Cloud Computing, de cirkel is nog niet rond

Toen drie jaar geleden het begrip ‘cloud’ langzaam opkwam, was er een discussie of het hier wederom om een hype ging of een werkelijk nieuw fenomeen. Het blijkt echter dat op dat moment alle ingrediënten aanwezig waren om inderdaad op een totaal nieuwe wijze informatiediensten te leveren en consumeren.

De ingrediënten waren allereerst een volwassen geworden internet waarop met het standaard IP-protocol wereldwijd effectief en accuraat informatie kon worden uitgewisseld. Daarnaast was de X86-architectuur van Intel-processoren een de facto standaard geworden voor processing power. Op die architectuur had VMware – met zijn virtuele machines – een robuuste flexibele virtualisatielaag ontwikkeld.  Na VMware volgden Microsoft en Xen/Citrix in rap tempo deze uitdagende ontwikkeling.

Als eenmaal de productie van informatie kan worden gevirtualiseerd, is verdere automatisering van die processen op een effectieve wijze mogelijk. Zie ook een eerdere blog hierover. En dus we zien veel nieuwe functionaliteit verschijnen die deze automatisering van IT-levering mogelijk maakt. In dat kader heeft VMware nog steeds een voortrekkersrol. We hebben op dit moment te maken met een ‘technology push’. Omdat het nu technisch mogelijk is geworden, zijn vele nieuwe producten en oplossingen op de markt gekomen, die de technologie ook daadwerkelijk benutten.  Met veel enthousiasme worden die dan ook door de leveranciers en providers aan de klant gepresenteerd.

Andere organisatievormen
Echter voor een werkelijk breed gebruik van een nieuwe techniek zijn behalve de techniek zelf, ook andere gebruiksprocessen en organisatievormen nodig.  Cloud computing is voor 10% techniek en voor 90% organisatie. En juist op het gebied van organisatie valt nog veel te doen. De basisvorm  van cloud computing is makkelijk. Het is de eerder genoemde ‘kroket uit de muur’. Een simpele dienst die je – in plaats van zelf te maken – kant en klaar door derden laat aanleveren. Standaarddiensten te kiezen uit een catalogus, met standaard service levels en bijbehorende prijzen.

Echter, zodra men iets meer wil dan een eenvoudige cloud-dienst, of men wil gelijktijdig diensten bij verschillende aanbieders afnemen, dient het interne IT-proces en de bijbehorende organisatie hiervoor wel gereed te worden gemaakt. De interne organisatie dient als een soort dienstenmakelaar de (nog) bestaande ‘oude’ services te kunnen ‘samenvoegen’ met de externe diensten, om aan de eindgebruiker een samenhangend geheel van services te bieden.

Een bundeling die per gebruiker of gebruikersgroep varieert en op adequate wijze beheerd, onderhouden en afgerekend moet worden. Niet eenvoudig. Zo’n interne ‘delivery organisatie’moet naast deze gebundelde dienst nog een derde belangrijk aspect inrichten: een certificatie en auditing proces. Een proces waarmee de aan te kopen en te consumeren diensten vooraf kunnen worden getoetst op interne governance en compliance-eisen. En tijdens gebruik adequaat kunnen worden gemonitord en gelogd om ook auditing processen te kunnen ondersteunen. Bijvoorbeeld om op 2 januari zeker te weten dat de financiële rapportage SOX of SAS 70 compliant is verwerkt.

Juist op dat gebied valt nog wel het een en ander te ontwikkelen om cloud computing echt breed te laten doorbreken. Certificatie vraagt om toetsingskaders en toepasbare wetgeving.  Ik geef toe dat veel cloud providers uit zichzelf al veel van deze ‘eigen’ toetsingskaders ontwikkelen, en daarmee al een soort kwaliteitsnorm ontwikkelen voor de branche.  Maar dat is dat nog geen formele, laat staan wettelijke, garantie voor de afnemers. Wetgeving en ‘algemeen geaccepteerde minimale eisen’ vragen nu eenmaal tijd en ervaring om tot wasdom te komen. De som van positieve en negatieve ervaringen, een leerproces dat nu eenmaal tijd vraagt.

Auditing
In feite zijn we vanuit de fysieke server-situatie langzaam gegroeid naar virtuele servers. Vanuit die virtuele situatie groeien we langzaam naar servercapaciteit als een cloud-dienst. De eigen private dienst of geleverd door één of meer externe leveranciers. Echter vanuit die virtuele en afstandelijke cloud moeten we ook weer terug naar de fysieke wereld van compliance en governance. Daarvoor is nog een extra stap nodig om de cirkel te sluiten: auditing. Het creëren van ‘vertrouwen’ en ‘doorzichtigheid’ in het proces. Het vastgelegd hebben van de processen, het monitoren, loggen en borgen van gebeurtenissen en ontstane risico’s. Kortom, alles dat de Quality Assurance van een cloud-proces zekerstelt.  Ook als dat ‘even’ onzichtbaar in de cloud plaatsvindt.

Net zoals de bekende Demming-cirkel van Plan, Do, Check, Act, wordt nu een vergelijkbare cirkel van Fysiek, Virtueel, Cloud, via de stap ‘Audit’ rondgemaakt. Aan die afsluitende stap – het verankeren van het vertrouwen door visibility & control – wordt door veel organisaties hard gewerkt. De architecturen, de oplossingen, de gereedschappen, de procedures en policies.

De organisatie Eurocloud is op Europees niveau ontstaan om juist die focus te kunnen stimuleren en cloud computing op de agenda van de Europese Commissie te zetten. Gelukkig is Euro Commissaris Neelie Kroes al actief bezig om de borging rond cloud computing meer handen en voeten te geven. Ook in diverse landen zijn reeds goede initiatieven ontstaan die een prima basis voor een brede cloud compliance en certificatie zijn. Langzaam maar zeker wordt de cirkel gesloten.
 
Hans Timmerman (CTO EMC Nederland)