat we steeds vaker met cybercrime geconfronteerd worden, welke ook nog eens makkelijk te internationaliseren is.
 
Simultaan schaken
Net als bij schaken helpt kennis van openingsstellingen en de daarbij behorende tegenzetten om de kans op verlies te voorkomen. Maar de infrastructuur is aan constante verandering onderhevig en breidt zich ook steeds verder uit omdat gebruikers niet meer gebonden willen zijn aan kantoor. Introductie van nieuwe services zoals sociale media en mobiele applicaties brengen andere stukken op het bord of neemt ze met bijvoorbeeld cloud computing daarvan af. Deze blijven echter wel hun rol spelen in de uitwisseling van informatie waardoor complexiteit en afhankelijkheden steeds meer toenemen. Klant blijft koning en organisaties eisen steeds nieuwe functionaliteiten, welke ook nog sneller en goedkoper geleverd moeten worden. Dit zorgt ervoor dat it alleen nog defensief kan spelen omdat er eerst weer geleerd moet worden. Ervaring maakt de meester maar door alle nieuwe spelsituaties is het soms als simultaan schaken. Hierbij zijn de aanvaller vaak de grootmeesters want creatieve schakers zullen een opening proberen te forceren door een onverwachte zet te doen die nog niet in het boekje staat. En niet zelden zitten deze in een aanval op foutieve code of een fout in het ontwerp waardoor niet alleen een schakel maar de hele keten kwetsbaar wordt.

Wake-up call
Recentelijk zijn we opgeschrikt door spraakmakende beveiligingsincidenten omdat we door het gebruiksgemak vergeten dat er nog een onderliggende technologie is die steeds complexer en daardoor kwetsbaar wordt. Beveiliging van informatie wordt daarom steeds belangrijker maar de bekende ITSM-methodieken besteden hier onvoldoende aandacht aan. Bij sommige organisaties, en helaas bij veel overheden, is het proces van beveiliging vaak ook nog eens onvolwassen. Ad hoc komt er eens een keer een specialist langs om voor de bewustwording een audit uit te voeren. Maar mijn ervaring met de grote namen in deze industrie leert dat dit veel weg heeft van een blinde die de manke leert lopen. Onervaren consultants vinken gericht op deeloplossingen lijstjes af terwijl de werkelijke risico's in de nog verborgen fouten zitten. Veel meer waarde hebben dan ook de penetratietesten waarbij niet alleen de kwetsbaarheid onderzocht moet worden maar ook de response hierop.

Nu zijn de servers in het perimeter netwerk meestal wel goed beveiligd en liggen zwakheden vaak in het interne netwerk waar servers en applicaties via een ‘next, next, finish' proces ingericht worden. Hierdoor blijven niet alleen onnodige services geactiveerd maar door virtualisatie ook vaak de slecht beveiligde maar ongebruikte testsystemen. Deze worden echter vaak buiten het bereik van een audit of penetratietest gehouden terwijl door ‘het nieuwe werken', uitbestedingen en overnames de scheidslijn tussen de boze buitenwereld en het veilige interne netwerk steeds troebeler wordt.
 
Bokkensprongen
Ondertussen wordt alweer de volgende uitdaging geïntroduceerd in de infrastructuur met het 'bring your own device (byod)' idee omdat de standaard werkplek te dwingend zou zijn. Daardoor worden veel beveiligingsmaatregelen nutteloos omdat nauwelijks te voorkomen valt dat infrastructuur geïnfecteerd wordt met een virus als Stuxnet of de Duqu-malware variant. Een meegebrachte usb-stick of geheugenkaart kan dan bron zijn maar ook het Trojaanse paard om passief informatie te verzamelen. Met de credentials van een gebruiker, liefst met administratieve rechten wordt zo eenvoudig over de pionnen ter bescherming van de infastructuur heen gesprongen. En ook een gehackte blackberry kan helpen om informatie te verzamelen van je concurrent. Informatie ligt namelijk al lang niet meer besloten in de infrastructuur maar gaat en komt van alle kanten. Aantal bedreigingen beginnen daarom steeds meer op de legende te lijken waar de uitvinder van het schaakspel als beloning een rijstkorrel op het eerste veld en een verdubbeling op elk volgende vraagt.

Natuurlijk zullen de gebruikelijke maatregelen ter bescherming van de infrastructuur genomen moeten worden. Maar als de klant koning blijft dan zullen incidenten onvermijdelijk zijn als gebruikers zich niet bewust zijn van de risico's maar wel gebruik maken van eigen computers en de laatste gadgets. Een informatie beveiligingsbeleid is uiteindelijk vaak niet meer dan een stuk papier en naleving zal actief bewaakt moeten worden. Dat afdwingen wordt steeds moeilijker omdat gebruikers zich niet altijd binnen het eigen netwerk bevinden maar maken ook gebruik van breedband verbindingen thuis of mobiel internet onderweg. En op kantoor beperken ze zich niet alleen tot de eigen systemen maar gebruiken ook services in de cloud. Gebruikers doen dus niet altijd wat verwacht wordt en deze zullen daarom de zwakke schakels in de keten blijven maar wordt vooruit denken steeds moeilijker.

Volgende zet
Focus moet daarom verschoven worden en dus moet er niet alleen naar de service gekeken worden zoals ITILv3 stelt maar ook op het gedrag van gebruikers gelet worden. Door mee te kijken met de gebruiker kunnen verstoringen of afwijkingen sneller gezien worden en wordt het eenvoudiger om te bepalen waar de oplossing gezocht moet worden. Gebruikers kunnen namelijk ook thuis verstoringen ondervinden, met services in de cloud of op hun tablet en zo worden veel vragen voorkomen. Hoewel het controversieel klinkt om spyware te gebruiken zullen we net als in het schaakspel moeten leren van de grootmeesters. Zeker nu bekend is geworden dat opsporingsinstanties deze software ook gebruiken mag ook afgevraagd worden of deze nog wel goed herkend worden door de gebruikelijke tegenmaatregelen.

Misschien moeten we dan ook het idee los laten dat we het spel nog kunnen winnen en is remise de best mogelijke uitkomst. Want hoe sterker de verdediging in het (data)centrum hoe eerder de aanval vanaf de flanken komt. Maar pionnen mogen ook en passant slaan en deze zet zorgt ervoor dat we voorbij gelopen worden door onnadenkende gebruikers. Internet zit tenslotte vol gevaren waar je nooit weet wie er meeluistert maar kunnen we ook niet meer zonder.

Cloud marktwerking

Gedwongen door de markt kan niemand het zich permitteren om alle verschillende ontwikkelingen te negeren. En dus is erveel aandacht voor cloud computing als het nieuwe delivery model. Want de vraag naar snellere, goedkopere en efficiëntere inzet van ict kan niet meer beantwoord worden met een monolithisch systeem.





Het ligt dus voor de hand dat we dus niet met een product komen, maar ons vooral richten op de processen. Want ook al promoten vele it-leveranciers cloud computing als ‘revolutie’, zonder convergentie van visie en doelstelling zal dit de kloof tussen de business en it niet dichten. De enige echte omwenteling is dat de business bepaalt welke applicaties en diensten er nodig zijn. En deze hebben door de vele delivery-modellen daarin een enorme keuzevrijheid gekregen.

Terwijl de druk om kosten te reduceren toeneemt, is er tegelijkertijd een groei in de vraag naar ict. Dit zorgt voor een spanningsveld tussen de business en it. Zeker organisaties die it als facilitair zien, overwegen dan ook uitbesteding. Maar zonder de technologie te integreren in de bestaande bedrijfsprocessen, wordt deze optie bijna altijd jammerlijk overschat. Want uiteindelijk blijven de beheerdisciplines uit de tijd van monolitische systemen ook voor de nieuwe delivery-modellen onveranderlijk van kracht.